From 6bb2c2060f6c2cfbefa68a28c7820e5ccdc5dabc Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Wed, 29 Jul 2026 14:50:41 +0200 Subject: [PATCH 01/21] feat: automatic nix testing of codeblocks --- .gitignore | 5 ++- src/nix-tests/nixmd.mts | 67 +++++++++++++++++++++++++++++ src/nix-tests/shell.nix | 12 ++++++ src/pages/getting-started/index.mdx | 2 +- 4 files changed, 84 insertions(+), 2 deletions(-) create mode 100644 src/nix-tests/nixmd.mts create mode 100644 src/nix-tests/shell.nix diff --git a/.gitignore b/.gitignore index 6c5325a..b49c0b7 100644 --- a/.gitignore +++ b/.gitignore @@ -55,4 +55,7 @@ seo-check /public/**/*.md # generated by utilities/create-llmstxt.mjs postbuild -/public/llms.txt \ No newline at end of file +/public/llms.txt + +# testing +/src/nix-tests/tmp \ No newline at end of file diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts new file mode 100644 index 0000000..d7ad513 --- /dev/null +++ b/src/nix-tests/nixmd.mts @@ -0,0 +1,67 @@ +import { readFileSync, writeFileSync, mkdirSync, readdirSync, rmSync } from 'node:fs' +import { relative, join, dirname } from 'node:path' + +const OUT_DIR = 'src/nix-tests/tmp' +const PAGES_DIR = 'src/pages' +const CODE_FENCE = /^[ \t]*```(\w*)[ \t]*([^\r\n]*)\r?\n([\s\S]*?)^[ \t]*```/gm + +interface CodeBlock { + lang: string + meta: string + code: string +} + +function extractBlocks(source: string) : CodeBlock[] { + const result : CodeBlock[] = [] + + for (const match of source.matchAll(CODE_FENCE)) { + result.push({ + lang: match[1], + meta: match[2], + code: match[3], + }) + } + + return result +} + +function outputPathFor(mdxPath: string): string { + const relativePath = relative(PAGES_DIR, mdxPath) + const shellPath = relativePath.replace(/\.mdx$/, '.sh') + + return join(OUT_DIR, shellPath) +} + +function convert(mdxPath: string): void { + const source = readFileSync(mdxPath, 'utf8') + const blocks = extractBlocks(source) + const testBlocks = blocks.filter((block) => block.meta.includes('{test}')) + + if (testBlocks.length === 0) { + console.log("No codeblocks found for testing.") + return + } + const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' + const body = testBlocks.map((block) => block.code).join('\n') + + const outPath = outputPathFor(mdxPath) + + mkdirSync(dirname(outPath), { recursive: true }) + writeFileSync(outPath, header + body) + + console.log(`${testBlocks.length} Blöcke → ${outPath}`) +} + +function collectMdxFiles(): string[] { + const entries = readdirSync(PAGES_DIR, { recursive : true }) + rmSync(OUT_DIR, { recursive: true, force: true }) + + return entries + .map((entry) => String(entry)) + .filter((entry) => entry.endsWith('.mdx')) + .map((entry) => join(PAGES_DIR, entry)) +} + +for (const mdxPath of collectMdxFiles()) { + convert(mdxPath) +} \ No newline at end of file diff --git a/src/nix-tests/shell.nix b/src/nix-tests/shell.nix new file mode 100644 index 0000000..d68fc82 --- /dev/null +++ b/src/nix-tests/shell.nix @@ -0,0 +1,12 @@ +let + nixpkgs = fetchTarball "https://github.com/NixOS/nixpkgs/tarball/nixos-26.05"; + pkgs = import nixpkgs { config = {}; overlays = []; }; +in + +pkgs.mkShellNoCC { + packages = with pkgs; [ + git + curl + docker-compose + ]; +} \ No newline at end of file diff --git a/src/pages/getting-started/index.mdx b/src/pages/getting-started/index.mdx index c98b645..32b0ea4 100644 --- a/src/pages/getting-started/index.mdx +++ b/src/pages/getting-started/index.mdx @@ -49,7 +49,7 @@ If you don't have Docker installed, follow the [Docker installation guide](https First, download the necessary configuration files and start DevGuard using docker-compose: -```bash +```bash {test} curl -LO https://raw.githubusercontent.com/l3montree-dev/devguard/refs/heads/main/docker-compose-try-it.yaml \ && docker-compose -f docker-compose-try-it.yaml up ``` From 5e47ec7aad99f846b09553e2fe45a9533925f3c1 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Thu, 30 Jul 2026 12:20:41 +0200 Subject: [PATCH 02/21] feat: added variables for testing nixmd --- src/nix-tests/nixmd.mts | 47 ++++++++++++++++++----------- src/pages/getting-started/index.mdx | 8 ++--- 2 files changed, 33 insertions(+), 22 deletions(-) diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index d7ad513..3058086 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -1,16 +1,39 @@ -import { readFileSync, writeFileSync, mkdirSync, readdirSync, rmSync } from 'node:fs' +import { readFileSync, writeFileSync, mkdirSync } from 'node:fs' import { relative, join, dirname } from 'node:path' const OUT_DIR = 'src/nix-tests/tmp' const PAGES_DIR = 'src/pages' const CODE_FENCE = /^[ \t]*```(\w*)[ \t]*([^\r\n]*)\r?\n([\s\S]*?)^[ \t]*```/gm +const TEST_VALUES: Record = { + assetName: "testorg/projects/testgroup/assets/testrepo", + apiUrl: "http://host.docker.internal:8080", + token: "df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a", + webUI: "http://localhost:3000", +} + interface CodeBlock { lang: string meta: string code: string } +function changeToTestVariables(code: string): string { + return Object.keys(TEST_VALUES).reduce( + (result, flag) => + result.replace(new RegExp(`(--${flag}=)("[^"]*"|'[^']*'|[^\\s\\\\]*)`, 'g'), `$1"\${${flag}}"`), + code, + ) +} + +function declarationsFor(body: string): string { + const declarations = Object.entries(TEST_VALUES) + .filter(([flag]) => body.includes(`\${${flag}}`)) + .map(([flag, value]) => `${flag}="\${${flag}:-${value}}"`) + + return declarations.length === 0 ? '' : declarations.join('\n') + '\n\n' +} + function extractBlocks(source: string) : CodeBlock[] { const result : CodeBlock[] = [] @@ -42,26 +65,14 @@ function convert(mdxPath: string): void { return } const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' - const body = testBlocks.map((block) => block.code).join('\n') - + const body = testBlocks.map((block) => changeToTestVariables(block.code)).join('\n') + const outPath = outputPathFor(mdxPath) - + mkdirSync(dirname(outPath), { recursive: true }) - writeFileSync(outPath, header + body) + writeFileSync(outPath, header + declarationsFor(body) + body) console.log(`${testBlocks.length} Blöcke → ${outPath}`) } -function collectMdxFiles(): string[] { - const entries = readdirSync(PAGES_DIR, { recursive : true }) - rmSync(OUT_DIR, { recursive: true, force: true }) - - return entries - .map((entry) => String(entry)) - .filter((entry) => entry.endsWith('.mdx')) - .map((entry) => join(PAGES_DIR, entry)) -} - -for (const mdxPath of collectMdxFiles()) { - convert(mdxPath) -} \ No newline at end of file +convert(process.argv[2]) \ No newline at end of file diff --git a/src/pages/getting-started/index.mdx b/src/pages/getting-started/index.mdx index 32b0ea4..5c21510 100644 --- a/src/pages/getting-started/index.mdx +++ b/src/pages/getting-started/index.mdx @@ -49,7 +49,7 @@ If you don't have Docker installed, follow the [Docker installation guide](https First, download the necessary configuration files and start DevGuard using docker-compose: -```bash {test} +```bash curl -LO https://raw.githubusercontent.com/l3montree-dev/devguard/refs/heads/main/docker-compose-try-it.yaml \ && docker-compose -f docker-compose-try-it.yaml up ``` @@ -159,7 +159,7 @@ For this tutorial, we'll use the DevGuard CLI approach. First, pull the DevGuard scanner Docker image: -```bash +```bash {test} docker pull ghcr.io/l3montree-dev/devguard/scanner:main ``` @@ -167,8 +167,8 @@ Next, create a personal access token by clicking the token generation button in Copy the command from the dialog, which automatically includes your personal access token and the correct DevGuard API URL: -```bash -docker run -v "$(PWD):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +```bash {test} +docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sca \ --path=/app \ --assetName="myorg/projects/newgroup/assets/newrepository" \ From 48205783a3f8a9b4dcac04ab1084bbc04d71a180 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Thu, 30 Jul 2026 15:23:20 +0200 Subject: [PATCH 03/21] feat: added nixmd for all .mdx files --- src/nix-tests/devguard-seed-data.sql | 37799 ++++++++++++++++ src/nix-tests/nixmd.mts | 29 +- .../architecture/authentication-flow.mdx | 4 +- src/pages/getting-started/index.mdx | 6 +- .../gitlab/setup-gitlab-integration.mdx | 4 +- .../integrations/webhook-events.mdx | 10 +- .../vulnerability-database/cve-enrichment.mdx | 20 +- 7 files changed, 37843 insertions(+), 29 deletions(-) create mode 100644 src/nix-tests/devguard-seed-data.sql diff --git a/src/nix-tests/devguard-seed-data.sql b/src/nix-tests/devguard-seed-data.sql new file mode 100644 index 0000000..bb148a8 --- /dev/null +++ b/src/nix-tests/devguard-seed-data.sql @@ -0,0 +1,37799 @@ +pg_dump: warning: there are circular foreign-key constraints on this table: +pg_dump: detail: projects +pg_dump: hint: You might not be able to restore the dump without using --disable-triggers or temporarily dropping the constraints. +pg_dump: hint: Consider using a full dump instead of a --data-only dump to avoid this problem. +-- +-- PostgreSQL database dump +-- + +\restrict EYWNUsmy68I9u7jOw6C1jxcAlwkqBqXpgaFkgkHZEYzhczsVCPdpKEhZ0UXzQcF + +-- Dumped from database version 16.13 +-- Dumped by pg_dump version 16.13 + +SET statement_timeout = 0; +SET lock_timeout = 0; +SET idle_in_transaction_session_timeout = 0; +SET client_encoding = 'UTF8'; +SET standard_conforming_strings = on; +SELECT pg_catalog.set_config('search_path', '', false); +SET check_function_bodies = false; +SET xmloption = content; +SET client_min_messages = warning; +SET row_security = off; + +-- +-- Data for Name: organizations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +SET SESSION AUTHORIZATION DEFAULT; + +ALTER TABLE public.organizations DISABLE TRIGGER ALL; + +COPY public.organizations (id, created_at, updated_at, name, contact_phone_number, number_of_employees, country, industry, critical_infrastructure, iso27001, nist, grundschutz, slug, description, is_public, config_files, language, external_entity_provider_id, shares_vuln_information) FROM stdin; +18772d75-1070-4cf7-a40a-48472d7d939a 2026-07-30 09:48:50.630689+00 2026-07-30 09:48:50.630689+00 testorg \N \N \N \N f f f f testorg f null \N f +\. + + +ALTER TABLE public.organizations ENABLE TRIGGER ALL; + +-- +-- Data for Name: projects; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.projects DISABLE TRIGGER ALL; + +COPY public.projects (id, created_at, updated_at, name, organization_id, slug, description, is_public, parent_id, type, repository_id, repository_name, config_files, external_entity_id, external_entity_provider_id, avatar, external_entity_parent_id, state) FROM stdin; +d07c0645-f0f1-4721-8d85-37c3f1c006d3 2026-07-30 09:48:55.54592+00 2026-07-30 09:48:55.54592+00 testgroup 18772d75-1070-4cf7-a40a-48472d7d939a testgroup f \N default \N \N null \N \N \N \N active +\. + + +ALTER TABLE public.projects ENABLE TRIGGER ALL; + +-- +-- Data for Name: assets; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.assets DISABLE TRIGGER ALL; + +COPY public.assets (id, created_at, updated_at, name, slug, project_id, description, type, importance, reachable_from_internet, confidentiality_requirement, integrity_requirement, availability_requirement, repository_id, repository_name, last_history_update, cvss_automatic_ticket_threshold, risk_automatic_ticket_threshold, last_secret_scan, last_sast_scan, last_sca_scan, last_iac_scan, last_container_scan, last_dast_scan, signing_pub_key, config_files, webhook_secret, external_entity_id, external_entity_provider_id, vuln_auto_reopen_after_days, repository_provider, avatar, metadata, is_public, paranoid_mode, shares_information, pipeline_last_run, pipeline_error, state) FROM stdin; +2643a4bc-d41b-44a9-8e08-95ad2d5d08a1 2026-07-30 09:48:59.004687+00 2026-07-30 10:08:11.490454+00 testrepo testrepo d07c0645-f0f1-4721-8d85-37c3f1c006d3 1 f medium medium medium \N \N \N \N \N \N \N \N \N \N \N \N null 2029bc8d-d172-4a72-bb1d-a4326663ff6c \N \N \N github \N null f f f 2026-07-30 10:08:11.489388+00 \N active +\. + + +ALTER TABLE public.assets ENABLE TRIGGER ALL; + +-- +-- Data for Name: access_tokens; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.access_tokens DISABLE TRIGGER ALL; + +COPY public.access_tokens (created_at, user_id, pub_key, description, id, fingerprint, last_used_at, scopes, expiry_date, bearer_token_hash, org_id, project_id, asset_id) FROM stdin; +2026-07-30 09:50:47.055941+00 \N f679cc36c88f7ad23eca75919eac85fdcfbdc7ad17ee0185f1e93d52d51efe7ddb73965d8154340af4d595735a015a3fa0ba6b764939ea2d7869710f113fe81b Local DevGuard CLI 2872980a-b766-4f27-8a65-65ea259817d3 6975e8c939da9179200730c9840dd61155529325cf328f98c087ac957eed798e \N scan 2027-04-28 22:00:00+00 \N \N \N 2643a4bc-d41b-44a9-8e08-95ad2d5d08a1 +\. + + +ALTER TABLE public.access_tokens ENABLE TRIGGER ALL; + +-- +-- Data for Name: advisories; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.advisories DISABLE TRIGGER ALL; + +COPY public.advisories (id, created_at, updated_at, title, description, severity, vector_string, asset_id, visibility) FROM stdin; +\. + + +ALTER TABLE public.advisories ENABLE TRIGGER ALL; + +-- +-- Data for Name: affected_packages; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.affected_packages DISABLE TRIGGER ALL; + +COPY public.affected_packages (id, created_at, updated_at, ecosystem, package_name, semver_introduced, semver_fixed) FROM stdin; +\. + + +ALTER TABLE public.affected_packages ENABLE TRIGGER ALL; + +-- +-- Data for Name: advisories_affected_packages; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.advisories_affected_packages DISABLE TRIGGER ALL; + +COPY public.advisories_affected_packages (advisory_id, affected_package_id) FROM stdin; +\. + + +ALTER TABLE public.advisories_affected_packages ENABLE TRIGGER ALL; + +-- +-- Data for Name: asset_versions; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.asset_versions DISABLE TRIGGER ALL; + +COPY public.asset_versions (created_at, updated_at, name, asset_id, default_branch, slug, type, last_history_update, signing_pub_key, metadata, last_accessed_at) FROM stdin; +\. + + +ALTER TABLE public.asset_versions ENABLE TRIGGER ALL; + +-- +-- Data for Name: artifacts; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.artifacts DISABLE TRIGGER ALL; + +COPY public.artifacts (artifact_name, asset_version_name, asset_id, last_history_update, created_at) FROM stdin; +\. + + +ALTER TABLE public.artifacts ENABLE TRIGGER ALL; + +-- +-- Data for Name: dependency_vulns; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.dependency_vulns DISABLE TRIGGER ALL; + +COPY public.dependency_vulns (asset_version_name, asset_id, message, state, last_detected, ticket_id, ticket_url, manual_ticket_creation, created_at, updated_at, cve_id, component_purl, component_fixed_version, effort, risk_assessment, raw_risk_assessment, priority, risk_recalculated_at, vulnerability_path, direct_dependency_fixed_version, id) FROM stdin; +\. + + +ALTER TABLE public.dependency_vulns ENABLE TRIGGER ALL; + +-- +-- Data for Name: artifact_dependency_vulns; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.artifact_dependency_vulns DISABLE TRIGGER ALL; + +COPY public.artifact_dependency_vulns (artifact_artifact_name, artifact_asset_version_name, artifact_asset_id, dependency_vuln_id) FROM stdin; +\. + + +ALTER TABLE public.artifact_dependency_vulns ENABLE TRIGGER ALL; + +-- +-- Data for Name: component_projects; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.component_projects DISABLE TRIGGER ALL; + +COPY public.component_projects (project_key, stars_count, forks_count, open_issues_count, homepage, license, description, score_card, score_card_score, updated_at) FROM stdin; +\. + + +ALTER TABLE public.component_projects ENABLE TRIGGER ALL; + +-- +-- Data for Name: components; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.components DISABLE TRIGGER ALL; + +COPY public.components (id, component_type, license, published, project_key) FROM stdin; +DEFAULT library \N \N \N +sbom:DEFAULT library \N \N \N +ROOT \N \N \N +\. + + +ALTER TABLE public.components ENABLE TRIGGER ALL; + +-- +-- Data for Name: license_risks; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.license_risks DISABLE TRIGGER ALL; + +COPY public.license_risks (asset_version_name, asset_id, message, state, last_detected, ticket_id, ticket_url, manual_ticket_creation, created_at, updated_at, deleted_at, final_license_decision, component_purl, id) FROM stdin; +\. + + +ALTER TABLE public.license_risks ENABLE TRIGGER ALL; + +-- +-- Data for Name: artifact_license_risks; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.artifact_license_risks DISABLE TRIGGER ALL; + +COPY public.artifact_license_risks (artifact_artifact_name, artifact_asset_version_name, artifact_asset_id, license_risk_id) FROM stdin; +\. + + +ALTER TABLE public.artifact_license_risks ENABLE TRIGGER ALL; + +-- +-- Data for Name: artifact_risk_history; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.artifact_risk_history DISABLE TRIGGER ALL; + +COPY public.artifact_risk_history (artifact_name, asset_version_name, asset_id, day, low, high, medium, critical, low_cvss, medium_cvss, high_cvss, critical_cvss, sum_open_risk, avg_open_risk, max_open_risk, min_open_risk, sum_closed_risk, avg_closed_risk, max_closed_risk, min_closed_risk, open_dependency_vulns, fixed_dependency_vulns, cve_purl_low, cve_purl_medium, cve_purl_high, cve_purl_critical, cve_purl_low_cvss, cve_purl_medium_cvss, cve_purl_high_cvss, cve_purl_critical_cvss, fixable_low, fixable_medium, fixable_high, fixable_critical, cve_purl_fixable_low, cve_purl_fixable_medium, cve_purl_fixable_high, cve_purl_fixable_critical, fixable_low_cvss, fixable_medium_cvss, fixable_high_cvss, fixable_critical_cvss, cve_purl_fixable_low_cvss, cve_purl_fixable_medium_cvss, cve_purl_fixable_high_cvss, cve_purl_fixable_critical_cvss) FROM stdin; +\. + + +ALTER TABLE public.artifact_risk_history ENABLE TRIGGER ALL; + +-- +-- Data for Name: asset_risk_history; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.asset_risk_history DISABLE TRIGGER ALL; + +COPY public.asset_risk_history (asset_version_name, asset_id, day, sum_open_risk, avg_open_risk, max_open_risk, min_open_risk, sum_closed_risk, avg_closed_risk, max_closed_risk, min_closed_risk, open_dependency_vulns, fixed_dependency_vulns, low, medium, high, critical, low_cvss, medium_cvss, high_cvss, critical_cvss) FROM stdin; +\. + + +ALTER TABLE public.asset_risk_history ENABLE TRIGGER ALL; + +-- +-- Data for Name: attestations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.attestations DISABLE TRIGGER ALL; + +COPY public.attestations (created_at, updated_at, predicate_type, asset_version_name, asset_id, content, artifact_name) FROM stdin; +\. + + +ALTER TABLE public.attestations ENABLE TRIGGER ALL; + +-- +-- Data for Name: casbin_rule; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.casbin_rule DISABLE TRIGGER ALL; + +COPY public.casbin_rule (id, ptype, v0, v1, v2, v3, v4, v5) FROM stdin; +1 g user::c6d18a6c-ae37-484f-b947-8afd27ebed69 role::owner domain::18772d75-1070-4cf7-a40a-48472d7d939a +2 g role::owner role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a +3 g role::admin role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a +4 p role::owner domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::organization act::delete +5 p role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::organization act::update +6 p role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::project act::create +7 p role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::project act::read +8 p role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::project act::update +9 p role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::project act::delete +10 p role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a obj::organization act::read +11 g role::admin project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a +12 g project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a +13 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::user act::create +14 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::user act::delete +15 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::user act::update +16 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::asset act::create +17 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::asset act::delete +18 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::asset act::update +19 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::project act::delete +20 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::project act::update +21 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::project act::read +22 p project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|obj::asset act::read +23 g project::d07c0645-f0f1-4721-8d85-37c3f1c006d3|role::admin asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a +24 g asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a +25 p asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::member domain::18772d75-1070-4cf7-a40a-48472d7d939a asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|obj::asset act::read +26 p asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|obj::asset act::read +27 p asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|obj::asset act::update +28 p asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|obj::asset act::delete +29 g user::c6d18a6c-ae37-484f-b947-8afd27ebed69 asset::2643a4bc-d41b-44a9-8e08-95ad2d5d08a1|role::admin domain::18772d75-1070-4cf7-a40a-48472d7d939a +\. + + +ALTER TABLE public.casbin_rule ENABLE TRIGGER ALL; + +-- +-- Data for Name: compliance_components; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.compliance_components DISABLE TRIGGER ALL; + +COPY public.compliance_components (uuid, title, description) FROM stdin; +fde77b64-1009-52b0-8c2f-d44cb765d35e openCode openCode is Germany's open-source collaboration platform for the public sector, built on GitLab. Public administrations use it to develop, host, and share software following open-source principles, with built-in issue tracking, CI/CD, and role-based project management. +8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard DevGuard is an open-source developer security platform that hardens the software supply chain. It generates SBOMs, runs a dependency firewall, tracks vulnerabilities with triage history, publishes VEX/CSAF advisories, and surfaces compliance dashboards across an organization's projects. +5893a5a9-6627-52a2-b339-7975bb93aee5 container.gov.de The Secure Government Container Initiative (container.gov.de) is a German government program, part of openCode under ZenDiS, that provides hardened, vetted open-source container images for public administration. Images are actively evaluated for vulnerabilities to cut down false-positive CVE noise, and updates are managed systematically across participating organizations. +5af743cb-4393-5daf-aef5-83af49f76b3a Badge-Programm BadgeReport (badges.opencode.de) is an automated verification system for repositories in the openCode Software Catalog. Given a repository URL, it runs automated checks and awards badges across three dimensions - maintenance status, reusability, and security - via a RESTful API, with a detailed explanation of each result. +\. + + +ALTER TABLE public.compliance_components ENABLE TRIGGER ALL; + +-- +-- Data for Name: frameworks_controls; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.frameworks_controls DISABLE TRIGGER ALL; + +COPY public.frameworks_controls (framework_control_id, framework, control_id, title, description, importance, class, additional, parent_framework_control_id, created_at, updated_at, deleted_at) FROM stdin; +Grundschutz++:GC.1.1 Grundschutz++ GC.1.1 Errichtung und Aufrechterhaltung eines ISMS Governance und Compliance MUSS Verfahren und Regelungen zur Errichtung und Aufrechterhaltung eines ISMS nach BSI Grundschutz++ verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Errichtung und Aufrechterhaltung eines ISMS", "definitions": {}}, "guidance": "Diese Anforderung ist der Ausgangs- und Endpunkt für ein Informationssicherheitsmanagementsystem (ISMS). Ein ISMS besteht aus Verfahren (d.h. bestimmten Abläufen, die mit Zuständigkeiten und Ressourcen versehen sind) und Regelungen (also festgelegten Regeln, die von allen Mitarbeitenden und sonstigen Verpflichteten einzuhalten oder technisch umgesetzt sind). Die Anforderung ist erst dann als erfüllt anzusehen, wenn die komplette Vorgehensweise mindestens einmal vollständig durchlaufen wurde. Unter „etabliert“ bzw. „errichtet“ ist hier zu verstehen, dass die Anforderungen an das ISMS standardkonform umgesetzt wurden. Unter \\"aufrechterhalten\\" ist hier zu verstehen, dass die Einhaltung der Anforderungen kontinuierlich überprüft wird und bei Bedarf Gegenmaßnahmen eingeleitet werden. Die bei der Festlegung der Verfahren und Regelungen im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den weiteren Anforderungen dieses Anwenderkataloges.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.2.1 Grundschutz++ GC.2.1 Festlegung des externen Kontextes der Institution Governance und Compliance MUSS ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten externen Rahmenbedingungen verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten externen Rahmenbedingungen", "definitions": {}}, "guidance": "Analysieren und dokumentieren Sie systematisch alle externen Faktoren, die einen Einfluss auf die Informationssicherheitsziele und -strategie der Institution haben. Dazu zählen insbesondere Faktoren, die von außen auf die Institution einwirken wie z.B. gesellschaftliche und kulturelle Faktoren, die die Erwartungen an die Institution prägen; rechtliche und regulatorische Rahmenbedingungen auf nationaler und internationaler Ebene; technologische Entwicklungen und deren Auswirkungen auf die Informationssicherheit; wirtschaftliche Bedingungen im relevanten Marktumfeld und ökologische und physische Umweltbedingungen am Standort der Institution.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Festlegung des Kontextes der Institution", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.2.2 Grundschutz++ GC.2.2 Festlegung des internen Kontextes der Institution Governance und Compliance MUSS ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten internen Rahmenbedingungen verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten internen Rahmenbedingungen", "definitions": {}}, "guidance": "Analysieren und dokumentieren Sie systematisch alle internen Faktoren, die einen Einfluss auf die Informationssicherheitsziele und -strategie der Institution haben. Dazu zählen institutionseigene Faktoren wie z.B. vorhandene Institutionsstrategien, Werte und Institutionsziele; die Institutionsstruktur mit Hierarchien, Abteilungen und Zuständigkeitsbereichen; die in Ihrer Institution etablierte Prozesse und Arbeitsabläufe; vorhandene IT-Infrastruktur und Informationssysteme und die Institutionskultur und Einstellungen zur Sicherheit.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Festlegung des Kontextes der Institution", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.3.1 Grundschutz++ GC.3.1 Analyse der externen interessierten Parteien Governance und Compliance MUSS ein Verfahren zum Ermitteln aller externen interessierten Parteien und ihrer Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zum Ermitteln aller externen interessierten Parteien und ihrer Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution", "definitions": {}}, "guidance": "Alle relevanten externen interessierten Parteien sind ermittelt. Die externen interessierten Parteien umfassen beispielsweise: Gesetzgeber, Aufsichtsbehörden, Kunden, Dienstleister, Gesellschaft/Öffentlichkeit. Die Relevanz und Priorität der identifizierten Anforderungen sind zu bewerten und auf Grundlage dessen ist festzulegen, welche dieser Anforderungen als verbindliche Verpflichtungen in das ISMS aufgenommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Analyse der interessierten Parteien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.3.2 Grundschutz++ GC.3.2 Analyse der internen interessierten Parteien Governance und Compliance MUSS ein Verfahren zum Ermitteln aller internen interessierten Parteien und ihrer Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zum Ermitteln aller internen interessierten Parteien und ihrer Bedürfnisse und Erwartungen an das Informationssicherheitsmanagement der Institution", "definitions": {}}, "guidance": "Alle relevanten externen interessierten Parteien sind ermittelt. Die internen interessierten Parteien umfassen beispielsweise: Geschäftsführung, Mitarbeiter, Führungskräfte, Betriebsrat/Personalrat.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Analyse der interessierten Parteien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:DCH-23.4 SCF DCH-23.4 Removal, Masking, Encryption, Hashing or Replacement of Direct Identifiers Mechanisms exist to remove, mask, encrypt, hash or replace direct identifiers in a dataset. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.4_DCH-23.4_A01", "name": "assessment-objective", "prose": "direct identifiers in a dataset are removed, masked, encrypted, hashed or replaced."}]} \N \N \N \N +Grundschutz++:GC.4.1 Grundschutz++ GC.4.1 Festlegung des Geltungsbereichs Governance und Compliance MUSS den nachvollziehbar abgegrenzten Geltungsbereich nach Freigabe der Institutionsleitung festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den nachvollziehbar abgegrenzten Geltungsbereich", "definitions": {}}, "guidance": "Definieren und dokumentieren Sie den Geltungsbereich Ihres ISMS. Dieser legt den formalen und organisatorischen Umfang (Scope) fest, in dem das ISMS angewendet wird. Legen Sie fest, welche Institutionsbereiche, Geschäftsprozesse und Tätigkeiten formell zum Geltungsbereich gehören und grenzen Sie infrastrukturell ab, welche Standorte und Systeme innerhalb des Geltungsbereichs liegen; welche externen Partner oder Dienstleister in das ISMS einzubeziehen sind und welche Bereiche bewusst nicht Bestandteil des Geltungsbereichs sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Festlegung des Geltungsbereichs", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Freigabe der Institutionsleitung", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.5.1 Grundschutz++ GC.5.1 Vorgehen bei der Infomationssicherheitseinstufung Governance und Compliance MUSS ein Verfahren für die Festlegung von Geschäftsprozessen und die Einstufung des Schutzbedarfs dieser Geschäftsprozesse und den hierbei verarbeiteten Informationen verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren für die Festlegung von Geschäftsprozessen und die Einstufung des Schutzbedarfs", "definitions": {}}, "guidance": "Die Informationssicherheitseinstufung dient der systematischen Identifikation des Schutzbedarfs von Geschäftsprozessen und verarbeiteten Informationen. Hierbei wird zwischen dem Schutzbedarf „normal“ und „hoch“ unterschieden. Der prozessorientierte Ansatz stellt die Verbindung zwischen Geschäftsprozessen und Informationen in den Vordergrund.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Prozess der Informationssicherheitseinstufung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "dieser Geschäftsprozesse und den hierbei verarbeiteten Informationen", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.5.1.1 Grundschutz++ GC.5.1.1 Festlegung der Geschäftsprozesse Governance und Compliance MUSS die Geschäftsprozesse die für den Geltungsbereich relevant sind festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Geschäftsprozesse", "definitions": {}}, "guidance": "Hierbei kann oft auf bestehende Prozesslandkarten und Managementsysteme zurückgegriffen werden. Besteht noch keine Prozessübersicht in der Institution, so können die technischen und organisatorischen Praktiken als Ausgangsvorschlag für relevante Hilfsprozesse herangezogen werden (siehe Prozessschritt 2 - Anforderungsanalyse)", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Prozess der Informationssicherheitseinstufung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die für den Geltungsbereich relevant sind", "definitions": {}}} GC.5.1 \N \N \N +Grundschutz++:GC.5.1.2 Grundschutz++ GC.5.1.2 Festlegung des Schutzbedarfs Governance und Compliance MUSS eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse und Informationsarten unter Berücksichtigung der Geschäftsziele und in Absprache mit der Institutionsleitung festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Einstufung des Schutzbedarfs der relevanten Geschäftsprozesse und Informationsarten", "definitions": {}}, "guidance": "Das Ergebnis der Schutzbedarfsfeststellung ist eine Übersicht des Schutzbedarfs der zu verarbeitenden Informationen, sowie der Relevanz der Geschäftsprozesse. Die Einstufung erfolgt dabei in den Stufen „normal“ oder „hoch“. Die Einstufung richtet sich nach der Bedeutung des Geschäftsprozess für die Geschäftsziele oder den gesetzlichen Auftrag der Institution. Priorität für die weitere Abarbeitung hat zunächst der wichtigste Geschäftsprozess, d.h. derjenige Geschäftsprozess, dessen Informationsschutz für den Fortbestand der Institution von essentieller Bedeutung ist. Die Entscheidung darüber, welcher Geschäftsprozess am wichtigsten ist, obliegt der Institutionsleitung. Droht bei einer Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen in diesem Geschäftsprozess ein existenzbedrohender finanzieller oder existenzbedrohender Reputationsschaden, so ist der Schutzbedarf des Prozesses als hoch einzustufen. Das gleiche gilt, wenn ein Geschäftsprozess oder eine Information, als (VS-)Vertraulich eingestuft wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Prozess der Informationssicherheitseinstufung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schutzbedarfsfeststellung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der Geschäftsziele und in Absprache mit der Institutionsleitung", "definitions": {}}} GC.5.1 \N \N \N +Grundschutz++:GC.5.1.3 Grundschutz++ GC.5.1.3 Geschäftsprozesse mit hohem Schutzbedarf Governance und Compliance MUSS eine dedizierte Risikobetrachtung von Geschäftsprozessen oder Informationsarten mit hohem Schutzbedarf ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine dedizierte Risikobetrachtung von Geschäftsprozessen oder Informationsarten mit hohem Schutzbedarf", "definitions": {}}, "guidance": "In einem separaten Dokument zur Risikobetrachtung werden verbindliche Vorgaben an die Risikomethodik vorgeschrieben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Prozess der Informationssicherheitseinstufung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Risikobewertung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} GC.5.1 \N \N \N +SCF:AAT-04.1 SCF AAT-04.1 AI & Autonomous Technologies Potential Benefits Analysis Mechanisms exist to assess the potential benefits of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-04.1_AAT-04.1_A01", "name": "assessment-objective", "prose": "documented methods exist to viably assess the potential benefits of Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +Grundschutz++:GC.6.1 Grundschutz++ GC.6.1 Festlegung von Zielen für die Informationssicherheit Governance und Compliance MUSS konkrete und messbare Ziele für die Informationssicherheit auf Basis der identifizierten Rahmenbedingungen festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "konkrete und messbare Ziele für die Informationssicherheit", "definitions": {}}, "guidance": "Die Ziele sollten Bezug zu den Geschäftszielen der Institution aufweisen und müssen messbar und konkret sein, z. B.: 98% der aktiven Endgeräte im Netzwerk der Institution verfügen über eine aktuelle Antivirensoftware, deren Signaturdatenbank nicht älter als 24 Stunden ist. Die Ziele sollten die Anforderungen der interessierten Parteien sowie den Kontext berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Entwicklung einer Sicherheitsleitlinie", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationssicherheitsstrategie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Basis der identifizierten Rahmenbedingungen", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.6.1.1 Grundschutz++ GC.6.1.1 Festlegung einer Sicherheitsstrategie Governance und Compliance SOLLTE eine grundlegende Strategie zur Erreichung der Ziele für die Informationssicherheit gemeinsam mit der Institutionsleitung festlegen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine grundlegende Strategie zur Erreichung der Ziele für die Informationssicherheit", "definitions": {}}, "guidance": "Die Sicherheitsstrategie legt fest, wie die Organisation die Ziele erreichen möchte und fokussiert inbesondere den übergeordneten Ansatz und die Prinzipien.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Entwicklung einer Sicherheitsleitlinie", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationssicherheitsstrategie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "gemeinsam mit der Institutionsleitung", "definitions": {}}} GC.6.1 \N \N \N +Grundschutz++:GC.6.1.2 Grundschutz++ GC.6.1.2 Verpflichtung der Institutionsleitung Governance und Compliance MUSS die Verpflichtung der Institutionsleitung formal zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Führungsverantwortung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verpflichtung der Institutionsleitung", "definitions": {}}, "guidance": "Die Verpflichtung der Institutionsleitung beinhaltet die Übernahme der Gesamtverantwortung, die Bestätigung und Überwachung der Informationssicherheitsziele bezüglich der Organisationsziele und die Förderung des ISMS. Die Förderung des ISMS erfolgt durch Beteiligung (z. B. Führungsentscheidungen), Bestätigung der Informationssicherheitsorganisation, Unterstützung der Integration des ISMS, Bereitstellung von Ressourcen (z. B. finanzielle, personelle, technische, infrastrukturelle) und die Unterstützung der kontinuierlichen Verbesserung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Entwicklung einer Sicherheitsleitlinie", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Leitungsentscheidung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "formal", "definitions": {}}} GC.6.1 \N \N \N +Grundschutz++:GC.6.1.3 Grundschutz++ GC.6.1.3 Erstellung einer Sicherheitsleitlinie Governance und Compliance MUSS eine für die Institution passende Sicherheitsleitlinie festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine für die Institution passende Sicherheitsleitlinie", "definitions": {}}, "guidance": "Die Sicherheitsleitlinie ist ein zentrales Dokument, welches an alle Mitarbeitenden kommuniziert werden muss. Sie dient als Orientierung für alle sicherheitsrelevanten Entscheidungen und Aktivitäten und fördern ein gemeinsames Verständnis der Bedeutung und Ausrichtung der Informationssicherheit. Die Leitlinie für Informationssicherheit enthält insbesondere die Gesamtverantwortung und Verpflichtung der Institutionsleitung, Informationssicherheitsziele, eine Informationssicherheitsstrategie, die Benennung der Rollen und Zuständigkeiten sowie die Verpflichtung zur kontinuierlichen Verbesserung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Entwicklung einer Sicherheitsleitlinie", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationssicherheitsleitlinie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} GC.6.1 \N \N \N +Grundschutz++:GC.6.1.4 Grundschutz++ GC.6.1.4 Freigabe der Sicherheitsleitlinie Governance und Compliance MUSS die festgelegte Sicherheitsleitlinie durch die Institutionsleitung autorisieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Führungsverantwortung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die festgelegte Sicherheitsleitlinie", "definitions": {}}, "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Entwicklung einer Sicherheitsleitlinie", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationssicherheitsleitlinie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch die Institutionsleitung", "definitions": {}}} GC.6.1 \N \N \N +Grundschutz++:GC.7.1 Grundschutz++ GC.7.1 Verfahren und Regelungen Governance und Compliance MUSS ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten Rahmenbedingungen verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Sammlung, Integration und Priorisierung aller für das Informationssicherheitsmanagement relevanten Rahmenbedingungen", "definitions": {}}, "guidance": "Das Compliance Management stellt sicher, dass alle gesetzlichen, regulatorischen und vertraglichen Verpflichtungen im Bereich der Informationssicherheit eingehalten werden. Identifizieren, überwachen und bewerten Sie Verpflichtungen, um rechtliche Konsequenzen, finanzielle Verluste oder Reputationsschäden zu vermeiden. Aufgrund der hohen Komplexität des modernen Rechts ist für die Rechtspflege eine eigene Rechtsabteilung oder die Beauftragung von Mitgliedern der rechtsberatenden Berufe zweckmäßig. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Implementierung des Compliance-Managements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:IAC-13.3 SCF IAC-13.3 Continuous Authentication Automated mechanisms exist to enable continuous re-authentication through the lifecycle of entity interactions. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-13.3_IAC-13.3_A01", "name": "assessment-objective", "prose": "technologies are configured to enforce continuous re-authentication through the lifecycle of entity interactions."}]} \N \N \N \N +Grundschutz++:GC.7.1.1 Grundschutz++ GC.7.1.1 Gesetzliche Verpflichtungen Governance und Compliance SOLLTE die Analyse der gesetzlichen Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, ausführen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management, Inventories", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Analyse der gesetzlichen Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen,", "definitions": {}}, "guidance": "Gesetzliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, sind dokumentiert. Gesetzliche Verpflichtungen meint alle Pflichten, die sich unmittelbar aus dem Recht ergeben, inklusive des Verfassungsrechts, Europarechts und Verordnungen. Relevante gesetzliche Verpflichtungen können sich je nach Institution z. B. aus Grundrechten, Cyber Resilience Act, Data Act, Data Markets Act, NIS, DSGVO, BDSG, TKG, TDDDG oder GeschGehG ergeben. Beachten Sie dabei auch Verpflichtungen, die sich mittelbar auswirken wie die Arbeitsstättenverordnung oder allgemeine Regelungen zur Fürsorgepflicht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Implementierung des Compliance-Managements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} GC.7.1 \N \N \N +Grundschutz++:GC.7.1.2 Grundschutz++ GC.7.1.2 Anhörung zuständiger Stellen Governance und Compliance SOLLTE für die Einhaltung gesetzlicher Verpflichtungen in der Informationsverarbeitung zuständige Stellen in der Institution anhören. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Einhaltung gesetzlicher Verpflichtungen in der Informationsverarbeitung zuständige Stellen in der Institution", "definitions": {}}, "guidance": "Für die Einhaltung gesetzlicher Verpflichtungen in der Informationsverarbeitung zuständige Stellen in der Institution wurden bei der Dokumentation der Compliance-Verpflichtungen angehört. Hierunter können z. B. Rechtsabteilung, Datenschutzbeauftragte, Brandschutzbeauftragte oder Fachverantwortliche bei branchenspezifischen Vorschriften fallen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Implementierung des Compliance-Managements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anhören", "definitions": {}}} GC.7.1 \N \N \N +Grundschutz++:GC.7.1.3 Grundschutz++ GC.7.1.3 Vertragliche Verpflichtungen Governance und Compliance SOLLTE die Zusammenstellung vertraglicher Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zusammenstellung vertraglicher Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen,", "definitions": {}}, "guidance": "Vertragliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen, sind dokumentiert. Vertragliche Verpflichtungen meint alle Pflichten, die sich aus rechtlich bindenden Vereinbarungen ergeben, unabhängig davon, ob diese als Vertrag bezeichnet werden oder nicht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Implementierung des Compliance-Managements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} GC.7.1 \N \N \N +Grundschutz++:GC.7.1.4 Grundschutz++ GC.7.1.4 Prävention von Verstößen Governance und Compliance SOLLTE Verfahren zur Prävention gegen Verstöße verankern. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren zur Prävention gegen Verstöße", "definitions": {}}, "guidance": "Verfahren können z. B. zielgruppengerechte Schulungen der für die Umsetzung und Einhaltung zuständigen Personen, die Berücksichtigung der Compliance-Verpflichtungen bei Freigabe- und Testprozessen sowie die Förderung einer konstruktiven Fehlerkultur sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Implementierung des Compliance-Managements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} GC.7.1 \N \N \N +Grundschutz++:GC.8.1 Grundschutz++ GC.8.1 Verfahren zur Ressourcenplanung Governance und Compliance MUSS ein Verfahren zur kontinuierlichen, wirtschaftlichen Planung von Ressourcen für das ISMS verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur kontinuierlichen, wirtschaftlichen Planung von Ressourcen für das ISMS", "definitions": {}}, "guidance": "Die Ressourcenplanung berücksichtigt die personellen, finanziellen und materiellen bzw. technischen Ressourcen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.8.1.1 Grundschutz++ GC.8.1.1 Festlegung von Rollen und Zuständigkeiten Governance und Compliance MUSS die Rollen und Zuständigkeiten im Rahmen des ISMS inklusive ihrer Kompetenzen bzw. Befugnisse zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Rollen und Zuständigkeiten im Rahmen des ISMS", "definitions": {}}, "guidance": "Im Rahmen des ISMS sind die Rollen hinsichtlich der Aufgaben, der dafür notwendigen Qualifikation und der notwendigen Befugnisse festgelegt. Eine zentrale Rolle wäre beispielsweise der \\"Informationssicherheitsbeauftragte\\" (ISB).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Tätigkeits- & Rollenbeschreibung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "inklusive ihrer Kompetenzen bzw. Befugnisse", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.8.1.1.1 Grundschutz++ GC.8.1.1.1 Informationssicherheitsbeauftragter Governance und Compliance MUSS die Rolle des Informationssicherheitsbeauftragten einer unabhängigen Person , welche unmittelbar der Institutionsleitung unterstellt ist, zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Rolle des Informationssicherheitsbeauftragten {{einer unabhängigen Person}}", "definitions": {}}, "guidance": "Informationssicherheit liegt in der Verantwortung der Institutionsleitung. Die operative Aufgabe „Informationssicherheit“ wird an einen Informationssicherheitsbeauftragten (ISB) delegiert, der diese Aufgabe innerhalb der Institution koordiniert und vorantreibt. Daher ist diese Rolle in jeder Institution (unabhängig von Art und Größe) zu besetzen. Je nach Art und Ausrichtung der Institution wird der ISB anders genannt. Häufige Titel sind neben dem Informationssicherheitsbeauftragten, Chief Information Security Officer (CISO) oder Informationssicherheitsmanager (ISM). Die Hauptaufgabe des ISB besteht darin, die Institutionsleitung bei deren Aufgabenwahrnehmung bezüglich der Informationssicherheit zu beraten und diese bei der Umsetzung zu unterstützen. Zu den ISB-Aufgaben gehört es u.a., den Sicherheitsprozess operativ zu steuern und zu koordinieren, die Institutionsleitung bei der Erstellung der Sicherheitsleitlinie zu unterstützen, die Erstellung des Sicherheitskonzepts und zugehöriger Teilkonzepte und Richtlinien zu koordinieren, den Umsetzungsplan für Sicherheitsmaßnahmen anzufertigen, sowie ihre Umsetzung zu initiieren und zu überprüfen, der Institutionsleitung und anderen Sicherheitsverantwortlichen über den Status der Informationssicherheit zu berichten, sicherheitsrelevante Projekte zu koordinieren, sicherheitsrelevante Vorfälle zu untersuchen, sowie Sensibilisierungen und Schulungen zur Informationssicherheit zu initiieren und zu koordinieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Sicherheitsorganisation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": ", welche unmittelbar der Institutionsleitung unterstellt ist,", "definitions": {}}} GC.8.1.1 \N \N \N +Grundschutz++:GC.8.1.1.1.1 Grundschutz++ GC.8.1.1.1.1 Vorspracherecht des Informationssicherheitsbeauftragten Governance und Compliance MUSS das direkte Vorspracherecht des ISB bei der Institutionsleitung verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das direkte Vorspracherecht des ISB bei der Institutionsleitung", "definitions": {}}, "guidance": "Das Vorspracherecht trägt dazu bei, dass die Institutionsleitung ein vollständiges und unverfälschtes Bild über den Stand der Informationssicherheit erhält. Ohne dieses direkte Vorsprachrecht kann es passieren, dass andere Organisationseinheiten sicherheitsrelevante Informationen in der Weitergabe beeinflussen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Tätigkeits- & Rollenbeschreibung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} GC.8.1.1.1 \N \N \N +Grundschutz++:GC.8.1.2 Grundschutz++ GC.8.1.2 Stellvertreterregelungen Governance und Compliance MUSS Stellvertreterregelungen für alle relevanten Rollen und Zuständigkeiten im ISMS zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Stellvertreterregelungen für alle relevanten Rollen und Zuständigkeiten im ISMS", "definitions": {}}, "guidance": "Eine kontinuierliche Handlungsunfähigkeit der Sicherheitsorganisation kann nur mit Stellvertreterregelungen für alle relevanten Rollen gewährleistet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.8.1.3 Grundschutz++ GC.8.1.3 Vermeidung von Interessenkonflikten Governance und Compliance MUSS Maßnahmen zur Vermeidung von Interessenkonflikten bei der Festlegung von Rollen und Zuständigkeiten des ISMS festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Maßnahmen zur Vermeidung von Interessenkonflikten bei der Festlegung von Rollen und Zuständigkeiten des ISMS", "definitions": {}}, "guidance": "Für die Vermeidung von Interessenkonflikten wird insbesondere die Zuordnung konkurrierender Rollen (bspw. ausführender und prüfender oder freigebender Rollen) vermieden. Dies erfolgt beispielsweise durch eine entsprechende Etablierung von Rollen in der Aufbauorganisation (z. B. Informationssicherheitsbeauftragter als Stabtelle). Es können aber auch weitere Maßnahmen (z. B. Vier-Augen-Prinzip) genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.8.1.4 Grundschutz++ GC.8.1.4 Festlegung einer Sicherheitsorganisation Governance und Compliance MUSS die Sicherheitsorganisation für das ISMS mit den festgelegten Rollen, Zuständigkeiten sowie Gremien festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Sicherheitsorganisation für das ISMS", "definitions": {}}, "guidance": "Ziel der Sicherheitsorganisation ist es, die relevanten Bereiche eines ISMS sowie die relevanten Schnittstellen zu anderen Bereichen (z. B. Datenschutz, physische Sicherheit, Geheimschutz oder Arbeitsschutz) vollständig und wirksam in der Institution zu verankern. Die Sicherheitsorganisation sollte in einem Organigramm oder einer ähnlichen Darstellung zu dokumentiert und abgebildet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Sicherheitsorganisation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit den festgelegten Rollen, Zuständigkeiten sowie Gremien", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.8.1.5 Grundschutz++ GC.8.1.5 Sicherstellung der Qualifikation Governance und Compliance MUSS für jeden Rollen- und Verantwortungsträger die erforderlichen Anforderungen und Fähigkeiten festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jeden Rollen- und Verantwortungsträger die erforderlichen Anforderungen und Fähigkeiten", "definitions": {}}, "guidance": "Für jeden Rollen- und Verantwortungsträger sind die Anforderungen und Fähigkeiten festgelegt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Tätigkeits- & Rollenbeschreibung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.8.1.6 Grundschutz++ GC.8.1.6 Ressourcen für den Informationssicherheitsbeauftragten Governance und Compliance MUSS dem Informationssicherheitsbeauftragten hinreichende Ressourcen zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dem Informationssicherheitsbeauftragten {{hinreichende}} Ressourcen", "definitions": {}}, "guidance": "Zu den Aufgaben des ISB gehören beispielsweise die Beratung der Institutionsleitung zur Informationssicherheit, die Koordinierung der Erstellung von Richtlinien und Sicherheitskonzepten und die Untersuchung von Sicherheitsvorfällen. Ohne ausreichende Ressourcen, können diese Aufgaben nicht wirksam und nachhaltig wahrgenommen werden, was zu Sicherheitsrisiken führen kann. In kleinen Institutionen kann die Funktion des ISB auch von einem qualifizierten Mitarbeiter neben anderen Aufgaben wahrgenommen werden. Maßgeblich ist, dass dem ISB ausreichend Zeit für seine Aufgaben zugebilligt wird und er in keinem Interessenskonflikt mit anderen Aufgaben steht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Sicherheitsorganisation und Rollen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} GC.8.1 \N \N \N +Grundschutz++:GC.9.1 Grundschutz++ GC.9.1 Festlegung eines Verfahrens zum Kommunikationsmanagement Governance und Compliance MUSS ein Verfahren zum Kommunikationsmanagement hinsichtlich der internen und externen Kommunikation verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zum Kommunikationsmanagement", "definitions": {}}, "guidance": "Für die relevante Kommunikation im Rahmen eines ISMS sind die Eckpunkte (wer, wann, mit wem, wie) festgelegt. Dies beinhaltet ebenfalls die Identifikation der relevanten Behörden und der relevanten Kontakte sowie die Festlegung von Zuständigkeiten für die Kommunikation.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Dokumentation und Kommunikation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übersicht der Kommunikationspartner", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "hinsichtlich der internen und externen Kommunikation", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.9.1.1 Grundschutz++ GC.9.1.1 Externer Austausch zur Informationssicherheit Governance und Compliance SOLLTE einen externen Austausch zur Informationssicherheit ausführen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen externen Austausch zur Informationssicherheit", "definitions": {}}, "guidance": "Um auch andere Perspektiven wahrzunehmen und Eindrücke zu erhalten, findet ein externer Austausch statt. Hierzu können beispielsweise Branchenverbände, Fachforen oder andere Einrichtungen genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Governance und Compliance / Dokumentation und Kommunikation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} GC.9.1 \N \N \N +Grundschutz++:GC.9.1.2 Grundschutz++ GC.9.1.2 Kommunikation im Projektmanagement Governance und Compliance MUSS bei sicherheitsrelevanten Projekten die Beteiligung der relevanten Sicherheitsorgane zu festgelegten Zeitpunkten im Projektverlauf verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei sicherheitsrelevanten Projekten die Beteiligung {{der relevanten Sicherheitsorgane}}", "definitions": {}}, "guidance": "Bei allen Projekten, die Auswirkungen auf die Informationsverarbeitung haben, ist eine frühzeitige Beteiligung des ISB (und ggfs. weiterer sicherheitsrelevanter Organe) von wesentlicher Bedeutung. Beispiele für sicherheitsrelevante Projekte sind die Einführung eines neuen IT-Systems oder einer neuen Software. Beispiele für geeignete Zeitpunkte der Beteiligung sind etwa während der Beschaffung oder vor der Produktivsetzung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Dokumentation und Kommunikation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zu festgelegten Zeitpunkten im Projektverlauf", "definitions": {}}} GC.9.1 \N \N \N +SCF:AAT-29.20 SCF AAT-29.20 Transparency & Audit Mechanisms exist to provide comprehensive audit trails of AI agent actions including:\r\n(1) Rationales; and \r\n(2) User/trigger mappings. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.20_AAT-29.20_A01", "name": "assessment-objective", "prose": "comprehensive audit trails of AI agent actions provide rationales."}, {"id": "AAT-29.20_AAT-29.20_A02", "name": "assessment-objective", "prose": "comprehensive audit trails of AI agent actions provide user/trigger mappings."}]} \N \N \N \N +Grundschutz++:GC.9.1.3 Grundschutz++ GC.9.1.3 Dokumentenlenkung Governance und Compliance MUSS ein Verfahren zur Lenkung der Dokumente im Rahmen des ISMS über den kompletten Lebenszyklus von Dokumenten verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Lenkung der Dokumente im Rahmen des ISMS", "definitions": {}}, "guidance": "Ziel eines Verfahrens zur Dokumentenlenkung ist die Sicherstellung der Nachvollziehbarkeit von Dokumenten. Das Verfahren stellt hierbei die Nachvollziehbarkeit über den gesamten Lebenszyklus des Dokuments sicher. Dies beinhaltet die Erstellung bzw. Übernahme (z. B. aus \\"Alt-Dokumenten\\" oder externen Dokumenten) der Dokumente mit Titel, Autor, Dokumenteneigentümer, Sicherheitsklassifikation, Erstelldatum sowie einheitlicher Formate. Des Weiteren beinhaltet dies die Steuerung mit einem Änderungsmanagement (Versionierung), einer einheitlichen Veröffentlichung, einer angemessen geschützten Ablage und ggf. auch Archivierung sowie einer Rücknahme.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Dokumentation und Kommunikation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Richtlinie zur Lenkung von Dokumenten und Aufzeichnungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "über den kompletten Lebenszyklus von Dokumenten", "definitions": {}}} GC.9.1 \N \N \N +Grundschutz++:GC.10.1 Grundschutz++ GC.10.1 Festlegung von Vorgehensweisen Governance und Compliance MUSS die Verfahren des ISMS sowie die Zuständigkeiten festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren des ISMS sowie die Zuständigkeiten", "definitions": {}}, "guidance": "Der Umfang der Dokumentation der Verfahren ist der Größe und Komplexität der Institution angemessen. Die Verfahren beinhalten insbesondere die Risikobetrachtung, die Etablierung von Änderungen im ISMS, die Dokumentenlenkung, die Leistungsbewertung und Auditierung, kontinuierliche Verbesserung sowie reaktive Verfahren (Sicherheitsvorfallbehandlung, Notfallmanagement). In kleineren Institutionen kann dies beispielsweise in einem Dokument erfolgen. In größeren Institutionen kann die Etablierung von Prozessen hierfür erforderlich sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Festlegung und Freigabe der Vorgehensweise", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "ISMS-Regelwerk", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.10.2 Grundschutz++ GC.10.2 Freigabe von Vorgehensweisen Governance und Compliance MUSS die Verfahren für das ISMS durch die Institutionsleitung autorisieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren für das ISMS", "definitions": {}}, "guidance": "Die Freigabe des Prozesses der ISMS-Verfahren erfolgt durch die Institutionsleitung. Diese Freigabe sollte dokumentiert werden, um Verbindlichkeit und Nachvollziehbarkeit sicherzustellen. Beispielsweise kann diese Freigabe durch die Vorlage eines Managementberichts eingeholt werden", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Festlegung und Freigabe der Vorgehensweise", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch die Institutionsleitung", "definitions": {}}} \N \N \N \N +Grundschutz++:GC.11.1 Grundschutz++ GC.11.1 Methodik für das Risikomanagement Governance und Compliance MUSS eine einheitliche Methodik für das Informationssicherheitsrisikomanagement auf Basis des Kontextes der Institution und der Anforderungen interessierter Parteien sowie der daraus hergeleiteten Risikoziele verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine einheitliche Methodik für das Informationssicherheitsrisikomanagement", "definitions": {}}, "guidance": "Das Risikomanagement stellt sicher, dass Risiken systematisch identifiziert, eingeschätzt, bewertet und behandelt werden. Die Festlegung einheitlicher Kriterien für, Risikoeinschätzung, Risikobewertung und Risikobehandlung, sowie die Rolle des Risikoeigentümers sorgen für Transparenz und Verbindlichkeit. Die Risikomanagementmethodik kann frei gewählt werden. In einem separaten Dokument zur Risikobetrachtung werden verbindliche Vorgaben an die Risikomethodik vorgeschrieben. Die Vorgaben sind entsprechend gängiger Risikomanagement-Prozesse strukturiert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Governance und Compliance / Initiierung des Risikomanagements", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Risikobewertung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Basis des Kontextes der Institution und der Anforderungen interessierter Parteien sowie der daraus hergeleiteten Risikoziele", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.1.1 Grundschutz++ STM.1.1 Definition und Abgrenzung des Informationsverbunds Strukturmodellierung MUSS den nachvollziehbar abgegrenzten Informationsverbund auf Basis des Geltungsbereichs festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den nachvollziehbar abgegrenzten Informationsverbund", "definitions": {}}, "guidance": "Definieren und dokumentieren Sie den Informationsverbund. Dieser bildet den Geltungsbereich inhaltlich-technisch ab und umfasst die informationsverarbeitenden Systeme, Prozesse und Komponenten, die innerhalb des festgelegten Geltungsbereichs betrachtet werden. Dokumentieren Sie, welche Institutionsbereiche, Rollen und Personen zum Informationsverbund gehören für die organisatorische Abgrenzung. Grenzen Sie zusätzlich aus technischer Perspektive ab, welche Anwendungen, Systeme und Netze Bestandteil Ihres Informationsverbundes sind. Dokumentieren Sie weiterhin, welche Betriebsanteile an externe Parteien outgessourced - bsw. welche Cloud-Dienste genutzt - werden. In der Praxis kann es in einem Geltungsbereich auch mehrere Informationsverbünde geben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Definition und Abgrenzung des Informationsverbunds", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationsverbund", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Basis des Geltungsbereichs", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.1.2 Grundschutz++ STM.1.2 Dokumentation der externen Schnittstellen Strukturmodellierung MUSS Schnittstellen des Informationsverbunds zu externen Prozessen festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schnittstellen des Informationsverbunds", "definitions": {}}, "guidance": "Im Informationsverbund sind die organisatorischen, technischen und infrastrukturellen Schnittstellen dargestellt. Für eine eindeutige Abgrenzung sind im Informationsverbund die Schnittstellen definiert. Wie bei der Beschreibung des Informationsverbunds selbst, sind auch hier organisatorische, technische sowie infrastrukturelle Schnittstellen berücksichtigt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Definition und Abgrenzung des Informationsverbunds", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Informationsverbund", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zu externen Prozessen", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.2.1 Grundschutz++ STM.2.1 Erstellung eines Anforderungspakets Strukturmodellierung MUSS in ein zu erstellendes Anforderungspaket alle Anforderungen die für den berachteten Informationsverbund relevant sind platzieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "in ein zu erstellendes Anforderungspaket alle Anforderungen", "definitions": {}}, "guidance": "Das Anforderungspaket enthält alle Anforderungen, die für den betrachteten Informationsverbund und den priorisierten Geschäftsprozesse relevant sind sowie wenn erforderlich zusätzlichen Anforderungen. Diese Anforderung dient der grundsätzlichen Vorgabe ein Anforderungspaket zu erstellen. Weitere Details sind den folgenden Anforderungen dieser Praktik zu entnehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Erstellung eines Anforderungspakets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die für den berachteten Informationsverbund relevant sind", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.3.1 Grundschutz++ STM.3.1 ISMS-Anforderungen des Informationsverbundes Strukturmodellierung MUSS alle Anforderungen der ISMS-Praktiken modelliert auf den vorliegenden Informationsverbund platzieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle Anforderungen der ISMS-Praktiken", "definitions": {}}, "guidance": "Neben den zielobjektgebundenen Anforderungen enthält das Kompendium-GS++ auch Anforderungen ohne explizite Zielobjektzuordnung. Diese werden im Anforderungspaket ergänzend berücksichtigt. Für die Anforderungen der ISMS-Praktiken (GC, STM, PERF, VRB, UMS) gilt dabei Folgendes: Die Anforderungen der ISMS-Praktiken sind übergreifend und keinem einzelnen Zielobjekt zugewiesen. Sie bauen den PDCA-Zyklus des Managementsystems auf und gelten deshalb einmalig für den gesamten Informationsverbund. Alle Anforderungen der ISMS-Praktiken werden ohne weitere Selektion auf den Informationsverbund modelliert. Sie werden als „verbundweite Anforderungen“ im Anforderungspaket geführt, da sie Governance-, Steuerungs-, Kontroll- und Verbesserungsprozesse definieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / ISMS-Anforderungen des Informationsverbundes", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "modelliert auf den vorliegenden Informationsverbund", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.4.1 Grundschutz++ STM.4.1 Erfassung relevanter Assets Strukturmodellierung MUSS alle relevanten Assets für die betrachteten Geschäftsprozesse modelliert auf den vorliegenden Informationsverbund festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle relevanten Assets für die betrachteten Geschäftsprozesse", "definitions": {}}, "guidance": "Die Asset-Modellierung ist der zentrale Schritt, um den zuvor festgelegten Informationsverbund strukturiert und nachvollziehbar in sicherheitsrelevante Bestandteile zu zerlegen. Ziel ist es, die für den betrachteten Geschäftsprozess relevanten Assets zu identifizieren, zu dokumentieren und so zu modellieren, dass daraus automatisiert oder manuell passende Anforderungen abgeleitet werden können. Assets sind dabei alle materiellen oder immateriellen Werte, die zur Aufgabenerfüllung und zur Erreichung der Geschäftsziele benötigt werden. Die Asset-Modellierung fokussiert auf jene Assets, die im Rahmen der priorisierten Geschäftsprozesse Informationen verarbeiten, speichern, übertragen oder deren Schutz unterstützen. Relevante Assets können insbesondere Informationswerte, Systeme und Anwendungen (System Assets), Netz- und Kommunikationskomponenten,\\tinfrastrukturelle und physische Assets sowie personelle und organisatorische Assets sein", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Asset-Modellierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "modelliert auf den vorliegenden Informationsverbund", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.4.2 Grundschutz++ STM.4.2 Dokumentation relevanter Assets Strukturmodellierung MUSS alle Assets mit Relevanz für die betrachteten Geschäftsprozesse dokumentieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle Assets mit Relevanz für die betrachteten Geschäftsprozesse", "definitions": {}}, "guidance": "Für die Dokumentation kann auf vorhandene Assetdaten/-register und digitale erfasste Systemdaten zurückgegriffen werden. Für jedes Asset sollten die eindeutige Bezeichnung/ID, eiine kurze Beschreibung des Assets und seines Zwecks, die Zuordnung zu Geschäftsprozessen, der/ die verantwortliche Rolle bzw. Asset-Owner und letztlich ggf. der Standort bzw. logische Einordnung (Netz, Anwendungskontext etc.) sowie vorhandene Abhängigkeiten zu anderen Assets dokumentiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Asset-Modellierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.4.3 Grundschutz++ STM.4.3 Mapping des Assets auf die Zielobjektkategorien Strukturmodellierung MUSS allen relevanten Assets passende Zielobjektkategorien zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "allen relevanten Assets passende Zielobjektkategorien", "definitions": {}}, "guidance": "Zielobjektkategorien sind Teile des Informationsverbunds, denen im Rahmen der Modellierung Anforderungen zugeordnet werden können. Zielobjekt können dabei physische und logische Objekte sein. Durch das Mapping werden Assets damit in die Systematik des GS++ überführt. Die Zuordnung erfolgt anhand der Definitionen der Zielobjektkategorien. Für jedes Asset ist zu prüfen, welche Kategorie(n) seine Funktion und seinen Einsatz im Geschäftsprozess am besten abbilden. Ergebnis dieses Schritts ist eine Zielobjekt-Liste je Asset, welche die Grundlage für die spätere Ableitung der Anforderungen bildet.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Asset-Modellierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.5.1 Grundschutz++ STM.5.1 Modellierung der Anforderungen mit Zielobjekt Strukturmodellierung MUSS die Modellierung der Anforderung aus den Zielobjektkategorien auf die zugeordeten Assets ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Modellierung der Anforderung aus den Zielobjektkategorien auf die zugeordeten Assets", "definitions": {}}, "guidance": "Nun werden die Anforderungen aus dem GS++ auf die identifizierten Zielobjekte modelliert. Gemäß dem Schutzbedarf der Institution für den Geschäftsprozess, werden die Anforderungen für eine entsprechendes Sicherheitsniveau gewählt. Die modellierten Anforderungen bilden das individuelle Anforderungspaket des festgelegten Informationsverbund in Bezug auf den ausgewählten Geschäftsprozess.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsmodellierung auf die Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.5.2 Grundschutz++ STM.5.2 Vererbung von Zielobjektkategorien Strukturmodellierung MUSS die Ergänzung der zuvor zugeordneten Zielobjektkategorien um diejenigen Kategorien die in der Zielobjekthierarchie übergeordnet sind ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergänzung der zuvor zugeordneten Zielobjektkategorien um diejenigen Kategorien", "definitions": {}}, "guidance": "Anforderungen werden einmalig für die passende Zielobjektkategorie definiert und dann auf alle nachgeordneten Kategorien vererbt. Durch die Vererbung wird es einfacher, den Umsetzungsstand und das Sicherheitsniveau über verschiedene Systeme und Anwendungen hinweg zu erfassen und zu vergleichen. Eine automatisierte Verarbeitung der Vererbungshierarchie kann auch der Umsetzungsaufwand in vielen Fällen erheblich reduzieren, ohne dass Themen außen vor bleiben. Die Vererbung erfolgt entlang der Zielobjekthierarchie: Für jedes zugeordnete Zielobjekt werden alle Elternknoten bis zur Wurzel einbezogen. Die Vererbung ist deterministisch, da die Zielobjekthierarchie fest definiert ist. Eine Automatisierung der Vererbung ist möglich und empfohlen, wenn die Hierarchie maschinenlesbar vorliegt. Beachten Sie, dass die Vererbung dazu führen kann, dass sich Zielobjektkategorien mehrfach ergeben; diese sind konsolidiert zu betrachten, um redundante Anforderungen zu vermeiden. Ergebnis dieses Schritts ist eine vollständige Liste der Zielobjektkategorie je Asset, bestehend aus direkt zugeordneten Zielobjektkategorien und vererbten übergeordneten Zielobjektkategorien. Dieses Set bildet die Grundlage für die Anforderungskonsolidierung und -ergänzung um die Anforderungen ohne Zielobjektkategorie.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsmodellierung auf die Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die in der Zielobjekthierarchie übergeordnet sind", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.5.3 Grundschutz++ STM.5.3 Konsolidierung und Redundanzprüfung Strukturmodellierung MUSS eine Konsolidierung und Redundanzprüfung des Anforderungspakets ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Konsolidierung und Redundanzprüfung des Anforderungspakets", "definitions": {}}, "guidance": "Wenn Anforderungen durch mehrere vererbte Zielobjekte identisch auf ein Asset wirken, werden sie nur einmal geführt. So bleibt das Anforderungspaket schlank und umsetzbar. Ergebnis ist pro Asset ein vollständiger Satz an Anforderungen, der alle organisatorischen, technischen, personellen und infrastrukturellen Vorgaben enthält, die zur Erreichung des Sicherheitsniveaus erforderlich sind. Diese Anforderungen ergänzen das Anforderungspaket.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsmodellierung auf die Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.5.4 Grundschutz++ STM.5.4 Modellierung der Anforderungen ohne Zielobjektkategorie Strukturmodellierung MUSS die Modellierung aller weiteren Anforderungen denen kein Zielobjektkategorie zugeordnet ist ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Modellierung aller weiteren Anforderungen", "definitions": {}}, "guidance": "Für jede zielobjektlose Anforderung in den vorliegenden Geschäftsprozessen ist eine Relevanzentscheidung vorzunehmen. Für jede Anforderung ohne Zielobjekt wird entschieden, ob sie für den Geschäftsprozess bzw. die zugehörigen Assets erforderlich ist. Maßstab ist hier wiederum das Sicherheitsniveau sowie die konkrete Nutzung für den Geschäftsprozess. Daraufhin erfolgt eine Zuordnung auf die betroffenenen Geschäftsprozesse: Hierbei werden diese Anforderungen auch federführend zuständigen Personen oder Rollen (sog. Prozess-Owner) zugewiesen. Für die vorliegenden Geschäftsprozesse nicht relevante Anforderungen werden aus dem Anforderungspaket gestrichen, was mit einer Begründung, zu dokumentieren ist, um Nachvollziehbarkeit bei einem späteren Audit bzw. Zertifizierung zu sichern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsmodellierung auf die Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "denen kein Zielobjektkategorie zugeordnet ist", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.3.1 Grundschutz++ SENS.3.1 Schadprogramme Sensibilisierung für Nutzende SOLLTE gegen die Risiken von Schadprogrammen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Risiken von Schadprogrammen", "definitions": {}}, "guidance": "Viele Dateitypen, wie z. B. Office-Dateien mit Makros, Adobe PDF, .exe, .ps1, oder .vbs, können Schadcode enthalten, der bei Ausführung die Kontrolle über das System übernimmt und Angreifern zur weiteren Ausbreitung im Informationsverbund dient.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Schutz vor Schadprogrammen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.6.1 Grundschutz++ STM.6.1 Auf Grund anforderungsloser Assets Strukturmodellierung MUSS die Ergänzung des Anforderungspakets um Anforderungen für die es keine passenden Anforderungen gibt ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergänzung des Anforderungspakets um Anforderungen", "definitions": {}}, "guidance": "Falls es für Assets oder Themen im GS++ derzeit noch keine Anforderungen gibt, können diese von der Institution erstellt werden. Die Anforderungsmodellierung für Assets ohne Anforderungen umfasst folgende Schritte: Zuerst erfolgt die Identifikation und Dokumentation von Assets, für die es keine Anforderungen im Anforderungskatalog-GS++ gibt. Daraufhin ist nachvollziehbar zu begründen, warum die Anforderungen aus dem Anforderungskatalog-GS++ nicht ausreichen. Dann erfolgt die Erstellung von neuen Anforderungen in Bezug auf die Schutzziele (Vertraulichkeit, Integrität und Verfügbarkeit), für diese Assets. Zuletzt wird das Anforderungspaket um die neuen Anforderungen erweitert. Die Ergebnisse dieser Anforderungsmodellierung sind individuelle und bedarfsgerechte Anforderungen für Assets, für die der Grundschutz++ keine Anforderungen enthält. Diese werden als fester Bestandteil in das Anforderungspaket integriert. Es muss eine Risikobetrachtung in Bezug auf diese neuen Anforderungen durchgeführt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsergänzung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für die es keine passenden Anforderungen gibt", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.6.2 Grundschutz++ STM.6.2 Auf Grund externer Verpflichtungen Strukturmodellierung MUSS die Ergänzung des Anforderungspakets um Anforderungen für Assets die sich aus dem individuellen Compliance-Umfeld der Institution ergeben ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergänzung des Anforderungspakets um Anforderungen für Assets", "definitions": {}}, "guidance": "Dieser Schritt ergänzt das Anforderungspaket, um Anforderungen, die sich aus dem individuellen Compliance-Umfeld der Institution ergeben. Die Integration von externen Compliance-Verpflichtungen stellt sicher, dass alle relevanten gesetzlichen und vertraglichen Pflichten berücksichtigt werden, die erfasst wurden. Hier zu zählen z.B. gesetzliche Verpflichtungen, welche die Verarbeitung von Informationen durch die Institution betreffen oder auch vertragliche Verpflichtungen mit Relevanz für die Informationsverarbeitung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Anforderungsergänzung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die sich aus dem individuellen Compliance-Umfeld der Institution ergeben", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.7.1 Grundschutz++ STM.7.1 Überprüfung des gesetzten Sicherheitsniveaus Strukturmodellierung MUSS die initiale Einstufung der Sicherheitsniveaus der Anforderungen im Anforderungspaket überprüfen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die initiale Einstufung der Sicherheitsniveaus", "definitions": {}}, "guidance": "Durch die Durchführung dieses Prozessschrittes der Anforderungsanalyse für alle Geschäftsprozesse mit normalem Schutzbedarf und somit ohne zusätzlich Risikobetrachtung, erfolgt eine Modellierung der Anforderungen mit einem initialen Sicherheitsniveaus. In diesem Teilschritt der Anforderungsanalyse ist es möglich die initiale Einstellung des Sicherheitsniveaus zu überprüfen und bei Bedarf, auch bei einzelnen Assets, zu ändern. Sollte eine Erhöhung des Sicherheitsniveaus (von ‚normal (SdT)‘ auf ‚erhöht‘) erfolgen so hat dies lediglich Auswirkungen auf die Reihenfolge bei der Umsetzung der Anforderungen. Sollte hingegen eine Verringerung des initialen Sicherheitsniveaus (von ‚erhöht‘ aus ‚normal (SdT)‘) erfolgen, so ist dies mit einer Risikobetrachtung, wie im folgenden Kapitel beschrieben, zu begründen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Überprüfung des gesetzten Sicherheitsniveaus", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der Anforderungen im Anforderungspaket", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.8.1 Grundschutz++ STM.8.1 Risikobetrachtung bei fehlenden Anforderungen Strukturmodellierung MUSS eine Risikobetrachtung für die Assets, für die keine einschlägigen Anforderungen identifiziert werden konnten, oder die einen hohen Schutzbedarf haben ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Risikobetrachtung für die Assets, für die keine einschlägigen Anforderungen identifiziert werden konnten,", "definitions": {}}, "guidance": "Es kann Assets geben, die durch die Anforderungen nicht oder nicht vollständig abgebildet bzw. abgesichert werden. Diese sind zu dokumentieren, da für diese eine Risikobetrachtung durchzuführen ist. Im Rahmen dieser Risikobetrachtung werden dann eigene Anforderungen bzw. Maßnahmen identifiziert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Durchführung der Risikobetrachtung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "oder die einen hohen Schutzbedarf haben", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.9.1 Grundschutz++ STM.9.1 Verteilung der führenden Zuständigkeiten Strukturmodellierung MUSS jeder Anforderung eine zuständige Person oder Rolle für den zugeordneten Prozess zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "jeder Anforderung eine zuständige Person oder Rolle", "definitions": {}}, "guidance": "Jede Praktik enthält im Abschnitt „Grundlagen“ eine Anforderung zur Zuweisung einer Zuständigkeit zu bestimmten Personen oder Rollen. Durch das Setzen dieser Parameter wird festgelegt, welche Personen oder Rollen die führende Zuständigkeit für den zugeordneten Prozess erhalten. Dies wirkt sich auch auf das Anforderungspaket für Zielobjekte aus: Hier ist die Zuständigkeit für jede Anforderung anhand ihrer Praktik erkennbar.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Gestaltungsentscheidungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den zugeordneten Prozess", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.4.1 Grundschutz++ UMS.4.1 Benennung von Umsetzungszuständigen Umsetzung MUSS Zuständige für die Umsetzung der bisher nicht erfüllten Anforderungen eindeutig zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zuständige für die Umsetzung der bisher nicht erfüllten Anforderungen", "definitions": {}}, "guidance": "Die Zuständigen für die Umsetzung der Priorisierungen müssen eindeutig zugewiesen werden, wobei die zugewiesenen Personen oder Teams über die erforderlichen Kompetenzen und Ressourcen verfügen sollten. Die Zuweisung von Zuständigkeiten sollte in Abstimmung mit den betroffenen Bereichen erfolgen, um Akzeptanz und Commitment zu fördern. Insbesondere bei komplexeren Maßnahmen kann es sinnvoll sein, sowohl eine fachliche als auch eine operative Verantwortung zu definieren und bei Bedarf Teilaufgaben mit eigenen Verantwortlichkeiten zu bilden", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Zuständigkeiten und Umsetzungsfristen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "eindeutig", "definitions": {}}} \N \N \N \N +Grundschutz++:STM.9.2 Grundschutz++ STM.9.2 Weitere Parameter Strukturmodellierung MUSS Parameter innerhalb einer Anforderung zur automatisierten Prüfung zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Parameter innerhalb einer Anforderung", "definitions": {}}, "guidance": "Bei manchen Anforderungen wird es eine Auswahl an möglichen einsetzbaren Werten geben, welche durch andere Normen und Standards vorgegeben sein können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Strukturmodellierung / Gestaltungsentscheidungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zur automatisierten Prüfung", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.1.1 Grundschutz++ UMS.1.1 Ermittlung des Umsetzungsstatus Umsetzung MUSS den Umsetzungsstatus der Anforderungen der verschiedenen Praktiken vollständig überprüfen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Umsetzungsstatus der Anforderungen der verschiedenen Praktiken", "definitions": {}}, "guidance": "Der Umsetzungsstatus einer Anforderung kann grundsätzlich nur „umgesetzt“ („ja“) oder „nicht umgesetzt“ („nein“) sein. Eine Anforderung gilt nur dann als umgesetzt, wenn sie selbst sowie alle in Abhängigkeit stehenden Anforderungen umgesetzt sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Ermittlung des Umsetzungsstatus", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vollständig", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.2.1 Grundschutz++ UMS.2.1 Bewertung des Restrisikos Umsetzung SOLLTE das bestehende Restrisiko durch die nicht umgesetzten Anforderungen festlegen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das bestehende Restrisiko durch die nicht umgesetzten Anforderungen", "definitions": {}}, "guidance": "Die Risiken der Nichtumsetzung von Anforderungen können auch konsolidiert werden, um diese für die Institutionsleitung nachvollziehbarer zu machen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Umsetzung / Bewertung fehlender Umsetzungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.3.1 Grundschutz++ UMS.3.1 Umsetzungsplanung Umsetzung MUSS ein Verfahren zur Festlegung von Maßnahmen für die Umsetzung der bisher nicht umgesetzten Anforderungen des Anforderungspakets als Ergebnis der Praktik Strukturmodellierung verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Festlegung von Maßnahmen für die Umsetzung der bisher nicht umgesetzten Anforderungen", "definitions": {}}, "guidance": "Das Verfahren ist auf die Organisation abzustimmen. Dabei empfiehlt es sich zu prüfen, ob Maßnahmen etabliert sind, die mehrere Anforderungen zugleich abdecken. Ebenso kann das Verfahren genutzt werden, um Synergieeffekte zu erschließen, indem ähnliche Defizite in anderen Bereichen identifiziert und mit gemeinsamen Lösungen adressiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Umsetzungsplanung und Priorisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "des Anforderungspakets als Ergebnis der Praktik Strukturmodellierung", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.3.2 Grundschutz++ UMS.3.2 Priorisierung von Maßnahmen Umsetzung MUSS eine Priorisierung der festgelegten Maßnahmen auf Basis der der Risikobewertung, Abhängigkeiten und Ressourcenverfügbarkeit festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Priorisierung der festgelegten Maßnahmen", "definitions": {}}, "guidance": "Es ist eine geeignete Priorisierung der Anforderungen und Maßnahmenumsetzung vorzunehmen. Gesetzliche Verpflichtungen und Compliance, der Umsetzungsaufwand einer Anforderung bzw. Maßnahme oder die Risikomitigierung der Anforderungen können bei der Priorisierung helfen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Umsetzungsplanung und Priorisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Basis der der Risikobewertung, Abhängigkeiten und Ressourcenverfügbarkeit", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.4.2 Grundschutz++ UMS.4.2 Festlegung von Umsetzungsfristen Umsetzung MUSS ein realistisches Zieldatum für die Umsetzung der bisher nicht umgesetzten Anforderungen festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein realistisches Zieldatum für die Umsetzung der bisher nicht umgesetzten Anforderungen", "definitions": {}}, "guidance": "Für jede umzusetzende Maßnahme muss ein realistisches Zieldatum festgelegt werden, das den Umfang, die verfügbaren Ressourcen und mögliche Abhängigkeiten berücksichtigt. Die Einhaltung dieser Fristen muss nachgehalten werden. Bei Überschreitung der Fristen sind geeignete Maßnahmen einzuleiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Zuständigkeiten und Umsetzungsfristen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.5.1 Grundschutz++ UMS.5.1 Autorisierung von Ausnahmen Umsetzung MUSS Ausnahmegenehmigungen für Verpflichtungen durch eine zuständige Person oder Rolle autorisieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Ausnahmegenehmigungen für Verpflichtungen", "definitions": {}}, "guidance": "Bei Zielkonflikten zwischen Verpflichtungen müssen diese gegeneinander abgewogen und falls erforderlich Ausnahmegenehmigungen eingeholt werden. Zur Entscheidungsfindung kann eine Risikobetrachtung vorgenommen werden. Hierbei sind auch die Anforderungen zur \\"Aufgabenzuweisung\\" und \\"Anweisung zur Einhaltung\\" zu berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Freigabeverfahren und Ausnahmemanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch eine zuständige Person oder Rolle", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.5.2 Grundschutz++ UMS.5.2 Dokumentation von Ausnahmen Umsetzung MUSS Ausnahmegenehmigungen mit Begründung dokumentieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Ausnahmegenehmigungen", "definitions": {}}, "guidance": "Um rechtlich bedeutsame Entscheidungen zur Informationsverarbeitung später nachvollziehen und ggf. anpassen zu können, ist eine Dokumentation dieser Entscheidungen wichtig. Die Dokumentation muss nicht separat von Geschäftsprozessen vorgenommen werden. Vielmehr ist es sogar empfehlenswert, Geschäftsprozesse und Entscheidungsdokumentation zu integrieren, z. B. in CMDBs, Aktenverzeichnissen, Commit-Messages oder Ticketsystemen. Hierbei sind auch die Anforderungen zur \\"Aufgabenzuweisung\\" und \\"Anweisung zur Einhaltung\\" zu berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Freigabeverfahren und Ausnahmemanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigegebene Ausnahmegenehmigung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Begründung", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.6.1 Grundschutz++ UMS.6.1 Nachverfolgung des Umsetzungsfortschritts Umsetzung MUSS ein Verfahren für die Nachverfolgung der Umsetzung von Maßnahmen verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren für die Nachverfolgung der Umsetzung von Maßnahmen", "definitions": {}}, "guidance": "Es wird empfohlen, dass der Prozess zur Fortschrittsverfolgung der Umsetzung von Anforderungen bzw. Sicherheitsmaßnahmen folgende Aspekte umfasst: Planung und Definition (Zielsetzung, KPI-Definition und detaillierte Umsetzungsplanung), Implementierung (Start der Umsetzung mit klarer Verantwortlichkeit und initialer Bestandsaufnahme), Überwachung (Regelmäßiges Status-Reporting, Soll-Ist-Vergleiche und KPI-Messungen), Bewertung und Anpassung (Ursachenanalyse, Korrekturmaßnahmen und regelmäßige Kommunikation an Stakeholder), Dokumentation und Lessons Learned (Abschlussdokumentation und kontinuierliche Verbesserung mittels PDCA-Zyklus). Eine strukturierte Vorgehensweise gewährleistet, dass Fortschritte transparent nachvollzogen werden, Abweichungen frühzeitig erkannt und der Sicherheitsstatus stetig verbessert werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Fortschrittsverfolgung der Realisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.2.2 Grundschutz++ VRB.2.2 Anpassung des ISMS Verbesserung SOLLTE Notwendigkeit zur Anpassung des ISMS hinsichtlich der Nicht-Konformitäten überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Notwendigkeit zur Anpassung des ISMS", "definitions": {}}, "guidance": "Hier erfolgt eine Bewertung der Wahrscheinlichkeit des Wiederauftretens von Nicht-Konformitäten und der potenziellen Auswirkungen bei erneutem Auftreten, eine Überprüfung, ob ähnliche Nicht-Konformitäten in anderen Bereichen der Institution bestehen oder auftreten könnten und eine Analyse, inwieweit die Nicht-Konformität auf systemische Schwächen im ISMS hinweist und ob grundlegende Anpassungen des ISMS erforderlich sind. Bei wiederholten oder systematischen Nicht-Konformitäten sollten jedoch die zugrundeliegenden Prozesse, Richtlinien oder Verantwortlichkeiten überprüft und bei Bedarf angepasst werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Verbesserung / Umgang mit Nicht-Konformitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "hinsichtlich der Nicht-Konformitäten", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.6.2 Grundschutz++ UMS.6.2 Fortschreibung des Umsetzungsplans Umsetzung MUSS ein Verfahren zur Fortschreibung des Umsetzungsplans verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Fortschreibung des Umsetzungsplans", "definitions": {}}, "guidance": "Die Fortschreibung sollte die Anpassung von Zeitplänen und Ressourcenzuweisungen, Neubewertungen von Prioritäten, die Ergänzung neuer Maßnahmen und Streichung nicht mehr relevanter Maßnahmen sowie die Integration von Erkenntnissen aus der Wirksamkeitsprüfung umfassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Fortschrittsverfolgung der Realisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:UMS.7.1 Grundschutz++ UMS.7.1 Wahrung von Compliance in der Umsetzung Umsetzung MUSS ein Verfahren zur Überprüfung von Compliance im Umsetzungsprozess verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Überprüfung von Compliance im Umsetzungsprozess", "definitions": {}}, "guidance": "Die regelmäßige Überprüfung und Aktualisierung der Compliance-bezogenen Prozesse und Anweisungen stellt sicher, dass sie aktuell und wirksam bleiben, auch wenn sich die regulatorischen Anforderungen ändern. Diese kontinuierliche Anpassung ist ein wesentlicher Bestandteil eines lebendigen und effektiven Compliance-Managements innerhalb des ISMS. Beispiele für ein geeignetes Verfahren kann der Einsatz von Prüflisten oder Auditierung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Umsetzung / Wahrung von Compliance in der Umsetzung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.1.1 Grundschutz++ VRB.1.1 Verfahren zur kontinuierlichen Verbesserung Verbesserung MUSS ein Verfahren zur kontinuierlichen Verbesserung des ISMS verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur kontinuierlichen Verbesserung des ISMS", "definitions": {}}, "guidance": "In diesem Prozessschritt werden Erkenntnisse aus der Überwachung in konkrete Verbesserungsmaßnahmen umgesetzt. Dieses Verfahren ist ein Prozess, welcher sich im PDCA-Zyklus von der Praktik Strukturmodellierung über die Umsetzung bis hin zum Monitoring und der Evaluierung erstreckt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Kontinuierliche Verbesserung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.1.2 Grundschutz++ VRB.1.2 Änderungen im ISMS Verbesserung MUSS ein Verfahren zum Umgang mit Änderungen im ISMS verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zum Umgang mit Änderungen im ISMS", "definitions": {}}, "guidance": "Änderungen im ISMS erfolgen geplant und strukturiert und werden systematisch dokumentiert. Wenn beispielsweise Parameter in der Risikobetrachtung verändert werden, kann dies Auswirkungen auf die Vergleichbarkeit und Nachvollziehbarkeit sowie die Integrität im Rahmen der Managementbewertung zur Folge haben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Kontinuierliche Verbesserung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.2.1 Grundschutz++ VRB.2.1 Umgang mit Nicht-Konformitäten Verbesserung MUSS eine Methode zur Überprüfung von Nicht-Konformitäten hinsichtlich Ursachen und Wiederauftreten festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Methode zur Überprüfung von Nicht-Konformitäten", "definitions": {}}, "guidance": "Die Methode sollte eine systematische Erfassung und Dokumentation aller identifizierten Nicht-Konformitäten, unabhängig davon, ob sie durch interne Audits, externe Prüfungen, Vorfälle oder im Rahmen des regulären Betriebs entdeckt wurden, enthalten. Außerdem sollte sie sich auf eine gründliche Ursachenanalyse stützen, die nicht nur die unmittelbaren, sondern auch die grundlegenden Ursachen der Nicht-Konformität identifiziert (Root-Cause-Analysis).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Umgang mit Nicht-Konformitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "hinsichtlich Ursachen und Wiederauftreten", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.3.1 Grundschutz++ VRB.3.1 Identifikation von Verbesserungspotenzialen Verbesserung SOLLTE eine Methode zur Überprüfung und Bewertung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Risiken verankern. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Methode zur Überprüfung und Bewertung von Verbesserungspotentialen", "definitions": {}}, "guidance": "Die Methode beinhaltet beispielsweise die Bewertung des Umfelds der Institution (einschließlich der Bewertung der Gefährdungslage), die Auswertung des Umsetzungsplans, die Auswertung von Auditergebnissen und Sicherheitsvorfällen sowie die Berücksichtigung von Ad hoc-Eingaben (z. B. akute Verbesserungspotentiale).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Verbesserung / Identifikation von Verbesserungspotenzialen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der damit verbundenen Risiken", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.4.1 Grundschutz++ VRB.4.1 Korrekturmaßnahmen Verbesserung MUSS angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "angemessene Korrekturmaßnahmen zur Beseitigung der Ursachen von Fehlern", "definitions": {}}, "guidance": "Im Gegensatz zum reaktiven Umgang mit Nicht-Konformitäten zielt dieser Ansatz darauf ab, auch ohne vorangegangene Probleme oder Abweichungen Optimierungsmöglichkeiten zu erkennen und zu nutzen. Bei der Bewertung von Verbesserungspotenzialen ist eine risikoorientierte Herangehensweise wichtig. Nicht jede Verbesserungsmöglichkeit bietet denselben Mehrwert für die Institution. Die Bewertung sollte das Potenzial zur Risikoreduktion, den erwarteten Ressourcenaufwand, die strategische Bedeutung für die Informationssicherheitsziele, mögliche Synergien mit anderen Verbesserungsmaßnahmen oder Projekten und die Nachhaltigkeit der Verbesserung berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Korrektur- und Verbesserungsvorschläge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.4.2 Grundschutz++ VRB.4.2 Verbesserungsmaßnahmen Verbesserung MUSS angemessene Maßnahmen zur Nutzung von Verbesserungspotentialen unter Berücksichtigung der damit verbundenen Risiken festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "angemessene Maßnahmen zur Nutzung von Verbesserungspotentialen", "definitions": {}}, "guidance": "Für Verbesserungen zur Nutzung identifizierter Potenziale sollte ein strukturierter Ansatz verfolgt werden. Diese zielen auf die proaktive Weiterentwicklung des ISMS ab. Sie können beispielsweise den Einsatz neuer oder verbesserter Technologien und Methoden,die Stärkung der Sicherheitskultur und des Sicherheitsbewusstseins, die Erweiterung des Anwendungsbereiches des ISMS oder die Verbesserung der Integration des ISMS in andere Managementsysteme und Geschäftsprozesse betreffen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Korrektur- und Verbesserungsvorschläge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der damit verbundenen Risiken", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.5.1 Grundschutz++ VRB.5.1 Priorisierung von Maßnahmen Verbesserung MUSS den Maßnahmen zur Korrektur und Verbesserung Prioritäten zuweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Maßnahmen zur Korrektur und Verbesserung Prioritäten", "definitions": {}}, "guidance": "Maßnahmen zur Verbesserung müssen in den Umsetzungsplan einfließen. Dort werden die Zuständigen für die Umsetzung, Zieldatum der Umsetzung, die Anforderungsbeschreibung, das Zielobjekt bzw. den Anwendungsbereich, die verantwortliche Stelle, Start- und Zieldatum (Fristen), Prioritäten, Status der Umsetzung, ergänzende Aktivitäten z. B. Schulungen, Risiken inkl. Begründung (Was bleibt offen? Was wurde nicht umgesetzt und warum?), Ressourcenplanung, Abhängigkeiten zu anderen Anforderungen, sowie Datum der Freigabe und Unterschrift des Risikoeigentümers nachverfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Korrektur- und Verbesserungsplan", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Umsetzungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.6.1 Grundschutz++ VRB.6.1 Wirksamkeitsprüfung Verbesserung MUSS die Wirksamkeit der umgesetzten Maßnahmen regelmäßig überprüfen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wirksamkeit der umgesetzten Maßnahmen", "definitions": {}}, "guidance": "Die Wirksamkeit bewertet, ob die Maßnahmen den beabsichtigten Effekt erzielt haben. Hierfür sollten die Definition klarer, messbarer Kriterien für die Wirksamkeit jeder Maßnahme, die Durchführung gezielter Tests, Audits oder Überprüfungen nach Abschluss der Umsetzung, die Bewertung, ob die identifizierten Nicht-Konformitäten tatsächlich beseitigt oder die angestrebten Verbesserungen erreicht wurden sowie die Dokumentation der Ergebnisse der Wirksamkeitsprüfung berücksichtigt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Verbesserung / Wirksamkeitsprüfung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.7.1 Grundschutz++ VRB.7.1 Bewertung der erreichten Verbesserung Verbesserung SOLLTE ein Verfahren zur Bewertung der erreichten Verbesserung unter Berücksichtigung der damit verbundenen Risiken verankern. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Bewertung der erreichten Verbesserung", "definitions": {}}, "guidance": "Die Bewertung kann beispielsweise durch interne Audits, die Messung von Key Performance Indicators (KPIs) vor und nach der Maßnahmenumsetzung oder durch technische Überprüfungen erfolgen. Im Ergebnis ist das Sicherheitsniveau der Institution transparent dargestellt und Trends der Verbesserung des Sicherheitsniveaus, insbesondere auch durch die Vergleichbarkeit mit vorigen Bewertungen, ableitbar.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Verbesserung / Bewertung der erreichten Verbesserung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der damit verbundenen Risiken", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.5.2 Grundschutz++ PERF.5.2 Bericht an die Institutionsleitung Monitoring-Evaluation MUSS die Institutionsleitung über den Stand des Managementsystems regelmäßig anhand des Managementberichtes informieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Institutionsleitung über den Stand des Managementsystems", "definitions": {}}, "guidance": "Sinn und Zweck der Anforderung liegt darin, die Leitungsebene regelmäßig und nachvollziehbar über den Sicherheitsstatus sowie über wesentliche Entwicklungen zu informieren. Damit kann die Leitung faktenbasiert Entscheidungen treffen, Prioritäten setzen und Ressourcen zielgerichtet bereitstellen. Ohne einen solchen Bericht könnte ein kritisches Risiko unbemerkt bleiben oder verspätet adressiert werden, etwa wenn wiederholt unbefugte Zugriffe auf sensible Daten auftreten. Ein gut aufbereiteter Bericht kann hingegen Transparenz schaffen, Verantwortlichkeiten verdeutlichen und Vertrauen in die Steuerung der Institution fördern. Zur Umsetzung ist ein fester Rhythmus für die Erstellung des Managementberichts zu etablieren, etwa quartalsweise oder anlassbezogen nach einem schweren Vorfall. Der Bericht kann eine verdichtete Darstellung enthalten, zum Beispiel in Form von übersichtlichen Kennzahlen (Anzahl relevanter Vorfälle, Zeit bis zur Entdeckung, Erfüllungsgrad definierter Sicherheitsmaßnahmen) und Trendanalysen. Ergänzend kann eine einheitliche Vorlage genutzt werden, die eine klare Struktur vorgibt, sodass die Leitungsebene schnell die entscheidenden Punkte erkennt. Technisch kann dies durch den Einsatz gängiger Office-Tools unterstützt werden, etwa durch die Visualisierung von Trends in Diagrammen. Prozessual können Rückfragen und Diskussionen in einer kurzen Managementrunde eingeplant werden, um den reinen Informationsfluss zu einem aktiven Austausch zu machen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} anhand des Managementberichtes", "definitions": {}}} \N \N \N \N +Grundschutz++:VRB.8.1 Grundschutz++ VRB.8.1 Behandlung von Compliance-Verstößen Verbesserung SOLLTE ein Verfahren zur Behandlung von Verstößen unter Berücksichtigung der Betroffenenrechte verankern. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Behandlung von Verstößen", "definitions": {}}, "guidance": "Das Verfahren sollte eine klare Definition enthalten, was als Verstoß gilt und die verschiedenen Arten von Verstößen kategorisieren. Es sollten Melde- und Eskalationswegen für erkannte oder vermutete Verstöße festgelegt werden, ein systematischer Prozess zur Untersuchung und Dokumentation von Verstößen etabliert werden, eine Entscheidungsfindung über angemessene Reaktionen und Konsequenzen stattfinden und die Umsetzung beschlossener Maßnahmen sollte nachverfolgt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Verbesserung / Behandlung von Compliance-Verstößen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Compliance-Verpflichtungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der Betroffenenrechte", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.1.1 Grundschutz++ PERF.1.1 Verfahren und Regelungen Monitoring-Evaluation MUSS Verfahren und Regelungen zur Messung und Bewertung der Leistung des ISMS verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Messung und Bewertung der Leistung des ISMS", "definitions": {}}, "guidance": "Die bei der Festlegung des Verfahrens und der Regelungen im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik. Die Ergebnisse müssen strukturiert dokumentiert und an die relevanten Stakeholder kommuniziert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Leistungsbewertung des ISMS", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.1.1.1 Grundschutz++ PERF.1.1.1 Auswertung der Gefährdungslage Monitoring-Evaluation SOLLTE die Gefährdungslage in Bezug auf geänderte Rahmenbedingungen überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Gefährdungslage", "definitions": {}}, "guidance": "Die Auswertung der Gefährdungslage im Hinblick auf Veränderungen stellt sicher, dass neue oder veränderte Rahmenbedingungen (organisatorischer, technischer oder rechtlicher Art) potenziell zusätzliche Gefährdungen erzeugen und deshalb im ISMS berücksichtigt werden; konkrete Prüfpunkte umfassen technische Veränderungen wie die Einführung neuer IT-Systeme, Software, Netzwerktechnologien oder Cloud-Dienste, organisatorische Veränderungen wie Outsourcing, neue Standorte, Umstrukturierungen sowie veränderte Schnittstellen oder Verantwortlichkeiten, rechtliche und regulatorische Änderungen wie neue Gesetze (z. B. NIS2, Anpassungen der DSGVO) und Branchenvorgaben, die zusätzliche Compliance-Risiken begründen, sowie eine veränderte Bedrohungslage durch neue Angriffsarten, aktuelle Sicherheitsvorfälle und CERT-Warnungen, was eine Aktualisierung der Gefährdungskataloge erforderlich machen kann; daraus folgen eine regelmäßige Überprüfung der Gefährdungslage (z. B. halbjährlich oder anlassbezogen), die Anpassung der Risikobetrachtung bei identifizierten neuen Gefährdungen, die Ableitung neuer Schutzmaßnahmen bzw. die Nachbesserung bestehender sowie die nachvollziehbare Dokumentation von Prüfungen und Ergebnissen im ISMS.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Leistungsbewertung des ISMS", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in Bezug auf geänderte Rahmenbedingungen", "definitions": {}}} PERF.1.1 \N \N \N +Grundschutz++:PERF.1.1.2 Grundschutz++ PERF.1.1.2 Auswertung des Umsetzungsplans Monitoring-Evaluation SOLLTE den Umsetzungsplan in Bezug auf den Fortschritt, die Einhaltung von Fristen und der inhaltlichen Korrektheit regelmäßig überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Umsetzungsplan", "definitions": {}}, "guidance": "Die Überprüfung eines Umsetzungsplans beinhaltet, ob Sicherheitsmaßnahmen vollständig, termingerecht und wirksam sowie inhaltlich korrekt umgesetzt wurden und ob sie die angestrebten Schutzziele erreichen. Dabei sind insbesondere der Umsetzungsstand, Abweichungen, Restrisiken und die Wirksamkeit der Maßnahmen systematisch zu überprüfen und für Managemententscheidungen auszuwerten. Umsetzungsdaten umfassen z. B. Fälligkeitsdatum, bis wann eine bestimmte Maßnahme umgesetzt sein muss, Meilensteine im Projektplan oder vereinbarte Endtermine für Kontrollen, Prüfungen oder technische Implementierungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Leistungsbewertung des ISMS", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in Bezug auf den Fortschritt, die Einhaltung von Fristen und der inhaltlichen Korrektheit {{regelmäßig}}", "definitions": {}}} PERF.1.1 \N \N \N +Grundschutz++:PERF.1.1.3 Grundschutz++ PERF.1.1.3 Auswertung von Auditergebnissen Monitoring-Evaluation SOLLTE die Umsetzung von festgelegten Maßnahmen aus Auditergebnissen überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Umsetzung von festgelegten Maßnahmen aus Auditergebnissen", "definitions": {}}, "guidance": "Die Auswertung von Auditergebnissen dient dazu, systematische Abweichungen, Schwachstellen und Verbesserungspotenziale im Informationssicherheitsmanagement zu identifizieren. Im Audit festgestellte Abweichungen, Hinweise und Empfehlungen werden ausgewertet, nach ihrer Bedeutung geordnet und in konkrete Maßnahmen überführt. Diese Maßnahmen werden anschließend überwacht und ihre Umsetzung nachverfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Leistungsbewertung des ISMS", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}} PERF.1.1 \N \N \N +Grundschutz++:PERF.1.1.4 Grundschutz++ PERF.1.1.4 Auswertung von Sicherheitsvorfällen Monitoring-Evaluation SOLLTE umgesetzte Maßnahmen als Folge von Sicherheitsvorfällen überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "umgesetzte Maßnahmen als Folge von Sicherheitsvorfällen", "definitions": {}}, "guidance": "Bei der Auswertung von Sicherheitsvorfällen sollten Ursachen, Auswirkungen, Reaktionen und Schwachstellen systematisch analysiert werden, um gezielte Verbesserungsmaßnahmen abzuleiten. Wichtig ist, dass sowohl die Wirksamkeit der Sofortmaßnahmen als auch die Umsetzung und Nachhaltigkeit der Folgemaßnahmen überprüft werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Leistungsbewertung des ISMS", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}} PERF.1.1 \N \N \N +Grundschutz++:PERF.2.1 Grundschutz++ PERF.2.1 Überwachung der Einhaltung von Verpflichtungen Monitoring-Evaluation SOLLTE die Einhaltung von Verpflichtungen regelmäßig sowie anlassbezogen überprüfen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Compliance-Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einhaltung von Verpflichtungen", "definitions": {}}, "guidance": "Im Rahmen der Compliance-Überwachung sollte die Einhaltung von Verpflichtungen regelmäßig sowie anlassbezogen überprüft werden. Dies umfasst regelmäßige Kontrollen zur Überprüfung der Einhaltung dokumentierter gesetzlicher und vertraglicher Anforderungen, anlassbezogene Überprüfungen bei Änderungen des regulatorischen Umfelds, bei Hinweisen auf mögliche Verstöße oder nach durchgeführten Änderungen in relevanten Systemen oder Prozessen, die Identifikation von Compliance-Lücken und deren systematische Dokumentation sowie die Entwicklung und Umsetzung von Maßnahmen zur Schließung identifizierter Compliance-Lücken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Überwachung der Compliance", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} sowie anlassbezogen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.3.1 Grundschutz++ PERF.3.1 Aufbau und Pflege eines Auditprogramms Monitoring-Evaluation MUSS ein Verfahren zum Aufbau und zur Pflege eines oder mehrerer Auditprogramme verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zum Aufbau und zur Pflege eines oder mehrerer Auditprogramme", "definitions": {}}, "guidance": "Ein Audit kann in unterschiedlichen Formen durchgeführt werden – beispielsweise als internes Audit durch eigene Mitarbeitende, als externes Audit durch unabhängige Dritte (z. B. für Zertifizierungen), als Überwachungs- oder Wiederholungsaudit, oder als Sonderaudit bei Sicherheitsvorfällen. Ziel ist es, die Einhaltung von Sicherheitsanforderungen, die Wirksamkeit von Maßnahmen sowie mögliche Schwachstellen zu prüfen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Auditprogramm und -durchführung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.3.1.1 Grundschutz++ PERF.3.1.1 Erstellen eines Auditsplans Monitoring-Evaluation SOLLTE für jedes durchzuführende Audit einen Auditplan festlegen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jedes durchzuführende Audit einen Auditplan", "definitions": {}}, "guidance": "Der Auditplan (audit plan) legt vorab die Ziele, den Umfang (Geltungsbereich, Zielobjekte), die Methoden (Auditkriterien), Rollen und Zuständigkeiten, sowie den genauen Ablauf dieser Überprüfung fest. Auditmethoden sind die spezifischen Vorgehensweisen und Techniken, die ein Auditor zur Sammlung und Bewertung von Prüfungsnachweisen (audit evidence) einsetzt. Die Auswahl der Methode hängt vom jeweiligen Prüfziel ab und umfasst häufig eine Kombination aus mehreren Ansätzen, wie zum Beispiel: (1) die Befragung von Mitarbeitern (Interviews), um Prozessabläufe und Verantwortlichkeiten zu verstehen, (2) die (automatisierte und manuelle) Durchsicht von Dokumenten wie Richtlinien, Konzepten und Protokollen zur Überprüfung der Vorgabenkonformität, (3) die direkte Beobachtung von Prozessen, um die tatsächliche Umsetzung einer Kontrolle zu verifizieren, sowie (4) technische Analysen, welche die Überprüfung von Systemkonfigurationen, die Auswertung von Logdateien oder die Durchführung von Stichproben bei Berechtigungen beinhalten können. Der Zweck dieser Anforderung ist es, eine strukturierte und nachvollziehbare Vorgehensweise bei jeder Prüfung zu gewährleisten. Ohne einen solchen Plan könnte eine Überprüfung chaotisch verlaufen, wichtige Bereiche übersehen oder Ressourcen ineffizient eingesetzt werden, was unentdeckte Schwachstellen zur Folge haben kann. Ein detaillierter Auditplan kann hingegen sicherstellen, dass alle relevanten Aspekte systematisch abgedeckt werden und schafft eine klare Erwartungshaltung sowie Verbindlichkeit für die Auditoren und die geprüften Stellen der Institution. Bewährt hat sich dabei eine chancen- und risikenorientierte Ressourcenverteilung, d.h. die Betrachtung genau jener Anforderungen, bei denen voraussichtlich ein hoher Mehrwert für die Risikobetrachtung durch das Audit zu erwarten ist. Für Details siehe ISO/IEC 19011-Reihe. Der Plan muss dokumentiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Auditprogramm und -durchführung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} PERF.3.1 \N \N \N +Grundschutz++:PERF.3.1.2 Grundschutz++ PERF.3.1.2 Planen von internen Audits Monitoring-Evaluation MUSS die Planung der internen Audits im Auditprogramm risikoorientiert ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Planung der internen Audits im Auditprogramm", "definitions": {}}, "guidance": "Ziel ist es, die Einhaltung von Sicherheitsanforderungen, die Wirksamkeit von Maßnahmen sowie mögliche Schwachstellen zu prüfen. Dabei wird die Effektivität und Effizienz aller angewandten Anforderungen sinnvoll geprüft. Risikoorientiert bedeutet hierbei, dass die Auswahl von Prüfobjekten sowie die Prüftiefe sich nach einer Risikobetrachtung richtet, also besonders risikorelevante Fragen vertieft betrachtet werden. Beispielsweise ist es sinnvoll bei automatisierten Richtlinien (Policies) nicht nur deren tatsächliche Aktivierung, sondern vor allem die erlaubten Ausnahmeregelungen auf Begründung, Befristung und Umfang zu prüfen, damit vermeintliche effektive Maßnahmen nicht durch zu weite Ausnahmeregelungen ausgehölt werden. Die Planung muss dokumentiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Auditprogramm und -durchführung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "risikoorientiert", "definitions": {}}} PERF.3.1 \N \N \N +Grundschutz++:PERF.3.1.3 Grundschutz++ PERF.3.1.3 Auswahl des Auditteams Monitoring-Evaluation MUSS fachlich geeignete und unabhängige Auditoren zur Gewährleistung der Objektivität und Qualität der Audits anweisen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "fachlich geeignete und unabhängige Auditoren", "definitions": {}}, "guidance": "Bei der Auswahl von Auditoren ist zu empfehlen insbesondere Fachkompetenz, Unabhängigkeit und Erfahrung zu berücksichtigen. Das Team muss über technisches und organisatorisches Wissen, Kenntnisse relevanter Normen und gesetzliche Anforderungen sowie die Fähigkeit zur objektiven, methodischen Bewertung verfügen, ohne in die zu prüfenden Prozesse direkt involviert zu sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Auditprogramm und -durchführung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zur Gewährleistung der Objektivität und Qualität der Audits", "definitions": {}}} PERF.3.1 \N \N \N +Grundschutz++:PERF.3.1.4 Grundschutz++ PERF.3.1.4 Umfang von Audits Monitoring-Evaluation MUSS in angemessenem Umfang Audits ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "in angemessenem Umfang Audits", "definitions": {}}, "guidance": "Der Umfang eines Audits beschreibt, was, wie und in welchem Rahmen geprüft wird. Dazu gehören der organisatorische und technische Geltungsbereich (z. B. Standorte, Abteilungen, IT-Systeme), der Prüfzeitraum, sowie die eingesetzten Prüfmethoden wie Interviews, Dokumentensichtung oder Systemtests. Der Auditumfang wird vor Beginn des Audits klar definiert, um den Ablauf gezielt zu planen und die Ergebnisse nachvollziehbar zu dokumentieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Auditprogramm und -durchführung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} PERF.3.1 \N \N \N +Grundschutz++:PERF.4.1 Grundschutz++ PERF.4.1 Dokumentation von Auditergebnissen Monitoring-Evaluation MUSS ein Verfahren zur Erstellung aussagekräftiger Auditberichte verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Erstellung aussagekräftiger Auditberichte", "definitions": {}}, "guidance": "Ein Auditbericht muss nachvollziehbar, vollständig und strukturiert dokumentieren, wie das Audit durchgeführt wurde und welche Ergebnisse erzielt wurden. Er enthält Angaben zum Auditziel, Auditumfang, Auditteam, Auditmethoden, den bewerteten Bereichen sowie eine übersichtliche Darstellung der Feststellungen inklusive Abweichungen, Verbesserungspotenzialen und der Bewertung der Wirksamkeit der umgesetzten Sicherheitsmaßnahmen. Die Auditberichte sollten neben den identifizierten Schwachstellen auch positive Feststellungen enthalten, um ein ausgewogenes Bild zu vermitteln und Best Practices zu fördern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Bewertungsschema und Auditberichte", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auditbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.4.1.1 Grundschutz++ PERF.4.1.1 Einheitliches Bewertungsschema Monitoring-Evaluation SOLLTE für Feststellungen in Audits ein einheitliches Bewertungsschema festlegen. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für Feststellungen in Audits ein einheitliches Bewertungsschema", "definitions": {}}, "guidance": "Das Bewertungsschema soll die einheitliche Bewertung, die Wirksamkeit der Auditprozesse und die Vergleichbarkeit von Auditergebnissen sicherstellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Bewertungsschema und Auditberichte", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auditbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} PERF.4.1 \N \N \N +Grundschutz++:PERF.4.1.2 Grundschutz++ PERF.4.1.2 Kommunikation an Stakeholder Monitoring-Evaluation MUSS eine angemessene Kommunikation an alle relevanten Stakeholder ausführen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine angemessene Kommunikation an alle relevanten Stakeholder", "definitions": {}}, "guidance": "Eine angemessene Kommunikation der Auditergebnisse an alle relevanten Stakeholder muss sichergestellt werden, um das Bewusstsein für identifizierte Risiken zu schärfen und die Umsetzung von Verbesserungsmaßnahmen zu fördern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Bewertungsschema und Auditberichte", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auditbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} PERF.4.1 \N \N \N +Grundschutz++:ASST.3.1.1 Grundschutz++ ASST.3.1.1 Weitergabe nur bei Erforderlichkeit Informationen und Assets für Nutzende SOLLTE zur Weitergabe von Informationen nur bei Erforderlichkeit anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Weitergabe von Informationen nur bei Erforderlichkeit", "definitions": {}}, "guidance": "Das Need-to-Know-Prinzip ist ein Sicherheitskonzept, das den Zugriff auf Informationen auf das absolut notwendige Maß beschränkt. Es besagt, dass Personen nur dann Zugang zu bestimmten Daten enthalten, wenn diese Informationen für die Erfüllung ihrer konkreten Aufgaben erforderlich sind. Ziel ist es, das Risiko von Datenmissbrauch, -verlust oder unbefugtem Zugriff zu minimieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} ASST.3.1 \N \N \N +Grundschutz++:PERF.5.1 Grundschutz++ PERF.5.1 Eignungsprüfung Monitoring-Evaluation MUSS das ISMS der Institution hinsichtlich Eignung, Angemessenheit und Wirksamkeit regelmäßig sowie anlassbezogen überprüfen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das ISMS der Institution hinsichtlich Eignung, Angemessenheit und Wirksamkeit", "definitions": {}}, "guidance": "Damit die Institutionsleitung fundierte Entscheidungen zur Steuerung des Informationssicherheitsprozesses treffen kann, ist ein prägnanter Managementbericht erforderlich. Darin werden die wesentlichen Eckpunkte zum Stand der Informationssicherheit übersichtlich aufbereitet. Der Bericht SOLL: kurz, klar und verständlich sein, relevante Informationen bzw. Entwicklungen enthalten, nicht überfrachtet sein d.h. den Fokus auf das Wesentliche legen. So kann die Leitung gezielt Maßnahmen priorisieren und Ressourcen effektiv einsetzen. Es muss unter anderem deutlich werden, ob der beabsichtigte Sicherheitszweck wirksam erfüllt wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} sowie anlassbezogen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.5.1.1 Grundschutz++ PERF.5.1.1 Ergebnisse von Folgemaßnahmen Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der den Status von Folgemaßnahmen vorangegangener Managementbewertungen enthält, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Die Evaluierung von Folgemaßnahmen früherer Managementbewertungen dient der Prüfung, ob geplante Maßnahmen umgesetzt und ihre Ziele erreicht wurden. Dabei müssen Status, Wirksamkeit und mögliche Abweichungen nachvollziehbar dokumentiert und in die aktuelle Managementbewertung eingebunden werden. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der den Status von Folgemaßnahmen vorangegangener Managementbewertungen enthält,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.2 Grundschutz++ PERF.5.1.2 Geänderte Rahmenbedingungen Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der geänderte Rahmenbedingungen mit Auswirkungen auf das Informationssicherheitsmanagement berücksichtigt, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Die Ergebnisse der Überprüfung der Rahmenbedingungen – wie rechtliche, organisatorische, technische oder wirtschaftliche Veränderungen – müssen systematisch erfasst und auf ihre Auswirkungen auf das ISMS bewertet werden. Relevante Änderungen sind in der Managementbewertung einzubeziehen, da sie Einfluss auf die Risikobetrachtung und erforderliche Anforderungen bzw. Sicherheitsmaßnahmen haben können. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der geänderte Rahmenbedingungen mit Auswirkungen auf das Informationssicherheitsmanagement berücksichtigt,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.3 Grundschutz++ PERF.5.1.3 Erfolge und Probleme Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der bisherige Erfolge und Probleme (z. B. Sicherheitsvorfälle) beim Informationssicherheitsprozess berücksichtigt, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Die Ergebnisse müssen im ISMS-Prozess berücksichtigt werden, um daraus gezielte Verbesserungen abzuleiten. Sie dienen als wichtige Eingaben für die Managementbewertung und unterstützen die Weiterentwicklung der Sicherheitsstrategie. Zu Erfolgen zählen z. B. wirksam umgesetzte Maßnahmen, erreichte Sicherheitsziele, erfolgreiche Audits/Prüfungen oder eine nachweisbare Reduktion von Risiken. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der bisherige Erfolge und Probleme (z. B. Sicherheitsvorfälle) beim Informationssicherheitsprozess berücksichtigt,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.4 Grundschutz++ PERF.5.1.4 Interne Überprüfungen und Audits Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der Ergebnisse interner Überprüfungen und Audits enthält, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Bei der Evaluierung müssen die Ergebnisse interner Überprüfungen und Audits dokumentiert werden, um festzustellen, ob das ISMS wirksam umgesetzt und aufrechterhalten wird. Dabei sind insbesondere identifizierte Abweichungen, Verbesserungspotenziale und umgesetzte Korrekturmaßnahmen nachvollziehbar darzustellen. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der Ergebnisse interner Überprüfungen und Audits enthält,", "definitions": {}}} PERF.5.1 \N \N \N +SCF:AAT-04.2 SCF AAT-04.2 AI & Autonomous Technologies Potential Costs Analysis Mechanisms exist to assess potential costs, including non-monetary costs, resulting from expected or realized Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related errors or system functionality and trustworthiness. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-04.2_AAT-04.2_A01", "name": "assessment-objective", "prose": "documented methods exist to viably assess the potential costs, including non-monetary costs, resulting from expected or realized Artificial Intelligence (AI)-related errors or system functionality and trustworthiness."}]} \N \N \N \N +Grundschutz++:PERF.5.1.5 Grundschutz++ PERF.5.1.5 Eignungsprüfung bisheriger Sicherheitsmaßnahmen Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der eine Bewertung enthält, ob sich die Sicherheitsmaßnahmen zur Erreichung der Sicherheitsziele als geeignet erwiesen haben oder ob Maßnahmen geändert oder ergänzt werden müssen, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Zur Bewertung, ob Sicherheitsmaßnahmen zur Erreichung der Sicherheitsziele geeignet sind, müssen die Maßnahmen systematisch den jeweiligen Zielen zugeordnet und ihre Wirksamkeit anhand konkreter Nachweise (z. B. Auditergebnisse, Vorfallanalysen, Tests) überprüft werden. Werden Defizite festgestellt, sind die Maßnahmen entsprechend anzupassen, zu ergänzen oder durch geeignetere zu ersetzen. Die Ergebnisse dieser Überprüfung sind nachvollziehbar zu dokumentieren und in den Managementbericht einzubringen und basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der eine Bewertung enthält, ob sich die Sicherheitsmaßnahmen zur Erreichung der Sicherheitsziele als geeignet erwiesen haben oder ob Maßnahmen geändert oder ergänzt werden müssen,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.6 Grundschutz++ PERF.5.1.6 Rückmeldung von Stakeholdern Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der Rückmeldungen von Kunden, Geschäftspartnern, Mitarbeitern oder der Öffentlichkeit zu Sicherheitsaspekten bei der Bewertung berücksichtigt, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Betroffene Personen wie z. B. Kunden, Geschäftspartner und die Öffentlichkeit sollen aktiv zu Sicherheitsaspekten befragt oder deren Feedback systematisch erfasst werden, z. B. über Umfragen, Beschwerden, Supportanfragen oder öffentliche Bewertungen. Dieses Feedback ist auf Relevanz und Auswirkungen für das ISMS zu prüfen, zu dokumentieren und bei Bedarf in Risikobetrachtungen und Verbesserungsmaßnahmen einzubeziehen. Verantwortliche müssen sicherstellen, dass Rückmeldungen zeitnah ausgewertet und bei der Weiterentwicklung der Sicherheitsmaßnahmen berücksichtigt werden. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der Rückmeldungen von Kunden, Geschäftspartnern, Mitarbeitern oder der Öffentlichkeit zu Sicherheitsaspekten bei der Bewertung berücksichtigt,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.7 Grundschutz++ PERF.5.1.7 Status des Realisierungsplans Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der Berichte über die Reduzierung bestehender Umsetzungsdefizite und der damit verbundenen Risiken (Status des Realisierungsplans) dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Die Überprüfung von Umsetzungsdefiziten und Risiken ist im ISMS ein zentraler Bestandteil des Monitorings und der Evaluierung. Monitoring sorgt für die kontinuierliche Beobachtung des Fortschritts bei Maßnahmenumsetzung, während die Evaluierung die Wirksamkeit dieser Maßnahmen bewertet und bei Bedarf Anpassungen empfiehlt. So wird sichergestellt, dass Risiken nachhaltig reduziert und Sicherheitsziele erreicht werden. D. h. der Status des Realisierungsplans muss fortlaufend überprüft werden. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der Berichte über die Reduzierung bestehender Umsetzungsdefizite und der damit verbundenen Risiken (Status des Realisierungsplans)", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.8 Grundschutz++ PERF.5.1.8 Verbesserungen Monitoring-Evaluation SOLLTE die Ergebnisse dieser Überprüfungen in einem Managementbericht, der die Ergebnisse der Bewertung in Form von Verbesserungen in das ISMS einfließen lässt, dokumentieren. SOLLTE BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Hier ist zu dokumentieren, 1. ob identifizierte Verbesserungsmaßnahmen tatsächlich umgesetzt wurden (z.B. Änderungen an Prozessen, technische Anpassungen, Schulungen). 2. in welcher Form diese Maßnahmen ins ISMS eingeflossen sind, also ob sie dokumentiert, in der Risikobetrachtung berücksichtigt und in den Steuerungsprozessen verankert wurden. 3. ob die Verbesserungen die angestrebte Wirkung zeigen, also zur Reduzierung von Risiken oder zur Erreichung der Sicherheitsziele beitragen. 4. ob die Maßnahmen dauerhaft aufrechterhalten und kontinuierlich überwacht werden, um nachhaltige Verbesserungen sicherzustellen. Die Ergebnisse dieser Evaluierung sind nachvollziehbar zu dokumentieren und bilden die Grundlage für weitere Entscheidungen im Rahmen des kontinuierlichen Verbesserungsprozesses und basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der die Ergebnisse der Bewertung in Form von Verbesserungen in das ISMS einfließen lässt,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.5.1.9 Grundschutz++ PERF.5.1.9 Maßnahmenvorschläge Monitoring-Evaluation MUSS die Ergebnisse dieser Überprüfungen in einem Managementbericht, der priorisierte Maßnahmenvorschläge mit realistischen Abschätzungen zum erwarteten Umsetzungsaufwand enthält, dokumentieren. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ergebnisse dieser Überprüfungen in einem Managementbericht,", "definitions": {}}, "guidance": "Maßnahmenvorschläge müssen daraufhin überprüft werden, ob sie wirksam zur Risikoreduktion beitragen und mit vertretbarem Aufwand umsetzbar sind. Dabei sind Nutzen, Kosten, technischer und organisatorischer Aufwand realistisch abzuschätzen und in Relation zueinander zu bewerten, um fundierte Entscheidungen zur Umsetzung und Priorisierung treffen zu können. Die Ergebnisse dieser Überprüfungen basieren auf den vorab erstellten Auditberichten sowie der geforderten Eignungsprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Managementbewertungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Managementbericht", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "der priorisierte Maßnahmenvorschläge mit realistischen Abschätzungen zum erwarteten Umsetzungsaufwand enthält,", "definitions": {}}} PERF.5.1 \N \N \N +Grundschutz++:PERF.6.1 Grundschutz++ PERF.6.1 Sicherheitsvorfälle Monitoring-Evaluation MUSS effektive Monitoring-Methoden und -tools zur regelmäßigen Überwachung der Informationssicherheit verankern. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "effektive Monitoring-Methoden und -tools", "definitions": {}}, "guidance": "Die Implementierung von Monitoring-Methoden und -tools sollte an die individuellen Bedürfnisse und Möglichkeiten der Institution angepasst sein. Während kleinere Institutionen mit einfacheren Lösungen arbeiten können, benötigen größere und komplexere Umgebungen oft umfassendere und stärker automatisierte Ansätze. Die gewonnenen Monitoring-Daten sollten systematisch ausgewertet und für verschiedene Zwecke genutzt werden, darunter die Erstellung von Kennzahlen und Berichten, die Früherkennung von Sicherheitsrisiken, die Unterstützung der Incident Response und die kontinuierliche Verbesserung des ISMS. Beispielhafte Tools für die Überwachung von Informationssicherheit sind Security Information and Event Management (SIEM) Systeme für die zentrale Sammlung, Korrelation und Analyse von Sicherheitsereignissen aus verschiedenen Quellen; Intrusion Detection/Prevention Systeme (IDS/IPS) zur Erkennung und Abwehr verdächtiger Netzwerkaktivitäten; Vulnerability Management Systeme zur systematischen Identifikation und Behandlung von Schwachstellen sowie Configuration Monitoring Tools zur Überwachung von Konfigurationsänderungen in Systemen und Anwendungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Monitoringmethoden und -tools", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zur {{regelmäßigen}} Überwachung der Informationssicherheit", "definitions": {}}} \N \N \N \N +Grundschutz++:PERF.6.1.1 Grundschutz++ PERF.6.1.1 Sicherheitsvorfälle Monitoring-Evaluation MUSS Sicherheitsvorfälle überwachen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sicherheitsvorfälle", "definitions": {}}, "guidance": "Die frühzeitige Identifikation und Meldung von Vorfällen muss ermöglicht werden. Dies kann von manuellen Prozessen bis hin zu automatisierten Erkennungssystemen reichen. Es sollen klare Meldewege, technische Überwachungsmechanismen (z. B. Log-Analyse, Intrusion Detection), Verantwortlichkeiten sowie Kriterien zur Klassifikation von Vorfällen vorliegen. So wird gewährleistet, dass sicherheitsrelevante Ereignisse frühzeitig erkannt, bewertet und in den ISMS-Verbesserungsprozess eingebunden werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Monitoringmethoden und -tools", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} PERF.6.1 \N \N \N +Grundschutz++:PERF.6.1.2 Grundschutz++ PERF.6.1.2 Schwachstellen Monitoring-Evaluation MUSS einen Umgang mit Schwachstellen festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Umgang mit Schwachstellen", "definitions": {}}, "guidance": "Dies sollte die systematische Identifikation, Bewertung, Behandlung und Nachverfolgung von Schwachstellen umfassen. Schwachstellen müssen systematisch erfasst, auf ihre sicherheitsrelevante Bedeutung geprüft und in die Risikobetrachtung des ISMS übernommen werden. Daraus abgeleitete Maßnahmen sind zu priorisieren, umzusetzen und im Rahmen des Monitorings und der Evaluierung regelmäßig auf ihre Wirksamkeit hin zu überprüfen sowie zu dokumentieren. Die gewonnenen Monitoring-Daten sollten systematisch ausgewertet und für verschiedene Zwecke genutzt werden, darunter die Erstellung von Kennzahlen und Berichten, die Früherkennung von Sicherheitsrisiken, die Unterstützung der Incident Response und die kontinuierliche Verbesserung des ISMS.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Monitoringmethoden und -tools", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} PERF.6.1 \N \N \N +Grundschutz++:PERF.6.1.3 Grundschutz++ PERF.6.1.3 Bedrohungen Monitoring-Evaluation MUSS einen Umgang zur Erkennung und Reaktion auf neu auftretende Bedrohungen festlegen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Umgang zur Erkennung und Reaktion auf neu auftretende Bedrohungen", "definitions": {}}, "guidance": "Ein Verfahren zur Erfassung und Reaktion neu auftretende Bedrohungen stellt sicher, dass diese mit Beschreibung und Bewertung dokumentiert werden; dass die Risikobetrachtung bei Bedarf aktualisiert wird; eine Neubestimmung von Eintrittswahrscheinlichkeit und Schadensausmaß erfolgt; dass geeignete Gegenmaßnahmen abgeleitet werden; die Risiken priorisiert und mit klaren Verantwortlichkeiten versehen werden; dass die neuen Risiken in bestehende Risikobetrachtungsprozesse integriert werden und dass das Management regelmäßig über die aktuelle Risikolage und die Wirksamkeit der umgesetzten Maßnahmen unterrichtet wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Monitoringmethoden und -tools", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "festlegen", "definitions": {}}} PERF.6.1 \N \N \N +Grundschutz++:PERF.7.1 Grundschutz++ PERF.7.1 Aktualität der Anforderungen Monitoring-Evaluation MUSS die Aktualität der Anforderungen regelmäßig überprüfen. MUSS BSI-Methodik-Grundschutz-plus-plus {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Aktualität der Anforderungen", "definitions": {}}, "guidance": "Die Verifikation sollte folgende Aspekte umfassen: Das Anforderungspaket sollte regelmäßig (i.A. jährlich, je nach Organisationsgröße, Parameter und Prüftiefe) in Hinblick auf die Modellierung überprüft werden, um ihre Aktualität und Angemessenheit in Bezug auf den Informationsverbund zu bewerten. Bei der Überprüfung sollten veränderte Geschäftsprozesse, neue IT-Komponenten, organisatorische Änderungen und externe Faktoren wie neue regulatorische Anforderungen oder veränderte Bedrohungslandschaften berücksichtigt werden. Die Überprüfung sollte in Abstimmung mit den zuständigen Bereichen erfolgen, um sicherzustellen, dass alle relevanten Perspektiven einbezogen werden. Bei Bedarf sollten Anpassungen der Auswahl der Anforderungen vorgenommen werden, um den aktuellen Anforderungen gerecht zu werden. Wenn signifikante Anpassungen erforderlich sind, können diese zu einer Neumodellierung oder Erweiterung des Anforderungspakets führen, was wiederum den gesamten Zyklus der Strukturmodellierung und Umsetzung beeinflusst. Die Verifikation sollte dokumentiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Monitoring-Evaluation / Validierung der Anforderungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.1.1 Grundschutz++ ASST.1.1 Verfahren und Regelungen Informationen und Assets MUSS Verfahren und Regelungen zum Management von Informationen und damit verbundener Assets verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum Management von Informationen und damit verbundener Assets", "definitions": {}}, "guidance": "Informationsmanagement ist der systematische Umgang mit Informationen während ihres gesamten Lebenszyklus, einschließlich von Regelungen, Prozessen und technischen Verfahren zur Erhebung, Verarbeitung, Speicherung, sowie Löschung und Vernichtung. Dazu gehören z.B. Schutzbedarf, Verarbeitung in den Geschäftsprozessen, Aufbewahrungs- und Löschfristen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Informationen und Assets / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.1.1.1 Grundschutz++ ASST.1.1.1 Dokumentation Informationen und Assets MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Informationen und Assets / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} ASST.1.1 \N \N \N +Grundschutz++:ASST.1.1.2 Grundschutz++ ASST.1.1.2 Zuweisung der Aufgaben Informationen und Assets MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Informationen und Assets / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} ASST.1.1 \N \N \N +Grundschutz++:ASST.1.1.3 Grundschutz++ ASST.1.1.3 Bekanntgabe Informationen und Assets MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Informationen und Assets / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} ASST.1.1 \N \N \N +Grundschutz++:ASST.1.2 Grundschutz++ ASST.1.2 Regelmäßige Überprüfung Informationen und Assets MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Informationen und Assets / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.8 Grundschutz++ ASST.3.8 Anonymisierung Informationen und Assets für Informationen KANN die Anonymisierung vor der Weitergabe verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Anonymisierung", "definitions": {}}, "guidance": "Bei der Anonymisierung werden Informationen so verändert, dass sie für den Empfänger nicht mehr dem ursprünglichen Informationswert oder Datensatz zugeordnet werden können. Dabei werden gezielt rückverfolgbare Merkmale entfernt oder verfremdet, sodass eine Zuordnung zu einem bestimmten Informationswert der Institution (z.B. einer Person, Systemkonfiguration oder Zugangskonto) nicht mehr möglich ist. Davon abzugrenzen ist die Pseudonymisierung („pseudonymization“), bei der eine Identifizierbarkeit theoretisch weiterhin besteht, etwa durch separate Zuordnungstabellen oder Schlüssel. Die Weitergabe meint hier jegliche Form des Teilens von Informationen über die Grenzen des Informationsverbundes hinaus – etwa an externe Dienstleister, Behörden oder Partnerinstitutionen – unabhängig davon, ob dies elektronisch, schriftlich oder mündlich geschieht. Beispiele sind die Bildung summarischer Statistiken aus personenbezogenen Daten oder die Ersetzung eines Gerätenamens durch eine zufällige Zeichenkette vor der Herausgabe zu Diagnosezwecken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Weitergabe", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.2.1 Grundschutz++ ASST.2.1 Inventar der Informationen Informationen und Assets SOLLTE ein Inventar der Informationen und damit verbundener Assets dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inventories", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der Informationen und damit verbundener Assets", "definitions": {}}, "guidance": "Um die Informationssicherheit zu schützen ist es erforderlich, die zu schützenden Werte systematisch zu erfassen und ihre Verwendung über den gesamten Lebenszyklus nachzuhalten. Sinnvoll ist es hierbei, den Detaillierungsgrad des Inventars angepasst an Schutzbedarf und Risikoprofil des Informationsverbundes zu wählen. Das Inventar kann eine Übersicht der für Geschäftsprozesse relevanten Kategorien von schützenswerten Informationen, z.B. für Kunden Vor- und Nachname, Adresse, IBAN, Telefonnummer, Kundenkennwort als Grundlage haben. Es muss sich allerdings nicht um eine einzige Liste von Informationen und Assets handeln. Um eine leichtere, automatische Pflege des Inventars zu ermöglichen ist es vielmehr sinnvoll, eine Reihe dynamischer Inventare oder Datenbestände möglichst nahe an der Quelle der Informationen zu verwenden, z.B. eine Verzeichnisdatenbank für Zugangskonten und Systeme, eine Anwendung zum Assetmanagement für physische Assets, sowie Dateisysteme oder Datenbanken für einzelne Dateien und Daten. Falls ein datenschutzrechtliches Verarbeitungsverzeichnis für die Erfassung von personenbezogenen Daten besteht, kann es ebenfalls in das Inventar einbezogen werden. Für physische Dokumente kann ein Aktenbestandsverzeichnis eingesetzt werden. Zur Erfassung von Netzen siehe Praktik Architektur. Zur Erfassung von Identitäten, Zugangskonten und Berechtigungen siehe Praktik Berechtigung. Für kurzlebige Informationen, z.B. virtuelle Maschinen, nur on-demand automatisch eingerichtet und wieder gelöscht werden oder händische Notizen, die nicht systematisch verarbeitet werden, ist keine Inventur erforderlich. Für Details zum IT-Assetmanagement siehe ISO/IEC 19770-1.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Informationen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.2.1.1 Grundschutz++ ASST.2.1.1 Informationsverantwortung Informationen und Assets für Daten SOLLTE die Zuständigkeit für deren Verarbeitung einer zuständigen Person oder Rolle zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zuständigkeit für deren Verarbeitung", "definitions": {}}, "guidance": "Hiermit ist das Eigentum oder die institutionsinterne Zuständigkeit für die Nutzung und den damit einhergehenden Schutz der jeweiligen Informationen und Assets (Asset Ownership) gemeint. Klare Zuweisungen stellen sicher, dass den Beteiligten nicht nur ihre prozessualen Aufgaben, sondern auch ihre Zuständigkeit für die konkreten Informationen bewusst und die damit verbundenen Pflichten bewusst sind. Dies kann durch dezentrales Nachhalten der Verantwortung nachgehalten werden. Alternativ kann auch eine Gruppierung der Informationen nach Assets wie Anwendungen oder Diensten umgesetzt werden, so dass die Zuständigen für das Asset dadurch auch die Zuständigkeit für die Informationen enthalten, die dort verarbeitet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Informationen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{einer zuständigen Person oder Rolle}}", "definitions": {}}} ASST.2.1 \N \N \N +Grundschutz++:ASST.2.2 Grundschutz++ ASST.2.2 Inventar der Systeme Informationen und Assets SOLLTE ein Inventar der IT-Systeme einschließlich Identifikationsbezeichnung und letztem bekannten Verbleib dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inventories, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der IT-Systeme", "definitions": {}}, "guidance": "Hierbei sind neben physischen Endgeräten auch Hostsysteme, virtuelle Systeme, IoT-Geräte, Funkgeräte und Fahrzeuge relevant, wenn diese für die Verarbeitung von Daten aus dem Informationsverbund bestimmt sind. Als Identifikationsbezeichnung ist z.B. die Identifikationsnummer gemeint. Hierzu können z.B. eine Gerätenummer, Hardware-MAC-Adresse oder ein DNS-Name zählen, anhand derer das System eindeutig und nachvollziehbar identifiziert wird. Mit Verbleib ist hier z.B. der physische Standort, die Person, das Virtualisierungssystem oder die Netzadresse gemeint, wo das IT-System zu finden ist. Kann durch Integration in das Inventar der Informationen umgesetzt werden. Ein Asset-Inventar kann im einfachsten Fall händisch gepflegt werden. Empfehlenswert ist jedoch, auch automatisierte Systeme zum Erfassen von Asset-Inventar (z.B. Verzeichnisdienste, CMDB, DHCP-Logging, Passive Asset Discovery Tools, EDR oder MDM) einzusetzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar IT-Systeme", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Identifikationsbezeichnung und letztem bekannten Verbleib", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.2.2.1 Grundschutz++ ASST.2.2.1 Aufdecken unautorisierter IT-Systeme Informationen und Assets für Netze SOLLTE das Aufdecken unautorisierter IT-Systeme verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Rogue Access Point", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Aufdecken unautorisierter IT-Systeme", "definitions": {}}, "guidance": "Ziel ist sicherzustellen, dass keine unautorisierten Assets im Informationsverbund betrieben werden. Hierzu können z.B. aktive Netzscans (z.B. mit Nmap), passive Analysen des Netzwerkverkehrs oder spezielle Werkzeuge zur Erkennung von unbekannten WLAN-Access-Points (z.B. Kismet) genutzt werden. Zur Behandlung können die gefundenen IT-Systeme beispielsweise aus dem Netz entfernt, in eine Quarantäne verschoben oder nach Überprüfung autorisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} ASST.2.2 \N \N \N +Grundschutz++:ASST.2.3 Grundschutz++ ASST.2.3 Inventar der Anwendungen Informationen und Assets SOLLTE ein Inventar der Anwendungen einschließlich Produktname, Versionsstand, Herkunft und Lizenzierung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inventories", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der Anwendungen", "definitions": {}}, "guidance": "Ein zentrales Inventar der Anwendungen, oft auch als Application Inventory oder Teil des Software Asset Management (SAM) bezeichnet, dient als grundlegende, strukturierte Übersicht aller in der Institution eingesetzten Applikationen. Relevant sind dabei sowohl lokal installierte Anwendungen, als auch solche, die auf Cloud-Servern oder in verteilten Diensten betrieben werden. Hierbei beschreibt die Herkunft nicht nur den Hersteller, sondern auch den Lieferanten oder die Bezugsquelle, um die Vertrauenswürdigkeit bewerten zu können. Die Lizensierung erfasst die rechtliche Grundlage für die Nutzung, einschließlich des Lizenzmodells (z.B. pro Benutzer, pro Gerät, Abonnement), der Anzahl erworbener Lizenzen und deren Gültigkeitsdauer. Häufig sind weitere Angaben sinnvoll, z.B. Beschaffungs- und Installationszeitpunkt, URL, App-Store, Schnittstellen wie z.B. Cloud-APIs oder Datenexporte in andere Anwendungen, auch auf Dateiserver. Ohne eine solche Übersicht könnte die Institution unwissentlich Software mit bekannten, kritischen Schwachstellen einsetzen oder durch den Einsatz nicht lizenzierter Produkte hohe finanzielle und rechtliche Risiken eingehen. Ein gepflegtes Inventar kann hingegen bei neuen Sicherheitswarnungen eine schnelle Auswirkungsanalyse ermöglichen. Zur praktischen Umsetzung kann die Institution eine zentrale Liste, beispielsweise in einer Datenbank oder einem spezialisierten SAM-Tool, aufbauen, die durch verschiedene Quellen gespeist wird. Eine automatisierte Erfassung kann durch technische Werkzeuge erfolgen, wie zum Beispiel durch (1) Netzwerks-Scanner, die installierte Applikationen auf Endgeräten identifizieren, (2) Agenten-basierte Systeme, die kontinuierlich Software-Änderungen melden, oder (3) die Auswertung von Daten aus zentralen Software-Verteilungssystemen. Die Dokumentation kann auch durch eine Liste mit Verweisen umgesetzt werden (z.B. auf die Lizendateien und Schnittstellenkonfiguration).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Anwendungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Produktname, Versionsstand, Herkunft und Lizenzierung", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.14 Grundschutz++ ASST.3.14 Reserve physischer Assets Informationen und Assets SOLLTE eine Reserve physischer Assets verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Reserve physischer Assets", "definitions": {}}, "guidance": "Die Beschaffung und Installation von Systemen und deren Peripherie nimmt gewöhnlich eine längere Zeit in Anspruch, weshalb es sinnvoll ist, Ersatzgeräte für Ausfälle bereitzuhalten. Die Menge der Ersatzgeräte reicht aus, wenn sie den voraussichtlichen Bedarf deckt, der bis zur Lieferung und Installation der nächsten Beschaffung vergeht. Der voraussichtliche Bedarf kann aus dem bisherigen Bedarf unter Anpassung an Veränderungen (z.B. Wachstum der Nutzerzahlen) berechnet werden. Typische Assets wären hier z.B. IT-Clients (Desktop PCs/Laptops), Smartphones oder andere häufig genutzte Endgeräte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.2.3.1 Grundschutz++ ASST.2.3.1 Autorisierung von Anwendungen Informationen und Assets für IT-Systeme SOLLTE die Nutzung von Anwendungen auf diesen durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nutzung von Anwendungen auf diesen", "definitions": {}}, "guidance": "Der Sinn dieser Regelung liegt in der Minimierung von Risiken, die durch unkontrollierte Nutzung entstehen. Durch nicht autorisierte Anwendungen könnte beispielsweise Schadsoftware in die Systeme der Institution eingeschleust, könnten durch Sicherheitslücken in veralteter Software Angriffsvektoren geöffnet oder könnten durch den Einsatz nicht konformer Tools sensible Informationen unkontrolliert abfließen. Ein strukturierter Autorisierungsprozess kann somit die Integrität der IT-Systeme wahren und sicherstellen, dass nur geprüfte, für den Geschäftszweck erforderliche und aus rechtlicher Sicht unbedenkliche Anwendungen zum Einsatz kommen, was die gesamte Angriffsfläche der Institution signifikant reduziert. Relevant sind dabei sowohl lokal installierte Anwendungen, als auch solche, die auf Cloud-Servern oder in verteilten Diensten betrieben werden. Je nach Geschäftsprozessen oder Risikoprofil kann die Autorisierung einzeln für jedes System und jede Anwendung, oder für bestimmte Kategorien von Systemen oder Anwendungen vorgenommen werden (z.B. \\"Alle Office-Produkte eines bestimmten Herstellers auf Notebooks mit einem bestimmten Betriebssystem). Hierbei ist es sinnvoll, Standard-Anwendungen zu bestimmen, die für alle Nutzenden freigegeben sind und die Verwendung darüber hinausgehender Anwendungen pro Nutzer oder Organisationseinheit zu autorisieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Anwendungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} ASST.2.3 \N \N \N +Grundschutz++:ASST.2.3.2 Grundschutz++ ASST.2.3.2 Software Bill of Materials (SBOM) Informationen und Assets für Anwendungen SOLLTE die Software Bill of Materials (SBOM) dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Software Bill of Materials (SBOM)", "definitions": {}}, "guidance": "Eine Software Bill of Materials (SBOM) ist in diesem Zusammenhang eine strukturierte Liste aller Komponenten, Bibliotheken und Abhängigkeiten, die in einer Anwendung enthalten sind, einschließlich ihrer Versionen und Herkunft. Sie kann dabei sowohl Open-Source- als auch proprietäre Bestandteile erfassen und in maschinenlesbaren Formaten (z. B. SPDX, CycloneDX) vorliegen. Der Zweck dieser Dokumentation liegt darin, Transparenz über die eingesetzten Softwarebestandteile zu schaffen, sodass Abhängigkeiten, potenzielle Schwachstellen oder veraltete Komponenten nachvollziehbar bleiben. Ohne diese Transparenz könnte es bei Sicherheitsvorfällen, Lizenzkonflikten oder fehlender Wartbarkeit zu erheblichen Problemen kommen, während eine gepflegte SBOM die schnelle Identifikation von Risiken, die Minimierung von Vendor Lock-in und die Nachvollziehbarkeit der Software-Lieferkette unterstützen kann. Hierzu kann die BSI TR-03183-2 verwendet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Anwendungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} ASST.2.3 \N \N \N +Grundschutz++:ASST.2.3.2.1 Grundschutz++ ASST.2.3.2.1 Software Discovery Informationen und Assets KANN die Aktualität des Inventars der Anwendungen durch ein automatisiertes Verfahren regelmäßig oder bei Änderungen überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Aktualität des Inventars der Anwendungen durch ein automatisiertes Verfahren", "definitions": {}}, "guidance": "Die automatische Aktualisierung des Anwendungsinventars (etwa bei Installationen, Konfigurationsänderungen und Deinstallationen) dient in erster Linie der vollständigen Transparenz über die IT-Landschaft. Ein aktuelles Anwendungsinventar kann als Grundlage für Compliance-Nachweise, Lizenzmanagement und Schwachstellenanalysen dienen. Die Automatisierung dieses Prozesses verringert dabei den manuellen Verwaltungsaufwand und erhöht die Datenqualität, da menschliche Fehler oder Versäumnisse bei der Dokumentation vermieden werden können. Konkrete Anwendungsfälle können die automatische Erfassung einer neu installierten ERP-Software im Inventar, die Dokumentation einer Konfigurationsänderung an einer Firewall-Anwendung oder die Entfernung einer nicht mehr genutzten Datenbanksoftware aus dem Inventar sein. Auch Updates von Anwendungen, Änderungen an Zugriffsberechtigungen oder Konfigurationsanpassungen aufgrund neuer Sicherheitsanforderungen können als relevante Ereignisse für eine Inventaraktualisierung betrachtet werden. Für die Umsetzung können Software Asset Management (SAM) Tools eingesetzt werden, die über Agenten oder regelmäßige Netzwerk-Scans Änderungen erkennen. Eine Alternative kann die Integration von Deployment- und Konfigurationsmanagement-Systemen mit der CMDB (Configuration Management Database) sein, wodurch jede Änderung automatisch im zentralen Inventar gespiegelt wird. Die Implementierung von Event-Triggern in der IT-Infrastruktur kann ebenfalls dazu beitragen, dass bei definierten Ereignissen eine sofortige Inventaraktualisierung ausgelöst wird. Einen hohen Mehrwert für alle Sicherheitsbereiche kann es haben, Inventardaten aus verschiedenen Quellen automatisiert miteinander abzugleichen, z.B. aus Verzeichnisdiensten, AMDB, EDR und CMDB. Eine regelmäßige Validierung der Prozesse durch Stichprobenkontrollen kann dabei helfen, die Vollständigkeit und Genauigkeit der automatisierten Inventarisierung zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig oder bei Änderungen}}", "definitions": {}}} ASST.2.3.2 \N \N \N +Grundschutz++:ASST.2.4 Grundschutz++ ASST.2.4 Klassifizierung Informationen und Assets für Daten SOLLTE diese einer Schutzbedarfsklasse zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese einer Schutzbedarfsklasse", "definitions": {}}, "guidance": "Klassifizierung dient dazu, Daten entsprechend ihrer Schutzbedürftigkeit systematisch zu ordnen, um angemessene Schutzmaßnahmen zielgerichtet umzusetzen und Risiken effektiv zu reduzieren. Unter Klassifizierung versteht man dabei die Einteilung von Daten in Kategorien, etwa \\"öffentlich\\", \\"intern\\", \\"vertraulich\\" oder \\"Verschlussache - Nur für den Dienstgebrauch\\". Beispielsweise ist eine öffentlich zugängliche Marketingbroschüre weniger sensibel als personenbezogene Kundendaten, Betriebs- und Geschäftsgeheimnisse oder staatliche Verschlusssachen. Anzahl der Klassen und Umfang der Beschreibungen können sich an den ermittelten Risiken und der Menge der verarbeiteten Informationen orientieren. Die Kriterien zur Klassifizierung können sich daran orientieren, mit welchen Schäden eine Kompromittierung der Vertraulichkeit, Integrität oder Verfügbarkeit verbunden wäre, z.B. geschätzte Umsatzverluste, Gefahr für die Allgemeinheit, Schädigung der Rechte und Freiheiten betroffener Personen. Für Assets ist es sinnvoll, diese im Einklang mit der Klassifikation der Informationen ebenfalls in Klassen zu unterteilen, für deren Verarbeitung sie gebraucht werden. Je nach Aufgaben der Institution und Arten von verarbeiteten Informationen bietet es sich an, ein bestehendes Klassifikationsschema 1:1 zu verwenden - etwa das Schema der Verschlusssachenanweisung (VSA) - oder ein eigenes Schema zu erstellen, in dem mehrere bestehende Schemata auf die eigenentwickelten Klassen abgebildet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Inventarisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Informationen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.1 Grundschutz++ ASST.3.1 Nutzungsvereinbarungen Informationen und Assets für Nutzende SOLLTE diese zu den Regelungen der Nutzung von Informationen und anderen Assets anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese zu den Regelungen der Nutzung von Informationen und anderen Assets", "definitions": {}}, "guidance": "Wenn Nutzende nicht angewiesen werden bestimmte Nutzungsregelungen einzuhalten, dann könnte es zu ungewollten Verstößen gegen die Sicherheitsverfahren kommen. Auch Maßregelungen bei Verstößen werden erschwert, wenn unklar ist, ob Verstöße für die Nutzenden vorher als solche erkennbar waren. Dies gilt insbesondere für externe Personen, die nur durch die Nutzung von Assets mit den Regelungen in Berührung kommen könnten, z.B. Kunden oder Drittunternehmen. Die konkreten Regelungen ergeben sich aus den Maßnahmen zur Umsetzung der anderen Anforderungen dieser Praktik und den Anforderungen zur Sensibilisierung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.1.4 Grundschutz++ BES.1.4 Outsourcing-Strategie Beschaffungsmanagement für Outsourcing KANN eine Strategie mit Zielen, Chancen und Risiken des Outsourcings verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Shared Responsibility Model", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Strategie", "definitions": {}}, "guidance": "Outsourcing-Strategie bezeichnet hierbei die von der Institution festgelegten Grundsätze, Entscheidungskriterien und Grenzen für die Auslagerung von Leistungen. Die Strategie beinhaltet z.B. die Entscheidung über die Art und den Scope des Outsourcings und welche Arten von Anwendungen/Daten oder Prozessen ausgelagert werden. Bei einem Outsourcing in die Cloud wäre hier z.B. über \\"cloud only, cloud first, some cloud, no cloud\\" und bei der Bereitstellungsart über \\"Saas, PaaS, IaaS\\" etc. zu entscheiden. Typische Risiken sind versteckte Kosten, unklare Zuständigkeiten (\\"Verantwortungsdiffusion\\") durch gemeinsame Verantwortlichkeit mit dem Dienstleister für die Informationssicherheit (Shared Responsibility), Verlust von eigenem Knowhow, Abhängigkeit vom Anbietenden von Outsourcing, Verlust von Kontroll- und Steuerungsmöglichkeiten, Einblicke Dritter in interne Betriebsabläufe und Daten. Ziele beinhalten unter anderem auch die angestrebten Sicherheitsziele, z.B. \\"bei Bearbeitung von VS-NfD Inhalten die Einhaltung der VSA\\". Chancen können z.B. in einer schnelleren Einführung neuer Technologien, einer höheren Flexibilität bei Lastspitzen, einer verbesserten Verfügbarkeit durch die Infrastruktur des Dienstleisters oder in Kostenersparnissen durch Skaleneffekte liegen. Im Cloud-Kontext ergeben sich zudem Möglichkeiten wie eine weltweite Standortunabhängigkeit, einfachere Anbindung verteilter Teams oder die Nutzung spezialisierter Sicherheits- und Compliance-Services, die intern nur mit erheblichem Aufwand aufgebaut werden könnten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Outsourcing Strategie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Zielen, Chancen und Risiken des Outsourcings", "definitions": {}}} \N \N \N \N +SCF:AAT-04.3 SCF AAT-04.3 AI & Autonomous Technologies Targeted Application Scope Mechanisms exist to specify and document the targeted application scope of the proposed use and operation of Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-04.3_AAT-04.3_A01", "name": "assessment-objective", "prose": "the scope for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is defined."}]} \N \N \N \N +Grundschutz++:ASST.3.2 Grundschutz++ ASST.3.2 Entfernung nicht erforderlicher Rest- oder Zusatzdaten Informationen und Assets für Daten SOLLTE die Entfernung nicht erforderlicher Rest- oder Zusatzdaten verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Entfernung nicht erforderlicher Rest- oder Zusatzdaten", "definitions": {}}, "guidance": "Hierunter können z.B. Metainformationen wie Bearbeitername oder Geostandort fallen. Handelt es sich um strukturierte Daten, so ist eine automatisierte Entfernung leicht möglich. Für unstrukturierte Daten hat sich eine Kombination aus automatischer Filterung / Regex und manueller Überprüfung bewährt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.3 Grundschutz++ ASST.3.3 Kennzeichnung Informationen und Assets SOLLTE die Kennzeichnung von Informationen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Archivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Kennzeichnung von Informationen", "definitions": {}}, "guidance": "Kennzeichnungen helfen dabei sicherzustellen, dass vertrauliche, personenbezogene oder besonders kritische Daten im gesamten Lebenszyklus angemessen behandelt werden – von der Erstellung über die Verarbeitung bis hin zur Archivierung oder Löschung. Hierzu gehört sowohl die Kennzeichnung physikalischer Systeme oder Speichermedien als auch die virtuelle Kennzeichnung, z.B. durch Metadaten oder die Kopfzeile eines Dokumentes. Eine klare Kennzeichnung kann dazu beitragen, unbeabsichtigte Offenlegung, unsachgemäße Weitergabe oder unsichere Verarbeitung zu vermeiden, die Sensibilisierung für den Umgang mit verschiedenen Informationsarten fördern und rechtlichen oder regulatorischen Anforderungen (z. B. DSGVO, Geheimschutz) Rechnung tragen. Beispiele sind Informationen, die einer bestimmten Schutzbedarfsklasse (z. B. „vertraulich“, „intern“) zugeordnet sind. Auch personenbezogene Daten, Forschungsergebnisse, Finanzinformationen, Sicherheitskonzepte oder technische Spezifikationen können einer Kennzeichnungspflicht unterliegen. Die Art der Kennzeichnung kann visuell erfolgen, etwa durch Wasserzeichen, farbige Markierungen, Aufkleber, sowie Kopf-/Fußzeilen oder Metadaten in Dateien. Wichtig ist, dass die Kennzeichnung verständlich, konsistent und leicht erkennbar ist, um ihre Schutzwirkung zu entfalten. Zur Umsetzung ist es nicht erforderlich, dass alle Daten, Systeme oder Speichermedien gekennzeichnet sind sondern nur solche, deren Risikoprofil eine solche Kennzeichnung erforderlich macht - hier ist insbesondere die Vertraulichkeit oder Verfügbarkeit relevant. Dokumentvorlagen, automatisierte Klassifizierungsfunktionen in gängigen Office-Programmen oder Richtlinien in einem DMS können helfen die Einhaltung zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.4 Grundschutz++ ASST.3.4 Kennzeichnung ohne vertrauliche Daten Informationen und Assets für IT-Systeme SOLLTE Kennzeichnung ohne vertrauliche Daten verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kennzeichnung ohne vertrauliche Daten", "definitions": {}}, "guidance": "Enthalten Kennzeichnungen vertrauliche Daten wie den Namen des zugeordneten Mitarbeiters, des Standortes, der Netzstruktur oder der Abteilung, so könnten diese Angaben von Angreifern ausgelesen werden, z.B. über das Netz, per Bluetooth oder durch physisches Ablesen. Die so abgeflossenen Daten könnten Angreifer zur weiteren Ausforschung der Institution oder des Zugangs zu Daten missbrauchen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.5 Grundschutz++ ASST.3.5 Tainting Informationen und Assets für Daten KANN eine Markierung durch eingebettete Daten oder Funktionen zur Wiedererkennung zuweisen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Markierung durch eingebettete Daten oder Funktionen zur Wiedererkennung", "definitions": {}}, "guidance": "Zielt darauf ab, die Nachverfolgbarkeit und Kontextbindung von Daten zu ermöglichen, insbesondere in komplexen IT-Systemen, in denen Daten über viele Verarbeitungsschritte hinweg genutzt, kombiniert oder verteilt werden. Durch die Einbettung spezifischer, erkenntlicher Merkmale (z.B. Metadaten, Marker oder Funktionsventhalten) kann ein Datensatz identifizierbar gemacht werden, ohne dass seine Funktion oder Nutzbarkeit wesentlich eingeschränkt wird. Dies kann bei der Erkennung unerlaubter Datenweitergaben, der Nachverfolgung von Datenflüssen oder bei Sicherheitsanalysen hilfreich sein, insbesondere wenn potenziell sensible oder schützenswerte Daten im Spiel sind. Für welche Daten Tainting gezielt eingesetzt wird kann sich nach deren Klassifizierung oder einer spezifischen Risikoanalyse richten. Beispiele für Tainting-Mechanismen können sein: das Einfügen eines unsichtbaren Wasserzeichens in ein Dokument, das Anhängen kryptografisch prüfbarer Metadaten an Datensätze, Dummy-Datensätze oder das Verwenden von Datencontainern, die sich beim Zugriff oder bei der Weitergabe protokollierend venthalten. Auch das Markieren von Datenbankeinträgen mit zusätzlichen Attributen, die Rückschlüsse auf Herkunft, Vertrauensstufe oder Kontext erlauben, kann eine Form des Taintings darstellen. Ebenso kann bei Programmcode eine Markierung durch sogenannte Taint-Tracking-Systeme erfolgen, die überwachen, welche Eingaben in sicherheitskritische Operationen einfließen. Für die Umsetzung kann der Einsatz strukturierter Datenformate (wie XML oder JSON mit Markierungsfeldern), der Aufbau kontrollierter Datenflüsse mit Protokollierung oder das Nutzen von Middleware-Komponenten mit Tainting-Funktionalität in Betracht gezogen werden. Wichtig ist dabei, dass die Tainting-Informationen robust, interpretierbar und möglichst schwer entfernbar gestaltet werden, um ihre Wirksamkeit zu sichern. Die Wahl geeigneter Methoden hängt stark vom Anwendungskontext, den Schutzbedarfen und den bestehenden Systemarchitekturen ab.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.6 Grundschutz++ ASST.3.6 Verifikation Informationen und Assets für Informationen KANN die Korrektheit anhand anderer Informationsquellen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Korrektheit", "definitions": {}}, "guidance": "Wenn die Korrektheit bestimmter Informationen von hohen Bedeutung ist, hilft eine Verifikation aus zweiter Quelle dabei, fundierte und belastbare Entscheidungen in sicherheitsrelevanten Situationen treffen zu können. Durch Verifikation wird das Risiko verringert, dass Fehlinformationen in Geschäftsprozessen oder dem Sicherheitsmanagement weiterverarbeitet werden und sich Fehler so fortsetzen oder Vorfälle übersehen werden. Sie kann insbesondere dazu beitragen, Fehlalarme zu erkennen, Täuschungsversuche (z.B. durch gefälschte Logdaten) zu identifizieren oder die Wirksamkeit von Gegenmaßnahmen zu bewerten. Die Anforderung stärkt somit die Integrität und Qualität der sicherheitsbezogenen Lagebewertung. Beispiele für Ereignisse können sicherheitsrelevante Systemmeldungen, Alarme aus Intrusion Detection Systemen (IDS), Hinweise auf Datenabflüsse oder ungewöhnliches Nutzerventhalten sein. Informationsquellen können externe Dienstleister, Zeugen, Sicherungskopien oder Sensoren in der physischen Sicherheit sein. Die Verifikation kann sich in solchen Fällen z.B. auf die Gegenprüfung eines IDS-Alarms durch Logdaten anderer Systeme oder durch Replizierbarkeit des Ereignisses in einer Testumgebung beziehen. In der Praxis kann eine Verifikation unter anderem durch Korrelation mehrerer unabhängiger Datenquellen erfolgen. Auch das Einführen von Plausibilitätsprüfungen, standardisierten Analyseverfahren oder temporären Reproduktionsversuchen kann hilfreich sein. Eine strukturierte Dokumentation der Informationsquellen und ihrer typischen Aussagekraft kann ebenfalls zur Umsetzung beitragen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand anderer Informationsquellen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.7 Grundschutz++ ASST.3.7 Pseudonymisierung Informationen und Assets für Informationen KANN die Pseudonymisierung vor der Weitergabe verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Pseudonymisierung", "definitions": {}}, "guidance": "Bei der Pseudonymisierung werden Informationen so verändert, dass sie für den Empfänger nicht mehr dem ursprünglichen Informationswert oder Datensatz zugeordnet werden können, ohne zusätzliche Informationen hinzuzuziehen. Die Weitergabe meint hier jegliche Form des Teilens von Informationen über die Grenzen des Informationsverbundes hinaus – etwa an externe Dienstleister, Behörden oder Partnerinstitutionen – unabhängig davon, ob dies elektronisch, schriftlich oder mündlich geschieht. Anwendungsbeispiele sind personenbezogene Daten oder institutionsinterne IP-Adressbereiche, die zu Diagnosezwecken herausgegeben oder zum Zugriff auf Cloud-Dienste von der Institution verwendet werden. Problematisch ist hierbei oft die funktionsenthaltende Pseudonymisierung, d.h. die Pseudonymisierung derart, dass es bei der beabsichtigten Verwendung zu keinen Problemen durch die Pseudonymisierung kommt. Typische Umsetzungsmaßnahmen können beinhalten: (1) den Einsatz technischer Pseudonymisierungsverfahren wie Hashing oder Tokenisierung, (2) die getrennte, zugriffsbeschränkte Speicherung von Zuordnungstabellen („mapping tables“) in gesicherten Datenräumen oder Datenbanken, und (3) den Einsatz kontrollierter Schlüsselverwaltung, die nur autorisierten Personen eine Re-Identifizierung erlaubt. Auch kann eine Pseudonymisierung in Prozessen oder Schnittstellen fest verankert werden, etwa durch automatisierte Filtermechanismen bei Exporten oder vor externen Übertragungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Weitergabe", "definitions": {}}} \N \N \N \N +SCF:NET-03.3 SCF NET-03.3 Prevent Discovery of Internal Information Mechanisms exist to prevent the public disclosure of internal network information. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.3_NET-03.3_A01", "name": "assessment-objective", "prose": "the discovery of specific system components that represent a managed interface is prevented."}]} \N \N \N \N +Grundschutz++:ASST.3.9 Grundschutz++ ASST.3.9 Aktualisierung Informationen und Assets für Daten KANN deren Aktualisierung verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "deren Aktualisierung", "definitions": {}}, "guidance": "Wenn gespeicherte Daten nicht regelmäßig mit Veränderungen abgeglichen werden, nimmt das Risiko von Fehlern in den Daten zu. Ein Abgleich mit Quellen kann durch automatische Vergleichsprozesse (z.B. anhand von Checksummen) vorgenommen werden oder durch eine Versionsverwaltung erleichtert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.10 Grundschutz++ ASST.3.10 Autorisierung von Datenlokationen Informationen und Assets für Daten SOLLTE Datenlokationen durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Shadow IT", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Datenlokationen", "definitions": {}}, "guidance": "Autorisierte Datenlokationen sind virtuelle oder physische Orte, an denen die Speicherung oder anderweitige Verarbeitung der jeweiligen Datenkategorie durch die Institution erlaubt wird. Physische Orten sind z.B. Serverstandorte in der EU, aber auch die organisatorische Regelung zu Standorten wie dem Mobile Arbeitsplatz oder Auslandsreisen außerhalb der EU gemeint. Regelungen könnten hier z.B. sein: \\"Verarbeitung als vertraulich markierter Daten nur innerhalb von Institutsgebäuden\\", \\"Personenbezogene Daten nur innerhalb der EU\\". Je nach Datenart bestehen auch häufig Compliance-Verpflichtungen (z.B. DSGVO, Staatenliste im Sinne von § 13 Abs. 1 Nr. 17 SÜG), durch die erlaubte Datenlokationen beschränkt sind. Virtuelle Datenlokationen (z.B. VoIP-Netz, dom0, Hauptgebäude) sind Verarbeitungssphären.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.11 Grundschutz++ ASST.3.11 Autorisierung von Systemen Informationen und Assets für Daten SOLLTE für die Informationsverarbeitung verwendete Systeme durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak, Shadow IT", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Informationsverarbeitung verwendete Systeme", "definitions": {}}, "guidance": "Autorisierte Systeme können einzeln oder als Kategorien von IT-Systemen und Peripherie benannt werden, auf denen bestimmte Daten verarbeitet werden dürfen. Hierzu gehört auch, welche Peripheriegeräte angeschlossen werden dürfen, z.B. z.B. keine Speicherung sensibler Erreichbarkeiten auf einem einfachen Mobiltelefon oder Verarbeitung hochvertraulicher Daten nur auf stationären Endgeräten. Relevant ist dabei auch, ob Bring Your Own Device (BYOD) untersagt oder unter bestimmten Voraussetzungen gestattet ist. Kann entweder einmalig für alle Daten, oder getrennt nach Datenkategorien (z.B. keine personenbezogenen Daten auf Ausleihgeräten) umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.11.1 Grundschutz++ ASST.3.11.1 Autorisierung von Peripheriegeräten Informationen und Assets für Daten SOLLTE auch Peripheriegeräte autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak, Shadow IT", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "auch Peripheriegeräte", "definitions": {}}, "guidance": "Peripheriegeräte sind externe Hardware-Komponenten sowie virtuelle Geräte, die an IT-Systeme angeschlossen oder eingebunden werden, darunter USB-Sticks, externe Festplatten, Drucker, Kameras, Smartphones, Tablets, virtuelle Laufwerke, softwaredefinierte Netzwerkadapter und emulierte Hardware. Die Autorisierung solcher Geräte schützt vor Sicherheitsrisiken, da unkontrollierte Peripherie Malware einschleusen, Daten exfiltrieren oder als Einfallstor für Angriffe dienen kann; so kann ein privater USB-Datenträger Schadsoftware enthalten, die sich beim Anschluss ausbreitet, oder ein nicht autorisierter Drucker vertrauliche Dokumente in ungeschützten Bereichen ausgeben. Die Umsetzung erfolgt zweckmäßig über eine zentrale Geräteregistrierung, in der alle zulässigen Geräte mit eindeutigen Kennungen erfasst werden; abhängig vom Risikoprofil kann die Autorisierung gerätespezifisch oder für ganze Gerätegruppen erfolgen (etwa für alle beschafften Tastaturen und Mäuse). Administrative Prozesse umfassen ein Antragsverfahren für neue Peripheriegeräte mit Sicherheitsbewertung, die regelmäßige Überprüfung und Aktualisierung der Gerätelisten sowie die Definition von Gerätekategorien mit abgestuften Autorisierungsebenen, beispielsweise vollständig gesperrte USB-Ports für externe Nutzer, eingeschränkte Freigaben für Standardarbeitsplätze und erweiterte Berechtigungen für Administratoren. Technisch wird dies durch Device-Control-Lösungen unterstützt, die nur autorisierte Geräte anhand von Hardware-IDs, Herstellerzertifikaten oder digitalen Signaturen erkennen und freischalten; ergänzend erhöhen Logging-Mechanismen zur Nachverfolgung sämtlicher Peripheriegeräte-Aktivitäten die Transparenz und Auditierbarkeit der Prozesse. Die Autorisierung selbst erfolgt durch die Personen oder Rollen, die in der Organisation für die Freigabe der betreffenden Systeme verantwortlich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}} ASST.3.11 \N \N \N +Grundschutz++:ASST.3.12 Grundschutz++ ASST.3.12 Autorisierung von Personen oder Institutionen Informationen und Assets für Daten SOLLTE den Zugriff von Personen oder Institutionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff von Personen oder Institutionen", "definitions": {}}, "guidance": "Ziel dieser Regelung ist es, sicherzustellen, dass nur berechtigte Stellen auf sensible Werte zugreifen, wodurch unautorisierte Einsichtnahme, Manipulation oder Missbrauch verhindert werden kann. Ohne eine klare Kopplung an Identitäts- und Berechtigungsmanagement könnte es zu unkontrollierten Datenabflüssen, Einsicht durch Dritte oder langfristigen Abhängigkeiten von bestimmten Dienstleistern kommen, die den Zugriff einseitig steuern könnten. Eine korrekte Umsetzung kann hingegen Transparenz schaffen und den Zugriff auf Informationen nachvollziehbar, reversibel und sicher gestalten. Umfasst sowohl die Autorisierung eigenen Personals, als auch die Autorisierung externer Dienstleister oder Partner. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Autorisierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.13 Grundschutz++ ASST.3.13 Lagerung physischer Assets Informationen und Assets für Administrierende SOLLTE zur Lagerung physischer Assets in einem dazu vorgesehenen Lager anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Lagerung physischer Assets", "definitions": {}}, "guidance": "Lagerung meint hier die Aufbewahrung nicht an Nutzende ausgegebener physischer Assets. Die Lagerung kann in verschlossenen Lagerräumen, Schränken oder bei Dienstleistern erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in einem dazu vorgesehenen Lager", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.3.15 Grundschutz++ ASST.3.15 Ausleihe physischer Assets Informationen und Assets KANN einen ausreichenden Ausleihbestand verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen ausreichenden Ausleihbestand", "definitions": {}}, "guidance": "Wenn bei bestimmten Ereignissen wie Auslandsreisen, Veranstaltungen oder Sicherheitsvorfällen die regulären Endgeräte nicht verwendet werden können (z.B. aufgrund der Regelungen zu Datenlokationen oder der Vorfallsbehandlung), dann ist es sinnvoll Endgeräte bereitzuhalten, die nur mit den für die Ereignisse notwendigen Anwendungen und Daten ausgestattet sind. Die Menge der Ausleihgeräte ist ausreichend, wenn sie den Bedarf deckt. Der Bedarf kann anhand einer Prognose ermittelt werden, die sich wiederum auf bekannte Statistiken (z.B. Anzahl der Nutzenden, Anzahl der Teilnehmer von Schulungsveranstaltungen, Anzahl Auslandsreisen pro Jahr) stützen kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Gebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.4.1 Grundschutz++ ASST.4.1 Autorisierung von Schnittstellen Informationen und Assets für Daten KANN Schnittstellen, über die Informationen ausgetauscht werden, durch eine zuständige Person oder Rolle autorisieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schnittstellen, über die Informationen ausgetauscht werden,", "definitions": {}}, "guidance": "Schnittstellen können hier sowohl physikalisch (z.B. Briefversand, regelmäßige Meetings an einem geschützten Ort) als auch virtuell (API, verschlüsselter Cloudspeicher) sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Transfer", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.4.2 Grundschutz++ ASST.4.2 Vertraulichkeit und Integrität beim Transport Informationen und Assets für Daten SOLLTE Vertraulichkeit und Integrität beim Transport verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Vertraulichkeit und Integrität beim Transport", "definitions": {}}, "guidance": "Transport meint hier sowohl die Datenübertragung per Netz als auch auf physischen Datenträgern (Sneakernet) oder den physischen Transport ganzer Systeme. Zur Umsetzung kann z.B. in Netzen die Transportverschlüsselung und -signierung von E-Mails, Ende-zu-Ende-Verschlüsselung mit PGP genutzt werden. Beim physischen Transport können die vorherige Verschlüsselung von Speichermedien, die Verwahrung von Assets an der Person, Verwahrungsprotokolle, manipulationssichere Verpackungen, Geolocation Tracking oder vertrauenswürdige Kuriere genutzt werden. Die Auswahl der Maßnahmen richtet sich nach dem Schutzbedarf der ausgetauschten Informationen und der Transportart.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Transfer", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.4.3 Grundschutz++ ASST.4.3 Autorisierung von Veröffentlichungen Informationen und Assets SOLLTE Veröffentlichungen durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Veröffentlichungen", "definitions": {}}, "guidance": "„Veröffentlichungen“ bezieht sich hier auf jede Form der öffentlichen oder externen Verbreitung von Informationen, sei es durch Pressemitteilungen, Social-Media-Beiträge, wissenschaftliche Publikationen, öffentliche Datensätze oder zur Erfüllung gesetzlicher Informationspflichten. Hierbei besteht das Risiko, dass vertrauliche Informationen unbeabsichtigt veröffentlicht werden. Kriterien zur Veröffentlichung können z.B. das Entfernen von Geschäftsgeheimnissen oder die Freigabe durch bestimmte Stellen innerhalb oder außerhalb der Institution sein. Der Hauptzweck dieser Anforderung ist die Schaffung einer Gatekeeping-Funktion, um den Informationsfluss zu steuern, der die Institution verlässt, und so das Risiko unbefugter oder schädlicher Offenlegungen zu mindern. Ohne diese Kontrolle könnte eine Institution versehentlich sensible Geschäftsdaten, geistiges Eigentum oder vertrauliche Kundeninformationen offenlegen, was zu schwerwiegendem Reputationsschaden, finanziellem Verlust oder rechtlichen Strafen führen könnte. So könnte ein nicht genehmigter Social-Media-Beitrag Details über ein noch nicht veröffentlichtes Produkt preisgeben, ein Forscher könnte versehentlich einen Datensatz mit vertraulichen Informationen veröffentlichen, oder ein Finanzbericht könnte vorzeitig veröffentlicht werden und Marktvolatilität verursachen. Ein sinnvoller Ansatz könnte die Einrichtung eines gestuften Genehmigungsprozesses sein, der auf der Sensibilität der Informationen basiert und sich am Konzept der Vertraulichkeitsanforderungen orientiert. Eine öffentliche Ankündigung von geringer Sensibilität erfordert möglicherweise nur die Genehmigung durch einen Abteilungsleiter, während ein Finanzbericht mit hohem Risiko die Unterschrift mehrerer Führungskräfte, einschließlich des Leiters der Rechtsabteilung und des CISO, erfordert. Um dies zu erleichtern, können Institutionen technische Maßnahmen ergreifen, wie z. B. ein digitales Workflow-System, in dem der Veröffentlichungsstatus eines Dokuments nachverfolgt und verwaltet wird. Dieses System könnte Funktionen umfassen wie: (1) automatisches Routing von Dokumenten an die entsprechenden Genehmiger, (2) eine sichere Überwachung aller Genehmigungen und Ablehnungen, und (3) ein zentrales Repository für alle genehmigten und veröffentlichten Materialien. Aus prozessualer Sicht ist es von Vorteil, eine Veröffentlichungs-Checkliste zu erstellen, die sicherstellt, dass alle relevanten rechtlichen und Compliance-Prüfungen vor der Veröffentlichung durchgeführt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Transfer", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.4.4 Grundschutz++ ASST.4.4 Nachweis des Zugangs Informationen und Assets für Daten KANN einen Nachweis des Zugangs protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Nachweis des Zugangs", "definitions": {}}, "guidance": "Ein Zugangsnachweis stellt sicher, dass bestimmte Nachrichten ihren Empfänger tatsächlich erreicht haben und dieser Zugang im Streitfall nachvollziehbar belegt werden kann. Dies ist insbesondere in rechtlich relevanten Kontexten oder bei Revisionen von Bedeutung – etwa wenn Fristen, Genehmigungen oder vertrauliche Informationen übermittelt werden. Kriterien können sich an der Nachvollziehbarkeit der Integrität der Informationen oder ihrer Rechtswirkung orientieren, z.B. wenn sie einen Vertragsabschluss oder die Bekanntgabe eines Verwaltungsaktes, auslösen. Beispiele hierfür sind arbeitsrechtlich relevante Dokumente wie Abmahnungen oder Kündigungen, Sicherheitsanweisungen, Änderungen an internen Richtlinien, Zugangsdaten zu sicherheitsrelevanten Systemen oder auch technische Anordnungen mit verbindlichem Charakter. Die Kriterien können zusammen mit anderen Kriterien dokumentiert sein, beispielsweise im Rahmen eines Informationssicherheitskonzepts oder Kommunikationsleitfadens. Die Umsetzung dieser Anforderung kann durch verschiedene technische und organisatorische Maßnahmen erfolgen. Dazu gehören u. a. die Nutzung von E-Mail-Systemen mit Empfangsbestätigung, das Verwenden von Systemprotokollen oder speziellen Portalen mit Zugriffsnachweis. Wichtig ist dabei, dass der Nachweis manipulationssicher gespeichert und nachvollziehbar archiviert wird – bis zum Ablauf einer definierten Aufbewahrungsfrist, z. B. drei oder fünf Jahre, je nach rechtlicher oder organisatorischer Vorgabe. Sinnvoll ist es hierbei nicht nur die Tatsache des Zugangs zu einem bestimmten Zeitpunkt sondern auch für den Nachweis relevante Inhalte zu dokumentieren, z.B. Titel, sowie Versand- und Zieladressen der Nachricht. Sie kann je nach Medium auch den Inhalt der Nachricht enthalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Transfer", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.4.5 Grundschutz++ ASST.4.5 Vereinbarungen zum Austausch Informationen und Assets für Daten SOLLTE Regelungen zum Transfer verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen zum Transfer", "definitions": {}}, "guidance": "Beispielsweise kann es für Geschäfts- und Betriebsgeheimnisse wie Patente sinnvoll sein, eine explizite Vertraulichkeitsvereinbarung abzuschließen, bevor genaue Informationen weitergegeben werden. Hierzu kann z.B. gehören nach welchen Kriterien ausgetausche Informationen zu klassifizieren sind oder wie in eine bestimme Klasse eingestufte Daten zu schützen oder verarbeiten sind. Die Vereinbarung über anzuwendende Sicherheitsanforderungen kann anhand von vorformulierten Vertragstexten erfolgen oder über den Austausch von Sicherheitsanforderungen in strukturierten Datenformaten wie OSCAL. Letzteres hat den Vorteil, dass weiterführende Daten etwa zum Umsetzungsstand ebenfalls leichter gepflegt und ausgetauscht werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Regelungen zum Transfer", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verträge", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.1 Grundschutz++ ASST.5.1 Wartungsbedarf dokumentieren Informationen und Assets für IT-Systeme SOLLTE den Wartungsbedarf für Systemkomponenten und die zum Betrieb erforderliche Infrastruktur dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Wartungsbedarf", "definitions": {}}, "guidance": "Wartungsbedarf meint die regelmäßig oder anlassbezogen erforderlichen Maßnahmen zur Instandhaltung, Aktualisierung und Funktionssicherung von Systemkomponenten und der Betriebsinfrastruktur eines IT-Systems. Unter Systemkomponenten sind hier sowohl Hardware-Elemente (Server, Netzwerkkomponenten, Speichergeräte) als auch Software-Elemente (Betriebssysteme, Middleware, Anwendungen) zu verstehen; die Infrastruktur umfasst unterstützende Einrichtungen wie Stromversorgung, Klimatisierung, Kommunikationsschnittstellen oder Brandabschottungen für Kabel- und Rohrdurchführungen. Ziel der Dokumentation ist es, einen strukturierten Überblick über alle Abhängigkeiten, Wartungszyklen und Zuständigkeiten zu schaffen, um sicherzustellen, dass Betrieb und Sicherheit des Systems über den gesamten Lebenszyklus hinweg gewährleistet bleiben. Die Dokumentation des Wartungsbedarfs kann verhindern, dass kritische Komponenten ungeplant ausfallen oder Sicherheitslücken durch versäumte Updates bestehen bleiben. Ohne klare Wartungsinformationen könnte beispielsweise ein Firmware-Update bei einer Netzkomponente übersehen werden, was Angreifern das Eindringen über bekannte Schwachstellen erleichtern könnte. Umgekehrt kann eine dokumentierte Wartungsplanung dazu beitragen, Systemverfügbarkeit und Integrität zu sichern, indem sie planbare Wartungsfenster und Zuständigkeiten ermöglicht. Durch das Zusammenführen der Herstellerangaben mit den vor Ort bekannten Rahmenbedingungen kann frühzeitig erkennbar werden, wann Eingriffe nötig sind, welche Abhängigkeiten bestehen und welche Fachkenntnisse oder Werkzeuge erforderlich sein können. Zum Ressourcenbedarf kann ebenso gehören, dass ein Testsystem bereitgestellt wird, dass administrative Zugänge vorbereitet werden oder dass ein Wartungsdienstleister während der Arbeiten abgesichert fernzugreifen kann. Für die praktische Umsetzung kann es hilfreich sein, einen zentralen Wartungskalender mit Ampel‑Logik zu führen, der sich aus dem Konfigurations‑ oder Asset‑Management speist. Eine Ticket‑ oder Change‑Management‑Lösung kann automatisch Termine auslösen, Erinnerungen versenden und Reports erzeugen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für Systemkomponenten und die zum Betrieb erforderliche Infrastruktur", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.2 Grundschutz++ ASST.5.2 Geregelte Wartungen Informationen und Assets für IT-Systeme SOLLTE die Wartung regelmäßig oder prädiktiv ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wartung", "definitions": {}}, "guidance": "„Wartung“ bezeichnet hier sämtliche planmäßigen oder zustandsabhängigen Maßnahmen zur Erhaltung der Funktionsfähigkeit, Sicherheit und Integrität von IT-Systemen, Anwendungen und den zugehörigen physischen wie logischen Assets („maintenance“). Verschleißende Systeme und Infrastrukturen könnten zu Fehlerzuständen und hierdurch zu Ausfallzeiten und Sicherheitsrisiken führen. Das betrifft auch die für das IT-System verwendete Stromversorgung, USV, Klimatechnik, sowie Brandabschottungen für Kabel- und Rohrdurchführungen. Beispiele hierfür können vielfältig sein: Ein Server kann turnusmäßig mit Firmware‑Updates versorgt oder nach einer bestimmten Betriebsdauer auf Staubablagerungen überprüft werden; Netzwerkkomponenten können per Lifecycle‑Plan aktualisiert oder lüfterseitig gereinigt werden; USV‑Batterien können nach Herstellerempfehlung getauscht werden; Software‑Module können per Patch‑Management in ein Wartungsfenster eingeplant werden. Eine „regelmäßige Wartung“ bedeutet hierbei ein turnusmäßiges Vorgehen nach festen Zeitintervallen (Vorausbestimmte Instandhaltungsstrategie), während prädiktive Wartung den tatsächlichen Abnutzungs- oder Belastungszustand auswertet, um Eingriffe bedarfsgerecht zu planen (Prädiktive Instandhaltungsstrategie). Beide Ansätze verfolgen das Ziel, Sicherheits- und Betriebsrisiken zu minimieren, die aus dem Ausfall oder der Fehlfunktion technischer Komponenten resultieren könnten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig oder prädiktiv}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.3 Grundschutz++ ASST.5.3 Autorisierung von Wartungen Informationen und Assets für IT-Systeme KANN Wartungen durch eine zuständige Person oder Rolle autorisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Wartungen", "definitions": {}}, "guidance": "Wartung ist die planbare oder anlassbezogene Änderung an Komponenten (z. B. Patches, Konfigurationsänderungen, Hardwaretausch, Firmware-Updates). Dies betrifft auch den Transfers des Systems oder von Komponenten für Reparatur oder Austausch an einem anderen Ort. Unklare oder fehlende Freigaben für Wartungen könnten zu unkoordinierten Änderungen, ungeplanten Ausfällen, Datenverlust oder der Einschleusung von Schadcode durch interne wie externe Dienstleister führen; außerdem könnten unpassende Zeitfenster oder inkompatible Firmwarestände Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Zur Umsetzung kann die Institution ein schlankes Freigabeverfahren gestalten, z.B. (1) ein standardisiertes Wartungs-Ticket mit Pflichtangaben (Asset-ID, Maßnahme, Risiko-Einschätzung, Zeitfenster, Back-out-Plan, Ansprechpartner), das über CMDB-Bezüge (Konfigurationsdatenbank) automatisch an Asset-/Service-Owner geroutet und dort freigegeben werden kann; (2) technische Gates, sodass produktive Änderungen erst im Status „autorisiert“ durch CI/CD-Pipelines (Build-/Deployment-Kette), Change-Flags oder Just-in-Time-Privilegien mit zeitlich begrenzten Admin-Konten ausgeführt werden können; (3) ein Katalog vordefinierter, niedrig-riskanter Standardwartungen (z. B. Signatur-Updates, agentenlose Log-Rotation), die vorab genehmigt und ohne Einzelfallprüfung ausgelöst werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.4 Grundschutz++ ASST.5.4 Behandlung als Änderungen und Tests Informationen und Assets für IT-Systeme SOLLTE zur Wartung erforderliche Änderungen im Einklang mit den Verfahren und Regelungen zum Management von Änderungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Wartung erforderliche Änderungen", "definitions": {}}, "guidance": "Werden bei Wartungsarbeiten Änderungen vorgenommen, so sind die Verfahren und Regelungen zum Management von Änderungen auch hier anzuwenden. Ein nicht abgestimmter oder ungetesteter Eingriff könnte etwa zu Systemausfällen, Datenverlust oder dem Einbringen von Schwachstellen führen, während ein geordnetes Änderungsmanagement solche Risiken deutlich reduzieren kann. Sinnvoll ist oft ein kurzer Wartungsleitfaden, in dem typische Abläufe (z. B. Vorab‑Backup, Rollback‑Option, Dokumentation des Ergebnisses) hinterlegt werden. Auf diese Weise kann jede Wartung reproduzierbar, überprüfbar und ressourcenschonend gestaltet werden, ohne sich auf konkrete Herstellerprodukte festzulegen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Verfahren und Regelungen zum Management von Änderungen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.5 Grundschutz++ ASST.5.5 Wartungsfenster Informationen und Assets für IT-Systeme SOLLTE bei voraussichtlichen Verfügbarkeiteinschränkungen durch bevorstehende Wartungen die Nutzenden über Dauer und Umfang der Einschränkungen informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei voraussichtlichen Verfügbarkeiteinschränkungen durch bevorstehende Wartungen die Nutzenden", "definitions": {}}, "guidance": "Wenn durch Wartungsarbeiten die Verfügbarkeit von Systemen, Anwendungen oder Daten in Geschäftsprozessen beeinträchtigt werden könnte, ist eine Information über die bevorstehende Wartung sinnvoll. Dazu gehört, dass über die Dauer (Beginn und Ende), sowie über den Umfang der Einschränkungen (z.B. betroffene Anwendungen, Netze oder Funktionen) informiert wird. Beispiele sind Firmware- oder Betriebssystemupdates von zentralen Speichersystemen oder Netzkomponenten, der Austausch von Komponenten an zentralen Stromverteilern oder eine Wartung an den Klimasystemen eines nicht redundant ausgelegten Serverraumes.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "über Dauer und Umfang der Einschränkungen", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.2.8 Grundschutz++ ARCH.2.2.8 Segmentierung von Test und Betrieb Architektur für Netze SOLLTE Verbindungen zwischen Testumgebungen und Betrieb einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Testumgebungen und Betrieb", "definitions": {}}, "guidance": "Entwicklungs-, Staging- und Testumgebungen haben oft geringere Sicherheitsvorkehrungen als Produktivsysteme. Eine saubere Trennung zwischen Test- und Produktivumgebung verhindert Übergriffe auf das Produktivsystem und vermeidet Ressourcenkonflikte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ASST.5.6 Grundschutz++ ASST.5.6 Wartung durch Externe Informationen und Assets für Mitarbeitende KANN bei Wartungen, die von Externen ohne Sicherheitsüberprüfung vorgenommen werden, zur Beaufsichtigung durch internes Personal anweisen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Wartungen, die von Externen ohne Sicherheitsüberprüfung vorgenommen werden,", "definitions": {}}, "guidance": "Eine Sicherheitsüberprüfung bezeichnet hier die systematische Bewertung der Vertrauenswürdigkeit und Zuverlässigkeit von externen Dienstleistern oder deren Personal durch background checks, Referenzprüfungen oder formelle Sicherheitsclearance-Verfahren. Externe ohne Sicherheitsüberprüfung umfasst alle Dienstleister, Wartungstechniker oder Support-Personal von Drittanbietern, die nicht durch entsprechende Verfahren zur Vertrauenswürdigkeit validiert wurden. Beaufsichtigung durch internes Personal ist die kontinuierliche Anwesenheit und Überwachung von qualifizierten eigenen Mitarbeitenden während der gesamten Dauer der Wartungsarbeiten, um sowohl fachliche Aufsicht als auch Sicherheitskontrolle zu gewährleisten. Dazu gehört, dass die begleitenden Mitarbeitenden sicherstellen, dass Externe ausschließlich auf die für ihre Wartungsaufgabe notwendigen Systembereiche zugreifen und keine unauthorisierten Aktionen wie das Kopieren von Dateien oder die Installation nicht genehmigter Software durchführen. Externe Wartungskräfte ohne Sicherheitsüberprüfung könnten sonst vertrauliche Informationen einsehen, kopieren oder manipulieren, Malware einschleusen oder unbeabsichtigt Systemkonfigurationen beschädigen. Durch begleitendes internes Personal kann eine Institution kontinuierliche Aufsicht über alle durchgeführten Aktivitäten sicherstellen und gleichzeitig den Wissenstransfer für zukünftige Wartungsarbeiten fördern. Bei einer Fernwartung kann dies z.B. durch das Logging von Diagnose- und Wartungsaktivitäten, sowie die anschließende Überprüfung, dass alle Wartungsverbindungen getrennt sind, geschehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zur Beaufsichtigung durch internes Personal", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.5.7 Grundschutz++ ASST.5.7 Dokumentation von Wartungen Informationen und Assets für IT-Systeme SOLLTE Wartungen mit Asset, Anlass, Zeitpunkt, Beteiligten, durchgefürten Maßnahmen und Ergebnissen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Wartungen", "definitions": {}}, "guidance": "Die Dokumentation von Wartungen an IT-Systemen kann Nachvollziehbarkeit, Verantwortlichkeit und Beweisfähigkeit herstellen; ohne sie könnten unerkannte Konfigurationsänderungen, verdeckte Schwachstellen oder verlängerte Ausfälle entstehen. Zur Umsetzung kann die Institution ein schlankes, einheitliches Wartungsprotokoll verwenden, das je Vorgang erfasst: (1) eindeutig referenziertes Asset/CI, Umgebung und betroffener Service, (2) Anlass, Art der Wartung (präventiv/korrektiv/notfall) und geplanter Zeitraum, (3) Verantwortliche, Beteiligte/Dienstleister und Kontakt, (4) geplante Maßnahmen, Backout-Plan sowie definierte Vor-/Nach-Checks, (5) tatsächlich durchgeführte Schritte („as-built“), verwendete Versionen/Images und geänderte Parameter, (6) Messergebnisse/Logs/Screenshots/Hashes als Nachweis, (7) Auswirkungen (Downtime, Kapazität), Abnahme/Testresultat und Freigabe, (8) Verweise auf Tickets/Changes/Störungsmeldungen, (9) Datum/Zeit mit Zeitzone und Protokollversion. Die Erfassung kann in einem vorhandenen Ticket- oder CMDB-Werkzeug stattfinden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Wartung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Asset, Anlass, Zeitpunkt, Beteiligten, durchgefürten Maßnahmen und Ergebnissen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.6.1 Grundschutz++ ASST.6.1 Abhandenkommen Informationen und Assets SOLLTE eine Vorgehensweise beim Abhandenkommen von Assets verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise beim Abhandenkommen von Assets", "definitions": {}}, "guidance": "Eine Vorgehensweise beim Abhandenkommen von Assets ist ein strukturierter, dokumentierten Reaktionsprozess, der alle notwendigen Schritte und Verantwortlichkeiten für den Umgang mit verloren gegangenen, gestohlenen oder anderweitig außer Kontrolle geratenen Informationswerten nach Eintritt des Verlustereignisses festlegt. Ohne strukturierte Prozesse könnte ein verlorenes Laptop mit Kundendaten zu anhaltenden Datenschutzverletzungen führen, ein gestohlenes Smartphone könnte dauerhaft unbefugten Zugang zu Unternehmensressourcen ermöglichen, oder vergessene Dokumente könnten unkontrolliert Geschäftsgeheimnisse preisgeben. Eine etablierte Vorgehensweise kann durch schnelle Reaktionszeiten und koordinierte Sofortmaßnahmen das bereits eingetretene Schadenspotential begrenzen und die Wiederherstellung der Informationssicherheit beschleunigen. Die Vorgehensweise zur Behandlung kann z.B. die Ortung, Sperrung oder Löschung per Fernzugriff, das Melden bei Ermittlungsbehörden oder lokalen Fundbüros, die Änderung aller betroffenen Zugangsdaten, sowie die Sperre von Authentisierungsmitteln und der enthaltenen SIM-Karte beim Provider beinhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Rücknahme von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.6.2 Grundschutz++ ASST.6.2 Rückkehr abhandengekommener Assets Informationen und Assets SOLLTE eine Vorgehensweise bei Rückkehr von abhandengekommenen Assets verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise bei Rückkehr von abhandengekommenen Assets", "definitions": {}}, "guidance": "\\"Abhandengekommene Assets\\" bezeichnen Informationswerte, die ungewollt oder ungeplant außerhalb der direkten Kontrolle der Institution geraten sind - beispielsweise durch Verlust, Diebstahl, vergessene Mitnahme oder andere unbeabsichtigte Ereignisse. Eine \\"Vorgehensweise bei Rückkehr\\" meint einen strukturierten Prozess zur systematischen Wiederaufnahme und sicherheitstechnischen Bewertung solcher Assets nach ihrer Wiederbeschaffung oder ihrem Wiederauffinden. Diese Anforderung zielt auf die Risikominimierung bei der Wiederintegration potenziell kompromittierter Assets ab, da während der unkontrollierten Abwesenheit Manipulationen, unautorisierten Zugriffe oder Datenabflüsse aufgetreten sein könnten. Ohne strukturierte Rückkehrprozesse kann die unkontrollierte Wiederverwendung zurückgekehrter Assets zu Sicherheitslücken, Malware-Infektionen oder Datenschutzverletzungen führen. Umsetzungen können bei der Asset-Rückkehr (1) eine vollständige Identitätsprüfung anhand eindeutiger Kennzeichnungen wie Seriennummern oder Asset-Tags, (2) eine technische Integritätsprüfung durch Malware-Scans, Firmware-Vergleiche und Hardwareanalysen sowie (3) eine Datenintegrität-Bewertung mittels kryptografischer Prüfsummen oder forensischer Analysen umfassen. Als Alternative zur tiefergehenden Analyse von Systemen und Daten bietet sich auch die Löschung oder Entsorgung an. Prozessual kann die Einrichtung einer zentralen Asset-Return-Stelle mit definierten Eskalationswegen bei Auffälligkeiten, die Dokumentation aller Rückkehrfälle in einem Asset-Management-System und die Implementierung von Quarantäne-Verfahren für verdächtige Assets erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Rücknahme von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.6.3 Grundschutz++ ASST.6.3 Konformitätsprüfung Informationen und Assets für IT-Systeme KANN bei Rücknahme die Konformität mit den einschlägigen Anforderungen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Rücknahme die Konformität mit den einschlägigen Anforderungen", "definitions": {}}, "guidance": "Assets sind nicht konform, wenn Sie die für sie geltenden Anforderungen nicht oder nicht mehr erfüllen, z.B. weil die Hardware manipuliert wurde oder keine Sicherheitsupdates mehr bereitgestellt werden. Die Prüfung kann durch automatische Prüfsysteme oder mit manuellen Verfahren, z.B. Sichtkontrolle von Siegeln, gewährleistet werden. Auch die Nutzung von Stichprobenkontrollen ist möglich. Zur Behandlung kann entweder die Ursache der Nichtkonformität beseitigt werden, oder alternative Lösungen können angewendet werden, z.B. kann das Gerät auf Werkszustand zurückgesetzt und neu installiert werden. Ist dies nicht möglich so bleibt keine andere Behandlungsmöglichkeit als das Assets nicht weiter zu verwenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Rücknahme von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.6.4 Grundschutz++ ASST.6.4 Zurücksetzen auf Ausgangszustand Informationen und Assets für IT-Systeme SOLLTE bei Rücknahme das Zurücksetzen in einen definierten Ausgangszustand ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Rücknahme das Zurücksetzen in einen definierten Ausgangszustand", "definitions": {}}, "guidance": "Mit definierter Ausgangszustand ist hier ein Zustand gemeint, in dem alle während der Nutzung möglicherweise angefallenen vertraulichen Daten wieder gelöscht oder vernichtet sind. Dies kann in vielen Fällen am einfachsten durch Überschreiben der Speichermedien, kryptografisches Löschen oder das vollständige Zurücksetzen auf Werkseinstellungen erfolgen. Zur Umsetzung einer Vernichtung siehe DIN 66399. Alternativ kann auch ein vordefiniertes Systemimage installiert werden, wodurch das System für die erneute Ausgabe vorbereitet wird, wenn das Systemimage alle vorher auf dem System vorhandenen Daten überschreibt oder diese vollständig verschlüsselt waren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Rücknahme von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.1 Grundschutz++ ASST.7.1 Nicht mehr benötigte Anwendungen Informationen und Assets für Anwendungen SOLLTE eine Deinstallation nicht mehr benötigter Anwendungsinstanzen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Deinstallation nicht mehr benötigter Anwendungsinstanzen", "definitions": {}}, "guidance": "„Nicht mehr benötigte Anwendungsinstanzen“ sind installierte, aber aktuell nicht mehr genutzte Softwarekomponenten, Applikationen oder Dienste (engl. application instances), die auf Servern, Endgeräten oder virtuellen Umgebungen verbleiben, obwohl ihre betriebliche Funktion entfallen ist. Diese können produktiv, testweise oder temporär eingerichtet gewesen sein. Eine Deinstallation ist hier als geregelter Prozess der vollständigen und nachvollziehbaren Entfernung solcher Komponenten zu verstehen, einschließlich ihrer Konfigurationen, temporären Daten und zugehörigen Zugriffsrechte. Der Zweck liegt in der Vermeidung von Sicherheits- und Integritätsrisiken, die durch ungenutzte oder veraltete Software entstehen könnten – etwa weil diese weiterhin Angriffsflächen bietet, unbemerkte Schwachstellen enthält oder unbeabsichtigte Datenabflüsse begünstigen könnte. Die Entfernung kann somit die Systemhärtung und Transparenz über tatsächlich aktive Anwendungen fördern. Dies kann durch Systeme automatisiert geschehen, die bei der Zuordnung von Anwendungen zu Personen eine automatische Installation oder Deinstallation erledigt. Wenn Anwendungen nicht länger benötigt werden, dann sind auch die für die Anwendung erforderlichen Berechtigungen nicht länger erforderlich. Hierzu gehören sowohl lokale als auch Cloud-Zugänge. Steht die Anwendungsinstanz in der Cloud nicht unter der Kontrolle der Institution, so sind stattdessen soweit möglich alle Daten in der Cloud zu löschen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.2 Grundschutz++ ASST.7.2 Aufbewahrungs- und Löschfristen Informationen und Assets für Daten SOLLTE die Aufbewahrung für eine bestimmte Frist verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Archivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Aufbewahrung", "definitions": {}}, "guidance": "Klar festgelegte und in Prozessen verankerte Löschfristen helfen Sicherheits- und Compliancerisiken zu minimieren, indem Informationen entsorgt werden, wenn sie nicht mehr benötigt werden. Dies gilt sowohl für Originaldaten als auch für Kopien und archivierte Aufzeichnungen, einschließlich Protokolldateien. Hier besteht ein enger Bezug zu Compliance-Verpflichtungen, sowohl zur Aufbewahrung (z.B. für Nachweispflichten aus dem Steuerrecht) als auch zur Löschung (z.B. aus dem Datenschutzrecht). Die Auswahl der Methode zum Löschen hängt von der Vertraulichkeit der Daten, verwendeten Anwendungen oder Speichermedien und ggf. bestehenden Compliance-Verpflichtungen ab. Eine Herausforderung stellt dabei der Umgang mit Datenkopien in Datensicherungen dar. Da das nachträgliche Herausfiltern bestimmter Daten aus Datensicherungen häufig sehr aufwändig ist, ist es empfehlenswert die Versionierung der Datensicherungen so zu gestalten, dass die Daten zum Ablauf der Löschfrist ohnehin mit neueren Datensicherungen überschrieben wurden oder ältere Kopien der Datensicherung insgesamt gelöscht sind. Für kurzlebige Daten bietet es sich an diese nicht in eine einzige zentrale Datensicherung aufzunehmen, sondern je nach Schutzbedarf an Integrität und Verfügbarkeit dieser Daten gar keine oder eine Datensicherung für kurzlebige Daten, z.B. Diagnosedaten mit Personenbezug, vorzuhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{eine bestimmte Frist}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.2.1 Grundschutz++ ASST.7.2.1 Langfristige Archivierung Informationen und Assets für Daten KANN die langfristige Archivierung mindestens für eine bestimmte Frist verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Archivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die langfristige Archivierung", "definitions": {}}, "guidance": "Archivierung meint hier die langfristige Aufbewahrung derjenigen Daten, die über längere Zeit benötigt werden, z.B. über mehr als 10 Jahre. Hierbei kann es sich beispielsweise um Nachweise der Einhaltung rechtlicher Verpflichtungen, Daten zur Nachvollziehbarkeit von Angriffen (Audit Log), oder zur Geltendmachung von Ansprüchen handeln. Dabei kann es sich sowohl um analoge Dokumente als auch um digitale Daten handeln. Die meisten Institutionen verarbeiten Daten, die aufgrund von Compliance-Verpflichtungen langfristig gespeichert werden, z.B. handels- und steuerrechtlich relevante Dokumente oder Eigentumsurkunden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mindestens für {{eine bestimmte Frist}}", "definitions": {}}} ASST.7.2 \N \N \N +Grundschutz++:ASST.7.3 Grundschutz++ ASST.7.3 Geregeltes Löschen oder Vernichten Informationen und Assets für Daten SOLLTE diese bei Erreichen der Aufbewahrungs- und Löschfrist durch kryptografisches löschen, überschreiben oder vernichten des Speichermediums löschen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese bei Erreichen der Aufbewahrungs- und Löschfrist", "definitions": {}}, "guidance": "Ereignisse können z.B. der Ablauf der festgelegten Löschfrist, die Veräußerung von Assets oder deren Weitergabe an einen Dienstleister sein. Relevant sind hierbei neben physischen und virtuellen Medien auch die Datenträger in IT-Systemen wie Notebooks und Fahrzeugen. Sicheres Löschen bedeutet, Daten so zu entfernen, dass sie mit vertretbarem Aufwand (auch forensisch) nicht mehr rekonstruierbar sind. Je nach Medium geschieht das z. B. durch verifizierbares Überschreiben, kryptografisches Löschen (Schlüsselvernichtung) oder physische Zerstörung (inklusive zugehöriger Metadaten, Caches und Datensicherungen). Die Anforderung ist auch erfüllt, wenn sie durch einen Dienstleister durchgeführt wird, der hierzu verpflichtet ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "löschen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{kryptografisches löschen, überschreiben oder vernichten des Speichermediums}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.3.1 Grundschutz++ ASST.7.3.1 Standardisierte Vernichtung Informationen und Assets für Daten SOLLTE ein standardisiertes Verfahren zur Vernichtung bei Veräußerung nach einem anerkannten Standard gemäß einer Sicherheitsstufe verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein standardisiertes Verfahren zur Vernichtung bei Veräußerung", "definitions": {}}, "guidance": "Anerkannte Standards für die Vernichtung sind DIN 66399 sowie ISO/IEC 21964; die Sicherheitsstufe beschreibt die Intensität der Vernichtung, wobei eine möglichst kleinteilige Zerkleinerung die Wahrscheinlichkeit einer Rekonstruktion aus Fragmenten minimiert. Die konkrete Vorgehensweise richtet sich nach der Art des Speichermediums: Papier wird nach Sicherheitsstufe P-3 gemäß ISO/IEC 21964-2 vernichtet, optische Speichermedien nach Sicherheitsstufe O-3 gemäß ISO/IEC 21964-2 und sonstige Speichermedien nach Sicherheitsstufe E-3 oder H-3 gemäß ISO/IEC 21964-2. Für Speichermedien, die vor der Nutzung vollständig verschlüsselt waren und deren kryptografische Schlüssel unwiederbringlich gelöscht wurden, ist eine physische Vernichtung nicht erforderlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}} gemäß {{einer Sicherheitsstufe}}", "definitions": {}}} ASST.7.3 \N \N \N +Grundschutz++:ASST.7.3.2 Grundschutz++ ASST.7.3.2 Löschverfahren Informationen und Assets für Daten SOLLTE ein Verfahren zur endgültigen Löschung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur endgültigen Löschung", "definitions": {}}, "guidance": "Hierunter ist ein nachvollziehbarer, dokumentierter technischer und prozessualer Ablauf zur endgültigen Entfernung oder Unkenntlichmachung von Informationen zu verstehen; „Endgültig“ bedeutet, dass Daten mit vertretbarem Aufwand nicht wiederhergestellt werden können. Ohne klare Verfahren könnte Alt- oder Schattendatenbestand bei Geräteweitergabe, in Backups oder Cloud-Objektspeichern verbleiben, was zu Datenschutzverletzungen, Erpressungsversuchen oder regulatorischen Sanktionen führen könnte. Hierzu gehören sowohl Nutzdaten von IT-Systemen und Anwendungen, als auch Konfigurationsdateien oder Daten, die in begleitenden Dokumenten wie Betriebshandbüchern oder Informationswikis abgelegt sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} ASST.7.3 \N \N \N +Grundschutz++:ASST.7.3.3 Grundschutz++ ASST.7.3.3 Zugelassene Löschanwendungen Informationen und Assets für Daten KANN die Daten durch eine vom BSI zugelassene Löschanwendung löschen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Daten durch {{eine vom BSI zugelassene Löschanwendung}}", "definitions": {}}, "guidance": "Für eine aktuelle Liste der zugelassenen Löschanwendungen siehe BSI-Schrift 7164: Liste der zugelassenen IT-Sicherheitsprodukte und -systeme. Sicheres Löschen bedeutet, Daten so zu entfernen, dass sie mit vertretbarem Aufwand (auch forensisch) nicht mehr rekonstruierbar sind. Je nach Medium geschieht das z. B. durch verifizierbares Überschreiben, kryptografisches Löschen (Schlüsselvernichtung) oder physische Zerstörung (inklusive zugehöriger Metadaten, Caches und Datensicherungen).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "löschen", "definitions": {}}} ASST.7.3 \N \N \N +Grundschutz++:ASST.7.4 Grundschutz++ ASST.7.4 Wiederherstelltest Informationen und Assets für Daten KANN den Erfolg des Löschvorgangs testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Erfolg des Löschvorgangs", "definitions": {}}, "guidance": "Der Test kann mit Software oder Hardware, die vermeintlich gelöschte Daten von Speichermedien wiederherstellen kann, durchgeführt werden. Bei vernichteten Speichermedien ist der Test entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.5 Grundschutz++ ASST.7.5 Vernichtungseinrichtungen Informationen und Assets für Standorte KANN an allen Standorten, an denen körperliche Dokumente verarbeitet werden, Vernichtungseinrichtungen vor dem Zugriff unbefugter geschützt installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "an allen Standorten, an denen körperliche Dokumente verarbeitet werden, Vernichtungseinrichtungen", "definitions": {}}, "guidance": "Die Installation von Vernichtungseinrichtungen dient dem Schutz sensibler Daten vor unbefugtem Zugriff, Missbrauch oder unkontrollierter Weitergabe. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen auch über ihren gesamten Lebenszyklus hinweg sicherzustellen – einschließlich der ordnungsgemäßen Entsorgung. Unter Vernichtungseinrichtungen versteht man mechanische oder elektronische Geräte, die Dokumente so zerkleinern oder unlesbar machen, dass eine Rekonstruktion unmöglich ist; typische Beispiele sind Aktenvernichter mit Schutzklasse P-4 oder höher oder Entsorgungsbehälter mit gesichertem Zugriff (z.B. abschließbare Sicherheitsbehälter). Dies kann auch so realisiert werden, dass Datenträger gesammelt und zentral gelöscht oder vernichtet werden. Kann durch die Institution selbst oder Dienstleister für die Aktenvernichtung umgesetzt werden. Bei der Verwendung von Dienstleistern ist es sinnvoll, deren Professionalität zu verifzieren, z.B. durch ein Zertifikat. Bei der Umsetzung ist es sinnvoll darauf zu achten, dass solche Einrichtungen nicht nur ausreichend dimensioniert und technisch geeignet sind, sondern auch physisch gegen unbefugten Zugriff geschützt werden – etwa durch Aufstellung in abgeschlossenen Räumen oder durch Zugangskontrolle.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Zugriff unbefugter geschützt", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.6 Grundschutz++ ASST.7.6 Autorisierung von Veräußerungen Informationen und Assets SOLLTE Veräußerungen von Assets durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Veräußerungen von Assets", "definitions": {}}, "guidance": "Veräußerung bezeichnet in diesem Kontext jede endgültige Abgabe oder Eigentumsübertragung (Verkauf, Spende, Rückgabe an Leasing, Recycling) eines Assets. Die Autorisierung kann verhindern, dass schutzbedürftige Informationen unkontrolliert den Besitz wechseln, Compliance-Vorgaben übersehen werden und Verantwortlichkeiten verwischen. Ohne geregelte Freigabe könnte ein ausgemusterter Laptop mit Restdaten verkauft, ein Speicherarray mit verbleibenden Schlüsseln weitergegeben oder eine nicht übertragbare Softwarelizenz abgegeben werden, was zu Datenabfluss, Vertragsverletzungen und Reputationsschäden führen könnte. Zur Umsetzung kann die Institution einen schlanken, nachvollziehbaren Freigabe-Workflow etablieren: Ein Veräußerungsantrag kann Asset-ID/Inventarnummer, Asset-Owner, Schutzbedarf/Klassifizierung, Datenträgerart, vorgesehenes Verwertungsverfahren, gewählte Datenlösch-/Vernichtungsmethode, Lizenz-/Vertragsrestriktionen, Übergabedatum und Empfänger erfassen; die Freigabe kann vor Übergabe erfolgen und revisionssicher protokolliert werden. Eine Entscheidungsmatrix kann die Genehmigungstiefe nach Schutzbedarf steuern, z. B. (1) „öffentlich“: fachliche Freigabe, (2) „intern“: Asset Owner + IT-Freigabe, (3) „vertraulich/streng“: Vier-Augen-Prinzip aus zuständige Person oder Rolle und Informationssicherheitsbeauftragte/r.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ASST.7.7 Grundschutz++ ASST.7.7 Beschriftungen entfernen Informationen und Assets SOLLTE alle der Institution zuzuordnenden Beschriftungen vor der Veräußerung von Assets löschen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle der Institution zuzuordnenden Beschriftungen", "definitions": {}}, "guidance": "Die „Beschriftung“ eines Assets ist jede physische oder digitale Kennzeichnung, die eine eindeutige Zuordnung des Gegenstands oder Datenträgers zu Werten der Institution ermöglicht. Darunter fallen unter anderem Eigentumskennzeichnungen (engl. asset tags), Seriennummern, Barcodes, Gravuren, Aufkleber mit Logo, aber auch digitale Metadaten wie Gerätebezeichnungen, E-Mail-Konten, Hostnamen oder eingebettete Wasserzeichen. Das Löschen dieser Beschriftungen vor der Veräußerung stellt sicher, dass Dritte nicht unmittelbar auf den ursprünglichen Eigentümer schließen oder unautorisierte Rückschlüsse auf interne Strukturen, Sicherheitsarchitekturen oder Verantwortlichkeiten ziehen. Ohne diese Bereinigung könnte ein weiterveräußertes Gerät durch verbleibende Markierungen auf die Institution hinweisen und so gezielt für Social-Engineering-Angriffe oder Reputationsschäden genutzt werden. Eine solche Zuordnung könnte zudem dazu führen, dass vertrauliche Informationen über Inventar, Sicherheitsstandards oder IT-Bestände unbeabsichtigt offengelegt werden. Zudem könnte eine verbleibende Beschriftung zu Missverständnissen über Eigentumsverhältnisse oder Haftung führen, falls das Asset in einen Vorfall verwickelt wird. Konkret können unter den zu entfernenden Beschriftungen beispielsweise Eigentumsaufkleber mit der Inventarnummer, Etiketten mit Standort- oder Abteilungsbezeichnungen, Markierungen für interne Verwendungszwecke (z.B. \\"Testgerät\\", \\"intern\\"), aber auch digital eingebettete Informationen wie institutionelle Metadaten in Office-Dokumenten oder gespeicherte WLAN-Profile auf mobilen Geräten verstanden werden. Auch optische Hinweise wie eingravierte Logos auf Gehäusen oder institutionelle Startbildschirme bei Laptops können darunterfallen. Zur Umsetzung kann es hilfreich sein, vor der Veräußerung eine Sichtprüfung durchzuführen und standardisierte Checklisten zu nutzen, um typische Beschriftungen systematisch zu identifizieren. Je nach Beschaffenheit des Assets kann der Einsatz von Reinigungsmitteln, Etikettenentfernern oder speziellen Werkzeugen in Betracht gezogen werden. Auch softwaregestützte Verfahren, etwa das Zurücksetzen auf Werkseinstellungen und das Prüfen auf verbleibende Metadaten, sind relevant. Nicht zuletzt kann die Einbindung von ISB oder des Datenschutzbeauftragten in Zweifelsfällen Klarheit darüber schaffen, ob eine bestimmte Kennzeichnung potenziell sicherheitsrelevant ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Informationen und Assets / Löschen und Vernichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "löschen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Veräußerung von Assets", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.1.1 Grundschutz++ PERS.1.1 Verfahren und Regelungen Personal MUSS Verfahren und Regelungen zum Personalmanagement verankern. MUSS BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum Personalmanagement", "definitions": {}}, "guidance": "Der Prozess stellt sicher, dass qualifiziertes und zuverlässiges Personal für alle Aufgaben zur Verfügung steht und allen Beteiligten ihre Aufgaben und Zuständigkeiten bekannt sind. Hierbei sind Einstellung, Einarbeitung, Weiterbildung und Austritt von Mitarbeitenden zu berücksichtigen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Personal / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.1.1.1 Grundschutz++ PERS.1.1.1 Dokumentation Personal MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Personal / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} PERS.1.1 \N \N \N +Grundschutz++:PERS.1.1.2 Grundschutz++ PERS.1.1.2 Zuweisung der Aufgaben Personal MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Personal / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} PERS.1.1 \N \N \N +SCF:AAT-16.3 SCF AAT-16.3 Unmeasurable AI & Autonomous Technologies Risks Mechanisms exist to identify and document unmeasurable risks or trustworthiness characteristics. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.3_AAT-16.3_A01", "name": "assessment-objective", "prose": "responsible party(ies) that monitor the functionality and behavior of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) are trained on identifying unmeasurable risks or trustworthiness characteristics."}, {"id": "AAT-16.3_AAT-16.3_A02", "name": "assessment-objective", "prose": "unmeasurable risks or trustworthiness characteristics are reported in accordance with the organization's Incident Response Plan (IRP)."}]} \N \N \N \N +Grundschutz++:PERS.1.1.3 Grundschutz++ PERS.1.1.3 Bekanntgabe Personal MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Personal / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} PERS.1.1 \N \N \N +Grundschutz++:PERS.1.2 Grundschutz++ PERS.1.2 Regelmäßige Überprüfung Personal MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Personal / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.2.1 Grundschutz++ PERS.2.1 Aufgaben Personal SOLLTE für alle Tätigkeiten im Geltungsbereich Aufgaben mit Abgrenzungen und Schnittstellen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für alle Tätigkeiten im Geltungsbereich Aufgaben", "definitions": {}}, "guidance": "Aufgaben sind die konkreten Tätigkeiten, die für die Errichtung und Aufrechterhaltung des ISMS erforderlich sind, z.B. Netz überwachen, Pentest durchführen, Administration einer bestimmten Fachanwendung. Definieren Sie die Aufgaben so, dass Abgrenzung und Schnittstellen untereinander klar sind. Hierzu kann auf die Praktiken, Zielobjekte und deren Anforderungen zurückgegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Abgrenzungen und Schnittstellen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.2.2 Grundschutz++ PERS.2.2 Rollen Personal SOLLTE für alle Tätigkeiten im Geltungsbereich Rollen mit Zielen, Aufgaben, erforderlichen Kompetenzen und Qualifikationen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für alle Tätigkeiten im Geltungsbereich Rollen", "definitions": {}}, "guidance": "Eine Rolle beschreibt eine Stelle oder Personalposition innerhalb des ISMS. Sie benennt die Aufgaben der Position und die dazu erforderlichen Qualifikationsvoraussetzungen. Beispiele: Teamleiter, Entwickler, Admin, Sicherheitsanalyst, Fachaufgabenverantwortlicher.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Zielen, Aufgaben, erforderlichen Kompetenzen und Qualifikationen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.2.3 Grundschutz++ PERS.2.3 Rollentrennung Personal SOLLTE für unvereinbare Aufgaben eine Rollentrennung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für unvereinbare Aufgaben eine Rollentrennung", "definitions": {}}, "guidance": "Bei einer Aufgabentrennung (Separation of Duties) werden miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche getrennt, um die Möglichkeiten zu unbefugter oder unbeabsichtigter Änderung oder zum Missbrauch zu reduzieren. Unvereinbar sind zwei Aufgaben insbesondere, wenn zwischen ihnen (1.) ein Interessenkonflikt oder (2.) ein erhöhtes Risiko für Datenmissbrauch vorliegt. (1.) Interessenkonflikte können z.B. die Auditierung der eigenen Aufgaben oder der Ergebnisse von Vorgesetzten sein. (2.) Ein erhöhtes Risiko für Datenmissbrauch liegt z.B. vor, wenn sowohl Rechnungsstellung als auch -genehmigung in einer Hand liegen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.2.3.1 Grundschutz++ PERS.2.3.1 Rollentrennung - Verzeichnisdienst Personal SOLLTE zwischen Administration von Verzeichnisdiensten und Pflege der verwalteten Daten eine Rollentrennung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Administration von Verzeichnisdiensten und Pflege der verwalteten Daten eine Rollentrennung", "definitions": {}}, "guidance": "Administrierende von Verzeichnisdiensten haben sehr weitreichende Rechte, einschließlich der Möglichkeit, Zugangskontrollen zu ändern. Durch eine Rollentrennung wird verhindert, dass eine Person die vollständige Kontrolle über die angebundene Infrastruktur und die Dateninhalte übernimmt. Dies reduziert das Risiko vorsätzlicher und fahrlässiger Schäden an zentraler Stelle.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} PERS.2.3 \N \N \N +Grundschutz++:PERS.2.3.2 Grundschutz++ PERS.2.3.2 Rollentrennung - Virtualisierung Personal SOLLTE zwischen Administration von virtuellen Systemen und Virtualisierungslösungen eine Rollentrennung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Administration von virtuellen Systemen und Virtualisierungslösungen eine Rollentrennung", "definitions": {}}, "guidance": "Die Administration von virtuellen Systemen bezeichnet im hier relevanten Kontext die operative Verwaltung einzelner virtueller Gastsysteme (VMs, Container, etc.), einschließlich ihrer Bereitstellung, Konfiguration, Wartung und Zugriffskontrolle. Die Virtualisierungslösung hingegen ist hier die übergeordnete Plattform oder Hypervisor-Ebene, welche physische Ressourcen virtualisiert und mehreren virtuellen Gastsystemen bereitstellt. Diese Differenzierung entspricht dem Prinzip der Rollen- bzw. Funktionstrennung (separation of duties bzw. role separation), bei dem Aufgabenbereiche so abgegrenzt werden, dass keine Person gleichzeitig über kritische Systemebenen hinweg vollumfängliche Kontrolle besitzt. Damit wird ein wesentliches Sicherheitsprinzip technischer Infrastruktur auf die Virtualisierungsschichten übertragen. Der Zweck dieser Trennung liegt in der Begrenzung von Fehlerrisiken und der Prävention von Missbrauch – sowohl vorsätzlich als auch unbeabsichtigt. Eine Person, die zugleich die Virtualisierungsebene und virtuelle Systeme verwaltet, könnte durch Fehlkonfiguration, Nachlässigkeit oder Manipulation unbeabsichtigt erhebliche Auswirkungen auf eine Vielzahl von Systemen haben oder deren Nachvollziehbarkeit beeinträchtigen. Eine klare Rollentrennung kann dem vorbeugen, indem sie Kontrollmechanismen stärkt, die Integrität der Umgebung wahrt und Fehler früher erkennen lässt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} PERS.2.3 \N \N \N +Grundschutz++:PERS.2.3.3 Grundschutz++ PERS.2.3.3 Rollentrennung - Audits Personal SOLLTE zwischen Implementierung von Sicherheitsanforderungen und deren Überprüfung eine Rollentrennung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Implementierung von Sicherheitsanforderungen und deren Überprüfung eine Rollentrennung", "definitions": {}}, "guidance": "Fehlt eine Rollentrennung zwischen Umsetzung und Überprüfung von Sicherheitsmaßnahmen, so besteht ein Interessenkonflikt zwischen der Aufgabe korrekter Implementierung und dem Finden von weiterem Verbesserungspotenzial oder Mängeln bei einer Überprüfung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} PERS.2.3 \N \N \N +Grundschutz++:PERS.2.3.4 Grundschutz++ PERS.2.3.4 Rollentrennung - Änderungen und Tests Personal SOLLTE zwischen Implementierung und Test eine Rollentrennung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Implementierung und Test eine Rollentrennung", "definitions": {}}, "guidance": "Liegen Implementierung von Funktionen und Änderungen, sowie deren Test in derselben Hand, so werden Probleme durch Nachlässigkeit oder Versehen leicht übersehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} PERS.2.3 \N \N \N +Grundschutz++:PERS.2.4 Grundschutz++ PERS.2.4 Zuständigkeiten Personal SOLLTE Zuständigkeiten für die Rollen zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zuständigkeiten für die Rollen", "definitions": {}}, "guidance": "Damit die mit jeder Rolle verbundenen Aufgaben auch tatsächlich bearbeitet werden, ist es erforderlich, jeder Rolle eine oder mehrere Personen oder Organisationseinheiten zuzuweisen, die für die mit der Rolle verbundenen Aufgaben zuständig sind. Hierbei ist es wichtig darauf zu achten, dass alle Rollen von ausreichenden Personalressourcen abgedeckt werden. Je nach Rolle können dafür auch Vertretungsregelungen erforderlich sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Aufgaben, Rollen, Zuständigkeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.5.2 Grundschutz++ GEB.5.2 Screen Lock Gebäudemanagement für Räume SOLLTE zum Sperren von IT-System vor dem Verlassen des Arbeitsplatzes anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Sperren von IT-System", "definitions": {}}, "guidance": "Diese Vorgehensweise hilft dabei, unbefugten Zugriff auf sensible Informationen zu verhindern, die auf dem Bildschirm angezeigt werden könnten. Ansonsten könnte es zu unbefugten Zugriffen auf Daten oder die Systeme selber kommen, wenn diese unbewacht und ungesperrt zurückgelassen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Gemeinsame Arbeitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Verlassen des Arbeitsplatzes", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.1 Grundschutz++ PERS.3.1 Dienst- oder Arbeitsvertrag Personal für Mitarbeitende SOLLTE die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen im Dienst- oder Arbeitsvertrag vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die vertrauliche Behandlung von Betriebs- und Geschäftsgeheimnissen", "definitions": {}}, "guidance": "Ergänzend zu den gesetzlichen Verpflichtungen zur Wahrung von Betriebs- und Geschäftsgeheimnissen (z.B. aus dem GeschGehG) ist eine explizite Vertraulichkeitsvereinbarung (Non-disclosure Agreement, NDA) mit allen Externen und Mitarbeitenden sinnvoll, die Zugriff auf schützenswerte Informationen erhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsvertrag", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Dienst- oder Arbeitsvertrag", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.2 Grundschutz++ PERS.3.2 Verfahrensanweisungen Personal für Mitarbeitende SOLLTE explizit zur Einhaltung von Verfahrensanweisungen bei Neuzugang anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "explizit zur Einhaltung von Verfahrensanweisungen", "definitions": {}}, "guidance": "Wenn neue Mitarbeitende keine explizite Anweisung erhalten, dass Sicherheitsanweisungen existieren und einzuhalten sind, könnte es zu verspäteter Kenntnisnahme der Regelungen und dadurch zu Mängeln in der Einhaltung kommen. Das ist insbesondere bei Mitarbeitenden der Fall, die in manche Informationsverarbeitungsprozesse eingebunden sind, aber keinen Zugang zu Plattformen wie dem Intranet erhalten: Werden Verfahrensanweisungen nur im Intranet abgelegt, aber nicht bei Neuzugang explizit bekannt gegeben, so können diese Personen keine Kenntnis davon nehmen. Die Menge der Verfahrensanweisungen ergibt sich aus den für die jeweilige Tätigkeit relevanten gesetzlichen Anforderungen, sowie den Anforderungen zu den Handlungsworten „anweisen“ und „verbieten“.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Neuzugang", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.3 Grundschutz++ PERS.3.3 Betriebs- und Geschäftsgeheimnisse Personal für Mitarbeitende SOLLTE zum Umgang mit definierten Betriebs- und Geschäftsgeheimnissen bei Neuzugang anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Umgang mit definierten Betriebs- und Geschäftsgeheimnissen", "definitions": {}}, "guidance": "Eine Dienst- oder Arbeitsanweisung, die zu wahrende Betriebs- und Geschäftsgeheimnisse klar definiert, stellt sicher, dass Mitarbeitende ihre Pflichten genau kennen. Hierbei geht es insbesondere darum, klar zu definieren welche Informationen als Betriebs- und Geschäftsgeheimnisse zu behandeln sind, z.B. Kundendaten, Patente, alle nicht zur Veröffentlichung bestimmten oder mit bestimmten Schutzklassifizierungen versehene Dokumente. Außerdem relevant ist, dass diese Geheimnisse auch über das Ende des Vertragsverhältnisses hinaus zu wahren sind. Hier besteht ein enger Zusammenhang zum Informationsmanagement, wo z.B. auch geregelt wird, welche Anweisungen zum Schutz im Einzelnen einzuhalten sind (z.B. Markierung, Verwahrung). Damit die dort festgelegten Regelungen den Mitarbeitenden auch bekannt sind wird eine entsprechende Anweisung bei Neuzugang benötigt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Neuzugang", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.4 Grundschutz++ PERS.3.4 Stellenbeschreibungen Personal SOLLTE Stellenbeschreibungen vor Ausschreibung zu besetzender Stellen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Stellenbeschreibungen", "definitions": {}}, "guidance": "Eine Stellenbeschreibung ist hier ein Dokument, das die zentralen Aufgaben, Verantwortlichkeiten, Befugnisse und fachlichen sowie sicherheitsrelevanten Kriterien einer Position vor deren Ausschreibung festhält. Der Zweck dieser Anforderung liegt darin, klare Rollen und Verantwortlichkeiten zu definieren, um sowohl Fehlbesetzungen als auch unklare Zuständigkeiten zu vermeiden. Ohne eine dokumentierte Stellenbeschreibung könnte eine Institution Personen einstellen, deren Qualifikation oder Vertrauenswürdigkeit nicht den tatsächlichen sicherheitsrelevanten Kriterien entsprechen, was zu erhöhtem Missbrauchsrisiko oder unzureichender Aufgabenerfüllung führen könnte. Eine sauber ausgearbeitete Stellenbeschreibung kann dagegen Transparenz schaffen, spätere Konflikte reduzieren und die Sicherheit erhöhen, indem bereits im Auswahlprozess klar wird, welche Fachkenntnisse und Integritätsanforderungen benötigt werden. Beachten Sie dabei auch rechtliche Anforderungen wie das AGG. Zur Umsetzung kann eine Institution zunächst ein standardisiertes Format für Stellenbeschreibungen verwenden, in dem u.a. Aufgabenbereiche, Verantwortlichkeiten, sowie erforderliche fachliche und sicherheitsrelevante Qualifikationen erfasst werden. Eine abgestufte Vorlage kann bei unterschiedlichen Rollenarten (z.B. operative Mitarbeitende, Teamleitungen, Fachspezialisten) helfen, die Konsistenz zu wahren. Prozessual kann eine interne Prüfschleife eingerichtet werden, in der HR und die jeweilige Fachabteilung die Beschreibung autorisieren, bevor eine Stelle öffentlich ausgeschrieben wird. Außerdem kann es hilfreich sein, regelmäßig zu prüfen, ob bestehende Stellenbeschreibungen noch zu aktuellen Prozessen und eingesetzten Technologien passen, sodass keine veralteten oder unvollständigen Kriterien in die Rekrutierung einfließen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor Ausschreibung zu besetzender Stellen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.5 Grundschutz++ PERS.3.5 Prüfung der Bewerbungsunterlagen Personal SOLLTE die Qualifikation von Bewerbenden anhand der Bewerbungsunterlagen vor der Besetzung von Stellen testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Qualifikation von Bewerbenden anhand der Bewerbungsunterlagen", "definitions": {}}, "guidance": "Die Prüfung von Unterlagen zur Qualifikation ist essenziell, um sicherzustellen, dass nur fachlich geeignete Personen Zugang zu sensiblen IT-Systemen und Daten erhalten. Fehlende Qualifikationen erhöhen das Risiko für Bedienfehler oder mangelndes Sicherheitsbewusstsein, was Schwachstellen und Angriffsflächen für Bedrohungen eröffnet. Zudem wird so das Risiko von gezielter Einschleusung von Angreifern verringert. Berücksichtigen Sie dabei die Persönlichkeitsrechte der Bewerbenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Besetzung von Stellen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.6 Grundschutz++ PERS.3.6 Vertrauenswürdigkeit von Bewerbenden Personal SOLLTE die Vertrauenswürdigkeit von Bewerbenden vor der Besetzung von Stellen testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Vertrauenswürdigkeit von Bewerbenden", "definitions": {}}, "guidance": "Hierbei sind sowohl die Identität der Person, als auch ihre Qualifikation anhand von Nachweisen zu verifizieren. Insbesondere ist zu prüfen, ob der vorgelegte Lebenslauf korrekt, plausibel und vollständig ist. Bei Unklarheiten oder Widersprüchen können die Angaben durch Rückfragen bei der Quelle der Qualifikationsnachweise verifiziert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Besetzung von Stellen", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.5 Grundschutz++ KONF.12.5 Auto-Vervollständigung von Daten Konfiguration für Webbrowser SOLLTE die Auto-Vervollständigung von Daten einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing, Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auto-Vervollständigung von Daten", "definitions": {}}, "guidance": "Webseiten können Eingaben auch auslesen, bevor diese abgesendet werden. Die Deaktivierung der Auto-Vervollständigung verhindert, dass der Browser diese Daten automatisch eingibt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.3.6.1 Grundschutz++ PERS.3.6.1 Sicherheitsüberprüfung (intern) Personal KANN eine Sicherheitsüberprüfung vor der Besetzung von sicherheitsrelevanten Stellen ausführen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Sicherheitsüberprüfung", "definitions": {}}, "guidance": "Eine Sicherheitsüberprüfung meint die Verifikation von Identität, beruflicher Qualifikation und Verlässlichkeit von allen Personen mit Zugriff auf schützenswerte Informationen, hier konkret der Mitarbeitenden. Bei einer Sicherheitsüberprüfung kann je nach Art der Tätigkeit ein Polizeiliches Führungszeugnis, eine finanzielle Hintergrundprüfung, ein Sicherheitsinterview, eine psychologische Eignungsprüfung, sowie eine Überprüfung von sozialen Beziehungen und Netzwerken sinnvoll sein. Hierbei besteht ein enger Bezug zum Persönlichkeits- und Datenschutzrecht der Betroffenen. Eine sicherheitsrelevante Stelle ist eine Funktion oder Rolle innerhalb einer Institution, die direkt Zugang zu sicherheitskritischen Informationen, IT-Systemen oder Konfigurationen hat und deren Handlungen die Vertraulichkeit, Integrität oder Verfügbarkeit dieser Systeme maßgeblich beeinflussen könnten. Dazu zählen insbesondere (1) der bzw. die Informationssicherheitsbeauftragte, (2) System-, Netzwerk- und Serveradministratoren sowie (3) weitere Administrator*innen mit erhöhten Rechten wie Domain-Admins, Datenbank-Admins oder Security-Engineers, ebenso wie (4) Personen mit Zugriff auf sicherheitskritische Schlüsselmaterialien etwa im Kryptografie- oder Identitätsmanagement. Nicht darunter fallen hingegen Tätigkeiten ohne sicherheitskritischen Systemzugang oder ohne Einfluss auf Sicherheitsfunktionen, etwa Reinigungs- oder Empfangstätigkeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Besetzung von sicherheitsrelevanten Stellen", "definitions": {}}} PERS.3.6 \N \N \N +Grundschutz++:PERS.3.7 Grundschutz++ PERS.3.7 Einarbeitung Personal für Mitarbeitende SOLLTE eine Einarbeitung bei Neuzugang ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Einarbeitung", "definitions": {}}, "guidance": "Eine Einarbeitung ist eine strukturierte Vorgehensweise, bei der neue Mitarbeitende mit den relevanten Aufgaben, Zuständigkeiten, Systemen und Sicherheitsanforderungen ihrer Tätigkeit vertraut gemacht werden. Ziel ist es, ihnen nicht nur fachliche Grundlagen, sondern auch die spezifischen Abläufe und Schutzmaßnahmen der Institution zu vermitteln, sodass sie von Beginn an korrekt und sicher arbeiten können. Ohne eine solche Einarbeitung könnte es zu Fehlbedienungen von IT-Systemen kommen, die Sicherheitsvorfälle begünstigen, oder zu Verzögerungen bei der Umsetzung von Aufgaben, die die Verfügbarkeit kritischer Prozesse beeinträchtigen. Eine sorgfältige Einführung kann dagegen das Verständnis für Sicherheitsregeln fördern, den verantwortungsvollen Umgang mit sensiblen Informationen stärken und die Bindung der Mitarbeitenden an die Institution erhöhen. Um die Anforderung umzusetzen, kann die Institution verschiedene Maßnahmen kombinieren: (1) ein strukturiertes Onboarding-Dokument, das die wichtigsten Systeme, Zugriffsrechte und Sicherheitsrichtlinien erklärt, (2) eine begleitende Einführung durch erfahrene Kolleginnen und Kollegen, die praxisnahes Wissen vermitteln, (3) die direkte Integration sicherheitsrelevanter Hinweise in den Arbeitsalltag, etwa durch kurze Erläuterungen beim erstmaligen Zugriff auf sensible Anwendungen oder beim Anlegen von Berechtigungen. Ergänzend kann eine Checkliste genutzt werden, um sicherzustellen, dass alle relevanten Schritte nachvollziehbar abgeschlossen werden. Auch ein „Paten-System“ kann eingesetzt werden, bei dem neue Mitarbeitende für die ersten Wochen eine feste Ansprechperson haben, die Fragen klärt und auf mögliche sicherheitsrelevante Stolperfallen hinweist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalzugang", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Neuzugang", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.4.1 Grundschutz++ PERS.4.1 Qualifikationsbedarf Personal für Mitarbeitende SOLLTE den Bedarf an Qualifikationsmaßnahmen anhand der Aufgaben regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf an Qualifikationsmaßnahmen anhand der Aufgaben", "definitions": {}}, "guidance": "Qualifikationsmaßnahmen sind z.B. Zertifizierte Weiterbildungen, interne Schulungen oder universitäre Kurse. Prüfen Sie den Bedarf anhand der Aufgaben der Mitarbeitenden und berücksichtigen Sie dabei die in den Geschäftsprozessen verwendeten IT-Produkte. Zweckmäßig ist es hierzu in jedem Team einen Jahresplan zur Teilnahme an Qualifikationsmaßnahmen zu erstellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalentwicklung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.4.2 Grundschutz++ PERS.4.2 Rollenspezifische Schulungen und Sensibilisierungen Personal für Nutzende SOLLTE rollenspezifische Schulungen und Sensibilisierungen im Einklang mit den Anforderungen der Praktik Sensibilisierung bei Neuzugang und regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "rollenspezifische Schulungen und Sensibilisierungen", "definitions": {}}, "guidance": "Neue Mitarbeitende könnten ohne gezielte Einführung unbewusst vertrauliche Informationen preisgeben, unsichere Passwörter wählen oder Phishing-Mails öffnen, da ihnen relevante Schutzprinzipien oder Gefährdungen im Kontext ihrer Tätigkeit nicht bekannt sind. Ebenso könnte es bei länger Beschäftigten zu einer „Routineblindheit“ kommen, sodass beispielsweise ungewöhnliche Systemmeldungen nicht mehr ernst genommen oder sensible Daten versehentlich an unberechtigte Personen weitergegeben werden. „Rollenspezifisch“ bedeutet in diesem Zusammenhang, dass die Inhalte der Schulung auf die jeweilige Tätigkeit zugeschnitten werden – eine Person im IT-Bereich benötigt z. B. andere Sicherheitskenntnisse als jemand im Vertrieb oder in der Verwaltung. Beispiele für rollenspezifische Schulungen sind Kurse zum sicheren IT-Betrieb für Administrierende, OWASP® Top 10 Training für Webentwickler und Social Engineering Abwehrtraining für die Institutionsleitung. Eine Institution kann diese Anforderung etwa umsetzen, indem sie standardisierte E-Learning-Module bereitstellt, die durch kurze Praxisszenarien ergänzt werden. Hilfreich ist, die Dauer der Formate überschaubar zu halten, um die Akzeptanz hoch zu halten, und die Wirksamkeit regelmäßig durch Feedback oder kleine Tests zu prüfen. Ebenso kann es sinnvoll sein, Fachbereiche in die Ausgestaltung einzubinden, damit Beispiele und Szenarien aus dem tatsächlichen Arbeitsalltag stammen. Mitarbeitende, die bereits eine passende Qualifikation erworben haben, können von der Schulung ausgenommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalentwicklung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Anforderungen der Praktik Sensibilisierung bei Neuzugang und {{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.4.2.1 Grundschutz++ PERS.4.2.1 Produktspezifische Schulungen und Sensibilisierungen Personal für Administrierende SOLLTE produktspezifische Schulungen zum Umgang mit administrativen Werkzeugen bei Neuzugang und dem Einsatz neuer IT-Produkte ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "produktspezifische Schulungen zum Umgang mit administrativen Werkzeugen", "definitions": {}}, "guidance": "Ziel ist es, den sicheren Umgang mit den in der Institution genutzten administrativen Werkzeugen zu erlernen (z.B. dem genutzten Verzeichnisdienst, Kommandozeilenbefehlen der genutzten Betriebssysteme, Wireshark oder Netzmanagement-Software). Hierzu gehört die Bedienung der jeweiligen Werkzeuge, Aspekte der sicheren Nutzung wie Verschlüsselung und Authentifizierung, die Vermeidung typischer Fehler, sowie der Umgang mit typischen Problemstellungen (Bugfixing). Verfügt die jeweilige Person bereits nachweislich über die Kenntnisse (z.B. passendes Zertifikat) so ist die Schulung für diese Person entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalentwicklung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Neuzugang und dem Einsatz neuer IT-Produkte", "definitions": {}}} PERS.4.2 \N \N \N +SCF:AAT-16.4 SCF AAT-16.4 Efficacy of AI & Autonomous Technologies Measurement Mechanisms exist to gather and assess feedback about the efficacy of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related measurements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.4_AAT-16.4_A01", "name": "assessment-objective", "prose": "responsible party(ies) gather feedback about efficacy of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related measurements."}, {"id": "AAT-16.4_AAT-16.4_A02", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, assesses the efficacy of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related measurements."}]} \N \N \N \N +Grundschutz++:PERS.5.1 Grundschutz++ PERS.5.1 Maßregelung Personal SOLLTE ein Verfahren zur Maßregelung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Maßregelung", "definitions": {}}, "guidance": "Legen Sie fest unter welchen Voraussetzungen (z.B. Benennung konkreter Pflicht, Nachweis des Verstoßes) welche Maßregelungsmaßnahmen zu ergreifen sind, wenn Mitarbeitende gegen Anweisungen zur Informationssicherheit verstoßen. Maßnahmen können von Mitarbeitergesprächen über der Entzug der Berechtigung zum Zugriff auf vertrauliche Daten bis hin zu Abmahnungen oder Kündigungen reichen. Für arbeitsrechtliche Maßnahmen gilt der Grundsatz der Verhältnismäßigkeit und das Verbot der Maßregelung bei zulässiger Rechtsausübung. Aufgrund des engen Bezugs zum Arbeitsrecht ist im Zweifel eine Rechtsberatung empfehlenswert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalbetreuung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.5.2 Grundschutz++ PERS.5.2 Innentäter Personal SOLLTE ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern", "definitions": {}}, "guidance": "Ein interdisziplinäres Verfahren zum Umgang mit potenziellen Innentätern integriert technische Aspekte und organisatorische Aspekte um zielgerichtete Verstöße durch Innentäter so früh wie möglich aufzuspüren und umfassend zu behandeln. Hierzu können beispielsweise die Analyse von Protokollen sowie der Einsatz technischer Detektionssysteme zur Identifikation unerlaubter Nutzung herangezogen werden. Ergänzend dazu dienen organisatorische Meldewege dazu, frühzeitig auf Anzeichen einer länger andauernden systemischen Unzufriedenheit bei Mitarbeitenden reagieren zu können. Maßnahmen bei Aufdeckung können von Mitarbeitergesprächen über den Entzug der Berechtigung zum Zugriff auf vertrauliche Daten bis hin zu Abmahnungen oder Kündigungen reichen. Berücksichtigen Sie bei der Festlegung die Persönlichkeitsrechte der Mitarbeitenden, insbesondere hinsichtlich Arbeitsüberwachung. Aufgrund des engen Bezugs zum Arbeitsrecht ist im Zweifel eine Rechtsberatung empfehlenswert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalbetreuung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.5.3 Grundschutz++ PERS.5.3 Vertrauens-Check sicherheitskritischer Rollen Personal SOLLTE die Vertrauenswürdigkeit für definierte sicherheitskritische Rollen regelmäßig und anlassbezogen überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Vertrauenswürdigkeit für {{definierte sicherheitskritische Rollen}}", "definitions": {}}, "guidance": "Die Vertrauenswürdigkeit bezeichnet im hier relevanten Kontext die Eignung und persönliche Integrität von Personen, die in besonders sicherheitskritischen Rollen tätig sind – also Funktionen mit erweiterten Zugriffsrechten, administrativen Befugnissen oder Zugang zu sensiblen Informationen und Systemen. Sicherheitskritische Rollen können beispielsweise Systemadministratoren, Personal mit privilegierten Rechten in Cloud-Diensten oder Mitarbeitende im Finanz- und Abrechnungswesen sein. Regelmäßig bedeutet in diesem Zusammenhang, dass eine Überprüfung nicht nur einmalig bei Einstellung, sondern in sinnvollen zeitlichen Abständen erfolgen kann – etwa alle zwei bis drei Jahre oder anlassbezogen, zum Beispiel bei Beförderungen oder einem Wechsel in eine sicherheitsrelevante Funktion. Der Sinn dieser Anforderung liegt darin, Risiken wie Insider-Bedrohungen, Manipulationen oder unbefugte Informationsweitergabe frühzeitig zu reduzieren. So könnte ein Mitarbeiter mit verschuldeten privaten Verhältnissen erpressbar werden und vertrauliche Daten weitergeben, wohingegen eine erneute Vertrauensprüfung kann frühzeitig auffällige Entwicklungen sichtbar machen und das Sicherheitsniveau stabilisieren. Eine Umsetzung kann durch verschiedene Maßnahmen erfolgen, die sowohl technische als auch prozessuale Ansätze kombinieren. Institutionen können beispielsweise (1) Selbstauskünfte oder aktuelle Führungszeugnisse anfordern, (2) regelmäßige Abgleiche mit internen HR-Daten wie Abmahnungen oder Compliance-Verstößen durchführen und (3) strukturierte Interviews oder Fragebögen einsetzen, die Veränderungen in der Lebenssituation mit Relevanz für die Vertrauenswürdigkeit adressieren. Ergänzend kann eine technische Unterstützung durch revisionssichere Dokumentation in HR-Systemen erfolgen, sodass jede Überprüfung nachvollziehbar bleibt. Ein pragmatischer Tipp ist es, Überprüfungen an ohnehin bestehende HR-Prozesse – etwa jährliche Mitarbeitergespräche oder Rezertifizierungen von Zugriffsrechten – anzubinden, um sie effizient und konsistent in den Betriebsablauf zu integrieren. Auf diese Weise kann die Institution die Anforderung praxisnah erfüllen und gleichzeitig den administrativen Aufwand geringhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Personalbetreuung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.6.1 Grundschutz++ PERS.6.1 Vorgehensweise für den Weggang Personal für Nutzende SOLLTE eine Vorgehensweise für den Weggang verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat, Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise für den Weggang", "definitions": {}}, "guidance": "Wenn Nutzende ohne gesteuertes Vorgehen aus dem Informationsverbund ausscheiden, könnten Zugänge oder Aufgaben unkontrolliert zurückgelassen werden, oder Informationen ungewollt an Dritte abfließen. Hierzu gehört z.B. Mitarbeitende an die Wahrung von Betriebs- und Geschäftsgeheimnissen zu erinnern. Außerdem sind von ausscheidenden Mitarbeitenden alle im Rahmen ihrer Tätigkeit erhaltenen Unterlagen, Schlüssel und Geräte sowie Ausweise und Zutrittsberechtigungen einzuziehen. Hierbei besteht ein enger Zusammenhang zum Berechtigungsmanagement.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Weggang von Mitarbeitenden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:PERS.6.1.1 Grundschutz++ PERS.6.1.1 Entzug von Berechtigungen gemäß BER Personal für Nutzende SOLLTE bei Weggang den unverzüglichen Entzug aller Zugriffsrechte im Einklang mit den Regelungen und Verfahren zum Berechtigungs- und Identitätsmanagement verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Weggang den unverzüglichen Entzug aller Zugriffsrechte", "definitions": {}}, "guidance": "Der unverzügliche Entzug bedeutet in diesem Kontext die sofortige und vollständige Deaktivierung aller Zugriffsrechte, sowohl auf physische Ressourcen (z. B. Gebäude, Serverräume, Schränke mit vertraulichen Unterlagen) als auch auf logische Systeme (z. B. Benutzerkonten in E-Mail-Diensten, ERP-Systemen, Cloud-Speichern). Physische Zugriffsrechte umfassen Schlüssel, Zugangskarten oder Codes, die eine Person nutzen kann, um in geschützte Bereiche zu gelangen. Logische Zugriffsrechte beziehen sich auf digitale Berechtigungen wie Passwörter, Tokens, VPN-Profile oder Single-Sign-On-Zugänge. Der Sinn dieser Vorgabe liegt darin, das Risiko unbefugter Zugriffe nach dem Ausscheiden von Mitarbeitenden oder externen Nutzenden zu minimieren. Ein entlassener Mitarbeitender könnte ansonsten noch Daten aus einer Cloud-Anwendung kopieren oder mit einer Zutrittskarte ein Rechenzentrum betreten. Werden die Rechte dagegen sofort entzogen, kann die Institution die Vertraulichkeit und Integrität sensibler Informationen sichern und zugleich Haftungsrisiken reduzieren. Eine Institution kann diese Anforderung durch abgestimmte technische und prozessuale Maßnahmen umsetzen. Dazu kann ein standardisierter Offboarding-Prozess etabliert werden, der mit der Personalabteilung synchronisiert ist und automatisch IT und Facility-Management informiert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Weggang von Mitarbeitenden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Regelungen und Verfahren zum Berechtigungs- und Identitätsmanagement", "definitions": {}}} PERS.6.1 \N \N \N +Grundschutz++:PERS.6.1.2 Grundschutz++ PERS.6.1.2 Neubesetzung Personal für Mitarbeitende SOLLTE bei Weggang frei gewordene Zuständigkeiten zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Weggang frei gewordene Zuständigkeiten", "definitions": {}}, "guidance": "Stellen Sie sicher, dass durch den Weggang von Mitarbeitenden keine Aufgaben des ISMS verwaisen – auch nicht bis zu einer geplanten Neueinstellung. Ordnen Sie stattdessen die Zuständigkeit für die Aufgaben/Rollenunverzüglich bestehendem Personal zu. Achten Sie dabei auch darauf, dass die festgelegten Rollentrennungen dabei nicht aufgehoben, bzw. durchbrochen werden. Um eine kontinuierliche Bearbeitung von Aufgaben sicherzustellen, ist eine Übergabe sinnvoll.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Personal / Weggang von Mitarbeitenden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Personalmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} PERS.6.1 \N \N \N +Grundschutz++:BES.1.1 Grundschutz++ BES.1.1 Verfahren und Regelungen Beschaffungsmanagement MUSS Verfahren und Regelungen zur Beschaffung von IT-Produkten und Dienstleistungen verankern. MUSS BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Beschaffung von IT-Produkten und Dienstleistungen", "definitions": {}}, "guidance": "Relevant sind hierbei sowohl Beschaffungen von Produkten und Dienstleistungen für den internen Betrieb als auch Verträge bei denen Informationen für die Institution extern verarbeitet werden, z.B. Cloud-Dienstleistungen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:AAT-16.5 SCF AAT-16.5 AI & Autonomous Technologies Domain Expert Reviews Mechanisms exist to utilize input from domain experts and relevant stakeholders to validate whether the Artificial Intelligence (AI) and Autonomous Technologies (AAT) perform consistently, as intended. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.5_AAT-16.5_A01", "name": "assessment-objective", "prose": "input from domain experts and relevant stakeholders is utilized to validate whether the Artificial Intelligence (AI) and Autonomous Technologies (AAT) perform consistently, as intended."}]} \N \N \N \N +Grundschutz++:BES.1.1.1 Grundschutz++ BES.1.1.1 Dokumentation Beschaffungsmanagement MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.1.1 \N \N \N +Grundschutz++:BES.1.1.2 Grundschutz++ BES.1.1.2 Zuweisung der Aufgaben Beschaffungsmanagement MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} BES.1.1 \N \N \N +Grundschutz++:BES.1.1.3 Grundschutz++ BES.1.1.3 Bekanntgabe Beschaffungsmanagement MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} BES.1.1 \N \N \N +Grundschutz++:BES.1.2 Grundschutz++ BES.1.2 Regelmäßige Überprüfung Beschaffungsmanagement MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.1.3 Grundschutz++ BES.1.3 Lieferanten- und Dienstleisterverzeichnis Beschaffungsmanagement für Einkäufe SOLLTE alle direkten Zulieferer und Dienstleister inklusive der jeweiligen Kontaktdaten und den bezogenen Lieferungen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle direkten Zulieferer und Dienstleister", "definitions": {}}, "guidance": "Direkte Zulieferer sind hier alle Vertragspartner, von denen IT-Produkte bezogen werden. Dienstleister sind alle Vertragspartner, die schützenswerte Informationen des Informationsverbundes verarbeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Liste der Hersteller und Dienstleister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "inklusive der jeweiligen Kontaktdaten und den bezogenen Lieferungen", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.1.3.1 Grundschutz++ BES.1.3.1 Gesamte Lieferkette Beschaffungsmanagement für Einkäufe KANN die gesamte Lieferkette inklusive der jeweiligen Unterauftragnehmer und deren Kontaktdaten dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die gesamte Lieferkette", "definitions": {}}, "guidance": "Sicherheitsvorfälle können nicht nur auf direkter Ebene entstehen, sondern werden häufig durch nachgelagerte Dienstleister oder Unterlieferanten verursacht – etwa wenn ein Unterauftragnehmer unzureichende Sicherheitsmaßnahmen umsetzt, kritische Softwarekomponenten fehlerhaft bezieht oder sensible Daten bei einem Subdienstleister unkontrolliert verarbeitet werden. Ein solches Ereignis könnte sich durch Lieferausfälle, den Einschleusung kompromittierter Hard- oder Software oder auch durch den Verlust von Betriebsgeheimnissen bemerkbar machen. Nur wenn eine Institution die gesamte Kette kennt, kann sie Schwachstellen lückenlos erkennen, Abhängigkeiten bewerten und im Bedarfsfall schneller reagieren, etwa indem bei Störungen alternative Bezugsquellen aktiviert werden. Die (ja fortlaufend zu gewährleistende) Dokumentation der gesamten Lieferkette ist allerdings auch mit großem Aufwand verbunden und setzt auch die Bereitschaft zur Mitwirkung in der gesamten Lieferkette voraus.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Liste der Hersteller und Dienstleister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "inklusive der jeweiligen Unterauftragnehmer und deren Kontaktdaten", "definitions": {}}} BES.1.3 \N \N \N +Grundschutz++:BES.1.4.1 Grundschutz++ BES.1.4.1 Freigabe der Strategie Beschaffungsmanagement für Outsourcing SOLLTE die Strategie durch die Institutionsleitung autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Strategie", "definitions": {}}, "guidance": "Ziel ist es sicherzustellen, dass Auslagerungen dem Risikoverständnis, den gesetzlichen Rahmenbedingungen und den geschäftlichen Zielen entsprechen und Verantwortlichkeiten eindeutig verankert sind. Fehlende oder uneinheitliche Leitentscheidungen könnten zu Schattenbeschaffungen, regulatorischen Beanstandungen, Konzentrationsrisiken oder unkontrollierten Datenabflüssen führen; etwa könnte ein Fachbereich ohne strategischen Rahmen einen Dienst in einer problematischen Jurisdiktion beauftragen oder mehrere kritische Leistungen bei einem einzigen Anbieter bündeln, was bei dessen Ausfall zu erheblichen Betriebsunterbrechungen führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Outsourcing Strategie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch die Institutionsleitung", "definitions": {}}} BES.1.4 \N \N \N +Grundschutz++:BES.1.5 Grundschutz++ BES.1.5 Autorisierung des Bereitstellungsmodells Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst das Bereitstellungsmodell durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Shared Responsibility Model", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jeden Cloud-Dienst das Bereitstellungsmodell", "definitions": {}}, "guidance": "Hiermit ist die bewusste Entscheidung für ein Modell und die konzeptionelle Umsetzung (\\"Shared Responsibility\\") dieser Entscheidung gemeint. Bereitstellungsmodelle sind z.B.: Public Cloud, Private Cloud, Community Cloud, Hybrid Cloud. Es kann in der Praxis aber zu dadurch nicht abgedeckten Varianten, wie z. B. \\"Virtual Private Cloud\\" kommen. Die Anforderung ist erst dann umgesetzt, wenn auch zwischen den Vertragspartnern das Bereitstellungsmodell explizit vereinbart ist, so dass die Verteilung der Verantwortlichkeiten (Shared Responsibility) für Schutzmaßnahmen zwischen Institution und Dienstleister klar geregelt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.1.6 Grundschutz++ BES.1.6 Dokumentation des Bereitstellungsmodells Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst das gewünschte Bereitstellungsmodell mit Ausführung der geteilten Verantwortlichkeiten dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Shared Responsibility Model", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jeden Cloud-Dienst das gewünschte Bereitstellungsmodell", "definitions": {}}, "guidance": "Hiermit ist die bewusste Entscheidung für ein Modell und die konzeptionelle Umsetzung (\\"Shared Responsibility\\") dieser Entscheidung gemeint. Bereitstellungsmodelle sind z.B.: Public Cloud, Private Cloud, Community Cloud, Hybrid Cloud. Es kann in der Praxis aber zu dadurch nicht abgedeckten Varianten, wie z. B. \\"Virtual Private Cloud\\" kommen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Ausführung der geteilten Verantwortlichkeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.1.7 Grundschutz++ BES.1.7 Vereinbarung der geteilten Verantwortung Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden Cloud-Dienst mit dem Anbieter die geteilte Verantwortung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Shared Responsibility Model", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jeden Cloud-Dienst mit dem Anbieter die geteilte Verantwortung", "definitions": {}}, "guidance": "Die Anforderung ist erst dann umgesetzt, wenn auch zwischen den Vertragspartnern das Bereitstellungsmodell explizit vereinbart ist, so dass die Verteilung der Verantwortlichkeiten (Shared Responsibility) für Schutzmaßnahmen zwischen Institution und Dienstleister klar geregelt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.1 Grundschutz++ BES.2.1 Erfassung des Bedarfes Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf anhand einer Leistungsbeschreibung oder einer Umsetzungsstrategie dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf", "definitions": {}}, "guidance": "Dies umfasst sowohl Bedürfnisse für eine sichere Funktionalität als auch nicht-funktionalen Bedarf wie Datensicherung und Einbindung in das Monitoring.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand einer Leistungsbeschreibung oder einer Umsetzungsstrategie", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.1.5 Grundschutz++ BES.2.1.5 Lizenzierung Beschaffungsmanagement für IT-Produkte SOLLTE für den geplanten Einsatzzeitraum erforderliche Lizenzen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für den geplanten Einsatzzeitraum erforderliche Lizenzen", "definitions": {}}, "guidance": "Lizenzen sind erforderlich, wenn sie für den Einsatz des geplanten IT-Produktes benötigt werden. Hierbei können sowohl Softwarelizenzen selbst als auch begleitende Lizenzen, z.B. für Protokollierungssysteme oder Cloud-Schnittstellen gehören. Die Lizenzierung ist ausreichend, wenn voraussichtlich für alle anfallenden Arbeiten genug Zugänge und aktivierte IT-Produkte über den geplanten Einsatzzeittraum verfügbar sind. Denken Sie auch daran, welche Funktionen unter welcher Lizenz vom Anbieter freigeschaltet und erlaubt sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.1.1 Grundschutz++ BES.2.1.1 Verwendungszweck Beschaffungsmanagement für IT-Produkte SOLLTE den Verwendungszweck dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Verwendungszweck", "definitions": {}}, "guidance": "Relevant kann hierbei beispielsweise sein, ob es verschiedene Einsatzszenarien (z.B. Innen- und Außendienst) gibt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.1.2 Grundschutz++ BES.2.1.2 Geschäftsprozessprofile Beschaffungsmanagement für Outsourcing KANN Geschäftsprozessprofile für (Teil-)Prozesse, die ausgelagert werden, mit Funktion, verarbeiteten Informationen, einzuhaltenden rechtlichen und organisatorischen Rahmenbedingungen, prozessualen Schnittstellen, Abhängigkeiten zwischen Prozessen, sowie ihren Schutzbedarfen und Kritikalitäten dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Geschäftsprozessprofile für (Teil-)Prozesse, die ausgelagert werden,", "definitions": {}}, "guidance": "Ist bereits eine Business-Impact-Analyse (BIA) vorhanden, welche die Angaben enthält, so kann die Anforderung durch die BIA erfüllt werden. Kritikalität bezeichnet die Bedeutung eines Prozesses für den Geschäftsbetrieb der Institution. Die Umsetzung kann auch durch eine Tabelle von Geschäftsprozessprofilen geschehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Funktion, verarbeiteten Informationen, einzuhaltenden rechtlichen und organisatorischen Rahmenbedingungen, prozessualen Schnittstellen, Abhängigkeiten zwischen Prozessen, sowie ihren Schutzbedarfen und Kritikalitäten", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.1.3 Grundschutz++ BES.2.1.3 Systemvoraussetzungen Beschaffungsmanagement für IT-Produkte SOLLTE Systemvoraussetzungen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Systemvoraussetzungen", "definitions": {}}, "guidance": "Hierzu können sowohl Hardwareparameter gehören (z.B. 8 GB RAM, TPM 2.0), als auch Voraussetzungen an Betriebssysteme (z.B. Lauffähigkeit nur auf bestimmten Betriebssystemen oder bei Unterstützung bestimmter Funktionen), auf denen der Einsatz geplant ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.1.4 Grundschutz++ BES.2.1.4 Kompatibilität Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität mit der bestehenden Infrastruktur dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf für die Kompatibilität mit der bestehenden Infrastruktur", "definitions": {}}, "guidance": "Werden Beschaffungen ohne Betrachtung der Kompatibilität zur angebundenen Infrastruktur vorgenommen, kann es zu unvorhergesehenen Wechselwirkungen zwischen Komponenten kommen. Durch die steigende Komplexität von Infrastrukturen wächst auch das Risiko solcher Inkompatibilitäten oder Fehlerbilder. Zur relevanten Infrastruktur können je nach Einsatzzweck z.B. der Verzeichnisdienst, die Protokollierung von Ereignissen, das Monitoring oder der Datenspeicher gehören. Soweit möglich, ist es sinnvoll, zur Anbindung anerkannte Standards zu nutzen, z.B. REST-API und HTTPS für die Schnittstellen, TCP/IP und Ethernet (IEEE 802.3) für die Netzanbindung, SSH für die Administration,sowie SQL oder JSON für das Datenmanagement.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.1.4.1 Grundschutz++ BES.2.1.4.1 Kompatibilität der Schnittstellen Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf Schnittstellen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf für die Kompatibilität", "definitions": {}}, "guidance": "Kompatibilität im Hinblick auf Schnittstellen meint die Fähigkeit eines zu beschaffenden IT-Systems, einer Anwendung oder Komponente, mit bestehenden oder vorgesehenen IT- und OT-Umgebungen interoperabel zu sein; hierzu zählen technische Schnittstellen wie APIs (Application Programming Interfaces), Protokolle, Authentifizierungsmechanismen sowie physische oder virtuelle Netzanschlüsse. Eine Schnittstelle ist dabei jede definierte Übergabestelle, an der Daten, Signale oder Steuerinformationen zwischen Systemen ausgetauscht werden, einschließlich logischer (z. B. Webservices, REST, SOAP), datenbezogener (z. B. XML, JSON, CSV, authentifizierender (z.B. SAML oder OAuth 2.0) und infrastruktureller Anbindungen (z. B. VPN, TLS-gesicherte Verbindungen). Die Dokumentation des Bedarfs umfasst eine nachvollziehbare Beschreibung, welche bestehenden Infrastrukturen angebunden werden, welche Kommunikationsprotokolle und Sicherheitsmechanismen unterstützt werden und welche Abhängigkeiten oder Einschränkungen bestehen. Die Regelung zielt darauf ab, Integrationsrisiken frühzeitig zu erkennen und Fehlbeschaffungen zu vermeiden; ohne dokumentierten Kompatibilitätsbedarf könnte es zu Medienbrüchen, unsicheren Ad-hoc-Anbindungen oder kostenintensiven Nachrüstungen kommen, wodurch Sicherheitslücken entstehen könnten. Eine systematische Erfassung der Schnittstellenanforderungen kann hingegen sicherstellen, dass nur Lösungen ausgewählt werden, die sich kontrolliert und sicher in die bestehende Architektur einfügen lassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Hinblick auf Schnittstellen", "definitions": {}}} BES.2.1.4 \N \N \N +Grundschutz++:BES.2.1.4.2 Grundschutz++ BES.2.1.4.2 Kompatibilität der Netzanbindung Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf die Netzanbindung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf für die Kompatibilität", "definitions": {}}, "guidance": "Kompatibilität im Hinblick auf die Netzanbindung ist hier die technische und logische Anschlussfähigkeit einer zu beschaffenden Komponente an die bestehende Netzwerkinfrastruktur der Institution zu verstehen, einschließlich physischer Schnittstellen (z.B. Ethernet, Glasfaser), unterstützter Übertragungsprotokolle (z.B. TCP/IP, HTTP, TLS), Authentisierungs- und Autorisierungsverfahren (z.B. IEEE 802.1X, RADIUS), Adressierungskonzepte (IPv4/IPv6, erforderlicher Netzbandbreite und Laufzeiten, sowie Segmentierungs- und Sicherheitsarchitekturen (z.B. VLAN, Network Access Control – NAC). Netzanbindung meint dabei jede Form der Integration in interne Netze, Perimeternetze oder dedizierte Verbindungen zu externen Netzen, einschließlich drahtloser Anbindungen (WLAN) oder standortübergreifender Kopplungen (WAN). Der dokumentierte Bedarf beschreibt die konkret erforderlichen technischen, sicherheitsrelevanten und betrieblichen Eigenschaften der Netzschnittstelle, sodass bereits im Beschaffungsprozess transparent wird, welche Integrationsvoraussetzungen notwendig sind und welche Abweichungen nicht akzeptabel sind. Die Dokumentation dieses Bedarfs kann verhindern, dass Lösungen beschafft werden, die sich nur mit unsicheren Protokollen anbinden lassen oder bestehende Segmentierungs- und Schutzmechanismen umgehen, was zu ungewollten Netzöffnungen, erhöhten Angriffsflächen oder Integrationsproblemen führen könnte. Sie kann zudem Transparenz schaffen, sodass spätere Notlösungen wie unkontrollierte Gateways oder Protokollkonverter vermieden werden, die zusätzliche Schwachstellen einführen könnten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Hinblick auf die Netzanbindung", "definitions": {}}} BES.2.1.4 \N \N \N +Grundschutz++:BES.2.1.4.3 Grundschutz++ BES.2.1.4.3 Kompatibilität des Administrationsmodells Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf das Administrationsmodell dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf für die Kompatibilität", "definitions": {}}, "guidance": "Unter „Kompatibilität im Hinblick auf das Administrationsmodell“ ist hier die technische und organisatorische Anschlussfähigkeit einer zu beschaffenden Lösung an das bestehende Berechtigungs- und Rollenmodell der Institution zu verstehen, also an die Struktur von Benutzerkonten, Rollen, Gruppen, Verantwortlichkeiten und administrativen Zuständigkeiten (z.B. Role-Based Access Control – RBAC, Attribute-Based Access Control – ABAC, Privileged Access Management – PAM). Das Administrationsmodell beschreibt dabei, wie Identitäten angelegt, geändert und gelöscht werden (Identity Lifecycle), wie Rechte vergeben und überprüft werden (Access Governance) und wie administrative Tätigkeiten nachvollziehbar protokolliert werden (Logging, Audit Trail). Die Dokumentation des Bedarfs für diese Kompatibilität bedeutet, dass im Beschaffungsprozess transparent festgehalten wird, welche Integrationsanforderungen bestehen, etwa hinsichtlich zentraler Verzeichnisdienste (z.B. LDAP, Active Directory), Single Sign-On (SSO), Multi-Faktor-Authentisierung (MFA), Mandantenfähigkeit oder der Trennung von administrativen und fachlichen Rollen. Der Zweck dieser Vorgabe liegt darin, Inkonsistenzen und Medienbrüche im Identitäts- und Berechtigungsmanagement zu vermeiden, da eine nicht kompatible Lösung zu Schattenadministration, doppelten Benutzerkonten oder unzureichender Trennung von Aufgaben führen könnte und dadurch unautorisierte Zugriffe oder fehlende Nachvollziehbarkeit begünstigt werden könnten. Eine frühzeitige und strukturierte Festlegung der Kompatibilitätsanforderungen kann hingegen eine einheitliche Durchsetzung von Sicherheitsrichtlinien, eine zentrale Steuerung privilegierter Konten und eine revisionssichere Protokollierung administrativer Handlungen unterstützen. die Unterstützung sowie (3) die technische Möglichkeit zur rollenbasierten Delegation administrativer Rechte innerhalb der Anwendung umfassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Hinblick auf das Administrationsmodell", "definitions": {}}} BES.2.1.4 \N \N \N +Grundschutz++:BES.2.1.4.4 Grundschutz++ BES.2.1.4.4 Kompatibilität des Datenmanagementmodells Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf das Datenmanagementmodell dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf für die Kompatibilität", "definitions": {}}, "guidance": "Unter „Kompatibilität im Hinblick auf das Datenmanagementmodell“ ist im Kontext dieser Anforderung die fachliche und technische Übereinstimmung beschaffter Produkte oder Dienstleistungen mit den in der Institution etablierten Regeln zur Strukturierung, Klassifizierung, Speicherung und Verarbeitung von Daten zu verstehen. Das Datenmanagementmodell beschreibt dabei unter anderem Datenkategorien (z.B. „confidentiality level“), Metadatenstrukturen, Datenformate, Lebenszyklusregeln („data lifecycle management“) sowie Integrationsvorgaben für Schnittstellen und Austauschformate. Kompatibilität meint hier insbesondere, dass neue IT-Systeme oder Anwendungen die definierten Datenformate, Klassifizierungsmerkmale, Aufbewahrungs- und Löschregeln sowie Anforderungen an Datenlokation („data residency“) technisch unterstützen oder abbilden können, ohne dass Medienbrüche, manuelle Nacharbeiten oder unkontrollierte Parallelstrukturen entstehen. Die Dokumentation dieses Bedarfs kann dazu beitragen, dass bei Beschaffungen von Anfang an Transparenz über notwendige Integrations- und Datenanforderungen entsteht und spätere kostenintensive Anpassungen vermieden werden. Ohne eine solche Berücksichtigung könnte es zu inkonsistenten Datenbeständen, fehlender Durchgängigkeit von Klassifizierungen oder zu unzulässigen Datenübertragungen in nicht vorgesehene Speicherorte kommen, was Integritäts- und Verfügbarkeitsrisiken erhöht. Eine frühzeitige Festlegung kann hingegen eine konsistente Datenarchitektur und nachvollziehbare Datenflüsse unterstützen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Hinblick auf das Datenmanagementmodell", "definitions": {}}} BES.2.1.4 \N \N \N +Grundschutz++:BES.5.2 Grundschutz++ BES.5.2 Service Level Agreement Beschaffungsmanagement für Outsourcing SOLLTE die Einhaltung einer bestimmten Dienstgüte anhand von Kriterien vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einhaltung einer bestimmten Dienstgüte", "definitions": {}}, "guidance": "Dienstgüte (engl. Service Quality oder Service Level) beschreibt das messbare Leistungsniveau, das ein externer Anbieter dauerhaft erbringen soll. Sie wird üblicherweise in Service Level Agreements (SLA) festgelegt und kann Aspekte wie Reaktionszeiten, Verfügbarkeiten, Fehlerraten oder Sicherheitsstandards betreffen. Die Kriterien können z. B. Verfügbarkeit (in %), maximale Wiederherstellungszeiten (Recovery Time Objective, RTO), Datensicherheitsmaßnahmen, Supportzeiten oder Nachweisintervalle für Penetrationstests sein. Der Zweck dieser Vorgabe liegt darin, Risiken unklarer Leistungs- oder Sicherheitsverantwortung zu vermeiden, die im Falle unpräziser oder fehlender Dienstgütezusagen zu Ausfällen, Datenverlusten oder unzureichenden Sicherheitsreaktionen führen könnten. Eine klar definierte und überprüfbare Dienstgüte kann dagegen Transparenz schaffen, die Vergleichbarkeit von Anbietern erleichtern und die Resilienz ausgelagerter Prozesse erhöhen. Dabei sind möglichst objektivierte, quantitative Kriterien deutlich nachvollziehbarer und eindeutiger als einfache Beschreibungen wie \\"gut\\". Ein Beipiel ist eine Mindestverfügbarkeit von 99% für einen Server, auf dem hochverfügbare Daten gespeichert werden. Neben einzuhaltenden Mindestkriterien bietet es sich hier auch an optionale Qualitätskriterien festzulegen, bei deren Erfüllung höhere Preise akzeptiert werden, um ein \\"Race to the bottom\\" im Wettbewerb der Anbieter um die Institution zu vermeiden, da ein rein preisorientierter Wettlauf auf Kosten der Sicherheit gehen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.1.6 Grundschutz++ BES.2.1.6 Support- und Wartungsverträge Beschaffungsmanagement für IT-Produkte SOLLTE den Bedarf an Support- und Wartungsverträgen basierend auf dem Schutzbedarf für Verfügbarkeit dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Bedarf an Support- und Wartungsverträgen", "definitions": {}}, "guidance": "Dies zielt auf den Abschluss von Support- und Wartungsverträgen für alle IT-Produkte ab, deren Verfügbarkeit nicht durch die Institution allein sichergestellt werden kann. Zur Ermittlung des Bedarfes können die Empfehlungen des jeweiligen Anbieters zu Wartungsintervallen herangezogen werden. Dabei kann es vorkommen, dass unterschiedliche Komponenten durchaus unterschiedliche Wartungsintervalle benötigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "basierend auf dem Schutzbedarf für Verfügbarkeit", "definitions": {}}} BES.2.1 \N \N \N +Grundschutz++:BES.2.2 Grundschutz++ BES.2.2 Dokumentation des Rechtsraums und der Datenlokation Beschaffungsmanagement für Cloud-Dienste SOLLTE Rechtsraum und Datenlokation dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Rechtsraum und Datenlokation", "definitions": {}}, "guidance": "Beispielsweise könnte die Datenlokation auf europäische Standorte eingeschränkt sein, während der Anbieter seinen Hauptsitz im außereuropäischen Rechtsraum hat und daher nicht der DSGVO unterliegt. Werden keine Daten aus dem Informationsverbund verarbeitet, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.3 Grundschutz++ BES.2.3 Vereinbarung des Rechtsraums und der Datenlokation Beschaffungsmanagement für Cloud-Dienste KANN Rechtsraum und Datenlokation mit dem Anbieter vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Rechtsraum und Datenlokation mit dem Anbieter", "definitions": {}}, "guidance": "Beispielsweise könnte die Datenlokation auf europäische Standorte eingeschränkt sein, während der Anbieter seinen Hauptsitz im außereuropäischen Rechtsraum hat und daher nicht der DSGVO unterliegt. Werden keine Daten aus dem Informationsverbund verarbeitet, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.4 Grundschutz++ BES.2.4 Anhörung Nutzender Beschaffungsmanagement für Einkäufe SOLLTE Nutzende bei der Bedarfserfassung anhören. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Nutzende", "definitions": {}}, "guidance": "Werden IT-Produkte oder Dienstleistungen für eine Zielgruppe beschafft, so ist es zweckmäßig, Vertreter dieser Zielgruppe in die Erhebung der Beschaffungskriterien mit einzubeziehen. Dies kann durch die Anhörung aller potenziellen Nutzer, z.B. durch eine Umfrage, oder durch die Anhörung bestimmter Personen oder Rollen aus dem Kreis der Nutzenden (z.B. Fachverantwortliche, Testgruppen oder Stichproben) erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anhören", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Bedarfserfassung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.5 Grundschutz++ BES.2.5 Anhörung Adminstrierender Beschaffungsmanagement für Einkäufe SOLLTE Administrierende bei der Bedarfserfassung anhören. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Administrierende", "definitions": {}}, "guidance": "Ohne diese Einbindung könnte etwa eine Fachabteilung Systeme einkaufen, die keine sicheren Schnittstellen bieten, nicht mit bestehenden Sicherheitsrichtlinien kompatibel sind oder schwer zu administrieren sind, was später zu kostspieligen Nacharbeiten oder Sicherheitslücken führen könnte. Eine rechtzeitige Beteiligung kann hingegen gewährleisten, dass Produkte aus administrativer Sicht wartbar, updatefähig und kompatibel mit etablierten Sicherheitsmechanismen sind. Die Anforderung kann durch verschiedene Maßnahmen praktisch umgesetzt werden: (1) Ein definiertes Beschaffungsformular kann Eingabefelder enthalten, in denen die fachliche Einschätzung von Administrierenden dokumentiert werden kann. (2) Eine Checkliste mit Mindestkriterien wie Updatefähigkeit, Protokollierungsoptionen oder Berechtigungssteuerung kann bei jeder Bedarfserfassung hinzugezogen werden. (3) Ein kurzer, standardisierter Freigabeprozess über ein Ticket- oder Workflow-System kann sicherstellen, dass vor der endgültigen Beschaffung eine Rückmeldung aus administrativer Sicht eingeholt wird. (4) Zur Effizienzsteigerung kann eine Wissensdatenbank mit Erfahrungswerten zu bereits genutzten Produkten gepflegt werden, sodass Administrierende wiederkehrende Anforderungen schneller einschätzen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anhören", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Bedarfserfassung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.2.6 Grundschutz++ BES.2.6 Outsourcing auf Grundlage der Geschäftsprozessprofile Beschaffungsmanagement für Outsourcing KANN Outsourcingverträge auf Grundlage der Geschäftsprozessprofile durch die Leitung autorisieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Outsourcingverträge auf Grundlage der Geschäftsprozessprofile", "definitions": {}}, "guidance": "Das Outsourcing eigener (Teil-)Prozesse ist eine bewusste und häufig folgenreiche Entscheidung - auch für die die eigene Kontrolle der Informationssicherheit. Die Entscheidung kann sich am festgestellten Schutzbedarf oder Risikoprofil der Institution und der betroffenen Geschäftsprozesse orientieren. Die Entscheidung durch die Leitung bezieht sich hier auf die Frage, ob Outsourcing von der Institution grundsätzlich gewollt ist und welche (Teil-)Prozesse ausgelagert werden können oder in der Institution verbleiben. Diese kann konkrete Geschäftsprozesse benennen, aber auch anhand allgemeiner Kriterien getroffen werden (z.B. Keine Auslagerung von Geschäftsprozessen mit hohem Schutzbedarf).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Bedarfserfassung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch die Leitung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.3.1 Grundschutz++ BES.3.1 Klassifizierung von Lieferantenbeziehungen Beschaffungsmanagement für Einkäufe SOLLTE Lieferantenbeziehungen einer Klasse zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Lieferantenbeziehungen einer Klasse", "definitions": {}}, "guidance": "Klasse meint hier eine Einstufung der Lieferantenbeziehung aus dem Blickwinkel der Informationssicherheit. Dies ermöglicht den Mitarbeitern der Institution eine schnelle und korrekte Abschätzung, welche Informationen dem Lieferanten gegenüber preisgegeben werden dürfen. Die Klassen können sowohl anhand einer Einstufung der Daten (z.B. Preisgabe von Verschlussachen oder nicht), als auch anhand der Funktion aus Sicht der Institution (z.B. Finanzdienstleister, Versorgungseinrichtungen, Cloud, Logistik, Lieferant von IT-Produkten) gewählt werden. Es empfiehlt sich auch das Herkunftsland oder nachrichtendienstliche Erkenntnisse über den Lieferanten mit in die Bewertung einfließen zu lassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Lieferanten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.3.2 Grundschutz++ BES.3.2 Auswahlkriterien Beschaffungsmanagement für Einkäufe SOLLTE die Auswahl von Lieferanten anhand von Kriterien zu ihrer Verlässlichkeit verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auswahl von Lieferanten", "definitions": {}}, "guidance": "Beispielsweise durch Marktanalysen, Kundenreferenzen, Zertifizierungen, Begutachtungen oder Audits. Hierzu können z.B. Entwicklungsprozesse, Verschlüsselung oder Anonymisierung vertraulicher Daten, Schlüsselmanagement, Authentifizierung von Zugriffen, Wiederherstellung nach Vorfällen oder die Evaluation der sicheren Verarbeitung gehören. Auch die Prüfung auf finanzielle Stabilität des Lieferanten ist zu empfehlen. Ein finanziell instabiler Lieferant stellt ein erhebliches Risiko für die Geschäftskontinuität dar, da er möglicherweise den Betrieb einstellt, Supportleistungen nicht mehr erbringen kann oder von einem Unternehmen mit unklaren Sicherheitsstandards übernommen wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Lieferanten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von Kriterien zu ihrer Verlässlichkeit", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.3.2.1 Grundschutz++ BES.3.2.1 Zertifizierte Lieferanten Beschaffungsmanagement für Einkäufe KANN die Auswahl von Lieferanten anhand von Zertifikaten, Testaten oder Vergleichbarem verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auswahl von Lieferanten", "definitions": {}}, "guidance": "Ein „Zertifikat“ ist in diesem Kontext ein formaler Nachweis durch eine akkreditierte, unabhängige Stelle, dass bestimmte Anforderungen oder Standards erfüllt werden (z. B. ISO/IEC-Normen). Ein „Testat“ kann die schriftliche Bestätigung einer fachkundigen Prüfstelle darstellen, dass ein Prozess oder System in definierten Punkten geprüft und als konform bewertet wurde. Vergleichbare Nachweise können Berichte von Audits, externe Gutachten oder auch dokumentierte Ergebnisse standardisierter Sicherheitstests sein. Eine Institution kann die Anforderung konkret umsetzen, indem sie in Ausschreibungen eine Liste akzeptierter Zertifikate (z. B. ISO 27001, ISO 9001, SOC 2), Testate (z. B. C5 für Cloud-Dienste) oder vergleichbarer Nachweise (z. B. Penetrationstest-Reports durch Dritte) benennt. Hilfreich kann es sein, Mindestgültigkeitszeiträume für Nachweise zu definieren, stichprobenartige Plausibilitätsprüfungen der Dokumente vorzunehmen oder in Bewertungsmatrizen höhere Gewichtungspunkte für aktuelle und unabhängige Nachweise zu vergeben. Zusätzlich kann ein einfacher Maßnahmenkatalog etabliert werden, der (1) überprüft, ob Nachweise aktuell und gültig sind, (2) die Relevanz für den konkreten Leistungsumfang bewertet und (3) die Ergebnisse nachvollziehbar dokumentiert, um Entscheidungen transparent und revisionssicher zu halten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Lieferanten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von Zertifikaten, Testaten oder Vergleichbarem", "definitions": {}}} BES.3.2 \N \N \N +Grundschutz++:BES.3.2.2 Grundschutz++ BES.3.2.2 Quellendiversifikation Beschaffungsmanagement für Einkäufe KANN die Auswahl von Lieferanten anhand ihrer Fähigkeit, ihre Bezugsquellen zu diversifizieren und die Bindung an bestimmte Lieferanten zu begrenzen, verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auswahl von Lieferanten", "definitions": {}}, "guidance": "Die Fähigkeit zur Diversifizierung von Bezugsquellen bedeutet in diesem Kontext, dass ein Lieferant nicht ausschließlich auf einzelne Hersteller, Produzenten oder Märkte angewiesen ist, sondern alternative Beschaffungswege vorweisen kann. Die Bindung an bestimmte Lieferanten beschreibt eine Abhängigkeit, bei der zentrale Produkte oder Dienstleistungen faktisch nur von wenigen oder gar einem Anbieter bezogen werden können. Der Sinn dieser Anforderung liegt darin, die Risiken eines Vendor lock-in auf Seiten des Lieferanten zu begrenzen: Könnte ein Lieferant aufgrund geopolitischer Spannungen, wirtschaftlicher Probleme oder technischer Abkündigungen sich nicht mehr auf seine Zulieferer verlassen, so könnt er möglicherweise seine Leistungen nicht mehr erbringen, wodurch die Institution ohne Alternativen möglicherweise gravierende Ausfälle erleiden würde. Eine bewusste Auswahl nach Diversifizierungsfähigkeit kann die Versorgungssicherheit erhöhen und kritische Engpässe vermeiden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Lieferanten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand ihrer Fähigkeit, ihre Bezugsquellen zu diversifizieren und die Bindung an bestimmte Lieferanten zu begrenzen,", "definitions": {}}} BES.3.2 \N \N \N +Grundschutz++:BES.3.3 Grundschutz++ BES.3.3 Unzuverlässige Lieferanten Beschaffungsmanagement für Einkäufe SOLLTE die Beschaffung aus einer unbekannten oder unzuverlässigen Quelle untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Beschaffung aus einer unbekannten oder unzuverlässigen Quelle", "definitions": {}}, "guidance": "Eine Quelle (z.B. ein Softwarelieferant) ist unzuverlässig, wenn zukünftig mit Verstößen gegen die Schutzziele Vertraulichkeit, Verfügbarkeit oder Integrität durch ihn zu rechnen ist (d.h. eine Prognose der Vertrauenswürdigkeit). Dies ist insbesondere der Fall, wenn erhebliche Verstöße gegen die Schutzziele durch ihn begangen worden sind oder Anzeichen dafür vorliegen, dass bei einer Verwendung mit solchen Verstößen zu rechnen ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Lieferanten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.1 Grundschutz++ BES.4.1 Klassifizierung von Beschaffungsvorhaben Beschaffungsmanagement für Einkäufe SOLLTE dem Beschaffungsvorhaben eine Klasse zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dem Beschaffungsvorhaben eine Klasse", "definitions": {}}, "guidance": "Hierzu kann auf die Klassifizierung von Informationen zurückgegriffen werden, die vom zu beschaffenden Vertrag betroffen sind. Oft verfügen Lieferanten über eigene Klassifizierungsschemata, die sie wiederum mit bestimmten Sicherheitsregelungen und -mechanismen verknüpft haben. In diesem Fall bietet sich ein Mapping zwischen den institutionseigenen Klassen und denen des Lieferanten an. Weitere Informationen zur Festlegung möglicher Kriterien, inklusive einer Risikobeurteilung, können der ISO/IEC 27036-3 entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.2 Grundschutz++ BES.4.2 Dokumentation der Beschaffungskriterien Beschaffungsmanagement für Einkäufe SOLLTE Kriterien für die Beschaffung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "{{Kriterien}} für die Beschaffung", "definitions": {}}, "guidance": "Beschaffungskriterien sind nachvollziehbare Bewertungsmaßstäbe, die bei der Anschaffung von IT-Produkten und Dienstleistungen berücksichtigt werden, um sicherzustellen, dass diese den Sicherheitsanforderungen der Institution entsprechen. Sie ergeben sich aus dem erfassten Bedarf (z.B. einer Beschreibung der Funktionen von IT-Produkten oder zu leistenden Diensten), sowie den Sicherheitsanforderungen an das zu beschaffende Produkt oder die Dienstleistung, die über das jeweilige Zielobjekt im Katalog gefiltert werden können. Beispiele für Beschaffungskriterien sind die Erfüllung definierter Sicherheitsstandards, Verschlüsselungsfähigkeiten, Authentifizierungsmechanismen, Autorisierungskonzepte, die Stärke der geforderten Mechanismen (z.B. Mehr-Faktor-Authentifizierung), Verfügbarkeitsgarantien (SLAs), Umfang und Qualität der Dokumentation, Regelungen zur Prüfung oder Überwachung der Sicherheitskontrollen, sowie Einsatzbedingungen wie Temperatur oder mobile Konnektivität. Relevant ist dabei der gesamte Lebenszyklus von Vertragsschluss über Entwicklung von Lösungen bis hin zu Regelungen für Kündigungen. Zu den Kriterien können auch Negativkriterien gehören, die eine Beschaffung verhindern würden (z.B. \\"Keine Komponenten von der unmittelbaren Konkurrenz oder aus Staaten von denen bekannt ist, dass sie Spionage gegen den Sektor der Institution betreiben\\"). Je nach Beschaffung kann dafür eine Beschreibung von Informationen und Methoden zur Bereitstellung oder zum Abruf der Informationen relevant sein, sowie eine Beschreibung bestimmter technischer Eigenschaften eines Systems oder einer Anwendung. Zur Umsetzung bietet es sich an, standardisierte Vertragsvorlagen für neue Verträge zu verwenden. Bei individuellen Verträgen, die einzelne Sicherheitskontrollmechanismen festlegen, bietet sich ein Austausch von Beschreibungen der Mechanismen über strukturierte Datenformate wie OSCAL an. Weitere Informationen zur Festlegung möglicher Kriterien, inklusive einer Risikobeurteilung, können der ISO/IEC 27036-3 entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.3 Grundschutz++ BES.4.3 Beschaffung anhand der Kriterien Beschaffungsmanagement für Einkäufe SOLLTE die Beschaffung anhand der festgelegten Kriterien verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Beschaffung", "definitions": {}}, "guidance": "Werden Waren, Systeme oder Dienstleistungen ohne überprüfbare Kriterien beschafft, kann dies zu Sicherheitslücken, finanziellen Schäden oder Abhängigkeiten führen. Beispielsweise könnte eine Institution Hardware von einem unbekannten Anbieter erwerben, deren Firmware Schadcode enthält, oder Cloud-Dienste nutzen, die ihre Datenhaltung in unsicheren Rechtsräumen vornehmen. Ebenso könnte ein IT-Dienstleister beauftragt werden, ohne dass geprüft wurde, ob er über angemessene Qualifikationen oder Referenzen verfügt, was im Ernstfall zu Ausfällen oder Datenverlust führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand der festgelegten Kriterien", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.4 Grundschutz++ BES.4.4 Vertragsvorlage für Outsourcing Beschaffungsmanagement für Outsourcing SOLLTE Kriterien für Outsourcing-Dienstleistungen in einer standardisierten Richtlinie für Verträge dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kriterien für Outsourcing-Dienstleistungen in einer standardisierten Richtlinie für Verträge", "definitions": {}}, "guidance": "Eine standardisierte Richtlinie für Verträge enthält klare grundlegende Kriterien für Verträge mit Anbietenden von Outsourcing , etwa zu Datenlokationen, Test- und Freigabeverfahren, Compliance-Risiken bei Anbietenden von Outsourcing sowie bei Sub-Dienstleistenden, sowie weiteren Aspekte der Informationssicherheit für Outsourcing-Vorhaben. Der besondere Fokus auf Outsourcing ergibt sich daraus, dass hierbei nicht nur Werk- oder Dienstleistungen zugekauft werden, sondern sensible Prozesse oder Daten langfristig aus der direkten Kontrolle der Institution herausgegeben werden. Ohne standardisierte Kriterien könnte ein eigenhändisch formulierter Vertrag z. B. unpräzise Datenschutzregelungen enthalten, was im Vorfallfall dazu führen könnte, dass vertrauliche Daten in ein unsicheres Drittland gelangen oder dass bei Ausfällen keine klaren Eskalationswege bestehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.5 Grundschutz++ BES.4.5 Security by Design Beschaffungsmanagement für Einkäufe SOLLTE Security by Design vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Security by Design", "definitions": {}}, "guidance": "Security by Design gilt als vereinbart, wenn eine Vorgehensweise nach diesem Prinzip oder eine bestimmte Sicherheitsarchitektur Vertragsbestandteil geworden sind, unabhängig von der Frage, von welchem Vertragspartner dies in den Vertrag eingebracht wurde. Zu einer Sicherheitsarchitektur gehören beispielsweise eine Beschreibung der bereitgestellten Schnittstellen und deren Sicherheitsmechanismen, ein Architekturdiagramm, sowie Schemata zum Aufbau von Komponenten oder von Quellcode.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.5.1 Grundschutz++ BES.4.5.1 Entwicklung nach einem Sicherheitslebenszyklus Beschaffungsmanagement für IT-Produkte KANN Nachweise zur Entwicklung nach einem Sicherheitslebenszyklus vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Nachweise zur Entwicklung nach einem Sicherheitslebenszyklus", "definitions": {}}, "guidance": "Ein Sicherheitslebenszyklus (engl. security development lifecycle, kurz SDL) besteht aus strukturierten Entwicklungsphasen, in denen Sicherheitsaspekte systematisch in Planung, Design, Implementierung, Test und Wartung eines IT-Produkts integriert werden. Solche Nachweise können etwa BSI-Zertifizierungen oder Dokumentationen einer vom Lieferanten unabhängigen Auditierung von Bedrohungsanalysen (threat modeling), sicheren Programmierpraktiken (secure coding guidelines), oder Ergebnissen von Penetrationstests umfassen. Ziel ist, nachprüfbar zu belegen, dass das Produkt nicht nur funktional, sondern auch sicherheitsseitig kontrolliert entwickelt wurde. Fehlt ein solcher Nachweis, könnte ein Produkt Schwachstellen enthalten, die später zu unbemerkten Manipulationen oder Datenabflüssen führen. Ein dokumentierter Sicherheitslebenszyklus kann dagegen Vertrauen in die Integrität, Belastbarkeit und Wartbarkeit eines Produkts schaffen. Die Vereinbarung entsprechender Nachweise kann beispielsweise über standardisierte Sicherheitsanforderungen in Ausschreibungsunterlagen, die Vorlage von Entwicklungsrichtlinien nach ISO/IEC 27034 oder NIST SP 800-218, oder die Anerkennung von Zertifikaten wie Common Criteria erfolgen. Alternativ kann die Institution bei kleineren Anbietern auch stichprobenartige Sicherheitsreviews, Entwicklerbefragungen oder Auditberichte als geeignete Nachweisvarianten akzeptieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.5 \N \N \N +Grundschutz++:BES.4.5.2 Grundschutz++ BES.4.5.2 Mandantentrennung Beschaffungsmanagement für Outsourcing KANN eine festgelegte Mandantentrennung vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine festgelegte Mandantentrennung", "definitions": {}}, "guidance": "Eine Mandantentrennung bezeichnet die Trennung schützenswerter Daten und Verarbeitungskontexte zwischen verschiedenen Mandanten, also den Kunden des Anbieters. Eine festgelegte Mandatentrennung meint hier, dass der Anbieter Informationen über die konkret von ihm zur Mandantentrennung getroffenen Maßnahmen bereitstellt. Hierzu gehören insbesondere Informationen darüber, welche Daten oder Funktionen als mandantenabhängige oder mandantenübergreifende Daten behandelt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.5 \N \N \N +Grundschutz++:BES.4.6 Grundschutz++ BES.4.6 Security by Default Beschaffungsmanagement für Einkäufe SOLLTE Security by Default vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Security by Default", "definitions": {}}, "guidance": "Der Detaillierungsgrad der Kriterien kann sich hierbei nach Umfang und Klassifizierung der Beschaffung richten. Bei einfachen Beschaffungen von geringer Bedeutung kann es ausreichend sein grundlegende Sicherheitsmechanismen wie Verschlüsselung und Authentifizierung zu vereinbaren, während bei umfangreichen oder anderweitig risikobehafteten Beschaffungen eine Vereinbarung einzelner Sicherheitsmechanismen sinnvoll ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.6.1 Grundschutz++ BES.4.6.1 Authentifizierung des Kunden Beschaffungsmanagement für Dienstleistungen SOLLTE eine Authentifizierung vor dem Zugriff auf schützenswerte Informationen oder Dienste vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Authentifizierung", "definitions": {}}, "guidance": "Sinnvoll ist es sich hierbei sich auf konkrete Authentifizierungsmethoden (z.B. Kundenkennwort, OTP oder Passkeys) zu einigen, mit denen authentifiziert wird, bevor der Lieferant jemandem Zugriff auf Daten oder Prozesse wie den Versand einer neuen SIM-Karte gibt, um Angriffe wie SIM Swapping zu verhindern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Zugriff auf schützenswerte Informationen oder Dienste", "definitions": {}}} BES.4.6 \N \N \N +Grundschutz++:BES.4.6.2 Grundschutz++ BES.4.6.2 Verschlüsselung durch den Anbieter Beschaffungsmanagement für Outsourcing SOLLTE die Verschlüsselung schützenswerter Informationen durch den Anbieter vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verschlüsselung schützenswerter Informationen", "definitions": {}}, "guidance": "Hiermit ist die Ablageverschlüsselung (at rest) und die Transportverschlüsselung (in transit) gemeint. Die Transportverschlüsselung ist dabei sowohl für die Verbindung zum Outsourcing-Dienstleister, als auch bei der Übertragung innerhalb des Dienstleisternetzes vorzunehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch den Anbieter", "definitions": {}}} BES.4.6 \N \N \N +Grundschutz++:BES.4.6.3 Grundschutz++ BES.4.6.3 Manipulationsschutz Beschaffungsmanagement für IT-Produkte KANN Schutzmechanismen gegen Manipulationen auf dem Lieferweg vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Cryptography, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schutzmechanismen gegen Manipulationen auf dem Lieferweg", "definitions": {}}, "guidance": "Bei physischen Produkten können hierfür Siegel oder schwer fälschbare Kennzeichnungen verwendet werden, während bei Software und Daten kryptographische Prüfsummen oder digitale Signaturen eingesetzt werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.6 \N \N \N +Grundschutz++:BES.4.7 Grundschutz++ BES.4.7 ISMS beim Dienstleister Beschaffungsmanagement für Outsourcing SOLLTE ein Managementsystem für Informationssicherheit (ISMS) vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Managementsystem für Informationssicherheit (ISMS)", "definitions": {}}, "guidance": "Ohne klare Vorgaben zum Managementsystem könnte ein Anbieter vertrauliche Daten unverschlüsselt übertragen, Sicherheitslücken in seiner Infrastruktur nicht rechtzeitig schließen oder sicherheitsrelevante Vorfälle nicht transparent melden. Durch abgestimmte Sicherheitsstandards kann dagegen die Vertraulichkeit von Daten gewahrt, die Integrität von Prozessen gesichert und die Nachvollziehbarkeit bei Vorfällen verbessert werden. Das Vorhandensein lässt sich durch ein Zertifikat nachweisen, z.B. nach ISO/IEC 27001:2022 oder BSI IT-Grundschutz.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +SCF:AST-07 SCF AST-07 Kiosks & Point of Interaction (PoI) Devices Mechanisms exist to appropriately protect devices that capture sensitive/regulated data via direct physical interaction from tampering and substitution. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-07_AST-07_A01", "name": "assessment-objective", "prose": "devices that capture sensitive / regulated data via direct physical interaction are appropriately protected from tampering and substitution."}]} \N \N \N \N +Grundschutz++:BES.4.8 Grundschutz++ BES.4.8 Konformitätsnachweise Beschaffungsmanagement für Einkäufe SOLLTE Nachweise des Lieferanten zur Erfüllung der Sicherheitskriterien vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Nachweise des Lieferanten zur Erfüllung der Sicherheitskriterien", "definitions": {}}, "guidance": "Nachweise können z.B. durch eine passende Zertifizierung (etwa nach IT-Grundschutz bei Dienstleistern oder CCRA bei IT-Produkten), ein Testat (z.B. C5-Testat für Cloud-Anbieter), oder durch die Vorlage von Sicherheitskonzepten, Risikoanalysen und Pentesting-Ergebnissen erbracht werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.4.8.1 Grundschutz++ BES.4.8.1 Zertifizierung Beschaffungsmanagement für Einkäufe KANN ein Zertifikat oder Testat nach einem passenden Sicherheitsstandard vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Zertifikat oder Testat", "definitions": {}}, "guidance": "Ein Zertifikat ist eine unabhängige Bestätigung der Konformität, die von einer akkreditierten Konformitätsbewertungsstelle (wie z.B. einer Zertifizierungsstelle) ausgestellt wird, nachdem diese die Konformität eines Produkts, einer Dienstleistung, eines Prozesses oder eines Managementsystems mit bestimmten Normen oder Anforderungen bestätigt hat. Die Art des Zertifikates richtet sich dabei nach der Art der geplanten Beschaffung. IT-Produkte können z.B. nach Common Criteria zertifiziert werden. Bei Dienstleistungen kann ein zertifiziertes Managementsystem für Informationssicherheit (nach IT-Grundschutz oder ISO/IEC 27001) vereinbart werden. Ein Testat wäre z.B. C5.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem passenden Sicherheitsstandard}}", "definitions": {}}} BES.4.8 \N \N \N +Grundschutz++:BES.4.8.2 Grundschutz++ BES.4.8.2 Cloud-Konformität Beschaffungsmanagement für Cloud-Dienste SOLLTE einen Konformitätsnachweis durch Dritte vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Konformitätsnachweis durch Dritte", "definitions": {}}, "guidance": "Beispielsweise durch ein C5 Testat. Hierbei ist zu prüfen, ob der Geltungsbereich und der Schutzbedarf die genutzten Clouddienste erfasst (Auswertung des Nachweises). Dies gilt auch für Subdienstleister.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.8 \N \N \N +Grundschutz++:BES.4.8.3 Grundschutz++ BES.4.8.3 IT-Grundschutz-Analyse der Infrastruktur Beschaffungsmanagement für Outsourcing KANN eine IT-Grundschutz-Analyse der potenziell zu nutzenden Infrastruktur des Dienstleisters vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine IT-Grundschutz-Analyse der potenziell zu nutzenden Infrastruktur des Dienstleisters", "definitions": {}}, "guidance": "Bei einer IT-Grundschutz-Analyse im Rahmen des Outsourcings wird an der potenziell zu nutzenden Infrastruktur des Dienstleisters eine IT-Grundschutz-Analyse (Strukturanalyse, Schutzbedarfsfeststellung, …) durchgeführt. Anschließend werden die sich daraus ergebenden Sicherheitsanforderungen als Beschaffungskriterien an den Dienstleister gestellt. Dies bietet sich an, wenn entweder ein besonders hohes Sicherheitsniveau angestrebt wird, oder der Dienstleister bislang über kein ISMS verfügt, obwohl die Institution umfangreiche Prozesse auslagern möchte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.8 \N \N \N +Grundschutz++:BES.4.8.4 Grundschutz++ BES.4.8.4 Offenlegung der Risikoanalyse Beschaffungsmanagement für Outsourcing KANN eine Offenlegung der Risikoanalyse aus dem ISMS des Dienstleisters, soweit eine Risikoanalyse nach IT-Grundschutz-Vorgehensweise notwendig ist, vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Offenlegung der Risikoanalyse aus dem ISMS des Dienstleisters, soweit eine Risikoanalyse nach IT-Grundschutz-Vorgehensweise notwendig ist,", "definitions": {}}, "guidance": "Eine Offenlegung ist hierzu nur erforderlich, soweit die Informationen für die Risikoanalyse des Auftraggebers erforderlich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.4.8 \N \N \N +Grundschutz++:BES.4.9 Grundschutz++ BES.4.9 Sicherheitsüberprüfung (extern) Beschaffungsmanagement für Einkäufe KANN Sicherheitsüberprüfungen für Personen, die vom Lieferanten mit der Vertragsdurchführung beauftragt werden, vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sicherheitsüberprüfungen für Personen, die vom Lieferanten mit der Vertragsdurchführung beauftragt werden,", "definitions": {}}, "guidance": "Eine Sicherheitsüberprüfung meint die Verifikation von Identität, beruflicher Qualifikation und Verlässlichkeit von allen Personen mit Zugriff auf schützenswerte Informationen, hier konkret des beauftragten Personal des Lieferanten. Die Sicherheitsüberprüfung kann je nach Vereinbarung vom Lieferanten oder dem Auftraggeber ausgeführt werden. Die Verlässlichkeit kann z.B. anhand eines polizeilichen Führungszeugnisses und einer OSINT-Recherche verifiziert werden. Hierbei besteht ein enger Bezug zum Persönlichkeits- und Datenschutzrecht der Betroffenen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.1 Grundschutz++ BES.5.1 Kompetenzen Beschaffungsmanagement für Dienstleistungen SOLLTE Kompetenzen in Informationssicherheit, die von den Mitarbeitern des Lieferanten verlangt werden, vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kompetenzen in Informationssicherheit, die von den Mitarbeitern des Lieferanten verlangt werden,", "definitions": {}}, "guidance": "Dient dem Ziel, Risiken durch unzureichend geschultes Personal zu minimieren. Ohne solche Vorgaben könnte es dazu kommen, dass Dienstleister vertrauliche Daten versehentlich preisgeben, schwache Passwörter verwenden oder Phishing-Angriffe nicht erkennen. Durch die Vereinbarung von Mindestkompetenzen kann erreicht werden, dass Dienstleister Sicherheitsrichtlinien verstehen, Bedrohungen frühzeitig identifizieren und im Einklang mit den Schutzinteressen der Institution handeln. Im Kontext bedeutet Kompetenzen in Informationssicherheit, dass Mitarbeiter des Lieferanten über Wissen, Fähigkeiten und Verhalten verfügen, die erforderlich sind, um mit vertraulichen Informationen und IT-Systemen angemessen sicher umzugehen. Dies kann grundlegendes Verständnis für sichere Passwörter und mobile Geräte umfassen, aber auch Kenntnisse zu branchenspezifischen Sicherheitsverfahren oder zum Umgang mit sensiblen Kundendaten. Eine sinnvolle Umsetzung kann zum Beispiel beinhalten, dass die Institution in den Verträgen mit Lieferanten konkrete Mindestanforderungen an Schulungen und Zertifikate definiert, etwa: (1) Einführungsschulungen zu IT-Sicherheitsgrundlagen, (2) regelmäßige Auffrischungen zu Themen wie Social Engineering oder sichere Datennutzung, (3) Nachweise über spezielle Fachkenntnisse, wenn besonders sensible Daten verarbeitet werden. Praktisch kann eine Institution durch standardisierte Schulungsprogramme, die Überprüfung von Zertifikaten (z. B. ISO/IEC- oder BSI-bezogene Qualifikationen) oder durch kurze Wissens-Checks im Rahmen der Dienstleister-Onboarding-Prozesse sicherstellen, dass vereinbarte Kompetenzen tatsächlich vorhanden sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.3 Grundschutz++ BES.5.3 Compliance-Verpflichtungen Beschaffungsmanagement für Einkäufe SOLLTE die Übereinstimmung mit Compliance-Verpflichtungen vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übereinstimmung mit Compliance-Verpflichtungen", "definitions": {}}, "guidance": "Hierzu gehören beispielsweise der Schutz personenbezogener Daten, geistige Eigentumsrechte von interessierten Parteien oder Dritten. Aufgrund unterschiedlicher Rechtssetzung und -durchsetzung sind dabei insbesondere Verarbeitungsstandorte zwischen Inland, EU und außereuropäischem Ausland zu unterscheiden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.4 Grundschutz++ BES.5.4 Informationssicherheitskontrollmechanismen Beschaffungsmanagement für Einkäufe SOLLTE Informationssicherheitskontrollmechanismen vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Informationssicherheitskontrollmechanismen", "definitions": {}}, "guidance": "Genaue und vollständige Beschreibung der Mechanismen, insbesondere zur Zugriffskontrolle durch Mehr-Faktor-Authentifizierung, Verschlüsselung von Daten beim Transport und bei der Speicherung, Härtung von Systemen, Überwachung sicherheitsrelevanter Ereignisse oder zum Schwachstellenmanagement.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.5 Grundschutz++ BES.5.5 Nutzungsregelungen Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen zur Nutzung der Daten und damit verbundenen Assets vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen zur Nutzung der Daten und damit verbundenen Assets", "definitions": {}}, "guidance": "Hierzu zählen z.B. Zugriffsregelungen und Regelungen darüber unter welchen Bedingungen (Ort, Zeit, etc.) Daten genutzt werden dürfen. Darüber hinaus gehören auch Regelungen dazu, wann eine Nutzung aus Sicht der Institution explizit nicht akzeptabel ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.5.1 Grundschutz++ BES.5.5.1 Datenlokationen Beschaffungsmanagement für Dienstleistungen KANN die Verarbeitung von Daten ausschließlich an von der Institution erlaubten Datenlokationen vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verarbeitung von Daten ausschließlich an von der Institution erlaubten Datenlokationen", "definitions": {}}, "guidance": "Ziel ist es zu verhindern, dass vertrauliche Informationen in Staaten mit schwachem Datenschutz oder unter fremder Rechtsaufsicht verarbeitet werden. Ohne diese Festlegung könnte ein Dienstleister Daten an Subunternehmer in Drittländern weitergeben, wo staatliche Zugriffe oder unzureichende Sicherheitsmaßnahmen die Vertraulichkeit und Integrität der Daten gefährden könnten. Durch eine konsequente Beschränkung der Datenlokationen kann die Institution hingegen nachvollziehbare Sicherheits- und Rechtsrahmen schaffen, die Transparenz gegenüber Betroffenen erhöhen und das Risiko unkontrollierter Datenabflüsse verringern. Unter „Datenlokation“ ist in diesem Kontext der physische oder virtuelle Standort gemeint, an dem Daten gespeichert, verarbeitet oder übertragen werden – also Rechenzentren, Cloud-Regionen oder spezifische Länderzonen. Eine „erlaubte Datenlokation“ kann eine innerhalb der EU liegende Cloud-Region, ein zertifiziertes Rechenzentrum im eigenen Land oder ein dedizierter Bereich innerhalb eines Cloud-Anbieters sein. Die Institution kann dies umsetzen, indem sie (1) in Dienstleistungsverträgen präzise Angaben zu zulässigen Ländern oder Regionen vereinbart, (2) von Dienstleistern Nachweise wie technische Standortkontrollen oder Auditberichte einfordert und (3) bei Cloud-Diensten gezielt Konfigurationen wie „Data Residency“-Optionen, Geofencing oder restriktive Auswahl von Regionen einsetzt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.5 \N \N \N +Grundschutz++:BES.5.5.2 Grundschutz++ BES.5.5.2 Autorisierung der Zugriffsberechtigung Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen zur Autorisierung der Zugriffsberechtigung für Personal des Lieferanten anhand von Kriterien vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen zur Autorisierung der Zugriffsberechtigung für Personal des Lieferanten", "definitions": {}}, "guidance": "Dies kann beispielsweise durch eine explizite Liste der Personen oder Rollen des Zulieferers, welche berechtigt sind, die Informationen der Institution und andere zugehörige Vermögenswerte zu nutzen, umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} BES.5.5 \N \N \N +Grundschutz++:BES.5.6 Grundschutz++ BES.5.6 Vergabe von Unteraufträgen Beschaffungsmanagement für Einkäufe SOLLTE Regelungen für die Vergabe von Unteraufträgen vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen für die Vergabe von Unteraufträgen", "definitions": {}}, "guidance": "Unter einem „Unterauftrag“ versteht man in diesem Kontext die vollständige oder teilweise Weitergabe vertraglich geschuldeter Leistungen an Dritte, z.B. einem Subunternehmer (Subcontractor). Relevant ist, dass die Institution nicht nur mit dem direkten Vertragspartner in einer vertraglichen Beziehung steht, sondern durch Unteraufträge auch indirekt Abhängigkeiten und Risiken entstehen könnten. Ohne klare Vereinbarungen könnte es dazu kommen, dass Unterauftragnehmer geringere Sicherheitsstandards einhalten, vertrauliche Informationen unzureichend schützen oder den vereinbarten Leistungsumfang nicht vollständig erfüllen. Beispielsweise könnte ein IT-Dienstleister einen Teil der Softwareentwicklung an ein externes Team in einem Land mit niedrigeren Datenschutzstandards auslagern, was zu Datenabfluss, Urheberrechtsverletzungen oder unkontrollierten Zugriffswegen führt. Auch Lieferkettenmanipulationen, etwa durch den Austausch von Hardware-Komponenten gegen kompromittierte Bauteile, können so unbemerkt ihren Weg in kritische Systeme finden. Umgesetzt werden kann die Anforderung beispielsweise dadurch, dass (1) die Institution in Verträgen festhält, ob und in welchem Rahmen Unteraufträge zulässig sind. Eine weitere praxisnahe Maßnahme kann sein, (2) Subunternehmer nur nach vorheriger schriftlicher Zustimmung der Institution zuzulassen und dabei (3) bestimmte Kategorien wie kritische IT-Dienstleistungen oder Datenverarbeitung ausdrücklich zu kennzeichnen. Technisch kann vertraglich vereinbart werden, dass Subunternehmer mindestens gleichwertige Sicherheitsstandards nachweislich erfüllen und dies regelmäßig auditiert werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +SCF:AAT-16.6 SCF AAT-16.6 AI & Autonomous Technologies Performance Changes Mechanisms exist to evaluate performance improvements or declines with domain experts and relevant stakeholders to define context-relevant risks and trustworthiness issues. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.6_AAT-16.6_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates performance improvements or declines with domain experts and relevant stakeholders to define context-relevant risks and trustworthiness issues."}]} \N \N \N \N +Grundschutz++:BES.5.6.1 Grundschutz++ BES.5.6.1 Weitergabe der Beschaffungskriterien Beschaffungsmanagement für Einkäufe SOLLTE die Weitergabe der Beschaffungskriterien an Unterauftragnehmer vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Weitergabe der Beschaffungskriterien an Unterauftragnehmer", "definitions": {}}, "guidance": "Dient dazu, sicherzustellen, dass die bei der Auswahl von Produkten, Dienstleistungen oder Lieferanten berücksichtigten Anforderungen entlang der gesamten Lieferkette eingehalten werden. Werden diese Kriterien nicht weitergegeben, kann es dazu kommen, dass sicherheitsrelevante Eigenschaften verloren gehen, etwa wenn ein Unterauftragnehmer günstigere, aber unsichere oder nicht konforme Komponenten beschafft. So könnte beispielsweise ein IT-Dienstleister ohne Kenntnis der geforderten Verschlüsselungsstandards Speichermedien einsetzen, die keine wirksame Datenverschlüsselung bieten, oder ein Bauunternehmen minderwertige Zutrittskontrollsysteme verbauen, weil die eigentlichen Sicherheitsvorgaben nicht bekannt waren. Auch Lieferverzögerungen, rechtliche Probleme durch fehlende Zertifizierungen oder das Einschleusen von Schadsoftware über ungesicherte Lieferungen können die Folge sein. Um die Weitergabe zu vereinfachen, können die Kriterien in einem maschinell verarbeitbaren Format (z.B. OSCAL Catalog oder Profile) ausgetauscht werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.6 \N \N \N +Grundschutz++:BES.5.6.2 Grundschutz++ BES.5.6.2 Autorisierung von Unterauftragnehmern Beschaffungsmanagement für Einkäufe KANN die Autorisierung von Unterauftragnehmern durch den Auftraggeber vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Autorisierung von Unterauftragnehmern durch den Auftraggeber", "definitions": {}}, "guidance": "Unterauftragnehmer sind in diesem Zusammenhang Dritte, die vom beauftragten Hauptdienstleister zur Erfüllung vertraglicher Leistungen hinzugezogen werden. Die Autorisierung von Unterauftragnehmern durch den Auftraggeber kann sicherstellen, dass keine unkontrollierten oder ungeprüften Dritten in die Leistungserbringung eingebunden werden. Ohne eine solche Regelung könnte ein Hauptauftragnehmer eigenmächtig Subunternehmen einsetzen, die unzureichende Sicherheitsstandards einhalten, intransparent agieren oder in kritische Abhängigkeiten geraten. Durch die vorherige Zustimmung des Auftraggebers kann das Risiko unzureichender Qualifikation oder fehlender Vertrauenswürdigkeit reduziert werden und es kann eine gezielte Steuerung erfolgen, wer Zugang zu vertraulichen Informationen oder kritischen Prozessen erhält.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.6 \N \N \N +Grundschutz++:BES.5.6.3 Grundschutz++ BES.5.6.3 Nachverfolgbarkeit der Lieferkette Beschaffungsmanagement für IT-Produkte KANN die Nachverfolgbarkeit der gesamten Lieferkette bis zum Hersteller für kritische Komponenten vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nachverfolgbarkeit der gesamten Lieferkette bis zum Hersteller", "definitions": {}}, "guidance": "Kritische Komponenten sind in diesem Kontext Bauteile oder Softwareelemente, deren Kompromittierung erhebliche Auswirkungen auf Sicherheit, Verfügbarkeit oder Integrität der eingesetzten Systeme haben könnte, z. B. kryptographische Module, Firmware von Netzwerkgeräten oder sicherheitsrelevante Steuerungseinheiten. Ohne nachvollziehbare Herkunft könnten Komponenten aus unsicheren Produktionsumgebungen stammen, in denen Hintertüren eingebaut oder Schadcode eingeschleust wurde; ebenso könnten gefälschte Ersatzteile eingesetzt werden, deren Qualität und Funktionssicherheit unzureichend ist. „Nachverfolgbarkeit“ (Traceability) bedeutet in diesem Zusammenhang die Möglichkeit, Herkunft, Transport- und Verarbeitungsschritte einer Komponente lückenlos und verifizierbar zu dokumentieren. Geeignete Maßnahmen können z. B. die Anforderung eines „Chain of Custody“-Protokolls, die Nutzung digital signierter Herkunftszertifikate oder die Einbindung seriöser, auditierter Distributoren sein. Auch der Einsatz von Datenbanken anerkannter Prüfinstanzen, in denen verifizierte Hersteller gelistet sind, kann eine Möglichkeit sein, die Nachverfolgbarkeit zu unterstützen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{kritische Komponenten}}", "definitions": {}}} BES.5.6 \N \N \N +Grundschutz++:BES.5.7 Grundschutz++ BES.5.7 Schulung Beschaffungsmanagement für Einkäufe KANN eine Schulung zur Nutzung gelieferter Sicherheitsmechanismen vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Schulung zur Nutzung gelieferter Sicherheitsmechanismen", "definitions": {}}, "guidance": "Sicherheitsmechanismen sind in diesem Kontext technische oder organisatorische Schutzfunktionen, die in gelieferten Produkten, Systemen oder Diensten bereits vorgesehen sind, beispielsweise Verschlüsselungsfunktionen, Zugriffskontrollen oder Protokollierungsfunktionen. Ziel der Anforderung ist es, dass diese Schutzfunktionen von den Mitarbeitenden der Institution auch tatsächlich verstanden und korrekt angewandt werden. Ohne entsprechende Schulung könnte es passieren, dass vorhandene Sicherheitsfunktionen ungenutzt bleiben oder falsch bedient werden, wodurch Daten kompromittiert oder unbefugt zugänglich werden könnten. Durch gezielte Unterweisungen kann das Potenzial solcher Mechanismen ausgeschöpft und die Widerstandsfähigkeit gegenüber Angriffen oder Fehlbedienungen erhöht werden. Die Umsetzung kann pragmatisch gestaltet werden: (1) Eine Institution kann bei der Lieferung von IT-Systemen mit dem Hersteller oder Dienstleister eine kurze Einweisung in die sicherheitsrelevanten Funktionen vereinbaren, beispielsweise zur richtigen Konfiguration einer Multifaktor-Authentisierung. (2) Bei komplexeren Produkten kann die Institution Trainingsmaterialien wie Handbücher, Videos oder interaktive Tutorials anfordern, die auf den Einsatz der bereitgestellten Sicherheitsfunktionen zugeschnitten sind. (3) Zusätzlich kann es hilfreich sein, eine kurze Praxisübung im Rahmen der Abnahme durchzuführen, in der Schlüsselmechanismen wie sichere Passwortänderung oder Rechtevergabe ausprobiert werden. Die Schulung kann je nach Bedarf als Vor-Ort-Einweisung, Remote-Sitzung oder durch strukturierte E-Learning-Module erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.8 Grundschutz++ BES.5.8 Rechte für geistges Eigentum Beschaffungsmanagement für Dienstleistungen SOLLTE für geistiges Eigentum, das während der Vertragslaufzeit entwickelt wird, die Eigentumsrechte vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für geistiges Eigentum, das während der Vertragslaufzeit entwickelt wird, die Eigentumsrechte", "definitions": {}}, "guidance": "Geistiges Eigentum meint hier alle während der Vertragslaufzeit entstehenden immateriellen Schutzgüter wie Softwarecode, Datenmodelle, Konzepte, technische Dokumentationen oder urheberrechtlich geschützte Inhalte, die im Rahmen der Dienstleistungserbringung entwickelt oder verbessert werden. Der Sinn und Zweck einer vertraglichen Regelung der Eigentumsrechte liegt darin, sicherzustellen, dass die Institution dauerhaft Kontrolle und Nutzungsrechte über Ergebnisse behält, die für ihren Betrieb oder ihre Weiterentwicklung relevant sind. Ohne klare Festlegung könnte es zu Konflikten kommen, wenn ein Dienstleister etwa nach Projektende die weitere Nutzung einer entwickelten Lösung untersagt oder hohe Lizenzgebühren verlangt; eine vertragliche Klarheit kann dagegen rechtliche Auseinandersetzungen und Abhängigkeiten verhindern. Eine Umsetzung kann über konkrete Vertragsklauseln erfolgen, die präzise definieren, welche Partei Eigentum oder Nutzungsrechte an entwickelten Ergebnissen erhält und ob bestimmte Elemente (z. B. Standardbibliotheken des Dienstleisters) ausgenommen sind. Dazu kann die Institution (1) standardisierte Vertragsvorlagen mit abgestuften Rechtemodellen nutzen, (2) ein internes Prüfschema für alle externen Verträge etablieren, das die Einbindung der Rechtsabteilung vorsieht, und (3) bei komplexen Entwicklungsleistungen technische Dokumentationspflichten verankern, damit Eigentums- und Nutzungsrechte nachvollziehbar abgesichert sind. Praktisch kann es helfen, im Vertrag eine Übergabepflicht sämtlicher Quelltexte, Dokumentationen oder Zugangsdaten vorzusehen und diese an definierte Projektmeilensteine zu koppeln.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.9 Grundschutz++ BES.5.9 Umgang mit Änderungen Beschaffungsmanagement für Dienstleistungen SOLLTE Regelungen für den Umgang mit Änderungen vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen für den Umgang mit Änderungen", "definitions": {}}, "guidance": "Unkontrollierte oder unklare Änderungen bringen Risiken für die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen mit sich – etwa wenn ein Dienstleister plötzlich eine neue Softwareversion einführt, ohne die Auswirkungen auf Schnittstellen zu prüfen. Vereinbarte Prozesse für den Umgang mit Änderungen können dagegen sicherstellen, dass Abhängigkeiten transparent bleiben und Risiken im Vorfeld bewertet werden. Zur Umsetzung kann eine Institution mit Dienstleistern definieren, dass Änderungen vorab angekündigt und dokumentiert werden, z. B. durch ein Ticket- oder Freigabe-System, das beide Seiten einsehen können. Es kann hilfreich sein, verschiedene Kategorien von Änderungen (z. B. Standardänderungen, Notfalländerungen, größere Releases) zu vereinbaren und abhängig von der Kritikalität unterschiedliche Prüf- und Genehmigungsschritte festzulegen. Transparenz kann durch regelmäßige Änderungsberichte oder Dashboards erreicht werden, die auch historische Änderungen nachvollziehbar machen. Praktische Maßnahmen können sein: (1) Einführung eines Test- und Abnahmefensters vor produktiven Änderungen, (2) Einsatz von Versionskontrolle oder Änderungsprotokollen, um Auswirkungen gezielt zurückverfolgen zu können, (3) Einrichtung klarer Kommunikationswege, damit die Institution rechtzeitig von geplanten Änderungen erfährt und eigene Schutzmaßnahmen – etwa zusätzliche Backups – vorbereiten kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.9.1 Grundschutz++ BES.5.9.1 Autorisierung von Änderungen Beschaffungsmanagement für Dienstleistungen KANN die Autorisierung von Änderungen durch den Auftraggeber vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Autorisierung von Änderungen durch den Auftraggeber", "definitions": {}}, "guidance": "Die Autorisierung von Änderungen bedeutet in diesem Kontext, dass die Institution mit einem Dienstleister vereinbart, dass geplante Anpassungen – etwa an Prozessen, Konfigurationen, Infrastruktur oder Vertragsbedingungen die zur Vertragserfüllung verwendet werden– vor ihrer Umsetzung explizit durch den Auftraggeber bestätigt werden. Damit ist nicht nur die formale Vertragsänderung gemeint, sondern auch technische oder organisatorische Änderungen, die mittelbar Auswirkungen auf Sicherheit, Verfügbarkeit oder Integrität von Daten und Diensten haben können. Der Zweck dieser Regelung liegt darin, die Kontrolle über den Einflussbereich des Dienstleisters zu behalten: Ohne solche Vereinbarungen könnte ein Dienstleister eigenmächtig Anpassungen vornehmen, die unerwartete Schwachstellen einführen oder die Datenlokation verändern könnten. Zur Umsetzung kann die Institution mit dem Dienstleister praktikable Verfahren zur Änderungsfreigabe vereinbaren. Dies kann z. B. durch (1) die Einführung eines Freigabe-Workflows in einem Ticket- oder Change-Management-System erfolgen, (2) die Verpflichtung zu einer schriftlichen Änderungsmitteilung mit klaren Auswirkungen auf Sicherheit und Betrieb, sowie (3) die Festlegung, dass kritische Änderungen erst nach einer formellen Zustimmung des Auftraggebers in einem definierten Zeitfenster umgesetzt werden können. Ergänzend kann der Dienstleister angehalten werden, geplante Änderungen in einer Änderungsübersicht mit Versionsstand und Rückfalloptionen zu dokumentieren, sodass die Institution bewerten kann, ob Risiken oder Abhängigkeiten entstehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.9 \N \N \N +Grundschutz++:BES.5.10 Grundschutz++ BES.5.10 Behandlung von Vorfällen Beschaffungsmanagement für Einkäufe SOLLTE Regelungen für die Behandlung von Vorfällen vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen für die Behandlung von Vorfällen", "definitions": {}}, "guidance": "Ein Vorfall bezeichnet in diesem Zusammenhang jedes sicherheitsrelevante Ereignis, das zu einer Beeinträchtigung der Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen oder IT-Diensten führen kann, etwa Datenabflüsse, unbefugte Zugriffe oder längerfristige Systemausfälle. Der Sinn und Zweck der Regelung liegt darin, mit Vertragspartnern abgestimmte Verfahren zu haben, um im Ernstfall schnell und koordiniert reagieren zu können. Ohne klare Vereinbarungen könnte wertvolle Zeit verloren gehen, es könnten unklare Zuständigkeiten entstehen oder Meldungen verzögert erfolgen. Mit abgestimmten Prozessen kann dagegen die Schadensbegrenzung beschleunigt, Transparenz über den Vorfall geschaffen und eine wirksame Ursachenanalyse ermöglicht werden. Hierzu gehört insbesondere die Benachrichtigung des Vertragspartners und die Zusammenarbeit zur Behebung von Vorfällen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.10.1 Grundschutz++ BES.5.10.1 Erreichbarkeit über Meldewege Beschaffungsmanagement für Einkäufe SOLLTE die Erreichbarkeit des Lieferanten über bestimmte Meldewege vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Erreichbarkeit des Lieferanten über bestimmte Meldewege", "definitions": {}}, "guidance": "Die Meldewege bezeichnen in diesem Zusammenhang klar definierte Kommunikationskanäle, über die ein Lieferant zuverlässig erreichbar ist. Das kann beispielsweise eine dedizierte E-Mail-Adresse für Sicherheitsvorfälle, ein 24/7-Telefonkontakt, ein Ticket-System oder ein abgesicherter Webzugang sein. Der Sinn dieser Vereinbarung liegt darin, dass kritische Ereignisse, wie etwa ein entdeckter Datenabfluss oder technische Störungen in ausgelagerten Systemen, nicht ins Leere laufen. Ohne abgestimmte Erreichbarkeit könnte eine Meldung verzögert oder gar nicht ankommen, wodurch Schaden an vertraulichen Informationen unbemerkt bleiben könnte. Mit verbindlich vereinbarten Kanälen kann die Institution hingegen sicherstellen, dass relevante Informationen zeitnah und nachweisbar beim Lieferanten ankommen und bearbeitet werden. Die Umsetzung dieser Anforderung kann durch mehrere Maßnahmen unterstützt werden: (1) Eine Institution kann im Vertrag mit dem Lieferanten eine feste Ansprechstelle und Eskalationsstufen für bestimmte Ereignisse benennen lassen. (2) Es kann ein technischer Meldeweg wie ein verschlüsseltes E-Mail-Postfach oder ein Ticketportal vorgesehen werden, das eindeutig den Zweck \\"Sicherheitsvorfälle\\" trägt und regelmäßig überwacht wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.10 \N \N \N +Grundschutz++:BES.5.10.2 Grundschutz++ BES.5.10.2 Melden von Vorfällen Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung zur unverzüglichen Information des Auftraggebers über ihn betreffende Vorfälle vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Verpflichtung zur unverzüglichen Information des Auftraggebers über ihn betreffende Vorfälle", "definitions": {}}, "guidance": "Der Sinn dieser Regelung liegt darin, dass der Auftraggeber seine Handlungsfähigkeit behält und Risiken frühzeitig einschätzen kann. Ein verzögerter Informationsfluss könnte dazu führen, dass Schäden sich unbemerkt ausweiten oder notwendige Reaktionen, wie etwa die Unterbindung von Angriffspfaden, verspätet erfolgen. Eine rechtzeitige Mitteilung kann hingegen Transparenz schaffen und es ermöglichen, dass Gegenmaßnahmen in Koordination mit dem Auftraggeber wirksam eingeleitet werden. Die praktische Umsetzung kann durch klare vertragliche Regelungen erfolgen, in denen Eskalationswege und Fristen für Meldungen definiert werden. Dazu kann ein gemeinsames Kontakt- und Kommunikationsverfahren etabliert werden, etwa ein 24/7 erreichbarer Ansprechpartner oder eine dedizierte Notfalladresse für sicherheitsrelevante Meldungen. Technisch kann eine Schnittstelle (z. B. ein abgesicherter Meldekanal oder Ticket-System) eingerichtet werden, über die Vorfälle dokumentiert und weitergeleitet werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.10 \N \N \N +SCF:AAT-16.7 SCF AAT-16.7 Pre-Trained AI & Autonomous Technologies Models Mechanisms exist to validate the information source(s) and quality of pre-trained models used in Artificial Intelligence (AI) and Autonomous Technologies (AAT) training, maintenance and improvement-related activities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.7_AAT-16.7_A01", "name": "assessment-objective", "prose": "the organization utilizes pre-trained models for Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related monitoring and maintenance."}]} \N \N \N \N +Grundschutz++:BES.5.10.3 Grundschutz++ BES.5.10.3 Schwachstellenbehebung Beschaffungsmanagement für Einkäufe SOLLTE eine Verpflichtung für Lieferanten, die den Auftraggeber betreffende Schwachstelle zeitnah zu beheben, vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Verpflichtung für Lieferanten, die den Auftraggeber betreffende Schwachstelle zeitnah zu beheben,", "definitions": {}}, "guidance": "Die Verpflichtung bezieht sich hierbei auf die gesamte Lebensdauer der Dienstleistungen oder Produkte. Je nach Vertrag kann die Behebung von Schwachstellen z.B. durch Sicherheitsupdates oder den Austausch von Komponenten gewährleistet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.10 \N \N \N +Grundschutz++:BES.5.10.3.1 Grundschutz++ BES.5.10.3.1 Schwachstellenmeldeprozess Beschaffungsmanagement für IT-Produkte KANN einen Schwachstellenmeldeprozess nach einem anerkannten Standard vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Schwachstellenmeldeprozess", "definitions": {}}, "guidance": "Die Anforderung ist erfüllt, wenn der Prozess zur Meldung und Behandlung von Schwachstellen für das zu beschaffende Produkt vertraglich zugesichert ist, unabhängig von der Frage durch wen die Klausel in den Vertrag eingebracht wurde. Der Schwachstellenmeldeprozess kann direkt durch den Lieferanten oder durch Weitergabe der Verpflichtung an den Hersteller gewährleistet sein. Für Details siehe BSI TR-03183-3.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} BES.5.10.3 \N \N \N +Grundschutz++:BES.5.10.4 Grundschutz++ BES.5.10.4 Konfliktlösungsprozesse Beschaffungsmanagement für Einkäufe KANN Prozesse zur Lösung von Konflikten zwischen den Vertragsparteien vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Prozesse zur Lösung von Konflikten zwischen den Vertragsparteien", "definitions": {}}, "guidance": "Ein „Konflikt zwischen den Vertragsparteien“ bedeutet hier jede Form von Uneinigkeit, die im Zuge eines Vertragsverhältnisses auftreten kann – etwa über die Auslegung von Leistungszusagen, den Umgang mit Verzögerungen, Qualitätsabweichungen oder Verantwortlichkeiten bei Sicherheitsvorfällen. Solche Konfliktlösungsprozesse können helfen, Missverständnisse strukturiert zu klären und Rechtsstreitigkeiten vorzubeugen. Das Ziel der Anforderung ist es, Risiken durch unklare Verantwortlichkeiten und eskalierende Streitigkeiten zu verringern: Ein ungelöster Konflikt könnte dazu führen, dass sicherheitsrelevante Leistungen nicht rechtzeitig erbracht werden, Vertragsinhalte unterschiedlich interpretiert werden oder sensible Daten im Streitfall unkontrolliert preisgegeben werden. Umgekehrt kann eine klar geregelte Konfliktlösungsroutine Transparenz schaffen, die Handlungsfähigkeit der Institution sichern und einen fairen Interessenausgleich fördern. Praktisch umgesetzt werden kann dies durch verschiedene Maßnahmen: (1) In Verträgen kann eine Schlichtungsklausel vorgesehen werden, die definiert, dass bei Meinungsverschiedenheiten zunächst ein moderiertes Gespräch oder ein Mediationsverfahren durchgeführt werden kann. (2) Es kann hilfreich sein, feste Eskalationspfade zu vereinbaren, zum Beispiel mit einer dreistufigen Struktur aus Projektleitung, Management-Ebene und unabhängiger Stelle. (3) Die Institution kann Checklisten nutzen, um im Konfliktfall die relevanten Dokumentationen – etwa Leistungsnachweise oder Kommunikationsprotokolle – geordnet vorzulegen. (4) Technische Hilfen wie gemeinsame Ticket- oder Kollaborationssysteme können Transparenz schaffen und verhindern, dass Konflikte durch unklare Informationslagen eskalieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.10 \N \N \N +Grundschutz++:BES.5.10.5 Grundschutz++ BES.5.10.5 Konsequenzen bei Verstößen Beschaffungsmanagement für Einkäufe KANN Abhilfemaßnahmen für den Fall von Verstößen durch den Lieferanten vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Abhilfemaßnahmen", "definitions": {}}, "guidance": "Hierzu können Abhilfemaßnahmen wie die Abschaltung angreifbarer Systeme, die Information betroffener Personen sowie Entschädigungen für die betroffene Institution oder betroffene Dritte in einer festgelegten Höhe gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall von Verstößen durch den Lieferanten", "definitions": {}}} BES.5.10 \N \N \N +Grundschutz++:BES.5.11 Grundschutz++ BES.5.11 Recht auf Audit Beschaffungsmanagement für Outsourcing SOLLTE ein Recht des Auftraggebers zur Überprüfung der Sicherheitsprozesse und -maßnahmen, die im Zusammenhang mit dem Vertrag stehen, vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Recht des Auftraggebers zur Überprüfung der Sicherheitsprozesse und -maßnahmen,", "definitions": {}}, "guidance": "Je nach Vereinbarung kann die Umsetzung durch ein vom Auftraggeber durchgeführtes Audit, eine Revision (Second Party Audit) oder eine Auditierung durch Dritte (Third Party Audit), z.B. im Rahmen einer Zertifizierung, erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die im Zusammenhang mit dem Vertrag stehen,", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.12 Grundschutz++ BES.5.12 Informationspflichten Beschaffungsmanagement für Dienstleistungen SOLLTE eine Pflicht des Lieferanten, den Auftraggeber regelmäßig über die Wirksamkeit der Sicherheitsmaßnahmen zu informieren, vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Pflicht des Lieferanten, den Auftraggeber regelmäßig über die Wirksamkeit der Sicherheitsmaßnahmen zu informieren,", "definitions": {}}, "guidance": "Im konkreten Kontext bedeutet Wirksamkeit, dass die vereinbarten Sicherheitsmaßnahmen des Lieferanten nicht nur formal existieren, sondern nachweislich den angestrebten Schutzzweck erfüllen – beispielsweise durch messbare Ergebnisse, dokumentierte Prüfberichte oder Nachweise aus internen Kontrollen. Der Auftraggeber ist hierbei die Institution, die eine Dienstleistung einkauft und deren Informationswerte geschützt werden sollen, während der Lieferant der erbringende externe Dienstleister ist, dessen Sicherheitspraktiken Einfluss auf diese Informationswerte haben. Regelmäßige Informationen können etwa Statusberichte, Prüfprotokolle oder Kennzahlen zu Sicherheitsvorfällen und deren Behandlung umfassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.4.6 Grundschutz++ BES.7.4.6 Shared Responsibility Beschaffungsmanagement für Dienstleistungen SOLLTE die Verteilung der Zuständigkeiten und deren Abgrenzung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verteilung der Zuständigkeiten und deren Abgrenzung", "definitions": {}}, "guidance": "Beim Outsourcing gibt es verteilte Zuständigkeiten zwischen Dienstleister und Institution (sog. Shared Responsibility). Hierbei ist z.B. relevant, welche Verarbeitungen in der Zuständigkeit des Dienstleisters liegen und welche weiterhin bei der Institution vorgenommen werden, z.B. Infrastructure-as-a-Service vs. Software-as-a-Service.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.5.13 Grundschutz++ BES.5.13 Bereitstellung von Datensicherungen Beschaffungsmanagement für Dienstleistungen SOLLTE eine Verpflichtung des Lieferanten, Sicherungskopien regelmäßig bereitzustellen, vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Verpflichtung des Lieferanten, Sicherungskopien regelmäßig bereitzustellen,", "definitions": {}}, "guidance": "Der Zweck dieser Anforderung liegt in der Absicherung gegen Datenverlust durch technische Defekte, menschliche Fehler oder Schadsoftware. Ein fehlendes Backup könnte dazu führen, dass wichtige Kundendaten, Vertragsunterlagen oder Konfigurationsstände dauerhaft verloren gehen. Durch die vertragliche Verpflichtung zur Bereitstellung von Sicherungskopien kann die Institution ihre Datenhoheit behalten und Ausfälle oder Manipulationen deutlich schneller abfangen. Die Umsetzung kann beispielsweise so erfolgen, dass der Lieferant verpflichtet wird, Backups auf einem separaten, verschlüsselten Speichermedium bereitzustellen, welches der Institution in vereinbarten Intervallen übergeben wird. Zur Umsetzung kann ein Lieferant beispielsweise quartalsweise Berichte zu durchgeführten Penetrationstests, Schwachstellen-Scans oder Notfallübungen bereitstellen. Ebenso kann er standardisierte Dashboards mit Kennzahlen zu Sicherheitsvorfällen, Patchständen oder Awareness-Maßnahmen freigeben. Hilfreich kann auch sein, dass der Lieferant auf Anfrage gezielt Audit-Reports oder Zertifikate (z. B. SOC-2-Berichte, ISO 27001-Auditberichte) zur Verfügung stellt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.5.13.1 Grundschutz++ BES.5.13.1 Datenbereitstellung Beschaffungsmanagement für Outsourcing KANN die Bereitstellung der beim Dienstleister verarbeiteten Daten in einem standardisierten Format vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereitstellung der beim Dienstleister verarbeiteten Daten in einem standardisierten Format", "definitions": {}}, "guidance": "Kann das Risiko verringern, dass im Falle eines Anbieterwechsels, einer Vertragsbeendigung oder einer Notfallwiederherstellung Daten nur in proprietären oder unvollständig dokumentierten Formaten vorliegen. Ohne ein solches Format könnte eine Institution vor dem Problem stehen, dass bei einem unerwarteten Ausfall des Dienstleisters die Daten erst zeitaufwendig konvertiert werden müssen, was den Geschäftsbetrieb verzögert oder kritische Prozesse unterbricht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} BES.5.13 \N \N \N +Grundschutz++:BES.5.14 Grundschutz++ BES.5.14 Löschregeln Beschaffungsmanagement für Outsourcing SOLLTE die Löschung von Daten während der Vertragslaufzeit im Einklang mit den Compliance-Verpflichtungen der Institution vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Löschung von Daten während der Vertragslaufzeit im Einklang mit den Compliance-Verpflichtungen der Institution", "definitions": {}}, "guidance": "Compliance-Verpflichtungen werden in der Praktik GC ermittelt. Die Umsetzung kann z.B. durch individuelle vertragliche Festlegung oder durch die Auswahl eines Dienstleisters, dessen Löschregelungen im Einklang mit den Compliance-Verpflichtungen stehen, erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Zusammenarbeit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.6.1 Grundschutz++ BES.6.1 Entziehung der Zugangsberechtigungen Beschaffungsmanagement für Dienstleistungen SOLLTE die Entziehung der für den Vertrag relevanten Zugangsberechtigungen für den Fall einer Kündigung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Entziehung der für den Vertrag relevanten Zugangsberechtigungen", "definitions": {}}, "guidance": "„Zugangsberechtigungen“ meint hier die Gesamtheit aller physischen, logischen und administrativen Rechte, die externen Dienstleistern den Zugriff auf Systeme, Daten, Gebäude oder digitale Ressourcen der Institution ermöglichen. Dazu gehören sowohl Benutzerkonten und technische Schnittstellen als auch Zutrittskarten oder Remote-Zugänge über VPN. Der Sinn und Zweck der Vorschrift liegt darin, dass unautorisierte Zugriffe nach einer Vertragsbeendigung verhindert werden können. Ein ehemaliger Dienstleister könnte ansonsten weiterhin über aktive Accounts sensible Daten einsehen oder Systeme manipulieren, was zu Datenabfluss, Sabotage oder unbemerkten Veränderungen führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.6.2 Grundschutz++ BES.6.2 Löschung von Daten Beschaffungsmanagement für Dienstleistungen SOLLTE die Löschung aller beim Dienstleister vorhandenen Daten für den Fall einer Kündigung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Löschung aller beim Dienstleister vorhandenen Daten", "definitions": {}}, "guidance": "Kündigung meint hier sowohl ordentliche als auch außerordentliche Kündigungen. Hierzu können z.B. die Rückgabe von Authentifizierungstoken oder Löschung aller Auftraggeberdaten nach Ablauf der gesetzlichen Aufbewahrungsfristen gehören. Relevant sind dabei neben Inhaltsdaten auch Metadaten, Lizenzen und weitere Zugriffsrechte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +SCF:END-06.5 SCF END-06.5 Boot Process Integrity Automated mechanisms exist to verify the integrity of the boot process of systems. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.5_END-06.5_A01", "name": "assessment-objective", "prose": "system components requiring integrity verification of the boot process are defined."}, {"id": "END-06.5_END-06.5_A02", "name": "assessment-objective", "prose": "the integrity of the boot process of system components is verified."}]} \N \N \N \N +Grundschutz++:BES.6.2.1 Grundschutz++ BES.6.2.1 Löschverfahren Beschaffungsmanagement für Dienstleistungen KANN ein Verfahren zur nicht wiederherstellbaren Löschung für den Fall einer Kündigung vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur nicht wiederherstellbaren Löschung", "definitions": {}}, "guidance": "Ein Verfahren zur nicht wiederherstellbaren Löschung bedeutet in diesem Kontext, dass Daten nach Beendigung einer Dienstleistungsbeziehung so entfernt werden, dass auch mit spezialisierten forensischen Methoden keine Rekonstruktion mehr möglich ist. Typische Verfahren reichen von mehrfachen Überschreibungen mit Zufallswerten über kryptographisches Löschen (Zerstörung der Schlüssel, die zur Entschlüsselung notwendig wären) bis hin zur physikalischen Zerstörung der Speichermedien. Die Regelung zielt darauf ab, das Risiko zu mindern, dass vertrauliche Daten nach einer Vertragskündigung bei einem Dienstleister verbleiben und unbefugt genutzt oder versehentlich offengelegt werden könnten. Ein Datenleck nach einem Providerwechsel könnte beispielsweise zu Identitätsdiebstahl, Industriespionage oder Reputationsschäden führen. Die Vereinbarung einer sicheren, nicht wiederherstellbaren Löschung kann sicherstellen, dass Informationen tatsächlich entfernt sind und keine Restkopien unkontrolliert in Umlauf geraten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} BES.6.2 \N \N \N +Grundschutz++:BES.6.3 Grundschutz++ BES.6.3 Übertragbarkeit von Daten Beschaffungsmanagement für Dienstleistungen SOLLTE die Übertragbarkeit von Daten, Konfigurationen und der Funktionalität für den Fall einer Kündigung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übertragbarkeit von Daten, Konfigurationen und der Funktionalität", "definitions": {}}, "guidance": "Ohne eine solche Regelung kann es zu erheblichen Betriebsstörungen kommen, etwa wenn ein Dienstleister im Streitfall Daten nur in proprietären Formaten bereitstellt oder deren Übergabe verzögert. Dies könnte dazu führen, dass eine Institution den Betrieb nicht nahtlos mit einem neuen Anbieter fortsetzen kann, etwa bei Cloud-Diensten, Hosting oder SaaS-Lösungen. Auch kann der Verlust von Metadaten, Zugriffshistorien oder Konfigurationsdateien eintreten, was die Nachvollziehbarkeit und Funktionsfähigkeit stark einschränken könnte. Unter „Übertragbarkeit von Daten“ (Data Portability) versteht man in diesem Kontext die technische und organisatorische Fähigkeit, alle relevanten Daten in einem vollständigen, strukturierten und maschinenlesbaren Format an die Institution oder einen Nachfolger zu übertragen. Es geht dabei nicht nur um die Rohdaten, sondern auch um begleitende Informationen, die für die Wiederaufnahme des Betriebs an anderer Stelle erforderlich sind (Metadaten). Die Angemessenheit dieser Maßnahme bemisst sich daran, wie stark die Tätigkeit der Institution von den ausgelagerten Prozessen abhängt und wie groß die Auswirkungen einer verzögerten oder unvollständigen Rückgabe wären.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.6.4 Grundschutz++ BES.6.4 Übertragung von Supportdienstleistungen Beschaffungsmanagement für Dienstleistungen KANN die Übergabe der Supportdienstleistungen für den Fall einer Kündigung vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übergabe der Supportdienstleistungen", "definitions": {}}, "guidance": "Die Übergabe der Supportdienstleistungen beschreibt in diesem Kontext die geordnete und dokumentierte Weitergabe von relevanten Informationen, Ressourcen und Zugängen durch einen externen Dienstleister an die Institution oder einen neuen Dienstleister, wenn ein Vertrag endet. Dazu gehören z. B. Dokumentationen zu Konfigurationen, Wartungsprotokolle, Zugangsdaten, Lizenzinformationen oder Ansprechpartnerketten. Ziel ist es, dass der Betrieb der unterstützten Systeme nach Vertragsende ohne Unterbrechung oder Informationsverlust fortgesetzt werden kann. Die Anforderung dient dazu, Risiken abzufedern, die entstehen, wenn bei einer Kündigung der Dienstleister abrupt ausscheidet. Ohne geregelte Übergabe könnte es passieren, dass wichtige Betriebsinformationen verloren gehen, der Zugriff auf Systeme blockiert wird oder die Institution abhängig von individuellem Wissen einzelner Personen bleibt. Die Übergabe kann entweder an die Institution selbst oder an einen von der Institution gewählten neuen Vertragspartner erfolgen. Um die Anforderung praktisch umzusetzen, kann eine Institution in Verträgen explizit eine Exit- oder Übergabeklausel verankern, die Inhalte, Formate und Fristen der Übergabe beschreibt. Diese Klausel kann beispielsweise definieren, dass (1) aktuelle System- und Betriebsdokumentationen vollständig zu übergeben sind, (2) Zugangsdaten in einem abgestimmten Verfahren gesichert bereitgestellt werden und (3) technische Ansprechpartner für eine Übergangsphase verfügbar bleiben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.6.5 Grundschutz++ BES.6.5 Behandlung aufzubewahrender Aufzeichnungen Beschaffungsmanagement für Dienstleistungen SOLLTE Kontrollmechanismen zur Behandlung aufzubewahrender Aufzeichnungen für den Fall einer Kündigung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kontrollmechanismen zur Behandlung aufzubewahrender Aufzeichnungen", "definitions": {}}, "guidance": "Der Begriff Kontrollmechanismen kann in diesem Kontext verstanden werden als vertraglich vereinbarte Verfahren, technische Maßnahmen oder organisatorische Vorkehrungen, die es der Institution ermöglichen, die Vollständigkeit, Integrität und Vertraulichkeit der betreffenden Aufzeichnungen sicherzustellen. Aufzubewahrende Aufzeichnungen bezeichnet hierbei jede Form von Daten oder Dokumenten – in physischer oder digitaler Form – die aufgrund gesetzlicher, vertraglicher oder interner Vorgaben über das Vertragsende hinaus (zumindest für einen bestimmten Zeitraum) vom Dienstleister aufbewahrt werden. Dabei kann es sich beispielsweise um Vertragsunterlagen, Protokolldateien oder Gesprächsprotokolle handeln, die etwa aus steuerlichen Gründen aufzubewahren sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.6.6 Grundschutz++ BES.6.6 Rückgewähr von Assets Beschaffungsmanagement für Dienstleistungen SOLLTE die Rückgewähr von Assets für den Fall einer Kündigung vereinbaren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Rückgewähr von Assets", "definitions": {}}, "guidance": "Rückgewähr bedeutet hier, dass sämtliche von der Institution bereitgestellte Werte – wie etwa IT-Systeme, Datenträger oder Papierkopien – bei Beendigung des Vertragsverhältnisses an die Institution zurückgegeben werden. Der Zweck liegt darin, unkontrollierten Weitergebrauch oder Missbrauch von Informationen und Ressourcen zu verhindern. So könnte etwa ein externer Dienstleister nach einer Kündigung weiterhin Zugriff auf sensible Daten behalten oder unbeabsichtigt alte Backup-Medien in seinem Besitz behalten, was zu Datenabflüssen oder unautorisierten Offenlegungen führen könnte. Eine klare Regelung kann dagegen sicherstellen, dass sämtliche Ressourcen nachvollziehbar wieder unter die alleinige Kontrolle der Institution gelangen und Vertraulichkeit sowie Integrität gewahrt bleiben. Für die Umsetzung kann es hilfreich sein, die Rückgabepflicht vertraglich zu konkretisieren und präzise Abläufe zu definieren. So kann die Institution (1) Inventarlisten führen, in denen alle übergebenen physischen Geräte, Datenträger oder Zutrittsmedien eindeutig aufgeführt werden, (2) Checklisten für die geordnete Rückführung bei Vertragsende einsetzen und (3) eine Rückgabequittung oder Übergabebestätigung durch den Dienstleister einfordern, die den ordnungsgemäßen Erhalt dokumentiert. Ergänzend kann die Institution Rückgabefristen und Verantwortlichkeiten im Vertrag festlegen sowie technische Maßnahmen wie die Sperrung von verlorenen oder nicht zurückgegebenen Zutrittskarten einplanen. Auch kann eine Abnahmeprüfung der zurückgegebenen Assets durch die Institution erfolgen, um sicherzustellen, dass diese vollständig und funktionsfähig übergeben wurden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Auswahl von Produkten und Dienstleistungen - Kündigung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer Kündigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.1 Grundschutz++ BES.7.1 Eingangskontrolle Beschaffungsmanagement für Einkäufe SOLLTE erbrachte oder gelieferte Leistungen anhand von Kriterien zur Akzeptanz vor der ersten Verwendung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "erbrachte oder gelieferte Leistungen", "definitions": {}}, "guidance": "Durch eine Prüfung anhand von Akzeptanzkriterien wird sichergestellt, dass die erbrachten Dienstleistungen oder IT-Produkte den geforderten Beschaffungskriterien entsprechen. Die Akzeptanzkriterien können also den Beschaffungskriterien entsprechen oder deren Prüfung konkretisieren. Hierzu können verschiedene Methoden eingesetzt werden, etwa Stichproben, Sicherheitstests oder die Nachverfolgung der Lieferkette anhand von Seriennummern. Dabei besteht ein enger Zusammenhang zu den Praktiken Dienstleistersteuerung, sowie Änderungen und Tests.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien zur Akzeptanz}} vor der ersten Verwendung", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.1.1 Grundschutz++ BES.7.1.1 Test der Kompatibilität Beschaffungsmanagement für Outsourcing SOLLTE die Kompatibilität des Dienstes mit dem Informationsverbund im Hinblick auf die Schnittstellen, die Netzanbindung, das Administrationsmodell und das Datenmanagementmodell testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Kompatibilität des Dienstes mit dem Informationsverbund", "definitions": {}}, "guidance": "Die Regelung dient dazu, ungewollte Brüche oder Inkompatibilitäten zu vermeiden, die im Betrieb zu Sicherheits- oder Funktionsproblemen führen können. Ohne eine solche Überprüfung könnte z. B. eine unklare Rechtevergabe dazu führen, dass ein Dienstleister umfassendere Zugriffe erhält als notwendig, oder eine fehlerhafte Schnittstellenintegration könnte den Ausfall wichtiger Anwendungen nach sich ziehen. Umgekehrt kann eine saubere Prüfung sicherstellen, dass Outsourcing-Dienste nahtlos integriert, technisch handhabbar und im Betrieb kontrollierbar bleiben. Für die Bewertung der Kompatibilität sind dabei vier Aspekte besonders kritisch: Schnittstellen sind die technischen Übergabepunkte, an denen Systeme Daten austauschen oder Funktionen ansprechen; Netzanbindung bezeichnet die physische oder logische Verbindung zwischen dem Dienstleister und dem Informationsverbund der Institution; das Administrationsmodell beschreibt, wer welche Rechte zur Einrichtung, Änderung und Überwachung von Systemkomponenten hat; und das Datenmanagementmodell legt fest, wie Daten gespeichert, strukturiert, repliziert und gelöscht werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Hinblick auf die Schnittstellen, die Netzanbindung, das Administrationsmodell und das Datenmanagementmodell", "definitions": {}}} BES.7.1 \N \N \N +Grundschutz++:BES.7.1.2 Grundschutz++ BES.7.1.2 Netzcheck Beschaffungsmanagement für Outsourcing SOLLTE die Umsetzung der geforderten Beschaffungskriterien für die Netzanbindung vor der Netzanbindung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Umsetzung der geforderten Beschaffungskriterien für die Netzanbindung", "definitions": {}}, "guidance": "Netzanbindung meint hier jede Form der logischen oder physischen Kopplung von Netzwerken – etwa über VPN, MPLS, dedizierte Leitungen oder Cloud-Interconnects. Der Sinn dieser Vorschrift liegt darin, Risiken aus unsicheren oder ungetesteten Dienstleisterverbindungen zu minimieren. So könnte ein ungeprüfter Zugang über eine unsauber konfigurierte VPN-Schnittstelle Schadsoftware einschleusen oder interne Systeme unautorisiert zugänglich machen. Umgekehrt kann die vorgelagerte Prüfung sicherstellen, dass Verschlüsselung, Bandbreite, Trennung sensibler Netze oder auch Logging-Vorgaben wie vorgesehen funktionieren und dadurch ein sicherer, nachvollziehbarer Betrieb gewährleistet wird. Die Umsetzung kann durch mehrere Maßnahmen erfolgen: (1) Vor der Inbetriebnahme kann ein technischer Funktionstest durchgeführt werden, bei dem Firewalls, Routing und VPN-Tunnel anhand von Testaccounts überprüft werden. (2) Ein Abnahmetest durch die Institution kann beinhalten, dass simulierte Angriffe oder Fehlkonfigurationen (z. B. offene Ports) nachgestellt werden, um die Widerstandsfähigkeit des Dienstleisters zu prüfen. (3) Prozessual kann eine Checkliste genutzt werden, die verbindlich vorgibt, dass Sicherheitsanforderungen wie Verschlüsselungsstandards, Protokollierung, Redundanz oder die Einhaltung von Latenzgrenzen dokumentiert und validiert sind, bevor der „Go-Live“ erfolgt. Zusätzlich kann es hilfreich sein, die Ergebnisse der Tests nachvollziehbar in einem Freigabeprotokoll festzuhalten, das sowohl die Institution als auch der Dienstleister unterzeichnen. Auf diese Weise kann die Institution sicherstellen, dass die Netzanbindung nicht nur formell, sondern auch praktisch den definierten Kriterien entspricht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Netzanbindung", "definitions": {}}} BES.7.1 \N \N \N +Grundschutz++:BES.7.2 Grundschutz++ BES.7.2 Prozesse vor Netzanbindung Beschaffungsmanagement für Outsourcing SOLLTE vor Anbindung des Datennetzes der Nutzenden an das Datennetz der Anbietenden alle sicherheitsrelevanten Maßnahmen im Einklang mit den Regelungen und Verfahren des Managementsystems verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "vor Anbindung des Datennetzes der Nutzenden an das Datennetz der Anbietenden alle sicherheitsrelevanten Maßnahmen", "definitions": {}}, "guidance": "Der Sinn der Vorschrift liegt darin, Risiken durch unkontrollierte Netzwerkanbindungen zu minimieren, die bei Outsourcing deutlich höher sind als bei Standard-Dienstleistungsverträgen. Ohne vorherige Verankerung von Prozessen und technischen Lösungen, die für die sichere Anbindung zum Outsourcing-Dienstleiser erforderlich sind, könnte etwa Schadsoftware aus dem Anbietenden-Netz ungehindert in das Netz der Institution gelangen oder unbefugte Zugriffe könnten entstehen, wenn Authentifizierungsverfahren nicht abgestimmt sind. Umgekehrt kann eine klare Festlegung vorab bewirken, dass nur geprüfte, verschlüsselte und überwachte Schnittstellen genutzt werden, was eine vertrauenswürdige Zusammenarbeit ermöglicht. Da Outsourcing regelmäßig mit tiefen technischen Integrationen verbunden ist, unterscheidet es sich von herkömmlichen Lieferantenbeziehungen, bei denen keine direkte Netzwerkkopplung erfolgt. Eine Institution kann diese Anforderung praktisch umsetzen, indem sie vor der Anbindung (1) eine technische Schnittstellenbeschreibung einfordert, die Protokolle, Ports und Authentifizierungsmechanismen dokumentiert, (2) die Kommunikation auf gesicherte Kanäle wie VPN oder verschlüsselte Direktleitungen beschränkt, und (3) Verfahren zur Netzsegmentierung etabliert, sodass der Zugriff nur auf explizit freigegebene Systeme möglich ist. Ergänzend kann eine Checkliste für Dienstleisterprüfung genutzt werden, in der Sicherheitszertifikate, Protokolle zur Patch-Pflege oder geplante Monitoring-Mechanismen abgefragt werden. Ein prozessualer Tipp kann darin bestehen, die Netzfreigabe erst nach einem gemeinsamen Test der Sicherheitsmechanismen freizuschalten und dies in einem Freigabeprotokoll zu dokumentieren. So kann eine Institution sicherstellen, dass Outsourcing-Verbindungen kontrolliert, nachvollziehbar und mit einem definierten Sicherheitsniveau umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Regelungen und Verfahren des Managementsystems", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.3 Grundschutz++ BES.7.3 Anhörung Prozessbeteiligter Beschaffungsmanagement für Outsourcing SOLLTE alle am ausgelagerten Prozess beteiligten Mitarbeiter oder Rollen anhören. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle am ausgelagerten Prozess beteiligten Mitarbeiter oder Rollen", "definitions": {}}, "guidance": "Je nach Prozess können hierzu z.B. IT-Betriebspersonal oder Cybersicherheitsexperten der Institution oder von weiteren Dienstleistern, oder die Rechtsabteilung gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anhören", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.4 Grundschutz++ BES.7.4 Vollständigkeit der Unterlagen Beschaffungsmanagement für Einkäufe SOLLTE Informationen, die für eine bestimmungsgemäße Verwendung im Informationsverbund erforderlich sind, dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Informationen, die für eine bestimmungsgemäße Verwendung im Informationsverbund erforderlich sind,", "definitions": {}}, "guidance": "Dient in erster Linie dazu, sicherheitsrelevante Eigenschaften, Abhängigkeiten und Einsatzbedingungen nachvollziehbar festzuhalten. Ohne diese Informationen könnte es zu Fehlkonfigurationen, unsachgemäßem Betrieb oder unentdeckten Schwachstellen kommen, etwa wenn sicherheitskritische Firmware-Updates, empfohlene Hardening-Anleitungen oder Hinweise zu bekannten Sicherheitslücken nicht beachtet werden. So könnte beispielsweise ein Netzwerkgerät ohne die dokumentierten Herstellerhinweise zu sicheren Standardpasswörtern betrieben werden, wodurch Angreifer einfachen Zugriff erlangen könnten. Für diesen Kontext bedeutet „Informationen, die für eine bestimmungsgemäße Verwendung der Beschaffung im Informationsverbund erforderlich sind“ sämtliche sicherheitsrelevanten Dokumente, Konfigurationshinweise, Updateanweisungen und Supportinformationen, die erforderlich sind, damit beschaffte Produkte und Dienste so verwendet werden können, wie in den Beschaffungskriterien vorgesehen. Am einfachsten kann diese Anforderung erfüllt werden, indem die erforderlichen Informationen vom Lieferanten oder Hersteller mitgeliefert werden. Alternativ ist es auch möglich, dass die Institution die Dokumentation selbst vornimmt, z.B. in Zusammenarbeit mit dem Lieferanten, durch Untersuchung der Lieferung oder durch Ablage von Informationen, welche der Hersteller auf seiner Webseite bereitgestellt hat. Eine praktische Umsetzung kann darin bestehen, dass die Institution im Rahmen des Beschaffungsprozesses gezielt nach sicherheitsrelevanten Unterlagen fragt und diese zentral ablegt, etwa in einem internen Dokumentationssystem, auf das die zuständigen Administratoren und IT-Sicherheitsverantwortlichen zugreifen können. Hierbei kann es hilfreich sein, Checklisten einzusetzen, die beim Wareneingang oder der Inbetriebnahme prüfen, ob etwa Handbücher mit sicherheitsrelevanten Konfigurationsempfehlungen, Updatepläne, Zertifikate oder Kompatibilitätslisten vorliegen. Auch kann die Institution eine eindeutige Referenzierung der Unterlagen vornehmen, damit später nachvollziehbar ist, welche Version der Herstellerinformationen bei Inbetriebnahme zugrunde lag. Um die Nutzbarkeit zu erhöhen, kann eine Kurzfassung der relevanten Sicherheitspunkte in die interne Betriebsdokumentation übernommen werden, während die Originalunterlagen für Detailfragen hinterlegt bleiben. Bei wiederkehrenden Beschaffungen ähnlicher Komponenten kann zudem eine Vorlagenstruktur helfen, in der die typischen Unterlagenarten und deren Ablageorte definiert sind. So wird sichergestellt, dass die sicherheitsrelevanten Informationen nicht nur vorhanden, sondern auch im Bedarfsfall schnell auffindbar und anwendbar sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.4.1 Grundschutz++ BES.7.4.1 Beschreibung der Sicherheitsarchitektur Beschaffungsmanagement für IT-Produkte SOLLTE eine Beschreibung der Sicherheitsarchitektur dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Beschreibung der Sicherheitsarchitektur", "definitions": {}}, "guidance": "Die technische Sicherheitsarchitektur bezeichnet in diesem Kontext die strukturierte Darstellung der sicherheitsrelevanten Komponenten und Mechanismen eines IT-Produkts. Dazu gehören z. B. die eingesetzten kryptografischen Verfahren, die Segmentierung von Netzwerken, Schnittstellen zu anderen Systemen, Rollen- und Berechtigungskonzepte sowie Schutzmechanismen gegen Schadsoftware oder Manipulation. Sie bildet somit eine nachvollziehbare Übersicht, wie die Sicherheit im Produkt technisch verankert ist und wie diese in die bestehende IT-Landschaft integriert werden kann. Die Dokumentation kann verhindern, dass eine Institution Systeme übernimmt, deren Schutzmechanismen unklar oder unzureichend sind. Ohne eine solche Transparenz könnte es passieren, dass kritische Schwachstellen verborgen bleiben oder Sicherheitsmechanismen aufgrund mangelnden Verständnisses nicht korrekt konfiguriert werden. Eine sinnvolle Umsetzung kann beispielsweise so erfolgen: (1) Ein Anbieter kann verpflichtet werden, vor Abnahme ein Architekturdiagramm mit hervorgehobenen Sicherheitskomponenten bereitzustellen. (2) Die Institution kann bei Pilotinstallationen Checklisten verwenden, um die dokumentierten Sicherheitsmaßnahmen mit der realisierten Konfiguration abzugleichen. (3) Ergänzend kann ein standardisiertes Template genutzt werden, das Mindestangaben wie eingesetzte Protokolle, Verschlüsselungsmechanismen, Rollenmodelle und Logging-Kapazitäten abfragt, sodass einheitliche und vergleichbare Unterlagen entstehen. Auch ein Abgleich mit bewährten Referenzarchitekturen kann helfen, die Vollständigkeit und Plausibilität der Angaben zu prüfen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.8.2 Grundschutz++ BES.8.2 Verfahren zur Übertragung von Geschäftsprozessen Beschaffungsmanagement für Outsourcing KANN Verfahren zur Übertragung von Geschäftsprozessen für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren zur Übertragung von Geschäftsprozessen", "definitions": {}}, "guidance": "Es empfiehlt sich diese Alternativen in einem Maßnahmenkatalog zu dokumentieren. Darin können z.B. alternative Dienstleister festgehalten werden, welche über das notwendige Niveau an Informationssicherheit verfügen, um den Prozess, welcher an den bisherigen Dienstleister ausgelagert wird, in gleichem Maße umzusetzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Kompensierende Kontrollmechanismen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.7.4.2 Grundschutz++ BES.7.4.2 Beschreibung von Sicherheitsmechanismen Beschaffungsmanagement für IT-Produkte SOLLTE eine Beschreibung der gelieferten Sicherheitsmechanismen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Beschreibung der gelieferten Sicherheitsmechanismen", "definitions": {}}, "guidance": "Hierzu zählt z.B. eine Information des Herstellers, dass die Verschlüsselung nach BSI TR-02102 erfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.3 Grundschutz++ BES.7.4.3 Empfohlene Konfiguration Beschaffungsmanagement für IT-Produkte SOLLTE eine vom Hersteller oder Lieferanten für den sicheren Betrieb empfohlene Konfiguration dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine vom Hersteller oder Lieferanten für den sicheren Betrieb empfohlene Konfiguration", "definitions": {}}, "guidance": "Eine vom Hersteller oder Lieferanten empfohlene Konfiguration ist eine dokumentierte Vorgabe, welche Einstellungen, Dienste und Sicherheitsparameter für den sicheren Betrieb vorgesehen sind. Diese Empfehlung ist im Fachkontext oft als Secure Baseline Configuration bekannt und kann z. B. Angaben zu Benutzerrechten, Netzwerkschnittstellen oder Update-Mechanismen enthalten. Der Sinn und Zweck dieser Anforderung liegt darin, dass IT-Produkte nicht im unsicheren Auslieferungszustand betrieben werden, sondern in einer geprüften und abgestimmten Form. Ohne solche Empfehlungen könnte ein System mit unnötig offenen Ports betrieben werden oder ein Administratorkonto ohne Passwortschutz bestehen, was Angreifern leichtes Spiel böte. Eine dokumentierte und nachvollziehbar empfohlene Konfiguration kann hingegen dafür sorgen, dass Schwachstellen von Beginn an reduziert werden und ein sicherer Ausgangszustand für den weiteren Betrieb geschaffen wird. Konkret kann dies durch (1) die Ablage der Herstellerempfehlungen in einer zentralen Wissensdatenbank, (2) die Überführung dieser Vorgaben in technische Checklisten für Systemadministratoren oder (3) die Nutzung von Skripten oder Vorlagen zur automatischen Einrichtung von Betriebssystemen, Netzwerkgeräten oder Anwendungen erfolgen. Zusätzlich kann es hilfreich sein, Abweichungen zur Empfehlung zu dokumentieren, um spätere Prüfungen oder Audits nachvollziehbar zu gestalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.4 Grundschutz++ BES.7.4.4 Dokumentation der Komponenten Beschaffungsmanagement für Einkäufe SOLLTE eine Beschreibung der verwendeten Hardware- und Softwarekomponenten dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Beschreibung der verwendeten Hardware- und Softwarekomponenten", "definitions": {}}, "guidance": "Hierzu zählen Angaben zum Hersteller und der Leistungsfähigkeit und Zusammensetzung der verbauten Hardware- und Softwarekomponenten. Für die Softwarekomponenten kann die Beschreibung standardisiert nach BSI TR-03183-2 erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.4.1 Grundschutz++ BES.7.4.4.1 Software Bill of Materials (SBOM) Beschaffungsmanagement für IT-Produkte KANN für jede gelieferte Software die entsprechende Software Bill of Materials (SBOM) nach einem anerkannten Standard dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jede gelieferte Software die entsprechende Software Bill of Materials (SBOM)", "definitions": {}}, "guidance": "Je nach Produkt können hierzu auch die Firmware, das Betriebssystem oder mehrere Softwarebestandteile einer Anwendung gehören. Ein anerkannter Standard für SBOM ist die BSI TR-03183-2.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} BES.7.4.4 \N \N \N +Grundschutz++:BES.7.4.5 Grundschutz++ BES.7.4.5 Netzverbindungen ab Werk Beschaffungsmanagement für IT-Produkte SOLLTE eine Liste der Internetserver, mit denen das IT-Produkt von sich aus Verbindung aufnimmt, mit Zweck der Verbindung, Zieladresse(n), Port-Nummern dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Liste der Internetserver, mit denen das IT-Produkt von sich aus Verbindung aufnimmt,", "definitions": {}}, "guidance": "Geräte und Software verbinden sich oft schon im Auslieferungszustand oder bei der normalen Nutzung über das Internet mit Diensten, z.B. zur Übermittlung von Telemetrie- und Diagnosedaten oder zur Bereitstellung von Cloud-Funktionen. Eine Liste der Verbindungen hilft, die Übersicht zu behalten, welche Kommunikationsbeziehungen zu welchem Zweck das IT-Produkt aufnimmt. Die Liste kann vom Lieferanten gestellt werden oder durch Untersuchung des Produktes selbst ermittelt werden. Eine eigene Untersuchung ist jedoch deutlich aufwändiger, da sichergestellt werden muss, dass auch Verbindungen erfasst werden, die z.B. nur bei einem Absturz der Anwendung aufgebaut werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Zweck der Verbindung, Zieladresse(n), Port-Nummern", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:DLS.4.1.1 Grundschutz++ DLS.4.1.1 Unabhängigkeit Dienstleistersteuerung für Outsourcing SOLLTE die Unabhängigkeit der Verarbeitung schützenswerter Informationen vor der Außerbetriebnahme testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Unabhängigkeit der Verarbeitung schützenswerter Informationen", "definitions": {}}, "guidance": "„Unabhängigkeit der Verarbeitung“ meint hier die Fähigkeit, dass die Nutzung von Informationen in Geschäftsprozessen der Institution nicht von den Systemen, Verfahren oder Interessen des externen Dienstleisters abhängig ist, sodass ihre Integrität, Verfügbarkeit und Vertraulichkeit auch nach einer Außerbetriebnahme des Outsourcings gewährleistet bleibt. Die Vorschrift dient dem Zweck, die Risiken zu minimieren, die entstehen können, wenn ein Dienstleister seine Leistung einstellt, Verträge beendet werden oder ein abruptes Ende der Zusammenarbeit erfolgt. Ohne Vorkehrungen könnte dies dazu führen, dass kritische Daten unzugänglich bleiben, unkontrolliert gelöscht werden oder in Abhängigkeit von proprietären Formaten verloren gehen. Zur Umsetzung kann die Institution verschiedene Maßnahmen prüfen: (1) Ein systematischer Test, ob Daten in standardisierten, portablen Formaten exportierbar sind und in eigenen oder alternativen Systemen fehlerfrei weiterverarbeitet werden können. (2) Ein Probelauf, bei dem die Verbindung zum Dienstleister gezielt getrennt wird, um zu überprüfen, ob die Institution ihre Geschäftsprozesse auch ohne aktive Anbindung fortführen kann. (3) Ein kontrolliertes Abschalten einzelner vom Dienstleister erbrachter Dienste, um zu verifizieren, ob vorbereitete Ersatzprozesse oder interne Systeme die Funktion übernehmen. (4) Eine Teststellung für die Rückgabe von Datenbeständen am Ende der Vertragslaufzeit, bei der die Vollständigkeit, Konsistenz und Nutzbarkeit der gelieferten Daten geprüft wird. Mit solchen Maßnahmen kann die Institution sicherstellen, dass die Verarbeitung schützenswerter Informationen eigenständig aufrechterhalten werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Dekommissionierung von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Ergebnisprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Außerbetriebnahme", "definitions": {}}} DLS.4.1 \N \N \N +Grundschutz++:BES.7.4.7 Grundschutz++ BES.7.4.7 Organisatorische Schnittstellen Beschaffungsmanagement für Dienstleistungen SOLLTE die organisatorischen Schnittstellen des Dienstleisters dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die organisatorischen Schnittstellen des Dienstleisters", "definitions": {}}, "guidance": "Beispielsweise Meldewege für Notfälle, Sicherheitsvorfälle, Eskalationsstufen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.8 Grundschutz++ BES.7.4.8 Technische Schnittstellen Beschaffungsmanagement für Dienstleistungen SOLLTE die vom Dienstleister bereitgestellten technischen Schnittstellen und deren Sicherheitsfunktionalität dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die vom Dienstleister bereitgestellten technischen Schnittstellen und deren Sicherheitsfunktionalität", "definitions": {}}, "guidance": "Die Dokumentation der vom Dienstleister bereitgestellten technischen Schnittstellen und deren Sicherheitsfunktionalität dient in erster Linie dazu, Transparenz über potenzielle Angriffspunkte und Integrationsrisiken zu schaffen. Fehlende oder unzureichend beschriebene Schnittstellen können zu gravierenden Vorfällen führen: So könnte etwa eine unsauber dokumentierte API unbemerkt unverschlüsselte Daten übertragen oder unautorisierte Zugriffe ermöglichen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.9 Grundschutz++ BES.7.4.9 Auslagerungsregister Beschaffungsmanagement für Outsourcing SOLLTE Informationen über den Dienstleister, die Kritikalität des Prozesses, abgeschlossene Verträge und Vereinbarungen sowie Zeitpunkt und Inhalt von Änderungen an den Vereinbarungen nach Vertragsschluss dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Informationen über den Dienstleister, die Kritikalität des Prozesses, abgeschlossene Verträge und Vereinbarungen sowie Zeitpunkt und Inhalt von Änderungen an den Vereinbarungen", "definitions": {}}, "guidance": "Hierzu genügt ein zentrales Auslagerungsregister, welches zu allen ausgelagerten Prozessen die geforderten Informationen enthält. Als Angaben zum Dienstleister gehören dessen Unternehmensbezeichnung und Erreichbarkeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Vertragsschluss", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.10 Grundschutz++ BES.7.4.10 Serviceprofil Beschaffungsmanagement für Cloud-Dienste SOLLTE für jeden geplanten oder genutzten Cloud-Dienst ein Serviceprofil mit dem Namen des Services und des Anbieters dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jeden geplanten oder genutzten Cloud-Dienst ein Serviceprofil", "definitions": {}}, "guidance": "Mögliche Inhalte um zuvor identifizierte Anforderungen ergänzen : Bezeichnung, Kurzbeschreibung, Kategorie, Sub- bzw. Sekundärservices, Varianten, technische Parameter, Service-Parameter/SLA, SLA-Messung, Gültigkeit des Services (Zeitraum), Service-Übergabe, Methoden der Kostenermittlung, Preis/Verrechnung, Ansprechpartner für den Service, Berechtigte und Anforderer sowie Voraussetzungen und Abhängigkeiten zu anderen Diensten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit dem Namen des Services und des Anbieters", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.11 Grundschutz++ BES.7.4.11 Dokumentierte Mandantentrennung Beschaffungsmanagement für Outsourcing KANN die beim Dienstleister implementierten Maßnahmen zur Mandantentrennung nach Vertragsschluss dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die beim Dienstleister implementierten Maßnahmen zur Mandantentrennung", "definitions": {}}, "guidance": "Die Dokumentation der beim Dienstleister implementierten Maßnahmen zur Mandantentrennung trägt dazu bei, die Risiken unzureichender Abgrenzung zwischen verschiedenen Kundeninstanzen transparent zu bewerten und im Bedarfsfall nachzuweisen. Ohne eine solche Transparenz könnte es zu Datenabflüssen oder unbefugtem Zugriff durch andere Mandanten kommen, etwa wenn virtuelle Maschinen auf derselben Hardware betrieben werden und Schwachstellen in der Virtualisierung ausgenutzt werden könnten. Eine dokumentierte Trennungskontrolle kann nachweisen, dass Speicher, Rechenleistung oder Netzwerksegmente isoliert sind und dadurch die Vertraulichkeit und Integrität der eigenen Daten erhalten bleibt. Im Kontext bedeutet Mandantentrennung die technische und/oder organisatorische Gewährleistung, dass Daten, Prozesse und Ressourcen verschiedener Kunden innerhalb einer geteilten Infrastruktur so voneinander abgegrenzt sind, dass unbeabsichtigte oder absichtliche Zugriffe ausgeschlossen werden können. Damit ist nicht nur die physische, sondern auch die logische Separation gemeint. Die Umsetzung kann sinnvoll erfolgen, indem eine Institution nach Vertragsschluss gezielt vom Dienstleister beschriebene Schutzmechanismen abfragt und dokumentiert, beispielsweise Isolierungsverfahren auf Hypervisor-Ebene, Verschlüsselung pro Mandant oder die Vergabe getrennter Schlüsselmaterialien. Praktisch kann es hilfreich sein, in Service-Reports nachvollziehbare Testnachweise zu verlangen, etwa Ergebnisse von Penetrationstests, die speziell auf Mandantengrenzen zielen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Vertragsschluss", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.7.4.12 Grundschutz++ BES.7.4.12 Software Bill of Materials (SBOM) - Cloud Beschaffungsmanagement für Cloud-Dienste KANN für jede gelieferte Software-as-a-Service (SaaS) die entsprechende Software Bill of Materials (SBOM) nach einem anerkannten Standard dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für jede gelieferte Software-as-a-Service (SaaS) die entsprechende Software Bill of Materials (SBOM)", "definitions": {}}, "guidance": "Ein anerkannter Standard für SBOM ist die BSI TR-03183-2.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Abnahme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} BES.7.4 \N \N \N +Grundschutz++:BES.8.1 Grundschutz++ BES.8.1 Bereithaltung alternativer Lieferanten Beschaffungsmanagement für Einkäufe KANN die Bereithaltung alternativer Lieferanten verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereithaltung alternativer Lieferanten", "definitions": {}}, "guidance": "Das Bereithalten alternativer Lieferanten kann dazu beitragen, Abhängigkeiten zu reduzieren und die Resilienz der Liefer- und Beschaffungskette zu erhöhen. Das ist insbesondere dann von großer Bedeutung, wenn ein einzelner, wichtiger Lieferant kurzfristig ausfällt – etwa durch Produktionsstörungen, Insolvenzen, Lieferengpässe, politische Sanktionen oder Cyberangriffe auf dessen Systeme. In solchen Fällen könnte die institutionseigene Versorgung mit kritischen Gütern oder Dienstleistungen gefährdet sein, was wiederum Ausfälle, Qualitätsmängel oder Vertragsstrafen nach sich ziehen könnte. Gerade bei sicherheitskritischen Komponenten, Spezialsoftware oder Ersatzteilen mit langen Vorlaufzeiten könnte das Fehlen einer zweiten Bezugsquelle zu erheblichen Betriebsunterbrechungen führen. Der Begriff „alternative Lieferanten“ meint in diesem Kontext qualifizierte Drittanbieter, die vergleichbare Produkte oder Leistungen in einer wirtschaftlich und technisch angemessenen Qualität und Menge wirksam bereitstellen können. „Angemessenheit“ bezieht sich hier auf den Grad, in dem ein alternativer Lieferant die Mindestanforderungen der Institution hinsichtlich Qualität, Sicherheit, Verfügbarkeit und Kompatibilität erfüllt, während „Wirksamkeit“ bedeutet, dass dieser im Bedarfsfall tatsächlich kurzfristig und ohne erhebliche Zusatzrisiken einspringen kann. Zur praktischen Umsetzung kann eine Institution zunächst identifizieren, für welche Materialien, Systeme oder Services ein Ausfall besonders kritisch wäre, und für diese gezielt alternative Bezugsquellen evaluieren. Dazu kann gehören, eine Lieferantenliste mit geprüften Zweitanbietern zu pflegen, Rahmenverträge vorzubereiten oder vereinbarte Notfallmengen zu definieren, die im Bedarfsfall abgerufen werden können. Eine Möglichkeit ist es, Testbestellungen bei alternativen Anbietern durchzuführen, um Qualität, Liefergeschwindigkeit und Kommunikationswege zu erproben. Ebenso kann es hilfreich sein, technische Spezifikationen so zu gestalten, dass mehrere Anbieter kompatible Produkte liefern können, um Lock-in-Effekte zu vermeiden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Kompensierende Kontrollmechanismen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.8.3 Grundschutz++ BES.8.3 Ressourcensouveränität Beschaffungsmanagement für Outsourcing KANN ausreichende interne Ressourcen für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages zuweisen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ausreichende interne Ressourcen", "definitions": {}}, "guidance": "Die Bereithaltung ausreichender interner Ressourcen zielt hier darauf ab, für den Fall einer plötzlichen Einstellung der beschafften Dienste ausreichend ausgestattet zu sein, um einer übermäßigen Abhängigkeit gegenüber den Anbietenden von Outsourcing vorzubeugen. Zu den notwendigen Ressourcen gehört sowohl Personal, welches für die bei einem Ausfall des Dienstleisters erforderlichen Aufgaben qualifiziert ist, als auch die für diese Aufgaben erforderliche Infrastruktur (z.B. IT-Systeme, Anwendungslizenzen, Zugänge und Berechtigungen).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Kompensierende Kontrollmechanismen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsprozesse", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall einer geplanten oder ungeplanten Beendigung des Vertrages", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.8.4 Grundschutz++ BES.8.4 Individuelle Implementierung kritischer Komponenten Beschaffungsmanagement für IT-Produkte KANN eine eigens für die Institution entwickelte Implementierung kritischer Komponenten vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine eigens für die Institution entwickelte Implementierung kritischer Komponenten", "definitions": {}}, "guidance": "Dient dazu das Risiko zu mindern, dass sicherheitsrelevante Funktionen oder Integrationspunkte ungeeignet, unvollständig oder von Drittanbietern unzureichend abgesichert bereitgestellt werden. Kritische Komponenten sind dabei jene Hardware- oder Software-Bestandteile, deren Ausfall, Kompromittierung oder Fehlfunktion wesentliche Geschäftsprozesse beeinträchtigen oder sensible Daten gefährden könnte – etwa Kryptomodule, Authentifizierungsmechanismen, Schnittstellen zur Anbindung an interne Systeme oder sicherheitsrelevante Konfigurationsbausteine. Ohne gezielte Einflussnahme bei der Beschaffung könnte es beispielsweise vorkommen, dass ein Standardprodukt mit unsicheren Voreinstellungen geliefert wird, ein Modul nicht die für den Einsatzzweck erforderliche Verschlüsselung unterstützt oder herstellerseitige Updates nicht zeitnah bereitgestellt werden. Andererseits bergen selbst entwickelte Komponenten gegenüber Standardbeschaffungen das Risiko, dass die Eigenentwicklungen unzureichend getestet oder im Einsatz erprobt wurden. Daher ist vor einer Eigenentwicklung eine Risikoabschätzung sinnvoll. Typischerweise lohnt eine Eigenentwicklung sich nur wenn erhebliche Ressourcen für deren Absicherung vorhanden sind und der Vertraulichkeit oder Integrität eine stark erhöhte Bedeutung im Vergleich zu Standardprodukten zukommt. Eine Institution kann bei der Umsetzung dieser Anforderung gezielt in den Beschaffungsvertrag aufnehmen, dass bestimmte Komponenten nach definierten Vorgaben angepasst, gehärtet oder erweitert werden – beispielsweise eine erweiterte Protokollierungsfunktion in einer Verwaltungssoftware, eine abgesicherte Firmware-Konfiguration bei Netzwerkgeräten oder die Integration zusätzlicher Prüfmechanismen in eine Schnittstellen-API.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Kompensierende Kontrollmechanismen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:BES.8.5 Grundschutz++ BES.8.5 Treuhand Beschaffungsmanagement für Dienstleistungen KANN ESCROW- bzw. Treuhandverträge vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ESCROW- bzw. Treuhandverträge", "definitions": {}}, "guidance": "ESCROW- bzw. Treuhandverträge regeln die Verwertungs- und Bearbeitungsrechte (z.B. für eine Software sowie Herausgabefälle des Quellcodes) für den Fall, dass es zu Streitigkeiten oder Ausfällen der Dienstleister kommt. Hierzu gehören auch ggf. zur Nutzung erforderliche Begleitunterlagen oder Zugangsmittel wie Schlüssel oder Passwörter. Außerdem ist es zweckmäßig, vertraglich festzulegen, wie häufig Daten (z.B. Quellcode) hinterlegt und dokumentiert werden. Auch eine Regelung bzgl. der Geheimhaltungspflichten im Vertrag ist zu empfehlen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Beschaffungsmanagement / Kompensierende Kontrollmechanismen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Beschaffungskriterien", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.1.1 Grundschutz++ DLS.1.1 Verfahren und Regelungen Dienstleistersteuerung MUSS ein Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen verankern. MUSS BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Steuerung und geordneten Beendigung von Dienstleistungsverträgen", "definitions": {}}, "guidance": "Hierzu gehört die Kontrolle der Einhaltung von Vereinbarungen zur Sicherheit mit Dienstleistern und (falls erforderlich) einen geeigneten Weg für die Beendigung von Verträgen vorzubereiten. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Dienstleistersteuerung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.1.1.1 Grundschutz++ DLS.1.1.1 Dokumentation Dienstleistersteuerung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Dienstleistersteuerung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} DLS.1.1 \N \N \N +Grundschutz++:DLS.1.1.2 Grundschutz++ DLS.1.1.2 Zuweisung der Aufgaben Dienstleistersteuerung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Dienstleistersteuerung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} DLS.1.1 \N \N \N +Grundschutz++:DLS.1.1.3 Grundschutz++ DLS.1.1.3 Bekanntgabe Dienstleistersteuerung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Dienstleistersteuerung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} DLS.1.1 \N \N \N +Grundschutz++:DLS.1.2 Grundschutz++ DLS.1.2 Regelmäßige Überprüfung Dienstleistersteuerung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Dienstleistersteuerung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.2.1 Grundschutz++ DLS.2.1 Mehr-Faktor-Authentifizierung Dienstleistersteuerung für Dienstleistungen SOLLTE Mehr-Faktor-Authentifizierung bei Login in Online-Dienste aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Mehr-Faktor-Authentifizierung", "definitions": {}}, "guidance": "Online-Dienste wie die Verwaltung von TK-Rufnummern oder Cloud-Office-Anwendungen sind ein beliebtes Ziel für Angriffe durch Phishing oder Datenleaks. Sichern Sie diese Zugänge mit Mehr-Faktor-Authentifizierung (z.B. OTP) ab.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Nutzung von digitalen Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Login in Online-Dienste", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.2.2 Grundschutz++ DLS.2.2 Transportverschlüsselung Dienstleistersteuerung für Daten SOLLTE den Transport bei der Übertragung zum Anbieter nach einem anerkannten Standard verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Transport", "definitions": {}}, "guidance": "„Transport“ bedeutet hier der technische Vorgang der Datenübertragung zwischen der Institution und dem Dienstleister, also etwa über das Internet oder dedizierte Leitungen. Der Sinn dieser Vorschrift liegt darin, die Vertraulichkeit und Integrität von Informationen zu schützen, wenn sie in fremde Infrastrukturen überführt werden. Ohne eine solche Maßnahme könnte ein Angreifer Daten während der Übertragung abfangen oder manipulieren, beispielsweise über „Man-in-the-Middle“-Angriffe oder durch Abhören unsicherer Netze. Da beschaffte Dienstleistungen typischerweise außerhalb der direkten Kontrolle der Institution liegen, gibt es hier eine eigene Vorgabe, um die besondere Risikosituation beim Übergang von interner zu externer Infrastruktur gezielt abzusichern. Eine Institution kann die Anforderung praktisch umsetzen, indem sie (1) den Einsatz von Protokollen wie TLS in allen Web- und API-basierten Schnittstellen zum Anbieter sicherstellt, (2) für administrative Zugänge oder besonders sensible Datenübertragungen zusätzlich VPN-Verbindungen nutzen kann, und (3) Zertifikatsprüfungen so konfiguriert, dass unsichere oder abgelaufene Zertifikate nicht akzeptiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Nutzung von digitalen Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Übertragung zum Anbieter nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.2.3 Grundschutz++ DLS.2.3 Vollverschlüsselung Dienstleistersteuerung für Daten KANN diese, wenn der Anbieter deren Inhalt zur Vertragserbringung nicht kennen muss, für diesen nicht entschlüsselbar vor der Übertragung zum Dienstleister verschlüsseln. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese, wenn der Anbieter deren Inhalt zur Vertragserbringung nicht kennen muss, für diesen nicht entschlüsselbar", "definitions": {}}, "guidance": "Hierbei handelt es sich um eine Verschlüsselung at-rest, bei welcher der Dienstleister keinen Zugang zum Schlüssel erhält. Die Umsetzung kann z.B. auf Dateiebene oder durch Container erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Dienstleistersteuerung / Nutzung von digitalen Dienstleistungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Übertragung zum Dienstleister", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.3.1 Grundschutz++ DLS.3.1 Einhaltung der Sicherheitsvorgaben Dienstleistersteuerung für Dienstleistungen SOLLTE die Einhaltung der Sicherheitsvorgaben durch den Dienstleister regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einhaltung der Sicherheitsvorgaben durch den Dienstleister", "definitions": {}}, "guidance": "Hierzu ist zu prüfen, ob Anzeichen vorliegen, dass der Dienstleister die im Vertrag geforderten Vorgaben nicht einhält und falls erforderlich Gegenmaßnahmen einzuleiten. Die Prüfung kann z.B. Zertifikate, regelmäßige Stichproben oder das Monitoring von Datenleaks vorsehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Liste der Hersteller und Dienstleister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +SCF:AAT-29.21 SCF AAT-29.21 Explainability Mechanisms exist to:\r\n(1) Provide human-understandable explanations for significant AI agent actions or decisions; and \r\n(2) Enable users to contest outcomes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.21_AAT-29.21_A01", "name": "assessment-objective", "prose": "human-understandable explanations for significant AI agent actions or decisions are provided to users."}, {"id": "AAT-29.21_AAT-29.21_A02", "name": "assessment-objective", "prose": "end users are able to contest AI agent-generated outcomes."}]} \N \N \N \N +Grundschutz++:DLS.3.1.1 Grundschutz++ DLS.3.1.1 Audit oder Zertifikat Dienstleistersteuerung für Outsourcing SOLLTE die Einhaltung der Sicherheitsvorgaben anhand eines Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einhaltung der Sicherheitsvorgaben anhand eines {{Audits, Zertifikates oder vergleichbaren Sicherheitsnachweises}}", "definitions": {}}, "guidance": "„Audit“ bezeichnet in diesem Zusammenhang eine systematische, unabhängige Überprüfung der vereinbarten Sicherheitsmaßnahmen durch fachkundige Dritte, beispielsweise in Form interner oder externer Prüfungen mit dokumentierten Ergebnissen. Ein „Zertifikat“ ist ein formaler Nachweis einer akkreditierten Prüfstelle, dass ein Dienstleister ein anerkanntes Sicherheitsframework eingehalten hat, wie etwa IT-Grundschutz oder ISO/IEC 27001. Ein „vergleichbarer Sicherheitsnachweis“ kann auch ein Prüfbericht, ein BSI C5-Testat oder eine Bestätigung unabhängiger Gutachter sein, sofern er inhaltlich nachvollziehbar darlegt, dass definierte Sicherheitsanforderungen wirksam umgesetzt wurden. Ohne Nachweise könnte ein Dienstleister vereinbarte Sicherheitsmaßnahmen vernachlässigen, was zu unbemerkten Datenabflüssen, unzureichendem Patch-Management oder Ausfällen durch mangelhafte Notfallvorsorge führen könnte. Durch nachvollziehbare Prüfungen kann dagegen erreicht werden, dass Sicherheitsstandards eingehalten werden, Schwachstellen frühzeitig sichtbar werden und ein belastbares Vertrauen in die Dienstleisterbeziehung entsteht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Auslagerungsregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} DLS.3.1 \N \N \N +Grundschutz++:DLS.3.2 Grundschutz++ DLS.3.2 Checkup Dienstleistersteuerung für Outsourcing KANN die risikoorientierte Entscheidung über Outsourcing auf Grundlage der Geschäftsprozessprofile auf Änderungen der Gefährdungslage oder Prozessinhalte regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die risikoorientierte Entscheidung über Outsourcing auf Grundlage der Geschäftsprozessprofile", "definitions": {}}, "guidance": "Die risikoorientierte Entscheidung über Outsourcing kann in diesem Kontext als wiederkehrende Bewertung der Abhängigkeiten und Gefahren verstanden werden, die durch externe Dienstleister in den Geschäftsprozessen einer Institution entstehen. Der Parameter regelmäßig kann je nach Kritikalität der ausgelagerten Prozesse sinnvoll mit Werten wie halbjährlich, jährlich oder nach definierten Ereignissen (z. B. Einführung neuer regulatorischer Vorgaben oder Sicherheitsvorfälle) ausgefüllt werden. Änderungen der Gefährdungslage beziehen sich auf die dynamische Entwicklung von Bedrohungen wie Cyberangriffe, Lieferkettenstörungen oder neue regulatorische Anforderungen, während Änderungen der Prozessinhalte vor allem die Anpassung oder Erweiterung der durch Dienstleister erbrachten Leistungen umfassen. Der Zweck dieser Vorschrift liegt darin, frühzeitig sicherzustellen, dass die bisherigen Risikoeinschätzungen und Dienstleistervereinbarungen weiterhin tragfähig sind und nicht durch externe Veränderungen entwertet werden. Ohne eine solche Überprüfung könnte beispielsweise ein Dienstleister aufgrund verschärfter Bedrohungen unzureichenden Schutz bieten oder durch eine stillschweigende Ausweitung von Leistungen in Bereiche gelangen, die ursprünglich nicht risikobewertet wurden. Eine regelmäßige Kontrolle kann dagegen dafür sorgen, dass Risiken durch Outsourcing transparent bleiben und rechtzeitig nachjustiert werden. Zur praktischen Umsetzung kann eine Institution beispielsweise (1) eine Checkliste führen, die bei jeder Neubewertung konkrete Aspekte wie Datenlokation, technische Sicherheitsmaßnahmen oder Zertifikatsgültigkeiten abfragt und (2) ein automatisiertes Monitoring nutzen, das öffentliche Sicherheitsnachweise wie Testate nach BSI C5 oder SOC-Reports erfasst und in die Bewertung einbindet. Auch die Nutzung von Incident-Datenbanken oder branchenspezifischen Threat-Feeds kann helfen, Gefährdungslagen aktuell einzuschätzen. Ein bewährter Tipp ist es, nicht nur formale Unterlagen zu prüfen, sondern auch technische Stichproben durchzuführen, etwa in Form von Konfigurationsprüfungen oder Penetrationstests, sofern dies durch den Dienstleister gestattet wird. Damit kann die Institution sicherstellen, dass die theoretische Risikoabwägung durch reale Prüfungen gestützt wird und sich an tatsächlichen Veränderungen orientiert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Änderungen der Gefährdungslage oder Prozessinhalte {{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.3.3 Grundschutz++ DLS.3.3 Strategie-Check Dienstleistersteuerung für Outsourcing KANN die Strategie auf Vollständigkeit und Korrektheit in Bezug auf die betrachteten Geschäftsprozesse bei Änderungen der Geschäftsprozessprofile überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Strategie auf Vollständigkeit und Korrektheit in Bezug auf die betrachteten Geschäftsprozesse", "definitions": {}}, "guidance": "Vollständigkeit bedeutet hier, dass die Gesamtheit der ausgelagerten Prozesse erfasst, beschrieben und in ihrer Abhängigkeit zu internen Prozessen berücksichtigt ist. Korrektheit meint, dass die Beschreibungen, Schnittstellen und Verantwortlichkeiten zwischen Institution und Dienstleister sachlich richtig, aktuell und belastbar dokumentiert sind. Zur Umsetzung kann eine Institution strukturierte Verfahren einführen, die bei Änderungen in den Prozessprofilen automatisch eine Prüfung des Outsourcing-Setups auslösen. Dies kann z. B. durch Abgleich der aktuellen Servicebeschreibungen mit Prozesslandkarten erfolgen, sodass fehlende oder doppelt definierte Zuständigkeiten sichtbar werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Änderungen der Geschäftsprozessprofile", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.3.4 Grundschutz++ DLS.3.4 Anhörung Dienstleistersteuerung für Outsourcing SOLLTE den Dienstleister zu Sicherheitsmaßnahmen für betroffene Zielobjekte anhören. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Dienstleister zu Sicherheitsmaßnahmen für betroffene Zielobjekte", "definitions": {}}, "guidance": "Betroffen sind alle Zielobjekte, zu denen vom Dienstleister (Teil-)Leistungen erbracht werden. Für eine Anhörung ist es erforderlich, dass der Dienstleister über die geplanten Maßnahmen informiert ist und ausreichend Gelegenheit zur Stellungnahme erhält.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anhören", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.3.5 Grundschutz++ DLS.3.5 Blockierung unzuverlässiger Dienstleister Dienstleistersteuerung SOLLTE unzuverlässige Dienstleister oder Subdienstleister blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "unzuverlässige Dienstleister oder Subdienstleister", "definitions": {}}, "guidance": "Ein Dienstleister gilt als unzuverlässig, wenn zukünftig mit Verstößen gegen die Schutzziele Vertraulichkeit, Verfügbarkeit oder Integrität durch ihn zu rechnen ist (d.h. eine Prognose der Vertrauenswürdigkeit). Dies ist insbesondere dann der Fall, wenn erhebliche Verstöße gegen die Schutzziele bereits durch ihn begangen wurden oder Anzeichen dafür vorliegen, dass bei einer weiteren Verwendung mit solchen Verstößen zu rechnen ist. Beispielsweise kann dies eintreten, wenn die Verwendung des DNS-Servers eines wirtschaftlichen Konkurrenten diesem die schützenswerten Adressen von der Institution besuchter Internetseiten ausliefert oder eine Behörde Software mit Internetzugriff einsetzen möchte, die jedoch von einem Hersteller stammt, dessen Hauptsitz in einem öffentlich für politische Spionage bekannten Staat liegt. Dies kann durch eine Liste blockierter Vertragspartner umgesetzt werden. Eine Umsetzung für Subdienstleister kann z.B. durch die Benennung autorisierter Subdienstleister, oder die Weitergabe von Kriterien für Subdienstleister an den Dienstleister erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Beschaffung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.3.6 Grundschutz++ DLS.3.6 Portabilität Dienstleistersteuerung für Outsourcing KANN die Portabilität des ausgelagerten Prozesses regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Portabilität des ausgelagerten Prozesses", "definitions": {}}, "guidance": "Hierunter ist zu verstehen, dass regelmäßig ein Test durchgeführt wird, bei dem die Funktionsfähigkeit des ausgelagerten (Teil-) Prozesses in einer Umgebung, die nicht bei diesem Dienstleister liegt, überprüft wird. Ziel ist es sicherzustellen, dass der Prozess bei einem Ausfall des Dienstleisters an anderer Stelle zeitnah gestartet werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Dienstleistersteuerung / Kontrolle von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.4.1 Grundschutz++ DLS.4.1 Dekomissionierung Dienstleistersteuerung für Dienstleistungen SOLLTE eine Vorgehensweise zur Dekommissionierung vor Vertragsende verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zur Dekommissionierung", "definitions": {}}, "guidance": "Der Begriff Dekommissionierung bezeichnet hier das strukturierte und nachweisbare Vorgehen, wie eine Institution die Nutzung eines Dienstes oder die Zusammenarbeit mit einem Dienstleister kontrolliert beendet, ohne dass Informationssicherheit, Verfügbarkeit oder Nachvollziehbarkeit beeinträchtigt werden. Der Sinn dieser Vorgabe liegt darin, Risiken wie den unkontrollierten Verbleib sensibler Daten bei einem Dienstleister oder unerkannte Abhängigkeiten von dessen Infrastruktur zu vermeiden. Ohne ein definiertes Vorgehen könnte etwa ein Anbieter weiterhin Zugriff auf produktive Systeme behalten oder Kopien vertraulicher Daten in seiner Umgebung zurückhalten, was ein erhebliches Risiko darstellen könnte. Die praktische Umsetzung kann in mehreren abgestuften Maßnahmen bestehen: (1) Ein geplanter Abschalttermin kann genutzt werden, um Systeme, Schnittstellen und Berechtigungen kontrolliert zurückzubauen und anschließend durch ein Freigabeprotokoll zu bestätigen. (2) Ein Prozessleitfaden kann die frühzeitige Identifikation von zu dekommissionierenden Schnittstellen, Zugangsdaten und Subdienstleistern vorsehen, damit deren Abschaltung rechtzeitig koordiniert werden kann. (3) Eine Checkliste kann sicherstellen, dass auch weniger offensichtliche Abhängigkeiten – etwa hinterlegte API-Tokens, Support-Zugänge oder im Monitoring integrierte Endpunkte – im Abschlussprozess berücksichtigt werden. (4) Technisch kann die Nutzung von zentral verwalteten Zugriffskonten und Logging-Systemen die Überprüfung erleichtern, ob ein Dienstleister nach der Deaktivierung tatsächlich keinen Zugriff mehr hat. Auf diese Weise kann die Institution die Dienstleistersteuerung auch vorzeitig geordnet beenden, ohne dass Informationssicherheitsrisiken unkontrolliert fortbestehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Dekommissionierung von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor Vertragsende", "definitions": {}}} \N \N \N \N +Grundschutz++:DLS.4.1.2 Grundschutz++ DLS.4.1.2 Berechtigungen deaktivieren Dienstleistersteuerung für Dienstleistungen SOLLTE für den Vertrag benötigte Berechtigungen bei Vertragsende unverzüglich deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Exit-Strategie", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für den Vertrag benötigte Berechtigungen", "definitions": {}}, "guidance": "Berechtigungen sind hier alle Zugangs-, Zutritts- und Zugriffsrechte, die von der Institution für Mitarbeitende, Organisationseinheiten oder Subunternehmer des Dienstleisters eingerichtet oder geändert wurden. Hierzu können diese Rechte gelöscht, deaktiviert oder reduziert werden, soweit sie nicht mehr (z.B. für andere Verträge) benötigt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Dienstleistersteuerung / Dekommissionierung von Dienstleistern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Vertragsende unverzüglich", "definitions": {}}} DLS.4.1 \N \N \N +Grundschutz++:TEST.1.1 Grundschutz++ TEST.1.1 Verfahren und Regelungen Änderungen und Tests MUSS Verfahren und Regelungen zum Management von Neueinführungen, Änderungen oder der Entfernung von Komponenten für den Informationsverbund, pro Geschäftsprozess oder pro IT-System verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum Management von Neueinführungen, Änderungen oder der Entfernung von Komponenten", "definitions": {}}, "guidance": "Verfahren und Regelungen beschreiben die formalisierten Abläufe, nach denen Änderungen an informationstechnischen Komponenten – also Hardware, Software oder Konfigurationen – geplant, bewertet, genehmigt und umgesetzt werden; im Englischen ist hier oft von Change Management Procedures die Rede. Weil moderne Infrastrukturen komplexe Abhängigkeiten haben, könnten Änderungen an Systemen und Anwendungen sonst zu unbeabsichtigten Ausfällen oder Sicherheitslücken führen. Dies betrifft auch die Neueinführung von Systemen oder Anwendungen in den Informationsverbund, oder deren Entfernung. Das Ziel der Änderung können Sicherheitsaktualisierungen ebenso wie funktionelle Änderungen sein, da sich auch vermeintlich rein funktionelle Änderungen häufig auf die Sicherheit auswirken. KPI zur Leistungsmessung können z.B. die Fehlerquote bei Änderungen (CFR), die mittlere Wiederherstellungszeit (MTTR) und die Vorlaufzeit für Änderungen (Lead Time) sein. Die Verfahren und Regelungen können dabei entweder einheitlich für den gesamten Informationsverbund, oder alternativ pro Geschäftsprozess oder (Kategorie von) IT-System festgelegt werden, um spezifischen Risiken oder Kontexten gerecht zu werden. Die Umsetzung kann in einem eigenen Prozess, oder integriert in andere Prozesse und Aufgaben, erfolgen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{für den Informationsverbund, pro Geschäftsprozess oder pro IT-System}}", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.1.1.1 Grundschutz++ TEST.1.1.1 Dokumentation Änderungen und Tests MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} TEST.1.1 \N \N \N +Grundschutz++:TEST.1.1.2 Grundschutz++ TEST.1.1.2 Zuweisung der Aufgaben Änderungen und Tests MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} TEST.1.1 \N \N \N +Grundschutz++:TEST.1.1.3 Grundschutz++ TEST.1.1.3 Bekanntgabe Änderungen und Tests MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} TEST.1.1 \N \N \N +Grundschutz++:TEST.3.1.7 Grundschutz++ TEST.3.1.7 Analyse der Zusammensetzung Änderungen und Tests KANN die Zusammensetzung der Änderungen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zusammensetzung der Änderungen", "definitions": {}}, "guidance": "Eine Analyse der Zusammensetzung (Composition Analysis) ist die systematische Untersuchung und Bewertung der Bestandteile einer Software oder eines Systems – insbesondere in Bezug auf deren Herkunft, Eigenschaften und potenzielle Schwachstellen. Hierzu können auch (teil-)automatisierte Lösungen eingesetzt werden, z.B. können SBOMs in eine Plattform zur Verwaltung von Schwachstellen importiert werden, die eine Bereitstellung blockiert, wenn eine CVSS ≥ 9.0-Schwachstelle keine kompensierende Maßnahme hat.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.1.2 Grundschutz++ TEST.1.2 Regelmäßige Überprüfung Änderungen und Tests MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.1.3 Grundschutz++ TEST.1.3 Einschränkung von Änderungen Änderungen und Tests SOLLTE die Durchführung von Änderungen auf Administrierende einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Durchführung von Änderungen", "definitions": {}}, "guidance": "Ziel ist es, zu verhindern, dass unautorisierte Personen Eingriffe in produktive Systeme vornehmen. Ohne diese Einschränkung könnte Schadcode eingeschleust werden, Konfigurationen unbeabsichtigt verändert oder sensible Daten offengelegt werden. Die klare Zuweisung an Administrierende kann gleichzeitig sicherstellen, dass Änderungen nachvollziehbar und fachgerecht durchgeführt werden, wodurch die Stabilität und Verfügbarkeit von Systemen geschützt werden kann. Eine Institution kann die Anforderung beispielsweise durch folgende Maßnahmen umsetzen: (1) Verwendung von Rollenkonzepten, bei denen nur Administrierende Schreibrechte in produktiven Systemen besitzen, während anderen Rollen lediglich Leserechte eingeräumt werden können, (2) Einsatz von Testumgebungen oder Sandbox-Systemen, in denen auch Nicht-Administrierende Änderungen gefahrlos vorbereiten und dokumentieren können, (3) Einführung von Change-Management-Workflows mit Genehmigungsschritten, so dass Administrierende Änderungen erst nach dokumentierter Prüfung umsetzen können, und (4) Einsatz von technischen Kontrollmechanismen wie „Just-in-Time“-Privilegien oder Protokollierung von administrativen Sitzungen, wodurch die Nachvollziehbarkeit und Integrität der Änderungen verbessert werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Administrierende", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.2.1 Grundschutz++ TEST.2.1 Versionshistorie Änderungen und Tests SOLLTE eine Versionshistorie wesentlicher Änderungen protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Versionshistorie", "definitions": {}}, "guidance": "Wesentlich sind Änderungen, wenn sie Auswirkungen auf die Informationssicherheit von Produktivsystemen und -anwendungen haben können, die über eine geringe Anzahl von Nutzenden hinausgeht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Vorbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "wesentlicher Änderungen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.2.2 Grundschutz++ TEST.2.2 Folgenabschätzung Änderungen und Tests für Administrierende SOLLTE zu einer strukturierten Folgenabschätzung vor wesentlichen Änderungen anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu einer strukturierten Folgenabschätzung", "definitions": {}}, "guidance": "Sinnvoll ist es die Ausführlichkeit der Folgenabschätzung an Umfang und Reichweite der Änderungen, sowie dem Risikoprofil betroffener Assets zu orientieren: Empfehlenswert ist es die Änderungen je nach Abschätzung der Folgen in Klassen einzusortieren (z.B. Geringe Auswirkungen, Mittlere Auswirkungen, Hohe Auswirkungen) und die weitere Prüftiefe nach dieser Einstufung auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Vorbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor wesentlichen Änderungen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.4.4 Grundschutz++ TEST.4.4 Geregelte Notfalländerungen Änderungen und Tests SOLLTE Regelungen für Notfalländerungen einschließlich Vorgehensweise, Zuständigkeiten, erforderlicher Ressourcen und minimaler Prüfschritte verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen für Notfalländerungen", "definitions": {}}, "guidance": "Ein Notfall-Deployment-Prozess ermöglicht eine schnelle Reaktion auf akute Bedrohungen. Als Notfall-Ereignisse kommen z.B. Zero-Day-Exploits, kritische Sicherheitslücken mit aktiver Ausnutzung, schwerwiegende Produktionsfehler mit Geschäftsauswirkungen oder koordinierte Cyberangriffe in Frage. Zu einer strukturierten Vorgehensweise können z.B. gehören: (1) Ein Eskalationsverfahren mit definierten Kommunikationswegen, z.B. zum ISB und Administrierenden, welche über Rufbereitschaftspläne und automatisierte Alarmierungssysteme erreichbar sind und Zugriffsrechte auf isolierte Notfall-Deployment-Umgebungen, vorkonfigurierte Rollback-Mechanismen sowie dedizierte Notfall-Builds mit minimalen Abhängigkeiten besitzen. (2) Minimale Prüfschritte können z.B. eine beschleunigte Sicherheitsvalidierung kritischer Codeänderungen, automatisierte Sicherheitsscans zur Identifikation offensichtlicher Schwachstellen, die Verifizierung der Code-Integrität durch mindestens zwei autorisierte Personen nach dem Vier-Augen-Prinzip sowie ein dokumentierter Genehmigungsprozess mit expliziter Abzeichnung durch den CISO oder einen designierten Stellvertreter sein. (3) Eine Nachbereitung mit Post-Incident-Analyse zur Dokumentation der getroffenen Maßnahmen, identifizierten Verbesserungspotenzialen und notwendigen Nacharbeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Vorgehensweise, Zuständigkeiten, erforderlicher Ressourcen und minimaler Prüfschritte", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.8.3 Grundschutz++ GEB.8.3 Schutz der Datenträger vor Brandschäden Gebäudemanagement für Standorte KANN feuerfeste Behältnisse nach einem anerkannten Standard installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Langzeitarchivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "feuerfeste Behältnisse", "definitions": {}}, "guidance": "Datenträgerarchive sind bei Bränden besonders schützenswert, da hier häufig die langzeitig kritischen Daten gelagert werden. Kann durch Brandschutzschränke oder Datensafes umgesetzt werden, die nach DIN EN 1047-1 oder ISO 11799 zertifiziert sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Verwahrung von Speichermedien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.2.2.1 Grundschutz++ TEST.2.2.1 Kategorisierung von Änderungen Änderungen und Tests SOLLTE Änderungsvorhaben einer Kategorie zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungsvorhaben einer Kategorie", "definitions": {}}, "guidance": "Dabei werden Änderungen je nach Abschätzung der Folgen in Kategorien einsortiert, die im Verhältnis zu den möglichen Auswirkungen stehen (z.B. Geringe Auswirkungen, Mittlere Auswirkungen, Hohe Auswirkungen). Umfang und Tiefe der weiterer Prüfungen kann dann nach dieser Einstufung ausgerichtet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Vorbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} TEST.2.2 \N \N \N +Grundschutz++:TEST.2.2.2 Grundschutz++ TEST.2.2.2 Anpassung der Dokumentation Änderungen und Tests SOLLTE die geplanten Änderungen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die geplanten Änderungen", "definitions": {}}, "guidance": "Je nach Inhalt der Änderung können hierzu Konfigurationsdateien, Sicherheitsrichtlinien, oder begleitende Dokumente wie ein IT-Betriebshandbuch oder für Nutzende gedachte Anwenderhandbücher oder Wikis gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Vorbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Ergebnisprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} TEST.2.2 \N \N \N +Grundschutz++:TEST.2.2.3 Grundschutz++ TEST.2.2.3 Dokumentation der Abhängigkeiten Änderungen und Tests SOLLTE von der Änderung betroffene Abhängigkeiten dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "von der Änderung betroffene Abhängigkeiten", "definitions": {}}, "guidance": "Betroffene Abhängigkeiten sind sowohl alle Systeme und Anwendungen, die durch die geplanten Änderungen beeinflusst werden könnten, als auch die Abhängigkeiten der zu ändernden Systeme oder Anwendungen selbst (Up- and Downstream Dependency Management). Hierzu können z.B. Programmquellbibliotheken, angebundene Systeme, Netzanbindungen oder Anwendungen zählen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Vorbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Systemdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} TEST.2.2 \N \N \N +Grundschutz++:TEST.3.1 Grundschutz++ TEST.3.1 Sicherheitstest Änderungen und Tests SOLLTE vor wesentlichen Änderungen die Einhaltung der Sicherheitsanforderungen testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "vor wesentlichen Änderungen die Einhaltung der Sicherheitsanforderungen", "definitions": {}}, "guidance": "Änderungen sind wesentlich, wenn sie die Informationssicherheit von Produktivsystemen und -anwendungen betreffen und über eine geringe Anzahl von Nutzenden hinaus Auswirkungen haben können. Dabei sind sowohl die Sicherheitsanforderungen relevant, die direkt durch IT-Produkte umgesetzt werden (technische Anforderungen), als auch die prozessualen Anforderungen, die von der Änderung betroffen sind, etwa zur Überwachung von Ereignissen oder zur Sensibilisierung des Personals. Die Sicherheitsanforderungen ergeben sich aus den für das jeweilige Zielobjekt geltenden Vorgaben aus allen Praktiken. Sowohl die Funktionalität einzelner Module als auch das Zusammenspiel von Schnittstellen ist wichtig, um Sicherheitslücken frühzeitig zu erkennen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.3.1.1 Grundschutz++ TEST.3.1.1 Dokumentation von Testergebnissen Änderungen und Tests SOLLTE Tests einschließlich Prüfschritte, Ergebnissen und ggf. vorgenommenen Korrekturen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Tests", "definitions": {}}, "guidance": "Die Dokumentation von Tests zielt primär darauf ab, Transparenz und Nachvollziehbarkeit bei Änderungen zu gewährleisten, was das Risiko unbeabsichtigter Sicherheitslücken, Systemausfälle oder Datenverluste erheblich reduzieren kann. Ohne strukturierte Testdokumentation könnten beispielsweise fehlerhafte Konfigurationsänderungen unbemerkt in Produktivsysteme gelangen, was potenziell zu Verfügbarkeitsstörungen, verfälschten Daten oder kompromittierten Anwendungen führen könnte. Ein dokumentierter Testprozess ermöglicht zudem eine effektive Ursachenanalyse bei auftretenden Störungen, da alle durchgeführten Änderungen mit ihren beabsichtigten Wirkungen transparent nachvollzogen werden können. Eine nachvollziehbare und digital strukturierte Verknüpfung von Anforderung zu Prüfschritt und Prüfergebnissen kann durch OSCAL-Dokumente als strukturierte Daten erstellt werden. Gezielte Tests vor wesentlichen Änderungen tragen dazu bei, unbeabsichtigte Schwachstellen zu vermeiden, die zu unbefugtem Datenzugriff, Verlust von Geschäftsinformationen oder Ausfällen kritischer Systeme führen könnten. Je nach Art und Umfang der Änderungen lassen sich beispielsweise physische Zustände oder die Ausführung von Systemfunktionen verifizieren. Dabei werden sowohl die gewünschten Sicherheitsfunktionen als auch unerwünschte Zustände getestet, zum Beispiel, dass keine unautorisierten Funktionen aktiviert sind oder Apps ungewollt mit unbekannten Internetservern kommunizieren. Anwendbare Testarten umfassen statische und dynamische Tests, Unit- und Integrationstests sowie Regressionstests. Relevant ist dabei sowohl das Testen von manuellen Eingaben über die Benutzerschnittstelle als auch der Zugriffe über das Netzwerk, etwa über eine API. Die Tests können automatisiert (z. B. Unit-Tests, CI/CD-Tests, Schwachstellenscanner) oder manuell unterstützt (z. B. Click-Tests oder die Auswertung von LLM-Zusammenfassungen) durchgeführt werden. Sinnvoll ist es, automatische Tests für alle Funktionen und Codepfade einzusetzen, ergänzt durch manuelle Tests der wichtigsten Funktionen, wie Authentifizierung und Verschlüsselung, sowie durch Stichproben der übrigen Funktionen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Prüfschritte, Ergebnissen und ggf. vorgenommenen Korrekturen", "definitions": {}}} TEST.3.1 \N \N \N +SCF:AAT-29.22 SCF AAT-29.22 Ethics, Fairness & Bias Detection Mechanisms exist to detect unfair, unethical or biased AI agent actions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.22_AAT-29.22_A01", "name": "assessment-objective", "prose": "the organization has the capability to identify unfair, unethical or biased AI agent actions."}]} \N \N \N \N +Grundschutz++:TEST.3.1.2 Grundschutz++ TEST.3.1.2 Integritätstest Änderungen und Tests SOLLTE die Integrität von Installationsdateien testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Integrität von Installationsdateien", "definitions": {}}, "guidance": "Dies kann z.B. durch Vergleich von Prüfsummen geschehen. Wenn möglich ist der Einsatz automatisierter Prüfungen empfehlenswert, es kann aber auch ein manueller Abgleich z.B. mit der Herstellerwebseite erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.3 Grundschutz++ TEST.3.1.3 Testdaten Änderungen und Tests SOLLTE die Testfälle abdeckende, aber unkritische Testdaten verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Testfälle abdeckende, aber unkritische Testdaten", "definitions": {}}, "guidance": "Testdaten (engl. test data) sind synthetisch erstellte oder abstrahierte Daten, die zur Durchführung von Testfällen genutzt werden. „Unkritisch“ bedeutet hier, dass die Daten keinen schützenswerten Daten wie Geschäftsgeheimnisse oder sicherheitsrelevanten Konfigurationsdetails enthalten. Testfälle (engl. test cases) sind vorab definierte Szenarien oder Abläufe, die das Verhalten einer Anwendung oder eines Systems gezielt prüfen sollen. Der Zweck der Anforderung liegt darin, sicherzustellen, dass Testaktivitäten einerseits realistische Bedingungen nachbilden, andererseits aber keine Risiken durch unbeabsichtigte Preisgabe oder Manipulation produktiver Daten entstehen. Ein Vorfall könnte beispielsweise darin bestehen, dass versehentlich echte Kundendaten in einer Testumgebung landen und durch unzureichende Sicherung Dritten zugänglich werden; durch den Einsatz unkritischer Testdaten kann dieses Risiko vermieden und dennoch die Qualität der Tests gewährleistet werden. Eine Institution kann die Anforderung praktisch umsetzen, indem sie Testdatensätze automatisiert generieren lässt, etwa durch Anonymisierung oder Pseudonymisierung produktiver Daten oder durch die Nutzung von Zufallswerten, die für Testlogik realistisch wirken. Zusätzlich kann es hilfreich sein, Regeln für Entwickler und Tester festzulegen, die dokumentieren, welche Arten von Daten zulässig sind. Auch Tools zur data masking oder synthetic data generation können verwendet werden, um komplexe Datenstrukturen ohne reale Inhalte nachzubilden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.4 Grundschutz++ TEST.3.1.4 Testumgebung Änderungen und Tests SOLLTE eine dedizierte Testumgebung installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine dedizierte Testumgebung", "definitions": {}}, "guidance": "Eine dedizierte Testumgebung (auch Entwicklungsumgebung oder Laborumgebung genannt) ist hier eine von der Produktionsumgebung unabhängige Infrastruktur, die speziell für die Durchführung von Änderungen, Prüfungen und Qualitätssicherungsmaßnahmen vorgesehen ist. Sie dient dazu, geplante Anpassungen, Updates oder Neuentwicklungen realistisch nachzustellen, ohne die Verfügbarkeit oder Integrität der produktiven Systeme und Daten zu gefährden. Zur Produktivumgebung zählen dabei auch Betriebssysteme, verwendete Datenbanken und Netzschnittstellen. Dediziert bedeutet in diesem Zusammenhang, dass Ressourcen – beispielsweise Server, Datenbanken, Netzsegmente oder virtuelle Umgebungen – ausschließlich für Testzwecke bereitgestellt werden und nicht gleichzeitig produktiven Aufgaben dienen. Der Zweck dieser Vorgabe liegt darin, unbeabsichtigte Auswirkungen von Änderungen auf laufende Systeme zu vermeiden. Ohne eine solche Testumgebung könnte ein fehlerhaftes Update unmittelbar zu Produktionsausfällen führen oder sensible Daten unbeabsichtigt preisgeben. Eine Trennung kann dagegen sicherstellen, dass Schwachstellen oder Inkompatibilitäten frühzeitig erkannt werden, wodurch die Stabilität und Sicherheit der produktiven Systeme erhalten bleiben. Zur Umsetzung kann eine Institution verschiedene Maßnahmen einsetzen: (1) Sie kann separate physische oder virtuelle Serverlandschaften bereitstellen, die die Produktionsumgebung realitätsnah abbilden. (2) Sie kann Testdatenbanken mit anonymisierten oder synthetisch generierten Daten nutzen, um Datenschutzrisiken zu vermeiden. (3) Sie kann durch ein definiertes Deployment-Verfahren sicherstellen, dass Änderungen zunächst automatisiert in die Testumgebung ausgerollt und dort validiert werden, bevor eine Freigabe für die Produktion erfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.5 Grundschutz++ TEST.3.1.5 Kontinuierliche Tests Änderungen und Tests KANN die Auswirkungen bei jeder Änderung automatisch testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auswirkungen", "definitions": {}}, "guidance": "„Automatisch testen“ meint den Einsatz technischer Verfahren oder Werkzeuge („continuous testing“), um bei Änderungen an Systemen oder Anwendungen unmittelbar und ohne manuelles Eingreifen Prüfungen auszuführen. Gemeint sind hier vordefinierte Testszenarien, die mit jedem Update, Patch oder Konfigurationswechsel ablaufen und systematisch überprüfen, ob die vorgesehenen Funktionen erhalten bleiben und ob unerwünschte Nebenwirkungen auftreten. Der Zweck liegt darin, dass Änderungen zwar notwendig sind, diese aber unbeabsichtigte Sicherheitslücken oder Funktionsstörungen mit sich bringen könnten – ein fehlerhaftes Update könnte beispielsweise Authentifizierungsprozesse umgehen lassen oder kritische Daten unzugänglich machen. Durch automatisierte Tests kann die Institution dagegen frühzeitig erkennen, ob eine Änderung die Vertraulichkeit, Integrität oder Verfügbarkeit gefährden könnte, und die Fehlerquote im Betrieb insgesamt senken. Umsetzungsmöglichkeiten können unterschiedlich gestaltet werden: Eine Institution kann (1) Continuous-Integration/Continuous-Delivery-Pipelines (CI/CD) einrichten, in die automatisierte Unit- und Integrationstests integriert sind, (2) produktionsnahe Szenarien in Testumgebungen abbilden und in denen Sicherheitstests automatisch mitlaufen, oder (3) Skripte einsetzen, die nach Konfigurationsänderungen direkt auf bekannte Schwachstellen oder das Vorhandensein von Sicherheitsfunktionen prüfen. Auch die Verwendung von Regressionstests, die kritische Kernfunktionen gezielt wiederholt prüfen, kann ein bewährtes Mittel sein, um sicherzustellen, dass durch eine Änderung keine unbeabsichtigten Seiteneffekte ausgelöst werden. Automatische Test ermöglichen es auch die Dokumentation der Testergebnisse automatisiert zu erstellen, sodass Verantwortliche sofort eine Übersicht über den Status erhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei jeder Änderung automatisch", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.6 Grundschutz++ TEST.3.1.6 Chaos Engineering Änderungen und Tests KANN die Resilienz bei Simulation verschiedenartiger Störungen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Resilienz bei Simulation verschiedenartiger Störungen", "definitions": {}}, "guidance": "Chaos Engineering kann helfen, die Zuverlässigkeit von Systemen oder Anwendungen zu erhöhen, indem es die Resilienz, also die Fähigkeit bei störenden Einflüssen den Betrieb fortzusetzen oder wiederherzustellen, durch simulierte Ausfälle oder Störungen testet. Dabei ist jedoch zu beachten, dass dabei keine geschäftskritischen, im Betrieb befindlichen Dienste gestört werden. Daher ist der Ansatz nur nach einer Analyse und Abwägung der Risiken sinnvoll. Zweckmäßig ist es dabei, geschäftskritische Systeme und Anwendungen mit hohen Auswirkungen zu priorisieren, häufige Ausfallmodi zu testen, kritische Abhängigkeiten unter Stress zu setzen, vergangene Vorfälle nachzubilden und Systemannahmen durch methodische Prozesse zu hinterfragen. Hierzu kann eine Karte der Abhängigkeiten verwendet werden oder eine Analyse kritischer Pfade. Wertvolle Experimente können Netzwerkbeeinträchtigungen, Dienstausfälle, Abhängigkeitsunterbrechungen, Ressourcenerschöpfung, Multiregionsausfälle und Zeitsynchronisationsprobleme umfassen. Geschäftskritische Dienste können dabei z.B. durch eine Begrenzung auf bestimmte Systeme, oder Durchführung solcher Tests nur außerhalb der Betriebszeiten geschützt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.8 Grundschutz++ TEST.3.1.8 Fuzzing Änderungen und Tests KANN die Stabilität gegen Fehlerzustände oder Abstürze bei der Eingabe großer Mengen an Zufallsdaten testen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Error Handling", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Stabilität gegen Fehlerzustände oder Abstürze bei der Eingabe großer Mengen an Zufallsdaten", "definitions": {}}, "guidance": "Fuzzing ist eine automatisierte Softwaretestmethode, mit der unerwartete Schwachstellen und Fehler in Anwendungen durch Eingabe zufälliger, unerwarteter oder ungültiger Daten aufgedeckt werden können. Der Hauptzweck besteht darin, Grenzbedingungen zu prüfen und Programmabstürze, Speicherlecks oder sicherheitskritische Fehler wie Buffer Overflows zu identifizieren, bevor Angreifer diese ausnutzen können. Kann durch spezialisierte Tools oder kontinuierliches Fuzzing in der CI/CD-Pipeline umgesetzt werden. Für einen effektiven Einsatz empfiehlt es sich, mit strukturiertem Fuzzing zu beginnen, das auf bekannten Protokollspezifikationen oder Datenformaten basiert, Fuzzing-Tests in die frühen Phasen des Entwicklungszyklus zu integrieren, alle gefundenen Fehler systematisch zu dokumentieren und zu beheben, sowie regelmäßig neue Testfälle auf Basis entdeckter Schwachstellen zu entwickeln, um die Testabdeckung kontinuierlich zu verbessern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.9 Grundschutz++ TEST.3.1.9 Lasttest Änderungen und Tests KANN die Belastbarkeit bei hoher Auslastung testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Belastbarkeit bei hoher Auslastung", "definitions": {}}, "guidance": "Ziel ist es, die Dimensionierung der Ressourcen zu verifizieren und Fehler zu entdecken, die nur bei höherer Last auftreten. Hierzu können z.B. eine hohe Zahl gleichzeitiger Verbindungen, große Datenmengen oder eine hohe Zahl paralleler Interaktionen genutzt werden. Die Höhe der Auslastung kann sich dabei z.B. nach der maximalen Anzahl erwarteter gleichzeitiger Nutzungen richten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.1.10 Grundschutz++ TEST.3.1.10 Penetrationstest bei Änderungen Änderungen und Tests KANN bekannte Schwachstellen bei kritischen Änderungen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte Schwachstellen", "definitions": {}}, "guidance": "Bei einem Penetrationstest führen qualifizierte Sicherheitsexperten kontrollierte Angriffe auf Systeme, Anwendungen oder Netzwerke durch. Der primäre Zweck besteht darin, die tatsächliche Angriffsfläche aus der Perspektive eines potenziellen Angreifers zu bewerten, reale Ausnutzungsmöglichkeiten zu demonstrieren und die Wirksamkeit implementierter Sicherheitsmaßnahmen unter realistischen Bedingungen zu verifizieren. Praktische Umsetzungsbeispiele umfassen Black-Box-Tests ohne Vorkenntnisse des Systems, Grey-Box-Tests mit begrenztem Zugang und Wissen sowie White-Box-Tests mit vollständigem Quellcode-Zugriff, wobei Tools zur Automatisierung und Strukturierung der Tests eingesetzt werden können. Für ein effektives Pentesting empfiehlt es sich, den Testumfang klar zu definieren und zu dokumentieren, realistische Angriffsziele und Erfolgsmetriken festzulegen, ausreichend Zeit für die Behebung identifizierter Schwachstellen im Release-Plan einzuplanen, ein erfahrenes, unabhängiges Testteam einzusetzen, das nicht an der Entwicklung beteiligt war, sowie Re-Tests nach der Behebung von Schwachstellen durchzuführen, um sicherzustellen, dass alle identifizierten Risiken vor dem Produktivgang angemessen adressiert wurden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei kritischen Änderungen", "definitions": {}}} TEST.3.1 \N \N \N +Grundschutz++:TEST.3.2 Grundschutz++ TEST.3.2 Testabdeckung Änderungen und Tests SOLLTE die Testabdeckung regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Testabdeckung", "definitions": {}}, "guidance": "Ein ungenügendes Testverfahren könnte beispielsweise dazu führen, dass Schwachstellen in kritischen Anwendungen unentdeckt bleiben, was wiederum zu Datenverlust, unbefugtem Zugriff oder Systemausfällen führen könnte. Ein Beispiel hierfür ist der Fall einer industriellen Steuerungsanlage, bei der eine nicht ausreichend getestete Firmware-Aktualisierung zu einem Sicherheitsversagen und anschließendem Produktionsausfall führt. Der Begriff \\"Testabdeckung\\" (engl. \\"test coverage\\") bezeichnet hierbei den Umfang, in dem Komponenten, Funktionen und Schnittstellen eines Systems durch strukturierte Tests überprüft werden. Zur Umsetzung kann eine Institution verschiedene Maßnahmen implementieren: Für Software kann ein Code-Coverage-Monitoring etabliert werden, während für Hardware systematische Testmatrizen entwickelt werden können, die alle relevanten Betriebsparameter und Umgebungsbedingungen abdecken. Test-Dashboards können sowohl Software- als auch Hardware-Metriken visualisieren und in Entwicklungs- bzw. Implementierungsprozesse integriert werden. Für Hardware können FMEA-Analysen (Failure Mode and Effects Analysis) die kritischen zu testenden Komponenten identifizieren, während Software durch automatisierte CI/CD-Tests abgesichert werden kann. Bei der Implementierung empfiehlt es sich, einen risikobasierten Ansatz zu verfolgen, bei dem zuerst sicherheitskritische Komponenten umfassend getestet werden. Zudem kann eine systematische Dokumentation aller Testfälle und -ergebnisse, sowohl für Hardware- als auch für Software-Komponenten, die Nachvollziehbarkeit und kontinuierliche Verbesserung der Testabdeckung unterstützen. Zudem kann eine Kombination aus verschiedenen Testebenen (z.B. Stichproben, automatisierte und manuelle Verfahren, Unit-, Integrations- und Systemtests) eine umfassendere Abdeckung gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Tests", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.4.1 Grundschutz++ TEST.4.1 Autorisierung von Änderungen Änderungen und Tests SOLLTE kritische Änderungen anhand von Kriterien einschließlich der Sicherheitsanforderungen autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kritische Änderungen", "definitions": {}}, "guidance": "Änderungen gelten als kritisch, wenn sie breite Auswirkungen auf Geschäftsprozesse haben, beispielsweise die Aktivierung der Zwei-Faktor-Authentifizierung am zentralen Verzeichnisdienst. Die Kritikalität ergibt sich zudem aus Art und Umfang der Änderung, etwa bei umfangreichen Migrationen oder sicherheitsrelevanten Fehlerbehebungen. Kritische Änderungen betreffen häufig die Bereitstellung für eine große Zahl interner oder externer Nutzender oder Eingriffe in hochverfügbare Systeme. Zu den maßgeblichen Kriterien für die Freigabe zählen das fehlerfreie Durchlaufen definierter Tests, eine ausreichende Nutzerakzeptanz in einem Beta-Test und das erfolgreiche Bestehen von Penetrationstests. Zweckmäßig ist eine mehrstufige Autorisierung, in der Änderungen anhand der prognostizierten Auswirkungen den Kategorien niedrig, mittel oder hoch zugeordnet und mit abgestuften Genehmigungsanforderungen verknüpft werden. Während bei geringfügigen Änderungen an unkritischen Systemen eine konzentrierte Prüfung grundlegender Sicherheitsanforderungen wie Authentifizierung, Verschlüsselung und Härtung ausreichen kann, erfordern umfangreiche Vorhaben mit hohem Risikoprofil in der Regel automatisierte Prüfmechanismen, ergänzt durch Checklisten für manuelle Tätigkeiten, um die Auswirkungen verlässlich beherrschbar zu halten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von Kriterien einschließlich der Sicherheitsanforderungen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.4.1.1 Grundschutz++ TEST.4.1.1 Unabhängigkeit der Autorisierung Änderungen und Tests KANN kritische Änderungen auch durch eine von der Implementierung unabhängige Person autorisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kritische Änderungen", "definitions": {}}, "guidance": "Eine Freigabe durch eine unabhängige Person ist die nachweisliche Bestätigung der Testergebnisse durch eine fachlich qualifizierte, aber nicht an der Entwicklung, Durchführung oder unmittelbaren Implementierung der getesteten Änderung beteiligte Person. Ziel ist es, Objektivität und Unvoreingenommenheit sicherzustellen und das Vier-Augen-Prinzip für kritische Änderungen zu wahren. Hierbei genügt es, wenn neben beteiligten Personen auch eine unabhängige Person die Änderung autorisiert hat, wie z.B. bei einem Change Advisory Board, an dem mehrere Personen beteiligt sind. Die geltenden Anforderungen sind alle für das Zielobjekt ausgewählten Sicherheitsanforderungen, z.B. Verifikation korrekter TLS-Konfiguration oder Fertigstellung einer Datensicherung mit korrektem Umfang zu geforderter Zeit gemäß Konzept. Empfehlenswert ist es den Prozess in einem Versionkontrollsystem abzubilden, sodass die Dokumentation der Änderungen und der Freigabe weitestgehend automatisiert stattfindet.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auch durch eine von der Implementierung unabhängige Person", "definitions": {}}} TEST.4.1 \N \N \N +Grundschutz++:TEST.4.1.1.1 Grundschutz++ TEST.4.1.1.1 Staging Änderungen und Tests SOLLTE die freizugebenden Änderungen in einer von der Produktumgebung getrennten Staging-Umgebung, deren Komponenten so weit wie möglich der Produktivumgebung entsprechen, testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die freizugebenden Änderungen", "definitions": {}}, "guidance": "Eine Staging-Umgebung ist von der Produktivumgebung getrennt, wenn sie keine IT-Systeme, Anwendungen oder Datenquellen der Produktivumgebung verwendet. Sie entspricht so weit wie möglich der Produktivumgebung, damit zwischen Freigabe und Produktivbetrieb möglichst wenige Abweichungen vorkommen, z.B. hinsichtlich der Schwachstellen eingesetzter Softwareversionen oder der Verfügbarkeit von Ressourcen in verschiedenen Rechenzentren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in einer von der Produktumgebung getrennten Staging-Umgebung, deren Komponenten so weit wie möglich der Produktivumgebung entsprechen,", "definitions": {}}} TEST.4.1.1 \N \N \N +Grundschutz++:TEST.4.1.2 Grundschutz++ TEST.4.1.2 Dokumentation der Freigabe Änderungen und Tests SOLLTE die Freigabe einschließlich Zeitpunkt, Vorhaben, Freigabekriterien und freigebender Personen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Freigabe", "definitions": {}}, "guidance": "Je nach Organisationstruktur kann es sinnvoll sein, weitere Angaben aufzuführen, z.B. in der Freigabe durchgeführte Prüfschritte oder weitere beteiligte Personen. Allerdings kann sich die Freigabe auch auf eine Dokumentation der zuvor durchgeführten Tests stützen. In jedem Fall handelt es sich nur dann um eine Freigabe, wenn die entscheidenden Personen oder Rollen eine eigenständige Entscheidung getroffen haben, die auf einer eigenen Untersuchung des Änderungsvorhabens basiert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Zeitpunkt, Vorhaben, Freigabekriterien und freigebender Personen", "definitions": {}}} TEST.4.1 \N \N \N +Grundschutz++:TEST.4.2 Grundschutz++ TEST.4.2 Signatur Änderungen und Tests KANN eine Signatur der Freigabeerklärung ausführen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Signatur der Freigabeerklärung", "definitions": {}}, "guidance": "Die Signatur der Freigabeerklärung ist hier als eine digitale oder handschriftliche Unterschrift zu verstehen, die dokumentiert, dass eine geplante Änderung oder ein Test geprüft, bewertet und zur Umsetzung freigegeben wurde. Die Signatur kann damit sowohl eine elektronische Signatur nach gängigen Standards (z. B. qualifizierte elektronische Signatur im Ticketsystem) als auch eine händische Unterschrift sein. Sie stellt nicht nur eine rechtliche, sondern vor allem eine technische und organisatorische Nachvollziehbarkeit sicher, indem eindeutig erkennbar wird, wer eine Entscheidung zur Durchführung von Änderungen verantwortet hat. Die Freigabe durch eine Signatur kann dazu beitragen, dass unbeabsichtigte oder fehlerhafte Änderungen nicht unkontrolliert in den Betrieb gelangen. Ein fehlender Nachweis könnte im Vorfallfall zu Streitigkeiten über Verantwortlichkeiten führen oder die forensische Nachvollziehbarkeit erschweren. Ebenso könnte ohne dokumentierte Freigabe eine ungetestete Änderung produktive Systeme beeinträchtigen und Ausfälle oder Datenverlust verursachen. Durch eine dokumentierte Signatur kann hingegen nachvollziehbar gemacht werden, dass fachliche, technische und sicherheitsrelevante Prüfungen stattgefunden haben und die Entscheidung zur Umsetzung bewusst und überprüfbar getroffen wurde.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.4.3 Grundschutz++ TEST.4.3 Rückfallösung Änderungen und Tests SOLLTE eine Rückfallösung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Rückfallösung", "definitions": {}}, "guidance": "Kritisch sind administrative Änderungen an geschäftskritischen Systemen, da ihr Ausfall gravierende Folgen haben könnte. Die Kritikalität ergibt sich außerdem aus Art und Umfang der Änderungen, z.B. umfangreiche Migration oder Bugfix. Maßnahmen können z.B. die Wiederherstellung aus einer vorher erstellten aktuellen Datensicherung, einer Versionsverwaltung oder Blue-Green-Deployment sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.5.1 Grundschutz++ TEST.5.1 Information betroffener Kreise Änderungen und Tests SOLLTE von der Änderung betroffene Kreise informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "von der Änderung betroffene Kreise", "definitions": {}}, "guidance": "Betroffene Kreise können je nach Vorhaben z.B. interne oder externe Nutzende, IT-Betrieb, das Monitoring-Team, die Öffentlichkeitsarbeit oder ISB sein. Erforderliche Informationen können z.B. zu erwartende Ausfallzeiten oder Beginn und Ende des Wartungsfensters, die Vorgehensweise zum Bezug von Sicherheitsupdates oder anzupassende Sicherheitseinstellungen sein, die Nutzende selbst vornehmen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Bereitstellung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.5.2 Grundschutz++ TEST.5.2 Verschlüsselte Bereitstellung Änderungen und Tests SOLLTE die Bereitstellung verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereitstellung", "definitions": {}}, "guidance": "Das Konzept der Bereitstellung (engl. Deployment oder Provisioning) bezieht sich hier auf den Vorgang des Übertragens, Installierens oder Aktivierens von Software-Artefakten, Konfigurationen, Skripten oder anderen digitalen Gütern von einer gesicherten Umgebung (z.B. Test- oder Staging-Umgebung) in die Ziel- oder Produktionsumgebung. Die Verschlüsselung dieser Bereitstellung meint dabei die kryptografische Sicherung des Datenstroms oder der übertragenen Daten während des Transports, sodass diese für unbefugte Dritte unlesbar sind. Diese Vorschrift dient primär dem Schutz vor der Offenlegung sensibler Daten oder der Manipulation der ausgelieferten Artefakte: Ein Angreifer, der den Übertragungsweg abhört, könnte ohne Verschlüsselung leicht auf vertrauliche Informationen zugreifen, etwa proprietären Quellcode oder sensible Konfigurationsparameter (wie Passwörter oder API-Schlüssel), was zur Geheimhaltung (Confidentiality) in der Institution im Widerspruch stünde. Außerdem könnte ein Man-in-the-Middle-Angriff die übertragenen Daten manipulieren und so bösartigen Code in die Produktionsumgebung einschleusen, bevor die Integrity-Checks greifen, was die Integrität der bereitgestellten Lösungen gefährden könnte. Technisch kann die Institution dies gewährleisten, indem alle Deployment-Pipelines ausschließlich gesicherte Kommunikationsprotokolle nutzen. Zusätzlich ist es sinnvoll die Bereitstellungs-Artefakte digital zu signieren und diese Signatur erst nach erfolgreicher End-zu-End-Integritätsprüfung (z.B. durch Prüfsummen wie SHA-256) auf dem Zielsystem zur Installation freigeben, was einen Manipulationsversuch im Transit erschwert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Bereitstellung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.5.3 Grundschutz++ TEST.5.3 Schrittweiser Rollout Änderungen und Tests KANN die Inbetriebnahme stufenweise ausführen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Inbetriebnahme", "definitions": {}}, "guidance": "Inbetriebnahme (engl. deployment oder rollout) meint hier die technische und organisatorische Überführung einer Änderung oder Neuerung – etwa an IT-Systemen, Anwendungen oder Konfigurationen – vom Test- in den Produktivbetrieb. Eine stufenweise Inbetriebnahme (auch phased deployment, gradual rollout oder staged release) meint dabei das gezielte Ausrollen von Änderungen in mehreren kontrollierten Schritten, etwa nach Rollen, geografischen Standorten oder Systemkomponenten gruppiert, anstatt in einem einzigen vollständigen Übergang. Diese Methode kann gezielt dazu genutzt werden, Probleme frühzeitig zu erkennen und zu verhindern, dass diese sich flächendeckend auf die gesamte Infrastruktur auswirken. Ziel ist insbesondere, mögliche Risiken aus unzureichend getesteten Änderungen zu reduzieren – etwa wenn fehlerhafte Updates zu Systemausfällen, Datenverlusten oder Funktionseinschränkungen führen könnten. Auch unbeabsichtigte Interaktionen mit bestehenden Komponenten, die im Testsystem nicht abgebildet waren, könnten auftreten. Ein simples Rolling-Release-Modell, bei dem kleinschrittige Änderungen allen betroffenen Geräte gleichzeitig bereitgestellt werden, genügt NICHT um die Anforderung zu erfüllen. Ein schrittweiser Rollout ist in verschiedenen Varianten möglich: (1) der Einsatz von sogenannten Canary Releases, bei denen Änderungen zuerst auf ein kleines, repräsentatives Nutzersegment ausgerollt werden, (2) der automatisierte Rollout nach dem One-Some-All-Prinzip, (3) das gezielte Aktivieren neuer Funktionen über Feature Toggles, die zentrale Steuerung ermöglichen, oder (4) das parallele Führen alter und neuer Systemversionen in einer Blue-Green Deployment-Struktur.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Änderungen und Tests / Bereitstellung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "stufenweise", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.5.4 Grundschutz++ TEST.5.4 Persistenz Änderungen und Tests SOLLTE die Persistenz nach wesentlichen Änderungen testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Persistenz", "definitions": {}}, "guidance": "Persistenz bedeutet hier, dass eine wesentliche Änderung nach ihrer Einführung dauerhaft wirksam bleibt, also auch nach einem Neustart, einem System-Update oder einem Rückspielen von Konfigurations-Backups nicht unbeabsichtigt verloren geht. Dies könnte beispielsweise dazu führen, dass eine sicherheitsrelevante Konfiguration nach einem Reboot verschwindet oder eine Migration zu einem neuen Anbieter scheitert, weil Daten oder Regeln nicht portabel waren. Eine Institution kann die Anforderung praktisch umsetzen, indem Änderungen nach Abschluss nicht nur funktional, sondern auch über System- und Lebenszyklusereignisse hinweg überprüft werden. Dazu kann es hilfreich sein, Änderungen gezielt mit simulierten Neustarts, Failover-Tests oder dem erneuten Einspielen von Standard-Backups zu validieren. Um den laufenden Betrieb hierdurch nicht zu beeinträchtigen können Systeme oder Anwendungsinstanzen nacheinander oder zu unkritischen Zeiten neu gestartet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Bereitstellung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach wesentlichen Änderungen", "definitions": {}}} \N \N \N \N +Grundschutz++:TEST.5.5 Grundschutz++ TEST.5.5 Rückblick Änderungen und Tests SOLLTE die Erreichung der Bereitstellungsziele regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Erreichung der Bereitstellungsziele", "definitions": {}}, "guidance": "Ein effektiver Änderungsmanagementprozess profitiert von systematischen Überprüfungen nach der Implementierung. Dabei wird bewertet, ob die definierten Bereitstellungsziele tatsächlich erreicht wurden und ob Änderungen unbeabsichtigte Auswirkungen auf Sicherheit, Stabilität oder Verfügbarkeit hatten. Die gewonnenen Erkenntnisse können genutzt werden, um zukünftige Änderungen gezielter zu planen und Risiken zu reduzieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Änderungen und Tests / Bereitstellung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +SCF:AAT-07.2 SCF AAT-07.2 AI & Autonomous Technologies Likelihood & Impact Risk Analysis Mechanisms exist to define the potential likelihood and impact of each identified risk based on expected use and past uses of Artificial Intelligence (AI) and Autonomous Technologies (AAT) in similar contexts. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-07.2_AAT-07.2_A01", "name": "assessment-objective", "prose": "the potential likelihood is documented for each identified risk based on expected use and past uses of Artificial Intelligence (AI) and Autonomous Technologies (AAT) in similar contexts."}, {"id": "AAT-07.2_AAT-07.2_A02", "name": "assessment-objective", "prose": "the potential impact is documented for each identified risk based on expected use and past uses of Artificial Intelligence (AI) and Autonomous Technologies (AAT) in similar contexts."}]} \N \N \N \N +Grundschutz++:GEB.1.1 Grundschutz++ GEB.1.1 Verfahren und Regelungen Gebäudemanagement MUSS Verfahren und Regelungen zum physischen Schutz von Standorten, an denen schützenswerte Informationen verarbeitet oder gespeichert werden, verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum physischen Schutz von Standorten, an denen schützenswerte Informationen verarbeitet oder gespeichert werden,", "definitions": {}}, "guidance": "Ein Verfahren zum Gebäudemanagement stellt sicher, dass die zum Betrieb von Geschäftsprozessen erforderliche Infrastruktur vorhanden ist und schützt Zielobjekte dort vor dem Zugriff Unbefugter und vor Elementarschäden wie Feuer, Wind und Wetter. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.1.1.1 Grundschutz++ GEB.1.1.1 Dokumentation Gebäudemanagement MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} GEB.1.1 \N \N \N +Grundschutz++:GEB.1.1.2 Grundschutz++ GEB.1.1.2 Zuweisung der Aufgaben Gebäudemanagement MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} GEB.1.1 \N \N \N +Grundschutz++:GEB.1.1.3 Grundschutz++ GEB.1.1.3 Bekanntgabe Gebäudemanagement MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} GEB.1.1 \N \N \N +Grundschutz++:GEB.1.2 Grundschutz++ GEB.1.2 Regelmäßige Überprüfung Gebäudemanagement MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.1.3 Grundschutz++ GEB.1.3 Autorisierung von Standorten Gebäudemanagement für Standorte SOLLTE Standorte für die Stationierung von Assets autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Standorte für die Stationierung von Assets", "definitions": {}}, "guidance": "Die gezielte Autorisierung von Standorten für die Stationierung von Assets kann dazu beitragen, dass Informationen und Systeme nur an physischen Orten verarbeitet oder aufbewahrt werden, die zuvor auf ihre Sicherheitsanforderungen hin geprüft wurden. So kann beispielsweise verhindert werden, dass sensible Server in unkontrollierten Räumen ohne Zutrittskontrolle oder redundante Stromversorgung betrieben werden – ein Fehlen dieser Maßnahmen könnte im Ernstfall zu Datenverlust bei einem Kurzschluss oder unbefugtem Zugriff durch Dritte führen. Ebenso kann die Prüfung und Freigabe durch eine zuständige Rolle dafür sorgen, dass neue Außenstellen erst dann in den Betrieb gehen, wenn etwa Brandmelde‑, Videoüberwachungs‑ oder Netzwerksicherheitsanforderungen erfüllt sind; andernfalls könnte eine unerkannte technische Schwachstelle in einem Zweigstellenrechner dazu führen, dass Schadcode sich ins gesamte Unternehmensnetz ausbreitet. Auch bei der Nutzung von Cloud‑ oder Colocation‑Rechenzentren kann eine formale Freigabe sicherstellen, dass vorab vertraglich vereinbarte Sicherheits- und Compliance‑Anforderungen – wie beispielsweise ISO‑27001‑Zertifizierung oder Verschlüsselung im Ruhezustand – tatsächlich gegeben sind, andernfalls könnte es zu Datenschutzverletzungen oder Regulierungsstrafen kommen. Zur praktischen Umsetzung kann ein Standort‑Freigabeprozess definiert werden, der folgende Elemente enthält: eine Checkliste für physische Sicherheitskriterien (Zutrittskontrolle, Umwelt‑ und Brandschutz), eine technische Abnahmematrix (Netzwerksegmentierung, Monitoring, Backup‑Anbindung) sowie die Benennung einer verantwortlichen Person oder Rolle, die das Go‑No‑Go‑Entscheidungsrecht hält. Bei Änderungen am Standort oder an den Assets kann diese Rolle regelmäßige Reviews anstoßen, wodurch nachträgliche Kontrollen möglich werden. Automatisierte Workflow‑Tools können dabei unterstützen, Prüf‑ und Genehmigungsschritte nachvollziehbar zu dokumentieren und Eskalationspfade abzubilden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.1.3.1 Grundschutz++ GEB.1.3.1 Abnahme von Standorten Gebäudemanagement für Standorte SOLLTE Standorte vor Autorisierung anhand von Kriterien testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Standorte", "definitions": {}}, "guidance": "Eine Abnahme anhand von Sicherheitskriterien stellt sicher, dass Sicherheitsaspekte bereits in der Planungsphase vor der ersten Nutzung eines Standortes berücksichtigt werden. Die Kriterien ergeben sich aus den weiteren Anforderungen dieser Praktik, sowie aus Compliance-Verpflichtungen. Denken Sie hierbei an den Schutz vor Elementarschäden, den Zutrittsschutz, den voraussichtlichen Versorgungsbedarf mit Strom, Netzanbindung, eine strukturierte Verkabelung und Wasserleitungen, sowie die Gebäudeautomatisierung. Kann z.B. mit Building Information Modeling (BIM) umgesetzt werden. Wurde ein Standort bereits bezogen, so gilt die Anforderung als umgesetzt, wenn die Erfüllung der Kriterien nachträglich (z.B. durch eine Begehung) sichergestellt wurde.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor Autorisierung anhand von {{Kriterien}}", "definitions": {}}} GEB.1.3 \N \N \N +Grundschutz++:GEB.1.4 Grundschutz++ GEB.1.4 Exponierte Bereiche Gebäudemanagement für Standorte SOLLTE schützenswerte Assets oder zugehörige Infrastrukturen nur außerhalb exponierter oder besonders gefährdeter Bereiche platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "schützenswerte Assets oder zugehörige Infrastrukturen nur außerhalb exponierter oder besonders gefährdeter Bereiche", "definitions": {}}, "guidance": "Wenn schützenswerte Räume wie Datenträgerarchive, Hostsysteme oder zentrale Infrastrukturen wie die Strom- und Netzversorgung in besonders exponierten Gebäudeteilen oder unter freiem Himmel lokalisiert werden, erhöht dies das Risiko für Ausfälle. Beispiele für gefährdete Bereiche sind ein überflutungsgefährdeter Keller, an der Gebäudekante direkt neben einer Bundesstraße oder an einer von Außen leicht einsehbaren Stelle. Welche Bereiche gefährdet sind kann oft von lokalen oder nationalen staatlichen Stellen bezogen werden. Wenn der gesamte Standort besonders exponiert oder gefährdet ist, kann dies nur durch die Nutzung anderer Standorte umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.1.5 Grundschutz++ GEB.1.5 Strukturpläne Gebäudemanagement für Standorte SOLLTE Strukturpläne dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Strukturpläne", "definitions": {}}, "guidance": "Strukturpläne enthalten Grundrisse und Verlaufswege für physische Perimeter oder Versorgungseinrichtungen. Beispielsweise enthalten Gebäudepläne üblicherweise Zeichnungen der einzelnen Etagen und der Gebäudestrukturen darin. Diese Pläne sind hilfreich um Schwachstellen oder Störquellen aufzudecken und zielgerichtet zu behandeln. Dazu gehören Versorgungsleitungen, Netzanschlüsse, sowie Aus- und Zugänge für den regulären Betrieb und für Notfälle.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.2.1 Grundschutz++ GEB.2.1 Installation von Perimetern Gebäudemanagement für Standorte SOLLTE Sicherheitsperimeter installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sicherheitsperimeter", "definitions": {}}, "guidance": "Die Installation physischer Sicherheitsperimeter dient dem grundlegenden Schutz von Informationsressourcen und kritischer Infrastruktur vor unbefugtem Zugriff und physischen Bedrohungen. Ein effektiver Sicherheitsperimeter kann als mehrschichtige Barriere fungieren, die sensible Bereiche vor verschiedenen Risiken wie Einbruch, Diebstahl oder Sabotage schützt. Ohne angemessene physische Sicherheitsmaßnahmen könnten unbefugte Personen z.B. Zugang zu Serverräumen erlangen und dort Datenträger entwenden, Schadcode installieren oder Hardwarekomponenten manipulieren. Auch Naturereignisse wie Überschwemmungen oder Brände könnten ohne geeignete Perimeter leichter zu Datenverlust oder Betriebsunterbrechungen führen. Bei der Implementierung physischer Sicherheitsperimeter kann eine Kombination verschiedener Sicherheitsebenen erwogen werden, beginnend mit äußeren Barrieren wie Zäunen, Schranken oder gesicherten Eingangsbereichen, die den Zugang zum Gelände regulieren. Im Gebäudeinneren können Zugangskontrollsysteme mit unterschiedlichen Authentifizierungsmethoden (Chipkarten, biometrische Verfahren, PIN-Codes) eingesetzt werden, um den Zutritt zu sensiblen Bereichen auf autorisierte Mitarbeiter zu beschränken. Die Effektivität dieser Maßnahmen kann durch ergänzende Systeme wie Videoüberwachung, Alarmanlagen oder Bewegungsmelder verstärkt werden, wobei ein ausgewogenes Verhältnis zwischen Sicherheitsanforderungen und Praktikabilität für den Arbeitsalltag zu finden ist. Bei der Planung kann eine Risikobewertung helfen, um festzulegen, welche Bereiche besonders schutzbedürftig sind und entsprechend abgesichert werden, etwa durch Sicherheitszonen mit gestaffelten Zugangsrechten oder spezielle Brandschutzbereiche für kritische IT-Infrastruktur.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Perimeter", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.2.2 Grundschutz++ GEB.2.2 Dokumentation öffentlicher Bereiche Gebäudemanagement für Gebäude SOLLTE Bereiche, die ohne Authentifizierung zugänglich sind, mit Begründung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Bereiche, die ohne Authentifizierung zugänglich sind,", "definitions": {}}, "guidance": "Gebäude sind als stabiler und klar ersichtlicher Sicherheitsperimeter besonders geeignet. Viele Institutionen benötigen für ihre Aufgaben jedoch Bereiche, die ohne Authentifizierung zugänglich sind, z.B. Empfangs- oder Lieferzonen, Bürgerbüros, Kundenräume. Hierdurch könnte es leicht zu versehentlichen oder zielgerichteten Schäden an Assets, unbefugten Zutritten oder dem Abfluss vertraulicher Daten kommen. Daher ist es sinnvoll, diese Bereiche zu dokumentieren und die Gründe für ihre Bereitstellung nachzuhalten, um sicherzustellen, dass der Sicherheitsperimeter auch im Gebäude korrekt verläuft und geschützt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Perimeter", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Begründung", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.7 Grundschutz++ GEB.3.7 Kontrolle der Zutrittskontrolle Gebäudemanagement für Standorte SOLLTE die angewendeten Zutrittskontrollmaßnahmen regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die angewendeten Zutrittskontrollmaßnahmen", "definitions": {}}, "guidance": "Die Funktionsfähigkeit von Zugangkontrollen wie Wachdiensten und Schließanlagen ist essenziell, um den Zutritt Unbefugter wirksam verhindern zu können. Regelmäßige Überprüfungen können beispielsweise durch angekündigte oder unangekündigte Rundgänge, die stichprobenartige Auswertung von Kameraaufzeichnungen und Logbüchern oder die Analyse verschiedener Kennzahlen erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.2.3 Grundschutz++ GEB.2.3 Erkundung aus dem öffentlichen Raum Gebäudemanagement für Standorte SOLLTE Hör- und Sehschutz gegen den öffentlichen Raum testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Recon", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Hör- und Sehschutz gegen den öffentlichen Raum", "definitions": {}}, "guidance": "Erkundung aus dem öffentlichen Raum ist die systematische Sammlung von Informationen, die ausschließlich von öffentlich zugänglichen Bereichen aus durchgeführt wird, um die Schwachstellen eines Standortes zu bewerten, ohne in Sperrzonen einzudringen. Hierbei könnten z.B. Sicherheitssysteme, Zugangspunkte und Personalroutinen ausgeforscht werden; Gespräche in offenen Bereichen wie Lobbys oder Raucherzonen aufgezeichnet werden, in denen sensible Informationen versehentlich preisgegeben werden könnten; zusätzliche Techniken wie das Durchsuchen von Mülltonnen (Dumpster Diving), drahtlose Signalanalyse und Social Engineering von öffentlichen Aussichtspunkten aus könnten zahlreiche Informationen ungewollt preisgeben. Hierbei sind sowohl Einblicke von öffentlichen Straßen, Plätzen oder sonstigen Flächen außerhalb des Perimeters relevant, als auch die Erkundung von höher gelegenen Positionen, z.B. gegenüberliegenden Hochhäusern oder Flugmaschinen wie Drohnen, bis hin zu Satellitenaufnahmen. Maßnahmen können z.B. Begehungen des Perimeters oder von höher gelegenen Räumlichkeiten, die Auswertung öffentlicher Sattelitenbilder oder eigene Drohnenflüge sein. Kann auch durch einen physischen Penetration Test sichergestellt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Perimeter", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.2.4 Grundschutz++ GEB.2.4 Elektromagnetische Abschirmung Gebäudemanagement für Standorte KANN die Elektromagnetische Abschirmung testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Elektromagnetische Abschirmung", "definitions": {}}, "guidance": "Die elektromagnetische Abschirmung von Standorten dient dem Schutz vertraulicher Informationen vor unbefugter Erfassung durch elektromagnetische Abstrahlung. Computersysteme, Netzwerkgeräte und andere elektronische Ausrüstungen senden elektromagnetische Signale aus, die außerhalb des Gebäudes abgefangen werden könnten. Dies könnte zur ungewollten Offenlegung sensibler Daten führen, wie etwa bei Van-Eck-Phreaking, bei dem Bildschirminhalte aus der Ferne rekonstruiert werden können. Ein Angreifer könnte beispielsweise mit speziellem Equipment die ausgesendeten Signale eines Monitors oder Netzwerkkabels abfangen und daraus Passwörter, Finanzdaten oder Geschäftsgeheimnisse extrahieren, ohne physischen Zugang zum Gebäude zu benötigen. Bei der Umsetzung kann eine mehrstufige Strategie verfolgt werden. Die Räumlichkeiten können mit speziellen abschirmenden Materialien wie metallischen Geweben, leitfähigen Farben oder Folienbeschichtungen ausgekleidet werden, die als \\"Faradayscher Käfig\\" wirken. Fenster können mit metallbeschichteten Gläsern oder speziellen Folien versehen werden, die elektromagnetische Strahlung blockieren. Sicherheitsbereiche können nach Sensitivität der dort verarbeiteten Daten in verschiedene Zonen eingeteilt werden, wobei nur die kritischsten Bereiche vollständig abgeschirmt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Perimeter", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Abnahmeprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.1 Grundschutz++ GEB.3.1 Überwachung von Zutrittspunkten Gebäudemanagement für Standorte SOLLTE Zutrittspunkte auf unbefugte Zutritte überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zutrittspunkte auf unbefugte Zutritte", "definitions": {}}, "guidance": "Eine kontinuierliche Überwachung der Zugangsmöglichkeiten, z.B. verschlossener Türen und Fenster an der Gebäudeaußenseite, verhindert, dass sich Unbefugte Zutritt verschaffen. Der hierzu erforderliche Personalbedarf hängt von Gebäudegröße und Schutzbedarf ab. Um den für eine kontinuierliche Überwachung erforderlichen Personalbedarf wirtschaftlich zu decken ist es zweckmäßig, Unterstützungssysteme wie Videokameras oder Einbruchsalarme einzusetzen. Die Umsetzung kann z.B. erfolgen durch Umzäunung, Kameraüberwachung, Bewegungsmelder und einen Wachdienst.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.1.1 Grundschutz++ GEB.3.1.1 Videoüberwachung Gebäudemanagement für Standorte KANN Zutritte per Video überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zutritte", "definitions": {}}, "guidance": "Die Auswertung der Videoaufzeichnungen kann je nach Risikoprofil und Geschäftsprozessen anlassbezogen und stichpunktartig, kontinuierlich durch Wachpersonal oder durch Verwendung von KI-Videoanalyse, z.B. zur Erkennung von „tail-gating“ oder zurückgelassenen Gegenständen, erfolgen. Hier besteht ein enger Zusammenhang zu Compliance-Verpflichtungen zum Datenschutz (z.B. Informationspflichten), insbesondere im öffentlichen Raum.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "per Video", "definitions": {}}} GEB.3.1 \N \N \N +Grundschutz++:GEB.3.1.2 Grundschutz++ GEB.3.1.2 Überprüfung mitgeführter Gegenstände Gebäudemanagement für Standorte KANN das Mitführen von Gegenständen überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Mitführen von Gegenständen", "definitions": {}}, "guidance": "Die Überwachung des Mitführens von Gegenständen (z.B. am Empfang) kann an Standorten mit besonderen Sicherheitsrisiken dazu beitragen, unerlaubtes Einschleusen von Diebstahlwerkzeugen, schädlichen Datenträgern oder gefährlichen Gegenständen zu verhindern. Durch eine stichprobenartige Kontrolle von Taschen, Rucksäcken oder Paketlieferungen kann erkannt werden, ob unbeaufsichtigt Materialien wie USB‑Sticks, externe Festplatten oder andere Speichermedien ins Gebäude gelangen, die vertrauliche Informationen unbemerkt abziehen könnten. Ebenso kann das Verfahren auf Metallgegenstände oder Flüssigkeiten ausgeweitet werden, um das Risiko von Diebstahl, Sabotage oder physischen Angriffen zu reduzieren. Beispielsweise könnte ein nicht registrierter Besucher eine Videokamera einschleusen und damit sensible Produktionsprozesse filmen, oder ein unbeaufsichtigter Paketbote könnte Malware‑belastete Hardware mitliefern – durch die Kontrolle am Empfang kann solchen Szenarien vorgebeugt werden. Die Umsetzung kann stichprobenartig oder durchgehend erfolgen: Einmal täglich kann eine Auswahl von Taschen stichprobenartig geöffnet und mit einer Liste erlaubter Gegenstände abgeglichen werden; hierbei kann ein einfaches Check‑in‑Formular eingesetzt werden, in das Besucherinnen und Besucher freiwillig ihre mitgeführten Gegenstände eintragen können. Ergänzend kann ein abschließender Scan mit einem Metalldetektor oder ein kurzer Blick in unverschlossene Fächer erfolgen, was den Aufwand gering hält und den Durchfluss am Empfang weniger beeinträchtigt. Hier besteht ein enger Bezug zu den Persönlichkeitsrechten der Betroffenen. Eine klar kommunizierte Hausordnung oder ein Informationsblatt kann helfen die Maßnahmen zu erläutern, sodass Besucher erkennen, dass die Kontrollen dem Schutz aller Beteiligten dienen. Gegenstände, die vorübergehend nicht mitgeführt werden dürfen, können gegen Quittung sicher deponiert werden. Auf diese Weise entsteht eine nachvollziehbare Historie, die im Fall eines Vorfalls als Nachweis dienen kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} GEB.3.1 \N \N \N +Grundschutz++:GEB.3.5 Grundschutz++ GEB.3.5 Einbruchhemmung Gebäudemanagement für Standorte KANN einbruchhemmende Bauteile nach einer entsprechenden Norm installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einbruchhemmende Bauteile", "definitions": {}}, "guidance": "Befinden sich am Standort Assets oder Geschäftsprozesse mit erhöhtem Schutzbedarf, so ist es sinnvoll, diese auch gegen hartnäckigere Einbruchsversuche zu schützen, z.B. größere Serverräume oder Datenträgerarchive, sowie Standorte im Fokus der Öffentlichkeit oder von ideologischen Gewalttätern. Die passenden Maßnahmen richten sich nach dem Risikoprofil der zu schützenden Assets, sowie der potenziellen Täter. So kann der Einbau rundum einbruchsicherer Bauteile wie Wände und Türen nach DIN EN 1627 RC3 oder besser sinnvoll sein. Für massive Bedrohungen von Außen bieten sich Poller oder hydraulische Straßensperren, ausgelegt für ein bestimmtes Gewicht bei einer bestimmten Geschwindigkeit, an. Die Anforderung ist auch dann erfüllt, wenn der Standort bereits von Dritten nach Normen wie DIN EN 1627 RC3 erbaut und abgenommen wurde.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer entsprechenden Norm}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.2 Grundschutz++ GEB.3.2 Anmelde- und Empfangsbereiche Gebäudemanagement für Standorte SOLLTE Anmelde- und Empfangsbereiche installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Anmelde- und Empfangsbereiche", "definitions": {}}, "guidance": "Die Einrichtung definierter Anmelde- und Empfangsbereiche dient der Kontrolle des physischen Zugangs zum Standort. Diese Bereiche können als erste Verteidigungslinie fungieren, indem sie einen klaren Trennpunkt zwischen öffentlichen und geschützten Zonen etablieren. Durch die strukturierte Implementierung solcher Bereiche können unbefugte Zutritte vermieden werden, die andernfalls zu Sicherheitsverletzungen führen könnten. Ein fehlendes oder unzureichendes Empfangsmanagement könnte beispielsweise dazu führen, dass nicht autorisierte Personen unkontrolliert Zugang zu sensiblen Bereichen erhalten, vertrauliche Dokumente einsehen, Firmengeheimnisse entwenden oder sogar physische Sabotageakte durchführen. Bei der Umsetzung können verschiedene Ansätze verfolgt werden, die je nach Institution und sonstigen angewendeten Sicherheitsanforderungen variieren. Der Anmeldebereich kann mit einem digitalen Besuchermanagementsystem ausgestattet werden, welches die Authentifizierung und Registrierung von Besuchern erleichtert und eine lückenlose Dokumentation ermöglicht. Ergänzend hierzu kann die räumliche Gestaltung durch klare Beschilderung, bauliche Trennung mittels Schranken oder Drehkreuzen sowie die strategische Positionierung des Empfangsbereichs optimiert werden. Zudem kann die Schulung des Empfangspersonals in Sicherheitsprotokollen und die Einführung von Besucherausweisen mit temporären Zugriffsrechten die Effektivität dieser Sicherheitsmaßnahme verstärken. Die Integration mit anderen Sicherheitssystemen wie Videoüberwachung oder elektronischen Zutrittskontrollsystemen kann ebenfalls in Betracht gezogen werden, um ein umfassendes Sicherheitskonzept zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.3 Grundschutz++ GEB.3.3 Authentifizierung vor Zutritt Gebäudemanagement für Standorte SOLLTE Zutritte im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zutritte", "definitions": {}}, "guidance": "Der Zweck der Authentifizierung von Zutritten liegt in der grundlegenden Absicherung physischer Zugänge gegen unbefugte Nutzung. Dies kann verhindern, dass Unbefugte Zugang zu sensiblen Bereichen oder Informationen erhalten. Ohne angemessene Zutrittskontrolle könnte beispielsweise ein nicht autorisierter Besucher in einen Serverraum gelangen und dort Hardware manipulieren, Datenträger entwenden oder Netzwerkkabel umstecken. Ebenso könnte ein ehemaliger Mitarbeiter ohne wirksame Authentifizierung weiterhin auf Systeme zugreifen und vertrauliche Daten entwenden oder geschäftskritische Informationen kompromittieren. Bei der Umsetzung kann ein mehrstufiger Ansatz verfolgt werden, der verschiedene Authentifizierungsfaktoren kombiniert: Wissen (z.B. PIN-Codes, Passwörter), Besitz (z.B. Chipkarten, Tokens, Schlüssel) und biometrische Merkmale (z.B. Fingerabdruck, Gesichtserkennung). Die Stärke der Authentifizierung kann dabei an die Schutzbedürftigkeit des zu schützenden Bereichs angepasst werden – für hochsensible Bereiche können Zwei- oder Mehr-Faktor-Authentifizierungen implementiert werden. Als ergänzende Maßnahme kann ein Monitoring der Zutrittsereignisse eingerichtet werden, das ungewöhnliche Zugriffsversuche erkennt und meldet. Zudem kann die regelmäßige Überprüfung und Aktualisierung der Zutrittsberechtigungen dazu beitragen, dass nur aktuell berechtigte Personen Zugang erhalten. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.3.1 Grundschutz++ GEB.3.3.1 Zugangskontrollanlage Gebäudemanagement für Standorte KANN Zutritte durch einen automatiserten Mechanismus im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements authentifizieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zutritte durch {{einen automatiserten Mechanismus}}", "definitions": {}}, "guidance": "Der Einsatz einer automatischen Zugangskontrollanlage zur Authentifizierung von Personen dient primär dem Schutz von sensiblen Bereichen, vertraulichen Informationen und kritischer Infrastruktur. Durch diese Maßnahme kann sichergestellt werden, dass nur autorisierte Personen Zutritt zu geschützten Bereichen erhalten, wodurch das Risiko von Industriespionage, Datendiebstahl oder Sabotage erheblich reduziert werden kann. Ohne eine solche Kontrolle könnte es beispielsweise zu unbefugtem Zutritt durch Fremde kommen, die sich als Mitarbeiter ausgeben, oder zu einem \\"Tailgating\\"-Vorfall, bei dem Unbefugte autorisierten Personen unbemerkt folgen und sich so Zugang verschaffen. Bei der Implementierung einer automatischen Zugangskontrollanlage kann eine mehrfaktorielle Authentifizierung in Betracht gezogen werden, die auf einer Kombination aus Besitz (z.B. Chipkarte, Token), Wissen (PIN-Code, Passwort) und/oder biometrischen Merkmalen (Fingerabdruck, Gesichtserkennung) basiert. Die Zugangsrechte können granular nach Personengruppen, Zeitfenstern und Bereichen differenziert werden, was die Sicherheit weiter erhöht. Für eine effektive Umsetzung kann die regelmäßige Überprüfung der Protokolle der Zugangskontrollanlage auf ungewöhnliche Aktivitäten hilfreich sein, ebenso wie regelmäßige Sensibilisierungsmaßnahmen für Mitarbeiter bezüglich der korrekten Nutzung der Anlage und der Vermeidung von Sicherheitslücken wie dem gemeinsamen Nutzen von Zugangsmitteln. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} GEB.3.3 \N \N \N +Grundschutz++:GEB.3.3.2 Grundschutz++ GEB.3.3.2 Dokumentation von Zutritten Gebäudemanagement für Standorte KANN Zutritte und Austritte mit Identität und Zeitpunkt dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zutritte und Austritte", "definitions": {}}, "guidance": "Im Kontext dieser Anforderung bedeutet Identität die eindeutige Zuordnung einer Person zu einem Zutritt oder Austritt, etwa durch Namensangabe, Personalnummer oder ein elektronisches Identifikationsmerkmal wie eine Chipkarte. Der Zeitpunkt ist die präzise Erfassung von Datum und Uhrzeit, an dem ein Zutritts- oder Austrittsvorgang stattfindet. Diese beiden Informationen können so kombiniert werden, dass nachvollziehbar wird, wer zu welchem Zeitpunkt ein Gebäude oder einen bestimmten Bereich betreten oder verlassen hat. Dies gilt sowohl für Mitarbeitende als auch für Besuchende. Für die Umsetzung kann eine Institution z.B. elektronische Zutrittskontrollsysteme einsetzen, die beim Karten- oder Transpondereinsatz automatisch Identität und Zeitpunkt speichern. Auch ein biometrisches Terminal kann die Anforderung erfüllen, wenn es die Daten mit Zeitstempel dokumentiert. Als einfachere Variante kann ein digital geführtes Besucherbuch genutzt werden, in das Namen und Uhrzeit bei Ein- und Austritt eingetragen werden. Eine Institution kann ergänzend festlegen, dass Daten regelmäßig exportiert und manipulationssicher archiviert werden, sodass spätere Prüfungen möglich sind. Hilfreich kann zudem sein, bei Zutrittskarten eine Schnittstelle zur HR-Verwaltung einzurichten, damit Identitäten bei Austritt von Mitarbeitenden automatisch deaktiviert werden und die Dokumentation lückenfrei bleibt. Diese Protokolle dienen als wichtige Grundlage für forensische Analysen und können zur Aufklärung von Diebstahl, Sabotage oder unbefugtem Datenzugriff beitragen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Identität und Zeitpunkt", "definitions": {}}} GEB.3.3 \N \N \N +Grundschutz++:GEB.3.3.3 Grundschutz++ GEB.3.3.3 Besucheranmeldung Gebäudemanagement für Standorte SOLLTE Besuche durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Besuche", "definitions": {}}, "guidance": "Der Begriff „Besuche“ bezeichnet in diesem Kontext physische Zutritte externer Personen wie Dienstleister, Lieferanten oder Gäste, die sich nicht dauerhaft im Gebäude aufhalten und daher besondere Anforderungen an die Zutrittsregelung stellen. Die Autorisierung von Besuchen meint hier, dass ein Besuch vor Betreten der Räumlichkeiten durch eine verantwortliche Stelle vorab geprüft, freigegeben und dokumentiert wird – dies kann formell (z. B. digitaler Antrag) oder informell (z. B. Genehmigung per E-Mail) erfolgen. Der Zweck dieser Vorschrift liegt darin, unkontrollierten Zutritt und damit verbundene Risiken zu verhindern: Unangemeldete Besucher könnten beispielsweise unbefugt vertrauliche Informationen einsehen oder technische Anlagen manipulieren. Eine klare Autorisierung kann dagegen sicherstellen, dass nur berechtigte Personen Zutritt erhalten und gleichzeitig nachvollziehbar bleibt, wer sich wann und aus welchem Grund im Gebäude aufgehalten hat. Für die Umsetzung kann eine Institution etwa ein digitales Besuchermanagementsystem einsetzen, das Einladungen erstellt, Genehmigungen einholt und Einlasscodes zeitlich begrenzt vergibt. Alternativ kann ein analoges Verfahren genutzt werden, bei dem Besucherausweise am Empfang ausgegeben und gegen Vorlage eines Ausweisdokuments registriert werden. Um Warteschlangen am Empfang zu verringern, kann die Autorisierung des Besuchs auch im Voraus abgewickelt werden, z.B. über eine mobile QR-Vorregistrierung mit Verifizierung der Identität über den digitalen Ausweis. Eine einfache, aber wirksame Maßnahme kann auch die Vorabstimmung über Besuchslisten sein, die tagesaktuell an Empfang oder Sicherheitspersonal übermittelt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} GEB.3.3 \N \N \N +Grundschutz++:GEB.3.4 Grundschutz++ GEB.3.4 Berechtigungsmarkierung Gebäudemanagement für Nutzende von Standorten KANN zum Tragen von gut sichtbaren Berechtigungsmarkierungen innerhalb des Sicherheitsperimeters anweisen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Tragen von gut sichtbaren Berechtigungsmarkierungen innerhalb des Sicherheitsperimeters", "definitions": {}}, "guidance": "Unter Berechtigungsmarkierungen sind physische Kennzeichen wie Ausweise, Badges, Namensschilder oder Kartenhalter zu verstehen, die eine eindeutige Zuordnung einer Person zu ihrer Zugangsberechtigung ermöglichen. Sie können zudem farblich, mit Fotos oder Barcodes gestaltet sein, um unterschiedliche Zutrittsrechte auf einfache Weise erkennbar zu machen. Der Sinn einer solchen Vorgabe liegt darin, dass unbefugte Personen leichter auffallen und damit potenzielle Gefährdungen frühzeitig erkannt werden. So könnte ein Vorfall entstehen, wenn sich Unbefugte unbemerkt Zutritt zu kritischen Bereichen verschaffen, indem sie sich in einer Gruppe mit berechtigten Personen bewegen. Dagegen kann eine sichtbare Berechtigungsmarkierung helfen, Anomalien rasch zu erkennen und eine unauffällige, aber effektive Zugangskontrolle im Alltag zu unterstützen. Dies gilt sowohl für Mitarbeitende als auch für Besuchende. Für die Umsetzung kann eine Institution beispielsweise darauf achten, dass Markierungen gut sichtbar an Kleidung oder einem Schlüsselband getragen werden können. Sie kann auch unterschiedliche Farbkennungen nutzen, um klar zwischen Besuchenden, Dienstleistern und Mitarbeitenden zu unterscheiden. Für Besuche kann ein einfaches Verfahren eingeführt werden, mit dem Besuchende beim Betreten des Gebäudes ein temporäres Ausweisdokument erhalten, das bei Verlassen wieder zurückzugeben ist. Um die Akzeptanz zu erhöhen, kann das Gebäudemanagement praktikable Trageoptionen wie Clips, Lanyards oder magnetische Halterungen bereitstellen, die den Alltag nicht behindern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.3.6 Grundschutz++ GEB.3.6 Einbruchmeldeanlagen Gebäudemanagement für Standorte KANN Einbrüche nach einer entsprechenden Norm überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Einbrüche", "definitions": {}}, "guidance": "Für Standorte mit erhöhtem Schutzbedarf ist eine Einbruchmeldeanlage sinnvoll. Die Anforderung gilt erst dann als umgesetzt, wenn alle vorhandenen Türen, Fenster und sonstige geschützte Öffnungen über die Einbruchmeldeanlage auf Verschluss, Verriegelung und Durchbruch überwacht werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Physischer Zutritt", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Gebäudemanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer entsprechenden Norm}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.4.1 Grundschutz++ GEB.4.1 Einrichtung Gebäudemanagement für Standorte KANN geschlossene Sicherheitsbereiche installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "geschlossene Sicherheitsbereiche", "definitions": {}}, "guidance": "Ein Sicherheitsbereich ist ein klar abgegrenzter physischer Raum, für die ein eigener Perimeter eingerichtet wird und dessen Betreten ausschließlich autorisiertem Personal oder unter engen Voraussetzungen gestattet wird. Solche Bereiche dienen dem Schutz von Personen, Anlagen, sensiblen Informationen oder betriebskritischen Prozessen. Standorte oder Teile eines Standortes mit erhöhtem Schutzbedarf können so vor unbefugten Eingriffen geschützt werden, z.B. Serverräume, Arbeitsplätze für Administrierende oder die Institutionsleitung. Zur Umsetzung können z.B. Zutrittskontrollanlagen oder Bewachung eingesetzt werden. Wenn es sich um Hochsicherheitsbereiche handelt, kann der Zutritt mit einem Mehr-Faktor-Verfahren (z.B. Smartcard mit PIN) davor geschützt werden, dass Unbefugte sich durch entwendete Schlüssel oder Authentifizierungstoken Zugang verschaffen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Sicherheitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.4.2 Grundschutz++ GEB.4.2 Gesonderte Autorisierung Gebäudemanagement für Standorte KANN die Zutrittsberechtigung zu diesem Sicherheitsbereich durch eine zuständige Person oder Rolle autorisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zutrittsberechtigung zu diesem Sicherheitsbereich", "definitions": {}}, "guidance": "Eine zuständige Person oder Rolle kann beispielsweise die Sicherheitsbeauftragte, der Standortleiter, eine definierte Facility-Management-Rolle oder ein zentrales Berechtigungsmanagement sein. Die Anforderung bedeutet, dass der Zutritt zu einem definierten Sicherheitsbereich – also einem räumlich abgegrenzten Bereich, in dem sensible Werte wie IT-Systeme, Netzwerktechnik oder vertrauliche Unterlagen geschützt werden – nicht automatisch, sondern nur durch eine bewusste Autorisierung erteilt werden kann. Sinn und Zweck dieser Regelung liegt darin, unbefugte Zugriffe zu verhindern, die etwa durch unkontrollierte Weitergabe von Schlüsseln oder Zutrittskarten entstehen könnten. Ein Vorfall könnte sein, dass ein ehemaliger Mitarbeiter noch Zugang erhält und vertrauliche Unterlagen entwendet; durch eine klare Autorisierung kann sichergestellt werden, dass nur tatsächlich berechtigte Personen Zutritt erhalten. Zur Umsetzung kann eine Institution ein abgestuftes Verfahren einrichten, bei dem die Autorisierung dokumentiert und nachvollziehbar erfolgt. Dies kann z. B. durch ein zentrales elektronisches Zutrittskontrollsystem erfolgen, bei dem eine zuständige Rolle die Rechte gezielt freischalten und zeitlich begrenzen kann. Auch eine papierbasierte Liste mit Zutrittsberechtigungen kann sinnvoll sein, solange sie regelmäßig geprüft und aktualisiert wird. Praktisch hilfreich kann es sein, wenn (1) jede Berechtigung mit einem Enddatum versehen wird, (2) der Widerruf von Berechtigungen in die Prozesse für Personaländerungen integriert wird, und (3) das Gebäudemanagement regelmäßig Berichte über aktive Berechtigungen an die zuständige Person liefert. So kann sichergestellt werden, dass Zutrittsrechte nicht veralten und jederzeit eine klare Zuordnung von Personen zu Sicherheitsbereichen besteht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Sicherheitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Identitäts- und Berechtigungsmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.4.3 Grundschutz++ GEB.4.3 Schleusen Gebäudemanagement für Standorte KANN Schleusen an Zugangspunkten installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schleusen an Zugangspunkten", "definitions": {}}, "guidance": "Eine Schleuse bezeichnet im Gebäudemanagement eine bauliche oder technische Einrichtung, die den Zutritt an einem Zugangspunkt so regelt, dass jeweils nur eine Person oder ein definiertes Objekt kontrolliert den Bereich passieren kann. Typische Formen sind Personenvereinzelungsanlagen wie Drehkreuze, Sicherheitsschleusen mit zwei Türen, die nie gleichzeitig geöffnet sind, oder Materialschleusen für Lieferungen. Der Sinn einer solchen Einrichtung liegt darin, unkontrolliertes Eindringen oder das Einschleusen unbefugter Personen zu verhindern. Ohne Schleusen könnte etwa jemand einer berechtigten Person unbemerkt folgen („Tailgating“) oder mehrere Personen gleichzeitig eine Zugangskarte verwenden. Mit Schleusen kann dagegen sichergestellt werden, dass jede Person oder jedes Transportgut einzeln überprüft wird und Manipulationsversuche erkannt werden. Für die Umsetzung kann eine Institution verschiedene Maßnahmen wählen: (1) Eine Schleuse kann mit Zutrittskontrollsystemen gekoppelt werden, sodass Türen erst nach erfolgreicher Authentifizierung (z. B. Kartenleser oder biometrische Erkennung) freigegeben werden. (2) Sensoren wie Gewichtssensoren oder 3D-Kameras können zusätzlich eingesetzt werden, um das Mitführen weiterer Personen zu erkennen. (3) Bei Material- oder Lieferantenschleusen kann ein Zwei-Personen-Prinzip implementiert werden, sodass ein Mitarbeiter der Institution den Vorgang begleitet. Auch prozessuale Ergänzungen wie regelmäßige Tests der Schleusenfunktionen, klare Regelungen zum Verhalten bei Fehlalarmen oder Hinweisschilder für Besucher können die Wirksamkeit erhöhen. So kann der Zugang zum Gebäude an kritischen Punkten kontrolliert und ein hohes Maß an physischer Sicherheit erzielt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Sicherheitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.4.4 Grundschutz++ GEB.4.4 Vereinzelungsanlage Gebäudemanagement für Standorte KANN Vereinzelungsanlagen an Zugangspunkten installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Vereinzelungsanlagen an Zugangspunkten", "definitions": {}}, "guidance": "Eine Vereinzelungsanlage ist eine technische Einrichtung, die den gleichzeitigen Zutritt mehrerer Personen verhindert und so den Zugang zu besonders sensiblen Bereichen kontrolliert. Typische Beispiele sind Drehkreuze, Personenschleusen oder Sicherheitsschleusen mit Gewichtssensoren. Der Sinn dieser Maßnahme liegt darin, unbefugtes Betreten durch sogenanntes „Tailgating“ (eine Person folgt unberechtigt einer berechtigten Person) oder durch Einschleusen mehrerer Personen mit einem Zugangsausweis zu verhindern. Ohne solche Einrichtungen könnte es passieren, dass fremde Personen unerkannt in Serverräume oder Entwicklungsbereiche gelangen. Mit einer Vereinzelungsanlage kann hingegen zuverlässig sichergestellt werden, dass nur eine eindeutig identifizierte Person Zutritt erhält. Für die Umsetzung kann eine Institution mehrere Möglichkeiten nutzen: (1) Drehkreuze oder Sensorschleusen können an Hauptzugängen zu Bereichen mit kritischen Informationen eingesetzt werden, wobei sie mit Zutrittskontrollsystemen wie Chipkarten- oder Biometrie-Lesern kombiniert werden können. (2) Eine Zwei-Türen-Schleuse kann eingerichtet werden, die erst die zweite Tür freigibt, wenn die erste korrekt geschlossen ist und die Person authentifiziert wurde. (3) Sensorische Zusatzkontrollen wie Gewichtserkennung oder Volumendetektion können dabei helfen, dass keine zweite Person unerkannt mit hindurchgeht. Zudem kann die Wirksamkeit erhöht werden, wenn diese Systeme mit klaren Nutzungsregeln, wie Schulungen zum richtigen Durchschreiten und Hinweisschildern, ergänzt werden. Auch ein regelmäßiger Funktionstest der Anlagen kann helfen, Manipulation oder Fehlfunktionen frühzeitig zu erkennen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Sicherheitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.5.1 Grundschutz++ GEB.5.1 Clean Desk Gebäudemanagement für Räume SOLLTE zum Aufräumen von vertraulichen Dokumenten und Datenträgern vor dem Verlassen des Arbeitsplatzes anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Aufräumen von vertraulichen Dokumenten und Datenträgern", "definitions": {}}, "guidance": "Ein aufgeräumter Arbeitplatz („Clean Desk Policy“) kann dazu beitragen, Informationssicherheit und Datenschutz am Arbeitsplatz zu stärken, indem sie verhindert, dass vertrauliche Unterlagen, Datenträger oder elektronische Geräte unbefugt eingesehen oder entwendet werden. Durch konsequentes Aufräumen am Ende des Arbeitstages oder bei längeren Abwesenheiten kann das Risiko von Datenlecks, Industriespionage oder versehentlicher Offenlegung sensibler Informationen minimiert werden. Gleichzeitig kann eine aufgeräumte Arbeitsumgebung die Konzentration und Effizienz der Mitarbeitenden fördern, da unnötige Ablenkungen reduziert werden und das Wiederfinden wichtiger Unterlagen beschleunigt wird. Hierzu gehören sowohl physische Unterlagen wie Akten, Notizzettel oder Ausdrucke mit personenbezogenen oder geschäftskritischen Daten, als auch elektronische Datenträger oder Bildschirminhalte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Gemeinsame Arbeitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Verlassen des Arbeitsplatzes", "definitions": {}}} \N \N \N \N +SCF:BCD-09.3 SCF BCD-09.3 Alternate Site Priority of Service Mechanisms exist to address priority-of-service provisions in alternate processing and storage sites that support availability requirements, including Recovery Time Objectives (RTOs). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09.3_BCD-09.3_A01", "name": "assessment-objective", "prose": "alternate processing site agreements that contain priority-of-service provisions in accordance with availability requirements (including recovery time objectives) are developed."}]} \N \N \N \N +Grundschutz++:GEB.5.3 Grundschutz++ GEB.5.3 Lieferzugang Gebäudemanagement für Standorte SOLLTE einen Zugang für die Abwicklung von Lieferungen ohne unbefugten Zugang zum restlichen Standort installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Zugang für die Abwicklung von Lieferungen", "definitions": {}}, "guidance": "Ein Zugang für die Abwicklung von Lieferungen ist ein baulich abgegrenzter Bereich (engl. delivery access point), der es ermöglicht, Waren, Material oder technische Geräte geschützt vor sonstigen äußeren Einflüssen anzunehmen bzw. abzugeben, ohne dass Lieferpersonal oder externe Dienstleister unkontrollierten Zutritt zu sicherheitsrelevanten Bereichen in der Institution erhalten. Unbefugter Zugang meint hierbei jeden Zutritt durch Personen, die für den betroffenen Standort oder bestimmte Schutzbereiche keine Zutrittsberechtigung besitzen (engl. unauthorized access). Der Sinn dieser Vorgabe liegt darin, Risiken durch unkontrollierte physische Zugänge zu minimieren: Ein Lieferant könnte etwa versehentlich oder absichtlich in interne Büro- oder Technikbereiche gelangen und dadurch vertrauliche Informationen, IT-Geräte oder Zugangsdaten einsehen oder entwenden. Eine bauliche und organisatorische Trennung kann dagegen gewährleisten, dass Lieferungen gesteuert angenommen, geprüft und weiterverarbeitet werden, ohne sicherheitskritische Bereiche zu gefährden. Beispielsweise kann es je nach Standort sinnvoll sein: (1) separate Schleusen- oder Annahmebereiche mit kontrollierter Türverriegelung, (2) Gegensprechanlagen oder Kameraeinrichtungen zur Identifikation von Lieferanten, (3) zeitlich begrenzte oder zonenbeschränkte Zutrittsberechtigungen über elektronische Zugangssysteme, sowie (4) baulich getrennte Lieferzonen mit Sichtschutz und gesichertem Übergabepunkt einzurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Gemeinsame Arbeitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "ohne unbefugten Zugang zum restlichen Standort", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.5.4 Grundschutz++ GEB.5.4 Schutz gegen Manipulation Gebäudemanagement für IT-Systeme KANN Manipulationsschutzvorkehrungen installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Manipulationsschutzvorkehrungen", "definitions": {}}, "guidance": "Manipulationsschutzvorkehrungen sind physische oder technische Schutzmaßnahmen („tamper protection measures“), die darauf ausgelegt sind, unbefugte Eingriffe, Veränderungen oder Beschädigungen an IT-Systemen oder deren Infrastruktur frühzeitig zu verhindern oder zumindest erkennbar zu machen. Der Begriff „gemeinsame Arbeitsbereiche“ („shared workspaces“) umfasst Räumlichkeiten, in denen mehrere Personen, Teams oder Abteilungen gleichzeitig arbeiten, wodurch sich naturgemäß ein erhöhtes Risiko unkontrollierter Zugriffe auf technische Einrichtungen ergibt. Der Zweck dieser Anforderung liegt darin, die Integrität und Verfügbarkeit der eingesetzten Systeme zu wahren und Manipulationen vorzubeugen, die durch unbeaufsichtigte physische Zugriffe oder verdeckte Eingriffe erfolgen könnten. Ein ungeschütztes Gerät in einem frei zugänglichen Raum könnte beispielsweise durch das unbemerkte Einstecken manipulierter USB-Geräte oder das Entfernen von Netzwerkkabeln kompromittiert werden, während ein gezielter Eingriff in eine Serversteckdose zu Systemausfällen führen könnte. Eine Manipulationsschutzvorkehrung kann hier den Nachweis eines Eingriffs ermöglichen oder diesen bereits im Ansatz verhindern. Beispielsweise kann sinnvoll sein: (1) die Verwendung manipulationssicherer Gehäuse oder Gehäusesiegel, (2) der Einsatz von abschließbaren IT-Racks oder gesicherten Anschlussfeldern, (3) die Integration physischer Sensoren, die bei Gehäuseöffnung Alarmmeldungen erzeugen, oder (4) die Kennzeichnung und regelmäßige Sichtprüfung von Geräten auf Manipulationsspuren. Auch der gezielte Einbau von IT-Komponenten in erhöhten, kameragesicherten oder besonders einsehbaren Bereichen kann eine praktikable Schutzwirkung entfalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Gemeinsame Arbeitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.5.5 Grundschutz++ GEB.5.5 Physische Mikrosegmentierung Gebäudemanagement für IT-Systeme KANN eine physische Mikrosegmentierung installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine physische Mikrosegmentierung", "definitions": {}}, "guidance": "Bei der physischen Mikrosegmentierung in der Sicherheitsarchitektur geht es darum, unterschiedliche physische Grenzen innerhalb gemeinsam genutzter Einrichtungen zu schaffen, um verschiedene Sicherheitsbereiche zu isolieren und zu schützen. Dies ist besonders wichtig für Umgebungen, in denen Assets mit verschiedenen Sicherheitseigenschaften nebeneinander existieren. Bei dieser Strategie werden bauliche Maßnahmen eingesetzt, wie z. B. getrennte Eingänge, dedizierte Versorgungssysteme, Fallen, abgeschottete HLK-Anlagen, physisch getrennte Netzwerkinfrastrukturen und zugangskontrollierte Zonen, um die seitliche Bewegung von Bedrohungen zu verhindern und gleichzeitig die Einhaltung von Vorschriften zu gewährleisten. Zu den üblichen Anwendungen gehören Bürogebäude mit mehreren Mietparteien, in denen verschiedene Institutionen eine Trennung benötigen, Colocation-Rechenzentren mit kundenspezifischer Geräteisolierung, gemeinsam genutzte Regierungseinrichtungen mit unterschiedlichen Klassifizierungsanforderungen und Campus-Umgebungen, in denen miteinander verbundene Gebäude unterschiedliche Sicherheitsperimeter aufrechterhalten müssen - all dies unterstützt ein umfassendes Risikomanagement und die Eindämmung von Vorfällen. Maßnahmen können z.B. intelligenten Schlössern an Käfigtüren und Sensoren an den Seitenwänden von Serverracks sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Gemeinsame Arbeitsbereiche", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.6.1 Grundschutz++ GEB.6.1 Zugang zu Ausgabesystemen Gebäudemanagement für IT-Systeme SOLLTE den Zugang zu nicht-öffentlichen Ausgabesystemen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugang zu nicht-öffentlichen Ausgabesystemen", "definitions": {}}, "guidance": "Ausgabesysteme sind z.B. Monitore oder Drucker. Nicht-öffentlich sind diese, wenn darauf schützenswerte Inhalte ausgegeben werden, z.B. Arbeitsplätze von internen Sachbearbeitern, Netzdrucker der Personalabteilung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Platzierung von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.6.2 Grundschutz++ GEB.6.2 Geschützte Aufstellung Gebäudemanagement für IT-Systeme SOLLTE diese geschützt vor dem Zugriff von Unbefugten platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese geschützt vor dem Zugriff von Unbefugten", "definitions": {}}, "guidance": "„Unbefugter Zugriff“ bedeutet in diesem Kontext jeder physische Zutritt oder jede Manipulation durch Personen, die keine rechtmäßige Berechtigung für die Nutzung, Wartung oder Überwachung dieser Systeme besitzen. Der Sinn und Zweck dieser Vorgabe liegt im Schutz vor Verlust, Manipulation oder Unterbrechung des Betriebs durch unkontrollierte physische Einwirkungen. Ohne geeignete Schutzmaßnahmen könnte ein unbefugter Dritter Systeme entwenden, manipulieren oder absichtlich beschädigen; ebenso könnte durch unkontrollierten Zutritt das Risiko von Stromausfällen oder Fehlbedienungen entstehen. Eine angemessene bauliche Platzierung kann hingegen sicherstellen, dass nur autorisierte Personen Zugang erhalten und die Verfügbarkeit sowie Integrität der Systeme langfristig gewährleistet bleibt. Eine Umsetzung kann durch baulich-technische Maßnahmen wie verschließbare Serverschränke mit dokumentierter Schlüsselverwaltung oder den Einsatz von Zugangskontrollen mit elektronischen Schließsystemen erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Platzierung von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.6.2.1 Grundschutz++ GEB.6.2.1 Hostsysteme Gebäudemanagement für Hostsysteme SOLLTE diese ausschließlich in Serverräumen platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese ausschließlich in Serverräumen", "definitions": {}}, "guidance": "Sinn und Zweck dieser Anforderung liegt darin, die Risiken durch unkontrollierten physischen Zugriff oder Umwelteinflüsse zu reduzieren: Ohne räumliche Trennung könnte ein Mitarbeiter versehentlich gegen ein frei im Büro aufgestelltes Hostsystem stoßen und es beschädigen, oder ein Besucher könnte unbemerkt Manipulationen vornehmen. Durch Platzierung in einem Serverraum kann hingegen erreicht werden, dass Geräte vor unbefugtem Zugriff geschützt sind und kontrollierte Umgebungsbedingungen wie Temperatur oder Luftfeuchtigkeit den zuverlässigen Betrieb fördern. Praktisch kann es hilfreich sein, Hostsysteme in standardisierten Serverschränken unterzubringen, die zusätzlich verschließbar sind, und regelmäßig zu prüfen, ob keine Fremdgeräte unautorisiert im Serverraum abgestellt wurden. Auf diese Weise kann die Institution sicherstellen, dass Hostsysteme physisch geschützt und unter stabilen Betriebsbedingungen betrieben werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Platzierung von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} GEB.6.2 \N \N \N +Grundschutz++:GEB.6.3 Grundschutz++ GEB.6.3 Netzkomponenten Gebäudemanagement für Netze SOLLTE für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur", "definitions": {}}, "guidance": "„Für die Funktionsfähigkeit des Netzes erforderliche Systeme“ sind in diesem Kontext alle physischen und logischen Komponenten, deren Betrieb direkt die Verfügbarkeit, Integrität oder Steuerbarkeit von Netzwerken beeinflusst — etwa aktive Netzwerkkomponenten (engl. network devices) wie Router, Switches, Firewalls oder Netzwerkmanagementsysteme (engl. Network Management Systems, NMS). Die Definition von „Räumen für technische Infrastruktur“ ist in den Definitionen für Zielobjekte zu finden. Diese Räume sind typischerweise mit einer kontrollierten physischen Zugangsbeschränkung, Klimatisierung, Brandfrüherkennung und einer stabilen Stromversorgung (z. B. über USV-Anlagen) ausgestattet. Die Anforderung gewährleistet somit, dass netzkritische Systeme räumlich von allgemeinen Arbeits- oder Aufenthaltsbereichen getrennt sind, um deren Sicherheit und Stabilität zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Platzierung von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.6.4 Grundschutz++ GEB.6.4 Normgerechte Rechenzentren Gebäudemanagement für Serverräume KANN diese ausschließlich in Rechenzentren nach einer anerkannten Norm platzieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese ausschließlich in Rechenzentren", "definitions": {}}, "guidance": "Rechenzentren entsprechen einer anerkannten Norm, wenn sie nach den einschlägigen technischen, sicherheitsrelevanten und organisatorischen Standards für Rechenzentren errichtet und erhalten werden, wie sie etwa in ISO/IEC 22237, EN 50600 oder vergleichbaren Vorgaben beschrieben sind. In der Fachsprache wird häufig von „compliant data centers“ gesprochen. Solche Rechenzentren verfügen über definierte Schutzklassen hinsichtlich physischer Sicherheit, Energieversorgung, Klimatisierung, Brandfrüherkennung und Zutrittskontrolle. Sie gewährleisten kontrollierte Umgebungsbedingungen und eine hohe Verfügbarkeit (Availability Class) für serverbasierte IT-Systeme. Die Platzierung von Serverräumen ausschließlich in diesen Umgebungen kann sicherstellen, dass physische und infrastrukturelle Risiken minimiert werden, etwa durch den Wegfall von unsicheren Eigenbauten oder provisorischen Standorten. Der Zweck dieser Vorgabe liegt in der Risikoreduktion durch Standardisierung und geprüfte baulich-technische Schutzmaßnahmen. Ohne solche Umgebungen könnte beispielsweise ein Stromausfall, eine unzureichende Klimatisierung oder ein lokaler Brand unbemerkt zum Ausfall kritischer Systeme führen, während ein unzureichend gesicherter Standort auch unbefugten physischen Zugriff ermöglichen könnte. Die Nutzung normgerechter Rechenzentren kann demgegenüber die Verfügbarkeit und Integrität der Systeme erhöhen, da Ausfälle und Umwelteinflüsse frühzeitig erkannt und kontrolliert behandelt werden können. Eine Institution kann dies etwa durch die Unterbringung ihrer Server in einem zertifizierten Colocation-Rechenzentrum (z. B. ISO/IEC 27001 und EN 50600-konform), durch die Nutzung eines Tier III- oder Tier IV-Datacenters nach Uptime Institute-Standard oder durch den Umzug bestehender Systeme in eine baulich und betrieblich geprüfte Hosting-Umgebung umsetzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Platzierung von Assets", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer anerkannten Norm}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.7.1 Grundschutz++ GEB.7.1 Schlüsselbeauftragte Gebäudemanagement für Standorte SOLLTE die Verwaltung von Schlüsseln zuständigen Personen oder Rollen zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verwaltung von Schlüsseln", "definitions": {}}, "guidance": "Bei der Verwaltung von Schlüsseln werden physische Schlüssel und digitale Zugangsmittel wie RFIDs für Gebäude, Räume oder Schränke ausgegeben, zurückgenommen und deren Nutzung dokumentiert. Mögliche Ausprägungen für zuständige Personen oder Rollen können (1) Facility-Management, (2) IT-Sicherheitsbeauftragte, (3) Empfangs- oder Pförtnerdienste oder (4) ein zentrales Schlüsselmanagement-Team sein. Der Zweck der Vorschrift liegt darin, Risiken durch unkontrollierte Schlüsselvergabe zu reduzieren. Ohne klare Zuweisung könnte es zu unbefugtem Zutritt, Diebstahl oder Manipulation an kritischen Bereichen kommen. Durch eine geregelte Schlüsselverwaltung kann hingegen nachvollziehbar und kontrolliert gesteuert werden, wer physischen Zugang zu sicherheitsrelevanten Bereichen erhält. Zur Umsetzung können Institutionen (1) Schlüssellisten auf Papier oder in Form einer Berechtigungsmatrix führen, die regelmäßig gepflegt und abgeglichen wird, (2) Reserveschlüssel zentral und sicher verwahren, damit im Verlustfall ein geregelter Ersatz möglich ist, und (3) sicherstellen, dass nicht mehr benötigte Schlüssel zeitnah zurückgenommen und dokumentiert werden. Technisch kann die Verwaltung durch nummerierte Schlüsselanhänger oder anonymisierte Kennzeichnungen unterstützt werden, sodass keine Rückschlüsse auf den Einsatzort möglich sind. Auch ein einfaches Verfahren, bei dem die Rücknahme von Schlüsseln mit Datum und Unterschrift bestätigt wird, kann Transparenz schaffen und spätere Unklarheiten verhindern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schlüsselverwaltung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.8.1 Grundschutz++ SENS.2.8.1 Melden von Fehler- und Warnmeldungen Sensibilisierung für Nutzende SOLLTE zum Melden von Fehler- und Warnmeldungen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Error Handling", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Melden von Fehler- und Warnmeldungen", "definitions": {}}, "guidance": "Unerwartete Fehler- oder Warnmeldungen könnten ein Indiz für weitreichendere Störungen oder sogar einen Angriff sein. Das Melden von Fehler- oder Warnmeldungen ist daher im Zweifel eine gute Idee nicht nur um den Betrieb aufrechtzuerhalten, sondern auch um die Informationssicherheit zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} SENS.2.8 \N \N \N +Grundschutz++:GEB.7.2 Grundschutz++ GEB.7.2 Verwahrung von Schlüsseln Gebäudemanagement für Standorte SOLLTE zur Verwahrung von Schlüsseln anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Verwahrung von Schlüsseln", "definitions": {}}, "guidance": "Eine Verwahrung ist eine Aufbewahrung von Zugangssschlüsseln derart, dass Unbefugte keinen Zugriff hierauf haben. Dies kann durch das Mitführen der Schlüssel, oder durch eine verschlossene Aufbewahrung, z.B. in einem Schlüsselschrank, umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schlüsselverwaltung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.7.3 Grundschutz++ GEB.7.3 Schlüsselaudit Gebäudemanagement für Standorte SOLLTE die vorhandenen Schlüssel regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die vorhandenen Schlüssel", "definitions": {}}, "guidance": "Ohne eine solche Kontrolle könnten z. B. verlorene, vergessene oder unregistrierte Schlüssel im Umlauf bleiben, was zu einem unerkannten Sicherheitsrisiko führt. Ein Vorfall könnte darin bestehen, dass ein ehemaliger externer Dienstleister noch Zugang zu Räumen hat, in denen vertrauliche Unterlagen oder wertvolle Geräte aufbewahrt werden, oder dass ein entwendeter Schlüssel später unbemerkt für Einbruch und Diebstahl genutzt wird. Praktisch kann eine Institution dies umsetzen, indem sie ein aktuelles Schlüsselinventar führt und dieses in festgelegten Abständen mit den tatsächlich im Umlauf befindlichen Schlüsseln abgleicht. Sinnvoll ist auch, bei der Überprüfung nicht nur auf Vollständigkeit, sondern auf Plausibilität zu achten – beispielsweise ob Schlüssel für inzwischen nicht mehr genutzte Räume weiterhin im Umlauf sind. Bei normalen Schutzbedarf genügt eine stichprobenartige Kontrolle, Schlüssel mit höherem Schutzbedarf (z.B. für Sicherheitsbereiche) dagegen bedürfen in der Regel einer häufigeren, vollständigen Kontrolle.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schlüsselverwaltung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.8.1 Grundschutz++ GEB.8.1 Gesonderte Aufbewahrung Gebäudemanagement für Standorte SOLLTE geschäftskritische Speichermedien in verschließbaren Schutzeinrichtungen platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "geschäftskritische Speichermedien in verschließbaren Schutzeinrichtungen", "definitions": {}}, "guidance": "Vertrauliche Speichermedien, die ungesichert herumliegen (sowohl analoge Dokumente als auch digitale Datenträger) sind ein leichtes Ziel für Diebstahl und können versehentlich verloren gehen oder beschädigt werden; eine angemessene Sicherung erfolgt durch Aufbewahrung in abschließbaren Schränken, in Safes oder in dedizierten, gesicherten Räumlichkeiten, wobei die Anforderung auch dann als erfüllt gilt, wenn ein fest verbautes Behältnis genutzt wird, beispielsweise ein Safe-Raum.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Verwahrung von Speichermedien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.8.1.1 Grundschutz++ GEB.8.1.1 Archiv Gebäudemanagement für Standorte KANN geschäftskritische Speichermedien in Datenträgerarchiven platzieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Langzeitarchivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "geschäftskritische Speichermedien in Datenträgerarchiven", "definitions": {}}, "guidance": "Geschäftskritische Datenträger lagern in gesicherten, klimatisierten Archiven mit Zugriffskontrolle, Brandschutz und nachvollziehbarer Aus-/Rückgabedokumentation.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Verwahrung von Speichermedien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} GEB.8.1 \N \N \N +Grundschutz++:GEB.8.2 Grundschutz++ GEB.8.2 Staub und Schmutz Gebäudemanagement für Datenträgerarchiv KANN Maßnahmen zum Schutz der Datenträger vor Staub und Schmutz verankern. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Langzeitarchivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Maßnahmen zum Schutz der Datenträger vor Staub und Schmutz", "definitions": {}}, "guidance": "Werden analoge und digitale Datenträger länger im Archiv aufbewahrt, so besteht das Risiko der schleichenden Zersetzung durch Staub und Schmutz. Maßnahmen sind z.B. staubdichte und antistatische Lagerung in Schutzschränken, Klimatisierung, Schutzkleidung, trockene Reinigung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Verwahrung von Speichermedien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.8.4 Grundschutz++ GEB.8.4 Überwachung schonender Klimatisierung Gebäudemanagement für Datenträgerarchiv KANN für die Datenträger schonende Temperatur und Luftfeuchtigkeit anhand von Schwellwerten überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Langzeitarchivierung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Datenträger schonende Temperatur und Luftfeuchtigkeit", "definitions": {}}, "guidance": "IT-Infrastruktur benötigt typischerweise eine Umwelttemperatur von nicht viel mehr als 25°C und eine Luftfeuchtigkeit von nicht über 60%. Bei höheren Werten altern Komponenten schneller und das Risiko von Ausfällen durch Abwärme oder Spannungsüberschläge steigt. Grenzwerte können anhand der Herstellerangaben der im Raum eingesetzten Datenträger ermittelt werden. Die Überwachung kann mit klimatechnischen Sensoren im Raum realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Verwahrung von Speichermedien", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.1 Grundschutz++ GEB.9.1 Normgerechte Stromversorgung Gebäudemanagement für Standorte SOLLTE eine norm- und bedarfsgerechte Stromversorgung und -verkabelung installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine norm- und bedarfsgerechte Stromversorgung und -verkabelung", "definitions": {}}, "guidance": "Eine Stromversorgung ist normgerecht, wenn Normen zur Bereitstellung und Verkabelung wie DIN VDE 0100 eingehalten werden. Bedarfsgerecht ist eine Stromversorgung, wenn sie den Strombedarf der IT-Systeme und anderen Geräte im Gebäude deckt und Reserven für Erweiterungen oder Notfälle bietet. Das betrifft sowohl zentrale Versorgungsanschlüsse, Unterverteilungen als auch die Zuleitung in die einzelnen Räume. Die Anforderung ist auch dann erfüllt, wenn eine den Compliance-Vorschriften für Strom entsprechende Versorgung bereits im Gebäude vorhanden ist. Im Fall von Rechenzentren ist auch auf die Möglichkeit der Notabschaltung der Stromversorgung (für einzelne elektrische Verbraucher) zu achten. Hier ist eine sinnvolle Parzellierung und Zielgerichtetheit bei der Notabschaltung von Bedeutung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.1.1 Grundschutz++ GEB.9.1.1 Vorausschauende Lastanalyse Gebäudemanagement für Standorte KANN die bedarfsgerechte Stromversorgung regelmäßig vorausschauend überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die bedarfsgerechte Stromversorgung", "definitions": {}}, "guidance": "Die prädiktive Lastanalyse in Stromversorgungssystemen bezieht sich auf die ausgefeilte Analyse von elektrischen Lastmustern, einschließlich Oberschwingungen der Stromqualität, um den zukünftigen Stromverbrauch und Qualitätsprobleme vorherzusagen, bevor sie auftreten. Sie kann in Bereichen, in denen die Stromversorgung von höchster Bedeutung ist, helfen, die kontinuierliche Verfügbarkeit der IT-Infrastruktur durch Überwachung und Vorhersage potenzieller Stromanomalien sicherzustellen, die die Systemintegrität gefährden könnten. Im Gegensatz zu reaktiven Ansätzen, die Probleme erst nach ihrem Auftreten angehen, werden bei der vorausschauenden Lastanalyse fortschrittliche Algorithmen zur Analyse historischer Stromverbrauchsdaten, harmonischer Verzerrungen und Spannungsschwankungen eingesetzt, um Muster zu erkennen, die auf bevorstehende Stromversorgungsprobleme hinweisen. Die Implementierung kann mit Netzqualitätsanalysatoren an kritischen Infrastrukturpunkten, Integration mit SCADA-Systemen und durch Analyse mit Algorithmen des maschinellen Lernens, die Netzanomalien mit bestimmten Betriebsbedingungen korrelieren, geschehen. Eine regelmäßige Validierung der Vorhersagemodelle anhand tatsächlicher Vorfälle hilft die Analyse zu verbessern, während die Integration mit automatisierten Energieverwaltungssystemen einen dynamischen Lastausgleich während vorhergesagter Stressperioden ermöglichen kann, wodurch sowohl die Stromqualität, als auch die Systemverfügbarkeit ohne menschliches Eingreifen aufrechterhalten werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} vorausschauend", "definitions": {}}} GEB.9.1 \N \N \N +Grundschutz++:GEB.9.1.2 Grundschutz++ GEB.9.1.2 Dedizierte Elektrounterverteilung Gebäudemanagement für Standorte KANN eine ausschließlich für diesen Standort bestimmte Elektrounterverteilung die direkt von der Niederspannungshauptverteilung (NSHV) versorgt wird installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine ausschließlich für diesen Standort bestimmte Elektrounterverteilung", "definitions": {}}, "guidance": "Eine eigene, direkt aus der NSHV gespeiste Unterverteilung trennt kritische Abgänge (IT/USV/Kälte), stellt Selektivität und eindeutige Kennzeichnung sicher, ermöglicht Zustandsüberwachung und hält Ausbaureserven vor.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die direkt von der Niederspannungshauptverteilung (NSHV) versorgt wird", "definitions": {}}} GEB.9.1 \N \N \N +Grundschutz++:GEB.9.5.1 Grundschutz++ GEB.9.5.1 Physisch geschützte Verlegung Gebäudemanagement für Standorte SOLLTE eine geschützte Kabelverlegung installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine geschützte Kabelverlegung", "definitions": {}}, "guidance": "Freigelegte Glasfaser- oder Kupferleitungen könnten angezapft oder durchtrennt werden. Die Implementierung kann z.B. Erfolgen durch: Das Verlegen von Backbone-Kabeln in Metallrohren oder verschlossenen Kabelschränken; manipulationssichere Siegel an Stellen, an denen die Kabel die Sicherheitsbereiche verlassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} GEB.9.5 \N \N \N +Grundschutz++:GEB.9.1.3 Grundschutz++ GEB.9.1.3 Redundante Stromversorgung Gebäudemanagement für Standorte KANN eine redundante Stromversorgung für eine Stützzeit installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine redundante Stromversorgung", "definitions": {}}, "guidance": "Wenn die Stromzufuhr ausfällt, könnten geschäftskritische Anwendungen unerwartet ausfallen oder Daten verlorengehen. Die Redundanz der Stromquelle kann z.B. durch einen im System integrierten Akku, durch eine eigenständige unterbrechungsfreie Stromversorgung (USV) oder durch die Anbindung an ein sekundäres Stromnetz gewährleistet werden. Bei Bedarf kann sie auch die Übergangszeit bis zum Anlauf einer längerfristigen Netzersatzanlage überbrücken. Beim Betrieb einer USV ist auf die Einhaltung eines akzeptablen Temperaturbereichs der Batterie zu achten. Bei relevanten Änderungen an den Verbrauchern könnte es vorkommen, dass die USV-Systeme nicht mehr ausreichend dimensioniert sind. Da der Leistungsbedarf von Klimaanlagen oft zu hoch für eine USV ist, empfiehlt es sich zumindest die Steuerung der Anlagen an die unterbrechungsfreie Stromversorgung anzuschließen. Eine regelmäßige Wartung (u.U. nach Vorgabe des Herstellers) der USV und eine Trennung der Leistungselektronik von der Batterie ist empfohlen. Bei sehr hohem Schutzbedarf empfiehlt sich eine redundante Auslegung der USV. Die minimale Stützzeit (Autonomiezeit) ergibt sich als Stützzeit = Wartezeit auf mögliche Wiederkehr der Stromversorung + 2 * Zeit zum Herunterfahren der Komponenten. Bei sehr hohem Schutzbedarf empfiehlt sich eine redundante Auslegung der USV. Die Verkabelungswege sind redundant, wenn die Leitungen über verschiedene Wege geführt sind, sodass z.B. eine versehentliche Trennung nicht beide Leitungen betrifft.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{eine Stützzeit}}", "definitions": {}}} GEB.9.1 \N \N \N +Grundschutz++:GEB.9.1.4 Grundschutz++ GEB.9.1.4 Langanhaltende Sekundärversorgung Gebäudemanagement für Standorte KANN eine redundante Stromversorgung für eine längere Stützzeit installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine redundante Stromversorgung", "definitions": {}}, "guidance": "Eine längere Stützzeit bezeichnet im Kontext der Stromversorgung die Fähigkeit, elektrische Energie über einen Zeitraum von mehreren Stunden oder sogar Tagen aufrechtzuerhalten, typischerweise durch den Einsatz einer Netzersatzanlage (NEA) oder vergleichbarer Infrastruktur. Während eine kurzzeitige Überbrückung durch unterbrechungsfreie Stromversorgungen (USV) lediglich Sekunden bis Minuten abdeckt, kann eine NEA längere Stromausfälle abfangen und die Betriebsfähigkeit kritischer Systeme dauerhaft sicherstellen. Risiken bestehen darin, dass ein Standort bei einem längerfristigen Netzausfall ohne redundante Stromversorgung seine sicherheitskritischen Prozesse nicht mehr betreiben könnte, was etwa zu Datenverlusten, Produktionsstillständen oder Ausfällen der Zutrittskontrolle führen könnte. Eine redundante Stromversorgung kann dem entgegenwirken, indem sie kritische Infrastrukturen wie Rechenzentren, Kommunikationssysteme oder Zutrittssysteme auch bei großflächigen Netzstörungen handlungsfähig hält. Zur Betriebsfähigkeit gehört auch die regelmäßige Wartung und Überprüfung des Betriebsmittelvorrats. Eine Institution kann die Anforderung umsetzen, indem sie geeignete technische Maßnahmen einplant: (1) Installation einer Netzersatzanlage mit automatischer Umschaltung auf Diesel- oder Gasgeneratoren, (2) Bereitstellung von Kraftstoffvorräten für eine definierte Stützzeit von beispielsweise 24, 48 oder 72 Stunden, (3) regelmäßige Lasttests, um sicherzustellen, dass die Anlage die notwendige Kapazität unter Realbedingungen liefern kann. Ergänzend kann eine Institution durch redundante Einspeisungen vom Energieversorger oder die Kombination mehrerer NEA-Module eine Ausfallsicherheit erhöhen. Prozessual kann sie Wartungspläne etablieren, die auch die Prüfung von Kraftstoffqualität, Starterbatterien und Umschalteinrichtungen umfassen. Praktische Umsetzungstipps sind etwa, NEA-Anlagen in geschützten Gebäudebereichen mit ausreichender Belüftung und Brandschutz vorzusehen, die Abgasführung nach außen zu gewährleisten und einen sicheren, vor Manipulation geschützten Tankstandort zu wählen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{eine längere Stützzeit}}", "definitions": {}}} GEB.9.1 \N \N \N +Grundschutz++:GEB.9.2 Grundschutz++ GEB.9.2 Lasttest Gebäudemanagement für Standorte KANN die Belastbarkeit der Stromversorgung regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Belastbarkeit der Stromversorgung", "definitions": {}}, "guidance": "Die Maßnahmen richten sich nach den geltenden Anforderungen an die Stromversorgung. Beispiele sind ein monatlicher USV-Selbsttest oder ein halbjährlicher Volllastbetrieb des Generators für mindestens 30 Minuten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.3 Grundschutz++ GEB.9.3 Notaus Gebäudemanagement für Standorte KANN eine Notausschaltung für die Versorgungseinrichtungen installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Notausschaltung für die Versorgungseinrichtungen", "definitions": {}}, "guidance": "Eine Notausschaltung bezeichnet in diesem Kontext eine zentral verfügbare, technisch implementierte Vorrichtung, mit der im Gefahrenfall die Energieversorgung kritischer Versorgungseinrichtungen wie Strom, Gas oder Klimaanlagen unmittelbar und vollständig unterbrochen werden kann. Der Sinn und Zweck einer solchen Einrichtung liegt darin, Gefahren für Menschen, Technik und Informationen schnell eingrenzen zu können: Ein unkontrollierter Brand könnte sich durch weiterlaufende Klimageräte verstärken, ein Stromschlag durch beschädigte Leitungen könnte Menschen gefährden, oder ein Wasserschaden durch defekte Kühlung könnte weitere Systeme zerstören. Gleichzeitig kann eine sofortige Unterbrechung der Energiezufuhr Folgeschäden eindämmen, indem Brandlast reduziert oder die Ausbreitung toxischer Gase verhindert werden kann. Zur Umsetzung kann eine Institution beispielsweise (1) physische Notausschalter an klar gekennzeichneten, jederzeit zugänglichen Stellen nahe den Ausgängen oder im Leitstand installieren, (2) die Schalter so konzipieren, dass sie nur für definierte Versorgungskreise wie IT-Serverräume oder Technikzonen wirken und nicht die gesamte Einrichtung unkontrolliert lahmlegen, und (3) ergänzende visuelle Hinweise oder Leitsymbole anbringen, die die Bedienung im Ernstfall erleichtern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.4 Grundschutz++ GEB.9.4 Überspannungsschutz Gebäudemanagement für Standorte KANN Überspannungsschutzeinrichtungen installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Überspannungsschutzeinrichtungen", "definitions": {}}, "guidance": "Überspannungsschutzeinrichtungen sind technische Komponenten, die elektrische und elektronische Systeme vor plötzlich auftretenden Spannungsspitzen im Stromnetz oder in Datenleitungen schützen. Sie wirken, indem sie kurzzeitig auftretende Energie in sichere Bahnen ableiten oder begrenzen, sodass angeschlossene Geräte nicht beschädigt werden. Der Sinn und Zweck liegt darin, sensible IT- und Kommunikationssysteme sowie die Infrastruktur der Institution vor Schäden zu bewahren. Ohne Schutz könnte ein Spannungssprung aus dem Stromnetz eine zentrale Serveranlage zerstören oder den Ausfall von Brandmelde- und Zutrittskontrollsystemen verursachen, wohingegen ein korrekt eingesetzter Überspannungsschutz kann die Betriebsfähigkeit und Datenintegrität sicherstellen. Diese Anforderung bezieht sich ausschließlich auf Überspannungen aus dem Netzbetrieb oder aus benachbarten Stromkreisen; für den äußeren Blitzschutz gilt eine verwandte Anforderung. Zur Umsetzung können an kritischen Punkten Überspannungsschutzeinrichtungen installiert werden: (1) in zentralen Verteilungen, um das gesamte Gebäude gegen Netzstörungen abzusichern, (2) in Unterverteilungen oder einzelnen Stromkreisen, die besonders sensible IT-Systeme versorgen, und (3) an Kommunikations- oder Datenleitungen, etwa für Netzwerk- oder Telefonverkabelungen. Eine Institution kann durch gestufte Schutzkonzepte („Grobschutz“ im Hauptverteiler, „Feinschutz“ in Nähe der Endgeräte) eine höhere Wirksamkeit erreichen. Es kann sinnvoll sein, bei Neubauten Steckdosen mit integriertem Feinschutz vorzusehen oder bei Bestandsanlagen nachträglich modulare Schutzgeräte in die Verteilungen einzusetzen. Prozessual kann regelmäßige Prüfung der eingebauten Schutzmodule helfen, da viele Modelle nach einem Ereignis verbraucht sind und ausgetauscht werden müssen. Auch eine Dokumentation der Einbauorte kann den Überblick erleichtern und gewährleisten, dass keine kritischen Systeme ungeschützt bleiben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.5 Grundschutz++ GEB.9.5 Strukturierte Datenverkabelung Gebäudemanagement für Standorte SOLLTE eine norm- und bedarfsgerechte Datenverkabelung installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine norm- und bedarfsgerechte Datenverkabelung", "definitions": {}}, "guidance": "Normgerecht ist eine Datenverkabelung, wenn Normen für Verkabelungssysteme wie DIN EN 50173 und DIN EN 50174, sowie bei Glasfaser DIN EN 60794 eingehalten werden. Sie ist auch bedarfsgerecht, wenn die verwendete Verkabelung ausreicht, um festgelegte Bandbreite und Antwortzeit zu erreichen. Das betrifft sowohl zentrale Netzanschlüsse, als auch Unterverteiler und die Zuleitung in die einzelnen Räume. Zur Umsetzung ist es sinnvoll ein Kabelverlegungsdiagramm und eine standortspezifische Inspektionscheckliste zu erstellen oder erstellen zu lassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.6 Grundschutz++ GEB.9.6 Zugang zu Räumen für technische Infrastruktur Gebäudemanagement für Räume für technische Infrastruktur SOLLTE den Zugang zu Räumen für technische Infrastruktur auf für den Betrieb zuständige Personen oder Rollen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugang zu Räumen für technische Infrastruktur", "definitions": {}}, "guidance": "HIerzu gehören insbesondere Versorgungsverteiler, z.B. für Netzverteilung, Frischwasser, Abwasser, Stromversorgung und andere zentrale Versorgungseinrichtungen. sind essenziell für die Einsatzfähigkeit und den Schutz des Gebäudes. Der Zugang zu diesen Verteilern kann z.B. durch Schließanlagen, Bewachung und Einbruchmeldesysteme realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf {{für den Betrieb zuständige Personen oder Rollen}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.9.7 Grundschutz++ GEB.9.7 Zweckentfremdung Gebäudemanagement für Räume für technische Infrastruktur SOLLTE die Verwendung der Räume zu anderen Zwecken untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verwendung der Räume zu anderen Zwecken", "definitions": {}}, "guidance": "Werden Räume für technische Infrastruktur zu weiteren Zwecken, z.B. als Arbeitsplatz, Durchgangsraum oder Abstellraum genutzt, so erhöht dies das Risiko versehentlicher Schäden oder des Zugriffs Unbefugter auf die Infrastruktur.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Versorgungseinrichtungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.10.1 Grundschutz++ GEB.10.1 Klimatisierung Gebäudemanagement für Standorte SOLLTE eine ausreichende Klimatisierung von Räumlichkeiten anhand von Schwellwerten installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine ausreichende Klimatisierung von Räumlichkeiten", "definitions": {}}, "guidance": "Klimatisierung meint das Erzeugen und Aufrechterhalten von Temperatur und Luftfeuchtigkeit innerhalb bestimmter Schwellwerte. Zur Bestimmung der Schwellwerte können verschiedene Angaben herangezogen werden, u.a. Herstellerangaben für die am Standort betriebenen Systeme, Compliance-Vorgaben zur Arbeitsplatzsicherheit, branchenspezifische Normen und Standards (z.B. DIN EN ISO 7730), Energieeffizienzrichtlinien und Umweltvorschriften, sowie wissenschaftliche Erkenntnisse zu optimalen Arbeitsbedingungen. Die Implementierung kann umfassen: Die Gestaltung von Räumen mit klarer Trennung von Zu- und Abluftwegen, um Innenzirkulation zu vermeiden; Beseitigung von Hindernissen in kritischen Luftstromwegen; Implementierung geeigneter Einschlusslösungen für bestimmte Anwendungsfälle (z. B. heiße/kalte Servergänge oder Reinräume in der Fertigung); Optimierung der Geräteplatzierung zur Maximierung einer effizienten Luftverteilung; regelmäßige Wartung der Belüftungssysteme, einschließlich Filteraustausch und Kanalreinigung; strategische Platzierung von Ablenkblechen oder Deflektoren zur Lenkung des Luftstroms; saisonale Anpassung der HLK-Einstellungen an sich ändernde äußere Bedingungen; Einsatz drehzahlvariabler Ventilatoren und intelligenter Steuerungen, um dynamisch auf sich ändernde Lasten zu reagieren; regelmäßige Wärmebildaufnahmen, um entstehende Probleme zu erkennen. Den größen Nutzen bringt es in der Regel zunächst die größten Hindernisse zu beseitigen, sowie die Abdichtung unerwünschter Luftwege und die Optimierung der wichtigsten lufttechnischen Anlagen zu beachten. In Serverräumen empfiehlt sich oft eine gedrehte Rack-Ausrichtung, sodass die Luftzufuhr der Geräte aus kalten Gängen erfolgt, während die Abluft direkt in warmen Gänge geleitet wird, wodurch eine Rezirkulation verhindert und die Kühlung aufrechterhalten wird. Gleichzeitig verbessert diese Konfiguration die Betriebspraktikabilität durch die Positionierung der Kabelanschlüsse für einen bequemen Zugang der Techniker, ohne die Luftstrommuster zu unterbrechen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.10.1.1 Grundschutz++ GEB.10.1.1 Luftstrom-Analyse Gebäudemanagement für Serverräume KANN den Klimatisierungsbedarf anhand einer Luftstrom-Analyse regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Klimatisierungsbedarf anhand einer Luftstrom-Analyse", "definitions": {}}, "guidance": "Luftstromanalyse ist die systematische Bewertung von Luftbewegungsmustern zur Optimierung der Kühleffizienz und zur Vermeidung von Geräteausfällen. Dabei wird untersucht, wie die kalte Luft in der Einrichtung verteilt wird, es werden potenzielle Hotspots oder Bereiche mit Stagnation identifiziert, und es wird ein ordnungsgemäßer Wärmeaustausch durch die Überwachung der Einlass- und Auslasstemperaturen in den Serverracks sichergestellt. Zu den möglichen Methoden gehören CFD-Modelle (Computational Fluid Dynamics) zur Simulation von Luftströmungsmustern vor der Implementierung, der Einsatz von Temperatur- und Luftströmungssensoren an strategischen Stellen, Rauchtests zur visuellen Verfolgung der Luftbewegungspfade und Druckdifferenzmessungen zur Überprüfung der Integrität des Containments. Ein gut ausgeführtes Luftstrommanagement steht außerdem in direktem Zusammenhang mit geringeren Kühlkosten (oft 20-30 % Einsparungen), einer längeren Lebensdauer der Geräte und einer höheren Rechendichte pro Quadratmeter. Zu den bewährten Lösungen zur besseren Zirkulation gehören die Eingrenzung von Warm- und Kaltgängen, um eine Vermischung der Luftströme zu verhindern, die Aufrechterhaltung optimaler Rack-Einlasstemperaturen, die Sicherstellung einer angemessenen Perforation der Bodenfliesen in Doppelbodenumgebungen, die Optimierung der Serverplatzierung, um einen Bypass-Luftstrom zu vermeiden, und die Durchführung regelmäßiger Wärmebilduntersuchungen, um sich entwickelnde Probleme zu erkennen. Besonderer Aufmerksamkeit bedarf das Kabelmanagement, da eine ungeordnete Verkabelung den Luftstrom um bis zu 60 % behindern kann; ebenso ist es sinnvoll Abdeckplatten aller ungenutzten Rack-Räume abzudichten, um eine innere Zirkulation heißer Luft zu verhindern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} GEB.10.1 \N \N \N +Grundschutz++:GEB.10.1.2 Grundschutz++ GEB.10.1.2 Klimamessung Gebäudemanagement für Serverräume SOLLTE Lufttemperatur und Luftfeuchtigkeit anhand von Schwellwerten überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Lufttemperatur und Luftfeuchtigkeit", "definitions": {}}, "guidance": "IT-Infrastruktur benötigt typischerweise eine Umwelttemperatur von nicht viel mehr als 25°C und eine Luftfeuchtigkeit von nicht über 60%. Bei höheren Werten altern Komponenten schneller und das Risiko von Ausfällen durch Abwärme oder Spannungsüberschläge steigt. Ermitteln Sie Grenzwerte anhand der Herstellerangaben der im Raum eingesetzten Komponenten. Die Überwachung kann mit klimatechnischen Sensoren in den Geräten selbst oder im Raum realisiert werden. Eine saisonale Anpassung der Lüftungsanlagen kann erforderlich sein, insbesondere in Einrichtungen, die mit Eco-Modus arbeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} GEB.10.1 \N \N \N +Grundschutz++:GEB.10.1.3 Grundschutz++ GEB.10.1.3 Redundante Klimatisierung Gebäudemanagement für Standorte KANN redundante Klimasysteme installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "redundante Klimasysteme", "definitions": {}}, "guidance": "Redundant ist eine Klimatisierung, wenn alle zu ihrer Funktionsfähigkeit erforderlichen Komponenten und Anbindungen redundant sind, d.h. kein einzelner Fehlerpunkt zu einem Ausfall führen würde (Single Point of Failure).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} GEB.10.1 \N \N \N +Grundschutz++:GEB.10.2 Grundschutz++ GEB.10.2 Brandschutz Gebäudemanagement für Standorte SOLLTE Brandschutz nach den entsprechenden Normen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Brandschutz", "definitions": {}}, "guidance": "Maßnahmen können z.B. die Verwendung nicht brennbarer Baumaterialien (u.a. DIN 4102, DIN EN 13501), brandsichere Elektroinstallation, Feuerlöscher (DIN 14406), Rauchabzugsanlagen (DIN 18232) sowie Brandmelde- (DIN EN 54) und Löschanlagen (DIN EN 671) sein. Bei der Planung kann die örtliche Feuerwehr hinzugezogen werden. Gesetzliche Anforderungen hierzu sind in der Praktik Compliance zu berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach den entsprechenden Normen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.10.2.1 Grundschutz++ GEB.10.2.1 Baulicher Brandschutz Gebäudemanagement für Räume SOLLTE bauliche Brandschutzeinrichtungen nach den entsprechenden Normen installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bauliche Brandschutzeinrichtungen", "definitions": {}}, "guidance": "Relevant ist für das Brandverhalten von Bauprodukten und Bauarten die europäische Normenreihe DIN EN 13501 mit ihren sieben Klassen (A1, A2, B, C, D, E, F).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach den entsprechenden Normen", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.2 Grundschutz++ GEB.10.2.2 Brandabschnitte Gebäudemanagement für Räume SOLLTE Brandabschnitte nach den entsprechenden Normen installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Brandabschnitte", "definitions": {}}, "guidance": "Brandabschnitte sind baulich abgegrenzte Bereiche in Gebäuden, die im Brandfall verhindern sollen, dass das Feuer auf andere Bereiche übergreift. Sie werden durch feuerfeste Wände, Decken und andere raumabschließende Bauteile voneinander getrennt. Hier besteht ein enger Zusammenhang zu Compliance-Anforderungen: Größe und Anzahl von Brandabschnitten werden auch durch die Bauordnung und andere Vorschriften festgelegt, abhängig von der Nutzung und Größe des Gebäudes. Für die Informationssicherheit relevant ist darüber hinaus, ob die Auswahl der Brandabschnitte den darin befindlichen Informationen und damit verbundenen Assets ausreichenden Schutz gewährt, um deren Verfügbarkeit aufrechtzuerhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach den entsprechenden Normen", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.3 Grundschutz++ GEB.10.2.3 Rauchdichtheit Gebäudemanagement für Räume KANN alle raumbildende Teile rauchdicht installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alle raumbildende Teile rauchdicht", "definitions": {}}, "guidance": "Hierunter ist zu verstehen, dass alle raumbildenden Teile (Wände, Türen und falls benötigt Fenster) rauchdicht sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.4 Grundschutz++ GEB.10.2.4 Brandwiderstandsklassen Gebäudemanagement für Räume KANN feuerfeste Materialen für alle raumbildenden Teile , sodass sie Feuern für eine bestimmte Frist standhalten, installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "feuerfeste Materialen für alle raumbildenden Teile", "definitions": {}}, "guidance": "Der Einsatz feuerfester Materialien für raumbildende Teile – also Wände, Decken, Türen und gegebenenfalls auch Bodenaufbauten – kann das Risiko erheblich reduzieren, dass sich ein Brand innerhalb eines Gebäudes schnell ausbreitet oder sicherheitsrelevante Bereiche in kurzer Zeit unbenutzbar werden könnten. Ohne geeignete Materialien könnte ein kleiner Kabelbrand beispielsweise binnen Minuten auf benachbarte Räume mit Servern, Schaltanlagen oder Dokumenten übergreifen und kritische Infrastruktur unbrauchbar machen. Mit feuerfesten Materialien kann eine Institution die Zeitspanne verlängern, in der Personen evakuiert, Brandbekämpfungsmaßnahmen eingeleitet oder Systeme geordnet heruntergefahren werden können. Der Begriff „feuerfest“ bedeutet im baulichen Kontext nicht absolute Unzerstörbarkeit, sondern eine definierte Widerstandsfähigkeit gegen Feuer über eine bestimmte Frist (z. B. 30, 60 oder 90 Minuten), die durch Normen wie die europäische Klassifizierung REI angegeben wird. Diese Frist beschreibt, wie lange ein Bauteil seine tragende Funktion (R), Dichtheit (E) und Wärmedämmung (I) im Brandfall aufrechterhalten kann. Zur praktischen Umsetzung können im Gebäudemanagement verschiedene Maßnahmen berücksichtigt werden: Wände und Decken können aus nicht brennbaren Baustoffen wie Beton oder speziellen Gipsfaserplatten ausgeführt werden, Türen können durch Brandschutztüren mit entsprechender Klassifizierung ersetzt werden, und Kabel- sowie Rohrdurchführungen können mit geprüften Brandschutzmanschetten oder -schotts ausgestattet werden. Auch abgehängte Decken oder Zwischenwände in Leichtbauweise können mit feuerhemmenden Platten verkleidet werden, um die Widerstandsdauer zu erhöhen. Eine Institution kann bei Umbauten oder Neubauten frühzeitig auf geprüfte Baustoffe achten und im Bestand gezielt besonders gefährdete Räume wie Serverräume, Archive oder Batterieräume nachrüsten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": ", sodass sie Feuern für {{eine bestimmte Frist}} standhalten,", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.5 Grundschutz++ GEB.10.2.5 Vermeidung von Brandlasten Gebäudemanagement für Standorte SOLLTE das ungesicherte Hinterlassen von Brandlasten untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das ungesicherte Hinterlassen von Brandlasten", "definitions": {}}, "guidance": "Befinden sich Brandlasten wie Kartons, brennbare Dämmstoffe, Batterien oder Holzmöbel in der Nähe (oder sogar in) Räumen für technische Infrastruktur oder zentraler Versorgungseinrichtungen, so erhöhen sich Wahrscheinlichkeit und durchschnittliches Schadensausmaß von Bränden. Dies gilt auch für das Rauchen von Zigaretten oder Zigarren. Der einzuhaltende Abstand ergibt sich aus der Größe der Brandlast und dem Schutzbedarf des Ortes von dem Abstand zu halten ist - wenn möglich ist ein Abstand von mindestens einem Zwischenraum sinnvoll.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.6 Grundschutz++ GEB.10.2.6 Brandmeldeanlagen Gebäudemanagement für Standorte SOLLTE das Entstehen von Bränden überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Entstehen von Bränden", "definitions": {}}, "guidance": "Die Umsetzung kann durch Brandmeldezentralen oder dezentrale Brandmeldealarmierung erfolgen, siehe DIN EN 54 und DIN VDE 0833-2.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:SENS.1.1.3 Grundschutz++ SENS.1.1.3 Bekanntgabe Sensibilisierung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sensibilisierung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} SENS.1.1 \N \N \N +Grundschutz++:GEB.10.2.7 Grundschutz++ GEB.10.2.7 Brandunterdrückung Gebäudemanagement für Serverräume KANN Brandunterdrückungssysteme installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Brandunterdrückungssysteme", "definitions": {}}, "guidance": "Kann z.B. durch eine Anlage zur Sauerstoffreduktion unter 15 Volumenprozent umgesetzt werden, da Feuer sich so kaum entzünden kann. Siehe ISO 20338. Denken Sie dabei auch an den Schutz des Personals, siehe Arbeitstättenverordnung (ArbStättV).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.2.8 Grundschutz++ GEB.10.2.8 Brandschutzprüfung Gebäudemanagement für Standorte SOLLTE die Wirksamkeit der Brandschutzmaßnahmen regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inspektion", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wirksamkeit der Brandschutzmaßnahmen", "definitions": {}}, "guidance": "Eine regelmäßige Überprüfung von Brandmeldeanlagen, Rauchmeldern und organisatorische Maßnahmen stellt sicher, dass diese weiterhin funktionieren. Hier besteht ein enger Zusammenhang zu Compliance-Verpflichtungen, die Brandschutzprüfungen fordern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} GEB.10.2 \N \N \N +Grundschutz++:GEB.10.3 Grundschutz++ GEB.10.3 Wasserschutz Gebäudemanagement für Standorte SOLLTE zwischen Assets und Witterungs- sowie Wassergefahrenstellen mindestens eine physische Schutzmaßnahme vor Wasser nach den entsprechenden Normen installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Assets und Witterungs- sowie Wassergefahrenstellen mindestens eine physische Schutzmaßnahme vor Wasser", "definitions": {}}, "guidance": "Relevant ist hierbei sowohl Wasser von oben (Regen und Schnee), als auch von unten (Überflutungen, gesammeltes Regenwasser). Maßnahmen können z.B. witterungsbeständige Baumaterialien, Abdichtungen, Überdachungen, Entwässerungssysteme oder eine erhöhte Positionierung, die eher nicht in überfluteten Bereichen liegen wird, sein. Schränke und Gehäuse können auch mit einer geeigneten IP-Schutzklasse (z.B. IP65) gegen Wasser geschützt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach den entsprechenden Normen", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.10.3.1 Grundschutz++ GEB.10.3.1 Doppelter baulicher Wasserschutz Gebäudemanagement für Standorte KANN zwischen Wassergefahrenstellen und Assets mindestens zwei bauliche Schutzmaßnahmen vor Wasser nach den entsprechenden Normen installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zwischen Wassergefahrenstellen und Assets mindestens zwei bauliche Schutzmaßnahmen vor Wasser", "definitions": {}}, "guidance": "Relevant ist hierbei sowohl Wasser von oben (Regen und Schnee), als auch von unten (Überflutungen, gesammeltes Regenwasser). Maßnahmen können z.B. witterungsbeständige Baumaterialien, Abdichtungen, Abkofferungen, Überdachungen, oder Entwässerungssysteme sein. Schränke und Gehäuse können auch mit einer geeigneten IP-Schutzklasse (z.B. IP65) gegen Wasser geschützt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach den entsprechenden Normen", "definitions": {}}} GEB.10.3 \N \N \N +Grundschutz++:GEB.10.3.2 Grundschutz++ GEB.10.3.2 Leckagesensor Gebäudemanagement für Standorte KANN Wassereinbrüche überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Wassereinbrüche", "definitions": {}}, "guidance": "Maßnahmen können z.B. Wassersensorstreifen unter Doppelböden sein, die SNMP-Traps an ein Building Management System (BMS) senden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} GEB.10.3 \N \N \N +SCF:END-15 SCF END-15 Hypervisor Access Mechanisms exist to restrict access to hypervisor management functions or administrative consoles for systems hosting virtualized systems. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-15_END-15_A01", "name": "assessment-objective", "prose": "access to hypervisor management functions or administrative consoles for systems hosting virtualized systems is restricted."}]} \N \N \N \N +Grundschutz++:GEB.10.4 Grundschutz++ GEB.10.4 Blitzschutzeinrichtungen Gebäudemanagement für Standorte SOLLTE Blitzschutzeinrichtungen nach einem anerkannten Standard installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Blitzschutzeinrichtungen", "definitions": {}}, "guidance": "Blitzschutzeinrichtungen sind bauliche oder technische Maßnahmen, die Gebäude, Anlagen und darin befindliche Systeme vor den direkten und indirekten Auswirkungen eines Blitzeinschlags schützen. Der Zweck dieser Regelung liegt darin, Risiken durch Blitzeinschläge zu reduzieren: Ein direkter Einschlag könnte Gebäudestrukturen beschädigen, Brände verursachen oder elektrische Systeme zerstören. Indirekte Einschläge könnten durch Überspannungen Datenverluste oder den Ausfall kritischer Systeme hervorrufen. Die Installation nach anerkannten Standards kann hier Schäden an Bausubstanz, Stromversorgung und Informationssystemen verhindern und die Verfügbarkeit sensibler Infrastruktur sichern. Ein anerkannter Standard ist hier die DIN EN 62305, die Anforderungen an Planung, Errichtung und Prüfung von Einrichtungen wie Fangstangen oder Erdungsanlagen definiert. Sie kennt verschiedene Schutzklassen. Für Standorte mit normalem Schutzbedarf wird Schutzklasse II oder besser gemäß DIN EN 62305 empfohlen. Für Räume für technische Infrastruktur oder Rechenzentren ist mindestens die Blitzschutzzone 2 (LPZ 2) sinnvoll.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:GEB.10.4.1 Grundschutz++ GEB.10.4.1 Niederohmigkeit Gebäudemanagement für Standorte KANN Blitzschutzeinrichtungen regelmäßig auf Niederohmigkeit überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inspektion", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Blitzschutzeinrichtungen", "definitions": {}}, "guidance": "Eine niedrige Ohmzahl in Erdungs- und Potentialausgleichseinrichtungen gewährleistet, dass Blitzströme schnell und wirksam abgeleitet werden. Siehe DIN VDE 0100-443 u. -534. Beachten Sie dabei auch die Prüfpflicht aus der Betriebssicherheitsverordnung (BetrSichV).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} auf Niederohmigkeit", "definitions": {}}} GEB.10.4 \N \N \N +Grundschutz++:GEB.10.5 Grundschutz++ GEB.10.5 Ableitfähiger Fußbodenbelag Gebäudemanagement für Räume für technische Infrastruktur KANN im Nahfeld von Systemen einen ableitfähigen Fußbodenbelag installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "im Nahfeld von Systemen einen ableitfähigen Fußbodenbelag", "definitions": {}}, "guidance": "Ein ableitfähiger Boden ist ein Fußbodenbelag, der es ermöglicht, statische Aufladungen abzuleiten, beispielsweise durch eine geerdete Verbindung. Er zeichnet sich durch einen elektrischen Widerstand zwischen 10^6 und 10^9 Ohm aus. Ableitfähige Böden werden in Bereichen eingesetzt, in denen elektrostatische Entladungen (ESD) vermieden werden müssen. Die Umsetzung kann nach DIN EN 14041 oder DIN IEC 61340-4-1 erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Gebäudemanagement / Schutz vor Elementarschäden", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Gebäudedokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.1.1 Grundschutz++ SENS.1.1 Verfahren und Regelungen Sensibilisierung MUSS Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung verankern. MUSS BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung", "definitions": {}}, "guidance": "Zweck ist es, internen und externen Nutzenden die korrekte Verarbeitung von schützenswerten Informationen sowie die sichere Bedienung von IT-Systemen und Anwendungen nahezubringen. Ohne Sensibilisierung könnte etwa ein Administrator durch Unachtsamkeit kritische Systemkonfigurationen offenlegen, eine Pflegekraft könnte Patientendaten in unsicheren Kanälen weitergeben oder ein Beschäftigter im Einkauf könnte auf täuschend echt wirkende Phishing-Mails hereinfallen. Durch passgenaue Schulungen kann dagegen erreicht werden, dass Mitarbeitende die für ihre Aufgaben relevanten Gefahren frühzeitig erkennen, geeignete Schutzmaßnahmen anwenden und damit einen aktiven Beitrag zur Informationssicherheit leisten. Zweckmäßig ist es, im Rahmen der Ersteinweisung dazu Schulungen durchzuführen und um jährliche Information über aktuelle Neuerungen zu ergänzen. Zur Ergänzung und Erinnerung sind z.B. Poster oder Kampagnen sinnvoll. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sensibilisierung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.1.1.1 Grundschutz++ SENS.1.1.1 Dokumentation Sensibilisierung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sensibilisierung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} SENS.1.1 \N \N \N +Grundschutz++:SENS.1.1.2 Grundschutz++ SENS.1.1.2 Zuweisung der Aufgaben Sensibilisierung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sensibilisierung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} SENS.1.1 \N \N \N +Grundschutz++:SENS.1.2 Grundschutz++ SENS.1.2 Erfolgsmessung Sensibilisierung SOLLTE den Erfolg der Sensibilisierung anhand objektivierter Kriterien regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Erfolg der Sensibilisierung anhand {{objektivierter Kriterien}}", "definitions": {}}, "guidance": "Zur Erfolgsmessung sind sowohl quantitative als auch qualitative Kriterien heranzuziehen, die unabhängig nachvollziehbar und überprüfbar sind. Erfolg zeigt sich dabei sowohl im erworbenen Wissen der Zielgruppen zur Informationssicherheit als auch in der tatsächlich umgesetzten Praxis von Schutzmaßnahmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.1 Grundschutz++ SENS.2.1 Schutzziele Sensibilisierung für Nutzende SOLLTE zu den Schutzzielen Verfügbarkeit, Vertraulichkeit und Integrität sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu den Schutzzielen Verfügbarkeit, Vertraulichkeit und Integrität", "definitions": {}}, "guidance": "Für die grundlegende Schulung kann z.B. auf den Online-Kurs des BSI zum IT-Grundschutz zurückgegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.2 Grundschutz++ SENS.2.2 Meldewege Sensibilisierung für Nutzende SOLLTE zu den Meldewegen und Informationsquellen bei Fragen informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu den Meldewegen und Informationsquellen bei Fragen", "definitions": {}}, "guidance": "Zur Bekanntgabe von Meldewegen gehört, welche Meldewege (z.B. Adresse, Rufnummer, Ticketsystem) zur Verfügung stehen und welche weiteren Informationsquellen (z.B. Wissensmanagement im Intranet, Dienstanweisungen, Betriebshandbuch, Chatbots) relevante Informationen zur Informationssicherheit enthalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.3 Grundschutz++ SENS.2.3 Verschlüsselung und Signatur Sensibilisierung für Nutzende von Anwendungen SOLLTE zur Bedienung von Verschlüsselungs- und Signaturfunktionen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Bedienung von Verschlüsselungs- und Signaturfunktionen", "definitions": {}}, "guidance": "Viele Anwendungen zur Kommunikation bieten Funktionen zur Verschlüsselung oder digitalen Signatur (z.B. Verifikation der Ende-zu-Ende-Verschlüsselung per QR-Code im Messenger, Digitale Signatur von E-Mails). Verschlüsselung kann symmetrisch (gleicher Schlüssel ist auf beiden Seiten bekannt) oder asymmetrisch (ein öffentlicher und ein privater Schlüssel) erfolgen. Digitale Signaturen ermöglichen es, die Herkunft einer Nachricht zu überprüfen und Manipulationen zu erkennen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.4 Grundschutz++ SENS.2.4 Nutzung unautorisierter Assets Sensibilisierung für Nutzende SOLLTE die Nutzung unautorisierter Assets untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Bring Your Own Device, Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nutzung unautorisierter Assets", "definitions": {}}, "guidance": "Die Nutzung unautorisierter Assets bezeichnet hier den Einsatz von IT-Systemen, Datenträgern, Anwendungen oder Cloud-Diensten, die nicht durch die Institution freigegeben und inventarisiert sind. Hierzu gehört auch der Anschluss privater Peripheriegeräte wie Tastaturen oder das Telefonieren mit nicht autorisierten Telefonen. Der Sinn und Zweck der Anforderung liegt darin, unkontrollierte Schatten-IT und damit verbundene Risiken zu reduzieren. So könnte etwa ein unautorisiertes USB-Gerät Schadsoftware einschleusen, oder eine nicht genehmigte Cloud-Anwendung könnte zu unbemerkten Datenabflüssen führen. Besteht ein Bedarf an Assets, dann können die festgelegten Meldewege genutzt werden. Bei der Beschaffung von Assets sind die Verfahren und Regelungen des Assetmanagements zu beachten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.4.1 Grundschutz++ SENS.2.4.1 Verbindung unautorisierter IT-Systeme Sensibilisierung für Nutzende SOLLTE die Verbindung unautorisierter IT-Systeme mit internen Netzen oder Schnittstellen untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Bring Your Own Device, Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verbindung unautorisierter IT-Systeme mit internen Netzen oder Schnittstellen", "definitions": {}}, "guidance": "Unautorisierte IT-Systeme sind solche, die von der Institution nicht für den Einsatz in den Netzen der Institution vorgesehen sind. Werden solche Geräte mit internen Netzen verbunden, so besteht das Risiko, dass sich hierüber Schadcode verbreitet oder unerwünschte Netzverbindungen aufgebaut werden. Das betrifft sowohl kabelgebundene Verbindungen als auch Funkverbindungen wie WLAN oder Bluetooth.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} SENS.2.4 \N \N \N +Grundschutz++:SENS.2.5 Grundschutz++ SENS.2.5 Zuständigkeitsbereiche Sensibilisierung für Nutzende SOLLTE zu Schutzbedarf und Schnittstellen in ihrem Zuständigkeitssbereich sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu Schutzbedarf und Schnittstellen", "definitions": {}}, "guidance": "Hiermit ist der Schutzbedarf des Zuständigkeitsbereichs des jeweiligen Nutzenden gemeint. Die Schnittstellen zu anderen Zuständigkeitsbereichen und deren entsprechender Schutzbedarf ist ebenfalls zu betrachten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in ihrem Zuständigkeitssbereich", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.6 Grundschutz++ SENS.2.6 Umgehung von Sicherheitsfunktionen Sensibilisierung für Nutzende SOLLTE gegen die Umgehung von Sicherheitsfunktionen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Umgehung von Sicherheitsfunktionen", "definitions": {}}, "guidance": "Selbst die ausgefeiltesten Sicherheitssysteme werden wirkungslos, wenn Anwender diese durch Eigeninitiative oder mangelndes Verständnis umgehen. Umgehungshandlungen könnten beispielsweise dazu führen, dass Schadprogramme durch Deaktivieren des Virenschutzes ins System gelangen, oder Angreifer über unsichere Verbindungen Zugang erhalten, wenn neue Verbindungen eigenmächtig geschaffen werden. Der Begriff \\"Umgehung von Sicherheitsfunktionen\\" umfasst dabei alle Handlungen, bei denen implementierte technische oder organisatorische Schutzmaßnahmen außer Kraft gesetzt, deaktiviert oder auf andere Weise ihrer Schutzwirkung beraubt werden, z.B. durch Rooting/Jailbreaking oder Verwendung nicht autorisierter Anwendungen oder Geräte. Wenn für eine Tätigkeit Funktionen benötigt werden, die durch Sicherheitsmechanismen verhindert werden, ist stattdessen eine Abstimmung über die festgelegten Meldewege sinnvoll.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.7 Grundschutz++ SENS.2.7 Änderung von Konfigurationen Sensibilisierung für Nutzende SOLLTE gegen die unautorisierte Änderung sicherheitsrelevanter Konfigurationen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die unautorisierte Änderung sicherheitsrelevanter Konfigurationen", "definitions": {}}, "guidance": "Sicherheitsrelevante Konfigurationen umfassen dabei alle Einstellungen, die direkten Einfluss auf die Sicherheit haben, wie Firewall-Regeln, Benutzerrechte, Verschlüsselungsparameter, Netzwerkkonfigurationen oder Sicherheitssoftware-Einstellungen. Besteht ein Bedarf zur Änderung (z.B. Einschalten bislang deaktivierter Funktionen, Akzeptanz von Verschlüsselungszertifikaten) so ist stattdessen ein Gespräch mit den für Informationssicherheit zuständigen Stellen in der Institution sinnvoll um einen sicheren Betrieb zu ermöglichen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.2.8 Grundschutz++ SENS.2.8 Melden von Ereignissen Sensibilisierung für Nutzende SOLLTE zum Melden von sicherheitsrelevanten Ereignissen anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Melden von sicherheitsrelevanten Ereignissen", "definitions": {}}, "guidance": "Ohne ein Bewusstsein für die Bedeutung solcher Meldungen könnte ein Vorfall wie ein Phishing-Versuch, ein auffälliges Verhalten in einem IT-System oder der Verlust eines mobilen Endgeräts unbemerkt bleiben und gravierende Auswirkungen nach sich ziehen. Umgekehrt kann eine geschulte Aufmerksamkeit verhindern, dass Schwachstellen unentdeckt bleiben, und kann so die Widerstandsfähigkeit der Institution stärken. Sicherheitsrelevante Ereignisse sind hier Beobachtungen oder Abweichungen, die auf eine mögliche Beeinträchtigung der Informationssicherheit hinweisen – beispielsweise technische Probleme wie Systemausfälle und Virenfunde, aber auch verdächtige Aktivitäten von Personen wie z.B. unbefugte Zugriffe auf Systeme oder Daten oder unbekannte Personen in Sicherheitsbereichen. Eine geeignete Umsetzung kann durch unterschiedliche Maßnahmen unterstützt werden: (1) einfache und klar sichtbare Meldewege, z. B. eine zentrale Funktionsmailadresse oder eine Notfallhotline, (2) kurze Schulungen oder Awareness-Kampagnen mit praxisnahen Beispielen, die verdeutlichen, welche Vorfälle gemeldet werden können, (3) niedrigschwellige Hilfsmittel wie Poster, Bildschirm-Hinweise oder Quick-Reference-Karten, die den Meldeprozess in Erinnerung rufen. Für eine Umsetzung kann die BSI IT-Notfallkarte „Verhalten bei IT-Notfällen“ genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Grundlegende Sensibilisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +SCF:AAT-07.3 SCF AAT-07.3 AI & Autonomous Technologies Continuous Improvements Mechanisms exist to continuously improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) capabilities to maximize benefits and minimize negative impacts associated with AAT. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-07.3_AAT-07.3_A01", "name": "assessment-objective", "prose": "a documented strategy exists to implement continuously monitoring of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that maximize benefits, while minimizing negative impacts."}]} \N \N \N \N +Grundschutz++:SENS.3.2 Grundschutz++ SENS.3.2 Öffnen in der Sandbox Sensibilisierung für Nutzende KANN zum Öffnen verdächtiger Dateien ausschließlich auf einem isolierten IT-System (Sandbox) sensibilisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Öffnen verdächtiger Dateien ausschließlich auf einem isolierten IT-System (Sandbox)", "definitions": {}}, "guidance": "Eine Sandbox ist ein isoliertes IT-System, das bewusst so gestaltet ist, dass Dateien oder Programme in einer abgeschotteten Umgebung geöffnet und ausgeführt werden, ohne die produktive IT-Infrastruktur zu gefährden. Damit wird ein geschützter Bereich geschaffen, in dem verdächtige Dateien getestet und beobachtet werden, ohne dass Schadsoftware unkontrolliert in interne Systeme gelangt. Der Sinn dieser Anforderung liegt darin, das Risiko unbewusster Schadcode-Ausführung zu reduzieren: Ein unbedachtes Öffnen von E-Mail-Anhängen könnte beispielsweise zu Verschlüsselung durch Ransomware führen, oder ein manipuliertes Office-Dokument könnte eine unbemerkte Datenabflussschleuse öffnen. Als Sandbox kann auch ein virtuelles System auf dem Endgerät genutzt werden, wenn dieses von der Betriebssystemumgebung des Endgerätes isoliert ausgeführt wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Schutz vor Schadprogrammen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.3.3 Grundschutz++ SENS.3.3 Umwandeln verdächtiger Dateien Sensibilisierung für Nutzende KANN zum Umwandeln verdächtiger Dateien in ein nicht-ausführbares Format vor der weiteren Verwendung sensibilisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Umwandeln verdächtiger Dateien in ein nicht-ausführbares Format", "definitions": {}}, "guidance": "Das gezielte Umwandeln potenziell schadhafter Dateien in ein nicht-ausführbares Format (engl. defanging) kann helfen, die Ausnutzung von Sicherheitslücken zu verhindern, bevor schädlicher Code aktiv werden kann. Eine Datei gilt dabei als verdächtig, wenn sie aus einer unbekannten oder unzuverlässigen Quelle stammt. Im Kontext dieser Anforderung bedeutet nicht-ausführbares Format (non-executable format), dass die Datei zwar geöffnet oder betrachtet, jedoch nicht direkt ausgeführt werden kann – Beispiele sind PDF ohne eingebettete aktive Inhalte, reines Textformat (.txt) oder Bildformate wie .png/.jpg. Die Umwandlung kann auf unterschiedliche Weise erfolgen, ohne dass dabei möglicher schadhafter Code in der Originaldatei ausgeführt wird. Verdächtige Office-Dokumente können automatisiert in ein PDF umgewandelt oder als Screenshot exportiert werden, bevor der Inhalt zur Ansicht freigegeben wird. Auch das Verwenden von sicheren Cloud-Vorschau-Ansichten, die keine direkte Ausführung erlauben, kann eingesetzt werden. Weitere praktikable Möglichkeiten sind das Umwandeln von ausführbaren Anhängen in komprimierte Archive mit deaktivierter automatischer Entpackung, oder die Nutzung spezieller Konverter-Tools, die potenziell gefährliche Dateiinhalte in ein sicheres Anzeigeformat übertragen. Hilfreich kann auch ein einfaches, intern bereitgestelltes Kurztutorial sein, das typische Umwandlungsschritte für verschiedene Dateitypen erklärt und aufzeigt, woran Nutzende potenzielle Risiken erkennen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Schutz vor Schadprogrammen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der weiteren Verwendung", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.4.1 Grundschutz++ SENS.4.1 Personengebundene Authentisierungsmittel Sensibilisierung für Nutzende SOLLTE zum Umgang mit Authentisierungsmitteln im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Authentication and Authorization, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Umgang mit Authentisierungsmitteln", "definitions": {}}, "guidance": "Authentisierungsmittel sind alle Methoden oder Technologien, die zur Überprüfung der Identität verwendet werden, z.B. Passwörter, Zugangschipkarte, Ausweis. Um Missbrauch zu vermeiden ist es wichtig, diese (1) geschützt aufzubewahren und niemals weiterzugeben, (2) den Verdacht, dass ein Passwort oder Token kompromittiert sein könnte, sofort zu melden und (3) aufmerksam gegenüber ungewöhnlichen Login-Masken oder Aufforderungen zu sein, die Zugangsdaten außerhalb der gewohnten Systeme einzugeben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.4.1.1 Grundschutz++ SENS.4.1.1 Verdeckte Eingabe Sensibilisierung für Nutzende SOLLTE zur verdeckten Eingabe von Zugangsdaten sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Shoulder Surfing", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur verdeckten Eingabe von Zugangsdaten", "definitions": {}}, "guidance": "Werden Zugangsdaten unverdeckt eingegeben, so könnten diese durch Shoulder Surfing kompromittiert werden, etwa in überfüllten Bereichen, Aufzügen oder während Videokonferenzen. Die verdeckte Eingabe umfasst dabei alle Tätigkeiten, die verhindern, dass Unbefugte die Eingabe von Passwörtern, PINs oder anderen Authentifizierungsdaten visuell erfassen können, sei es durch direkte Sichtbarkeit oder durch das Verfolgen von Handbewegungen und Tastaturanschlägen. Beispiele sind die bewusste Positionierung des Körpers oder der Hand als natürlicher Sichtschutz bei der Eingabe, sowie die Nutzung von Sichtschutzfolien auf Bildschirmen in öffentlichen Bereichen oder beim mobilen Arbeiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.4.1.2 Grundschutz++ SENS.4.1.2 Untersagung von Passwort Recycling Sensibilisierung für Nutzende SOLLTE die Wiederverwendung von Passwörtern untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Privilege Escalation, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wiederverwendung von Passwörtern", "definitions": {}}, "guidance": "Wiederverwendung von Passwörtern bezeichnet die Nutzung identischer Zugangsdaten für verschiedene Systeme, Dienste oder Anwendungen. Werden identische Passwörter auf unterschiedlichen Systemen eingesetzt, steigt die Wahrscheinlichkeit, dass ein Angreifer mit einem einzigen erlangten Passwort Zugriff auf weitere Konten erhält („Credential Stuffing“). Ein Vorfall könnte beispielsweise darin bestehen, dass ein externer Angreifer durch ein Datenleck bei einem Drittanbieter an ein altes Passwort gelangt und damit Zugang zu internen Diensten erhält, wenn die betroffene Person dieses Passwort mehrfach genutzt hat. Auch im internen Umfeld kann die Wiederverwendung von Passwörtern dazu führen, dass unbefugte Dritte über abgefangene oder mitgehörte Anmeldedaten Zugang zu sensiblen Bereichen erhalten. Die Anforderung zielt also auf eine Reduzierung der Angriffsfläche durch Verhinderung von Kettenreaktionen, die aus nur einem kompromittierten Passwort entstehen können. Mit „Wiederverwendung“ ist sowohl die Verwendung desselben Passworts an verschiedenen Zugangskonten oder IT-Systemen, also auch eine zeitlich wiederholte Nutzung früherer Passwörter gemeint.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.4.1.3 Grundschutz++ SENS.4.1.3 Wahl von Passwörtern Sensibilisierung für Nutzende SOLLTE zur Wahl ausreichend komplexer Passwörter sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Authentication and Authorization, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Wahl ausreichend komplexer Passwörter", "definitions": {}}, "guidance": "Ein Passwort ist ein geheimes Zeichenfolgenkürzel, das als Authentisierungsmerkmal dient und typischerweise aus Buchstaben, Ziffern und Sonderzeichen bestehen kann. Komplexität bedeutet hierbei, dass die Passwortstruktur hinreichend schwer zu Erraten oder durch automatisierte Verfahren zu berechnen ist, etwa durch eine gewisse Länge und die Verwendung unterschiedlicher Zeichenarten. Die Komplexität ist ausreichend, wenn sie den festgelegten Qualitätskriterien für Passwörter entspricht. Einfache oder mehrfach genutzte Passwörter könnten durch erraten, Wörterbuchangriffe oder Datenleaks kompromittiert werden und so zu unautorisierten Zugriffen, Datenverlusten oder Identitätsdiebstahl führen. Die bewusste Wahl starker und einzigartiger Passwörter kann hingegen die Widerstandsfähigkeit gegen Angriffe deutlich erhöhen und so einen wesentlichen Beitrag zum Schutz von Daten und IT-Systemen leisten. Zur Umsetzung kann eine Institution verschiedene Maßnahmen einsetzen: (1) praxisnahe Schulungen und E-Learnings, die anschaulich erläutern, warum Passwörter wie „Sommer2023“ leicht angreifbar sein könnten und wie kreative Passphrasen gebildet werden können, (2) begleitende Tipps in Anmeldemasken, die Hinweise zur Passwortgestaltung geben, ohne konkrete Vorgaben zu erzwingen, (3) die Empfehlung von Passwortmanagern, die den Umgang mit langen und individuellen Kennwörtern erleichtern, (4) prozessuale Begleitung durch Erinnerungen oder kurze Awareness-Kampagnen, etwa durch Plakate, Newsletter oder interaktive Quizformate. Für mehr Details siehe auch Thema Passwortgebrauch in der Praktik Berechtigung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.7.11 Grundschutz++ SENS.7.11 Heimliche Aufzeichnung Sensibilisierung für Nutzende von VK-Anwendungen SOLLTE gegen die heimliche Bild- oder Tonaufzeichnung bei einer Videokonferenz sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die heimliche Bild- oder Tonaufzeichnung", "definitions": {}}, "guidance": "Heimliche Aufzeichnungen verletzen die Vertraulichkeit der Kommunikation. Eine Aufzeichnung von Wort und Bild ohne den Willen der Aufgezeichneten kann zudem eine Persönlichkeitsrechtverletzung bis hin zur Straftat (§ 201 StGB) darstellen. Dies gilt auch für Aufzeichnungen, die KI-gestützt ausgewertet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei einer Videokonferenz", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.4.1.4 Grundschutz++ SENS.4.1.4 Passwörter nur im Passwortmanager Sensibilisierung für Nutzende SOLLTE das Speichern oder Aufschreiben von Passwörtern außerhalb von Passwort-Managern untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Speichern oder Aufschreiben von Passwörtern außerhalb von Passwort-Managern", "definitions": {}}, "guidance": "Weil Passwörter komplex sind und an vielen Stellen verwendet werden kommt es immer wieder dazu, dass sie unbedacht auf Zetteln oder in unverschlüsselten Tabellen notiert werden. Werden Passwörter etwa in Office-Listen, im Browser oder auf programmierbaren Tastaturen und Mäusen gespeichert, so könnten Angreifer diese auslesen und zur Ausbreitung auf Systemen und im Netz verwenden. In einem verschlüsselten Passwort-Manager, der nur mit einem Master-Passwort oder Hardwaretoken entsperrt werden kann, können Zugangsdaten dagegen sicher gespeichert werden. Ein Passwortmanager erleichtert es zudem Passwörter zu erzeugen und den richtigen Webseiten und Anwendungen zuzuordnen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.4.1.5 Grundschutz++ SENS.4.1.5 Biometrische Authentifikation Sensibilisierung für Nutzende SOLLTE gegen die Fälschbarkeit von biometrischen Authentifizierungsmerkmalen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Fälschbarkeit von biometrischen Authentifizierungsmerkmalen", "definitions": {}}, "guidance": "Ein Angreifer könnte z.B. einen Fingerabdruck von einer glatten Oberfläche abnehmen und damit ein Gerät missbräuchlich entsperren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.4.1.6 Grundschutz++ SENS.4.1.6 Keine Weitergabe personengebundener Authentisierungsmittel Sensibilisierung für Nutzende SOLLTE die Weitergabe von personengebundenen Authentisierungsmitteln untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Authentication and Authorization, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Weitergabe von personengebundenen Authentisierungsmitteln", "definitions": {}}, "guidance": "Personengebundene Authentisierungsmittel sind z.B. Passwörter, Private PKI-Schlüssel oder Mehr-Faktor-Authentifizierungstoken wie Smartcards.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} SENS.4.1 \N \N \N +Grundschutz++:SENS.4.2 Grundschutz++ SENS.4.2 Mehrfachnutzung von Zugängen Sensibilisierung für Nutzende SOLLTE gegen die Nutzung eines Zugangskontos durch mehrere Personen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Nutzung eines Zugangskontos durch mehrere Personen", "definitions": {}}, "guidance": "Insbesondere ist die Nutzung eines Benutzerkontos auf einem Endgerät durch mehrere natürliche Personen problematisch.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.4.3 Grundschutz++ SENS.4.3 Abmelden nach Nutzung Sensibilisierung für Nutzende SOLLTE zum Abmelden nach Nutzung sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Abmelden", "definitions": {}}, "guidance": "Bleibt eine Sitzung unbeaufsichtigt angemeldet, könnte dies ausgenutzt werden, um Daten zu manipulieren, zu kopieren oder unbemerkt schädliche Aktionen auszuführen. Ein solches Risiko könnte z.B. in offenen Büroflächen, gemeinsam genutzten Arbeitsplätzen oder bei externen Einsätzen entstehen, etwa wenn jemand kurz den Platz verlässt und ein Dritter die Gelegenheit nutzt, um sensible Unterlagen herunterzuladen oder interne Kommunikationskanäle zu durchsuchen. Dies beinhaltet auch die Sperrung des genutzten IT-Systems nach Nutzung. „Abmelden“ bedeutet in diesem Kontext das gezielte Beenden einer aktiven Benutzeranmeldung – etwa durch Ausloggen aus einer Anwendung, Sperren des Betriebssystems oder Abmelden von einem Fernzugriff –, sodass keine offenen Berechtigungen mehr genutzt werden können. Technische Hinweise wie Tastenkombinationen zum schnellen Sperren des Bildschirms oder kurze Anleitungen für den Logout-Prozess in wichtigen Fachanwendungen können in der Nähe von Arbeitsplätzen, auf Intranetseiten oder in E-Learning-Modulen platziert werden, um die Erinnerung daran wachzuhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Authentisierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Nutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.5.1 Grundschutz++ SENS.5.1 Datenablage Sensibilisierung für Nutzende SOLLTE zum Einhalten einer strukturierten Datenablage sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Einhalten einer strukturierten Datenablage", "definitions": {}}, "guidance": "Eine strukturierte Datenablage ist eine systematische Organisation von Daten in einer definierten Struktur, z.B. Aktenbestandverzeichnis, Content-Management-System. Dies ist wichtig für eine zentrale Zugriffssteuerung, Datensicherung und effiziente Suche.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.5.2 Grundschutz++ SENS.5.2 Weitergabe von Informationen Sensibilisierung für Nutzende von Informationen SOLLTE zu den Voraussetzungen der Weitergabe von Informationen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu den Voraussetzungen der Weitergabe von Informationen", "definitions": {}}, "guidance": "Als \\"Voraussetzungen der Weitergabe\\" werden die rechtlichen, vertraglichen, technischen und organisatorischen Bedingungen verstanden, die vor der Übermittlung von Informationen an interne oder externe Empfänger erfüllt sein müssen, um Vertraulichkeit und Compliance zu gewährleisten. So werden unkontrollierte Informationslecks und Compliance-Verletzungen verhindert, indem ein Bewusstsein für die Voraussetzungen geschaffen wird, unter denen Informationen an Dritte übermittelt werden dürfen. Hierzu gehört insbesondere, welche Kategorien von Informationen (z.B. Kundendaten) welchen internen und externen Personengruppen (z.B. Dienstleister) über welche Kommunikationskanäle (z.B. E-Mail, telefonisch) unter welchen Voraussetzungen (z.B. Nennung des Kundenkennwortes) weitergegeben werden dürfen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.5.3 Grundschutz++ SENS.5.3 Weitergabe von Erreichbarkeiten Sensibilisierung für Nutzende KANN die Veröffentlichung oder Weitergabe von Erreichbarkeiten an unbefugte Dritte untersagen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Veröffentlichung oder Weitergabe von Erreichbarkeiten an unbefugte Dritte", "definitions": {}}, "guidance": "Dient dem Schutz vor Social Engineering-Angriffen und der Minimierung von Angriffsflächen durch Informationspreisgabe. Erreichbarkeiten umfassen dabei alle Kontaktinformationen wie Telefonnummern, E-Mail-Adressen, Instant-Messaging-Handles, interne Durchwahlen oder physische Standortangaben von Mitarbeitenden, die Angreifer für gezielte Phishing-Kampagnen, Vishing-Anrufe oder physische Infiltrationsversuche nutzen könnten. Ein Vorfall könnte z.B. entstehen, wenn eine Direktwahl des IT-Betriebs in sozialen Netzwerken preisgegeben wird und Angreifer diese für Pretexting nutzen, um sich als IT-Support auszugeben und Zugangsdaten zu erschleichen, oder wenn durch die Veröffentlichung von Abteilungsstrukturen mit einzelnen Kontaktdaten Angreifer gezielt Führungskräfte für CEO-Fraud identifizieren könnten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.5.4 Grundschutz++ SENS.5.4 Rest- und Zusatzdaten Sensibilisierung für Nutzende SOLLTE zur Vermeidung oder Entfernung von Rest- und Zusatzdaten vor dem Versand sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Vermeidung oder Entfernung von Rest- und Zusatzdaten", "definitions": {}}, "guidance": "Rest- und Zusatzinformationen sind z.B. die Metadatenfelder in Office- oder PDF-Dateien, sowie die Änderungshistorie.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Versand", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.2.9 Grundschutz++ ARCH.2.2.9 Segmentierung von IPv4 und IPv6 Architektur für Netze SOLLTE Verbindungen zwischen IPv4 und IPv6 einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen IPv4 und IPv6", "definitions": {}}, "guidance": "IPv4 und IPv6 sind grundlegende Netzprotokolle, die unterschiedliche Protokollstacks und Sicherheitseigenschaften haben. Eine Trennung von IT-Systemen mit IPv4 und IPv6 erschwert es Angreifern, Schwachstellen der Protokolle auszunutzen oder zu kombinieren und verringert die Wahrscheinlichkeit von Fehlern durch Wechselwirkungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:SENS.5.5 Grundschutz++ SENS.5.5 Löschfristen Sensibilisierung für Nutzende SOLLTE zum Löschen oder Vernichten nach Ablauf der festgelegten Löschfristen anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Löschen oder Vernichten", "definitions": {}}, "guidance": "Werden sensible Informationen über die erforderliche Dauer hinaus gespeichert, könnte die Institution unnötigen Haftungsrisiken ausgesetzt sein – beispielsweise könnte eine Datenschutzbehörde Bußgelder verhängen, wenn personenbezogene Daten entgegen gesetzlicher Vorgaben zu lange vorgehalten werden. Darüber hinaus könnten nicht rechtzeitig gelöschte Geschäftsgeheimnisse oder Kundendaten bei einem Sicherheitsvorfall in falsche Hände geraten, was zu Reputationsschäden, Vertrauensverlust bei Kunden oder sogar zu Wirtschaftsspionage führen kann. Dies ist insbesondere wichtig bei sensiblen Daten wie Passwörtern im Passwortmanager oder Bankzugangsdaten in einer Kundendatenbank. Relevant ist dabei auch das Verständnis dafür, welche Löschfristen für welche Kategorien von Informationen konkret festgelegt sind und wie die Löschung oder Vernichtung vorzunehmen ist. Zu Details der Vorgehensweise siehe auch Praktik \\"Informations- und Assetmanagement\\". Dies gilt auch für den Umgang mit physischen Medien und auch an anderen Standorten, wie z.B. am Mobilen Arbeitsplatz.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Ablauf der festgelegten Löschfristen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.5.6 Grundschutz++ SENS.5.6 Papiervernichtung Sensibilisierung für Nutzende SOLLTE zum Vernichten vertraulicher Dokumente nach Ablauf der Löschfrist sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Vernichten vertraulicher Dokumente", "definitions": {}}, "guidance": "Gemäß ISO/IEC 21964-2 existieren unterschiedliche Sicherheitsstufen für Vernichtung. Die Granularität der Vernichtung richtet sich dabei nach dem Schutzbedarf der Daten. Sinnvoll ist es daher, das Vorgehen zur Vernichtung an der Einstufung der Daten auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Informationen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Ablauf der Löschfrist", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.6.1 Grundschutz++ SENS.6.1 Scan angenommener Wechseldatenträger Sensibilisierung für Nutzende SOLLTE zum Virenscan angenommener Wechseldatenträger anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Virenscan angenommener Wechseldatenträger", "definitions": {}}, "guidance": "Datenträger, wie USB-Sticks aus unbekannten oder externen Quellen, können Schadprogramme enthalten. Der Virenscan kann durch eine Datenträgerschleuse oder durch eine Virenprüfung im IT-System selbst umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Datenträgern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.6.2 Grundschutz++ SENS.6.2 Verschlüsselung Sensibilisierung für Nutzende SOLLTE zum Verschlüsseln von Wechseldatenträgern anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Verschlüsseln von Wechseldatenträgern", "definitions": {}}, "guidance": "Falls Wechseldatenträger zum Austausch vertraulicher Daten verwendet werden, so sind diese vor der ersten Verwendung vollständig zu verschlüsseln. Die Verschlüsselung kann in Hard- oder Software, oder auf Dateiebene erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit Datenträgern", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.1 Grundschutz++ SENS.7.1 Spezifische Sensibilisierung Sensibilisierung für Nutzende SOLLTE zu zielobjektspezifischen Schutzmaßnahmen zielgruppengerecht sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu zielobjektspezifischen Schutzmaßnahmen", "definitions": {}}, "guidance": "Kann dazu beitragen, dass Personen Risiken, die mit ihrer konkreten Tätigkeit, ihrem Arbeitsumfeld oder den von ihnen genutzten Systemen verbunden sind, frühzeitig erkennen und angemessen reagieren können. Ziel ist es auf die spezifischen Schutzbedarfe der jeweiligen Zielobjekte – wie z. B. bestimmte IT-Systeme, Produktionsanlagen, Forschungsdaten oder vertrauliche Kundeninformationen – aufmerksam zu machen. Dazu können sowohl technische als auch organisatorischen Schutzmaßnahmen gehören. Der Begriff „zielgruppengerecht“ meint dabei, dass Inhalte in einer Form, Tiefe und Sprache bereitgestellt werden, die für die jeweiligen Nutzenden verständlich, relevant und handlungsnah sind. Für die Zielgruppengerechtigkeit ist eine Zielgruppenanalyse zweckmäßig. Die Schutzmaßnahmen ergeben sich aus der konkreten Implementierung der Anforderungen durch die Institution.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zielgruppengerecht", "definitions": {}}} \N \N \N \N +SCF:BCD-09.4 SCF BCD-09.4 Preparation for Use Mechanisms exist to prepare the alternate processing alternate to support essential missions and business functions so that the alternate site is capable of being used as the primary site. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09.4_BCD-09.4_A01", "name": "assessment-objective", "prose": "the alternate processing site is prepared so that the site can serve as the operational site supporting essential mission and business functions."}]} \N \N \N \N +Grundschutz++:SENS.7.2 Grundschutz++ SENS.7.2 Virenscan Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Virenscan von Dateien aus externen Quellen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Virenscan von Dateien aus externen Quellen", "definitions": {}}, "guidance": "Dateien aus externen Quellen (z.B. per E-Mail oder Messenger) könnten Schadprogramme enthalten. Bevor diese Dateien geöffnet oder anderweitig verarbeitet werden, ist eine Überprüfung mit einem Virenschutzprogramm oder einem dafür vorgesehenen Prüfsystem (z.B. Datenträgerschleuse) vorzunehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.3 Grundschutz++ SENS.7.3 Automatische Antworten Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen die Ausgabe vertraulicher Daten durch AutoReply-Funktionen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Ausgabe vertraulicher Daten durch AutoReply-Funktionen", "definitions": {}}, "guidance": "AutoReply-Funktionen – etwa automatische Abwesenheitsnotizen oder Standardantworten in E-Mail- oder Messaging-Systemen – könnten unbeabsichtigt vertrauliche Informationen an unberechtigte Empfänger preisgeben. In der Praxis könnte dies dazu führen, dass sensible Projektdetails, interne Kontaktdaten oder Hinweise auf Abwesenheiten an Angreifer gelangen, die solche Informationen gezielt zur Planung von Social-Engineering-Angriffen oder zur Umgehung von Sicherheitsmaßnahmen nutzen. Im Kontext dieser Anforderung bezeichnet „AutoReply“ die automatische Generierung und Versendung von Nachrichten durch Kommunikationssysteme ohne aktives Zutun der nutzenden Person, typischerweise ausgelöst durch eingehende Nachrichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.4 Grundschutz++ SENS.7.4 SPAM - Löschen oder Melden Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Löschen oder Melden von SPAM sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Löschen oder Melden von SPAM", "definitions": {}}, "guidance": "Spam – also unerwünschte, oft massenhaft versendete Nachrichten – könnte nicht nur den Posteingang überfluten und Arbeitszeit binden, sondern häufig auch Schadsoftware, Phishing-Links oder betrügerische Inhalte enthalten. Werden solche Nachrichten unbeachtet geöffnet oder beantwortet, könnte dies beispielsweise zu einer unbemerkten Offenlegung vertraulicher Informationen, zur Infektion von Endgeräten oder zur Kompromittierung von Benutzerkonten führen. Spam in E-Mails, Chat-Apps oder SMS kann oft an einer Kombination auffälliger Merkmale erkannt werden: (1) unerwartete oder anonyme Absender, (2) untypische Schreibweisen des Namens oder der Adresse, (3) drängender oder alarmierender Tonfall („sofort handeln“), (4) Links mit ungewöhnlichen oder verkürzten Domains, (5) fehlerhafte oder maschinell wirkende Sprache, (6) unpassende Dateianhänge oder Bilddateien sowie (7) Inhalte, die nicht zum bisherigen Kontext der Kommunikation passen. In Chat-Apps und SMS können zudem (8) fremdsprachige Nachrichten ohne Bezug, (9) Einladungen zu unbekannten Gruppen oder (10) Aufforderungen, auf externe Links zu klicken, verdächtig wirken. Das bewusste Hinterfragen solcher Signale kann helfen, Spam frühzeitig zu erkennen und unschädlich zu machen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.5 Grundschutz++ SENS.7.5 SPAM - Nichtbeantwortung Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE zum Nichtbeantworten von SPAM sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Nichtbeantworten von SPAM", "definitions": {}}, "guidance": "Das Nichtbeantworten von Spam kann dazu beitragen, die eigene Angriffsfläche zu verringern und das Risiko von Folgeschäden zu minimieren. Spam – im Kontext hier als unerwünschte, massenhaft versendete elektronische Nachrichten verstanden, die oft mit betrügerischen oder schädigenden Absichten einhergehen – kann als Einfallstor für Phishing, Schadsoftware oder Betrugsversuche dienen. Eine Antwort, selbst in Form einer scheinbar harmlosen Rückfrage, kann Angreifenden bestätigen, dass die Adresse aktiv genutzt wird, was zu einer Zunahme der Spam-Flut oder gezielten Social-Engineering-Angriffen führen könnte. Spammer erraten Zieladressen oft nur und erhalten durch die Antwort weitere Hinweise auf Angriffsmöglichkeiten (z.B. Schema gültiger Mailadressen, E-Mail-Signaturen, aktive Server).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.2.10 Grundschutz++ ARCH.2.2.10 Drucker-Netz Architektur für Netze SOLLTE Verbindungen zwischen Druckern und anderen Systemen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Druckern und anderen Systemen", "definitions": {}}, "guidance": "Drucker können Schwachstellen aufweisen, die Angreifer ausnutzen, z.B. veraltete Firmware oder ungesicherte Netzprotokolle. Durch die Segmentierung wird die Angriffsoberfläche reduziert und die Netzüberwachung erleichtert. Die Umsetzung kann physisch oder durch VLANs erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:SENS.7.6 Grundschutz++ SENS.7.6 SPAM - Links Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen das Öffnen von Links in SPAM sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen das Öffnen von Links in SPAM", "definitions": {}}, "guidance": "Spam kann Phishing-Versuche enthalten, die zur Preisgabe sensibler Zugangsdaten verleiten, oder auf Webseiten führen, die Schadsoftware ausliefern. Angreifer versuchen oft, ihre Opfer zum unerwarteten Aufruf von Internetseiten zu drängen und nutzen täuschend echt aussehende Webseiten um Zugangsdaten oder IBAN-Nummern abzufischen. Im Zweifelsfall ist es sinnvoll stattdessen sinnvoll, Rücksprache über andere, bereits bekannte Erreichbarkeiten (z.B. Telefonnummer, bekannter Link im Intranet) zu halten und die Echtheit der Nachricht zu verifizieren, oder über die Meldewege einen potenziellen Vorfall zu melden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.7 Grundschutz++ SENS.7.7 SPAM - Anhänge Sensibilisierung für Nutzende von Interpersoneller Kommunikation SOLLTE gegen das Öffnen von Anhängen in SPAM sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen das Öffnen von Anhängen in SPAM", "definitions": {}}, "guidance": "Das Öffnens von Anhängen in unerwünschten oder verdächtigen Nachrichten könnte dazu führen, dass Schadsoftware in die Systeme einer Institution gelangt oder vertrauliche Informationen abfließen. Angreifer versuchen oft, ihre Opfer zum Öffnen von Dateien zu drängen und nutzen diese dann, um Schadprogramme auszuführen. Im Zweifelsfall ist es sinnvoll stattdessen sinnvoll, Rücksprache über andere, bereits bekannte Erreichbarkeiten (z.B. Telefonnummer, bekannter Link im Intranet) zu halten und die Echtheit der Nachricht zu verifizieren, oder über die Meldewege einen potenziellen Vorfall zu melden. Nützlich sind zudem kompakte Checklisten, die die wichtigsten Prüfkriterien vor dem Öffnen eines Anhangs aufführen, wie z. B. die Überprüfung der Absenderadresse, die Plausibilität des Inhalts und die Art der Datei.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.8 Grundschutz++ SENS.7.8 Gefälschte E-Mails Sensibilisierung für Nutzende von E-Mailn SOLLTE zum Erkennen von gefälschten E-Mails sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Erkennen von gefälschten E-Mails", "definitions": {}}, "guidance": "Spam in E-Mails kann oft an einer Kombination auffälliger Merkmale erkannt werden: (1) unerwartete oder anonyme Absender, (2) untypische Schreibweisen des Namens oder der Adresse, (3) Absendernamen, der nicht zur Absender-Mailadresse passt, (4) drängender oder alarmierender Tonfall („sofort handeln“), (5) Links mit ungewöhnlichen oder verkürzten Domains, (6) fehlerhafte oder maschinell wirkende Sprache, (7) unpassende Dateianhänge oder Bilddateien sowie (8) Inhalte, die nicht zum bisherigen Kontext der Kommunikation passen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.9 Grundschutz++ SENS.7.9 Aktive Inhalte Sensibilisierung für Nutzende von Office-Anwendungen SOLLTE zur Überprüfung aktiver Inhalte vor der Aktivierung sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Überprüfung aktiver Inhalte vor der Aktivierung", "definitions": {}}, "guidance": "Office-Dateien mit aktiven Inhalten (z.B. Makros) können Schadprogramme enthalten. In diesem Kontext bedeutet „aktive Inhalte“ jegliche Funktionen in Office-Dokumenten, die über reine Text- oder Datenanzeige hinaus eigenständig Code ausführen oder externe Ressourcen ansprechen können. Bei unbekannten oder unerwarteten Dokumenten mit solchen Inhalten ist es sinnvoll, zunächst Rücksprache mit der absendenden Person zu halten, um die Echtheit des Dokumentes zu bestätigen und zu klären, ob die aktiven Inhalte für die Kommunikation zwingend erforderlich sind. Werden aktive Inhalte tatsächlich benötigt, so ist eine Prüfung des Quellcodes vor der Ausführung sinnvoll, die über die Meldewege angestoßen werden kann. Wurde für bestimmte aktive Inhalte bereits eine Freigabe erteilt, so kann deren erneute Prüfung bei jedem Öffnen des Dokumenten entfallen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.10 Grundschutz++ SENS.7.10 Trennen nicht benötigter Anschlüsse Sensibilisierung für Nutzende von Virtualisierungslösungen SOLLTE zum Trennen nicht benötigter Verbindungen zwischen Host und virtuellem Gast sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Trennen nicht benötigter Verbindungen zwischen Host und virtuellem Gast", "definitions": {}}, "guidance": "Werden unnötige Verbindungen zwischen Host und Gast nicht getrennt, könnte dies zu unautorisiertem Zugriff auf Daten oder Systeme führen, etwa wenn eine Malware aus dem Gast Zugriff auf Host-Ressourcen erhält oder wenn sensible Dateien versehentlich zwischen beiden Umgebungen ausgetauscht werden. Durch eine saubere Trennung kann das Risiko seitlicher Bewegungen innerhalb der IT-Infrastruktur verringert werden und die Integrität einzelner Arbeitsumgebungen kann erhalten bleiben. Dies betrifft z.B. angeschlossene Geräte und Schnittstellen wie Drucker, USB-Sticks oder auch die Netzanbindung. Auch einfache Checklisten für IT-Personal und Nutzende können helfen, das Bewusstsein zu stärken, dass Komfortfunktionen wie „Drag & Drop“ zwischen Host und Gast zwar praktisch erscheinen, aber potenziell eine unnötige Angriffsfläche eröffnen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +SCF:END-16 SCF END-16 Restrict Access To Security Functions Mechanisms exist to ensure security functions are restricted to authorized individuals and enforce least privilege control requirements for necessary job functions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-16_END-16_A01", "name": "assessment-objective", "prose": "system configurations isolate security functions from non-security functions."}]} \N \N \N \N +Grundschutz++:SENS.7.12 Grundschutz++ SENS.7.12 Öffentliche WLANs Sensibilisierung für Nutzende von Endgeräten SOLLTE gegen die Risiken der Nutzung öffentlicher WLANs sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Risiken der Nutzung öffentlicher WLANs", "definitions": {}}, "guidance": "„Öffentliches WLAN“ meint frei zugängliche oder nur schwach kontrollierte Funknetze, deren Betreiber, Konfiguration und Schutzmechanismen unbekannt sind. In öffentlichen WLANs übertragenen Datenverkehr könnte von Dritten abgefangen werden. Angriffe wie Man-in-the-Middle, gefälschte Hotspots (Evil Twins), Session-Hijacking oder Phishing über Captive Portals könnten zu Kontoübernahmen, Datenabfluss oder Schadsoftware führen. Dies gilt auch dann, wenn das WLAN verschlüsselt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.13 Grundschutz++ SENS.7.13 Unverschlüsselte WLANs Sensibilisierung für Nutzende von Endgeräten SOLLTE gegen die Risiken der Nutzung unverschlüsselter WLANs sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Risiken der Nutzung unverschlüsselter WLANs", "definitions": {}}, "guidance": "Ohne Verschlüsselung könnten die über WLAN übertragenen Daten abgehört werden, z.B. Zugangsdaten, Session-Hijacking, Umleitungen durch DNS-Spoofing oder „Evil-Twins“. Ebenso könnte Schadcode über manipulierte Update-Kanäle oder Portalseiten eingeschleust werden. Im Kontext dieser Anforderung bedeutet „unverschlüsseltes WLAN“ offene Wi-Fi-Netze ohne WPA2/WPA3-Schutz, bei denen ein Captive Portal allein keine Funkstreckenverschlüsselung bereitstellt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.14 Grundschutz++ SENS.7.14 Unautorisierte WLANs Sensibilisierung für Nutzende von Endgeräten KANN die Nutzung unautorisierter WLANs untersagen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nutzung unautorisierter WLANs", "definitions": {}}, "guidance": "Zwar sind immer mehr Verbindungen automatisch verschlüsselt, dennoch bergen WLAN-Verbindungen außerhalb der Institution das Risiko, dass Verbindungsdaten abgefangen oder IT-Systeme angegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.15 Grundschutz++ SENS.7.15 Social Engineering Anrufe Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE gegen Social Engineering Anrufe sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen Social Engineering Anrufe", "definitions": {}}, "guidance": "Social Engineering bezeichnet in diesem Zusammenhang die bewusste Täuschung oder Beeinflussung einer Person, um sie zu Handlungen zu bewegen, die im Interesse des Angreifenden liegen, beispielsweise das Preisgeben von Passwörtern, internen Abläufen oder technischen Zugangsdaten. Ein Angriff könnte sich etwa darin äußern, dass sich eine Person am Telefon glaubhaft als IT-Support, Vorgesetzte oder externe Partnerin ausgibt, um den Eindruck einer legitimen Anfrage zu erwecken. Solche Vorfälle könnten zu unbefugtem Zugriff auf interne Systeme, zum Auslösen von Störungen oder zur Vorbereitung weiterer Angriffe führen. Typischerweise sind solche Anrufe daran zu erkennen, dass von unbekannten Personen zu unüberlegten Handlungen gedrängt wird. Hiergegen hilft es, den Gesprächspartner zunächst zu authentifizieren, bevor über Vertrauliches gesprochen oder Handlungen angestoßen werden. Angezeigte Rufnummern oder Nutzernamen könnten dagegen manipuliert sein (Caller ID Spoofing) - sie sind zur Authentifizierung des Gesprächspartners eher nicht geeignet. Das Mithören Dritter ist hier insbesondere im öffentlichen Raum zu bedenken, kann aber auch bei unverschlüsselten Verbindungen auftreten oder beim Gesprächspartner.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.16 Grundschutz++ SENS.7.16 Mailbox-PIN und Co. Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE zur Vergabe eigener Zugangsdaten zum Zugriff auf Aufzeichnungen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Vergabe eigener Zugangsdaten zum Zugriff auf Aufzeichnungen", "definitions": {}}, "guidance": "Der Begriff Zugangsdaten bezeichnet in diesem Kontext die für den Zugriff auf gespeicherte Aufzeichnungen notwendigen Authentisierungsinformationen, wie Passwörter, PINs oder Zugangstokens. Aufzeichnungen sind hierbei gespeicherte Mitschnitte oder Protokolle von Kommunikationssitzungen in TK-Anwendungen (z. B. Mailbox, Sprach-, Video- oder Chat-Verläufe), sofern deren Speicherung aktiviert wurde. Verfügt der Server über keine Funktion zum Speichern von Sprachaufzeichnungen (z.B. Voice-Mailbox mit PIN oder Gesprächsaufzeichnung bei Tastendruck) oder ist diese deaktiviert, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.17 Grundschutz++ SENS.7.17 Unverschlüsseltes Telefonieren Sensibilisierung für Nutzende von TK-Anwendungen SOLLTE gegen die Kommunikation über unverschlüsselte Telekommunikationsverbindungen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Kommunikation über unverschlüsselte Telekommunikationsverbindungen", "definitions": {}}, "guidance": "Hilfreich ist es hierbei darüber zu informieren, zu welchen Empfängerkreisen mit welchem Schutzniveau über welche Anwendungen kommuniziert werden kann. Telefonie über das öffentliche Telefonnetz ist noch immer häufig unverschlüsselt, während z.B. viele moderne Messenger-Apps eine Ende-zu-Ende-Verschlüsselung ermöglichen. Relevant ist dabei auch der Aufbau von Konferenzschaltungen: Wählt sich z.B. ein Teilnehmer über das öffentliche Telefonnetz ein, so ist diese Verbindung typischerweise unverschlüsselt, wodurch die Gespräche aller Konferenzteilnehmer abgehört werden können, auch wenn die anderen Teilnehmer über eine verschlüsselte Verbindung in der Konferenz sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.18 Grundschutz++ SENS.7.18 Mobiltelefone in Sicherheitsbereichen Sensibilisierung für Nutzende von Mobiltelefonen KANN das Mitführen von Mobiltelefonen in Sicherheitsbereichen untersagen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Mitführen von Mobiltelefonen in Sicherheitsbereichen", "definitions": {}}, "guidance": "Das Mitführen von Mobiltelefonen in besonders geschützten Bereichen kann untersagt werden, um das Risiko unbefugter Informationsabflüsse, unbeabsichtigter Datenaufzeichnungen oder unkontrollierter Funkübertragungen zu reduzieren. Mobiltelefone verfügen heute fast immer über hochauflösende Kameras, Mikrofone, GPS-Module und vielfältige Funktechnologien (z. B. LTE, WLAN, Bluetooth), die sowohl gezielt als auch unbeabsichtigt vertrauliche Informationen erfassen und weitergeben können. So könnte etwa ein Besuchender in einem Forschungsbereich versehentlich sensible Projektdaten fotografieren, oder ein infiziertes Gerät könnte über eine Funkverbindung Schadsoftware ins interne Netz einschleusen. Auch unbeabsichtigte Sprachaufzeichnungen in Besprechungen, die durch Assistenzfunktionen aktiviert werden, könnten sicherheitskritische Informationen in Cloud-Dienste übertragen. Das Verbot oder die Einschränkung des Mitführens in bestimmten Bereichen kann daher ein wirksames Mittel sein, um die Angriffsfläche für Spionage, Sabotage oder unkontrollierte Datenverbreitung deutlich zu verringern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.19 Grundschutz++ SENS.7.19 Unverschlüsselte SMS oder MMS Sensibilisierung für Nutzende von Mobiltelefonen KANN den Versand von SMS oder MMS untersagen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Versand von SMS oder MMS", "definitions": {}}, "guidance": "SMS und MMS werden in der Regel unverschlüsselt übertragen und daher nicht für sensible Informationen geeignet. Stattdessen kann oft auf verschlüsselte Anwendungen zurückgegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.20 Grundschutz++ SENS.7.20 Authentifzierung von Gesprächspartnern Sensibilisierung für Nutzende von Informationen SOLLTE zur Authentifizierung von Gesprächspartnern vor der Weitergabe von Informationen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Authentifizierung von Gesprächspartnern vor der Weitergabe von Informationen", "definitions": {}}, "guidance": "Die Authentifizierung von Gesprächspartnern ist die verlässliche Verifikation der Identität einer Person, bevor vertrauliche oder schützenswerte Informationen mündlich, telefonisch oder über andere elektronische Kommunikationsmittel weitergegeben werden. Dazu gehört es insbesondere sicherzustellen, dass die anfragende Person tatsächlich diejenige ist, für die sie sich ausgibt („authentication of interlocutors“). Ziel ist es zu verhindern, dass unberechtigte Dritte durch Täuschung an vertrauliche Inhalte gelangen. Ohne diese Überprüfung könnten Angriffe wie Social Engineering, CEO-Fraud oder Phishing erfolgreich sein – ein Angreifer könnte sich z. B. am Telefon als interner Kollege, vertrauter Dienstleister oder sogar als Behördenvertreter ausgeben, um Zugang zu Kundenlisten, Zugangsdaten oder Projektplänen zu erhalten. Dies gilt insbesondere am Telefon, aber auch in persönlichen Gesprächen mit Unbekannten. Sinnvoll ist es, hierzu ein einheitliches Verfahren zu etablieren, bei dem vor Auskunftserteilung anfragende Personen durch gezielte Rückfragen oder Vergleich mit bekannten Kontaktdaten überprüft werden. Beispiele können sein: (1) Rückruf unter der im internen Verzeichnis hinterlegten Telefonnummer, (2) Abgleich spezifischer interner Referenzen oder Codes, (3) Nachfrage nach Details, die nur legitim Berechtigte kennen können (z.B. Aktenzeichen), oder (4) die Nutzung anderer sicherer Kommunikationskanäle, die bereits für die jeweilige Person verifiziert wurden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.21 Grundschutz++ SENS.7.21 Rechtsunsicherheit von Faxen Sensibilisierung für Nutzende von Faxen SOLLTE gegen die Rechtsunsicherheit bei Empfang oder Versand von Faxen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Rechtsunsicherheit bei Empfang oder Versand von Faxen", "definitions": {}}, "guidance": "Faxe enthalten nicht die originale, eigenhändige Unterschrift und erfüllen daher nicht die gesetzliche Schriftform (§ 126 BGB).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +SCF:AAT-10.3 SCF AAT-10.3 AI TEVV Trustworthiness Demonstration Mechanisms exist to demonstrate the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed are:\r\n(1) Valid;\r\n(2) Reliable; and\r\n(3) Operate as intended, based on approved designs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.3_AAT-10.3_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes demonstrating the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed is valid and reliable."}]} \N \N \N \N +Grundschutz++:SENS.7.22 Grundschutz++ SENS.7.22 Unverschlüsselte Faxleitungen Sensibilisierung für Nutzende von Faxen SOLLTE gegen die Risiken der unauthentisierten und unverschlüsselten Faxnutzung sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Risiken der unauthentisierten und unverschlüsselten Faxnutzung", "definitions": {}}, "guidance": "Da Faxverbindungen in der Regel weder eine Authentifikation des Empfängers noch eine Transportverschlüsselung vornehmen, können diese leicht abgefangen oder manipuliert werden. Dem kann durch eine Ankündigung sowie eine Sende- und Empfangsbestätigung entgegengewirkt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.23 Grundschutz++ SENS.7.23 Geolokation Sensibilisierung für Nutzende von Endgeräten SOLLTE über Standortbestimmungsfunktionen von mobilen Endgeräten sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "über Standortbestimmungsfunktionen von mobilen Endgeräten", "definitions": {}}, "guidance": "Zum Beispiel könnten Webseiten über Schnittstellen von Webbrowsern auf Standort-Sensoren (GPS, Mobilfunk etc.) zugreifen. Auch Mobilfunkanbieter sind in der Lage, Geostandorte über das Mobilfunksignal zu erfassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.24 Grundschutz++ SENS.7.24 Zertifikatswarnungen Sensibilisierung für Nutzende von Webbrowsern SOLLTE gegen das unautorisierte Übergehen einer Zertifikatswarnung bei der Webnutzung sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen das unautorisierte Übergehen einer Zertifikatswarnung bei der Webnutzung", "definitions": {}}, "guidance": "Zeigt der Browser oder eine andere Anwendung eine Zertifikatswarnung an, dann besteht das Risiko, dass es sich um einen Angriff handelt. Im Zweifel ist es hier angebracht, über die bekannten Meldewege nachzufragen und den Zugang zu bestimmten Seiten oder Anwendungen autorisieren zu lassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.7.25 Grundschutz++ SENS.7.25 Zugang zum Fahrzeug Sensibilisierung für Nutzende von Fahrzeugen SOLLTE zu Schutzmaßnahmen vor dem Zugang Unbefugter zu Fahrzeugen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu Schutzmaßnahmen vor dem Zugang Unbefugter zu Fahrzeugen", "definitions": {}}, "guidance": "Kann dazu beitragen, unbefugte Nutzung, Manipulation oder Diebstahl von Fahrzeugen und deren Ausrüstung zu verhindern. Dies ist besonders relevant, wenn Fahrzeuge sensible Materialien, technische Geräte, vertrauliche Unterlagen oder digitale Speichermedien enthalten, die bei ungeschütztem Zugang in falsche Hände geraten könnten. Ein unachtsig abgestelltes und nicht verriegeltes Fahrzeug könnte beispielsweise dazu führen, dass wertvolle Ausrüstung entwendet, ein GPS-System manipuliert oder vertrauliche Einsatzpläne aus dem Handschuhfach entnommen werden. Auch das Auslesen elektronischer Schnittstellen (z. B. OBD-Port) könnte möglich sein, wenn ein Fahrzeug ungesichert ist. Im Kontext dieser Anforderung bedeutet „Unbefugte“ jede Person, die nicht ausdrücklich durch die Institution autorisiert ist, Zugang zum Fahrzeug oder dessen Inhalten zu erlangen; „Zugang“ umfasst dabei sowohl den physischen Einstieg in das Fahrzeug als auch den Zugriff auf dessen Inhalte oder elektronische Systeme. Die Umsetzung dieser Sensibilisierung kann beispielsweise beinhalten, dass Fahrzeug beim Verlassen stets zu verriegeln und wertvolle Gegenstände oder vertrauliche Unterlagen nicht sichtbar im Innenraum zu lassen. Auch das Aktivieren werkseitiger oder nachgerüsteter Alarmanlagen oder Wegfahrsperren ist sinnvoll. Zudem ist es zweckmäßig, Fahrzeuge nur dort abzustellen, wo sie durch Sicherheitsmaßnahmen wie Zugangskontrollen und Alarmanlagen vor unbefugtem Zugriff geschützt sind und die erlaubten Datenlokationen es zulassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Umgang mit spezifischen Zielobjekten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.1 Grundschutz++ SENS.8.1 Risiken der Nutzung von mobilen Endgeräten Sensibilisierung für Nutzende von Endgeräten SOLLTE gegen Risiken der Nutzung von mobilen Endgeräten sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen Risiken der Nutzung von mobilen Endgeräten", "definitions": {}}, "guidance": "Bei der Nutzung mobiler Endgeräte wie Smartphones, Tablets und Laptops ist Vorsicht geboten, da diese Geräte häufig außerhalb gesicherter Umgebungen betrieben werden und dort typischerweise einer höheren Gefährdungslage ausgesetzt sind. Beispiele sind z.B. Abhandenkommen von Geräten oder Zugang von Unbefugten zu Informationen im öffentlichen Verkehr. Durch den konsequenten Einsatz von Gerätesperren, Verschlüsselung, vertrauenswürdigen Netzwerken sowie der geschützten Verwahrung von Geräten kann das Risiko einer unbefugten Nutzung erheblich reduziert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.2 Grundschutz++ SENS.8.2 Schließen von Türen und Fenstern Sensibilisierung für Nutzende von Gebäuden SOLLTE zum Verschließen von Fenstern und Türen beim Verlassen von Räumlichkeiten anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Verschließen von Fenstern und Türen", "definitions": {}}, "guidance": "Durch unverschlossene Türen und Fenster könnten Unbefugte Zutritt erlangen und (in Außenwänden) auch Umwelteinflüsse wirksam werden (Regen, Sturm, Frost), so dass IT, sensible Informationen und andere Werte in Gefahr geraten, zerstört, beschädigt, ausgespäht oder entfernt werden könnten. Sobald die Anwesenheit von Pesonen in einem Raum endet, sind Türen und Fenster daher so zu schließen, dass von Außen das unbefugte Öffnen und (in Außenwänden) das Eindringen von Umwelteinflüssen verhindert wird. Türen werden z.B. abgeschlossen oder Türschließsysteme in den entsprechenden Betriebszustand gebracht, Fenster ganz geschlossen und verriegelt. Nicht erforderlich ist das Verschließen der Türen von fensterlosen Innenräumen, in denen keine IT, sensible Informationen oder andere Werte aufbewahrt werden, oder wenn Risiken praktisch ausgeschlossen werden können (z.B. Kippen von Außenfenstern in höheren Geschossen bei gutem Wetter vor kurzer Abwesenheit). Dies gilt auch für Gemeinschaftsräume, in denen sich IT-Systeme oder Datenträger befinden, z.B. VK-Konferenzzimmer.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "beim Verlassen von Räumlichkeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.3 Grundschutz++ SENS.8.3 Mitbringen von IT-Systemen Sensibilisierung für Nutzende KANN das Mitbringen unautorisierter IT-Systeme untersagen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Bring Your Own Device", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Mitbringen unautorisierter IT-Systeme", "definitions": {}}, "guidance": "Fremde IT-Systeme sind ein Risiko, weil sie an das interne Netz angeschlossen, zum Mithören von Gesprächen oder zur Standortverfolgung missbraucht werden können. Relevant sind dabei sowohl Geräte der Mitarbeitenden, als auch von Externen. Dies kann auch durch eine Hinterlegung von Geräten an der Pforte oder in verschließbaren Fächern am Eingang umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.4 Grundschutz++ SENS.8.4 Begleitung Externer Sensibilisierung für Mitarbeitende von Standorten KANN zur Begleitung von Externen anweisen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Begleitung von Externen", "definitions": {}}, "guidance": "Dies dient in erster Linie dazu, unbefugte oder unbeaufsichtigte Zugriffe auf sensible Bereiche, Informationen oder Systeme zu verhindern. Ohne eine solche Begleitung kann es leicht zu Situationen kommen, in denen Externe absichtlich oder versehentlich sicherheitskritische Bereiche betreten, vertrauliche Informationen einsehen oder technische Geräte unsachgemäß manipulieren. Die Begleitung Externer, die wie Interne sicherheitsüberprüft und geschult wurden, ist entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.4.1 Grundschutz++ SENS.8.4.1 Beaufsichtigung Externer Sensibilisierung für Mitarbeitende von Standorten SOLLTE zur Beaufsichtigung von Externen in sensiblen Bereichen anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Beaufsichtigung von Externen in sensiblen Bereichen", "definitions": {}}, "guidance": "Erhalten Externe wie z.B. IT-Dienstleister Zugang zu Standorten, an denen sensible Informationen verarbeitet werden, so stellt eine Beaufsichtigung sicher, dass Externe nur soweit Zugriff auf diese Informationen erhalten, wie für die Erledigung der Aufgabe erforderlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} SENS.8.4 \N \N \N +Grundschutz++:SENS.8.5 Grundschutz++ SENS.8.5 Verwahrung Intern Sensibilisierung für Nutzende von Räumen SOLLTE zur sicheren Verwahrung von IT-Systemen und Datenträgern sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur sicheren Verwahrung von IT-Systemen und Datenträgern", "definitions": {}}, "guidance": "Herumliegende vertrauliche Dokumente und Datenträger sind ein leichtes Ziel für Diebe und können versehentlich verloren gehen. Hiergegen hilft die Verwahrung in einem verschlossenen Schrank oder anderweitig entsprechend geschützt. Dies ist besonders wichtig in Räumlichkeiten, welche oft zusammen mit oder ausschließlich von externen Personen genutzt werden, z.B. Konferenz- oder Veranstaltungsräume.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.6 Grundschutz++ SENS.8.6 Rückgabe nicht mehr benötigter Assets Sensibilisierung für Nutzende SOLLTE zur Rückgabe nicht mehr benötigter Assets anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Rückgabe nicht mehr benötigter Assets", "definitions": {}}, "guidance": "Dies gilt z.B. bei einem Wechsel der Aufgaben oder der Beendigung des Vertragsverhältnisses zwischen Nutzenden und der Institution.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.7 Grundschutz++ SENS.8.7 Verwendung von Brandschutmitteln Sensibilisierung für Mitarbeitende SOLLTE zur korrekten Verwendung bereitgestellter Brandschutz-Hilfsmittel sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur korrekten Verwendung bereitgestellter Brandschutz-Hilfsmittel", "definitions": {}}, "guidance": "Hierzu zählt z.B. die Einweisung in die korrekte Verwendung von Handfeuerlöschern, welche in Serverräumen oder Rechenzentren bereitgestellt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.8.8 Grundschutz++ SENS.8.8 Verwendung von Wasserschutzmitteln Sensibilisierung für Mitarbeitende KANN zur korrekten Verwendung bereitgestellter Wasserschutz-Hilfsmittel sensibilisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur korrekten Verwendung bereitgestellter Wasserschutz-Hilfsmittel", "definitions": {}}, "guidance": "Ohne ausreichende Kenntnisse könnte ein Mitarbeitender im Ernstfall zögern oder Hilfsmittel falsch anwenden, wodurch wertvolle Geräte ungeschützt bleiben oder unnötige Verzögerungen bei der Eindämmung eintreten könnten. Eine rechtzeitige und richtige Anwendung kann dagegen die Ausbreitung von Wasserschäden begrenzen, Datenverluste vermeiden und den Wiederanlauf kritischer Arbeitsprozesse erheblich erleichtern. Im Kontext dieser Anforderung bedeutet „Wasserschutz-Hilfsmittel“ einfache technische oder organisatorische Werkzeuge, die zur Eindämmung, Ableitung oder Beseitigung von Wasser im Notfall eingesetzt werden können, etwa Sandsäcke, Absperrschotten, Wassermelder oder Tauchpumpen. Konkrete Maßnahmen können sein: (1) Mitarbeitende regelmäßig in kurzen Übungen mit der Handhabung der vorhandenen Hilfsmittel vertraut machen, z. B. das Einsetzen von Absperrschotten an Türen oder den Betrieb einer Tauchpumpe an einem vorbereiteten Testbecken, (2) an den Aufbewahrungsorten der Hilfsmittel laminierte Schritt-für-Schritt-Anleitungen anbringen, die im Ernstfall sofort verständlich sind, (3) visuelle Markierungen oder QR-Codes platzieren, die auf kurze Videosequenzen zur Anwendung verweisen. Auch kleine Tipps können die Wirksamkeit erhöhen, etwa dass Hilfsmittel geordnet nach Dringlichkeit bereitliegen können oder dass bei Tauchpumpen vorab Kabel und Steckdosen auf sichere Reichweite geprüft werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Physische Sicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.1 Grundschutz++ SENS.9.1 Verarbeitung in der Öffentlichkeit Sensibilisierung für Nutzende SOLLTE gegen die Verarbeitung von vertraulichen Informationen in der Öffentlichkeit sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control, Shoulder Surfing", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Verarbeitung von vertraulichen Informationen in der Öffentlichkeit", "definitions": {}}, "guidance": "Die Anforderung zielt darauf ab, das Risiko unbeabsichtigter Informationsabflüsse in öffentlichen Räumen zu reduzieren. Ohne entsprechende Aufmerksamkeit könnte etwa ein unbefugter Dritter vertrauliche Daten über die Schulter mitlesen, Fotos von Bildschirmen aufnehmen oder Gesprächsinhalte mithören, was im schlimmsten Fall zu Identitätsdiebstahl oder geschäftsschädigender Weitergabe von Insiderinformationen führen könnte. Unachtsamkeit könnte dabei z.B. einen Verstoß gegen Arbeitsanweisungen und das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG) darstellen. Im vorliegenden Kontext bedeutet „öffentliche Verarbeitung“ die Nutzung mobiler Geräte wie Laptops, Tablets oder Smartphones in frei zugänglichen Umgebungen, in denen unbekannte Personen mitlesen oder mithören könnten, zum Beispiel in Verkehrsmitteln, Cafés, Flughäfen oder Co-Working-Spaces. Zudem helfen Schutzmaßnahmen wie das Sitzen mit dem Rücken zur Wand oder die Verwendung von Displayschutzfolien und abdeckenden Kopfhörern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +SCF:AAT-29.23 SCF AAT-29.23 Agent Output Integrity & Verification Mechanisms exist to validate AI agent-generated outputs through the use of:\r\n(1) Content scanning; and\r\n(2) Output vetting through human approvals, where appropriate. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.23_AAT-29.23_A01", "name": "assessment-objective", "prose": "AI agent-generated outputs are validated through content scanning."}, {"id": "AAT-29.23_AAT-29.23_A02", "name": "assessment-objective", "prose": "AI agent-generated outputs are validated through output vetting that uses human approvals, where appropriate."}]} \N \N \N \N +Grundschutz++:SENS.9.2 Grundschutz++ SENS.9.2 Vorsicht vor Mithören Sensibilisierung für Nutzende SOLLTE gegen das Abhören von Gesprächen beim mobilen Arbeiten sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen das Abhören von Gesprächen", "definitions": {}}, "guidance": "Das Abhören von Gesprächen bezeichnet im Kontext des mobilen Arbeitens das unbefugte Mithören vertraulicher oder sensibler Inhalte durch Dritte, sei es absichtlich (z. B. durch Spionage) oder unbeabsichtigt (z. B. durch zufällige Umstehende). Mobiles Arbeiten ist das Arbeiten an Orten außerhalb der Kontrolle der Institution, wie z. B. im Homeoffice, auf Reisen oder in öffentlichen Bereichen. Ohne entsprechende Vorsicht könnte die Preisgabe geschäftsrelevanter Daten über Produkte, interne Strategien oder persönliche Informationen erfolgen, was im schlimmsten Fall zu wirtschaftlichen Schäden oder Reputationsverlust führen könnte. Das betrifft insbesondere Anrufe und Videokonferenzen. Hierbei hilft es, Gespräche mit vertraulichem Inhalt nach Möglichkeit in geschützte Räume zu verlagern oder, falls dies nicht möglich ist, ihre Sprache bewusst zu kodieren bzw. zu abstrahieren. Technische Hilfsmittel wie Headsets mit Geräuschunterdrückung können die Verständlichkeit für autorisierte Gesprächspartner verbessern, während Umstehende weniger Details wahrnehmen. Auch einfache Verhaltenshinweise wie das Abwenden vom Publikumsverkehr, die Wahl einer Sitzposition mit Abstand zu anderen Personen oder die Nutzung digitaler Chatkanäle anstelle mündlicher Gespräche in unsicheren Umgebungen kann das Risiko verringern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "beim mobilen Arbeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.3 Grundschutz++ SENS.9.3 Verwahrung außer Haus Sensibilisierung für Nutzende SOLLTE zur Verwahrung von IT-Systemen und Datenträgern beim mobilen Arbeiten anweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Verwahrung von IT-Systemen und Datenträgern", "definitions": {}}, "guidance": "Die Verwahrung von IT-Systemen und Datenträgern bedeutet, diese so zu sichern, dass sie nicht unbeabsichtigt verloren gehen, beschädigt oder unbefugt eingesehen werden können. An mobilen Arbeitsplätzen ist das Risiko eines Zugriffs Unbefugter oder Verlustes typischerweise höher als in Bürogebäuden. Dagegen hilft es, alle Hardware und Dokumente so aufzubewahren, dass unbefugter Zugang und unberechtigter Zugriff verhindert wird. Hierzu können z.B. Koffer mit Schloss oder Hotelsafes genutzt werden. Eine regelmäßige Überprüfung dieser Maßnahmen wird empfohlen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "anweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "beim mobilen Arbeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.4 Grundschutz++ SENS.9.4 Mobile Arbeit mit Dokumenten Sensibilisierung für Nutzende SOLLTE über den sicheren Umgang mit analogen Dokumenten beim mobilen Arbeiten sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "über den sicheren Umgang mit analogen Dokumenten", "definitions": {}}, "guidance": "Unter analogen Dokumenten sind hier alle physischen Informations- und Datenträger wie Ausdrucke, Notizbücher oder Verträge zu verstehen, die sensible oder vertrauliche Inhalte enthalten. Unbeaufsichtigte oder ungeschützte Dokumente könnten unterwegs leicht verloren gehen oder in unbefugte Hände gelangen, was zu ungewollter Preisgabe interner Informationen führt. Daher ist es sinnvoll (1) Unterlagen unterwegs stets in verschließbaren Taschen oder Mappen zu transportieren und so vor unbefugtem Zugriff zu schützen, (2) beim Arbeiten außerhalb der Institution nur die wirklich notwendigen Ausdrucke mitzunehmen und alle übrigen Dokumente in gesicherten Ablagen zu belassen. (3) Papierstapel durch neutrale Umschläge abzudecken oder in blickdichten Aktenhüllen mitzuführen, sodass neugierige Blicke verhindert werden, (4) temporäre Notizen nach Gebrauch einer sicheren Vernichtung zuzuführen, etwa durch mobile Reißwolf-Lösungen oder durch Rückgabe an eine zentrale Aktenvernichtung. Auch für mitgenommene analoge Dokumente gelten zudem die Regelungen und Verfahren zum Löschen und Vernichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "beim mobilen Arbeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.5 Grundschutz++ SENS.9.5 Mitnahme zur mobilen Arbeit Sensibilisierung für Nutzende SOLLTE gegen die Mitnahme nicht erforderlicher IT-Systeme und Datenträger sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Physical Access Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die Mitnahme nicht erforderlicher IT-Systeme und Datenträger", "definitions": {}}, "guidance": "Außerhalb der Institution sind die Möglichkeiten zum Schutz von IT-Systemen und Daten geringer. Es ist daher ratsam, die mitgenommenen Geräte und Dokumente auf das erforderliche Maß zu beschränken und stattdessen nach der Rückkehr intern weiter daran zu arbeiten. Welche IT-Systeme und Datenträger erforderlich sind, ergibt sich aus der Festlegung erlaubter Datenlokationen sowie den Aufgaben der Nutzenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.6 Grundschutz++ SENS.9.6 Mitnahme ins Ausland Sensibilisierung für Nutzende KANN die Mitnahme nicht erforderlicher IT-Systeme und Datenträger bei Auslandsreisen untersagen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Auslandsreisen", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Mitnahme nicht erforderlicher IT-Systeme und Datenträger", "definitions": {}}, "guidance": "Auf Auslandsreisen ist das Risiko für Spionage erhöht und der Rechtsschutz für Betroffene typischerweise geringer, insbesondere im EU-Ausland. Es ist daher ratsam, die mitgenommenen Geräte und sensiblen Informationen auf das für das Geschäft erforderliche Mindestmaß zu beschränken und stattdessen nach der Rückkehr an einem besser geschützten Standort weiter daran zu arbeiten. Welche IT-Systeme und Datenträger erforderlich sind, ergibt sich aus der Festlegung erlaubter Datenlokationen sowie den Aufgaben der Nutzenden. Ist die Nutzung von Informationen oder Assets der Institution im Ausland nicht vorgesehen (vgl. Anforderung Datenlokationen), dann ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Auslandsreisen", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.9.7 Grundschutz++ SENS.9.7 Reise- und Sicherheitshinweise Sensibilisierung für Nutzende SOLLTE zu Reise- und Sicherheitshinweisen des Auswärtigen Amtes bei Auslandsreisen ins außereuropäische Ausland sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Auslandsreisen, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu Reise- und Sicherheitshinweisen des Auswärtigen Amtes", "definitions": {}}, "guidance": "Dies kann dazu beitragen, frühzeitig potenzielle Gefahren zu erkennen und das Verhalten an die spezifischen Risiken des Ziellandes anzupassen. Dies umfasst unter anderem Hinweise zu politischen Unruhen, Naturkatastrophen, Kriminalitätslagen oder besonderen Einreise- und Sicherheitsbestimmungen. Ohne solche Kenntnisse könnten Reisende unvorbereitet in Situationen geraten, in denen dienstliche Geräte kompromittiert werden, wenn unsichere Netzwerke genutzt werden. Ebenso könnten fehlende Kenntnisse über lokale Gesetze dazu führen, dass mitgeführte elektronische Geräte bei der Einreise beschlagnahmt oder inspiziert werden. Sinnvoll ist es, sich vor der Arbeitsreisen in das außereuropäische Ausland über aktuelle Reise- und Sicherheitshinweise beim [Auswärtigen Amt](https://www.auswaertiges-amt.de/de/reiseundsicherheit/reise-und-sicherheitshinweise) zu informieren. Ist die Nutzung von Informationen oder Assets der Institution im Ausland nicht vorgesehen (vgl. Anforderung Datenlokationen), dann ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Mobiles Arbeiten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Auslandsreisen ins außereuropäische Ausland", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.10.1 Grundschutz++ SENS.10.1 Grundprinzipien der Systemadministration Sensibilisierung für Administrierende SOLLTE zu den Grundprinzipien der sicheren Administration sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu den Grundprinzipien der sicheren Administration", "definitions": {}}, "guidance": "Administriende sind durch ihre weitreichenden Zugangs- und Zugriffsberechtigungen, sowie ihre Verantwortung für die Aufrechterhaltung der Infrastruktur von besonderer Bedeutung für die Informations- und Cybersicherheit. Hier bedeutet „sichere Administration“, dass administrative Tätigkeiten so gestaltet werden, dass Vertraulichkeit, Integrität und Verfügbarkeit der Systeme möglichst gewahrt bleiben. Dazu zählen etwa Zugriffskontrolle und Rechtevergabe nach dem Least-Privilege-Prinzip, Netzwerksegmentierung, Systemhärtung, Loganalyse, Datensicherungen und Monitoring sowie die Vorbereitung für Notfälle. Um dies sicherzustellen ist es wichtig, die festgelegten Regeln (z.B. IT-Betriebskonzept) zu kennen und auf deren Einhaltung zu achten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Administration", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.10.2 Grundschutz++ SENS.10.2 Umgang mit privilegierten Berechtigungen Sensibilisierung für Administrierende SOLLTE zum Umgang mit privilegierten Berechtigungen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zum Umgang mit privilegierten Berechtigungen", "definitions": {}}, "guidance": "Privilegierte Berechtigungen (auch „administrative Rechte“, „Root-Berechtigungen“ oder „elevated privileges“ genannt) ermöglichen weitreichende Systemeingriffe und können bei unsachgemäßer Verwendung schwerwiegende Sicherheitsvorfälle verursachen. Beispielsweise könnte ein Administrator mit Root-Zugriff versehentlich kritische Systemdateien löschen, sensible Daten einsehen, oder Angreifer könnten solche Zugangsdaten abgreifen und mit diesen durch Lateral Movement ungehindert im Netzwerk agieren. Dies wird besonders deutlich an realen Vorfällen, bei denen Administratoren durch Social Engineering zum Einsatz ihrer Berechtigungen manipuliert wurden oder durch mangelndes Bewusstsein für Sicherheitsimplikationen ihrer Handlungen Schwachstellen selbst geschaffen haben. Stattdessen ist es sinnvoll, solche Berechtigungen nur dann zu verwenden, wenn sie für die aktuelle Aktion erforderlich sind, z.B. durch sudo. Zudem ist es bei diesen Zugangsdaten besonders wichtig, dass sie nicht ungeschützt abgelegt werden. Das betrifft auch Zugangsdaten, die in Skripten oder Anwendungen hinterlegt werden um diese auszuführen: Werden diese beim Aufruf von Kommandozeilenbefehlen oder in Skripten mitgespeichert, könnten sie in Protokollen oder im Prozessspeicher sichtbar sein und missbraucht werden. Sinnvoll ist stattdessen die Verwendung von Passwort-Managern, Umgebungsvariablen oder speziellen Secrets-Management-Lösungen. Dazu gehört auch die regelmäßige Rotation solcher Zugangsdaten bei Dienstekonten (Service Accounts).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Administration", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.10.3 Grundschutz++ SENS.10.3 Systemadministration - Sicherheitsvorfälle Sensibilisierung für Administrierende SOLLTE zu Verfahren und Regelungen bei Sicherheitsvorfällen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu Verfahren und Regelungen bei Sicherheitsvorfällen", "definitions": {}}, "guidance": "Für die Behandlung und Nachsorge bei Sicherheitsvorfällen sind die festgelegten Verfahren und Regelungen einzuhalten. Hierzu gehört etwa das Erkennen auffälliger Logeinträge, der Umgang mit kompromittierten Administratorpasswörtern oder das strukturierte Sammeln erster Fakten, bevor ein Incident-Response-Team übernimmt. Effektiv kann auch ein klar dokumentiertes Ablaufdiagramm sein, das den Meldeweg und zulässige Sofortmaßnahmen visuell darstellt und in Administrationshandbüchern oder direkt im Ticket-System hinterlegt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Administration", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.1.1 Grundschutz++ ARCH.1.1 Verfahren und Regelungen Architektur MUSS Verfahren und Regelungen zur Architektur des Netzes und damit verbundener Infrastrukturen verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Architektur des Netzes und damit verbundener Infrastrukturen", "definitions": {}}, "guidance": "Die Netzarchitektur ist der strukturierte Entwurf einer Netzinfrastruktur, einschließlich der IT-Systeme und verbundsbezogenen Schutzmechanismen darin. Hierzu gehören die Segmentierung und Filterung von kabelgebundenen und kabellosen Netzen, Netzmanagement sowie die Redundanz wichtiger Systeme für eine ausreichende Gewährleistung der Verfügbarkeit. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik. Empfehlenswert ist ein Design des Netzes nach dem Zero-Trust-Prinzip (siehe BSI Positionspapier Zero-Trust). Dennoch sind Netzgrenzen zur Isolierung durch Filterung oder Zugbrücken bei Angriffen weiterhin sinnvoll. Weitere Informationen zur Absicherung von Netzen sind in ISO/IEC 27033 zu finden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Architektur / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.10.4 Grundschutz++ SENS.10.4 Systemadministration - Strukturierte Verkabelung Sensibilisierung für Administrierende von Netzen SOLLTE zur strukturierten Verkabelung sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur strukturierten Verkabelung", "definitions": {}}, "guidance": "Eine strukturierte Verkabelung kann die Übersichtlichkeit, Fehlertoleranz und Betriebssicherheit von Netzwerken erheblich verbessern. Sie dient dazu, Kabelwege und -anschlüsse einheitlich zu planen, zu dokumentieren und physisch so zu gestalten, dass Fehlverkabelungen, Kabelschäden oder unbefugte Eingriffe erschwert werden. Ohne solche Maßnahmen kann es zu chaotischen Verkabelungen kommen, die Fehlerdiagnosen erschweren, längere Ausfallzeiten verursachen oder im schlimmsten Fall unbemerkt unautorisierte Geräte ins Netz einschleusen lassen. So könnte etwa ein unbeschriftetes Patchkabel versehentlich abgezogen werden, wodurch kritische Systeme offline gehen, oder ein Kabelbündel könnte bei einer unachtsamen Bewegung beschädigt werden, was zu intermittierenden Netzwerkausfällen führt. Im konkreten Kontext bezeichnet „strukturierte Verkabelung“ ein einheitlich aufgebautes und dokumentiertes System von Kabeln, Anschlüssen und Patchfeldern, das nach anerkannten Standards (z. B. nach DIN EN 50173 und 50174) geplant und umgesetzt wird. Dazu gehören die Auswahl geeigneter Kabel, normgerechte Verlegungswege unter Berücksichtigung von EN 50310 sowie die Einhaltung von Mindestbiegeradien und Trennungsabständen zu elektrischen Leitungen. Administrierende können durch klare Kabelführung, Farbcodierungen, eindeutige Beschriftungen und eine nachvollziehbare Dokumentation ihre Arbeitsumgebung übersichtlicher und sicherer gestalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Administration", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.10.5 Grundschutz++ SENS.10.5 Systemadministration - Internetnutzung Sensibilisierung für Administrierende SOLLTE gegen den Internetzugriff über ein Administrationskonto sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Privilege Escalation, Insider Threat, Privilegierte Rechte", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen den Internetzugriff über ein Administrationskonto", "definitions": {}}, "guidance": "Administrationskonten sind im konkreten Kontext privilegierte Benutzerkonten, die erweiterte Rechte für Konfigurations-, Installations- oder Wartungsaufgaben besitzen. Internetzugriff bezeichnet dabei das Herstellen von Verbindungen zu externen Diensten oder Webseiten außerhalb der institutionseigenen Netze. Ein solcher Zugriff mit einem Administrationskonto stellt ein erhebliches Risiko dar: Schadsoftware könnte mit denselben hohen Rechten ausgeführt werden oder Anmeldedaten könnten über unsichere Webseiten abgegriffen werden. Hiervon können Zugriffe ausgenommen werden, die zur Administration des Systems mit diesen Rechten erforderlich sind, z.B. Download von Sicherheitsupdates durch Applikationen, die zur Ausführung administrative Rechte benötigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Administration", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.11.1 Grundschutz++ SENS.11.1 Sensibilisierung der Institutionsleitung Sensibilisierung für Institutionsleitung SOLLTE zur Bedeutung der Informationssicherheit für den Schutz der Geschäftsprozesse sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Bedeutung der Informationssicherheit für den Schutz der Geschäftsprozesse", "definitions": {}}, "guidance": "Informationssicherheit ist kein Selbstzweck, sondern soll die Verarbeitung von Informationen in Geschäftsprozessen zur Erreichung der Geschäftsziele schützen. Weil Umfang und Integration von Informationsverarbeitungen in Geschäftsprozessen zunehmen, sind Datenverluste, Cyberangriffe und andere elementare Gefährdungen eine zunehmend ernste Bedrohung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Sensibilisierung der Leitungsebene", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.11.2 Grundschutz++ SENS.11.2 Führen als Vorbild Sensibilisierung für Führungskräfte SOLLTE zu ihrer Vorbildfunktion bei der Informationssicherheit sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu ihrer Vorbildfunktion bei der Informationssicherheit", "definitions": {}}, "guidance": "Die Vorbildfunktion von Führungskräften ist entscheidend, um eine robuste Sicherheitskultur zu etablieren und die Einhaltung der geschulten Inhalte im Arbeitsalltag zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Sensibilisierung der Leitungsebene", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.11.3 Grundschutz++ SENS.11.3 Whaling Sensibilisierung für Führungskräfte SOLLTE gegen gezielte Angriffe auf Führungskräfte sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen gezielte Angriffe auf Führungskräfte", "definitions": {}}, "guidance": "Gezielte Angriffe auf Führungskräfte, auch Whaling genannt, sind eine besondere Form des Social Engineering, bei der Täter sehr spezifisch auf leitende Personen einer Institution abzielen. Im Gegensatz zu herkömmlichem Phishing sind diese Angriffe stark personalisiert, häufig inhaltlich gut recherchiert und auf die Entscheidungsbefugnisse und den Einfluss der Führungsperson zugeschnitten. Die Täter setzen dabei häufig auf die jeweilige Situation zugeschnittene Social Engineering Techniken wie Spear Phishing (z.B. anhand von Angaben in sozialen Netzwerken), CEO-Fraud oder Deepfakes ein. Ein Vorfall könnte z.B. dazu führen, dass ein CFO durch eine täuschend echte E-Mail zur Freigabe von Überweisungen verleitet wird oder Aktivisten sich eine Videokonferenz mit bekannten Persönlichkeiten erschleichen, um diese bloßzustellen. Zur Verringerung des Risikos können konkrete Hinweise im Alltag beachtet werden: (1) Besonders aufmerksam sollte auf Nachrichten reagiert werden, die Dringlichkeit betonen, ungewöhnliche Geldtransfers verlangen oder auf streng vertrauliche Projekte Bezug nehmen. (2) Absenderadressen sollten sorgfältig geprüft werden – bereits kleine Abweichungen in Domainnamen können Manipulation anzeigen. (3) Zur Bestätigung verdächtiger Anfragen kann ein zweiter, unabhängiger Kommunikationskanal wie ein Rückruf unter offiziell bekannter Nummer genutzt werden. Zusätzlich kann darauf geachtet werden, keine sensiblen Informationen über öffentliche Plattformen preiszugeben, da solche Details als Grundlage für Angriffe dienen könnten. Auch eine feste Routine – etwa keine Zahlungen ausschließlich aufgrund einer E-Mail freizugeben – kann dazu beitragen, auch unter Zeitdruck resilient zu bleiben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sensibilisierung / Sensibilisierung der Leitungsebene", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:SENS.12.1 Grundschutz++ SENS.12.1 Hohe Risiken Sensibilisierung für Nutzende KANN gegen die in der Risikoanalyse festgestellten hohen Risiken sensibilisieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "gegen die in der Risikoanalyse festgestellten hohen Risiken", "definitions": {}}, "guidance": "Werden in einer Risikoanalyse bei hohem Schutzbedarf spezielle hohe Risiken festgestellt, so sind betroffene Nutzende auf diese Risiken hinzuweisen. Praktische Maßnahmen können (1) interaktive Trainings zu den jeweils relevanten Angriffsmethoden wie Social Engineering oder Ransomware umfassen, (2) Fallbeispiele aus der eigenen Branche einbeziehen, die konkrete Handlungsweisen aufzeigen, oder (3) wiederkehrende Awareness-Impulse wie Übungen einsetzen, die das Gelernte im Alltag verankern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sensibilisierung / Spezifische Risiken", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.1.1.1 Grundschutz++ ARCH.1.1.1 Dokumentation Architektur MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturierte Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es, Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Architektur / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} ARCH.1.1 \N \N \N +Grundschutz++:ARCH.1.1.2 Grundschutz++ ARCH.1.1.2 Zuweisung der Aufgaben Architektur MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Architektur / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} ARCH.1.1 \N \N \N +Grundschutz++:ARCH.1.1.3 Grundschutz++ ARCH.1.1.3 Bekanntgabe Architektur MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll, die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Architektur / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} ARCH.1.1 \N \N \N +Grundschutz++:ARCH.1.2 Grundschutz++ ARCH.1.2 Regelmäßige Überprüfung Architektur MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Architektur / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.1 Grundschutz++ ARCH.2.1 Netzsegmente Architektur für Netze SOLLTE eine Unterteilung des internen Netzes in Netzsegmente unter Berücksichtigung der Anforderungen der Institution und des Schutzbedarfes verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Unterteilung des internen Netzes in Netzsegmente", "definitions": {}}, "guidance": "Die Aufteilung in Netzsegmente (auch Netzdomänen oder Subnetze genannt) ermöglicht es, verschiedene Zonen mit unterschiedlichen Schutzanforderungen – z. B. Büro-IT, Produktionsnetz, Managementnetz – getrennt zu betrachten und gezielt zu schützen. Relevant sind dabei (falls vorhanden) auch WLANs/SSIDs, IoT-Geräte wie vernetzte Kühlschränke, Hausleittechnik, operative Technologien, Industrielle Steuerungssysteme oder Netze zum Zugriff auf Speichersysteme (Storage Area Network, SAN). Die Anforderung gilt auch, wenn die Systeme nur noch als VMs oder Container existieren. Die Segmentierung kann hier in die virtuelle Netzwerk‑Ebene verlagert werden, sodass die Segmentierung weder vom Hypervisor noch von den Workloads umgangen wird. Die Einteilung in Segmente kann anhand einer Klassifizierung von Netzen erfolgen (z.B. nach Schutzbedarf der dort verarbeiteten Daten oder nach Risikoklassen angeschlossener Systeme) erfolgen. Beispiele hierfür sind Internet-Domäne, Endgeräte-Domäne, Domäne für zentrale Serverdienste, Domäne für Systeme hoher Vertraulichkeit. Alternativ können auch organisatorische Domänen verwendet werden, z. B. Personalwesen, Marketing, Finanzverwaltung, Innere Verwaltung. Die Filterkriterien können sich nach den Sicherheitsanforderungen der jeweiligen Netze im Einzelnen oder nach einer vorgenommenen Klassifikation der Netze richten. Hierzu gehören insbesondere die Anforderungen zur Authentifizierung und Autorisierung von Assets.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung der Anforderungen der Institution und des Schutzbedarfes", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.2 Grundschutz++ ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten Architektur für Netze SOLLTE Verbindungen zwischen Netzsegmenten anhand von Kriterien einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Netzsegmenten", "definitions": {}}, "guidance": "Dient dem Ziel, die Angriffsfläche innerhalb interner und externer Netze zu reduzieren und die Ausbreitung potenzieller Schadsoftware oder unberechtigter Zugriffe einzudämmen. Ohne solche Begrenzungen könnte ein einzelner kompromittierter Bereich direkten Zugriff auf weitere sensible Segmente erhalten und dadurch Geschäftsprozesse massiv beeinträchtigen. Beispielsweise benötigt ein Endgerät Verbindungen zu internen Servern und Druckern, während Gäste lediglich auf den Internetanschluss Zugriff benötigen. Im Blick auf weitreichende Sicherheitsvorfälle ist hier insbesondere die Trennung interner Netzsegmente vom Internet zu beachten. Diese Regeln können auf Kriterien wie Gerätetyp (z. B. Laptop, IoT-Gerät), Benutzerrolle (z. B. Administrator, Gast), physischem Anschlussort oder Uhrzeit basieren. Eine klare Trennung von Benutzergruppen über VLANs oder dynamische ACLs erhöht die Sicherheit und Transparenz. Für die Einführung in eine bestehende Umgebung kann ein gestuftes Vorgehen gewählt werden: (1) Zunächst wird ein Überwachungsmodus (\\"Audit-Only\\") aktiviert, der protokolliert, welche Zugriffe durch eine strengere Richtlinie verweigert würden, ohne sie tatsächlich zu blockieren. (2) Anschließend werden diese Protokolle analysiert, um legitime, für den Geschäftsbetrieb notwendige Zugriffe zu identifizieren und diese gezielt in die jeweiligen Rollen und Berechtigungsgruppen aufzunehmen. (3) Erst wenn keine legitimen Zugriffe mehr in den Protokollen als \\"verweigert\\" auftauchen, wird die Richtlinie scharf geschaltet und blockiert aktiv alle nicht explizit erlaubten Zugriffe.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.2.1 Grundschutz++ ARCH.2.2.1 Externe Netzanschlüsse Architektur für Netze SOLLTE Verbindungen über externe Netzanschlüsse einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Internet Exposure, Command & Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen über externe Netzanschlüsse", "definitions": {}}, "guidance": "Dient dazu, die Angriffsfläche zu reduzieren, unerwünschte Ein- und Ausleitungen zu begrenzen und das Risiko von Datenabflüssen zu minimieren. Für mobile Systeme kann dies z. B. über das Erzwingen einer VPN-Verbindung ins gefilterte Netz der Institution oder über die Verwendung eines direkten Internetzugangs erfolgen, welcher über einen Direct-Internet-Access Agenten abgesichert ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.7 Grundschutz++ ARCH.2.2.7 Management-Netz Architektur für Netze SOLLTE ein oder mehrere Management-Netze installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein oder mehrere Management-Netze", "definitions": {}}, "guidance": "Ein Management-Netz ist ein physisch oder durch Netzfilter separiertes Netzsegment, das dediziert für die Überwachung, Verwaltung und Wartung von IT-Systemen bestimmt ist. Es ist von anderen Produktions- und Datennetzen getrennt, um den Zugriff auf kritische Verwaltungsfunktionen zu schützen und die Verfügbarkeit dieser Zugänge auch bei Problemen im restlichen Netz zu sichern. Dies gilt auch für virtualisierte Systeme. Im Kontext der Containerisierung empfiehlt es sich, administrative Zugänge auf Applikations-Container immer über die Container-Runtime erfolgen zu lassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.2 Grundschutz++ ARCH.2.2.2 Gastnetz Architektur für Netze SOLLTE Verbindungen zwischen Gastnetz und internem Netz einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Gastnetz und internem Netz", "definitions": {}}, "guidance": "Wenn Gäste der Institution sich mit dem internen Netz verbinden, könnten Schadprogramme in das Netz gelangen oder unbeabsichtigte Datenflüsse über die Verbindung fließen. Daher ist es sinnvoll, einen vom übrigen Netz getrennten Gastzugang einzurichten, z.B. in Besprechungs-, Veranstaltungs- und Schulungsräumen. Wenn die Einschränkungen von Gastnetzen lockerer sind als die interner Netze am gleichen Standort, so zeigt die Erfahrung, dass auch interne Mitarbeitende gerne auf Gastnetze zurückgreifen. Dadurch könnte es zur Umgehung der internen Schutzmaßnahmen kommen. Daher ist es empfehlenswert, für das Gastnetz gleiche oder strengere Einschränkungen zu wählen oder die Nutzung des Gastnetzes durch Mitarbeitende technisch oder organisatorisch zu beschränken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.3 Grundschutz++ ARCH.2.2.3 Segmentierung von Servern und Clients Architektur für Netze SOLLTE Verbindungen zwischen Hostsystemen und Clients einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Hostsystemen und Clients", "definitions": {}}, "guidance": "Die Anforderung gilt auch, wenn die IT-Systeme nur noch als VMs oder Container existieren. Die Segmentierung kann hier in die virtuelle Netzwerk‑Ebene verlagert werden, sodass die Segmentierung weder vom Hypervisor noch von den Workloads umgangen wird. Die Anforderung kann auch physisch durch dedizierte Infrastruktur für VDI/Client‑VMs umgesetzt werden. Um die klare Trennung sicherzustellen, wird empfohlen kein Bridging zwischen Port‑Groups sowie auf dem virtuellen Switch keinen promiscuous Mode zu verwenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.4 Grundschutz++ ARCH.2.2.4 VoIP-Netz Architektur für Netze KANN Verbindungen zwischen Daten- und VoIP-Systemen einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen Daten- und VoIP-Systemen", "definitions": {}}, "guidance": "Werden sowohl Telefonie als auch andere Daten über dasselbe Netz geführt, so könnte dies bei einem Netzausfall dazu führen, dass keine Kommunikation mehr möglich ist, auch nicht zur Meldung oder Behebung der Störung. Die Wahrscheinlichkeit kann durch getrennt betriebene Voice- und Datennetze verringert werden. Für weitere Details siehe „Kompendium für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf\\".", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.5 Grundschutz++ ARCH.2.2.5 OT-Systeme Architektur für Netze SOLLTE Verbindungen zwischen OT-Systemen und anderen IT-Systemen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen OT-Systemen und anderen IT-Systemen", "definitions": {}}, "guidance": "IT- und OT-Systeme haben typischerweise sehr unterschiedliche Risikoprofile (IT: Schnelllebig, viele Cybersicherheitsmechanismen, OT: Stabilität, weniger Cybersicherheitsmechanismen, beispielsweise industrielle Steuerungssysteme und Gebäudeautomationstechnik). Insbesondere der Zugriff auf OT-Funktionen (z. B. Öffnung zentraler Schließanlage) ist mit erhöhtem Risiko verbunden und könnte auch versehentlich z.B. durch Portscanner ausgelöst werden. Stattdessen ist es empfehlenswert, den Zugriff zu solchen Netzen nur über dafür vorgesehene Quellen zu ermöglichen (z. B. Sprungserver, bestimmte auslösende OT-Systeme).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.6 Grundschutz++ ARCH.2.2.6 Demilitarisierte Zone Architektur für Netze SOLLTE eine demilitarisierte Zone installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine demilitarisierte Zone", "definitions": {}}, "guidance": "Unter einer Demilitarisierten Zone versteht man in diesem Kontext ein logisch oder physisch getrenntes Teilnetz, in dem Systeme mit exponierten Diensten – wie Webserver, Mail-Gateways oder VPN-Endpunkte – betrieben werden. Systeme der Institution, die sowohl aus dem öffentlichen Netz als auch aus dem internen Netz erreichbar sind, werden in einer demilitarisierten Zone (DMZ) so betrieben, dass (1) der Netzverkehr zwischen dem System und dem öffentlichen Netz gefiltert wird und (2) der Netzverkehr zwischen dem System und anderen internen Netzen gefiltert wird. Eine DMZ kann sowohl durch dedizierte Hardware-Firewalls als auch durch virtuelle Netzwerksegmente umgesetzt werden. Ohne eine solche Trennung könnte ein kompromittierter Webserver direkt als Sprungbrett ins interne Netz dienen oder Schadsoftware könnte sich ungehindert auf sensible Systeme ausbreiten. Mit einer DMZ kann eine Institution hingegen erreichen, dass kompromittierte Systeme isoliert bleiben und sicherheitskritische interne Netze weiterhin geschützt sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} ARCH.2.2 \N \N \N +SCF:AAT-12.2 SCF AAT-12.2 Data Source Integrity Mechanisms exist to protect the integrity of source data to prevent accidental contamination or malicious corruption (e.g., data poisoning) that could compromise the performance of Artificial Intelligence and Autonomous Technologies (AAT). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-12.2_AAT-12.2_A01", "name": "assessment-objective", "prose": "sources of data used by Artificial Intelligence and Autonomous Technologies (AAT) are evaluated for susceptibility to compromise."}, {"id": "AAT-12.2_AAT-12.2_A02", "name": "assessment-objective", "prose": "methods to protect integrity of source data to prevent accidental contamination or malicious corruption (e.g., data poisoning) that could compromise the performance of Artificial Intelligence and Autonomous Technologies (AAT) are implemented."}]} \N \N \N \N +Grundschutz++:ARCH.2.2.11 Grundschutz++ ARCH.2.2.11 Physische Segmentierung Architektur für Netze KANN den physischen Zugang auf diese einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den physischen Zugang auf diese", "definitions": {}}, "guidance": "Obwohl sich eine virtuelle Vernetzung immer größerer Beliebtheit erfreut, können Konfigurationsfehler oder Sicherheitslücken dabei leichter zu einer Umgehung der Netztrennung führen, als wenn die Netze bereits auf physischer Ebene voneinander getrennt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.2.12 Grundschutz++ ARCH.2.2.12 Sprungserver Architektur KANN Sprungserver installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement, Separation of Concerns", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sprungserver", "definitions": {}}, "guidance": "Ein Sprungserver (englisch „jump server“ oder „jump host“) ist ein speziell abgesicherter Server, der als einzig vorgesehener Einstiegspunkt in ein Verwaltungsnetz oder zu administrierten Systemen dient. Alle administrativen Sitzungen laufen über diesen zentralen Knotenpunkt, wodurch die Angriffsfläche reduziert und die Nachvollziehbarkeit erhöht wird. Ohne Sprungserver könnte ein Angreifer beispielsweise über kompromittierte Administrator-Notebooks unbemerkt direkt auf zentrale Systeme zugreifen und dort Manipulationen durchführen. Ein Sprungserver kann hingegen alle Management-Zugriffe zentral kanalisieren, sodass verdächtige Aktivitäten leichter erkannt und im Nachhinein nachvollzogen werden können. Praktische Umsetzungen können sein: (1) der Einsatz eines dedizierten, gehärteten Servers mit restriktiven Firewall-Regeln, (2) die Nutzung von Mehrfaktor-Authentisierung und zentralem Benutzer-Management auf dem Sprungserver, (3) eine verpflichtende Session-Aufzeichnung oder Protokollierung sämtlicher Administrationsvorgänge.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} ARCH.2.2 \N \N \N +Grundschutz++:ARCH.2.3 Grundschutz++ ARCH.2.3 Mikrosegmentierung Architektur für IT-Systeme KANN Verbindungen zu allen anderen IT-Systemen einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust, Advanced Persistent Threats (APT), Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zu allen anderen IT-Systemen", "definitions": {}}, "guidance": "Mikrosegmentierung ist die Unterteilung des Netzes in möglichst kleine Segmente (z.B. pro IT-System oder Server-Anwendung). Für jedes dieser Segmente wird die erlaubte Kommunikation definiert und gefiltert. Mikrosegmentierung sorgt dafür, dass z.B. zwei medizinische Geräte mit gleicher Rolle zwar ins gleiche VLAN dürfen, aber nicht direkt miteinander kommunizieren dürfen. Die Umsetzung kann mit dynamischen VLANs, softwaredefinierten Netzwerken (SDN) oder Netzwerk-Firewalls auf Host-Ebene erfolgen. Die Mikrosegmentierung begrenzt Angriffe, die sich lateral ausbreiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.4 Grundschutz++ ARCH.2.4 Inventar der Netze Architektur SOLLTE ein Inventar der Netze einschließlich interner Segmente, externer Netzanschlüsse und deren Verwendungszweck dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Inventories", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der Netze", "definitions": {}}, "guidance": "Die Erfassung externer Netzanschlüsse – etwa zu Partnernetzen, Cloud-Diensten oder dem Internet – hilft, potenzielle Angriffspunkte zu identifizieren und gezielte Schutzmaßnahmen zu planen. Beispiele für interne Netzsegmente können klassische Trennungen wie IT-Office-Netze, SCADA-/Leittechnik-Netze oder DMZs für externe Zugriffe sein. Dabei sollten auch virtuelle Netze und virtuelle Switches berücksichtigt werden, ebenso wie Container-Infrastrukturen. Als externe Netzanschlüsse kommen etwa VPN-Gateways, dedizierte Providerverbindungen, Fernwartungszugänge oder Cloud-Endpunkte in Frage. Dabei sind nicht nur die auf den ersten Blick relevanten Datennetze, sondern auch andere Telekommunikationsanbindungen wie ISDN-Leitungen, Mobilfunkausweichstrecken oder WLAN-Roaming von Clients relevant. Der Verwendungszweck beschreibt, warum ein Segment oder Anschluss existiert – etwa für Produktivsysteme, Entwicklung, Administration oder Gastzugänge. Der Zweck von Netzsegmenten kann durch einen sprechenden Namen dokumentiert werden, z. B. Management-Netz, OT-Netz, Internetanschluss, Netz der Finanzverwaltung. Dies hilft, Zuständigkeiten und Zugriffsrechte klar zuzuordnen, z. B. anhand von Geschäftsprozessen, Organisationseinheiten oder Zielgruppen (z. B. Gäste, Vertrieb, Leitung). Dabei sind, falls vorhanden, auch WLANs/SSIDs, IoT-Geräte wie vernetzte Kühlschränke, Hausleittechnik, operative Technologien oder Industrielle Steuerungssysteme zu berücksichtigen. Informationen können aus Netzwerkmanagementsystemen, Konfigurationsdateien oder Asset-Management-Tools gewonnen werden. Die Pflege kann als wiederkehrende Aufgabe in Prozesse eingebettet oder im Rahmen von Änderungen (z. B. Change Management) angestoßen werden. Auch eine einfache Pflege in Tabellenform kann sinnvoll sein – entscheidend ist die Klarheit und Aktualität.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich interner Segmente, externer Netzanschlüsse und deren Verwendungszweck", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.5 Grundschutz++ ARCH.2.5 Netzplan Architektur für Netze SOLLTE einen Netzplan dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Netzplan", "definitions": {}}, "guidance": "Ein Netzplan (engl. network diagram) stellt eine schematische Darstellung der logischen und physischen Struktur von Kommunikationsnetzen dar und bildet die Grundlage für Transparenz im Betrieb. Er kann einen zentralen Beitrag zur Informationssicherheit leisten, da er Transparenz über die Struktur, Verbindungen und Schutzbedarfe einer Netzwerkumgebung schafft. Ein aktueller Netzplan, aus dem sich gut die Netzstruktur erkennen lässt, ermöglicht es Anschlüssen mit hohem Risiko oder von einzelnen Ausfallstellen (Single Points of Failure) auf einen Blick zu erkennen. Für die Umsetzung ist es nicht erforderlich, jedes Subnetz einzeln in einer Grafik zu visualisieren. Vielmehr kann es hilfreich sein, Netzpläne auf einem abstrahierten Level zu halten, z. B. als logische Übersicht mit Domänen, Segmenten und Übergängen (bereinigter Netzplan). Eine Visualisierung als Layer-Modell (z. B. Infrastruktur-, Kommunikations- und Applikationsebene) kann zusätzliche Einblicke schaffen. Auch eine einfache Pflege als visuelle Skizze kann sinnvoll sein – entscheidend ist die Klarheit und Aktualität.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.2.6 Grundschutz++ ARCH.2.6 Topologieüberwachung Architektur für Netze SOLLTE die Einhaltung der Netzarchitektur regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einhaltung der Netzarchitektur", "definitions": {}}, "guidance": "Unbeabsichtigte Netzverbindungen können z.B. über falsch gesteckte Kabel, WLAN auf Clients oder Modems im öffentlichen Telefonnetz (PSTN) an einer TK-Anlage entstehen. Die Anforderung kann durch Netzscans, Software zur Topologieüberwachung oder Protokollanalyse umgesetzt werden. Hierbei sind auch virtualisierte Systeme auf VM-Hosts zu berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Netzdesign", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +SCF:AAT-30 SCF AAT-30 Agentic Output Traceability & Repudiation Mechanisms exist to ensure AI agent actions offer non-repudiation and enable forensic examination to determine accountability. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-30_AAT-30_A01", "name": "assessment-objective", "prose": "AI agent actions include non-repudiation to determine accountability."}, {"id": "AAT-30_AAT-30_A02", "name": "assessment-objective", "prose": "AI agent actions are able to be forensically examined to determine accountability."}]} \N \N \N \N +Grundschutz++:ARCH.3.1 Grundschutz++ ARCH.3.1 Netzabdeckung Architektur für WLANs SOLLTE die Netzabdeckung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Netzabdeckung", "definitions": {}}, "guidance": "Drahtlose Netzanbindungen sind schwerer zu schützen als kabelgebundene Netze, da der Perimeter des Netzes schwerer zu erkennen ist. Das erschwert es, die Netzverfügbarkeit zu gewährleisten und gleichzeitig den Zugang zum Netz vor unbefugtem Zugriff oder Störungen zwischen Netzen zu schützen. Zudem können Wände und andere strahlende Geräte wie Mikrowellen-Geräte oder Bluetooth-Sender den Empfang beeinträchtigen. Ein Test des Empfangs an wichtigen Standorten unter realen Bedingungen hilft, die WLAN-Qualität zu gewährleisten. Der Empfang in den verschiedenen Frequenzbändern kann dabei unterschiedlich ausfallen. Für weitere Informationen, siehe Allgemeinzuteilungen von Frequenzen für Mobilfunkanwendungen, DECT, WLAN, CB-Funk und ähnliche Anwendungen der Bundesnetzagentur. Abdeckungsbereich ist der Bereich, in dem das WLAN mit gewöhnlichen Endgeräten genutzt werden kann. Relevant ist dabei auch die Abdeckung aller Orte, an denen sich Gäste aufhalten, sowie an Orte an denen gerade kein Empfang gewünscht ist, z.B. Serverräume oder abhörsichere Räume.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Wireless LAN", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.3.2 Grundschutz++ ARCH.3.2 Einschränkung in Sicherheitsbereichen Architektur für WLANs KANN in Sicherheitsbereichen die Ausstrahlung einschränken. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "in Sicherheitsbereichen die Ausstrahlung", "definitions": {}}, "guidance": "Hierzu gehören beispielsweise abhörsichere Räume oder Serverräume, von denen aus keine Daten ins Internet gesendet werden sollen. Dies kann z.B. durch die Reduktion der Sendeleistung in benachbarten Räumen oder die Isolierung der Räume erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Wireless LAN", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.3.3 Grundschutz++ ARCH.3.3 SSIDs Architektur für WLANs SOLLTE institutionsspezifische SSIDs aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "institutionsspezifische SSIDs", "definitions": {}}, "guidance": "Viele WLAN-Geräte bringen ab Werk eingestellte Netznamen (Default SSID) mit, aus denen sich häufig Rückschlüsse auf eingesetzte Geräte oder sogar Zugangsdaten ziehen lassen. Eigene SSIDs können Nutzenden die Zuordnung der Netze zur Institution oder deren Unterscheidung erleichtern, wenn hierfür sprechende Namen konfiguriert werden (z.B. \\"Institutionsname-Gastnetz\\").", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Wireless LAN", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Netzplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.3.4 Grundschutz++ ARCH.3.4 Verschlüsselte Netzanbindung Architektur für WLANs SOLLTE die Netzanbindung nach einem anerkannten Standard verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Netzanbindung", "definitions": {}}, "guidance": "Ohne eine sichere Verschlüsselung könnte ein Angreifer durch „Sniffing“ sensible Inhalte wie Passwörter, E-Mails oder Geschäftsdaten abfangen oder sogar schadhaften Datenverkehr in die Kommunikation einschleusen. Ebenso könnte ein schwacher oder veralteter Standard wie WEP einem Angreifer ermöglichen, das WLAN-Passwort innerhalb weniger Minuten zu knacken und damit vollständigen Netzzugang zu erlangen. Eine zeitgemäße und wirksame Verschlüsselung kann dagegen die Vertraulichkeit und Integrität der Kommunikation sicherstellen und bietet Schutz vor Angriffen wie „Man-in-the-Middle“-Manipulationen oder unerwünschtem Zugriff über „Rogue Clients“. Netzanbindung bedeutet hier, dass nicht nur die über das Netz transportierten Daten verschlüsselt werden, sondern auch die Kommunikation selbst, z.B. die Adressen kommunizierender Geräte. Anerkannten Standards meint z.B. WPA3-Enterprise mit 802.1X und EAP-TLS. Für Details siehe IEEE 80211, WPA3.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Wireless LAN", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{nach einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.4.1 Grundschutz++ ARCH.4.1 Netzzugangskontrolle Architektur für Interne Netzsegmente SOLLTE den Zugriff von IT-Systemen auf das Netzsegment im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Network Access Control, Rogue Access Point", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff von IT-Systemen auf das Netzsegment", "definitions": {}}, "guidance": "Unautorisierte Systeme könnten Ausgangspunkt von Angriffen sein oder zu unbeabsichtigten Störungen im Netz führen. Netzwerkzugangskontrolle (Network Access Control, NAC) bietet eine wirksame Möglichkeit, den Zugriff auf Netzwerke kontrolliert zu steuern, insbesondere in schützenswerten Bereichen wie Management-Netzen, Produktionssystemen oder Forschungsumgebungen. Die Auswahl der Netzbereiche für die Netzzugangskontrolle richtet sich nach dem Schutzbedarf oder Risikoprofil. Dabei empfiehlt sich zu dokumentieren, welche Zonen mit NAC abgesichert werden und warum andere bewusst nicht berücksichtigt werden (z.B. aufgrund technischer Einschränkungen oder fehlender Relevanz). Die Umsetzung kann (1) auf Zertifikaten basieren (X.509, EAP‑TLS or mTLS), (2) auf Zugangskonten basieren (IEEE 802.1X, RADIUS), (3) auf dynamischen Prüfungen basieren (z.B. Sicherheitspatches). Eine Authentifizierung, die nur auf MAC-Adressen basiert, gilt dagegen nicht mehr als zeitgemäß, da MAC-Adressen sehr leicht ausgelesen und auf Systemen eingestellt werden könnten und so unberechtigte IT-Systeme zu leicht auch Zugang erhalten. Wenn Systeme die Netzzugangskontrolle nicht oder nur unzureichend unterstützen, ist für solche Systeme anstelle einer Netzzugangskontrolle die Nutzung eines eigenen Netzsegmentes empfehlenswert. Für die Verbindung zwischen RADIUS-Servern, Switches und Verzeichnisdiensten kommen Protokolle wie RadSec, IPsec oder LDAPS in Betracht. Die Verwendung nur einer einzigen Serverkonfigurationen (z.B. ein gemeinsamer RADIUS-Server für NAC und VPN) führt zu Komplexität und Angriffspunkten. Daher werden getrennte Systeme empfohlen. Dies gilt insbesondere bei unterschiedlichen Schutzklassen im LAN/WLAN oder Büro-/Produktionsnetz. Bei WLANs kann die Umsetzung in größeren Umgebungen mittels 802.1X (WPA3-Enterprise) und an kleineren Zugangspunkten oder Gastnetzen durch SAE (WPA3-Personal) erfolgen. Da es sich um eine automatisierte Sicherheitsrichtlinie handelt, ist hier auch die Anforderung zur Überwachung solcher Richtlinien anwendbar. Überwachungskriterien sind hier z.B. die Erreichbarkeit des RADIUS-Servers, die Antwortzeiten, die Last auf Access-Switches und andere Metriken. Für die Überwachung der Integrität ist insbesondere die Authentifizierung oder deren Fehlschlag relevant, z.B. viele abgelehnte Authentisierungen, plötzliche Deaktivierung eines Supplicants. Durch synthetische Anfragen an Testkonten kann die gesamte Authentisierungskette regelmäßig geprüft werden. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Zugangsbeschränkungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} \N \N \N \N +SCF:AAT-30.1 SCF AAT-30.1 AI Agent Logging Mechanisms exist to generate event logs for Artificial Intelligence (AI) and Autonomous Technologies (AAT) actions to ensure transparency and auditability. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-30.1_AAT-30.1_A01", "name": "assessment-objective", "prose": "event logs are generated in an industry-supported format for Artificial Intelligence (AI) and Autonomous Technologies (AAT) actions."}]} \N \N \N \N +Grundschutz++:ARCH.4.1.1 Grundschutz++ ARCH.4.1.1 Dynamische Netzzugangskontrolle Architektur für Interne Netzsegmente SOLLTE den Zugriff von IT-Systemen auf das Netzsegment anhand dynamischer Kriterien im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Network Access Control, Rogue Access Point, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff von IT-Systemen auf das Netzsegment", "definitions": {}}, "guidance": "Bei der dynamischen Netzzugangskontrolle (Posturing oder Dynamic NAC) wird vor dem Netzzugang auch der Zustand des IT-Systems geprüft, z.B. der aktuelle Patchlevel des Systems oder von Erkennungssignaturen. Hierzu gehört auch die softwaredefinierte Netzzugangskontrolle, die dynamisch auf Aktivitäten des Systems oder aktuelle Threat Intelligence reagieren kann. Empfehlenswert ist es hierbei, die Konfiguration der Systeme automatisiert vorzunehmen, z.B. über eine automatische Supplicant-Konfiguration beim Rollout und die Zuweisung von Zertifikaten über Enrollment-Dienste. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Zugangsbeschränkungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand {{dynamischer Kriterien}} im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} ARCH.4.1 \N \N \N +Grundschutz++:ARCH.4.1.2 Grundschutz++ ARCH.4.1.2 Quarantäne Architektur für Interne Netzsegmente KANN ein Quarantänenetz für nicht authentifizierte IT-Systeme installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Network Access Control, Rogue Access Point, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Quarantänenetz", "definitions": {}}, "guidance": "Wenn Systeme aufgrund bestimmter Voraussetzungen sich nicht authentifizieren (z.B. installierte Sicherheitsupdates oder weil sie keine 802.1X-Anmeldung unterstützen), kann ein vollständiges blockieren aller Netzverbindungen die Verfügbarkeit erforderlicher Geschäftsprozesse unmöglich machen. Um IT-Systemen einen eingeschränkten Zugang zu Netzressourcen zu ermöglichen – etwa damit diese die Voraussetzungen durch den Download von Updates erfüllen können – kann ein Quarantänenetz eingerichtet werden, das z.B. Zugang zu bestimmten Downloadservern oder eine Meldung des Problems ermöglicht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Zugangsbeschränkungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für nicht authentifizierte IT-Systeme", "definitions": {}}} ARCH.4.1 \N \N \N +Grundschutz++:ARCH.4.2 Grundschutz++ ARCH.4.2 Autorisiertes Routing Architektur für Netze SOLLTE Routing-Verbindungen durch eine zuständige Person oder Rolle autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Routing-Verbindungen", "definitions": {}}, "guidance": "Dient der Kontrolle von Netzarchitekturen, um unbeabsichtigte oder böswillige Änderungen zu verhindern. Ohne eine solche Freigabe könnte ein Angreifer durch unbemerkte Manipulation von Routing-Einträgen den Datenverkehr umleiten, abhören oder blockieren; auch ein ungeschulter Administrator könnte versehentlich falsche Routen konfigurieren, wodurch kritische Dienste ausfallen könnten. Die Autorisierung kann sicherstellen, dass jede Änderung nachvollziehbar geprüft, dokumentiert und nur nach sachgerechter Bewertung umgesetzt wird, wodurch die Integrität und Verfügbarkeit der Netze erhöht werden kann. Im konkreten Kontext bedeutet „Routing-Verbindungen“ die Konfiguration von Pfaden, über die Datenpakete zwischen Netzsegmenten oder über Gateways weitergeleitet werden. „Autorisieren“ bedeutet hier die formale Freigabe nach einer sachlichen und fachlichen Prüfung, typischerweise durch Rollen wie (1) Netzwerkarchitekt, (2) IT-Sicherheitsbeauftragter oder (3) Leiter IT-Betrieb. Eine Institution kann dies umsetzen, indem sie (1) eine dokumentierte Freigabeprozedur für alle Routing-Änderungen etabliert, (2) Änderungen technisch über ein Ticket- oder Change-Management-System prüfen und protokollieren lässt, (3) rollenbasierte Zugriffsrechte in Routern und Firewalls so einschränken kann, dass nur autorisierte Personen Konfigurationsänderungen durchführen, und (4) automatisierte Plausibilitätsprüfungen oder Peer-Reviews nutzen kann, um fehlerhafte oder unsichere Routen frühzeitig zu erkennen. Die Autorisierung kann entweder einzelne Routen (z.B. für Netz A zwischen Router B und C), als auch bestimmte Routing-Regeln (z.B. Default-Routing über die zentrale Firewall) autorisieren. Sinnvoll ist es dabei das Prinzip \\"so allgemein wie für den Betrieb nötig, so spezifisch wie für die Sicherheit möglich\\" als Faustregel anzuwenden. Bei der Verwendung dynamischer Routing-Algorithmen kann die Anforderung umgesetzt werden, indem eingeschränkte Bereiche freigegeben werden, z.B. \\"dynamisches Routing im Bereich 10.x.x.x)\\".", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Zugangsbeschränkungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.4.3 Grundschutz++ ARCH.4.3 Authentifizierung von Routingprotokollen Architektur für Netze SOLLTE Änderungen an Routing-Tabellen im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen an Routing-Tabellen", "definitions": {}}, "guidance": "Hierzu zählt z.B. die Authentifizierung von BGP/OSPF-Sitzungen zur Verhinderung von Route Hijacking, BGP origin validation with RPKI oder OSPF/ISIS/BGP MD5 or TTL+hMAC authentication. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Zugangsbeschränkungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.5.1 Grundschutz++ ARCH.5.1 Einschränkung und Inspektion von Verbindungen Architektur für Netze SOLLTE Verbindungen zwischen IT-Systemen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen IT-Systemen", "definitions": {}}, "guidance": "Über Netverbindungen können unbeabsichtigte Verbindungen aufgebaut werden oder netzbasierte Angriffe über das Internet gegen die Institution erfolgen. Unerwünschter Datenverkehr nach außen können z.B. private IP-Adressen (RFC 1918 leakage), Multicasting, TCP/UDP Ports für veraltete, angreifbare Protokolle oder ICMP-Verkehr sein. Die Beschränkung der Verbindung zwischen IT-Systemen kann sowohl durch zustandsbehaftete Paketfilter, als auch mit Application Layer Gateways umgesetzt werden. Empfehlenswert ist eine Kombination aus Allowlisting, IP-Reputationslisten, Deep Packet Inspection und Durchsatzratenbegrenzung. Hierbei können Verbindungen auch nach Kategorien autorisiert werden (z.B. anhand von IP-Subnetzen oder Voraussetzungen wie per Zertifikat authentifzierten IT-Systemen). Damit dabei keine unnötigen Verbindungen zugelassen werden, ist es wichtig, die Kategorisierung möglich genau zu wählen (z.B. möglichst einzelne Subnetze statt des ganzen Netzes oder nur bestimmte Ports oder Anwendungen zuzulassen).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.5.1.6 Grundschutz++ ARCH.5.1.6 Blockieren direkter Management-Verbindungen Architektur für Externe Netzanschlüsse SOLLTE Verbindungen zu Management-Schnittstellen blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Internet Exposure", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zu Management-Schnittstellen", "definitions": {}}, "guidance": "Zum Internet offene Management-Schnittstellen werden von Angreifern durch Scans leicht gefunden und sind häufig Ziel von Angriffen. Deshalb ist es sinnvoll, alle eingehenden Verbindungen zu Management-Schnittstellen aus externen Netzen zu blockieren, einschließlich der Verwaltung von VPN- und Firewallsystemen selbst. Wenn eine Administration dieser Systeme aus der Ferne erforderlich ist, so kann dieser Zugriff stattdessen über ein VPN in das interne Netz hergestellt werden, wobei auch hiermit ein erhöhten Risiko für Angriffe einhergeht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.1 Grundschutz++ ARCH.5.1.1 Blockieren anfälliger Netzprotokolle Architektur für Netze SOLLTE anfällige Netzwerkprotokolle blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "anfällige Netzwerkprotokolle", "definitions": {}}, "guidance": "Anfällig sind Netzprotokolle, wenn sie veraltete oder gar keine Algorithmen zur Verschlüsselung oder Integritätsprüfung verwenden. Hierzu gehören Protokolle wie Telnet, SMB v1, SNMP v1/v2c. Für aktuelle Verschlüsselungsalgorithmen siehe BSI TR 02102.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.2 Grundschutz++ ARCH.5.1.2 Netzbasierte Angriffe Architektur für Netze SOLLTE bekannte netzbasierte Angriffsmethoden blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte netzbasierte Angriffsmethoden", "definitions": {}}, "guidance": "Netzbasierte Angriffe verwenden Netzwerktechnologien (typischerweise auf OSI Layer 2-3), z.B. Fragmentierungsangriffe. Beispiele für mögliche Maßnahmen sind DHCP snooping, ARP/Dynamic ARP Inspection, IP-source guard, BPDU guard, root guard, port-security (sticky MAC).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.3 Grundschutz++ ARCH.5.1.3 TCP-basierte Angriffe Architektur für Netze SOLLTE bekannte TCP-basierte Angriffsmethoden blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte TCP-basierte Angriffsmethoden", "definitions": {}}, "guidance": "TCP ist das am meisten verwendete Protokoll für die zuverlässige Datenübertragung. Durch TCP-basierte Angriffe können IT-Systeme gehackt oder Daten unbemerkt ausgeleitet werden. Beispiele sind TCP Session Hijacking (ACK-number guessing), Overlapping-Segment Attacks, TCP Reset (RST) Injection, Xmas-tree Scanning. Die Anforderung kann durch Blockieren solcher Verbindungen oder nur bestimmter Mechanismen umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.4 Grundschutz++ ARCH.5.1.4 UDP-basierte Angriffe Architektur für Netze SOLLTE bekannte UDP-basierte Angriffsmethoden blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte UDP-basierte Angriffsmethoden", "definitions": {}}, "guidance": "UDP-basierte Angriffsmethoden (englisch: known UDP-based attack vectors) sind hierbei Techniken zu verstehen, die das User Datagram Protocol (UDP) ausnutzen. UDP ist das am meisten verwendete Protokoll für die Übertragung von Datenstreams. Aufgrund seiner verbindungslosen Eigenschaft ermöglicht UDP eine sehr schnelle Datenübertragung und wird daher oft für zeitkritische Anwendungen wie Videostreaming, VoIP oder DNS-Anfragen verwendet. Genau diese Eigenschaft macht es jedoch anfällig für Missbrauch, da die Absenderadresse leicht gefälscht werden kann (IP-Spoofing). Beispiele für Angriffe sind Sequence Number Guessing, DHCP Starvation und UDP Hole-Punching Abuse. Die Anforderung kann durch Blockieren solcher Verbindungen oder nur bestimmter Mechanismen umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.5 Grundschutz++ ARCH.5.1.5 Deaktivierung von Split Tunneling Architektur für Externe Netzanschlüsse SOLLTE Split Tunneling blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Internet Exposure", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Split Tunneling", "definitions": {}}, "guidance": "Um eine durchgehende Kontrolle und Absicherung des Netzverkehrs zu gewährleisten, muss verhindert werden, dass IT-Clients während einer aktiven Verbindung zum internen Netz gleichzeitig ungeschützten Zugriff auf das öffentliche Internet oder andere Netzwerke haben. Dies schließt sogenannte „Split Tunneling“-Konfigurationen aus, bei denen nur ausgewählter Datenverkehr über das VPN geleitet wird, während anderer Datenverkehr (z. B. Webzugriffe) über das lokale Netzwerk oder die Internetverbindung des Clients erfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.7 Grundschutz++ ARCH.5.1.7 Edge-Routing Architektur für Externe Netzanschlüsse SOLLTE dynamische Routingprotokolle blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Internet Exposure", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dynamische Routingprotokolle", "definitions": {}}, "guidance": "Dynamische Routingprotokolle könnten versehentlich oder durch Angriffe unerwünschte Verbindungen ermöglichen. An den Übergangen zu externen Netzen sind statische Default-Routen deshalb die bessere Alternative.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.8 Grundschutz++ ARCH.5.1.8 Inspektion verschlüsselter Verbindungen Architektur für Externe Netzanschlüsse SOLLTE den Inhalt unverschlüsselter und verschlüsselter Verbindungen basierend auf der Art des Inhalts einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Inhalt unverschlüsselter und verschlüsselter Verbindungen", "definitions": {}}, "guidance": "Verschlüsselte Verbindungen wie VoIP über TLS oder HTTPS-Anfragen können über Sicherheitsproxies oder die Inspektion auf den Endstellen der Verbindungen inspiziert werden. Ein Proxy bzw. Proxy-Server ist ein Vermittler im Netz, der zwischen dem Client und einer Netzressource, wie einer Webseite, fungiert. Er dient als Brücke zwischen dem Client und dem Server, wobei Anfragen und Antworten stellvertretend abgewickelt werden. Proxys können Datenverkehr filtern, blockieren, oder auch speichern, um die Netzwerkleistung zu optimieren. Systeme zur Filterung von Webinhalten gehören zu den häufigsten Arten von Proxyservern, die zur Vermittlung des Internetzugangs eingesetzt werden. Diese Server können TCP-Sitzungen protokollieren und die Zugriffskontrolle durch Blockieren bestimmter URLs, IP-Adressen oder Domänennamen erzwingen. Institutionen können Web-Proxys mit benutzerdefinierten Erlaubnis- und Sperrlisten konfigurieren, um den Zugriff auf der Grundlage von Richtlinien zu regeln. Es ist jedoch zu beachten, dass Proxyserver die Nutzung virtueller privater Netzwerke (VPN) beeinträchtigen und je nach Implementierung Risiken wie Man-in-the-Middle-Angriffe (MitM) mit sich bringen können. Beispiel-Implementierungen sind Squid, Nginx, Privoxy.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "basierend auf der Art des Inhalts", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.9 Grundschutz++ ARCH.5.1.9 Filterung von DNS Architektur für Externe Netzanschlüsse SOLLTE unerwünschte Inhalte in DNS-Verbindungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "unerwünschte Inhalte in DNS-Verbindungen", "definitions": {}}, "guidance": "Unerwünschte Inhalte sind DNS-Anfragen oder -Antworten, die für Geschäftsprozesse unnötige oder sogar schädliche Daten enthalten, z.B. Verbindungen zu bekannten Malware-Domains oder zu Werbe- oder Telemetriediensten. Dies kann entweder nach dem Allowlist- oder Denylist-Ansatz erfolgen. Listen bekannter schädlicher Domains können über Threat Intelligence-Feeds oder spezielle DNS-Lösungen wie Pihole bezogen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.10 Grundschutz++ ARCH.5.1.10 Webfilterung Architektur für Externe Netzanschlüsse SOLLTE den Zugriff auf Webinhalte anhand von Kriterien einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf Webinhalte", "definitions": {}}, "guidance": "Das World Wide Web ist für zahlreiche Geschäftsprozesse essenziell. Andererseits wird das Web von Angreifern auch für die Verbreitung von illegalen Inhalten, Schadprogrammen oder Phishing verwendet. Durch unkontrollierten Webzugriff könnten etwa Schadcode, Phishing oder Datenabfluss in die Institution gelangen. Kriterien meint hier die festgelegten Maßstäbe, nach denen externe Verbindungen zu Webinhalten gefiltert oder eingeschränkt werden. Im Fachjargon spricht man von filtering criteria oder access control policies. Solche Kriterien können beispielsweise Inhaltskategorien (z. B. Glücksspiel, soziale Netzwerke, Streaming), Reputationsbewertungen von Domains (z. B. „malicious“ oder „suspicious“ laut Threat-Intelligence-Feeds), oder technische Eigenschaften (z. B. bekannte IP-Ranges, Länderzugehörigkeit, verwendete Protokolle/Ports, Signaturen) sein. Sinnvoll ist eine Kombination verschiedener Kriterien. Die Anforderung kann über Filterung im Browser, auf Systemen oder an Netzgrenzen umgesetzt werden (z.B. durch Firewalls, Sicherheitsproxies oder VPN-Gateways).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:BER.2.3 Grundschutz++ BER.2.3 Stammdatenprüfung Berechtigung SOLLTE Stammdaten einer Identität anhand allgemeiner Stammdaten regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Stammdaten einer Identität anhand allgemeiner Stammdaten", "definitions": {}}, "guidance": "Allgemeine Stammdaten können z.B. sein: Unterlagen der Personalabteilung, Ergebnisse von Netzwerkscans für IT-Systeme, CMDB. Der Abgleich kann auch automatisiert vorgenommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.5.1.10.1 Grundschutz++ ARCH.5.1.10.1 Bekannte schädliche Inhalte Architektur für Externe Netzanschlüsse SOLLTE bekannte schädliche Inhalte einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte schädliche Inhalte", "definitions": {}}, "guidance": "Hierzu gehören beispielsweise Schadprogramme, Phishing, Malware Command & Control Server. Zur Einschränkung kann auf öffentlich verfügbare Sperrlisten für solche Webseiten, auf Filtersysteme spezialisierter Hersteller von Firewalls und ähnlichen Systemen oder auf Daten aus der Threat Intelligence zurückgegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.5.1.10 \N \N \N +Grundschutz++:ARCH.5.1.10.2 Grundschutz++ ARCH.5.1.10.2 Bekannte illegale Inhalte Architektur für Externe Netzanschlüsse SOLLTE bekannte illegale Inhalte einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bekannte illegale Inhalte", "definitions": {}}, "guidance": "Gerade bei größeren Webdiensten kann es vorkommen, dass hierüber immer wieder vereinzelt illegale Inhalte verbreitet werden, obwohl der Dienst selbst von einer legitimen Institution betrieben wird. In solchen Fällen empfiehlt es sich, die Filterung möglich passgenau vorzunehmen (also soweit möglich nur bestimmte Seiten, Seitenbereiche oder Subdomains zu filtern) und den Anbieter über die illegalen Inhalte zu informieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.5.1.10 \N \N \N +Grundschutz++:ARCH.5.1.10.3 Grundschutz++ ARCH.5.1.10.3 Speicherdienste Architektur für Externe Netzanschlüsse SOLLTE Speicherdienste einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Speicherdienste", "definitions": {}}, "guidance": "Ausnahmen können sinnvoll sein, wenn es nach den Geschäftsprozessen erforderlich ist, die Daten öffentlich zur Verfügung zu stellen oder diese mit anderen Institutionen über den Speicherdienst auszutauschen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} ARCH.5.1.10 \N \N \N +Grundschutz++:ARCH.5.1.11 Grundschutz++ ARCH.5.1.11 P-A-P-Struktur Architektur für Externe Netzanschlüsse SOLLTE eine P-A-P-Struktur für eingehende und ausgehende Verbindungen installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine P-A-P-Struktur", "definitions": {}}, "guidance": "Die P-A-P-Struktur besteht aus 2 Paketfiltern (P) und einem Filter auf Anwendungsebene (A), die durch Hardware getrennt sind und alle Verbindungen auf Anwendungsebene filtern. In Hardware getrennte Systeme sind hier solche, die jeweils über eigene Rechenkomponenten (CPU, RAM, etc.) verfügen und nur über Netzverbindungen zusammenhängen. Dies minimiert die Angriffsfläche für übergreifende Angriffe wie Covert Channel oder Side Channel.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für eingehende und ausgehende Verbindungen", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.12 Grundschutz++ ARCH.5.1.12 Software-definierte Verbindungen Architektur für Netze KANN Verbindungen zwischen IT-Systemen anhand dynamischer Kriterien einschränken. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen zwischen IT-Systemen", "definitions": {}}, "guidance": "Software-definierte Verbindungen sind logisch kontrollierte Netzwerkpfade, deren Zugriffsbedingungen nicht statisch hinterlegt, sondern anhand aktueller Merkmale bewertet werden; dynamische Kriterien meint dabei festgelegte Filterregeln, deren Werte situativ ermittelt werden, etwa über „context attributes“ oder „dynamic policies“. Solche Merkmale können als contextual signals wie momentane Auslastung, Gerätezustand („device posture“) oder zeitliche Rahmenbedingungen interpretiert werden, während die zugrunde liegenden Regeln unverändert bleiben und nur ihre Bewertung variiert. Dies kann helfen, laterale Bewegungen einzudämmen und kann gleichzeitig unerwartete Zugriffe in veränderten Betriebszuständen abblocken; ein Angriff, der unentdeckt Systeme durchqueren könnte, oder ein kompromittierter Client, der außerhalb definierter Parameter agiert, könnte dadurch abgewehrt werden. Praktisch kann dies über segmentierende „Software-Defined Networking“-Mechanismen, kontextabhängige Firewall-Policies oder adaptive Access-Control-Engines erfolgen. Eine angemessene Absicherung ist hier zu verstehen als ein Bündel verlässlicher Signale, die den Zustand eines Endpunkts oder Dienstes authentisch widerspiegeln. Als Varianten kommen etwa kontextabhängige SDN-Flows, regelbasierte Mikrosegmentierung über Identity-Tags oder der Einsatz von Policy-Engines infrage, die ihre Entscheidungen anhand dynamisch erfasster Werte wie Geräteintegrität, Standort oder Risikobewertung fällen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand dynamischer Kriterien", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.1.13 Grundschutz++ ARCH.5.1.13 Produktdiversität Architektur für Externe Netzanschlüsse KANN für die Filterung diverse Produkte unterschiedlicher Hersteller für eingehende und ausgehende Verbindungen installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Filterung diverse Produkte unterschiedlicher Hersteller", "definitions": {}}, "guidance": "Wenn nur gleichartige Filtersysteme verwendet werden, könnten Angreifer eine Schwachstelle zweimal hintereinander ausnutzen, um Netzzugang zu erhalten. Der Einsatz verschiedener, voneinander unabhängiger Hersteller hintereinander verringert die Wahrscheinlichkeit, dass beide Systeme gleichzeitig anfällig sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für eingehende und ausgehende Verbindungen", "definitions": {}}} ARCH.5.1 \N \N \N +Grundschutz++:ARCH.5.2 Grundschutz++ ARCH.5.2 Blockieren direkter öffentlicher Verbindungen Architektur für IT-Systeme SOLLTE direkte Verbindungen von diesen ins öffentliche Netz blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "direkte Verbindungen von diesen ins öffentliche Netz", "definitions": {}}, "guidance": "Direkte Verbindungen sind hier alle Verbindungen, die nicht von der Filterung erfasst werden. Die Anforderung ist für Firewallsysteme umgesetzt, wenn deren eingehende Verbindungen ebenfalls vollständig gefiltert werden, bevor sie Daten an Systemschnittstellen senden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Perimeterschutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Firewallregeln", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.6.1 Grundschutz++ ARCH.6.1 Kontrollierte Verbindungsführung Architektur für Externe Netzanschlüsse KANN eine physisch oder logisch kontrollierte Verbindungsführung für Weitverkehrsverbindungen aktivieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine {{physisch oder logisch}} kontrollierte Verbindungsführung", "definitions": {}}, "guidance": "Unter einer physisch kontrollierten Verbindungsführung kann in diesem Kontext die Verwendung dedizierter Leitungswege (Dark Fiber), sowie Hardware-Komponenten wie Router, Firewalls oder Trennstellen verstanden werden, die den Zugriff auf Leitungen oder Ports unmittelbar begrenzen. Eine logisch kontrollierte Verbindungsführung kann durch softwarebasierte Mechanismen wie VLANs, VPN-Tunnel oder Routing-Regeln erfolgen, die den Datenverkehr unabhängig von der physischen Leitung steuern. Ohne eine kontrollierte Verbindungsführung könnte ein Angreifer über eine ungeschützte oder direkt angebundene Leitung in interne Systeme eindringen und dort Schadsoftware platzieren, Daten manipulieren oder vertrauliche Informationen abziehen. Ebenso könnte durch eine unzureichend kontrollierte Verbindung ein Ausfall der Netzstabilität eintreten, etwa wenn über eine falsch konfigurierte Schnittstelle großflächiger Datenverkehr einbricht und produktive Systeme beeinträchtigt. Eine kontrollierte Architektur kann dagegen Angriffsflächen reduzieren, Datenströme nachvollziehbar machen und die Sicherheit der Informationsflüsse zwischen Institution und externen Partnern oder Netzanbietern erhöhen. Die Umsetzung kann beispielsweise durch klar definierte Übergabepunkte zum externen Netz erfolgen, an denen sämtliche eingehenden und ausgehenden Verbindungen zentral zusammenlaufen und durch Filter- oder Segmentierungsmechanismen geprüft werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Vertraulichkeit und Integrität im Weitverkehrsnetz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für Weitverkehrsverbindungen", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.6.2 Grundschutz++ ARCH.6.2 Verschlüsselung von Weiterverkehrsverbindungen Architektur für Externe Netzanschlüsse SOLLTE Verbindungen ins Weitverkehrsnetz nach einem anerkannten Standard verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen ins Weitverkehrsnetz", "definitions": {}}, "guidance": "Ohne ein etabliertes Verschlüsselungsverfahren könnte sensible Kommunikation im Klartext übertragen werden, was Angreifern ein einfaches Mitlesen ermöglichen könnte – etwa durch Abhören in einem öffentlichen WLAN, durch kompromittierte Router eines Providers oder durch staatliche Massenüberwachung. Auch die unbemerkte Manipulation von Datenpaketen auf dem Weg zwischen Institution und Gegenstelle könnte die Integrität der übermittelten Inhalte gefährden und beispielsweise zu manipulierten Geschäftsdaten oder Schadcode-Einschleusungen führen. Der Einsatz von anerkannten Standards zur Verschlüsselung kann Vertraulichkeit und Integrität wahren, indem die Inhalte für Unbefugte unlesbar bleiben und Kommunikationspartner einander zuverlässig identifizieren können. So kann beispielsweise sichergestellt werden, dass eine entfernte Niederlassung tatsächlich mit der Zentrale verbunden ist und nicht mit einem Angreifer, der den Datenverkehr umleitet. Im Kontext externer Netzanschlüsse bezeichnet „Weitverkehrsnetz“ typischerweise öffentliche Netze wie das Internet oder auch gemietete WAN-Verbindungen über Telekommunikationsanbieter, die institutionsextern betrieben und potenziell unsicher sind. Anerkannte Standards sind z.B. TLS, IPsec oder WireGuard, die regelmäßig überprüft und weit verbreitet eingesetzt werden. Eine Institution kann diese Anforderung durch konkrete Maßnahmen umsetzen, z. B. indem sie Site-to-Site-VPNs zwischen Standorten einrichtet, Remote-Zugriffe von Mitarbeitenden ausschließlich über VPN-Gateways mit Zwei-Faktor-Authentisierung ermöglicht und auch Cloud-Dienste konsequent über gesicherte Verbindungen anbindet.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Vertraulichkeit und Integrität im Weitverkehrsnetz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.7.1 Grundschutz++ ARCH.7.1 Dedizierte Hostsysteme für Server Architektur für Anwendungen SOLLTE Serverdienste ausschließlich auf für die Anwendung dedizierten virtuellen oder physischen Hostsystemen platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Serverdienste ausschließlich auf für die Anwendung dedizierten {{virtuellen oder physischen}} Hostsystemen", "definitions": {}}, "guidance": "„Serverdienste“ bezeichnen hier die logisch oder physisch abgegrenzten IT-Services (engl. server services), die bestimmte Funktionalitäten einer Anwendung bereitstellen, etwa Datenbankinstanzen, Webserver-Komponenten oder API-Endpunkte. Ein „dediziertes Hostsystem“ (engl. dedicated host system) ist dabei ein physischer oder virtueller Server, der ausschließlich für eine einzelne Anwendung und deren zugehörige Serverdienste betrieben wird, ohne dass darauf weitere fachfremde oder von der Anwendung unabhängige Dienste ausgeführt werden. Mögliche Bereitstellungsformen können virtualisierte Maschinen, Container-fähige Hypervisor-Instanzen, Bare-Metal-Server oder Appliances sein. Diese Abgrenzung dient der klaren Trennung von Verantwortlichkeiten, Konfigurationen und Ressourcen und reduziert die Komplexität innerhalb der Systemlandschaft. Sie schafft eine saubere Zuordnung zwischen Anwendung und ihrer technischen Plattform, was die Nachvollziehbarkeit, Wartbarkeit und Sicherheit der jeweiligen Lösung deutlich erhöht. Ziel ist, dass nicht mehrere Server-Anwendungen auf einem Betriebssystem (oder sogar auf Endgeräten) laufen, um systemische Risiken zu minimieren, die aus Mehrfachnutzung oder unklarer Ressourcenteilung entstehen könnten. Sonst könnte es etwa durch unerwartete Wechselwirkungen zwischen Diensten, fehlerhafte Berechtigungszuweisungen, unbeabsichtigte Seitenkanäle, unkontrollierte Ressourcenkonflikte oder Abhängigkeiten bei Systemupdates zu Betriebsproblemen oder lateralen Bewegungen von Angreifenden kommen. Die Anforderung kann auch durch die Verwendung von virtuellen Maschinen oder Containern realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Dedizierte Systeme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.7.2 Grundschutz++ ARCH.7.2 Dedizierte Hardware Architektur für Hostsysteme KANN diese auf dedizierter Hardware platzieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese auf dedizierter Hardware", "definitions": {}}, "guidance": "Um die Verfügbarkeit ausreichender Ressourcen sicherzustellen und zyklische Abhängigkeiten zu vermeiden (z.B. einen VM-Host, dessen Domain Controller auf ihm selbst virtualisiert wird).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Dedizierte Systeme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.7.3 Grundschutz++ ARCH.7.3 Entwicklungs- und Testumgebungen Architektur für Virtualisierungslösungen SOLLTE Entwicklungs- und Testumgebungen nicht auf produktiven Hostsystemen platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Entwicklungs- und Testumgebungen nicht auf produktiven Hostsystemen", "definitions": {}}, "guidance": "Entwicklungs- und Testumgebungen sind dabei Umgebungen, in denen Software noch nicht ausgereift ist, sondern aktiv entwickelt, angepasst oder erprobt wird. Der Sinn der Vorgabe liegt darin, dass instabile oder absichtlich manipulierbare Testsysteme nicht auf denselben Hostsystemen betrieben werden sollten, auf denen produktive Anwendungen laufen. Andernfalls könnte ein Fehler in experimenteller Software dazu führen, dass der Hypervisor oder das Host-Betriebssystem beeinträchtigt wird und produktive Daten oder Dienste in Mitleidenschaft gezogen werden. Ebenso könnte Schadcode, der in einer Testumgebung eingebracht wird, unerwartet in produktive Netze durchgreifen. Durch die Trennung kann sichergestellt werden, dass ein Ausfall oder eine Kompromittierung in Entwicklungsumgebungen nicht die Stabilität und Vertraulichkeit produktiver Systeme gefährdet. Zur praktischen Umsetzung kann eine Institution Entwicklungs- und Testumgebungen auf dedizierte Virtualisierungshosts auslagern, die physisch oder logisch getrennt von den produktiven Hosts betrieben werden. Zusätzlich kann eine Institution Richtlinien zur Lifecycle-Kennzeichnung von VMs einführen (z. B. „dev“, „test“, „prod“ im Namen oder Tagging), um die klare Trennung auch in größeren Umgebungen praktikabel zu machen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Dedizierte Systeme", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.8.1 Grundschutz++ ARCH.8.1 Redundanz im Kernnetz Architektur für Netze SOLLTE für das Kernnetz redundante Netzkomponenten installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, Failover", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für das Kernnetz redundante Netzkomponenten", "definitions": {}}, "guidance": "Ziel hierbei ist es, dass beim Ausfall eines Systems oder einer Systemkomponente die Netzanbindung stets weiterhin funktionsfähig bleibt (Single-Point-of-Failure).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Ausfallsicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.8.2 Grundschutz++ ARCH.8.2 Redundante TK-Anbindung Architektur für Externe Netzanschlüsse KANN redundante TK-Anbindungen für eingehende und ausgehende Verbindungen installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, Failover, PSTN", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "redundante TK-Anbindungen", "definitions": {}}, "guidance": "Telekommunikationsanbindungen sind z.B. SIP-Trunks zum öffentlichen Telefonnetz (PSTN). Für weitere Details siehe „Kompendium für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf\\".", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Ausfallsicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für eingehende und ausgehende Verbindungen", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.8.3 Grundschutz++ ARCH.8.3 Redundante Server Architektur für Anwendungen KANN für die Funktionsfähigkeit der Anwendung erforderliche Hostsysteme redundant installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, Failover", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Funktionsfähigkeit der Anwendung erforderliche Hostsysteme redundant", "definitions": {}}, "guidance": "Redundanz ist gegeben, wenn sowohl das System als auch seine Netzanbindung redundant vorhanden sind. Das System selbst ist nur redundant, wenn auch seine Datenspeicher und Stromversorgung redundant ausgelegt sind. Automatische Umschaltung meint das Failover. Die Anforderung kann durch netzbasierte Load Balancer oder serverseitige automatisch Umschaltung umgesetzt werden (z.B. durch Hello-Pakete).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Ausfallsicherheit", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.9.1 Grundschutz++ ARCH.9.1 Dimensionierung der Netzanbindung Architektur für Netze SOLLTE eine bedarfsgerechte Netzanbindung installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine bedarfsgerechte Netzanbindung", "definitions": {}}, "guidance": "Für die Verfügbarkeit und Leistungsfähigkeit kritischer Geschäfts‑ und Fachverfahren ist eine bedarfsgerechte Netzanbindung erforderlich. Durch das strukturierte Erfassen des Bedarfes kann eine Institution frühzeitig Engpässe erkennen, Ausfallrisiken minimieren und eine wirtschaftliche Auslegung ihrer Anschlüsse erreichen. Gleichzeitig lässt sich so eine belastbare Grundlage für Kapazitäts‑, Notfall‑ und Budget‑Planungen schaffen, ohne sich allein auf starre Hersteller‑ oder Provider‑Vorgaben zu verlassen. Relevant ist hierbei die gesamte Netzstrecke zwischen Servern und IT-Clients, zumindest bis zum Internet-Anschluss der Institution. Beispiele für den Anwendungsbereich können sehr unterschiedlich ausfallen: In einem Call‑Center kann sich der Bedarf aus der Anzahl zeitgleich aktiver Soft‑Phones ableiten, deren Codec‑Bandbreite sowie der gewünschten Gesprächsqualität (Latenz < Antwortzeit in ms). In einem Forschungslabor kann die Anbindung darauf basieren, dass täglich große Datensätze mit einer bestimmten maximalen Bandbreite in Gbit/s zu Kooperationspartnern repliziert werden. Auch eine E‑Learning‑Plattform kann berücksichtigen, dass zu Semesterbeginn Studierende gleichzeitig parallele Video‑Streams in HD abrufen, während administrative Dienste weiterhin innerhalb einer bestimmten Antwortzeit in ms reagieren sollen. Dabei ist es sinnvoll, die Netzanbindung an realistische Belastungsszenarien anzupassen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Architektur / Kapazitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.9.2 Grundschutz++ ARCH.9.2 Lastverteilung Architektur für Anwendungen KANN eine netzbasierte oder serverbasierte automatische Lastverteilung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine {{netzbasierte oder serverbasierte}} automatische Lastverteilung", "definitions": {}}, "guidance": "Netzbasierte Lastverteilung bedeutet hier, dass ein dedizierter Netzwerkdienst – z. B. über Load-Balancer oder Layer-4/Layer-7-Komponenten – den eingehenden Datenverkehr dynamisch auf mehrere Server oder Dienste verteilt. Serverbasierte Lastverteilung bedeutet dagegen, dass die beteiligten Systeme selbst Mechanismen bereitstellen, um Anfragen untereinander weiterzugeben oder zu koordinieren, etwa durch eingebaute Proxy- oder Cluster-Funktionalitäten. Der Zweck einer solchen Verteilung liegt in der Absicherung der Verfügbarkeit: Ein plötzlicher Anstieg von Benutzeranfragen könnte ansonsten einzelne Systeme überlasten und zu Ausfällen führen; ebenso könnte ein Defekt in einem Knoten die Gesamtleistung stark beeinträchtigen. Mit geeigneter Lastverteilung kann die Stabilität der Anwendung verbessert und ein unterbrechungsfreier Betrieb unterstützt werden. Zur Umsetzung kann die Institution netzbasierte Verfahren einsetzen, etwa (1) hardware- oder softwaregestützte Load-Balancer, die eingehende Verbindungen nach konfigurierbaren Regeln verteilen, (2) DNS-basierte Verfahren, bei denen Abfragen gezielt auf unterschiedliche Zielsysteme geleitet werden, oder (3) virtuelle Appliances in virtualisierten oder Cloud-nahen Umgebungen. Serverbasierte Verfahren können etwa durch den Einsatz von Cluster-Software, eingebaute Reverse-Proxy-Funktionen in Webservern oder den Einsatz von Message-Queues realisiert werden. Dabei kann eine Institution darauf achten, dass Monitoring-Funktionen integriert sind, um Engpässe frühzeitig zu erkennen, und dass Konfigurationen für Failover-Szenarien getestet werden. Auch ein gestuftes Testen der Lastverteilung unter realitätsnahen Bedingungen kann helfen, die Wirksamkeit sicherzustellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Kapazitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.9.3 Grundschutz++ ARCH.9.3 Automatische Skalierung Architektur für Anwendungen KANN eine automatische Skalierung der von der Anwendung verwendeten Computerinstanzen anhand von Schwellwerten aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, DDoS", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Skalierung der von der Anwendung verwendeten Computerinstanzen", "definitions": {}}, "guidance": "Automatische Skalierung ist die Fähigkeit einer Anwendungsarchitektur, die Anzahl der von einer Anwendung genutzten Serverinstanzen dynamisch und automatisiert zu erhöhen oder zu verringern. Grundlage für diese Anpassungen sind definierte Schwellwerte, die beispielsweise auf Metriken wie CPU-Auslastung, Speichernutzung oder Antwortzeiten beruhen können. Damit wird festgelegt, bei welchen messbaren Bedingungen zusätzliche Server gestartet oder wieder abgeschaltet werden. Typische Werte für Schwellwerte können etwa „80 % durchschnittliche CPU-Auslastung über 5 Minuten“, „weniger als 500 MB freier Arbeitsspeicher“ oder „Antwortzeit über 2 Sekunden bei mehr als 100 gleichzeitigen Anfragen“ sein. Ohne Auto-Scaling könnte es vorkommen, dass Anwendungen unter hoher Last nicht mehr reagieren, Datenverlust entsteht oder ganze Dienste für Nutzer unerreichbar werden. Umgekehrt kann Auto-Scaling helfen, Kosten und Ressourcen zu optimieren, indem ungenutzte Server wieder abgeschaltet werden. Eine sinnvolle Umsetzung kann beispielsweise durch den Einsatz von cloudbasierten Skalierungsgruppen erfolgen, die auf klar definierte Metriken reagieren, oder durch Virtualisierungsplattformen, die zusätzliche Instanzen automatisch bereitstellen. Praktische Tipps sind etwa (1) die Definition realistischer und getesteter Schwellwerte auf Basis historischer Lastprofile, (2) die Einrichtung von Stresstests, um das Verhalten bei Erreichen der Schwellwerte zu validieren, und (3) die Einführung von Alarmierungen, die Administratoren über ungewöhnlich häufiges Hoch- oder Runterskalieren informieren können. So kann die Institution sicherstellen, dass Auto-Scaling verlässlich funktioniert und gleichzeitig eine ökonomische Ressourcennutzung gewährleistet bleibt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Kapazitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.4 Grundschutz++ BER.3.4 Identität-Zugangskonto Berechtigung SOLLTE ein Zugangskonto zu genau einer Identität zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Zugangskonto zu genau einer Identität", "definitions": {}}, "guidance": "Wenn ein Zugangskonto genau einer Identität zugewiesen ist erleichtert dies die Vergabe von Berechtigungen nach dem Need-to-know-Prinzip. Außerdem kann so bei einem Vorfall nachvollzogen werden, welche Person welche Befehle ausgeführt hat, z.B. mittels des Audit Logs. Anders herum können einer Identität auch mehrere Zugangskonten zugewiesen sein, z.B. ein normalen Nutzungskonto und ein Zugangskonto für die Systemadministration.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.9.4 Grundschutz++ ARCH.9.4 Content Delivery Network Architektur für Anwendungen KANN ein Content Delivery Network installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, DDoS", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Content Delivery Network", "definitions": {}}, "guidance": "Ein Content Delivery Network (CDN) ist ein Netz geographisch verteilter Server, welches Inhalte wie Webseiten und große Mediendateien auch bei hoher Last skaliert zur Verfügung stellt. CDNs sind sinnvoll für weltweit hochverfügbare Server-Anwendungen, da so Lastspitzen und DDoS-Angriffe abgemildert werden. Ein CDN kann selbst umgesetzt oder durch einen entsprechenden Dienstleister übernommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Kapazitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:ARCH.9.5 Grundschutz++ ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe Architektur für Netze KANN Schutzmaßnahmen gegen volumetrische DoS-Angriffe aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit, DDoS", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schutzmaßnahmen gegen volumetrische DoS-Angriffe", "definitions": {}}, "guidance": "Volumetrische Angriffe können z.B. durch die Verwendung von Anycast-DNS, Upstream Rate Limiting, On-Premise- oder Cloud-Scrubbing, BGP FlowSpec-Filter, Auto-Null-Routing oder Remotely Triggered Blackholing abgewehrt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Architektur / Kapazitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.1.1 Grundschutz++ BER.1.1 Verfahren und Regelungen Berechtigung MUSS Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}, "guidance": "Ziel ist einen dokumentierten Prozess einzurichten, der die Vergabe, Verwaltung und Entfernung von Zugangs- und Zugriffsberechtigungen, sowie der damit verbundenen Identitäten regelt. Zu berücksichtigen sind insbesondere Neueinstellungen, Versetzungen und Entlassungen. Empfehlenswert ist es, die Vergabe und den Entzug von Berechtigungen so weit wie möglich zu automatisieren. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.1.1.1 Grundschutz++ BER.1.1.1 Dokumentation Berechtigung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Identitäts- und Berechtigungsmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BER.1.1 \N \N \N +Grundschutz++:BER.1.1.2 Grundschutz++ BER.1.1.2 Zuweisung der Aufgaben Berechtigung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} BER.1.1 \N \N \N +Grundschutz++:BER.1.1.3 Grundschutz++ BER.1.1.3 Bekanntgabe Berechtigung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Identitäts- und Berechtigungsmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} BER.1.1 \N \N \N +Grundschutz++:BER.5.2 Grundschutz++ BER.5.2 Begründung von Berechtigungen Berechtigung SOLLTE die Vergabe von Berechtigungen und Änderungen an Berechtigungen mit einer Begründung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Vergabe von Berechtigungen und Änderungen an Berechtigungen", "definitions": {}}, "guidance": "Zweck ist die Nachvollziehbarkeit der Vergabe von Berechtigungen. Die Dokumentation kann z.B. mit einem Identity-Access-Management oder Personalmanagementsystem automatisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit einer Begründung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.1.2 Grundschutz++ BER.1.2 Regelmäßige Überprüfung Berechtigung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.1.3 Grundschutz++ BER.1.3 Inventar Authentifizierungs- und Autorisierungssysteme Berechtigung SOLLTE ein Inventar der Systeme zur Authentifizierung und Autorisierung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der Systeme zur Authentifizierung und Autorisierung", "definitions": {}}, "guidance": "Ein dokumentiertes Inventar der Authentifizierungs- und Autorisierungssysteme kann eine zentrale Grundlage sein, um den Überblick über sicherheitsrelevante Zugangskontrollen zu behalten, sowohl lokal als auch in der Cloud. Solche Systeme sind dafür zuständig zu prüfen, wer Zugriff auf IT-Ressourcen erhält (Authentifizierung) und was dieser Zugriff umfassen darf (Autorisierung). Wird kein vollständiges und gepflegtes Inventar geführt, könnten Schwachstellen unentdeckt bleiben, z.B. veraltete Login-Dienste, falsch konfigurierte Rollen oder Schatten-Identitäten in cloudbasierten Identitätsplattformen. In einem konkreten Vorfall könnte etwa ein ehemals genutzter Verzeichnisdienst (z.B. ein ausgemusterter LDAP-Server) unbemerkt weiterhin aktiv sein und von Angreifern für unautorisierte Zugriffe verwendet werden. Ebenso könnte ein unerkannter Konfigurationsfehler in einem Authentifizierungs-Gateway dazu führen, dass privilegierte Nutzerrollen ohne Zwei-Faktor-Absicherung zugänglich sind. Zu Authentifizierungs- und Autorisierungssystemen zählen beispielsweise Verzeichnisdienste (Directory Services), Identity Provider (IdPs), Single Sign-On-Plattformen (SSO), lokale Passwortdatenbanken sowie API-Gateways mit Zugriffskontrolllogik. Eine Möglichkeit zur Umsetzung kann darin bestehen, auf eine Liste aller Systeme des Informationsverbundes zurückzugreifen und Informationen zum Berechtigungsmanagement zu ergänzen – inklusive ihrer Funktion, angebundenen Anwendungen, unterstützten Protokollen (wie SAML, OAuth2, OpenID Connect) sowie Zuständigkeiten. Die Pflege dieses Inventars kann über ein zentrales Configuration Management Database (CMDB) erfolgen oder alternativ über eine revisionsfähige Tabellenstruktur mit Zugriffskontrollen. Hilfreich kann es sein, den Lifecycle einzelner Systeme zu erfassen, etwa ob sich diese in Einführung, Nutzung oder Stilllegung befinden. Ein Abgleich mit dem Rollen- und Rechtemanagement der Institution kann die Konsistenz zusätzlich verbessern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungssysteme", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.1.4 Grundschutz++ BER.1.4 Inventar der Berechtigungen Berechtigung SOLLTE ein Inventar der Berechtigungen mit Personen, Identitäten, Zugangskonten, Berechtigungen und deren jeweiliger Zuordnung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Inventar der Berechtigungen", "definitions": {}}, "guidance": "Ein Inventar der Berechtigungen kann helfen, Zugriffsrechte innerhalb einer Institution transparent zu machen und unnötige oder riskante Berechtigungen zu erkennen. Es dokumentiert, welche Identitäten – also digitale Repräsentationen von Personen oder Systemen – über welche Konten und Berechtigungen verfügen. So können potenzielle Risiken wie verwaiste Konten oder unautorisierte Privilegien sichtbar werden. Beispielsweise könnte ein ehemaliger Mitarbeitender noch aktive Zugänge besitzen, oder ein Dienstkonto könnte über weitreichende Rechte verfügen, obwohl der Einsatz längst beendet ist – beides kann ein Einfallstor für Missbrauch sein. Relevant sind neben den Berechtigungen von Personen auch Dienstekonten, Cloud-Zugänge und physische Zugangsberechtigungen wie Schlüssel-Schließpläne. Berechtigungen bezeichnen konkrete Zugriffsrechte auf Ressourcen (z. B. Lesen oder Administrieren). Eine Institution kann dies etwa durch einen Verzeichnisdienst, ein zentrales Berechtigungsmanagement oder gepflegte Berechtigungsverzeichnisse abbilden. Die Benennung von Zuständigen je Fachbereich, regelmäßige Überprüfungen und der Einsatz von klaren Rollenkennzeichnungen (z. B. „temporär“, „Admin“) können helfen, das Inventar aktuell und verständlich zu halten. Auch eine strukturierte Offboarding-Checkliste kann sicherstellen, dass veraltete Zugänge rechtzeitig entfernt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mit Personen, Identitäten, Zugangskonten, Berechtigungen und deren jeweiliger Zuordnung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.2.1 Grundschutz++ BER.2.1 Person-Identität Berechtigung SOLLTE eine eindeutige Identität zu genau einer natürlichen Person oder einem IT-System zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine eindeutige Identität zu genau einer natürlichen Person oder einem IT-System", "definitions": {}}, "guidance": "Hier wird eine Identität (\\"muellera\\") genau einer natürlichen Person (\\"Andrea Müller\\") zugewiesen, oder einem IT-System (\\"pc02348\\" zu \\"pc02348.our.domain\\").", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.2.2 Grundschutz++ BER.2.2 Einschränkung Berechtigung SOLLTE die Einrichtung, Änderung oder Löschung einer Identität einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einrichtung, Änderung oder Löschung einer Identität", "definitions": {}}, "guidance": "Das Identitäts- und Berechtigungsmanagement ist entscheidend für die sichere Authentifizierung vor Zugang zu Informationen. Identitäten sind die Grundlage hierfür. Je nach Organisationsstruktur benötigen z.B. das Personalmanagement oder Administrierende schreibenden Zugang zu Identitäten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Identitäts- und Berechtigungsmanagement", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.3 Grundschutz++ BER.5.3 Überprüfung von Berechtigungen Berechtigung SOLLTE vergebene Berechtigungen regelmäßig auf Erforderlichkeit überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "vergebene Berechtigungen", "definitions": {}}, "guidance": "Erforderlichkeit bedeutet in diesem Kontext, dass eine vergebene Berechtigung nur dann als gerechtfertigt gilt, wenn sie für die aktuelle Aufgabenwahrnehmung, Rolle oder Funktion einer Person tatsächlich benötigt wird. Dabei kann zwischen fachlicher Notwendigkeit (z. B. Zugriff auf eine bestimmte Anwendung, um Kernaufgaben erfüllen zu können) und zeitlicher Relevanz (z. B. Projektzugriff, der nur für die Dauer des Projekts sinnvoll ist) unterschieden werden. Als mögliche Werte für den Parameter regelmäßig bieten sich an: (1) quartalsweise, (2) halbjährlich, (3) jährlich – je nach Kritikalität der Systeme und Sensibilität der Daten. Die regelmäßige Überprüfung der Erforderlichkeit kann verhindern, dass sich unbemerkt überhöhte Rechte („Privilege Creep“) ansammeln, die Angreifern im Falle einer Kompromittierung zusätzlichen Spielraum eröffnen könnten. Ohne solche Kontrollen könnte ein ehemaliger Projektmitarbeiter weiterhin Zugang zu sensiblen Daten haben oder ein interner Angreifer auf nicht benötigte Administrationsrechte stoßen. Umgekehrt kann die Überprüfung sicherstellen, dass Berechtigungen stets am aktuellen Aufgabenprofil ausgerichtet bleiben und so Schaden durch Missbrauch oder Fehlhandlungen eingedämmt werden kann. Zur Umsetzung kann eine Institution rollenbasierte Zugriffskonzepte einsetzen, die regelmäßig mit den Ist-Berechtigungen der Nutzer abgeglichen werden („Access Reviews“). Dies kann durch automatisierte Reports aus Verzeichnisdiensten, Datenbanken oder Fachanwendungen erfolgen, die Verantwortlichen zur Bestätigung oder Korrektur vorgelegt werden. Hilfreich kann auch ein Vier-Augen-Prinzip sein, bei dem Vorgesetzte die Notwendigkeit von Berechtigungen bestätigen. Darüber hinaus kann es nützlich sein, temporäre Projekt- oder Sonderrechte mit Ablaufdatum zu vergeben, sodass diese automatisch entzogen werden, wenn sie nicht mehr bestätigt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} auf Erforderlichkeit", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.2.4 Grundschutz++ BER.2.4 Protokollierung von Stammdatenänderungen Berechtigung SOLLTE Änderungen von Identitäts-Stammdaten protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen von Identitäts-Stammdaten", "definitions": {}}, "guidance": "Zu einem Ereignisprotokoll gehört der Zeitpunkt, das Zugangskonto, sowie welche Änderungen vorgenommen wurden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.2.5 Grundschutz++ BER.2.5 Deaktivierung bei Weggang Berechtigung SOLLTE die zugeordnete Identität bei Weggang von Nutzenden deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zugeordnete Identität", "definitions": {}}, "guidance": "Weggang meint hier die nicht nur kurzfristige Beendigung der Aktivitäten der Identität, z.B. bei Kündigung, Elternzeit, Sabbatical. Die Anforderung ist auch umgesetzt, wenn die Identität gelöscht wird. Empfehlenswert ist die Löschung jedoch erst nach Ablauf längerer Löschfristen, um die Nachvollziehbarkeit von Aktionen im Audit Log zu erhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Weggang von Nutzenden", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.2.6 Grundschutz++ BER.2.6 Löschen nach Fristablauf Berechtigung SOLLTE nicht mehr benötigte Identitäten nach Ablauf der Löschfristen löschen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht mehr benötigte Identitäten", "definitions": {}}, "guidance": "Gesetzliche Aufbewahrungs- und Löschfristen ergeben sich aus dem Compliance-Management, z.B. aus Regelungen der DSGVO oder dem Handels- und Steuerrecht. Sicheres Löschen bedeutet, Daten so zu entfernen, dass sie mit vertretbarem Aufwand (auch forensisch) nicht mehr rekonstruierbar sind. Je nach Medium geschieht das z. B. durch verifizierbares Überschreiben, kryptografisches Löschen (Schlüsselvernichtung) oder physische Zerstörung (inklusive zugehöriger Metadaten, Caches und Datensicherungen).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Identitätsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "löschen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Ablauf der Löschfristen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.1 Grundschutz++ BER.3.1 Zentrales Management Berechtigung SOLLTE ein zentrales Managementsystem für Zugangskonten installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein zentrales Managementsystem für Zugangskonten", "definitions": {}}, "guidance": "Wenn Zugangskonten lokal auf jedem Gerät einzeln verwaltet werden, könnte es zu inkonsistenten und veralteten Zugängen und Berechtigungen kommen. Ein zentrales System steuert Benutzeridentitäten und Zugriffsrechte übergreifend – oft als Identity and Access Management (IAM) oder bei sensiblen Konten als Privileged Access Management (PAM) bezeichnet. Es kann die Nachvollziehbarkeit erhöhen, Audits erleichtern und gerade in komplexen IT-Umgebungen Transparenz schaffen. Umsetzbar ist dies etwa über Verzeichnisdienste wie LDAP oder Active Directory, ergänzt durch rollenbasierte Zugriffsmodelle (RBAC). Praktische Maßnahmen zum Management können Self-Service-Portale, automatische Genehmigungsworkflows und regelmäßige Rechteüberprüfungen umfassen. Für den Einstieg kann eine Institution kritische Systeme priorisieren und Prozesse schrittweise zentralisieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.2 Grundschutz++ BER.3.2 Einschränkung des Managements Berechtigung SOLLTE das Management von Zugangskonten auf Administrierende einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Change Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Management von Zugangskonten", "definitions": {}}, "guidance": "Management meint hier Aktionen wie z.B. das Erstellen oder Ändern von Metadaten oder Berechtigungen oder die Löschung des Zugangskontos.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf Administrierende", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.3 Grundschutz++ BER.3.3 Protokollierung von Änderungen Berechtigung SOLLTE Aktionen an Zugangskonten revisionsfähig protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Aktionen an Zugangskonten", "definitions": {}}, "guidance": "Werden Aktionen an Zugangskonten wie die Erstellung, Veränderung von Metadaten oder Berechtigungen, Aktivierung, Deaktivierung oder Löschung von Zugangskonten automatisch protokolliert, so können Sicherheitsverstöße erkannt und nachgewiesen werden. Siehe auch Praktik Detektion.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "revisionsfähig", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.5 Grundschutz++ BER.3.5 Privilegierte Zugangskonten Berechtigung für Administrierende SOLLTE separate Zugangskonten für administrative Tätigkeiten (Administrationskonten) verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust, Privilege Escalation, Insider Threat, Privilegierte Rechte", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "separate Zugangskonten für administrative Tätigkeiten (Administrationskonten)", "definitions": {}}, "guidance": "Zugangskonten mit privilegierten Rechten (Superuser wie z.B. root) könnten durch menschliche Fehler oder Schadcode weitreichende Probleme verursachen. Bewährt hat es sich daher für administrative Tätigkeiten wie die Installation von Anwendungen dedizierte Zugangskonten einzurichten und diese auch nur für derartige Tätigkeiten zu verwenden. Für normale Geschäftsaktivitäten wie E-Mail oder Webbrowser nutzen auch Administrierende dann ausschließlich Zugangskonten ohne administrative Berechtigungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.6 Grundschutz++ BER.3.6 Single-Sign-On Berechtigung für Anwendungen SOLLTE die Anmeldung über einen zentralen Identitätsprovider aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Anmeldung über einen zentralen Identitätsprovider", "definitions": {}}, "guidance": "Bei Single Sign-on authentifizieren sich Nutzende bei einem zentralen Identity Provider, der auch die Berechtigungen zur Nutzung der Anwendung prüft. Bei erfolgreicher Authentifizierung und passenden Berechtigungen wird für die Sitzung ein Token ausgestellt, das den Zugang zur Anwendung ermöglicht. Da Nutzende durch Single-Sign-On weniger Anmeldeinformationen benötigen, wird es leichter, sich komplexe Passwörter zu merken oder zentrale gepflegte Schutzmaßnahmen, wie eine Mehr-Faktor-Authentifizierung oder Überwachung von Anmeldeinformationen, auch auf die Anwendung anzuwenden. Zudem erschwert Single-Sign-On auch Phishing-Angriffe, da Anmeldeinformationen nur noch an zentraler Stelle und nicht mehr verstreut in einzelne Anwendungen oder Webseiten abgefragt werden. Andererseits ist bei der Kompromittierung des Single-Sign-On-Logins auch die Authentifizierung an der Anwendung kompromittiert und die Verfügbarkeit der Anwendung hängt auch von der Verfügbarkeit des zentralen Logins ab. Dies kann unter Windows durch Nutzung eines Windows Server Domain Controllers und unter Linux durch Samba mit aktiviertem Heimdal Kerberos Key Distribution Center (KDC) umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.7 Grundschutz++ BER.3.7 Hinweise bei Anmeldefehlern Berechtigung für Anwendungen SOLLTE Hinweise darauf, ob ein Zugangskonto existiert bei erfolglosen Anmeldeversuchen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Hinweise darauf, ob ein Zugangskonto existiert", "definitions": {}}, "guidance": "Den Hinweis, dass bei erfolglosen Anmeldeversuchen das Passwort oder die Kennung falsch ist, könnte ein Angreifer als sogenannte User Enumeration (Benutzerkonten-Aufzählung) oder Account Discovery (Konto-Entdeckung) Schwachstelle ausnutzen. Dadurch wird das Risiko einer Brute-Force-Attacke oder eines Credential Stuffings erhöht, bei der ein Angreifer eine Liste potenzieller Benutzernamen durchprobieren könnte, um gültige Konten zu identifizieren. Der Schutz kann gewährleisten, dass ein Angreifer nicht automatisch weiß, welche Konten er als Nächstes mit Passwörtern attackieren muss oder Rückschlüsse auf registrierte Zugangskonten erhält. Zur Umsetzung kann die Institution alle Rückmeldungen bei fehlgeschlagenen Anmeldeversuchen so vereinheitlichen, dass sie keinen Aufschluss über den Grund des Fehlschlags geben, beispielsweise durch die generische Nachricht „Der eingegebene Benutzername oder das Passwort ist ungültig.“.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei erfolglosen Anmeldeversuchen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.8 Grundschutz++ BER.3.8 Ereignisgesteuerte Deaktivierung Berechtigung SOLLTE Zugangskonten ereignisgesteuert deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zugangskonten", "definitions": {}}, "guidance": "Ungenutzte Zugangskonten stellen ein unnötiges Risiko für unberechtigte Zugriffe dar. Werden sie z.B. bei längerer Inaktivität, bei Personalweggang oder bei Verletzung von Richtlinien unverzüglich deaktiviert, so vermindert sich das Risiko eines Missbrauchs erheblich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Ergebnisprotokoll", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "ereignisgesteuert", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.9 Grundschutz++ BER.3.9 Anmeldeversuchsgrenze am System Berechtigung für IT-Systeme SOLLTE weitere Anmeldeversuche nach Erreichen von einem maximalen Schwellwert an fehlgeschlagenen Versuchen vorübergehend blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "weitere Anmeldeversuche nach Erreichen von {{einem maximalen Schwellwert an}} fehlgeschlagenen Versuchen", "definitions": {}}, "guidance": "Betrifft sowohl die lokale Anmeldung über eine Benutzeroberfläche als auch den Zugriff über Fernwartungsprotokolle oder -anwendungen wie RDP, SNMP, wenn diese vorhanden sind. Die Umsetzung erfolgt im einfachsten Fall durch ein Login, bzw. eine Bildschirmsperre für das IT-System. Biometrische Daten wie Fingerabdrücke können gefälscht werden und sind nicht so leicht zu ändern wie Passwörter. Setzen Sie Biometrie daher nicht als einzigen Authentifizierungsfaktor ein, sondern wenn, dann nur zur Ergänzung (Mehr-Faktor-Authentifizierung). Die Anforderung ist entbehrlich, wenn das System keinen Zugriff auf schützenswerte Daten erlaubt, z.B. bei Nutzung als Kiosk.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vorübergehend", "definitions": {}}} \N \N \N \N +SCF:AST-01.4 SCF AST-01.4 Approved Technologies Mechanisms exist to maintain a current list of approved technologies (hardware and software). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01.4_AST-01.4_A01", "name": "assessment-objective", "prose": "the list of authorized software programs is reviewed / updated per an organization-defined frequency."}, {"id": "AST-01.4_AST-01.4_A02", "name": "assessment-objective", "prose": "the list of authorized software programs is reviewed and updated ."}]} \N \N \N \N +Grundschutz++:BER.3.10 Grundschutz++ BER.3.10 Anmeldeversuchsgrenze an der Anwendung Berechtigung für Anwendungen SOLLTE weitere Anmeldeversuche nach Erreichen von einem maximalen Schwellwert an fehlgeschlagenen Versuchen vorübergehend blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "weitere Anmeldeversuche nach Erreichen von einem maximalen Schwellwert an fehlgeschlagenen Versuchen", "definitions": {}}, "guidance": "Häufen sich Anmeldeversuche, so könnte ein Angreifer Zugangsdaten durchprobieren. Durch eine Anmeldeversuchsgrenze wird der Zugriff durch das massenhafte Durchprobieren von Zugangsdaten (Credential Stuffing) verhindert. Dies kann z.B. durch die Begrenzung der Anmeldeversuche pro Client oder pro IP erfolgen. Dies betrifft sowohl die Anmeldung an der Benutzeroberfläche als auch über das Netz. Relevant sind hierbei sowohl primäre als auch ggf. vorhandene sekundäre Zugänge (z.B. Sicherheitsfragen, Passwort zurücksetzen). Für die Wahl des Schwellwertes ist die Anzahl der betroffenen Zugangskonten, die Passwortlänge und der Schutzbedarf der Anwendung von Bedeutung. Je nach Risikoprofil der Anwendung sind verschiedene Lösungen denkbar, z.B. die Verwendung von CAPTCHAS bei Erreichen der Anmeldeversuchsgrenze oder indem der Zeitraum einer Blockierung nach jedem fehlgeschlagenen Anmeldeversuch erhöht wird. Erfordert die Anwendung keine Zugangsdaten, so ist auch diese Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vorübergehend", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.11 Grundschutz++ BER.3.11 Systemsperre bei Inaktivität Berechtigung für IT-Systeme SOLLTE eine Sperre bei Inaktivität nach einer Frist aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Automatic Session Locking, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Sperre bei Inaktivität", "definitions": {}}, "guidance": "Kann durch eine Bildschirmsperre oder Abmeldung (Automatic Session Locking) umgesetzt werden. Eine längere Inaktivität kann z.B. 5-15 Minuten lang sein. Verwendet das System keine eigene Authentifizierung, so ist auch diese Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer Frist}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.12 Grundschutz++ BER.3.12 Sperre der Anwendung bei Inaktivität Berechtigung für Anwendungen SOLLTE eine Sperre bei Inaktivität nach einer Frist aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Automatic Session Locking, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Sperre bei Inaktivität", "definitions": {}}, "guidance": "Kann je nach Anmeldeweg durch eine Abmeldung (Automatic Session Locking) direkt an der Anwendung, über Single-Sign-On oder (bei Anmeldung über das Netz) die Trennung der Netzverbindung umgesetzt werden. Eine längere Inaktivität kann z.B. 5-15 Minuten lang sein. Verfügt die Anwendung über keine eigene Authentifizierungsmethode, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer Frist}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.13 Grundschutz++ BER.3.13 Zugang löschen nach Fristablauf Berechtigung SOLLTE nicht mehr benötigte Zugangskonten nach Ablauf der Löschfristen löschen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht mehr benötigte Zugangskonten", "definitions": {}}, "guidance": "Die Löschfristen ergeben sich aus gesetzlichen Aufbewahrungs- und Löschfristen, die dem Compliance-Management entnommen werden können. Sicheres Löschen bedeutet, Daten so zu entfernen, dass sie mit vertretbarem Aufwand (auch forensisch) nicht mehr rekonstruierbar sind. Je nach Medium geschieht das z. B. durch verifizierbares Überschreiben, kryptografisches Löschen (Schlüsselvernichtung) oder physische Zerstörung (inklusive zugehöriger Metadaten, Caches und Datensicherungen).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "löschen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Ablauf der Löschfristen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.14 Grundschutz++ BER.3.14 Zugang nur durch zwei Personen Berechtigung KANN die Aufteilung von Authentisierungsmitteln auf mehrere Personen verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Aufteilung von Authentisierungsmitteln auf mehrere Personen", "definitions": {}}, "guidance": "Dient zur Absicherung des Zugriffs auf Daten, deren Vertraulichkeit oder Integrität als hoch einzuschätzen ist, nach dem Vier-Augen-Prinzip. Dazu kann z.B. Person #1 die ersten zehn Stellen eines Passwort kennen und Person #2 die hinteren zehn Stellen eines Passwortes. Oder aber Person #1 erhält einen Hardwaretoken, während Person #2 das Passwort kennt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:NET-15.4 SCF NET-15.4 Wireless Boundaries Mechanisms exist to confine wireless communications to organization-controlled boundaries. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15.4_NET-15.4_A01", "name": "assessment-objective", "prose": "transmission power levels are calibrated to reduce the probability that signals from wireless access points can be received outside of organization-controlled boundaries."}]} \N \N \N \N +Grundschutz++:BER.3.15 Grundschutz++ BER.3.15 Keine Gruppenkonten Berechtigung SOLLTE Gruppenkonten untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Gruppenkonten", "definitions": {}}, "guidance": "Werden Zugangskonten von mehr als einer Person genutzt, so kann später nur noch schwer ermittelt werden, wer eine bestimmte Tätigkeit mit dem Konto ausgeführt hat.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.16 Grundschutz++ BER.3.16 Gruppenkonten - MFA Berechtigung SOLLTE für Gruppenkonten die Mehr-Faktor-Authentisierung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für Gruppenkonten die Mehr-Faktor-Authentisierung", "definitions": {}}, "guidance": "Werden trotz des damit verbundenen Risikos Gruppenkonten genutzt, so kann mit Mehr-Faktor-Authentifizierung der Mißbrauch von Zugangsdaten erschwert werden. Kann zum Beispiel durch mehrere dem Zugangskonto zugewiesene Hardwaretoken oder durch OTP-Apps umgesetzt werden. Falls keine Gruppenkonten verwendet werden, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.17 Grundschutz++ BER.3.17 Gruppenkonten - Wechsel dokumentieren Berechtigung SOLLTE für Gruppenkonten die Identitäten, welche die Möglichkeit zum Zugriff haben, zum Wechselzeitpunkt dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für Gruppenkonten die Identitäten, welche die Möglichkeit zum Zugriff haben,", "definitions": {}}, "guidance": "Es kann z.B. anhand von Dienst- oder Anwesenheitsplänen nachvollzogen werden, wer wann theoretisch Zugriff gehabt haben könnte. Werden keine Gruppenkonten verwendet, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zum Wechselzeitpunkt", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.18 Grundschutz++ BER.3.18 Gruppenkonten - Passwortwechsel bei Weggang Berechtigung SOLLTE für Gruppenkonten die Änderung von Zugangsdaten bei Weggang von Nutzenden ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für Gruppenkonten die Änderung von Zugangsdaten", "definitions": {}}, "guidance": "Gruppenkonten werden von mehreren Nutzenden (z.B. Schichtdienst) verwendet. Verlassen Nutzende die Institution oder Wechseln das Tätigkeitsfeld und das Passwort des Gruppenkontos wird nicht gewechselt, so besteht die Gefahr, dass das Gruppenkonto unberechtigt verwendet wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Weggang von Nutzenden", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.19 Grundschutz++ BER.3.19 Zwischenspeicherung von Zugangsdaten Berechtigung für IT-Systeme SOLLTE die Zwischenspeicherung der Zugangsdaten von Nutzern deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zwischenspeicherung der Zugangsdaten", "definitions": {}}, "guidance": "Wird die Zwischenspeicherung von Zugangsdaten auf IT-Systemen deaktiviert, so wird Angreifern deren Diebstahl erschwert. Kann unter Windows ab Server 2012 R2 durch Zuweisung aller Zugangskonten zur Gruppe \\"Geschützte Benutzer\\" (Protected Users) umgesetzt werden. Konten für Dienste und Computer brauchen nicht Mitglied von „Geschützte Nutzer“ sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "von Nutzern", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.1 Grundschutz++ BER.6.1 Passwortmanager Berechtigung für Nutzende SOLLTE einen Passwortmanager installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Passwortmanager", "definitions": {}}, "guidance": "Der Einsatz eines Passwortmanagers, der von der Institution den Nutzenden zur Verfügung gestellt wird, erleichtert die Generierung von sicheren Passwörtern und deren sicherer Verwahrung, indem eine verschlüsselte Datenbank genutzt wird und der Zugang zu dem Passwortmanager mit einem Masterpasswort oder Multi-Faktor Authentisierung geschützt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.20 Grundschutz++ BER.3.20 Dienstekonten Berechtigung für Hostsysteme SOLLTE eine automatische Verwaltung der Zugangsdaten von Dienste-Konten aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Verwaltung der Zugangsdaten", "definitions": {}}, "guidance": "Eine automatische Verwaltung der Zugangsdaten von Dienste-Konten bezeichnet in diesem Kontext die technische Fähigkeit, Passwörter, Schlüssel oder Tokens solcher Konten – im Englischen häufig als service accounts oder machine identities bezeichnet – durch spezialisierte Systeme ohne manuelles Eingreifen zu erzeugen, zu speichern, regelmäßig zu erneuern und kontrolliert zu verteilen. Zugangsdaten sind hierbei sämtliche Authentifizierungsinformationen, die einem Dienst ermöglichen, auf Ressourcen anderer Systeme zuzugreifen, beispielsweise API-Schlüssel, SSH-Keys oder Anmeldedaten für Datenbanken. Dienste-Konten werden meist von Applikationen, Hintergrunddiensten oder Automatisierungsprozessen genutzt und unterscheiden sich von personenbezogenen Benutzerkonten dadurch, dass sie keinem Individuum zugeordnet sind, sondern einem technischen Zweck dienen. Erfolgt bei Zugangskonten für automatisierte Dienste eine automatische Rotation von Passwörtern oder Anmeldezertifikaten, so werden statische Passwörter, die Ablage von Zugangsdaten auf Netzlaufwerken oder plötzliche Fehlfunktionen durch Zertifikatsablauf vermieden. Ihre automatische Verwaltung kann durch zentrale Passworttresore (password vaults), Identitätsmanagementsysteme (Identity and Access Management, IAM) oder Secret-Management-Lösungen realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "von Dienste-Konten", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.21 Grundschutz++ BER.3.21 Notfallzugang Berechtigung KANN Notfallzugangskonten installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "BCM, Privilegierte Rechte", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Notfallzugangskonten", "definitions": {}}, "guidance": "Ein Notfallzugangskonto (sog. Break Glass Account) ist ein Zugang mit privilegierten Berechtigungen, der bei Notfällen als letztes Mittel zum Zugang zu wichtigen Systemen verwendet werden kann, z.B. Verzeichnisdienste, Cloud-Infrastrukturen. Es empfiehlt sich für diese Konten die Verwendung langer Passwörter und die Aufbewahrung dieser z.B. in einem Safe oder aufgeteilt auf mehrere Administrierende.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.3.22 Grundschutz++ BER.3.22 Notfallzugang Verzeichnisdienst Berechtigung für Verzeichnisdienste SOLLTE ein Notfallzugangskonto installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "BCM", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Notfallzugangskonto", "definitions": {}}, "guidance": "Ein Notfallzugangskonto (sog. Break Glass Account) ist ein Zugang mit privilegierten Berechtigungen, der bei Notfällen als letztes Mittel zum Zugang zu wichtigen Systemen verwendet werden kann, z.B. Verzeichnisdienste, Cloud-Infrastrukturen. Verwenden Sie für diese Konten lange Passwörter und bewahren Sie diese z.B. in einem Safe oder aufgeteilt auf mehrere Administrierende auf.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Zugangskonten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.4.1 Grundschutz++ BER.4.1 Identitätsüberprüfung Berechtigung SOLLTE eine Identitätsüberprüfung vor dem Zurücksetzen von Passworten ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Identitätsüberprüfung", "definitions": {}}, "guidance": "Das unberechtigte Zurücksetzen von Zugangsdaten ist eine bekannte Angriffsmethode. Eine eindeutige Identifizierung des Inhabers des Zugangs z.B. anhand eines Personalausweises oder OTP ist eine zwingende Voraussetzung bevor eine Zurücksetzung erfolgen kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Authentifizierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Zurücksetzen von Passworten", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.1 Grundschutz++ BER.5.1 Prinzip der geringsten Berechtigungen Berechtigung SOLLTE die Vergabe von Berechtigungen nach dem Prinzip der geringsten Berechtigungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Default, Privilegierte Rechte", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Vergabe von Berechtigungen nach dem Prinzip der geringsten Berechtigungen", "definitions": {}}, "guidance": "Das Prinzip der geringsten Berechtigungen, im Englischen als Principle of Least Privilege (PoLP) bekannt, besagt, dass Nutzende, Prozesse oder Systeme nur die minimal notwendigen Zugriffsrechte erhalten dürfen, um die ihnen jeweils zugewiesenen Aufgaben zu erfüllen. Dies dient primär der Minimierung der Angriffsfläche und der Begrenzung potenzieller Schäden. Sollte beispielsweise ein Zugangskonto durch Phishing kompromittiert werden, könnte ein Angreifer ohne dieses Prinzip weitreichenden Zugriff auf kritische Daten oder Systeme erlangen und diese manipulieren, exfiltrieren oder verschlüsseln. Die konsequente Anwendung dieses Grundsatzes kann die Ausbreitung von Schadsoftware nach einem ersten Eindringen erheblich erschweren und sicherstellen, dass Mitarbeitende nur jene Informationen einsehen, die für ihre Tätigkeit unmittelbar relevant sind. Hierdurch wird auch das Risiko von Datendiebstahl durch Innentäter reduziert. Es empfiehlt sich als Ergänzung hier auch das \\"Need to know\\"-Prinzip zu betrachten, da sich beide Prinzipien ergänzen. Während das \\"Least Privilege\\"-Prinzip auf Systremrechte, Rollen und Berechtigungen fokussiert, liegt der Fokus des \\"Need to know\\"-Prinzips mehr auf Informationen und Datenzugriff. Zur sinnvollen Umsetzung kann die Institution ein rollenbasiertes Berechtigungskonzept (Role-Based Access Control, RBAC) etablieren, bei dem Berechtigungen nicht an einzelne Personen, sondern an vordefinierte Rollen (z.B. \\"Finanzbuchhaltung\\" oder \\"Netzwerkadministrator\\") gebunden werden. Für die Einführung in eine bestehende Umgebung kann ein gestuftes Vorgehen gewählt werden: (1) Zunächst wird ein Überwachungsmodus (\\"Audit-Only\\") aktiviert, der protokolliert, welche Zugriffe durch eine strengere Richtlinie verweigert würden, ohne sie tatsächlich zu blockieren. (2) Anschließend werden diese Protokolle analysiert, um legitime, für den Geschäftsbetrieb notwendige Zugriffe zu identifizieren und diese gezielt in die jeweiligen Rollen und Berechtigungsgruppen aufzunehmen. (3) Erst wenn keine legitimen Zugriffe mehr in den Protokollen als \\"verweigert\\" auftauchen, wird die Richtlinie scharf geschaltet und blockiert aktiv alle nicht explizit erlaubten Zugriffe. Alle relevanten Anforderungen zur Vergabe von Berechtigungen können mit den Handlungsworten \\"authentifizieren\\", \\"autorisieren\\" und \\"einschränken\\" gefunden werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.1.1 Grundschutz++ BER.5.1.1 Rollenbasierte Berechtigung Berechtigung SOLLTE Berechtigungen rollenbasiert zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Berechtigungen rollenbasiert", "definitions": {}}, "guidance": "Aus Gründen der Nachvollziehbarkeit und des administrativen Aufwands wird die direkte Vergabe von Berechtigungen an Einzelkonten vermieden. Berechtigungen werden gemäß dem Least-Privilege-Prinzip in Rollen gebündelt, wobei die Zuweisung und der Entzug ausschließlich über diese Rollen erfolgt. Etwaige Ausnahmen, beispielsweise für temporäre Spezialrechte, werden restriktiv gehandhabt, nachvollziehbar dokumentiert und zeitlich befristet.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} BER.5.1 \N \N \N +Grundschutz++:BER.5.1.2 Grundschutz++ BER.5.1.2 JIT‑/JEA‑Berechtigungen Berechtigung KANN die Berechtigung zum Zeitpunkt des Zugriffs für besonders kritische Ressourcen oder Zugänge aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Berechtigung zum Zeitpunkt des Zugriffs", "definitions": {}}, "guidance": "„JIT‑/JEA‑Berechtigungen“ (Just‑In‑Time/Just‑Enough‑Access) ist die zeitlich und inhaltlich begrenzte Vergabe von Rechten zum Zeitpunkt eines Zugriffs auf eine Ressource. Dies kann insbesondere für privilegierte Zugangskonten und Administrationszugänge sinnvoll sein, um erhöhte Rechte nur genau dann zu ermöglichen, wenn sie wirklich erforderlich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{besonders kritische Ressourcen oder Zugänge}}", "definitions": {}}} BER.5.1 \N \N \N +Grundschutz++:BER.5.3.1 Grundschutz++ BER.5.3.1 Überprüfung tatsächlicher Berechtigungen Berechtigung SOLLTE dokumentierte und tatsächlich vergebene Berechtigungen regelmäßig auf Übereinstimmung überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dokumentierte und tatsächlich vergebene Berechtigungen", "definitions": {}}, "guidance": "Der Sinn und Zweck der Vorgabe liegt darin, eine unbemerkte Abweichung zwischen Dokumentation und Realität frühzeitig zu erkennen. Ohne diesen Abgleich könnte es vorkommen, dass ehemalige Mitarbeitende weiterhin Zugriff auf interne Systeme behalten oder dass sich im Laufe der Zeit unautorisierte Rechteanhäufungen einschleichen. Durch eine wirksame Überprüfung kann hingegen sichergestellt werden, dass nur aktuelle, geprüfte und erforderliche Zugriffsrechte bestehen bleiben und so die Angriffsfläche der Institution reduziert werden kann. Zur Umsetzung kann die Institution Berechtigungsübersichten automatisiert aus IT-Systemen exportieren und diese mit den in Verzeichnissen oder Rollenmodellen hinterlegten Daten vergleichen, z.B. anhand eines automatisierten Abgleiches mit Personalstammdaten einmal pro Quartal. Diese Anforderung ist auch dann erfüllt, wenn Dokumentation der Berechtigungen und tatsächliche Berechtigung (z.B. ein Verzeichnisdienst) dasselbe sind. Bitte beachten Sie dabei, dass die generelle Anforderung zur Überprüfung vergebener Berechtigungen weiter gefasst ist und z.B. auch den Abgleich zwischen tatsächlich vergebenen Berechtigungen und nicht dokumentieren Erfordernissen (beispielsweise durch die Vorlage bei Vorgesetzten) umfassen kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} auf Übereinstimmung", "definitions": {}}} BER.5.3 \N \N \N +Grundschutz++:BER.5.4 Grundschutz++ BER.5.4 Kompromittierte Berechtigungsmittel Berechtigung SOLLTE kompromittierte Berechtigungsmittel deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kompromittierte Berechtigungsmittel", "definitions": {}}, "guidance": "Ein Berechtigungsmittel gilt als kompromittiert, wenn Anzeichen bestehen, dass Unbefugte es nutzen oder Zugriff darauf gehabt haben könnten. Beispiele sind Passwörter, die durch Datenlecks öffentlich geworden sind, oder biometrische Merkmale (z. B. Fingerabdrücke), die Unbefugten vorliegen. In solchen Fällen ist das Berechtigungsmittel zu sperren oder zu entziehen, etwa durch den Einsatz von Sperrlisten. Bei biometrischen Merkmalen besteht zusätzlich ein enger Bezug zu datenschutzrechtlichen Anforderungen, da diese Daten nicht einfach ausgetauscht werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.5 Grundschutz++ BER.5.5 Systemfunktionen ohne Authentifizierung Berechtigung für IT-Systeme SOLLTE Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann, dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann,", "definitions": {}}, "guidance": "Funktionen ohne Authentifizierung sind alle Zugriffsmöglichkeiten auf Schnittstellen oder Daten des Systems, für die keine Authentifizierung erforderlich ist. Hierzu gehören z. B. Sprachassistenten, offene Webserver-Ports oder das Einblenden von Inhalten aus Apps auf dem Sperrbildschirm, wodurch persönliche Nachrichten oder Logintoken für Unbefugte zugänglich sein könnten. Solche Funktionen sind häufige Einfallstore für Angriffe auf das System oder für Datenleaks. Daher ist es sinnvoll eine Übersicht dieser Funktionen zu führen, selbst wenn die Funktionen benötigt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Systemdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.6 Grundschutz++ BER.5.6 Anwendungsfunktionen ohne Authentifizierung Berechtigung für Anwendungen SOLLTE Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann, dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Funktionen, auf die ohne vorherige Authentifizierung zugegriffen werden kann,", "definitions": {}}, "guidance": "Hierzu gehören z.B. der Zugriff auf öffentliche Inhalte oder Funktionen zum Zurücksetzen des Passwortes, wodurch persönliche Daten oder Logintoken für Unbefugte zugänglich sein könnten. Allerdings kann es auch unauthentifizierte Funktionen geben, die für Betrieb oder Informationssicherheit benötigt werden, z.B. Meldeformulare für Sicherheitsvorfälle oder öffentliche Webseiteninhalte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Anwendungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.7 Grundschutz++ BER.5.7 IT-System-Zugangskonto Berechtigung für IT-Systeme KANN diese genau einem Zugangskonto zuweisen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese genau einem Zugangskonto", "definitions": {}}, "guidance": "Wenn ein besonders schützenswertes IT-System nur von einer Person oder Identität genutzt wird, empfiehlt es sich dieses mit genau einem zugehörigen Zugangskonto zu verknüpfen. Dadurch wird ausgeschlossen, dass weitere Konten unnötig Zugriff erhalten. Bei Revisionen ist auf diese Weise eindeutig nachvollziehbar, welche Identität Zugriff auf das System hatte. Das Vorgehen ist auch auf virtualisierte IT-Systeme übertragbar. Ein Beispiel ist eine spezielle Administrationskonsole, die ausschließlich einem dedizierten Admin-Konto zugeordnet ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.5.8 Grundschutz++ BER.5.8 Entzug von Berechtigungen Berechtigung SOLLTE eine Vorgehensweise zum Entzug von Berechtigungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zum Entzug von Berechtigungen", "definitions": {}}, "guidance": "Innerhalb der Institution ist ein Prozess etabliert, mit dem Berechtigungen system- und anwendungsübergreifend entzogen sowie Zugänge deaktiviert oder gelöscht werden, sobald diese nicht mehr benötigt werden. Dadurch wird sichergestellt, dass bei Personalwechseln oder Aufgabenänderungen keine Berechtigungen für einzelne Systeme oder Anwendungen bestehen bleiben. Der Entzug von Berechtigungen bei Kündigungen, Versetzungen oder Änderungen von Zuständigkeiten ist, soweit möglich, als automatisierter Ablauf umgesetzt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Berechtigungsmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.2 Grundschutz++ BER.6.2 Vorkonfigurierte Authentisierungsmittel Berechtigung SOLLTE vorkonfigurierte Authentisierungsmittel deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "vorkonfigurierte Authentisierungsmittel", "definitions": {}}, "guidance": "Herstellerseitige Standardkonten und Default-Passwörter stellen ein beliebtes Eingangstor für Angreifer dar. Wenn vorhanden können auch andere Zugangsmittel wie Hardware-Zugangstoken, Zertifikate oder physische Zugangskontrollsysteme als Authentisierungsmittel verstanden werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.3 Grundschutz++ BER.6.3 Deaktivierung einfacher Biometrie Berechtigung SOLLTE die Authentifizierung nur anhand von Biometrie deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Authentifizierung nur anhand von Biometrie", "definitions": {}}, "guidance": "Wenn die Authentifizierung nur biometrisch vorgenommen wird (z.B. anhand von Fingerabdrücken oder Abbildern des Gesichtes), dann könnten Angreifer Fälschungen oder gestohlene Fingerabdrücke missbrauchen, um sich Zugang zu verschaffen. Werden biometrische Verfahren dagegen mit weiteren Authentisierungsmittel (z.B. einer PIN) kombiniert, können sie den Zugriffsschutz verbessern. Ein häufig vorkommendes Beispiel sind Mobilgeräte wie Smartphones, die durch Fingerabdruck den Zugriff auf Daten oder Funktionen wie das mobile Bezahlen gestatten - obwohl auf dem Gerät selbst häufig noch Fingerabdrücke erkennbar sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.4 Grundschutz++ BER.6.4 Mehr-Faktor-Authentisierung am Perimeter Berechtigung für Anwendungen von Externe Netzanschlüssen SOLLTE Mehr-Faktor-Authentisierung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "MFA, Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Mehr-Faktor-Authentisierung", "definitions": {}}, "guidance": "Aus externen Netzen wie dem Internet erreichbaren Anwendungen (insbesondere die VPN-Einwahl oder Cloud-Anwendungen) stellen ein beliebtes Ziel für Angreifer dar. Eine Mehr-Faktor-Authentifizierung erschwert einen unberechtigten Zugang zu diesen extern erreichbaren Anwendungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.5 Grundschutz++ BER.6.5 Mehr-Faktor-Authentisierung für weitreichende Berechtigungen Berechtigung SOLLTE Mehr-Faktor-Authentisierung für weitreichende Berechtigungen aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "MFA, Living off the land, Privilege Escalation, Credential Stuffing, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Mehr-Faktor-Authentisierung", "definitions": {}}, "guidance": "Eine Mehr-Faktor-Authentifizierung bei Zugängen mit weitreichenden Berechtigungen, z.B. Administrationskonten, die Zugriff auf wichtige Server wie den Verzeichnisdienst, das MDM, EDR oder DNS haben, erschwert den unberechtigten Zugang zu diesen Zugängen. Auch der Zugriff auch besonders sensible Daten kann eine weitreichende Berechtigung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für weitreichende Berechtigungen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.6 Grundschutz++ BER.6.6 Blockieren von Passwort Recycling Berechtigung für Nutzende SOLLTE die Wiederverwendung von Passwörtern blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Privilege Escalation, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wiederverwendung von Passwörtern", "definitions": {}}, "guidance": "Die Wiederverwendung von Passwörtern („password reuse“) ist die Nutzung identischer oder bereits früher verwendeter Passwörter für verschiedene Konten, Systeme oder aufeinanderfolgende Authentifizierungsvorgänge. Die Blockierung der Passwortwiederverwendung bedeutet hier, dass das Berechtigungsmanagementsystem („access management system“) technisch verhindert, dass ein neues Passwort mit einem zuvor verwendeten identisch ist oder einer vordefinierten Anzahl früherer Passwörter entspricht. Dies könnte nicht nur bei Wiederverwendung einer Person problematisch sein, sondern auch bei einer systemübergreifenden Fehlkonfiguration: Ein typisches Szenario wäre, dass in einer Institution mehrere Arbeitsplatzrechner mit identischen lokalen Administratorpasswörtern konfiguriert sind („local admin password reuse“). Wird ein einzelner Rechner durch Schadsoftware oder physischen Zugriff kompromittiert, könnte ein Angreifer dieses Passwort anschließend nutzen, um sich mit denselben Anmeldeinformationen lateral auf weitere Systeme auszubreiten. Die Wiederverwendung des lokalen Administratorpassworts könnte somit eine vollständige Kompromittierung der internen IT-Infrastruktur ermöglichen. Diese Anforderung adressiert den Schutz vor solchen Angriffen, die sich aus der Wiederverwendung kompromittierter Anmeldeinformationen ergeben könnten, etwa durch Credential-Stuffing oder Brute-Force-Angriffe auf bekannte Passwortmuster. Blockieren kann das Risiko verringern, dass ein Angreifer durch bekannte Passwörter unbefugten Zugang zu Konten erhält. Hierzu können zum einen eine lokale Passworthistorie oder zum anderen elektronische Passwortmanager genutzt werden, die unabhängige sichere Passwörter generieren, wo die Wahrscheinlichkeit einer Passwortwiederholung ausgeschlossen werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.13 Grundschutz++ BER.7.13 Gültigkeit Berechtigung SOLLTE die Verifikation der Gültigkeit des Schlüssels vor jeder Nutzung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verifikation der Gültigkeit des Schlüssels", "definitions": {}}, "guidance": "Die Gültigkeit ergibt sich aus Nutzungszeit und Revocation-Status. Für die Implementierung genügt es, wenn die eingesetzten IT-Produkte bereits so entwickelt oder beschafft worden sind, dass sie die Prüfung automatisiert durchführen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor jeder Nutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.7 Grundschutz++ BER.6.7 Trivialpasswörter Berechtigung für Nutzende SOLLTE die Verwendung von Trivialpassworten blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verwendung von Trivialpassworten", "definitions": {}}, "guidance": "Trivialpasswörter sind leicht zu erratende oder zu diesem Zugangskonto bereits öffentlich bekannte Passwörter (erkennbar durch Nutzung sog. Leak Check Datenbanken). Leicht zu erraten sind Passwörter, wenn sie mit gängigen Wörterbuchangriffen (dictionary attacks) bzw. systematischem Ausprobieren (brute force) in kurzer Zeit zu kompromittieren sind. Dazu zählen etwa einfache Folgen wie „123456“, „Passwort“ oder „qwerty“ sowie häufig vorkommende, in Leaks dokumentierte Standardkombinationen. Der Zweck der Anforderung liegt darin, das Risiko unautorisierter Zugriffe zu reduzieren: Ein Angreifer könnte mit automatisierten Tools in Sekunden oder Minuten triviale Passwörter durchprobieren, was zu einem unbefugten Zugriff auf Benutzerkonten, Systemressourcen oder sensible Daten führen könnte. Die Blockierung solcher Passwörter kann dagegen sicherstellen, dass nur schwer vorhersehbare Kennwörter verwendet werden, wodurch ein entscheidender Schutz gegen automatisierte Angriffsverfahren erreicht werden kann. Zudem können Passwortmanager beim Generieren nicht-trivialer Passwörter unterstützen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.8 Grundschutz++ BER.6.8 Kriterien für die Qualität von Passwörtern Berechtigung SOLLTE Kriterien für die Qualität von Passwörtern anhand von Lebensdauer und Angriffsmöglichkeiten verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Privilege Escalation, Credential Stuffing, Brute-Force-Attacke, Password Policy, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kriterien für die Qualität von Passwörtern", "definitions": {}}, "guidance": "Kriterien für die Qualität von Passwörtern können z.B. eine minimale Entropie, Passwortlänge oder Verwendung verschiedener Symbole sein. Die Lebensdauer meint die erwartete Nutzungsdauer des Passwortes. Die erforderliche Qualität hängt von den Angriffsmöglichkeiten ab, z.B. Anzahl der Zugangskonten, verwendetes kryptografisches Verfahren (vgl. BSI TR-02102) und begleitenden Sicherheitsmaßnahmen wie maximale Passwortversuche oder Mehr-Faktor-Authentifizierung. Für Zugänge ohne begleitende Maßnahmen ist eine Passwortlänge nicht unter 14 Zeichen empfehlenswert. Die Kriterien können einmalig festgelegt werden oder zwischen Zugängen oder Anwendungen differenzieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von Lebensdauer und Angriffsmöglichkeiten", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.9 Grundschutz++ BER.6.9 Anlassbezogene Passwortwechsel Berechtigung SOLLTE einen Passwortwechsel ausschließlich anlassbezogen ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Passwortwechsel", "definitions": {}}, "guidance": "Ein ausschließlich anlassbezogener Passwortwechsel bedeutet, dass Passwörter nur genau dann geändert werden, wenn ein begründeter Sicherheitsanlass vorliegt – beispielsweise ein Verdacht auf Kompromittierung des Endgerätes oder Zugangs, neue einschlägige Einträge in öffentlichen Leak-Datenbanken, die Weitergabe an Unbefugte durch einen Phishing-Vorfall, oder technische Indikatoren für einen möglichen Missbrauch des Zugangs zu Systemen oder Anwendungen. Dieser Ansatz unterscheidet sich vom früher häufig praktizierten, periodischen Passwortwechsel, der ohne konkreten Anlass in festen Intervallen erzwungen wurde. Ein solcher erzwungener Rhythmus könnte die Passwortsicherheit sogar verringern, weil Nutzende dann dazu neigen, schwächere, nur leicht veränderte Passwörter („sommer5“) zu wählen oder Zugangsdaten in verschiedenen Zugängen wiederzuverwenden. Zweck dieser Regelung ist es, die tatsächliche Sicherheit von Zugangskonten zu erhöhen und unnötige Belastungen der Nutzenden zu vermeiden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "ausschließlich anlassbezogen", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.6.10 Grundschutz++ BER.6.10 Monitoring von Zugangsdaten Berechtigung SOLLTE Zugangsdaten auf Kompromittierung durch einen automatisierten Mechanismus überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Credential Stuffing, Password Policy", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zugangsdaten auf Kompromittierung", "definitions": {}}, "guidance": "Eine Kompromittierung meint hier, dass Zugangsdaten wie Benutzername und Passwort (englisch: credentials) von Unbefugten eingesehen, abgefangen oder manipuliert wurden, sodass ein Missbrauch für unautorisierte Zugriffe möglich wird. Dies könnte etwa durch Leaks in Datenbanken, durch Phishing-Angriffe oder durch das Abfangen unverschlüsselter Übertragungen entstehen. Ein automatisierter Mechanismus bezeichnet hierbei eine technische Lösung, die ohne manuelles Zutun kontinuierlich prüft, ob bekannte Indikatoren einer Kompromittierung vorliegen (englisch: credential monitoring system). Geeignete Mechanismen können etwa Credential-Leak-Monitoring-Dienste, Data Breach Checker oder Darknet-Scanning-Tools sein. Der Zweck dieser Vorgabe liegt darin, dass ein frühzeitiges Erkennen von kompromittierten Zugangsdaten helfen kann, unautorisierte Logins und den Missbrauch sensibler Systeme zu verhindern; ohne eine solche Überwachung könnte ein Angreifer über lange Zeit unentdeckt mit gestohlenen Daten arbeiten und kritische Schäden verursachen. Ergeben sich hierbei Anzeichen auf eine Kompromittierung oder einen Leak der Zugangsdaten, so kann als Reaktion ein Wechsel der Zugangsdaten über einen nicht kompromittierten Kommunikationskanal veranlasst oder schlicht das betroffene Zugangskonto gesperrt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Passwortgebrauch", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.16.5 Grundschutz++ BER.7.16.5 Beglaubigungsstatus Berechtigung SOLLTE den Beglaubigungsstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Beglaubigungsstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "guidance": "Der Beglaubigungsstatus erfasst, ob der Schlüssel von der Beglaubigungs- oder Zertifizierungsstelle der Institution beglaubigt wurde.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BER.7.16 \N \N \N +Grundschutz++:BER.7.1 Grundschutz++ BER.7.1 Etablierte Algorithmen bei der Schlüsselerzeugung Berechtigung SOLLTE die ausschließliche Verwendung etablierter kryptografischer Algorithmen bei der Schlüsselerzeugung nach einem anerkannten Standard verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die ausschließliche Verwendung etablierter kryptografischer Algorithmen", "definitions": {}}, "guidance": "Etablierte kryptografische Algorithmen sind mathematisch fundierte Verschlüsselungsverfahren und Protokolle, die in der aktuellen Praxis nicht mit vertretbarem Aufwand gebrochen werden können. Sie basieren auf mathematisch schwer lösbaren Problemen, bieten Resistenz gegen bekannte kryptanalytische Angriffe, unterstützen ausreichend große Schlüssellängen und wurden von Experten gründlich geprüft und analysiert. Aktuelle etablierte Algorithmen sind in BSI TR-02102 zu finden. Für weitere Details zur Implementierung siehe Detailspezifikation kryptografischer Abläufe und Mechanismen des BSI.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselerzeugung nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.2 Grundschutz++ BER.7.2 Schlüssellänge Berechtigung SOLLTE die Schlüssellängen nach einem anerkannten Standard bei der Schlüsselerzeugung zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Schlüssellängen", "definitions": {}}, "guidance": "Für die Sicherheit von Schlüsseln wie Passwörter oder PINs ist die Länge von Bedeutung. Für Details siehe BSI TR-02102.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}} bei der Schlüsselerzeugung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.3 Grundschutz++ BER.7.3 Verzeichnis öffentlicher Schlüssel Berechtigung SOLLTE zu jedem öffentlichen Schlüssel die dazugehörige Identität, das Ablaufdatum, den Nutzungszweck, die Schlüsselart und den Algorithmus bei der Schlüsselbeglaubigung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu jedem öffentlichen Schlüssel die dazugehörige Identität, das Ablaufdatum, den Nutzungszweck, die Schlüsselart und den Algorithmus", "definitions": {}}, "guidance": "Im Verzeichnis öffentlicher Schlüssel werden die öffentlichen Schlüssel, die von der Institution erzeugt oder eingesetzt werden, aufgelistet. Hiermit werden kryptografische Schlüssel systematisch erfasst und dokumentiert. Zweckmäßig ist es, die Angaben direkt im Schlüssel abzuspeichern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselbeglaubigung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.4 Grundschutz++ BER.7.4 Erzeugung auf sicheren IT-Systemen Berechtigung SOLLTE die Verwendung eines IT-Systems, welches mindestens dasselbe Schutzniveau bietet, für das der Schlüssel eingesetzt werden soll, bei der Schlüsselerzeugung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verwendung eines IT-Systems, welches mindestens dasselbe Schutzniveau bietet, für das der Schlüssel eingesetzt werden soll,", "definitions": {}}, "guidance": "Wird ein Schlüssel auf einem System erzeugt, dass einen geringeren Schutz bietet als auf dem späteren Einsatzsystem, dann könnte der Schlüssel bereits kompromittiert sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselerzeugung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.5 Grundschutz++ BER.7.5 Kriterien für die Qualität von Zufallszahlen Berechtigung SOLLTE Kriterien für die Qualität von Zufallszahlen bei der Schlüsselerzeugung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "{{Kriterien}} für die Qualität von Zufallszahlen", "definitions": {}}, "guidance": "Wenn bei der Schlüsselerzeugung ein ungeeigneter Zufallszahlengenerator verwendet wird, könnte ein Angreifer Schlüssel errechnen. Daher sind Kriterien für Zufallszahlengeneratoren zu wählen, z.B. Verwendung etablierter, durch unabängige Dritte geprüfter Zufallszahlengeneratoren. Für Details siehe BSI TR-02102-1. Wichtig ist dabei auch, dass die verwendete Zufallsquelle tatsächlich eine nicht vorhersagbare Zahlenerzeugung erreicht. Inbesondere virtualisierte Systeme könnten ungeeignet sein zur Schlüsselerzeugung, da ihre Zufallszahlenquellen nicht direkt auf Hardwarefunktionen zurückgreifen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselerzeugung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.6 Grundschutz++ BER.7.6 Etablierte Algorithmen beim Transport Berechtigung SOLLTE die ausschließliche Verwendung etablierter kryptografischer Algorithmen beim Transport geheimer Schlüssel verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die ausschließliche Verwendung etablierter kryptografischer Algorithmen", "definitions": {}}, "guidance": "Aktuelle etablierte Algorithmen sind in BSI TR-02102 zu finden. Der Transport kann mit Public Key Cryptography Standards (PKCS), z.B. PKCS#12 Dateiformat erfolgen. Für weitere Details zur Implementierung siehe Detailspezifikation kryptografischer Abläufe und Mechanismen des BSI.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "beim Transport geheimer Schlüssel", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.7 Grundschutz++ BER.7.7 Kein Transport privater Schlüssel Berechtigung KANN den Export privater Schlüssel durch eine zuständige Person oder Rolle autorisieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Export privater Schlüssel", "definitions": {}}, "guidance": "Im Allgemeinen ist es sinnvoll, private Schlüssel nur dort zu erzeugen, wo sie auch genutzt werden. Andernfalls könnten sie durch den Export kompromittiert werden. Hiervon sind allerdings zahlreiche Ausnahmen denkbar, z.B. zur Schlüsselerzeugung auf besonders abgesicherten Systemen, zum Transport auf Redundanzsysteme oder zur Datensicherung. Daher ist eine Abwägung sinnvoll, ob der Export zu genehmigen ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{eine zuständige Person oder Rolle}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.8 Grundschutz++ BER.7.8 Etablierte Algorithmen bei der Schlüsselnutzung Berechtigung SOLLTE die ausschließliche Verwendung etablierter Algorithmen bei der Schlüsselnutzung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die ausschließliche Verwendung etablierter Algorithmen", "definitions": {}}, "guidance": "Aktuelle etablierte Algorithmen sind in BSI TR-02102 zu finden. Für weitere Details zur Implementierung siehe Detailspezifikation kryptografischer Abläufe und Mechanismen des BSI.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselnutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.9 Grundschutz++ BER.7.9 Zweckbindung Berechtigung SOLLTE Verstöße gegen die Zweckbindung bei der Schlüsselnutzung untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verstöße gegen die Zweckbindung", "definitions": {}}, "guidance": "Zweckbindung bedeutet, dass der Schlüssel ausschließlich zu dem im Verzeichnis öffentlicher Schlüssel festgelegten Nutzungszweck verwendet werden darf. Die Zweckbindung gilt insbesondere auch für den privaten Schlüssel.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Schlüsselnutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.10 Grundschutz++ BER.7.10 Abgelaufene Schlüssel Berechtigung SOLLTE die Nutzung des Schlüssels zur Verschlüsselung oder Signierung nach Ablauf der Nutzungszeit untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nutzung des Schlüssels zur Verschlüsselung oder Signierung", "definitions": {}}, "guidance": "Schlüssel dürfen nach Ablauf der Nutzungszeit nur noch zur Entschlüsselung oder Signaturprüfung alter Daten verwendet werden. Bei automatisierter Schlüsselnutzung ist der Schlüssel zu deaktivieren, bei manueller Schlüsselnutzung ist den Nutzenden weitere Verwendung des Schlüssels zu verbieten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach Ablauf der Nutzungszeit", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.11 Grundschutz++ BER.7.11 Integrität Berechtigung SOLLTE die Verifikation der Integrität geheimer Schlüssel vor jeder Nutzung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verifikation der Integrität geheimer Schlüssel", "definitions": {}}, "guidance": "Wird die Integrität von Schlüsseln vor der Verwendung nicht geprüft, so könnte er unbemerkt durch einen Angreifer ausgetauscht werden, wodurch der Angreifer den vermeintlich verschlüsselten Austausch mitlesen. Daher ist ein Integritätsschutz (z.B. eine bekannte Checksumme oder Fingerabdruck) von abgelegten Schlüsseln sinnvoll. Dies kann z.B. durch den Abgleich von Prüfsummen geschehen, welche auf einem anderen IT-System gespeichert sind. Für die Implementierung genügt es, wenn die eingesetzten IT-Produkte bereits so entwickelt oder beschafft worden sind, dass sie die Prüfung automatisiert durchführen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor jeder Nutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.12 Grundschutz++ BER.7.12 Authentizität Berechtigung SOLLTE die Verifikation der Authentizität öffentlicher Schlüssel vor jeder Nutzung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verifikation der Authentizität öffentlicher Schlüssel", "definitions": {}}, "guidance": "Für die Implementierung genügt es, wenn die eingesetzten IT-Produkte bereits so entwickelt oder beschafft worden sind, dass sie die Prüfung automatisiert durchführen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor jeder Nutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.16.6 Grundschutz++ BER.7.16.6 Revocationstatus Berechtigung SOLLTE den Revocationstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Revocationstatus des Schlüssels im Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "guidance": "Der Revocationsstatus des Schlüsseln erfasst, ob der Schlüssel zurückgezogen wurde, etwa weil er aufgrund einer Kompromittierung nicht mehr sicher verwendet werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} BER.7.16 \N \N \N +Grundschutz++:BER.7.14 Grundschutz++ BER.7.14 Schlüssel vor Ablauf prüfen Berechtigung SOLLTE Schlüssel auf das baldige Auslaufen der Nutzungszeit regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schlüssel auf das baldige Auslaufen der Nutzungszeit", "definitions": {}}, "guidance": "Wird die Gültigkeit von Schlüsseln vor dem Auslaufen nicht überwacht, so könnten Schlüssel ungültig werden, wodurch Schnittstellen oder Anwendungen plötzlich nicht mehr verfügbar sein könnten. Läuft ein Schlüssel bald ab, obwohl der Zweck weiterhin bestehen bleibt, so ist es sinnvoll den Schlüssel rechtzeitig durch einen neuen zu ersetzen. Hierbei ist zu beachten, dass bei Schlüsselwechsel verschlüsselte Daten entschlüsselt und erneut verschlüsselt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.15 Grundschutz++ BER.7.15 Vorgehensweise nach Nutzung Berechtigung SOLLTE eine Vorgehensweise zur Außerbetriebnahme geheimer Schlüssel , sobald sie nicht mehr benötigt werden, verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zur Außerbetriebnahme geheimer Schlüssel", "definitions": {}}, "guidance": "Werden Schlüssen nicht mehr benötigt, so ist es sinnvoll diese im Einklang mit den Anforderungen zur Löschung von Informationen außer Betrieb zu nehmen. Hierbei ist zu beachten, dass bei einem Schlüsselwechsel verschlüsselte Daten entschlüsselt und erneut verschlüsselt werden. Flüchtige Schlüssel sind nach der Sitzung umgehend zu löschen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Verzeichnis öffentlicher Schlüssel", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": ", sobald sie nicht mehr benötigt werden,", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.16 Grundschutz++ BER.7.16 Vorgaben für die Schlüsselbeglaubigung Berechtigung SOLLTE Vorgaben für die Schlüsselbeglaubigung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Vorgaben für die Schlüsselbeglaubigung", "definitions": {}}, "guidance": "Je nach Umfang der Beglaubigungstätigkeit gehören hierzu z.B. Algorithmen, Zweckbindung, Nutzungsdauer, sowie prozessuale Vorgaben für Speicherung, Beantragung, Revocation, Erneuerung und Verfügbarkeit. Für Details siehe IETF RFC 3647.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:BER.7.16.1 Grundschutz++ BER.7.16.1 Zertifizierungsstelle Berechtigung SOLLTE die Beglaubigung von Schlüsseln einer zuständigen Person oder Rolle zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Beglaubigung von Schlüsseln", "definitions": {}}, "guidance": "Die Beglaubigung von Schlüsseln ist technisch komplex. Gleichzeitig hängt von ihr die Vertrauensstellung von Systemen und Anwendungen im Informationsverbund ab. Daher ist es sinnvoll diese Aufgabe konkret bestimmten Personen oder Rollen zuzuweisen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{einer zuständigen Person oder Rolle}}", "definitions": {}}} BER.7.16 \N \N \N +Grundschutz++:BER.7.16.2 Grundschutz++ BER.7.16.2 Beglaubigung Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Beantragung einer Beglaubigung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung", "definitions": {}}, "guidance": "Schlüsselbeglaubigung (engl. key certification) ist der kryptographische Nachweis, dass ein kryptographischer Schlüssel echt, unverändert und einer berechtigten Identität eindeutig zugeordnet ist. Der Schlüsseltest vor der Beglaubigung dient dazu, sicherzustellen, dass der einzureichende Schlüssel die festgelegten technischen und organisatorischen Vorgaben für die Genehmigung der Beglaubigung erfüllt – etwa hinsichtlich Schlüssellänge, Algorithmuskompatibilität oder Integrität der Schlüsseldaten. Solche Prüfungen können die korrekte Formatierung, die Funktionsfähigkeit innerhalb der vorgesehenen Kryptosysteme sowie den Abgleich mit vertrauenswürdigen Referenzen umfassen. Ziel ist die Gewährleistung, dass keine fehlerhaften, kompromittierten oder absichtlich manipulierten Schlüssel in eine Vertrauenskette eingebracht werden. Diese Vorgabe kann das Risiko reduzieren, dass fehlerhafte oder bösartig erzeugte Schlüssel zu einer Täuschung über die Identität oder zu unbemerkten Datenmanipulationen führen könnte. Ebenso kann sie verhindern, dass ein unzureichend geprüfter Schlüssel später als gültig angesehen wird, obwohl er kompromittiert ist. Eine konsequente Umsetzung kann die Integrität kryptographischer Infrastrukturen stärken und die Vertrauenswürdigkeit digitaler Signaturen, Authentifizierungen und Verschlüsselungsprozesse sichern. In der Praxis kann dies etwa durch automatisierte Validierungsroutinen in einer Public-Key-Infrastruktur (PKI), durch den Einsatz spezialisierter HSM-Testwerkzeuge oder durch manuelle Prüfung anhand festgelegter Zertifizierungsrichtlinien erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Beantragung einer Beglaubigung", "definitions": {}}} BER.7.16 \N \N \N +Grundschutz++:BER.7.16.3 Grundschutz++ BER.7.16.3 Erneuerung Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Erneuerung einer Beglaubigung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung", "definitions": {}}, "guidance": "Die Erneuerung einer Beglaubigung beschreibt den Vorgang, bei dem ein ablaufendes oder gefährdetes Zertifikat durch ein neues ersetzt wird, wobei die Vertrauenskette erhalten bleibt. Dazu wird geprüft, ob die Vorgaben für die Erneuerung der Beglaubigung erfüllt sind. Das Testen des Schlüssels im Rahmen der Erneuerung dient dazu, die fortgesetzte Vertrauenswürdigkeit und Funktionsfähigkeit des Schlüssels sicherzustellen, etwa durch Verifikation der Signatur, Abgleich der Fingerprints oder Validierung gegen Sperrlisten. Der Zweck dieser Anforderung liegt in der Sicherstellung, dass bei der Erneuerung eines Zertifikats keine kompromittierten, fehlerhaften oder unautorisierten Schlüssel weiterverwendet werden. Wird die Schlüsselprüfung unterlassen, könnte ein Angreifer manipulierte oder gefälschte Schlüssel einschleusen, was zu unbemerktem Datenabgriff, Identitätsmissbrauch oder Integritätsverlust führen könnte. Eine wirksame Prüfung kann dagegen sicherstellen, dass nur überprüfte und gültige Schlüssel erneut beglaubigt werden, wodurch das Vertrauensniveau der gesamten kryptographischen Infrastruktur stabil bleibt. Sinnvolle Umsetzungsvarianten können z. B. die Nutzung automatisierter Schlüsselvalidierungen in Public-Key-Infrastrukturen (PKI), der Einsatz von Hardware-Sicherheitsmodulen (HSM) für die Signaturprüfung oder der Abgleich über Transparenzregister wie Certificate Transparency Logs sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Erneuerung einer Beglaubigung", "definitions": {}}} BER.7.16 \N \N \N +Grundschutz++:BER.7.16.4 Grundschutz++ BER.7.16.4 Revocation Berechtigung SOLLTE den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung bei Revocation einer Beglaubigung testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Schlüssel anhand der Vorgaben für die Schlüsselbeglaubigung", "definitions": {}}, "guidance": "Die Revocation einer Beglaubigung (engl. revocation of attestation) ist die nachträgliche Ungültigerklärung einer solchen Bestätigung, beispielsweise durch Sperrung eines Zertifikats mittels Certificate Revocation List (CRL) oder Online Certificate Status Protocol (OCSP). Das Testen des Schlüssels anhand der Vorgaben für die Schlüsselbeglaubigung bedeutet hier, dass geprüft wird, ob die festgelegten Vorgaben für die Revocation erfüllt sind. Damit wird sichergestellt, dass der Widerruf einer Beglaubigung nur bei Vorliegen der Voraussetzungen angestoßen wird und dann technisch und organisatorisch korrekt umgesetzt und im Systemverhalten nachvollziehbar berücksichtigt wird, etwa durch sofortige Ungültigkeitserklärung oder Sperrung des betreffenden Schlüssels. Der Zweck dieser Vorgabe liegt darin, unzulässige oder verfrühte Revocations ebenso zu vermeiden wie verspätete oder unvollständige Umsetzungen, die zu Sicherheitslücken führen könnten. Wird die Prüfung der Revocation-Vorgaben fehlerhaft oder unvollständig durchgeführt, könnte ein gültiger Schlüssel fälschlich gesperrt werden oder ein tatsächlich kompromittierter Schlüssel weiter im Einsatz bleiben. Eine konsequente Umsetzung kann dagegen gewährleisten, dass der Widerruf von Beglaubigungen nur im vorgesehenen Rahmen erfolgt, die Integrität des Vertrauensmodells erhalten bleibt und alle abhängigen Systeme den neuen Status korrekt übernehmen. Praktisch kann dies durch automatisierte Regelprüfungen in Zertifikatsverwaltungsdiensten, durch Ereignisprotokollierung in Key Management Services (KMS) oder durch Hardware-Sicherheitsmodule (HSM) umgesetzt werden, die Revocation-Bedingungen strikt validieren, bevor Änderungen am Schlüsselstatus ausgeführt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Berechtigung / Schlüsselmanagement", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Revocation einer Beglaubigung", "definitions": {}}} BER.7.16 \N \N \N +SCF:AST-03.1 SCF AST-03.1 Accountability Information Mechanisms exist to include capturing the name, position and/or role of individuals responsible/accountable for administering assets as part of the technology asset inventory process. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-03.1_AST-03.1_A01", "name": "assessment-objective", "prose": "individuals responsible and accountable for administering system components are identified by organization-defined criteria in the system component inventory."}]} \N \N \N \N +Grundschutz++:NOT.1.1 Grundschutz++ NOT.1.1 Verfahren und Regelungen Notfallplanung MUSS Verfahren und Regelungen zur Vorsorge für Notfälle der Informationssicherheit verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Vorsorge für Notfälle der Informationssicherheit", "definitions": {}}, "guidance": "Für ein Managementsystem der Informationssicherheit ist es erforderlich, dass auch für Notfälle vorgesorgt wird, z.B. durch eine Datensicherung, so dass bei einer Naturkatastrophe wichtige Daten wiederhergestellt werden können. Dies kann durch den Aufbau eines dafür vorgesehenen Managementsystems (BCMS) oder die Umsetzung der einzelnen Anforderungen dieser Praktik geschehen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte, die bei der Festlegung des Verfahrens zu berücksichtigen sind, ergeben sich aus den Anforderungen dieser Praktik. Es empfiehlt sich ebenfalls Wiederherstellungsmöglichkeiten und Alternativen für administrative Zugänge zu betrachten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "BC-Leitlinie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.1.1.1 Grundschutz++ NOT.1.1.1 Dokumentation Notfallplanung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} NOT.1.1 \N \N \N +Grundschutz++:NOT.1.1.2 Grundschutz++ NOT.1.1.2 Zuweisung der Aufgaben Notfallplanung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, so dass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} NOT.1.1 \N \N \N +Grundschutz++:NOT.1.1.3 Grundschutz++ NOT.1.1.3 Bekanntgabe Notfallplanung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} NOT.1.1 \N \N \N +Grundschutz++:NOT.1.1.4 Grundschutz++ NOT.1.1.4 Business Continuity Management System Notfallplanung KANN ein BSI-Standard 200-4BCMS nach einem anerkannten BCM-Standard verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein {{Reaktiv-, Aufbau- oder Standard-}}BCMS nach {{einem anerkannten BCM-Standard}}", "definitions": {}}, "guidance": "BCMS steht für Business Continuity Management System, ein Management-System, das Institutionen dabei hilft, die Kontinuität ihrer Geschäftsprozesse bei Störungen oder Krisen sicherzustellen. Es umfasst die Planung, Umsetzung und kontinuierliche Verbesserung von Strategien und Verfahren, um die Resilienz der Institution zu erhöhen und Ausfallzeiten zu minimieren. Beispiele sind der BSI-Standard 200-4 oder die DIN ISO/IEC 22301. Idealerweise werden die Anforderungen der Praktik Notfallplanung durch ein BCMS erbracht. Wenn ein BCMS aufgebaut wird, können die Anforderungen dieser Praktik in das BCMS integriert erfüllt werden. Das BSI empfiehlt dazu in einem ersten Schritt ein Reaktiv-BCMS aufzubauen und mit steigendem Reifegrad ein Standard-BCMS über die Zwischenstufe Aufbau-BCMS anzustreben. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 2.6 BCMS-Stufenmodell (Reaktiv-, Aufbau- und Standard-BCMS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "BC-Leitlinie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} NOT.1.1 \N \N \N +Grundschutz++:NOT.1.2 Grundschutz++ NOT.1.2 Regelmäßige Überprüfung Notfallplanung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Notfallplanung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.2.1 Grundschutz++ NOT.2.1 Verfahren und Regelungen Notfallplanung SOLLTE Verfahren und Regelungen für eine Besondere Aufbauorganisation (BAO) zur Behandlung von Notfällen und Krisen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen für eine Besondere Aufbauorganisation (BAO) zur Behandlung von Notfällen und Krisen", "definitions": {}}, "guidance": "Eine BAO ermöglicht, in Notfällen und Krisen schnellstmöglich auf das Schadensereignis zu reagieren. Eine BAO gehört zu den originären Aufgaben eines BCMS und SOLL von diesem etabliert werden. Wird bzw. wurde ein BCMS nach BSI-Standard 200-4 aufgebaut (unabhängig von der Stufe), so sind die BAO-betreffenden Anforderungen in der Regel erfüllt und werden im Rahmen des BCMS anhand des BSI-Standards 200-4 detaillierter definiert. Nähere Informationen können dem BSI-Standard 200-4 in Kapitel 5 Aufbau und Befähigung der BAO (R+AS) entnommen werden. Die einzelnen Regelungen können den untergliederten Anforderungen entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Besondere Aufbauorganisation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.2.1.1 Grundschutz++ NOT.2.1.1 Rollen Notfallplanung SOLLTE Aufgaben für die BAO einschließlich BAO-Stab und Notfallteams zuständigen Personen oder Rollen zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Aufgaben für die BAO", "definitions": {}}, "guidance": "Die BAO besteht in der Regel aus einem Stab, der die Koordination und Entscheidungsfindung in einem Schadensereignis übernimmt. Der Stab koordiniert ferner die Tätigkeiten der Notfallteams, die die ausgefallenen Ressourcen wieder anlaufen lassen (= in einen Notbetrieb bereitstellen) und die zeitkritischen Geschäftsprozesse in einem Notbetrieb durchführen und bearbeiten. Nähere Informationen können dem BSI-Standard 200-4 in Kapitel 5.1 Aufbau der BAO (R+AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Besondere Aufbauorganisation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich BAO-Stab und Notfallteams {{zuständigen Personen oder Rollen}}", "definitions": {}}} NOT.2.1 \N \N \N +Grundschutz++:NOT.2.1.2 Grundschutz++ NOT.2.1.2 Alarmierung Notfallplanung SOLLTE die Alarmierung der BAO verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Alarmierung der BAO", "definitions": {}}, "guidance": "In einem Schadensereignis ist es entscheidend, dass die BAO schnellstmöglich alarmiert wird und somit auch schnellstmöglich Entscheidungen treffen kann. Hierzu bedarf es entsprechender vorab vorbereiteter Alarmierungspfade bzw. Pläne. Diese legen fest, wer die BAO (typischerweise zuerst den Stab und anschließend passende Teams) anhand welcher Kriterien alarmieren kann. In der Praxis haben sich hier abgestufte Verfahren etabliert, die anhand von gezielten Fragen eine Vorfilterung ermöglichen. Nähere Informationen hierzu können dem BSI-Standard 200-4 Kapitel 5.2 Detektion, Alarmierung und Eskalation (R+AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Besondere Aufbauorganisation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} NOT.2.1 \N \N \N +Grundschutz++:NOT.2.1.3 Grundschutz++ NOT.2.1.3 Stabsraum Notfallplanung KANN einen Stabsraum für den Stab installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Stabsraum für den Stab", "definitions": {}}, "guidance": "Damit der Stab der BAO im Schadensereignis handlungsfähig ist, benötigt er einen Stabsraum. Der Stabsraum kann ein Raum vor Ort oder eine virtuelle Arbeitsumgebung sein. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 5.6.3 Festlegung eines Stabsraums (R+AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Besondere Aufbauorganisation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} NOT.2.1 \N \N \N +Grundschutz++:NOT.2.1.4 Grundschutz++ NOT.2.1.4 Stabsübung Notfallplanung KANN die Funktionsfähigkeit der BAO regelmäßig durch Stabsübungen überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Funktionsfähigkeit der BAO", "definitions": {}}, "guidance": "Da Notfälle nur selten vorkommen, die tatsächliche Funktionstüchtigkeit der BAO dann aber von großer Bedeutung für die Informationssicherheit ist, sind regelmäßige Übungen der BAO sinnvoll. Insbesondere die festgelegte Stabsstruktur (Aufgaben und Rollen), sowie das Funktionieren der Ausstattung sind im Ernstfall von großer Bedeutung. Zur Erprobung ist es zweckmäßig bei jeder Übung typische Szenarien im vollständig besetzten Stab durchzuführen und Notfallteams nur je nach passendem Szenario in die Übung einzubeziehen. Ist eine BAO erst aufgebaut worden, genügen für die Stabsübung in der Regel relativ simple Übungsszenarien wie ein Brand im Rechenzentrum oder ein Ransomware-Vorfall. Mit wachsendem Reifegrad der BAO kann anschließend die Komplexität und Realitätsnähe der Übung steigen. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 13.6 Stabsübung (R+AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Besondere Aufbauorganisation", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} durch Stabsübungen", "definitions": {}}} NOT.2.1 \N \N \N +SCF:NET-06.3 SCF NET-06.3 Sensitive / Regulated Data Enclave (Secure Zone) Mechanisms exist to implement segmentation controls to restrict inbound and outbound connectivity for sensitive/regulated data enclaves (secure zones). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.3_NET-06.3_A01", "name": "assessment-objective", "prose": "segmentation controls restrict inbound and outbound connectivity for sensitive / regulated data enclaves (secure zones)."}]} \N \N \N \N +Grundschutz++:NOT.3.1 Grundschutz++ NOT.3.1 Wiederanlaufplan Notfallplanung SOLLTE einen Wiederanlaufplan für zeitkritische Systeme und Anwendungen dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Wiederanlaufplan für zeitkritische Systeme und Anwendungen", "definitions": {}}, "guidance": "Ein Wiederanlaufplan legt fest, wie eine ausgefallene (IT)-Ressource auf ein vorgesehenes Notbetriebsniveau innerhalb einer Wiederanlaufzeit durch Notfallteams zur Verfügung gestellt wird. Besteht ein BCMS, dann werden die zeitkritischen Ressourcen innerhalb der Business Impact Analyse identifiziert und in dieser entsprechende Wiederanlaufzeiten festgelegt. Die ausgewählten BC-Strategien des BCMS bieten ferner den Rahmen für die Wiederanlaufplanung. Besteht kein BCMS, dann können die zeitkritischen IT-Ressourcen anhand der Schutzbedarfsfeststellung (erhöhter Schutzbedarf in der Verfügbarkeit) identifiziert werden. Die Wiederanlaufzeit kann dann nur grob anhand der Ergebnisse der Schutzbedarfsfeststellung geschätzt werden. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 12 Wiederanlauf- und Wiederherstellungsplanung (AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.3.2 Grundschutz++ NOT.3.2 Geschäftsfortführungsplan Notfallplanung KANN einen Geschäftsfortführungsplan für zeitkritische Geschäftsprozesse dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Geschäftsfortführungsplan für zeitkritische Geschäftsprozesse", "definitions": {}}, "guidance": "Ein Geschäftsfortführungsplan (GFP) legt fest, wie ein Geschäftsprozess in einem Notfall in einem Notbetrieb durchgeführt wird. Der Notbetrieb weicht in der Regel vom Normalbetrieb ab, z.B. indem ein geringes Geschäftsniveau (Notbetriebsniveau) angesetzt wird und/oder abweichende Ressourcen eingesetzt werden. Abweichende Ressourcen könnten darin bestehen, dass ein zuvor digital unterstützter Prozess wieder analog durchgeführt wird. Geschäftsfortführungspläne liegen in der grundlegenden Verantwortung eines BCMS und sind daher im Rahmen des ISMS nur optional. Die Ausgestaltung, Planung und näheren Anforderungen der Geschäftsfortführung werden in der Regel im Rahmen des BCMS durchgeführt. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 11 Geschäftsfortführungsplanung (R+AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.3.3 Grundschutz++ NOT.3.3 Sensibilisierung zum Vorgehen im Notfall Notfallplanung für Nutzende SOLLTE zur Vorgehensweise in Notfällen und Krisen sensibilisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Vorgehensweise in Notfällen und Krisen", "definitions": {}}, "guidance": "Eine Sensibilisierung für die Vorgehensweise in Notfällen und Krisen (Contingency Training) stellt sicher, dass alle zuständigen Stellen ihre Aufgaben bei einem Schadensereignis kennen. Zweckmäßig ist es, die Detailtiefe der Sensibilisierung auf die unterschiedlichen Aufgaben bei einem Schadensereignis zuzuschneiden. Beispielsweise genügt es für manche Mitarbeitenden zu wissen, welche Erreichbarkeit bei einem Schadensereignis von ihnen erwartet wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schulungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "sensibilisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.3.4 Grundschutz++ NOT.3.4 Funktionstest Notfallplanung KANN die tatsächliche Funktionstüchtigkeit von Notfallplänen regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die tatsächliche Funktionstüchtigkeit von Notfallplänen", "definitions": {}}, "guidance": "Eine regelmäßige Überprüfung hilft zu erkennen, ob die verschiedenen Notfallpläne (z. B. Wiederanlaufplan, Geschäftsfortführungsplan) und Notbetriebsressourcen tatsächlich funktionieren und die Zuständigen die Verfahrensweisen beherrschen. Mit der tatsächlichen Funktionstüchtigkeit ist gemeint, dass nicht nur die Aktualität der Pläne betrachtet wird, sondern soweit möglich auch die konkreten Ressourcen geprüft werden (z.B. laufen die Meldewege wie vorgesehen, lassen sich Ausfallleitungen aktivieren, sind Ersatzgeräte nutzbar). Ist hierzu noch nicht die erforderliche Reife erlangt, können in einem ersten Schritt Planbesprechungen, die nur virtuell einen Plan überprüfen, eingesetzt werden. Nähere Informationen können dem BSI-Standard 200-4 Kapitel 13.9 Funktionstest (R optional +AS) und 13.5 Planbesprechung (R optional +AS) entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.3.5 Grundschutz++ NOT.3.5 Ausweich-Telekommunikation Notfallplanung SOLLTE Ausweich-Telekommunikationsdienste verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Ausweich-Telekommunikationsdienste", "definitions": {}}, "guidance": "„Ausweich-Telekommunikationsdienste“ sind alternative, im Notfall nutzbare Kommunikationswege oder -infrastrukturen, die den Fortbestand kritischer Kommunikationsprozesse gewährleisten können, wenn die primären Dienste kompromittiert oder ausgefallen sind (out-of-band communication). Der Sinn und Zweck der Regelung liegt nicht nur darin, den Informationsaustausch kritischer Geschäftsprozesse im Notfall sicherzustellen, sondern dient auch der sicherheitsbezogenen Koordination und Entscheidungsfindung bei schwerwiegenden Störungen oder Angriffen, etwa bei Ausfällen von Festnetz- oder VoIP-Diensten durch technische Defekte, Naturereignisse oder Cyberangriffe. Eine unzureichende Vorsorge könnte dazu führen, dass im Krisenfall keine Lageabstimmung, Notfallkommunikation oder Meldung an Sicherheitsbehörden möglich ist, oder dass Angreifer die eingeleiteten Gegenmaßnahmen über bereits kompromittierte Dienste mitlesen. Ausweich-Telekommunikationsdienste können z.B. über den Anschluss anderer Anbieter, Mobilfunk oder Satellitenanschlüsse umgesetzt werden. Hierbei ist sowohl an den Netzanschluss kritischer IT-Systeme als auch an die Erreichbarkeit der im Notfall zuständigen Mitarbeiter und Dienstleister zu denken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:AAT-16.14 SCF AAT-16.14 Multi-Agent Trust & Communication Validation Mechanisms exist to validate AI agent to AI agent communications to:\r\n(1) Detect poisoning or consensus manipulation; and \r\n(2) Identify rogue or compromised AI agents in distributed or multi-agent environments. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.14_AAT-16.14_A01", "name": "assessment-objective", "prose": "AI agent to AI agent communications to are validated to detect poisoning or consensus manipulation."}, {"id": "AAT-16.14_AAT-16.14_A02", "name": "assessment-objective", "prose": "AI agent to AI agent communications to are validated to identify rogue or compromised AI agents in distributed or multi-agent environments."}]} \N \N \N \N +Grundschutz++:NOT.3.6 Grundschutz++ NOT.3.6 Sicherheitsmechanismen Notfallplanung SOLLTE alternative Sicherheitsmechanismen , die in Notfällen greifen, verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alternative Sicherheitsmechanismen", "definitions": {}}, "guidance": "In Notfällen besteht das Risiko, dass manche Sicherheitsvorkehrungen nicht zur Verfügung stehen. Alternative oder ergänzende Sicherheitsvorkehrungen können in Notfällen helfen die Balance zwischen Vertraulichkeit, Integrität und Verfügbarkeit aufrechtzuerhalten (z.B. Einmalpasswörter, die in einem Safe hinterlegt werden). Hierbei ist insbesondere daran zu denken, dass alternative Sicherheitsvorkehrungen nicht die im Normalbetrieb verwendeten Sicherheitsvorkehrungen untergraben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Notfallvorsorge", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Notfallhandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": ", die in Notfällen greifen,", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.1 Grundschutz++ NOT.4.1 Dokumentation der Quellen Notfallplanung SOLLTE die zu sichernden Daten dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zu sichernden Daten", "definitions": {}}, "guidance": "Datensicherungen dienen der Wiederherstellung von Daten nach Vorfällen. Aufgrund der besonderen Bedeutung fordert auch die ISO/IEC 27001 die Sicherung von Informationen in Übereinstimmung mit themenspezifischen Regelungen zur Datensicherung. Hierzu gehört die Regelung, welche Daten konkret gesichert werden (Quellen, Datenkategorien, Umfang). Relevant sind dabei auch Daten, die bei Dienstleistern oder in der Cloud aufbewahrt werden. Die Datensicherung kann auch durch die Sicherung ganzer IT-Systeme, Datenträger oder Netzlaufwerke umgesetzt werden. Es empfiehlt sich auch zu prüfen, wie die Institution ihre Daten, welche bei einem Outsourcing Dienstleister liegen, sichern will. Es ist möglich eine Datensicherung durch den Dienstleister oder auch bei sich selbst zu erstellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.2 Grundschutz++ NOT.4.2 Sicherung des Systems Notfallplanung für IT-Systeme SOLLTE deren Datensicherung regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "deren Datensicherung", "definitions": {}}, "guidance": "Zu den erforderlichen Daten können z.B. Konfigurationsdateien des Betriebssystems, Firmware, Lizenzen, Treiber und die Systemdokumentation gehören. Bei gleichartigen Systemen kann die Anforderung auch durch die Sicherung einer Kopie erfolgen, wenn mit dieser alle IT-Systeme dieser Art funktionsfähig wiederhergestellt werden können. Die Anforderung kann auch durch die Wiederherstellung aus einem Versionskontrollsystem erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.3 Grundschutz++ NOT.4.3 Sicherung der Anwendung Notfallplanung für Anwendungen SOLLTE deren Datensicherung regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "deren Datensicherung", "definitions": {}}, "guidance": "Hierzu können z.B. sowohl die Daten einer Backend-Datenbank, als auch Konfigurationsdateien oder Sicherheitseinstellungen gehören. Bei einer Verzeichnisdatenbank z.B. sind typischerweise sowohl die eigentlichen Verzeichniseinträge wie Benutzer & Gruppenzugehörigkeiten, als auch Metadaten wie Benutzerattribute, Gruppenrichtlinien und Informationen zur Integration von Drittdiensten erforderlich, um die Verzeichnisdatenbank funktionsfähig wiederherzustellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.4 Grundschutz++ NOT.4.4 Automatische Datensicherung Notfallplanung für Daten SOLLTE die Datensicherung durch einen automatisierten Mechanismus ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Datensicherung", "definitions": {}}, "guidance": "Ein automatisierter Mechanismus (engl. automated mechanism) ist hier ein technisches Verfahren, das ohne manuelles Zutun in festgelegten Intervallen oder bei bestimmten Ereignissen Sicherungskopien von Daten erstellt und dokumentiert. Er kann z. B. über Skripte, Backup-Software oder systemeigene Dienste umgesetzt werden, die regelmäßig und zuverlässig ausgeführt werden. Der Zweck solcher Mechanismen liegt darin, menschliche Fehlerquellen und Auslassungen zu vermeiden, denn eine manuelle Sicherung könnte in Stresssituationen übersehen werden oder unvollständig sein. Die Vorgabe kann so verhindern, dass im Falle von Schadsoftwarebefall oder Hardwareausfall kritische Daten unwiederbringlich verloren gehen, und sie kann eine schnelle Wiederherstellung der Arbeitsfähigkeit nach einem Vorfall ermöglichen. Ohne Automatisierung könnte eine Institution etwa nach einem Ransomware-Angriff feststellen, dass keine aktuelle Sicherung vorliegt. Die Anforderung ist auch dann erfüllt, wenn zusätzlich manuelle Datensicherungen durchgeführt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.5 Grundschutz++ NOT.4.5 Archivierung langfristig benötigter Daten Notfallplanung für Daten SOLLTE die Archivierung langfristig benötigter Daten regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Archivierung langfristig benötigter Daten", "definitions": {}}, "guidance": "Archivierung meint hier die langfristige Aufbewahrung derjenigen Daten, die über längere Zeit benötigt werden, z.B. als Nachweis der Einhaltung rechtlicher Verpflichtungen oder zur Geltendmachung von Ansprüchen. Dabei kann es sich sowohl um analoge Dokumente als auch um digitale Daten handeln. Die meisten Institutionen verarbeiten Daten, die aufgrund von Compliance-Verpflichtungen langfristig gespeichert werden, z.B. handels- und steuerrechtlich relevante Dokumente oder Eigentumsurkunden. Langfristige Daten könnten durch technische Änderungen oder Vorfälle verloren gehen. Zur Umsetzung siehe BSI TR-03125. Sind keine Daten langfristig (z.B. über mehr als 10 Jahre) erforderlich, so ist die Anforderung entbehrlich. Es empfiehlt sich darüber hinaus ein verlustfreies Bildkompressionsverfahren zu nutzen, um eine beweis- und revisionssichere Archivierung zu gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.5.1 Grundschutz++ NOT.4.5.1 Zum Archiv gehörende Assets Notfallplanung für Daten SOLLTE die Archivierung von Assets, die zur Verwendung von archivierten Daten erforderlich sind, regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Archivierung von Assets, die zur Verwendung von archivierten Daten erforderlich sind,", "definitions": {}}, "guidance": "Je nach Art der Daten können zu deren Nutzung z.B. bestimmte (physische oder virtuelle) Assets wie Systeme oder Anwendungen erforderlich sein, z.B. bestimmte Datenbankversionen, kompatible Betriebssysteme und Lizenzen, Anwendungen zur kryptographischen Entschlüsselung der Daten, Konfigurationsdateien oder Betriebsparameter. Wenn Daten für eine lange Zeit aufbewahrt werden, könnte es vorkommen, dass sie nicht mehr lesbar und reproduzierbar sind, weil diese Assets nicht mehr existieren und auch nicht mehr beschafft werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} NOT.4.5 \N \N \N +Grundschutz++:NOT.4.5.2 Grundschutz++ NOT.4.5.2 Zum Archiv gehörende Dokumentation Notfallplanung für Daten SOLLTE die Archivierung von Dokumentationen, die zur Verwendung von archivierten Daten erforderlich sind, regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Archivierung von Dokumentationen, die zur Verwendung von archivierten Daten erforderlich sind,", "definitions": {}}, "guidance": "Hierbei geht es darum, nicht nur die Daten selbst, sondern auch alle begleitenden Informationen („metadata“ oder „supporting documentation“) regelmäßig zu sichern, um deren spätere Nutzbarkeit zu gewährleisten. Dokumentationen sind in diesem Zusammenhang beispielsweise Bedienungsanleitungen, technische Spezifikationen, Konfigurationsdateien oder Verfahrensanweisungen, die notwendig sind, um archivierte Daten auch nach Jahren noch korrekt zu interpretieren oder wiederherzustellen. Die Frequenz ist dabei abhängig von der Kritikalität der Daten und der Änderungsfrequenz der begleitenden Dokumente. Ohne solche begleitenden Unterlagen könnte ein Datenbestand zwar vorliegen, aber praktisch unbrauchbar sein, da die nötigen Kontexte oder technischen Details fehlen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} NOT.4.5 \N \N \N +Grundschutz++:NOT.4.6 Grundschutz++ NOT.4.6 Geschützte Aufbewahrung Notfallplanung SOLLTE eine geschützte Aufbewahrung von Datensicherungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine geschützte Aufbewahrung von Datensicherungen", "definitions": {}}, "guidance": "Eine geschützte Aufbewahrung von Datensicherungen bedeutet, dass Sicherungskopien nicht nur vorhanden sind, sondern auch vor Verlust, Manipulation oder unbefugtem Zugriff bewahrt werden. Dabei wird berücksichtigt, dass Datensicherungen häufig ein attraktives Ziel für Angriffe darstellen und gleichzeitig im Notfall die einzige Möglichkeit zur Wiederherstellung von Systemen und Daten sein können. Beispiele für Schutzmaßnahmen sind die Ablage von Sicherungsmedien in feuer- und wasserfesten Tresoren, die Nutzung getrennter Räumlichkeiten oder externer Rechenzentren mit physischen Sicherheitsvorkehrungen sowie die Verschlüsselung von Backups, wenn diese an externen Standorten oder in Cloud-Umgebungen gespeichert werden. Auch organisatorische Maßnahmen wie eine klare Regelung, wer Zugriff auf die Sicherungen erhält, tragen zum Schutz bei.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.7 Grundschutz++ NOT.4.7 Versionierte Datensicherung Notfallplanung SOLLTE eine Versionierung der Datensicherung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Versionierung der Datensicherung", "definitions": {}}, "guidance": "Versionierung ist die Aufbewahrung nach Zeitpunkten getrennter Versionen der Datensicherung, um auch Daten wiederherstellen zu können, die in der letzten Sicherung bereits gelöscht waren. Bewährt hat sich eine Aufbewahrung von je drei Versionen für die letzten Stunden, dann Tage, dann Wochen, dann Monate – soweit nach Compliance-Anforderungen (z.B. Datenschutz) möglich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.8 Grundschutz++ NOT.4.8 Verschlüsselte Datensicherung Notfallplanung SOLLTE die Datensicherung durch einen anerkannten kryptographischen Algorithmus verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Datensicherung", "definitions": {}}, "guidance": "Die Datensicherung enthält typischerweise eine große Menge schützenswerter Daten. Durch Verschlüsselung wird die Vertraulichkeit und Integrität geschützter Informationen auch nach einem schwerwiegenden Vorfall gewährleistet. Dies kann besonders bei einem Datenleck (engl. Data Breach) oder Diebstahl von Speichermedien helfen, da die Offenlegung sensibler Daten selbst bei unbefugtem Zugriff verhindert werden kann. Für anerkannte Algorithmen siehe BSI TR-02102. Technisch kann die Festplattenverschlüsselung auf dem Sicherungsspeicher (Disk Encryption) genutzt werden, aber auch die dateibasierte Verschlüsselung jedes einzelnen Sicherungs-Archives. Wichtig ist es, dabei auch auf die Verwaltung der kryptographischen Schlüssel (Key Management) zu achten, damit diese weder einem unbeugten Zugriff ausgesetzt sind, noch der Zugriff auf die Datensicherung im Ernstfall durch fehlende Zugangsdaten unmöglich wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen anerkannten kryptographischen Algorithmus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.9 Grundschutz++ NOT.4.9 Speichermedien Notfallplanung SOLLTE dedizierte Speichermedien, die für den festgelegten Aufbewahrungszeitraum geeignet sind, installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dedizierte Speichermedien,", "definitions": {}}, "guidance": "Dedizierte Speichermedien (engl. dedicated storage media) sind physische oder virtuelle Datenträger, die ausschließlich für Sicherungs- oder Wiederherstellungszwecke genutzt werden und nicht mit produktiven Systemen vermischt sind. Der festgelegte Aufbewahrungszeitraum (engl. retention period) bezeichnet den Zeitraum, in dem gespeicherte Sicherungen oder Kopien revisionssicher und lesbar verfügbar bleiben sollen, beispielsweise mehrere Monate für kurzfristige Recovery-Szenarien oder mehrere Jahre zur Abdeckung regulatorischer Anforderungen. Die Vorschrift zielt darauf ab, dass im Notfall tatsächlich auf funktionierende und vollständige Sicherungen zurückgegriffen werden kann; sie adressiert Risiken wie, dass Daten im Ernstfall durch unzuverlässige oder beschädigte Medien unbrauchbar sein könnten, oder dass durch unzureichende Haltbarkeit von Speichermedien eine Wiederherstellung scheitern könnte. Je nach Zeitraum und Platzbedarf bieten sich z.B. solider Festspeicher, Festplatten, Magnetbänder oder Cloudspeicher an. Bei der Nutzung von Cloudspeichern sind allerdings auch die zusätzlichen Anforderungen an Cloud-Dienste zu berücksichtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "die für den festgelegten Aufbewahrungszeitraum geeignet sind,", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.10 Grundschutz++ NOT.4.10 Getrennte Aufbewahrung Notfallplanung SOLLTE die Datensicherung getrennt von den Originaldaten platzieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Datensicherung getrennt von den Originaldaten", "definitions": {}}, "guidance": "Originaldaten (engl. primary data) sind die produktiven oder operativen Daten, die unmittelbar für die laufenden Geschäftsprozesse verwendet werden. Die Anforderung adressiert damit, dass Kopien oder Sicherungen nicht am gleichen Ort wie die produktiven Systeme und deren Speicher verbleiben. Hintergrund ist, dass ein Vorfall wie ein Brand, ein Wasserschaden oder ein gezielter Einbruch gleichzeitig sowohl die produktiven Systeme als auch die dort aufbewahrten Sicherungen betreffen könnte, wodurch eine Wiederherstellung unmöglich wäre. Die physische Trennung kann dagegen die Verfügbarkeit und Wiederanlaufbarkeit der Daten nach einem Schadensereignis sicherstellen. Die Anforderung gilt auch für die Aufbewahrung bei Cloud-Diensten: Eine Aufbewahrung der Datensicherung bei einem Dienstleister, bei dem auch die Originaldaten liegen, erfüllt die Anforderung NICHT. Bei der getrennten Aufbewahrung von Datensicherung sind häufig praktische und sicherheitsrelevante Herausforderungen zu beachten: Ein ausgelagerter Speicherort ist in gleichem Maße schutzbedürftig gegenüber unbefugtem Zugriff wie der Standort der Originaldaten, da sich darauf oft vollständige und aktuelle Kopien sensibler Informationen befinden. Zudem sind längere Wiederanlaufzeiten möglich, wenn der externe Standort nicht unmittelbar erreichbar ist oder wenn logistische Verzögerungen beim Zugriff auf die ausgelagerten Datenträger auftreten. Auch die Gefahr von Inkonsistenzen steigt, wenn Backups zwar ausgelagert, aber nicht regelmäßig synchronisiert oder bei der Überprüfung beachtet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "platzieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.11 Grundschutz++ NOT.4.11 Datenträgerarchiv Notfallplanung SOLLTE ein Datenträgerarchiv installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Datenträgerarchiv", "definitions": {}}, "guidance": "Datenträgerarchive sind verschlossene Räume, die dediziert zur langfristigen Aufbewahrung von Datenträgern bestimmt sind. Die Anforderung gilt auch dann als umgesetzt, wenn zusätzlich zur Datensicherung im Datenträgerarchiv auch noch Kopien existieren, die nicht im Datenträgerarchiv aufbewahrt werden. Ein wesentlicher Mehrwert von Datenträgerarchiven ist die geschützte Aufbewahrung. Daher zählt ein Datenträgerarchiv nur dann als Mehrwert, wenn das Archiv sich auch in einem anderen Brandabschnitt befindet als die Originaldaten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.12 Grundschutz++ NOT.4.12 Georedundanz Notfallplanung KANN die georedundante Aufbewahrung mindestens einer Kopie der Datensicherung verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die georedundante Aufbewahrung mindestens einer Kopie der Datensicherung", "definitions": {}}, "guidance": "Werden Datensicherungen in der Nähe von Originaldaten aufbewahrt, so könnten beide von Elementaren Gefährdungen wie Überflutungen betroffen sein. Georedundant bedeutet in der Regel 200km Luftlinie oder mehr von den Originaldaten entfernt. Details siehe BSI Kriterien für die Standortwahl von Rechenzentren. Die Anforderung kann auch durch die gegenseitige Aufbewahrung in georedundanten Rechenzentren erfüllt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.13 Grundschutz++ NOT.4.13 Datensouveränität Notfallplanung für Outsourcing SOLLTE die Datensicherung von Daten, die bei einem Dienstleister verarbeitet werden, nach einem anerkannten Standard regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Datensicherung von Daten, die bei einem Dienstleister verarbeitet werden,", "definitions": {}}, "guidance": "Dies dient dazu bei einem Ausfall des Dienstleisters die Daten schnell bei einem anderen Dienstleister oder intern weiterverwenden zu können (Interoperabilität in der Exitstrategie). Anerkannt ist hier ein Format, welches auch bei einem anderen Dienstleister verwendet werden kann. Mögliche anerkannte Standards zum Datenaustausch sind z.B. XML, JSON, YAML, CSV, ODF. Eine Sicherungskopie ist unter eigener Hoheit, wenn sie auf Datenträgern im Besitz der Institution aufbewahrt wird, über die dieser Dienstleister keine Kontrolle hat. Relevant sind dabei auch Konfigurationsdateien, Programmcode und Dokumentationen, die zur Verwendung der Daten erforderlich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einem anerkannten Standard}} {{regelmäßig}}", "definitions": {}}} \N \N \N \N +SCF:IAC-06.3 SCF IAC-06.3 Local Access to Privileged Accounts Mechanisms exist to utilize Multi-Factor Authentication (MFA) to authenticate local access for privileged accounts. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06.3_IAC-06.3_A01", "name": "assessment-objective", "prose": "privileged accounts are identified."}, {"id": "IAC-06.3_IAC-06.3_A02", "name": "assessment-objective", "prose": "multifactor authentication is implemented for local access to privileged accounts."}]} \N \N \N \N +Grundschutz++:NOT.4.14 Grundschutz++ NOT.4.14 Offline-Kopie Notfallplanung für Daten SOLLTE eine Offline-Kopie regelmäßig ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Offline-Kopie", "definitions": {}}, "guidance": "Eine Offline-Kopie ist eine Datensicherung, die physisch oder logisch von produktiven Systemen und dem laufenden Netzwerk getrennt ist („offline backup“ oder „air-gapped backup“). „Regelmäßig“ bedeutet, dass die Institution in Abhängigkeit von Verfügbarkeit und Kritikalität ihrer Daten feste Intervalle definiert, beispielsweise täglich, wöchentlich oder monatlich. Der Sinn und Zweck dieser Vorgabe liegt darin, sicherzustellen, dass im Falle von Schadsoftwarebefall oder gezielten Angriffen keine gleichzeitige Kompromittierung aller Sicherungskopien stattfinden kann; ein Angriff könnte sonst auch Backups verschlüsseln oder löschen. Eine Offline-Kopie kann dagegen die Wiederherstellung kritischer Systeme nach einem Ransomware-Angriff oder auch nach einem physischen Ausfall, etwa durch Stromschaden oder Brand, unterstützen. Eine Institution kann dies umsetzen, indem sie (1) Backups auf wechselbare Medien wie externe Festplatten, RDX-Kassetten oder Bänder erstellt, die nach dem Backup-Vorgang vom Netzwerk getrennt und sicher aufbewahrt werden, (2) Cloud-Backups so konfiguriert, dass sie durch Write-Once-Read-Many-(WORM)-Speicher geschützt und logisch von aktiven Systemen isoliert sind, oder (3) eine Rotation von Datenträgern einführt, bei der Kopien an einem separaten, physischen Standort verwahrt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.15 Grundschutz++ NOT.4.15 Vorgehen zur Wiederherstellung Notfallplanung SOLLTE die Vorgehensweise zur Wiederherstellung dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Vorgehensweise zur Wiederherstellung", "definitions": {}}, "guidance": "Die Dokumentation der Vorgehensweise zur Wiederherstellung dient dazu, im Notfall eine schnelle und geordnete Wiederinbetriebnahme von IT-Systemen und Daten zu ermöglichen. Ohne eine klare Beschreibung der Abläufe kann es zu Verzögerungen, Fehlern oder widersprüchlichen Handlungen kommen, was die Wiederherstellung erheblich erschwert. In einer solchen Dokumentation werden beispielsweise die Reihenfolge der Wiederherstellung kritischer Systeme, die benötigten Datensicherungen und Speicherorte, die erforderlichen Werkzeuge sowie die zuständigen Rollen und Kontaktwege beschrieben. Ergänzend kann auch festgehalten werden, wie die Funktionsfähigkeit nach der Wiederherstellung überprüft wird. Einfache Beispiele sind Schritt-für-Schritt-Anleitungen für die Rücksicherung bestimmter Anwendungen oder Checklisten, die während des Wiederherstellungsprozesses abgearbeitet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.16 Grundschutz++ NOT.4.16 Test der Datensicherung Notfallplanung für Daten SOLLTE den Erfolg der Datensicherung regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Erfolg der Datensicherung", "definitions": {}}, "guidance": "Die Überprüfung der Vollständigkeit kann durch Statistiken des Datenumfangs plus Stichproben der Daten durchgeführt werden. Ein Integritätstest prüft, ob die gesicherten Daten ohne Änderungen im Vergleich zum Original vorliegen. Hierzu können je nach Daten auch Berechtigungen und Metadaten gehören, wenn diese für die Rücksicherung erforderlich sind (z.B. Wiederherstellung eines Laufwerks mit Ordnern die verschiedene Zugriffsberechtigungen haben).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:NOT.4.16.1 Grundschutz++ NOT.4.16.1 Test der Wiederherstellung Notfallplanung für Daten SOLLTE die Wiederherstellung mindestens anhand von repräsentativen Stichproben regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Wiederherstellung", "definitions": {}}, "guidance": "Unter „Erfolg der Datensicherung“ ist hier die Vollständigkeit („completeness“) und Integrität („integrity“) der erstellten Backups zu verstehen. Eine fehlerhafte oder unvollständige Sicherung könnte unbemerkt bleiben, wenn nicht aktiv geprüft wird, während eine gezielte Validierung die Sicherheit bietet, dass sich die Daten bei Bedarf in unveränderter Form vorfinden lassen. Damit kann ein gravierender Datenverlust, etwa durch korrupte Sicherungsdateien oder abgebrochene Backup-Jobs, rechtzeitig erkannt und behoben werden. Die Anforderung zielt darauf ab, Risiken durch Scheinsicherheit zu reduzieren – etwa wenn Backup-Prozesse zwar automatisiert laufen, aber unbemerkt leere, fehlerhafte oder inkonsistente Datenbestände erzeugen könnten. Durch eine regelmäßige Überprüfung kann die Institution sicherstellen, dass die gesicherten Daten tatsächlich verwendbar bleiben, und damit das Risiko von Ausfallzeiten oder irreversiblen Informationsverlusten verringern. Konkret umgesetzt werden kann dies z. B., indem (1) Backup-Logs automatisch auf Fehlermeldungen oder Warnungen geprüft werden, (2) Prüfsummenverfahren wie Hashes (z. B. SHA-256) zur Integritätskontrolle eingesetzt werden und (3) stichprobenartige Vergleiche zwischen gesicherten und Originaldateien durchgeführt werden. Die Stichprobe kann sich dabei entweder auf die Wiederherstellung selber (= Wiederherstellung nur einiger Daten) als auch auf den deren Überprüfung (= Öffnen nur einiger Daten) beziehen. Stichproben sind repräsentativ, wenn die Zusammensetzung der Stichprobe von Test zu Test geändert wird und die Wahrscheinlichkeit der Stichprobenauswahl auch der Bedeutung der Daten entspricht. Zweckmäßig ist es dazu, bei der Stichprobenauswahl den Schutzbedarf der Daten zu berücksichtigen: Für besonders wichtige Systeme wie Verzeichnisdienste und für den Geschäftsbetrieb unerlässliche Daten ist eine häufigere Überprüfung erforderlich als für Daten und Systeme, auf die im Notfall auch verzichtet werden kann. Die Anforderung ist auch erfüllt, wenn statt einer Stichprobe eine vollständige Wiederherstellung vorgenommen und geprüft wird. Die Anforderung ist auch dann erfüllt, wenn die Überprüfung durch aktive Verwendung der Daten nach einer Wiederherstellung erfolgt (z.B. durch Inbetriebnahme neuer Server-Container, die aus einer versionierten Datensicherung automatisch angelegt werden).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mindestens anhand von repräsentativen Stichproben {{regelmäßig}}", "definitions": {}}} NOT.4.16 \N \N \N +Grundschutz++:NOT.4.17 Grundschutz++ NOT.4.17 Anwendungstest Notfallplanung für Anwendungen KANN deren Funktionsfähigkeit nach Wiederherstellung regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "deren Funktionsfähigkeit nach Wiederherstellung", "definitions": {}}, "guidance": "Diese Anforderung zielt darauf ab, die Disaster-Recovery-Fähigkeiten einer Anwendung insgesamt zu gewährleisten. Durch regelmäßige Tests der Wiederherstellung aus Backups wird sichergestellt, dass im Ernstfall (Systemausfall, Datenverlust, Cyberangriff) eine funktionierende Wiederherstellung möglich ist. Dabei wird nicht nur die bloße Wiederherstellung getestet, sondern auch die Funktionalität der wiederhergestellten Anwendung verifiziert – inklusive Datenintegrität und korrekte Übernahme der Konfiguration.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Notfallplanung / Datensicherung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Datensicherungskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.1.1 Grundschutz++ DET.1.1 Verfahren und Regelungen Detektion MUSS Verfahren und Regelungen zur Detektion von Sicherheitsvorfällen verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Detektion von Sicherheitsvorfällen", "definitions": {}}, "guidance": "Durch die steigende Menge und Komplexität von Datenverarbeitungen sind Sicherheitsvorfälle auch bei bester Prävention zu erwarten. Ein Verfahren zur Detektion stellt sicher, dass Sicherheitsvorfälle zeitnah entdeckt werden können. Hierzu gehört, wie aktiv und passiv Sicherheitsvorfälle erkannt werden, sowie wer bei der Erkennung dabei wofür zuständig ist. Die Umsetzung kann in einem eigenen Prozess, oder integriert in andere Prozesse und Aufgaben erfolgen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Detektion / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:BCD-09.5 SCF BCD-09.5 Inability to Return to Primary Site Mechanisms exist to plan and prepare for both natural and manmade circumstances that preclude returning to the primary site. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09.5_BCD-09.5_A01", "name": "assessment-objective", "prose": "circumstances that preclude returning to the primary processing site are planned for."}, {"id": "BCD-09.5_BCD-09.5_A02", "name": "assessment-objective", "prose": "circumstances that preclude returning to the primary processing site are prepared for."}]} \N \N \N \N +Grundschutz++:DET.1.1.1 Grundschutz++ DET.1.1.1 Dokumentation Detektion MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Detektion / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} DET.1.1 \N \N \N +Grundschutz++:DET.1.1.2 Grundschutz++ DET.1.1.2 Zuweisung der Aufgaben Detektion MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Detektion / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} DET.1.1 \N \N \N +Grundschutz++:DET.1.1.3 Grundschutz++ DET.1.1.3 Bekanntgabe Detektion MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Detektion / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} DET.1.1 \N \N \N +Grundschutz++:DET.1.2 Grundschutz++ DET.1.2 Regelmäßige Überprüfung Detektion MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Detektion / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.2.1 Grundschutz++ DET.2.1 Meldeverfahren Detektion SOLLTE ein Meldeverfahren verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Meldeverfahren", "definitions": {}}, "guidance": "Zweck ist es einerseits Nutzenden das schnelle Melden von potenziellen Sicherheitsproblemen zu ermöglichen und andererseits die zuständigen Stellen zu einer schnellen Reaktion auf Vorfälle anzuhalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.2.1.1 Grundschutz++ DET.2.1.1 Sofortmaßnahmen Nutzender Detektion SOLLTE Regelungen für Sofortmaßnahmen durch Nutzende verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Regelungen für Sofortmaßnahmen durch Nutzende", "definitions": {}}, "guidance": "Beispiele für Sofortmaßnahmen sind der sofortige Stopp weiterer Tätigkeiten an betroffenen Systemen, die Dokumentation von Beobachtungen oder zu meldende Informationen (W-Fragen). Hierfür kann die IT-Notfallkarte „Verhalten bei IT-Notfällen“ des BSI genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} DET.2.1 \N \N \N +Grundschutz++:DET.2.1.2 Grundschutz++ DET.2.1.2 Meldeformulare Detektion SOLLTE Meldeformulare für Vorfallsmeldungen installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Meldeformulare", "definitions": {}}, "guidance": "Die Angabe des Meldezeitpunktes oder der Name des Meldenden, kann auch durch ein Formular automatisch ausgefüllt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für Vorfallsmeldungen", "definitions": {}}} DET.2.1 \N \N \N +Grundschutz++:DET.2.1.3 Grundschutz++ DET.2.1.3 Rückmeldungen Detektion SOLLTE ein Verfahren für Rückmeldungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren für Rückmeldungen", "definitions": {}}, "guidance": "Rückmeldungen an Personen, die potenzielle Vorfälle gemeldet haben, sind hilfreich, da sie zum besseren Verständnis beitragen, worauf bei künftigen Meldungen zu achten ist und wie die Meldenden zur Bearbeitung des Vorfalls beitragen können. Ohne Rückmeldung könnte Unsicherheit entstehen, ob ein Vorfall überhaupt aufgenommen oder ernst genommen wurde, was zu Frustration oder einer sinkenden Bereitschaft zur Meldung künftiger Ereignisse führen könnte. Eine zeitnahe und angemessene Rückmeldung kann dagegen die Nutzenden in ihrem sicherheitsbewussten Verhalten bestärken, die Relevanz ihrer Meldung verdeutlichen und Missverständnisse vermeiden. So kann beispielsweise eine Rückmeldung nach einem gemeldeten Phishing-Versuch klarstellen, ob es sich um einen bekannten Angriff handelte oder ob zusätzliche Maßnahmen wie das Zurücksetzen eines Passworts empfohlen werden. Ebenso kann eine Rückmeldung nach einem gemeldeten Systemausfall erläutern, ob dieser sicherheitsrelevant war oder eine rein technische Störung vorlag. Ein Rückmeldeverfahren kann in diesem Kontext als ein strukturierter Ablauf definiert werden, über den die meldende Person nach Eingang ihrer Meldung eine Information über den Status, die Relevanz und – falls sinnvoll – empfohlene Folgeschritte erhält. Ein automatisiertes Ticketsystem kann beispielsweise sofortige Eingangsbestätigungen generieren und Statusänderungen kommunizieren. Ebenso kann eine abgestufte Rückmeldepflicht sinnvoll sein, bei der kritische Vorfälle eine priorisierte persönliche Rückmeldung durch Fachpersonal erhalten, während unkritische Meldungen standardisierte Mitteilungen bekommen. Technische Hilfsmittel wie Mail-Vorlagen, interne Chatbots oder Self-Service-Portale können die Effizienz erhöhen", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} DET.2.1 \N \N \N +Grundschutz++:DET.2.2 Grundschutz++ DET.2.2 Security Operations Center Detektion KANN die Erkennung, Beurteilung und initiale Behandlung von Vorfällen dediziertem Personal zuweisen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Erkennung, Beurteilung und initiale Behandlung von Vorfällen", "definitions": {}}, "guidance": "Ein Security Operations Center (SOC) ist eine organisatorische Einheit, deren dedizierte Aufgabe die Überwachung von sicherheitskritischen Ereignissen, sowie die Reaktion auf Sicherheitsvorfälle ist. Für die Definition eines sicherheitskritischen Ereignisses, siehe Glossar (Namensräume des Grundschutz++). Aufgrund der Komplexität und besonderen Bedeutung der Aufgabe leisten Spezialisten für Detektion und Reaktion auf Sicherheitsvorfälle einen wichtigen Beitrag zur effektiven Informationssicherheit einer Institution. Werden diese Aufgaben von speziell hierfür geschultem Personal übernommen und nicht „nebenbei“ von Betriebspersonal, so werden Zielkonflikte zwischen Informationssicherheit und reibungslosem Betrieb vermieden und die Qualität der Sicherheitsbeurteilungen steigt. Kann durch ein selbst betriebenes SOC oder einen Dienstleister realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{dediziertem Personal}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.2.3 Grundschutz++ DET.2.3 Ständiger Bereitschaftsdienst Detektion KANN einen ständigen Bereitschaftsdienst verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen ständigen Bereitschaftsdienst", "definitions": {}}, "guidance": "Dies erfordert, dass 24/7 eine Person bereitgehalten wird, welche bei sicherheitsrelevanter Alarmierung umgehend die Behebung des Vorfalls aufnimmt. Welche Ereignisse kritisch sind, ist dabei von der Kritikalität der betroffenen Systeme oder Anwendungen abhängig. Für die Definition eines sicherheitskritischen Ereignisses, siehe Glossar (Namensräume des Grundschutz++).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Meldung von Ereignissen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +SCF:AST-08 SCF AST-08 Physical Tampering Detection Mechanisms exist to periodically inspect systems and system components for Indicators of Compromise (IoC). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-08_AST-08_A01", "name": "assessment-objective", "prose": "mobile devices are inspected for evidence of tampering upon return from geographic regions of concern or other known hostile environments that could lead to device compromise."}, {"id": "AST-08_AST-08_A02", "name": "assessment-objective", "prose": "mobile devices that show signs of tampering are confiscated for forensic examination."}]} \N \N \N \N +Grundschutz++:DET.3.1 Grundschutz++ DET.3.1 Protokollierung sicherheitsrelevanter Ereignisse Detektion für Anwendungen SOLLTE Sicherheitsrelevante Ereignisse mindestens für eine bestimmte Frist protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sicherheitsrelevante Ereignisse", "definitions": {}}, "guidance": "Für die Definition eines Sicherheitsrelevanten Ereignisses, siehe Glossar (Namensräume des Grundschutz++). Relevant sind hierbei insbesondere die Protokollierung auf zentralen Diensten und Servern. Dazu gehören auch vorhandene Cloud-Anwendungen oder -Dienste. Hier besteht ein enger Bezug zur Praktik Änderungen und Tests.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mindestens für {{eine bestimmte Frist}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.3.1.1 Grundschutz++ DET.3.1.1 Authentifizierungen Detektion für IT-Systeme SOLLTE Authentifizierungen bei Erfolg und Fehlschlag protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Authentifizierungen", "definitions": {}}, "guidance": "Relevant sind dabei z.B. die lokale Anmeldung, Anmeldung und Zugriffe auf Schnittstellen des Systems über das Netz, oder auch die physische Authentifizierung an einem Zutrittskontrollsystem.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Erfolg und Fehlschlag", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.2 Grundschutz++ DET.3.1.2 Ausgeführte Kommandozeilenbefehle Detektion für IT-Systeme SOLLTE ausgeführte Kommandozeilenbefehle protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Living off the land", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ausgeführte Kommandozeilenbefehle", "definitions": {}}, "guidance": "Angreifer nutzen Kommandozeilenfunktionen wie Bash oder Windows PowerShell, um mit Bordmitteln schädliche Befehle auszuführen. Hier sind vor allem Living-off-the-Land-Binaries (LOLBins) und Nutzlasten (Malware Payloads) zu nennen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.3 Grundschutz++ DET.3.1.3 Anbindung von Peripheriegeräten Detektion für IT-Systeme SOLLTE das Anschließen von Peripheriegeräten protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Anschließen von Peripheriegeräten", "definitions": {}}, "guidance": "Das Protokollieren der Anbindung von Peripheriegeräten kann helfen, Manipulationsversuche an IT-Systemen frühzeitig zu erkennen und nachzuvollziehen. Ohne ein solches Protokoll könnte beispielsweise ein unbefugtes Speichermedium angeschlossen und vertrauliche Daten unbemerkt entwendet werden, oder es könnte Schadsoftware über ein USB-Gerät eingeschleust werden. Auch manipulierte Eingabegeräte könnten genutzt werden, um Tastatureingaben auszulesen oder unbemerkt Befehle einzuschleusen. Unter Peripheriegeräten sind in diesem Kontext externe Komponenten (aus Hardware oder virtuell) zu verstehen, die ein IT-System erweitern oder mit diesem verbunden werden – etwa USB-Sticks, externe Festplatten, Smartphones im Lade- oder Datenmodus, Drucker oder auch spezialisierte Geräte wie Diagnose- oder Messinstrumente. Zur praktischen Umsetzung kann eine Institution beispielsweise auf Betriebssystemfunktionen zurückgreifen, die Geräteanschlüsse im System-Log erfassen, oder ergänzende Endpoint-Management-Lösungen einsetzen, die eine zentralisierte Protokollierung erlauben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.4 Grundschutz++ DET.3.1.4 Systemfehler Detektion für IT-Systeme SOLLTE Fehlermeldungen des Systems protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Fehlermeldungen des Systems", "definitions": {}}, "guidance": "Die Protokollierung von Fehlermeldungen kann eine wesentliche Grundlage für die Früherkennung von Sicherheits- und Stabilitätsproblemen in IT-Systemen bilden. Ohne ein systematisches Logging könnte ein kritischer Hardwaredefekt, eine beschädigte Systemdatei oder ein fehlgeschlagener Sicherheits-Update-Prozess unentdeckt bleiben und dadurch die Integrität oder Verfügbarkeit von IT-Systemen gefährden. Ebenso könnte ein Angreifer, der wiederholt unautorisierte Befehle ausführt oder Dienste fehlerhaft anspricht, unbemerkt bleiben, wenn die resultierenden Fehlermeldungen nicht nachvollzogen werden. Auf technischer Ebene kann es zweckmäßig sein, das native Logging des Betriebssysteme zu aktivieren und so zu konfigurieren, dass Fehlermeldungen konsistent erfasst werden – beispielsweise über Syslog-Dienste oder Windows-Event-Logs. Eine zentrale Log-Sammlung kann helfen, auch bei verteilten Systemen eine einheitliche Auswertung vorzunehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +SCF:EMB-13 SCF EMB-13 Authorized Communications Mechanisms exist to restrict embedded technologies to communicate only with authorized peers and service endpoints. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-13_EMB-13_A01", "name": "assessment-objective", "prose": "configurations for embedded technologies restrict communications to authorized peers and service endpoints."}]} \N \N \N \N +Grundschutz++:DET.3.1.5 Grundschutz++ DET.3.1.5 Störungen der Netzerreichbarkeit Detektion für IT-Systeme KANN Störungen der Netzerreichbarkeit protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Störungen der Netzerreichbarkeit", "definitions": {}}, "guidance": "Eine Störung der Netzerreichbarkeit kann ein Indiz für Überlastungen, Fehler oder Angriffe im Netz sein. Wann eine Störung vorliegt, kann anhand von Schwellwerten, z.B. durch das Ausbleiben eines regelmäßigen Heartbeat-Paketes, getestet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.6 Grundschutz++ DET.3.1.6 Systemspezifische Ereignisse Detektion für IT-Systeme KANN bestimmte systemspezifische Ereignisse protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "{{bestimmte systemspezifische Ereignisse}}", "definitions": {}}, "guidance": "Bestimmte systemspezifische Ereignisse meint hier, dass von der Instiution konkret festgehalten wurde, welche für das System relevanten Ereignisse im Einzelnen protokolliert werden. Beispiele sind Aktionen mit spezifisch konfigurierten privilegierten Berechtigungen, Prozessaktivitäten des Betriebssystems, wie das Starten eines Systemprozesses, Dateierzeugung oder das Laden eines Treibers, die Modifikation von Systemkonfigurationsdateien oder die Installation oder Deinstallation von Systemdiensten und Anwendungen, sowie das Herunterfahren oder Neustarten des Systems. Die Festlegung, welche dieser oder weiterer systemspezifischer Ereignisse protokolliert werden, obliegt der Institution und hängt von der jeweiligen Systemumgebung und dem Schutzbedarf ab.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.7 Grundschutz++ DET.3.1.7 Was, Wann, Wo Detektion für Anwendungen SOLLTE zu jedem sicherheitsrelevanten Ereignis mindestens Zeitpunkt, die Quelle und das Zielobjekt protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zu jedem sicherheitsrelevanten Ereignis", "definitions": {}}, "guidance": "Für die Definition eines Sicherheitsrelevanten Ereignisses, siehe Glossar (Namensräume des Grundschutz++). Damit einem Ereignis zuverlässig ein bestimmter Zeitpunkt zugewiesen werden kann, ist eine einheitliche Zeitquelle für die Systemuhr (meist über NTP oder PTP) als Voraussetzung erforderlich. Bei der Protokollierung der Herkunft oder Quelle (z.B. Gerätenamen, IP-Adresse) besteht ein enger Zusammenhang zu Compliance-Anforderungen, etwa zum Datenschutz.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mindestens Zeitpunkt, die Quelle und das Zielobjekt", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.8 Grundschutz++ DET.3.1.8 Privilegierte Ereignisse Detektion für Anwendungen SOLLTE privilegierte Ereignisse einschließlich der Aktivierung, Deaktivierung oder Blockierung privilegierter Funktionen protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "privilegierte Ereignisse", "definitions": {}}, "guidance": "Privilegierte Ereignisse sind Vorgänge, bei denen besonders weitreichende Rechte genutzt werden – beispielsweise die Vergabe oder Entziehung von Administratorrechten, das Deaktivieren von Virenscannern oder Änderungen an Firewallregeln. Gerade solche Eingriffe könnten einen erheblichen Einfluss auf die Verfügbarkeit und Integrität von Daten haben. Ohne eine gezielte Aufzeichnung könnten sicherheitsrelevante Änderungen unentdeckt bleiben – etwa, wenn ein Angreifer unbefugt einen privilegierten Account übernimmt und Spuren verwischt, oder wenn ein interner Benutzer kritische Funktionen deaktiviert, wodurch Schutzmaßnahmen umgangen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich der Aktivierung, Deaktivierung oder Blockierung privilegierter Funktionen", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.9 Grundschutz++ DET.3.1.9 Fehler der Anwendung Detektion für Anwendungen SOLLTE Fehlermeldungen der Anwendung protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Fehlermeldungen der Anwendung", "definitions": {}}, "guidance": "Fehlermeldungen können wichtige Hinweise auf technisches Versagen oder menschliches Fehlverhalten liefern. Insbesondere, wenn Fehlermeldungen neuartig sind, oder gehäuft auftreten, können sie Indiz für Probleme sein, die behandlungsbedürftig sind. Denken Sie insbesondere auch an Fehlermeldungen in automatisierten Prozessen, da diese möglicherweise sonst nicht zur Kenntnisnahme gelangen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.10 Grundschutz++ DET.3.1.10 Nutzungsstatistik Detektion für Anwendungen KANN eine Nutzungsstatistik protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Nutzungsstatistik", "definitions": {}}, "guidance": "Bei der statistischen Protokollierung werden z.B. Anzahl oder Durchschnittswerte gespeichert, nicht jedoch die genaue Herkunft oder der Zeitstempel bestimmter Ereignisse. Nutzungsstatistiken wahren die Privatsphäre der einzelnen Nutzenden, ermöglichen jedoch eine Erkennung von Fehlern oder Anomalien in der Nutzung. Beispiele sind die Anzahl von Anfragen für eine bestimmte Ressource (etwa Webserver-URL oder DNS-Name), Anzahl der Anfragen einer bestimmten Anfrageart, Geräte- oder Anwendungskategorien (etwa pro Browseragent oder Betriebssystemversion), Anzahl bestimmter Antworttypen (z.B. Webserver-Fehlercodes), sowie Zugriffsversuche. Hierdurch können Betriebsprobleme wie Caching Fehler oder DoS-Angriffe erkannt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.11 Grundschutz++ DET.3.1.11 Anwendungsspezifische Ereignisse Detektion für Anwendungen KANN bestimmte anwendungsspezifische Ereignisse protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "{{bestimmte anwendungsspezifische Ereignisse}}", "definitions": {}}, "guidance": "Die Festlegung, welche spezifischen Ereignisse protokolliert werden, obliegt der Institution und hängt von der jeweiligen Systemumgebung und dem Schutzbedarf ab. Beispiele sind Änderungen an Zugangskonten im Verzeichnisdienst, Telekommunikationsverbindungen, ein Verstoß gegen eine konfigurierte Policy, unautorisierter Zugriff, API-Aufrufe zwischen verschiedenen Anwendungskomponenten, Transaktionen in einem Finanzsystem oder einer E-Commerce-Anwendung, Konfigurationsänderungen oder ein Absturz der Anwendung. Die Protokollierung dieser Ereignisse kann helfen, die Behandlung durch das Betriebspersonal anzustoßen oder Indizien für Ermittler zu sichern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.12 Grundschutz++ DET.3.1.12 Datenverarbeitungen Detektion für Daten KANN die Verarbeitung von Daten protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verarbeitung von Daten", "definitions": {}}, "guidance": "Bei Daten mit hohem Schutzbedarf kann es sinnvoll sein, bestimmte Verarbeitungen (z.B. Zugriffe, Veränderungen, Löschung, Datenexporte) zu protokollieren. Änderungen können mit Versionsverwaltungssystemen automatisch protokolliert werden. Beispiele sind Zugriffe auf Dateifreigaben, Webportale oder Datenbank-Abfragen durch eine Anwendung, der Export von Verbindungsdaten auf dem TK-Server, oder der Versand von Nachrichten mit bestimmten Schlüsselnwörtern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.1.13 Grundschutz++ DET.3.1.13 Integration von Cloud-Diensten Detektion für Cloud-Dienste KANN Ereignisse in der Cloud im Audit Log der Institution protokollieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Ereignisse in der Cloud", "definitions": {}}, "guidance": "Daten in Cloud-Diensten könnten von Angreifern über das Internet angegriffen werden, ohne dass Ereignisse im internen Netz hierauf Rückschlüsse geben. Dies könnte zum Beispiel durch Phishing geschehen, wodurch ein OAuth Token für den Cloud-Zugang missbraucht wird. Die Integration der Logs des Cloud-Dienstleisters in die institutionseigene Protokollierung kann hier helfen, z.B. bei Authentifizierung oder Berechtigungsänderungen, sowie bei Zugriff oder Veränderung von Daten. Insbesondere die Integration des Loggings mit einer bedingten Zugriffsrichtlinie kann hier helfen, z.B. indem Zugriffe von ungewöhnlichen IP-Adressen oder Browser Agents auf Angriffe hinweisen können. Die Integration von Cloud-Protokollen in ein internes Logging birgt oft erhebliche Herausforderungen, darunter die Bewältigung des enormen Volumens und der Vielfalt an Datenformaten, was durch selektive Protokollierung, Datennormalisierung und -anreicherung angegangen werden kann. Die Absicherung der Datenpipeline gegen Man-in-the-Middle-Angriffe kann durch die Einhaltung der technischen Anforderungen an die beteiligten IT-Systeme und Anwendungen bewältigt werden, z.B. Verschlüsselung und Authentifizierung. Da Cloud-Anbieter oftzusätzliche Gebühren für den Datentransfer (Egress-Kosten) verlangen bietet es sich an, die Protokolle vor der Übertragung zu filtern, um die Kosten für die Verbesserung der Sicherheit gering zu halten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Audit Log der Institution", "definitions": {}}} DET.3.1 \N \N \N +Grundschutz++:DET.3.2 Grundschutz++ DET.3.2 Filterung nicht benötigter Inhalte Detektion KANN die Protokollierung nicht benötigter Inhalte anhand von Kriterien einschränken. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Protokollierung nicht benötigter Inhalte", "definitions": {}}, "guidance": "Je nach Anwendung und Konfigurationeinstellungen könnten Protokolle auch Daten enthalten, die dort nicht benötigt werden, z.B. um die Vertraulichkeit der Daten zu wahren oder aufgrund von Compliance-Anforderungen. Dem kommt eine noch höhere Bedeutung zu, wenn die Protokolle zwischen Institutionen ausgetauscht, oder bei Cloud-Dienstleistern gespeichert oder analysiert werden. Maßnahmen können z.B. Anonymisierung von IP-Adressen oder anderen personenbezogenen Daten oder Geschäftsgeheimnissen, sowie enge Löschfristen sein. Für Verkehrsdaten kann der BfDI Leitfaden Speicherung Verkehrsdaten als Grundlage genutzt werden. Soweit möglich, ist es sinnvoll, die Filterung minimalinvasiv zu gestalten, d.h. nur diejenigen Daten auszufiltern, deren Speicherung nicht rechtlich oder tatsächlich möglich ist, die restlichen Angaben zum Ergebnis jedoch zu protokollieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.3.3 Grundschutz++ DET.3.3 Speicherkapazität Detektion SOLLTE den für die Protokollierung zur Verfügung stehenden Speicherplatz bei Erreichen eines bestimmten Schwellwertes oder regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den für die Protokollierung zur Verfügung stehenden Speicherplatz", "definitions": {}}, "guidance": "Diese Vorschrift zielt darauf ab, die Verfügbarkeit der Protokolldaten sicherzustellen. Das ist essenziell, da eine unterbrochene oder lückenhafte Aufzeichnung die Früherkennung von Angriffen unmöglich machen könnte, was dazu führen könnte, dass kritische forensische Beweise für eine Untersuchung fehlen. Die Umsetzung dieser Anforderung kann auf verschiedene Arten erfolgen. Es könnte ein Skript oder ein automatisierter Dienst eingesetzt werden, der den Füllstand des Speicherplatzes in regelmäßigen Abständen, zum Beispiel alle 15 Minuten oder einmal pro Stunde, prüft. Alternativ kann eine Überprüfung bei einem definierten Schwellenwert durchgeführt werden, etwa wenn 80 % oder 90 % des zugewiesenen Speicherplatzes belegt sind. Zur Behebung könnte bei Kapazitätsengpässen eine automatische Archivierung älterer Protokolldaten auf einem separaten, kostengünstigeren Speicher gestartet werden, um den primären Speicher zu entlasten. Es kann aber auch eine Rotationsstrategie für Log-Dateien konfiguriert werden, die bei Erreichen einer bestimmten Größe oder eines Alters die ältesten Dateien löscht oder archiviert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{bei Erreichen eines bestimmten Schwellwertes oder regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.3.4 Grundschutz++ DET.3.4 Revisionssicherheit Detektion SOLLTE Änderungen am Audit Log revisionssicher dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen am Audit Log", "definitions": {}}, "guidance": "Wenn die Protokollaufzeichnung unzureichend vor Veränderung geschützt ist, könnten Innentäter diese manipulieren oder löschen, um nicht erkannt oder belangt zu werden. Hierzu gehört auch, dass Administrierende die Protokolldaten zu ihren eigenen Tätigkeiten manipulieren oder löschen könnten. Die Integrität kann durch die Erstellung und getrennte Aufbewahrung von kryptografischen Hashes oder ein Versionskontrollsystem sichergestellt werden. Um sicherzustellen, dass nur autorisierte Personen die Protokolle verändern können, können z.B. Verschlüsselung und getrennte Aufbewahrung des Schlüssels, einmalig beschreibare Datenträger, oder ein Protokollierungsserver/SIEM mit stark eingeschränkten Zugriffsrechten eingesetzt werden. Auch die Aufzeichnung in einer öffentlichen Transparenzdatei ist möglich, wenn die Protokolle keine vertraulichen Daten enthalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "revisionssicher", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.3.5 Grundschutz++ DET.3.5 Unbestreitbarkeit Detektion für Daten KANN Nachweise für den Zusammenhang bestimter Ereignisse mit einer bestimmten Person oder Rolle dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Insider Threat", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Nachweise für den Zusammenhang {{bestimter Ereignisse}} mit {{einer bestimmten Person oder Rolle}}", "definitions": {}}, "guidance": "Für Handlungen, die eine besondere Bedeutung für die rechtliche Compliance oder die korrekte Verarbeitung von Daten in kritischen Geschäftsprozessen haben, kann es sinnvoll sein, eine zweifelsfreie Zuordnung des Ereignisses zu einer Person zu gewährleisten. Beispiele können das Senden von Nachrichten als Geschäftsleitung, die Überweisung hoher Beträge auf Konten im Ausland oder der Zugang einer Nachricht mit großer rechtlicher Bedeutung sein. Für einen zweifelsfreien Nachweis reicht die einfache Zuordnung zu einem Zugangskonto oft nicht aus, da das Konto auch von anderen missbraucht worden sein könnte. Zum Nachweis können verschiedene Maßnahmen eingesetzt werden: Digitale Signaturen auf Basis asymmetrischer Kryptographie können die Urheberschaft von Dokumenten verifizieren, während Zeitstempel von vertrauenswürdigen Zeitservern die chronologische Integrität sicherstellen. Eine dezentrale Speicherung der Logs auf verschiedenen Systemen erschwert Manipulationsversuche; ergänzend erhöht die Implementierung einer Blockchain-Technologie mit verketteten Hashwerten die Fälschungssicherheit erheblich. Hardwarebasierte Sicherheitsmodule (HSMs) können kryptografische Schlüssel vor unbefugtem Zugriff schützen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Protokollierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.1 Grundschutz++ DET.4.1 Überwachung der Protokollierung Detektion SOLLTE die Funktionsfähigkeit der Protokollierung überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Funktionsfähigkeit der Protokollierung", "definitions": {}}, "guidance": "Zu den Kriterien kann beispielsweise die Aktivierung oder Deaktkvierung des Loggings auf Systemen, sowie die Datenmenge eingehender Logs in einem bestimmten Zeitraum gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.17 Grundschutz++ DET.4.17 Anwendungsbasiertes Kapazitätsmanagement Detektion für Anwendungen KANN die Ressourcenauslastung systemübergreifend anhand von Schwellwerten überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ressourcenauslastung systemübergreifend", "definitions": {}}, "guidance": "Hierbei kann nicht nur die aktuelle Auslastung einzelner Server, sondern die Auslastung der Anwendung insgesamt, auch über einen längeren Zeitverlauf inklusive Lastspitzen und Durchschnittswerten, betrachtet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.2 Grundschutz++ DET.4.2 Automatische Angriffserkennung Detektion für IT-Systeme SOLLTE diese auf Anzeichen für Angriffe durch einen automatisierten Mechanismus überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diese auf Anzeichen für Angriffe", "definitions": {}}, "guidance": "Wenn professionelle Tätergruppen Zugriff auf Systeme und Daten erhalten, nutzen sie diese zunehmend schneller für ihre Zwecke aus, z.B. um Daten abfließen zu lassen oder Ransomware zu verteilen. Zur Umsetzung können sowohl netz- als auch hostbasierte Erkennungssysteme (NIDS und HIDS) verwendet werden. Für die Detektion bei IT-Systemen ohne Installationsmöglichkeit wie Appliances, IoT-Geräte oder OT-Systeme kann ein kombinierter Ansatz aus Netzwerk- und Loganalyse sinnvoll sein. Angriffe können signaturbasiert, sowie durch Verhaltensanalyse und Anomalien erkannt werden. Die Anforderung kann auch mit bereits vorhandenen oder im System integrierten Angriffserkennungsmechanismen erfüllt werden. Zweckmäßig ist es Schwellwerte und Kategorien (Info, Warnung, Alarm) so festzulegen, dass Probleme frühzeitig erkannt werden können, aber beim Betriebspersonal keine Alarmmüdigkeit (alert fatigue) aufkommt. Hierzu ist es hilfreich die Ergebnisse regelmäßig auszuwerten und wenn nötig Korrekturmaßnahmen zu ergreifen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.3 Grundschutz++ DET.4.3 Überwachung der Angriffserkennung Detektion SOLLTE die Funktionsfähigkeit der automatisierten Angriffserkennung überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Funktionsfähigkeit der automatisierten Angriffserkennung", "definitions": {}}, "guidance": "Hierzu gehört insbesondere die Aktivierung oder Deaktivierung der Angriffserkennung, oder das Stoppen zugehöriger Dienste.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.4 Grundschutz++ DET.4.4 Änderungen an Sicherheitsrichtlinien Detektion SOLLTE Änderungen an Sicherheitsrichtlinien einschließlich deren Aktivierung oder Deaktivierung überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen an Sicherheitsrichtlinien", "definitions": {}}, "guidance": "Wird die Aktivität von automatisierten Sicherheitswerkzeugen nicht überwacht, so könnten Angreifer diese Schutzmechanismen unbemerkt deaktivieren und die Person so in falscher Sicherheit wiegen. Zudem installieren Angreifer gerne permanente Hintertüren über neue Konten oder Gruppenwechsel. Automatisierte Sicherheitsrichtlinien sind z.B. Ausnahmelisten von Antivirus- oder EDR, über den Verzeichnisdienst hinzugefügte Gruppenzugehörigkeiten zu sicherheitsrelevanten Gruppen (z.B. Admin), NAC oder Firewallregeln.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich deren Aktivierung oder Deaktivierung", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.5 Grundschutz++ DET.4.5 Unerwünschte Datenabflüsse Detektion KANN unerwünschte Datenabflüsse überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "unerwünschte Datenabflüsse", "definitions": {}}, "guidance": "Unerwünschte Datenabflüsse beziehen sich hier auf jede unautorisierte Übertragung sensibler Informationen aus internen IT-Systemen oder Anwendungen nach außen (engl. data leakage oder data exfiltration). Darunter fallen sowohl absichtliche als auch unbeabsichtigte Transfers, etwa über Endgeräte, Netzwerkkanäle oder Cloud-Schnittstellen, wobei Data Loss Prevention (DLP) als Sammelbegriff für technische und organisatorische Maßnahmen dient, die solche Abflüsse erkennen oder verhindern können. Die Überwachung kann gewährleisten, dass vertrauliche Inhalte nicht unbemerkt der Kontrolle entzogen werden. Herkunft und Ziel solcher Abflüsse können zusätzlich Indikatoren für kompromittierte Zugangskonten oder Fehlkonfigurationen liefern. Der Zweck der Vorschrift liegt darin, potenzielle Datenabflüsse frühzeitig sichtbar zu machen, sodass aufkommende Risiken wie der Verlust von personenbezogenen Datensätzen oder vertraulichen Forschungsunterlagen erkannt werden können; andernfalls könnte ein Angreifer persistente Kommunikationskanäle nutzen, um über längere Zeit unbemerkt Daten abzuziehen. Eine wirksame Überwachung kann dabei Anomalien identifizieren, die auf Missbrauch, Malware-Aktivität oder Fehlbedienungen hindeuten, und kann die Integrität sowie Vertraulichkeit schützenswerter Informationen erhöhen. Mögliche Varianten der Umsetzung können auf datei- und inhaltsbasierter DLP-Analyse, Netzwerk-DLP über definierte inspection points, Monitoring von Cloud-Workloads mittels API-gestützter DLP-Funktionen oder Endpoint-DLP basierend auf Richtlinien für Kopieren, Drucken oder Übertragungen über Wechselmedien beruhen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.9 Grundschutz++ DET.4.9 Manipulations-Checkup Detektion für IT-Systeme KANN das System auf Manipulationsversuche regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das System auf Manipulationsversuche", "definitions": {}}, "guidance": "Falls Systeme einem erhöhten Manipulationsrisiko ausgesetzt sind (z.B. wegen öffentlicher Aufstellung), die Vertraulichkeit oder Integrität des Systems oder damit verbundener Daten oder Netze jedoch nicht vernachlässigenswert ist, so ist eine regelmäßige Überprüfung auf Manipulationen empfehlenswert. Hierfür können Gerätesiegel verwendet werden. Maßnahmen bei Feststellung einer Manipulation können z.B. das Zurücksetzen auf den Werkszustand oder die Aussonderung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.6 Grundschutz++ DET.4.6 Anomale Nutzung der Anwendung Detektion für Anwendungen KANN die Nutzung der Anwendung auf Anomalien überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Nutzung der Anwendung auf Anomalien", "definitions": {}}, "guidance": "Beispiele sind massenhafte Downloads von Dateiservern oder Cloud-Diensten, Datenbankabfragen die eine ungewöhnlich hohe Menge von Daten oder Einträgen, die unerreichbar sein sollen, zurückliefern, oder automatische E-Mail-Weiterleitungen an externe Domains.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.6.1 Grundschutz++ DET.4.6.1 Verhaltensanalyse von Zugangskonten Detektion für Verzeichnisdienste KANN das Verhalten von Zugangskonten überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT), Command & Control, Data Exfiltration, Insider Threat, Living off the land", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Verhalten von Zugangskonten", "definitions": {}}, "guidance": "User and Entity Behaviour Analytics (UEBA) nutzt moderne Verfahren einschließlich KI, um Anomalien im Verhalten von Zugangskonten oder Systemen zu erkennen, z.B. Anmeldungen zu ungewöhnlichen Zeiten, von ungewöhnlichen Orten, durch Verwendung veralteter Authentifzierungsverfahren wie NTLMv1 oder die Ausführung ungewöhnlicher Anwendungen. Ungewöhnliches Verhalten kann Anzeichen für netzbasierte Angriffe oder Innentäter sein. Allerdings gilt es hierbei auch rechtliche Vorgaben zum Datenschutz und betriebliche Mitbestimmungsrechte zu beachten. Ein sinnvoller Maßstab für die Ausgestaltung von Umfang und Detailltiefe der Überwachung können die Geschäfts- und Sicherheitsziele sein. Sinnvoll ist es hierbei begleitende Maßnahmen zur Compliance einzuführen, beispielsweise das manuelle Analysen nur unter bestimmten Voraussetzungen oder Beteiligungen vorgenommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} DET.4.6 \N \N \N +Grundschutz++:DET.4.7 Grundschutz++ DET.4.7 Auslaufen von Domains Detektion für Webserver KANN das Auslaufen von Domains überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Auslaufen von Domains", "definitions": {}}, "guidance": "Wenn Registrierungsfristen und Verlängerungszeiträume nicht im Blick behalten werden, könnte eine Domain aus Versehen verfallen und damit einhergehend Erreichbarkeits­probleme, Vertrauensverluste oder gar Sicherheits­lücken entstehen. Als Beispiele können Domains dienen, die für Web­auftritte, E‑Mail-Systeme oder API-Endpunkte genutzt werden. Ebenso kann es sich um Subdomains handeln, die für interne Tools, Test­umgebungen oder automatisierte Monitoring­dienste registriert sind. Auch Domains, die nur der Weiterleitung auf Haupt­präsenzen dienen oder die für Zertifikats­ver­waltung (z. B. ACME-Challenges) verwendet werden, können unter diese Überwachung fallen. Jede dieser Anwendungsfälle kann potenziell betroffen sein, wenn die Registrierung unbemerkt abläuft. Hilfreich ist hierfür ein zentrales Inventar aller genutzten Domains in dem Registrierungs­daten (Ablaufdatum, Registrar, Kontakt­email) erfasst werden. Automatisierte Scripts oder Aufgaben­tickets können eingerichtet werden, die in festgelegten Abständen (z. B. 60, 30 und 7 Tage vor Ablauf) eine Benachrichtigung auslösen. Auch Monitoring-Plattformen mit DNS-Plugins können verwendet werden, um Fristen zu prüfen und Erinnerungen zu generieren. Zusätzlich kann eine Prozess­beschreibung definiert werden, in der Verantwortlichkeiten und Eskalations­wege bei nahendem Domain­ablauf festgehalten sind, um schnelle Entscheidungen und Verlängerungen zu ermöglichen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.8 Grundschutz++ DET.4.8 Ausstellung neuer HTTPS-Zertifikate Detektion für Webserver KANN die rechtzeitige Ausstellung neuer HTTPS-Zertifikate für Server, die im Internet erreichbar sind, überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die rechtzeitige Ausstellung neuer HTTPS-Zertifikate für Server, die im Internet erreichbar sind,", "definitions": {}}, "guidance": "Dies kann mittels Certificate Transparency teilautomatisiert werden. Mit \\"rechtzeitig\\" ist hier vor Ablauf des Zertifikats gemeint.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +SCF:BCD-05 SCF BCD-05 Contingency Plan Root Cause Analysis (RCA) & Lessons Learned Mechanisms exist to conduct a Root Cause Analysis (RCA) and "lessons learned" activity every time the contingency plan is activated. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-05_BCD-05_A01", "name": "assessment-objective", "prose": "the contingency plan test results are reviewed."}, {"id": "BCD-05_BCD-05_A02", "name": "assessment-objective", "prose": "corrective actions to remediate contingency plan deficiencies are initiated, if needed."}]} \N \N \N \N +Grundschutz++:DET.4.10 Grundschutz++ DET.4.10 Host-basierte Köder Detektion für IT-Systeme KANN Host-basierte Köder installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust, Advanced Persistent Threats (APT), Honeypot", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Host-basierte Köder", "definitions": {}}, "guidance": "Köder sind Anwendungen, Dateien oder Datensätze auf dem IT-System, welche die Aufmerksamkeit von Angreifern auf sich ziehen, um diese zu entdecken, nachzuverfolgen oder von echten Zielen abzulenken. Sie werden auch als Canaries oder Tripwire bezeichnet. Beispielsweise kann das Sicherheitsteam eine gefälschte, aber verlockende Datei (z. B. „IBAN-Kontodaten.xlsx“) im System platzieren und eine Überwachung einrichten, die sie benachrichtigt, wenn die Datei berührt wird - da legitime Benutzer nicht darauf zugreifen können, signalisiert jede Interaktion potenziell unbefugte Aktivitäten. Ein weiteres Beispiel ist eine Datei „unattended.xml“, da sie für Angreifer nützliche Anmeldedaten für automatische Installationen enthalten könnte. Indem Sie eine gefälschte Version mit harmlosen Daten erstellen und den Zugriff auf die Datei oder Anmeldeversuche mit diesen Zugangsdaten überwachen, erhalten Sie eine frühzeitige Warnung, wenn jemand Ihr System auf der Suche nach einfachen Möglichkeiten zur Erlangung von Administratorrechten durchforstet, so dass Sie reagieren können, bevor es zu einem schwerwiegenderen Verstoß kommt. Allerdings kann es hierbei zu falsch-positiv Vorfallsmeldungen kommen, insbesondere wenn die Köder dort platziert werden wo sie für legitime Nutzende leicht zugänglich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.11 Grundschutz++ DET.4.11 Anomalien in Netzen und am Perimeter Detektion für Netze SOLLTE den Netzwerkverkehr auf Anomalien überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Command & Control, Lateral Movement, Data Exfiltration", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Netzwerkverkehr auf Anomalien", "definitions": {}}, "guidance": "Beispiele sind ausgehende Netzverbindungen zu als bösartig bekannten oder gänzlich unbekannten DNS-Domains oder IP-Adressen, Anzeichen für DNS-Tunneling (ungewöhnlich lange Subdomains oder Spitzenwerte für TXT-Mengen), ungewöhnlich hohes Datenvolumen zu Cloud-Speicherlösungen, sowie unautorisierte Portscans oder Brute Force Angriffe auf Fernwartungsschnittstellen wie RDP oder SSH sein. Hierdurch können Verbindungen zu Angreiferservern (C2 Beacons), die Ausbreitung von Angriffen über das Netz, oder Datenabflüsse erkannt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.11.1 Grundschutz++ DET.4.11.1 Authentifizierungsversuche an externen Schnittstellen Detektion für Externe Netzanschlüsse KANN Authentifizierungsversuche auf unauthorisierte Verbindungen regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust, Advanced Persistent Threats (APT), Command & Control", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Authentifizierungsversuche auf unauthorisierte Verbindungen", "definitions": {}}, "guidance": "Ohne solche Überprüfungen könnte ein Angreifer unbemerkt wiederholt Zugangsdaten erraten (Brute-Force- oder Wörterbuchangriffe) oder unautorisierte Geräte an Schnittstellen wie VPN-Gateways, Firewalls oder externen Modems anbinden. Auch ein unbemerktes Einschleusen von Schadsoftware über offene Remote-Desktop- oder SSH-Verbindungen könnte langfristig unentdeckt bleiben. Eine kontinuierliche Auswertung von Anmeldeversuchen kann dagegen Auffälligkeiten wie ungewöhnlich viele Fehlversuche, Anmeldungen aus geografisch atypischen Regionen oder Verbindungsaufbau außerhalb üblicher Betriebszeiten aufzeigen und so eine wirksame Schutzwirkung entfalten. Als Frist können Intervalle wie \\"täglich\\", \\"wöchentlich\\" oder \\"in Echtzeit\\" je nach Kritikalität des Anschlusses angemessen sein. Verbindungen sind hier unautorisiert, wenn Anzeichen vorliegen, dass sie von unautorisierten Personen oder von unautorisierten Systemen stammen. Die Überprüfung kann manuell oder durch automatische Analyse von Logdateien erfolgen. Empfehlenswert ist eine kontinuierliche Überwachung. Dabei kann z.B. nach ungewöhnlichen vielen fehlgeschlagenen Anmeldungen, veralteten Berechtigungen, Einwahlen von Adminaccounts, ungewöhnlichen Einwahlorten/IP-Adressbereichen/User Agents oder Uhrzeiten gesucht werden. Als Reaktion kommen z.B. Sperren betroffener Adressbereiche, die Abschaltung angegriffener Schnittstellen oder stärkere Authentifizierungsmechanismen wie Mehr-Faktor-Authentifizierung in Betracht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} DET.4.11 \N \N \N +Grundschutz++:DET.4.11.2 Grundschutz++ DET.4.11.2 Netzwerk-Honeypots Detektion für Netze KANN Netzwerk-Honeypots installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Zero Trust, Advanced Persistent Threats (APT), Honeypot", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Netzwerk-Honeypots", "definitions": {}}, "guidance": "Honeypots sind Systeme, die das Verhalten eines Betriebsservers simulieren, um bei netzbasierten Angriffen Informationen über den Angriff zu erhalten. Geeignet sind z.B. vermeintliche Rechnungsbearbeitungssysteme oder Datenbank-Server. Alarmierungsereignisse können hier z.B. Login-Versuche oder unerwartete API-Abfragen sein. Allerdings kann es hierbei zu falsch-positiv Vorfallsmeldungen kommen, insbesondere wenn die Honeypots dort platziert werden, wo sie für legitime Nutzende leicht zugänglich sind, oder wenn legitime Netzwerkscans bereits eine Alarmierung auslösen. Daher ist es sinnvoll, die konkreten Einsatzgegebenheiten in einer Risikoanalyse zu betrachten und den möglichen Detektionsmehrwert mit den potenziellen Risiken solcher falsch-positiv Meldungen abzuwägen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} DET.4.11 \N \N \N +Grundschutz++:DET.4.11.3 Grundschutz++ DET.4.11.3 Netzverkehrsfluss Detektion für Netze KANN auf kritische Netzverkehrsflüsse anhand von Kriterien überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "auf kritische Netzverkehrsflüsse", "definitions": {}}, "guidance": "Ein Netzverkehrsfluss ist eine Aufzeichnung von Verkehrsdaten einer Netzwerkverbindung (wie Quell-/Ziel-IP, Ports, Protokoll, übertragene Datenmenge und Zeitdauer). Die Aufzeichnung des gesamten Verkehrs (Packet Capture) des vollständigen Inhalts aller Datenpakete ist hierzu nicht erforderlich, sodass die zu untersuchende Datenmenge überschaubar bleibt. Allerdings sind hier Compliance-Anforderungen zur Datenspeicherung relevant. Für datenschutzrechtliche Fragen zu Verkehrsdaten kann der BfDI Leitfaden Speicherung Verkehrsdaten als Grundlage genutzt werden. Beispiele für Kriterien sind die Aufzeichnung an wichtigen Netzgrenzen (DMS-Internet), in kritischen Netzen, zwischen Serversystemen oder bei Leistungsproblemen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Audit Log", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} DET.4.11 \N \N \N +Grundschutz++:DET.4.12 Grundschutz++ DET.4.12 Monitoring der Netzverfügbarkeit Detektion für Netze SOLLTE die Verfügbarkeit des Netzes anhand von Schwellwerten überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfügbarkeit des Netzes", "definitions": {}}, "guidance": "Die Verfügbarkeit von Netzen, insbesondere des Internetanschlusses, sowie im Kern- und Verteilernetz, ist von zentraler Bedeutung für die Verfügbarkeit von IT-Infrastrukturen. Ein Monitoring ermöglicht es dem Betriebspersonal, bei Netzproblemen reagieren zu können, bevor Beschwerden von Nutzenden aufkommen. Kann durch Hello-Packete von Netzkomponenten oder die Erreichbarkeit von Diensten über das Netz umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.12.1 Grundschutz++ DET.4.12.1 Auslastung des Netzes Detektion für Netze KANN die Auslastung des Netzes anhand von Schwellwerten überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auslastung des Netzes", "definitions": {}}, "guidance": "Die Überwachung der Netzauslastung ermöglicht eine schnelle Reaktion bei Verfügbarkeitsproblemen. Wichtige Indikatoren sind Auslastung der verfügbaren Bandbreite, Netzlatenz und Packverluste. Unerwartet hoher Datenverkehr kann auch ein Indiz für einen unautorisierten Zugriff auf große Datenmengen sein. Zur Umsetzung ist es zweckmäßig zunächst Normwerte zu ermitteln (Baselining).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} DET.4.12 \N \N \N +Grundschutz++:DET.4.13 Grundschutz++ DET.4.13 Verfügbarkeit des Hostsystems Detektion für Hostsysteme SOLLTE die Netzerreichbarkeit anhand von Schwellwerten überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Netzerreichbarkeit", "definitions": {}}, "guidance": "Schwellwerte (engl. thresholds) sind hier Grenzwerte, die als Maßstab für die normale oder erwartete Netzerreichbarkeit des Hostsystems dienen. Diese Schwellwerte könnten beispielsweise eine bestimmte Anzahl an Fehlversuchen zur Erreichbarkeit in einem definierten Zeitfenster oder eine überdurchschnittlich hohe Anzahl an Verbindungsanfragen sein, die auf ungewöhnliche Netzwerkaktivität hindeuten. Ein Server könnte beispielsweise aufgrund eines Denial-of-Service-Angriffs (DoS) nicht mehr erreichbar sein, wodurch Dienste für Nutzende ausfallen. Ebenso könnte eine unerwartete Nichterreichbarkeit auf einen Hardwaredefekt, einen Konfigurationsfehler oder einen internen Angriff hindeuten, bei dem der Server vom Netz getrennt wurde, um Spuren zu verwischen. Die Überwachung anhand von Schwellwerten kann der Institution dabei helfen, solche Vorfälle frühzeitig zu erkennen und zu reagieren, bevor sie größeren Schaden anrichten. Die Überwachung kann über ein internes Monitoring-System umgesetzt werden, das kontinuierlich die Erreichbarkeit der Server mittels sogenannter Health-Checks oder Probes prüft. Dabei kann beispielsweise ein automatisches Ping-Verfahren eingesetzt werden, das in regelmäßigen Abständen die Antwortzeit des Servers misst. Die festgelegten Schwellwerte könnten zum Beispiel die maximal erlaubte Anzahl an aufeinanderfolgenden fehlgeschlagenen Ping-Antworten oder die durchschnittliche Antwortzeit sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.14 Grundschutz++ DET.4.14 Verfügbarkeit der Anwendung Detektion für Anwendungen SOLLTE die Netzerreichbarkeit anhand von Schwellwerten überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Netzerreichbarkeit", "definitions": {}}, "guidance": "Dabei wird die Erreichbarkeit des Dienstes der Anwendung selbst, z.B. auf den bereitstellenden Servern, nicht nur die Erreichbarkeit des Systems überwacht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.15 Grundschutz++ DET.4.15 Ressourcenauslastung von Hostsystemen Detektion für Hostsysteme SOLLTE die Ressourcenauslastung anhand von Schwellwerten überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ressourcenauslastung", "definitions": {}}, "guidance": "Hierzu zählt z.B. die Auslastung der CPU, des Arbeitsspeichers, des Festspeichers. Dazu ist es sinnvoll vorab Schwellwerte zu ermitteln (KPI Baselining). Mögliche Reaktionsmaßnahmen bei zu hoher Auslastung sind z.B. die Lastverteilung auf mehrere Host-Rechner oder die Beschränkung der Ressourcennutzung pro Client.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.16 Grundschutz++ DET.4.16 Ressourcenauslastung der Server-Dienste Detektion für Anwendungen KANN die Ressourcenauslastung der für die Anwendung verwendeten Server-Dienste anhand von Schwellwerten überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ressourcenauslastung der für die Anwendung verwendeten Server-Dienste", "definitions": {}}, "guidance": "Hierzu zählt z.B. die Auslastung der CPU, des Arbeitsspeichers, des Festspeichers und Anzahl der verbundenen Clients. Dazu ist es sinnvoll vorab Schwellwerte zu ermitteln (KPI Baselining). Mögliche Reaktionsmaßnahmen bei zu hoher Auslastung sind z.B. die Lastverteilung auf mehrere Host-Rechner oder die Beschränkung der Ressourcennutzung pro Client.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +SCF:BCD-06 SCF BCD-06 Ongoing Contingency Planning Mechanisms exist to update contingency plans due to changes affecting:\r\n(1) People (e.g., personnel changes);\r\n(2) Processes (e.g., new, altered or decommissioned business practices, including third-party services)\r\n(3) Technologies (e.g., new, altered or decommissioned technologies);\r\n(4) Data (e.g., changes to data flows and/or data repositories);\r\n(5) Facilities (e.g., new, altered or decommissioned physical infrastructure); and/or\r\n(6) Feedback from contingency plan testing activities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-06_BCD-06_A01", "name": "assessment-objective", "prose": "a contingency plan is developed that identifies essential mission and business functions and associated contingency requirements."}, {"id": "BCD-06_BCD-06_A02", "name": "assessment-objective", "prose": "personnel or roles to review a contingency plan is/are defined."}, {"id": "BCD-06_BCD-06_A03", "name": "assessment-objective", "prose": "the contingency plan is updated to address changes to the organization, system or environment of operation."}, {"id": "BCD-06_BCD-06_A04", "name": "assessment-objective", "prose": "contingency plan changes are communicated to key contingency personnel."}, {"id": "BCD-06_BCD-06_A05", "name": "assessment-objective", "prose": "the contingency plan is updated to address problems encountered during contingency plan implementation, execution or testing."}, {"id": "BCD-06_BCD-06_A06", "name": "assessment-objective", "prose": "personnel or roles to approve a contingency plan is/are defined."}, {"id": "BCD-06_BCD-06_A07", "name": "assessment-objective", "prose": "key contingency personnel (identified by name and/or by role) to whom copies of the contingency plan are distributed are defined."}, {"id": "BCD-06_BCD-06_A08", "name": "assessment-objective", "prose": "key contingency organizational elements to which copies of the contingency plan are distributed are defined."}, {"id": "BCD-06_BCD-06_A09", "name": "assessment-objective", "prose": "the frequency of contingency plan review is defined."}, {"id": "BCD-06_BCD-06_A10", "name": "assessment-objective", "prose": "key contingency personnel (identified by name and/or by role) to communicate changes to are defined."}, {"id": "BCD-06_BCD-06_A11", "name": "assessment-objective", "prose": "key contingency organizational elements to communicate changes to are defined."}, {"id": "BCD-06_BCD-06_A12", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that provides recovery objectives."}, {"id": "BCD-06_BCD-06_A13", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that provides restoration priorities."}, {"id": "BCD-06_BCD-06_A14", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that provides metrics."}, {"id": "BCD-06_BCD-06_A15", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses contingency roles."}, {"id": "BCD-06_BCD-06_A16", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses contingency responsibilities."}, {"id": "BCD-06_BCD-06_A17", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses assigned individuals with contact information."}, {"id": "BCD-06_BCD-06_A18", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses maintaining essential mission and business functions despite a disruption, compromise or failure of a system, application or service."}, {"id": "BCD-06_BCD-06_A19", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses eventual, full-system restoration without deterioration of the controls originally planned and implemented."}, {"id": "BCD-06_BCD-06_A20", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that addresses the sharing of contingency information."}, {"id": "BCD-06_BCD-06_A21", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that is reviewed by personnel or roles."}, {"id": "BCD-06_BCD-06_A22", "name": "assessment-objective", "prose": "a contingency plan for the system is developed that is approved by personnel or roles."}, {"id": "BCD-06_BCD-06_A23", "name": "assessment-objective", "prose": "copies of the contingency plan are distributed to key contingency personnel."}, {"id": "BCD-06_BCD-06_A24", "name": "assessment-objective", "prose": "copies of the contingency plan are distributed to organizational elements."}, {"id": "BCD-06_BCD-06_A25", "name": "assessment-objective", "prose": "contingency planning activities are coordinated with incident handling activities."}, {"id": "BCD-06_BCD-06_A26", "name": "assessment-objective", "prose": "the contingency plan for the system is reviewed frequently."}, {"id": "BCD-06_BCD-06_A27", "name": "assessment-objective", "prose": "contingency plan changes are communicated to organizational elements."}, {"id": "BCD-06_BCD-06_A28", "name": "assessment-objective", "prose": "lessons learned from contingency plan testing or actual contingency activities are incorporated into contingency testing."}, {"id": "BCD-06_BCD-06_A29", "name": "assessment-objective", "prose": "lessons learned from contingency plan training or actual contingency activities are incorporated into contingency testing and training."}, {"id": "BCD-06_BCD-06_A30", "name": "assessment-objective", "prose": "the contingency plan is protected from unauthorized disclosure."}, {"id": "BCD-06_BCD-06_A31", "name": "assessment-objective", "prose": "the contingency plan is protected from unauthorized modification."}]} \N \N \N \N +Grundschutz++:DET.4.18 Grundschutz++ DET.4.18 Öffentliche Blocklisten Detektion für E-Mail KANN öffentliche Blocklisten auf Einträge für eigene E-Mail-Server regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "öffentliche Blocklisten auf Einträge für eigene E-Mail-Server", "definitions": {}}, "guidance": "Die Überprüfung von E-Mail-Blocklisteneinträgen ist entscheidend, um sicherzustellen, dass Nachrichten zuverlässig zugestellt und nicht als Spam klassifiziert werden. Dazu kann zunächst mit Tools wie MXToolbox oder MultiRBL geprüft werden, ob und auf welchen Listen der Server geführt wird, um anschließend die genauen Ursachen zu ermitteln – häufig spielen kompromittierte Konten, unzureichende Authentifizierungsmethoden oder veraltete E-Mail-Listen eine Rolle. Nach der Identifikation können Admins die grundlegenden Probleme beheben, beispielsweise durch Implementierung von SPF-, DKIM- und DMARC-Protokollen, Bereinigung von E-Mail-Listen oder Beseitigung technischer Schwachstellen, bevor bei den jeweiligen Blocklistenbetreibern ein Antrag auf Entfernung gestellt werden kann, wobei in der Regel Nachweise für die durchgeführten Verbesserungen erforderlich sind; zur langfristigen Prävention kann eine regelmäßige Überwachung der Senderreputation, sowie die Einhaltung bewährter E-Mail-Praktiken beitragen, oder die Nutzung eines seriösen E-Mail-Dienstleisters in Betracht gezogen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.4.19 Grundschutz++ DET.4.19 Unautorisierte Sendeanlagen Detektion für Räume KANN diesen nach unautorisierten Sendeanlagen durch einen automatisierten Mechanismus überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Rogue Access Point", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "diesen nach unautorisierten Sendeanlagen", "definitions": {}}, "guidance": "Bleiben unautorisierte Sendeanlagen unbemerkt, so könnten hierüber Abhörversuche stattfinden oder Störungen legitimer Sender und Empfänger auftreten. Bedenklich sind beispielsweise versteckte Wanzen in Büromöbeln, manipulierte Peripheriegeräte mit eingebauten Sendern, ohne Erlaubnis mitgebrachte Access Points, modifizierte Smartphones mit verdeckten Fernzugriffsfunktionen oder getarnte IoT-Geräte mit Netzwerkverbindung, die sensible Informationen abgreifen und nach außen übertragen könnten. Zum Aufspüren können Wireless Intrusion Detection Systems (WIDS) genutzt werden, welche Sendeanagen auffinden und unbekannte Sender melden. Um unautorisierte Sender effektiv zu erkennen sind auch begleitende Maßnahmen sinnvoll: Die Implementierung von Zugangsbeschränkungen und Mitnahmeverboten für nicht geprüfte elektronische Geräte; die Schulung des Personals zur Erkennung verdächtiger Objekte; sowie die Dokumentation aller autorisierten Geräte in einem Inventar, um unbekannte Signalquellen schnell identifizieren zu können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Überwachung von Aktivitäten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.1 Grundschutz++ DET.5.1 Zeitnahes Schwachstellenmanagement Detektion SOLLTE Verfahren und Regelungen zur Erkennung und Behandlung von Schwachstellen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Erkennung und Behandlung von Schwachstellen", "definitions": {}}, "guidance": "Relevant können hierbei verschiedene Arten von Schwachstellen sein (z.B. Physisch und im Netz, Orte, Adressbereiche, Anwendungen und Ports). Zur Erkennung können Schwachstellenscans, Pentests und ein Abgleich der eigenen Infrastruktur mit öffentlichen Schwachstellendatenbanken genutzt werden. Zur Beurteilung der Kritikalität können Scoring-Systeme wie CVSS oder Berichte der betroffenen Hersteller oder Dienstleister herangezogen werden. Zur Behandlung können z.B. Sicherheitspatches, die Deaktivierung betroffener (Teil-)Funktionen oder Komponenten oder die Isolierung betroffenen Systeme oder Anwendungen in Frage kommen. Für Details siehe ISO/IEC 30111.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schwachstellenregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.1.1 Grundschutz++ DET.5.1.1 Risikobasierte Priorisierung Detektion KANN erkannte Schwachstellen anhand von risikobasierten Kriterien innerhalb einer Frist überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "erkannte Schwachstellen", "definitions": {}}, "guidance": "Bei einer risikobasierten Priorisierung wird nicht nur die Ausnutzbarkeit der Schwachstelle im Allgemeinen, z.B. durch einen CVS-Score, zur Priorisierung herangezogen, sondern die Beurteilung erfolgt durch eine Kombination solcher generellen Informationen mit dem individuellen Risikoprofil der betroffenen Assets. Dies ermöglicht es, Schwachstellen deutlich passgenauer zu beurteilen und die wirklich kritischen Schwachstellen zuerst zu patchen oder mitigieren. Hierzu können CVSS-Score, Informationen aus der Threat Intelligence und aus der Risikobewertung von Geschäftsprozessen kombiniert werden. Hierbei können auch automatisierte Verfahren angewendet werden, z.BMultiplikation von Kennzahlen zur Risikobewertung und von CVSS in Kombination mit Schwellwerten. Ergebnisdokument kann z.B. eine Risikomatrix, oder eine eigene CVE-Bewertungsrubrik sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schwachstellenregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{risikobasierten Kriterien}} innerhalb {{einer Frist}}", "definitions": {}}} DET.5.1 \N \N \N +Grundschutz++:DET.5.2 Grundschutz++ DET.5.2 Schwachstellenregister Detektion SOLLTE Schwachstellen bei Entdeckung inklusive betroffener Komponenten, Kritikalität und Status dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schwachstellen bei Entdeckung", "definitions": {}}, "guidance": "Da die Aktualität des Schwachstellenregisters von großer Bedeutung ist, ist die manuelle Pflege von Schwachstellen in einem Dokument nicht empfehlenswert. Stattdessen können automatisiert gepflegte Datenbanken oder spezielle Schwachstellenmanagement-Tools genutzt werden. Das Schwachstellenregister kann auch als verteiltes Register gepflegt werden (z.B. in Schwachstellenscannern, Patchmanagement-Servern, etc.), allerdings ist hierbei eine einheitliche Beurteilung und Priorisierung aufwändiger.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Schwachstellenregister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "inklusive betroffener Komponenten, Kritikalität und Status", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.3 Grundschutz++ DET.5.3 Schwachstellenscans Detektion SOLLTE eine Vorgehensweise zum Scan nach Schwachstellen einschließlich deren Auswertung und Behandlung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zum Scan nach Schwachstellen", "definitions": {}}, "guidance": "Über das Netz erreichbare Schwachstellen bergen das Risiko, dass hierüber Angriffe in IT-Systeme und Anwendungen eindringen, Daten auslesen oder sich über das Netz verbreiten. Schwachstellenscans finden solche Lücken, indem sie Anfragen zu bekannten Schwachstellen im Netz stellen und die Antworten auswerten. Regelmäßige Scans tragen dazu bei, dass Sicherheitslücken entdeckt werden, bevor sie ausgenutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich deren Auswertung und Behandlung", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.3.1 Grundschutz++ DET.5.3.1 Autorisierung kritischer Scans Detektion SOLLTE kritische Scans durch zuständige Personen oder Rollen autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kritische Scans", "definitions": {}}, "guidance": "Schwachstellenscans könnten aufgrund ihres Umfangs oder der breiten Abdeckung ihrer Aktivitäten selbst Fehlerzustände provozieren oder Schwachstellen auslösen. Wenn Scans besondere Berechtigungen benötigen - z.B. lokale Administrationsrechte oder Zugriff auf ein abgeschottetes Netz sensibler, betriebskritischer Systeme, so kann eine Autorisierung solcher Scans, vor der eine Abwägung der damit verbundenen Risiken vorgenommen wird, angezeigt sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{zuständige Personen oder Rollen}}", "definitions": {}}} DET.5.3 \N \N \N +Grundschutz++:DET.5.3.2 Grundschutz++ DET.5.3.2 Korrelation komplexer Angriffswege Detektion KANN Schwachstellen anhand eines Abgleichs mehrerer Scans miteinander überprüfen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schwachstellen anhand eines Abgleichs mehrerer Scans miteinander", "definitions": {}}, "guidance": "Fortschrittliche Angreifer könnten mehrere, scheinbar unkritische Schwachstellen nacheinander ausnutzen, die erst in Kombination einen gefährlichen Angriff, etwa die Ausführung von Code aus der Ferne, erlauben. Um solche komplexen Angriffe zu erkennen, können Messergebnisse verschiedener Schwachstellenscanner miteinander abgeglichen werden. Komplexe Angriffswege können mit Methoden wie Attack Trees erkannt und bewertet werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}} DET.5.3 \N \N \N +Grundschutz++:DET.5.3.3 Grundschutz++ DET.5.3.3 Historische Analyse Detektion KANN Schwachstellen in öffentlich erreichbaren Systemen oder Anwendungen anhand bekannter Anzeichen im Audit Log testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schwachstellen in öffentlich erreichbaren Systemen oder Anwendungen", "definitions": {}}, "guidance": "Die historische Analyse von Logdateien ermöglicht es, vergangene Systemaktivitäten systematisch zu untersuchen, um potenzielle Sicherheitsvorfälle zu identifizieren, die zum Zeitpunkt ihres Auftretens unbemerkt blieben. Nach der Entdeckung einer Schwachstelle kann so rückwirkend festgestellt werden, ob und wie diese bereits ausgenutzt wurde. Die Umsetzung kann durch Etablierung eines zentralisierten Log-Managements mit langer Aufbewahrungsdauer, Implementierung automatisierter Such- und Korrelationsalgorithmen zur Erkennung bekannter Angriffsmuster und Anomalien in den Logdaten, sowie durch forensische Analyse der Zeitstempel, Quell-IPs, Benutzeraktivitäten und Zugriffsversuche erfolgen. Bei der Feststellung von Schwachstellen in öffentlich zugänglichen Systemen ist es sinnvoll die Audit-Logs gezielt nach Indikatoren zu durchsuchen, die auf entsprechende Angriffsmuster hindeuten - darunter ungewöhnliche Zugriffszeiten, auffällige Authentifizierungsversuche, verdächtige Datenbankabfragen oder charakteristische Command-Injection-Versuche, wodurch potenzielle Kompromittierungen retrospektiv aufgedeckt und in ihrem vollen Umfang bewertet werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand bekannter Anzeichen im Audit Log", "definitions": {}}} DET.5.3 \N \N \N +Grundschutz++:DET.5.4 Grundschutz++ DET.5.4 Regelmäßige Penetrationstests Detektion für IT-Systeme KANN die tatsächliche Abwehrfähigkeit nach einer anerkannten Vorgehensweise regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Pentest, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die tatsächliche Abwehrfähigkeit", "definitions": {}}, "guidance": "Ein Penetrationstest, oft auch als Pentest bezeichnet, ist eine von Sicherheitsexperten simulierte Cyberattacke, um Schwachstellen und Sicherheitslücken aufzudecken. Ziel ist es, komplexe Schwachstellen in konkreten Informationsumgebungen aufzuspüren, bevor sie von echten Angreifern ausgenutzt werden könnten. Dabei werden verschiedene Methoden und Techniken eingesetzt, die auch von Angreifern verwendet werden könnten, z.B. Informationssammlung, Scan und Ausnutzen von Schwachstellen, seitliches Ausbreiten über das Netz, sowie Versuche, durch Täuschung und Manipulation von Personen an Informationen oder Zugriff zu gelangen. Anerkannte Vorgehensweisen, die für Penetrationstests angewendet werden können, sind z.B. der BSI Praxis-Leitfaden für IS-Penetrationstests, OSSTMM, NIST SP 800-115, PTES (Penetration Testing Execution Standard), OWASP für Webanwendungen oder der Leitfaden für Penetrationstests von Large-Language-Modellen des Expertenkreises KI-Sicherheit. Pentests können von externen Dienstleistern oder internem Personal vorgenommen werden. Entscheidend für ein gutes Ergebnis ist hierbei neben einer standardisierten, strukturierten Vorgehensweise die Qualifikation der ausführenden Personen, da Penetrationstests die Ausforschung komplexer Angriffsmöglickeiten erfordern, die weit über den isolierten Einsatz einzelner Werkzeuge hinausgehen können. Pentesting von Außen enthält sowohl die Suche nach angreifbaren Schwachstellen aus dem Internet, als auch die vorhergehende Recherche, um angreifbare Informationen aufzuspüren (Open Source Intelligence). Zur konsequenten Überprüfung gehört auch, dass deren gefundene Schwachstellen im Rahmen des Schwachstellenmanagements zeitnah behandelt werden. Zweckmäßig ist es daher, gefundene Schwachstellen bestimmten zuständigen Personen oder Rollen zur Behebung zuzuweisen und diese innerhalb der Fristen des Schwachstellenmanagements zu schließen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{einer anerkannten Vorgehensweise}} {{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.5 Grundschutz++ DET.5.5 Red Teaming Detektion für IT-Systeme KANN die tatsächliche Abwehrfähigkeit regelmäßig durch unabhängig agierende Sicherheitsexperten überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Pentest, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die tatsächliche Abwehrfähigkeit", "definitions": {}}, "guidance": "Red Teaming ist ein strukturierter, realitätsnaher Sicherheitstest, bei dem ein sogenanntes Red Team – also ein unabhängiges, offensiv agierendes Expertenteam – versucht, unter realen Bedingungen in IT-Systeme, Netzwerke oder Anwendungen einzudringen, um Schwachstellen und Reaktionslücken aufzudecken. Dadurch wird nicht nur die technische Abwehr getestet, sondern auch organisatorische und menschliche Faktoren, etwa die Wirksamkeit von Incident-Response-Prozessen, Alarmierungsketten oder die Reaktion des Security Operations Center (SOC). Solche regelmäßigen Überprüfungen durch unabhängige Red Teams ermöglichen einen objektiven und unvoreingenommenen Blick auf die aktuellen Stärken und Schwächen der Sicherheitsmaßnahmen, wodurch Schwachstellen frühzeitig erkannt werden können. Unabhängig ist ein Red Team dabei, wenn es organisatorisch und personell getrennt vom Betriebspersonal und dessen Weisungshierarchie (Blue Team) agiert, sodass keine Interessenkonflikte die objektive Bewertung gefährden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} durch unabhängig agierende Sicherheitsexperten", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.6 Grundschutz++ DET.5.6 Threat Hunting Detektion KANN den Informationsverbund durch Sicherheitsexperten auf Anzeichen für Angriffe regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Informationsverbund durch Sicherheitsexperten auf Anzeichen für Angriffe", "definitions": {}}, "guidance": "Threat Hunting bezeichnet eine proaktive Suche nach Anzeichen für Sicherheitsvorfälle durch Analyseexperten, da fortschrittliche Angriffe durch automatisierte Systeme zur Angriffserkennung häufig nicht detektiert werden können. Im Unterschied zum Penetrationstest steht dabei nicht das Aufsuchen von Schwachstellen, sondern das Finden bereits erfolgreicher Angriffe oder Bedrohungen in den eigenen Systemen und Anwendungen im Vordergrund.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.7 Grundschutz++ DET.5.7 Analyse verdeckter Kanäle Detektion KANN den Informationsverbund auf verdeckte Kommunikationskanäle regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Pentest, Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Informationsverbund auf verdeckte Kommunikationskanäle", "definitions": {}}, "guidance": "Ein verdeckter Kanal (Covert Channel) ist ein heimlicher Kommunikationskanal, mit dem Angreifer legitime Verbindungen ausnutzen, um verdeckt Daten zu übertragen. Viele dieser verdeckten Kanäle können durch darauf spezialisierte Erkennungswerkzeuge (sog. Warden) erkannt werden. Aufgrund der Vielzahl denkbarer verdeckter Kommunikationswege können solche Kanäle jedoch kaum vollständig verhindert werden. Ergänzende Maßnahmen wie Traffic Normalization können sie jedoch ausbremsen oder unerkannt eliminieren. Relevant sind dabei sowohl Speicherkanäle (Storage Channel) als auch Zeitkanäle (Timing Channel).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.8 Grundschutz++ DET.5.8 Bedrohungsanalyse Detektion SOLLTE verfügbare Informationen zu Bedrohungen, die für den Informationsverbund relevant sind, regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "verfügbare Informationen zu Bedrohungen, die für den Informationsverbund relevant sind,", "definitions": {}}, "guidance": "Bedrohungsaufklärung (Threat Intelligence) dient dem Sammeln und Analysieren von Informationen über bestehende oder aufkommende Bedrohungen, um fundierte Maßnahmen zur Verhinderung von Schäden zu ermöglichen und die Auswirkungen solcher Bedrohungen zu reduzieren. Sie kann in drei Schichten unterteilt werden: strategische Bedrohungsaufklärung (Austausch von Informationen auf hoher Ebene über die sich verändernde Bedrohungslandschaft), taktische Bedrohungsaufklärung (Informationen über Angreifermethoden, beteiligte Werkzeuge und Technologien) und operative Bedrohungsaufklärung (Details zu spezifischen Angriffen, einschließlich technischer Indikatoren). Die gesammelten Bedrohungsinformationen können analysiert und später genutzt werden, indem Prozesse implementiert werden können, um die aus Bedrohungsaufklärungsquellen gesammelten Informationen in die Risikomanagementprozesse einzubeziehen. Sie können als zusätzlicher Input für technische Präventiv- und Erkennungskontrollen wie Firewalls, Intrusion-Detection-Systeme oder Anti-Malware-Lösungen dienen sowie als Eingabe für die Testprozesse und -techniken der Informationssicherheit verwendet werden. Die Institution kann Bedrohungsinformationen auf gegenseitiger Basis mit anderen teilen, um die allgemeine Bedrohungsaufklärung zu verbessern. Dies kann einen kooperativen Ansatz zur Stärkung der gemeinsamen Sicherheitslage fördern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.8.1 Grundschutz++ DET.5.8.1 Auswertung öffentlicher Quellen Detektion KANN öffentliche Quellen auf Hinweise zu eigenen Schwachstellen anhand von Kriterien zur Suche regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "öffentliche Quellen auf Hinweise zu eigenen Schwachstellen", "definitions": {}}, "guidance": "Öffentliche Quellen können Hinweise zu aktuellen Schwachstellen geben oder sogar auf die Vorbereitung von Angriffen geben, beispielsweise auf die Nachahmung von Webseiten oder Marken, sowie Typosquatting. Auch Datenleaks wie API-Keys oder falsch konfigurierte Cloud-Systeme können hierüber aufgedeckt werden. Relevante öffentliche Quellen können z.B. Schwachstellendatenbanken, Fachmedien, Security Mailing Listen, Dark Web Foren, Code Repositories, Suchmaschinen oder Soziale Medien sein. Als Kriterien zur Auswahl können verschiedene Suchbegriffe oder Suchmuster herangezogen werden, z.B. Bezeichnungen verwendeter Betriebssysteme oder Komponenten, eigene DNS-Domains, E-Mailadressen, API-Schnittstellen, Markennamen. Die Umsetzung kann durch eigenes Personal oder Threat Intelligence Dienstleister erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien zur Suche}} {{regelmäßig}}", "definitions": {}}} DET.5.8 \N \N \N +Grundschutz++:DET.5.8.1.1 Grundschutz++ DET.5.8.1.1 Unautorisierte Publikation Detektion KANN öffentliche Quellen automatisiert auf Hinweise zur unautorisierten Veröffentlichung vertraulicher Daten überwachen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "öffentliche Quellen automatisiert auf Hinweise zur unautorisierten Veröffentlichung vertraulicher Daten", "definitions": {}}, "guidance": "Unautorisierte Veröffentlichungen liegen vor, wenn vertrauliche Daten ohne Autorisierung der Institution öffentlich gemacht wurden, z.B. personenbezogene Kundendaten oder Geschäftsgeheimnisse. Typische Quellen sind Soziale Netzwerke und Code-Sharing-Plattformen. Kann z.B. durch die automatisierte Suche nach unkritischen, aber in den Quelldaten vorhandenen Begriffen umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} DET.5.8.1 \N \N \N +Grundschutz++:DET.5.9 Grundschutz++ DET.5.9 Externe Schwachstellenmeldungen Detektion SOLLTE eine Vorgehensweise zur Entgegennahme und Behandlung von externen Schwachstellenmeldungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zur Entgegennahme und Behandlung von externen Schwachstellenmeldungen", "definitions": {}}, "guidance": "Ohne klar geregelten Umgang könnte eine Institution wertvolle Hinweise übersehen oder verzögert reagieren, was die Wahrscheinlichkeit eines Angriffs auf ungepatchte Ziele erhöht. Denkbar sind etwa Szenarien, in denen eine unbekannte Schwachstelle in einer öffentlich erreichbaren Webanwendung durch Dritte entdeckt wird und die Institution zwar kontaktiert wird, aber ohne geregelten Prozess keine Reaktion erfolgt – was einen erfolgreichen Angriff begünstigen könnte. Eine Institution kann diese Anforderung umsetzen, indem sie z. B. eine leicht auffindbare Kontaktmöglichkeit für Schwachstellenmeldungen bereitstellt – etwa eine dedizierte E-Mail-Adresse wie security@…, ein webbasiertes Formular oder die Eintragung eines „Security.txt“-Hinweises im Webauftritt (nach IETF RFC 9116). Sinnvoll kann es sein, klare Erwartungshaltungen zu kommunizieren, etwa welche Informationen eine Meldung enthalten sollte oder wie Rückmeldungen an Hinweisgeber erfolgen können. Auch ein internes Verfahren zur Kategorisierung und Priorisierung der eingehenden Hinweise kann helfen, Meldungen effizient zu bearbeiten. Eine Institution kann zudem in Erwägung ziehen, standardisierte Rückmeldungen vorzubereiten, um zeitnah bestätigen zu können, dass eine Meldung eingegangen ist, selbst wenn die inhaltliche Analyse noch aussteht. Sinnvoll ist auch ein freiwilliger Verhaltenskodex (z. B. ein „Responsible Disclosure Policy“-Hinweis) auf der eigenen Website, um Hinweisgebern einen rechtlich sicheren Rahmen für ihre Meldungen zu verdeutlichen. So entsteht ein klarer, reproduzierbarer Prozess, der externe Informationen in die eigene Sicherheitsarbeit einbindet und das Risiko minimiert, dass relevante Hinweise verloren gehen oder ungenutzt bleiben. Für Details siehe ISO/IEC 29147.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.9.1 Grundschutz++ DET.5.9.1 Bonusprogramm Detektion KANN ein Bonusprogramm für externe Schwachstellenmeldungen verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Bonusprogramm für externe Schwachstellenmeldungen", "definitions": {}}, "guidance": "Ein Bonusprogramm für externe Schwachstellenmeldungen (englisch häufig Bug Bounty Program) bezeichnet ein strukturiertes Verfahren, bei dem eine Institution freiwilligen Sicherheitsforschenden oder interessierten Dritten eine Belohnung für das Melden bislang unbekannter Sicherheitslücken anbietet. Dabei geht es nicht nur um finanzielle Prämien, sondern auch um nicht-monetäre Anerkennungen wie öffentliche Danksagungen oder Zertifikate. Sinn und Zweck liegt darin, externen Sicherheitsforschern oder -expertenen einen Anreiz zu geben, um Schwachstellen frühzeitig zu finden und zu melden. Zur Umsetzung kann eine Institution (1) transparente Regeln definieren, welche Systeme oder Anwendungen einbezogen sind (in scope) und welche nicht, (2) einen abgestuften Belohnungsrahmen anbieten, der den Schweregrad einer Schwachstelle berücksichtigt, sowie (3) die rechtlichen Rahmenbedingungen durch eine sogenannte „Safe-Harbor-Policy“ festlegen, die den Meldenden Schutz vor rechtlichen Schritten zusichert, solange diese verantwortungsvoll handeln. Ergänzend kann die Institution durch einfache organisatorische Hilfsmittel wie Ticketnummern, automatische Eingangsbestätigungen und zeitnahe Rückmeldungen Vertrauen schaffen und den weiteren Ablauf für externe Meldende nachvollziehbar gestalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} DET.5.9 \N \N \N +Grundschutz++:DET.5.10 Grundschutz++ DET.5.10 Zeitnahes Patchmanagement Detektion SOLLTE ein zeitnahes Patchmanagement verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein zeitnahes Patchmanagement", "definitions": {}}, "guidance": "Patches (Updates oder Sicherheitsaktualisierungen) sind neue Versionen, die Sicherheitslücken schließen. Je nach Aufbau der betroffenen Assets kann es bei der Aktualisierung auch erforderlich sein, Abhängigkeiten (Bibliotheken, Upstream Software) ebenfalls zu aktualisieren. Dies kann durch automatisierte Installation oder nach einem Test umgesetzt werden. Die Umsetzung kann auch den schrittweisen Rollout von Patches vorsehen, sodass bei Fehlern im Patch nicht alle Systeme gleichzeitig betroffen sind und auch komplexe Fehlerbilder durch Rückmeldungen frühzeitig erkannt werden können. Dies kann zum Beispiel nach dem One-Many-All-Prinzip oder Blue-Green-Deployment erfolgen. Zur Beurteilung der Kritikalität von Patches kann die Krititikalität der mit dem Patch verbundenen Schwachstellen, das Risikoprofil der zu patchenden Assets oder eine Korrelation komplexer Angriffswege herangezogen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.5.10.1 Grundschutz++ DET.5.10.1 Autorisierte Bezugsquellen Detektion SOLLTE Bezugsquellen für Patches autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Bezugsquellen für Patches", "definitions": {}}, "guidance": "Eine Quelle ist unzuverlässig, wenn zukünftig mit Verstößen gegen die Schutzziele Vertraulichkeit, Verfügbarkeit oder Integrität durch die Entität zu rechnen ist (d.h. eine Prognose der Vertrauenswürdigkeit). Dies ist insbesondere der Fall, wenn erhebliche Verstöße gegen die Schutzziele durch die Entität begangen worden sind oder Anzeichen dafür vorliegen, dass bei einer Verwendung mit solchen Verstößen zu rechnen ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}} DET.5.10 \N \N \N +Grundschutz++:DET.5.10.2 Grundschutz++ DET.5.10.2 Automatisierte Überwachung von Systemupdates Detektion für IT-Systeme SOLLTE den Patchstatus durch einen automatisierten Mechanismus überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Patchstatus", "definitions": {}}, "guidance": "Der Patchsstatus des Informationsverbundes kann dabei durch Kennzahlen bestimmt werden, z.B. durchschnittliche Zeit bis zum Patch (Mean Time To Patch), Prozentsatz aktuell gepatchter Assets, Anzahl offener/geschlossener Ausnahmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} DET.5.10 \N \N \N +Grundschutz++:DET.6.1.1 Grundschutz++ DET.6.1.1 Automatisierte Feststellung Detektion SOLLTE kritische Vorfälle anhand von Kriterien durch einen automatisierten Mechanismus protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kritische Vorfälle", "definitions": {}}, "guidance": "Zur Erfüllung der Anforderung ist es nicht erforderlich, dass alle denkbaren Sicherheitsvorfälle automatisch erkannt werden, sondern nur, dass diejenigen Vorfälle, die in der vorhandenen Infrastruktur automatisch feststellbar sind und mit einem hohen Risiko verbunden sind, automatisch festgestellt werden. Beispiele sind hier ein Virenbefall des zentralen Verzeichnisdienstes, unautorisierte Datenabflüsse oder das Aufbrechen eines Fensters im Sicherheitsbereich. Ressourcen meint hier z.B. Systeme, Zugangskonten, Datenkategorien.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}} durch {{einen automatisierten Mechanismus}}", "definitions": {}}} DET.6.1 \N \N \N +Grundschutz++:DET.5.10.3 Grundschutz++ DET.5.10.3 Automatisierte Überwachung von Anwendungsupdates Detektion für Anwendungen KANN den Patchstatus durch einen automatisierten Mechanismus überwachen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Patchstatus", "definitions": {}}, "guidance": "Eine nicht gepatchte Anwendung könnte als Einfallstor für Angreifer dienen, die bekannte Schwachstellen ausnutzen, um sich Zugang zu Systemen oder Daten zu verschaffen. Die Umsetzung kann beispielsweise auf einem Patch Management System (PMS) oder einem Vulnerability Management System (VMS) basieren. Ein Patch-Managementsystem kann beispielsweise so konfiguriert werden, dass es kontinuierlich die Versionen der installierten Software mit einer zentralen Datenbank für verfügbare Updates abgleicht. Auch die Nutzung eines Schwachstellen-Scanners, der im Netzwerk nach ungepatchten Anwendungen sucht, ist eine wirksame Maßnahme. Ein solcher Scanner könnte beispielsweise wöchentlich oder sogar täglich einen Scan durchführen und die Ergebnisse in einem Dashboard visualisieren. Wichtige prozessuale Tipps sind die Einrichtung von Benachrichtigungsworkflows, die sicherstellen, dass kritische Patch-Status-Änderungen sofort an die richtigen Personen eskaliert werden, sowie die Integration der Überwachungsergebnisse in ein zentrales Incident Response System. Dies kann helfen, die Reaktionszeit zu verkürzen, sodass die Anwendungen schnellstmöglich aktualisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} DET.5.10 \N \N \N +Grundschutz++:DET.5.10.4 Grundschutz++ DET.5.10.4 Integritätsprüfung von Patches Detektion SOLLTE Patches vor der Installation auf Integrität testen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Patches vor der Installation auf Integrität", "definitions": {}}, "guidance": "Wenn Patches durch Fehler bei der Übertragung oder sogar bewusst von Angreifern verändert wurden, kann dies nach der Installation zu nicht behebbaren Fehlerzuständen oder zur Verbreitung von Schadcode führen. Kann durch einen Abgleich von Prüfsummen umgesetzt werden, z.B. durch automatisierte Installationsroutinen oder einen manuellen Abgleich mit der Herstellerwebseite.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}} DET.5.10 \N \N \N +Grundschutz++:DET.5.10.5 Grundschutz++ DET.5.10.5 Test gemäß Änderungsmanagement Detektion KANN Patches entsprechend der Anforderungen der Praktik „Änderungen und Tests“ ausführen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Patches entsprechend der Anforderungen der Praktik „Änderungen und Tests“", "definitions": {}}, "guidance": "Stellt sicher, dass Patches zusammen mit anderen Änderungen geprüft werden und trennt zwischen „Routine“- und „Notfall“-Änderungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Management von Schwachstellen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} DET.5.10 \N \N \N +Grundschutz++:DET.6.1 Grundschutz++ DET.6.1 Beurteilung von Ereignissen Detektion SOLLTE ein Verfahren zur Beurteilung von sicherheitsrelevanten Ereignissen anhand von Kriterien verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Beurteilung von sicherheitsrelevanten Ereignissen", "definitions": {}}, "guidance": "Aus einer größeren Menge von sicherheitsrelevanten Ereignissen kann durch Filterung und Korrelation eine kleinere Menge sicherheitskritischer Ereignisse destilliert werden. Dies bedeutet, dass aus allen möglichen Sicherheitsereignissen (wie Zugriffsversuche, Systemänderungen, Netzwerkverkehr) besonders auf die potenziell gefährlicheren oder wichtigeren Ereignisse geachtet wird. Für die Definition eines sicherheitskritischen Ereignisses, siehe Glossar (Namensräume des Grundschutz++). Die Filterung erfolgt sinnvollerweise automatisiert, z.B. durch SIEM, EDR. Die Überwachung kann anhand von bestimmten Begriffen (z.B. \\"login from unknown device\\", \\"blocked malware\\", \\"permission changed\\") oder durch Anomalieerkennung erfolgen. Aufgrund der Vielzahl an möglichen Ereignissen sind detaillierte Kriterien nur schwer festzulegen. Die Kriterien können sich daher auch an einem überschaubaren Schema, etwa einer Abschätzung der Auswirkungen auf die Geschäftsprozesse und gesetzlichen Meldepflichten, orientieren. Sobald ein solches kritisches Ereignis erkannt wird, erfolgt eine Bewertung durch definierte Personen oder Rollen. Diese entscheiden, ob das Ereignis tatsächlich als Sicherheitsvorfall eingestuft werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} \N \N \N \N +SCF:EMB-14 SCF EMB-14 Operating Environment Certification Mechanisms exist to determine if embedded technologies are certified for secure use in the proposed operating environment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-14_EMB-14_A01", "name": "assessment-objective", "prose": "embedded technologies certifications are verified for use in the proposed operating environment."}]} \N \N \N \N +Grundschutz++:DET.6.1.2 Grundschutz++ DET.6.1.2 Automatische Alarmierung Detektion SOLLTE bei sicherheitskritischen Ereignissen eine Alarmierung von für die Vorfallsbehandlung zuständigen Personen oder Rollen durch einen automatisierten Mechanismus ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei sicherheitskritischen Ereignissen eine Alarmierung von {{für die Vorfallsbehandlung zuständigen Personen oder Rollen}}", "definitions": {}}, "guidance": "Für die Definition eines sicherheitskritischen Ereignisses, siehe Glossar (Namensräume des Grundschutz++). Bewährt hat sich hierzu der Einsatz eines Security Information and Event Management Systems (SIEM), das die Audit Logs verschiedener Hersteller auf Ereignisse überprüfen und diese korrelieren kann. Passen Sie Schwellwerte und Kriterien so an, dass keine Alarmmüdigkeit (alert fatigue) beim Personal aufkommt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} DET.6.1 \N \N \N +Grundschutz++:DET.6.1.3 Grundschutz++ DET.6.1.3 Dokumentation von Ergebnissen Detektion KANN Analyseergebnisse dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Analyseergebnisse", "definitions": {}}, "guidance": "Die Aufzeichnung von Beurteilungsergebnissen und Entscheidungen bei Sicherheitsvorfällen dient als rechtssichere Nachweisführung und ermöglicht retrospektive Analysen zur kontinuierlichen Prozessverbesserung. Sie stellt außerdem sicher, dass die Vorfälle während und nach der Behandlung strukturiert aufgearbeitet werden können. Zweckmäßig ist es dabei, möglichst viele hilfreiche Informationen automatisch mitzuerfassen, z.B. welche Fehlermeldung genau aufgetreten ist oder welche Schwellwerte bis zu welchem Wert genau überschritten worden sind. Kann auch durch ein SIEM umgesetzt werden, welches Informationen zu kritischen Ereignissen abspeichert. Die Umsetzung kann mit einem standardisierten Dokumentationssystem erfolgen, das alle relevanten Metadaten erfasst: Zeitstempel, beteiligte Personen, Begründungen für Entscheidungen sowie konkrete Maßnahmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} DET.6.1 \N \N \N +Grundschutz++:DET.6.2 Grundschutz++ DET.6.2 Beurteilung von Eingängen Detektion SOLLTE ein Verfahren zur Beurteilung von Datei-Eingängen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein Verfahren zur Beurteilung von Datei-Eingängen", "definitions": {}}, "guidance": "Kann beispielsweise ein Virenscanner eine Datei nicht überprüfen, weil sie mit einem Passwort geschützt ist, erhalten Nutzende die Datei erst, wenn sie durch das für Detektion zuständige Personal freigegeben wurde. Dazu muss die Datei aus einer vertrauenswürdigen Quelle stammen und keine Anzeichen für einen Angriff vorliegen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.6.2.1 Grundschutz++ DET.6.2.1 Dynamische Sandbox-Analyse Detektion KANN verdächtige Dateien in einer isolierten Umgebung mindestens anhand von aufgebauten Netzverbindungen, Systemaufrufen und Dateizugriffen testen. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "verdächtige Dateien in einer isolierten Umgebung", "definitions": {}}, "guidance": "Eine dynamische Sandbox Analyse ist die Ausführung des verdächtigen Codes in einer isolierten Umgebung, aus der eine Anwendung nicht durch Ausführung von Systembefehlen ausbrechen kann (Sandbox Detonation). Sie ermöglicht die sichere Untersuchung potenziell schädlicher Dateien in einer isolierten Umgebung, um deren tatsächliches Verhalten zu beobachten. Eine dynamische Analyse kann verschiedene verdächtige Aktivitäten erfassen: Dateisystemoperationen wie das Erstellen, Ändern oder Löschen von Dateien; Registry-Modifikationen, besonders in Autostart-Bereichen; Netzwerkverhalten einschließlich externer Verbindungsversuche und Datenexfiltration; Prozessverhalten wie Injektionstechniken oder unerwartete Kindprozesse; Speichermanipulationen; Persistenzmechanismen wie Dienste oder geplante Aufgaben; Anti-Analyse-Techniken zur Erkennung virtueller Umgebungen; sowie ungewöhnliche API-Aufrufe wie kryptografische Funktionen oder Sicherheitsumgehungen. Die Sandbox kann dabei mit ausreichender Laufzeit, Netzwerksimulation und Snapshot-Funktionen ausgestattet werden, um auch verzögerte oder umgebungsspezifische Schadfunktionen zu erkennen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "mindestens anhand von aufgebauten Netzverbindungen, Systemaufrufen und Dateizugriffen", "definitions": {}}} DET.6.2 \N \N \N +Grundschutz++:KONF.3.6 Grundschutz++ KONF.3.6 Fernlöschung oder -sperre Konfiguration für Endgeräte KANN eine Funktion zur Fernlöschung oder -sperre aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Funktion zur Fernlöschung oder -sperre", "definitions": {}}, "guidance": "Eine automatische Fernlöschung meint hier die technische Möglichkeit, gespeicherte Daten eines Endgeräts über eine externe Steuerung dauerhaft zu entfernen, während eine Fernsperre das Gerät durch zentral initiierte Befehle unbenutzbar macht, ohne die Daten selbst zu löschen. Funktionen zur Fernlöschung (Remote Wiping) sind insbesondere relevant auf allen mobilen Endgeräten, damit bei Bedarf (z.B. wenn das Endgerät verloren geht oder gestohlen wird) alle Daten auf dem Gerät aus der Ferne gelöscht werden können. Ohne eine solche Funktion könnte ein verlorenes, vergessenes oder unzureichend zurückgesetztes Gerät Daten preisgeben oder unbefugt weiterverwendet werden. Für stationäre Endgeräte ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DET.6.2.2 Grundschutz++ DET.6.2.2 Datenträgerschleuse Detektion KANN Datenträgerschleusen installieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Datenträgerschleusen", "definitions": {}}, "guidance": "Eine Datenträgerschleuse ist ein vom restlichen Netz der Institution getrenntes System zur Erkennung von Schadprogrammen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Detektion / Vorfallserkennung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} DET.6.2 \N \N \N +Grundschutz++:REA.1.1 Grundschutz++ REA.1.1 Verfahren und Regelungen Sicherheitsvorfallsbehandlung MUSS Verfahren und Regelungen zur Behandlung von Sicherheitsvorfällen verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Behandlung von Sicherheitsvorfällen", "definitions": {}}, "guidance": "Bei Sicherheitsvorfällen gilt es, schnell und systematisch zu reagieren, um weitere Schäden von Daten, Assets oder Personen abzuwenden. Auch erfahrene Experten benötigen dafür klare Anleitungen, um keine Arbeitsschritte zu vergessen oder rechtlichen Unsicherheiten bei der Ermittlung von Ursachen und Ergreifung von Gegenmaßnahmen ausgesetzt zu sein. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Prozess Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.1.1.1 Grundschutz++ REA.1.1.1 Dokumentation Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} REA.1.1 \N \N \N +Grundschutz++:REA.1.1.2 Grundschutz++ REA.1.1.2 Zuweisung der Aufgaben Sicherheitsvorfallsbehandlung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es, die Zuweisung anhand von Rollen (z. B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} REA.1.1 \N \N \N +Grundschutz++:REA.1.1.3 Grundschutz++ REA.1.1.3 Bekanntgabe Sicherheitsvorfallsbehandlung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} REA.1.1 \N \N \N +Grundschutz++:REA.1.2 Grundschutz++ REA.1.2 Regelmäßige Überprüfung Sicherheitsvorfallsbehandlung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.1.3 Grundschutz++ REA.1.3 Übungen zur Vorfallsbehandlung Sicherheitsvorfallsbehandlung KANN die Abwehrfähigkeit durch Übungen regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Abwehrfähigkeit durch Übungen", "definitions": {}}, "guidance": "Komplexere Sicherheitsvorfälle treten auch in größeren Institutionen relativ selten auf. Gleichzeitig erfordern sie dann eine schnelle und kompetente Beurteilung und Behandlung. Um diese sicherzustellen, bietet sich eine regelmäßige Übung an, bei welcher der gesamte Lebenszyklus eines Vorfalls (von der Alarmierung über die Beweissicherung bis zur Nachbehandlung) geübt wird. Beispiele sind Simulationen von Datenleaks, Hacking-Angriffen oder des Ausfalls eines Rechenzentrums. Hierbei sind Übungen effektiver, wenn sie nicht nur theoretisch („nach Papierlage“) vorgenommen werden, sondern soweit wie möglich unter Realbedingungen, z.B. durch das Schwenken auf einen Ausweichsitz zu Zeiten, in denen dadurch keine Geschäftsprozesse beeinträchtigt werden. Zu einer Übung kann sowohl der Umgang mit technischen Werkzeugen als auch mit Verfahrensweisen, Zuständigkeiten im Team und Vertretungsregelungen gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.1 Grundschutz++ REA.2.1 Triage und Erstreaktion Sicherheitsvorfallsbehandlung SOLLTE Meldungen einer Priorität zuweisen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Meldungen einer Priorität", "definitions": {}}, "guidance": "Triage ist ein strukturiertes Vorgehen zur Priorisierung und Ersteinschätzung von Sicherheitsvorfällen, mit dem Ziel, rasch und effizient auf Bedrohungen zu reagieren, Ressourcen gezielt einzusetzen und weitere Schäden zu minimieren. Dabei wird festgestellt, welche Vorfälle sofortige Aufmerksamkeit benötigen, welche weiter analysiert oder beobachtet werden oder irrelevante Fehlalarme sind. Kritische Vorfälle können z.B. ein Virenfund auf einem Server, Ransomwarevorfälle oder Spionage durch professionelle Täter sein. Die Umsetzung kann auch automatisiert durch EDR/SOAR geschehen. Eine Erstreaktion ist eine schnelle Handlung, die dazu dient, weitere Schäden wie eine Ausbreitung von Angriffen oder Störungen in Geschäftsprozessen zu vermeiden. Sie kann z.B. in der Abschaltung betroffener Systeme, der Deaktivierung eines Zugangskonto, der Information Nutzender über eine Störung oder der Aktivierung eines Ausweichrechenzentrums bestehen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.2 Grundschutz++ REA.2.2 Automatische Erstreaktion Sicherheitsvorfallsbehandlung KANN eine automatische Erstreaktion aktivieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Erstreaktion", "definitions": {}}, "guidance": "Die automatische Erstreaktion kann je nach Risikoprofil durch institutionseigene Host- oder Network Intrusion Prevention Systeme (HIPS / NIPS) oder eine vergleichbare Cloud-Lösung umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.3 Grundschutz++ REA.2.3 Dokumentation von Vorfällen Sicherheitsvorfallsbehandlung SOLLTE den Vorfall dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Vorfall", "definitions": {}}, "guidance": "Dokumentation des Vorfalls meint hier die nachvollziehbare, strukturierte und revisionssichere Aufzeichnung aller für eine spätere Auswertung relevanten Informationen zu einem Sicherheitsvorfall („security incident“). Dazu gehören insbesondere Zeitpunkt, Art, Ausmaß, betroffene Systeme oder Daten sowie eingeleitete Sofortmaßnahmen. Sie dient nicht allein der internen Nachvollziehbarkeit, sondern potenziell auch der rechtlichen Beweissicherung („evidence preservation“) und Verbesserung des Sicherheitsmanagements. Eine lückenhafte oder unvollständige Dokumentation könnte dazu führen, dass Ursachenanalysen fehlschlagen, Wiederholungen nicht verhindert werden oder rechtliche Nachweispflichten – etwa im Rahmen von Datenschutzvorfällen – nicht erfüllt werden könnten. Eine sorgfältig geführte Aufzeichnung kann dagegen die Transparenz im Incident-Handling erhöhen, interne Lernprozesse fördern und Verantwortlichkeiten eindeutig nachvollziehbar machen. Sinnvolle Varianten der Umsetzung können in Form von (1) standardisierten Incident-Report-Templates, (2) elektronischen Ticket- oder Case-Management-Systemen zur Vorfallserfassung oder (3) forensischen Protokollen mit Zeitstempeln und Beweismitteln erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.5 Grundschutz++ KONF.4.5 Zeitquellen Konfiguration für IT-Systeme SOLLTE Zeitquellen autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zeitquellen", "definitions": {}}, "guidance": "Eine einheitliche Zeitquelle für die Systemuhr (meist über NTP oder PTP) ist essenziell für die einheitliche Auswertung von Logdateien, sowie für moderne kryptographische Verfahren. Es empfiehlt sich zu definieren, welche NTP-Server von welchen NTP-Clients genutzt werden sollen und ob NTP-Server im Broadcast-Modus oder im Client-Server-Modus arbeiten. Letzteres (Client-Server) ist hierbei Best Practice. In bestimmten Fällen empfiehlt es sich außerdem, dass sich NTP-Server bei der Kommunikation gegenüber Clients authentisieren und demnach NTP-Clients nur authentifizierte NTP-Daten akzeptieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.4 Grundschutz++ REA.2.4 Diagnosedaten Sicherheitsvorfallsbehandlung SOLLTE Diagnosemethoden für den Fall, dass der Vorfall sich mit den standardisiert erfassten Informationen nicht ausreichend analysieren lässt, verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Diagnosemethoden", "definitions": {}}, "guidance": "Der Begriff Diagnosemethoden bezeichnet in diesem Kontext strukturierte Verfahren, Werkzeuge oder Analyseansätze, die eingesetzt werden können, um bei Sicherheitsvorfällen zusätzliche Informationen zu gewinnen, wenn die standardisierten Erstinformationen nicht ausreichen. Der Sinn der Vorschrift liegt darin, die Gefahr zu reduzieren, dass ein Vorfall unvollständig verstanden bleibt und dadurch falsche Entscheidungen getroffen werden. Eine Institution kann die Anforderung durch verschiedene technische und prozessuale Maßnahmen abbilden. So kann sie (1) erweiterte Protokollierungsoptionen aktivieren, etwa durch temporäres Erhöhen von Log-Levels in relevanten Systemen, (2) Datensicherungen einzelner betroffener Systeme, Anwendungen oder Netzwerksegmente vornehmen, um die Nachvollziehbarkeit zu gewährleisten, und (3) spezielle Analysewerkzeuge einsetzen, beispielsweise für Speicherabbilder oder Netzwerkanomalien. Ergänzend kann es sinnvoll sein, ein Playbook mit typischen Diagnosepfaden für häufige Vorfallarten bereitzuhalten, sodass Mitarbeitende bei Bedarf gezielt auf tiefergehende Analysen zurückgreifen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für den Fall, dass der Vorfall sich mit den standardisiert erfassten Informationen nicht ausreichend analysieren lässt,", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.5 Grundschutz++ REA.2.5 IT-Forensik Sicherheitsvorfallsbehandlung KANN eine forensische Analyse bei Vorfällen, die bestimmte Kriterien erfüllen, ausführen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Advanced Persistent Threats (APT)", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine forensische Analyse", "definitions": {}}, "guidance": "Bei einer forensischen Analyse werden Beweise gesichert und Erkenntnisse zur Verbesserung von Schutzmaßnahmen gegen künftige Vorfälle gewonnen. Die Kriterien richten sich nach dem Schutzbedarf der betroffenen Informationen, Compliance-Verpflichtungen und dem Risikoprofil der Institution als Ganzes. Kriterien können, z.B. Anzeichen für einen (auch teilweise) erfolgreichen, gezielten Angriff, eine Straftat im Zusammenhang mit der Informationsverarbeitung oder eine Kompromittierung schützenswerter Informationen sein. Die Forensik kann durch eigenes qualifiziertes Personal oder durch einen im Vorfeld festgelegten, im Ernstfall zu beauftragenden Dienstleister geschehen. Zur Vorgehensweise können sowohl technische Werkzeuge, als auch rechtliche Rahmenbedingungen und Dokumentationsvorgaben gehören. Für Details siehe BSI-Leitfaden „IT-Forensik“.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Vorfällen, die {{bestimmte Kriterien}} erfüllen,", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.5.1 Grundschutz++ REA.2.5.1 Rechtssichere Beweissicherung Sicherheitsvorfallsbehandlung SOLLTE rechtlich relevante Beweise rechtssicher dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "rechtlich relevante Beweise", "definitions": {}}, "guidance": "Rechtlich relevant sind Beweise, wenn Anzeichen dafür vorliegen, dass bei einem Sicherheitsvorfall gegen Compliance-Verpflichtungen oder interne Arbeitsanweisungen verstoßen wurde. Beispiele sind Vorfälle wie z.B. unberechtigten Zugriffen oder Manipulationen von Daten. Beweise sind rechtssicher dokumentiert, wenn nachvollziehbar ist, wie sie erhoben wurden und sie außerdem sowohl gegen unautorisierte Einsicht als auch Veränderung geschützt aufbewahrt werden. Die Nachvollziehbarkeit von Veränderungen kann z.B. durch eine kryptografische Signatur oder getrennt aufbewahrte Checksummen sichergestellt werden. Außerdem ist es sinnvoll, die Originaldaten aufzubewahren, z.B. als Originaldatenträger oder Sicherungskopie. Für Details siehe BSI-Leitfaden „IT-Forensik“.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "rechtssicher", "definitions": {}}} REA.2.5 \N \N \N +Grundschutz++:REA.2.5.2 Grundschutz++ REA.2.5.2 Vier-Augen-Prinzip Sicherheitsvorfallsbehandlung KANN zur Forensik ein Vier-Augen-Prinzip verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "zur Forensik ein Vier-Augen-Prinzip", "definitions": {}}, "guidance": "Wenn IT-Forensische Untersuchungen alleine vorgenommen werden, könnte das dokumentierte Vorgehen und damit die Stichhaltigkeit der Beweise bei einer gerichtlichen Überprüfung angezweifelt werden. Besser ist es, solche Untersuchungen gemeinsam mit einem Zeugen vorzunehmen, der qualifiziert ist zu beurteilen, welche Arbeitsschritte dabei vorgenommen wurden. Der Zeuge beglaubigt insbesondere die Prüfsummen der Dokumentation. Allerdings ist es auch ohne Vier-Augen-Prinzip möglich Belege für ein korrektes Vorgehen zu erbringen, beispielsweise durch Vorlage der unveränderten originalen Speichermedien.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} REA.2.5 \N \N \N +Grundschutz++:REA.2.5.3 Grundschutz++ REA.2.5.3 Forensik-Dienstleister Sicherheitsvorfallsbehandlung KANN die Bereitschaft eines Forensik-Dienstleisters binnen einer Frist vereinbaren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereitschaft eines Forensik-Dienstleisters", "definitions": {}}, "guidance": "Um im Ernstfall eine schnelle Untersuchung von Sicherheitsvorfällen zu ermöglichen, kann die Institution bereits unabhängig von einem Vorfall einen Vertrag mit einem qualifizierten Forensik-Dienstleister abschließen. Die Anforderung ist erst umgesetzt, wenn der Dienstleister für den Ernstfall eine Erstreaktion innerhalb einer bestimmten Frist garantiert. Die Untersuchung aller Ergebnisse kann die Frist überschreiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Liste der Hersteller und Dienstleister", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "vereinbaren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "binnen {{einer Frist}}", "definitions": {}}} REA.2.5 \N \N \N +Grundschutz++:REA.2.6 Grundschutz++ REA.2.6 Ursachenanalyse und Behandlung Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Ursachenanalyse und Behandlung verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zur Ursachenanalyse und Behandlung", "definitions": {}}, "guidance": "Um einen Vorfall vollständig beheben zu können, ist es zweckmäßig, zunächst zu analysieren, wie der Vorfall zustande kam (Root Cause Analysis): Welche Personen und Systeme sind betroffen? Welche systematischen Schwachstellen haben zu dem Vorfall geführt? Die Behebung des Vorfalls orientiert sich dann an diesen Erkenntnissen, z.B. durch Schließen der Sicherheitslücken und Wiederherstellung von Daten und Anwendungen. Je nach Vorfall kann die Behandlung durch das Schließen ausgenutzter Sicherheitslücken, einem Test anderer IT-Systeme auf vergleichbare Schwachstellen oder dem Austausch betroffener IT-Systeme, Anwendungen oder Datenbestände umgesetzt werden. Sind die Originaldaten oder -Systeme nicht mehr zu retten, so kann die Neuinstallation betroffener Systeme und die Wiederherstellung von Daten aus Backups eine Möglichkeit der Behandlung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.2.6.1 Grundschutz++ REA.2.6.1 Dokumentation des Vorgehens Sicherheitsvorfallsbehandlung SOLLTE die zur Behandlung durchgeführten Tätigkeiten dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zur Behandlung durchgeführten Tätigkeiten", "definitions": {}}, "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} REA.2.6 \N \N \N +Grundschutz++:REA.2.6.2 Grundschutz++ REA.2.6.2 Kommunikation bei Vorfällen Sicherheitsvorfallsbehandlung SOLLTE eine Vorgehensweise zur Kommunikation bei Vorfällen unter Berücksichtigung von Compliance-Verpflichtungen, Bedürfnissen der interessierten Parteien und der Geschäftsziele verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kontakt mit Behörden", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Vorgehensweise zur Kommunikation bei Vorfällen", "definitions": {}}, "guidance": "Hierzu gehören beispielsweise Meldepflichten gegenüber Aufsichts- oder Ermittlungsbehörden oder die Information Betroffener. Für personenbezogene Daten siehe auch Art. 34 DSGVO. Für weitere Details siehe ISO/IEC 27035. Bei den Compliance-Verpflichtungen sind einerseits Verpflichtungen zu beachten, die eine Meldung oder einen bestimmten Umfang für Meldungen fordern (z.B. Art. 33 DSGVO), andererseits aber auch Verpflichtungen zur Wahrung der Vertraulichkeit, z.B. aus dem Datenschutz, vertraglicher Pflichten zur Wahrung fremder Geschäftsgeheimnisse oder der staatlichen Geheimhaltung. Im Zweifelsfall ist hier die Inanspruchnahme interner oder externer Rechtsberatung hier empfehlenswert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "unter Berücksichtigung von Compliance-Verpflichtungen, Bedürfnissen der interessierten Parteien und der Geschäftsziele", "definitions": {}}} REA.2.6 \N \N \N +Grundschutz++:REA.2.6.2.1 Grundschutz++ REA.2.6.2.1 Information zuständiger Behörden Sicherheitsvorfallsbehandlung SOLLTE bei Vorfällen die zuständigen Behörden im Einklang mit den Compliance-Verpflichtungen informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kontakt mit Behörden", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Vorfällen die zuständigen Behörden", "definitions": {}}, "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Compliance-Verpflichtungen", "definitions": {}}} REA.2.6.2 \N \N \N +Grundschutz++:REA.2.6.3 Grundschutz++ REA.2.6.3 Koordinierung Sicherheitsvorfallsbehandlung SOLLTE die Koordinierung bei Vorfällen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Koordinierung bei Vorfällen", "definitions": {}}, "guidance": "Die Koordinierung der Behandlung von Sicherheitsvorfällen dient dazu, die Auswirkungen auf Daten, Systeme oder Personen zu minimieren, Compliance-Verpflichtungen zu erfüllen und die Wirksamkeit von Gegenmaßnahmen zu verstärken. Hierzu gehören interessierte Parteien wie Aufsichts- und Ermittlungsbehörden, Lieferanten oder Kunden. Für weitere Details siehe ISO/IEC 27035.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} REA.2.6 \N \N \N +Grundschutz++:REA.2.6.4 Grundschutz++ REA.2.6.4 Service Level Sicherheitsvorfallsbehandlung KANN Service Level verankern. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Service Level", "definitions": {}}, "guidance": "Service Level bei der Sicherheitsvorfallsbehandlung legen verbindliche Zielvorgaben für Reaktions- und Bearbeitungszeiten fest, z. B. wie schnell ein Sicherheitsvorfall erkannt, bestätigt, eingestuft und gelöst werden muss. Damit wird sichergestellt, dass alle Beteiligten klare Erwartungen an Schnelligkeit und Qualität der Reaktion haben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} REA.2.6 \N \N \N +Grundschutz++:REA.2.6.5 Grundschutz++ REA.2.6.5 Eskalation Sicherheitsvorfallsbehandlung SOLLTE eine Eskalationsleiter verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Eskalationsleiter", "definitions": {}}, "guidance": "Eine Eskalationsleiter (engl. escalation matrix oder escalation path) bezeichnet in diesem Kontext eine festgelegte Reihenfolge von Melde- und Entscheidungsstufen, die im Falle eines Sicherheitsvorfalls eingehalten wird, um eine zeitgerechte und angemessene Reaktion sicherzustellen. Sie definiert, welche Rollen oder Funktionen bei bestimmten Schweregraden eines Vorfalls informiert, einbezogen oder zur Entscheidung befugt sind. Der Begriff ist hier prozessual zu verstehen, also nicht als hierarchische Personalstruktur, sondern als abgestufter Kommunikations- und Entscheidungsmechanismus innerhalb des Sicherheitsvorfallsprozesses. Der Zweck einer solchen Eskalationsleiter liegt darin, dass sicherheitsrelevante Ereignisse nicht auf operativer Ebene „steckenbleiben“, sondern in ihrer Kritikalität und potenziellen Auswirkung auf höhere Entscheidungsebenen eskaliert werden können. Dadurch kann verhindert werden, dass etwa ein anhaltender Systemausfall, ein möglicher Datenabfluss oder ein Angriff auf kritische Systeme unbemerkt bleibt oder verspätet adressiert wird. Eine wirksam verankerte Eskalationsleiter kann somit sicherstellen, dass die Reaktionszeit kurz, die Zuständigkeiten eindeutig und die Kommunikation nachvollziehbar bleiben. Hier empfiehlt es sich die Anforderung im Zusammenhang mit Notfallplänen, Krisenmanagement und Business Continuity Management zu betrachten – siehe auch Praktik Notfallplanung. Beispiele für Eskalationsstufen: (1) Ereignis, (2) sicherheitsrelevantes Ereignis, (3) sicherheitskritisches Ereignis, (4) Sicherheitsvorfall, (5) Notfall (siehe Notfallplanung), (6) Krise. Die Einstufung erfolgt entsprechend der Definition, die jede Institution für sich festlegt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Reaktion", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} REA.2.6 \N \N \N +Grundschutz++:REA.3.1 Grundschutz++ REA.3.1 Verbesserung durch Erkenntnisse Sicherheitsvorfallsbehandlung SOLLTE bisherige Maßnahmen anhand von Erkenntnissen aus Informationssicherheitsvorfällen regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Kompetenzmanagement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bisherige Maßnahmen anhand von Erkenntnissen aus Informationssicherheitsvorfällen", "definitions": {}}, "guidance": "Erkenntnisse meint hier sowohl technische Aspekte („technical findings“), organisatorische Schwachstellen („process deficiencies“) als auch menschliche Faktoren („human factors“). Dabei ist es zielführend, sich nicht nur auf die unmittelbaren Ursachen zu beschränken (z.B. „Administrierende haben vergessen eine abhängige Komponente zu aktualisieren“), sondern nach den tieferen prozessualen oder technischen Ursachen zu suchen (sog. Root Cause Analyse), z.B. „Abhängigkeiten wurden bislang nicht dokumentiert“. Dabei kann es helfen, wenn alle Beteiligten verstehen, dass es nicht um Schuldzuweisungen geht, sondern um kontinuierliche Verbesserung der Informationssicherheit. Neben technischen Verbesserungen sind dabei auch organisatorische Maßnahmen sinnvoll. Beispielsweise können reale Beispiele in Schulungen verwendet werden, was die Bedeutung für die tägliche Arbeit der Teilnehmenden verdeutlicht und ähnliche Vorfälle in Zukunft vermeiden hilft. Ein regelmäßiger Überprüfungsrhythmus – regelmäßig kann hier je nach Kritikalität der Systeme etwa quartalsweise, halbjährlich oder nach jedem relevanten Vorfall bedeuten – dient dazu, bestehende sicherheitsrelevante Maßnahmen anhand der aus Vorfällen gewonnenen Erkenntnisse neu zu bewerten. Die regelmäßige Überprüfung kann verhindern, dass sich Schwachstellen verfestigen, die sonst unentdeckt bleiben könnten, beispielsweise unerkannte Fehlkonfigurationen oder wiederkehrende Bedienfehler, die bei zukünftigen Angriffen ausgenutzt werden könnten. Gleichzeitig kann sie dazu beitragen, dass eingeführte Verbesserungen nachhaltig wirken und im Alltag nicht wieder verwässern, was die Resilienz der Institution erhöhen kann. Mögliche Optionen reichen von strukturierten Lessons-Learned-Sitzungen über die Pflege eines Katalogs wiederkehrender Ursachen bis hin zur Integration von Anpassungen in technische Härtungsmaßnahmen oder Arbeitsanweisungen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Nachbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:REA.3.1.1 Grundschutz++ REA.3.1.1 Quantitative Analyse Sicherheitsvorfallsbehandlung SOLLTE Erkenntnisse einschließlich Art, Umfang und Schäden des Vorfalls dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Erkenntnisse", "definitions": {}}, "guidance": "Die Erkenntnisse (findings) umfassen hier eine systematisch strukturierte Auswertung eines Informationssicherheitsvorfalls (security incident), wobei Art die konkrete Typisierung des Ereignisses meint (z.B. unbefugter Zugriff, Fehlkonfiguration, Manipulation), Umfang die tatsächlich betroffenen IT-Systeme, Daten oder Prozesse beschreibt (impact scope) und Schäden sowohl technische als auch betriebswirtschaftliche Beeinträchtigungen bezeichnet (damage bzw. loss). Solch strukturierte Informationen können helfen, wiederkehrende Angriffsmuster oder Probleme zu erkennen und so die Eintrittswahrscheinlichkeit oder das Schadensausmaß zukünftiger Vorfälle zu verringern, während unzureichend dokumentierte Erkenntnisse dazu führen könnte, dass Ursachen im Dunkeln bleiben oder Gegenmaßnahmen nicht auch auf zukünftige Vorfälle wirken können. In der praktischen Umsetzungbietet bietet es sich dazu an Incident-Reports zu erstellen, die sowohl eine quantiative Einordnung anhand von Klassifikationsschemata, als auch eine qualitative Beschreibung von Ursache und Gegenmaßnamen erfasst wird. Diese Berichte können beispielsweise in ein zentrales, revisionssicheres Register für Vorfallsdokumentationen oder herstellerneutralen Ticket- oder IR-Tools abgelegt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Sicherheitsvorfallsbehandlung / Nachbereitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Behandlung von Sicherheitsvorfällen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Art, Umfang und Schäden des Vorfalls", "definitions": {}}} REA.3.1 \N \N \N +Grundschutz++:KONF.1.1 Grundschutz++ KONF.1.1 Verfahren und Regelungen Konfiguration MUSS Verfahren und Regelungen zum Konfigurationsmanagement verankern. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zum Konfigurationsmanagement", "definitions": {}}, "guidance": "Die Umsetzung kann in einem eigenen Prozess, oder integriert in andere Prozesse und Aufgaben erfolgen. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.1.1.1 Grundschutz++ KONF.1.1.1 Dokumentation Konfiguration MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} KONF.1.1 \N \N \N +Grundschutz++:KONF.1.1.2 Grundschutz++ KONF.1.1.2 Zuweisung der Aufgaben Konfiguration MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} KONF.1.1 \N \N \N +Grundschutz++:KONF.1.1.3 Grundschutz++ KONF.1.1.3 Bekanntgabe Konfiguration MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} KONF.1.1 \N \N \N +Grundschutz++:KONF.1.2 Grundschutz++ KONF.1.2 Regelmäßige Überprüfung Konfiguration MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.1.3 Grundschutz++ KONF.1.3 Management von Werkzeugen Konfiguration SOLLTE verwendete Konfigurationswerkzeuge einschließlich Verwendungszweck und Herkunft dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "verwendete Konfigurationswerkzeuge", "definitions": {}}, "guidance": "Der Begriff Konfigurationswerkzeuge bezeichnet in diesem Zusammenhang alle technischen Hilfsmittel, mit denen Systemeinstellungen erstellt, verändert oder verwaltet werden – beispielsweise Skriptsprachen, Automatisierungs-Frameworks, Versionsverwaltungswerkzeuge oder grafische Konfigurationsoberflächen. Unter Verwendungszweck wird verstanden, welche Funktion das jeweilige Werkzeug innerhalb des Betriebs erfüllt, etwa für automatisierte Serverbereitstellung, Netzwerkkonfiguration oder Datenbankparametersteuerung. Mit Herkunft ist die Herkunft des Werkzeugs gemeint, d. h. ob es sich um Eigenentwicklungen, quelloffene Software oder kommerzielle Produkte handelt und aus welchen Quellen diese bezogen werden. Die Dokumentation dieser Punkte kann Transparenz schaffen und Nachvollziehbarkeit erhöhen, wodurch Fehlkonfigurationen oder Manipulationen schneller erkannt werden können. Ohne klare Übersicht könnte unklar bleiben, mit welchen Mitteln kritische Systeme verändert wurden, was die Ursachenanalyse im Störungsfall erheblich erschweren könnte. Eine saubere Dokumentation kann verhindern, dass nicht vertrauenswürdige oder nicht mehr gepflegte Werkzeuge unbemerkt im Betrieb verbleiben und so potenzielle Angriffsvektoren entstehen. Für die Umsetzung kann die Institution eine strukturierte Werkzeugliste führen, in der pro Eintrag neben Name, Version und Hersteller auch Zweck und Beschaffungsquelle vermerkt werden. Diese Liste kann in einem Konfigurations- oder Inventarsystem gepflegt werden, sodass Aktualisierungen automatisiert oder zumindest standardisiert erfolgen können. Praktisch kann es helfen, jedes neue Werkzeug vor Einsatz über ein Freigabeverfahren einzutragen und zu kennzeichnen, ob es intern geprüft wurde. Eine einfache Möglichkeit besteht darin, bestehende Versionskontrollsysteme oder zentrale Wiki-Seiten zu nutzen, die alle relevanten Informationen versioniert und nachvollziehbar speichern können. Dies kann auch durch eine Markierung der administrativen Werkzeuge im Inventar der Anwendungen umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Verwendungszweck und Herkunft", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.1.4 Grundschutz++ KONF.1.4 Einschränkung des Zugriffs auf Dokumentation Konfiguration SOLLTE den Zugriff auf dokumentierte Konfigurationen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf dokumentierte Konfigurationen", "definitions": {}}, "guidance": "„Dokumentierte Konfigurationen“ sind hierbei festgehaltene Einstellungen von IT-Systemen, Anwendungen, Netzwerken oder Sicherheitskomponenten, die in schriftlicher oder elektronischer Form vorliegen und den Sollzustand einer IT-Umgebung definieren. Der Zweck der Vorschrift liegt darin, die Integrität und Vertraulichkeit solcher Konfigurationsinformationen zu schützen. Ein unkontrollierter Zugriff könnte beispielsweise dazu führen, dass ein Unbefugter Passworteinstellungen oder Firewall-Regeln manipuliert. Aus der Konfiguration von IT-Systemen könnte ein Angreifer zudem wichtige Informationen zu möglichen Schwachstellen ablesen (z.B. bei technisch notwendiger Verwendung schwacher Verschlüsselungsalgorithmen oder unsicherer Authentisierungsprotokolle wie NTLM). Ein strikter Zugriffsschutz (z.B. durch restriktive Berechtigungen oder Verschlüsselung) verhindert den unberechtigten Zugriff zu diesen sensiblen Informationen. Praktisch hilfreich kann auch sein, Konfigurationen verschlüsselt abzulegen und bei elektronischen Repositories sogenannte „Branch Protection“-Mechanismen einzusetzen, sodass Änderungen nur über geprüfte Freigabeprozesse übernommen werden können. Auf Papier vorliegende Konfigurationen kann die Institution in verschlossenen Schränken oder Archiven mit eingeschränktem Personenkreis verwahren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.4.1 Grundschutz++ KONF.6.4.1 Rollenbasierte Privilegierung Konfiguration für IT-Systeme KANN rollenbasiertes Berechtigungsmanagement aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "rollenbasiertes Berechtigungsmanagement", "definitions": {}}, "guidance": "Rollenbasierte Administration schränkt die Berechtigungen administrativer Zugangskonten anhand von Rollen so ein, dass nur die jeweils erforderlichen Funktionen freigeschaltet sind. Dies kann z.B. mit Windows PowerShell Just Enough Administration (JEA) oder SELinux, AppArmor oder Sudoers umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.6.4 \N \N \N +Grundschutz++:KONF.1.5 Grundschutz++ KONF.1.5 Verschlüsselung von Konfigurationsgeheimnissen Konfiguration SOLLTE Konfigurationsgeheimnisse verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Konfigurationsgeheimnisse", "definitions": {}}, "guidance": "Konfigurationsgeheimnissen sind sensitive, nicht-öffentliche Daten, die von Systemen, Applikationen oder Diensten zur Laufzeit benötigt werden, um auf andere Ressourcen zuzugreifen oder ihre eigene Funktionalität sicherzustellen. Bekannte Beispiele sind Anmeldeinformationen wie Passwörter, Datenbank-Verbindungszeichenfolgen (Connection Strings), API-Schlüssel oder private Schlüssel von Zertifikaten; im Englischen wird hierfür übergreifend der Fachbegriff Secrets verwendet. Der Zweck dieser Vorschrift ist die Sicherstellung der Vertraulichkeit dieser hochsensiblen Informationen. Ungeschützt im Klartext hinterlegt, könnte ein Angreifer bei einem unautorisierten Zugriff auf Konfigurationsdateien, Quellcode-Verzeichnisse oder Backups diese Geheimnisse direkt auslesen und damit weitreichenden Zugriff auf angebundene Systeme oder Daten erlangen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.1 Grundschutz++ KONF.2.1 Grundkonfiguration für Systeme Konfiguration für IT-Systeme SOLLTE eine Grundkonfiguration dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Grundkonfiguration", "definitions": {}}, "guidance": "Eine Grundkonfiguration (engl. baseline configuration) bezeichnet hier einen dokumentierten Ausgangszustand, der alle sicherheitsrelevanten Einstellungen, Dienste und Komponenten umfasst und als verbindlicher Referenzpunkt für den Betrieb und die Härtung dient. Sie stellt damit eine Art „Zielzustand“ dar, anhand dessen spätere Änderungen überprüft oder Abweichungen erkannt werden können. Ohne eine solche Referenz könnte es bei Installationen, Updates oder Wiederherstellungen zu unsicheren Abweichungen kommen, etwa wenn unnötige Dienste aktiv bleiben, Standardkonten nicht deaktiviert sind oder Kommunikationsschnittstellen unkontrolliert offenstehen; umgekehrt kann eine saubere Grundkonfiguration sicherstellen, dass Systeme konsistent, nachvollziehbar und auf Basis etablierter Sicherheitsanforderungen betrieben werden. Hierzu gehört z.B. die Konfiguration der Uhrensychronisation, von DNS und Verzeichnisdiensten, die Änderung von Default-Zugangsdaten oder der automatische Abruf benötigter Lizenzen. Die Umsetzung einer Grundkonfiguration kann durch verschiedene Maßnahmen unterstützt werden: (1) Es ist sinnvoll, Herstellerdokumentationen zu sichten und empfohlene Härtungseinstellungen (z. B. Deaktivierung unsicherer Protokolle) als Ausgangspunkt zu übernehmen. (2) Ergänzend können Empfehlungen des BSI oder Benchmarks wie die CIS Benchmarks herangezogen werden, um systematisch sicherheitskritische Parameter zu prüfen und einzupflegen. (3) Für komplexe Umgebungen kann ein Konfigurationsskript oder ein Automatisierungs-Tool (z. B. Ansible, Puppet, Chef) genutzt werden, um eine reproduzierbare Baseline einzuspielen und Abhängigkeiten der Komponenten konsistent zu berücksichtigen. Auf diese Weise kann die Institution sicherstellen, dass jede Installation oder Wiederherstellung eines Systems auf einer überprüfbaren und einheitlichen Basis erfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.1.1 Grundschutz++ KONF.2.1.1 Versionierung der Systemkonfiguration Konfiguration für IT-Systeme SOLLTE eine Versionierung vorheriger Konfigurationen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Versionierung vorheriger Konfigurationen", "definitions": {}}, "guidance": "Die Versionierung bezeichnet hier die strukturierte Nachvollziehbarkeit von Änderungen an Konfigurationen, also das Speichern, Dokumentieren und bei Bedarf Wiederherstellen älterer Zustände eines IT-Systems. Sie unterscheidet sich von einem einfachen Backup dadurch, dass nicht nur eine Kopie vorliegt, sondern explizit eine fortlaufende Historie mit Vergleichen, Rücksetzpunkten (rollback points) und optional Kommentaren geführt wird. Der Zweck liegt darin, dass eine ungewollte oder fehlerhafte Anpassung an einer Konfiguration im Betrieb schnell erkannt und – wenn erforderlich – präzise auf einen definierten, funktionsfähigen Zustand zurückgesetzt werden kann. Ohne eine solche Versionierung könnte eine fehlerhafte Änderung unbemerkt bleiben oder nur schwer rückgängig gemacht werden. Praktisch umgesetzt kann dies z. B. durch den Einsatz von Konfigurationsmanagement-Tools erfolgen, die automatisch Änderungen versionieren und mit Prüfsummen sichern. Alternativ kann eine Institution auch Konfigurationsdateien regelmäßig in ein Versionsverwaltungssystem wie Git einspielen. Zusätzlich kann es hilfreich sein, Konfigurationsänderungen über standardisierte Änderungsprozesse einzupflegen, sodass jede Anpassung nachvollziehbar protokolliert wird. Eine weitere Möglichkeit kann die Einrichtung von Skripten sein, die Konfigurationsstände automatisch aus Geräten exportieren und revisionssicher ablegen. Zur Umsetzung können Anwendungen zur Geheimnisverwaltung, oft als Secrets-Manager oder Vault bezeichnet, eingesetzt werden. Solche Anwendungen speichern alle Geheimnisse zentral und hochverschlüsselt und stellen sie erst bei Bedarf zur Laufzeit über eine authentifizierte und gesicherte Schnittstelle (API) zur Verfügung. Eine weitere, weit verbreitete Praxis ist die Auslagerung von Secrets aus den Konfigurationsdateien in Umgebungsvariablen (Environment Variables) des ausführenden Systems, wodurch eine strikte Trennung von Code und Konfiguration erreicht wird. Alternativ kann auch die Konfigurationsdatei selbst oder zumindest die Abschnitte, die Geheimnisse enthalten, verschlüsselt werden, wobei dies erfordert, dass der zur Entschlüsselung notwendige Schlüssel seinerseits sicher an die Applikation übergeben wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} KONF.2.1 \N \N \N +Grundschutz++:KONF.2.2 Grundschutz++ KONF.2.2 Kryptographische Verfahren in IT-Systemen Konfiguration für IT-Systeme SOLLTE kryptographische Verfahren nach anerkannten Standards im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kryptographische Verfahren", "definitions": {}}, "guidance": "Kryptographie wird für die Authentifizierung, Verschlüsselung und Integritätprüfung in Systemen verwendet, z.B. bei der Verschlüsselung von Speichermedien, bei der Anmeldung am System, Transportverschlüsselung von Systemupdates oder Integritätsprüfung von Systemfunktionen. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Funktionen so zu konfigurieren sind, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{anerkannten Standards}} im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.3 Grundschutz++ KONF.2.3 Änderung von Default-Zugangsdaten Konfiguration für IT-Systeme SOLLTE die Änderung von Default-Zugangsdaten ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Änderung von Default-Zugangsdaten", "definitions": {}}, "guidance": "\\"Default-Zugangsdaten\\" sind werkseitig voreingestellte Benutzername-Passwort-Kombinationen wie \\"root\\" oder \\"administrator\\", sowie vergleichbare Authentifizierungsmerkmale, die bei der Erstinbetriebnahme von IT-Systemen unverändert vorhanden sind. Diese Daten sind in der Regel öffentlich dokumentiert oder leicht im Internet auffindbar. Ihr Fortbestehen im Produktivbetrieb könnte ein erhebliches Risiko darstellen, da ein Angreifer mit minimalem Aufwand Zugriff auf Systeme erlangen könnte. Ein klassischer Vorfall könnte sein, dass ein öffentlich erreichbarer Router mit unveränderten Standardzugängen übernommen wird. Die Änderung kann demgegenüber sicherstellen, dass nur berechtigte Personen Zugriff erlangen, und kann damit unbefugte Manipulationen oder Datendiebstahl wirksam erschweren. Eine Institution kann die Anforderung umsetzen, indem bei der Inbetriebnahme jedes Systems ein Prozess etabliert wird, der die Standardzugangsdaten unmittelbar ersetzt. Dies kann beispielsweise (1) durch verpflichtende Initial-Setup-Routinen erfolgen, die eine Passwortänderung erzwingen, oder (2) durch zentrale Checklisten oder automatisierte Inventarisierung, die offene Standardzugänge identifizieren und schließen. Die Anforderung ist auch dann erfüllt, wenn diese Zugänge deaktiviert oder durch Zugänge mit von der Institution verwalteten Zugangsdaten ersetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.4 Grundschutz++ KONF.2.4 Deaktivierung nicht benötigter Systemfunktionen Konfiguration für IT-Systeme SOLLTE nicht benötigte Systemfunktionen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht benötigte Systemfunktionen", "definitions": {}}, "guidance": "Die Deaktivierung von Funktionen, die für Betrieb oder aus Sicherheitssicht nicht benötigt werden, hilft, die Angriffsfläche und Fehlerkomplexität zu verringern, z.B. unnötige Identitäten, ggf. nicht benötigte Schnittstellen wie Bluetooth, nicht verwendete Netzprotokolle wie NTLMv1 Authentifizierung, schwache Verschlüsselungsalgorithmen wie TLS1.1, die Anzeige von Nachrichteninhalten auf dem Sperrbildschirm oder nicht benötigte System- oder Telemetriedienste. Relevant sind dabei sowohl Betriebssystem- als auch Firmwarefunktionen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.3.3 Grundschutz++ KONF.3.3 SIM-PIN Konfiguration für IT-Systeme SOLLTE bei Mobilfunkanschluss eine SIM-PIN aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei Mobilfunkanschluss eine SIM-PIN", "definitions": {}}, "guidance": "Eine SIM-PIN ist eine persönliche Identifikationsnummer, die direkt auf der SIM-Karte gespeichert wird und beim Starten oder Einlegen der Karte abgefragt wird. Sie dient nicht der Benutzeranmeldung am Endgerät selbst, sondern schützt den Mobilfunkanschluss auf Netzebene. Ohne aktivierte SIM-PIN könnte ein Angreifer bei Verlust oder Diebstahl einer SIM-Karte unmittelbar den Mobilfunkanschluss verwenden, etwa für kostenpflichtige Anrufe oder zum Abfangen von SMS-TANs. Die Aktivierung einer SIM-PIN kann somit eine missbräuchliche Nutzung deutlich erschweren, indem ein zusätzliches Hindernis für den unbefugten Zugriff auf Mobilfunkdienste geschaffen wird. Gilt auch für stationäre Systeme mit SIM oder Systeme die eine eSIM verwenden, da eine PIN je nach Diensteanbieter SIM-Swapping vorbeugen kann. Falls das System keine SIM-Karte verwendet, ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.4.1 Grundschutz++ KONF.2.4.1 Nicht benötigte Zertifikate Konfiguration für IT-Systeme SOLLTE nicht benötigte Zertifikate deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht benötigte Zertifikate", "definitions": {}}, "guidance": "Hierbei ist insbesondere an die vom Betriebssystem als vertrauenswürdig eingestuften Zertifizierungsstellen zu denken, wenn sie nicht länger benötigt werden. Verfügt das IT-System über keine Zertifikate, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} KONF.2.4 \N \N \N +Grundschutz++:KONF.2.4.2 Grundschutz++ KONF.2.4.2 Externe Cloud-Anbindungen Konfiguration für IT-Systeme SOLLTE nicht benötigte Cloud-Anbindungen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht benötigte Cloud-Anbindungen", "definitions": {}}, "guidance": "Eine Cloud-Anbindung ist eine technische Schnittstelle, über die ein IT-System Daten oder Dienste mit einer externen Cloud-Plattform austauscht. Dazu können sowohl direkte API-Integrationen wie die Anmeldung an Cloud-Verzeichnisdienste, aber auch automatische Synchronisationsmechanismen, Hintergrund-Updates über Cloud-Server oder agentenbasierte Remote-Management-Funktionen zählen. Nicht benötigte Anbindungen können dadurch identifiziert werden, dass sie weder für den produktiven Betrieb noch für Wartung, Support oder Sicherheitsfunktionen erforderlich sind. Der Sinn und Zweck dieser Regelung liegt darin, die Angriffsfläche zu reduzieren und unkontrollierte Datenflüsse zu vermeiden. Ein nicht genutzter, aber weiterhin aktiver Cloud-Connector könnte etwa unbemerkt sensible Metadaten an Drittdienste übertragen oder als Einfallstor für Schadsoftware missbraucht werden; die gezielte Deaktivierung kann dagegen unnötige Risiken eliminieren und die Übersichtlichkeit der Systemarchitektur erhöhen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} KONF.2.4 \N \N \N +Grundschutz++:KONF.2.5 Grundschutz++ KONF.2.5 Überprüfung der Konfiguration Konfiguration für IT-Systeme SOLLTE die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand", "definitions": {}}, "guidance": "Referenzzustand („baseline configuration“) bezeichnet hier die dokumentierte und freigegebene Konfiguration eines IT-Systems, also die gewünschte und autorisierte Einstellung von Parametern, Diensten und Komponenten. Die tatsächliche Konfiguration ist die aktuelle technische Umsetzung dieser Einstellungen auf dem System selbst. Der Abgleich beider Zustände dient vor allem der Vermeidung von Configuration Drift – d.h. dass Systeme schleichend von der definierten Soll-Konfiguration abweichen. Dies könnte auftreten, wenn Änderungen nicht zentral dokumentiert oder automatisierte Installationen nicht einheitlich umgesetzt werden. Ohne diese Kontrolle könnte es zu unbemerkten Fehlkonfigurationen kommen, die Sicherheitslücken öffnen oder Betriebsstörungen verursachen. Durch regelmäßige Vergleiche kann eine Institution sicherstellen, dass Systeme konsistent, vertrauenswürdig und wartbar bleiben. Eine praktische Umsetzung kann auf verschiedenen Ebenen erfolgen. Technisch kann eine Institution (1) Konfigurations-Management-Werkzeuge einsetzen, die Referenzzustand-Definitionen mit Systemzuständen automatisch abgleichen, (2) Skripte oder Policies nutzen, die regelmäßig Konfigurationsdateien oder Systemeinstellungen auslesen und protokollieren, oder (3) Hash- oder Signaturverfahren anwenden, um Veränderungen an Konfigurationsdateien nachzuweisen. Prozessual kann es hilfreich sein, Änderungen zentral zu dokumentieren und automatische Reports über Abweichungen an Verantwortliche weiterzuleiten, damit diese reagieren können. Zusätzlich kann eine Institution Pilotprüfungen an Stichproben-Systemen durchführen, um die Wirksamkeit automatischer Abgleiche zu validieren. Durch diese Maßnahmen kann eine Institution eine belastbare Routine etablieren, die Configuration Drift reduziert und nicht nur technische Abweichungen sichtbar macht, sondern auch menschliche Fehler oder unautorisierte Eingriffe frühzeitig erkennen kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.5.1 Grundschutz++ KONF.2.5.1 Automatische Konfigurationsverwaltung Konfiguration für IT-Systeme KANN die Überprüfung der Konfiguration durch einen automatisierten Mechanismus aktivieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Überprüfung der Konfiguration durch {{einen automatisierten Mechanismus}}", "definitions": {}}, "guidance": "Eine automatische Konfigurationsverwaltung ermöglicht eine einheitliche Konfiguration, z.B. für Passwortvorgaben, Verschlüsselung oder automatische Updates. Insbesondere bei der Verwaltung zahlreicher Endgeräte oder einer Bring Your Own Device Strategie (BYOD) bietet eine solche Verwaltung den einzig praktikablen Ansatz die Sicherheitsparameter der Geräte zu kontrollieren. Dies kann über selbst betriebenes zentrales Managementsystem (UEM oder MDM), Cloud-Dienste wie Intune oder Konfigurationsmanagement-Werkzeuge wie Ansible umgesetzt werden. Bei Abweichungen kann entweder ein automatisierter Mechanismus die erforderliche Konfiguration vornehmen, oder eine manuelle Entscheidung über die passende Behandlung erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.2.5 \N \N \N +Grundschutz++:KONF.2.5.1.1 Grundschutz++ KONF.2.5.1.1 Automatische Konfigurationsverwaltung Konfiguration für Endgeräte SOLLTE die Verwaltung durch ein Mobile Device Management (MDM) verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verwaltung durch ein Mobile Device Management (MDM)", "definitions": {}}, "guidance": "Die Konfigurationsanforderungen für Mobile Device Management (MDM) sind im BSI-Mindeststandard für MDM umfassend beschrieben. Es ist empfehlenswert, diese Mindestanforderungen heranzuziehen. Ergänzend wird empfohlen, sicherheitsrelevante Kriterien bereits bei der Produktauswahl zu berücksichtigen, vertrauenswürdige Apps durch Reputationsdienste zu prüfen, kompromittierte Geräte (z. B. durch Jailbreak oder Root) automatisiert zu erkennen und Geofencing zur kontextbezogenen Richtliniendurchsetzung einzusetzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} KONF.2.5.1 \N \N \N +Grundschutz++:KONF.3.4 Grundschutz++ KONF.3.4 Physischer Diebstahlschutz Konfiguration für Endgeräte KANN einen physischen Diebstahlschutz installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen physischen Diebstahlschutz", "definitions": {}}, "guidance": "Ein physischer Diebstahlschutz bezeichnet im vorliegenden Kontext sämtliche Vorrichtungen oder Maßnahmen, die ein Entwenden von Endgeräten wie Laptops, Tablets oder Arbeitsplatzrechnern erschweren. Hierzu gehören insbesondere physische Schlösser, die mithilfe eines Stahlkabels mit einer dafür vorgesehenen Öffnung am Endgerät verbunden werden können, sodass das Endgerät an einem festen Gegenstand fixiert bleibt. Der Sinn dieser Vorgabe liegt darin, das Risiko zu reduzieren, dass ein Gerät durch unbefugte Dritte entwendet und dadurch der Zugriff auf gespeicherte Informationen oder Zugangsdaten ermöglicht wird. Ein Vorfall könnte entstehen, wenn ein Angreifer ein ungesichertes Notebook während einer Konferenz oder in einem Büro mitnimmt und darüber unverschlüsselte Daten ausliest. Ein angemessen eingesetzter Diebstahlschutz kann die Gelegenheit zum Zugriff verringern, den Aufwand für einen Angreifer erhöhen und so die Wahrscheinlichkeit für den Verlust sensibler Informationen deutlich reduzieren. Zur praktischen Umsetzung kann eine Institution unterschiedliche Maßnahmen wählen. So kann ein Laptop-Kabelschloss genutzt werden, um mobile Geräte temporär an Arbeitsplätzen zu sichern, oder ein Schließfachschrank kann für Aufbewahrung außerhalb der Nutzungszeiten vorgesehen sein. Für stationäre Systeme kann eine feste Verschraubung mit dem Schreibtisch oder die Unterbringung in abschließbaren Möbeln erfolgen. Ergänzend kann eine Institution darauf achten, Geräte mit serienmäßig integrierten Vorrichtungen (z. B. Verriegelungsöffnungen für Kabelschlösser) zu beschaffen, um eine flexible Sicherung zu ermöglichen. Auch das Kennzeichnen von Geräten durch gravierte Inventarnummern oder gut sichtbare Eigentumsaufkleber kann eine zusätzliche Abschreckungswirkung entfalten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Betriebshandbuch", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.3.5 Grundschutz++ KONF.3.5 Standortbestimmung Konfiguration für IT-Systeme KANN eine Funktion zur Bestimmung des Standortes aus der Ferne durch einen automatisierten Mechanismus aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Funktion zur Bestimmung des Standortes aus der Ferne", "definitions": {}}, "guidance": "Der Begriff automatisierter Mechanismus bezeichnet im gegebenen Kontext ein technisches Verfahren, das ohne manuelle Eingriffe die Standortbestimmung eines IT-Systems ermöglicht. Dies kann etwa durch GALILEO- oder GPS-Sensoren, durch WLAN- oder Mobilfunkortung, sowie durch Auswertung netzwerktechnischer Parameter erfolgen. Der Rückgriff auf die Standortbestimmung mittels Mobilfunksignal oder WLANs in der Nähe ist nur empfehlenswert, wenn das System die Satellitenbestimmung nicht unterstützt. Der Sinn dieser Vorschrift liegt darin, potenzielle Risiken durch unkontrollierte Standortänderungen oder verdeckte Verlagerungen von IT-Systemen zu reduzieren. Ein Vorfall könnte eintreten, wenn ein Server oder Endgerät unbemerkt aus einem gesicherten Bereich entfernt wird und dadurch sensible Daten oder Konfigurationen kompromittiert werden. Im positiven Fall kann die Standortbestimmung Transparenz über den Verbleib kritischer Systeme schaffen und so die Reaktionsfähigkeit bei Diebstahl oder Verlust erhöhen. Ein praktischer Ansatz kann sein, dass Systeme beim Start ihre Position automatisch protokollieren, sodass Abweichungen vom erwarteten Standort erkannt werden. Alternativ kann eine Softwarelösung eingesetzt werden, die Netzwerkverbindungen auf bestimmte Geozonen überprüft. Beachten Sie hierbei auch den Zusammenhang mit den Verfahren und Regelungen zum Informations- und Assetmanagement, sowie zur Detektion von Sicherheitsvorfällen, etwa dass Standortdaten regelmäßig in ein zentrales Monitoring-Tool eingespielt und mit erlaubten Standorten abgeglichen werden. Um technische Ressourcenauslastung und Datenschutz angemessen auszubalancieren ist es zweckmäßig dies nur für besonders schutzbedürftige Geräte vorzusehen und klar festzulegen, ob die Standortbestimmung kontinuierlich, ereignisbezogen oder stichprobenartig erfolgt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{durch einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +SCF:AAT-17.2 SCF AAT-17.2 AI & Autonomous Technologies Environmental Impact & Sustainability Mechanisms exist to assess and document the environmental impacts and sustainability of Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17.2_AAT-17.2_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates the environmental impacts of Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-17.2_AAT-17.2_A02", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates the sustainability of Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +Grundschutz++:KONF.2.6 Grundschutz++ KONF.2.6 Souveräne Werkzeuge Konfiguration für IT-Systeme KANN Souveräne Werkzeuge installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Souveräne Werkzeuge", "definitions": {}}, "guidance": "„Souveräne Werkzeuge“ sind Anwendungen, Systeme und physische Werkzeuge, die technisch, rechtlich und organisatorisch unabhängig von externen Herstellern, Cloud-Anbietern oder staatlicher Einflussnahme betrieben werden können. Das umfasst vor allem Lösungen, die lokal kontrollierbar und ohne zwingende Abhängigkeit zu externen Plattformen nutzbar sind. Der Sinn der Vorschrift liegt darin, die Handlungsfähigkeit und Sicherheit der Institution zu stärken: Ein rein cloudbasierter Konfigurationsdienst könnte durch einen plötzlichen Ausfall, eine staatlich erzwungene Sperrung oder durch nachträglich geänderte Lizenzbedingungen die Betriebsfähigkeit gefährden. Die Nutzung souveräner Werkzeuge kann dagegen die Verfügbarkeit kritischer Systeme erhöhen, die Datenhoheit bewahren und Manipulationsmöglichkeiten von Dritten minimieren. Souveräne Konfigurationssysteme machen unabhängig vor Ausfällen, Datenschutzverletzungen oder einseitigen Änderungen der Nutzungsbedingungen durch externe Dienstleister. Eine Institution kann diese Anforderung beispielsweise so umsetzen: (1) Es kann auf quelloffene Konfigurations-Frameworks zurückgegriffen werden, die lokal installiert und betrieben werden. (2) Virtualisierte oder containerisierte Varianten dieser Werkzeuge werden in der eigenen Infrastruktur betrieben, sodass keine unkontrollierten externen Abhängigkeiten entstehen. (3) Ergänzend kann ein internes Repository für Konfigurationsmodule eingerichtet werden, um eine vertrauenswürdige, geprüfte und nachvollziehbare Quellenbasis sicherzustellen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.7 Grundschutz++ KONF.2.7 Alternative Administrationszugänge Konfiguration für IT-Systeme KANN alternative Administrationszugänge installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alternative Administrationszugänge", "definitions": {}}, "guidance": "Das ist zum Beispiel von Bedeutung bei zentralen Systemen wie Firewalls und Router, bei deren Ausfall eine Fernwartung nicht mehr möglich ist. Hierzu können alternative Werkzeuge, sowie alternative Protokolle, Schnittstellen und Zugangskonten verwendet werden. Alternative Werkzeuge sind z.B. Kommandozeilenwerkzeuge, API-Schnittstellen oder die Konsole virtualisierter oder physischer Server, statt der Grafischen Benutzeroberfläche. Bei Cloud-Diensten kann dies z.B. durch Vorhalten von sowohl Browser-Zugang als auch CLI-Zugang geschehen. Alternative Zugangskonten sind z.B Break-Glass-Accounts, deren Zugangsdaten nur bei Notfällen aus einem Safe entnommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.2.8 Grundschutz++ KONF.2.8 Abgesicherter und authentisierter Bootprozess Konfiguration für IT-Systeme KANN einen abgesicherten und authentisierten Bootprozess aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Cryptography, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen abgesicherten und authentisierten Bootprozess", "definitions": {}}, "guidance": "Dies empfiehlt sich für eingebettete Systeme (Embedded Systems), indem z.B. der Bootloader die Integrität des Betriebssystems überprüft und es nur dann lädt, wenn es als korrekt eingestuft wurde. Ebenso empfiehlt es sich ein mehrstufiges Boot-Konzept mit kryptographisch sicherer Überprüfung der Einzelschritte zu realisieren, sichere Hardware-Vertrauensanker zu verwenden, bei ARM & UEFI-basierten Systemem jeweils (ARM) Secure Boot zu nutzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Systemen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.3.1 Grundschutz++ KONF.3.1 Kryptographischer Hardwarespeicher Konfiguration für IT-Systeme SOLLTE einen kryptographischen Hardwarespeicher aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen kryptographischen Hardwarespeicher", "definitions": {}}, "guidance": "Ein kryptographischer Hardwarespeicher bezeichnet in diesem Kontext eine gesicherte, hardwarebasierte Komponente, die kryptographische Schlüssel oder andere besonders sensible Geheimnisse in einer isolierten und manipulationsgeschützten Umgebung verwahrt. Der Einsatz solcher Speicher kann das Risiko deutlich reduzieren, dass kryptographische Schlüssel bei einem Softwareangriff kompromittiert werden, und kann gleichzeitig die Integrität sicherheitskritischer Prozesse wie Verschlüsselung, Signatur oder Authentifizierung erhöhen. Als Standards können hierzu etwa eine Trusted Execution Environment (TEE), Secure Elements (SE) or Dedicated Security Components (DSC) infrage kommen. Vgl. ISO/IEC 11889 (TPM 2.0), ISO/IEC 19790 / FIPS 140-3 oder ETSI EN 303 645 (für IoT).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.3.2 Grundschutz++ KONF.3.2 Speicherverschlüsselung Konfiguration für IT-Systeme SOLLTE integrierte Festspeichermedien verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "integrierte Festspeichermedien", "definitions": {}}, "guidance": "Die Verschlüsselung von Datenträgern erschwert es Angreifern, Daten von verlorenen oder gestohlenen Geräten auszulesen. Die Verschlüsselung kann in Hard- oder Software (z.B. Windows BitLocker®, Apple FileVault®, Linux® dm-crypt) erfolgen. Für anerkannte kryptographische Algorithmen siehe BSI TR 02102.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}} \N \N \N \N +SCF:AAT-17.3 SCF AAT-17.3 Previously Unknown AI & Autonomous Technologies Threats & Risks Mechanisms exist to respond to and recover from a previously unknown Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risk when it is identified. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17.3_AAT-17.3_A01", "name": "assessment-objective", "prose": "an incident response capability exists to appropriately respond to previously unknown Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risk when it is identified."}]} \N \N \N \N +Grundschutz++:KONF.3.6.1 Grundschutz++ KONF.3.6.1 Automatische Fernlöschung oder -sperre Konfiguration für Endgeräte KANN eine automatische Fernlöschung oder -sperre bei Inaktivität nach einer längeren Frist aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Fernlöschung oder -sperre", "definitions": {}}, "guidance": "Beide Mechanismen können bei längerer Inaktivität ausgelöst werden, also wenn ein Endgerät über einen bestimmten Zeitraum hinweg nicht mehr mit den Systemen der Institution in Kontakt steht oder nicht genutzt wird. Als angemessene Frist für eine solche Inaktivität können z. B. 30 Tage, 60 Tage oder 90 Tage definiert werden, abhängig vom Sicherheitsbedarf und der Einsatzumgebung. Dies kann verhindern, dass ungenutzte Geräte mit sensiblen Daten in Umlauf bleiben oder in falsche Hände geraten. Ein automatisches Entfernen oder Sperren kann hier das Risiko eines Datenabflusses erheblich reduzieren und gleichzeitig eine Kontrolle über den Gerätelebenszyklus sichern. Zur Umsetzung kann die Institution beispielsweise Mobile-Device-Management-Lösungen einsetzen, die nach Ablauf der gewählten Frist automatisiert Fernlöschung oder Fernsperre auslösen. Alternativ kann eine Endpoint-Security-Lösung integriert werden, die periodisch prüft, ob das Gerät eine Verbindung zum Netz herstellt, und bei Überschreiten des Schwellenwerts eine definierte Aktion anstößt. Auch ein Prozess, bei dem Inaktivität zunächst mit einer Warnmeldung angekündigt wird, bevor tatsächlich gesperrt oder gelöscht wird, kann die Benutzerfreundlichkeit erhöhen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Inaktivität nach {{einer längeren Frist}}", "definitions": {}}} KONF.3.6 \N \N \N +Grundschutz++:KONF.3.7 Grundschutz++ KONF.3.7 Einschränkung angeschlossener Peripherie Konfiguration für IT-Systeme SOLLTE angeschlossene Peripherie einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "angeschlossene Peripherie", "definitions": {}}, "guidance": "Peripherie bezeichnet angeschlossene Geräte, die über Schnittstellen wie USB, Bluetooth oder andere Ports mit dem IT-System kommunizieren. Gemeint sind sowohl physische Peripheriegeräte wie Drucker, USB-Sticks oder Netzanbindungen, als auch die Installation virtueller Peripherie z.B. virtuelle Druckertreiber. Einschränkung bedeutet hierbei, dass die Nutzung von Peripheriegeräten verhindert wird, die nicht von der Institution autorisiert wurden, abhängig vom Einsatzzweck des Systems. Der Sinn und Zweck dieser Regelung liegt darin, Angriffsflächen zu verringern und das Einschleusen oder Abfließen von Daten zu erschweren. So könnte ein unkontrollierter Anschluss externer USB-Sticks Schadsoftware einschleusen oder sensible Daten unbemerkt kopieren, während eine restriktive Konfiguration unautorisierte Datenabflüsse wirksam verhindern kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.3.8 Grundschutz++ KONF.3.8 Einschränkung von Wechselmedien Konfiguration für IT-Systeme SOLLTE das automatische Einbinden von Wechselmedien einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das automatische Einbinden von Wechselmedien", "definitions": {}}, "guidance": "Funktionen, die Wechselmedien automatisch einbinden und Inhalte darauf öffnen oder ausführen könnten zur unkontrollierter Verbreitung von Schadcode beitragen. Betrifft z.B. CD/DVD-Laufwerke, Bandlaufwerke oder USB-Sticks. Dies Kann umgesetzt werden, indem die Einbindung in das Betriebssystem durch spezielle Managementanwendungen blockiert wird oder auch durch systemeigene Sicherheitsfunktionen, z.B. indem alle Dateien auf Wechselmedien als nicht ausführbar markiert sind (Mount-Option „noexec“). Verfügt das IT-System über keine Anschlussmöglichkeit für Wechsellaufwerke, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Physischer Schutz", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.1 Grundschutz++ KONF.4.1 Anbindung an Verzeichnisdienst Konfiguration für IT-Systeme SOLLTE die Anbindung an einen Verzeichnisdienst aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Anbindung an einen Verzeichnisdienst", "definitions": {}}, "guidance": "Anbindung meint hier die Authentifizierung und Autorisierungsprüfung von Zugangskonten über einen Verzeichnisdient (häufig auch als Directory Service bezeichnet). Dies ermöglicht die zentrale Verwaltung von Identitäten und deren Berechtigungen. Dies bedeutet, dass Zugriffsrechte für alle angebundenen Systeme zentral verwaltet und bei Bedarf umgehend angepasst werden können, was die Einhaltung des Prinzips der geringsten Rechte (Principle of Least Privilege) unterstützt. Ein häufiger Ansatz zur technischen Umsetzung ist die Verwendung von Protokollen wie LDAP (Lightweight Directory Access Protocol) oder der Einsatz von Single Sign-On (SSO) Lösungen, die eine einmalige Authentifizierung des Nutzers für mehrere Systeme ermöglichen. Institutionen können dabei die Anbindung neuer Systeme durch Automatisierung im Rahmen des Provisioning-Prozesses sicherstellen, um menschliche Fehler zu reduzieren. Beispielsweise könnte ein Standard-Skript bei der Installation eines neuen Servers dessen automatische Anbindung an den Verzeichnisdient veranlassen. In Windows Betriebssystemen erfolgt die Konfiguration des Betriebssystem über entsprechende Gruppenrichtlinien (Group Policy Object) aus dem Active Directory.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.1.1 Grundschutz++ KONF.4.1.1 Weiterleitung von Anmeldeinformationen Konfiguration für IT-Systeme SOLLTE die Weiterleitung mehrfach verwendbarer Anmeldeinformationen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Weiterleitung mehrfach verwendbarer Anmeldeinformationen", "definitions": {}}, "guidance": "„Weiterleitung mehrfach verwendbarer Anmeldeinformationen“ (auch als Credential Forwarding oder Credential Delegation bekannt) meint technische Mechanismen, bei denen die Anmeldeinformationen eines Zugangskontos (z.B. Kennworthashes oder Kerberos-Tickets) an ein zweites System weitergereicht werden, um sich dort ebenfalls zu authentifizieren, ohne die Daten erneut eingeben zu müssen. Ziel der Deaktivierung ist hier die Unterbrechung von Angriffsketten, die auf dem Diebstahl von Zugangsdaten basieren. Ein Angreifer könnte sonst nach der Kompromittierung eines weniger kritischen Systems, wie einem Webserver, die dorthin weitergeleiteten Anmeldeinformationen eines Administrators aus dem Arbeitsspeicher auslesen und sich mit diesen Rechten unbemerkt im gesamten Netzwerk weiter ausbreiten (Laterale Bewegung). Das gezielte Deaktivieren des Credential Forwarding kann die Angriffsfläche erheblich reduzieren und solche „Pass-the-Hash“- oder „Pass-the-Ticket“-Angriffe effektiv eindämmen, da Anmeldeinformationen mit hohen Privilegien gar nicht erst auf unsichere Systeme gelangen. Stattdessen kann die Authentifizierung ausschließlich temporäre, eingeschränkte Tickets oder Tokens verwenden. Hierzu gehören z.B. Windows Remote Credential Guard oder RestrictedAdmin, sowie unter Linux SSH-Agent Forwarding oder GSSAPI. Eine Token-basierte Authentifizierung ist eine Strategie zur Verbesserung der Informationssicherheit. Nachdem Benutzende ihre Anmeldedaten eingegeben haben, werden diese überprüft und ein einmaliges verschlüsseltes Token generiert, mit dem sie anschließend auf Online-Ressourcen zugreifen können, ohne bei jeder Anfrage ihren Benutzernamen und ihr Passwort eingeben zu müssen. Bei SSH-Verbindungen kann die unsichere „Agent Forwarding“-Funktion serverseitig in der Konfigurationsdatei deaktiviert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} KONF.4.1 \N \N \N +Grundschutz++:KONF.13.7 Grundschutz++ KONF.13.7 TLS-Reports Konfiguration für E-Mail KANN TLS-Reports regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "TLS-Reports", "definitions": {}}, "guidance": "TLS-Reports, auch TLS-RPT (Transport Layer Security Reporting) genannt, sind Berichte, mit denen Betreiber von Mailservern einander Probleme beim E-Mail-Versand über TLS melden können. Sie können Informationen zu Verbindungsproblemen und möglichen Sicherheitsproblemen enthalten. Hierzu kann TLS-RPT (Transport Layer Security Reporting) genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.2 Grundschutz++ KONF.4.2 DNS-Anbindung Konfiguration für IT-Systeme SOLLTE die vom System verwendeten DNS-Server autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die vom System verwendeten DNS-Server", "definitions": {}}, "guidance": "Autorisierte DNS-Server sind hier Resolving-Server, die von der Institution autorisiert wurden. Dies können entweder DNS-Server der Institution selbst oder externe DNS-Server zuverlässiger Anbieter sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.2.1 Grundschutz++ KONF.4.2.1 DNS-Verschlüsselung Konfiguration für IT-Systeme SOLLTE DNS-Verbindungen durch einen anerkannten kryptographischen Algorithmus verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "DNS-Verbindungen", "definitions": {}}, "guidance": "DNS-Verschlüsselung, im Englischen oft als DNS over TLS (DoT) oder DNS over HTTPS (DoH) bezeichnet, ist ein Verfahren, bei dem Anfragen zur Namensauflösung im Internet kryptographisch geschützt werden, um deren Vertraulichkeit und Integrität sicherzustellen. Erfolgen diese Anfragen unverschlüsselt, könnte ein Angreifer im Netz die aufgerufenen Webseiten und Dienste eines Nutzers mitlesen und protokollieren. Schlimmer noch, ein Angreifer könnte die Antworten manipulieren, um den Nutzer unbemerkt auf gefälschte Webseiten umzuleiten, beispielsweise für Phishing-Angriffe. Die Aktivierung der DNS-Verschlüsselung kann einem solchen Ausspähen und Manipulieren der Namensauflösung effektiv entgegenwirken und stellt sicher, dass die Kommunikation zwischen dem Client und dem DNS-Server authentisch und nicht einsehbar ist. Nutzt das System kein DNS, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen anerkannten kryptographischen Algorithmus}}", "definitions": {}}} KONF.4.2 \N \N \N +Grundschutz++:KONF.4.3 Grundschutz++ KONF.4.3 Authentifizierung von Fernwartungsfunktionen Konfiguration für IT-Systeme SOLLTE Fernwartungsfunktionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Fernwartungsfunktionen", "definitions": {}}, "guidance": "Unter Fernwartungsfunktionen versteht man technische Zugänge, die es ermöglichen, IT-Systeme aus der Ferne zu administrieren oder Fehler zu beheben, etwa über Protokolle wie RDP, SSH oder proprietäre Remote-Support-Lösungen. Fernwartungsfunktionen könnten für eine Institution erhebliche Risiken bergen, wenn ihre Nutzung nicht eindeutig authentifiziert wird. Ohne verlässliche Identitäts- und Berechtigungsprüfung könnte ein Unbefugter über eine Remote-Schnittstelle auf Systeme zugreifen, Konfigurationen manipulieren oder Schadsoftware einschleusen. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.4.4 Grundschutz++ KONF.4.4 Einschränkung von Fernwartungsfunktionen Konfiguration für IT-Systeme SOLLTE Fernwartungsfunktionen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Fernwartungsfunktionen", "definitions": {}}, "guidance": "Fernwartungszugänge, etwa über RDP, SNMP oder Anwendungen zur Fernsteuerung des Systems erlauben typischerweise eine Vielzahl von Eingriffen in Systemkonfiguration und Datenverarbeitungen. Beispiele sind die Remote-Zwischenablage und die automatische Einbindung von Peripheriegeräten, Wechseldatenträgern und Netzlaufwerken. Unautorisierte Fernwartungszugänge könnten für Angriffe missbraucht werden. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauenswürdige Basisdienste", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.2 Grundschutz++ DEV.2.2 Dokumentation der (Software-)Architektur Entwicklung für Anwendungen SOLLTE die Architektur dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Architektur", "definitions": {}}, "guidance": "Die Architektur bezeichnet im konkreten Kontext die strukturierte Beschreibung der grundlegenden Komponenten einer Software sowie deren Schnittstellen, Abhängigkeiten und das Datenmodell. Sie stellt dar, wie Module, Datenflüsse und externe Systeme ineinandergreifen, und bildet damit das Gerüst für Wartung, Weiterentwicklung und Sicherheitsbewertungen. Ohne dokumentierte Architektur könnte eine Institution nach Jahren vor der Situation stehen, dass nur einzelne Entwickler den Aufbau verstehen, was den Wissenstransfer erschwert und bei Personalwechseln erhebliche Risiken birgt. Eine unklare oder fehlende Dokumentation könnte zudem dazu führen, dass Abhängigkeiten von proprietären Technologien übersehen werden, wodurch sich ein Vendor Lock-in entwickelt, der die Institution langfristig bindet. Umgekehrt kann eine nachvollziehbare Architektur Dokumentation sicherstellen, dass Schwachstellenanalysen effizient durchgeführt werden, dass Sicherheitslücken frühzeitig erkannt werden und dass neue Entwickler schneller eingearbeitet werden können. Zur Umsetzung der Anforderung kann eine Institution standardisierte Diagrammtypen wie UML oder C4 einsetzen, um Abhängigkeiten und Schnittstellen verständlich abzubilden. Hilfreich kann es sein, die Architektur in mehreren Sichten zu dokumentieren, etwa eine logische Sicht (Funktionen und Module), eine technologische Sicht (Server, Container, Frameworks) und eine sicherheitsrelevante Sicht (z. B. Trust Boundaries). Die Dokumentation kann in Versionskontrollsystemen wie Git gepflegt werden, sodass Änderungen an Architekturentscheidungen nachvollziehbar bleiben. Ergänzend kann es praktikabel sein, automatisierte Werkzeuge einzusetzen, die Code-Strukturen analysieren und Diagramme generieren, wodurch Konsistenz zwischen Dokumentation und Implementierung unterstützt werden kann.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +SCF:AAT-29.16 SCF AAT-29.16 Purging AI Agent Data Mechanisms exist to restrict purging of any persistent memory or long-term data used by AI agents. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.16_AAT-29.16_A01", "name": "assessment-objective", "prose": "unauthorized purging of persistent memory or long-term data used by AI agents is prevented."}]} \N \N \N \N +Grundschutz++:KONF.5.1 Grundschutz++ KONF.5.1 Authentifizierung am System Konfiguration für IT-Systeme SOLLTE den Zugriff auf das System im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf das System", "definitions": {}}, "guidance": "Betrifft sowohl die lokale Anmeldung über eine Benutzeroberfläche als auch den Zugriff über Fernwartungsprotokolle oder -anwendungen wie RDP, SNMP, wenn diese vorhanden sind. Die Umsetzung erfolgt im einfachsten Fall durch einen Login, bzw. eine Bildschirmsperre für das IT-System. Biometrische Daten wie Fingerabdrücke können gefälscht werden und sind nicht so leicht zu ändern wie Passwörter. Setzen Sie Biometrie daher nicht als einzigen Authentifizierungsfaktor ein, sondern wenn, dann nur zur Ergänzung (Mehr-Faktor-Authentifizierung). Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist. Die Anforderung ist entbehrlich, wenn das System keinen Zugriff auf schützenswerte Daten erlaubt, z.B. bei Nutzung als Kiosk.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Authentifizierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.5.1.1 Grundschutz++ KONF.5.1.1 Authentifizierung an der Firmware Konfiguration für IT-Systeme SOLLTE den Zugriff auf die Firmware im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf die Firmware", "definitions": {}}, "guidance": "Durch unautorisierte Änderungen an Einstellungen der Firmware (UEFI oder Embedded System) könnten Fehlerzustände entstehen oder Sicherheitsfunktionen wie TPM deaktiviert werden. Dies kann je nach Firmware durch lokale Zugangspasswörter oder zentrale Berechtigung umgesetzt werden. Hierbei sind insbesondere Einstellungen von Sicherheitsfunktionen oder der Netzanbindung relevant. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Authentifizierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} KONF.5.1 \N \N \N +Grundschutz++:KONF.5.1.2 Grundschutz++ KONF.5.1.2 Pre-Boot-Authentifizierung Konfiguration für Endgeräte KANN den Zugriff vor dem Start des Betriebssystems authentifizieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff vor dem Start des Betriebssystems", "definitions": {}}, "guidance": "Diese Authentifizierung vor dem Start, oft als \\"Pre-Boot Authentication\\" (PBA) oder \\"Hardware-based Authentication\\" bezeichnet, verhindert, dass ein Gerät gestartet wird, bevor sich Nutzende mit Anmeldeinformationen, wie zum Beispiel einem Passwort oder einem biometrischen Merkmal, autorisiert haben. Ohne diese Authentifizierung könnte ein Angreifer versuchen, das Gerät direkt zu booten, die Festplatte zu kopieren oder zu manipulieren, um sensitive Daten zu extrahieren. Eine gängige Methode ist die Verwendung einer Festplattenverschlüsselung (Full Disk Encryption, FDE) mit einer Pre-Boot-Authentifizierung. Eine Institution könnte auch eine Mehr-Faktor-Authentifizierung (MFA) vor dem Start des Betriebssystems einsetzen, beispielsweise indem ein Hardware-Token oder ein biometrischer Scan zusätzlich zum Passwort erforderlich ist, was die Sicherheit weiter erhöht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Authentifizierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}} KONF.5.1 \N \N \N +Grundschutz++:KONF.5.2 Grundschutz++ KONF.5.2 Keine Mehrfachanmeldung Konfiguration für IT-Systeme SOLLTE die gleichzeitige Anmeldung mehrerer Zugangskonten deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die gleichzeitige Anmeldung mehrerer Zugangskonten", "definitions": {}}, "guidance": "Wenn Nutzende mit verschiedenen Identitäten simultan im System angemeldet sind, erhöht sich das Risiko von versehentlichen Datenvermischungen oder Falscheingaben deutlich. Dies kann besonders in sensiblen Bereichen wie im Finanzwesen oder Gesundheitswesen schwerwiegende Folgen haben, wo vertrauliche Kundendaten oder Patienteninformationen unbeabsichtigt zwischen verschiedenen Kontexten übertragen werden könnten. Bei Vorfällen wird so auch erschwert herauszufinden, von welchem Zugangskonto bestimmte Ereignisse stammen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Authentifizierung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.1 Grundschutz++ KONF.6.1 Minimal erforderliche Berechtigungen für Anwendungen Konfiguration für IT-Systeme SOLLTE erforderliche Berechtigungen für Anwendungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "erforderliche Berechtigungen für Anwendungen", "definitions": {}}, "guidance": "Ziel ist es, Angriffsflächen zu minimieren und unerwünschte Seiteneffekte zu vermeiden. Durch restriktive Rechtevergabe pro App lässt sich das Risiko für Zugriffe auf sensible Bereiche stark senken. Gleichzeitig trägt dieses Prinzip dazu bei, eine klare Trennung zwischen den einzelnen Systemkomponenten zu bewahren und unkontrollierte Wechselwirkungen zu verhindern. Beispiele sind Lese- und Schreibrechte für Verzeichnisse, insbesondere für Systemverzeichnisse, Berechtigungen zum Zugriff auf Sensoren oder Peripheriegeräte, sowie der Netzzugriff. Um die Umsetzung zu erleichtern können Berechtigungsprofile erstellt werden, die je nach Anwendungsklasse (z. B. Office, Multimedia, Tools) eine Basislinie an Privilegien definieren. Diese Profile können in einer zentralen Verwaltungssoftware (z. B. über Gruppenrichtlinien oder ein Mobile‑Device‑Management) hinterlegt und automatisch auf neue Installationen angewendet werden. Vor der Freigabe einer Softwareinstallation kann ein Reviewprozess etabliert werden, bei dem anhand von Funktionsdokumentationen geprüft wird, welche minimalen Rechte erforderlich sind. Darüber hinaus kann der Einsatz von Sandboxing- oder Virtualisierungstechnologien unterstützen, indem Anwendungen in einer isolierten Umgebung mit genau festgelegten Schnittstellen betrieben werden können. Tools zur Rechteanalyse (etwa zur Ermittlung der tatsächlich genutzten APIs und Dateizugriffe) können helfen, überflüssige Freigaben im Nachgang weiter einzuschränken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.5 Grundschutz++ KONF.7.5 Alarmierung Konfiguration für IT-Systeme SOLLTE eine Benachrichtigung bei potenziellem Schadcode aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Benachrichtigung bei potenziellem Schadcode", "definitions": {}}, "guidance": "Durch die Aktivierung einer Benachrichtigung kann eine Institution schnell auf verdächtige Aktivitäten reagieren, noch bevor sich der Schadcode vollständig im System etablieren und erheblichen Schaden anrichten könnte. Eine Möglichkeit zur Umsetzung ist der Einsatz von Endpoint Detection and Response (EDR)-Lösungen, die in der Lage sind, Verhaltensanomalien in Echtzeit zu erkennen und sofortige Benachrichtigungen auszulösen. Eine effektive Umsetzung erfordert, dass die Benachrichtigungen sowohl an die Endnutzer als auch an die zuständigen IT-Sicherheitsteams gesendet werden, um eine umfassende und koordinierte Reaktion zu ermöglichen. Dabei können Automatisierungsregeln im Security Information and Event Management (SIEM) die Benachrichtigungen an die richtigen Personen eskalieren und so die Reaktionszeit verkürzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.1.1 Grundschutz++ KONF.6.1.1 Datenkapselung Konfiguration für IT-Systeme KANN Datenkapselung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Datenkapselung", "definitions": {}}, "guidance": "Bei der Datenkapselung, im Englischen als data encapsulation bekannt, handelt es sich um einen Schutzmechanismus, bei dem Daten logisch vor dem Zugriff des restlichen Systems verborgen werden. Hierdurch wird der direkte Zugriff unterbunden und ausschließlich über definierte, sichere Schnittstellen bereitgestellt. Zweck ist es, die Angriffsfläche auf sensible Daten zu verringern und deren Integrität sowie Vertraulichkeit zu wahren. Ohne eine solche Kapselung könnte beispielsweise eine Schadsoftware auf einem Server direkt auf Konfigurationsdateien oder im Arbeitsspeicher gehaltene Anmeldeinformationen anderer Anwendungen zugreifen und diese manipulieren oder ausleiten. Durch eine wirksame Datenkapselung kann die Institution sicherstellen, dass Zugriffe nur über vorab genehmigte und protokollierte Wege erfolgen, was eine unautorisierte Modifikation oder einen unbemerkten Abfluss von Daten erschwert. Technisch erfolgt dies zum Beispiel durch einen abgeschlossenen Speicherbereich auf einem mobilen Gerät für persönliche Informationen wie Kontakte oder Kalender (PIM-Container). Die Kapselung erfordert eine separate Authentisierung vor dem Zugriff auf die gekapstelten Daten und eine vom Betriebssystem unabhängige Daten- & Transportverschlüsselung innerhalb der Kapselung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.6.1 \N \N \N +Grundschutz++:KONF.6.1.2 Grundschutz++ KONF.6.1.2 Isolierung von Anwendungen Konfiguration für IT-Systeme KANN die Isolierung von bestimmten Anwendungen aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Isolierung", "definitions": {}}, "guidance": "Die Isolation von Anwendungen (auch Kapselung oder Application Sandboxing genannt) dient dazu, die Angriffsfläche eines Systems zu reduzieren und die Vertraulichkeit, Integrität sowie Verfügbarkeit kritischer Komponenten besser zu schützen. Durch eine klare Trennung der Anwendungs- und Systemprozesse und von deren Ressourcenzugriffen (Netzwerk, Datei‑ oder Geräte‑I/O) kann eine kompromittierte Applikation nicht unbegrenzt auf weitere Systemressourcen zugreifen, sondern ist auf genau definierte Schnittstellen beschränkt. Bestimmte Anwendungen meint hier, dass konkret festgelegt wird, welche Anwendungen konkret isoliert ausgeführt werden. Dies ermöglicht es, Fehlfunktionen oder Angriffe einzudämmen, Schadsoftware leichter zu erkennen und Verantwortlichkeiten einzelner Module transparent zu halten. Dies kann z.B. durch Containerisierung oder eine Microservice-Architektur, in der jede Komponente nur über REST- oder Message-Queue-Schnittstellen kommuniziert umgesetzt werden. Auch klassische Virtualisierung (Gastsysteme mit Hypervisor) oder Betriebssystemfunktionen wie SELinux/AppArmor‑Profile und chroot‑Jails zählen dazu, weil sie Applikationen auf genau festgelegte Ressourcen beschränken. Im Kontext der Containerisierung empfiehlt es sich ebenfalls eine feste Zuordnung von Containern zu Container-Hosts vorzunehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "von {{bestimmten Anwendungen}}", "definitions": {}}} KONF.6.1 \N \N \N +Grundschutz++:KONF.6.1.3 Grundschutz++ KONF.6.1.3 Isolierte Arbeitsumgebungen Konfiguration für Endgeräte KANN die Isolation verschiedener Arbeitsumgebungen für verschiedene Verwendungen aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Isolation verschiedener Arbeitsumgebungen für verschiedene Verwendungen", "definitions": {}}, "guidance": "Verschiedene Verwendungen sind z.B. die berufliche und private Nutzung, oder die Nutzung als IT-System mit erhöhtem Schutzbedarf und das Surfen im Internet. Arbeitsumgebungen sind getrennt, wenn die zu schützenden Daten ausschließlich in der geschützten Umgebung verbleiben. Beispielimplementierungen sind Apple® Configuration Profile oder Android™ Work Profile. Je nach Aufbau des Systems können hierzu z.B. Trennung auf Betriebssystemebene, netzbasierte Trennung, Virtualisierung oder Container eingesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.6.1 \N \N \N +Grundschutz++:KONF.6.2 Grundschutz++ KONF.6.2 Gemeinsam genutzte Verzeichnisse Konfiguration für Endgeräte SOLLTE die Zugriffsrechte gemeinsam verwendeter Verzeichnisse einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zugriffsrechte gemeinsam verwendeter Verzeichnisse", "definitions": {}}, "guidance": "Relevant sind hierbei sowohl speziell eingerichtete Verzeichnisse für die gemeinsame Bearbeitung von Dateien als auch Verzeichnisse, die vom System für gemeinsame Dateien verwendet werden, z.B. /tmp. Unter Linux kann das Sticky-Bit verwendet werden, um den Zugriff auf die Dateien in diesem Verzeichnis einzuschränken, so dass nur noch der Eigentümer einer Datei (oder der Eigentümer des Verzeichnisses) diese Datei löschen oder umbenennen darf.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.3 Grundschutz++ KONF.6.3 Kiosk-Modus Konfiguration für Endgeräte KANN das automatische Zurücksetzen auf einen definierten Zustand nach der Nutzung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das automatische Zurücksetzen auf einen definierten Zustand", "definitions": {}}, "guidance": "Ein Kiosk‑Modus (auch als Gast-Zugang bezeichnet) kann dazu dienen, die Integrität und den definierten Ausgangszustand eines Systems dauerhaft sicherzustellen, indem nach jeder Sitzung oder in regelmäßigen Abständen ein vollständiger Rücksetzvorgang angestoßen wird. Damit soll verhindert werden, dass ungewollte Änderungen – etwa durch Malware, böswillige Manipulation oder versehentlich abgelegte Nutzerdaten – dauerhaft auf dem System verbleiben. Gleichzeitig kann so gewährleistet werden, dass jede neue Nutzer­session in einer standardisierten, getesteten Umgebung beginnt, was sowohl den Support‑Aufwand reduziert als auch Datenschutzaspekte stärkt, da keine personenbezogenen Daten auf dem Gerät zurückbleiben können. Typische Anwendungsfälle können öffentliche Terminals in Bibliotheken oder Behörden, digitale Informations­stelen in Museen und Einkaufszentren sowie Schulungs‑ oder Präsentationsrechner in Unternehmen sein. In solchen Szenarien kann das System beim Ausloggen oder nach einer festgelegten Zeit (z. B. nachts) automatisch auf ein sauberes Basis-Image zurückgesetzt werden. Denkbar ist auch ein Einsatz in Fabrikumgebungen, um Versuchs‑ und Prüfsysteme immer wieder in einen definierten Ausgangszustand zu bringen, oder in Testlaboren für Software, wo nach jedem Testlauf eine reine Umgebung erforderlich ist. Für die produktneutrale Umsetzung kann man beispielsweise mit Virtualisierungs­technologien arbeiten, die mittels Snapshot‑Rollback beim Neustart eine saubere VM‑Instanz bereitstellen. Alternativ kann ein Live‑Betriebssystem vollständig im Arbeitsspeicher laufen oder das Dateisystem über Overlay‑Techniken (z. B. OverlayFS, AUFS) nur virtuell überschrieben werden – alle Änderungen verwerfen sich beim Neustart automatisch. Auch der Einsatz von read‑only‑Partitionen kombiniert mit einem Schreibbereich in RAM kann eine einfache Lösung sein. Skript­basierte Cron‑Jobs oder Systemd‑Timer können den Rücksetz­prozess zu definierten Zeiten anstoßen. Externes Logging und Konfigurations­management (etwa über Ansible oder Puppet) kann dabei helfen, wichtige Ereignisse und Konfigurations­änderungen zu protokollieren, ohne den Kiosk‑Modus zu beeinträchtigen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach der Nutzung", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.4 Grundschutz++ KONF.6.4 Privilegierte Systemfunktionen Konfiguration für IT-Systeme SOLLTE privilegierte Funktionen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Living off the land", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "privilegierte Funktionen", "definitions": {}}, "guidance": "Sind privilegierte Funktionen nicht eingeschränkt, so könnten Innentäter oder Angreifer über das Netz unbefugte Manipulationen vornehmen, Fehlkonfigurationen ausgelöst werden oder sich Schadcode automatisch einnisten. Privilegierte Funktionen können z.B. ein lokales Berechtigungsmanagement, die Installation von Anwendungen, der Schreibzugriff auf Systemverzeichnisse oder die Änderung der Systemkonfiguration sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.5 Grundschutz++ KONF.6.5 Dynamische Zugriffskontrolle im System Konfiguration für IT-Systeme KANN dynamische Zugriffskontrolle im System aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dynamische Zugriffskontrolle", "definitions": {}}, "guidance": "Eine dynamische Zugriffskontrolle (engl. Dynamic Access Control, DAC) bezeichnet ein Verfahren, bei dem Zugriffsentscheidungen nicht ausschließlich auf statischen Berechtigungen (z. B. Benutzerrollen oder ACLs) beruhen, sondern zusätzlich kontextabhängige Bedingungen wie Gerätezustand, Sensitivität der Daten, Standort, Zeitfenster oder Sicherheitsklassifikation auswerten. Dabei bleibt die Policy, also die zugrundeliegende Regelmenge zur Zugriffsbewertung, fest definiert und nachvollziehbar dokumentiert – lediglich die Entscheidung über den konkreten Zugriff erfolgt dynamisch anhand dieser Bedingungen. Ziel ist eine feinere Steuerung des Datenzugriffs auf Basis aktueller Risikosituationen, ohne dass Administratoren Berechtigungen manuell anpassen müssen. Solche Mechanismen können etwa verhindern, dass ein Benutzer sensible Daten von einem nicht verwalteten Endgerät ausliest, während er im internen Netz regulär Zugriff hätte. Da DAC komplex sein kann ist es zweckmäßig, auch auf Funktionen zur Auditierung und Protokollierung der DAC zu achten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im System", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.6 Grundschutz++ KONF.6.6 Getrennte Datenhaltung Konfiguration für Anwendungen SOLLTE Zugriffe eines Zugangskontos auf Daten anderer Zugangskonten einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zugriffe eines Zugangskontos auf Daten anderer Zugangskonten", "definitions": {}}, "guidance": "Dies kann je nach Anwendung z.B. durch eine in der Anwendung integrierte Rollen- und Rechteverwaltung, Zugriffsrechte auf Dateisystemebene oder durch die Verwendung unterschiedlicher Systeme oder Netze pro Zugang realisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.6.1 Grundschutz++ KONF.6.6.1 Mandantenfähigkeit Konfiguration für Anwendungen SOLLTE wenn die Anwendung mehrere Mandaten bedient, für jeden Mandanten eine eigene Berechtigungskonfiguration aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "wenn die Anwendung mehrere Mandaten bedient, für jeden Mandanten eine eigene Berechtigungskonfiguration", "definitions": {}}, "guidance": "Der Ausdruck \\"mehrere Mandanten\\" (im Englischen auch multi-tenancy genannt) bezieht sich auf eine Softwarearchitektur, bei der eine einzige Instanz einer Anwendung gleichzeitig die Bedürfnisse mehrerer, voneinander unabhängiger Kundengruppen (Mandanten) bedient. Eine eigene Berechtigungskonfiguration bedeutet, dass jeder Mandant eine separate, von den anderen getrennte Sammlung von Zugriffsregeln und -rechten erhält. Dies dient dem Schutz vor Datenlecks, da ein Angreifer, der sich unrechtmäßig Zugang zu einem Mandanten verschafft, dadurch nicht automatisch die Berechtigungen für andere Mandanten übernimmt. Eine separate Konfiguration kann verhindern, dass ein Fehlverhalten oder eine Fehlkonfiguration bei einem Mandanten die Sicherheit aller anderen beeinträchtigt. Technische Möglichkeiten hierfür sind die Verwendung von mandantenspezifischen Datenbank-Schemata oder die logische Trennung von Daten innerhalb einer gemeinsamen Datenbank durch Mandanten-IDs. Darüber hinaus kann die Institution sicherstellen, dass die Authentifizierung und Autorisierung für jeden Mandanten streng getrennt sind, zum Beispiel durch die Nutzung unterschiedlicher API-Schlüssel oder Single-Sign-On-Konfigurationen pro Mandant.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.6.6 \N \N \N +Grundschutz++:KONF.6.7 Grundschutz++ KONF.6.7 Privilegierte Funktionen der Anwendung Konfiguration für Anwendungen SOLLTE privilegierte Funktionen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "privilegierte Funktionen", "definitions": {}}, "guidance": "Sind privilegierte Funktionen nicht eingeschränkt, so könnten Innentäter oder Angreifer über das Netz unbefugte Manipulationen vornehmen, Fehlkonfigurationen ausgelöst werden oder sich Schadcode automatisch einnisten. Privilegierte Funktionen können z.B. ein Berechtigungsmanagement der Anwendung, der Zugriff auf Daten mehrerer Zugangskonten, das Hinzufügen oder Entfernen akzeptierter X.509-Zertifikate, ein Moderationsrecht oder die Änderung der Sicherheitskonfiguration der Anwendung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.8 Grundschutz++ KONF.6.8 Berechtigungen des Webserver-Prozesses Konfiguration für Webserver SOLLTE die Berechtigungen des Webserver-Prozesses einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Berechtigungen des Webserver-Prozesses", "definitions": {}}, "guidance": "Wird der laufende Prozess über das Web kompromittiert, so verhindert eine Einschränkung der Rechte eine weitere Ausbreitung des Angriffs. Relevant sind dabei Zugriffsrechte für Dateisystem und Systemfunktionen. Zweckmäßig ist es hierzu, die Berechtigungen so einzuschränken, dass der Serverdienst a) keinen Zugriff auf Dateien außerhalb des WWW-Wurzelverzeichnisses hat, b) Schreibzugriffe innerhalb des WWW‑Wurzelverzeichnisses nur in explizit autorisierten Unter­verzeichnissen hat, c) keine Programme oder Shell‑Befehle außerhalb der vorgesehenen Interpreter ausführen kann, d) keine privilegierten Berechtigungen besitzt. Unterverzeichnisse die Schreibrechte benötigen könnten sind etwa /uploads, /cache, /tmp.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +SCF:AAT-29.17 SCF AAT-29.17 Delegation and Chaining Control Mechanisms exist to restrict agentic delegation, chaining and multi-agent communication to prevent unauthorized task escalation or emergent risks. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.17_AAT-29.17_A01", "name": "assessment-objective", "prose": "agentic delegation, chaining and/or multi-agent communication is controlled to prevent unauthorized task escalation or emergent risks."}]} \N \N \N \N +Grundschutz++:KONF.6.9 Grundschutz++ KONF.6.9 Zugriff auf Code Konfiguration für Webserver SOLLTE den Zugriff auf Quelldateien einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf Quelldateien", "definitions": {}}, "guidance": "Quelldateien sind in diesem Zusammenhang alle Dateien, die zur Funktionsweise einer Webanwendung benötigt werden, deren Auslieferung an den Browser von Nutzenden aber nicht erforderlich ist. Dazu gehören Programmier- oder Skriptcode, Konfigurationsdateien, Datenbankverbindungen und sensible Daten wie APIs oder Anmeldeinformationen. Das Verhindern des direkten Zugriffs auf diese Dateien dient der Prävention von Informationslecks und der Minderung des Risikos unautorisierter Offenlegung. Eine nicht restriktive Konfiguration könnte beispielsweise die Offenlegung von Code-Teilen, die Logik der Anwendung oder sogar hartkodierten Passwörtern ermöglichen, was zu einer weitreichenden Kompromittierung des Systems führen könnte. Die Umsetzung kann durch platzieren dieser Dateien außerhalb des WWW-Wurzelverzeichnisses erfolgen. Weiterhin kann der Zugriff auf bestimmte Dateitypen wie .php, .ini, .env oder .sql mittels Webserver-Regeln (z.B. in .htaccess für Apache oder location-Blöcke in Nginx) explizit verweigert werden, wodurch auch versehentlich im öffentlichen Verzeichnis abgelegte Quelldateien geschützt sind. Bei der Wahl eines Content-Management-Systems oder Frameworks kann eine sichere Standardkonfiguration die Umsetzung erleichtern. Zusätzlich können serverseitige Skripte so konfiguriert werden, dass sie nur aus vordefinierten, sicheren Verzeichnissen ausgeführt werden dürfen, was als Secure Execution Path bekannt ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.10 Grundschutz++ KONF.6.10 Auflistung von Verzeichnisinhalten Konfiguration für Webserver SOLLTE die Auflistung von Verzeichnisinhalten einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Data Leak", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Auflistung von Verzeichnisinhalten", "definitions": {}}, "guidance": "Über das Auflisten von Verzeichnisinhalten erhalten Angreifer Einblick in die interne Struktur des Systems und potenziell sensibler Daten. Zur Umsetzung kann in der Konfiguration des Webservers (z.B. Apache, Nginx) die Directory-Listing-Funktion deaktiviert werden. Alternativ kann über Dateien wie .htaccess der Zugriff auf die notwendigen Verzeichnisse eingeschränkt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.11 Grundschutz++ KONF.6.11 Einschränkung von Uploads Konfiguration für Webserver SOLLTE Uploads einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Uploads", "definitions": {}}, "guidance": "Uploads sind Dateien, die von Nutzenden auf den Server übertragen werden. Diese könnten Schadprogramme enthalten oder den Speicher füllen. Sinnvolle Beschränkungen sind z.B. der Upload nur nach Anmeldung, eine maximale Dateigröße, erlaubte Dateitypen und deren Speicherorte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.12 Grundschutz++ KONF.6.12 Konferenzmoderation Konfiguration für VK-Anwendungen SOLLTE Konferenzmoderation aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Konferenzmoderation", "definitions": {}}, "guidance": "Bei Konferenzen kann es vorkommen, dass ungewollt Teilnehmende zu hören sind. Dies kann versehentlich geschehen oder im Rahmen eines Angriffes.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.13 Grundschutz++ KONF.6.13 Dynamische Zugriffskontrolle in der Anwendung Konfiguration für Anwendungen KANN dynamische Zugriffskontrolle in der Anwendung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "dynamische Zugriffskontrolle", "definitions": {}}, "guidance": "Dynamische Zugriffskontrolle („dynamic access control“, DAC) bezeichnet hier eine Form der Autorisierungsprüfung innerhalb einer Anwendung, bei der die Entscheidung über den Zugriff nicht ausschließlich anhand statischer Rollen oder Benutzergruppen erfolgt, sondern zusätzlich kontextabhängige Bedingungen („contextual attributes“) berücksichtigt werden. Solche Bedingungen können beispielsweise der aktuelle Standort der Anmeldung, die Geräteklasse, der Zeitpunkt des Zugriffs oder die Sensitivität der angeforderten Daten sein. Die zugrunde liegende Zugriffsrichtlinie („policy“) bleibt dabei fest definiert – die Dynamik betrifft ausschließlich die Bewertung der in ihr vorgesehenen Parameter. Dadurch unterscheidet sich DAC auf Anwendungsebene von klassischen „role-based access control“ (RBAC)-Mechanismen, indem sie feinere, situative Entscheidungen erlaubt, ohne dass Berechtigungen für den Einzelfall manuell vergeben werden. Die Möglichkeit, eine dynamische Zugriffskontrolle in der Anwendung zu aktivieren, kann wesentlich dazu beitragen, unbefugte oder unangemessene Zugriffe zu verhindern, wenn sich Sicherheitsbedingungen ändern. Ohne solche Mechanismen könnte ein Benutzer etwa trotz eines kompromittierten Geräts oder außerhalb sicherer Netzbereiche weiterhin auf vertrauliche Daten zugreifen, was zu Datenabfluss oder Manipulation führen könnte. Die dynamische Kontrolle kann hingegen sicherstellen, dass Zugriffe nur gewährt werden, wenn aktuelle Kontextparameter mit den definierten Sicherheitsrichtlinien übereinstimmen, wodurch das Risiko situativer Angriffe deutlich reduziert werden kann. Beispiele sind Anwendungen (1) eine Policy-Engine wie XACML-kompatible Systeme zur regelbasierten Entscheidungsfindung verwenden, (2) Attributquellen wie Identity Provider oder Endpoint-Sicherheitslösungen zur Kontextbewertung einbinden oder (3) adaptive Autorisierungsmechanismen, etwa über Open Policy Agent.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "in der Anwendung", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.3 Grundschutz++ KONF.7.3 Host-basierte Angriffserkennung Konfiguration für IT-Systeme SOLLTE Host-basierte Angriffserkennung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Host-basierte Angriffserkennung", "definitions": {}}, "guidance": "Host-basierte Angriffserkennung, im Englischen auch als Host-based Intrusion Detection (HID) oder Host-based Intrusion Prevention (HIP) bezeichnet, bezieht sich auf Mechanismen, die auf den einzelnen IT-Systemen, wie Servern oder Workstations, selbst operieren, um böswillige Aktivitäten zu erkennen und zu verhindern. Im Gegensatz zu netzwerkbasierten Systemen, die den Datenverkehr überwachen, fokussiert sich die Host-basierte Erkennung auf interne Systemereignisse, wie die Integrität von Dateisystemen, Änderungen an kritischen Konfigurationsdateien, oder die Erkennung von unbekannten Prozessen. Der Hauptzweck dieser Anforderung besteht darin, eine zusätzliche Sicherheitsebene zu schaffen, die direkt am Endpunkt (Host) agiert, was die Erkennung von Angriffen ermöglicht, die bereits die äußeren Schutzmechanismen überwunden haben könnten, beispielsweise wenn ein Angreifer eine bekannte Schwachstelle ausnutzt, um einen Prozess mit erhöhten Rechten auszuführen. Diese Maßnahmen können dabei helfen, interne Lateralbewegungen eines Angreifers zu erkennen und somit die Ausbreitung eines Vorfalls zu verlangsamen oder zu stoppen, bevor es zu einem größeren Schaden kommt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.14 Grundschutz++ KONF.6.14 Browser Sandboxing Konfiguration für Webbrowser SOLLTE Browser Sandboxing aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Browser Sandboxing", "definitions": {}}, "guidance": "Sandboxing bedeutet, dass jede Instanz und jeder Verarbeitungsprozess nur auf die eigenen Ressourcen zugreifen kann. Die Isolation kann durch eigene Threads oder eigene Prozesse realisiert sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.15 Grundschutz++ KONF.6.15 Virtualisierte Browser-Umgebung Konfiguration für Webbrowser KANN Virtualisierte Browser-Umgebung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Virtualisierte Browser-Umgebung", "definitions": {}}, "guidance": "Eine Browser-Umgebung ist virtualisiert, wenn der Code des Browser nicht im Betriebssystem des Clients, sondern in einem dediziert hierzu virtualisierten Betriebssystem ausgeführt wird, z.B. ReCoBS.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.6.16 Grundschutz++ KONF.6.16 Datenaustausch in der Virtualisierung Konfiguration für Virtualisierungslösungen KANN den Datenaustausch zwischen virtualisierten Client einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Datenaustausch zwischen virtualisierten Client", "definitions": {}}, "guidance": "Der Datenaustausch zwischen virtualisierten Anwendungen umfasst jegliche direkte oder indirekte Kommunikationswege wie virtuelle Netzwerke, geteilte Speicherbereiche oder Copy-and-Paste-Funktionen über die Virtualisierungsplattform. Der Sinn dieser Anforderung liegt darin, unbeabsichtigte oder böswillige Datenübertragungen zwischen isolierten Anwendungen einzuschränken. Ohne diese Einschränkungen könnte Schadsoftware von einer kompromittierten VM unbemerkt auf eine andere übergreifen oder sensible Informationen könnten durch Fehlkonfigurationen ungewollt in eine fremde VM gelangen. Eine klare Abgrenzung kann hingegen sicherstellen, dass selbst bei Kompromittierung einer Anwendung deren Wirkungskreis begrenzt bleibt und Vertraulichkeit, Integrität sowie Stabilität anderer Anwendungen erhalten bleiben. Die praktische Umsetzung kann durch mehrere Maßnahmen erfolgen, die sich technisch wie prozessual ergänzen. So kann eine Institution (1) virtuelle Netzwerke segmentieren, sodass VMs nur über explizit eingerichtete Firewalls miteinander kommunizieren können, (2) gemeinsame Speicherbereiche oder Zwischenablagen deaktivieren, sofern diese nicht zwingend benötigt werden, und (3) die Nutzung von Schnittstellen wie USB-Passthrough oder Drag-and-Drop bewusst unterbinden oder nur für klar definierte Administrations-VMs freigeben. Darüber hinaus kann es sinnvoll sein, die Konfiguration regelmäßig mit Härtungsleitfäden abzugleichen. Ein pragmatischer Tipp ist es, beim Aufsetzen neuer VMs die Standardkonfigurationen bewusst restriktiv zu wählen und nur jene Austauschfunktionen schrittweise zu aktivieren, die für den Geschäftsbetrieb wirklich erforderlich sind.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Rollen und Berechtigungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.1 Grundschutz++ KONF.7.1 Echtzeitscanner Konfiguration für IT-Systeme SOLLTE eine automatische Prüfung auf Schadcode bei Installation oder Öffnung von Dateien aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Prüfung auf Schadcode", "definitions": {}}, "guidance": "Schadcode kann sich sowohl auf lokalen Speichermedien, als auch auf Netzlaufwerken oder Wechseldatenträgern befinden. Für Netzlaufwerke kann die Anforderung auch umgesetzt werden, indem Dateien bei der Speicherung auf dem zentralen System auf Schadcode geprüft werden. Die Anwendung zur Schadcodeprüfung kann z.B. auch als EDR, XDR oder IDS bezeichnet werden. Moderne Systeme zur Erkennung von Schadcode verwenden eine Kombination aus Virensignaturen, Heuristiken, als auch Anomalieerkennung. Falls das System die Installation von Anwendungen nicht unterstützt, so ist dieser Teilschritt entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei Installation oder Öffnung von Dateien", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.2 Grundschutz++ KONF.7.2 Regelmäßige Scans Konfiguration für IT-Systeme SOLLTE einen regelmäßigen Scan von Dateien auf dem System nach potenziellem Schadcode aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Lateral Movement", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen regelmäßigen Scan von Dateien auf dem System nach potenziellem Schadcode", "definitions": {}}, "guidance": "Schadcode kann sich sowohl auf lokalen Speichermedien, als auch auf Netzlaufwerken oder Wechseldatenträgern befinden. Für Netzlaufwerke kann die Anforderung auch umgesetzt werden, indem Dateien bei der Speicherung auf dem zentralen System auf Schadcode geprüft werden. Die Anwendung zur Schadcodeprüfung kann z.B. auch als EDR, XDR oder IDS bezeichnet werden. Moderne Systeme zur Erkennung von Schadcode verwenden eine Kombination aus Virensignaturen, Heuristiken, als auch Anomalieerkennung. Falls das System die Installation von Anwendungen nicht unterstützt, so ist dieser Teilschritt entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.4 Grundschutz++ KONF.7.4 Angriffserkennung anhand von Netzverkehr Konfiguration für IT-Systeme KANN Angriffserkennung anhand von Netzverkehr aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Angriffserkennung anhand von Netzverkehr", "definitions": {}}, "guidance": "Hierbei wird eine netzwerkbasierte Bedrohungsanalyse direkt auf dem IT-System durchgeführt. Dieser Ansatz, oft als Host-based Network Intrusion Detection System (H-NIDS) oder Endpoint Detection and Response (EDR) bezeichnet, ermöglicht eine tiefere Sicht in das Systemverhalten. Statt nur den Datenstrom am Perimeter zu überwachen, kann so die Institution verdächtige Aktivitäten wie das Scannen von Netzwerk-Ports, den Aufbau ungewöhnlicher Verbindungen zu Command-and-Control-Servern oder den Versuch der Datenexfiltration erkennen. Ohne diese Erkennung könnte sich ein Angreifer, der bereits in das Netzwerk eingedrungen ist, unentdeckt von System zu System bewegen oder sensible Daten unbemerkt nach außen senden. Die dezentrale Erkennung auf den Clients kann zudem dabei helfen, interne Lateral-Movement-Versuche zu identifizieren, da der Datenverkehr zwischen den Systemen überwacht wird, selbst wenn er das interne Netzwerk nicht verlässt. Um diese Anforderung umzusetzen, kann die Institution spezialisierte EDR- oder Endpoint-Security-Lösungen nutzen, die eine integrierte Funktion zur Netzwerküberwachung bieten. Es kann ebenfalls eine regelbasierte Erkennung über lokale Host-Firewalls oder Sicherheitsagenten aktiviert werden, die bestimmte Muster im Netzwerkverkehr blockieren oder protokollieren. Bei der Einführung solcher Maßnahmen ist es entscheidend, die Performance des Clients zu berücksichtigen. Daher kann die Konfiguration so optimiert werden, dass sie nur kritische Protokolle oder Ports überwacht, um die Systemressourcen zu schonen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +SCF:AAT-29.18 SCF AAT-29.18 Behavioral Drift Detection Mechanisms exist to continuously monitor for behavioral drift or deviation from established AI agent baselines. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.18_AAT-29.18_A01", "name": "assessment-objective", "prose": "indicators of behavioral drift or deviation from established AI agent baselines is continuously monitor for."}]} \N \N \N \N +Grundschutz++:KONF.7.6 Grundschutz++ KONF.7.6 Automatische Updates Konfiguration für IT-Systeme SOLLTE Automatische Updates der Mechanismen zur Schadcodeerkennung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Automatische Updates der Mechanismen zur Schadcodeerkennung", "definitions": {}}, "guidance": "Da Schadprogramme und Angriffsmethoden ständig abgeändert werden um bekannte Erkennungsmuster zu umgehen, sind aktuelle Erkennungsfunktionen entscheidend um laufende Angriffe erkennen zu können, z.B. Signatur-Update oder Aktualisierungen der Lernfunktion zur Anomalieerkennung. Dies kann durch automatische Aktualisierungen der Signaturen und Mechanismen zur Angriffserkennung umgesetzt werden, z.B. als tagesaktueller Download von Viren-Signaturen. Die Anforderung kann auch durch einen schrittweisen Rollout der Erkennungsfunktionen umgesetzt werden, um einen Test in der Institution zu ermöglichen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.7 Grundschutz++ KONF.7.7 Regelmäßiger Funktionstest Konfiguration für IT-Systeme KANN die Funktionsfähigkeit des Schadcodeschutzes regelmäßig überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Funktionsfähigkeit des Schadcodeschutzes", "definitions": {}}, "guidance": "Die Funktionsfähigkeit des Schadcodeschutzes beschreibt den operativen Zustand der eingesetzten Schutzmechanismen (engl. Malware Protection, oft auch Antivirus oder Endpoint Detection and Response, kurz EDR), der über die reine Installation der Software hinausgeht. Sie umfasst die korrekte Ausführung der Schutzdienste, die Aktualität der Erkennungssignaturen und Verhaltensregeln sowie die Fähigkeit, auf Bedrohungen aktiv zu reagieren und diese zu protokollieren. Eine regelmäßige Überprüfung dieser Funktionsfähigkeit kann die Institution vor unbemerkten Sicherheitslücken schützen. Ein deaktivierter oder fehlerhafter Schutzmechanismus könnte beispielsweise dazu führen, dass Ransomware unbemerkt Daten verschlüsselt oder ein Trojaner Anmeldeinformationen abgreift, obwohl eine Schutzsoftware installiert ist. Durch die proaktive Verifikation kann hingegen sichergestellt werden, dass diese wesentliche Verteidigungslinie durchgehend intakt ist und auf Angriffsversuche reagieren kann. Zur konkreten Umsetzung kann die Institution auf verschiedene, sich ergänzende Maßnahmen zurückgreifen. Eine zentrale Verwaltungskonsole der eingesetzten Schutzlösung kann genutzt werden, um den Status aller angebundenen Systeme automatisiert zu überwachen und Alarme auszulösen, wenn Systeme sich nicht mehr melden, veraltete Signaturen aufweisen oder Dienste beendet wurden. Ergänzend kann die tatsächliche Erkennungsleistung proaktiv durch den Einsatz einer standardisierten Testdatei wie dem EICAR-Teststring verifiziert werden; dieser kann automatisiert auf den Systemen platziert werden, um zu prüfen, ob der Schadcodeschutz wie erwartet anschlägt und eine Meldung generiert. Auf Systemen ohne zentrale Anbindung kann die Funktionsfähigkeit mittels Skripten überprüft werden, die lokal den Dienststatus und das Alter der Signaturdateien auslesen und in einer überwachten Logdatei dokumentieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.8 Grundschutz++ KONF.7.8 Dual-Engine-Strategie Konfiguration für IT-Systeme KANN für die Erkennung von Schadcode unterschiedliche Scan-Engines aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "für die Erkennung von Schadcode unterschiedliche Scan-Engines", "definitions": {}}, "guidance": "Hiermit ist gemeint, dass die Angriffserkennung mittels (zwei oder mehr) verschiedenen Scan-Engines durchgeführt wird, um die Erkennungswahrscheinlichkeit zu erhöhen. Hierdurch kann es zu Performanceeinbußen oder einer höheren Fehlerkennungquote kommen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.9 Grundschutz++ KONF.7.9 Einschränkung der Installation Konfiguration für IT-Systeme SOLLTE die Installation von Anwendungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Installation von Anwendungen", "definitions": {}}, "guidance": "Es empfiehlt sich z.B. die zu installierende Software nicht unkontrolliert in das Wurzeldateisystem des Betriebssystems zu installieren. Wenn die zu installierende Software aus dem Quellcode kompiliert werden soll, dann empfiehlt es sich diese nur unter einem unprivilegierten Konto zu entpacken, zu konfigurieren und zu übersetzen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.10 Grundschutz++ KONF.7.10 Einschränkung der Ausführung Konfiguration für IT-Systeme SOLLTE die Ausführung nicht autorisierter Anwendungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Living off the land", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ausführung nicht autorisierter Anwendungen", "definitions": {}}, "guidance": "Wenn Anwendungen an beliebigen Speicherorten installiert und ausgeführt werden, z.B. im Wurzeldateisystem des Betriebssystems oder an Speicherorten zusammen mit Daten der Nutzerumgebung, dann könnte dies zahlreiche Sicherheitsrisiken mit sich bringen. Unbefugte oder schadhafte Anwendungen könnten unbemerkt an unautorisierte Orte platziert werden, wo sie außerhalb etablierter Sicherheitskontrollen agieren und beispielsweise Privilege-Escalation-Angriffe durchführen können. Zudem wird das Risiko der Manipulation von Anwendungsdateien erhöht, da Angreifer gezielt nach nicht-geschützten Speicherorten suchen, um dort eigenen Code zu hinterlegen oder legitime Anwendungen zu modifizieren. Eine solche Situation kann zu \\"Living-off-the-Land\\"-Angriffen führen, bei denen Angreifer vorhandene legitime Programme missbrauchen, um Schadaktionen auszuführen, was die Erkennung erheblich erschwert. Die Beschränkung von Ausführungsspeicherorten (Execution Control) zielt darauf ab, die Angriffsfläche zu reduzieren und eine bessere Kontrolle über ausführbare Programme zu ermöglichen. Zur technischen Umsetzung dieser Anforderung kann eine Institution verschiedene Maßnahmen implementieren. Application Allowlisting kann eingesetzt werden, um nur vertrauenswürdige Anwendungen aus definierten Verzeichnissen auszuführen, beispielsweise mittels AppLocker unter Windows oder SELinux unter Linux-Systemen. Zusätzlich können Software Restriction Policies (SRPs) konfiguriert werden, um Ausführungsrechte auf bestimmte Verzeichnispfade zu begrenzen, wobei eine Trennung zwischen Systemverzeichnissen und Nutzerverzeichnissen empfehlenswert ist. Weitere wirksame Techniken umfassen die Implementierung von Code Signing, wodurch nur digital signierte Anwendungen ausgeführt werden können, sowie die Nutzung von Container-Technologien wie Docker, die eine isolierte Ausführungsumgebung bieten. Dabei kann auf das Inventar der Anwendungen als Grundlage zurückgegriffen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.11 Grundschutz++ KONF.7.11 Einschränkung von Softwarebibliotheken Konfiguration für IT-Systeme KANN die Ausführung nicht autorisierter Softwarebibliotheken einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ausführung nicht autorisierter Softwarebibliotheken", "definitions": {}}, "guidance": "Softwarebibliotheken sind wiederverwendbare Codesammlungen, die Entwicklern fertige Funktionalitäten bieten, ohne diese selbst programmieren zu müssen. Unautorisierte Bibliotheken stellen Sicherheitsrisiken dar, weil sie absichtlich eingeschleusten Schadcode enthalten könnten, der Daten ausspioniert oder Systeme kompromittiert. Sie durchlaufen seltener reguläre Sicherheitsüberprüfungen und könnten für Supply-Chain-Angriffe genutzt werden, bei denen harmlos erscheinender Code mit versteckten Schadfunktionen in Paketmanager eingeschleust wird. Zudem erhalten unautorisierte Bibliotheken häufig keine regelmäßigen Sicherheitsupdates, sodass bekannte Schwachstellen unbehoben bleiben. Mangelnde Dokumentation und unklare Abhängigkeiten von anderen ungeprüften Quellen erhöhen das Risiko zusätzlich. Beispiele sind Dateien der Typen .dll, .ocx, und .so. Die Umsetzung kann durch Sicherheitsfunktionen erfolgen, die nur das Laden autorisierter Bibliotheken in Systemprozessen erlaubt. Verfügt das IT-System über keine Möglichkeit zur Installation von Anwendungen, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.12 Grundschutz++ KONF.7.12 Einschränkung von Skripten Konfiguration für IT-Systeme KANN die Ausführung nicht autorisierter Skripte einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ausführung nicht autorisierter Skripte", "definitions": {}}, "guidance": "Skripte könnten Schadcode enthalten oder zu Fehlerzuständen auf dem System führen. Die Auswirkungen schädlicher Skripte können eingeschränkt werden, indem nur bestimmte Systemfunktionen für Skripte erlaubt werden. Die Umsetzung ist mit Funktionen wie dem Windows PowerShell Constrained Language Mode oder Linux Secure Computing Mode möglich. Verfügt das System über keine Möglichkeit zur Ausführung von Skripten, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +SCF:AAT-12.3 SCF AAT-12.3 Data Source Lineage & Origin Disclosure Mechanisms exist to ensure Artificial Intelligence and Autonomous Technologies (AAT) publicly disclose information with sufficient detail to assess:\r\n(1) Content lineage; and \r\n(2) The origin of data used by the AAT. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-12.3_AAT-12.3_A01", "name": "assessment-objective", "prose": "the organization publicly discloses information about Artificial Intelligence and Autonomous Technologies (AAT) in sufficient detail to assess content lineage."}, {"id": "AAT-12.3_AAT-12.3_A02", "name": "assessment-objective", "prose": "the organization publicly discloses information about Artificial Intelligence and Autonomous Technologies (AAT) in sufficient detail to assess the origin of data used by the AAT."}]} \N \N \N \N +Grundschutz++:KONF.7.13 Grundschutz++ KONF.7.13 Einschränkung von Systemaufrufen Konfiguration für IT-Systeme KANN Systemaufrufe pro Anwendung einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Systemaufrufe", "definitions": {}}, "guidance": "Ein Systemaufruf (engl. system call) ist dabei die Methode, mit der eine Anwendung Zugriff auf die Ressourcen des Betriebssystems anfordert, z.B. um eine Datei zu öffnen, in das Netzwerk zu kommunizieren oder einen neuen Prozess zu starten. Diese feingranulare Einschränkung wird in der Branche auch als Capability-based Security oder Seccomp (Secure Computing Mode) bezeichnet. Der Zweck dieser Vorschrift ist die gezielte Reduzierung der Angriffsfläche, indem selbst eine vertrauenswürdige, aber kompromittierte Anwendung daran gehindert wird, schädliche Aktionen auszuführen. Ein Angreifer könnte beispielsweise die Prozess-ID (PID) einer Anwendung kapern und versuchen, über deren Kontext privilegierte Systemaufrufe durchzuführen, um sich im Netzwerk auszubreiten oder sensible Daten zu löschen. Die Einschränkung dieser Aufrufe kann die Folgen eines erfolgreichen Angriffs erheblich mildern und so die Ausbreitung von Malware oder die Manipulation von Systemprozessen verhindern.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "pro Anwendung", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.14 Grundschutz++ KONF.7.14 Code-Signierung im Betriebssystemkern Konfiguration für IT-Systeme SOLLTE Code-Signierung im Betriebssystemkern aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Code-Signierung im Betriebssystemkern", "definitions": {}}, "guidance": "Laufende Kernprozesse des Systems können geschützt werden, indem nur signierter Code hierauf zugreifen darf. Beispiele sind unter Windows der der PPL-Schutz (Protected Process Light) des Local Credential Store (LSA-Schutz) oder unter Linux mit SELinux oder dem Secure Computing Mode.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.15 Grundschutz++ KONF.7.15 Lokale Firewall Konfiguration für IT-Systeme SOLLTE ein- und ausgehende Netzverbindungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein- und ausgehende Netzverbindungen", "definitions": {}}, "guidance": "Eine lokale Firewall ist eine Anwendung, welche nur die zum Betrieb und zur Wartung des IT-Systems notwendigen ein- und ausgehenden Verbindungen zulässt. Bringt das Betriebssystem diese Funktionalität bereits vom Werkszustand her mit, so ist die Anforderung ebenfalls erfüllt, wenn sie entsprechend konfiguriert ist. Zweckmäßig ist hierbei ein Allowlist-Ansatz, der die gewünschte Verbindung möglichst genau beschreibt (z.B. anhand Server-IP und Port).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.16 Grundschutz++ KONF.7.16 Anti-Exploit Konfiguration für IT-Systeme SOLLTE Systemfunktionen zum Schutz des Systems vor der Ausnutzung bekannter Sicherheitslücken aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Systemfunktionen zum Schutz des Systems vor der Ausnutzung bekannter Sicherheitslücken", "definitions": {}}, "guidance": "Angreifer versuchen häufig, bekannte Sicherheitslücken oder offene Systemfunktionen zur Verbreitung oder Einnistung von Schadcode zu missbrauchen. Funktionen zum Schutz vor der Ausnutzung von Sicherheitslücken (Anti-Exploit) können helfen dies zu verhindern. Beispiele sind Data Execution Prevention (DEP), Defender Exploit Guard (WDEG) oder System Integrity Protection (SIP).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.7.16.1 Grundschutz++ KONF.7.16.1 Anti-Exploit für den Arbeitsspeicher Konfiguration für IT-Systeme SOLLTE den Schutz des Arbeitsspeichers vor der Ausnutzung bekannter Sicherheitslücken aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Schutz des Arbeitsspeichers vor der Ausnutzung bekannter Sicherheitslücken", "definitions": {}}, "guidance": "Gelingt es Angreifern Code auf dem System auszuführen, so könnten sie versuchen, über den Arbeitsspeicher des Systems den Schadcode weiter zu verbreiten oder Zugriff auf Daten zu erlangen. Hierzu gehören Angriffe wie Buffer Overflows, Return-Oriented Programming, Heap Spraying, Use-After-Free, Memory Scraping oder Side-Channel-Angriffe wie Spectre und Meltdown. Schutzmaßnahmen hiergegen können durch Software oder durch Hardware umgesetzt sein. Softwarebasiert sind z.B. Address Space Layout Randomization (ASLR), Data Execution Prevention (DEP), Stack Canaries. Hardwarebasiert sind z.B. Trusted Execution Environments (TEE).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Schutz vor Schadcode", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.7.16 \N \N \N +Grundschutz++:KONF.9.3 Grundschutz++ KONF.9.3 Alternative Komponenten für kritische Funktionen Konfiguration für IT-Systeme KANN alternative Komponenten für bestimmte kritische Funktionen installieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "alternative Komponenten", "definitions": {}}, "guidance": "Beispiele sind redundante Stromnetzteile, Ethernet-Anschlüsse oder eine Mobilfunkanbindung als Ausfallsicherheit für die kabelgebundene Netzanbindung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Verfügbarkeit von Ressourcen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für {{bestimmte kritische Funktionen}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.8.1 Grundschutz++ KONF.8.1 Automatische Überprüfung Konfiguration für IT-Systeme SOLLTE das Vorliegen von Sicherheitsupdates überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Vorliegen von Sicherheitsupdates", "definitions": {}}, "guidance": "Eine Überwachung von Sicherheitsupdates bedeutet, dass die IT-Systeme selbsttätig nach neuen Aktualisierungen suchen, die Schwachstellen in der Software beheben. Technisch können Systeme so konfiguriert werden, dass sie über zentrale Update-Server regelmäßig auf neue Patches prüfen. Es ist ratsam, einen automatisierten Prozess einzurichten, der bei Vorliegen von Updates diese automatisiert ausrollt oder eine Meldung an die zuständigen IT-Administratoren und ggf. die betroffenen Nutzer sendet. Diese Benachrichtigung kann über E-Mail, ein internes Ticketsystem oder ein Dashboard erfolgen. Ein guter Tipp ist die priorisierte Behandlung von Updates, bei der kritische Sicherheits-Patches vor Routine-Updates installiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Sicherheitsupdates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.8.1.1 Grundschutz++ KONF.8.1.1 Automatische Sicherheitsupdates Konfiguration für IT-Systeme SOLLTE Sicherheitsupdates automatisch installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Sicherheitsupdates", "definitions": {}}, "guidance": "Dies kann durch direkten Download vom Hersteller oder einen eigenen Verteilerserver umgesetzt werden, so lange dieser ebenfalls automatisch aktuell gehalten wird. Damit Sicherheitsupdates des Betriebssystems auch tatsächlich wirken und Fehlerzustände vermieden werden ist typischerweise ein Neustart erforderlich, damit die Betriebssystemfunktionen und damit verbundene Anwendungen aus dem installierten Update neu geladen und in einen definierten Zustand versetzt werden. Manche Systeme unterstützen alternativ auch Live-Patching des Betriebssystems im laufenden Betrieb.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Sicherheitsupdates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "automatisch", "definitions": {}}} KONF.8.1 \N \N \N +Grundschutz++:KONF.8.2 Grundschutz++ KONF.8.2 Automatische Updates der Anwendung Konfiguration für Anwendungen SOLLTE die automatische Installation von Sicherheitsupdates aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die automatische Installation von Sicherheitsupdates", "definitions": {}}, "guidance": "Dies kann durch direkten Download vom Hersteller oder einen eigenen Verteilerserver umgesetzt werden, so lange dieser aktuell gehalten wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Sicherheitsupdates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.9.1 Grundschutz++ KONF.9.1 Speicherplatzbegrenzung Konfiguration für IT-Systeme SOLLTE den Speicherplatz für die Nutzerumgebung einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Speicherplatz für die Nutzerumgebung", "definitions": {}}, "guidance": "Nutzerumgebung meint hier alle Anwendungen und Dienste, die auf dem System betrieben werden, aber keine Systemdienste sind. Alternativ empfiehlt es sich Mechanismen des verwendeten Datei- oder Betriebssystems zu nutzen, die Benutzende bei einem bestimmten Füllstand der Festplatte warnen oder nur noch Administrierenden Schreibrechte einräumen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verfügbarkeit von Ressourcen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.9.2 Grundschutz++ KONF.9.2 Begrenzung der Rechenleistung Konfiguration für Hostsysteme KANN die zur Verfügung stehende Rechenleistung anhand von Schwellwerten einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zur Verfügung stehende Rechenleistung", "definitions": {}}, "guidance": "Dies kann durch eine Beschränkung der Anzahl verwendeter Rechenkerne, der Rechenleistung pro Rechenkern oder durch eine indirekte Beschränkung (z.B. eine begrenzte Menge an Anfragen oder Eingabetoken in Anwendungen) umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Verfügbarkeit von Ressourcen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +SCF:AAT-12.4 SCF AAT-12.4 Digital Content Modification Logging Mechanisms exist to ensure Artificial Intelligence and Autonomous Technologies (AAT):\r\n(1) Enable auditing of content modifications; and \r\n(2) Generate event logs for content-related changes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-12.4_AAT-12.4_A01", "name": "assessment-objective", "prose": "Artificial Intelligence and Autonomous Technologies (AAT) are configured to enable auditing of content modifications."}, {"id": "AAT-12.4_AAT-12.4_A02", "name": "assessment-objective", "prose": "Artificial Intelligence and Autonomous Technologies (AAT) are configured to generate event logs for content-related changes."}]} \N \N \N \N +Grundschutz++:KONF.10.1 Grundschutz++ KONF.10.1 Grundkonfiguration für Anwendungen Konfiguration für Anwendungen SOLLTE eine Grundkonfiguration dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Grundkonfiguration", "definitions": {}}, "guidance": "Eine Grundkonfiguration (engl. baseline configuration) bezeichnet in diesem Kontext einen dokumentierten Ausgangszustand einer Anwendung, der sowohl funktionale Anforderungen als auch sicherheitsrelevante Einstellungen berücksichtigt. Sie umfasst unter anderem Parameter wie Benutzerrechte, Logging-Einstellungen, Schnittstellenaktivierungen oder Verschlüsselungsoptionen und bildet damit die Referenz, auf die spätere Anpassungen zurückgeführt oder überprüft werden können. Fehlt eine nachvollziehbare Grundkonfiguration, könnte es bei Updates, Migrationen oder im Incident-Fall zu schwer erkennbaren Abweichungen kommen, die unerwünschte Sicherheitslücken hinterlassen. Eine klare Dokumentation kann dagegen die Nachvollziehbarkeit erhöhen, unerwünschte Änderungen sichtbar machen und den sicheren Betrieb der Anwendung unterstützen. Zur praktischen Umsetzung kann die Institution eine dokumentierte Konfigurationsvorlage entwickeln, die sowohl Herstellerempfehlungen als auch anerkannte Empfehlungen des BSI oder aus Benchmarks wie die des Center for Internet Security (CIS) berücksichtigt. Die Sicherheit von Anwendungen ist in besonderem Maße kontextbezogen: So könnten z.B. über E-Mail oder Messenger hoch vertrauliche Daten ausgetauscht werden oder auch öffentliche Informationen. Daher ist hier eine Vertiefung der Risikoanalyse empfehlenswert, die sich an der Verwendung der Anwendungen in Geschäftsprozessen orientiert. Dabei besteht ein enger Bezug zu Compliance-Anforderungen, zum Beispiel an finanzielle Transaktionen oder den Datenschutz, je nachdem welche Datenverarbeitungen mit der Anwendung vorgenommen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.10.1.1 Grundschutz++ KONF.10.1.1 Versionierung der Anwendungskonfiguration Konfiguration für Anwendungen SOLLTE eine Versionierung vorheriger Konfigurationen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Versionierung vorheriger Konfigurationen", "definitions": {}}, "guidance": "Die Versionierung bezeichnet hier die strukturierte Nachvollziehbarkeit von Änderungen an Konfigurationen, also das Speichern, Dokumentieren und bei Bedarf Wiederherstellen älterer Zustände einer Anwendung. Sie unterscheidet sich von einem einfachen Backup dadurch, dass nicht nur eine Kopie vorliegt, sondern explizit eine fortlaufende Historie mit Vergleichen, Rücksetzpunkten (rollback points) und optional Kommentaren geführt wird. Der Zweck liegt darin, dass eine ungewollte oder fehlerhafte Anpassung an einer Anwendungskonfiguration im Betrieb schnell erkannt und – wenn erforderlich – präzise auf einen definierten, funktionsfähigen Zustand zurückgesetzt werden kann. Ohne diese Rückgriffsmöglichkeit könnte ein Konfigurationsfehler den gesamten Dienst außer Betrieb setzen, während eine Versionierung die Verfügbarkeit und Nachvollziehbarkeit stärken kann. Zur Umsetzung kann eine Institution technische Verfahren einsetzen, die eine automatische Ablage und Historisierung von Konfigurationsdateien unterstützen, beispielsweise durch (1) den Einsatz verteilter Versionskontrollsysteme wie Git oder Subversion (SVN) für textbasierte Konfigurationsdateien, (2) integrierte Konfigurationsarchivierung in gängigen Deployment- oder Container-Tools, oder (3) systemseitige Snapshot-Mechanismen, die gezielt für Konfigurationsverzeichnisse genutzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} KONF.10.1 \N \N \N +Grundschutz++:KONF.10.2 Grundschutz++ KONF.10.2 Kryptographische Verfahren in Anwendungen Konfiguration für Anwendungen SOLLTE kryptographische Verfahren nach anerkannten Standards im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "kryptographische Verfahren", "definitions": {}}, "guidance": "Kryptographie wird für die Authentifizierung, Verschlüsselung und Integritätprüfung in Anwendungen verwendet, z.B. bei der Anmeldung an der Anwendung oder digitalen Signierung von Nachrichten. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Schlüsselmanagement zu finden ist. Anerkannte kryptographische Verfahren sind in der BSI TR-02102 zu finden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "nach {{anerkannten Standards}} im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.10.3 Grundschutz++ KONF.10.3 Änderung von Default-Zugangsdaten Konfiguration für Anwendungen SOLLTE die Änderung von Default-Zugangsdaten ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Änderung von Default-Zugangsdaten", "definitions": {}}, "guidance": "Hiermit sind Default-Passwörter, als auch vertrauenswürdige Authentisierungs-Schlüssel oder Zertifikate fallen, die per Default zur Anmeldung akzeptiert werden, gemeint.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +SCF:AAT-17 SCF AAT-17 AI & Autonomous Technologies Harm Prevention Mechanisms exist to proactively prevent harm by regularly identifying and tracking existing, unanticipated and emergent Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17_AAT-17_A01", "name": "assessment-objective", "prose": "the organization proactively identifies unanticipated and emergent Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks."}, {"id": "AAT-17_AAT-17_A02", "name": "assessment-objective", "prose": "the organization tracks existing, unanticipated and emergent Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks in a Plan of Action & Milestones (POA&M), or similar risk register."}]} \N \N \N \N +Grundschutz++:KONF.10.4 Grundschutz++ KONF.10.4 Deaktivierung nicht benötigter Anwendungsfunktionen Konfiguration für Anwendungen SOLLTE nicht benötigte Anwendungsfunktionen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "nicht benötigte Anwendungsfunktionen", "definitions": {}}, "guidance": "Funktionen die für den Betrieb nicht benötigt werden stellen ein unnötiges Sicherheitsrisiko dar, da sie von Angreifern ausgenutzt werden oder durch Wechselwirkungen zu unvorhergesehenen Fehlern führen könnten. Hierzu gehören z.B. ungenutzte Cloud-Anbindungen, Module, Leistungsmerkmale oder Einstellungen. Installationspakete enthalten häufig eine Vielzahl von ausführbaren Dateien und Erweiterungen. Für den Betrieb nicht benötigte Anwendungskomponenten können Schwachstellen enthalten und sind ein unnötiges Sicherheitsrisiko.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.10.5 Grundschutz++ KONF.10.5 Überprüfung der Konfiguration Konfiguration für Anwendungen SOLLTE die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand regelmäßig überprüfen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übereinstimmung der tatsächlichen Konfiguration mit dem Referenzzustand", "definitions": {}}, "guidance": "Referenzzustand („baseline configuration“) bezeichnet hier die dokumentierte und freigegebene Konfiguration der Anwendung, also die gewünschte und autorisierte Einstellung von Parametern, Diensten und Komponenten. Die tatsächliche Konfiguration ist die aktuelle technische Umsetzung dieser Einstellungen der Anwendung selbst. Der Abgleich beider Zustände dient vor allem der Vermeidung von Configuration Drift – d.h. dass Anwendungen schleichend von der definierten Grundkonfiguration abweichen. Dies könnte auftreten, wenn Änderungen nicht zentral dokumentiert oder automatisierte Installationen nicht einheitlich umgesetzt werden. Ohne diese Kontrolle könnte es zu unbemerkten Fehlkonfigurationen kommen, die Sicherheitslücken öffnen oder Betriebsstörungen verursachen. Durch regelmäßige Vergleiche kann eine Institution sicherstellen, dass Anwendungen konsistent, vertrauenswürdig und wartbar bleiben. Die Umsetzung kann technisch etwa mit Skripten erfolgen, die automatisiert Konfigurationsparameter auslesen und vergleichen. Auch der Einsatz von „Configuration Management“- oder „Compliance Scanning“-Werkzeugen kann unterstützen, indem sie Differenzen visualisieren und Reports erzeugen. Prozessual kann es hilfreich sein, Prüfintervalle nach Kritikalitätsklassen zu staffeln (z. B. sicherheitskritische Anwendungen wöchentlich, weniger kritische vierteljährlich) und Ergebnisse in Change-Management-Prozesse zurückzuführen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.10.5.1 Grundschutz++ KONF.10.5.1 Automatisierte Überprüfung der Konfiguration Konfiguration für Anwendungen KANN die Überprüfung der Konfiguration durch einen automatisierten Mechanismus aktivieren. KANN BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Überprüfung der Konfiguration durch {{einen automatisierten Mechanismus}}", "definitions": {}}, "guidance": "Die automatische Auditierung der Systemkonfiguration ermöglicht eine kontinuierliche und effiziente Überprüfung, ob IT-Systeme sicher und regelkonform konfiguriert sind. Dabei wird die aktuelle Konfiguration automatisiert mit vordefinierten Soll-Vorgaben (etwa unternehmensinternen Richtlinien oder externen Benchmarks wie denen des Center for Internet Security (CIS)) abgeglichen. Dies ist besonders sinnvoll, da manuelle Prüfungen fehleranfällig, zeitaufwändig und in großen Infrastrukturen kaum durchführbar sind. Automatisierte Audits erhöhen die Transparenz, erkennen Abweichungen frühzeitig und erleichtern die Einhaltung von Compliance-Vorgaben. So wird die Angriffsfläche durch fehlerhafte oder unsichere Einstellungen erheblich reduziert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Konfiguration von Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.10.5 \N \N \N +Grundschutz++:KONF.11.1 Grundschutz++ KONF.11.1 Authentifizierung vor dem Zugriff Konfiguration für Anwendungen SOLLTE Zugriffe auf schützenswerte Daten im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zugriffe auf schützenswerte Daten", "definitions": {}}, "guidance": "Ziel ist es, vertrauliche Daten vor dem Zugriff von Unbefugten zu schützen. Relevant sind hierbei sowohl Frontend-Zugänge wie Webportale, als auch Backend-Datenschnittstellen wie Datenbank-API. Dies kann durch eine anwendungsspezifische Authentifizierung, oder durch Nutzung eines zentralen Identity Providers (Single-Sign-On) erfüllt werden. Für die Authentifizierung kommen z.B. Passwörter, X.509-Zertifikate, OTP-Token in Frage. Zweckmäßig ist hierfür der Einsatz von Standardkomponenten wie OAuth 2.0 und die Verbindung mit einem zentralen Berechtigungsmanagement der Anwendung. Im Einklang mit den Anforderungen des Identitäts- und Berechtigungsmanagements bedeutet, dass für die Anwendung die Anforderungen aus der Praktik Identitäts- und Berechtigungsmanagement erfüllt sind, die dort festgelegt wurden. Hierzu gehört die Art der Authentifizierung (z.B. Passwort, Biometrie, Mehr-Faktor-Authentifizierung) ebenso wie die relevanten Parameter (Passwortkomplexität, etc.). Auf Daten die nicht vertraulich (z.B. öffentlich) sind kann auch ohne Authentifizierung Zugriff erlaubt sein. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist. Verarbeitet die Anwendung gar keine vertraulichen Daten, dann ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.4 Grundschutz++ KONF.11.4 Veröffentlichung von Domain-Infomationen Konfiguration für DNS-Server SOLLTE die Veröffentlichung von Domain-Infomationen anhand von Kriterien einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Data Leak, Recon", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Veröffentlichung von Domain-Infomationen", "definitions": {}}, "guidance": "Angreifer nutzen häufig DNS um das Netz zu erkunden (DNS-Reconnaissance). Veröffentlichen Sie Domain-Informationen nur, wenn diese zu einem Dienst gehören, der zur externen Nutzung gedacht ist. Nur intern benötigte DNS-Einträge dagegen bleiben intern. Kriterien können z.B. Domains oder Subdomain sein (intern.domain.com vs www.domain.com).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Kriterien}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.1.1 Grundschutz++ KONF.11.1.1 Authentifizierung von geplanten Konversationen Konfiguration für TK-Anwendungen SOLLTE den Zugriff auf geplante Konversationen im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den Zugriff auf geplante Konversationen", "definitions": {}}, "guidance": "Viele TK-Anwendungen bieten geplante Konversationen, z.B. in virtuellen Meeting-Räumen oder über Telefonkonferenzen, die über eine Rufnummer erreichbar sind. Wird der Zugriff hierauf nicht authentifiziert, so könnten unbemerkt Unberechtigte teilnehmen und Informationen abhören oder auf Meta-Informationen wie Teilnehmer oder Uhrzeiten zugreifen. Der Schutz kann z.B. durch Passwörter/PINs oder über die Anmeldung per Zertifikat oder Single-Sign-On geschehen. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} KONF.11.1 \N \N \N +Grundschutz++:KONF.11.1.2 Grundschutz++ KONF.11.1.2 Authentifizierung von Netzverbindungen - clientseitig Konfiguration für Anwendungen SOLLTE die Gegenstelle vor dem Datenaustausch im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Gegenstelle vor dem Datenaustausch", "definitions": {}}, "guidance": "Stellt eine Anwendung Anfragen über das Netz oder nimmt eine Anwendung Anfragen über das Netz entgegen, so gewährleistet eine gegenseitige Authentifizierung der Kommunikationspartner (mutual authentication), dass diese autorisiert ist Anfragen zu stellen oder zu beantworten. Eine gängige Lösung ist die Prüfung von X.509-Zertifikaten beim Verbindungaufbau mit TLS. Für die Umsetzung ist es nicht unbedingt erforderlich, dass sich die Gegenstelle bei jeder Anfrage/Abruf erneut authentifiziert, wenn bei der Authentifizierung eine sichere Verbindung per TLS aufgebaut wird. Mit Anfragen sind alle Zugriffe gemeint, sei es über eine Web-URL oder eigene API. Die Formulierung \\"im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik Berechtigung (BER) festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist. Für lesende Zugriffe auf unkritische, öffentliche Daten ist die Authentifizierung der lesenden Anwendung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den zugehörigen Anforderungen zum Identitäts- und Berechtigungsmanagement", "definitions": {}}} KONF.11.1 \N \N \N +Grundschutz++:KONF.11.2 Grundschutz++ KONF.11.2 Warteraum Konfiguration für VK-Anwendungen SOLLTE einen virtuellen Warteraum aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen virtuellen Warteraum", "definitions": {}}, "guidance": "Virtuelle Warteräume geben Konferenzmoderatoren die Möglichkeit, Teilnehmer vor Eintritt in einem virtuellen Warteraum persönlich zu authentifizieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.3 Grundschutz++ KONF.11.3 Alternative Authentifizierung Konfiguration für Anwendungen KANN ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein ebenso vertrauenswürdiges, alternatives Verfahren zur Authentifizierung", "definitions": {}}, "guidance": "Wenn Nutzende ihren Primärzugang (z.B. Passwort, Smartphone mit Authentifizierungs-App) nicht mehr haben, wird eine alternative Möglichkeit zur Authentifizierung benötigt. Damit dieser Alternativzugang den Schutz der Primärmethode nicht aushebelt, ist eine vergleichbare Zuverlässigkeit der Authentifizierung erforderlich. Lösungsmöglichkeiten je nach Schutzbedarf sind z.B. (1) ein Einmalpasswort, dass an die hinterlegte E-Mailadresse versendet wird, (2) die persönliche Vorstellung mit Ausweis, (3) die Verifikation über bestehende Sitzungen, (4) Rückfallantworten wie Sicherheitsfragen oder PUK.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.8.2 Grundschutz++ KONF.11.8.2 Einschränkung von TK-Verbindungen Konfiguration für TK-Anwendungen SOLLTE unerwünschte TK-Verbindungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "unerwünschte TK-Verbindungen", "definitions": {}}, "guidance": "Kann durch Session Border Controller (SBC) oder Filterung innerhalb von Anwendungen umgesetzt werden. SBC filtern die Signalisierung und Mediastreams auf dem Kommunikationsweg, insbesondere beim Verbindungsaufbau mittels SIP, H.323 oder MGCP.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.11.8 \N \N \N +Grundschutz++:KONF.11.5 Grundschutz++ KONF.11.5 Erraten von Zugriffslinks Konfiguration für Webanwendungen SOLLTE das Durchprobieren von Zugriffslinks durch einen automatisierten Mechanismus blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Brute-Force-Attacke", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Durchprobieren von Zugriffslinks", "definitions": {}}, "guidance": "Ermöglichen Links den Zugriff auf vertrauliche Daten ohne Authentifizierung, so könnten Angreifer versuchen diese zu finden, z.B. mit Durchprobieren von Meeting-Links oder Ressourcen-URLs. Mögliche Maßnahmen sind Nicht-Sequentielle IDs mit hoher Entropie, Rate Limiting von Anfragen oder CAPTCHA. Hierbei bietet sich eine Kombination von Maßnahmen an, die Anzahl erwarteter Zugriffe, Verfügbarkeits- und Usability-Kriterien ebenso beachtet wie das Risikoprofil der Anwendung. Bietet die Webanwendung keinerlei Zugriff auf schützenswerte Informationen ohne Authentifizierung, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.6 Grundschutz++ KONF.11.6 Einschränkung unauthentifizierter Anschlüsse Konfiguration für TK-Anwendungen SOLLTE von unauthentifizierten Anschlüssen erreichbare Gegenstellen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "von unauthentifizierten Anschlüssen erreichbare Gegenstellen", "definitions": {}}, "guidance": "Als unauthentifizierte Anschlüsse (engl. unauthenticated connections) sind hier alle Endpunkte zu verstehen, die eine Kommunikation ohne Anmeldung ermöglichen. Dies umfasst beispielsweise Notfalltelefone in Aufzügen, öffentlich zugängliche Telefone oder auch Faxgeräte in ungesicherten Bereichen. Aber auch an Konferenzraum-Systeme für Videokonferenzen oder den anonymen Gast-Zugang zu Online-Meetings ist zu denken. Die Anforderung zielt darauf ab, den Missbrauch dieser Kommunikationskanäle zu unterbinden, deren Nutzung nicht eindeutig einem authentifizierten Benutzer zugeordnet werden kann. Ohne eine Einschränkung der erreichbaren Gegenstellen – also der kontaktierbaren externen Domänen, Meeting-IDs oder Benutzerkonten – könnte ein Angreifer vertrauliche interne Besprechungen ausspähen oder ein unautorisierter Gast könnte von einem Konferenzraum aus sensible Daten per Bildschirmübertragung an externe Dritte weitergeben. Ohne eine solche Einschränkung könnte ein unberechtigter Nutzer auf Kosten der Institution kostenpflichtige Mehrwertdienste oder teure Auslandsnummern anwählen und so erheblichen finanziellen Schaden verursachen. Ebenso könnte eine missbräuchliche Nutzung zur Belästigung Dritter oder zur Absetzung von böswilligen Notrufen erfolgen, was die Verfügbarkeit kritischer Ressourcen beeinträchtigen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.7 Grundschutz++ KONF.11.7 Übersicht angemeldeter Verbindungen Konfiguration für Anwendungen KANN eine Übersicht angemeldeter Verbindungen aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Übersicht angemeldeter Verbindungen", "definitions": {}}, "guidance": "Je nach Anwendung können dabei Informationen wie Gerätename, Betriebssystemtyp, Browser-Agent oder IP-Adresse angezeigt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.8 Grundschutz++ KONF.11.8 Einschränkung von Schnittstellen Konfiguration für Anwendungen SOLLTE aktivierte Schnittstellen einschließlich denen zu anderen Anwendungen, Cloud-Funktionen oder Erweiterungen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aktivierte Schnittstellen", "definitions": {}}, "guidance": "Die Einschränkung von Schnittstellen hilft, ungewollte oder böswillige Zugriffe auf Anwendungen und Daten zu verhindern. Durch das Festlegen klarer Regeln welche Systeme oder Anwendungen über welche Schnittstellen auf welche Daten zugreifen können wir das \\"Need to know\\" Prinzip in der Kommunikation umgesetzt. Ferner kann ein solcher Ansatz dazu beitragen, die Integrität und Vertraulichkeit von Informationen zu wahren, indem nur autorisierte Kommunikationspartner berechtigt werden, Daten zu lesen, zu schreiben oder Funktionalitäten aufzurufen. Beispiele sind die Synchronisierung von Lesezeichen und Historie im Browser, die Anbindung von Cloud-Funktionen, etwa eine serverless Image-Processing-API, für die ein entsprechendes Rollenkonzept noch nicht hinterlegt und von der Sicherheitsverantwortlichen geprüft wurde, oder die Installation einer Browsererweiterungen. Erweiterungen (Plugins, AddOns), die nicht von der Institution für die Verwendung autorisiert wurden, können zu ungewollten Datenabflüssen führen und Schadcode enthalten. Zur Umsetzung kann es hilfreich sein, standardisierte Formulare oder digitale Workflows zu etablieren, in denen die Notwendigkeit, der Umfang und die Verantwortlichen für jede neue Schnittstelle dokumentiert werden. Die Einschränkung kann auch durch Komponenten außerhalb der Anwendung erfolgen, zum Beispiel durch API-Gateways, die nur auf Whitelists registrierter Endpunkte reagieren, oder durch Einsatz von Zertifikaten und OAuth-Scopes. Um unautorisierte Erweiterungen technisch zu unterbinden kann die Deinstallation oder Deaktivierung der Erweiterungen, sowie das Setzen von Berechtigungen zur Installation nur für Administrierende umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich denen zu anderen Anwendungen, Cloud-Funktionen oder Erweiterungen", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.11.8.1 Grundschutz++ KONF.11.8.1 Einschränkung von Zonentransfers Konfiguration für DNS-Server SOLLTE Zonentransfers einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Zonentransfers", "definitions": {}}, "guidance": "Zum Schutz vor DNS-Reconnaissance und DNS-Spoofing, da Zonendaten alle DNS-Einträger einer Domäne enthalten. Kann durch Einschränkung auf autorisierte IP-Adressen und TSIG umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.11.8 \N \N \N +Grundschutz++:KONF.11.8.2.1 Grundschutz++ KONF.11.8.2.1 Einschränkung der TK-Gegenstellen Konfiguration für TK-Anwendungen SOLLTE Verbindungen mit externen Gegenstellen einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, PSTN", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verbindungen mit externen Gegenstellen", "definitions": {}}, "guidance": "Telekommunikation mit externen Stellen ist essenziell für viele Geschäftsprozesse, aber auch beliebtes Ziel für Social Engineering und technische Angriffe. Kann z.B. durch eine Beschränkung auf europäische Rufnummernkreise oder den Ausschluss unerwünschter IP-Adressbereiche umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.11.8.2 \N \N \N +Grundschutz++:KONF.11.9 Grundschutz++ KONF.11.9 Verschlüsselung schützenswerter Daten (at-rest) Konfiguration für Anwendungen KANN schützenswerte Daten bei der Speicherung (at-rest) verschlüsseln. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "schützenswerte Daten", "definitions": {}}, "guidance": "Hierbei ist insbesondere an Zugangsdaten zu denken. Die Anforderung ist auch dann erfüllt, wenn Daten statt einer Verschlüsselung mit Hash und Salt versehen sind. Zur Umsetzung siehe BSI TR-02102.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Vertrauensbeziehungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "bei der Speicherung (at-rest)", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.1 Grundschutz++ KONF.12.1 Eingabevalidierung Konfiguration für Anwendungen SOLLTE die Validierung von Eingabedaten durch einen automatisierten Mechanismus aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Validierung von Eingabedaten", "definitions": {}}, "guidance": "Eingabevalidierung (engl. input validation) ist die technische und logische Überprüfung von Daten, die von Nutzenden, Schnittstellen oder externen Quellen an eine Anwendung übergeben werden. Ziel ist es, sicherzustellen, dass nur erwartete, syntaktisch und semantisch korrekte Eingaben verarbeitet werden – beispielsweise Zahlen in einem numerischen Feld, zulässige Dateiformate bei Uploads oder inhaltlich beschränkte Steuerzeichen in Formularen. Fehlende oder unzureichende Eingabevalidierung könnte es Angreifenden ermöglichen, schadhaften Code einzuschleusen (injection attacks wie SQL Injection oder Command Injection), Geschäftslogik zu manipulieren oder Systeme über Ressourcenmissbrauch lahmzulegen. Eine saubere Validierung kann dagegen die Angriffsfläche deutlich reduzieren und die Verlässlichkeit der Anwendung erhöhen. Dabei hängt die Ausgestaltung stark vom Einsatzzweck ab: Während etwa bei einer Textverarbeitung größere Freiheiten gewährt werden können, erfordern sensible Szenarien wie SQL-Injection bei Datenbankanfragen, die Abwehr von prompt injection bei Large Language Models (LLM) oder die Verarbeitung von Zahlungsdaten sehr strikte Prüfungen. Je nach Anwendung und Risikoprofil können Plausibilitätsprüfungen, die Beschränkung der Eingabedaten auf vordefinierte Werte, Verifikationen der Daten bei einer dritten Stelle (z.B. eines Zahlungsmittels beim Zahlungsanbieter), Regular Expression Entry Patterns, oder Data Escaping als Maßnahmen sinnvoll sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "durch {{einen automatisierten Mechanismus}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.1.1 Grundschutz++ KONF.12.1.1 Zertifikatsprüfung Konfiguration für Webbrowser SOLLTE die automatische Validierung des Zertifikates einschließlich der vollständigen Zertifikatskette aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die automatische Validierung des Zertifikates", "definitions": {}}, "guidance": "Zertifikatsprüfung (Certificate Validation) ist eine Funktion, bei der ein Browser das digitale Zertifikat einer Webseite vor dem Verbindungsaufbau verifiziert. Dabei wird sichergestellt, dass das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA - Certificate Authority) ausgestellt, gültig und nicht abgelaufen oder widerrufen ist. Dabei wird die vollständige Zertifikatskette, einschließlich des Root-Zertifikates verifiziert. Ist das Zertifikat ungültig, so wird der Aufruf der Seite blockiert. Die korrekte Implementierung dieses Prozesses kann die Vertraulichkeit und Integrität der übertragenen Daten gewährleisten und schützt vor Man-in-the-Middle-Angriffen, bei denen Angreifer versuchen, den Datenverkehr abzufangen. Zur Umsetzung dieser Anforderung können Institutionen die zentrale Konfiguration von Browsern über Gruppenrichtlinien (Group Policies) oder Mobile Device Management (MDM)-Lösungen vornehmen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich der vollständigen Zertifikatskette", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.2 Grundschutz++ KONF.12.1.2 Content Security Policy (CSP) Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Content Security Policy einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aufgerufene Inhalte anhand der von der Webseite bereitgestellten Content Security Policy", "definitions": {}}, "guidance": "Eine Content Security Policy (CSP) ist ein Sicherheitsmechanismus, der es einer Webseite erlaubt, dem Webbrowser mitzuteilen, von welchen Quellen er aktive Inhalte wie Skripte oder auch passive Inhalte wie Bilder laden darf. Durch diesen als Whitelist funktionierenden Ansatz kann die Institution die Angriffsfläche ihrer Webanwendungen erheblich reduzieren. Ohne eine wirksame CSP könnten Angreifer durch Cross-Site-Scripting-Angriffe (XSS) bösartige Skripte in eine Webseite einschleusen, die dann im Browser des Nutzers ausgeführt werden und beispielsweise sensible Daten auslesen oder Aktionen im Namen des Opfers durchführen könnten. Die Aktivierung einer CSP blockiert die Ausführung von nicht vertrauenswürdigen Skripten und das Laden unerwünschter Ressourcen und schützt somit die Integrität und Vertraulichkeit der Web-Sitzung.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.3 Grundschutz++ KONF.12.1.3 Same-Origin-Policy Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Same-Origin-Policy einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aufgerufene Inhalte anhand der von der Webseite bereitgestellten Same-Origin-Policy", "definitions": {}}, "guidance": "Die Same-Origin-Policy, oft auch als SOP bekannt, ist ein fundamentaler Sicherheitsmechanismus im Webbrowser, der sicherstellt, dass von einer Quelle (Origin) geladene Skripte oder Dokumente nicht mit Ressourcen einer anderen Quelle interagieren können, wobei eine Quelle durch die Kombination aus Protokoll, Hostname und Port definiert wird. Sinn und Zweck dieser strikten Trennung ist der Schutz vor Datenabfluss und unbefugten Interaktionen zwischen unterschiedlichen Webanwendungen innerhalb derselben Browsersitzung. Ohne diese Isolierung könnte eine schadhafte Webseite beispielsweise vertrauliche Informationen aus einer parallel geöffneten legitimen Anwendung, wie einem Online-Banking-Portal oder internen Firmentool, auslesen und an einen Angreifer senden. Die konsequente Durchsetzung der Same-Origin-Policy durch den Browser kann solche Cross-Site-Scripting-Angriffe (XSS) effektiv unterbinden und somit die Vertraulichkeit und Integrität der vom Nutzer verarbeiteten Daten gewährleisten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.4 Grundschutz++ KONF.12.1.4 Subresource Integrity-Prüfung Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten Subresource Integrity-Prüfung einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aufgerufene Inhalte anhand der von der Webseite bereitgestellten Subresource Integrity-Prüfung", "definitions": {}}, "guidance": "Unter Subresource Integrity (SRI), zu Deutsch etwa „Integrität von Unterressourcen“, versteht man einen Sicherheitsmechanismus von Webbrowsern, der sicherstellt, dass die vom Browser geladenen Ressourcen, wie z.B. JavaScript-Dateien oder CSS-Stylesheets, die von einem Drittanbieter (etwa einem Content Delivery Network, CDN) stammen, nicht unerwünscht manipuliert wurden. Technisch geschieht dies dadurch, dass die Webseite beim Einbinden der Ressource einen kryptografischen Hashwert (oder Digest) der erwarteten Datei als Attribut (z.B. integrity=\\"...\\") mitsendet. Der Webbrowser kann dann nach dem Herunterladen der Ressource diesen Hashwert neu berechnen und mit dem bereitgestellten Wert vergleichen. Dies ist notwendig, da die Institution zwar die eigene Webseite kontrolliert, aber nicht die Server Dritter, von denen oft Bibliotheken geladen werden. Der Sinn und Zweck dieser Vorschrift liegt darin, die Sicherheit der Endnutzer zu erhöhen und Risiken durch manipulierte externe Inhalte zu minimieren. Ohne diese Prüfung könnte eine kompromittierte Drittanbieter-Ressource bösen Code in die Webseite der Institution einschleusen, was zu Vorfällen wie Datendiebstahl oder der Installation von Malware auf den Geräten der Nutzer führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.5 Grundschutz++ KONF.12.1.5 HTTP Strict Transport Security (HSTS) Konfiguration für Webbrowser SOLLTE aufgerufene Inhalte anhand der von der Webseite bereitgestellten HTTP Strict Transport Security (HSTS) Richtlinie einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aufgerufene Inhalte anhand der von der Webseite bereitgestellten HTTP Strict Transport Security (HSTS) Richtlinie", "definitions": {}}, "guidance": "Die HTTP Strict Transport Security (HSTS) ist ein Web-Sicherheitsmechanismus – definiert in IETF RFC 6797 – der Webbrowser zwingt, eine ausschließlich verschlüsselte Verbindung (HTTPS) mit einem Webserver zu nutzen, selbst wenn der Nutzer oder eine Anwendung versucht, über das unsichere HTTP zuzugreifen. Konkret beinhaltet die HSTS-Richtlinie (oder Policy) einen speziellen HTTP-Antwort-Header, den der Webserver an den Browser sendet, der die Dauer (max-age) festlegt, für die der Browser die Verbindung nur über HTTPS herstellen soll. Die restriktive Konfiguration von Webbrowsern in Bezug auf diese Richtlinie kann die Schutzwirkung erhöhen, da so das Risiko eines Man-in-the-Middle (MITM)-Angriffs, bei dem ein Angreifer eine unverschlüsselte Verbindung abfangen oder den Nutzer auf eine unsichere Seite umleiten könnte, deutlich reduziert wird. Eine solche Konfiguration kann die Institution vor dem ungewollten Downgrade-Angriff (Downgrade Attack) schützen, bei dem die Verbindung von HTTPS auf das unsichere HTTP erzwungen wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.6 Grundschutz++ KONF.12.1.6 JavaScript Konfiguration für Webbrowser KANN JavaScript einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "JavaScript", "definitions": {}}, "guidance": "Schadcode in JavaScript kann unbefugt auf sensible Daten zugreifen oder die angezeigte Webseite manipulieren. Da viele Webseiten JavaScript zur Ausführung benötigen, ist die Deaktivierung von JavaScript mit erheblichen funktionalen Einschränkungen verbunden. Ein möglicher Kompromiss ist, dass Administrierende oder Nutzende Ausnahmen für einzelne Seiten hinzufügen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.7 Grundschutz++ KONF.12.1.7 Filtern schädlicher Webinhalte Konfiguration für Webanwendungen SOLLTE eine Filterung schädlicher Webinhalte aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Filterung schädlicher Webinhalte", "definitions": {}}, "guidance": "Anfragen an Webanwendungen könnten dazu führen, dass diese sich anders verhalten als gewollt. Mögliche Folgen sind die unzulässige Preisgabe von Informationen, die Manipulation oder der Verlust von Daten sowie Betriebsstörungen. Typische Auslöser sind SQL Injection oder Cross-Site-Scripting. Solche potenziell schädlich wirkenden Inhalte können durch eine Web Application Firewall oder durch geeignete Eingabevalidierung in der Webanwendung gefiltert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.8 Grundschutz++ KONF.12.1.8 Duplikate im Verzeichnisbaum Konfiguration für Verzeichnisdienste SOLLTE Duplikate im Verzeichnisbaum blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Duplikate im Verzeichnisbaum", "definitions": {}}, "guidance": "Da jedes Zugangskonto nur einmal benötigt wird können Duplikate von Attributen wie Name oder Organisationseinheit nur als Fehler oder Angriff vorkommen. In OpenLDAP kann dies beispielsweise durch Overlays realisiert werden. Dies gilt ausschließlich für Daten von Nutzenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} KONF.12.1 \N \N \N +SCF:AAT-29.19 SCF AAT-29.19 AI Agent Action Authentication & Authorization Mechanisms exist to ensure that all AI agent-initiated actions are properly mapped to authenticated user or system identities, with enforced authorization checks. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.19_AAT-29.19_A01", "name": "assessment-objective", "prose": "AI agent-initiated actions are properly mapped to authenticated user or system identities, with enforced authorization checks."}]} \N \N \N \N +Grundschutz++:KONF.12.1.9 Grundschutz++ KONF.12.1.9 Journaling Konfiguration für Dateiserver SOLLTE Dateisystem-Journaling aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Dateisystem-Journaling", "definitions": {}}, "guidance": "Beim Journaling werden Änderungen an Dateien zunächst in einem speziellen Protokoll (Journal) aufgezeichnet, bevor sie tatsächlich geschrieben werden, um Datenintegrität und Konsistenz sicherzustellen. Auf einem Dateiserver ist dies besonders wichtig, da es das Risiko von Datenverlusten bei plötzlichen Abstürzen oder Stromausfällen minimiert und eine schnelle Wiederherstellung ermöglicht.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.10 Grundschutz++ KONF.12.1.10 HTTP-Response-Header Konfiguration für Webanwendungen SOLLTE HTTP-Response-Header aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "HTTP-Response-Header", "definitions": {}}, "guidance": "Hierzu können z.B. Content-Security-Policy (CSP), X-Frame-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy, HSTS und X-Content-Type-Optionen gehören.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.1.11 Grundschutz++ KONF.12.1.11 Aktive Dateiinhalte Konfiguration für Office-Anwendungen SOLLTE aktive Inhalte in Office-Dateien deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "aktive Inhalte in Office-Dateien", "definitions": {}}, "guidance": "Aktive Inhalte (Makros) in Office-Dokumenten können Schadcode enthalten oder zu nicht nachvollziehbaren Datenfehlern führen. Viele Nutzende verwenden solche Funktionen jedoch für ihre Arbeit, so dass eine generelle Sperrung mit Einschränkungen verbunden ist. Autorisierte Ausnahmen bilden daher einen guten Kompromiss bei normalen Schutzbedarf. Dies kann durch den geschützten Modus (Protected View) umgesetzt werden. Werden bestimmte Makros dennoch häufig benötigt, so können Makros mit digitaler Signatur einer anerkannten Zertifizierungsstelle oder von vertrauenswürdigen Speicherorten zugelassen werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} KONF.12.1 \N \N \N +Grundschutz++:KONF.12.2 Grundschutz++ KONF.12.2 Verschlüsselungsstatus der aktuellen Verbindung Konfiguration für Webbrowser SOLLTE eine Anzeige der Verschlüsselung der aktuellen Verbindung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Anzeige der Verschlüsselung der aktuellen Verbindung", "definitions": {}}, "guidance": "Die Anzeige der Verschlüsselung der aktuellen Verbindung im Webbrowser, auch bekannt als Connection Encryption Indicator oder oft durch ein 🔒-Symbol dargestellt, ist ein essenzielles Merkmal für die Wahrnehmung der Vertrauenswürdigkeit einer Online-Kommunikation. Sie visualisiert, ob die Datenübertragung zwischen dem Browser des Benutzers und dem Webserver mittels eines kryptografischen Protokolls, typischerweise Transport Layer Security (TLS) (früher Secure Sockets Layer (SSL)), abgesichert ist. Diese Vorschrift zielt darauf ab, das Risiko des Abhörens von Daten durch Dritte (Eavesdropping) zu minimieren; denn ohne diese Anzeige könnte ein Benutzer unbemerkt sensible Informationen über eine ungesicherte Verbindung eingeben, was beispielsweise zur Kompromittierung von Anmeldedaten oder vertraulichen Geschäftsinformationen führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.3 Grundschutz++ KONF.12.3 Cookies Konfiguration für Webbrowser SOLLTE Cookies einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Cookies", "definitions": {}}, "guidance": "Cookies sind Dateien, in denen Webseiten Daten auf dem System speichern. Sie können Authentifizierungstoken und andere personenbezogene Daten enthalten und durch Angriffe wie Cross-Site-Scripting (XSS) oder Session Hijacking kompromittiert werden. Die Speicherung von Cookies per Default auszuschalten könnte jedoch zu Funktionseinschränkungen führen. Nutzende oder Administrierende können Ausnahmen für bestimmte Webseiten, z.B. im Intranet, hinzufügen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.4 Grundschutz++ KONF.12.4 Speicherung von Zugangsdaten Konfiguration für Webbrowser SOLLTE die Speicherung von Zugangsdaten in einem dedizierten Passwort-Manager mit Browser-Integration oder direkt im Browser durch ein Master-Passwort geschützt aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Speicherung von Zugangsdaten {{in einem dedizierten Passwort-Manager mit Browser-Integration oder direkt im Browser durch ein Master-Passwort geschützt}}", "definitions": {}}, "guidance": "Werden Zugangsdaten gespeichert, so könnten Angreifer diese auslesen und missbrauchen. Daher ist es wichtig, Vertraulichkeit und Integrität sensibler Anmeldedaten zu gewährleisten. Durch die Nutzung einer geprüften Browser‑Extension kann sichergestellt werden, dass Passwörter nur in einem verschlüsselten Vault abgelegt werden, der zentral verwaltet oder versioniert wird. Ein starkes Master‑Passwort kann als Schlüssel dienen, sodass selbst bei Verlust des Geräts oder unautorisiertem Zugriff auf die lokale Datenbank die Daten ohne Kenntnis dieses Passworts nicht lesbar sind. Wird die Funktion komplett deaktiviert, kann das Risiko unkontrollierter Speicherung oder unsicherer Autovervollständigung minimiert werden – der Anwender kann sich stattdessen etwa auf einen externen Manager oder eine Single‑Sign‑On‑Lösung verlassen. Konkret kann dies in der Praxis auf verschiedene Weisen aussehen: So kann eine Institution über Gruppenrichtlinien festlegen, dass nur eine offiziell freigegebene Extension (etwa einer Open‑Source‑Lösung oder eines kommerziellen Anbieters) installiert werden darf. Alternativ lassen sich browserinterne Passwort‑Speicher mit einem Master‑Passwort verschlüsseln – denkbar ist hier sowohl die Nutzung integrierter Funktionen von Browsern mit zuverlässiger Krypto‑Engine als auch externer Tools wie plattformübergreifende Passwort‑Manager, die eine Browser‑Anbindung per Plugin bieten. In Szenarien mit besonders hohen Sicherheitsanforderungen kann die Speicherung ganz deaktiviert werden, etwa indem das entsprechende Feature per Policy abgeschaltet wird und Nutzer gezielt mit einem eigenständigen, von der Institution kontrollierten Tool arbeiten. Für die Umsetzung bietet es sich an, zunächst eine klare Richtlinie zu formulieren, die alle Mitarbeitenden über die zugelassenen Speicherwege informiert und gleichzeitig erklärt, warum unautorisierte Methoden unerwünscht sein können. IT‑Administratoren können über zentrale Management‑Werkzeuge (GPOs, MDM‑Systeme) die Installation autorisierter Extensions automatisieren und unerwünschte Funktionen deaktivieren. Es kann hilfreich sein, standardisierte Vorlagen für sichere Master‑Passwörter zu kommunizieren und regelmäßige Schulungen anzubieten, in denen der Umgang mit dem Passwort‑Manager, das Prüfen der Passwortstärke und das Einspielen von Updates erklärt werden. Schließlich kann eine optionale Passwort‑Auditing‑Funktion im Manager eingesetzt werden, mit der Nutzer Schwachstellen in ihren Passwörtern erkennen und verbessern können – so bleibt die gesamte Passwortlandschaft im Unternehmen übersichtlich und sicher.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.6 Grundschutz++ KONF.12.6 Browser-Historie Konfiguration für Webbrowser KANN die dauerhafte Browser-Historie deaktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die dauerhafte Browser-Historie", "definitions": {}}, "guidance": "Kann durch das Löschen der Historie beim Beenden oder durch Deaktivierung der Historie umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.7 Grundschutz++ KONF.12.7 Erweiterte Attribute Konfiguration für Dateiserver SOLLTE erweiterte Attribute aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "erweiterte Attribute", "definitions": {}}, "guidance": "Erweiterte Attribute ermöglichen die Speicherung von Metadaten zu Dateien zur Speicherung von Zugriffsrechten und Statusindikatoren. Kann unter Linux durch Samba mit Extended Attributes und unter Windows durch Nutzung des NTFS-Dateisystems umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.8 Grundschutz++ KONF.12.8 Teilnahme per Default ohne Bild und Ton Konfiguration für VK-Anwendungen SOLLTE Bild und Ton per Default deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Bild und Ton per Default", "definitions": {}}, "guidance": "Eine Konfiguration, bei der die Standardeinstellung (per default) für Bild und Ton deaktiviert ist, bedeutet, dass Nutzerinnen und Nutzer die Videokonferenz-Anwendungen (VK-Anwendungen) betreten, ohne dass ihre Kamera und ihr Mikrofon automatisch eingeschaltet sind. Diese Voreinstellung minimiert das Risiko, dass sensible oder private Informationen unbeabsichtigt geteilt werden. Einem Vorfall, bei dem vertrauliche Gespräche im Hintergrund unfreiwillig übertragen werden, könnte so effektiv vorgebeugt werden. Die Institution kann dadurch das Risiko unbeabsichtigter Datenexposition minimieren, indem die Kontrolle über die Aktivierung von Bild und Ton explizit bei den Nutzenden bleibt. Um diese Anforderung umzusetzen, kann die Institution die technischen Einstellungen in der Verwaltungs- oder Admin-Konsole der jeweiligen Anwendung anpassen, um die Standardwerte für alle Teilnehmenden zu ändern. Ebenfalls kann eine technische Richtlinie implementiert werden, die sicherstellt, dass die Applikation vor dem Start eines Meetings eine Checkliste anzeigt, die die Nutzenden explizit auffordert, Kamera und Mikrofon bewusst zu aktivieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.9 Grundschutz++ KONF.12.9 Information über Aufzeichnung Konfiguration für VK-Anwendungen SOLLTE eine Anzeige laufender Aufzeichnungen für alle Teilnehmenden aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Anzeige laufender Aufzeichnungen", "definitions": {}}, "guidance": "Heimliche Aufzeichnungen verletzen die Vertraulichkeit der Kommunikation. Eine Aufzeichnung von Wort und Bild ohne den Willen der Aufgezeichneten kann zudem eine Persönlichkeitsrechtsverletzung bis hin zur Straftat (§ 201 StGB) darstellen. Dies gilt auch für Aufzeichnungen, die KI-gestützt ausgewertet werden. Falls die Möglichkeit zur Aufzeichnung deaktiviert ist, so ist diese Anforderung ebenfalls erfüllt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für alle Teilnehmenden", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.10 Grundschutz++ KONF.12.10 Cookie-Attribute Konfiguration für Webanwendungen SOLLTE Cookie-Attribute aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Cookie-Attribute", "definitions": {}}, "guidance": "\\"Secure\\" erzwingt die verschlüsselte HTTPS-Übertragung, wodurch Man-in-the-middle-Angriffe verhindert werden. \\"SameSite\\" sorgt dafür, dass Cookies nur zurückgesendet werden, wenn die Anfrage von der ursprünglichen Seite stammt. Hierdurch werden Cross-Site-Request-Forgery-Angriffe erschwert. \\"HttpOnly\\" verbietet es Client-seitigen Skripten auf das Cookie zuzugreifen, wodurch Cross-Site Scripting (XSS) erschwert wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +SCF:AAT-17.1 SCF AAT-17.1 AI & Autonomous Technologies Human Subject Protections Mechanisms exist to protect human subjects from harm. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17.1_AAT-17.1_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates business practices that could pose harm to human subjects from Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-17.1_AAT-17.1_A02", "name": "assessment-objective", "prose": "measures exist for the executive steering committee, or advisory board, to implement safeguards to protect human subjects from harm due to Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +Grundschutz++:KONF.12.11 Grundschutz++ KONF.12.11 Anonyme oder Pseudonyme Kommunikation Konfiguration für TK-Anwendungen KANN die Übermittlung eines Pseudonyms oder gar keiner Anzeigekennung zur Gegenstelle aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Übermittlung {{eines Pseudonyms oder gar keiner Anzeigekennung}}", "definitions": {}}, "guidance": "Wenn eine persönliche Identifikation von Kommunikationspartnern erforderlich ist, ist eine Verschleierung von Erreichbarkeiten sinnvoll. In der klassischen Telefonie kann hierfür die Rufnummerunterdrückung für ausgehende Anrufe (CLIR) oder eine Pseudonymisierung, z.B. durch Übermittlung der 0 statt der Nebenstelle, genutzt werden. Für die Verschleierung der Netzquelle können Proxy-Server oder Anonymisierungsgateways genutzt werden. Für weitere Details siehe \\"Kompendium für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf\\".", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "zur Gegenstelle", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.12 Grundschutz++ KONF.12.12 Verbindungsprotokoll Konfiguration für TK-Anwendungen SOLLTE ein für Nutzende verfügbares Verbindungsprotokoll protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "ein für Nutzende verfügbares Verbindungsprotokoll", "definitions": {}}, "guidance": "Ein solches Protokoll, oft auch als Call Detail Record (CDR) oder Connection Log bezeichnet, dokumentiert für Nutzende nachvollziehbar die Kommunikationsverbindungen, die sie über die Anwendung herstellen. Das Protokoll könnte dabei erfassen, wann eine Verbindung aufgebaut wurde, wie lange sie bestand, mit wem sie stattfand (z.B. die Rufnummer oder der Benutzername der Gegenstelle) und aus welcher Richtung (ein- oder ausgehend) sie kam. In der klassischen Telefonie ist dies die Auflistung der zuletzt ein- oder ausgehenden Anrufe. Eine solche Protokollierung kann als wichtige Maßnahme der Rechenschaftspflicht oder Accountability dienen. Durch die lückenlose Protokollierung der Aktivitäten der Nutzenden kann transparent nachvollzogen werden, welche Verbindungen zu welchem Zeitpunkt hergestellt wurden. Dies kann dabei helfen, ungewöhnliche oder nicht autorisierte Kommunikationsversuche zu erkennen und die Integrität der genutzten Systeme zu wahren. Ohne ein solches Protokoll könnte eine unberechtigte Nutzung oder ein Datenabfluss aus dem internen Netzwerk unentdeckt bleiben. Hierbei besteht ein enger Zusammenhang mit Compliance-Verpflichtungen zur Aufbewahrung und Löschung von Telekommunikationsdaten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.13 Grundschutz++ KONF.12.13 Sendebericht Konfiguration für Faxe SOLLTE einen Sendebericht protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "einen Sendebericht", "definitions": {}}, "guidance": "Ein Sendebericht ermöglicht es bei der Verwendung von Faxen nachzuweisen, dass das Fax tatsächlich an die Gegenstelle versendet wurde. Für einen rechtssicheren Nachweis ist es sinnvoll, wenn der Sendebericht außerdem weitere Angaben wie die versendete Seitenzahl, eine Vorschau der ersten Seite odes des gesamten Inhaltes, sowie den Status mit dem die Verbindung beendet wurde (z.B. OK) beinhaltet.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.12.14 Grundschutz++ KONF.12.14 DNS-Falschinformationen Konfiguration für DNS-Server SOLLTE DNS-Antworten, die falsche Domain-Informationen liefern, deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "DNS-Antworten, die falsche Domain-Informationen liefern,", "definitions": {}}, "guidance": "Falsch sind Domain-Informationen, wenn sie nicht der tatsächlichen Erreichbarkeit des Zieles entsprechen, sondern z.B. auf Werbeseiten umleiten. DNS-Server, die falsche Antworten liefern, können zu unerwarteten Fehlern in Anwendungen oder zum DNS-Hijacking führen. Sie sind an unerwarteten Websites, Zertifikatsfehlern oder mit DNS-Prüfsoftware zu erkennen. Gilt sowohl für die Konfiguration des eigenen Servers, als auch für die verwendeten DNS Upstream Server.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Kontrollierte Datenverarbeitung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.1 Grundschutz++ KONF.13.1 Filtern schädlicher Nachrichten Konfiguration für Interpersonelle Kommunikation SOLLTE eine Filterung schädlicher Nachrichteninhalte aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Filterung schädlicher Nachrichteninhalte", "definitions": {}}, "guidance": "Unter Filterung schädlicher Nachrichteninhalte versteht man Verfahren, die Inhalte automatisch prüfen und unerwünschte, gefährliche oder manipulative Bestandteile erkennen, blockieren oder kennzeichnen können. Der Sinn dieser Vorgabe liegt darin, potenziell gefährliche Inhalte wie Phishing-Versuche, schadhaften Code oder gezielte Desinformation frühzeitig abzufangen. Ohne eine solche Filterung könnte Schadsoftware über Anhänge eingeschleust werden oder Mitarbeitende könnten durch manipulierte Links zu vertraulichen Datenabgaben verleitet werden. Mit einer wirksamen Filterung kann die Angriffsfläche reduziert, das Vertrauen in die Kommunikationskanäle erhöht und die Produktivität geschützt werden. Zur Umsetzung kann eine Institution technische Maßnahmen kombinieren: (1) E-Mail-Gateways oder Chat-Schnittstellen können mit Inhaltsfiltern ausgestattet werden, die bekannte Malware-Signaturen, verdächtige Links oder gefährliche Dateitypen erkennen. (2) Ergänzend kann heuristische Analyse und maschinelles Lernen eingesetzt werden, um Muster verdächtiger Inhalte zu identifizieren, auch wenn diese noch nicht in Signaturdatenbanken enthalten sind. (3) Regeln zur Blockierung bestimmter Dateianhänge (z. B. ausführbare Dateien) können eingerichtet werden, während sichere Alternativen für den Austausch bereitgestellt werden. (4) Schließlich kann ein klarer Prozess vorgesehen werden, um falsch-positive Erkennungen manuell zu prüfen und legitime Kommunikation wieder freizugeben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.1.1 Grundschutz++ KONF.13.1.1 SPAM-Filter Konfiguration für Interpersonelle Kommunikation SOLLTE die Zustellung unerwünschter Nachrichten blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Zustellung unerwünschter Nachrichten", "definitions": {}}, "guidance": "Unter Zustellung unerwünschter Nachrichten ist das Blockieren oder Filtern von Spam, Phishing-Versuchen, Social-Engineering-Nachrichten oder belästigender Kommunikation zu verstehen. Diese Anforderung zielt darauf ab, die Integrität der Kommunikationskanäle zu wahren und das Risiko von Sicherheits- oder Vertrauensbrüchen zu reduzieren. Ohne geeignete Filtermechanismen könnte Schadsoftware per Anhang eingeschleust werden, sensible Informationen könnten durch täuschend echte Phishing-Nachrichten abgegriffen werden oder Mitarbeitende könnten durch gezielte Belästigungen in ihrer Arbeitsfähigkeit eingeschränkt werden. Zur Umsetzung kann eine Institution verschiedene Ansätze kombinieren: (1) Der Einsatz serverseitiger Filtermechanismen auf Mail-Gateways oder Collaboration-Plattformen kann zentral die meisten unerwünschten Nachrichten aussortieren. (2) Ergänzend können clientseitige Filterregeln aktiviert werden, die Benutzern zusätzliche Möglichkeiten zur Sortierung bieten, etwa über Whitelists und Blacklists. Praktisch kann es auch hilfreich sein, Quarantäneordner einzurichten, damit Anwender verdächtige Nachrichten selbständig einsehen und fälschlich blockierte Nachrichten zurückholen können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} KONF.13.1 \N \N \N +Grundschutz++:KONF.13.1.2 Grundschutz++ KONF.13.1.2 Interpretation aktiver Inhalte Konfiguration für Interpersonelle Kommunikation SOLLTE die automatische Interpretation aktiver Inhalte deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die automatische Interpretation aktiver Inhalte", "definitions": {}}, "guidance": "Unter aktiven Inhalten sind hier Elemente zu verstehen, die beim Empfang automatisch ausgeführt oder interpretiert werden könnten, wie z. B. eingebettete Skripte in E-Mails, dynamische Makros in Dokumenten oder der automatische Download von externen Bildern in Chat-Nachrichten. Hintergrund ist, dass eine empfangene Nachricht nicht nur reinen Text oder statische Informationen enthalten könnte, sondern zusätzliche versteckte Anweisungen, die beim Anzeigen sofort wirken. Ein typischer Vorfall könnte etwa sein, dass eine Mitarbeiterin eine HTML-E-Mail öffnet, die ein eingebettetes JavaScript enthält und dadurch unbemerkt Zugangsdaten abgegriffen werden. Durch Deaktivieren solcher Inhalte wird verhindert, dass Schadcode automatisch ausgeführt wird. Dies betrifft sowohl Inhalte in Freitext-Datenfeldern als auch an die Nachricht angehängte Dateien. Beispielsweise kann in Mail-Clients die Ausführung von Makros deaktiviert, die Darstellung externer Inhalte blockiert oder das Rendern von Skripten untersagt werden. Ebenso kann bei Messaging-Diensten die Anzeige von aktiven Inhalten durch Filter eingeschränkt werden, sodass nur reiner Text oder geprüfte Anhänge angezeigt werden. Ergänzend kann es hilfreich sein, benutzerseitige Tipps wie das standardmäßige Verwenden einer Nur-Text-Ansicht oder die klare Kennzeichnung von blockierten Inhalten zu etablieren. Institutionen können durch regelmäßige Konfigurationsprüfungen sicherstellen, dass Änderungen durch Updates oder neue Versionen die Deaktivierung nicht unbemerkt wieder aufheben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} KONF.13.1 \N \N \N +Grundschutz++:KONF.13.2 Grundschutz++ KONF.13.2 Authentizität von Nachrichten Konfiguration für Interpersonelle Kommunikation SOLLTE eine automatische Verifikation der Authentizität von Nachrichten aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Verifikation der Authentizität von Nachrichten", "definitions": {}}, "guidance": "Die Authentizität von Nachrichten bezeichnet in diesem Zusammenhang die nachweisbare Echtheit und Unverfälschtheit einer digitalen Mitteilung im Rahmen der interpersonellen Kommunikation, also die Sicherheit, dass eine Nachricht tatsächlich von der angegebenen Quelle stammt und auf dem Übertragungsweg nicht manipuliert wurde. Im Fachjargon wird hier häufig von Message Authenticity oder auch von Origin Authentication gesprochen, wobei beide Begriffe eng mit kryptographischen Verfahren wie Digital Signatures oder Message Authentication Codes (MACs) verbunden sind. Der Sinn dieser Anforderung liegt darin, sicherzustellen, dass Angreifer keine falschen Identitäten vortäuschen oder den Inhalt von Nachrichten unbemerkt verändern können. Andernfalls könnte etwa eine gefälschte Anweisung in einem Chat zu Fehlhandlungen führen oder ein manipuliertes Dokument im E-Mail-Verkehr falsche Entscheidungen auslösen. Eine automatische Verifikation kann hingegen das Vertrauen in die Integrität und Herkunft der Kommunikation gewährleisten. Zur Umsetzung kann eine Institution beispielsweise digitale Signaturen einsetzen, die durch etablierte Standards wie S/MIME oder OpenPGP realisiert werden können, sodass E-Mail-Programme die Echtheit automatisch überprüfen. Auch der Einsatz von Ende-zu-Ende-Verschlüsselung mit eingebauter Authentizitätsprüfung, etwa bei Protokollen wie Signal Protocol oder TLS mit Client-Zertifikaten, kann eine geeignete Maßnahme sein. Darüber hinaus kann die Integration einer zentralen Public Key Infrastructure (PKI) oder die Nutzung verteilter Vertrauensmodelle (z. B. Web of Trust) sicherstellen, dass Schlüsselpaare zuverlässig verwaltet werden und Anwender ohne manuelle Prüfungen von Zertifikaten auskommen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.2.1 Grundschutz++ KONF.13.2.1 Verifikation der Sendeberechtigung Konfiguration für E-Mail SOLLTE eine automatische Verifikation der Sendeberechtigung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine automatische Verifikation der Sendeberechtigung", "definitions": {}}, "guidance": "Mit dem Sender Policy Framework (SPF) kann geprüft werden, ob der Sender zum Versand von E-Mails für diese Mailadresse berechtigt war. E-Mails ohne SPF-Header sind unzureichend authentifiziert, so dass sie leicht für Spoofing oder Phishing missbraucht werden können. Allerdings werden noch immer E-Mails ohne SPF verschickt, so dass eine Blockierung zu funktionalen Einschränkungen führen könnte. Kompromissmaßnahmen können z.B. die Markierung der E-Mail mit einem Warnhinweis , Allowlisting, Greylisting, Quarantäne oder eine Filterung durch Anomalieerkennung sein.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.13.2 \N \N \N +Grundschutz++:KONF.13.2.2 Grundschutz++ KONF.13.2.2 Verifikation der Serversignatur Konfiguration für E-Mail SOLLTE die Serversignatur eingehender E-Mails automatisch authentifizieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Serversignatur eingehender E-Mails", "definitions": {}}, "guidance": "Die DKIM-Signatur ist zu unterscheiden von einer PGP-Signatur, die in der Regel nicht automatisch vergeben wird. E-Mails ohne DKIM sind unzureichend authentifiziert, so dass sie leicht für Spoofing oder Phishing missbraucht werden können. Allerdings werden noch immer E-Mails ohne DKIM verschickt, so dass eine Blockierung zu funktionalen Einschränkungen führen könnte. Kompromissmaßnahmen können z.B. die Markierung der E-Mail mit einem Warnhinweis , Allowlisting, Greylisting, Quarantäne oder eine Filterung durch Anomalieerkennung sein. Die Formulierung \\"im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements\\" bedeutet, dass die Authentifizierung so erfolgt, wie in der Praktik IDM festgelegt. Hierzu gehört insbesondere die Verwendung aktueller kryptographischer Verfahren, wie sie im Thema Kryptographie zu finden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "authentifizieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "automatisch", "definitions": {}}} KONF.13.2 \N \N \N +SCF:AAT-13 SCF AAT-13 AI & Autonomous Technologies Stakeholder Diversity Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) stakeholder competencies, skills and capacities incorporate demographic diversity, broad domain and user experience expertise. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-13_AAT-13_A01", "name": "assessment-objective", "prose": "stakeholder competencies, skills and capacities incorporate demographic diversity."}, {"id": "AAT-13_AAT-13_A02", "name": "assessment-objective", "prose": "stakeholder competencies, skills and capacities incorporate broad domain expertise."}, {"id": "AAT-13_AAT-13_A03", "name": "assessment-objective", "prose": "stakeholder competencies, skills and capacities incorporate broad user experience expertise."}]} \N \N \N \N +Grundschutz++:KONF.13.3 Grundschutz++ KONF.13.3 Kryptographische Signatur des Mailservers Konfiguration für E-Mail SOLLTE die Kryptographische Signatur des Mailservers aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Kryptographische Signatur des Mailservers", "definitions": {}}, "guidance": "Die kryptographischen Signatur des Mailservers ist ein digitaler Stempel des versendenden Mailservers selbst, mit dem die Authentizität des sendenden Mailservers belegt wird. Ein bekannter technischer Standard hierfür ist DomainKeys Identified Mail (DKIM). Diese Signatur wird durch den absendenden Mailserver (oder einen vorgeschalteten Dienst) unter Verwendung eines privaten kryptographischen Schlüssels erzeugt. Der Empfänger kann die Signatur mit einem öffentlich zugänglichen Schlüssel, der typischerweise im Domain Name System (DNS) der sendenden Domain hinterlegt ist, verifizieren. Diese Schutzmaßnahme kann die Glaubwürdigkeit der E-Mails erhöhen und trägt zur Prävention von Risiken bei, wie dem Spoofing des Absenders: Ein Angreifer könnte ohne eine solche Signatur die Identität der Institution vortäuschen, was zu Phishing-Vorfällen führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.4 Grundschutz++ KONF.13.4 Kryptographische Signatur durch Nutzende Konfiguration für E-Mail KANN die kryptographische Signatur durch Nutzende aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die kryptographische Signatur durch Nutzende", "definitions": {}}, "guidance": "Wird eine vom E-Mail vom Sendenden signiert, so können bei Empfang die Authentizität und Integrität der Nachricht verifiziert werden. Dies kann mit S/MIME oder PGP umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.5 Grundschutz++ KONF.13.5 Publikation der Sendeberechtigung Konfiguration für E-Mail SOLLTE die Publikation der eigenen Sendeberechtigung im DNS aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Publikation der eigenen Sendeberechtigung im DNS", "definitions": {}}, "guidance": "Dies wird typischerweise über spezielle DNS-Einträge wie den Sender Policy Framework (SPF) realisiert. Damit kann eine Institution im DNS festlegen, welche Mail-Server berechtigt sind, E-Mails im Namen ihrer Domäne zu versenden. Ein entsprechender DNS-Eintrag, der sogenannte SPF-Record, ermöglicht es empfangenden Mail-Servern, die Absender-Adresse einer eingehenden E-Mail zu überprüfen. Dies kann die Schutzwirkung gegen gängige Risiken wie E-Mail-Spoofing verbessern, bei dem sich ein Angreifer als legitimer Absender ausgibt, um die Empfänger zu täuschen. Ohne eine solche Konfiguration könnte ein Angreifer beispielsweise E-Mails mit gefälschter Absenderadresse verschicken, die scheinbar von der Geschäftsleitung stammen, um einen Nutzer zur Herausgabe von sensiblen Informationen zu verleiten (Phishing). Durch die Aktivierung von SPF kann das Risiko verringert werden, dass solche bösartigen Nachrichten die Postfächer von Nutzern erreichen. Es ist wichtig, den Eintrag sorgfältig zu erstellen, um alle legitimen Absender abzudecken, einschließlich Diensten von Drittanbietern. Ein häufiger Fehler ist, dass nicht alle autorisierten Mail-Server korrekt gelistet sind, was dazu führen könnte, dass legitime E-Mails fälschlicherweise als Spam markiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.5.1 Grundschutz++ KONF.13.5.1 Strenge Senderpolicy Konfiguration für E-Mail SOLLTE eine strenge Senderpolicy aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine strenge Senderpolicy", "definitions": {}}, "guidance": "Ein strenger Senderpolicy-Eintrag, auch \\"hard fail\\" (-all) genannt, weist empfangende Mailserver an, E-Mails, die von nicht autorisierten Servern stammen, zurückzuweisen oder als Spam zu markieren. Dies kann das Risiko von Phishing-Angriffen erheblich reduzieren, bei denen Angreifer versuchen, sich als vertrauenswürdige Institutionen auszugeben. Eine solche Konfiguration kann auch Spoofing verhindern, bei dem die Absenderadresse gefälscht wird, was dazu führen könnte, dass Kunden oder Mitarbeiter betrügerischen Anweisungen folgen, die scheinbar von der Institution selbst stammen. Zur Umsetzung einer strengen Senderpolicy kann die Institution sicherstellen, dass sie einen SPF-Eintrag in ihren DNS-Einstellungen hinterlegt. Dieser Eintrag sollte alle autorisierten Server explizit auflisten und mit dem \\"-all\\" Mechanismus enden, um eine strikte Ablehnung nicht konformer E-Mails zu signalisieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} KONF.13.5 \N \N \N +Grundschutz++:KONF.13.6 Grundschutz++ KONF.13.6 Publikation der Serversignatur Konfiguration für E-Mail SOLLTE die Publikation der Serversignatur im DNS aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Publikation der Serversignatur", "definitions": {}}, "guidance": "Eine Serversignatur, auch bekannt als DKIM (DomainKeys Identified Mail), ist eine kryptografische Signatur, die der E-Mail-Dienst der Institution an jede ausgehende Nachricht anhängt. Sie stellt sicher, dass die E-Mail tatsächlich von der angegebenen Domain gesendet wurde und während der Übertragung nicht manipuliert wurde. Ohne diese Signatur könnte ein Angreifer E-Mails im Namen der Institution versenden (E-Mail-Spoofing), was zu Phishing-Angriffen, dem Diebstahl von Zugangsdaten oder der Verbreitung von Malware führen könnte. Das Aktivieren der Publikation im DNS bedeutet, den öffentlichen Teil dieses kryptografischen Schlüssels im Domain Name System (DNS) der Domain zu veröffentlichen. Empfangende E-Mail-Server können diesen öffentlichen Schlüssel verwenden, um die Signatur der E-Mail zu verifizieren und somit deren Echtheit zu bestätigen. Zur Umsetzung kann die Institution E-Mail-Server-Software so konfigurieren, dass sie DKIM-Signaturen automatisch zu ausgehenden Nachrichten hinzufügt. Dies kann oft durch die Installation und Konfiguration von speziellen DKIM-Filter-Plugins erreicht werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im DNS", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.8 Grundschutz++ KONF.13.8 DMARC-Reports Konfiguration für E-Mail KANN DMARC-Reports regelmäßig oder bei Eingang überprüfen. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "DMARC-Reports", "definitions": {}}, "guidance": "Mit DMARC kann der Empfänger dem Sender automatische Berichte über den DMARC-Status empfangener E-Mails bereitstellen. Diese Berichte liefern Hinweise auf fehlgeschlagene Authentifizierungsprüfungen, Fehlkonfigurationen oder Missbrauchsversuche. Eine automatisierte Auswertung unterstützt dabei, Zustellprobleme frühzeitig zu erkennen und geeignete Korrekturmaßnahmen abzuleiten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig oder bei Eingang}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.9 Grundschutz++ KONF.13.9 Publikation der DMARC-Richtlinie Konfiguration für E-Mail SOLLTE die Publikation der DMARC-Richtlinie aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Publikation der DMARC-Richtlinie", "definitions": {}}, "guidance": "Eine DMARC-Richtlinie legt fest, welchen Umgang sie sich von Empfängern wünschen, die E-Mails von ihrer Domain nicht authentifizieren können. Die Information der Empfänger kann über einen DMARC-Eintrag im DNS erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.10 Grundschutz++ KONF.13.10 Authentifizierung der Server-Zertifikate über DNS Konfiguration für E-Mail SOLLTE die Authentifizierung der Server-Zertifikate über das DNS aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Authentifizierung der Server-Zertifikate über das DNS", "definitions": {}}, "guidance": "Die Authentifizierung der Server-Zertifikate über das DNS (Domain Name System) kann die Sicherheit der E-Mail-Kommunikation erheblich steigern. Dabei werden Zertifikatsinformationen in DNS-Einträgen genutzt, um die Echtheit der TLS/SSL-Zertifikate eines E-Mail-Servers zu überprüfen und sicherzustellen, dass man tatsächlich mit dem beabsichtigten Kommunikationspartner spricht. Techniken wie DANE (DNS-based Authentication of Named Entities) oder CAA (Certificate Authority Authorization) nutzen spezifische DNS-Resource Records (wie TLSA oder CAA Records), um entweder die verwendeten Zertifikate oder die autorisierten Zertifizierungsstellen im DNS zu hinterlegen. Dies kann verhindern, dass ein Angreifer eine gefälschte Identität vortäuschen oder eine Man-in-the-Middle-Attacke durchführen könnte, indem er ein nicht autorisiertes oder kompromittiertes Zertifikat präsentiert. Ohne diese zusätzliche Überprüfung könnte ein Angreifer beispielsweise den E-Mail-Verkehr der Institution abfangen und mitlesen, während er sich als der legitime Server ausgibt. Die Aktivierung dieser DNS-basierten Überprüfung kann also die Vertraulichkeit und Integrität der übertragenen E-Mails schützen. Zur Umsetzung werden Informationen über eigene Serverzertifikate im DNS hinterlegt und die Prüfung eingehender E-Mails auf hinterlegte Einträge der sendenden Servers aktiviert.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.13.11 Grundschutz++ KONF.13.11 MTA-STS Konfiguration für E-Mail SOLLTE MTA-STS aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "MTA-STS", "definitions": {}}, "guidance": "Die Mail Transfer Agent Strict Transport Security (MTA-STS) ist ein wichtiger Standard zur Erhöhung der Sicherheit im E-Mail-Verkehr, der die verschlüsselte Zustellung von Nachrichten durch die Erzwingung von Transport Layer Security (TLS) auf der Übertragungsebene gewährleistet. MTA-STS stellt dabei sicher, dass versendende Mail Transfer Agents (MTA) nur verschlüsselte Verbindungen zum Ziel-MTA aufbauen, wodurch Downgrade-Angriffe oder die Umleitung auf unsichere Kanäle wirksam unterbunden werden können. Der Zweck dieser Vorschrift liegt darin, die Vertraulichkeit und Integrität von E-Mail-Inhalten während der Übertragung zu schützen. Ohne MTA-STS könnte ein Angreifer die Kommunikation abfangen und den unverschlüsselten E-Mail-Verkehr mitlesen (Eavesdropping) oder die Nachricht manipulieren, bevor sie den Empfänger erreicht. Die Aktivierung kann das Risiko minimieren, dass E-Mails über unsichere oder unauthentifizierte Verbindungen übertragen werden, selbst wenn die Ziel-Institution TLS unterstützt, was einen robusten Schutz gegen gängige Man-in-the-Middle-Angriffe bietet. Obwohl DNS-Based Authentication of Named Entities (DANE) eine stärkere kryptografische Authentifizierung des TLS-Zertifikats des Ziel-MTA bietet, sollte MTA-STS zusätzlich aktiviert werden, da es eine alternative oder ergänzende Schutzschicht darstellt, falls DANE beim Kommunikationspartner noch nicht implementiert ist oder dessen DNS-Sicherheit (DNSSEC) nicht vertrauenswürdig ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Senden und Empfangen von Nachrichten", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.14.1 Grundschutz++ KONF.14.1 Verschlüsselung beim Transport Konfiguration für Anwendungen SOLLTE Kommunikation beim Transport über Netze nach einem anerkannten Standard verschlüsseln. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Kommunikation beim Transport", "definitions": {}}, "guidance": "Werden Daten unverschlüsselt übertragen, so könnten sie abgehört oder unbemerkt manipuliert werden. Relevant sind hierbei alle von der Anwendung übertragenen Daten, inklusive Authentifizierung an der Benutzerschnittstelle oder API, Abruf von Daten, Server-Server-Replikation oder zur Datensicherung. Das betrifft sowohl Inhalts- als auch Metadaten. Die Umsetzung kann mit Algorithmen zur Transportverschlüsselung wie Transport Layer Security (TLS) oder Ende-zu-Ende-Verschlüsselung erfolgen. Für aktuelle Verschlüsselungsverfahren siehe BSI TR-02102. Die Konfiguration der Verschlüsselung kann sich daran orientieren, wie lange die transportieren Daten, z.B. Transaktionen, vertraulich zu behandeln sind. Eine Herausforderung hierbei sind Anwendungen, die über allgemeine Anbindungen mit anderen Institutionen kommunizieren, z.B. E-Mails oder Anrufe ins öffentliche Telefonnetz. Diese Anwendungen können nur ihren Teil der Verbindungsstrecke verschlüsseln, so dass der Rest der Strecke und damit die Verbindung an sich dennoch unverschlüsselt sein könnte. Überträgt die Anwendung keine schützenswerten Daten über das Netz, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "über Netze nach {{einem anerkannten Standard}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.14.1.1 Grundschutz++ KONF.14.1.1 Obligatorische Verschlüsselung Konfiguration für Anwendungen SOLLTE unverschlüsselte und anfällige Verbindungen über Netze deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "unverschlüsselte und anfällige Verbindungen", "definitions": {}}, "guidance": "Obligatorische Verschlüsselung bedeutet, dass die Anwendung ausschließlich nach dem Stand der Technik verschlüsselt kommuniziert. Unverschlüsselte oder mit bekannten Methoden angreifbare Verbindungsanfragen werden dagegen abgelehnt. Die Verwendung obligatorischer Verschlüsselung im Internet ist aktuell sehr uneinheitlich: Viele E-Mail-Server z.B. verschlüsseln im Auslieferungszustand nur opportunistisch - also nur wenn der Verbindungsaufbau so funktioniert. Das macht Verbindungen anfällig für Downgrade-Angriffe. Diese lassen sich verhindern, indem unverschlüsselte Verbindungen vollständig deaktiviert werden. Andererseits kann es dadurch auch zu Verbindungsproblemen mit Servern kommen, die überhaupt keine Verschlüsselung mit aktuellen Protokollen unterstützen. Für aktuelle Verschlüsselungsverfahren siehe BSI TR-02102.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "über Netze", "definitions": {}}} KONF.14.1 \N \N \N +Grundschutz++:KONF.14.1.2 Grundschutz++ KONF.14.1.2 Ende-zu-Ende-Verschlüsselung Konfiguration für Anwendungen KANN die Kommunikation Ende-zu-Ende über Netze verschlüsseln. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography, Zero Trust", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Kommunikation Ende-zu-Ende", "definitions": {}}, "guidance": "Eine Ende-zu-Ende-Verschlüsselung stellt sicher, dass auch Server auf dem Weg zwischen den Endpunkten die Kommunikation nicht auslesen können. Die Unterstützung von Ende-zu-Ende-Verschlüsselung unterscheidet sich zwischen verschiedenen Kommunikationsanwendungen noch immer erheblich: Viele E-Mail-Server verschlüsseln gar nicht oder nur bei Verwendung spezieller Erweiterungen so, während viele Messenger-Apps die Ende-zu-Ende-Verschlüsselung ohne Nutzerinteraktion automatisch erzwingen. Dies kann je nach Anwendung z.B. mittels OpenPGP, S/MIME oder Signal Protocol geschehen. Für aktuelle Verschlüsselungsverfahren siehe BSI TR-02102. Für weitere Details zur Telekommunikation siehe \\"Kompendium für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf\\".", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verschlüsseln", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "über Netze", "definitions": {}}} KONF.14.1 \N \N \N +Grundschutz++:KONF.14.2 Grundschutz++ KONF.14.2 Source Port Randomisierung Konfiguration für DNS-Server SOLLTE Source Port Randomisierung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Source Port Randomisierung", "definitions": {}}, "guidance": "Die mehrfache Verwendung gleicher Source Ports erleichtert Angreifern das Erraten gültiger Antworten, z. B. bei DNS-Spoofing oder Cache-Poisoning-Angriffen. Sourceport-Randomisierung (IETFC RFC 5452) erhöht die Anzahl möglicher Kombinationen und erschwert derartige Angriffe.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.14.3 Grundschutz++ KONF.14.3 Iterative Beantwortung Konfiguration für DNS-Server SOLLTE die iterative Beantwortung von DNS-Anfragen aus dem Internet aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die iterative Beantwortung von DNS-Anfragen", "definitions": {}}, "guidance": "Bei iterativen Anfragen kommt die Antwort direkt vom autoritativen Server, statt auf zwischengespeicherte Antworten anderer DNS-Resolver zu vertrauen. Dies reduziert die Angriffsfläche für Cache Poisoning und erschwert DNS-Tunneling zur Datenexfiltration oder Command-and-Control-Kommunikation.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "aus dem Internet", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.14.4 Grundschutz++ KONF.14.4 Caching Konfiguration für Anwendungen von Endgeräten KANN eine Zwischenspeicherung häufig verwendeter Daten aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Zwischenspeicherung häufig verwendeter Daten", "definitions": {}}, "guidance": "Caches sind lokale Zwischenspeicher, die Zugriffe beschleunigen oder bei Netzstörungen ersetzen können. Kann durch Caching-Funktionen auf dem Client, auf Servern in Außenstellen (z.B. Windows BranchCache, Squid Proxy Cache oder CacheFS) oder Caching auf WAN-Netzkomponenten umgesetzt werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.14.5 Grundschutz++ KONF.14.5 Zeitüberschreitung von Netzverbindungen Konfiguration für Anwendungen SOLLTE Netzverbindungen bei Zeitüberschreitung blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing, Replay Attacks, Session Hijacking", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Netzverbindungen bei Zeitüberschreitung", "definitions": {}}, "guidance": "Dauerhaft aufrecht erhaltene, ungenutzte Verbindungen erhöhen die Gefahr unbefugter Zugriffe auf die Anwendung oder eines Überlaufens von Systemressourcen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Konfiguration / Verteilte Anwendungen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.15.1 Grundschutz++ KONF.15.1 Begrenzung des Speicherplatzes Konfiguration für Anwendungen von Hostsystemen KANN in der Anwendung zur Verfügung stehenden Speicherplatz pro Zugangskonto oder Mandant anhand von Schwellwerten einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Denial of Service", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "in der Anwendung zur Verfügung stehenden Speicherplatz pro {{Zugangskonto oder Mandant}}", "definitions": {}}, "guidance": "Dies ist besonders in Multi-Tenant-Architekturen relevant, wie sie häufig bei Cloud-Diensten oder SaaS-Anwendungen (Software as a Service) zum Einsatz kommen. Ein solcher maximaler Schwellwert (engl. threshold) könnte beispielsweise 5 GB oder 10 GB betragen und stellt die Obergrenze für den Speicherplatz dar, der einem einzelnen Konto oder Mandanten zugewiesen wird. Die Beschränkung des verfügbaren Speicherplatzes kann verhindern, dass ein einzelnes Konto oder ein Mandant die gesamten Ressourcen des Hostsystems belegt und so die Leistung für andere Nutzer negativ beeinflusst, was zu einer Denial-of-Service-Situation (DoS) führen könnte. Bei der Umsetzung ist es sinnvoll auch ein Benachrichtigungssystem zu etablieren, das Nutzer oder Administratoren informiert, wenn ein Schwellenwert kurz vor der Überschreitung steht. Zudem können automatisierte Prozesse zur Datenbereinigung (data lifecycle management) in Betracht gezogen werden, die ältere oder nicht mehr benötigte Dateien in solchen Fällen archivieren oder löschen, um den Speicherplatz effizient zu nutzen. Die Institution kann auch verschiedene Schwellenwerte für unterschiedliche Kontotypen oder Mandanten festlegen, basierend auf deren spezifischen Bedürfnissen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Ressourcenauslastung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "anhand von {{Schwellwerten}}", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.15.2 Grundschutz++ KONF.15.2 Begrenzung der Rechenleistung Konfiguration für Anwendungen von Hostsystemen KANN die Rechenleistung einschränken. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing, Denial of Service", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Rechenleistung", "definitions": {}}, "guidance": "Kann durch eine Beschränkung der Anzahl verwendeter Rechenkerne, der Rechenleistung pro Rechenkern oder durch eine indirekte Beschränkung (z.B. eine begrenzte Menge an Anfragen oder Eingabetoken) umgesetzt werden. Beispielsweise kann in einem Verzeichnisdienst ein maximaler Schwellwert für die Zeit eingestellt werden, die eine Suchanfrage in Anspruch nehmen darf, um die Auslastung des Verzeichnisdienstes durch einzelne Anfragen nicht zu gefährden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Ressourcenauslastung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.15.3 Grundschutz++ KONF.15.3 Denial of Service Konfiguration für Anwendungen von Hostsystemen KANN Schutzmaßnahmen gegen Denial of Service aktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Phishing, Denial of Service", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schutzmaßnahmen gegen Denial of Service", "definitions": {}}, "guidance": "Denial-of-Service-Angriffe zielen darauf ab, die Webanwendung für legitime Nutzende nicht mehr erreichbar zu machen. Webanwendungen im öffentlichen Interesse sind häufig Ziel derartiger Angriffe. Mechanismen wie Content Delivery Network und Load Balancer können die Lastfähigkeit der Anwendung erhöhen, während Filterfunktionen Angriffsmuster erkennen und aus den Anfragen herausfiltern können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Ressourcenauslastung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:KONF.15.4 Grundschutz++ KONF.15.4 Überbuchung von virtualisierten Ressourcen Konfiguration für Virtualisierungslösungen KANN die Überbuchung von virtualisierten Ressourcen deaktivieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Hochverfügbarkeit", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Überbuchung von virtualisierten Ressourcen", "definitions": {}}, "guidance": "Die Überbuchung (engl. overcommitment) beschreibt in Virtualisierungslösungen die Zuweisung von mehr virtuellen Ressourcen – etwa CPU-Kernen, Arbeitsspeicher oder Speicherplatz – an virtuelle Instanzen, als physisch tatsächlich vorhanden sind. Dies kann kurzfristig zu einer höheren Auslastung und Dichte von virtuellen Instanzen führen, birgt jedoch das Risiko, dass die zugrunde liegende Hardware unter Last nicht mehr alle angefragten Ressourcen bereitstellen kann. Der Zweck der Anforderung liegt darin, die Stabilität, Verfügbarkeit und Vorhersehbarkeit der virtualisierten Umgebung sicherzustellen. Ohne diese Begrenzung könnte es unter hoher Auslastung zu Leistungseinbrüchen, Systemabstürzen oder inkonsistenten Speicherzuständen kommen, während eine restriktive Konfiguration die Zuverlässigkeit und die Berechenbarkeit der Performance einer virtuellen Infrastruktur deutlich verbessern kann. Eine Institution kann die Umsetzung dieser Vorgabe durch verschiedene Maßnahmen erreichen: (1) In der Hypervisor-Konfiguration kann die Vergabe virtueller CPUs und Arbeitsspeicher exakt auf die physisch vorhandenen Ressourcen begrenzt werden. (2) Es kann sinnvoll sein, Profile oder Templates für virtuelle Maschinen zu nutzen, die konservative Standardwerte vorgeben, sodass die Gefahr unbeabsichtigter Überbuchung reduziert wird.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Konfiguration / Ressourcenauslastung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Konfigurationshistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.3 Grundschutz++ DEV.2.3 Ausführbarkeit mit minimalen Rechten Entwicklung für Anwendungen SOLLTE die fehlerfreie Ausführung mit den geringst möglichen Berechtigungen verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die fehlerfreie Ausführung mit den geringst möglichen Berechtigungen", "definitions": {}}, "guidance": "Die Anwendung ermöglicht die Ausführung mit den geringst möglichen Berechtigungen, wenn sie nur die Berechtigungen benötigt, die für die gerade intendierte Funktionalität erforderlich sind (also z.B. auch ohne Kamerazugriff funktioniert, wenn Nutzende nur vorhandene Bilder betrachten möchten). Sind einzelne Berechtigungen nicht vorhanden, so funktioniert die Anwendung mit entsprechenden Einschränkungen weiterhin (Graceful Degradation).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.1.1 Grundschutz++ DEV.1.1 Verfahren und Regelungen Entwicklung MUSS Verfahren und Regelungen zur Entwicklung von IT-Produkten verankern. MUSS BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Verfahren und Regelungen zur Entwicklung von IT-Produkten", "definitions": {}}, "guidance": "Für ein Verfahren zur Softwareentwicklung siehe BSI TR-03185. Entwickelt die Institution im Informationsverbund keine IT-Produkte, so sind diese und alle anderen Anforderungen der Praktik entbehrlich. Die bei der Festlegung des Verfahrens im Einzelnen zu berücksichtigenden Inhalte ergeben sich aus den Anforderungen dieser Praktik.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Entwicklung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.1.1.1 Grundschutz++ DEV.1.1.1 Dokumentation Entwicklung MUSS die Verfahren und Regelungen dokumentieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Ohne eine Dokumentation könnte die Einhaltung der Verfahren und Regelungen von der Tagesform oder dem individuellen Wissen einzelner Mitarbeiter abhängen, was zu inkonsistenten Entscheidungen und Fehlern führen könnte; insbesondere beim Ausscheiden eines langjährigen Administrators könnte wertvolles prozessuales Wissen verloren gehen. Eine klare Dokumentation sichert die Verbindlichkeit und Wiederholbarkeit und dient als unverzichtbare Grundlage für die Einarbeitung neuer Kollegen, für die Durchführung von Audits und zur einheitlichen Anwendung der Regeln in der gesamten Institution. Die Dokumentation kann in einem eigenständigen Dokument als Richtlinie erfolgen, aber auch als Abschnitt in einem bereits bestehenden Dokument oder über die digital strukturiere Erfassung von Maßnahmen zur Umsetzung der Anforderungen, etwa über eine Software zum Management der Informationssicherheit. Sinnvoll ist es Ort und Struktur der Dokumentation an der jeweiligen Zielgruppe, d.h. den für das Management und die Umsetzung verantwortlichen Personen oder Rollen, auszurichten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Entwicklung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} DEV.1.1 \N \N \N +Grundschutz++:DEV.1.1.2 Grundschutz++ DEV.1.1.2 Zuweisung der Aufgaben Entwicklung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die mit den Verfahren und Regelungen verbundenen Aufgaben", "definitions": {}}, "guidance": "Die Zuweisung von Aufgaben bezeichnet die eindeutige und verbindliche Übertragung von konkreten Tätigkeiten und Verantwortlichkeiten des Änderungsprozesses, wie etwa die Risikobewertung, die technische Umsetzung oder die finale Freigabe, an definierte Stellen in der Institution. Der Sinn dieser Vorschrift ist es, die Verantwortlichkeit (\\"Accountability\\") für jeden einzelnen Schritt im Prozess klarzustellen. Ohne eine solche Zuweisung könnten kritische Prüfungen unterbleiben, weil sich niemand explizit zuständig fühlt, was wiederum die Wahrscheinlichkeit fehlgeschlagener Änderungen erhöht. Eine klare Regelung kann sicherstellen, dass keine Aufgaben übersehen werden und jede Tätigkeit von einer dafür qualifizierten und befugten Stelle ausgeführt wird, was die Prozesssicherheit signifikant erhöht. Eine bewährte Methode zur Umsetzung ist die Erstellung einer RACI-Matrix (Responsible, Accountable, Consulted, Informed), die tabellarisch für jeden Prozessschritt darstellt, wer für die Durchführung verantwortlich ist, wer die Gesamtverantwortung trägt, wer zu konsultieren und wer zu informieren ist. Diese Zuständigkeiten können auch direkt in einem Workflow- oder Ticketsystem abgebildet werden, sodass Aufgaben, wie beispielsweise Genehmigungsschritte, automatisch an die richtige Gruppe oder Person weitergeleitet werden. Sinnvoll ist es die Zuweisung anhand von Rollen (z.B. \\"Anwendungsverantwortlicher\\", \\"Netzwerkadministrator\\", \\"Change Manager\\") vorzunehmen, statt an konkrete Personen. Dieser Ansatz stellt sicher, dass die Prozesse auch bei Personalwechseln stabil weiterlaufen, da die Zuständigkeit an die Funktion und nicht an das Individuum gebunden ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Entwicklung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Geschäftsverteilungsplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "zuweisen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{zuständigen Personen oder Rollen}}", "definitions": {}}} DEV.1.1 \N \N \N +Grundschutz++:DEV.1.1.3 Grundschutz++ DEV.1.1.3 Bekanntgabe Entwicklung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die zuständigen Personen oder Rollen über die Verfahren und Regelungen", "definitions": {}}, "guidance": "Wenn die Zuständigen die etablierten Verfahren nicht kennen, besteht die Gefahr, dass diese – sei es aus Unwissenheit oder Bequemlichkeit – umgangen werden, was die Schutzwirkung des gesamten Managementsystems untergräbt. So könnte ein neuer Systemadministrator eine weitreichende Konfigurationsänderung vornehmen, ohne den vorgeschriebenen Genehmigungsprozess zu durchlaufen, was zu einem unbemerkten Sicherheitsrisiko führen könnte. Eine gezielte Information kann hingegen die Akzeptanz der Regelungen fördern und sicherstellen, dass alle Beteiligten ihre Rolle im Prozess verstehen und die Abläufe korrekt anwenden. Zur Umsetzung ist es sinnvoll die Dokumentation im Rahmen eines Onboarding-Prozesses bekanntzugeben und bei allen Änderungen eine automtatische Benachrichtigung aller zuständigen Personen oder Rollen anzustoßen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Entwicklung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "IT-Betriebskonzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} DEV.1.1 \N \N \N +Grundschutz++:DEV.1.2 Grundschutz++ DEV.1.2 Regelmäßige Überprüfung Entwicklung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen. MUSS BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Verfahren und Regelungen", "definitions": {}}, "guidance": "Eine geplante Überprüfung der etablierten Verfahren und Regelungen dient dazu festzustellen, ob diese noch wirksam, effizient und an die aktuellen Gegebenheiten angepasst sind. Eine anlassbezogene Überprüfung wird durch spezifische Ereignisse ausgelöst, wie etwa einen schwerwiegenden Sicherheitsvorfall, eine strategische Neuausrichtung der IT oder neue gesetzliche Anforderungen. Der Zweck dieser Anforderung ist es, die kontinuierliche Verbesserung und Anpassungsfähigkeit des Prozesses sicherzustellen, da veraltete Regelungen neuen technologischen Entwicklungen oder Bedrohungen nicht mehr gerecht werden könnten; ein vor Jahren für monolithische Anwendungen konzipierter Prozess ist beispielsweise für agile Entwicklungsmethoden oder Microservice-Architekturen ungeeignet. Die regelmäßige Überprüfung kann die Effektivität des Sicherheitsmanagements langfristig aufrechterhalten und die Resilienz der Institution stärken.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "MUSS", "definitions": {}}, "group_title": "Entwicklung / Grundlagen", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "0", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Übungs- und Prüfplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überprüfen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "{{regelmäßig}} und anlassbezogen auf Aktualität", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.1 Grundschutz++ DEV.2.1 Security by Design Architektur Entwicklung SOLLTE die Architektur nach dem Prinzip "Security by Design" verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Architektur nach dem Prinzip \\"Security by Design\\"", "definitions": {}}, "guidance": "Unter \\"Security by Design\\" ist zu verstehen, dass Sicherheitsprinzipien und -mechanismen integrale Bestandteile der Architektur sind, anstatt nur nachträglich \\"angeflanscht\\" zu werden. Hierzu gehören Sicherheitsprinzipien wie Modularisierung, Verschlüsselung und Authentifizierung beim Entwurf der Architektur. Die Umsetzung kann durch Threat Modeling realisiert werden. Für Details siehe BSI TR-03185. Bei der Umsetzung von Security by Design empfiehlt sich auch ein Blick in die Praktik Konfiguration, spezifisch die Anforderungen zu Verschlüsselung, Authentifizierung, etc.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.4 Grundschutz++ DEV.2.4 Einschränkung Zugriffs auf Quellcode Entwicklung SOLLTE den schreibenden Zugriff auf Quellcode einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den schreibenden Zugriff auf Quellcode", "definitions": {}}, "guidance": "Eine Einschränkung des schreibenden Zugriffes auf den Quellcode auf die zur Aufgabenerfüllung erforderlichen Personen oder IT-Systeme hilft, unbefugte Änderungen am Quellcode zu verhindern. Nach dem Grundsatz der geringstmöglichen Berechtigung benötigen schreibenden Zugriff nur Personen wie Entwickler oder Maintainer, zu deren Aufgaben die Arbeit am Code gehört.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.5 Grundschutz++ DEV.2.5 Einschränkung des Zugriffs auf Zugangsdaten Entwicklung für Anwendungen SOLLTE den lesenden und schreibenden Zugriff auf Zugangsdaten einschränken. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "den lesenden und schreibenden Zugriff auf Zugangsdaten", "definitions": {}}, "guidance": "Von der Anwendung verwendete Zugangsdaten können z.B. API-Schlüssel oder Datenbankanmeldeinformationen sein. Statt diese im Quellcode zu hinterlegen ist es besser, sie in Umgebungsvariablen oder sogenannten Vaults zu speichern. Hierbei hilft es auch, solche Daten mit .gitignore-Regeln aus der Versionskontrolle auszuschließen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Inventar Berechtigungen", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "einschränken", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.6 Grundschutz++ DEV.2.6 Widerstandsfähigkeit gegen gängige Angriffsmuster Entwicklung für Anwendungen SOLLTE Schutzfunktionen gegen gängige Angriffsmuster installieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Schutzfunktionen gegen gängige Angriffsmuster", "definitions": {}}, "guidance": "Gängige Angriffsmuster sind wiederkehrende Vorgehensweisen von Angreifenden, die in der Praxis häufig auftreten, z. B. SQL-Injection, Cross-Site-Scripting (XSS) oder Pufferüberläufe. Welche Angriffsmuster für die konkrete Anwendung gängig sind, hängt von Funktionalität und Architektur der Anwendung ab, z.B. Prompt Injection bei generativer KI. Die Vorschrift zielt darauf ab, dass Produkte bereits in der Entstehung so gestaltet werden, dass typische Schwachstellen systematisch erschwert werden. Ohne entsprechende Vorkehrungen könnte ein Angreifer etwa durch manipulierte Eingaben vertrauliche Daten auslesen oder unautorisiert Funktionen steuern. Werden Schutzfunktionen frühzeitig eingebaut, kann die Stabilität des Produkts erhöht, die Angriffsfläche reduziert und das Vertrauen der Nutzenden gestärkt werden. Zur Umsetzung können etablierte Programmierpraktiken wie das Verwenden sicherer Standardbibliotheken, das Einschränken von Nutzerrechten im Code oder das Einführen von Fallback-Mechanismen bei fehlerhaften Eingaben verwendet werden. Ergänzend kann die Institution Secure Coding Guidelines nutzen, die häufige Angriffsmuster adressieren und Entwickelnden praxisnahe Hilfen bieten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "installieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.2.6.1 Grundschutz++ DEV.2.6.1 Eingabevalidierung Entwicklung für Anwendungen SOLLTE Eingabedaten auf eingeschleuste Befehle testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Eingabedaten", "definitions": {}}, "guidance": "Bei der Eingabevalidierung (Input Validation) wird getestet, ob die Eingabedaten eingeschleuste Befehle enthalten, z.B. SQL-Injection, Kommandozeilenbefehle oder Prompt Injection bei generativer KI. Welche Eingaben betroffen sein könnten, kann durch eine Taint Analyse herausgefunden werden. Alternativ können auch alle Eingabedaten validiert werden (Server Side Validation).", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "auf eingeschleuste Befehle", "definitions": {}}} DEV.2.6 \N \N \N +Grundschutz++:DEV.2.6.2 Grundschutz++ DEV.2.6.2 Ausgabekodierung Entwicklung für Anwendungen SOLLTE eine Ausgabekodierung ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine Ausgabekodierung", "definitions": {}}, "guidance": "Ausgabekodierung (Output Encoding) ist wichtig, da sie spezielle Zeichen neutralisiert und so Angriffe wie Cross-Site Scripting (XSS) oder HTML-Injektionen verhindert, die ansonsten Schadcode ausführen könnten. Empfehlenswert ist kontextabhängiges Encoding und Escaping, basierend auf standardisierten Frameworks wie OWASP ESAPI.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Security by Design", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} DEV.2.6 \N \N \N +Grundschutz++:DEV.3.1 Grundschutz++ DEV.3.1 Replay-Angriffe Entwicklung für Anwendungen SOLLTE Replay-Angriffe blockieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Authentication and Authorization, Replay Attacks, Session Hijacking, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Replay-Angriffe", "definitions": {}}, "guidance": "Wenn die Anwendung Anfragen von anderen Anwendungen oder IT-Systemen entgegennimmt (z.B. per API), dann besteht die Gefahr, dass Angreifer eine vorherige Anfrage erneut verwenden um unbefugt Zugang zu erhalten. Maßnahmen können sein: (1) Identifikatoren, die nur einmal gültig sind (Nonce, Sequenznummern), (2) kryptographische Mechanismen wie MAC und Digitale Signaturen, Challenge-Response-Authentifizierung, OTP.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Härtung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "blockieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.4 Grundschutz++ DEV.4.4 Integrität externer Softwarebibliotheken Entwicklung für Anwendungen SOLLTE die Integrität externer Softwarebibliotheken vor dem Release testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Secure Compiling Practices", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Integrität externer Softwarebibliotheken", "definitions": {}}, "guidance": "Gemeint ist damit sowohl die technische Unversehrtheit (z. B. durch kryptografische Prüfungen wie Hash- oder Signaturvalidierung) als auch die inhaltliche Zuverlässigkeit (z. B. keine eingeschleusten Schadfunktionen oder versteckte Abhängigkeiten). Der Sinn und Zweck dieser Anforderung liegt darin, die Risiken durch unsichere oder manipulierte Fremdkomponenten zu reduzieren. So könnte ein Angreifer Schadcode in eine weit verbreitete Bibliothek einschleusen, die dann unbemerkt in der Anwendung landet, oder eine Abhängigkeit könnte im Hintergrund auf nicht mehr gepflegte Versionen verweisen. Eine wirksame Integritätsprüfung kann verhindern, dass fehlerhafte oder kompromittierte Bausteine in produktive Anwendungen gelangen und kann damit auch die Abhängigkeit von nicht vertrauenswürdigen Quellen abmildern. Zur Umsetzung können (1) Hashwerte oder digitale Signaturen von Bibliotheken mit den Referenzwerten der Hersteller verglichen werden, (2) der Bezug externer Pakete über offizielle, verifizierte Repositories, statt über inoffizielle Quellen stattfinden, und (3) in der Build-Pipeline eine automatisierte Integritätsprüfung eingerichtet sein, die verdächtige oder unvollständige Bibliotheken blockieret. Ergänzend kann eine institutionseigene Allowlist gepflegt werden, die geprüfte Versionen von Bibliotheken enthält, sodass Entwickler nicht unkontrolliert beliebige Abhängigkeiten einbinden. Ein praktischer Tipp kann sein, die Prüfmechanismen möglichst früh im Entwicklungsprozess zu automatisieren, um spätere manuelle Nacharbeiten oder Verzögerungen vor einem Release zu vermeiden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Release", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.3.2 Grundschutz++ DEV.3.2 Routinen zur Fehlerbehandlung Entwicklung für Anwendungen SOLLTE spezifische und allgemeine Routinen zur Fehlerbehandlung ausführen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design, Error Handling, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "spezifische und allgemeine Routinen zur Fehlerbehandlung", "definitions": {}}, "guidance": "Behandeln Sie Fehler (Exceptions) möglichst nahe an der Quelle (z.B. Buffer Overflows, fehlende Dateien) und sehen sie eine Routine vor, die unerwartete Fehler abfängt. Geben Sie passende Fehlermeldungen aus und protokollieren Sie Fehler.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Härtung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "ausführen", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.3.3 Grundschutz++ DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen Entwicklung für Anwendungen SOLLTE die Ausgabe schützenswerter Daten durch Fehlermeldungen deaktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Security by Design, Error Handling, Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ausgabe schützenswerter Daten durch Fehlermeldungen", "definitions": {}}, "guidance": "Werden sensible Daten in Fehlermeldungen oder Log-Einträgen verwendet, kommt es leicht zur Offenlegung dieser Informationen gegenüber Unbefugten. Hierzu gehören auch Hinweise auf das Vorhandensein oder Nicht-Vorhandensein eines Nutzendenkontos.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Härtung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "deaktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.3.4 Grundschutz++ DEV.3.4 Passwort-Hashing Entwicklung für Anwendungen SOLLTE das Hashing von Passwörtern, die zur Authentifizierung an der Anwendung verwendet werden vor der Verarbeitung oder Speicherung aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Cryptography", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "das Hashing von Passwörtern, die zur Authentifizierung an der Anwendung verwendet werden", "definitions": {}}, "guidance": "Ziel ist der Schutz vor Angriffen, welche Passwörter beim Transport oder aus dem Speicher auslesen und sich hiermit anmelden. Dies kann durch Hash und Salt gemäß BSI TR-02102 vermieden werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Härtung", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor der Verarbeitung oder Speicherung", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.1 Grundschutz++ DEV.4.1 Nutzerinformation bei kritischen Ereignissen Entwicklung für Anwendungen SOLLTE bei sicherheitskritischen Ereignissen die betroffenen Nutzenden informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "bei sicherheitskritischen Ereignissen die betroffenen Nutzenden", "definitions": {}}, "guidance": "Z.B. bei Anmeldung von neuen Geräten, Zurücksetzen des Passwortes, ungewöhnlichen Standorten oder der Änderung von Stammdaten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.2 Grundschutz++ DEV.4.2 Bibliotheksquellen Entwicklung für Anwendungen SOLLTE die Einbindung externer Softwarebibliotheken und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen untersagen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Secure Compiling Practices", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Einbindung externer Softwarebibliotheken und -Schnittstellen aus unzuverlässigen oder unbekannten Quellen", "definitions": {}}, "guidance": "Eine Quelle ist unzuverlässig, wenn zukünftig mit Verstößen gegen die Schutzziele Vertraulichkeit, Verfügbarkeit oder Integrität durch sie zu rechnen ist (d.h. eine Prognose der Vertrauenswürdigkeit). Dies ist insbesondere der Fall, wenn erhebliche Verstöße gegen die Schutzziele durch sie begangen worden sind oder Anzeichen dafür vorliegen, dass bei einer Verwendung mit solchen Verstößen zu rechnen ist.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Arbeitsanweisung", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "untersagen", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.3 Grundschutz++ DEV.4.3 Softwarebestandteile (SBOM) Entwicklung für Anwendungen SOLLTE die Bestandteile mit Hilfe einer Software Bill of Materials (SBOM) vor dem Release dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Lieferketten", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bestandteile mit Hilfe einer Software Bill of Materials (SBOM)", "definitions": {}}, "guidance": "Details siehe BSI TR-03183-2. Anwendungen zur Modulverwaltung und Software Composition Analysis (SCA) können dabei unterstützen SBOMs als Teil eines CI/CD Prozesses automatisiert zu sammeln.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Release", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.5 Grundschutz++ DEV.4.5 Updates externer Softwarebibliotheken Entwicklung für Anwendungen SOLLTE externe Softwarebibliotheken auf Sicherheitsupdates vor dem Release testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Lieferketten, Secure Compiling Practices", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "externe Softwarebibliotheken auf Sicherheitsupdates", "definitions": {}}, "guidance": "Werden veraltete Softwarebibliotheken in eine veröffentlichte Software eingebunden, so können diese Sicherheitslücken oder Fehler enthalten, die in den aktuellen Versionen bereits behoben sind. Prüfen Sie daher vor einer Freigabe der Software ob eingebundene Bibliotheken aktualisiert wurden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Release", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.6 Grundschutz++ DEV.4.6 Compileroptionen Entwicklung für Anwendungen SOLLTE Compileroptionen für Sicherheitsfunktionen vor dem Release aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Secure Compiling Practices", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Compileroptionen für Sicherheitsfunktionen", "definitions": {}}, "guidance": "Compileroptionen wie Stack Canaries, PIE, PIE, CFI können automatisch Schutzmechanismen in Programme einbauen. Bewährte Praxis ist es, diese Compileroptionen zu aktivieren, sofern es keine entgegenstehenden besonderen Gründe gibt, darauf im Einzelfall zu verzichten. Werden interpretierte Programmiersprachen verwendet, so ist die Anforderung analog auf die Interpreter-Optionen anzuwenden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Release", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.7 Grundschutz++ DEV.4.7 Deterministischer Binärcode Entwicklung für Anwendungen KANN eine reproduzierbare Vorgehensweise zur Erstellung eines bestimmten Binärcodes aus dem Quellcode dokumentieren. KANN BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Secure Compiling Practices", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "eine reproduzierbare Vorgehensweise zur Erstellung eines bestimmten Binärcodes aus dem Quellcode", "definitions": {}}, "guidance": "Ein bestimmter Binärcode meint hier eine reproduzierbare Anwendung (Reproducible builds). Das bedeutet, dass jeder, der denselben Quellcode und dieselbe Build-Umgebung verwendet, bitweise identische Binärdateien erstellt, was die Integrität der Software gegen Manipulationen oder Malware sichert. Dies geschieht durch die genaue Beschreibung der Build-Umgebung und die Vermeidung von zufälligen Faktoren wie Zeitstempeln, die sich auf die erzeugten Artefakte auswirken könnten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "KANN", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "5", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "erhöht", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.8 Grundschutz++ DEV.4.8 Default-Zugangsdaten Entwicklung für Anwendungen SOLLTE Default-Zugangsdaten vor dem Release dokumentieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Security by Default", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Default-Zugangsdaten", "definitions": {}}, "guidance": "Falls die Software Default-Zugangsdaten wie Passwörter oder Zertifikate enthält, so ist eine sichere Nutzung der Software nur möglich, wenn Nutzende hiervon Kenntnis erhalten um die Zugangsdaten ändern zu können. Sind keine Default-Zugangsdaten erforderlich, so ist die Anforderung entbehrlich.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "dokumentieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "vor dem Release", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.9 Grundschutz++ DEV.4.9 Voreinstellungen nach dem Prinzip "Security by Default" Entwicklung für Anwendungen SOLLTE Voreinstellungen nach dem Prinzip "Security by Default" aktivieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung, Security by Default", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Voreinstellungen nach dem Prinzip \\"Security by Default\\"", "definitions": {}}, "guidance": "Voreinstellungen sind die Parameter der Anwendung, mit denen diese im Auslieferungszustand (oder bei Cloud-Anwendungen beim Anlegen eines neuen Zugangskontos) ausgeführt wird. Welche Parameter hier konkret sicher sind ergibt sich aus der Praktik Konfiguration für die jeweilige Art von Zielobjekten.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Codehistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "aktivieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.10 Grundschutz++ DEV.4.10 Protokollierung von Codeänderungen Entwicklung für Anwendungen SOLLTE Änderungen am Quellcode einschließlich Zeitpunkt, Inhalt der Änderung, ändernder Person und der Begründung der Änderung protokollieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Change Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen am Quellcode", "definitions": {}}, "guidance": "Im Kontext dieser Anforderung bezeichnet Quellcode den in einer Programmiersprache geschriebenen, von Menschen lesbaren Anteil einer Anwendung, während eine Änderung jede Anpassung, Ergänzung oder Entfernung dieses Codes umfasst. Unter Begründung ist die dokumentierte fachliche oder technische Motivation zu verstehen, die erläutert, warum eine Änderung notwendig war, beispielsweise zur Fehlerbehebung, Funktionserweiterung oder Verbesserung der Sicherheit. Der Zeitpunkt entspricht dabei einem präzisen Zeitstempel, der eine eindeutige zeitliche Nachvollziehbarkeit erlaubt, und die ändernde Person ist diejenige, die die Modifikation fachlich veranlasst oder technisch durchgeführt hat – nicht zwingend dieselbe Rolle wie ein Freigebender oder Reviewer. Die Protokollierung kann verhindern, dass unautorisierte oder fehlerhafte Anpassungen unentdeckt bleiben, und sie kann im Streitfall eine klare Nachvollziehbarkeit bieten. Ohne diese Nachweise könnte es zu unklaren Verantwortlichkeiten, erhöhtem Manipulationsrisiko oder schwer nachvollziehbaren Fehlfunktionen kommen. Eine Institution kann diese Anforderung durch Nutzung von Versionsverwaltungssystemen wie Git oder Subversion umsetzen, indem sie für jede Änderung standardisierte Commit-Meldungen mit Zeitstempel, Autor und Begründung erzwingt. Ergänzend kann ein Workflow etabliert werden, bei dem Änderungen erst nach einem Merge- oder Pull-Request mit dokumentierter Beschreibung in den Hauptzweig gelangen. Sinnvoll ist es zudem, einfache Vorlagen oder Textbausteine für Begründungen bereitzustellen, sodass Änderungen einheitlich und vollständig erklärt werden können. Für Transparenz kann zusätzlich ein automatisches Änderungsprotokoll generiert werden, das regelmäßig exportiert oder archiviert wird, um auch ohne Zugriff auf das Versionsverwaltungssystem auswertbar zu bleiben.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "1", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Codehistorie", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "protokollieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "einschließlich Zeitpunkt, Inhalt der Änderung, ändernder Person und der Begründung der Änderung", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.4.11 Grundschutz++ DEV.4.11 Test bei Änderungen am Quellcode Entwicklung für Anwendungen SOLLTE Änderungen am Quellcode im Einklang mit den Verfahren und Regelungen für Änderungen und Tests testen. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Change Management", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Änderungen am Quellcode", "definitions": {}}, "guidance": "„Änderungen am Quellcode“ (engl. source code changes) bezeichnet im gegebenen Kontext sämtliche Modifikationen, die an den Programmbestandteilen einer Anwendung vorgenommen werden, also etwa neue Funktionen, Fehlerkorrekturen oder Anpassungen an Schnittstellen. Fehlerhafte oder ungetestete Anpassungen könnten etwa zu Sicherheitslücken, Datenverlust oder Instabilitäten im Betrieb führen, wohingegen eine strukturierte Prüfung verhindern kann, dass bekannte Schwachstellen erneut auftreten oder unbeabsichtigte Seiteneffekte entstehen. Solche Änderungen sind daher als Teil des Change Managements zu betrachten, dessen Anforderungen im Einzelnen in der Praktik Änderungen und Tests zu finden sind. Zur praktischen Umsetzung kann eine Institution jede Änderung automatisiert durch Static Application Security Testing (SAST) prüfen, wodurch potenzielle Schwachstellen direkt im Quellcode erkannt werden können. Ergänzend ist es sinnvoll Dynamic Application Security Testing (DAST) einzusetzen, um die lauffähige Anwendung in einer Testumgebung gegen typische Angriffe wie SQL-Injection oder Cross-Site-Scripting zu überprüfen. Sinnvolle Maßnahmen können dabei sein: (1) Aufbau einer Continuous-Integration-Pipeline, die automatisierte Unit-, Integrations- und Sicherheitstests einbindet und Ergebnisse konsolidiert darstellt, (2) Durchführung von manuellen explorativen Tests in einer isolierten Testumgebung, um auch unerwartete Nutzungsmuster zu prüfen, (3) Einsatz von Regressionstests, die sicherstellen können, dass neue Änderungen keine bestehenden Funktionen beeinträchtigen. Eine Institution kann damit die Qualitätssicherung stärken und gleichzeitig Angriffsflächen durch fehlerhafte Änderungen reduzieren.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Code", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "4", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Freigabeplan", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "testen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den Verfahren und Regelungen für Änderungen und Tests", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.5.1 Grundschutz++ DEV.5.1 Verankerung des Zeitraums für Updates Entwicklung für Anwendungen SOLLTE die Bereitstellung von Sicherheitsupdates mindestens für einen bestimmten Zeitraum verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereitstellung von Sicherheitsupdates mindestens für {{einen bestimmten Zeitraum}}", "definitions": {}}, "guidance": "Hierbei wird festgelegt, für welchen konkreten Zeitraum Sicherheitsaktualisierungen (Patches) für das Produkt mindestens bereitgestellt werden. Dazu gehört auch eine Definition von welchem Zeitpunkt aus der Zeitraum berechnet wird, z.B. Erstveröffentlichung des Produkts. Denken Sie dabei daran, ob ggf. Compliance-Verpflichtungen einzuhalten sind, z.B. § 475b Abs. 3 Nr. 2 BGB für Verbraucherverträge.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Updates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.5.2 Grundschutz++ DEV.5.2 Information über Zeitraum für Updates Entwicklung für Anwendungen SOLLTE Auftraggeber über den festgelegten Zeitraum für Sicherheitsupdates informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Auftraggeber über den festgelegten Zeitraum für Sicherheitsupdates", "definitions": {}}, "guidance": "Stellen Sie den Empfängern der Software Informationen darüber bereit, wie lange Sicherheitsaktualisierungen gewährleistet werden und wie diese bezogen werden können.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Updates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.5.3 Grundschutz++ DEV.5.3 Integritätsprüfung Entwicklung für Anwendungen SOLLTE Nutzende über Möglichkeiten zur Verifikation der Integrität von Installations-, Update- und Patchdateien informieren. SOLLTE BSI-Stand-der-Technik-Kernel {"tags": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/tags.csv", "name": "tags", "value": "Produktbeschreibung", "definitions": {}}, "result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "Nutzende über Möglichkeiten zur Verifikation der Integrität von Installations-, Update- und Patchdateien", "definitions": {}}, "guidance": "Dies kann z.B. durch die Veröffentlichung von Prüfsummen über einen authentifizierten Kanal wie eine Webseite mit X.509-Zertifikat erfolgen.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Softwareentwicklung - Updates", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "informieren", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.6.1 Grundschutz++ DEV.6.1 Freigabe nach Änderungen und Tests Entwicklung SOLLTE die Freigabe zur Nutzung im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests autorisieren. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Freigabe zur Nutzung", "definitions": {}}, "guidance": "Eine Freigabe zur Nutzung (Release) meint hier die formelle und autorisierte Überführung einer entwickelten oder geänderten IT-Komponente (wie Software, Systemkonfiguration, Dienstleistung) von einer Test- oder Entwicklungsumgebung in eine Produktions- oder Betriebsumgebung, um den Endbenutzern zur Verfügung zu stehen. Die Vorschrift zielt darauf ab, sicherzustellen, dass nur getestete und abgestimmte Änderungen in den Betrieb gelangen. Ohne diese Autorisierung könnte ungetesteter Code oder eine nicht genehmigte Systemänderung zu schwerwiegenden Betriebsunterbrechungen, Datenverlust oder Sicherheitslücken führen. Eine formalisierte Freigabe kann die Integrität und Verfügbarkeit von Systemen schützen, indem sie die Einhaltung der etablierten Verfahren und Regelungen für Änderungen und Tests sicherstellt.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Freigabe", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "autorisieren", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.7.1 Grundschutz++ DEV.7.1 Sichere Bereitstellung Entwicklung SOLLTE die Bereitstellung im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests verankern. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Bereitstellung", "definitions": {}}, "guidance": "Die Bereitstellung ist der Prozessschritt, durch den eine neu entwickelte oder geänderte Softwareversion, ein Dienst oder ein System in die Produktionsumgebung überführt und dort aktiv für die Endnutzer oder Geschäftsprozesse zugänglich gemacht wird. Die Anforderungen aus der Praktik Änderungen und Tests (also zum Change Management) betreffen auch die Bereitstellung. Eine geordnete Bereitstellung minimiert das Risiko, dass ungetestete oder nicht genehmigte Änderungen in Betrieb gehen, was sonst zu Dienstunterbrechungen, Datenverlust oder der Ausnutzung von Sicherheitslücken führen könnte.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Bereitstellung und Betrieb", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "3", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Entwicklungsdokumentation", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "verankern", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "im Einklang mit den entsprechenden Verfahren und Regelungen für Änderungen und Tests", "definitions": {}}} \N \N \N \N +Grundschutz++:DEV.7.2 Grundschutz++ DEV.7.2 Zertifikatsmonitoring Entwicklung für Anwendungen SOLLTE die Ausstellung neuer Zertifikate für die von der Anwendung verwendeten Domains überwachen. SOLLTE BSI-Stand-der-Technik-Kernel {"result": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result", "value": "die Ausstellung neuer Zertifikate", "definitions": {}}, "guidance": "Anwendungen die über das Netz kommunizieren nutzen typischerweise X.509-Zertifikate zur Authentifizierung (z.B. per TLS). Die Ausstellung neuer Zertifikate bei Zertifizierungsstellen kann ein Angriffsversuch Dritter sein, die vorgeben wollen die Anwendung zu betreiben. Dies kann mittels Certificate Transparency automatisiert werden.", "importance": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/modal_verbs.csv", "name": "modal_verb", "value": "SOLLTE", "definitions": {}}, "group_title": "Entwicklung / Bereitstellung und Betrieb", "effort_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/effort_level.csv", "name": "effort_level", "value": "2", "definitions": {}}, "documentation": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/documentation_guidelines.csv", "name": "documentation", "value": "Detektions-Konzept", "definitions": {}}, "security_level": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/security_level.csv", "name": "sec_level", "value": "normal-SdT", "definitions": {}}, "word_definition": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/action_words.csv", "name": "action_word", "value": "überwachen", "definitions": {}}, "result_specification": {"ns": "https://github.com/BSI-Bund/Stand-der-Technik-Bibliothek/tree/main/Dokumentation/namespaces/result.csv", "name": "result_specification", "value": "für die von der Anwendung verwendeten Domains", "definitions": {}}} \N \N \N \N +SCF:AAT-16.1 SCF AAT-16.1 AI & Autonomous Technologies Measurement Approaches Mechanisms exist to measure Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to deployment context(s) through review and consultation with industry experts, domain specialists and end users. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.1_AAT-16.1_A01", "name": "assessment-objective", "prose": "a risk catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific risks is documented."}, {"id": "AAT-16.1_AAT-16.1_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks are identified through consultation with domain experts and other end users."}]} \N \N \N \N +SCF:GOV-01 SCF GOV-01 Security, Compliance & Resilience Program (SCRP) Mechanisms exist to facilitate the implementation of security, compliance and resilience governance controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-01_GOV-01_A01", "name": "assessment-objective", "prose": "an organization-wide cybersecurity / data privacy governance program is developed."}, {"id": "GOV-01_GOV-01_A02", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program addresses management commitment."}, {"id": "GOV-01_GOV-01_A03", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program addresses statutory, regulatory and/or contractual compliance obligations."}, {"id": "GOV-01_GOV-01_A04", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is protected from unauthorized disclosure."}, {"id": "GOV-01_GOV-01_A05", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is protected from unauthorized modification."}, {"id": "GOV-01_GOV-01_A06", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is disseminated."}, {"id": "GOV-01_GOV-01_A07", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program provides an overview of the requirements for the security program."}, {"id": "GOV-01_GOV-01_A08", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program provides a description of the security program management controls in place or planned for meeting those requirements."}, {"id": "GOV-01_GOV-01_A09", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program provides a description of the common controls in place or planned for meeting those requirements."}, {"id": "GOV-01_GOV-01_A10", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program includes the identification and assignment of roles."}, {"id": "GOV-01_GOV-01_A11", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program includes the identification and assignment of responsibilities."}, {"id": "GOV-01_GOV-01_A12", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program addresses coordination among organizational entities."}, {"id": "GOV-01_GOV-01_A13", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program reflects the coordination among the organizational entities responsible for cybersecurity / data privacy."}, {"id": "GOV-01_GOV-01_A14", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is approved by a senior official with responsibility and accountability for the risk being incurred to organizational operations."}, {"id": "GOV-01_GOV-01_A15", "name": "assessment-objective", "prose": "the frequency at which to review / update the organization-wide cybersecurity / data privacy governance program is defined."}, {"id": "GOV-01_GOV-01_A16", "name": "assessment-objective", "prose": "events that trigger the review / update of the organization-wide cybersecurity / data privacy governance program are defined."}, {"id": "GOV-01_GOV-01_A17", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is reviewed / updated frequently."}, {"id": "GOV-01_GOV-01_A18", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program is reviewed / updated following events."}, {"id": "GOV-01_GOV-01_A19", "name": "assessment-objective", "prose": "cybersecurity & data protection governance operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "GOV-01_GOV-01_A20", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support cybersecurity & data protection governance operations."}, {"id": "GOV-01_GOV-01_A21", "name": "assessment-objective", "prose": "responsibility and authority for the performance of cybersecurity & data protection governance-related activities are assigned to designated personnel."}, {"id": "GOV-01_GOV-01_A22", "name": "assessment-objective", "prose": "personnel performing cybersecurity & data protection governance-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:GOV-01.1 SCF GOV-01.1 Steering Committee & Program Oversight Mechanisms exist to align security, compliance and resilience capabilities with business requirements through a steering committee or advisory board, comprised of key cybersecurity, data protection and business executives, which meets formally and on a regular basis. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-01.1_GOV-01.1_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, is formed and is comprised of key cybersecurity, technology, risk, privacy and business executives."}, {"id": "GOV-01.1_GOV-01.1_A02", "name": "assessment-objective", "prose": "the executive steering committee, or advisory board, coordinates cybersecurity, technology, risk, privacy and business alignment through recurring, formal meetings."}]} \N \N \N \N +SCF:GOV-01.2 SCF GOV-01.2 Status Reporting To Governing Body Mechanisms exist to provide governance oversight reporting and recommendations to those entrusted to make executive decisions about matters considered material to the organization's Security, Compliance & Resilience Program (SCRP). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-01.2_GOV-01.2_A01", "name": "assessment-objective", "prose": "the executive steering committee, or advisory board, makes executive decisions about matters considered material to the organization's cybersecurity / data privacy program."}]} \N \N \N \N +SCF:GOV-01.3 SCF GOV-01.3 Commitment To Continual Improvements Mechanisms exist to commit appropriate resources needed for continual improvement of the organization's Security, Compliance & Resilience Program (SCRP), including:\r\n(1) Staffing;\r\n(2) Budget;\r\n(3) Processes; and\r\n(4) Technologies. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-01.3_GOV-01.3_A01", "name": "assessment-objective", "prose": "the organization commits appropriate financial resources needed for continual improvement of the organization's cybersecurity & data privacy program."}]} \N \N \N \N +SCF:GOV-02 SCF GOV-02 Publishing Security, Compliance & Resilience Documentation Mechanisms exist to establish, maintain and disseminate policies, standards and procedures necessary for secure, compliant and resilient capabilities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-02_GOV-02_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy policies are developed and documented."}, {"id": "GOV-02_GOV-02_A02", "name": "assessment-objective", "prose": "policies needed to satisfy the security requirements for the protection of sensitive / regulated data are developed and documented."}, {"id": "GOV-02_GOV-02_A03", "name": "assessment-objective", "prose": "policies needed to satisfy the security requirements for the protection of sensitive / regulated data are disseminated to organizational personnel or roles."}, {"id": "GOV-02_GOV-02_A04", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of sensitive / regulated data are developed and documented."}, {"id": "GOV-02_GOV-02_A05", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of sensitive / regulated data are disseminated to organizational personnel or roles."}, {"id": "GOV-02_GOV-02_A06", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address purpose."}, {"id": "GOV-02_GOV-02_A07", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address scope."}, {"id": "GOV-02_GOV-02_A08", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address roles."}, {"id": "GOV-02_GOV-02_A09", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address responsibilities."}, {"id": "GOV-02_GOV-02_A10", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address management commitment."}, {"id": "GOV-02_GOV-02_A11", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address coordination among organizational entities."}, {"id": "GOV-02_GOV-02_A12", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies address compliance."}, {"id": "GOV-02_GOV-02_A13", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies are consistent with applicable laws, regulations and contractual obligations."}, {"id": "GOV-02_GOV-02_A14", "name": "assessment-objective", "prose": "personnel or roles to whom the cybersecurity / data privacy policies are to be disseminated is/are defined."}, {"id": "GOV-02_GOV-02_A15", "name": "assessment-objective", "prose": "the cybersecurity / data privacy policies are disseminated to personnel or roles."}, {"id": "GOV-02_GOV-02_A16", "name": "assessment-objective", "prose": "the official is designated to manage the development, documentation and dissemination of the cybersecurity / data privacy policies and procedures."}, {"id": "GOV-02_GOV-02_A17", "name": "assessment-objective", "prose": "an official to manage the governance of cybersecurity / data privacy policies and procedures is defined."}, {"id": "GOV-02_GOV-02_A18", "name": "assessment-objective", "prose": "policies needed to satisfy the security requirements for the protection of CUI are developed and documented."}, {"id": "GOV-02_GOV-02_A19", "name": "assessment-objective", "prose": "policies needed to satisfy the security requirements for the protection of CUI are disseminated to organizational personnel or roles."}, {"id": "GOV-02_GOV-02_A20", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of CUI are developed and documented."}, {"id": "GOV-02_GOV-02_A21", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of CUI are disseminated to organizational personnel or roles."}]} \N \N \N \N +SCF:GOV-02.1 SCF GOV-02.1 Exception Management Mechanisms exist to prohibit exceptions to standards, except when the exception has been formally assessed for risk impact, approved and recorded. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-02.1_GOV-02.1_A01", "name": "assessment-objective", "prose": "exception requests to standards are formally submitted for review, along with a business justification for the deviation and proposed compensating controls."}, {"id": "GOV-02.1_GOV-02.1_A02", "name": "assessment-objective", "prose": "the exception request undergoes a risk assessment to evaluate the business justification and proposed compensating controls."}, {"id": "GOV-02.1_GOV-02.1_A03", "name": "assessment-objective", "prose": "a documented determination is made to approve or deny the exception request."}, {"id": "GOV-02.1_GOV-02.1_A04", "name": "assessment-objective", "prose": "the requestor of the exception is provided a response on the determination including required actions, if applicable."}]} \N \N \N \N +SCF:GOV-15.4 SCF GOV-15.4 Authorize Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to compel data and/or process owners to obtain authorization for the production use of each Technology Asset, Application and/or Service (TAAS) under their control. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15.4_GOV-15.4_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to obtain authorization for the production use of each system, application and/or service under their control."}, {"id": "GOV-15.4_GOV-15.4_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners obtain authorization for the production use of each system, application and/or service under their control."}]} \N \N \N \N +SCF:GOV-03 SCF GOV-03 Periodic Review & Update of Security, Compliance & Resilience Program Mechanisms exist to review the Security, Compliance & Resilience Program (SCRP), including policies, standards and procedures, at planned intervals or if significant changes occur to ensure their continuing suitability, adequacy and effectiveness. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-03_GOV-03_A01", "name": "assessment-objective", "prose": "the frequency at which the policies and procedures for satisfying security requirements are reviewed and updated is defined."}, {"id": "GOV-03_GOV-03_A02", "name": "assessment-objective", "prose": "policies and procedures are reviewed / updated per an organization-defined frequency."}, {"id": "GOV-03_GOV-03_A03", "name": "assessment-objective", "prose": "events that would require the current cybersecurity / data privacy policies to be reviewed / updated are defined."}, {"id": "GOV-03_GOV-03_A04", "name": "assessment-objective", "prose": "policies and procedures are reviewed ."}, {"id": "GOV-03_GOV-03_A05", "name": "assessment-objective", "prose": "policies and procedures are updated ."}]} \N \N \N \N +SCF:GOV-04 SCF GOV-04 Assigned Security, Compliance & Resilience Responsibilities Mechanisms exist to assign one or more qualified individuals with the mission and resources to centrally-manage, coordinate, develop, implement and maintain an enterprise-wide Security, Compliance & Resilience Program (SCRP). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-04_GOV-04_A01", "name": "assessment-objective", "prose": "a senior organizational cybersecurity position is appointed."}, {"id": "GOV-04_GOV-04_A02", "name": "assessment-objective", "prose": "the senior organizational cybersecurity position is provided with the mission and resources to coordinate, develop, implement and maintain an organization-wide cybersecurity program."}]} \N \N \N \N +SCF:GOV-04.1 SCF GOV-04.1 Stakeholder Accountability Structure Mechanisms exist to enforce an accountability structure so that appropriate teams and individuals are empowered, responsible and trained for mapping, measuring and managing Technology Assets, Applications, Services and/or Data (TAASD)-related risks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-04.1_GOV-04.1_A01", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program includes the identification and assignment of roles."}, {"id": "GOV-04.1_GOV-04.1_A02", "name": "assessment-objective", "prose": "the cybersecurity / data privacy governance program includes the identification and assignment of responsibilities."}]} \N \N \N \N +SCF:GOV-04.2 SCF GOV-04.2 Authoritative Chain of Command Mechanisms exist to establish an authoritative chain of command with clear lines of communication to remove ambiguity from individuals and teams related to managing Technology Assets, Applications, Services and/or Data (TAASD)-related risks. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-04.2_GOV-04.2_A01", "name": "assessment-objective", "prose": "a formal organization structure is published."}, {"id": "GOV-04.2_GOV-04.2_A02", "name": "assessment-objective", "prose": "an individual's chain of command is clearly delineated."}]} \N \N \N \N +SCF:GOV-05 SCF GOV-05 Measures of Performance Mechanisms exist to develop, report and monitor Security, Compliance & Resilience Program (SCRP) measures of performance. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-05_GOV-05_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy measures of performance are developed."}, {"id": "GOV-05_GOV-05_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy measures of performance are monitored."}, {"id": "GOV-05_GOV-05_A03", "name": "assessment-objective", "prose": "the results of cybersecurity / data privacy measures of performance are reported."}]} \N \N \N \N +SCF:GOV-05.1 SCF GOV-05.1 Key Performance Indicators (KPIs) Mechanisms exist to develop, report and monitor Key Performance Indicators (KPIs) to assist organizational management in performance monitoring and trend analysis of the Security, Compliance & Resilience Program (SCRP). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-05.1_GOV-05.1_A01", "name": "assessment-objective", "prose": "Key Performance Indicators (KPIs) are developed to assist organizational management in performance monitoring and trend analysis of specific aspects of the organization's cybersecurity / data privacy program."}]} \N \N \N \N +SCF:GOV-05.2 SCF GOV-05.2 Key Risk Indicators (KRIs) Mechanisms exist to develop, report and monitor Key Risk Indicators (KRIs) to assist senior management in performance monitoring and trend analysis of the Security, Compliance & Resilience Program (SCRP). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-05.2_GOV-05.2_A01", "name": "assessment-objective", "prose": "Key Risk Indicators (KRIs) are developed to assist senior management in performance monitoring and trend analysis of specific aspects of the organization's cybersecurity / data privacy program."}]} \N \N \N \N +SCF:GOV-06 SCF GOV-06 Contacts With Authorities Mechanisms exist to identify and document appropriate contacts with relevant law enforcement and regulatory bodies. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-06_GOV-06_A01", "name": "assessment-objective", "prose": "relevant law enforcement and/or regulatory bodies are identified that necessitate communications."}, {"id": "GOV-06_GOV-06_A02", "name": "assessment-objective", "prose": "contacts with relevant law enforcement and/or regulatory bodies are established and documented."}]} \N \N \N \N +SCF:GOV-20 SCF GOV-20 Mergers, Acquisitions & Divestitures (MA&D) Mechanisms exist to define standardized practices to conduct Mergers, Acquisitions and Divestiture (MA&D) activities. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-20_GOV-20_A01", "name": "assessment-objective", "prose": "standardized practices to conduct Mergers, Acquisitions and Divestiture (MA&D) activities are defined."}]} \N \N \N \N +SCF:GOV-07 SCF GOV-07 Contacts With Groups & Associations Mechanisms exist to establish contact with selected groups and associations within the security, compliance and resilience communities to: \r\n(1) Facilitate ongoing cybersecurity and data protection education and training for organizational personnel;\r\n(2) Maintain currency with recommended cybersecurity and data protection practices, techniques and technologies; and\r\n(3) Share current cybersecurity and/or data protection-related information including threats, vulnerabilities and incidents. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-07_GOV-07_A01", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to facilitate ongoing security education and training for organizational personnel."}, {"id": "GOV-07_GOV-07_A02", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to maintain currency with recommended security practices, techniques and technologies."}, {"id": "GOV-07_GOV-07_A03", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to share current security information, including threats, vulnerabilities and incidents."}]} \N \N \N \N +SCF:GOV-08 SCF GOV-08 Defining Business Context & Mission Mechanisms exist to define the context of its business model and document the organization's mission. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-08_GOV-08_A01", "name": "assessment-objective", "prose": "the organization's mission is clearly defined and documented."}, {"id": "GOV-08_GOV-08_A02", "name": "assessment-objective", "prose": "the organization's executive leadership defines and documents a formal business strategy that is used to provide operational guidance to key business leaders across the organization."}]} \N \N \N \N +SCF:GOV-09 SCF GOV-09 Define Control Objectives Mechanisms exist to establish control objectives as the basis for the selection, implementation and management of the organization's internal security, compliance and resilience control system. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-09_GOV-09_A01", "name": "assessment-objective", "prose": "security and privacy-related control objectives are established as the basis for the selection, implementation and management of the organization's internal control system."}]} \N \N \N \N +SCF:GOV-10 SCF GOV-10 Data Governance Mechanisms exist to facilitate data governance to oversee the organization's policies, standards and procedures so that sensitive/regulated data is effectively managed and maintained in accordance with applicable statutory, regulatory and contractual obligations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-10_GOV-10_A01", "name": "assessment-objective", "prose": "a data integrity board/function is established."}, {"id": "GOV-10_GOV-10_A02", "name": "assessment-objective", "prose": "the data integrity board/function reviews proposals to conduct or participate in a matching program."}, {"id": "GOV-10_GOV-10_A03", "name": "assessment-objective", "prose": "the data integrity board/function conducts an annual review of all matching programs in which the organization has participated."}, {"id": "GOV-10_GOV-10_A04", "name": "assessment-objective", "prose": "the roles of the organization's data governance body are defined."}, {"id": "GOV-10_GOV-10_A05", "name": "assessment-objective", "prose": "the responsibilities of the organization's data governance body are defined."}, {"id": "GOV-10_GOV-10_A06", "name": "assessment-objective", "prose": "the organization's data governance body has defined roles with established responsibilities."}]} \N \N \N \N +SCF:GOV-11 SCF GOV-11 Purpose Validation Mechanisms exist to monitor mission/business-critical Technology Assets, Applications and/or Services (TAAS) to ensure those resources are being used consistent with their intended purpose. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-11_GOV-11_A01", "name": "assessment-objective", "prose": "systems or system components supporting mission-essential services or functions are defined."}, {"id": "GOV-11_GOV-11_A02", "name": "assessment-objective", "prose": "systems or system components supporting mission-essential services or functions are analyzed to ensure that the information resources are being used in a manner that is consistent with their intended purpose."}]} \N \N \N \N +SCF:GOV-12 SCF GOV-12 Forced Technology Transfer (FTT) Mechanisms exist to avoid and/or constrain the forced exfiltration of sensitive/regulated information (e.g., Intellectual Property (IP)) to the host government for purposes of market access or market management practices. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-12_GOV-12_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates business practices for possible forced exfiltration of sensitive / regulated information (e.g., Intellectual Property (IP)) to a host government for purposes of market access or market management practices."}, {"id": "GOV-12_GOV-12_A02", "name": "assessment-objective", "prose": "measures exist for the executive steering committee, or advisory board, to proactively identify and evaluate host nation business practices to identify potential instances that exist for forced exfiltration of sensitive / regulated information (e.g., Intellectual Property (IP)) to the host government for purposes of market access or market management practices."}, {"id": "GOV-12_GOV-12_A03", "name": "assessment-objective", "prose": "actions are taken to prevent and/or block potential instances that enable the forced exfiltration of sensitive / regulated information (e.g., Intellectual Property (IP)) to the host government for purposes of market access or market management practices."}]} \N \N \N \N +SCF:GOV-20.1 SCF GOV-20.1 Virtual Data Room (VDR) Mechanisms exist to provision a Virtual Data Room (VDR), or similar technology, to securely share documentation among stakeholders to conduct Mergers, Acquisitions and Divestiture (MA&D) activities. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-20.1_GOV-20.1_A01", "name": "assessment-objective", "prose": "a Virtual Data Room (VDR), or similar technology, is securely provisioned to share documentation among stakeholders to conduct MA&D activities."}]} \N \N \N \N +SCF:GOV-13 SCF GOV-13 State-Sponsored Espionage Mechanisms exist to constrain the host government's ability to leverage the organization's Technology Assets, Applications and/or Services (TAAS) for economic or political espionage and/or cyberwarfare activities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-13_GOV-13_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates business practices for possible instances where host nation business practices could leverage the organization's technology assets for economic or political espionage and/or cyberwarfare activities."}, {"id": "GOV-13_GOV-13_A02", "name": "assessment-objective", "prose": "measures exist for the executive steering committee, or advisory board, to proactively identify and evaluate host nation business practices to leverage the organization's technology assets for economic or political espionage and/or cyberwarfare activities."}, {"id": "GOV-13_GOV-13_A03", "name": "assessment-objective", "prose": "actions are taken to prevent and/or block potential instances where host nation business practices could leverage the organization's technology assets for economic or political espionage and/or cyberwarfare activities."}]} \N \N \N \N +SCF:GOV-14 SCF GOV-14 Business As Usual (BAU) Security, Compliance & Resilience Practices Mechanisms exist to incorporate security, compliance and resilience principles into Business As Usual (BAU) practices through executive leadership involvement. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-14_GOV-14_A01", "name": "assessment-objective", "prose": "the executive steering committee, or advisory board, directs organization leadership to incorporate cybersecurity / data privacy principles into Business As Usual (BAU) practices."}, {"id": "GOV-14_GOV-14_A02", "name": "assessment-objective", "prose": "cybersecurity incidents are reviewed to identify incidents that occurred due to cybersecurity / data privacy principles not being adopted as Business As Usual (BAU) practices."}, {"id": "GOV-14_GOV-14_A03", "name": "assessment-objective", "prose": "identified deficiencies of cybersecurity / data privacy principles not being adopted as Business As Usual (BAU) practices are tracked via a Plan of Action and Milestones (POA&M), or risk register, through remediation."}]} \N \N \N \N +SCF:GOV-15 SCF GOV-15 Operationalizing Security, Compliance & Resilience Capabilities Mechanisms exist to compel data and/or process owners to operationalize security, compliance and resilience practices for each Technology Asset, Application and/or Service (TAAS) under their control. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15_GOV-15_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to operationalize cybersecurity / data privacy practices for each system, application and/or service under their control."}, {"id": "GOV-15_GOV-15_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners operationalized cybersecurity / data privacy practices for each system, application and/or service under their control."}, {"id": "GOV-15_GOV-15_A03", "name": "assessment-objective", "prose": "organization-defined systems security engineering principles are applied to the development or modification of the system and system components."}, {"id": "GOV-15_GOV-15_A04", "name": "assessment-objective", "prose": " are applied to the development or modification of the system and system components."}]} \N \N \N \N +SCF:GOV-15.1 SCF GOV-15.1 Select Controls Mechanisms exist to compel data and/or process owners to select required security, compliance and resilience controls for each Technology Asset, Application and/or Service (TAAS) under their control. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15.1_GOV-15.1_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to select required cybersecurity / data privacy controls for each system, application and/or service under their control."}, {"id": "GOV-15.1_GOV-15.1_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners select required cybersecurity / data privacy controls for each system, application and/or service under their control."}]} \N \N \N \N +SCF:GOV-15.2 SCF GOV-15.2 Implement Controls Mechanisms exist to compel data and/or process owners to implement required security, compliance and resilience controls for each Technology Asset, Application and/or Service (TAAS) under their control. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15.2_GOV-15.2_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to implement required cybersecurity / data privacy controls for each system, application and/or service under their control."}, {"id": "GOV-15.2_GOV-15.2_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners implement required cybersecurity / data privacy controls for each system, application and/or service under their control."}]} \N \N \N \N +SCF:GOV-15.3 SCF GOV-15.3 Assess Controls Mechanisms exist to compel data and/or process owners to assess if required security, compliance and resilience controls for each Technology Asset, Application and/or Service (TAAS) under their control are:\r\n(1) Implemented correctly; and \r\n(2) Operating as intended. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15.3_GOV-15.3_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to assess if required cybersecurity / data privacy controls for each system, application and/or service under their control are implemented correctly and are operating as intended."}, {"id": "GOV-15.3_GOV-15.3_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners assess if required cybersecurity / data privacy controls for each system, application and/or service under their control are implemented correctly and are operating as intended."}]} \N \N \N \N +SCF:GOV-15.5 SCF GOV-15.5 Monitor Controls Mechanisms exist to compel data and/or process owners to monitor Technology Assets, Applications, Services and/or Data (TAASD) under their control on an ongoing basis for applicable threats and risks, as well as to ensure security, compliance and resilience controls are operating as intended. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-15.5_GOV-15.5_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to monitor systems, applications and/or services under their control on an ongoing basis for applicable threats and risks, as well as to ensure cybersecurity / data privacy controls are operating as intended."}, {"id": "GOV-15.5_GOV-15.5_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners monitor systems, applications and/or services under their control on an ongoing basis for applicable threats and risks, as well as to ensure cybersecurity / data privacy controls are operating as intended."}]} \N \N \N \N +SCF:GOV-16 SCF GOV-16 Materiality Determination Mechanisms exist to define materiality threshold criteria capable of designating an incident as material. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-16_GOV-16_A01", "name": "assessment-objective", "prose": "organization-specific criteria to define a materiality threshold capable of designating an incident as material is documented."}]} \N \N \N \N +SCF:GOV-16.1 SCF GOV-16.1 Material Risks Mechanisms exist to define criteria necessary to designate a risk as a material risk. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-16.1_GOV-16.1_A01", "name": "assessment-objective", "prose": "organization-specific criteria to designate a risk as a \\"material risk,\\" as it pertains to materiality considerations, is documented."}]} \N \N \N \N +SCF:GOV-16.2 SCF GOV-16.2 Material Threats Mechanisms exist to define criteria necessary to designate a threat as a material threat. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-16.2_GOV-16.2_A01", "name": "assessment-objective", "prose": "organization-specific criteria to designate a threat as a \\"material threat,\\" as it pertains to materiality considerations, is documented."}]} \N \N \N \N +SCF:GOV-17 SCF GOV-17 Security, Compliance & Resilience Status Reporting Mechanisms exist to submit status reporting of the organization's security, compliance and/or resilience program to applicable statutory and/or regulatory authorities, as required. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-17_GOV-17_A01", "name": "assessment-objective", "prose": "applicable statutory and/or regulatory authorities that require submissions of the organization's cybersecurity and/or data privacy program status are identified."}, {"id": "GOV-17_GOV-17_A02", "name": "assessment-objective", "prose": "contact information and report formatting requirements for applicable statutory and/or regulatory authorities is identified."}, {"id": "GOV-17_GOV-17_A03", "name": "assessment-objective", "prose": "a documented process exists to submit status reporting of the organization's cybersecurity and/or data privacy program to applicable statutory and/or regulatory authorities, as required."}, {"id": "GOV-17_GOV-17_A04", "name": "assessment-objective", "prose": "evidence of historical submissions of the organization's cybersecurity and/or data privacy program status to applicable statutory and/or regulatory authorities is retained."}]} \N \N \N \N +SCF:GOV-18 SCF GOV-18 Quality Management System (QMS) Mechanisms exist to govern a Quality Management System (QMS) to ensure security, compliance and resilience processes conform with applicable statutory, regulatory and/or contractual obligations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-18_GOV-18_A01", "name": "assessment-objective", "prose": "a Quality Management System (QMS) is implemented to ensure cybersecurity and data protection processes conform with applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:GOV-19 SCF GOV-19 Assurance Mechanisms exist to define the basis for confidence that implemented practices conform to applicable security, compliance and resilience controls, where the control implementation performs as intended. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-19_GOV-19_A01", "name": "assessment-objective", "prose": "the basis for confidence that implemented practices conform to applicable security, compliance and resilience controls, where the control implementation performs as intended is defined."}]} \N \N \N \N +SCF:GOV-19.1 SCF GOV-19.1 Assurance Levels (AL) Mechanisms exist to utilize defined Assurance Levels (AL) for assessment activities to standardize the following assurance attributes:\r\n(1) Depth that addresses the rigor and level of detail of the assessment; and\r\n(2) Coverage that addresses the scope and breadth of the assessment. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-19.1_GOV-19.1_A01", "name": "assessment-objective", "prose": "Assurance Levels (AL) for assessment activities are defined standardize assurance attributes."}, {"id": "GOV-19.1_GOV-19.1_A02", "name": "assessment-objective", "prose": "Assurance Levels (AL) define depth criteria to addresses the rigor and level of detail of an assessment."}, {"id": "GOV-19.1_GOV-19.1_A03", "name": "assessment-objective", "prose": "Assurance Levels (AL) define coverage criteria to address the scope and breadth of an assessment."}]} \N \N \N \N +SCF:GOV-19.2 SCF GOV-19.2 Assessment Objectives (AO) Mechanisms exist to utilize defined Assessment Objectives (AO) to assess the implementation of requirements, when available. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security, Compliance & Resilience Governance", "assessment_objective": [{"id": "GOV-19.2_GOV-19.2_A01", "name": "assessment-objective", "prose": "defined Assessment Objectives (AO) are identified."}, {"id": "GOV-19.2_GOV-19.2_A02", "name": "assessment-objective", "prose": "AOs are used to assess the implementation of requirements, when available."}]} \N \N \N \N +SCF:AAT-01 SCF AAT-01 Artificial Intelligence (AI) & Autonomous Technologies Governance Mechanisms exist to ensure policies, processes, procedures and practices related to the mapping, measuring and managing of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks are in place, transparent and implemented effectively. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-01_AAT-01_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific policies, standards and procedures are developed and documented."}, {"id": "AAT-01_AAT-01_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific policies, standards and procedures are implemented effectively."}, {"id": "AAT-01_AAT-01_A03", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "AAT-01_AAT-01_A04", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Artificial Intelligence (AI) and Autonomous Technologies (AAT) operations."}, {"id": "AAT-01_AAT-01_A05", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related activities are assigned to designated personnel."}, {"id": "AAT-01_AAT-01_A06", "name": "assessment-objective", "prose": "personnel performing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:AAT-01.1 SCF AAT-01.1 AI & Autonomous Technologies-Related Legal Requirements Definition Mechanisms exist to identify, understand, document and manage applicable statutory and regulatory requirements for Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-01.1_AAT-01.1_A01", "name": "assessment-objective", "prose": "the organization analyzes its business practices to determine applicable statutory, regulatory and/or contractual obligations for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-01.2 SCF AAT-01.2 Trustworthy AI & Autonomous Technologies Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed to be reliable, safe, fair, secure, resilient, transparent, explainable and data privacy-enhanced to minimize emergent properties or unintended consequences. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-01.2_AAT-01.2_A01", "name": "assessment-objective", "prose": "secure engineering principles are defined."}, {"id": "AAT-01.2_AAT-01.2_A02", "name": "assessment-objective", "prose": "privacy engineering principles are defined."}]} \N \N \N \N +SCF:AAT-01.3 SCF AAT-01.3 AI & Autonomous Technologies Value Sustainment Mechanisms exist to sustain the value of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-01.3_AAT-01.3_A01", "name": "assessment-objective", "prose": "the organization analyzes its business practices for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-01.3_AAT-01.3_A02", "name": "assessment-objective", "prose": "the organization continuously improves its business practices to sustain the value of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-01.4 SCF AAT-01.4 AI Model & Agent Inventory & Lifecycle Management Mechanisms exist to track the lifecycle of all AI models and AI agents, including ownership, intended purpose and status across:\r\n(1) Development;\r\n(2) Deployment;\r\n(3) Updates; and\r\n(4) Decommissioning. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-01.4_AAT-01.4_A01", "name": "assessment-objective", "prose": "the organization tracks AI models and AI agents deployed in development environments that captures:\\r\\n(1) ownership\\r\\n(2) intended purpose; and \\r\\n(3) status."}, {"id": "AAT-01.4_AAT-01.4_A02", "name": "assessment-objective", "prose": "the organization tracks AI models and AI agents deployed in production environments that captures:\\r\\n(1) ownership\\r\\n(2) intended purpose; and \\r\\n(3) status."}, {"id": "AAT-01.4_AAT-01.4_A03", "name": "assessment-objective", "prose": "the organization tracks AI models and AI agents updates that captures:\\r\\n(1) ownership\\r\\n(2) intended purpose; and \\r\\n(3) status."}, {"id": "AAT-01.4_AAT-01.4_A04", "name": "assessment-objective", "prose": "the organization tracks decommissioned AI models and AI agents that captures:\\r\\n(1) ownership;\\r\\n(2) intended purpose; and\\r\\n(3) date of decommissioning."}]} \N \N \N \N +SCF:AAT-02 SCF AAT-02 Situational Awareness of AI & Autonomous Technologies Mechanisms exist to develop and maintain an inventory of Artificial Intelligence (AI) and Autonomous Technologies (AAT) (internal and third-party). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-02_AAT-02_A01", "name": "assessment-objective", "prose": "an inventory of systems and system components that is at the level of granularity deemed necessary for tracking and reporting is documented."}]} \N \N \N \N +SCF:AAT-02.1 SCF AAT-02.1 AI & Autonomous Technologies Risk Mapping Mechanisms exist to identify Artificial Intelligence (AI) and Autonomous Technologies (AAT) in use and map those components to potential legal risks, including statutory and regulatory compliance requirements. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-02.1_AAT-02.1_A01", "name": "assessment-objective", "prose": "a risk catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific risks is documented."}, {"id": "AAT-02.1_AAT-02.1_A02", "name": "assessment-objective", "prose": "a compliance catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific laws, regulations and contractual obligations are documented."}, {"id": "AAT-02.1_AAT-02.1_A03", "name": "assessment-objective", "prose": "the organization maps its risk catalog to its compliance catalog for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-02.2 SCF AAT-02.2 AI & Autonomous Technologies Internal Controls Mechanisms exist to identify and document internal security, compliance and resilience for Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-02.2_AAT-02.2_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to select required cybersecurity / data privacy controls for Artificial Intelligence (AI) and Autonomous Technologies (AAT) under their control."}, {"id": "AAT-02.2_AAT-02.2_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners operationalized cybersecurity / data privacy practices for Artificial Intelligence (AI) and Autonomous Technologies (AAT) under their control."}]} \N \N \N \N +SCF:AAT-02.3 SCF AAT-02.3 Adequate Protections For AI & Autonomous Technologies Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) include reasonable security, compliance and resilience protections that are commensurate with assessed risks and threats. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-02.3_AAT-02.3_A01", "name": "assessment-objective", "prose": "risks and threats for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are identified."}, {"id": "AAT-02.3_AAT-02.3_A02", "name": "assessment-objective", "prose": "reasonable cybersecurity and data protections that are commensurate with assessed risks and threats for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are defined."}, {"id": "AAT-02.3_AAT-02.3_A03", "name": "assessment-objective", "prose": "reasonable cybersecurity and data protections that are commensurate with assessed risks and threats for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are implemented."}]} \N \N \N \N +SCF:AAT-02.4 SCF AAT-02.4 AI Threat Modeling & Risk Assessment Mechanisms exist to conduct Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific threat modeling and risk assessments to address the following criteria across the lifecycle of the AAT:\r\n(1) Attack surfaces;\r\n(2) Adversarial threats; and \r\n(3) Abuse / misuse scenarios. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-02.4_AAT-02.4_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific threat modeling addresses the following criteria across the lifecycle of the AAT:\\r\\n(1) Attack surfaces;\\r\\n(2) Adversarial threats; and \\r\\n(3) Abuse / misuse scenarios."}, {"id": "AAT-02.4_AAT-02.4_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific risk assessments address the following criteria across the lifecycle of the AAT:\\r\\n(1) Attack surfaces;\\r\\n(2) Adversarial threats; and \\r\\n(3) Abuse / misuse scenarios."}]} \N \N \N \N +SCF:AAT-03 SCF AAT-03 AI & Autonomous Technologies Context Definition Mechanisms exist to establish and document the context surrounding Artificial Intelligence (AI) and Autonomous Technologies (AAT), including:\r\n(1) Intended purposes;\r\n(2) Potentially beneficial uses;\r\n(3) Context-specific laws and regulations;\r\n(4) Norms and expectations; and\r\n(5) Prospective settings in which the system(s) will be deployed. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-03_AAT-03_A01", "name": "assessment-objective", "prose": "the context for the intended purpose(s) for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}, {"id": "AAT-03_AAT-03_A02", "name": "assessment-objective", "prose": "the context for the potentially beneficial use(s) for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}, {"id": "AAT-03_AAT-03_A03", "name": "assessment-objective", "prose": "the context for the legal and regulatory compliance for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}, {"id": "AAT-03_AAT-03_A04", "name": "assessment-objective", "prose": "the context for the norms and expectations for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}, {"id": "AAT-03_AAT-03_A05", "name": "assessment-objective", "prose": "the context for the proposed deployment setting(s) for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}]} \N \N \N \N +SCF:AAT-03.1 SCF AAT-03.1 AI & Autonomous Technologies Mission and Goals Definition Mechanisms exist to define and document the organization's mission and defined goals for Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-03.1_AAT-03.1_A01", "name": "assessment-objective", "prose": "the mission for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is clearly documented."}, {"id": "AAT-03.1_AAT-03.1_A02", "name": "assessment-objective", "prose": "the relevant goals for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are clearly documented."}]} \N \N \N \N +SCF:AAT-03.2 SCF AAT-03.2 Model & AI Agent Documentation Mechanisms exist to create, maintain and provide access to documentation artifacts for AI models and agents, including:\r\n(1) Data lineage;\r\n(2) Intended use; and \r\n(3) Limitations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-03.2_AAT-03.2_A01", "name": "assessment-objective", "prose": "AI model and agent-related documentation artifacts for data lineage is created, maintained and accessible."}, {"id": "AAT-03.2_AAT-03.2_A02", "name": "assessment-objective", "prose": "AI model and agent-related documentation artifacts for intended use is created, maintained and accessible."}, {"id": "AAT-03.2_AAT-03.2_A03", "name": "assessment-objective", "prose": "AI model and agent-related documentation artifacts for limitations is created, maintained and accessible."}]} \N \N \N \N +SCF:AAT-04 SCF AAT-04 AI & Autonomous Technologies Business Case Mechanisms exist to benchmark capabilities, targeted usage, goals and expected benefits and costs of Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-04_AAT-04_A01", "name": "assessment-objective", "prose": "capabilities for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are benchmarked."}, {"id": "AAT-04_AAT-04_A02", "name": "assessment-objective", "prose": "targeted usage for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is benchmarked."}, {"id": "AAT-04_AAT-04_A03", "name": "assessment-objective", "prose": "goals for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are benchmarked."}, {"id": "AAT-04_AAT-04_A04", "name": "assessment-objective", "prose": "expected benefits for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are benchmarked."}, {"id": "AAT-04_AAT-04_A05", "name": "assessment-objective", "prose": "expected costs for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are benchmarked."}]} \N \N \N \N +SCF:AAT-04.4 SCF AAT-04.4 AI & Autonomous Technologies Cost / Benefit Mapping Mechanisms exist to map risks and benefits for all components of Artificial Intelligence (AI) and Autonomous Technologies (AAT), including third-party software and data. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-04.4_AAT-04.4_A01", "name": "assessment-objective", "prose": "a risk catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific risks is documented."}, {"id": "AAT-04.4_AAT-04.4_A02", "name": "assessment-objective", "prose": "a compliance catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific laws, regulations and contractual obligations are documented."}, {"id": "AAT-04.4_AAT-04.4_A03", "name": "assessment-objective", "prose": "a Third-Party Service Provider (TSP) catalog that includes Software as a Service (SaaS) is documented."}, {"id": "AAT-04.4_AAT-04.4_A04", "name": "assessment-objective", "prose": "the organization maps its risk catalog across its compliance and Third-Party Service Provider (TSP) catalog for Artificial Intelligence (AI) and Autonomous Technologies (AAT) to determine the scope and potential impact of AAT-related risks."}]} \N \N \N \N +SCF:AAT-05 SCF AAT-05 AI & Autonomous Technologies Training Mechanisms exist to ensure personnel and external stakeholders are provided with position-specific risk management training for Artificial Intelligence (AI) and Autonomous Technologies (AAT). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-05_AAT-05_A01", "name": "assessment-objective", "prose": "roles and responsibilities for role-based cybersecurity / data privacy training are defined for Artificial Intelligence (AI) and Autonomous Technologies (AAT) internal and external stakeholders."}, {"id": "AAT-05_AAT-05_A02", "name": "assessment-objective", "prose": "the frequency at which to provide role-based cybersecurity / data privacy training to Artificial Intelligence (AI) and Autonomous Technologies (AAT) stakeholders after initial training is defined."}, {"id": "AAT-05_AAT-05_A03", "name": "assessment-objective", "prose": "events that require role-based training content for Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be updated are defined."}, {"id": "AAT-05_AAT-05_A04", "name": "assessment-objective", "prose": "role-based privacy training is provided to organization-defined roles and responsibilities before authorizing access to Artificial Intelligence (AI) and Autonomous Technologies (AAT) or performing assigned duties."}, {"id": "AAT-05_AAT-05_A05", "name": "assessment-objective", "prose": "role-based cybersecurity / data privacy training for Artificial Intelligence (AI) and Autonomous Technologies (AAT) is provided upon hire and per an organization-defined frequency thereafter."}]} \N \N \N \N +SCF:AAT-06 SCF AAT-06 AI & Autonomous Technologies Fairness & Bias Mechanisms exist to prevent Artificial Intelligence (AI) and Autonomous Technologies (AAT) from unfairly identifying, profiling and/or statistically singling out a segmented population defined by race, religion, gender identity, national origin, religion, disability or any other politically-charged identifier. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-06_AAT-06_A01", "name": "assessment-objective", "prose": "a documented methodology prioritizes workforce diversity, equity, inclusion and accessibility processes in the mapping, measuring and managing of Artificial Intelligence (AI)-related risks throughout the AAT lifecycle."}]} \N \N \N \N +SCF:AAT-07 SCF AAT-07 AI & Autonomous Technologies Risk Management Decisions Mechanisms exist to leverage decision makers from a diversity of demographics, disciplines, experience, expertise and backgrounds for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-07_AAT-07_A01", "name": "assessment-objective", "prose": "the organization leverages decision makers from a diversity of demographics for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks leverage personnel"}, {"id": "AAT-07_AAT-07_A02", "name": "assessment-objective", "prose": "the organization leverages decision makers from a diversity of disciplines for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks leverage personnel"}, {"id": "AAT-07_AAT-07_A03", "name": "assessment-objective", "prose": "the organization leverages decision makers from a diversity of experience for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks leverage personnel"}, {"id": "AAT-07_AAT-07_A04", "name": "assessment-objective", "prose": "the organization leverages decision makers from a diversity of expertise for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks leverage personnel"}, {"id": "AAT-07_AAT-07_A05", "name": "assessment-objective", "prose": "the organization leverages decision makers from a diversity of backgrounds for mapping, measuring and managing Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks leverage personnel"}]} \N \N \N \N +SCF:AAT-07.1 SCF AAT-07.1 AI & Autonomous Technologies Impact Assessment Mechanisms exist to assess the impact(s) of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on individuals, groups, communities, organizations and society (e.g., Fundamental Rights Impact Assessment (FRIA)). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-07.1_AAT-07.1_A01", "name": "assessment-objective", "prose": "the organization characterizes the impacts of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on individuals."}, {"id": "AAT-07.1_AAT-07.1_A02", "name": "assessment-objective", "prose": "the organization characterizes the impact of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on groups."}, {"id": "AAT-07.1_AAT-07.1_A03", "name": "assessment-objective", "prose": "the organization characterizes the impact of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on communities"}, {"id": "AAT-07.1_AAT-07.1_A04", "name": "assessment-objective", "prose": "the organization characterizes the impact of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on organizations."}, {"id": "AAT-07.1_AAT-07.1_A05", "name": "assessment-objective", "prose": "the organization characterizes the impact of proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT) on society."}]} \N \N \N \N +SCF:AAT-08 SCF AAT-08 Assigned Responsibilities for AI & Autonomous Technologies Mechanisms exist to define and differentiate roles and responsibilities for:\r\n(1) Artificial Intelligence (AI) and Autonomous Technologies (AAT) configurations; and\r\n(2) Oversight of AAT systems. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-08_AAT-08_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy roles and responsibilities are incorporated into organizational position descriptions."}, {"id": "AAT-08_AAT-08_A02", "name": "assessment-objective", "prose": "users are formally made aware of their roles and responsibilities to maintain a safe and secure working environment."}, {"id": "AAT-08_AAT-08_A03", "name": "assessment-objective", "prose": "acknowledgement of user awareness is maintained by the organization."}, {"id": "AAT-08_AAT-08_A04", "name": "assessment-objective", "prose": "the frequency at which to review / update position risk designations is defined."}, {"id": "AAT-08_AAT-08_A05", "name": "assessment-objective", "prose": "a risk designation is assigned to all organizational positions."}]} \N \N \N \N +SCF:AAT-09 SCF AAT-09 AI & Autonomous Technologies Risk Profiling Mechanisms exist to document the risks and potential impacts of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that are:\r\n(1) Designed;\r\n(2) Developed;\r\n(3) Deployed;\r\n(4) Evaluated; and/or\r\n(5) Used. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-09_AAT-09_A01", "name": "assessment-objective", "prose": "a risk catalog of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-specific risks is documented."}, {"id": "AAT-09_AAT-09_A02", "name": "assessment-objective", "prose": "the organization maps its risk catalog, including potential impacts, to instances where Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed, developed, deployed, evaluated and used."}]} \N \N \N \N +SCF:AAT-09.1 SCF AAT-09.1 AI & Autonomous Technologies High Risk Designations Mechanisms exist to designate Artificial Intelligence (AI) and Autonomous Technologies (AAT) "High Risk" if one(1), or more, of the following criteria are met:\r\n(1) AAT is used as a safety component of a product or service;\r\n(2) AAT poses a significant risk of harm to an individual's health, safety or fundamental rights; and/or\r\n(3) AAT materially influences the outcome of an individual's decision making. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-09.1_AAT-09.1_A01", "name": "assessment-objective", "prose": "the organization assesses the risk associated with Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-09.1_AAT-09.1_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designated as \\"High Risk\\" if one(1), or more, of the follow criteria are met:\\r\\n(1) AAT is used as a safety component of a product or service;\\r\\n(2) AAT poses a significant risk of harm to an individual's health, safety or fundamental rights; and/or\\r\\n(3) AAT materially influences the outcome of an individual's decision making."}]} \N \N \N \N +SCF:AAT-10 SCF AAT-10 Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) Mechanisms exist to implement Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) practices to enable Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related security, resilience and compliance-related conformity testing throughout the lifecycle of the AAT. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10_AAT-10_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability is organization-wide."}, {"id": "AAT-10_AAT-10_A02", "name": "assessment-objective", "prose": "a process is implemented to ensure that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems are developed."}, {"id": "AAT-10_AAT-10_A03", "name": "assessment-objective", "prose": "a process is implemented to ensure that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems are maintained."}, {"id": "AAT-10_AAT-10_A04", "name": "assessment-objective", "prose": "a process is implemented to ensure that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems continue to be executed."}, {"id": "AAT-10_AAT-10_A05", "name": "assessment-objective", "prose": "the authorization processes are integrated into an organization-wide risk management program."}]} \N \N \N \N +SCF:AAT-10.1 SCF AAT-10.1 AI TEVV Trustworthiness Assessment Mechanisms exist to evaluate Artificial Intelligence (AI) and Autonomous Technologies (AAT) for trustworthy behavior and operation including security, anonymization and disaggregation of captured and stored data for approved purposes. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.1_AAT-10.1_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability evaluates Artificial Intelligence (AI) and Autonomous Technologies (AAT) for trustworthy characteristics."}]} \N \N \N \N +SCF:AAT-10.2 SCF AAT-10.2 AI TEVV Tools Mechanisms exist to document test sets, metrics and details about the tools used during Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) practices. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.2_AAT-10.2_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability documents test sets used during AI TEVV."}, {"id": "AAT-10.2_AAT-10.2_A02", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability documents metrics used during AI TEVV."}, {"id": "AAT-10.2_AAT-10.2_A03", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability documents details about the tools used during AI TEVV."}]} \N \N \N \N +SCF:AAT-10.4 SCF AAT-10.4 AI TEVV Safety Demonstration Mechanisms exist to demonstrate the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed are safe, residual risk does not exceed the organization's risk tolerance and can fail safely, particularly if made to operate beyond its knowledge limits. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.4_AAT-10.4_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability demonstrates the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed is safe"}, {"id": "AAT-10.4_AAT-10.4_A02", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability demonstrates residual, negative risk from Artificial Intelligence (AI) and Autonomous Technologies (AAT) does not exceed the organization's risk tolerance and can fail safely, particularly if made to operate beyond its knowledge limits."}, {"id": "AAT-10.4_AAT-10.4_A03", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability demonstrates Artificial Intelligence (AI) and Autonomous Technologies (AAT) can fail safely, particularly if made to operate beyond its knowledge limits."}]} \N \N \N \N +SCF:AAT-10.5 SCF AAT-10.5 AI TEVV Security & Resiliency Assessment Mechanisms exist to evaluate the security and resilience of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.5_AAT-10.5_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability evaluates the security of the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed."}, {"id": "AAT-10.5_AAT-10.5_A02", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability evaluates the resilience of the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed."}]} \N \N \N \N +SCF:AAT-10.6 SCF AAT-10.6 AI TEVV Transparency & Accountability Assessment Mechanisms exist to examine risks associated with transparency and accountability of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.6_AAT-10.6_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability is integrated into an organization-wide risk management program."}, {"id": "AAT-10.6_AAT-10.6_A02", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability examines risks associated with transparency and accountability of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed."}]} \N \N \N \N +SCF:AAT-10.7 SCF AAT-10.7 AI TEVV Privacy Assessment Mechanisms exist to examine the data privacy risk of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.7_AAT-10.7_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes a Data Protection Impact Assessment (DPIA) to identify and remediate reasonably-expected risks to Personal Data (PD)."}]} \N \N \N \N +SCF:AAT-10.8 SCF AAT-10.8 AI TEVV Fairness & Bias Assessment Mechanisms exist to examine fairness and bias of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.8_AAT-10.8_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes examining fairness and bias of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed."}]} \N \N \N \N +SCF:AAT-10.9 SCF AAT-10.9 AI & Autonomous Technologies Model Validation Mechanisms exist to validate the Artificial Intelligence (AI) and Autonomous Technologies (AAT) model. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.9_AAT-10.9_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes validating the engineering model used in the design of the Artificial Intelligence (AI) and Autonomous Technologies (AAT) to be deployed."}]} \N \N \N \N +SCF:AAT-10.10 SCF AAT-10.10 AI TEVV Results Evaluation Mechanisms exist to evaluate the results of Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) to determine the viability of the proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.10_AAT-10.10_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes a determination on the viability of the proposed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-10.11 SCF AAT-10.11 AI TEVV Effectiveness Mechanisms exist to evaluate the effectiveness of the processes utilized to perform Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.11_AAT-10.11_A01", "name": "assessment-objective", "prose": "After Action Reviews (AARs), or similar lessons learned exercises, are conducted after each Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) cycle to evaluate the effectiveness of the AI TEVV processes."}]} \N \N \N \N +SCF:AAT-10.12 SCF AAT-10.12 AI TEVV Comparable Deployment Settings Mechanisms exist to evaluate Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related performance or the assurance criteria demonstrated for conditions similar to deployment settings. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.12_AAT-10.12_A01", "name": "assessment-objective", "prose": "results from Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) findings are evaluated against Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related performance demonstrated for conditions similar to deployment settings."}, {"id": "AAT-10.12_AAT-10.12_A02", "name": "assessment-objective", "prose": "results from Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) findings are evaluated against Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related assurance criteria demonstrated for conditions similar to deployment settings."}]} \N \N \N \N +SCF:AAT-10.13 SCF AAT-10.13 AI TEVV Post-Deployment Monitoring Mechanisms exist to proactively and continuously monitor deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.13_AAT-10.13_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability includes proactive and continuous monitoring of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-10.14 SCF AAT-10.14 Updating AI & Autonomous Technologies Mechanisms exist to integrate continual improvements for deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.14_AAT-10.14_A01", "name": "assessment-objective", "prose": "the organization's Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) capability integrates continual improvements for deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-10.15 SCF AAT-10.15 AI TEVV Reporting Mechanisms exist to report the status and results of Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) to relevant stakeholders, including governing bodies, as required. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.15_AAT-10.15_A01", "name": "assessment-objective", "prose": "results from Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) are documented."}, {"id": "AAT-10.15_AAT-10.15_A02", "name": "assessment-objective", "prose": "the status and results of Artificial Intelligence Test, Evaluation, Validation & Verification (AI TEVV) are reported to relevant stakeholders, including governing bodies, as required."}]} \N \N \N \N +SCF:AAT-10.16 SCF AAT-10.16 AI TEVV Empirically Validated Methods Mechanisms exist to evaluate claims of Artificial Intelligence (AI) and Autonomous Technologies (AAT) model capabilities using empirically validated methods. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.16_AAT-10.16_A01", "name": "assessment-objective", "prose": "an empirically validated methods to evaluate claims of Artificial Intelligence (AI) and Autonomous Technologies (AAT) model capabilities is defined."}, {"id": "AAT-10.16_AAT-10.16_A02", "name": "assessment-objective", "prose": "the organization evaluates claims of Artificial Intelligence (AI) and Autonomous Technologies (AAT) model capabilities using an organization-defined empirically validated method."}]} \N \N \N \N +SCF:AAT-10.17 SCF AAT-10.17 AI TEVV Benchmarking Content Provenance Mechanisms exist to benchmark the verifiable lineage and origin of content used by Artificial Intelligence (AI) and Autonomous Technologies (AAT) according to industry-recognized standards. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.17_AAT-10.17_A01", "name": "assessment-objective", "prose": "a method to benchmark the verifiable lineage and origin of content used by Artificial Intelligence (AI) and Autonomous Technologies (AAT) according to industry-recognized standards is defined."}, {"id": "AAT-10.17_AAT-10.17_A02", "name": "assessment-objective", "prose": "the organization benchmarks the verifiable lineage and origin of content used by Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-10.18 SCF AAT-10.18 AI TEVV Model Collapse Mitigations Mechanisms exist to mitigate concerns of model collapse by:\r\n(1) Assessing the proportion of synthetic to non-synthetic training data; and\r\n(2) Verifying training data is not overly homogenous or Artificial Intelligence (AI) and Autonomous Technologies (AAT) system-produced. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.18_AAT-10.18_A01", "name": "assessment-objective", "prose": "the organization mitigates concerns of model collapse by assessing the proportion of synthetic to non-synthetic training data."}, {"id": "AAT-10.18_AAT-10.18_A02", "name": "assessment-objective", "prose": "the organization mitigates concerns of model collapse by verifying training data is not overly homogenous or Artificial Intelligence (AI) and Autonomous Technologies (AAT) system-produced."}]} \N \N \N \N +SCF:AAT-10.19 SCF AAT-10.19 AI TEVV Third-Party Risk Management Mechanisms exist to assess, approve and continuously monitor third-party Artificial Intelligence (AI) and Autonomous Technologies (AAT):\r\n(1) Components;\r\n(2) Application Programming Interfaces (APIs); and/or\r\n(3) Services used by AI agents for security, privacy and compliance. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-10.19_AAT-10.19_A01", "name": "assessment-objective", "prose": "Third-party Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related components are assessed, approved and continuously monitored."}, {"id": "AAT-10.19_AAT-10.19_A02", "name": "assessment-objective", "prose": "Third-party Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related Application Programming Interfaces (APIs) are assessed, approved and continuously monitored."}, {"id": "AAT-10.19_AAT-10.19_A03", "name": "assessment-objective", "prose": "Third-party Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related services used by AI agents for security, privacy and compliance are assessed, approved and continuously monitored."}]} \N \N \N \N +SCF:AAT-11 SCF AAT-11 Robust Stakeholder Engagement for AI & Autonomous Technologies Mechanisms exist to compel ongoing engagement with relevant Artificial Intelligence (AI) and Autonomous Technologies (AAT) stakeholders to encourage feedback about positive, negative and unanticipated impacts. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-11_AAT-11_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to compel robust, ongoing engagement with relevant Artificial Intelligence (AI) and Autonomous Technologies (AAT) stakeholders to encourage feedback about positive, negative and unanticipated impacts."}, {"id": "AAT-11_AAT-11_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners conducted engagement with relevant Artificial Intelligence (AI) and Autonomous Technologies (AAT) stakeholders to encourage feedback about positive, negative and unanticipated impacts."}]} \N \N \N \N +SCF:AAT-11.1 SCF AAT-11.1 AI & Autonomous Technologies Stakeholder Feedback Integration Mechanisms exist to regularly collect, consider, prioritize and integrate risk-related feedback from those external to the team that developed or deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-11.1_AAT-11.1_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to regularly collect, consider, prioritize and integrate risk-related feedback from those external to the team that developed or deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-11.1_AAT-11.1_A02", "name": "assessment-objective", "prose": "Individual Contributor (IC) performance reviews cover how data and/or process owners regularly collected, considered, prioritized and integrated risk-related feedback on Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-11.2 SCF AAT-11.2 AI & Autonomous Technologies Ongoing Assessments Mechanisms exist to conduct regular assessments of Artificial Intelligence (AI) and Autonomous Technologies (AAT) with independent assessors and stakeholders not involved in the development of the AAT. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-11.2_AAT-11.2_A01", "name": "assessment-objective", "prose": "independent assessors and/or internal stakeholders, who did not serve as front-line developers, are utilized for regular assessments and updates of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-11.3 SCF AAT-11.3 AI & Autonomous Technologies End User Feedback Mechanisms exist to collect and integrate feedback from end users and impacted communities into Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related system evaluation metrics. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-11.3_AAT-11.3_A01", "name": "assessment-objective", "prose": "the organization collects feedback from end users and impacted communities into Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related system evaluation metrics."}, {"id": "AAT-11.3_AAT-11.3_A02", "name": "assessment-objective", "prose": "evaluation metrics from end users and impacted communities are integrated into Artificial Intelligence (AI) and Autonomous Technologies (AAT) developments."}]} \N \N \N \N +SCF:AAT-11.4 SCF AAT-11.4 AI & Autonomous Technologies Incident & Error Reporting Mechanisms exist to communicate Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related incidents and/or errors to relevant stakeholders, including affected communities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-11.4_AAT-11.4_A01", "name": "assessment-objective", "prose": "pertinent information from Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related incidents and/or errors are communicated to relevant stakeholders, including affected communities."}]} \N \N \N \N +SCF:AAT-12 SCF AAT-12 AI & Autonomous Technologies Intellectual Property Infringement Protections Mechanisms exist to prevent third-party Intellectual Property (IP) rights infringement by Artificial Intelligence (AI) and Autonomous Technologies (AAT). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-12_AAT-12_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, evaluates business practices that want to or currently use Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-12_AAT-12_A02", "name": "assessment-objective", "prose": "measures exist for the executive steering committee, or advisory board, to proactively identify and evaluate third-party Intellectual Property (IP) infringement risks from Artificial Intelligence (AI) and Autonomous Technologies (AAT) usage."}, {"id": "AAT-12_AAT-12_A03", "name": "assessment-objective", "prose": "actions are taken to prevent and/or block Artificial Intelligence (AI) and Autonomous Technologies (AAT) capabilities that infringe upon another party's Intellectual Property (IP)."}]} \N \N \N \N +SCF:AAT-12.1 SCF AAT-12.1 Data Source Identification Mechanisms exist to identify and document data sources utilized in the training and/or operation of Artificial Intelligence and Autonomous Technologies (AAT). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-12.1_AAT-12.1_A01", "name": "assessment-objective", "prose": "data sources utilized in the training and/or operation of Artificial Intelligence and Autonomous Technologies (AAT) are documented."}]} \N \N \N \N +SCF:AAT-16.2 SCF AAT-16.2 Measuring AI & Autonomous Technologies Effectiveness Mechanisms exist to regularly assess the effectiveness of existing security, compliance and resilience controls, including reports of errors and potential impacts on affected communities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.2_AAT-16.2_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are regularly assessed for errors and potential impacts on affected communities."}]} \N \N \N \N +SCF:AAT-13.1 SCF AAT-13.1 AI & Autonomous Technologies Stakeholder Competencies Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related operator and practitioner proficiency requirements for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are defined, assessed and documented. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-13.1_AAT-13.1_A01", "name": "assessment-objective", "prose": "roles and responsibilities exist to compel data and/or process owners to be proficient in Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-13.1_AAT-13.1_A02", "name": "assessment-objective", "prose": "the organization routinely assesses Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related operator and practitioner proficiency requirements."}, {"id": "AAT-13.1_AAT-13.1_A03", "name": "assessment-objective", "prose": "roles and responsibilities are updated as Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related operator and practitioner proficiency requirements evolve."}]} \N \N \N \N +SCF:AAT-14 SCF AAT-14 AI & Autonomous Technologies Requirements Definitions Mechanisms exist to take socio-technical implications into account to address risks associated with Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-14_AAT-14_A01", "name": "assessment-objective", "prose": "the organization takes socio-technical implications into account to address risks associated with Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-14.1 SCF AAT-14.1 AI & Autonomous Technologies Implementation Tasks Definition Mechanisms exist to define the tasks that Artificial Intelligence (AI) and Autonomous Technologies (AAT) will support (e.g., classifiers, generative models, recommenders). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-14.1_AAT-14.1_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related stakeholders define the tasks that AAT will support (e.g., classifiers, generative models, recommenders)."}]} \N \N \N \N +SCF:AAT-14.2 SCF AAT-14.2 AI & Autonomous Technologies Knowledge Limits Mechanisms exist to identify and document knowledge limits of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to provide sufficient information to assist relevant stakeholder decision making. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-14.2_AAT-14.2_A01", "name": "assessment-objective", "prose": "the knowledge limits of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are identified and documented."}, {"id": "AAT-14.2_AAT-14.2_A02", "name": "assessment-objective", "prose": "stakeholders are provided the knowledge limits of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to assist in decision making."}]} \N \N \N \N +SCF:AAT-15 SCF AAT-15 AI & Autonomous Technologies Viability Decisions Mechanisms exist to define the criteria as to whether Artificial Intelligence (AI) and Autonomous Technologies (AAT) achieved intended purposes and stated objectives to determine whether its development or deployment should proceed. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-15_AAT-15_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines criteria as to whether Artificial Intelligence (AI) and Autonomous Technologies (AAT) achieved intended purposes and stated objectives."}, {"id": "AAT-15_AAT-15_A02", "name": "assessment-objective", "prose": "measures exist for the executive steering committee, or advisory board, to determine whether Artificial Intelligence (AI) and Autonomous Technologies (AAT) development or deployment should proceed."}]} \N \N \N \N +SCF:AAT-15.1 SCF AAT-15.1 AI & Autonomous Technologies Negative Residual Risks Mechanisms exist to identify and document negative, residual risks (defined as the sum of all unmitigated risks) to both downstream acquirers and end users of Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-15.1_AAT-15.1_A01", "name": "assessment-objective", "prose": "residual risks (defined as the sum of all unmitigated risks) to both downstream acquirers and end users of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are identified."}, {"id": "AAT-15.1_AAT-15.1_A02", "name": "assessment-objective", "prose": "residual risks (defined as the sum of all unmitigated risks) to both downstream acquirers and end users of Artificial Intelligence (AI) and Autonomous Technologies (AAT) documented in a Plan of Action & Milestones (POA&M), or similar risk register."}]} \N \N \N \N +SCF:AAT-15.2 SCF AAT-15.2 Responsibility To Supersede, Deactivate and/or Disengage AI & Autonomous Technologies Mechanisms exist to define the criteria and responsible party(ies) for superseding, disengaging or deactivating Artificial Intelligence (AI) and Autonomous Technologies (AAT) that demonstrate performance or outcomes inconsistent with intended use. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-15.2_AAT-15.2_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines criteria for superseding, disengaging or deactivating Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-15.2_AAT-15.2_A02", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, assigns responsibility to responsible party(ies) for superseding, disengaging or deactivating Artificial Intelligence (AI) and Autonomous Technologies (AAT) when designated criteria are demonstrated."}]} \N \N \N \N +SCF:AAT-16 SCF AAT-16 AI & Autonomous Technologies Production Monitoring Mechanisms exist to monitor the functionality and behavior of the deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16_AAT-16_A01", "name": "assessment-objective", "prose": "responsible party(ies) monitor the functionality and behavior of deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) for anomalous performance or outcomes inconsistent with intended use."}]} \N \N \N \N +SCF:AAT-16.8 SCF AAT-16.8 AI & Autonomous Technologies Event Logging Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) system event logging capabilities at a minimum provide:\r\n(1) Start date, start time, end date and end time for each use;\r\n(2) Database(s) against which input data has been checked by the system;\r\n(3) Input data for which the search has led to a match; and\r\n(4) Identification of individual(s) involved in the verification of the results. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.8_AAT-16.8_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) system event logging capabilities are configured to provide start date, start time, end date and end time for each use."}, {"id": "AAT-16.8_AAT-16.8_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) system event logging capabilities are configured to provide database(s) against which input data has been checked by the system."}, {"id": "AAT-16.8_AAT-16.8_A03", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) system event logging capabilities are configured to provide input data for which the search has led to a match."}, {"id": "AAT-16.8_AAT-16.8_A04", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) system event logging capabilities are configured to provide identification of individual(s) involved in the verification of the results."}]} \N \N \N \N +SCF:AAT-16.9 SCF AAT-16.9 Serious Incident Reporting For AI & Autonomous Technologies Mechanisms exist to report any serious incident involving operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) to relevant authorities as to when and where the serious incident occurred, in accordance with mandated reporting timelines. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.9_AAT-16.9_A01", "name": "assessment-objective", "prose": "criteria to define a \\"serious incident\\" involving operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) is defined."}, {"id": "AAT-16.9_AAT-16.9_A02", "name": "assessment-objective", "prose": "the organization report any serious incident involving operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) to relevant authorities as to when and where the serious incident occurred, in accordance with mandated reporting timelines."}]} \N \N \N \N +SCF:AAT-16.10 SCF AAT-16.10 Serious Incident Root Cause Analysis (RCA) For AI & Autonomous Technologies Mechanisms exist to perform an investigation when there is a serious incident involving operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) that documents a:\r\n(1) Root Cause Analysis (RCA);\r\n(2) Risk assessment of the incident; and \r\n(3) Description of corrective actions taken, including measures implemented to prevent a recurrence of the incident. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.10_AAT-16.10_A01", "name": "assessment-objective", "prose": "investigations for a \\"serious incident\\" of operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) documents a Root Cause Analysis (RCA)."}, {"id": "AAT-16.10_AAT-16.10_A02", "name": "assessment-objective", "prose": "investigations for a \\"serious incident\\" of operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) documents a risk assessment of the incident."}, {"id": "AAT-16.10_AAT-16.10_A03", "name": "assessment-objective", "prose": "investigations for a \\"serious incident\\" of operational Artificial Intelligence (AI) and Autonomous Technologies (AAT) documents a description of corrective actions taken, including measures implemented to prevent a recurrence of the incident."}]} \N \N \N \N +SCF:AAT-16.11 SCF AAT-16.11 Anomaly Detection & Human Oversight Mechanisms exist to analyze anomalous Artificial Intelligence (AI) and Autonomous Technologies (AAT) behavior and provide escalation paths for human oversight, including:\r\n(1) Real-time review; and\r\n(2) Intervention. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.11_AAT-16.11_A01", "name": "assessment-objective", "prose": "a real-time review feature allows personnel to analyze anomalous Artificial Intelligence (AI) and Autonomous Technologies (AAT) behavior and provide escalation paths."}, {"id": "AAT-16.11_AAT-16.11_A02", "name": "assessment-objective", "prose": "escalation paths enable human intervention to address AAT anomalies."}]} \N \N \N \N +SCF:AAT-16.12 SCF AAT-16.12 Human-in-the-Loop & Escalation Mechanisms exist to require human review and clear escalation paths for approval for high-risk or ambiguous Artificial Intelligence (AI) and Autonomous Technologies (AAT) actions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.12_AAT-16.12_A01", "name": "assessment-objective", "prose": "human reviews are performed to determine the root cause of high-risk or ambiguous Artificial Intelligence (AI) and Autonomous Technologies (AAT) actions."}, {"id": "AAT-16.12_AAT-16.12_A02", "name": "assessment-objective", "prose": "clear escalation paths for approval exist for instances involving high-risk or ambiguous AAT actions."}]} \N \N \N \N +SCF:AAT-16.13 SCF AAT-16.13 Emergent Behavior & Collusion Protections Mechanisms exist to detect and contain emergent or collusive behaviors among multiple Artificial Intelligence (AI) and Autonomous Technologies (AAT), including:\r\n(1) Automated or human-triggered containment; and \r\n(2) Formal investigation to determine the root cause of agentic cascades or collusion. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-16.13_AAT-16.13_A01", "name": "assessment-objective", "prose": "the organization has the ability to detect emergent or collusive behaviors among multiple Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-16.13_AAT-16.13_A02", "name": "assessment-objective", "prose": "the organization has the ability to contain emergent or collusive behaviors among multiple AAT through automated or human-triggered means."}, {"id": "AAT-16.13_AAT-16.13_A03", "name": "assessment-objective", "prose": "formal investigation determines the root cause of agentic cascades or collusion."}]} \N \N \N \N +SCF:AAT-17.4 SCF AAT-17.4 Novel Risk Assessment Methods & Technologies Mechanisms exist to utilize novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to evaluate, if applicable:\r\n(1) Content provenance;\r\n(2) Offensive cyber capabilities; \r\n(3) Chemical, Biological, Radiological or Nuclear (CBRN) weapons; and/or \r\n(4) Other dangerous materials or agents. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17.4_AAT-17.4_A01", "name": "assessment-objective", "prose": "novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks are defined."}, {"id": "AAT-17.4_AAT-17.4_A02", "name": "assessment-objective", "prose": "novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to evaluate content provenance."}, {"id": "AAT-17.4_AAT-17.4_A03", "name": "assessment-objective", "prose": "novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to evaluate offensive cyber capabilities."}, {"id": "AAT-17.4_AAT-17.4_A04", "name": "assessment-objective", "prose": "novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to evaluate Chemical, Biological, Radiological or Nuclear (CBRN) weapons."}, {"id": "AAT-17.4_AAT-17.4_A05", "name": "assessment-objective", "prose": "novel methods and technologies for the measurement of Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks to evaluate other dangerous materials or agents."}]} \N \N \N \N +SCF:AAT-17.5 SCF AAT-17.5 Fine Tuning Risk Mitigation Mechanisms exist to ensure actions to fine-tune Artificial Intelligence (AI) and Autonomous Technologies (AAT) do not compromise existing security, compliance and resilience controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-17.5_AAT-17.5_A01", "name": "assessment-objective", "prose": "actions to fine-tune Artificial Intelligence (AI) and Autonomous Technologies (AAT) that do not compromise existing safety and/or security controls are defined."}, {"id": "AAT-17.5_AAT-17.5_A02", "name": "assessment-objective", "prose": "the organization ensures actions to fine-tune Artificial Intelligence (AI) and Autonomous Technologies (AAT) do not compromise existing safety and/or security controls."}]} \N \N \N \N +SCF:AAT-18 SCF AAT-18 AI & Autonomous Technologies Risk Tracking Approaches Mechanisms exist to track Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks are difficult to assess using currently available measurement techniques or where metrics are not yet available. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-18_AAT-18_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, tracks Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks are difficult to assess using currently available measurement techniques or where metrics are not yet available."}]} \N \N \N \N +SCF:AAT-18.1 SCF AAT-18.1 AI & Autonomous Technologies Risk Response Mechanisms exist to prioritize, respond to and remediate Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks based on assessments and other analytical output. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-18.1_AAT-18.1_A01", "name": "assessment-objective", "prose": "responsible party(ies) prioritize, respond to and remediate Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks based on assessments and other analytical output."}]} \N \N \N \N +SCF:AAT-19 SCF AAT-19 AI & Autonomous Technologies Conformity Mechanisms exist to ensure deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) conform to applicable statutory and regulatory requirements, based on:\r\n(1) Defined use cases;\r\n(2) Geographic markets; and\r\n(3) Use of Intellectual Property (IP). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19_AAT-19_A01", "name": "assessment-objective", "prose": "the organization defines use cases for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-19_AAT-19_A02", "name": "assessment-objective", "prose": "the organization defines geographic markets for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-19_AAT-19_A03", "name": "assessment-objective", "prose": "the organization defines the use of Intellectual Property (IP) for Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-19_AAT-19_A04", "name": "assessment-objective", "prose": "the organization ensures deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) conform to applicable statutory and regulatory requirements, based on defined use cases."}, {"id": "AAT-19_AAT-19_A05", "name": "assessment-objective", "prose": "the organization ensures deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) conform to applicable statutory and regulatory requirements, based on geographic markets."}, {"id": "AAT-19_AAT-19_A06", "name": "assessment-objective", "prose": "the organization ensures deployed Artificial Intelligence (AI) and Autonomous Technologies (AAT) conform to applicable statutory and regulatory requirements, based on the use of Intellectual Property (IP)."}]} \N \N \N \N +SCF:AAT-19.1 SCF AAT-19.1 Manipulative or Deceptive Techniques Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that utilize manipulative or deceptive techniques (including biased data) to impair an individual's ability to make a reasonably informed decision. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.1_AAT-19.1_A01", "name": "assessment-objective", "prose": "the organization defines manipulative or deceptive techniques that Artificial Intelligence (AI) and Autonomous Technologies (AAT) could use to impair an individual's ability to make a reasonably informed decision."}, {"id": "AAT-19.1_AAT-19.1_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that utilizes manipulative or deceptive techniques (including biased data) to impair an individual's ability to make a reasonably informed decision."}]} \N \N \N \N +SCF:AAT-19.2 SCF AAT-19.2 Materially Distorting Behaviors Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that exploit a human subject to materially affect a targeted behavior due to their:\r\n(1) Age;\r\n(2) Disability; or \r\n(3) Specific social or economic situation. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.2_AAT-19.2_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that exploits a human subject to materially affect a targeted behavior due to their age."}, {"id": "AAT-19.2_AAT-19.2_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that exploits a human subject to materially affect a targeted behavior due to their disability."}, {"id": "AAT-19.2_AAT-19.2_A03", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that exploits a human subject to materially affect a targeted behavior due to their specific social or economic situation."}]} \N \N \N \N +SCF:AAT-19.3 SCF AAT-19.3 Social Scoring Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that: \r\n(1) Evaluate human subjects over a certain period of time based on their social behavior or known, inferred or predicted personal or personality characteristics; and\r\n(2) Assign a "social score" branding or equivalent classification. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.3_AAT-19.3_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that evaluate human subjects over a certain period of time based on their social behavior or known, inferred or predicted personal or personality characteristics."}, {"id": "AAT-19.3_AAT-19.3_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that assign a \\"social score\\" branding or equivalent classification."}]} \N \N \N \N +SCF:AAT-19.4 SCF AAT-19.4 Detrimental or Unfavorable Treatment Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that lead to the detrimental or unfavorable treatment of certain data subjects, or groups of data subjects, in social contexts that is:\r\n(1) Are unrelated to the contexts in which the data was originally generated or collected; and/or\r\n(2) Is unjustified or disproportionate to their social behavior or its gravity. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.4_AAT-19.4_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that lead to the detrimental or unfavorable treatment of certain data subjects, or groups of data subjects, in social contexts that are unrelated to the contexts in which the data was originally generated or collected."}, {"id": "AAT-19.4_AAT-19.4_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that lead to the detrimental or unfavorable treatment of certain data subjects, or groups of data subjects, in social contexts that are unjustified or disproportionate to their social behavior or its gravity."}]} \N \N \N \N +SCF:AAT-19.5 SCF AAT-19.5 Risk and Criminal Profiling Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that:\r\n(1) Assess the risk of an individual committing a criminal offence; and\r\n(2) Predicts risk based solely on the profiling of personality traits and characteristics. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.5_AAT-19.5_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that assess the risk of an individual committing a criminal offence."}, {"id": "AAT-19.5_AAT-19.5_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that predicts risk based solely on the profiling of personality traits and characteristics."}]} \N \N \N \N +SCF:AAT-19.6 SCF AAT-19.6 Populating Facial Recognition Databases Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that create, or expand, facial recognition databases through scraping facial images from:\r\n(1) The Internet; or \r\n(2) Closed-Circuit Television (CCTV) footage. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.6_AAT-19.6_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that create, or expand, facial recognition databases through scraping facial images from the Internet."}, {"id": "AAT-19.6_AAT-19.6_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that create, or expand, facial recognition databases through scraping facial images from the Internet or Closed-Circuit Television (CCTV) footage."}]} \N \N \N \N +SCF:AAT-19.7 SCF AAT-19.7 Emotion Inference Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that infer human emotions of an individual based on observed characteristics. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.7_AAT-19.7_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that infer human emotions of an individual based on observed characteristics."}]} \N \N \N \N +SCF:AAT-19.8 SCF AAT-19.8 Biometric Categorization Mechanisms exist to prohibit the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's:\r\n(1) Race; \r\n(2) Political opinions;\r\n(3) Trade union membership;\r\n(4) Religious or philosophical beliefs; \r\n(5) Sex life or sexual orientation; and/or\r\n(6) Age. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-19.8_AAT-19.8_A01", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's race."}, {"id": "AAT-19.8_AAT-19.8_A02", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's political opinions."}, {"id": "AAT-19.8_AAT-19.8_A03", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's trade union membership."}, {"id": "AAT-19.8_AAT-19.8_A04", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's religious or philosophical beliefs."}, {"id": "AAT-19.8_AAT-19.8_A05", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's sex life or sexual orientation."}, {"id": "AAT-19.8_AAT-19.8_A06", "name": "assessment-objective", "prose": "the organization prohibits the sale, deployment and/or use of Artificial Intelligence (AI) and Autonomous Technologies (AAT) that categorize an individual based on their biometric data to deduce, or infer, the individual's age."}]} \N \N \N \N +SCF:AAT-20 SCF AAT-20 AI & Autonomous Technologies Development Practices Measures exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed to:\r\n(1) Achieve an appropriate level of accuracy, robustness and cybersecurity; \r\n(2) Perform consistently in those respects throughout the AAT system's lifecycle; and\r\n(3) Be effectively overseen by competent individuals. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-20_AAT-20_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed to achieve an appropriate level of accuracy, robustness, and cybersecurity."}, {"id": "AAT-20_AAT-20_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed to perform consistently in those respects throughout the AAT system's lifecycle."}, {"id": "AAT-20_AAT-20_A03", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed to be effectively overseen by competent individuals."}]} \N \N \N \N +SCF:AAT-20.1 SCF AAT-20.1 AI & Autonomous Technologies Transparency Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed so its operation is sufficiently transparent such that output can be easily interpreted by personnel implementing the AAT. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-20.1_AAT-20.1_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are designed and developed so its operation is sufficiently transparent such that output can be easily interpreted by personnel implementing the AAT."}]} \N \N \N \N +SCF:AAT-20.2 SCF AAT-20.2 AI & Autonomous Technologies Implementation Documentation Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) include clear and concise documentation that is relevant, accessible and comprehensible to personnel implementing and maintaining the AAT that, at a minimum, provides: \r\n(1) Contact details of the provider; \r\n(2) Characteristics, capabilities and limitations of performance of the AAT;\r\n(3) Errata from the AAT's initial conformity assessment;\r\n(4) Details necessary to interpret the outputs of the AAT;\r\n(5) Human oversight measures necessary to facilitate the interpretation of the outputs of the AAT;\r\n(6) Computational and hardware resources needed to operate the AAT;\r\n(7) Projected useable lifetime of the AAT; and\r\n(8) A description of the mechanisms included within the AAT system to properly collect, store and interpret event logs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-20.2_AAT-20.2_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains contact details of the provider."}, {"id": "AAT-20.2_AAT-20.2_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains characteristics, capabilities and limitations of performance of the AAT."}, {"id": "AAT-20.2_AAT-20.2_A03", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains errata from the AAT's initial conformity assessment."}, {"id": "AAT-20.2_AAT-20.2_A04", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains details necessary to interpret the outputs of the AAT."}, {"id": "AAT-20.2_AAT-20.2_A05", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains human oversight measures necessary to facilitate the interpretation of the outputs of the AAT."}, {"id": "AAT-20.2_AAT-20.2_A06", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains computational and hardware resources needed to operate the AAT."}, {"id": "AAT-20.2_AAT-20.2_A07", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains projected useable lifetime of the AAT."}, {"id": "AAT-20.2_AAT-20.2_A08", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) supporting documentation contains a description of the mechanisms included within the AAT system to properly collect, store and interpret event logs."}]} \N \N \N \N +SCF:AAT-20.3 SCF AAT-20.3 AI & Autonomous Technologies Human Domain Knowledge Reliance Mechanisms exist to document the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance including:\r\n(1) Reinforcement Learning from Human Feedback (RLHF);\r\n(2) Fine-tuning;\r\n(3) Retrieval- augmented generation;\r\n(4) Content moderation; and\r\n(5) Business rules. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-20.3_AAT-20.3_A01", "name": "assessment-objective", "prose": "documentation covering the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance includes reinforcement Learning from Human Feedback (RLHF)."}, {"id": "AAT-20.3_AAT-20.3_A02", "name": "assessment-objective", "prose": "documentation covering the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance includes fine-tuning."}, {"id": "AAT-20.3_AAT-20.3_A03", "name": "assessment-objective", "prose": "documentation covering the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance includes retrieval- augmented generation."}, {"id": "AAT-20.3_AAT-20.3_A04", "name": "assessment-objective", "prose": "documentation covering the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance includes content moderation."}, {"id": "AAT-20.3_AAT-20.3_A05", "name": "assessment-objective", "prose": "documentation covering the extent to which human domain knowledge is employed to improve Artificial Intelligence (AI) and Autonomous Technologies (AAT) performance includes business rules."}]} \N \N \N \N +SCF:AAT-21 SCF AAT-21 AI & Autonomous Technologies Registration Mechanisms exist to maintain a current registration for Artificial Intelligence (AI) and Autonomous Technologies (AAT) with the appropriate governing body, as required by statutory or regulatory requirements. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-21_AAT-21_A01", "name": "assessment-objective", "prose": "the organization identifies appropriate governing bodies that require the registration of Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-21_AAT-21_A02", "name": "assessment-objective", "prose": "the organization maintains a current registration for Artificial Intelligence (AI) and Autonomous Technologies (AAT) with the appropriate governing body, as required by statutory or regulatory requirements."}]} \N \N \N \N +SCF:AAT-22 SCF AAT-22 AI & Autonomous Technologies Deployment Mechanisms exist to ensure the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) includes appropriate technical and organizational measures so that AAT are used in accordance with the AAT developer-provided instructions for use. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22_AAT-22_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) includes appropriate technical and organizational measures so that AAT are used in accordance with the AAT developer-provided instructions for use."}]} \N \N \N \N +SCF:AAT-22.1 SCF AAT-22.1 AI & Autonomous Technologies Human Oversight Mechanisms exist to assign human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to prevent or minimize the risks to:\r\n(1) Health; \r\n(2) Safety; and/or \r\n(3) Fundamental rights. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.1_AAT-22.1_A01", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) to prevent or minimize the risks is assigned to one, or more, individuals."}, {"id": "AAT-22.1_AAT-22.1_A02", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) focuses on preventing, or minimizing, risks associated with an individual's health."}, {"id": "AAT-22.1_AAT-22.1_A03", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) focuses on preventing, or minimizing, risks associated with an individual's safety."}, {"id": "AAT-22.1_AAT-22.1_A04", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) focuses on preventing, or minimizing, risks associated with an individual's fundamental rights."}]} \N \N \N \N +SCF:AAT-22.2 SCF AAT-22.2 AI & Autonomous Technologies Oversight Measures Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) oversight measures are commensurate with the:\r\n(1) Assessed risk(s); \r\n(2) Level of autonomy; and \r\n(3) Context of use. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.2_AAT-22.2_A01", "name": "assessment-objective", "prose": "oversight measures for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are commensurate with the AAT's assessed risk(s)."}, {"id": "AAT-22.2_AAT-22.2_A02", "name": "assessment-objective", "prose": "oversight measures for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are commensurate with the AAT's level of autonomy."}, {"id": "AAT-22.2_AAT-22.2_A03", "name": "assessment-objective", "prose": "oversight measures for Artificial Intelligence (AI) and Autonomous Technologies (AAT) are commensurate with the AAT's context of use."}]} \N \N \N \N +SCF:AAT-22.3 SCF AAT-22.3 AI & Autonomous Technologies Separate Verification Mechanisms exist to ensure no action or decision is taken by the deployer of an Artificial Intelligence (AI) and Autonomous Technologies (AAT) based solely based on AAT-generated evidence, unless that evidence has been separately verified and confirmed by at least two (2) individuals with the necessary competence, training and authority. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.3_AAT-22.3_A01", "name": "assessment-objective", "prose": "no action or decision able to be taken by the deployer of an Artificial Intelligence (AI) and Autonomous Technologies (AAT) based solely on the basis of AAT-generated evidence, unless that evidence has been separately verified and confirmed by at least two (2) individuals with the necessary competence, training and authority."}]} \N \N \N \N +SCF:AAT-22.4 SCF AAT-22.4 AI & Autonomous Technologies Oversight Functions Competency Mechanisms exist to ensure the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) assigns human oversight to individuals who have the necessary:\r\n(1) Competence;\r\n(2) Training;\r\n(3) Authority; and\r\n(4) Resources. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.4_AAT-22.4_A01", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) is assigned to individuals who have the necessary competence."}, {"id": "AAT-22.4_AAT-22.4_A02", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) is assigned to individuals who have the necessary training."}, {"id": "AAT-22.4_AAT-22.4_A03", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) is assigned to individuals who have the necessary authority."}, {"id": "AAT-22.4_AAT-22.4_A04", "name": "assessment-objective", "prose": "human oversight of Artificial Intelligence (AI) and Autonomous Technologies (AAT) is assigned to individuals who have the necessary resources."}]} \N \N \N \N +SCF:AAT-22.5 SCF AAT-22.5 AI & Autonomous Technologies Data Relevance Mechanisms exist to ensure the input to Artificial Intelligence (AI) and Autonomous Technologies (AAT) is relevant to the intended purpose of the AAT. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.5_AAT-22.5_A01", "name": "assessment-objective", "prose": "input to Artificial Intelligence (AI) and Autonomous Technologies (AAT) limited to what is relevant to the intended purpose of the AAT."}]} \N \N \N \N +SCF:AAT-22.6 SCF AAT-22.6 AI & Autonomous Technologies Irregularity Reporting Mechanisms exist to ensure serious incidents and/or irregularities associated with the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are reported without delay to the:\r\n(1) AAT provider;\r\n(2) AAT importer or distributor, if applicable; and/or\r\n(3) Local law authorities and/or governmental agency, as required. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.6_AAT-22.6_A01", "name": "assessment-objective", "prose": "serious incidents and/or irregularities associated with the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are reported without delay to the AAT provider."}, {"id": "AAT-22.6_AAT-22.6_A02", "name": "assessment-objective", "prose": "serious incidents and/or irregularities associated with the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are reported without delay to the AAT importer or distributor, if applicable."}, {"id": "AAT-22.6_AAT-22.6_A03", "name": "assessment-objective", "prose": "serious incidents and/or irregularities associated with the deployment of Artificial Intelligence (AI) and Autonomous Technologies (AAT) are reported without delay to local law authorities and/or governmental agency, as required."}]} \N \N \N \N +SCF:AAT-22.7 SCF AAT-22.7 AI & Autonomous Technologies Use Notification To Employees Mechanisms exist to ensure employees, including workers' representatives, are informed about Artificial Intelligence (AI) and Autonomous Technologies (AAT) deployments, prior to the use of the AAT in a production environment. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.7_AAT-22.7_A01", "name": "assessment-objective", "prose": "methods to identify employees, including workers' representatives, are defined."}, {"id": "AAT-22.7_AAT-22.7_A02", "name": "assessment-objective", "prose": "employees, including workers' representatives, are identified."}, {"id": "AAT-22.7_AAT-22.7_A03", "name": "assessment-objective", "prose": "ensure employees, including workers' representatives, are informed about Artificial Intelligence (AI) and Autonomous Technologies (AAT) deployments, prior to the use of the AAT in a production environment."}]} \N \N \N \N +SCF:AAT-22.8 SCF AAT-22.8 AI & Autonomous Technologies Use Notification To Users Mechanisms exist to ensure Artificial Intelligence (AI) and Autonomous Technologies (AAT) that make decisions, or assist in making decisions, inform the people in a clear manner that they are:\r\n(1) Utilizing an AAT solution; and\r\n(2) Expected to validate the output for relevance and accuracy. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-22.8_AAT-22.8_A01", "name": "assessment-objective", "prose": "when Artificial Intelligence (AI) and Autonomous Technologies (AAT) are used to make decisions, or assist in making decisions, affected people are notified in a clear manner that they are utilizing an AAT solution."}, {"id": "AAT-22.8_AAT-22.8_A02", "name": "assessment-objective", "prose": "when AAT are used to make decisions, or assist in making decisions, affected people are notified in a clear manner that they are expected to validate the output for relevance and accuracy."}]} \N \N \N \N +SCF:AAT-23 SCF AAT-23 AI & Autonomous Technologies Output Marking Mechanisms exist to mark output from Artificial Intelligence (AI) and Autonomous Technologies (AAT) in a machine-readable format so it is detectable as artificially generated or manipulated. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-23_AAT-23_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) output is marked in a machine-readable format so it is detectable as artificially generated or manipulated."}]} \N \N \N \N +SCF:AAT-24 SCF AAT-24 Real World Testing of AI & Autonomous Technologies Mechanisms exist to obtain consent from the subjects of testing Artificial Intelligence (AI) and Autonomous Technologies (AAT):\r\n(1) Prior to their participation in such testing; and\r\n(2) After they have been provided with clear and concise information regarding the testing. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-24_AAT-24_A01", "name": "assessment-objective", "prose": "consent is obtained from the subjects of testing Artificial Intelligence (AI) and Autonomous Technologies (AAT) prior to their participation in such testing."}, {"id": "AAT-24_AAT-24_A02", "name": "assessment-objective", "prose": "consent is obtained from the subjects of testing Artificial Intelligence (AI) and Autonomous Technologies (AAT) after their having been provided with clear and concise information regarding the testing."}]} \N \N \N \N +SCF:AAT-25 SCF AAT-25 AI & Autonomous Technologies System Value Chain Mechanisms exist to document the sequence of events and relevant stakeholders involved in creating and deploying Artificial Intelligence (AI) and Autonomous Technologies (AAT). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-25_AAT-25_A01", "name": "assessment-objective", "prose": "the sequence of events involved in creating and deploying Artificial Intelligence (AI) and Autonomous Technologies (AAT) is documented."}, {"id": "AAT-25_AAT-25_A02", "name": "assessment-objective", "prose": "the relevant stakeholders involved in creating and deploying Artificial Intelligence (AI) and Autonomous Technologies (AAT) is documented."}]} \N \N \N \N +SCF:AAT-25.1 SCF AAT-25.1 AI & Autonomous Technologies System Value Chain Fallbacks Mechanisms exist to identify:\r\n(1) Over-reliance on third-party data with Artificial Intelligence (AI) and Autonomous Technologies (AAT); and\r\n(2) Fallback methods to address the inability to access third-party data, as necessary. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-25.1_AAT-25.1_A01", "name": "assessment-objective", "prose": "over-reliance on third-party data with Artificial Intelligence (AI) and Autonomous Technologies (AAT) is identified."}, {"id": "AAT-25.1_AAT-25.1_A02", "name": "assessment-objective", "prose": "fallback methods are identified to address the inability to access third-party data, as necessary."}]} \N \N \N \N +SCF:AAT-26 SCF AAT-26 AI & Autonomous Technologies Testing Techniques Mechanisms exist to develop and implement fact-checking techniques to verify the accuracy and veracity of information generated by Artificial Intelligence (AI) and Autonomous Technologies (AAT). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-26_AAT-26_A01", "name": "assessment-objective", "prose": "fact-checking techniques are developed to verify the accuracy and veracity of information generated by Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}, {"id": "AAT-26_AAT-26_A02", "name": "assessment-objective", "prose": "fact-checking techniques are implemented to verify the accuracy and veracity of information generated by Artificial Intelligence (AI) and Autonomous Technologies (AAT)."}]} \N \N \N \N +SCF:AAT-26.1 SCF AAT-26.1 Generative Artificial Intelligence (GAI) Identification Mechanisms exist to develop and implement testing techniques to identify Generative Artificial Intelligence (GAI) produced content (e.g., synthetic media). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-26.1_AAT-26.1_A01", "name": "assessment-objective", "prose": "testing techniques are developed to identify Generative Artificial Intelligence (GAI) produced content (e.g., synthetic media)."}, {"id": "AAT-26.1_AAT-26.1_A02", "name": "assessment-objective", "prose": "testing techniques are implemented to identify Generative Artificial Intelligence (GAI) produced content (e.g., synthetic media)."}]} \N \N \N \N +SCF:AAT-26.2 SCF AAT-26.2 AI & Autonomous Technologies Capabilities Testing Mechanisms exist to delineate human proficiency tests from tests of Artificial Intelligence (AI) and Autonomous Technologies (AAT) capabilities. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-26.2_AAT-26.2_A01", "name": "assessment-objective", "prose": "techniques to delineate human proficiency tests from tests of Artificial Intelligence (AI) and Autonomous Technologies (AAT) capabilities are developed."}, {"id": "AAT-26.2_AAT-26.2_A02", "name": "assessment-objective", "prose": "techniques to delineate human proficiency tests from tests of Artificial Intelligence (AI) and Autonomous Technologies (AAT) capabilities are implemented."}]} \N \N \N \N +SCF:AAT-26.3 SCF AAT-26.3 Real-World Testing Mechanisms exist to include relevant end-users, practitioners and operators in Artificial Intelligence (AI) and Autonomous Technologies (AAT) prototyping and testing activities to cover:\r\n(1) Applicable use case scenarios;\r\n(2) Crisis situations; and/or \r\n(3) Ethically sensitive contexts. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-26.3_AAT-26.3_A01", "name": "assessment-objective", "prose": "relevant end-users, practitioners and operators in Artificial Intelligence (AI) and Autonomous Technologies (AAT) prototyping and testing activities are included to cover applicable use case scenarios."}, {"id": "AAT-26.3_AAT-26.3_A02", "name": "assessment-objective", "prose": "relevant end-users, practitioners and operators in Artificial Intelligence (AI) and Autonomous Technologies (AAT) prototyping and testing activities are included to cover crisis situations."}, {"id": "AAT-26.3_AAT-26.3_A03", "name": "assessment-objective", "prose": "relevant end-users, practitioners and operators in Artificial Intelligence (AI) and Autonomous Technologies (AAT) prototyping and testing activities are included to cover ethically sensitive contexts."}]} \N \N \N \N +SCF:AAT-26.4 SCF AAT-26.4 Documenting Testing Guidance Mechanisms exist to document the instructions given to:\r\n(1) Data annotators; and/or \r\n(2) Artificial Intelligence (AI) and Autonomous Technologies (AAT) red-teamers. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-26.4_AAT-26.4_A01", "name": "assessment-objective", "prose": "instructions for data annotators are documented."}, {"id": "AAT-26.4_AAT-26.4_A02", "name": "assessment-objective", "prose": "instructions for Artificial Intelligence (AI) and Autonomous Technologies (AAT) red-teamers are documented."}]} \N \N \N \N +SCF:AAT-27 SCF AAT-27 AI & Autonomous Technologies Output Filtering Mechanisms exist to prevent Artificial Intelligence (AI) and Autonomous Technologies (AAT) from generating content that is:\r\n(1) Inappropriate;\r\n(2) Harmful;\r\n(3) False;\r\n(4) Illegal; and/or\r\n(5) Violent. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-27_AAT-27_A01", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are prevented from generating content that is inappropriate."}, {"id": "AAT-27_AAT-27_A02", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are prevented from generating content that is harmful."}, {"id": "AAT-27_AAT-27_A03", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are prevented from generating content that is false."}, {"id": "AAT-27_AAT-27_A04", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are prevented from generating content that is illegal."}, {"id": "AAT-27_AAT-27_A05", "name": "assessment-objective", "prose": "Artificial Intelligence (AI) and Autonomous Technologies (AAT) are prevented from generating content that is violent."}]} \N \N \N \N +SCF:AAT-27.1 SCF AAT-27.1 Human Moderation Mechanisms exist to assign personnel to review Artificial Intelligence (AI) and Autonomous Technologies (AAT)-generated content for alignment with culturally accepted norms. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-27.1_AAT-27.1_A01", "name": "assessment-objective", "prose": "competent personnel are assigned the task to review Artificial Intelligence (AI) and Autonomous Technologies (AAT)-generated content for alignment with culturally accepted norms."}]} \N \N \N \N +SCF:AAT-28 SCF AAT-28 AI Model Resilience Mechanisms exist to ensure AI models are designed with resilience capabilities that are sufficient to withstand reasonable threats. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-28_AAT-28_A01", "name": "assessment-objective", "prose": "evidence supports the claim that AI models are designed with resilience capabilities that are sufficient to withstand reasonable threats."}]} \N \N \N \N +SCF:AAT-28.1 SCF AAT-28.1 Model Pollution Mechanisms exist to prevent "model pollution" due to accidental and/or malicious inputs by an AI agent that can negatively alter the AI model. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-28.1_AAT-28.1_A01", "name": "assessment-objective", "prose": "technical controls prevent \\"model pollution\\" due to accidental and/or malicious inputs by an AI agent that can negatively alter the AI model."}]} \N \N \N \N +SCF:AAT-28.2 SCF AAT-28.2 Cascading Hallucination Defense Mechanisms exist to detect and prevent the propagation of false data (e.g., hallucinations) within the AI model or between AI agents. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-28.2_AAT-28.2_A01", "name": "assessment-objective", "prose": "a capability exists to detect false data (e.g., hallucinations) within the AI model or between AI agents."}, {"id": "AAT-28.2_AAT-28.2_A02", "name": "assessment-objective", "prose": "a capability exists to prevent the propagation of false data (e.g., hallucinations) within the AI model or between AI agents."}]} \N \N \N \N +SCF:AAT-28.3 SCF AAT-28.3 Resource Exhaustion & DoS Resilience Mechanisms exist to monitor and prevent resource overload or Denial of Service (DoS) conditions through:\r\n(1) Enforcement of quotas;\r\n(2) Workload controls; and \r\n(3) Auto-suspension of runaway AI agent processes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-28.3_AAT-28.3_A01", "name": "assessment-objective", "prose": "Denial of Service (DoS) conditions are monitored."}, {"id": "AAT-28.3_AAT-28.3_A02", "name": "assessment-objective", "prose": "Denial of Service (DoS) conditions are prevented through enforcement of quotas."}, {"id": "AAT-28.3_AAT-28.3_A03", "name": "assessment-objective", "prose": "Denial of Service (DoS) conditions are prevented through workload controls."}, {"id": "AAT-28.3_AAT-28.3_A04", "name": "assessment-objective", "prose": "Denial of Service (DoS) conditions are prevented through auto-suspension of runaway AI agent processes."}]} \N \N \N \N +SCF:AAT-29 SCF AAT-29 AI Agent Governance Mechanisms exist to ensure AI agents are designed, developed and deployed to securely operate under human oversight. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29_AAT-29_A01", "name": "assessment-objective", "prose": "AI agents are designed to securely operate under human oversight."}, {"id": "AAT-29_AAT-29_A02", "name": "assessment-objective", "prose": "AI agents are developed to securely operate under human oversight."}, {"id": "AAT-29_AAT-29_A03", "name": "assessment-objective", "prose": "AI agents are deployed to securely operate under human oversight."}]} \N \N \N \N +SCF:AAT-29.1 SCF AAT-29.1 Infrastructure Hardening & Isolation Mechanisms exist to protect, isolate and harden infrastructure resources used by AI agents, including:\r\n(1) Resource allocation;\r\n(2) Privilege management;\r\n(3) Network segmentation; and \r\n(4) Workload isolation. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.1_AAT-29.1_A01", "name": "assessment-objective", "prose": "infrastructure resources used by AI agents are protected through resource allocation."}, {"id": "AAT-29.1_AAT-29.1_A02", "name": "assessment-objective", "prose": "infrastructure resources used by AI agents are protected through privilege management."}, {"id": "AAT-29.1_AAT-29.1_A03", "name": "assessment-objective", "prose": "infrastructure resources used by AI agents are protected through network segmentation."}, {"id": "AAT-29.1_AAT-29.1_A04", "name": "assessment-objective", "prose": "infrastructure resources used by AI agents are protected through workload isolation."}]} \N \N \N \N +SCF:AAT-29.2 SCF AAT-29.2 AI Agent Limitations Mechanisms exist to implement limitations for AI agents according to:\r\n(1) Least privileges, where the AI agent operates with the minimal permissions necessary to perform designated tasks; and\r\n(2) Least functionality, where the AI agent is restricted to communicate with the minimal Technology Assets, Applications and/or Services (TAAS) and networks necessary to perform designated tasks. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.2_AAT-29.2_A01", "name": "assessment-objective", "prose": "AI agents implement limitations according to least privileges, where the AI agent operates with the minimal permissions necessary to perform designated tasks."}, {"id": "AAT-29.2_AAT-29.2_A02", "name": "assessment-objective", "prose": "AI agents implement limitations according to least functionality, where the AI agent is restricted to communicate with the minimal Assets, Applications & Services (AAS) and networks necessary to perform designated tasks."}]} \N \N \N \N +SCF:AAT-29.3 SCF AAT-29.3 Tool & API Invocation Controls Mechanisms exist to authenticate, authorize, validate and monitor all tool and Application Programming Interface (API) invocations by AI agents, including;\r\n(1) Schema validation;\r\n(2) Rate limiting;\r\n(3) Access controls; and\r\n(4) Output validation. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.3_AAT-29.3_A01", "name": "assessment-objective", "prose": "tool and Application Programming Interface (API) invocations by AI agents include schema validation."}, {"id": "AAT-29.3_AAT-29.3_A02", "name": "assessment-objective", "prose": "tool and API invocations by AI agents include rate limiting."}, {"id": "AAT-29.3_AAT-29.3_A03", "name": "assessment-objective", "prose": "tool and API invocations by AI agents include access controls."}, {"id": "AAT-29.3_AAT-29.3_A04", "name": "assessment-objective", "prose": "tool and API invocations by AI agents include output validation."}]} \N \N \N \N +SCF:AAT-29.4 SCF AAT-29.4 Orchestration Protocol Safeguards Mechanisms exist to validate, secure and restrict AI agent orchestration protocols to prevent:\r\n(1) Unauthorized tool chaining;\r\n(2) Context manipulation; and/or\r\n(3) Protocol-based escalation. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.4_AAT-29.4_A01", "name": "assessment-objective", "prose": "AI agent orchestration protocols are configured to prevent unauthorized tool chaining."}, {"id": "AAT-29.4_AAT-29.4_A02", "name": "assessment-objective", "prose": "AI agent orchestration protocols are configured to prevent context manipulation."}, {"id": "AAT-29.4_AAT-29.4_A03", "name": "assessment-objective", "prose": "AI agent orchestration protocols are configured to prevent protocol-based escalation."}]} \N \N \N \N +SCF:AAT-29.5 SCF AAT-29.5 Data Pipeline & Input Integrity Mechanisms exist to validate, sanitize and monitor all data inputs and retrieval pipelines for AI agents to:\r\n(1) Ensure data provenance; and \r\n(2) Prevent unauthorized access risks (e.g., injection, manipulation or exfiltration). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.5_AAT-29.5_A01", "name": "assessment-objective", "prose": "data inputs and retrieval pipelines for AI agents ensure data provenance."}, {"id": "AAT-29.5_AAT-29.5_A02", "name": "assessment-objective", "prose": "data inputs and retrieval pipelines for AI agents prevent unauthorized access risks (e.g., injection, manipulation or exfiltration)."}]} \N \N \N \N +SCF:AAT-29.6 SCF AAT-29.6 Privileged Role & Delegation Boundaries Mechanisms exist to prevent privilege escalation or unauthorized delegation by AI agents by:\r\n(1) Monitoring and enforcing dynamic roles; and\r\n(2) Establishing cross-agent delegation boundaries and privileged actions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.6_AAT-29.6_A01", "name": "assessment-objective", "prose": "instances of privilege escalation or unauthorized delegation by AI agents is monitored for."}, {"id": "AAT-29.6_AAT-29.6_A02", "name": "assessment-objective", "prose": "privilege escalation or unauthorized delegation by AI agents is prevented dynamic role enforcement."}, {"id": "AAT-29.6_AAT-29.6_A03", "name": "assessment-objective", "prose": "privilege escalation or unauthorized delegation by AI agents is prevented through establishing cross-agent delegation boundaries and privileged actions."}]} \N \N \N \N +SCF:AAT-29.7 SCF AAT-29.7 AI Agent Data Access Restrictions Mechanisms exist to restrict agent access to sensitive/regulated data so that AI agents cannot ingest, generate or act on unauthorized data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.7_AAT-29.7_A01", "name": "assessment-objective", "prose": "AI agent access to sensitive/regulated data is restricted so that AI agents cannot ingest, generate or act on unauthorized data."}]} \N \N \N \N +SCF:AAT-29.8 SCF AAT-29.8 Data Extraction Mechanisms exist to prevent AI agents from extracting sensitive/regulated data from volatile memory that can be exploited at a later point. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.8_AAT-29.8_A01", "name": "assessment-objective", "prose": "AI agents are prevented from extracting sensitive/regulated data from volatile memory."}]} \N \N \N \N +SCF:AAT-29.9 SCF AAT-29.9 AI Agent Identity & Impersonation Defense Mechanisms exist to ensure user identification and authentication methods are capable of preventing AI agents from \r\n(1) Spoofing;\r\n(2) Mimicry; and/or\r\n(3) Impersonation attacks. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.9_AAT-29.9_A01", "name": "assessment-objective", "prose": "user identification and authentication methods are capable of preventing AI agents from spoofing."}, {"id": "AAT-29.9_AAT-29.9_A02", "name": "assessment-objective", "prose": "user identification and authentication methods are capable of preventing AI agents from mimicry."}, {"id": "AAT-29.9_AAT-29.9_A03", "name": "assessment-objective", "prose": "user identification and authentication methods are capable of preventing AI agents from impersonation attacks."}]} \N \N \N \N +SCF:AAT-29.10 SCF AAT-29.10 AI Agent Logic Integrity Mechanisms exist to prevent AI agent logic from being subverted or manipulated. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.10_AAT-29.10_A01", "name": "assessment-objective", "prose": "AI agent logic is protected from being subverted or manipulated."}]} \N \N \N \N +SCF:AAT-29.11 SCF AAT-29.11 Sandboxing AI Agents Mechanisms exist to utilize a "sandbox" capability to restrict AI agents from unrestricted access to both local and remote resources. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.11_AAT-29.11_A01", "name": "assessment-objective", "prose": "a \\"sandbox\\" capability restricts AI agents from unrestricted access to local resources (e.g., Data, Assets, Applications & Services (DAAS) on the local LAN)."}, {"id": "AAT-29.11_AAT-29.11_A02", "name": "assessment-objective", "prose": "a \\"sandbox\\" capability restricts AI agents from unrestricted access to remote resources (e.g., Internet-based DAAS)."}]} \N \N \N \N +SCF:AAT-29.12 SCF AAT-29.12 Prompt Injection Defense Mechanisms exist to detect and mitigate prompt injection / input attacks that seek to manipulate AI agent instructions, bypass security, compliance and/or resilience controls or result in unauthorized actions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.12_AAT-29.12_A01", "name": "assessment-objective", "prose": "prompt injection / input attacks that seek to manipulate AI agent instructions, bypass controls or result in unauthorized actions can be detected."}, {"id": "AAT-29.12_AAT-29.12_A02", "name": "assessment-objective", "prose": "means to prevent or mitigate prompt injection / input attacks that seek to manipulate AI agent instructions, bypass controls or result in unauthorized actions are implemented."}]} \N \N \N \N +SCF:AAT-29.13 SCF AAT-29.13 Agent Kill Switch / User Control Mechanisms exist to allow authorized users or operators to immediately halt or disable AI agent activity in case of unexpected behavior or harm. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.13_AAT-29.13_A01", "name": "assessment-objective", "prose": "authorized users or operators have the ability to immediately halt or disable AI agent activity in case of unexpected behavior or harm."}]} \N \N \N \N +SCF:AAT-29.14 SCF AAT-29.14 Adversarial & Red Team Testing Mechanisms exist to regularly conduct adversarial testing that simulates attacks against AI agents to identify and mitigate vulnerabilities. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.14_AAT-29.14_A01", "name": "assessment-objective", "prose": "adversarial testing that simulates attacks against AI agents to identify and mitigate vulnerabilities is regularly conducted."}]} \N \N \N \N +SCF:AAT-29.15 SCF AAT-29.15 Self-Modification Controls Mechanisms exist to control, restrict and log AI agent self-modification. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-29.15_AAT-29.15_A01", "name": "assessment-objective", "prose": "AI agent self-modification is controlled / restricted."}, {"id": "AAT-29.15_AAT-29.15_A02", "name": "assessment-objective", "prose": "AI agent self-modification actions are logged."}]} \N \N \N \N +SCF:AAT-30.2 SCF AAT-30.2 Session Management Mechanisms exist to control AI agent sessions by:\r\n(1) Embedding session IDs into the requests to the AI model;\r\n(2) Implementing capabilities to correlate sessions; and\r\n(3) Terminating sessions after a defined time period. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-30.2_AAT-30.2_A01", "name": "assessment-objective", "prose": "AI agent sessions are controlled by embedding session IDs into the requests to the AI model."}, {"id": "AAT-30.2_AAT-30.2_A02", "name": "assessment-objective", "prose": "AI agent sessions are controlled by implementing capabilities to correlate sessions."}, {"id": "AAT-30.2_AAT-30.2_A03", "name": "assessment-objective", "prose": "AI agent sessions are controlled by terminating sessions after a defined time period."}]} \N \N \N \N +SCF:AAT-31 SCF AAT-31 Human-in-the-Loop Workload & Manipulation Mechanisms exist to prevent cognitive overload or decision fatigue for humans-in-the-loop (HITL) through risk-based prioritization. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-31_AAT-31_A01", "name": "assessment-objective", "prose": "risk-based prioritization is implemented to prevent cognitive overload or decision fatigue for humans-in-the-loop (HITL)."}]} \N \N \N \N +SCF:AAT-32 SCF AAT-32 Robotic Process Automation (RPA) Mechanisms exist to implement Robotic Process Automation (RPA) to improve efficiency, accuracy and speed for high-volume, repetitive and rules-based business processes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-32_AAT-32_A01", "name": "assessment-objective", "prose": "Robotic Process Automation (RPA) is implemented to improve efficiency, accuracy and speed in instances of high-volume, repetitive and rules-based business processes."}]} \N \N \N \N +SCF:AAT-32.1 SCF AAT-32.1 Business Process Task Enumeration Mechanisms exist to identify and enumerate business process task activities that can be executed both manually and in an automated fashion. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Artificial Intelligence & Autonomous Technologies", "assessment_objective": [{"id": "AAT-32.1_AAT-32.1_A01", "name": "assessment-objective", "prose": "business process task activities that can be executed both manually and in an automated fashion are identified."}, {"id": "AAT-32.1_AAT-32.1_A02", "name": "assessment-objective", "prose": "business process task activities that can be executed both manually and in an automated fashion are categorized."}]} \N \N \N \N +SCF:AST-01 SCF AST-01 Asset Governance Mechanisms exist to facilitate an IT Asset Management (ITAM) program to implement and manage asset management controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01_AST-01_A01", "name": "assessment-objective", "prose": "an authoritative source and repository are established to provide a trusted source and accountability for approved and implemented systems and system components."}, {"id": "AST-01_AST-01_A02", "name": "assessment-objective", "prose": "the frequency at which to review / update the system and system component inventory is defined."}, {"id": "AST-01_AST-01_A03", "name": "assessment-objective", "prose": "an inventory of systems and system components that is at the level of granularity deemed necessary for tracking and reporting is developed and documented."}, {"id": "AST-01_AST-01_A04", "name": "assessment-objective", "prose": "IT Asset Management (ITAM) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "AST-01_AST-01_A05", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support IT Asset Management (ITAM) operations."}, {"id": "AST-01_AST-01_A06", "name": "assessment-objective", "prose": "responsibility and authority for the performance of IT Asset Management (ITAM)-related activities are assigned to designated personnel."}, {"id": "AST-01_AST-01_A07", "name": "assessment-objective", "prose": "personnel performing IT Asset Management (ITAM)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:AST-01.1 SCF AST-01.1 Asset-Service Dependencies Mechanisms exist to identify and assess the security of Technology Assets, Applications and/or Services (TAAS) that support more than one critical business function. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01.1_AST-01.1_A01", "name": "assessment-objective", "prose": "asset-service dependencies are identified and documented."}, {"id": "AST-01.1_AST-01.1_A02", "name": "assessment-objective", "prose": "asset-service dependencies are assessed to evaluate cybersecurity / data privacy concerns for technology assets that support more than one critical business function."}]} \N \N \N \N +SCF:AST-01.2 SCF AST-01.2 Stakeholder Identification & Involvement Mechanisms exist to identify and involve pertinent stakeholders of critical Technology Assets, Applications, Services and/or Data (TAASD) to support the ongoing secure management of those assets. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01.2_AST-01.2_A01", "name": "assessment-objective", "prose": "pertinent stakeholders of critical systems, applications and services are identified and documented."}, {"id": "AST-01.2_AST-01.2_A02", "name": "assessment-objective", "prose": "pertinent stakeholders of critical systems, applications and services are involved in supporting the ongoing secure management of those assets."}]} \N \N \N \N +SCF:AST-01.3 SCF AST-01.3 Standardized Naming Convention Mechanisms exist to implement a scalable, standardized naming convention for Technology Assets, Applications, Services and/or Data (TAASD) that avoids asset naming conflicts. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01.3_AST-01.3_A01", "name": "assessment-objective", "prose": "a scalable, standardized naming convention exists for systems, applications and services that avoids asset naming conflicts."}]} \N \N \N \N +SCF:AST-01.5 SCF AST-01.5 Authorized To Connect Mechanisms exist to maintain a list of Technology Asset, Application and/or Service (TAAS) that are authorized to connect to organizational Technology Assets, Applications, Services and/or Data (TAASD). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-01.5_AST-01.5_A01", "name": "assessment-objective", "prose": "Technology Asset, Application and/or Service (TAAS) that are authorized to connect to organizational Technology Assets, Applications, Services and/or Data (TAASD) are identified."}, {"id": "AST-01.5_AST-01.5_A02", "name": "assessment-objective", "prose": "Identity & Access Management (IAM) personnel maintain a list of TAAS that are authorized to connect to organizational TAASD."}]} \N \N \N \N +SCF:AST-02 SCF AST-02 Asset Inventories Mechanisms exist to perform inventories of Technology Assets, Applications, Services and/or Data (TAASD) that:\r\n(1) Accurately reflects the current TAASD in use; \r\n(2) Identifies authorized software products, including business justification details;\r\n(3) Is at the level of granularity deemed necessary for tracking and reporting;\r\n(4) Includes organization-defined information deemed necessary to achieve effective property accountability; and\r\n(5) Is available for review and audit by designated organizational personnel. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02_AST-02_A01", "name": "assessment-objective", "prose": "a documented, up-to-date, complete, accurate and readily available inventory of systems and system components exists."}, {"id": "AST-02_AST-02_A02", "name": "assessment-objective", "prose": "the system inventory includes hardware, software, firmware and documentation."}, {"id": "AST-02_AST-02_A03", "name": "assessment-objective", "prose": "the inventory is maintained (reviewed / updated) throughout the system development life cycle."}, {"id": "AST-02_AST-02_A04", "name": "assessment-objective", "prose": "approved systems and system components are identified."}, {"id": "AST-02_AST-02_A05", "name": "assessment-objective", "prose": "information deemed necessary to achieve effective systems and system component accountability is defined."}, {"id": "AST-02_AST-02_A06", "name": "assessment-objective", "prose": "the frequency at which to update the inventory of systems and system components is defined."}, {"id": "AST-02_AST-02_A07", "name": "assessment-objective", "prose": "the inventory of systems and system components is updated per an organization-defined frequency."}, {"id": "AST-02_AST-02_A08", "name": "assessment-objective", "prose": "the frequency at which to review and update the system component inventory is defined."}, {"id": "AST-02_AST-02_A09", "name": "assessment-objective", "prose": "an inventory of system components is developed and documented."}, {"id": "AST-02_AST-02_A10", "name": "assessment-objective", "prose": "the system component inventory is reviewed ."}, {"id": "AST-02_AST-02_A11", "name": "assessment-objective", "prose": "the system component inventory is updated ."}]} \N \N \N \N +SCF:AST-02.1 SCF AST-02.1 Updates During Installations / Removals Mechanisms exist to update asset inventories as part of component installations, removals and asset upgrades. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.1_AST-02.1_A01", "name": "assessment-objective", "prose": "the system component inventory is updated as part of component installations."}, {"id": "AST-02.1_AST-02.1_A02", "name": "assessment-objective", "prose": "the system component inventory is updated as part of component removals."}, {"id": "AST-02.1_AST-02.1_A03", "name": "assessment-objective", "prose": "the system component inventory is updated as part of system updates."}]} \N \N \N \N +SCF:AST-02.2 SCF AST-02.2 Automated Unauthorized Component Detection Automated mechanisms exist to detect and alert upon the detection of unauthorized hardware, software and firmware components. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.2_AST-02.2_A01", "name": "assessment-objective", "prose": "automated mechanisms used to detect the presence of unauthorized hardware within the system are defined."}, {"id": "AST-02.2_AST-02.2_A02", "name": "assessment-objective", "prose": "the frequency at which automated mechanisms are used to detect the presence of unauthorized hardware, software and/or firmware within the system is defined."}, {"id": "AST-02.2_AST-02.2_A03", "name": "assessment-objective", "prose": "automated mechanisms disable network access by unauthorized components, isolate unauthorized components and/or notify organization-defined personnel or roles."}, {"id": "AST-02.2_AST-02.2_A04", "name": "assessment-objective", "prose": "personnel or roles to be notified when unauthorized components are detected is/are defined."}, {"id": "AST-02.2_AST-02.2_A05", "name": "assessment-objective", "prose": "organization-defined actions are taken when unauthorized hardware, software and/or firmware is/are detected."}]} \N \N \N \N +SCF:AST-02.3 SCF AST-02.3 Component Duplication Avoidance Mechanisms exist to establish and maintain an authoritative source and repository to provide a trusted source and accountability for approved and implemented system components that prevents assets from being duplicated in other asset inventories. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.3_AST-02.3_A01", "name": "assessment-objective", "prose": "an inventory of system components that accurately reflects the system is developed and documented."}, {"id": "AST-02.3_AST-02.3_A02", "name": "assessment-objective", "prose": "an inventory of system components that includes all components within the system is developed and documented."}, {"id": "AST-02.3_AST-02.3_A03", "name": "assessment-objective", "prose": "an inventory of system components that does not include duplicate accounting of components or components assigned to any other system is developed and documented."}, {"id": "AST-02.3_AST-02.3_A04", "name": "assessment-objective", "prose": "an inventory of system components that includes information is developed and documented."}, {"id": "AST-02.3_AST-02.3_A05", "name": "assessment-objective", "prose": "the system component inventory is reviewed / updated frequently."}]} \N \N \N \N +SCF:AST-02.4 SCF AST-02.4 Approved Baseline Deviations Mechanisms exist to document and govern instances of approved deviations from established baseline configurations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.4_AST-02.4_A01", "name": "assessment-objective", "prose": "assessed component configurations are included in the system component inventory."}, {"id": "AST-02.4_AST-02.4_A02", "name": "assessment-objective", "prose": "any approved deviations to current deployed configurations are included in the system component inventory."}]} \N \N \N \N +SCF:AST-03.2 SCF AST-03.2 Provenance Mechanisms exist to track the origin, development, ownership, location and changes to Technology Assets, Applications, Services and/or Data (TAASD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-03.2_AST-03.2_A01", "name": "assessment-objective", "prose": "systems, system components and associated data that require valid provenance are defined."}, {"id": "AST-03.2_AST-03.2_A02", "name": "assessment-objective", "prose": "valid provenance is documented for systems, system components and associated data."}, {"id": "AST-03.2_AST-03.2_A03", "name": "assessment-objective", "prose": "valid provenance is monitored for systems, system components and associated data."}, {"id": "AST-03.2_AST-03.2_A04", "name": "assessment-objective", "prose": "valid provenance is maintained for systems, system components and associated data."}, {"id": "AST-03.2_AST-03.2_A05", "name": "assessment-objective", "prose": "supply chain elements, processes and personnel associated with systems and critical system components that require unique identification are defined."}, {"id": "AST-03.2_AST-03.2_A06", "name": "assessment-objective", "prose": "unique identification of supply chain elements, processes and personnel is established."}, {"id": "AST-03.2_AST-03.2_A07", "name": "assessment-objective", "prose": "unique identification of supply chain elements, processes and personnel is maintained."}, {"id": "AST-03.2_AST-03.2_A08", "name": "assessment-objective", "prose": "systems and critical system components that require unique identification for tracking through the supply chain are defined."}, {"id": "AST-03.2_AST-03.2_A09", "name": "assessment-objective", "prose": "the unique identification of systems and critical system components is established for tracking through the supply chain."}, {"id": "AST-03.2_AST-03.2_A10", "name": "assessment-objective", "prose": "the unique identification of systems and critical system components is maintained for tracking through the supply chain."}]} \N \N \N \N +SCF:AST-02.5 SCF AST-02.5 Network Access Control (NAC) Automated mechanisms exist to employ Network Access Control (NAC), or a similar technology, which is capable of detecting unauthorized devices and disable network access to those unauthorized devices. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.5_AST-02.5_A01", "name": "assessment-objective", "prose": "system components that are known, authenticated, in a properly configured state or in a trust profile are identified."}, {"id": "AST-02.5_AST-02.5_A02", "name": "assessment-objective", "prose": "automated or manual/procedural mechanisms to prohibit system components from connecting to organizational systems are identified."}, {"id": "AST-02.5_AST-02.5_A03", "name": "assessment-objective", "prose": "automated or manual/procedural mechanisms are employed to prohibit system components from connecting to organizational systems unless the components are known, authenticated, in a properly configured state or in a trust profile."}, {"id": "AST-02.5_AST-02.5_A04", "name": "assessment-objective", "prose": "configuration management process to be employed to handle device identification and authentication based on attestation is defined."}, {"id": "AST-02.5_AST-02.5_A05", "name": "assessment-objective", "prose": "device identification and authentication are handled based on attestation by configuration management process."}]} \N \N \N \N +SCF:AST-02.6 SCF AST-02.6 Dynamic Host Configuration Protocol (DHCP) Server Logging Mechanisms exist to enable Dynamic Host Configuration Protocol (DHCP) server logging to improve asset inventories and assist in detecting unknown systems. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.6_AST-02.6_A01", "name": "assessment-objective", "prose": "Dynamic Host Configuration Protocol (DHCP) server logging is implemented."}, {"id": "AST-02.6_AST-02.6_A02", "name": "assessment-objective", "prose": "DHCP server logging is utilized to detect unknown systems."}]} \N \N \N \N +SCF:AST-02.7 SCF AST-02.7 Software Licensing Restrictions Mechanisms exist to protect Intellectual Property (IP) rights with software licensing restrictions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.7_AST-02.7_A01", "name": "assessment-objective", "prose": "administrative practices identify software licensing restrictions to ensure compliance with End User Licensing Agreements (EULA)."}, {"id": "AST-02.7_AST-02.7_A02", "name": "assessment-objective", "prose": "software inventories are automatically or manually reviewed for software licensing compliance."}]} \N \N \N \N +SCF:AST-02.8 SCF AST-02.8 Data Action Mapping Mechanisms exist to create and maintain a map of Technology Assets, Applications and/or Services (TAAS) where sensitive/regulated data is stored, transmitted or processed. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.8_AST-02.8_A01", "name": "assessment-objective", "prose": "a map of system data actions is developed and documented."}, {"id": "AST-02.8_AST-02.8_A02", "name": "assessment-objective", "prose": "the location of sensitive / regulated data is identified and documented."}, {"id": "AST-02.8_AST-02.8_A03", "name": "assessment-objective", "prose": "the system components on which sensitive / regulated data is processed are identified and documented."}, {"id": "AST-02.8_AST-02.8_A04", "name": "assessment-objective", "prose": "the system components on which sensitive / regulated data is stored are identified and documented."}, {"id": "AST-02.8_AST-02.8_A05", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is processed are documented."}, {"id": "AST-02.8_AST-02.8_A06", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is stored are documented."}, {"id": "AST-02.8_AST-02.8_A07", "name": "assessment-objective", "prose": "the location of CUI is identified and documented."}, {"id": "AST-02.8_AST-02.8_A08", "name": "assessment-objective", "prose": "the system components on which CUI is processed are identified and documented."}, {"id": "AST-02.8_AST-02.8_A09", "name": "assessment-objective", "prose": "the system components on which CUI is stored are identified and documented."}, {"id": "AST-02.8_AST-02.8_A10", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is processed are documented."}, {"id": "AST-02.8_AST-02.8_A11", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is stored are documented."}]} \N \N \N \N +SCF:AST-02.9 SCF AST-02.9 Configuration Management Database (CMDB) Mechanisms exist to implement and manage a Configuration Management Database (CMDB), or similar technology, to monitor and govern technology asset-specific information. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.9_AST-02.9_A01", "name": "assessment-objective", "prose": "a centralized repository for the system and system component inventory is provided."}, {"id": "AST-02.9_AST-02.9_A02", "name": "assessment-objective", "prose": "automated mechanisms used to maintain the currency of the system component inventory are defined."}, {"id": "AST-02.9_AST-02.9_A03", "name": "assessment-objective", "prose": "automated mechanisms used to maintain the completeness of the system component inventory are defined."}, {"id": "AST-02.9_AST-02.9_A04", "name": "assessment-objective", "prose": "automated mechanisms used to maintain the accuracy of the system component inventory are defined."}, {"id": "AST-02.9_AST-02.9_A05", "name": "assessment-objective", "prose": "automated mechanisms used to maintain the availability of the system component inventory are defined."}]} \N \N \N \N +SCF:AST-02.10 SCF AST-02.10 Automated Location Tracking Mechanisms exist to track the geographic location of system components. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.10_AST-02.10_A01", "name": "assessment-objective", "prose": "automated mechanisms for tracking components are defined."}, {"id": "AST-02.10_AST-02.10_A02", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to support the tracking of system components by geographic location."}]} \N \N \N \N +SCF:AST-02.11 SCF AST-02.11 Component Assignment Mechanisms exist to bind components to a specific system. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-02.11_AST-02.11_A01", "name": "assessment-objective", "prose": "personnel or roles from which to receive an acknowledgement is/are defined."}, {"id": "AST-02.11_AST-02.11_A02", "name": "assessment-objective", "prose": "system components are assigned to a system."}, {"id": "AST-02.11_AST-02.11_A03", "name": "assessment-objective", "prose": "an acknowledgement of the component assignment is received from organization-defined personnel or roles."}]} \N \N \N \N +SCF:AST-03 SCF AST-03 Asset Ownership Assignment Mechanisms exist to ensure asset ownership responsibilities are assigned, tracked and managed at a team, individual, or responsible organization level to establish a common understanding of requirements for asset protection. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-03_AST-03_A01", "name": "assessment-objective", "prose": "name, position and/or role of data ownership is documented."}]} \N \N \N \N +SCF:AST-04 SCF AST-04 Network Diagrams & Data Flow Diagrams (DFDs) Mechanisms exist to maintain network architecture diagrams that: \r\n(1) Contain sufficient detail to assess the security of the network's architecture;\r\n(2) Reflect the current architecture of the network environment; and\r\n(3) Document all sensitive/regulated data flows. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-04_AST-04_A01", "name": "assessment-objective", "prose": "sensitive data flows are identified and documented."}, {"id": "AST-04_AST-04_A02", "name": "assessment-objective", "prose": "a Data Flow Diagram (DFD) exists for each type of sensitive / regulated data that is stored, processed and/or transmitted."}, {"id": "AST-04_AST-04_A03", "name": "assessment-objective", "prose": "a process exists to review DFDs for accuracy."}, {"id": "AST-04_AST-04_A04", "name": "assessment-objective", "prose": "a process exists to update DFDs upon technology or business practice changes that affect where sensitive / regulated data is stored, processed and/or transmitted."}, {"id": "AST-04_AST-04_A05", "name": "assessment-objective", "prose": "one or more high-level network diagrams exist as a schematic to identify the logical placement of systems, applications and services at a conceptual level."}, {"id": "AST-04_AST-04_A06", "name": "assessment-objective", "prose": "one or more low-level network diagrams exist as a schematic to identify the detailed logical and physical placement of systems, applications and services."}, {"id": "AST-04_AST-04_A07", "name": "assessment-objective", "prose": "a process exists to review network diagrams for accuracy."}, {"id": "AST-04_AST-04_A08", "name": "assessment-objective", "prose": "a process exists to update network diagrams upon technologies change."}]} \N \N \N \N +SCF:AST-04.1 SCF AST-04.1 Asset Scope Classification Mechanisms exist to determine security, compliance and resilience control applicability by identifying, assigning and documenting the appropriate asset scope categorization for all Technology Assets, Applications and/or Services (TAAS) and personnel (internal and third-parties). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-04.1_AST-04.1_A01", "name": "assessment-objective", "prose": "system hardware components to be marked indicating the impact level or classification level of the information permitted to be processed, stored, or transmitted by the hardware component are defined."}, {"id": "AST-04.1_AST-04.1_A02", "name": "assessment-objective", "prose": "system hardware components are marked indicating the impact level or classification level of the information permitted to be processed, stored, or transmitted by the hardware component."}]} \N \N \N \N +SCF:AST-04.2 SCF AST-04.2 Control Applicability Boundary Graphical Representation Mechanisms exist to ensure control applicability is appropriately-determined for Technology Assets, Applications and/or Services (TAAS) and third parties by graphically representing applicable boundaries. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-04.2_AST-04.2_A01", "name": "assessment-objective", "prose": "one or more diagrams graphically depict control applicability boundaries for systems, applications, services and third parties to clarify \\"in-scope versus out-of-scope\\" determinations."}]} \N \N \N \N +SCF:AST-04.3 SCF AST-04.3 Compliance-Specific Asset Identification Mechanisms exist to create and maintain a current inventory of Technology Assets, Applications, Services and/or Data (TAASD) that are in scope for statutory, regulatory and/or contractual compliance obligations that provides sufficient detail to determine control applicability, based on asset scope categorization. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-04.3_AST-04.3_A01", "name": "assessment-objective", "prose": "an inventory of systems, applications and services exists for each specific statutory, regulatory and/or contractual compliance obligations that provides sufficient detail to determine control applicability, based on asset scope categorization."}, {"id": "AST-04.3_AST-04.3_A02", "name": "assessment-objective", "prose": "inventories of systems, applications and services are kept current for each specific statutory, regulatory and/or contractual compliance obligations that provides sufficient detail to determine control applicability, based on asset scope categorization."}]} \N \N \N \N +SCF:AST-05 SCF AST-05 Security of Assets & Media Mechanisms exist to maintain strict control over the internal or external distribution of any kind of sensitive/regulated media. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-05_AST-05_A01", "name": "assessment-objective", "prose": "strict control is maintained over the internal or external distribution of any kind of sensitive / regulated media."}]} \N \N \N \N +SCF:AST-05.1 SCF AST-05.1 Management Approval For External Media Transfer Mechanisms exist to obtain management approval for any sensitive/regulated media that is transferred outside of the organization's facilities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-05.1_AST-05.1_A01", "name": "assessment-objective", "prose": "written management approval is obtained prior to the transfer of any sensitive / regulated media outside of the organization's facilities."}]} \N \N \N \N +SCF:AST-06 SCF AST-06 Unattended End-User Equipment Mechanisms exist to implement enhanced protection measures for unattended technology assets to protect against tampering and unauthorized access. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-06_AST-06_A01", "name": "assessment-objective", "prose": "enhanced protection measures for unattended systems are implemented to protect against tampering and unauthorized access."}]} \N \N \N \N +SCF:AST-06.1 SCF AST-06.1 Asset Storage In Automobiles Mechanisms exist to educate users on the need to physically secure laptops and other mobile devices out of sight when traveling, preferably in the trunk of a vehicle. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-06.1_AST-06.1_A01", "name": "assessment-objective", "prose": "users are educated on the need to physically secure laptops and other mobile devices out of site when traveling, preferably in the trunk of a vehicle."}]} \N \N \N \N +SCF:AST-09 SCF AST-09 Secure Disposal, Destruction or Re-Use of Equipment Mechanisms exist to securely dispose of, destroy or repurpose system components using organization-defined techniques and methods to prevent information being recovered from these components. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-09_AST-09_A01", "name": "assessment-objective", "prose": "data, documentation, tools or system components to be disposed of are defined."}, {"id": "AST-09_AST-09_A02", "name": "assessment-objective", "prose": "techniques and methods for disposing of data, documentation, tools or system components are defined."}, {"id": "AST-09_AST-09_A03", "name": "assessment-objective", "prose": "data, documentation, tools or system components are disposed of using techniques and methods."}, {"id": "AST-09_AST-09_A04", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to disposal."}, {"id": "AST-09_AST-09_A05", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to release from organizational control."}, {"id": "AST-09_AST-09_A06", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to release for reuse."}, {"id": "AST-09_AST-09_A07", "name": "assessment-objective", "prose": "sanitization mechanisms with strength and integrity commensurate with the security category or classification of the information are employed."}]} \N \N \N \N +SCF:AST-10 SCF AST-10 Return of Assets Mechanisms exist to ensure that employees and third-party users return all organizational assets in their possession upon termination of employment, contract or agreement. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-10_AST-10_A01", "name": "assessment-objective", "prose": "the organization governs a process to ensure that employees return all organizational assets in their possession upon termination of employment."}, {"id": "AST-10_AST-10_A02", "name": "assessment-objective", "prose": "the organization governs a process to ensure that third-party users return all organizational assets in their possession upon termination of contract or agreement."}, {"id": "AST-10_AST-10_A03", "name": "assessment-objective", "prose": "upon termination of individual employment, security-related system property is retrieved."}]} \N \N \N \N +SCF:AST-11 SCF AST-11 Removal of Assets Mechanisms exist to authorize, control and track technology assets entering and exiting organizational facilities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-11_AST-11_A01", "name": "assessment-objective", "prose": "facility egress points are controlled by physical security measures."}, {"id": "AST-11_AST-11_A02", "name": "assessment-objective", "prose": "prior management authorization is required for the removal of technology assets from organizational facilities."}, {"id": "AST-11_AST-11_A03", "name": "assessment-objective", "prose": "the organization controls and tracks technology assets entering and exiting organizational facilities."}]} \N \N \N \N +SCF:AST-12 SCF AST-12 Use of Personal Devices Mechanisms exist to restrict the possession and/or use of personally-owned Technology Assets, Applications and/or Services (TAAS) within organization-controlled facilities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-12_AST-12_A01", "name": "assessment-objective", "prose": "the possession of personally-owned technology devices is restricted within organization-controlled facilities."}, {"id": "AST-12_AST-12_A02", "name": "assessment-objective", "prose": "the usage of personally-owned technology devices is restricted within organization-controlled facilities."}]} \N \N \N \N +SCF:AST-13 SCF AST-13 Use of Third-Party Devices Mechanisms exist to reduce the risk associated with third-party assets that are attached to the network from harming organizational assets or exfiltrating organizational data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-13_AST-13_A01", "name": "assessment-objective", "prose": "technology configurations prohibit third-party technology assets from connecting to the organization's internal network(s)."}]} \N \N \N \N +SCF:AST-14 SCF AST-14 Usage Parameters Mechanisms exist to monitor and enforce usage parameters that limit the potential damage caused from the unauthorized or unintentional alteration of system parameters. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-14_AST-14_A01", "name": "assessment-objective", "prose": "the components for which usage restrictions and implementation guidance are to be established are defined."}, {"id": "AST-14_AST-14_A02", "name": "assessment-objective", "prose": "usage restrictions and implementation guidelines are established for components."}, {"id": "AST-14_AST-14_A03", "name": "assessment-objective", "prose": "the use of components is authorized within the system."}, {"id": "AST-14_AST-14_A04", "name": "assessment-objective", "prose": "the use of components is monitored within the system."}, {"id": "AST-14_AST-14_A05", "name": "assessment-objective", "prose": "the use of components is controlled within the system."}]} \N \N \N \N +SCF:AST-14.1 SCF AST-14.1 Bluetooth & Wireless Devices Mechanisms exist to prevent the usage of Bluetooth and wireless devices (e.g., Near Field Communications (NFC)) in sensitive areas or unless used in a Radio Frequency (RF)-screened building. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-14.1_AST-14.1_A01", "name": "assessment-objective", "prose": "the possession of unauthorized Bluetooth and wireless devices (e.g., Near Field Communications (NFC)) is prohibited in sensitive areas."}, {"id": "AST-14.1_AST-14.1_A02", "name": "assessment-objective", "prose": "the usage of Bluetooth and wireless devices (e.g., Near Field Communications (NFC)) is prohibited in sensitive areas, unless use is in a Radio Frequency (RF)-screened building."}]} \N \N \N \N +SCF:AST-14.2 SCF AST-14.2 Infrared Communications Mechanisms exist to prevent line of sight and reflected infrared (IR) communications use in an unsecured space. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-14.2_AST-14.2_A01", "name": "assessment-objective", "prose": "the possession of unauthorized Infrared (IR) communications devices is prohibited in sensitive areas."}, {"id": "AST-14.2_AST-14.2_A02", "name": "assessment-objective", "prose": "Infrared (IR) communications are configured to prevent line of sight and reflected use in unsecured spaces."}]} \N \N \N \N +SCF:AST-15 SCF AST-15 Logical Tampering Protection Mechanisms exist to assess the integrity of critical Technology Assets, Applications and/or Services (TAAS) to detect evidence of tampering, where:\r\n(1)\tLogical assessments evaluate the integrity of critical components (e.g., configuration settings); and\r\n(2)\tPhysical assessments evaluate assets for evidence of unauthorized access and/or modifications. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-15_AST-15_A01", "name": "assessment-objective", "prose": "a tamper protection program is implemented for the system, system component or system service."}, {"id": "AST-15_AST-15_A02", "name": "assessment-objective", "prose": "anti-tamper technologies, tools and techniques are employed throughout the system development life cycle."}]} \N \N \N \N +SCF:AST-15.1 SCF AST-15.1 Technology Asset Inspections Mechanisms exist to physically and logically inspect critical technology assets to detect evidence of tampering. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-15.1_AST-15.1_A01", "name": "assessment-objective", "prose": "systems or system components that require inspection are defined."}, {"id": "AST-15.1_AST-15.1_A02", "name": "assessment-objective", "prose": "the frequency at which to inspect systems or system components is defined."}, {"id": "AST-15.1_AST-15.1_A03", "name": "assessment-objective", "prose": "indications of the need for an inspection of systems or system components are defined."}, {"id": "AST-15.1_AST-15.1_A04", "name": "assessment-objective", "prose": "systems or system components are inspected to detect tampering."}]} \N \N \N \N +SCF:AST-16 SCF AST-16 Bring Your Own Device (BYOD) Usage Mechanisms exist to implement and govern a Bring Your Own Device (BYOD) program to reduce risk associated with personally-owned devices in the workplace. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-16_AST-16_A01", "name": "assessment-objective", "prose": "a Bring Your Own Device (BYOD) program is implemented and governed to reduce risk associated with personally-owned devices in the workplace."}]} \N \N \N \N +SCF:AST-17 SCF AST-17 Prohibited Equipment & Services Mechanisms exist to govern Supply Chain Risk Management (SCRM) sanctions that require the removal and prohibition of certain Technology Assets, Applications and/or Services (TAAS) that are designated as supply chain threats by a statutory or regulatory body. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-17_AST-17_A01", "name": "assessment-objective", "prose": "Supply Chain Risk Management (SCRM) practices require the removal and prohibition of certain technology services and/or equipment that are designated as supply chain threats by a statutory or regulatory body."}]} \N \N \N \N +SCF:AST-18 SCF AST-18 Roots of Trust Protection Mechanisms exist to provision and protect the confidentiality, integrity and authenticity of product supplier keys and data that can be used as a “roots of trust” basis for integrity verification. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-18_AST-18_A01", "name": "assessment-objective", "prose": "security-critical or essential software is defined."}, {"id": "AST-18_AST-18_A02", "name": "assessment-objective", "prose": "root of trust mechanisms or cryptographic signatures are identified."}, {"id": "AST-18_AST-18_A03", "name": "assessment-objective", "prose": "the integrity of security critical or essential software is verified using root of trust mechanisms or cryptographic signatures."}]} \N \N \N \N +SCF:AST-19 SCF AST-19 Telecommunications Equipment Mechanisms exist to establish usage restrictions and implementation guidance for telecommunication equipment to prevent potential damage or unauthorized modification and to prevent potential eavesdropping. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-19_AST-19_A01", "name": "assessment-objective", "prose": "implementation guidance for telecommunication equipment is established to prevent damage, unauthorized modification and potential eavesdropping."}]} \N \N \N \N +SCF:AST-20 SCF AST-20 Video Teleconference (VTC) Security Mechanisms exist to implement secure Video Teleconference (VTC) capabilities on endpoint devices and in designated conference rooms, to prevent potential eavesdropping. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-20_AST-20_A01", "name": "assessment-objective", "prose": "Video Teleconference (VTC) capabilities are secured in designated conference rooms to prevent potential eavesdropping."}, {"id": "AST-20_AST-20_A02", "name": "assessment-objective", "prose": "personnel are trained to use Video Teleconference (VTC) capabilities on endpoint devices outside of conference rooms in a secure manner that prevents eavesdropping."}]} \N \N \N \N +SCF:AST-21 SCF AST-21 Voice Over Internet Protocol (VoIP) Security Mechanisms exist to implement secure Internet Protocol Telephony (IPT) that logically or physically separates Voice Over Internet Protocol (VoIP) traffic from data networks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-21_AST-21_A01", "name": "assessment-objective", "prose": "Internet Protocol Telephony (IPT) is securely implemented that logically or physically separates Voice Over Internet Protocol (VoIP) traffic from data networks."}]} \N \N \N \N +SCF:AST-22 SCF AST-22 Microphones & Web Cameras Mechanisms exist to configure assets to prohibit the use of endpoint-based microphones and web cameras in secure areas or where sensitive/regulated information is discussed. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-22_AST-22_A01", "name": "assessment-objective", "prose": "assets are configured to prohibit the use of endpoint-based microphones and/or web cameras in secure areas or where sensitive information is discussed."}]} \N \N \N \N +SCF:AST-23 SCF AST-23 Multi-Function Devices (MFD) Mechanisms exist to securely configure Multi-Function Devices (MFD) according to industry-recognized secure practices for the type of device. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-23_AST-23_A01", "name": "assessment-objective", "prose": "Multi-Function Devices (MFD) are securely configured according to industry-recognized secure practices for the type of device."}]} \N \N \N \N +SCF:AST-24 SCF AST-24 Travel-Only Devices Mechanisms exist to issue personnel travelling overseas with temporary, loaner or "travel-only" end user technology (e.g., laptops and mobile devices) when travelling to authoritarian countries with a higher-than average risk for Intellectual Property (IP) theft or espionage against individuals and private companies. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-24_AST-24_A01", "name": "assessment-objective", "prose": "the organization maintains a pool of temporary, loaner or \\"travel-only\\" end user technology (e.g., laptops and mobile devices)."}, {"id": "AST-24_AST-24_A02", "name": "assessment-objective", "prose": "personnel travelling overseas request and are issued a temporary, loaner or \\"travel-only\\" end user technology (e.g., laptops and mobile devices) when travelling to authoritarian countries with a higher-than average risk for Intellectual Property (IP) theft or espionage against individuals and private companies."}, {"id": "AST-24_AST-24_A03", "name": "assessment-objective", "prose": "systems or system components with organization-defined configurations are issued to individuals traveling to high-risk locations."}, {"id": "AST-24_AST-24_A04", "name": "assessment-objective", "prose": "systems or system components with the following configurations are issued to individuals traveling to high-risk locations: ."}]} \N \N \N \N +SCF:AST-25 SCF AST-25 Re-Imaging Devices After Travel Mechanisms exist to re-image end user technology (e.g., laptops and mobile devices) when returning from overseas travel to an authoritarian country with a higher-than average risk for Intellectual Property (IP) theft or espionage against individuals and private companies. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-25_AST-25_A01", "name": "assessment-objective", "prose": "upon return from travel to authoritarian counties, the issued temporary, loaner or \\"travel-only\\" end user technology (e.g., laptops and mobile devices) is wiped / re-imaged before being re-issued."}, {"id": "AST-25_AST-25_A02", "name": "assessment-objective", "prose": "organization-defined security requirements are applied to the system or system components when the individuals return from travel."}, {"id": "AST-25_AST-25_A03", "name": "assessment-objective", "prose": "the following security requirements are applied to the system or system components when the individuals return from travel: ."}]} \N \N \N \N +SCF:AST-26 SCF AST-26 System Administrative Processes Mechanisms exist to develop, implement and govern system administration processes, with corresponding Standardized Operating Procedures (SOP), for operating and maintaining Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-26_AST-26_A01", "name": "assessment-objective", "prose": "system administration processes, with corresponding Standardized Operating Procedures (SOP), are developed, implemented and governed for operating and maintaining systems, applications and services."}]} \N \N \N \N +SCF:AST-27 SCF AST-27 Jump Server Mechanisms exist to conduct remote system administrative functions via a "jump box" or "jump server" that is located in a separate network zone to user workstations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-27_AST-27_A01", "name": "assessment-objective", "prose": "a \\"jump box\\" or \\"jump server\\" is established in secure enclaves that are in a separate network zone to user workstations."}, {"id": "AST-27_AST-27_A02", "name": "assessment-objective", "prose": "non-console system administrative functions are restricted to connect to secure enclaves via a \\"jump box\\" or \\"jump server\\" that is located in a separate network zone to user workstations."}]} \N \N \N \N +SCF:AST-28 SCF AST-28 Database Administrative Processes Mechanisms exist to develop, implement and govern database management processes, with corresponding Standardized Operating Procedures (SOP), for operating and maintaining databases. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-28_AST-28_A01", "name": "assessment-objective", "prose": "database management processes, with corresponding Standardized Operating Procedures (SOP), are developed, implemented and governed for operating and maintaining databases."}]} \N \N \N \N +SCF:AST-28.1 SCF AST-28.1 Database Management System (DBMS) Mechanisms exist to implement and maintain Database Management Systems (DBMSs), where applicable. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-28.1_AST-28.1_A01", "name": "assessment-objective", "prose": "Database Management Systems (DBMSs) are implemented and maintained."}]} \N \N \N \N +SCF:AST-29 SCF AST-29 Radio Frequency Identification (RFID) Security Mechanisms exist to securely govern Radio Frequency Identification (RFID) deployments to ensure RFID is used safely and securely to protect the confidentiality and integrity of data and prevent the compromise of secure spaces. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-29_AST-29_A01", "name": "assessment-objective", "prose": "secure baseline configurations exist for Radio Frequency Identification (RFID) devices to protect the confidentiality and integrity of data being stored, processed and/or transmitted."}, {"id": "AST-29_AST-29_A02", "name": "assessment-objective", "prose": "Radio Frequency Identification (RFID) devices are secured according to defined secure baseline configurations."}]} \N \N \N \N +SCF:AST-29.1 SCF AST-29.1 Contactless Access Control Systems Mechanisms exist to securely configure contactless access control systems incorporating contactless RFID or smart cards to protect the confidentiality and integrity of data and prevent the compromise of secure spaces. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-29.1_AST-29.1_A01", "name": "assessment-objective", "prose": "secure baseline configurations exist for contactless access control systems to protect the confidentiality and integrity of data being stored, processed and/or transmitted."}, {"id": "AST-29.1_AST-29.1_A02", "name": "assessment-objective", "prose": "contactless access control systems that are secured according to defined secure baseline configurations."}]} \N \N \N \N +SCF:AST-30 SCF AST-30 Decommissioning Mechanisms exist to ensure Technology Assets, Applications and/or Services (TAAS) are properly decommissioned so that data is properly transitioned to new systems or archived in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-30_AST-30_A01", "name": "assessment-objective", "prose": "systems, applications and services are properly decommissioned so that data is properly transitioned to new systems or archived in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations."}]} \N \N \N \N +SCF:AST-31 SCF AST-31 Asset Categorization Mechanisms exist to categorize Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-31_AST-31_A01", "name": "assessment-objective", "prose": "the organization utilizes a defined methodology to categorize its technology assets based on data sensitivity and criticality."}]} \N \N \N \N +SCF:AST-31.1 SCF AST-31.1 Categorize Artificial Intelligence (AI)-Related Technologies Mechanisms exist to categorize Artificial Intelligence (AI) and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-31.1_AST-31.1_A01", "name": "assessment-objective", "prose": "the organization utilizes a defined methodology to categorize Artificial Intelligence (AI) and Autonomous Technologies (AAT) based on data sensitivity and criticality."}]} \N \N \N \N +SCF:AST-31.2 SCF AST-31.2 High-Risk Asset Categorization Mechanisms exist to categorize a system and/or service as "High Risk" if it poses a significant risk of harm to an individual's:\r\n(1) Health;\r\n(2) Safety; and/or \r\n(3) Fundamental human rights. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-31.2_AST-31.2_A01", "name": "assessment-objective", "prose": "a system and/or service is categorized as \\"High Risk\\" if it poses a significant risk of harm to an individual's health."}, {"id": "AST-31.2_AST-31.2_A02", "name": "assessment-objective", "prose": "a system and/or service is categorized as \\"High Risk\\" if it poses a significant risk of harm to an individual's safety."}, {"id": "AST-31.2_AST-31.2_A03", "name": "assessment-objective", "prose": "a system and/or service is categorized as \\"High Risk\\" if it poses a significant risk of harm to an individual's fundamental human rights."}]} \N \N \N \N +SCF:AST-31.3 SCF AST-31.3 Asset Attributes Mechanisms exist to dynamically associate asset-specific attributes to enable Attribute-Based Access Control (ABAC). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-31.3_AST-31.3_A01", "name": "assessment-objective", "prose": "a capability exists to dynamically associate asset-specific attributes to enable Attribute-Based Access Control (ABAC)."}]} \N \N \N \N +SCF:AST-32 SCF AST-32 Automated Network Asset Discovery Mechanisms exist to automate network asset discovery through Software Defined Networking (SDN), or similar technologies, that analyzes network traffic to:\r\n(1) Identify;\r\n(2) Document; and \r\n(3) Track devices. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Asset Management", "assessment_objective": [{"id": "AST-32_AST-32_A01", "name": "assessment-objective", "prose": "Software Defined Networking (SDN), or similar technologies, analyzes network traffic to identify devices."}, {"id": "AST-32_AST-32_A02", "name": "assessment-objective", "prose": "Software Defined Networking (SDN), or similar technologies, analyzes network traffic to document devices."}, {"id": "AST-32_AST-32_A03", "name": "assessment-objective", "prose": "Software Defined Networking (SDN), or similar technologies, analyzes network traffic to track devices."}]} \N \N \N \N +SCF:BCD-01 SCF BCD-01 Business Continuity Management System (BCMS) Mechanisms exist to facilitate the implementation of contingency planning controls to help ensure resilient Technology Assets, Applications and/or Services (TAAS) (e.g., Continuity of Operations Plan (COOP) or Business Continuity & Disaster Recovery (BC/DR) playbooks). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01_BCD-01_A01", "name": "assessment-objective", "prose": "cybersecurity issues are addressed in the development of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A02", "name": "assessment-objective", "prose": "privacy issues are addressed in the development of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A03", "name": "assessment-objective", "prose": "cybersecurity issues are addressed in the documentation of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A04", "name": "assessment-objective", "prose": "privacy issues are addressed in the documentation of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A05", "name": "assessment-objective", "prose": "cybersecurity issues are addressed in the update of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A06", "name": "assessment-objective", "prose": "privacy issues are addressed in the update of a critical infrastructure and key resources protection plan."}, {"id": "BCD-01_BCD-01_A07", "name": "assessment-objective", "prose": "Business Continuity & Disaster Recovery (BC/DR) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "BCD-01_BCD-01_A08", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Business Continuity & Disaster Recovery (BC/DR) operations."}, {"id": "BCD-01_BCD-01_A09", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Business Continuity & Disaster Recovery (BC/DR)-related activities are assigned to designated personnel."}, {"id": "BCD-01_BCD-01_A10", "name": "assessment-objective", "prose": "personnel performing Business Continuity & Disaster Recovery (BC/DR)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:BCD-01.1 SCF BCD-01.1 Coordinate with Related Plans Mechanisms exist to coordinate contingency plan development with internal and external elements responsible for related plans. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.1_BCD-01.1_A01", "name": "assessment-objective", "prose": "contingency plan development is coordinated with organizational elements responsible for related plans."}]} \N \N \N \N +SCF:BCD-01.2 SCF BCD-01.2 Coordinate With External Service Providers Mechanisms exist to coordinate internal contingency plans with the contingency plans of external service providers to ensure that contingency requirements can be satisfied. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.2_BCD-01.2_A01", "name": "assessment-objective", "prose": "the contingency plan is coordinated with the contingency plans of external service providers to ensure that contingency requirements can be satisfied."}]} \N \N \N \N +SCF:CPL-03.1 SCF CPL-03.1 Independent Assessors Mechanisms exist to utilize independent assessors to evaluate security, compliance and resilience at planned intervals or when the Technology Asset, Application and/or Service (TAAS) undergoes significant changes. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.1_CPL-03.1_A01", "name": "assessment-objective", "prose": "independent assessors or assessment teams are employed to monitor in-scope controls on an ongoing basis."}]} \N \N \N \N +SCF:BCD-01.3 SCF BCD-01.3 Transfer to Alternate Processing / Storage Site Mechanisms exist to redeploy personnel to other roles during a disruptive event or in the execution of a continuity plan. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.3_BCD-01.3_A01", "name": "assessment-objective", "prose": "the transfer of organization-defined criteria mission and business functions to alternate processing and/or storage sites with minimal or no loss of operational continuity is planned for."}, {"id": "BCD-01.3_BCD-01.3_A02", "name": "assessment-objective", "prose": "operational continuity is sustained until full system restoration at primary processing and/or storage sites."}]} \N \N \N \N +SCF:BCD-01.4 SCF BCD-01.4 Recovery Time / Point Objectives (RTO / RPO) Mechanisms exist to facilitate recovery operations in accordance with Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.4_BCD-01.4_A01", "name": "assessment-objective", "prose": "time period consistent with Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs) for the recovery of the system is determined."}, {"id": "BCD-01.4_BCD-01.4_A02", "name": "assessment-objective", "prose": "the alternate storage site is configured to facilitate recovery operations in accordance with Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs)."}, {"id": "BCD-01.4_BCD-01.4_A03", "name": "assessment-objective", "prose": "time period consistent with Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs) for the reconstitution of the system is determined."}, {"id": "BCD-01.4_BCD-01.4_A04", "name": "assessment-objective", "prose": "the recovery of the system to a known state is provided within a specified time period after a disruption, compromise or failure."}, {"id": "BCD-01.4_BCD-01.4_A05", "name": "assessment-objective", "prose": "a reconstitution of the system to a known state is provided within an organization-defined time period after a disruption, compromise or failure."}]} \N \N \N \N +SCF:BCD-01.5 SCF BCD-01.5 Recovery Operations Criteria Mechanisms exist to define specific criteria that must be met to initiate Business Continuity / Disaster Recover (BC/DR) plans that facilitate business continuity operations capable of meeting applicable Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.5_BCD-01.5_A01", "name": "assessment-objective", "prose": "criteria that must be met to initiate Business Continuity / Disaster Recovery (BC/DR) plans that facilitate business continuity operations capable of meeting applicable Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs) is defined."}]} \N \N \N \N +SCF:BCD-01.6 SCF BCD-01.6 Recovery Operations Communications Mechanisms exist to communicate the status of recovery activities and progress in restoring operational capabilities to designated internal and external stakeholders. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.6_BCD-01.6_A01", "name": "assessment-objective", "prose": "internal and external stakeholders requiring notification of recovery activities and progress in restoring operational capabilities are identified."}, {"id": "BCD-01.6_BCD-01.6_A02", "name": "assessment-objective", "prose": "based on the type of incident, methods to contact internal and external stakeholders requiring notification of recovery activities and progress in restoring operational capabilities are identified."}, {"id": "BCD-01.6_BCD-01.6_A03", "name": "assessment-objective", "prose": "processes exist to communicate the status of recovery activities and progress in restoring operational capabilities to designated internal and external stakeholders."}]} \N \N \N \N +SCF:BCD-01.7 SCF BCD-01.7 Business Continuity & Disaster Recovery (BC/DR) Plans Mechanisms exist for process owners to establish and maintain formal Business Continuity & Disaster Recovery (BC/DR) plans to ensure information is detailed enough, accurate and representative of current operations in order to sustain and/or restore operations under adverse conditions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-01.7_BCD-01.7_A01", "name": "assessment-objective", "prose": "Documented roles and responsibilities exist that direct process owners to establish and maintain formal Business Continuity & Disaster Recovery (BC/DR) plans."}, {"id": "BCD-01.7_BCD-01.7_A02", "name": "assessment-objective", "prose": "Process owners to establish and maintain formal BC/DR plans to ensure information is detailed enough, accurate and representative of current operations in order to sustain and/or restore operations under adverse conditions."}]} \N \N \N \N +SCF:BCD-02 SCF BCD-02 Identify Critical Assets Mechanisms exist to identify and document the critical Technology Assets, Applications, Services and/or Data (TAASD) that support essential missions and business functions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-02_BCD-02_A01", "name": "assessment-objective", "prose": "systems, applications and services that support essential missions and business functions are identified."}, {"id": "BCD-02_BCD-02_A02", "name": "assessment-objective", "prose": "critical system assets supporting organization-defined criteria mission and business functions are identified."}]} \N \N \N \N +SCF:BCD-02.1 SCF BCD-02.1 Resume All Missions & Business Functions Mechanisms exist to resume all missions and business functions within Recovery Time Objectives (RTOs) of the contingency plan's activation. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-02.1_BCD-02.1_A01", "name": "assessment-objective", "prose": "the contingency plan activation time period within which to resume all mission and business functions is defined."}, {"id": "BCD-02.1_BCD-02.1_A02", "name": "assessment-objective", "prose": "the resumption of all mission and business functions are planned for within an organization-defined time period of contingency plan activation."}]} \N \N \N \N +SCF:BCD-02.2 SCF BCD-02.2 Continue Essential Mission & Business Functions Mechanisms exist to continue essential missions and business functions with little or no loss of operational continuity and sustain that continuity until full system restoration at primary processing and/or storage sites. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-02.2_BCD-02.2_A01", "name": "assessment-objective", "prose": "the continuance of organization-defined criteria mission and business functions with minimal or no loss of operational continuity is planned for."}, {"id": "BCD-02.2_BCD-02.2_A02", "name": "assessment-objective", "prose": "continuity is sustained until full system restoration at primary processing and/or storage sites."}]} \N \N \N \N +SCF:BCD-02.3 SCF BCD-02.3 Resume Essential Missions & Business Functions Mechanisms exist to resume essential missions and business functions within an organization-defined time period of contingency plan activation. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-02.3_BCD-02.3_A01", "name": "assessment-objective", "prose": "the contingency plan activation time period within which to resume essential mission and business functions is defined."}, {"id": "BCD-02.3_BCD-02.3_A02", "name": "assessment-objective", "prose": "the resumption of essential mission and business functions are planned for within an organization-defined time period of contingency plan activation."}]} \N \N \N \N +SCF:BCD-02.4 SCF BCD-02.4 Data Storage Location Reviews Mechanisms exist to perform periodic security reviews of storage locations that contain sensitive/regulated data. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-02.4_BCD-02.4_A01", "name": "assessment-objective", "prose": "periodic security reviews of storage locations that contain sensitive / regulated data are performed."}, {"id": "BCD-02.4_BCD-02.4_A02", "name": "assessment-objective", "prose": "identified deficiencies identified during reviews of storage locations are tracked via a Plan of Action and Milestones (POA&M), or risk register, through remediation."}]} \N \N \N \N +SCF:BCD-03 SCF BCD-03 Contingency Training Mechanisms exist to adequately train contingency personnel and applicable stakeholders in their contingency roles and responsibilities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-03_BCD-03_A01", "name": "assessment-objective", "prose": "the time period within which to provide contingency training after assuming a contingency role or responsibility is defined."}, {"id": "BCD-03_BCD-03_A02", "name": "assessment-objective", "prose": "the frequency at which to provide training to system users with a contingency role or responsibility is defined."}, {"id": "BCD-03_BCD-03_A03", "name": "assessment-objective", "prose": "the frequency at which to review / update contingency training content is defined."}, {"id": "BCD-03_BCD-03_A04", "name": "assessment-objective", "prose": "events necessitating review / update of contingency training are defined."}, {"id": "BCD-03_BCD-03_A05", "name": "assessment-objective", "prose": "contingency training is provided to system users consistent with assigned roles and responsibilities within an organization-defined time period of assuming a contingency role or responsibility."}, {"id": "BCD-03_BCD-03_A06", "name": "assessment-objective", "prose": "contingency training is provided to system users consistent with assigned roles and responsibilities when required by system changes."}, {"id": "BCD-03_BCD-03_A07", "name": "assessment-objective", "prose": "contingency training is provided to system users consistent with assigned roles and responsibilities and frequency thereafter."}, {"id": "BCD-03_BCD-03_A08", "name": "assessment-objective", "prose": "the contingency plan training content is reviewed / updated frequently."}, {"id": "BCD-03_BCD-03_A09", "name": "assessment-objective", "prose": "the contingency plan training content is reviewed / updated following events."}]} \N \N \N \N +SCF:BCD-03.1 SCF BCD-03.1 Simulated Events Mechanisms exist to incorporate simulated events into contingency training to facilitate effective response by personnel in crisis situations. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-03.1_BCD-03.1_A01", "name": "assessment-objective", "prose": "simulated events are incorporated into contingency training to facilitate effective response by personnel in crisis situations."}]} \N \N \N \N +SCF:BCD-03.2 SCF BCD-03.2 Automated Training Environments Automated mechanisms exist to provide a more thorough and realistic contingency training environment. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-03.2_BCD-03.2_A01", "name": "assessment-objective", "prose": "mechanisms used in operations are employed to provide a more thorough and realistic contingency training environment."}]} \N \N \N \N +SCF:BCD-04 SCF BCD-04 Contingency Plan Testing & Exercises Mechanisms exist to conduct tests and/or exercises to evaluate the contingency plan's effectiveness and the organization's readiness to execute the plan. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-04_BCD-04_A01", "name": "assessment-objective", "prose": "the frequency of testing the contingency plan for the system is defined."}, {"id": "BCD-04_BCD-04_A02", "name": "assessment-objective", "prose": "tests for determining the effectiveness of the contingency plan are defined."}, {"id": "BCD-04_BCD-04_A03", "name": "assessment-objective", "prose": "tests for determining readiness to execute the contingency plan are defined."}, {"id": "BCD-04_BCD-04_A04", "name": "assessment-objective", "prose": "the contingency plan for the system is tested frequently."}, {"id": "BCD-04_BCD-04_A05", "name": "assessment-objective", "prose": "tests are used to determine the effectiveness of the plan."}, {"id": "BCD-04_BCD-04_A06", "name": "assessment-objective", "prose": "tests are used to determine the readiness to execute the plan."}]} \N \N \N \N +SCF:BCD-04.1 SCF BCD-04.1 Coordinated Testing with Related Plans Mechanisms exist to coordinate contingency plan testing with internal and external elements responsible for related plans. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-04.1_BCD-04.1_A01", "name": "assessment-objective", "prose": "contingency plan testing is coordinated with organizational elements responsible for related plans."}]} \N \N \N \N +SCF:BCD-04.2 SCF BCD-04.2 Alternate Storage & Processing Sites Mechanisms exist to test contingency plans at alternate storage & processing sites to both familiarize contingency personnel with the facility and evaluate the capabilities of the alternate processing site to support contingency operations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-04.2_BCD-04.2_A01", "name": "assessment-objective", "prose": "the contingency plan is tested at the alternate processing site to familiarize contingency personnel with the facility and available resources."}, {"id": "BCD-04.2_BCD-04.2_A02", "name": "assessment-objective", "prose": "the contingency plan is tested at the alternate processing site to evaluate the capabilities of the alternate processing site to support contingency operations."}]} \N \N \N \N +SCF:BCD-06.1 SCF BCD-06.1 Contingency Planning Components Mechanisms exist to identify components that potentially impact the organization's ability to execute contingency plans, including changes to:\r\n(1) Personnel roles;\r\n(2) Business processes (including the use of third-party services);\r\n(3) Deployed technologies; \r\n(4) Data repositories and/or data flows; and/or\r\n(5) Physical infrastructure. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-06.1_BCD-06.1_A01", "name": "assessment-objective", "prose": "the organization identifies components that, if changed, potentially impact the organization's ability to execute contingency plans."}]} \N \N \N \N +SCF:BCD-06.2 SCF BCD-06.2 Contingency Plan Update Notifications Mechanisms exist to keep stakeholders informed of changes to contingency plans. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-06.2_BCD-06.2_A01", "name": "assessment-objective", "prose": "stakeholders for contingency plans are identified."}, {"id": "BCD-06.2_BCD-06.2_A02", "name": "assessment-objective", "prose": "stakeholders are informed of changes to contingency plans."}]} \N \N \N \N +SCF:BCD-07 SCF BCD-07 Alternative Security Measures Mechanisms exist to implement alternative or compensating controls to satisfy security functions when the primary means of implementing the security function is unavailable or compromised. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-07_BCD-07_A01", "name": "assessment-objective", "prose": "alternative or supplemental security mechanisms are defined."}, {"id": "BCD-07_BCD-07_A02", "name": "assessment-objective", "prose": "alternative or supplemental security mechanisms are employed for satisfying security functions when the primary means of implementing the security function is unavailable or compromised."}, {"id": "BCD-07_BCD-07_A03", "name": "assessment-objective", "prose": "security functions are defined."}]} \N \N \N \N +SCF:BCD-08 SCF BCD-08 Alternate Storage Site Mechanisms exist to establish an alternate storage site that includes both the assets and necessary agreements to permit the storage and recovery of system backup information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-08_BCD-08_A01", "name": "assessment-objective", "prose": "an alternate storage site is established."}, {"id": "BCD-08_BCD-08_A02", "name": "assessment-objective", "prose": "establishment of the alternate storage site includes necessary agreements to permit the storage and retrieval of system backup information."}, {"id": "BCD-08_BCD-08_A03", "name": "assessment-objective", "prose": "the alternate storage site provides controls equivalent to that of the primary site."}, {"id": "BCD-08_BCD-08_A04", "name": "assessment-objective", "prose": "the location or site of the facility where the system resides is planned considering physical and environmental hazards."}]} \N \N \N \N +SCF:BCD-08.1 SCF BCD-08.1 Separation from Primary Storage Site Mechanisms exist to separate the alternate storage site from the primary storage site to reduce susceptibility to similar threats. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-08.1_BCD-08.1_A01", "name": "assessment-objective", "prose": "an alternate storage site that is sufficiently separated from the primary storage site is identified to reduce susceptibility to the same threats."}]} \N \N \N \N +SCF:BCD-08.2 SCF BCD-08.2 Primary Storage Site Accessibility Mechanisms exist to identify and mitigate potential accessibility problems to the alternate storage sites in the event of an area-wide disruption or disaster. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-08.2_BCD-08.2_A01", "name": "assessment-objective", "prose": "potential accessibility problems to the alternate storage site in the event of an area-wide disruption or disaster are identified."}, {"id": "BCD-08.2_BCD-08.2_A02", "name": "assessment-objective", "prose": "explicit mitigation actions to address identified accessibility problems are outlined."}]} \N \N \N \N +SCF:BCD-09 SCF BCD-09 Alternate Processing Site Mechanisms exist to establish an alternate processing site that provides security measures equivalent to that of the primary site. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09_BCD-09_A01", "name": "assessment-objective", "prose": "system operations for essential mission and business functions are defined."}, {"id": "BCD-09_BCD-09_A02", "name": "assessment-objective", "prose": "time period consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-09_BCD-09_A03", "name": "assessment-objective", "prose": "an alternate processing site, including necessary agreements to permit the transfer and resumption of system operations for essential mission and business functions, is established within an organization-defined time period when the primary processing capabilities are unavailable."}, {"id": "BCD-09_BCD-09_A04", "name": "assessment-objective", "prose": "the equipment and supplies required to transfer operations are made available at the alternate processing site or if contracts are in place to support delivery to the site within an organization-specified time period for transfer."}, {"id": "BCD-09_BCD-09_A05", "name": "assessment-objective", "prose": "the equipment and supplies required to resume operations are made available at the alternate processing site or if contracts are in place to support delivery to the site within an organization-defined time period for resumption."}, {"id": "BCD-09_BCD-09_A06", "name": "assessment-objective", "prose": "controls provided at the alternate processing site are equivalent to those at the primary site."}, {"id": "BCD-09_BCD-09_A07", "name": "assessment-objective", "prose": "the location or site of the facility where the system resides is planned considering physical and environmental hazards."}]} \N \N \N \N +SCF:BCD-09.1 SCF BCD-09.1 Separation from Primary Processing Site Mechanisms exist to separate the alternate processing site from the primary processing site to reduce susceptibility to similar threats. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09.1_BCD-09.1_A01", "name": "assessment-objective", "prose": "an alternate processing site is sufficiently separated from the primary processing site to reduce susceptibility to the same threats is identified."}]} \N \N \N \N +SCF:BCD-09.2 SCF BCD-09.2 Alternate Processing Site Accessibility Mechanisms exist to identify and mitigate potential accessibility problems to the alternate processing sites and possible mitigation actions, in the event of an area-wide disruption or disaster. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-09.2_BCD-09.2_A01", "name": "assessment-objective", "prose": "potential accessibility problems to alternate processing sites in the event of an area-wide disruption or disaster are identified."}, {"id": "BCD-09.2_BCD-09.2_A02", "name": "assessment-objective", "prose": "explicit mitigation actions to address identified accessibility problems are outlined."}]} \N \N \N \N +SCF:BCD-10 SCF BCD-10 Telecommunications Services Availability Mechanisms exist to reduce the likelihood of a single point of failure with primary telecommunications services. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-10_BCD-10_A01", "name": "assessment-objective", "prose": "alternative communications protocols in support of maintaining continuity of operations are defined."}, {"id": "BCD-10_BCD-10_A02", "name": "assessment-objective", "prose": "the capability to employ alternative communications protocols are provided in support of maintaining continuity of operations."}, {"id": "BCD-10_BCD-10_A03", "name": "assessment-objective", "prose": "system operations to be resumed for essential mission and business functions are defined."}, {"id": "BCD-10_BCD-10_A04", "name": "assessment-objective", "prose": "time period within which to resume essential mission and business functions when the primary telecommunications capabilities are unavailable is defined."}, {"id": "BCD-10_BCD-10_A05", "name": "assessment-objective", "prose": "alternate telecommunications services, including necessary agreements to permit the resumption of system operations, are established for essential mission and business functions within an organization-defined time period when the primary telecommunications capabilities are unavailable at either the primary or alternate processing or storage sites."}, {"id": "BCD-10_BCD-10_A06", "name": "assessment-objective", "prose": "alternate telecommunications services to reduce the likelihood of sharing a single point of failure with primary telecommunications services are obtained."}]} \N \N \N \N +SCF:BCD-10.1 SCF BCD-10.1 Telecommunications Priority of Service Provisions Mechanisms exist to formalize primary and alternate telecommunications service agreements contain priority-of-service provisions that support availability requirements, including Recovery Time Objectives (RTOs). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-10.1_BCD-10.1_A01", "name": "assessment-objective", "prose": "primary telecommunications service agreements that contain priority-of-service provisions in accordance with availability requirements (including recovery time objectives) are developed."}, {"id": "BCD-10.1_BCD-10.1_A02", "name": "assessment-objective", "prose": "alternate telecommunications service agreements that contain priority-of-service provisions in accordance with availability requirements (including recovery time objectives) are developed."}, {"id": "BCD-10.1_BCD-10.1_A03", "name": "assessment-objective", "prose": "Telecommunications Service Priority is requested for all telecommunications services used for national security emergency preparedness if the primary and/or alternate telecommunications services are provided by a common carrier."}]} \N \N \N \N +SCF:BCD-10.2 SCF BCD-10.2 Separation of Primary / Alternate Providers Mechanisms exist to obtain alternate telecommunications services from providers that are separated from primary service providers to reduce susceptibility to the same threats. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-10.2_BCD-10.2_A01", "name": "assessment-objective", "prose": "alternate telecommunications services from providers that are separated from primary service providers are obtained to reduce susceptibility to the same threats."}]} \N \N \N \N +SCF:BCD-10.3 SCF BCD-10.3 Provider Contingency Plan Mechanisms exist to contractually-require external service providers to have contingency plans that meet organizational contingency requirements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-10.3_BCD-10.3_A01", "name": "assessment-objective", "prose": "the frequency at which to obtain evidence of contingency testing by providers is defined."}, {"id": "BCD-10.3_BCD-10.3_A02", "name": "assessment-objective", "prose": "the frequency at which to obtain evidence of contingency training by providers is defined."}, {"id": "BCD-10.3_BCD-10.3_A03", "name": "assessment-objective", "prose": "primary telecommunications service providers are required to have contingency plans."}, {"id": "BCD-10.3_BCD-10.3_A04", "name": "assessment-objective", "prose": "alternate telecommunications service providers are required to have contingency plans."}, {"id": "BCD-10.3_BCD-10.3_A05", "name": "assessment-objective", "prose": "provider contingency plans are reviewed to ensure that the plans meet organizational contingency requirements."}, {"id": "BCD-10.3_BCD-10.3_A06", "name": "assessment-objective", "prose": "evidence of contingency testing by providers is obtained."}, {"id": "BCD-10.3_BCD-10.3_A07", "name": "assessment-objective", "prose": "evidence of contingency training by providers is obtained."}]} \N \N \N \N +SCF:BCD-10.4 SCF BCD-10.4 Alternate Communications Channels Mechanisms exist to maintain command and control capabilities via alternate communications channels and designating alternative decision makers if primary decision makers are unavailable. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-10.4_BCD-10.4_A01", "name": "assessment-objective", "prose": "alternate communication paths for system operations and operational command and control are defined."}, {"id": "BCD-10.4_BCD-10.4_A02", "name": "assessment-objective", "prose": "alternate communication paths are established for system operations and operational command and control."}]} \N \N \N \N +SCF:BCD-11 SCF BCD-11 Data Backups Mechanisms exist to create recurring backups of data, software and/or system images, as well as verify the integrity of these backups, to ensure the availability of the data to satisfy Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11_BCD-11_A01", "name": "assessment-objective", "prose": "the confidentiality of backup sensitive / regulated data is protected at storage locations."}, {"id": "BCD-11_BCD-11_A02", "name": "assessment-objective", "prose": "system components for which to conduct backups of user-level information are defined."}, {"id": "BCD-11_BCD-11_A03", "name": "assessment-objective", "prose": "the frequency at which to conduct backups of user-level information consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-11_BCD-11_A04", "name": "assessment-objective", "prose": "the frequency at which to conduct backups of system-level information consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-11_BCD-11_A05", "name": "assessment-objective", "prose": "the frequency at which to conduct backups of system documentation consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-11_BCD-11_A06", "name": "assessment-objective", "prose": "backups of user-level information contained in system components are conducted frequently."}, {"id": "BCD-11_BCD-11_A07", "name": "assessment-objective", "prose": "backups of system-level information contained in the system are conducted frequently."}, {"id": "BCD-11_BCD-11_A08", "name": "assessment-objective", "prose": "backups of system documentation, including security- and privacy-related documentation are conducted frequently."}, {"id": "BCD-11_BCD-11_A09", "name": "assessment-objective", "prose": "the confidentiality of backup information is protected."}, {"id": "BCD-11_BCD-11_A10", "name": "assessment-objective", "prose": "the integrity of backup information is protected."}, {"id": "BCD-11_BCD-11_A11", "name": "assessment-objective", "prose": "the availability of backup information is protected."}]} \N \N \N \N +SCF:BCD-11.1 SCF BCD-11.1 Testing for Reliability & Integrity Mechanisms exist to routinely test backups that verify the reliability of the backup process, as well as the integrity and availability of the data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.1_BCD-11.1_A01", "name": "assessment-objective", "prose": "the frequency at which to test backup information for media reliability is defined."}, {"id": "BCD-11.1_BCD-11.1_A02", "name": "assessment-objective", "prose": "the frequency at which to test backup information for information integrity is defined."}, {"id": "BCD-11.1_BCD-11.1_A03", "name": "assessment-objective", "prose": "backup information is tested frequently to verify media reliability."}, {"id": "BCD-11.1_BCD-11.1_A04", "name": "assessment-objective", "prose": "backup information is tested frequently to verify information integrity."}]} \N \N \N \N +SCF:BCD-11.2 SCF BCD-11.2 Separate Storage for Critical Information Mechanisms exist to store backup copies of critical software and other security-related information in a separate facility or in a fire-rated container that is not collocated with the system being backed up. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.2_BCD-11.2_A01", "name": "assessment-objective", "prose": "critical system software and other security-related information backups to be stored in a separate facility are defined."}, {"id": "BCD-11.2_BCD-11.2_A02", "name": "assessment-objective", "prose": "backup copies of critical system software and other security-related information are stored in a separate facility or in a fire rated container that is not collocated with the operational system."}]} \N \N \N \N +SCF:BCD-11.3 SCF BCD-11.3 Recovery Images Mechanisms exist to reimage assets from configuration-controlled and integrity-protected images that represent a secure, operational state. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.3_BCD-11.3_A01", "name": "assessment-objective", "prose": "assets are reimaged from configuration-controlled images."}, {"id": "BCD-11.3_BCD-11.3_A02", "name": "assessment-objective", "prose": "images are integrity-protected that represent a secure, operational state."}]} \N \N \N \N +SCF:BCD-11.4 SCF BCD-11.4 Cryptographic Protection Cryptographic mechanisms exist to prevent the unauthorized disclosure and/or modification of backup information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.4_BCD-11.4_A01", "name": "assessment-objective", "prose": "the confidentiality of backup information is protected."}, {"id": "BCD-11.4_BCD-11.4_A02", "name": "assessment-objective", "prose": "backup information to protect against unauthorized disclosure and modification is defined."}, {"id": "BCD-11.4_BCD-11.4_A03", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of sensitive / regulated data at backup storage locations."}, {"id": "BCD-11.4_BCD-11.4_A04", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of CUI at backup storage locations."}]} \N \N \N \N +SCF:BCD-11.5 SCF BCD-11.5 Test Restoration Using Sampling Mechanisms exist to utilize sampling of available backups to test recovery capabilities as part of business continuity plan testing. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.5_BCD-11.5_A01", "name": "assessment-objective", "prose": "a sample of backup information in the restoration of selected system functions is used as part of contingency plan testing."}]} \N \N \N \N +SCF:BCD-11.6 SCF BCD-11.6 Transfer to Alternate Storage Site Mechanisms exist to transfer backup data to the alternate storage site at a rate that is capable of meeting both Recovery Time Objectives (RTOs) and Recovery Point Objectives (RPOs). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.6_BCD-11.6_A01", "name": "assessment-objective", "prose": "system backup information is transferred to the alternate storage site for an organization-defined time period."}, {"id": "BCD-11.6_BCD-11.6_A02", "name": "assessment-objective", "prose": "time period consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-11.6_BCD-11.6_A03", "name": "assessment-objective", "prose": "transfer rate consistent with recovery time and recovery point objectives is defined."}, {"id": "BCD-11.6_BCD-11.6_A04", "name": "assessment-objective", "prose": "system backup information is transferred to the alternate storage site transfer rate."}]} \N \N \N \N +SCF:BCD-11.7 SCF BCD-11.7 Redundant Secondary System Mechanisms exist to maintain a failover capability, which is not collocated with the primary Technology Asset, Application and/or Service (TAAS), which can be activated with little-to-no loss of information or disruption to operations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.7_BCD-11.7_A01", "name": "assessment-objective", "prose": "system backup is conducted by maintaining a redundant secondary system that can be activated without loss of information or disruption to operations."}, {"id": "BCD-11.7_BCD-11.7_A02", "name": "assessment-objective", "prose": "system backup is conducted by maintaining a redundant secondary system that is not collocated with the primary system."}]} \N \N \N \N +SCF:BCD-11.8 SCF BCD-11.8 Dual Authorization For Backup Media Destruction Mechanisms exist to implement and enforce dual authorization for the deletion or destruction of sensitive backup media and data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.8_BCD-11.8_A01", "name": "assessment-objective", "prose": "critical or sensitive system and organizational operations for which dual authorization is to be enforced are identified."}, {"id": "BCD-11.8_BCD-11.8_A02", "name": "assessment-objective", "prose": "dual authorization is employed to execute critical or sensitive system and organizational operations."}, {"id": "BCD-11.8_BCD-11.8_A03", "name": "assessment-objective", "prose": "backup information for which to enforce dual authorization in order to delete or destroy is defined."}, {"id": "BCD-11.8_BCD-11.8_A04", "name": "assessment-objective", "prose": "dual authorization for the deletion or destruction of backup information is enforced."}]} \N \N \N \N +SCF:BCD-11.9 SCF BCD-11.9 Backup Access Mechanisms exist to restrict access to backups to privileged users with assigned roles for data backup and recovery operations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.9_BCD-11.9_A01", "name": "assessment-objective", "prose": "Role Based Access Controls (RBAC) are utilized to logically restrict access to backups to privileged users with assigned roles for data backup and recovery operations."}, {"id": "BCD-11.9_BCD-11.9_A02", "name": "assessment-objective", "prose": "Physical Access Controls (PAC) are utilized to physically restrict access to backups to privileged users with assigned roles for data backup and recovery operations."}]} \N \N \N \N +SCF:BCD-11.10 SCF BCD-11.10 Backup Modification and/or Destruction Mechanisms exist to restrict access to modify and/or delete backups to privileged users with assigned data backup and recovery operations roles. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-11.10_BCD-11.10_A01", "name": "assessment-objective", "prose": "Role Based Access Controls (RBAC) are utilized to logically restrict access to modify and/or delete backups to privileged users with assigned data backup and recovery operations roles."}]} \N \N \N \N +SCF:BCD-12 SCF BCD-12 Technology Assets, Applications and/or Services (TAAS) Recovery & Reconstitution Mechanisms exist to ensure the secure recovery and reconstitution of Technology Assets, Applications and/or Services (TAAS) to a known state after a disruption, compromise or failure. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-12_BCD-12_A01", "name": "assessment-objective", "prose": "secure baseline configurations exist for systems, applications and/or services protect the confidentiality and integrity of data being stored, processed and/or transmitted."}, {"id": "BCD-12_BCD-12_A02", "name": "assessment-objective", "prose": "systems, applications and/or services are securely recovered / reconstituted to a known, trusted state after a disruption, compromise or failure."}]} \N \N \N \N +SCF:BCD-12.1 SCF BCD-12.1 Transaction Recovery Mechanisms exist to utilize specialized backup mechanisms that will allow transaction recovery for transaction-based Technology Assets, Applications and/or Services (TAAS) in accordance with Recovery Point Objectives (RPOs). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-12.1_BCD-12.1_A01", "name": "assessment-objective", "prose": "transaction recovery is implemented for systems that are transaction-based."}]} \N \N \N \N +SCF:BCD-12.2 SCF BCD-12.2 Failover Capability Mechanisms exist to implement real-time or near-real-time failover capability to maintain availability of critical Technology Assets, Applications, Services and/or Data (TAASD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-12.2_BCD-12.2_A01", "name": "assessment-objective", "prose": "system components for which Mean Time to Failure (MTTF) should be determined are defined."}, {"id": "BCD-12.2_BCD-12.2_A02", "name": "assessment-objective", "prose": "Mean Time to Failure (MTTF) is determined for system components in specific environments of operation."}, {"id": "BCD-12.2_BCD-12.2_A03", "name": "assessment-objective", "prose": "Mean Time to Failure (MTTF) substitution criteria to be used as a means to exchange active and standby components are defined."}, {"id": "BCD-12.2_BCD-12.2_A04", "name": "assessment-objective", "prose": "substitute system components and a means to exchange active and standby components are provided in accordance with Mean Time to Failure (MTTF) substitution criteria."}]} \N \N \N \N +SCF:BCD-12.3 SCF BCD-12.3 Electronic Discovery (eDiscovery) Mechanisms exist to utilize electronic discovery (eDiscovery) that covers current and archived communication transactions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-12.3_BCD-12.3_A01", "name": "assessment-objective", "prose": "electronic discovery (eDiscovery) capabilities cover current and archived communication transactions."}]} \N \N \N \N +SCF:BCD-12.4 SCF BCD-12.4 Restore Within Time Period Mechanisms exist to restore Technology Assets, Applications, Services and/or Data (TAASD) within organization-defined restoration time-periods from configuration-controlled and integrity-protected information; representing a known, operational state for the asset. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-12.4_BCD-12.4_A01", "name": "assessment-objective", "prose": "the capability to restore system components within organization-defined restoration time periods from configuration-controlled and integrity-protected information representing a known, operational state for the components is provided."}, {"id": "BCD-12.4_BCD-12.4_A02", "name": "assessment-objective", "prose": "restoration time period within which to restore system components to a known, operational state is defined."}]} \N \N \N \N +SCF:BCD-13 SCF BCD-13 Backup & Restoration Hardware Protection Mechanisms exist to protect backup and restoration hardware and software. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-13_BCD-13_A01", "name": "assessment-objective", "prose": "system components used for recovery and reconstitution are protected."}]} \N \N \N \N +SCF:BCD-13.1 SCF BCD-13.1 Restoration Integrity Verification Mechanisms exist to verify the integrity of backups and other restoration assets prior to using them for restoration. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-13.1_BCD-13.1_A01", "name": "assessment-objective", "prose": "methods to verify the integrity of backups and other restoration assets are defined."}, {"id": "BCD-13.1_BCD-13.1_A02", "name": "assessment-objective", "prose": "the integrity of backups and other restoration assets is verified, prior to using them for restoration."}]} \N \N \N \N +SCF:BCD-14 SCF BCD-14 Isolated Recovery Environment Mechanisms exist to utilize an isolated, non-production environment to perform data backup and recovery operations through offline, cloud or off-site capabilities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-14_BCD-14_A01", "name": "assessment-objective", "prose": "the organization utilizes an isolated, non-production environment to perform data backups via offline, cloud or off-site capabilities."}, {"id": "BCD-14_BCD-14_A02", "name": "assessment-objective", "prose": "the organization utilizes an isolated, non-production environment to perform recovery operations through offline, cloud or off-site capabilities."}]} \N \N \N \N +SCF:BCD-15 SCF BCD-15 Reserve Hardware Mechanisms exist to purchase and maintain a sufficient reserve of spare hardware to ensure essential missions and business functions can be maintained in the event of a supply chain disruption. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-15_BCD-15_A01", "name": "assessment-objective", "prose": "systems and system components that are or may be hard to replace in a supply chain disruption are identified."}, {"id": "BCD-15_BCD-15_A02", "name": "assessment-objective", "prose": "resources are allocated to obtain hard to replace identified systems and system components for critical business functions."}, {"id": "BCD-15_BCD-15_A03", "name": "assessment-objective", "prose": "a pool of hard to replace identified systems and system components for critical business functions is maintained."}]} \N \N \N \N +SCF:BCD-16 SCF BCD-16 AI & Autonomous Technologies Incidents Mechanisms exist to handle failures or incidents with Artificial Intelligence (AI) and Autonomous Technologies (AAT) deemed to be high-risk. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Business Continuity & Disaster Recovery", "assessment_objective": [{"id": "BCD-16_BCD-16_A01", "name": "assessment-objective", "prose": "an incident handling capability for incidents involving Artificial Intelligence (AI) and Autonomous Technologies (AAT) exists."}, {"id": "BCD-16_BCD-16_A02", "name": "assessment-objective", "prose": "processes are in place to handle failures or incidents in third-party data or Artificial Intelligence (AI) and Autonomous Technologies (AAT) deemed to be high-risk."}]} \N \N \N \N +SCF:CAP-01 SCF CAP-01 Capacity & Performance Management Mechanisms exist to facilitate the implementation of capacity management controls to ensure optimal system performance to meet expected and anticipated future capacity requirements. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-01_CAP-01_A01", "name": "assessment-objective", "prose": "resources to be allocated to protect the availability of resources are defined."}, {"id": "CAP-01_CAP-01_A02", "name": "assessment-objective", "prose": "controls to protect the availability of resources are defined."}, {"id": "CAP-01_CAP-01_A03", "name": "assessment-objective", "prose": "the availability of resources is protected by allocating resources per organization-defined criteria."}, {"id": "CAP-01_CAP-01_A04", "name": "assessment-objective", "prose": "capacity & performance planning operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CAP-01_CAP-01_A05", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support capacity & performance planning operations."}, {"id": "CAP-01_CAP-01_A06", "name": "assessment-objective", "prose": "responsibility and authority for the performance of capacity & performance planning-related activities are assigned to designated personnel."}, {"id": "CAP-01_CAP-01_A07", "name": "assessment-objective", "prose": "personnel performing capacity & performance planning-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CAP-02 SCF CAP-02 Resource Priority Mechanisms exist to control resource utilization of Technology Assets, Applications and/or Services (TAAS) that are susceptible to Denial of Service (DoS) attacks to limit and prioritize the use of resources. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-02_CAP-02_A01", "name": "assessment-objective", "prose": "types of denial-of-service events to be protected against or limited are defined."}, {"id": "CAP-02_CAP-02_A02", "name": "assessment-objective", "prose": "controls by type of denial-of-service event are employed to achieve the denial-of-service protection objective."}, {"id": "CAP-02_CAP-02_A03", "name": "assessment-objective", "prose": "resource prioritization is designed to limit negative effects of denial-of-service events."}, {"id": "CAP-02_CAP-02_A04", "name": "assessment-objective", "prose": "controls to achieve the denial-of-service objective by type of denial-of-service event are defined."}, {"id": "CAP-02_CAP-02_A05", "name": "assessment-objective", "prose": "the effects of types of denial-of-service events are organizationally-defined."}]} \N \N \N \N +SCF:CAP-03 SCF CAP-03 Capacity Planning Mechanisms exist to conduct capacity planning so that necessary capacity for information processing, telecommunications and environmental support will exist during contingency operations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-03_CAP-03_A01", "name": "assessment-objective", "prose": "capacity planning is conducted so that the necessary capacity exists during contingency operations for information processing."}, {"id": "CAP-03_CAP-03_A02", "name": "assessment-objective", "prose": "capacity planning is conducted so that the necessary capacity exists during contingency operations for telecommunications."}, {"id": "CAP-03_CAP-03_A03", "name": "assessment-objective", "prose": "capacity planning is conducted so that the necessary capacity exists during contingency operations for environmental support."}]} \N \N \N \N +SCF:CAP-04 SCF CAP-04 Performance Monitoring Automated mechanisms exist to centrally-monitor and alert on the operating state and health status of critical Technology Assets, Applications and/or Services (TAAS). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-04_CAP-04_A01", "name": "assessment-objective", "prose": "the operating state and health status of critical systems, applications and services is centrally-monitored."}]} \N \N \N \N +SCF:CAP-05 SCF CAP-05 Elastic Expansion Mechanisms exist to automatically scale the resources available for Technology Assets, Applications and/or Services (TAAS), as demand conditions change. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-05_CAP-05_A01", "name": "assessment-objective", "prose": "resources needing dynamic expansion (e.g., elasticity) are defined."}, {"id": "CAP-05_CAP-05_A02", "name": "assessment-objective", "prose": "applicable services are configured to dynamically expand the resources available for services, as demand conditions change."}]} \N \N \N \N +SCF:CAP-06 SCF CAP-06 Regional Delivery Mechanisms exist to support operations that are geographically dispersed via regional delivery of technological Technology Assets, Applications and/or Services (TAAS). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Capacity & Performance Planning", "assessment_objective": [{"id": "CAP-06_CAP-06_A01", "name": "assessment-objective", "prose": "business processes requiring regional delivery of technological services are identified."}, {"id": "CAP-06_CAP-06_A02", "name": "assessment-objective", "prose": "applicable services are configured to support geographically dispersed business processes requiring regional delivery of technological services."}]} \N \N \N \N +SCF:CHG-01 SCF CHG-01 Change Management Program Mechanisms exist to facilitate the implementation of a change management program. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-01_CHG-01_A01", "name": "assessment-objective", "prose": "configuration change control activities are coordinated and overseen by organization-defined configuration change control element."}, {"id": "CHG-01_CHG-01_A02", "name": "assessment-objective", "prose": "configuration change decisions associated with the system are documented."}, {"id": "CHG-01_CHG-01_A03", "name": "assessment-objective", "prose": "approved configuration-controlled changes to the system are implemented."}, {"id": "CHG-01_CHG-01_A04", "name": "assessment-objective", "prose": "the time period to retain records of configuration-controlled changes is defined."}, {"id": "CHG-01_CHG-01_A05", "name": "assessment-objective", "prose": "proposed configuration-controlled changes to the system are reviewed."}, {"id": "CHG-01_CHG-01_A06", "name": "assessment-objective", "prose": "the configuration change control element responsible for coordinating and overseeing change control activities is defined."}, {"id": "CHG-01_CHG-01_A07", "name": "assessment-objective", "prose": "the frequency at which the configuration control element convenes is defined."}, {"id": "CHG-01_CHG-01_A08", "name": "assessment-objective", "prose": "configuration change conditions that prompt the configuration control element to convene are defined."}, {"id": "CHG-01_CHG-01_A09", "name": "assessment-objective", "prose": "the types of changes to the system that are configuration-controlled are determined and documented."}, {"id": "CHG-01_CHG-01_A10", "name": "assessment-objective", "prose": "proposed configuration-controlled changes to the system are approved or disapproved with explicit consideration for cybersecurity / data privacy impact analyses."}, {"id": "CHG-01_CHG-01_A11", "name": "assessment-objective", "prose": "records of configuration-controlled changes to the system are retained for an organization-defined time period."}, {"id": "CHG-01_CHG-01_A12", "name": "assessment-objective", "prose": "activities associated with configuration-controlled changes to the system are monitored."}, {"id": "CHG-01_CHG-01_A13", "name": "assessment-objective", "prose": "activities associated with configuration-controlled changes to the system are reviewed."}, {"id": "CHG-01_CHG-01_A14", "name": "assessment-objective", "prose": "the configuration control element convenes organization-defined criteria."}, {"id": "CHG-01_CHG-01_A15", "name": "assessment-objective", "prose": "change management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CHG-01_CHG-01_A16", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support change management operations."}, {"id": "CHG-01_CHG-01_A17", "name": "assessment-objective", "prose": "responsibility and authority for the performance of change management-related activities are assigned to designated personnel."}, {"id": "CHG-01_CHG-01_A18", "name": "assessment-objective", "prose": "personnel performing change management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CHG-02 SCF CHG-02 Configuration Change Control Mechanisms exist to govern the technical configuration change control processes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02_CHG-02_A01", "name": "assessment-objective", "prose": "changes to the system are reviewed."}, {"id": "CHG-02_CHG-02_A02", "name": "assessment-objective", "prose": "changes to the system are approved or disapproved."}, {"id": "CHG-02_CHG-02_A03", "name": "assessment-objective", "prose": "approved configuration-controlled changes to the system are implemented."}, {"id": "CHG-02_CHG-02_A04", "name": "assessment-objective", "prose": "changes to the system are logged."}, {"id": "CHG-02_CHG-02_A05", "name": "assessment-objective", "prose": "changes to the system are tracked."}, {"id": "CHG-02_CHG-02_A06", "name": "assessment-objective", "prose": "the types of changes to the system that are configuration-controlled are defined."}]} \N \N \N \N +SCF:CHG-02.1 SCF CHG-02.1 Prohibition Of Changes Mechanisms exist to prohibit unauthorized changes, unless organization-approved change requests are received. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02.1_CHG-02.1_A01", "name": "assessment-objective", "prose": "mechanisms used to automate configuration change control are defined."}, {"id": "CHG-02.1_CHG-02.1_A02", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to prohibit changes to the system until designated approvals are received."}, {"id": "CHG-02.1_CHG-02.1_A03", "name": "assessment-objective", "prose": "approval authorities to be notified of and request approval for proposed changes to the system are defined."}, {"id": "CHG-02.1_CHG-02.1_A04", "name": "assessment-objective", "prose": "the time period after which to highlight changes that have not been approved or disapproved is defined."}, {"id": "CHG-02.1_CHG-02.1_A05", "name": "assessment-objective", "prose": "personnel to be notified when approved changes are complete is/are defined."}, {"id": "CHG-02.1_CHG-02.1_A06", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to document proposed changes to the system."}, {"id": "CHG-02.1_CHG-02.1_A07", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to notify organization-defined approval authorities of proposed changes to the system and request change approval."}, {"id": "CHG-02.1_CHG-02.1_A08", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to highlight proposed changes to the system that have not been approved or disapproved within an organization-defined time period."}, {"id": "CHG-02.1_CHG-02.1_A09", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to document all changes to the system."}, {"id": "CHG-02.1_CHG-02.1_A10", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to notify organization-defined personnel when approved changes to the system are completed."}, {"id": "CHG-02.1_CHG-02.1_A11", "name": "assessment-objective", "prose": "proposed configuration-controlled changes to the system are approved or disapproved with explicit consideration for security impacts."}, {"id": "CHG-02.1_CHG-02.1_A12", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are approved."}]} \N \N \N \N +SCF:CHG-02.2 SCF CHG-02.2 Test, Validate & Document Changes Mechanisms exist to appropriately test and document proposed changes in a non-production environment before changes are implemented in a production environment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02.2_CHG-02.2_A01", "name": "assessment-objective", "prose": "changes to the system are tested before finalizing the implementation of the changes."}, {"id": "CHG-02.2_CHG-02.2_A02", "name": "assessment-objective", "prose": "changes to the system are validated before finalizing the implementation of the changes."}, {"id": "CHG-02.2_CHG-02.2_A03", "name": "assessment-objective", "prose": "changes to the system are documented before finalizing the implementation of the changes."}, {"id": "CHG-02.2_CHG-02.2_A04", "name": "assessment-objective", "prose": "the frequency at which changes are to be reviewed is defined."}, {"id": "CHG-02.2_CHG-02.2_A05", "name": "assessment-objective", "prose": "the circumstances under which changes are to be reviewed are defined."}, {"id": "CHG-02.2_CHG-02.2_A06", "name": "assessment-objective", "prose": "changes to the system are reviewed organization-defined frequency or when organization-defined circumstances to determine whether unauthorized changes have occurred."}, {"id": "CHG-02.2_CHG-02.2_A07", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of secure system modification are defined."}, {"id": "CHG-02.2_CHG-02.2_A08", "name": "assessment-objective", "prose": "systems or system components implement the security design principle of secure system modification."}, {"id": "CHG-02.2_CHG-02.2_A09", "name": "assessment-objective", "prose": "approved configuration-controlled changes to the system are documented."}]} \N \N \N \N +SCF:CHG-02.3 SCF CHG-02.3 Security, Compliance & Resilience Representative for Asset Lifecycle Changes Mechanisms exist to include a cybersecurity and/or data protection representative in the configuration change control review process. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02.3_CHG-02.3_A01", "name": "assessment-objective", "prose": "the configuration change control element of which the cybersecurity / data privacy representatives are to be members is defined."}, {"id": "CHG-02.3_CHG-02.3_A02", "name": "assessment-objective", "prose": "security representatives required to be members of the change control element are defined."}, {"id": "CHG-02.3_CHG-02.3_A03", "name": "assessment-objective", "prose": "privacy representatives required to be members of the change control element are defined."}, {"id": "CHG-02.3_CHG-02.3_A04", "name": "assessment-objective", "prose": "organization-defined security representatives are required to be members of the organization-defined configuration change control element."}, {"id": "CHG-02.3_CHG-02.3_A05", "name": "assessment-objective", "prose": "organization-defined privacy representatives are required to be members of the organization-defined configuration change control element."}]} \N \N \N \N +SCF:CHG-02.4 SCF CHG-02.4 Automated Security Response Automated mechanisms exist to implement remediation actions upon the detection of unauthorized baseline configurations change(s). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02.4_CHG-02.4_A01", "name": "assessment-objective", "prose": "security responses to be automatically implemented are defined."}, {"id": "CHG-02.4_CHG-02.4_A02", "name": "assessment-objective", "prose": "organization-defined security responses are automatically implemented if baseline configurations are changed in an unauthorized manner."}, {"id": "CHG-02.4_CHG-02.4_A03", "name": "assessment-objective", "prose": "automated mechanisms place misconfigured or unauthorized system components in a quarantine or remediation network."}, {"id": "CHG-02.4_CHG-02.4_A04", "name": "assessment-objective", "prose": "automated mechanisms to detect misconfigured or unauthorized system components are identified."}, {"id": "CHG-02.4_CHG-02.4_A05", "name": "assessment-objective", "prose": "automated mechanisms are employed to detect misconfigured or unauthorized system components."}, {"id": "CHG-02.4_CHG-02.4_A06", "name": "assessment-objective", "prose": "misconfigured or unauthorized system components are detected."}, {"id": "CHG-02.4_CHG-02.4_A07", "name": "assessment-objective", "prose": "after detection, system components are removed and/or placed in a quarantine or remediation network to facilitate patching, re-configuration or other mitigations."}]} \N \N \N \N +SCF:CHG-02.5 SCF CHG-02.5 Cryptographic Management Mechanisms exist to govern assets involved in providing cryptographic protections according to the organization's configuration management processes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-02.5_CHG-02.5_A01", "name": "assessment-objective", "prose": "controls provided by cryptographic mechanisms that are to be under configuration management are defined."}, {"id": "CHG-02.5_CHG-02.5_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms used to provide organization-defined controls are under configuration management."}]} \N \N \N \N +SCF:CHG-03 SCF CHG-03 Security Impact Analysis for Changes Mechanisms exist to analyze proposed changes for potential security impacts, prior to the implementation of the change. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-03_CHG-03_A01", "name": "assessment-objective", "prose": "proposed configuration-controlled changes to the system are reviewed with explicit consideration for security impacts."}, {"id": "CHG-03_CHG-03_A02", "name": "assessment-objective", "prose": "changes to the system are analyzed to determine potential security impacts prior to change implementation."}, {"id": "CHG-03_CHG-03_A03", "name": "assessment-objective", "prose": "changes to the system are analyzed to determine potential privacy impacts prior to change implementation."}]} \N \N \N \N +SCF:CHG-04 SCF CHG-04 Access Restriction For Change Mechanisms exist to enforce configuration restrictions in an effort to restrict the ability of users to conduct unauthorized changes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04_CHG-04_A01", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are defined and documented."}, {"id": "CHG-04_CHG-04_A02", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are enforced."}, {"id": "CHG-04_CHG-04_A03", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are approved."}, {"id": "CHG-04_CHG-04_A04", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are defined and documented."}, {"id": "CHG-04_CHG-04_A05", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are approved."}, {"id": "CHG-04_CHG-04_A06", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are enforced."}]} \N \N \N \N +SCF:CHG-04.1 SCF CHG-04.1 Automated Access Enforcement / Auditing Mechanisms exist to perform after-the-fact reviews of configuration change logs to discover any unauthorized changes. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04.1_CHG-04.1_A01", "name": "assessment-objective", "prose": "mechanisms used to automate the enforcement of access restrictions are defined."}, {"id": "CHG-04.1_CHG-04.1_A02", "name": "assessment-objective", "prose": "access restrictions for change are enforced using organization-defined automated mechanisms."}, {"id": "CHG-04.1_CHG-04.1_A03", "name": "assessment-objective", "prose": "audit records of enforcement actions are automatically generated."}]} \N \N \N \N +SCF:CHG-04.2 SCF CHG-04.2 Signed Components Mechanisms exist to prevent the installation of software and firmware components without verification that the component has been digitally signed using an organization-approved certificate authority. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04.2_CHG-04.2_A01", "name": "assessment-objective", "prose": "software or firmware components requiring verification of a digitally signed certificate before installation are defined."}, {"id": "CHG-04.2_CHG-04.2_A02", "name": "assessment-objective", "prose": "the installation of software or firmware components is prevented unless it is verified that the software has been digitally signed using a certificate recognized and approved by the organization."}, {"id": "CHG-04.2_CHG-04.2_A03", "name": "assessment-objective", "prose": "software or firmware components to be authenticated by cryptographic mechanisms prior to installation are defined."}, {"id": "CHG-04.2_CHG-04.2_A04", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to authenticate software or firmware components prior to installation."}]} \N \N \N \N +SCF:CHG-04.3 SCF CHG-04.3 Dual Authorization for Change Mechanisms exist to enforce a two-person rule for implementing changes to critical Technology Assets, Applications and/or Services (TAAS). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04.3_CHG-04.3_A01", "name": "assessment-objective", "prose": "critical or sensitive system and organizational operations for which dual authorization is to be enforced are identified."}, {"id": "CHG-04.3_CHG-04.3_A02", "name": "assessment-objective", "prose": "dual authorization is employed to execute critical or sensitive system and organizational operations."}]} \N \N \N \N +SCF:CHG-04.4 SCF CHG-04.4 Permissions To Implement Changes Mechanisms exist to limit operational privileges for implementing changes. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04.4_CHG-04.4_A01", "name": "assessment-objective", "prose": "privileges to change system components within a production or operational environment are limited."}, {"id": "CHG-04.4_CHG-04.4_A02", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are enforced."}, {"id": "CHG-04.4_CHG-04.4_A03", "name": "assessment-objective", "prose": "the frequency at which to review privileges is defined."}, {"id": "CHG-04.4_CHG-04.4_A04", "name": "assessment-objective", "prose": "the frequency at which to reevaluate privileges is defined."}, {"id": "CHG-04.4_CHG-04.4_A05", "name": "assessment-objective", "prose": "privileges to change system-related information within a production or operational environment are limited."}, {"id": "CHG-04.4_CHG-04.4_A06", "name": "assessment-objective", "prose": "privileges are reviewed per an organization-defined frequency."}, {"id": "CHG-04.4_CHG-04.4_A07", "name": "assessment-objective", "prose": "privileges are reevaluated per an organization-defined frequency."}]} \N \N \N \N +SCF:CHG-04.5 SCF CHG-04.5 Library Privileges Mechanisms exist to restrict software library privileges to those individuals with a pertinent business need for access. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-04.5_CHG-04.5_A01", "name": "assessment-objective", "prose": "privileges to change software resident within software libraries are limited."}]} \N \N \N \N +SCF:CHG-05 SCF CHG-05 Stakeholder Notification of Changes Mechanisms exist to ensure stakeholders are made aware of and understand the impact of proposed changes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-05_CHG-05_A01", "name": "assessment-objective", "prose": "as part of the organization's change management processes, stakeholders are alerted to spread awareness of the potential impact(s) from proposed changes."}, {"id": "CHG-05_CHG-05_A02", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is processed are documented."}, {"id": "CHG-05_CHG-05_A03", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is stored are documented."}, {"id": "CHG-05_CHG-05_A04", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is processed are documented."}, {"id": "CHG-05_CHG-05_A05", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is stored are documented."}]} \N \N \N \N +SCF:CHG-06 SCF CHG-06 Control Functionality Verification Mechanisms exist to verify the functionality of security, compliance and resilience controls following implemented changes to ensure applicable controls operate as designed. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-06_CHG-06_A01", "name": "assessment-objective", "prose": "security functions to be verified for correct operation are defined."}, {"id": "CHG-06_CHG-06_A02", "name": "assessment-objective", "prose": "organization-defined activities are initiated when anomalies are discovered."}, {"id": "CHG-06_CHG-06_A03", "name": "assessment-objective", "prose": "the security requirements for the system continue to be satisfied after the system changes have been implemented."}, {"id": "CHG-06_CHG-06_A04", "name": "assessment-objective", "prose": "privacy functions to be verified for correct operation are defined."}, {"id": "CHG-06_CHG-06_A05", "name": "assessment-objective", "prose": "system transitional states requiring the verification of cybersecurity / data privacy functions are defined."}, {"id": "CHG-06_CHG-06_A06", "name": "assessment-objective", "prose": "the frequency at which to verify the correct operation of cybersecurity / data privacy functions is defined."}, {"id": "CHG-06_CHG-06_A07", "name": "assessment-objective", "prose": "alternative action(s) to be performed when anomalies are discovered are defined."}, {"id": "CHG-06_CHG-06_A08", "name": "assessment-objective", "prose": "cybersecurity / data privacy functions are verified to be operating correctly."}, {"id": "CHG-06_CHG-06_A09", "name": "assessment-objective", "prose": "personnel or roles to be alerted of failed cybersecurity / data privacy verification tests is/are defined."}, {"id": "CHG-06_CHG-06_A10", "name": "assessment-objective", "prose": "pertinent personnel or roles is/are alerted to failed cybersecurity / data privacy verification tests."}]} \N \N \N \N +SCF:CHG-06.1 SCF CHG-06.1 Report Verification Results Mechanisms exist to report the results of security, compliance and resilience capability verification to appropriate organizational management. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-06.1_CHG-06.1_A01", "name": "assessment-objective", "prose": "personnel or roles designated to receive the results of cybersecurity / data privacy function verification is/are defined."}, {"id": "CHG-06.1_CHG-06.1_A02", "name": "assessment-objective", "prose": "the results of security and/or function verification are reported to pertinent personnel or roles."}]} \N \N \N \N +SCF:CHG-07 SCF CHG-07 Emergency Changes Mechanisms exist to govern change management procedures for "emergency" changes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-07_CHG-07_A01", "name": "assessment-objective", "prose": "criteria to \\"emergency\\" changes are defined."}, {"id": "CHG-07_CHG-07_A02", "name": "assessment-objective", "prose": "change management procedures govern \\"emergency\\" changes."}]} \N \N \N \N +SCF:CHG-07.1 SCF CHG-07.1 Documenting Emergency Changes Mechanisms exist to document the results of "emergency" changes, including an explanation for why standard change management procedures could not be followed. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Change Management", "assessment_objective": [{"id": "CHG-07.1_CHG-07.1_A01", "name": "assessment-objective", "prose": "the documented results of \\"emergency\\" changes include an explanation for why standard change management procedures could not be followed."}]} \N \N \N \N +SCF:CHG-08 SCF CHG-08 Dual Approval For High-Impact Environments Mechanisms exist to require dual approval for any changes that might result in a serious incident that could adversely impact:\r\n(1) Business processes; and/or\r\n(2) Technology Assets, Applications, Services and/or Data (TAASD). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "CHG-08_CHG-08_A01", "name": "assessment-objective", "prose": "Business processes that require dual approval for any changes that might result in a serious, but adverse impact are identified."}, {"id": "CHG-08_CHG-08_A02", "name": "assessment-objective", "prose": "Technology Assets, Applications, Services and/or Data (TAASD) that require dual approval for any changes that might result in a serious, but adverse impact are identified."}, {"id": "CHG-08_CHG-08_A03", "name": "assessment-objective", "prose": "Processes and/or technologies are implemented for instances that require dual approval for any changes that might result in a serious incident that could adversely impact operations."}]} \N \N \N \N +SCF:EMB-01 SCF EMB-01 Embedded Technology Security Program Mechanisms exist to facilitate the implementation of embedded technology controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-01_EMB-01_A01", "name": "assessment-objective", "prose": "embedded technology controls are implemented to protect the confidentiality of Operational Technology (OT) and/or Internet of Things (IoT) technologies."}, {"id": "EMB-01_EMB-01_A02", "name": "assessment-objective", "prose": "embedded technology controls are implemented to protect the integrity of Operational Technology (OT) and/or Internet of Things (IoT) technologies."}, {"id": "EMB-01_EMB-01_A03", "name": "assessment-objective", "prose": "embedded technology controls are implemented to protect the availability of Operational Technology (OT) and/or Internet of Things (IoT) technologies."}, {"id": "EMB-01_EMB-01_A04", "name": "assessment-objective", "prose": "embedded technology controls are implemented to protect the safety of Operational Technology (OT) and/or Internet of Things (IoT) technologies."}, {"id": "EMB-01_EMB-01_A05", "name": "assessment-objective", "prose": "embedded technology management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "EMB-01_EMB-01_A06", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support embedded technology management operations."}, {"id": "EMB-01_EMB-01_A07", "name": "assessment-objective", "prose": "responsibility and authority for the performance of embedded technology management-related activities are assigned to designated personnel."}, {"id": "EMB-01_EMB-01_A08", "name": "assessment-objective", "prose": "personnel performing embedded technology management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:EMB-02 SCF EMB-02 Internet of Things (IOT) Mechanisms exist to proactively manage the security, compliance and resilience risks associated with Internet of Things (IoT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-02_EMB-02_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy risks associated with Internet of Things (IoT) are proactively managed."}]} \N \N \N \N +SCF:EMB-03 SCF EMB-03 Operational Technology (OT) Mechanisms exist to proactively manage the security, compliance and resilience risks associated with Operational Technology (OT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-03_EMB-03_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy risks associated with Operational Technology (OT) are proactively managed."}]} \N \N \N \N +SCF:EMB-04 SCF EMB-04 Interface Security Mechanisms exist to protect embedded devices against unauthorized use of the physical factory diagnostic and test interface(s). 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-04_EMB-04_A01", "name": "assessment-objective", "prose": "embedded devices are protected against unauthorized use of the physical factory diagnostic and test interface(s)."}]} \N \N \N \N +SCF:EMB-05 SCF EMB-05 Embedded Technology Configuration Monitoring Mechanisms exist to generate log entries on embedded devices when configuration changes or attempts to access interfaces are detected. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-05_EMB-05_A01", "name": "assessment-objective", "prose": "embedded devices generate log entries when configuration changes or attempts to access interfaces are detected."}]} \N \N \N \N +SCF:EMB-06 SCF EMB-06 Prevent Alterations Mechanisms exist to protect embedded devices by preventing the unauthorized installation and execution of software. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-06_EMB-06_A01", "name": "assessment-objective", "prose": "embedded devices are protected by preventing the unauthorized installation and execution of software."}]} \N \N \N \N +SCF:EMB-07 SCF EMB-07 Embedded Technology Maintenance Mechanisms exist to securely update software and upgrade functionality on embedded devices. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-07_EMB-07_A01", "name": "assessment-objective", "prose": "embedded devices are capable of securely receiving software updates and upgraded functionality."}]} \N \N \N \N +SCF:EMB-08 SCF EMB-08 Resilience To Outages Mechanisms exist to configure embedded technology to be resilient to data network and power outages. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-08_EMB-08_A01", "name": "assessment-objective", "prose": "embedded technologies are configured to be resilient to data network and power outages."}]} \N \N \N \N +SCF:EMB-09 SCF EMB-09 Power Level Monitoring Automated mechanisms exist to monitor the power levels of embedded technologies for decreased or excessive power usage, including battery drainage, to investigate for device tampering. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-09_EMB-09_A01", "name": "assessment-objective", "prose": "power levels of embedded technologies are monitored for decreased or excessive power usage, including battery drainage."}, {"id": "EMB-09_EMB-09_A02", "name": "assessment-objective", "prose": "incidents of decreased or excessive power usage, including battery drainage, are investigated for device tampering."}]} \N \N \N \N +SCF:EMB-10 SCF EMB-10 Embedded Technology Reviews Mechanisms exist to perform evaluations of deployed embedded technologies as needed, or at least on an annual basis, to ensure that necessary updates to mitigate the risks associated with legacy embedded technologies are identified and implemented. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-10_EMB-10_A01", "name": "assessment-objective", "prose": "deployed embedded technologies are evaluated per an organization-defined interval (no less than annually) to ensure that necessary updates to mitigate the risks associated with legacy embedded technologies are identified and implemented."}]} \N \N \N \N +SCF:EMB-11 SCF EMB-11 Message Queuing Telemetry Transport (MQTT) Security Mechanisms exist to enforce the security of Message Queuing Telemetry Transport (MQTT) traffic. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-11_EMB-11_A01", "name": "assessment-objective", "prose": "configurations enforce the security of Message Queuing Telemetry Transport (MQTT) traffic."}]} \N \N \N \N +SCF:EMB-12 SCF EMB-12 Restrict Communications Mechanisms exist to require embedded technologies to initiate all communications and drop new, incoming communications. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-12_EMB-12_A01", "name": "assessment-objective", "prose": "configurations for embedded technologies require the initiation of all communications and drop new, incoming communications."}]} \N \N \N \N +SCF:EMB-15 SCF EMB-15 Safety Assessment Mechanisms exist to evaluate the safety aspects of embedded technologies via a fault tree analysis, or similar method, to determine possible consequences of misuse, misconfiguration and/or failure. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-15_EMB-15_A01", "name": "assessment-objective", "prose": "the safety aspects of embedded technologies are evaluated via a fault tree analysis or similar method, to determine possible consequences of misuse, misconfiguration and/or failure."}]} \N \N \N \N +SCF:EMB-16 SCF EMB-16 Certificate-Based Authentication Mechanisms exist to enforce certificate-based authentication for embedded technologies (e.g., IoT, OT, etc.) and their supporting services. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-16_EMB-16_A01", "name": "assessment-objective", "prose": "certificate-based authentication is enforced for embedded technologies (e.g., IoT, OT, etc.) and their supporting services."}]} \N \N \N \N +SCF:EMB-17 SCF EMB-17 Chip-To-Cloud Security Mechanisms exist to implement embedded technologies that utilize pre-provisioned cloud trust anchors to support secure bootstrap and Zero Touch Provisioning (ZTP). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-17_EMB-17_A01", "name": "assessment-objective", "prose": "embedded technologies utilize pre-provisioned cloud trust anchors to support secure bootstrap and Zero Touch Provisioning (ZTP)."}]} \N \N \N \N +SCF:EMB-18 SCF EMB-18 Real-Time Operating System (RTOS) Security Mechanisms exist to ensure embedded technologies utilize a securely configured Real-Time Operating System (RTOS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-18_EMB-18_A01", "name": "assessment-objective", "prose": "embedded technologies utilize a securely configured Real-Time Operating System (RTOS)."}]} \N \N \N \N +SCF:EMB-19 SCF EMB-19 Safe Operations Mechanisms exist to continuously validate autonomous systems that trigger an automatic state change when safe operation is no longer assured. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Embedded Technology", "assessment_objective": [{"id": "EMB-19_EMB-19_A01", "name": "assessment-objective", "prose": "autonomous systems are continuously validated to trigger an automatic state change when safe operation is no longer assured."}]} \N \N \N \N +SCF:CLD-01 SCF CLD-01 Cloud Services Mechanisms exist to facilitate the implementation of cloud management controls to ensure cloud instances are secure and in-line with industry practices. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-01_CLD-01_A01", "name": "assessment-objective", "prose": "the organization facilitates the implementation of cloud management controls to ensure cloud instances are securely configured and maintained."}, {"id": "CLD-01_CLD-01_A02", "name": "assessment-objective", "prose": "secure baseline configurations exist for cloud-based systems, applications and services to protect the confidentiality, integrity and availability of data being stored, processed and/or transmitted."}, {"id": "CLD-01_CLD-01_A03", "name": "assessment-objective", "prose": "cloud management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CLD-01_CLD-01_A04", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support cloud management operations."}, {"id": "CLD-01_CLD-01_A05", "name": "assessment-objective", "prose": "responsibility and authority for the performance of cloud management-related activities are assigned to designated personnel."}, {"id": "CLD-01_CLD-01_A06", "name": "assessment-objective", "prose": "personnel performing cloud management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CLD-01.1 SCF CLD-01.1 Cloud Infrastructure Onboarding Mechanisms exist to ensure cloud services are designed and configured so Technology Assets, Applications and/or Services (TAAS) are secured in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-01.1_CLD-01.1_A01", "name": "assessment-objective", "prose": "the design and configuration process for cloud services is formally governed so systems, applications and processes are secured in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations."}]} \N \N \N \N +SCF:CLD-01.2 SCF CLD-01.2 Cloud Infrastructure Offboarding Mechanisms exist to ensure cloud services are decommissioned so that data is securely transitioned to new systems or archived in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-01.2_CLD-01.2_A01", "name": "assessment-objective", "prose": "the decommission process for cloud services is formally governed so that data is securely transitioned to new systems or archived in accordance with applicable organizational standards, as well as statutory, regulatory and contractual obligations."}]} \N \N \N \N +SCF:CLD-02 SCF CLD-02 Cloud Security Architecture Mechanisms exist to ensure the cloud security architecture supports the organization's technology strategy to securely design, configure and maintain cloud employments. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-02_CLD-02_A01", "name": "assessment-objective", "prose": "a cloud security architecture is defined to address cloud employments that support the organization's mission."}, {"id": "CLD-02_CLD-02_A02", "name": "assessment-objective", "prose": "the cloud security architecture supports the organization's technology strategy to securely design, configure and maintain cloud employments."}]} \N \N \N \N +SCF:CPL-11.1 SCF CPL-11.1 USML or CCL Identification Mechanisms exist to identify if the organization handles United States Munitions List (USML) or Commerce Control List (CCL):\r\n(1) Items;\r\n(2) Technical data; and/or\r\n(3) Provides defense services. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-11.1_CPL-11.1_A01", "name": "assessment-objective", "prose": "a legal requirement to comply with the United States Munitions List (USML) or Commerce Control List (CCL) is determined."}]} \N \N \N \N +SCF:CLD-03 SCF CLD-03 Cloud Infrastructure Security Subnet Mechanisms exist to host security-specific technologies in a dedicated subnet. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-03_CLD-03_A01", "name": "assessment-objective", "prose": "cloud security management subnets are logically isolated."}, {"id": "CLD-03_CLD-03_A02", "name": "assessment-objective", "prose": "cloud security management subnet system components and functions to be isolated are defined."}, {"id": "CLD-03_CLD-03_A03", "name": "assessment-objective", "prose": "organization-defined criteria are used to isolate cloud security management subnets."}]} \N \N \N \N +SCF:CLD-04 SCF CLD-04 Application Programming Interface (API) Security Mechanisms exist to ensure support for secure interoperability between components with Application Programming Interfaces (APIs). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-04_CLD-04_A01", "name": "assessment-objective", "prose": "information/data exchange supports secure data portability."}, {"id": "CLD-04_CLD-04_A02", "name": "assessment-objective", "prose": "information processing interoperability is supported."}]} \N \N \N \N +SCF:CLD-04.1 SCF CLD-04.1 API Gateway Mechanisms exist to implement an Application Programming Interface (API) Gateway, or similar technology, to serve as a controlled entry point that manages interactions between client-facing requests and backend services. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-04.1_CLD-04.1_A01", "name": "assessment-objective", "prose": "an Application Programming Interface (API) Gateway, or similar technology, serves as a controlled entry point that manages interactions between client-facing requests and backend services."}]} \N \N \N \N +SCF:CLD-05 SCF CLD-05 Virtual Machine Images Mechanisms exist to ensure the integrity of virtual machine images at all times. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-05_CLD-05_A01", "name": "assessment-objective", "prose": "virtual machine images are protected to ensure continued integrity."}, {"id": "CLD-05_CLD-05_A02", "name": "assessment-objective", "prose": "virtual machine images are governed according to the organization's established change control processes."}]} \N \N \N \N +SCF:CLD-06 SCF CLD-06 Multi-Tenant Environments Mechanisms exist to ensure multi-tenant owned or managed assets (physical and virtual) are designed and governed such that provider and customer (tenant) user access is appropriately segmented from other tenant users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-06_CLD-06_A01", "name": "assessment-objective", "prose": "multi-tenant owned / managed assets (physical and virtual) are designed and governed such that provider and customer (tenant) user access is appropriately segmented from other tenant users."}]} \N \N \N \N +SCF:CLD-06.1 SCF CLD-06.1 Customer Responsibility Matrix (CRM) Mechanisms exist to formally document a Customer Responsibility Matrix (CRM), delineating assigned responsibilities for security, compliance and resilience controls between the Cloud Service Provider (CSP) and its customers. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-06.1_CLD-06.1_A01", "name": "assessment-objective", "prose": "a documented Customer Responsibility Matrix (CRM) delineates assigned responsibilities for controls between the Cloud Service Provider (CSP) and its customers."}]} \N \N \N \N +SCF:CLD-06.2 SCF CLD-06.2 Multi-Tenant Event Logging Capabilities Mechanisms exist to ensure Multi-Tenant Service Providers (MTSP) facilitate security event logging capabilities for its customers that are consistent with applicable statutory, regulatory and/or contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-06.2_CLD-06.2_A01", "name": "assessment-objective", "prose": "for Multi-Tenant Service Providers (MTSP), established security event logging capabilities for its customers are consistent with the customer's applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:CLD-06.3 SCF CLD-06.3 Multi-Tenant Forensics Capabilities Mechanisms exist to ensure Multi-Tenant Service Providers (MTSP) facilitate prompt forensic investigations in the event of a suspected or confirmed security incident. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-06.3_CLD-06.3_A01", "name": "assessment-objective", "prose": "for Multi-Tenant Service Providers (MTSP), there is a capability to conduct prompt forensic investigations in the event of a suspected or confirmed security incident."}]} \N \N \N \N +SCF:CLD-06.4 SCF CLD-06.4 Multi-Tenant Incident Response Capabilities Mechanisms exist to ensure Multi-Tenant Service Providers (MTSP) facilitate prompt response to suspected or confirmed security incidents and vulnerabilities, including timely notification to affected customers. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-06.4_CLD-06.4_A01", "name": "assessment-objective", "prose": "for Multi-Tenant Service Providers (MTSP), there is a capability to conduct prompt response to suspected or confirmed security incidents and vulnerabilities, including timely notification to affected customers."}]} \N \N \N \N +SCF:CLD-07 SCF CLD-07 Data Handling & Portability Mechanisms exist to ensure cloud providers use secure protocols for the import, export and management of data in cloud-based Technology Assets, Applications and/or Services (TAAS). 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-07_CLD-07_A01", "name": "assessment-objective", "prose": "cloud providers use secure protocols for information/data exchange to support secure data portability."}]} \N \N \N \N +SCF:CLD-08 SCF CLD-08 Standardized Virtualization Formats Mechanisms exist to ensure interoperability by requiring cloud providers to use industry-recognized formats and provide documentation of custom changes for review. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-08_CLD-08_A01", "name": "assessment-objective", "prose": "cloud providers use industry-recognized formats to support secure interoperability."}, {"id": "CLD-08_CLD-08_A02", "name": "assessment-objective", "prose": "cloud providers provide documentation of custom changes to virtualization formats for review by affected stakeholders."}]} \N \N \N \N +SCF:CLD-09 SCF CLD-09 Geolocation Requirements for Processing, Storage and Service Locations Mechanisms exist to control the location of cloud processing/storage based on business requirements that includes statutory, regulatory and contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-09_CLD-09_A01", "name": "assessment-objective", "prose": "locations where information processing and data storage is/are to be restricted are defined."}, {"id": "CLD-09_CLD-09_A02", "name": "assessment-objective", "prose": "requirements or conditions for restricting the location of information processing, information storage or information services are defined."}, {"id": "CLD-09_CLD-09_A03", "name": "assessment-objective", "prose": "based on requirements, information processing, information storage or information services is/are restricted to locations."}, {"id": "CLD-09_CLD-09_A04", "name": "assessment-objective", "prose": "the geographic location of information processing and data storage is restricted to facilities located within the legal jurisdictional boundary of the United States."}]} \N \N \N \N +SCF:CLD-10 SCF CLD-10 Sensitive Data In Public Cloud Providers Mechanisms exist to limit and manage the storage of sensitive/regulated data in public cloud providers. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-10_CLD-10_A01", "name": "assessment-objective", "prose": "sensitive / regulated data in public cloud providers is identified and documented."}, {"id": "CLD-10_CLD-10_A02", "name": "assessment-objective", "prose": "the storage of sensitive / regulated data in public cloud providers is controlled."}]} \N \N \N \N +SCF:CLD-11 SCF CLD-11 Cloud Access Security Broker (CASB) Mechanisms exist to utilize a Cloud Access Security Broker (CASB), or similar technology, to provide boundary protection and monitoring functions that both provide access to the cloud and protect the organization from misuse of cloud resources. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-11_CLD-11_A01", "name": "assessment-objective", "prose": "a Cloud Access Security Broker (CASB), or similar technology, is utilized to provide boundary protection and monitoring functions that both provide access to the cloud and protect the organization from the cloud."}]} \N \N \N \N +SCF:CLD-12 SCF CLD-12 Side Channel Attack Prevention Mechanisms exist to prevent "side channel attacks" when using a Content Delivery Network (CDN) by restricting access to the origin server's IP address to the CDN and an authorized management network. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-12_CLD-12_A01", "name": "assessment-objective", "prose": "Content Delivery Networks (CDNs) are configured to prevent side channel attacks by restricting access from the origin server's IP address to the CDN and authorized management networks."}]} \N \N \N \N +SCF:CLD-13 SCF CLD-13 Hosted Assets, Applications & Services Mechanisms exist to specify applicable security, compliance and resilience that must be implemented on external Technology Assets, Applications and/or Services (TAAS), consistent with the contractual obligations established with the External Service Providers (ESP) owning, operating and/or maintaining external TAAS. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-13_CLD-13_A01", "name": "assessment-objective", "prose": "applicable cybersecurity & data protection controls are specified that must be implemented on external systems, consistent with the contractual obligations established with the External Service Providers (ESP) owning, operating and/or maintaining external systems, applications and/or services."}]} \N \N \N \N +SCF:CLD-13.1 SCF CLD-13.1 Authorized Individuals For Hosted Assets, Applications & Services Mechanisms exist to authorize specified individuals to access External Service Providers (ESP) owned, operated and/or maintained external Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-13.1_CLD-13.1_A01", "name": "assessment-objective", "prose": "specified individuals are authorized to access External Service Providers (ESP) owned, operated and/or maintained external systems, applications and/or services."}]} \N \N \N \N +SCF:CLD-13.2 SCF CLD-13.2 Sensitive / Regulated Data On Hosted Assets, Applications & Services Mechanisms exist to define formal processes to store, process and/or transmit sensitive/regulated data using External Service Providers (ESP) owned, operated and/or maintained external Technology Assets, Applications and/or Services (TAAS), in accordance with all applicable statutory, regulatory and/or contractual obligations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-13.2_CLD-13.2_A01", "name": "assessment-objective", "prose": "formal processes are defined to store, process and/or transmit sensitive / regulated data using External Service Providers (ESP) owned, operated and/or maintained external systems, applications and/or services , in accordance with all applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:CLD-14 SCF CLD-14 Prohibition On Unverified Hosted Assets, Applications & Services Mechanisms exist to prohibit access to, or usage of, hosted Technology Assets, Applications and/or Services (TAAS) until applicable security, compliance and/or resilience control implementation is verified. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-14_CLD-14_A01", "name": "assessment-objective", "prose": "access to, or usage of, hosted systems, applications and/or services is prohibited until applicable cybersecurity & data protection control implementation is verified."}]} \N \N \N \N +SCF:CLD-15 SCF CLD-15 Software Defined Storage (SDS) Automated mechanisms exist to utilize Software Defined Storage (SDS) to scale access management permissions to Technology Assets, Applications, Services and/or Data (TAASD). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Cloud Security", "assessment_objective": [{"id": "CLD-15_CLD-15_A01", "name": "assessment-objective", "prose": "Software Defined Storage (SDS) is used to automatically scale access management permissions to Data, Assets, Applications & Services (DAAS)."}]} \N \N \N \N +SCF:CPL-01 SCF CPL-01 Statutory, Regulatory & Contractual Compliance Mechanisms exist to facilitate the identification and implementation of relevant statutory, regulatory and contractual controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01_CPL-01_A01", "name": "assessment-objective", "prose": "the organization analyzes its business practices to determine applicable statutory, regulatory and/or contractual obligations."}, {"id": "CPL-01_CPL-01_A02", "name": "assessment-objective", "prose": "compliance management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CPL-01_CPL-01_A03", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support compliance management operations."}, {"id": "CPL-01_CPL-01_A04", "name": "assessment-objective", "prose": "responsibility and authority for the performance of compliance management-related activities are assigned to designated personnel."}, {"id": "CPL-01_CPL-01_A05", "name": "assessment-objective", "prose": "personnel performing compliance management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CPL-01.1 SCF CPL-01.1 Non-Compliance Oversight Mechanisms exist to document and review instances of non-compliance with statutory, regulatory and/or contractual obligations to develop appropriate risk mitigation actions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.1_CPL-01.1_A01", "name": "assessment-objective", "prose": "instances of non-compliance with statutory, regulatory and/or contractual obligations are documented, including the reason(s) for non-compliance."}, {"id": "CPL-01.1_CPL-01.1_A02", "name": "assessment-objective", "prose": "instances of non-compliance with statutory, regulatory and/or contractual obligations are formally-reviewed."}, {"id": "CPL-01.1_CPL-01.1_A03", "name": "assessment-objective", "prose": "instances of non-compliance with statutory, regulatory and/or contractual obligations are centrally-governed to maintain appropriate situational awareness."}, {"id": "CPL-01.1_CPL-01.1_A04", "name": "assessment-objective", "prose": "instances of non-compliance with statutory, regulatory and/or contractual obligations are assigned to individuals or teams for remediation."}, {"id": "CPL-01.1_CPL-01.1_A05", "name": "assessment-objective", "prose": "remediation plans for instances of non-compliance with statutory, regulatory and/or contractual obligations are documented."}]} \N \N \N \N +SCF:CPL-01.2 SCF CPL-01.2 Compliance Scope Mechanisms exist to document and validate the scope of security, compliance and resilience controls that are determined to meet statutory, regulatory and/or contractual compliance obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.2_CPL-01.2_A01", "name": "assessment-objective", "prose": "the organization's applicable cybersecurity / data privacy controls are determined through the analysis of business practices to determine required statutory, regulatory and/or contractual compliance obligations."}, {"id": "CPL-01.2_CPL-01.2_A02", "name": "assessment-objective", "prose": "a recurring process exists to validate the scope of cybersecurity / data privacy controls that are determined to meet statutory, regulatory and/or contractual compliance obligations."}]} \N \N \N \N +SCF:CPL-01.3 SCF CPL-01.3 Ability To Demonstrate Conformity Mechanisms exist to ensure the organization is able to demonstrate security, compliance and/or resilience capability conformity with applicable cybersecurity and data protection laws, regulations and/or contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.3_CPL-01.3_A01", "name": "assessment-objective", "prose": "a capability exists to demonstrate conformity with applicable cybersecurity and data protection laws, regulations and/or contractual obligations."}, {"id": "CPL-01.3_CPL-01.3_A02", "name": "assessment-objective", "prose": "personnel or roles to whom the assignment of being able to demonstrate conformity is assigned."}]} \N \N \N \N +SCF:CPL-01.4 SCF CPL-01.4 Conformity Assessment Mechanisms exist to conduct assessments to demonstrate security, compliance and/or resilience capability conformity with applicable cybersecurity and data protection laws, regulations and/or contractual obligations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.4_CPL-01.4_A01", "name": "assessment-objective", "prose": "assessments are conducted to demonstrate conformity with applicable cybersecurity and data protection laws, regulations and/or contractual obligations."}]} \N \N \N \N +SCF:CPL-01.5 SCF CPL-01.5 Declaration of Conformity Mechanisms exist to generate a declaration of conformity for each conformity assessment, where the document:\r\n(1) Is concise;\r\n(2) Unambiguously reflects the current status;\r\n(3) Is physically or electronically signed; and\r\n(4) Where possible, is machine readable. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.5_CPL-01.5_A01", "name": "assessment-objective", "prose": "a declaration of conformity is generated for each conformity assessment."}]} \N \N \N \N +SCF:CPL-01.6 SCF CPL-01.6 Assessment Team Subject Matter Expertise Mechanisms exist to ensure individuals performing audits and/or assessments have reasonable:\r\n(1) Professional qualifications to perform the audit and/or assessment; and\r\n(2) Subject matter expertise to perform review, interview and test activities for in-scope People, Processes, Technologies, Data and/or Facilities (PPTDF). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.6_CPL-01.6_A01", "name": "assessment-objective", "prose": "based on the scope of an audit/assessment, necessary subject matter expertise is defined to perform review, interview and/or test activities for in-scope People, Processes, Technologies, Data and/or Facilities (PPTDF)."}, {"id": "CPL-01.6_CPL-01.6_A02", "name": "assessment-objective", "prose": "minimum professional qualifications to participate in an audit and/or assessment are defined."}, {"id": "CPL-01.6_CPL-01.6_A03", "name": "assessment-objective", "prose": "auditors/assessors are evaluated for necessary subject matter expertise to perform an audit/assessment."}, {"id": "CPL-01.6_CPL-01.6_A04", "name": "assessment-objective", "prose": "auditors/assessors are required to have minimum professional qualifications to participate in an audit/assessment."}]} \N \N \N \N +SCF:CPL-01.7 SCF CPL-01.7 Designated Certifying Official Mechanisms exist to designate an individual the authority to make statements of conformity on behalf of the organization. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.7_CPL-01.7_A01", "name": "assessment-objective", "prose": "a designate an individual is assigned authority to make statements of conformity on behalf of the organization."}, {"id": "CPL-01.7_CPL-01.7_A02", "name": "assessment-objective", "prose": "the designated individual is provided formal guidance on the limitations of statements of conformity that can be made on behalf of the organization."}]} \N \N \N \N +SCF:CPL-01.8 SCF CPL-01.8 Conformity Attestations Mechanisms exist for the certifying official to attest to the accuracy of conformity attestations, based on applicable laws, regulations and/or contractual criteria. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-01.8_CPL-01.8_A01", "name": "assessment-objective", "prose": "the process for the certifying official to attest to the accuracy of conformity attestations is defined."}, {"id": "CPL-01.8_CPL-01.8_A02", "name": "assessment-objective", "prose": "the certifying official attests to the accuracy of conformity attestations, based on applicable laws, regulations and/or contractual criteria."}]} \N \N \N \N +SCF:CPL-02 SCF CPL-02 Security, Compliance & Resilience Controls Oversight Mechanisms exist to provide a security, compliance and resilience controls oversight function that reports to the organization's executive leadership. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-02_CPL-02_A01", "name": "assessment-objective", "prose": "a compliance catalog of applicable laws, regulations and contractual obligations are documented."}, {"id": "CPL-02_CPL-02_A02", "name": "assessment-objective", "prose": "a continuous monitoring strategy is developed for cybersecurity / data privacy controls."}, {"id": "CPL-02_CPL-02_A03", "name": "assessment-objective", "prose": "continuous control monitoring is implemented in accordance with the organization's continuous monitoring strategy."}, {"id": "CPL-02_CPL-02_A04", "name": "assessment-objective", "prose": "the frequency of cybersecurity / data privacy control assessments is defined."}, {"id": "CPL-02_CPL-02_A05", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls are assessed with the defined frequency to determine if the controls are effective in their application."}, {"id": "CPL-02_CPL-02_A06", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls are monitored on an ongoing basis to ensure the continued effectiveness of those controls."}, {"id": "CPL-02_CPL-02_A07", "name": "assessment-objective", "prose": "personnel or roles to whom the cybersecurity / data privacy status of the system is reported are defined."}, {"id": "CPL-02_CPL-02_A08", "name": "assessment-objective", "prose": "the frequency at which the cybersecurity / data privacy status of the system is reported is defined."}, {"id": "CPL-02_CPL-02_A09", "name": "assessment-objective", "prose": "system-level continuous monitoring includes reporting the cybersecurity / data privacy status of the system to pertinent personnel or roles according to an organization-defined frequency."}, {"id": "CPL-02_CPL-02_A10", "name": "assessment-objective", "prose": "control monitoring metrics are defined."}, {"id": "CPL-02_CPL-02_A11", "name": "assessment-objective", "prose": "system-level continuous monitoring includes ongoing monitoring of system and organization-defined metrics in accordance with the continuous monitoring strategy."}, {"id": "CPL-02_CPL-02_A12", "name": "assessment-objective", "prose": "system-level continuous monitoring includes correlation and analysis of information generated by control assessments and monitoring."}, {"id": "CPL-02_CPL-02_A13", "name": "assessment-objective", "prose": "system-level continuous monitoring includes response actions to address the results of the analysis of control assessment and monitoring information."}, {"id": "CPL-02_CPL-02_A14", "name": "assessment-objective", "prose": "the personnel or roles for reporting the security status of organizational systems to is/are defined."}, {"id": "CPL-02_CPL-02_A15", "name": "assessment-objective", "prose": "the personnel or roles for reporting the privacy status of organizational systems to is/are defined."}, {"id": "CPL-02_CPL-02_A16", "name": "assessment-objective", "prose": "the frequency at which to report the security status of organizational systems is defined."}, {"id": "CPL-02_CPL-02_A17", "name": "assessment-objective", "prose": "the frequency at which to report the privacy status of organizational systems is defined."}, {"id": "CPL-02_CPL-02_A18", "name": "assessment-objective", "prose": "an organization-wide continuous monitoring strategy is developed."}, {"id": "CPL-02_CPL-02_A19", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include establishing metrics to be monitored."}, {"id": "CPL-02_CPL-02_A20", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that establish frequency for monitoring."}, {"id": "CPL-02_CPL-02_A21", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that establish frequency for assessment of control effectiveness."}, {"id": "CPL-02_CPL-02_A22", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include monitoring metrics on an ongoing basis in accordance with the continuous monitoring strategy."}, {"id": "CPL-02_CPL-02_A23", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include correlating information generated by control assessments and monitoring."}, {"id": "CPL-02_CPL-02_A24", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include analyzing information generated by control assessments and monitoring."}, {"id": "CPL-02_CPL-02_A25", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include response actions to address the analysis of control assessment information."}, {"id": "CPL-02_CPL-02_A26", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include response actions to address the analysis of monitoring information."}, {"id": "CPL-02_CPL-02_A27", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include reporting the security status of organizational systems to personnel or roles frequency."}, {"id": "CPL-02_CPL-02_A28", "name": "assessment-objective", "prose": "continuous monitoring programs are implemented that include reporting the privacy status of organizational systems to personnel or roles frequency."}, {"id": "CPL-02_CPL-02_A29", "name": "assessment-objective", "prose": "a system-level continuous monitoring strategy is developed."}, {"id": "CPL-02_CPL-02_A30", "name": "assessment-objective", "prose": "ongoing monitoring is included in the continuous monitoring strategy."}, {"id": "CPL-02_CPL-02_A31", "name": "assessment-objective", "prose": "security assessments are included in the continuous monitoring strategy."}]} \N \N \N \N +SCF:CPL-02.1 SCF CPL-02.1 Internal Audit Function Mechanisms exist to implement an internal audit function that is capable of providing senior organization management with insights into the appropriateness of the organization's technology and information governance processes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-02.1_CPL-02.1_A01", "name": "assessment-objective", "prose": "an internal audit function exists that is comprised of stakeholders who have the subject matter expertise to serve in an advisory capability on audit-related matters."}, {"id": "CPL-02.1_CPL-02.1_A02", "name": "assessment-objective", "prose": "an internal audit function formally defines audit-related priorities for the organization."}, {"id": "CPL-02.1_CPL-02.1_A03", "name": "assessment-objective", "prose": "an internal audit function tracks audit findings that require remediation efforts."}, {"id": "CPL-02.1_CPL-02.1_A04", "name": "assessment-objective", "prose": "an internal audit function provides the organization's executive leadership with insights into the appropriateness of the organization's technology and information governance processes."}, {"id": "CPL-02.1_CPL-02.1_A05", "name": "assessment-objective", "prose": "the frequency at which to assess the security requirements for the system and its environment of operation is defined."}]} \N \N \N \N +SCF:CPL-02.2 SCF CPL-02.2 Periodic Audits Mechanisms exist to conduct periodic audits of security, compliance and resilience controls to evaluate conformity with the organization's documented policies, standards and procedures. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-02.2_CPL-02.2_A01", "name": "assessment-objective", "prose": "the organization conducts periodic, formal audits of cybersecurity & data protection controls for conformity with the organization's policies, standards and procedures."}, {"id": "CPL-02.2_CPL-02.2_A02", "name": "assessment-objective", "prose": "personnel or roles to whom the assignment conformity assessments are assigned."}]} \N \N \N \N +SCF:CPL-02.3 SCF CPL-02.3 Corrective Action Mechanisms exist to take corrective action to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-02.3_CPL-02.3_A01", "name": "assessment-objective", "prose": "corrective action is taken to remediate instances of non-conformity with applicable statutory, regulatory, and/or contractual compliance obligations."}]} \N \N \N \N +SCF:CPL-03 SCF CPL-03 Security, Compliance & Resilience Assessments Mechanisms exist to regularly review processes and documented procedures to ensure conformity with the organization's security, compliance and/or resilience policies, standards and other applicable requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03_CPL-03_A01", "name": "assessment-objective", "prose": "the frequency at which to assess controls in the system and its environment of operation is defined."}, {"id": "CPL-03_CPL-03_A02", "name": "assessment-objective", "prose": "an appropriate assessor or assessment team is selected for the type of assessment to be conducted."}, {"id": "CPL-03_CPL-03_A03", "name": "assessment-objective", "prose": "the security requirements for the system and its environment of operation are assessed per an organization-defined frequency to determine if the requirements have been satisfied."}, {"id": "CPL-03_CPL-03_A04", "name": "assessment-objective", "prose": "individuals or roles to whom control assessment results are to be provided are defined."}, {"id": "CPL-03_CPL-03_A05", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including controls and control enhancements under assessment."}, {"id": "CPL-03_CPL-03_A06", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment procedures to be used to determine control effectiveness."}, {"id": "CPL-03_CPL-03_A07", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment environment."}, {"id": "CPL-03_CPL-03_A08", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment team."}, {"id": "CPL-03_CPL-03_A09", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment roles and responsibilities."}, {"id": "CPL-03_CPL-03_A10", "name": "assessment-objective", "prose": "the control assessment plan is reviewed and approved by the authorizing official or designated representative prior to conducting the assessment."}, {"id": "CPL-03_CPL-03_A11", "name": "assessment-objective", "prose": "the security requirements for the system and its environment of operation are assessed to determine if the requirements have been satisfied."}]} \N \N \N \N +SCF:CPL-03.2 SCF CPL-03.2 Functional Review Of Security, Compliance & Resilience Controls Mechanisms exist to regularly review Technology Assets, Applications and/or Services (TAAS) for adherence to the organization's security, compliance and/or resilience policies and standards. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.2_CPL-03.2_A01", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an organization-defined assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established security requirements."}, {"id": "CPL-03.2_CPL-03.2_A02", "name": "assessment-objective", "prose": "a control assessment report is produced that documents the results of the assessment."}, {"id": "CPL-03.2_CPL-03.2_A03", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an organization-defined assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established privacy requirements."}, {"id": "CPL-03.2_CPL-03.2_A04", "name": "assessment-objective", "prose": "the results of the control assessment are provided to individuals or roles."}, {"id": "CPL-03.2_CPL-03.2_A05", "name": "assessment-objective", "prose": "a system-level continuous monitoring strategy is implemented."}]} \N \N \N \N +SCF:CPL-03.3 SCF CPL-03.3 Assessor Access Mechanisms exist to grant assessors minimum necessary access to conduct conformity assessments, including:\r\n(1) Logical access to design, development, production, inspection and testing artifacts; and \r\n(2) Physical access to facilities. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.3_CPL-03.3_A01", "name": "assessment-objective", "prose": "assessors are granted the minimum logical access authorizations necessary to conduct conformity assessments."}, {"id": "CPL-03.3_CPL-03.3_A02", "name": "assessment-objective", "prose": "assessors are granted the minimum physical access authorizations necessary to conduct conformity assessments."}]} \N \N \N \N +SCF:CPL-03.4 SCF CPL-03.4 Assessment Methods Mechanisms exist to define acceptable methods to conduct a cybersecurity and/or data protection assessment. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.4_CPL-03.4_A01", "name": "assessment-objective", "prose": "acceptable methods to conduct a cybersecurity and/or data protection assessment are defined."}]} \N \N \N \N +SCF:CPL-03.5 SCF CPL-03.5 Assessment Rigor Mechanisms exist to define the level of assessment rigor necessary to conduct a cybersecurity and/or data protection assessment. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.5_CPL-03.5_A01", "name": "assessment-objective", "prose": "the level of assessment rigor necessary to conduct a cybersecurity and/or data protection assessment is defined."}]} \N \N \N \N +SCF:CPL-03.6 SCF CPL-03.6 Evidence Request List (ERL) Mechanisms exist to define an Evidence Request List (ERL) prior to the start of a cybersecurity and/or data protection assessment. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.6_CPL-03.6_A01", "name": "assessment-objective", "prose": "an Evidence Request List (ERL) prior to the start of a cybersecurity and/or data protection assessment is defined."}]} \N \N \N \N +SCF:CPL-03.7 SCF CPL-03.7 Evidence Sampling Mechanisms exist to define evidence sampling criteria for cybersecurity and/or data protection assessments. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-03.7_CPL-03.7_A01", "name": "assessment-objective", "prose": "evidence sampling criteria for cybersecurity and/or data protection assessments are defined."}]} \N \N \N \N +SCF:CPL-04 SCF CPL-04 Audit Activities Mechanisms exist to thoughtfully plan audits by including input from operational risk and compliance partners to minimize the impact of audit-related activities on business operations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-04_CPL-04_A01", "name": "assessment-objective", "prose": "an internal audit function formally defines audit-related priorities for the organization."}, {"id": "CPL-04_CPL-04_A02", "name": "assessment-objective", "prose": "audits are thoughtfully planned to minimize the impact of audit-related activities on business operations."}]} \N \N \N \N +SCF:CPL-05 SCF CPL-05 Legal Assessment of Investigative Inquires Mechanisms exist to determine whether a government agency has an applicable and valid legal basis to request data from the organization and what further steps need to be taken, if necessary. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-05_CPL-05_A01", "name": "assessment-objective", "prose": "a formal process exists to intake requests, document the request and determine whether a government agency has an applicable and valid legal basis to request data from the organization."}, {"id": "CPL-05_CPL-05_A02", "name": "assessment-objective", "prose": "based on an applicable and valid legal basis for a data request by a government agency, data request fulfillment actions are formally assigned to an individual or group with explicitly-specified criteria to minimize inappropriate data sharing."}]} \N \N \N \N +SCF:CPL-05.1 SCF CPL-05.1 Investigation Request Notifications Mechanisms exist to notify customers about investigation request notifications, unless the applicable legal basis for a government agency's action prohibits notification (e.g., potential criminal prosecution). 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-05.1_CPL-05.1_A01", "name": "assessment-objective", "prose": "a formal process exists to intake and document government investigation requests."}, {"id": "CPL-05.1_CPL-05.1_A02", "name": "assessment-objective", "prose": "a formal process exists to evaluate government investigation requests for legal requirements the organization must comply with."}, {"id": "CPL-05.1_CPL-05.1_A03", "name": "assessment-objective", "prose": "processes exist to notify affected customer(s) about investigation requests, unless the applicable legal basis for a government agency's action prohibits notification (e.g., potential criminal prosecution)."}]} \N \N \N \N +SCF:CPL-05.2 SCF CPL-05.2 Investigation Access Restrictions Mechanisms exist to support official investigations by provisioning government investigators with "least privileges" and "least functionality" to ensure that government investigators only have access to the Technology Assets, Applications, Services and/or Data (TAASD) needed to perform the investigation. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-05.2_CPL-05.2_A01", "name": "assessment-objective", "prose": "a formal process exists to intake and document government access requests."}, {"id": "CPL-05.2_CPL-05.2_A02", "name": "assessment-objective", "prose": "a formal process exists to evaluate government access requests for legal requirements the organization must comply with."}, {"id": "CPL-05.2_CPL-05.2_A03", "name": "assessment-objective", "prose": "the organization supports official investigations by provisioning government investigators with \\"least privileges\\" and \\"least functionality\\" to ensure that government investigators only have access to the data and systems needed to perform the investigation."}]} \N \N \N \N +SCF:CPL-06 SCF CPL-06 Government Surveillance Mechanisms exist to constrain the host government from having unrestricted and non-monitored access to the organization's Technology Assets, Applications, Services and/or Data (TAASD) that could potentially violate other applicable statutory, regulatory and/or contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-06_CPL-06_A01", "name": "assessment-objective", "prose": "a formal process exists to intake and document access requests from host governments for unrestricted and non-monitored access to the organization's systems, applications and services that could potentially violate other applicable statutory, regulatory and/or contractual obligations."}, {"id": "CPL-06_CPL-06_A02", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies risks associated with non-compliance (e.g., fines, operational impacts, etc.)."}, {"id": "CPL-06_CPL-06_A03", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies primary risks associated with compliance (e.g., loss of confidentiality and/or integrity considerations with data governance)."}, {"id": "CPL-06_CPL-06_A04", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies secondary risks associated with compliance (e.g., non-compliance with other laws, regulations and contractual agreements)."}, {"id": "CPL-06_CPL-06_A05", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies tertiary risks associated with compliance (e.g., human rights abuses, theft of intellectual property, espionage, etc.)."}, {"id": "CPL-06_CPL-06_A06", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally adopts an action plan to respond to host government requests for unrestricted and non-monitored access to the organization's systems, applications and services that could potentially violate other applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:CPL-07 SCF CPL-07 Grievances Mechanisms exist to govern the intake and analysis of grievances related to the organization's cybersecurity and/or data protection practices. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-07_CPL-07_A01", "name": "assessment-objective", "prose": "an intake mechanism exists to receive grievances related to the organization's cybersecurity and/or data protection practices."}, {"id": "CPL-07_CPL-07_A02", "name": "assessment-objective", "prose": "received grievances are assigned to specific roles to investigate the legitimacy of the complaint."}, {"id": "CPL-07_CPL-07_A03", "name": "assessment-objective", "prose": "the analysis of received grievances is documented."}, {"id": "CPL-07_CPL-07_A04", "name": "assessment-objective", "prose": "upon validation of a grievance from a data subject, a process assigns the remediation task to an individual, or team."}]} \N \N \N \N +SCF:CPL-07.1 SCF CPL-07.1 Grievance Response Mechanisms exist to respond to legitimate grievances related to the organization's cybersecurity and/or data protection practices. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-07.1_CPL-07.1_A01", "name": "assessment-objective", "prose": "a response mechanism exists to respond to legitimate grievances related to the organization's cybersecurity and/or data protection practices."}]} \N \N \N \N +SCF:CPL-08 SCF CPL-08 Localized Representation Mechanisms exist to appoint localized representation with a physical presence in localities, as required by applicable laws and/or regulations. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-08_CPL-08_A01", "name": "assessment-objective", "prose": "localized representation with a physical presence in localities is appointed to represent the organization, as required by applicable laws and/or regulations."}]} \N \N \N \N +SCF:CPL-08.1 SCF CPL-08.1 Representative Powers Mechanisms exist to contract localized representation to perform specified functions in regard to representing statutory and/or regulatory compliance matters. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-08.1_CPL-08.1_A01", "name": "assessment-objective", "prose": "localized representation is contracted to perform specified functions in regard to representing statutory and/or regulatory compliance matters."}]} \N \N \N \N +SCF:CPL-09 SCF CPL-09 Control Reciprocity Mechanisms exist to define instances of control reciprocity within assessment boundaries. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-09_CPL-09_A01", "name": "assessment-objective", "prose": "instances of control reciprocity within assessment boundaries are defined."}]} \N \N \N \N +SCF:CPL-10 SCF CPL-10 Control Inheritance Mechanisms exist to define instances of control inheritance within assessment boundaries. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-10_CPL-10_A01", "name": "assessment-objective", "prose": "instances of control inheritance within assessment boundaries are defined."}]} \N \N \N \N +SCF:CPL-11 SCF CPL-11 Dual Use Technology Mechanisms exist to govern technologies and/or data that have potential:\r\n(1) "Dual-use” capabilities for civil and military;\r\n(2) Use by terrorists; and/or \r\n(3) Weapons of Mass Destruction (WMD) applications. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-11_CPL-11_A01", "name": "assessment-objective", "prose": "technologies and/or data that have potential \\"dual-use” capabilities for civil and military are identified."}, {"id": "CPL-11_CPL-11_A02", "name": "assessment-objective", "prose": "technologies and/or data that have potential use by terrorists are identified."}, {"id": "CPL-11_CPL-11_A03", "name": "assessment-objective", "prose": "technologies and/or data that have potential Weapons of Mass Destruction (WMD) applications are identified."}]} \N \N \N \N +SCF:CPL-11.2 SCF CPL-11.2 Export-Controlled Access Restrictions Mechanisms exist to restrict logical and physical access to United States (US) export-controlled data to US: \r\n(1) Citizens; and/or\r\n(2) Green Card holders. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-11.2_CPL-11.2_A01", "name": "assessment-objective", "prose": "logical access to United States (US) export-controlled data is restricted US citizens."}, {"id": "CPL-11.2_CPL-11.2_A02", "name": "assessment-objective", "prose": "logical access to United States (US) export-controlled data is restricted US Green Card holders."}, {"id": "CPL-11.2_CPL-11.2_A03", "name": "assessment-objective", "prose": "physical access to United States (US) export-controlled data is restricted US citizens."}, {"id": "CPL-11.2_CPL-11.2_A04", "name": "assessment-objective", "prose": "physical access to United States (US) export-controlled data is restricted US Green Card holders."}]} \N \N \N \N +SCF:CPL-11.3 SCF CPL-11.3 Export Activities Documentation Mechanisms exist to generate detailed logs of export-controlled data including:\r\n(1) Logical and physical access; and\r\n(2) Export activities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-11.3_CPL-11.3_A01", "name": "assessment-objective", "prose": "detailed logs of export-controlled data are generated to document logical and physical access."}, {"id": "CPL-11.3_CPL-11.3_A02", "name": "assessment-objective", "prose": "detailed logs of export-controlled data are generated to document export activities."}]} \N \N \N \N +SCF:CPL-12 SCF CPL-12 Statement of Applicability (SOA) Mechanisms exist to produce a Statement of Applicability (SOA), or similar document, for compliance-related scoping activities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-12_CPL-12_A01", "name": "assessment-objective", "prose": "applicable controls for an audit/assessment are identified."}, {"id": "CPL-12_CPL-12_A02", "name": "assessment-objective", "prose": "a Statement of Applicability (SOA), or similar document, is generated to formalize audit/assessment control scoping."}]} \N \N \N \N +SCF:CPL-13 SCF CPL-13 Work Products Mechanisms exist to produce work products (e.g., process artifacts) that demonstrate the ability to comply with applicable requirements. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-13_CPL-13_A01", "name": "assessment-objective", "prose": "work products (e.g., process artifacts) necessary to demonstrate conformity with applicable requirements are defined."}, {"id": "CPL-13_CPL-13_A02", "name": "assessment-objective", "prose": "work products (e.g., process artifacts) necessary to generated and retained to demonstrate conformity with applicable requirements."}]} \N \N \N \N +SCF:CPL-13.1 SCF CPL-13.1 Defensible Evidence of Due Diligence Mechanisms exist to produce evidence of due diligence activities performed, capable of withstanding external audit or regulatory scrutiny. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-13.1_CPL-13.1_A01", "name": "assessment-objective", "prose": "the minimum threshold for evidence of due diligence activities capable of withstanding external audit or regulatory scrutiny is defined"}, {"id": "CPL-13.1_CPL-13.1_A02", "name": "assessment-objective", "prose": "evidence of due diligence activities is generated and retained to demonstrate conformity with applicable requirements."}]} \N \N \N \N +SCF:CPL-13.2 SCF CPL-13.2 Defensible Evidence of Due Care Mechanisms exist to produce evidence of due care activities performed, capable of withstanding external audit or regulatory scrutiny. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Compliance", "assessment_objective": [{"id": "CPL-13.2_CPL-13.2_A01", "name": "assessment-objective", "prose": "the minimum threshold for evidence of due care activities capable of withstanding external audit or regulatory scrutiny is defined"}, {"id": "CPL-13.2_CPL-13.2_A02", "name": "assessment-objective", "prose": "evidence of due care activities is generated and retained to demonstrate conformity with applicable requirements."}]} \N \N \N \N +SCF:CFG-01 SCF CFG-01 Configuration Management Program Mechanisms exist to facilitate the implementation of configuration management controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-01_CFG-01_A01", "name": "assessment-objective", "prose": "the scope for the configuration management plan is organization-wide."}, {"id": "CFG-01_CFG-01_A02", "name": "assessment-objective", "prose": "the types of changes to the system that are configuration-controlled are defined."}, {"id": "CFG-01_CFG-01_A03", "name": "assessment-objective", "prose": "a configuration management plan for systems, applications and services is developed and documented."}, {"id": "CFG-01_CFG-01_A04", "name": "assessment-objective", "prose": "a configuration management plan for systems, applications and services is implemented."}, {"id": "CFG-01_CFG-01_A05", "name": "assessment-objective", "prose": "the current configuration management policy is reviewed / updated organization-defined frequency."}, {"id": "CFG-01_CFG-01_A06", "name": "assessment-objective", "prose": "the current configuration management policy is reviewed / updated following organization-defined events."}, {"id": "CFG-01_CFG-01_A07", "name": "assessment-objective", "prose": "personnel or roles to review and approve the configuration management plan is/are defined."}, {"id": "CFG-01_CFG-01_A08", "name": "assessment-objective", "prose": "the configuration management plan addresses roles."}, {"id": "CFG-01_CFG-01_A09", "name": "assessment-objective", "prose": "the configuration management plan addresses responsibilities."}, {"id": "CFG-01_CFG-01_A10", "name": "assessment-objective", "prose": "the configuration management plan addresses configuration management processes and procedures."}, {"id": "CFG-01_CFG-01_A11", "name": "assessment-objective", "prose": "the configuration management plan establishes a process for identifying configuration items throughout the system development life cycle."}, {"id": "CFG-01_CFG-01_A12", "name": "assessment-objective", "prose": "the configuration management plan establishes a process for managing the configuration of the configuration items."}, {"id": "CFG-01_CFG-01_A13", "name": "assessment-objective", "prose": "the configuration management plan defines the configuration items for the system."}, {"id": "CFG-01_CFG-01_A14", "name": "assessment-objective", "prose": "the configuration management plan places the configuration items under configuration management."}, {"id": "CFG-01_CFG-01_A15", "name": "assessment-objective", "prose": "the configuration management plan is reviewed and approved by organization-defined personnel or roles."}, {"id": "CFG-01_CFG-01_A16", "name": "assessment-objective", "prose": "the configuration management plan is protected from unauthorized disclosure."}, {"id": "CFG-01_CFG-01_A17", "name": "assessment-objective", "prose": "the configuration management plan is protected from unauthorized modification."}, {"id": "CFG-01_CFG-01_A18", "name": "assessment-objective", "prose": "configuration management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CFG-01_CFG-01_A19", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support configuration management operations."}, {"id": "CFG-01_CFG-01_A20", "name": "assessment-objective", "prose": "responsibility and authority for the performance of configuration management-related activities are assigned to designated personnel."}, {"id": "CFG-01_CFG-01_A21", "name": "assessment-objective", "prose": "personnel performing configuration management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CFG-01.1 SCF CFG-01.1 Assignment of Responsibility Mechanisms exist to implement a segregation of duties for configuration management that prevents developers from performing production configuration management duties. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-01.1_CFG-01.1_A01", "name": "assessment-objective", "prose": "the responsibility for developing the configuration management process is assigned to organizational personnel who are not directly involved in system development."}]} \N \N \N \N +SCF:CFG-02 SCF CFG-02 Secure Baseline Configurations Mechanisms exist to develop, document and maintain secure baseline configurations for Technology Assets, Applications and/or Services (TAAS) that are consistent with industry-accepted system hardening standards. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02_CFG-02_A01", "name": "assessment-objective", "prose": "a current baseline configuration for systems, applications and services is developed and documented."}, {"id": "CFG-02_CFG-02_A02", "name": "assessment-objective", "prose": "the baseline configuration includes hardware, software, firmware and documentation."}, {"id": "CFG-02_CFG-02_A03", "name": "assessment-objective", "prose": "security configuration settings for information technology products employed in the system are enforced."}, {"id": "CFG-02_CFG-02_A04", "name": "assessment-objective", "prose": "the baseline configuration is maintained (reviewed / updated) throughout the system development life cycle under configuration control."}, {"id": "CFG-02_CFG-02_A05", "name": "assessment-objective", "prose": "configuration settings that reflect the most restrictive mode consistent with operational requirements are established and documented for components employed within the system using organization-defined common secure configurations."}, {"id": "CFG-02_CFG-02_A06", "name": "assessment-objective", "prose": "thresholds to which attack surfaces are to be reduced are defined."}, {"id": "CFG-02_CFG-02_A07", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to reduce attack surfaces to organization-defined thresholds."}, {"id": "CFG-02_CFG-02_A08", "name": "assessment-objective", "prose": "a control baseline for the system is selected."}, {"id": "CFG-02_CFG-02_A09", "name": "assessment-objective", "prose": "approved authorizations are enforced for controlling the flow of CUI within the system."}, {"id": "CFG-02_CFG-02_A10", "name": "assessment-objective", "prose": "configuration requirements are established for each type of wireless access to the system."}, {"id": "CFG-02_CFG-02_A11", "name": "assessment-objective", "prose": "wireless networking capabilities not intended for use are disabled prior to issuance and deployment."}, {"id": "CFG-02_CFG-02_A12", "name": "assessment-objective", "prose": "configuration requirements are established for mobile devices."}, {"id": "CFG-02_CFG-02_A13", "name": "assessment-objective", "prose": "audit logging tools are protected from unauthorized access, modification, and deletion."}, {"id": "CFG-02_CFG-02_A14", "name": "assessment-objective", "prose": "a current baseline configuration of the system is developed."}, {"id": "CFG-02_CFG-02_A15", "name": "assessment-objective", "prose": "a current baseline configuration of the system is maintained under configuration control."}, {"id": "CFG-02_CFG-02_A16", "name": "assessment-objective", "prose": "the following configuration settings for the system that reflect the most restrictive mode consistent with operational requirements are established and documented: ."}, {"id": "CFG-02_CFG-02_A17", "name": "assessment-objective", "prose": "the following configuration settings for the system are implemented: ."}, {"id": "CFG-02_CFG-02_A18", "name": "assessment-objective", "prose": "functions to be prohibited or restricted are defined."}, {"id": "CFG-02_CFG-02_A19", "name": "assessment-objective", "prose": "ports to be prohibited or restricted are defined."}, {"id": "CFG-02_CFG-02_A20", "name": "assessment-objective", "prose": "protocols to be prohibited or restricted are defined."}, {"id": "CFG-02_CFG-02_A21", "name": "assessment-objective", "prose": "connections to be prohibited or restricted are defined."}, {"id": "CFG-02_CFG-02_A22", "name": "assessment-objective", "prose": "services to be prohibited or restricted are defined."}, {"id": "CFG-02_CFG-02_A23", "name": "assessment-objective", "prose": "the use of the following functions is prohibited or restricted: ."}, {"id": "CFG-02_CFG-02_A24", "name": "assessment-objective", "prose": "the use of the following ports is prohibited or restricted: ."}, {"id": "CFG-02_CFG-02_A25", "name": "assessment-objective", "prose": "the use of the following protocols is prohibited or restricted: ."}, {"id": "CFG-02_CFG-02_A26", "name": "assessment-objective", "prose": "the use of the following connections is prohibited or restricted: ."}, {"id": "CFG-02_CFG-02_A27", "name": "assessment-objective", "prose": "the use of the following services is prohibited or restricted: ."}, {"id": "CFG-02_CFG-02_A28", "name": "assessment-objective", "prose": "replay-resistant authentication mechanisms for access to privileged accounts are implemented."}, {"id": "CFG-02_CFG-02_A29", "name": "assessment-objective", "prose": "replay-resistant authentication mechanisms for access to non-privileged accounts are implemented."}, {"id": "CFG-02_CFG-02_A30", "name": "assessment-objective", "prose": "passwords are only transmitted over cryptographically protected channels."}, {"id": "CFG-02_CFG-02_A31", "name": "assessment-objective", "prose": "passwords are stored in a cryptographically protected form."}, {"id": "CFG-02_CFG-02_A32", "name": "assessment-objective", "prose": "a new password is selected upon first use after account recovery."}, {"id": "CFG-02_CFG-02_A33", "name": "assessment-objective", "prose": "organization-defined composition and complexity rules for passwords are enforced."}, {"id": "CFG-02_CFG-02_A34", "name": "assessment-objective", "prose": "replay resistance is implemented in the establishment of nonlocal maintenance and diagnostic sessions."}, {"id": "CFG-02_CFG-02_A35", "name": "assessment-objective", "prose": "the following composition and complexity rules for passwords are enforced: ."}]} \N \N \N \N +SCF:CFG-02.1 SCF CFG-02.1 Reviews & Updates Mechanisms exist to review and update baseline configurations:\r\n(1) At least annually;\r\n(2) When required due to so; or\r\n(3) As part of system component installations and upgrades. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.1_CFG-02.1_A01", "name": "assessment-objective", "prose": "the circumstances requiring baseline configuration review / update are defined."}, {"id": "CFG-02.1_CFG-02.1_A02", "name": "assessment-objective", "prose": "the baseline configuration of the system is reviewed / updated when required due to organization-defined circumstances."}, {"id": "CFG-02.1_CFG-02.1_A03", "name": "assessment-objective", "prose": "the frequency of baseline configuration review / update is defined."}, {"id": "CFG-02.1_CFG-02.1_A04", "name": "assessment-objective", "prose": "the baseline configuration of the system is reviewed per an organization-defined frequency."}, {"id": "CFG-02.1_CFG-02.1_A05", "name": "assessment-objective", "prose": "the baseline configuration of the system is updated per an organization-defined frequency."}, {"id": "CFG-02.1_CFG-02.1_A06", "name": "assessment-objective", "prose": "the baseline configuration of the system is reviewed when system components are installed or modified."}, {"id": "CFG-02.1_CFG-02.1_A07", "name": "assessment-objective", "prose": "the baseline configuration of the system is updated when system components are installed or modified."}, {"id": "CFG-02.1_CFG-02.1_A08", "name": "assessment-objective", "prose": "the system is reviewed to identify unnecessary or nonsecure functions, ports, protocols, connections, and services."}, {"id": "CFG-02.1_CFG-02.1_A09", "name": "assessment-objective", "prose": "the baseline configuration of the system is reviewed ."}, {"id": "CFG-02.1_CFG-02.1_A10", "name": "assessment-objective", "prose": "the baseline configuration of the system is updated ."}]} \N \N \N \N +SCF:CFG-02.2 SCF CFG-02.2 Automated Central Management & Verification Automated mechanisms exist to govern and report on baseline configurations of Technology Assets, Applications and/or Services (TAAS) through Continuous Diagnostics and Mitigation (CDM), or similar technologies. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.2_CFG-02.2_A01", "name": "assessment-objective", "prose": "system components for which to manage, apply and verify configuration settings are defined."}, {"id": "CFG-02.2_CFG-02.2_A02", "name": "assessment-objective", "prose": "automated discovery and management tools are employed to maintain an up-to-date, complete, accurate and readily available inventory of system components."}, {"id": "CFG-02.2_CFG-02.2_A03", "name": "assessment-objective", "prose": "automated discovery and management tools for the inventory of system components are identified."}, {"id": "CFG-02.2_CFG-02.2_A04", "name": "assessment-objective", "prose": "an up-to-date, complete, accurate and readily available inventory of system components exists."}, {"id": "CFG-02.2_CFG-02.2_A05", "name": "assessment-objective", "prose": "activities associated with configuration-controlled changes to the system are monitored."}, {"id": "CFG-02.2_CFG-02.2_A06", "name": "assessment-objective", "prose": "activities associated with configuration-controlled changes to the system are reviewed."}]} \N \N \N \N +SCF:CFG-02.3 SCF CFG-02.3 Retention Of Previous Configurations Mechanisms exist to retain previous versions of baseline configuration to support roll back. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.3_CFG-02.3_A01", "name": "assessment-objective", "prose": "the number of previous baseline configuration versions to be retained is defined."}, {"id": "CFG-02.3_CFG-02.3_A02", "name": "assessment-objective", "prose": "organization-defined number of previous baseline configuration version(s) of the system is/are retained to support rollback."}]} \N \N \N \N +SCF:CFG-02.4 SCF CFG-02.4 Development & Test Environment Configurations Mechanisms exist to manage baseline configurations for development and test environments separately from operational baseline configurations to minimize the risk of unintentional changes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.4_CFG-02.4_A01", "name": "assessment-objective", "prose": "a baseline configuration for system development environments that is managed separately from the operational baseline configuration is maintained."}, {"id": "CFG-02.4_CFG-02.4_A02", "name": "assessment-objective", "prose": "a baseline configuration for test environments that is managed separately from the operational baseline configuration is maintained."}]} \N \N \N \N +SCF:CFG-02.5 SCF CFG-02.5 Configure Technology Assets, Applications and/or Services (TAAS) for High-Risk Areas Mechanisms exist to configure Technology Assets, Applications and/or Services (TAAS) utilized in high-risk areas with more restrictive baseline configurations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.5_CFG-02.5_A01", "name": "assessment-objective", "prose": "security requirements to be applied to the system or system components when individuals return from travel are defined."}, {"id": "CFG-02.5_CFG-02.5_A02", "name": "assessment-objective", "prose": "organization-defined systems or system components with organization-defined configurations are issued to individuals traveling to locations that the organization deems to be of significant risk."}, {"id": "CFG-02.5_CFG-02.5_A03", "name": "assessment-objective", "prose": "organization-defined controls are applied to the systems or system components when the individuals return from travel."}, {"id": "CFG-02.5_CFG-02.5_A04", "name": "assessment-objective", "prose": "configurations for systems or system components to be issued to individuals traveling to high-risk locations are defined."}]} \N \N \N \N +SCF:CFG-02.6 SCF CFG-02.6 Network Device Configuration File Synchronization Mechanisms exist to configure network devices to synchronize startup and running configuration files. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.6_CFG-02.6_A01", "name": "assessment-objective", "prose": "network devices are configured to synchronize startup and running configuration files."}]} \N \N \N \N +SCF:CFG-03.3 SCF CFG-03.3 Explicitly Allow / Deny Applications Mechanisms exist to explicitly allow (allowlist / whitelist) and/or block (denylist / blacklist) applications that are authorized to execute on systems. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-03.3_CFG-03.3_A01", "name": "assessment-objective", "prose": "a policy and/or process specifying whether whitelisting or blacklisting is to be implemented is specified."}, {"id": "CFG-03.3_CFG-03.3_A02", "name": "assessment-objective", "prose": "the software allowed to execute under whitelisting or denied use under blacklisting is specified."}, {"id": "CFG-03.3_CFG-03.3_A03", "name": "assessment-objective", "prose": "whitelisting to allow the execution of authorized software or blacklisting to prevent the use of unauthorized software is implemented as specified."}, {"id": "CFG-03.3_CFG-03.3_A04", "name": "assessment-objective", "prose": "registration requirements for functions, ports, protocols and services are defined."}, {"id": "CFG-03.3_CFG-03.3_A05", "name": "assessment-objective", "prose": "an allow-all, deny-by-exception policy is employed to prohibit the execution of unauthorized software programs on the system."}, {"id": "CFG-03.3_CFG-03.3_A06", "name": "assessment-objective", "prose": "the list of unauthorized software programs is reviewed / updated organization-defined frequency."}, {"id": "CFG-03.3_CFG-03.3_A07", "name": "assessment-objective", "prose": "organization-defined registration requirements are complied with."}, {"id": "CFG-03.3_CFG-03.3_A08", "name": "assessment-objective", "prose": "software programs not authorized to execute on the system are defined."}, {"id": "CFG-03.3_CFG-03.3_A09", "name": "assessment-objective", "prose": "frequency at which to review / update the list of unauthorized software programs is defined."}, {"id": "CFG-03.3_CFG-03.3_A10", "name": "assessment-objective", "prose": "organization-defined software programs are identified."}, {"id": "CFG-03.3_CFG-03.3_A11", "name": "assessment-objective", "prose": "software programs authorized to execute on the system are identified."}, {"id": "CFG-03.3_CFG-03.3_A12", "name": "assessment-objective", "prose": "the frequency at which to review and update the list of authorized software programs is defined."}, {"id": "CFG-03.3_CFG-03.3_A13", "name": "assessment-objective", "prose": "a deny-all, allow-by-exception policy for the execution of authorized software programs on the system is implemented."}, {"id": "CFG-03.3_CFG-03.3_A14", "name": "assessment-objective", "prose": "the list of authorized software programs is reviewed / updated organization-defined frequency."}, {"id": "CFG-03.3_CFG-03.3_A15", "name": "assessment-objective", "prose": "the automatic execution of mobile code in organization-defined software applications is prevented."}, {"id": "CFG-03.3_CFG-03.3_A16", "name": "assessment-objective", "prose": "organization-defined actions are enforced prior to executing mobile code."}, {"id": "CFG-03.3_CFG-03.3_A17", "name": "assessment-objective", "prose": "the use of mobile code is controlled."}]} \N \N \N \N +SCF:CFG-02.7 SCF CFG-02.7 Approved Configuration Deviations Mechanisms exist to document, assess risk and approve or deny deviations to standardized configurations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.7_CFG-02.7_A01", "name": "assessment-objective", "prose": "configuration settings that reflect the most restrictive mode consistent with operational requirements are established and documented for components employed within the system using common secure configurations."}, {"id": "CFG-02.7_CFG-02.7_A02", "name": "assessment-objective", "prose": "changes to the configuration settings are controlled in accordance with organizational policies and procedures."}, {"id": "CFG-02.7_CFG-02.7_A03", "name": "assessment-objective", "prose": "any deviations from established configuration settings are identified and documented."}, {"id": "CFG-02.7_CFG-02.7_A04", "name": "assessment-objective", "prose": "any deviations from established configuration settings are approved."}, {"id": "CFG-02.7_CFG-02.7_A05", "name": "assessment-objective", "prose": "common secure configurations to establish and document configuration settings for components employed within the system are defined."}, {"id": "CFG-02.7_CFG-02.7_A06", "name": "assessment-objective", "prose": "system components for which approval of deviations is needed are defined."}, {"id": "CFG-02.7_CFG-02.7_A07", "name": "assessment-objective", "prose": "operational requirements necessitating approval of deviations are defined."}, {"id": "CFG-02.7_CFG-02.7_A08", "name": "assessment-objective", "prose": "changes to the configuration settings are monitored in accordance with organizational policies and procedures."}]} \N \N \N \N +SCF:CFG-02.8 SCF CFG-02.8 Respond To Unauthorized Changes Mechanisms exist to respond to unauthorized changes to configuration settings as security incidents. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.8_CFG-02.8_A01", "name": "assessment-objective", "prose": "actions to be taken upon an unauthorized change are defined."}, {"id": "CFG-02.8_CFG-02.8_A02", "name": "assessment-objective", "prose": "organization-defined actions are taken in response to unauthorized changes to organization-defined configuration settings."}, {"id": "CFG-02.8_CFG-02.8_A03", "name": "assessment-objective", "prose": "configuration settings requiring action upon an unauthorized change are defined."}]} \N \N \N \N +SCF:CFG-02.9 SCF CFG-02.9 Baseline Tailoring Mechanisms exist to allow baseline controls to be specialized or customized by applying a defined set of tailoring actions that are specific to:\r\n(1) Mission / business functions;\r\n(2) Operational environment;\r\n(3) Specific threats or vulnerabilities; or\r\n(4) Other conditions or situations that could affect mission / business success. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-02.9_CFG-02.9_A01", "name": "assessment-objective", "prose": "the selected control baseline is tailored by applying specified tailoring actions."}, {"id": "CFG-02.9_CFG-02.9_A02", "name": "assessment-objective", "prose": "additional information for audit records is provided, as needed."}]} \N \N \N \N +SCF:CFG-03 SCF CFG-03 Least Functionality Mechanisms exist to configure systems to provide only essential capabilities by specifically prohibiting or restricting the use of ports, protocols, and/or services. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-03_CFG-03_A01", "name": "assessment-objective", "prose": "configuration settings for the system that reflect the most restrictive mode consistent with operational requirements are defined (e.g., principle of least functionality)."}, {"id": "CFG-03_CFG-03_A02", "name": "assessment-objective", "prose": "systems are configured to provide only the defined essential capabilities, where unnecessary or nonsecure functions, ports, protocols, connections, and services are disabled or removed."}, {"id": "CFG-03_CFG-03_A03", "name": "assessment-objective", "prose": "functions to be prohibited or restricted are defined."}, {"id": "CFG-03_CFG-03_A04", "name": "assessment-objective", "prose": "ports to be prohibited or restricted are defined."}, {"id": "CFG-03_CFG-03_A05", "name": "assessment-objective", "prose": "protocols to be prohibited or restricted are defined."}, {"id": "CFG-03_CFG-03_A06", "name": "assessment-objective", "prose": "software to be prohibited or restricted is defined."}, {"id": "CFG-03_CFG-03_A07", "name": "assessment-objective", "prose": "services to be prohibited or restricted are defined."}, {"id": "CFG-03_CFG-03_A08", "name": "assessment-objective", "prose": "the use of organization-defined functions is prohibited or restricted."}, {"id": "CFG-03_CFG-03_A09", "name": "assessment-objective", "prose": "the use of organization-defined ports is prohibited or restricted."}, {"id": "CFG-03_CFG-03_A10", "name": "assessment-objective", "prose": "the use of organization-defined protocols is prohibited or restricted."}, {"id": "CFG-03_CFG-03_A11", "name": "assessment-objective", "prose": "the use of organization-defined software is prohibited or restricted."}, {"id": "CFG-03_CFG-03_A12", "name": "assessment-objective", "prose": "the use of organization-defined services is prohibited or restricted."}, {"id": "CFG-03_CFG-03_A13", "name": "assessment-objective", "prose": "configuration settings for the system reflect the most restrictive mode consistent with operational requirements are defined."}, {"id": "CFG-03_CFG-03_A14", "name": "assessment-objective", "prose": "unnecessary or nonsecure functions, ports, protocols, connections, and services are disabled or removed."}]} \N \N \N \N +SCF:CFG-03.1 SCF CFG-03.1 Periodic Review Mechanisms exist to periodically review system configurations to identify and disable unnecessary and/or non-secure functions, ports, protocols and services. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-03.1_CFG-03.1_A01", "name": "assessment-objective", "prose": "the frequency at which to review the system to identify unnecessary or nonsecure functions, ports, protocols, connections, or services is defined."}, {"id": "CFG-03.1_CFG-03.1_A02", "name": "assessment-objective", "prose": "organization-defined functions, ports, protocols, software and services deemed to be unnecessary and/or non-secure are disabled or removed."}, {"id": "CFG-03.1_CFG-03.1_A03", "name": "assessment-objective", "prose": "essential programs are defined."}, {"id": "CFG-03.1_CFG-03.1_A04", "name": "assessment-objective", "prose": "essential functions are defined."}, {"id": "CFG-03.1_CFG-03.1_A05", "name": "assessment-objective", "prose": "essential ports are defined."}, {"id": "CFG-03.1_CFG-03.1_A06", "name": "assessment-objective", "prose": "essential protocols are defined."}, {"id": "CFG-03.1_CFG-03.1_A07", "name": "assessment-objective", "prose": "essential services are defined."}, {"id": "CFG-03.1_CFG-03.1_A08", "name": "assessment-objective", "prose": "the use of nonessential programs is defined."}, {"id": "CFG-03.1_CFG-03.1_A09", "name": "assessment-objective", "prose": "the use of nonessential programs is restricted, disabled or prevented as defined."}, {"id": "CFG-03.1_CFG-03.1_A10", "name": "assessment-objective", "prose": "the use of nonessential functions is defined."}, {"id": "CFG-03.1_CFG-03.1_A11", "name": "assessment-objective", "prose": "the use of nonessential functions is restricted, disabled or prevented as defined."}, {"id": "CFG-03.1_CFG-03.1_A12", "name": "assessment-objective", "prose": "the use of nonessential ports is defined."}, {"id": "CFG-03.1_CFG-03.1_A13", "name": "assessment-objective", "prose": "the use of nonessential protocols is defined."}, {"id": "CFG-03.1_CFG-03.1_A14", "name": "assessment-objective", "prose": "the use of nonessential ports is restricted, disabled or prevented as defined."}, {"id": "CFG-03.1_CFG-03.1_A15", "name": "assessment-objective", "prose": "the use of nonessential protocols is restricted, disabled or prevented as defined."}, {"id": "CFG-03.1_CFG-03.1_A16", "name": "assessment-objective", "prose": "the use of nonessential services is defined."}, {"id": "CFG-03.1_CFG-03.1_A17", "name": "assessment-objective", "prose": "the use of nonessential services is restricted, disabled or prevented as defined."}, {"id": "CFG-03.1_CFG-03.1_A18", "name": "assessment-objective", "prose": "functions to be disabled or removed when deemed unnecessary or non-secure are defined."}, {"id": "CFG-03.1_CFG-03.1_A19", "name": "assessment-objective", "prose": "ports to be disabled or removed when deemed unnecessary or non-secure are defined."}, {"id": "CFG-03.1_CFG-03.1_A20", "name": "assessment-objective", "prose": "protocols to be disabled or removed when deemed unnecessary or non-secure are defined."}, {"id": "CFG-03.1_CFG-03.1_A21", "name": "assessment-objective", "prose": "software to be disabled or removed when deemed unnecessary or non-secure is defined."}, {"id": "CFG-03.1_CFG-03.1_A22", "name": "assessment-objective", "prose": "services to be disabled or removed when deemed unnecessary or non-secure are defined."}]} \N \N \N \N +SCF:CFG-03.2 SCF CFG-03.2 Prevent Unauthorized Software Execution Mechanisms exist to configure systems to prevent the execution of unauthorized software programs. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-03.2_CFG-03.2_A01", "name": "assessment-objective", "prose": "policies, rules of behavior, and/or access agreements regarding unauthorized software program usage and restrictions are defined."}, {"id": "CFG-03.2_CFG-03.2_A02", "name": "assessment-objective", "prose": "program execution is prevented in accordance with organization-defined criteria (e.g., policies, rules of behavior, and/or access agreements)."}]} \N \N \N \N +SCF:CFG-03.4 SCF CFG-03.4 Split Tunneling Mechanisms exist to prevent split tunneling for remote devices unless the split tunnel is securely provisioned using organization-defined safeguards. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-03.4_CFG-03.4_A01", "name": "assessment-objective", "prose": "safeguards to securely provision split tunneling are defined."}, {"id": "CFG-03.4_CFG-03.4_A02", "name": "assessment-objective", "prose": "remote devices are prevented from simultaneously establishing non-remote connections with the system and communicating via some other connection to resources in external networks (e.g., split tunneling)."}]} \N \N \N \N +SCF:CFG-04 SCF CFG-04 Software Usage Restrictions Mechanisms exist to enforce software usage restrictions to comply with applicable contract agreements and copyright laws. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-04_CFG-04_A01", "name": "assessment-objective", "prose": "software and associated documentation are used in accordance with contract agreements and copyright laws."}, {"id": "CFG-04_CFG-04_A02", "name": "assessment-objective", "prose": "the use of software and associated documentation protected by quantity licenses is tracked to control copying and distribution."}, {"id": "CFG-04_CFG-04_A03", "name": "assessment-objective", "prose": "the use of peer-to-peer file sharing technology is controlled and documented to ensure that peer-to-peer file sharing is not used for the unauthorized distribution, display, performance or reproduction of copyrighted work."}]} \N \N \N \N +SCF:CFG-04.1 SCF CFG-04.1 Open Source Software Mechanisms exist to establish parameters for the secure use of open source software. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-04.1_CFG-04.1_A01", "name": "assessment-objective", "prose": "restrictions on the use of open-source software are defined."}, {"id": "CFG-04.1_CFG-04.1_A02", "name": "assessment-objective", "prose": "organization-defined restrictions are established for the use of open-source software."}]} \N \N \N \N +SCF:CFG-04.2 SCF CFG-04.2 Unsupported Internet Browsers & Email Clients Mechanisms exist to allow only approved Internet browsers and email clients to run on systems. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-04.2_CFG-04.2_A01", "name": "assessment-objective", "prose": "security configuration settings for authorized Internet browsers are established."}, {"id": "CFG-04.2_CFG-04.2_A02", "name": "assessment-objective", "prose": "security configuration settings for authorized email clients are established."}, {"id": "CFG-04.2_CFG-04.2_A03", "name": "assessment-objective", "prose": "users are prevented from installing unauthorized Internet browsers and/or email clients through technical and/or administrative mechanisms."}, {"id": "CFG-04.2_CFG-04.2_A04", "name": "assessment-objective", "prose": "unauthorized Internet browsers and/or email clients are responded to a security incident, per established incident response procedures."}]} \N \N \N \N +SCF:CFG-05 SCF CFG-05 User-Installed Software Mechanisms exist to restrict the ability of non-privileged users to install unauthorized software. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-05_CFG-05_A01", "name": "assessment-objective", "prose": "policies governing the installation of software by users are defined."}, {"id": "CFG-05_CFG-05_A02", "name": "assessment-objective", "prose": "methods used to enforce software installation policies are defined."}, {"id": "CFG-05_CFG-05_A03", "name": "assessment-objective", "prose": "software installation policies are enforced through organization-defined methods."}, {"id": "CFG-05_CFG-05_A04", "name": "assessment-objective", "prose": "installation of software by users is monitored."}, {"id": "CFG-05_CFG-05_A05", "name": "assessment-objective", "prose": "configuration settings prevent the ability of non-privileged users to install unauthorized software."}]} \N \N \N \N +SCF:CFG-05.1 SCF CFG-05.1 Unauthorized Installation Alerts Mechanisms exist to configure systems to generate an alert when the unauthorized installation of software is detected. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-05.1_CFG-05.1_A01", "name": "assessment-objective", "prose": "compliance with software installation policies is enforced using organization-defined automated mechanisms."}, {"id": "CFG-05.1_CFG-05.1_A02", "name": "assessment-objective", "prose": "the frequency at which automated mechanisms are used to detect the presence of unauthorized hardware, software and/or firmware within the system is defined."}, {"id": "CFG-05.1_CFG-05.1_A03", "name": "assessment-objective", "prose": "automated mechanisms used to monitor compliance are defined."}]} \N \N \N \N +SCF:CFG-05.2 SCF CFG-05.2 Restrict Roles Permitted To Install Software Mechanisms exist to configure systems to prevent the installation of software, unless the action is performed by a privileged user or service. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-05.2_CFG-05.2_A01", "name": "assessment-objective", "prose": "user installation of software is allowed only with explicit privileged status."}]} \N \N \N \N +SCF:CFG-06 SCF CFG-06 Configuration Enforcement Automated mechanisms exist to monitor, enforce and report on configurations for endpoint devices. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-06_CFG-06_A01", "name": "assessment-objective", "prose": "the circumstances under which changes are to be prevented or restricted are defined."}, {"id": "CFG-06_CFG-06_A02", "name": "assessment-objective", "prose": "changes to the configuration of the system are prevented or restricted under organization-defined circumstances."}, {"id": "CFG-06_CFG-06_A03", "name": "assessment-objective", "prose": "automated mechanisms used to enforce configuration enforcement are defined."}, {"id": "CFG-06_CFG-06_A04", "name": "assessment-objective", "prose": "automated mechanisms used to monitor configuration enforcement are defined."}, {"id": "CFG-06_CFG-06_A05", "name": "assessment-objective", "prose": "compliance with software installation policies is enforced using automated mechanisms."}, {"id": "CFG-06_CFG-06_A06", "name": "assessment-objective", "prose": "compliance with software installation policies is monitored using automated mechanisms."}]} \N \N \N \N +SCF:CFG-06.1 SCF CFG-06.1 Integrity Assurance & Enforcement (IAE) Automated mechanisms exist to identify unauthorized deviations from an approved baseline and implement automated resiliency actions to remediate the unauthorized change. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-06.1_CFG-06.1_A01", "name": "assessment-objective", "prose": "unauthorized deviations from an approved baseline are identified and automated resiliency actions are implemented to remediate the unauthorized change."}]} \N \N \N \N +SCF:CFG-07 SCF CFG-07 Zero-Touch Provisioning (ZTP) Mechanisms exist to implement Zero-Touch Provisioning (ZTP), or similar technology, to automatically and securely configure devices upon being added to a network. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-07_CFG-07_A01", "name": "assessment-objective", "prose": "automated mechanisms used to perform Zero-Touch Provisioning (ZTP) are defined."}, {"id": "CFG-07_CFG-07_A02", "name": "assessment-objective", "prose": "an automated mechanism performs Zero-Touch Provisioning (ZTP) to deploy secure baseline configurations upon devices being added to a network."}]} \N \N \N \N +SCF:CFG-08 SCF CFG-08 Sensitive / Regulated Data Access Enforcement Mechanisms exist to configure Technology Assets, Applications and/or Services (TAAS) to restrict access to sensitive/regulated data. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-08_CFG-08_A01", "name": "assessment-objective", "prose": "information types requiring restricted access to data repositories are defined."}, {"id": "CFG-08_CFG-08_A02", "name": "assessment-objective", "prose": "access to data repositories containing organization-defined information types is restricted."}, {"id": "CFG-08_CFG-08_A03", "name": "assessment-objective", "prose": "approved authorizations for logical access to CUI are enforced in accordance with applicable access control policies."}]} \N \N \N \N +SCF:CFG-08.1 SCF CFG-08.1 Sensitive / Regulated Data Actions Automated mechanisms exist to generate event logs whenever sensitive/regulated data is collected, created, updated, deleted and/or archived. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Configuration Management", "assessment_objective": [{"id": "CFG-08.1_CFG-08.1_A01", "name": "assessment-objective", "prose": "an automated mechanism generates event logs whenever sensitive / regulated data is collected, created, updated, deleted and/or archived."}]} \N \N \N \N +SCF:MON-01 SCF MON-01 Continuous Monitoring Mechanisms exist to facilitate the implementation of enterprise-wide monitoring controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01_MON-01_A01", "name": "assessment-objective", "prose": "the continuous monitoring program is organization-wide."}, {"id": "MON-01_MON-01_A02", "name": "assessment-objective", "prose": "monitoring objectives to detect attacks and indicators of potential attacks on the system are defined."}, {"id": "MON-01_MON-01_A03", "name": "assessment-objective", "prose": "techniques and methods used to identify unauthorized use of the system are defined."}, {"id": "MON-01_MON-01_A04", "name": "assessment-objective", "prose": "system monitoring information to be provided to personnel or roles is defined."}, {"id": "MON-01_MON-01_A05", "name": "assessment-objective", "prose": "personnel or roles to whom system monitoring information is to be provided is/are defined."}, {"id": "MON-01_MON-01_A06", "name": "assessment-objective", "prose": "a frequency for providing system monitoring to personnel or roles is defined."}, {"id": "MON-01_MON-01_A07", "name": "assessment-objective", "prose": "the level of system monitoring activity is adjusted when there is a change in risk to organizational operations and assets, individuals, other organizations or the Nation."}, {"id": "MON-01_MON-01_A08", "name": "assessment-objective", "prose": "a legal opinion regarding system monitoring activities is obtained."}, {"id": "MON-01_MON-01_A09", "name": "assessment-objective", "prose": "the system is monitored to detect attacks."}, {"id": "MON-01_MON-01_A10", "name": "assessment-objective", "prose": "the system is monitored to detect indicators of potential attacks."}, {"id": "MON-01_MON-01_A11", "name": "assessment-objective", "prose": "the system is monitored to detect unauthorized connections."}, {"id": "MON-01_MON-01_A12", "name": "assessment-objective", "prose": "event monitoring operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "MON-01_MON-01_A13", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support event monitoring operations."}, {"id": "MON-01_MON-01_A14", "name": "assessment-objective", "prose": "responsibility and authority for the performance of event monitoring-related activities are assigned to designated personnel."}, {"id": "MON-01_MON-01_A15", "name": "assessment-objective", "prose": "personnel performing event monitoring-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:MON-01.1 SCF MON-01.1 Intrusion Detection & Prevention Systems (IDS & IPS) Mechanisms exist to implement Intrusion Detection / Prevention Systems (IDS / IPS) technologies on critical systems, key network segments and network choke points. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.1_MON-01.1_A01", "name": "assessment-objective", "prose": "visibility into network traffic at external system interfaces is provided to optimize the effectiveness of monitoring devices."}, {"id": "MON-01.1_MON-01.1_A02", "name": "assessment-objective", "prose": "visibility into network traffic at key internal system interfaces is provided to optimize the effectiveness of monitoring devices."}, {"id": "MON-01.1_MON-01.1_A03", "name": "assessment-objective", "prose": "individual intrusion detection tools are connected to a system-wide intrusion detection system."}, {"id": "MON-01.1_MON-01.1_A04", "name": "assessment-objective", "prose": "individual intrusion detection tools are configured into a system-wide intrusion detection system."}]} \N \N \N \N +SCF:MON-01.2 SCF MON-01.2 Automated Tools for Real-Time Analysis Mechanisms exist to utilize a Security Incident Event Manager (SIEM), or similar automated tool, to support near real-time analysis and incident escalation. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.2_MON-01.2_A01", "name": "assessment-objective", "prose": "automated tools and mechanisms are employed to support a near real-time analysis of events."}]} \N \N \N \N +SCF:MON-01.3 SCF MON-01.3 Inbound & Outbound Communications Traffic Mechanisms exist to continuously monitor inbound and outbound communications traffic for unusual or unauthorized activities or conditions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.3_MON-01.3_A01", "name": "assessment-objective", "prose": "criteria for unusual or unauthorized activities or conditions for inbound communications traffic are defined."}, {"id": "MON-01.3_MON-01.3_A02", "name": "assessment-objective", "prose": "criteria for unusual or unauthorized activities or conditions for outbound communications traffic are defined."}, {"id": "MON-01.3_MON-01.3_A03", "name": "assessment-objective", "prose": "unusual or unauthorized activities or conditions that are to be monitored in outbound communications traffic are defined."}, {"id": "MON-01.3_MON-01.3_A04", "name": "assessment-objective", "prose": "inbound communications traffic is monitored to detect unusual or unauthorized activities or conditions."}, {"id": "MON-01.3_MON-01.3_A05", "name": "assessment-objective", "prose": "outbound communications traffic is monitored to detect unusual or unauthorized activities or conditions."}, {"id": "MON-01.3_MON-01.3_A06", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "MON-01.3_MON-01.3_A07", "name": "assessment-objective", "prose": "systems, applications and services are monitored to detect attacks and indicators of potential attacks."}, {"id": "MON-01.3_MON-01.3_A08", "name": "assessment-objective", "prose": "communications at external managed interfaces to the system are monitored."}, {"id": "MON-01.3_MON-01.3_A09", "name": "assessment-objective", "prose": "communications at key internal managed interfaces within the system are monitored."}, {"id": "MON-01.3_MON-01.3_A10", "name": "assessment-objective", "prose": "the frequency at which to monitor inbound communications traffic for unusual or unauthorized activities or conditions is defined."}]} \N \N \N \N +SCF:MON-01.4 SCF MON-01.4 System Generated Alerts Mechanisms exist to generate, monitor, correlate and respond to alerts from physical, cybersecurity, data protection and supply chain activities to achieve integrated situational awareness. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.4_MON-01.4_A01", "name": "assessment-objective", "prose": "audit records contain information that establishes what type of event occurred."}, {"id": "MON-01.4_MON-01.4_A02", "name": "assessment-objective", "prose": "audit records for the selected event types and audit record content are generated."}, {"id": "MON-01.4_MON-01.4_A03", "name": "assessment-objective", "prose": "personnel or roles to be alerted when indications of compromise or potential compromise occur is/are defined."}, {"id": "MON-01.4_MON-01.4_A04", "name": "assessment-objective", "prose": "compromise indicators are defined."}, {"id": "MON-01.4_MON-01.4_A05", "name": "assessment-objective", "prose": "personnel or roles are alerted when system-generated compromise indicators occur."}, {"id": "MON-01.4_MON-01.4_A06", "name": "assessment-objective", "prose": "audit records for the selected event types and audit record content specified in 03.03.01 and 03.03.02 are generated."}]} \N \N \N \N +SCF:MON-01.5 SCF MON-01.5 Wireless Network Monitoring Mechanisms exist to monitor wireless network segments for:\r\n(1) Rogue wireless devices; and\r\n(2) Anomalous and/or hostile activities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.5_MON-01.5_A01", "name": "assessment-objective", "prose": "a wireless intrusion detection system is employed to detect potential compromises or breaches."}, {"id": "MON-01.5_MON-01.5_A02", "name": "assessment-objective", "prose": "an intrusion detection system is employed to monitor wireless communications traffic as the traffic passes from wireless to wireline networks."}, {"id": "MON-01.5_MON-01.5_A03", "name": "assessment-objective", "prose": "a wireless intrusion detection system is employed to identify rogue wireless devices."}, {"id": "MON-01.5_MON-01.5_A04", "name": "assessment-objective", "prose": "a wireless intrusion detection system is employed to detect attack attempts on the system."}]} \N \N \N \N +SCF:MON-01.6 SCF MON-01.6 Host-Based Devices Mechanisms exist to utilize Host-based Intrusion Detection / Prevention Systems (HIDS / HIPS) to actively alert on or block unwanted activities and send logs to a Security Incident Event Manager (SIEM), or similar automated tool, to maintain situational awareness. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.6_MON-01.6_A01", "name": "assessment-objective", "prose": "host-based monitoring mechanisms to be implemented on system components are defined."}, {"id": "MON-01.6_MON-01.6_A02", "name": "assessment-objective", "prose": "system components where host-based monitoring is to be implemented are defined."}, {"id": "MON-01.6_MON-01.6_A03", "name": "assessment-objective", "prose": "host-based monitoring mechanisms are implemented on system components."}]} \N \N \N \N +SCF:MON-01.7 SCF MON-01.7 File Integrity Monitoring (FIM) Mechanisms exist to utilize a File Integrity Monitor (FIM), or similar change-detection technology, on critical Technology Assets, Applications and/or Services (TAAS) to generate alerts for unauthorized modifications. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.7_MON-01.7_A01", "name": "assessment-objective", "prose": "integrity verification tools are employed to detect unauthorized changes to organization-defined software, firmware and/or information."}, {"id": "MON-01.7_MON-01.7_A02", "name": "assessment-objective", "prose": "organization-defined actions are taken when unauthorized changes to the software, firmware and/or information, are detected;"}]} \N \N \N \N +SCF:MON-01.8 SCF MON-01.8 Security Event Monitoring Mechanisms exist to review event logs on an ongoing basis and escalate incidents in accordance with established timelines and procedures. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.8_MON-01.8_A01", "name": "assessment-objective", "prose": "the frequency at which system audit records are reviewed and analyzed is defined."}, {"id": "MON-01.8_MON-01.8_A02", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed per an organization-defined frequency for indications and the potential impact of inappropriate or unusual activity."}, {"id": "MON-01.8_MON-01.8_A03", "name": "assessment-objective", "prose": "response actions to system security alerts and advisories are identified."}, {"id": "MON-01.8_MON-01.8_A04", "name": "assessment-objective", "prose": "system security alerts and advisories are monitored."}, {"id": "MON-01.8_MON-01.8_A05", "name": "assessment-objective", "prose": "actions in response to system security alerts and advisories are taken."}, {"id": "MON-01.8_MON-01.8_A06", "name": "assessment-objective", "prose": "the frequency of event types selected for logging are reviewed and updated."}, {"id": "MON-01.8_MON-01.8_A07", "name": "assessment-objective", "prose": "event types being logged are updated based on the review."}, {"id": "MON-01.8_MON-01.8_A08", "name": "assessment-objective", "prose": "a process for determining when to review logged events is defined."}, {"id": "MON-01.8_MON-01.8_A09", "name": "assessment-objective", "prose": "the event types selected for logging are reviewed ."}, {"id": "MON-01.8_MON-01.8_A10", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed for indications and the potential impact of inappropriate or unusual activity."}]} \N \N \N \N +SCF:MON-01.9 SCF MON-01.9 Proxy Logging Mechanisms exist to log all Internet-bound requests, in order to identify prohibited activities and assist incident handlers with identifying potentially compromised systems. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.9_MON-01.9_A01", "name": "assessment-objective", "prose": "all external-bound requests are logged in order to identify prohibited activities and assist incident handlers with identifying potentially compromised systems."}]} \N \N \N \N +SCF:MON-01.10 SCF MON-01.10 Deactivated Account Activity Mechanisms exist to monitor deactivated accounts for attempted usage. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.10_MON-01.10_A01", "name": "assessment-objective", "prose": "directory services are configured to generate a log for attempted usage of deactivated accounts."}, {"id": "MON-01.10_MON-01.10_A02", "name": "assessment-objective", "prose": "personnel or roles are alerted when system-generated alerts from attempted usage of deactivated accounts occur."}]} \N \N \N \N +SCF:MON-01.11 SCF MON-01.11 Automated Response to Suspicious Events Automated mechanisms exist to implement pre-determined corrective actions in response to detected events that have security incident implications. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.11_MON-01.11_A01", "name": "assessment-objective", "prose": "security violations that automatically disable a system are defined."}, {"id": "MON-01.11_MON-01.11_A02", "name": "assessment-objective", "prose": "least-disruptive actions to terminate suspicious events are defined."}, {"id": "MON-01.11_MON-01.11_A03", "name": "assessment-objective", "prose": "a configurable capability is implemented to automatically disable the system if security violations are detected."}, {"id": "MON-01.11_MON-01.11_A04", "name": "assessment-objective", "prose": "least-disruptive actions are taken upon the detection of suspicious events."}, {"id": "MON-01.11_MON-01.11_A05", "name": "assessment-objective", "prose": "incident response personnel (identified by name and/or by role) to be notified of detected suspicious events is/are defined."}, {"id": "MON-01.11_MON-01.11_A06", "name": "assessment-objective", "prose": "incident response personnel are notified of detected suspicious events."}]} \N \N \N \N +SCF:MON-03.6 SCF MON-03.6 Centralized Management of Event Log Content Mechanisms exist to centrally manage and update the criteria to be captured in event logs generated by organization-defined system components. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.6_MON-03.6_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls and related processes to be centrally managed are defined."}, {"id": "MON-03.6_MON-03.6_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls and related processes are centrally managed."}]} \N \N \N \N +SCF:MON-01.12 SCF MON-01.12 Automated Alerts Mechanisms exist to automatically alert incident response personnel to inappropriate or anomalous activities that have potential security incident implications. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.12_MON-01.12_A01", "name": "assessment-objective", "prose": "personnel or roles to be alerted when indications of inappropriate or unusual activity with cybersecurity / data privacy implications occur is/are defined."}, {"id": "MON-01.12_MON-01.12_A02", "name": "assessment-objective", "prose": "automated mechanisms used to alert personnel or roles are defined."}, {"id": "MON-01.12_MON-01.12_A03", "name": "assessment-objective", "prose": "activities that trigger alerts to personnel or are defined."}, {"id": "MON-01.12_MON-01.12_A04", "name": "assessment-objective", "prose": "personnel or roles is/are alerted using automated mechanisms when activities that trigger alerts indicate inappropriate or unusual activities with cybersecurity / data privacy implications."}, {"id": "MON-01.12_MON-01.12_A05", "name": "assessment-objective", "prose": "findings are reported to organizational personnel or roles."}]} \N \N \N \N +SCF:MON-01.13 SCF MON-01.13 Alert Threshold Tuning Mechanisms exist to "tune" event monitoring technologies through analyzing communications traffic/event patterns and developing profiles representing common traffic patterns and/or events. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.13_MON-01.13_A01", "name": "assessment-objective", "prose": "communications traffic for the system is analyzed."}, {"id": "MON-01.13_MON-01.13_A02", "name": "assessment-objective", "prose": "event patterns for the system are analyzed."}, {"id": "MON-01.13_MON-01.13_A03", "name": "assessment-objective", "prose": "profiles representing common traffic are developed."}, {"id": "MON-01.13_MON-01.13_A04", "name": "assessment-objective", "prose": "profiles representing event patterns are developed."}, {"id": "MON-01.13_MON-01.13_A05", "name": "assessment-objective", "prose": "traffic profiles are used in tuning system-monitoring devices."}, {"id": "MON-01.13_MON-01.13_A06", "name": "assessment-objective", "prose": "event profiles are used in tuning system-monitoring devices."}]} \N \N \N \N +SCF:MON-01.14 SCF MON-01.14 Individuals Posing Greater Risk Mechanisms exist to implement enhanced activity monitoring for individuals who have been identified as posing an increased level of risk. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.14_MON-01.14_A01", "name": "assessment-objective", "prose": "additional monitoring of individuals who have been identified as posing an increased level of risk is defined."}, {"id": "MON-01.14_MON-01.14_A02", "name": "assessment-objective", "prose": "sources that identify individuals who pose an increased level of risk are defined."}, {"id": "MON-01.14_MON-01.14_A03", "name": "assessment-objective", "prose": "additional monitoring is implemented on individuals who have been identified by sources as posing an increased level of risk."}]} \N \N \N \N +SCF:MON-01.15 SCF MON-01.15 Privileged User Oversight Mechanisms exist to implement enhanced activity monitoring for privileged users. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.15_MON-01.15_A01", "name": "assessment-objective", "prose": "additional monitoring of privileged users is defined."}, {"id": "MON-01.15_MON-01.15_A02", "name": "assessment-objective", "prose": "additional monitoring of privileged users is implemented."}]} \N \N \N \N +SCF:MON-01.16 SCF MON-01.16 Analyze and Prioritize Monitoring Requirements Mechanisms exist to assess the organization's needs for monitoring and prioritize the monitoring of Technology Assets, Applications and/or Services (TAAS), based on TAAS criticality and the sensitivity of the data it stores, transmits and processes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.16_MON-01.16_A01", "name": "assessment-objective", "prose": "the organization formally identifies its needs for monitoring."}, {"id": "MON-01.16_MON-01.16_A02", "name": "assessment-objective", "prose": "monitoring needs are prioritized by asset, based on (1) asset criticality and (2) the sensitivity of the data it stores, transmits and processes."}]} \N \N \N \N +SCF:MON-01.17 SCF MON-01.17 Real-Time Session Monitoring Mechanisms exist to enable authorized personnel the ability to remotely view and hear content related to an established user session in real time, in accordance with organizational standards, as well as statutory, regulatory and contractual obligations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-01.17_MON-01.17_A01", "name": "assessment-objective", "prose": "the capability for authorized users to remotely view and hear content related to an established user session in real time is provided."}, {"id": "MON-01.17_MON-01.17_A02", "name": "assessment-objective", "prose": "the capability for authorized users to remotely view and hear content related to an established user session in real time is implemented."}]} \N \N \N \N +SCF:MON-02 SCF MON-02 Centralized Collection of Security Event Logs Mechanisms exist to utilize a Security Incident Event Manager (SIEM), or similar automated tool, to support the centralized collection of security-related event logs. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02_MON-02_A01", "name": "assessment-objective", "prose": "the frequency at which system audit records are reviewed and analyzed is defined."}, {"id": "MON-02_MON-02_A02", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed per an organization-defined frequency for indications and the potential impact of inappropriate or unusual activity."}, {"id": "MON-02_MON-02_A03", "name": "assessment-objective", "prose": "audit records across different repositories are analyzed to gain organization-wide situational awareness."}, {"id": "MON-02_MON-02_A04", "name": "assessment-objective", "prose": "automated mechanisms used for integrating audit record review, analysis and reporting processes are defined."}, {"id": "MON-02_MON-02_A05", "name": "assessment-objective", "prose": "audit record review, analysis and reporting processes are integrated using organization-defined automated mechanisms."}, {"id": "MON-02_MON-02_A06", "name": "assessment-objective", "prose": "the frequency or situation requiring logging for each specified event type is defined."}, {"id": "MON-02_MON-02_A07", "name": "assessment-objective", "prose": "the event logging function is coordinated with other organizational entities requiring audit-related information to guide and inform the selection criteria for events to be logged."}, {"id": "MON-02_MON-02_A08", "name": "assessment-objective", "prose": "the event types selected for logging are reviewed / updated organization-defined frequency."}, {"id": "MON-02_MON-02_A09", "name": "assessment-objective", "prose": "a rationale is provided for why the event types selected for logging are deemed to be adequate to support after-the-fact investigations of incidents."}, {"id": "MON-02_MON-02_A10", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed per an organization-defined frequency for indications of organization-defined inappropriate or unusual activity and the potential impact of the inappropriate or unusual activity."}, {"id": "MON-02_MON-02_A11", "name": "assessment-objective", "prose": "findings are reported to organization-defined personnel or roles."}, {"id": "MON-02_MON-02_A12", "name": "assessment-objective", "prose": "the level of audit record review, analysis and reporting within the system is adjusted when there is a change in risk based on law enforcement information, intelligence information or other credible sources of information."}, {"id": "MON-02_MON-02_A13", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed for indications and the potential impact of inappropriate or unusual activity."}]} \N \N \N \N +SCF:MON-02.1 SCF MON-02.1 Correlate Monitoring Information Automated mechanisms exist to correlate both technical and non-technical information from across the enterprise by a Security Incident Event Manager (SIEM) or similar automated tool, to enhance organization-wide situational awareness. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.1_MON-02.1_A01", "name": "assessment-objective", "prose": "authorized use of the system is defined."}, {"id": "MON-02.1_MON-02.1_A02", "name": "assessment-objective", "prose": "unauthorized use of the system is identified."}, {"id": "MON-02.1_MON-02.1_A03", "name": "assessment-objective", "prose": "incident information and individual incident responses are correlated to achieve an organization-wide perspective on incident awareness and response."}, {"id": "MON-02.1_MON-02.1_A04", "name": "assessment-objective", "prose": "audit records across different repositories are correlated to gain organization-wide situational awareness."}, {"id": "MON-02.1_MON-02.1_A05", "name": "assessment-objective", "prose": "audit record review, analysis and reporting processes for investigation and response to indications of unlawful, unauthorized, suspicious or unusual activity are defined."}, {"id": "MON-02.1_MON-02.1_A06", "name": "assessment-objective", "prose": "defined audit record review, analysis and reporting processes are correlated."}]} \N \N \N \N +SCF:MON-02.2 SCF MON-02.2 Central Review & Analysis Automated mechanisms exist to centrally collect, review and analyze audit records from multiple sources. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.2_MON-02.2_A01", "name": "assessment-objective", "prose": "the capability to centrally review and analyze audit records from multiple components within the system is provided."}, {"id": "MON-02.2_MON-02.2_A02", "name": "assessment-objective", "prose": "the capability to centrally review and analyze audit records from multiple components within the system is implemented."}]} \N \N \N \N +SCF:MON-02.3 SCF MON-02.3 Integration of Scanning & Other Monitoring Information Automated mechanisms exist to integrate the analysis of audit records with analysis of vulnerability scanners, network performance, system monitoring and other sources to further enhance the ability to identify inappropriate or unusual activity. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.3_MON-02.3_A01", "name": "assessment-objective", "prose": "data/information collected from other sources to be analyzed is defined."}, {"id": "MON-02.3_MON-02.3_A02", "name": "assessment-objective", "prose": "information from monitoring physical, cyber and supply chain activities are correlated to achieve integrated, organization-wide situational awareness."}, {"id": "MON-02.3_MON-02.3_A03", "name": "assessment-objective", "prose": "analysis of audit records is integrated with analysis of organization-specific criteria to further enhance the ability to identify inappropriate or unusual activity."}]} \N \N \N \N +SCF:MON-02.4 SCF MON-02.4 Correlation with Physical Monitoring Automated mechanisms exist to correlate information from audit records with information obtained from monitoring physical access to further enhance the ability to identify suspicious, inappropriate, unusual or malevolent activity. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.4_MON-02.4_A01", "name": "assessment-objective", "prose": "information from audit records is correlated with information obtained from monitoring physical access to further enhance the ability to identify suspicious, inappropriate, unusual or malevolent activity."}]} \N \N \N \N +SCF:MON-02.5 SCF MON-02.5 Permitted Actions Mechanisms exist to specify the permitted actions for both users and Technology Assets, Applications and/or Services (TAAS) associated with the review, analysis and reporting of audit information. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.5_MON-02.5_A01", "name": "assessment-objective", "prose": "the permitted actions for each organization-defined criteria (e.g., system process, role or user) associated with the review, analysis and reporting of audit record information are specified."}]} \N \N \N \N +SCF:MON-02.6 SCF MON-02.6 Audit Level Adjustments Mechanisms exist to adjust the level of audit review, analysis and reporting based on evolving threat information from law enforcement, industry associations or other credible sources of threat intelligence. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.6_MON-02.6_A01", "name": "assessment-objective", "prose": "system audit records are reviewed and analyzed per an organization-defined frequency for indications of organization-defined inappropriate or unusual activity and the potential impact of the inappropriate or unusual activity."}, {"id": "MON-02.6_MON-02.6_A02", "name": "assessment-objective", "prose": "findings are reported to organization-defined personnel or roles."}, {"id": "MON-02.6_MON-02.6_A03", "name": "assessment-objective", "prose": "the level of audit record review, analysis and reporting within the system is adjusted when there is a change in risk based on law enforcement information, intelligence information or other credible sources of information."}, {"id": "MON-02.6_MON-02.6_A04", "name": "assessment-objective", "prose": "the frequency at which system audit records are reviewed and analyzed is defined."}, {"id": "MON-02.6_MON-02.6_A05", "name": "assessment-objective", "prose": "inappropriate or unusual activity is defined."}, {"id": "MON-02.6_MON-02.6_A06", "name": "assessment-objective", "prose": "personnel or roles to receive findings from reviews and analyses of system records is/are defined."}]} \N \N \N \N +SCF:MON-02.7 SCF MON-02.7 System-Wide / Time-Correlated Audit Trail Automated mechanisms exist to compile audit records into an organization-wide audit trail that is time-correlated. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.7_MON-02.7_A01", "name": "assessment-objective", "prose": "system components from which audit records are to be compiled into a system-wide (logical or physical) audit trail are defined."}, {"id": "MON-02.7_MON-02.7_A02", "name": "assessment-objective", "prose": "level of tolerance for the relationship between timestamps of individual records in the audit trail is defined."}, {"id": "MON-02.7_MON-02.7_A03", "name": "assessment-objective", "prose": "audit records from organization-defined system components are compiled into a system-wide (logical or physical) audit trail that is time-correlated to within organization-defined level of tolerance."}]} \N \N \N \N +SCF:MON-02.8 SCF MON-02.8 Changes by Authorized Individuals Mechanisms exist to provide privileged users or roles the capability to change the auditing to be performed on specified system components, based on specific event criteria within specified time thresholds. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.8_MON-02.8_A01", "name": "assessment-objective", "prose": "individuals or roles authorized to change the logging on system components are defined."}, {"id": "MON-02.8_MON-02.8_A02", "name": "assessment-objective", "prose": "system components on which logging is to be performed are defined."}, {"id": "MON-02.8_MON-02.8_A03", "name": "assessment-objective", "prose": "selectable event criteria with which change logging is to be performed are defined."}, {"id": "MON-02.8_MON-02.8_A04", "name": "assessment-objective", "prose": "the capability for organization-defined individuals or roles to change the logging to be performed on organization-defined system components based on organization-defined selectable event criteria within organization-defined time thresholds is provided / implemented."}]} \N \N \N \N +SCF:MON-02.9 SCF MON-02.9 Inventory of Technology Asset Event Logging Mechanisms exist to maintain a current and accurate inventory of technology-related Technology Assets, Applications and/or Services (TAAS) being logged. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-02.9_MON-02.9_A01", "name": "assessment-objective", "prose": "a current and accurate inventory of technology assets being logged is maintained."}]} \N \N \N \N +SCF:MON-03 SCF MON-03 Content of Event Logs Mechanisms exist to configure Technology Assets, Applications and/or Services (TAAS) to produce event logs that contain sufficient information to, at a minimum:\r\n(1) Establish what type of event occurred;\r\n(2) When (date and time) the event occurred;\r\n(3) Where the event occurred;\r\n(4) The source of the event;\r\n(5) The outcome (success or failure) of the event; and \r\n(6) The identity of any user/subject associated with the event. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03_MON-03_A01", "name": "assessment-objective", "prose": "the content of audit records needed to support monitoring, analysis, investigation and reporting of unlawful or unauthorized system activity is defined."}, {"id": "MON-03_MON-03_A02", "name": "assessment-objective", "prose": "audit records contain information that establishes what type of event occurred."}, {"id": "MON-03_MON-03_A03", "name": "assessment-objective", "prose": "audit records contain information that establishes when the event occurred."}, {"id": "MON-03_MON-03_A04", "name": "assessment-objective", "prose": "audit records contain information that establishes where the event occurred."}, {"id": "MON-03_MON-03_A05", "name": "assessment-objective", "prose": "audit records contain information that establishes the source of the event."}, {"id": "MON-03_MON-03_A06", "name": "assessment-objective", "prose": "audit records contain information that establishes the outcome of the event."}, {"id": "MON-03_MON-03_A07", "name": "assessment-objective", "prose": "audit records contain information that establishes the identity of the individuals, subjects, objects, or entities associated with the event."}, {"id": "MON-03_MON-03_A08", "name": "assessment-objective", "prose": "event logs needed (e.g., event types to be logged) to enable the monitoring, analysis, investigation and reporting of unlawful or unauthorized system activity are specified."}, {"id": "MON-03_MON-03_A09", "name": "assessment-objective", "prose": "a rationale is provided for why the event types selected for logging are deemed to be adequate to support after-the-fact investigations of incidents."}, {"id": "MON-03_MON-03_A10", "name": "assessment-objective", "prose": "audit records, once created, contain the defined content."}, {"id": "MON-03_MON-03_A11", "name": "assessment-objective", "prose": "the frequency of event types selected for logging are reviewed / updated."}, {"id": "MON-03_MON-03_A12", "name": "assessment-objective", "prose": "event types selected for logging within the system are defined."}, {"id": "MON-03_MON-03_A13", "name": "assessment-objective", "prose": "the following event types are specified for logging within the system: ."}, {"id": "MON-03_MON-03_A14", "name": "assessment-objective", "prose": "the event types selected for logging are updated ."}, {"id": "MON-03_MON-03_A15", "name": "assessment-objective", "prose": "additional information for audit records is provided, as needed."}]} \N \N \N \N +SCF:MON-03.1 SCF MON-03.1 Sensitive Event Log Information Mechanisms exist to protect sensitive/regulated data contained in log files. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.1_MON-03.1_A01", "name": "assessment-objective", "prose": "additional information to be included in audit records is defined."}, {"id": "MON-03.1_MON-03.1_A02", "name": "assessment-objective", "prose": "generated audit records contain the following organization-defined additional information."}]} \N \N \N \N +SCF:MON-03.2 SCF MON-03.2 Audit Trails Mechanisms exist to link system access to individual users or service accounts. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.2_MON-03.2_A01", "name": "assessment-objective", "prose": "the content of the audit records needed to support the ability to uniquely trace users to their actions is defined."}, {"id": "MON-03.2_MON-03.2_A02", "name": "assessment-objective", "prose": "audit records are created (generated)."}, {"id": "MON-03.2_MON-03.2_A03", "name": "assessment-objective", "prose": "audit records contain information that establishes the identity of any individuals, subjects or objects/entities associated with the event."}]} \N \N \N \N +SCF:MON-03.3 SCF MON-03.3 Privileged Functions Logging Mechanisms exist to log and review the actions of users and/or services with elevated privileges. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.3_MON-03.3_A01", "name": "assessment-objective", "prose": "a full text analysis of logged privileged commands in a physically distinct component or subsystem of the system or other system that is dedicated to that analysis is performed."}, {"id": "MON-03.3_MON-03.3_A02", "name": "assessment-objective", "prose": "the execution of privileged functions is logged."}]} \N \N \N \N +SCF:MON-03.4 SCF MON-03.4 Verbosity Logging for Boundary Devices Mechanisms exist to verbosely log all traffic (both allowed and blocked) arriving at network boundary devices, including firewalls, Intrusion Detection / Prevention Systems (IDS/IPS) and inbound and outbound proxies. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.4_MON-03.4_A01", "name": "assessment-objective", "prose": "the level of verbosity for information to be included in audit records is defined."}, {"id": "MON-03.4_MON-03.4_A02", "name": "assessment-objective", "prose": "generated audit records contain the specified level of verbosity."}]} \N \N \N \N +SCF:MON-03.5 SCF MON-03.5 Limit Personal Data (PD) In Audit Records Mechanisms exist to limit Personal Data (PD) contained in audit records to the elements identified in the Data Privacy Risk Assessment (DPRA). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.5_MON-03.5_A01", "name": "assessment-objective", "prose": "elements identified in the privacy risk assessment are defined."}, {"id": "MON-03.5_MON-03.5_A02", "name": "assessment-objective", "prose": "Personal Data (PD) contained in audit records is limited to organization-defined elements identified in the privacy risk assessment."}]} \N \N \N \N +SCF:MON-08.3 SCF MON-08.3 Cryptographic Protection of Event Log Information Cryptographic mechanisms exist to protect the integrity of event logs and audit tools. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-08.3_MON-08.3_A01", "name": "assessment-objective", "prose": "cryptographic mechanisms to protect the integrity of audit information and audit tools are implemented."}]} \N \N \N \N +SCF:MON-03.7 SCF MON-03.7 Database Logging Mechanisms exist to ensure databases produce audit records that contain sufficient information to monitor database activities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-03.7_MON-03.7_A01", "name": "assessment-objective", "prose": "the content of database audit records needed to support the ability to uniquely trace account actions is defined."}, {"id": "MON-03.7_MON-03.7_A02", "name": "assessment-objective", "prose": "database audit records contain information that establishes the identity of any individuals, subjects or objects/entities associated with the event."}]} \N \N \N \N +SCF:MON-04 SCF MON-04 Event Log Storage Capacity Mechanisms exist to allocate and proactively manage sufficient event log storage capacity to reduce the likelihood of such capacity being exceeded. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-04_MON-04_A01", "name": "assessment-objective", "prose": "event log retention requirements are defined."}, {"id": "MON-04_MON-04_A02", "name": "assessment-objective", "prose": "event log storage capacity is allocated to accommodate organization-defined event log retention requirements."}]} \N \N \N \N +SCF:MON-05 SCF MON-05 Response To Event Log Processing Failures Mechanisms exist to alert appropriate personnel in the event of a log processing failure and take actions to remedy the disruption. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-05_MON-05_A01", "name": "assessment-objective", "prose": "personnel or roles to be alerted in the event of an event logging process failure are identified."}, {"id": "MON-05_MON-05_A02", "name": "assessment-objective", "prose": "types of event logging process failures for which alert will be generated are defined."}, {"id": "MON-05_MON-05_A03", "name": "assessment-objective", "prose": "organization-defined additional actions are taken."}, {"id": "MON-05_MON-05_A04", "name": "assessment-objective", "prose": "organizational personnel or roles are alerted in the event of an audit logging process failure within an organization-defined time period."}, {"id": "MON-05_MON-05_A05", "name": "assessment-objective", "prose": "the time period for organizational personnel or roles receiving audit logging process failure alerts is defined."}, {"id": "MON-05_MON-05_A06", "name": "assessment-objective", "prose": "additional actions to be taken in the event of an audit logging process failure are defined."}, {"id": "MON-05_MON-05_A07", "name": "assessment-objective", "prose": "organizational personnel or roles are alerted in the event of an audit logging process failure within ."}, {"id": "MON-05_MON-05_A08", "name": "assessment-objective", "prose": "the following additional actions are taken: ."}]} \N \N \N \N +SCF:MON-05.1 SCF MON-05.1 Real-Time Alerts of Event Logging Failure Mechanisms exist to provide 24x7x365 near real-time alerting capability when an event log processing failure occurs. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-05.1_MON-05.1_A01", "name": "assessment-objective", "prose": "real-time period requiring alerts when event log failure events occur is defined."}, {"id": "MON-05.1_MON-05.1_A02", "name": "assessment-objective", "prose": "personnel, roles, and/or locations to be alerted in real time when event log failure events occur is/are defined."}, {"id": "MON-05.1_MON-05.1_A03", "name": "assessment-objective", "prose": "event logging failure events requiring real-time alerts are defined."}, {"id": "MON-05.1_MON-05.1_A04", "name": "assessment-objective", "prose": "an alert is provided within organization-defined real-time period to organization-defined personnel, roles, and/or locations when organization-defined event logging failure events requiring real-time alerts occur."}]} \N \N \N \N +SCF:MON-05.2 SCF MON-05.2 Event Log Storage Capacity Alerting Automated mechanisms exist to alert appropriate personnel when the allocated volume reaches an organization-defined percentage of maximum event log storage capacity. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-05.2_MON-05.2_A01", "name": "assessment-objective", "prose": "personnel, roles, and/or locations to be warned when allocated event log storage volume reaches a percentage of repository maximum event log storage capacity is defined."}, {"id": "MON-05.2_MON-05.2_A02", "name": "assessment-objective", "prose": "time period for defined personnel, roles, and/or locations to be warned when allocated event log storage volume reaches a percentage of repository maximum event log storage capacity is defined."}, {"id": "MON-05.2_MON-05.2_A03", "name": "assessment-objective", "prose": "percentage of repository maximum event log storage capacity is defined."}, {"id": "MON-05.2_MON-05.2_A04", "name": "assessment-objective", "prose": "a warning is provided per an organization-defined time period when allocated event log storage volume reaches organization-defined percentage of repository maximum event log storage capacity."}]} \N \N \N \N +SCF:MON-06 SCF MON-06 Monitoring Reporting Mechanisms exist to provide an event log report generation capability to aid in detecting and assessing anomalous activities. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-06_MON-06_A01", "name": "assessment-objective", "prose": "system components that provide an audit record generation capability for the events types are defined."}, {"id": "MON-06_MON-06_A02", "name": "assessment-objective", "prose": "audit records include organization-defined audit record content requirements."}, {"id": "MON-06_MON-06_A03", "name": "assessment-objective", "prose": "personnel or roles allowed to select the event types that are to be logged by specific components of the system is/are defined."}, {"id": "MON-06_MON-06_A04", "name": "assessment-objective", "prose": "an audit record reduction and report generation capability is implemented that supports on-demand audit record review, analysis and reporting requirements and after-the-fact investigations of incidents that does not alter the original content or time ordering of audit records."}, {"id": "MON-06_MON-06_A05", "name": "assessment-objective", "prose": "fields within audit records that can be processed, sorted or searched are defined."}, {"id": "MON-06_MON-06_A06", "name": "assessment-objective", "prose": "findings are reported to organizational personnel or roles."}, {"id": "MON-06_MON-06_A07", "name": "assessment-objective", "prose": "an audit record reduction and report generation capability that supports audit record review is implemented."}, {"id": "MON-06_MON-06_A08", "name": "assessment-objective", "prose": "an audit record reduction and report generation capability that supports audit record analysis is implemented."}, {"id": "MON-06_MON-06_A09", "name": "assessment-objective", "prose": "an audit record reduction and report generation capability that supports audit record reporting requirements is implemented."}, {"id": "MON-06_MON-06_A10", "name": "assessment-objective", "prose": "an audit record reduction and report generation capability that supports after-the-fact investigations of incidents is implemented."}]} \N \N \N \N +SCF:MON-06.1 SCF MON-06.1 Query Parameter Audits of Personal Data (PD) Mechanisms exist to provide and implement the capability for auditing the parameters of user query events for data sets containing Personal Data (PD). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-06.1_MON-06.1_A01", "name": "assessment-objective", "prose": "the capability to audit the parameters of user query events for data sets containing Personal Data (PD) is provided."}, {"id": "MON-06.1_MON-06.1_A02", "name": "assessment-objective", "prose": "the capability to audit the parameters of user query events for data sets containing Personal Data (PD) is implemented."}]} \N \N \N \N +SCF:MON-06.2 SCF MON-06.2 Trend Analysis Reporting Mechanisms exist to employ trend analyses to determine if security control implementations, the frequency of continuous monitoring activities, and/or the types of activities used in the continuous monitoring process need to be modified based on empirical data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-06.2_MON-06.2_A01", "name": "assessment-objective", "prose": "trend analysis is employed to determine if control implementations used in the continuous monitoring process need to be modified based on empirical data."}, {"id": "MON-06.2_MON-06.2_A02", "name": "assessment-objective", "prose": "trend analysis is employed to determine if the frequency of continuous monitoring activities used in the continuous monitoring process needs to be modified based on empirical data."}, {"id": "MON-06.2_MON-06.2_A03", "name": "assessment-objective", "prose": "trend analysis is employed to determine if the types of activities used in the continuous monitoring process need to be modified based on empirical data."}]} \N \N \N \N +SCF:MON-07 SCF MON-07 Time Stamps Mechanisms exist to configure Technology Assets, Applications and/or Services (TAAS) to use an authoritative time source to generate time stamps for event logs. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-07_MON-07_A01", "name": "assessment-objective", "prose": "timestamps are recorded for audit records that meet organization-defined granularity of time measurement and that use Coordinated Universal Time, have a fixed local time offset from Coordinated Universal Time or include the local time offset as part of the timestamp."}, {"id": "MON-07_MON-07_A02", "name": "assessment-objective", "prose": "internal system clocks are used to generate time stamps for audit records."}, {"id": "MON-07_MON-07_A03", "name": "assessment-objective", "prose": "granularity of time measurement for audit record time stamps is defined."}, {"id": "MON-07_MON-07_A04", "name": "assessment-objective", "prose": "time stamps are recorded for audit records that meet organization-defined granularity of time measurement."}, {"id": "MON-07_MON-07_A05", "name": "assessment-objective", "prose": "time stamps are recorded for audit records that meet ."}]} \N \N \N \N +SCF:MON-07.1 SCF MON-07.1 Synchronization With Authoritative Time Source Mechanisms exist to synchronize internal system clocks with an authoritative time source. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-07.1_MON-07.1_A01", "name": "assessment-objective", "prose": "an authoritative source with which to compare and synchronize internal system clocks is specified."}, {"id": "MON-07.1_MON-07.1_A02", "name": "assessment-objective", "prose": "internal system clocks used to generate time stamps for audit records are compared to and synchronized with the specified authoritative time source."}, {"id": "MON-07.1_MON-07.1_A03", "name": "assessment-objective", "prose": "system clocks are synchronized within and between systems and system components."}, {"id": "MON-07.1_MON-07.1_A04", "name": "assessment-objective", "prose": "the frequency at which to compare the internal system clocks with the authoritative time source is defined."}, {"id": "MON-07.1_MON-07.1_A05", "name": "assessment-objective", "prose": "the internal system clocks are synchronized with the authoritative time source when the time difference is greater than an organization-defined time period."}, {"id": "MON-07.1_MON-07.1_A06", "name": "assessment-objective", "prose": "time stamps are recorded for audit records that use Coordinated Universal Time (UTC), have a fixed local time offset from UTC, or include the local time offset as part of the time stamp."}]} \N \N \N \N +SCF:MON-08 SCF MON-08 Protection of Event Logs Mechanisms exist to protect event logs and audit tools from unauthorized access, modification and deletion. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-08_MON-08_A01", "name": "assessment-objective", "prose": "audit records are retained for a time period consistent with the records retention policy."}, {"id": "MON-08_MON-08_A02", "name": "assessment-objective", "prose": "the original content of audit records is preserved."}, {"id": "MON-08_MON-08_A03", "name": "assessment-objective", "prose": "the original time ordering of audit records is preserved."}, {"id": "MON-08_MON-08_A04", "name": "assessment-objective", "prose": "audit information is protected from unauthorized access, modification, and deletion."}, {"id": "MON-08_MON-08_A05", "name": "assessment-objective", "prose": "access to management of audit logging functionality is authorized to only a subset of privileged users or roles."}, {"id": "MON-08_MON-08_A06", "name": "assessment-objective", "prose": "personnel or roles to be alerted upon detection of unauthorized access, modification or deletion of audit information is/are defined."}, {"id": "MON-08_MON-08_A07", "name": "assessment-objective", "prose": "organization-defined personnel or roles are alerted upon detection of unauthorized access, modification or deletion of audit information."}]} \N \N \N \N +SCF:MON-08.1 SCF MON-08.1 Event Log Backup on Separate Physical Systems / Components Mechanisms exist to back up event logs onto a physically different system or system component than the Security Incident Event Manager (SIEM) or similar automated tool. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-08.1_MON-08.1_A01", "name": "assessment-objective", "prose": "the frequency of event logs transferred to a different system, system component or media other than the system or system component conducting the logging is defined."}, {"id": "MON-08.1_MON-08.1_A02", "name": "assessment-objective", "prose": "event logs are transferred per an organization-defined frequency to a different system, system component or media other than the system or system component conducting the logging."}, {"id": "MON-08.1_MON-08.1_A03", "name": "assessment-objective", "prose": "audit records are stored per an organization-defined frequency in a repository that is part of a physically different system or system component than the system or component being audited."}]} \N \N \N \N +SCF:MON-08.2 SCF MON-08.2 Access by Subset of Privileged Users Mechanisms exist to restrict access to the management of event logs to privileged users with a specific business need. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-08.2_MON-08.2_A01", "name": "assessment-objective", "prose": "a subset of privileged users or roles authorized to access management of event logging functionality is defined."}, {"id": "MON-08.2_MON-08.2_A02", "name": "assessment-objective", "prose": "access to management of audit logging functionality is authorized to only a subset of privileged users or roles."}]} \N \N \N \N +SCF:MON-08.4 SCF MON-08.4 Dual Authorization for Event Log Movement Automated mechanisms exist to enforce dual authorization for the movement or deletion of event logs. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-08.4_MON-08.4_A01", "name": "assessment-objective", "prose": "critical or sensitive system and organizational operations for which dual authorization is to be enforced are identified."}, {"id": "MON-08.4_MON-08.4_A02", "name": "assessment-objective", "prose": "dual authorization is employed to execute critical or sensitive system and organizational operations."}]} \N \N \N \N +SCF:MON-09 SCF MON-09 Non-Repudiation Mechanisms exist to utilize a non-repudiation capability to protect against an individual falsely denying having performed a particular action. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-09_MON-09_A01", "name": "assessment-objective", "prose": "actions to be covered by non-repudiation are defined."}, {"id": "MON-09_MON-09_A02", "name": "assessment-objective", "prose": "irrefutable evidence is provided that an individual (or process acting on behalf of an individual) has performed organization-defined actions."}]} \N \N \N \N +SCF:MON-09.1 SCF MON-09.1 Identity Binding Mechanisms exist to bind the identity of the information producer to the information generated. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-09.1_MON-09.1_A01", "name": "assessment-objective", "prose": "the strength of binding between the identity of the information producer and the information is defined."}, {"id": "MON-09.1_MON-09.1_A02", "name": "assessment-objective", "prose": "the identity of the information producer is bound with the information to organization-defined strength of binding."}, {"id": "MON-09.1_MON-09.1_A03", "name": "assessment-objective", "prose": "the means for authorized individuals to determine the identity of the producer of the information is provided."}, {"id": "MON-09.1_MON-09.1_A04", "name": "assessment-objective", "prose": "the frequency at which to validate the binding of the information producer identity to the information is defined."}, {"id": "MON-09.1_MON-09.1_A05", "name": "assessment-objective", "prose": "the actions to be performed in the event of a validation error are defined."}, {"id": "MON-09.1_MON-09.1_A06", "name": "assessment-objective", "prose": "the binding of the information producer identity to the information is validated at organization-defined frequency."}, {"id": "MON-09.1_MON-09.1_A07", "name": "assessment-objective", "prose": "organization-defined actions in the event of a validation error are performed."}]} \N \N \N \N +SCF:MON-10 SCF MON-10 Event Log Retention Mechanisms exist to retain event logs for a time period consistent with records retention requirements to provide support for after-the-fact investigations of security incidents and to meet statutory, regulatory and contractual retention requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-10_MON-10_A01", "name": "assessment-objective", "prose": "a time period to retain audit records that is consistent with the records retention policy is defined."}, {"id": "MON-10_MON-10_A02", "name": "assessment-objective", "prose": "audit records are retained for a time period consistent with the records retention policy."}]} \N \N \N \N +SCF:MON-11 SCF MON-11 Monitoring For Information Disclosure Mechanisms exist to monitor for evidence of unauthorized exfiltration or disclosure of non-public information. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-11_MON-11_A01", "name": "assessment-objective", "prose": "open-source information and/or information sites to be monitored for evidence of unauthorized disclosure of organizational information is/are defined."}, {"id": "MON-11_MON-11_A02", "name": "assessment-objective", "prose": "the frequency with which open-source information and/or information sites are monitored for evidence of unauthorized disclosure of organizational information is defined."}, {"id": "MON-11_MON-11_A03", "name": "assessment-objective", "prose": "personnel or roles to be notified if an information disclosure is discovered is/are defined."}, {"id": "MON-11_MON-11_A04", "name": "assessment-objective", "prose": "additional actions to be taken if an information disclosure is discovered are defined."}, {"id": "MON-11_MON-11_A05", "name": "assessment-objective", "prose": "personnel or roles are notified if an information disclosure is discovered."}, {"id": "MON-11_MON-11_A06", "name": "assessment-objective", "prose": "additional actions are taken if an information disclosure is discovered."}]} \N \N \N \N +SCF:MON-11.1 SCF MON-11.1 Analyze Traffic for Covert Exfiltration Automated mechanisms exist to analyze network traffic to detect covert data exfiltration. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-11.1_MON-11.1_A01", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "MON-11.1_MON-11.1_A02", "name": "assessment-objective", "prose": "organizational systems and system components are monitored on an ongoing basis for anomalous or suspicious behavior."}, {"id": "MON-11.1_MON-11.1_A03", "name": "assessment-objective", "prose": "outbound communications traffic is analyzed at interfaces external to the system to detect covert exfiltration of information."}, {"id": "MON-11.1_MON-11.1_A04", "name": "assessment-objective", "prose": "interior points of the network are monitored to detect covert exfiltration of information."}]} \N \N \N \N +SCF:MON-11.2 SCF MON-11.2 Unauthorized Network Services Automated mechanisms exist to detect unauthorized network services and alert incident response personnel. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-11.2_MON-11.2_A01", "name": "assessment-objective", "prose": "authorization or approval processes for network services are defined."}, {"id": "MON-11.2_MON-11.2_A03", "name": "assessment-objective", "prose": "personnel or roles to be alerted upon the detection of network services that have not been authorized or approved by authorization or approval processes is/are defined."}, {"id": "MON-11.2_MON-11.2_A04", "name": "assessment-objective", "prose": "network services that have not been authorized or approved by authorization or approval processes are detected."}, {"id": "MON-11.2_MON-11.2_A05", "name": "assessment-objective", "prose": "organization-defined actions are initiated when network services that have not been authorized or approved by authorization or approval processes are detected."}, {"id": "MON-11.2_MON-11.2_A06", "name": "assessment-objective", "prose": "organizational systems and system components are monitored on an ongoing basis for anomalous or suspicious behavior."}]} \N \N \N \N +SCF:MON-11.3 SCF MON-11.3 Monitoring for Indicators of Compromise (IOC) Automated mechanisms exist to identify and alert on Indicators of Compromise (IoC). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-11.3_MON-11.3_A01", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "MON-11.3_MON-11.3_A02", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) are defined."}, {"id": "MON-11.3_MON-11.3_A03", "name": "assessment-objective", "prose": "sources that provide Indicators of Compromise (IOC) are defined."}, {"id": "MON-11.3_MON-11.3_A04", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) provided by sources are discovered."}, {"id": "MON-11.3_MON-11.3_A05", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) provided by sources are collected."}, {"id": "MON-11.3_MON-11.3_A06", "name": "assessment-objective", "prose": "unauthorized use of the system is identified through techniques and methods."}, {"id": "MON-11.3_MON-11.3_A07", "name": "assessment-objective", "prose": "internal monitoring capabilities are invoked or monitoring devices are deployed strategically within the system to collect organization-determined essential information."}, {"id": "MON-11.3_MON-11.3_A08", "name": "assessment-objective", "prose": "internal monitoring capabilities are invoked or monitoring devices are deployed at ad hoc locations within the system to track specific types of transactions of interest to the organization."}, {"id": "MON-11.3_MON-11.3_A09", "name": "assessment-objective", "prose": "personnel or roles to whom Indicators of Compromise (IOC) are to be distributed is/are defined."}, {"id": "MON-11.3_MON-11.3_A10", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) provided by sources are distributed to personnel or roles."}, {"id": "MON-11.3_MON-11.3_A11", "name": "assessment-objective", "prose": "personnel or roles to whom Indicators of Compromise (IOC) are to be distributed is/are defined."}, {"id": "MON-11.3_MON-11.3_A12", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) provided by sources are distributed to personnel or roles."}, {"id": "MON-11.3_MON-11.3_A13", "name": "assessment-objective", "prose": "organizational systems to search for Indicators of Compromise (IOC) are defined."}, {"id": "MON-11.3_MON-11.3_A14", "name": "assessment-objective", "prose": "effective mitigations are identified."}, {"id": "MON-11.3_MON-11.3_A15", "name": "assessment-objective", "prose": "intrusion detection approaches are identified."}, {"id": "MON-11.3_MON-11.3_A16", "name": "assessment-objective", "prose": "threat hunting activities are identified."}, {"id": "MON-11.3_MON-11.3_A17", "name": "assessment-objective", "prose": "advanced automation and analytics capabilities are used to predict and identify risks to organizations, systems and system components are identified."}, {"id": "MON-11.3_MON-11.3_A18", "name": "assessment-objective", "prose": "analysts are used to predict and identify risks to organizations, systems and system components are identified."}, {"id": "MON-11.3_MON-11.3_A19", "name": "assessment-objective", "prose": "advanced automation and analytics capabilities are employed in support of analysts to predict and identify risks to organizations, systems and system components."}, {"id": "MON-11.3_MON-11.3_A20", "name": "assessment-objective", "prose": "threat indicator information and effective mitigations obtained from external organizations are used to guide and inform intrusion detection and threat hunting."}]} \N \N \N \N +SCF:MON-12 SCF MON-12 Session Audit Mechanisms exist to provide session audit capabilities that can: \r\n(1) Capture and log all content related to a user session; and\r\n(2) Remotely view all content related to an established user session in real time. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-12_MON-12_A01", "name": "assessment-objective", "prose": "user session auditing practices are defined (e.g., record, view, hear or log)."}, {"id": "MON-12_MON-12_A02", "name": "assessment-objective", "prose": "users or roles who can audit the content of a user session are defined."}, {"id": "MON-12_MON-12_A03", "name": "assessment-objective", "prose": "circumstances under which the content of a user session can be audited are defined."}, {"id": "MON-12_MON-12_A04", "name": "assessment-objective", "prose": "designated users or roles are provided with the capability to audit the content of a user session under organization-defined circumstances."}, {"id": "MON-12_MON-12_A05", "name": "assessment-objective", "prose": "the capability for organization's the content of a user session under organization-defined circumstances is implemented."}, {"id": "MON-12_MON-12_A06", "name": "assessment-objective", "prose": "session auditing activities are developed in consultation with legal counsel and in accordance with applicable laws, executive orders, directives, regulations, policies, standards and guidelines."}, {"id": "MON-12_MON-12_A07", "name": "assessment-objective", "prose": "session auditing activities are integrated in consultation with legal counsel and in accordance with applicable laws, executive orders, directives, regulations, policies, standards and guidelines."}, {"id": "MON-12_MON-12_A08", "name": "assessment-objective", "prose": "session auditing activities are used in consultation with legal counsel and in accordance with applicable laws, executive orders, directives, regulations, policies, standards and guidelines."}]} \N \N \N \N +SCF:MON-13 SCF MON-13 Alternate Event Logging Capability Mechanisms exist to provide an alternate event logging capability in the event of a failure in primary audit capability. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-13_MON-13_A01", "name": "assessment-objective", "prose": "an alternate event logging functionality in the event of a failure in primary event logging capability is defined."}, {"id": "MON-13_MON-13_A02", "name": "assessment-objective", "prose": "an alternate event logging capability is provided in the event of a failure in primary event logging capability that implements organization-defined alternate event logging functionality."}]} \N \N \N \N +SCF:MON-14 SCF MON-14 Cross-Organizational Monitoring Mechanisms exist to coordinate sanitized event logs among external organizations to identify anomalous events when event logs are shared across organizational boundaries, without giving away sensitive or critical business data. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-14_MON-14_A01", "name": "assessment-objective", "prose": "methods for coordinating audit information among external organizations when audit information is transmitted across organizational boundaries are defined."}, {"id": "MON-14_MON-14_A02", "name": "assessment-objective", "prose": "audit information to be coordinated among external organizations when audit information is transmitted across organizational boundaries is defined."}, {"id": "MON-14_MON-14_A03", "name": "assessment-objective", "prose": "organization-defined methods for coordinating audit information among external organizations when audit information is transmitted across organizational boundaries are employed."}]} \N \N \N \N +SCF:MON-14.1 SCF MON-14.1 Sharing of Event Logs Mechanisms exist to share event logs with third-party organizations based on specific cross-organizational sharing agreements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-14.1_MON-14.1_A01", "name": "assessment-objective", "prose": "organizations with which cross-organizational audit information is to be shared are defined."}, {"id": "MON-14.1_MON-14.1_A02", "name": "assessment-objective", "prose": "cross-organizational sharing agreements to be used when providing cross-organizational audit information to organizations are defined."}, {"id": "MON-14.1_MON-14.1_A03", "name": "assessment-objective", "prose": "cross-organizational audit information is provided to organization-defined organizations based on organization-defined cross-organizational sharing agreements."}]} \N \N \N \N +SCF:MON-15 SCF MON-15 Covert Channel Analysis Mechanisms exist to conduct covert channel analysis to identify aspects of communications that are potential avenues for covert channels. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-15_MON-15_A01", "name": "assessment-objective", "prose": "a covert channel analysis is performed to identify those aspects of communications within the system that are potential avenues for covert channels (e.g., storage and/or timing)."}, {"id": "MON-15_MON-15_A02", "name": "assessment-objective", "prose": "the maximum bandwidth of those channels is estimated."}]} \N \N \N \N +SCF:MON-16 SCF MON-16 Anomalous Behavior Mechanisms exist to utilize User & Entity Behavior Analytics (UEBA) and/or User Activity Monitoring (UAM) solutions to detect and respond to anomalous behavior that could indicate account compromise or other malicious activities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-16_MON-16_A01", "name": "assessment-objective", "prose": "environments or resources which may contain or may be related to anomalous or suspected adversarial behavior are defined."}, {"id": "MON-16_MON-16_A02", "name": "assessment-objective", "prose": "systems are monitored to detect unauthorized local connections."}, {"id": "MON-16_MON-16_A03", "name": "assessment-objective", "prose": "systems are monitored to detect unauthorized network connections."}, {"id": "MON-16_MON-16_A04", "name": "assessment-objective", "prose": "systems are monitored to detect unauthorized remote connections."}, {"id": "MON-16_MON-16_A05", "name": "assessment-objective", "prose": "outbound communications traffic at the external interfaces to the system is analyzed to discover anomalies."}, {"id": "MON-16_MON-16_A06", "name": "assessment-objective", "prose": "outbound communications traffic at interior points is analyzed to discover anomalies."}, {"id": "MON-16_MON-16_A07", "name": "assessment-objective", "prose": "anomalous or suspected adversarial behavior in or related to organization-defined environments or resources are analyzed."}, {"id": "MON-16_MON-16_A08", "name": "assessment-objective", "prose": "unauthorized use of the system is identified."}, {"id": "MON-16_MON-16_A09", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "MON-16_MON-16_A10", "name": "assessment-objective", "prose": "personnel or roles to report atypical usage is/are defined."}, {"id": "MON-16_MON-16_A11", "name": "assessment-objective", "prose": "atypical usage of system accounts is reported to organization-defined personnel or roles."}, {"id": "MON-16_MON-16_A12", "name": "assessment-objective", "prose": "organizational systems and system components are monitored on an ongoing basis for anomalous or suspicious behavior."}]} \N \N \N \N +SCF:MON-16.1 SCF MON-16.1 Insider Threats Mechanisms exist to monitor internal personnel activity for potential security incidents. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-16.1_MON-16.1_A01", "name": "assessment-objective", "prose": "a legal opinion regarding insider threat monitoring is obtained."}, {"id": "MON-16.1_MON-16.1_A02", "name": "assessment-objective", "prose": "monitoring activities for insider threats is defined."}, {"id": "MON-16.1_MON-16.1_A03", "name": "assessment-objective", "prose": "organization-defined mechanisms are employed to monitor internal personnel activity for potential security incidents."}]} \N \N \N \N +SCF:MON-16.2 SCF MON-16.2 Third-Party Threats Mechanisms exist to monitor third-party personnel activity for potential security incidents. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-16.2_MON-16.2_A01", "name": "assessment-objective", "prose": "a legal opinion regarding third-party threat monitoring is obtained."}, {"id": "MON-16.2_MON-16.2_A02", "name": "assessment-objective", "prose": "monitoring activities for third-party threats is defined."}, {"id": "MON-16.2_MON-16.2_A03", "name": "assessment-objective", "prose": "organization-defined mechanisms are employed to monitor third-party activities for potential security incidents."}]} \N \N \N \N +SCF:MON-16.3 SCF MON-16.3 Unauthorized Activities Mechanisms exist to monitor for unauthorized activities, accounts, connections, devices and software. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-16.3_MON-16.3_A01", "name": "assessment-objective", "prose": "unauthorized activities are defined."}, {"id": "MON-16.3_MON-16.3_A02", "name": "assessment-objective", "prose": "personnel or roles to be notified when unauthorized activities are detected is/are defined."}, {"id": "MON-16.3_MON-16.3_A03", "name": "assessment-objective", "prose": "methods to detect unauthorized activities are identified."}, {"id": "MON-16.3_MON-16.3_A04", "name": "assessment-objective", "prose": "monitoring mechanisms are configured to detect unauthorized activities."}, {"id": "MON-16.3_MON-16.3_A05", "name": "assessment-objective", "prose": "personnel or roles are notified when unauthorized activities are detected."}]} \N \N \N \N +SCF:MON-16.4 SCF MON-16.4 Account Creation and Modification Logging Automated mechanisms exist to generate event logs for permissions changes to privileged accounts and/or groups. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-16.4_MON-16.4_A01", "name": "assessment-objective", "prose": "an automated mechanism generates event logs for permissions changes to privileged accounts and/or groups."}]} \N \N \N \N +SCF:MON-17 SCF MON-17 Event Log Analysis & Triage Mechanisms exist to ensure event log reviews include analysis and triage practices that integrate with the organization's established incident response processes. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-17_MON-17_A01", "name": "assessment-objective", "prose": "analysis and triage capabilities for event log review processes are defined."}, {"id": "MON-17_MON-17_A02", "name": "assessment-objective", "prose": "analysis and triage capabilities are integrated into event log review processes that support the organization's governance and incident response functions."}]} \N \N \N \N +SCF:MON-17.1 SCF MON-17.1 Event Log Review Escalation Matrix Mechanisms exist to make event log review processes more efficient and effective by developing and maintaining an incident response escalation matrix. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-17.1_MON-17.1_A01", "name": "assessment-objective", "prose": "an escalation matrix that is specific to the organization's unique monitoring practices is developed and maintained."}]} \N \N \N \N +SCF:MON-18 SCF MON-18 File Activity Monitoring (FAM) Automated mechanisms exist to monitor sensitive/regulated data in Technology Assets, Applications and/or Services (TAAS) and data repositories. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-18_MON-18_A01", "name": "assessment-objective", "prose": "automated tools are used to monitor sensitive/regulated data in Assets, Applications & Services (AAS)."}, {"id": "MON-18_MON-18_A02", "name": "assessment-objective", "prose": "automated tools are used to monitor sensitive/regulated data in data repositories."}]} \N \N \N \N +SCF:MON-19 SCF MON-19 Write Once Read Many (WORM) Event Log Generation Mechanisms exist to produce event logs on hardware-enforced, write-once media (e.g., Write Once Read Many (WORM) technologies). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Continuous Monitoring", "assessment_objective": [{"id": "MON-19_MON-19_A01", "name": "assessment-objective", "prose": "Technology Assets, Applications and/or Services (TAAS) that require hardware-enforced, write-once media (e.g., Write Once Read Many (WORM) technologies) are identified."}, {"id": "MON-19_MON-19_A02", "name": "assessment-objective", "prose": "hardware-enforced, write-once media technologies are identified."}, {"id": "MON-19_MON-19_A03", "name": "assessment-objective", "prose": "hardware-enforced, write-once media technologies are implemented, where required."}]} \N \N \N \N +SCF:CRY-03 SCF CRY-03 Transmission Confidentiality Cryptographic mechanisms exist to protect the confidentiality of data being transmitted. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-03_CRY-03_A01", "name": "assessment-objective", "prose": "the types of cryptography for protecting the confidentiality of data are defined."}, {"id": "CRY-03_CRY-03_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of data during transmission."}, {"id": "CRY-03_CRY-03_A03", "name": "assessment-objective", "prose": "organization-defined types of cryptography are implemented to protect the confidentiality of sensitive / regulated data."}, {"id": "CRY-03_CRY-03_A04", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of CUI during transmission."}, {"id": "CRY-03_CRY-03_A05", "name": "assessment-objective", "prose": "the types of cryptography for protecting the confidentiality of CUI are defined."}, {"id": "CRY-03_CRY-03_A06", "name": "assessment-objective", "prose": "the following types of cryptography are implemented to protect the confidentiality of CUI: ."}]} \N \N \N \N +SCF:CRY-01 SCF CRY-01 Use of Cryptographic Controls Mechanisms exist to facilitate the implementation of cryptographic protections controls using known public standards and trusted cryptographic technologies. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01_CRY-01_A01", "name": "assessment-objective", "prose": "cryptographic uses are identified / defined."}, {"id": "CRY-01_CRY-01_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms intended to prevent unauthorized disclosure of sensitive / regulated data are identified."}, {"id": "CRY-01_CRY-01_A03", "name": "assessment-objective", "prose": "organization-defined types of cryptography are implemented to protect the confidentiality of sensitive / regulated data."}, {"id": "CRY-01_CRY-01_A04", "name": "assessment-objective", "prose": "as necessary for compliance requirements, FIPS-validated cryptography is employed to protect the confidentiality of sensitive / regulated data."}, {"id": "CRY-01_CRY-01_A05", "name": "assessment-objective", "prose": "security critical or essential software is defined."}, {"id": "CRY-01_CRY-01_A06", "name": "assessment-objective", "prose": "root of trust mechanisms or cryptographic signatures are identified."}, {"id": "CRY-01_CRY-01_A07", "name": "assessment-objective", "prose": "the integrity of security critical or essential software is verified using root of trust mechanisms or cryptographic signatures."}, {"id": "CRY-01_CRY-01_A08", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of sensitive / regulated data during transmission."}, {"id": "CRY-01_CRY-01_A09", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of sensitive / regulated data while in storage."}, {"id": "CRY-01_CRY-01_A10", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to detect unauthorized changes to software."}, {"id": "CRY-01_CRY-01_A11", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to detect unauthorized changes to firmware."}, {"id": "CRY-01_CRY-01_A12", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to detect unauthorized changes to information."}, {"id": "CRY-01_CRY-01_A13", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of CUI during transmission."}, {"id": "CRY-01_CRY-01_A14", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of CUI while in storage."}, {"id": "CRY-01_CRY-01_A15", "name": "assessment-objective", "prose": "the types of cryptography for protecting the confidentiality of CUI are defined."}, {"id": "CRY-01_CRY-01_A16", "name": "assessment-objective", "prose": "the following types of cryptography are implemented to protect the confidentiality of CUI: ."}, {"id": "CRY-01_CRY-01_A17", "name": "assessment-objective", "prose": "cryptographic protections management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "CRY-01_CRY-01_A18", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support cryptographic protections management operations."}, {"id": "CRY-01_CRY-01_A19", "name": "assessment-objective", "prose": "responsibility and authority for the performance of cryptographic protections management-related activities are assigned to designated personnel."}, {"id": "CRY-01_CRY-01_A20", "name": "assessment-objective", "prose": "personnel performing cryptographic protections management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:CRY-01.1 SCF CRY-01.1 Alternate Physical Protection Cryptographic mechanisms exist to prevent unauthorized disclosure of information as an alternative to physical safeguards. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01.1_CRY-01.1_A01", "name": "assessment-objective", "prose": "either cryptographic mechanisms or alternative physical safeguards are implemented to prevent unauthorized disclosure of sensitive / regulated data during transmission."}, {"id": "CRY-01.1_CRY-01.1_A02", "name": "assessment-objective", "prose": "alternative physical safeguards intended to prevent unauthorized disclosure of sensitive / regulated are identified."}]} \N \N \N \N +SCF:CRY-01.2 SCF CRY-01.2 Export-Controlled Cryptography Mechanisms exist to address the exporting of cryptographic technologies in compliance with relevant statutory and regulatory requirements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01.2_CRY-01.2_A01", "name": "assessment-objective", "prose": "a legal opinion regarding exporting cryptographic technologies is obtained."}, {"id": "CRY-01.2_CRY-01.2_A02", "name": "assessment-objective", "prose": "cryptographic uses are defined."}, {"id": "CRY-01.2_CRY-01.2_A03", "name": "assessment-objective", "prose": "types of cryptography for each specified cryptographic use are defined."}]} \N \N \N \N +SCF:CRY-01.3 SCF CRY-01.3 Pre/Post Transmission Handling Cryptographic mechanisms exist to ensure the confidentiality and integrity of information during preparation for transmission and during reception. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01.3_CRY-01.3_A01", "name": "assessment-objective", "prose": "the confidentiality and integrity of information is maintained during preparation for transmission."}, {"id": "CRY-01.3_CRY-01.3_A02", "name": "assessment-objective", "prose": "the confidentiality and integrity of information is maintained during reception."}]} \N \N \N \N +SCF:CRY-01.4 SCF CRY-01.4 Conceal / Randomize Communications Cryptographic mechanisms exist to conceal or randomize communication patterns. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01.4_CRY-01.4_A01", "name": "assessment-objective", "prose": "technical and procedural means to confuse and mislead adversaries are defined."}, {"id": "CRY-01.4_CRY-01.4_A02", "name": "assessment-objective", "prose": "technical and procedural means are employed to confuse and mislead adversaries."}]} \N \N \N \N +SCF:CRY-01.5 SCF CRY-01.5 Cryptographic Cipher Suites and Protocols Inventory Mechanisms exist to identify, document and review deployed cryptographic cipher suites and protocols to proactively respond to industry trends regarding the continued viability of utilized cryptographic cipher suites and protocols. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-01.5_CRY-01.5_A01", "name": "assessment-objective", "prose": "cryptographic uses are defined."}, {"id": "CRY-01.5_CRY-01.5_A02", "name": "assessment-objective", "prose": "types of cryptography for each specified cryptographic use are defined."}, {"id": "CRY-01.5_CRY-01.5_A03", "name": "assessment-objective", "prose": "an inventory of cryptographic cipher suites and protocols is maintained."}, {"id": "CRY-01.5_CRY-01.5_A04", "name": "assessment-objective", "prose": "deployed cryptographic cipher suites and protocols are periodically reviewed to identify industry trends regarding the continued viability of utilized cryptographic cipher suites and protocols."}, {"id": "CRY-01.5_CRY-01.5_A05", "name": "assessment-objective", "prose": "proactive measures are taken to respond to industry trends regarding the continued viability of utilized cryptographic cipher suites and protocols."}]} \N \N \N \N +SCF:CRY-02 SCF CRY-02 Automated Authentication Through Cryptographic Modules Automated mechanisms exist to enable systems to authenticate to a cryptographic module. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-02_CRY-02_A01", "name": "assessment-objective", "prose": "mechanisms for authentication to a cryptographic module are implemented that meet the requirements of applicable laws, executive orders, directives, policies, regulations, standards and guidelines for such authentication."}]} \N \N \N \N +SCF:CRY-09.6 SCF CRY-09.6 Third-Party Cryptographic Keys Mechanisms exist to ensure customers are provided with appropriate key management guidance whenever cryptographic keys are shared. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.6_CRY-09.6_A01", "name": "assessment-objective", "prose": "customers are provided with appropriate key management guidance whenever cryptographic keys are shared."}]} \N \N \N \N +SCF:CRY-04 SCF CRY-04 Transmission Integrity Cryptographic mechanisms exist to protect the integrity of data being transmitted. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-04_CRY-04_A01", "name": "assessment-objective", "prose": "the integrity of transmitted information is/are protected."}, {"id": "CRY-04_CRY-04_A02", "name": "assessment-objective", "prose": "cryptographic uses are defined."}, {"id": "CRY-04_CRY-04_A03", "name": "assessment-objective", "prose": "information requiring cryptographic protection is defined."}, {"id": "CRY-04_CRY-04_A04", "name": "assessment-objective", "prose": "system components or media requiring cryptographic protection is/are defined."}, {"id": "CRY-04_CRY-04_A05", "name": "assessment-objective", "prose": "types of cryptography for each specified cryptographic use are defined."}, {"id": "CRY-04_CRY-04_A06", "name": "assessment-objective", "prose": "the integrity of transmitted cybersecurity / data privacy attributes is verified."}, {"id": "CRY-04_CRY-04_A07", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent unauthorized disclosure of information at rest on system components or media."}, {"id": "CRY-04_CRY-04_A08", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent unauthorized modification of information at rest on system components or media."}]} \N \N \N \N +SCF:CRY-05 SCF CRY-05 Encrypting Data At Rest Cryptographic mechanisms exist to prevent unauthorized disclosure of data at rest. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-05_CRY-05_A01", "name": "assessment-objective", "prose": "the confidentiality of sensitive / regulated data stored on digital media is protected during transport using cryptographic mechanisms or alternative physical safeguards."}, {"id": "CRY-05_CRY-05_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of sensitive / regulated data while in storage."}, {"id": "CRY-05_CRY-05_A03", "name": "assessment-objective", "prose": "cryptographic uses are defined."}, {"id": "CRY-05_CRY-05_A04", "name": "assessment-objective", "prose": "information requiring cryptographic protection is defined."}, {"id": "CRY-05_CRY-05_A05", "name": "assessment-objective", "prose": "system components or media requiring cryptographic protection is/are defined."}, {"id": "CRY-05_CRY-05_A06", "name": "assessment-objective", "prose": "the types of cryptography for protecting the confidentiality of sensitive / regulated data are defined."}, {"id": "CRY-05_CRY-05_A07", "name": "assessment-objective", "prose": "organization-defined types of cryptography are implemented to protect the confidentiality of sensitive / regulated data."}, {"id": "CRY-05_CRY-05_A08", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent the unauthorized disclosure of CUI while in storage."}, {"id": "CRY-05_CRY-05_A09", "name": "assessment-objective", "prose": "the types of cryptography for protecting the confidentiality of CUI are defined."}, {"id": "CRY-05_CRY-05_A10", "name": "assessment-objective", "prose": "the following types of cryptography are implemented to protect the confidentiality of CUI: ."}]} \N \N \N \N +SCF:CRY-05.1 SCF CRY-05.1 Storage Media Cryptographic mechanisms exist to protect the confidentiality and integrity of sensitive/regulated data residing on storage media. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-05.1_CRY-05.1_A01", "name": "assessment-objective", "prose": "storage media types are defined."}, {"id": "CRY-05.1_CRY-05.1_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms protect the confidentiality and integrity of the sensitive data residing on storage media."}]} \N \N \N \N +SCF:CRY-05.2 SCF CRY-05.2 Offline Storage Mechanisms exist to remove unused data from online storage and archive it off-line in a secure location until it can be disposed of according to data retention requirements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-05.2_CRY-05.2_A01", "name": "assessment-objective", "prose": "persistent organizational storage locations are identified."}, {"id": "CRY-05.2_CRY-05.2_A02", "name": "assessment-objective", "prose": "recurring reviews of persistent organizational storage locations are conducted to identify sensitive / regulated data that is no longer needed."}, {"id": "CRY-05.2_CRY-05.2_A03", "name": "assessment-objective", "prose": "the frequency with which to conduct reviews of persistent organizational storage locations is defined."}, {"id": "CRY-05.2_CRY-05.2_A04", "name": "assessment-objective", "prose": "information to be removed from online storage and stored offline in a secure location is defined."}, {"id": "CRY-05.2_CRY-05.2_A05", "name": "assessment-objective", "prose": "information is removed from online storage."}, {"id": "CRY-05.2_CRY-05.2_A06", "name": "assessment-objective", "prose": "information is stored offline in a secure location."}]} \N \N \N \N +SCF:CRY-05.3 SCF CRY-05.3 Database Encryption Mechanisms exist to ensure that database servers utilize encryption to protect the confidentiality of the data within the databases. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-05.3_CRY-05.3_A01", "name": "assessment-objective", "prose": "secure baseline configurations require database servers to utilize cryptographic mechanisms that are appropriate to protect the confidentiality of sensitive data within its databases."}]} \N \N \N \N +SCF:CRY-06 SCF CRY-06 Non-Console Administrative Access Cryptographic mechanisms exist to protect the confidentiality and integrity of non-console administrative access. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-06_CRY-06_A01", "name": "assessment-objective", "prose": "cryptographic mechanisms are utilized to protect the confidentiality and integrity of non-console administrative access."}]} \N \N \N \N +SCF:CRY-07 SCF CRY-07 Wireless Access Authentication & Encryption Mechanisms exist to protect the confidentiality and integrity of wireless networking technologies by implementing authentication and strong encryption. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-07_CRY-07_A01", "name": "assessment-objective", "prose": "configuration requirements are established for each type of wireless access."}, {"id": "CRY-07_CRY-07_A02", "name": "assessment-objective", "prose": "connection requirements are established for each type of wireless access."}, {"id": "CRY-07_CRY-07_A03", "name": "assessment-objective", "prose": "implementation guidance is established for each type of wireless access."}]} \N \N \N \N +SCF:CRY-09.7 SCF CRY-09.7 External System Cryptographic Key Control Mechanisms exist to maintain control of cryptographic keys for encrypted material stored or transmitted through an external system. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.7_CRY-09.7_A01", "name": "assessment-objective", "prose": "exclusive control of cryptographic keys is maintained for encrypted material stored or transmitted through an external system."}]} \N \N \N \N +SCF:CRY-08 SCF CRY-08 Public Key Infrastructure (PKI) Mechanisms exist to securely implement an internal Public Key Infrastructure (PKI) infrastructure or obtain PKI services from a reputable PKI service provider. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-08_CRY-08_A01", "name": "assessment-objective", "prose": "requirements for key generation, distribution, storage, access and destruction are defined."}, {"id": "CRY-08_CRY-08_A02", "name": "assessment-objective", "prose": "a certificate policy for issuing public key certificates is defined."}, {"id": "CRY-08_CRY-08_A03", "name": "assessment-objective", "prose": "public key certificates are issued under an organization-defined certificate policy or public key certificates are obtained from an approved service provider."}, {"id": "CRY-08_CRY-08_A04", "name": "assessment-objective", "prose": "only approved trust anchors are included in trust stores or certificate stores managed by the organization."}, {"id": "CRY-08_CRY-08_A05", "name": "assessment-objective", "prose": "cryptographic keys are established whenever cryptography is employed."}, {"id": "CRY-08_CRY-08_A06", "name": "assessment-objective", "prose": "cryptographic keys are managed whenever cryptography is employed."}]} \N \N \N \N +SCF:CRY-08.1 SCF CRY-08.1 Availability Resiliency mechanisms exist to ensure the availability of data in the event of the loss of cryptographic keys. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-08.1_CRY-08.1_A01", "name": "assessment-objective", "prose": "resiliency mechanisms ensure the availability of data in the event of the loss of cryptographic keys when utilizing a centrally-managed cryptographic key management solution."}]} \N \N \N \N +SCF:CRY-09 SCF CRY-09 Cryptographic Key Management Mechanisms exist to facilitate cryptographic key management controls to protect the confidentiality, integrity and availability of keys. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09_CRY-09_A01", "name": "assessment-objective", "prose": "requirements for key generation, distribution, storage, access, and destruction are defined."}, {"id": "CRY-09_CRY-09_A02", "name": "assessment-objective", "prose": "protected storage for cryptographic keys is provided using organization-defined criteria."}, {"id": "CRY-09_CRY-09_A03", "name": "assessment-objective", "prose": "cryptographic keys are established in the system in accordance with organization-defined key management requirements."}, {"id": "CRY-09_CRY-09_A04", "name": "assessment-objective", "prose": "cryptographic keys are managed in the system in accordance with organization-defined key management requirements."}, {"id": "CRY-09_CRY-09_A05", "name": "assessment-objective", "prose": "cryptographic keys are established in the system in accordance with the following key management requirements: ."}, {"id": "CRY-09_CRY-09_A06", "name": "assessment-objective", "prose": "cryptographic keys are managed in the system in accordance with the following key management requirements: ."}]} \N \N \N \N +SCF:CRY-09.1 SCF CRY-09.1 Symmetric Keys Mechanisms exist to facilitate the production and management of symmetric cryptographic keys using Federal Information Processing Standards (FIPS)-compliant key management technology and processes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.1_CRY-09.1_A01", "name": "assessment-objective", "prose": "symmetric cryptographic keys are produced using organization-defined values key management technology and processes."}, {"id": "CRY-09.1_CRY-09.1_A02", "name": "assessment-objective", "prose": "symmetric cryptographic keys are controlled using organization-defined values for key management technology and processes."}, {"id": "CRY-09.1_CRY-09.1_A03", "name": "assessment-objective", "prose": "symmetric cryptographic keys are distributed using organization-defined values key management technology and processes."}]} \N \N \N \N +SCF:CRY-09.2 SCF CRY-09.2 Asymmetric Keys Mechanisms exist to facilitate the production and management of asymmetric cryptographic keys using Federal Information Processing Standards (FIPS)-compliant key management technology and processes that protect the user’s private key. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.2_CRY-09.2_A01", "name": "assessment-objective", "prose": "asymmetric cryptographic keys are produced using organization-defined criteria."}, {"id": "CRY-09.2_CRY-09.2_A02", "name": "assessment-objective", "prose": "asymmetric cryptographic keys are controlled using organization-defined criteria."}, {"id": "CRY-09.2_CRY-09.2_A03", "name": "assessment-objective", "prose": "asymmetric cryptographic keys are distributed using organization-defined criteria."}, {"id": "CRY-09.2_CRY-09.2_A04", "name": "assessment-objective", "prose": "one of the following organization-defined values is selected: \\r\\n(1) NSA-approved key management technology and processes. \\r\\n(2) prepositioned keying material. \\r\\n(3) DoD-approved or DoD-issued Medium Assurance PKI certificates. \\r\\n(4) DoD-approved or DoD-issued Medium Hardware Assurance PKI certificates and hardware security tokens that protect the user’s private key. or \\r\\n(5) certificates issued in accordance with organization-defined requirements."}]} \N \N \N \N +SCF:CRY-09.3 SCF CRY-09.3 Cryptographic Key Loss or Change Mechanisms exist to ensure the availability of information in the event of the loss of cryptographic keys by individual users. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.3_CRY-09.3_A01", "name": "assessment-objective", "prose": "information availability is maintained in the event of the loss of cryptographic keys by users."}]} \N \N \N \N +SCF:CRY-09.4 SCF CRY-09.4 Control & Distribution of Cryptographic Keys Mechanisms exist to facilitate the secure distribution of symmetric and asymmetric cryptographic keys using industry recognized key management technology and processes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.4_CRY-09.4_A01", "name": "assessment-objective", "prose": "a centrally-managed cryptographic key management solution facilitates the secure distribution of symmetric and asymmetric cryptographic keys."}]} \N \N \N \N +SCF:CRY-09.5 SCF CRY-09.5 Assigned Owners Mechanisms exist to ensure cryptographic keys are bound to individual identities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-09.5_CRY-09.5_A01", "name": "assessment-objective", "prose": "secure baseline configurations ensure cryptographic keys are bound to individual identities."}]} \N \N \N \N +SCF:CRY-10 SCF CRY-10 Transmission of Cybersecurity & Data Protection Attributes Mechanisms exist to associate Technology Assets, Applications and/or Services (TAAS) security attributes with information exchanged between TAAS. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-10_CRY-10_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with information exchanged are defined."}, {"id": "CRY-10_CRY-10_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes are associated with information exchanged between systems."}, {"id": "CRY-10_CRY-10_A03", "name": "assessment-objective", "prose": "security /privacy attributes are associated with information exchanged between system components."}, {"id": "CRY-10_CRY-10_A04", "name": "assessment-objective", "prose": "the integrity of transmitted cybersecurity / data privacy attributes is verified."}]} \N \N \N \N +SCF:CRY-11 SCF CRY-11 Certificate Authorities Automated mechanisms exist to enable the use of organization-defined Certificate Authorities (CAs) to facilitate the establishment of protected sessions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-11_CRY-11_A01", "name": "assessment-objective", "prose": "certificate authorities to be allowed for verification of the establishment of protected sessions are defined."}, {"id": "CRY-11_CRY-11_A02", "name": "assessment-objective", "prose": "only the use of organization-defined certificated authorities for verification of the establishment of protected sessions is allowed."}]} \N \N \N \N +SCF:CRY-12 SCF CRY-12 Certificate Monitoring Automated mechanisms exist to discover when new certificates are issued for organization-controlled domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-12_CRY-12_A01", "name": "assessment-objective", "prose": "processes exist to proactively discover when new certificates are issued for organization-controlled domains."}, {"id": "CRY-12_CRY-12_A02", "name": "assessment-objective", "prose": "incident response operations are initiated when new certificates are issued without authorization."}]} \N \N \N \N +SCF:CRY-13 SCF CRY-13 Cryptographic Hash Mechanisms exist to utilize hash algorithms to generate a hash value that can be used to validate the integrity of data and/or software. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Cryptographic Protections", "assessment_objective": [{"id": "CRY-13_CRY-13_A01", "name": "assessment-objective", "prose": "approved hash algorithms are defined."}, {"id": "CRY-13_CRY-13_A02", "name": "assessment-objective", "prose": "hash algorithms are to generate a hash value that can be used to validate the integrity of data and/or software."}]} \N \N \N \N +SCF:DCH-01 SCF DCH-01 Data Protection Mechanisms exist to facilitate the implementation of data protection controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-01_DCH-01_A01", "name": "assessment-objective", "prose": "paper media containing sensitive / regulated data is physically controlled."}, {"id": "DCH-01_DCH-01_A02", "name": "assessment-objective", "prose": "digital media containing sensitive / regulated data is physically controlled."}, {"id": "DCH-01_DCH-01_A03", "name": "assessment-objective", "prose": "paper media containing sensitive / regulated data is securely stored."}, {"id": "DCH-01_DCH-01_A04", "name": "assessment-objective", "prose": "digital media containing sensitive / regulated data is securely stored."}, {"id": "DCH-01_DCH-01_A05", "name": "assessment-objective", "prose": "data classification & handling management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "DCH-01_DCH-01_A06", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support data classification & handling management operations."}, {"id": "DCH-01_DCH-01_A07", "name": "assessment-objective", "prose": "responsibility and authority for the performance of data classification & handling management-related activities are assigned to designated personnel."}, {"id": "DCH-01_DCH-01_A08", "name": "assessment-objective", "prose": "personnel performing data classification & handling management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:DCH-01.1 SCF DCH-01.1 Data Stewardship Mechanisms exist to ensure data stewardship is assigned, documented and communicated. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-01.1_DCH-01.1_A01", "name": "assessment-objective", "prose": "organizational data ownership requirements are defined."}, {"id": "DCH-01.1_DCH-01.1_A02", "name": "assessment-objective", "prose": "data ownership is formally assigned to an individual through defined roles and responsibilities."}]} \N \N \N \N +SCF:DCH-01.2 SCF DCH-01.2 Sensitive / Regulated Data Protection Mechanisms exist to protect sensitive/regulated data wherever it is processed and/or stored. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-01.2_DCH-01.2_A01", "name": "assessment-objective", "prose": "sensitive / regulated data inventories exist."}, {"id": "DCH-01.2_DCH-01.2_A02", "name": "assessment-objective", "prose": "protection mechanisms are defined for each type of sensitive / regulated data."}, {"id": "DCH-01.2_DCH-01.2_A03", "name": "assessment-objective", "prose": "organization-defined mechanisms protect sensitive / regulated data wherever it is stored."}]} \N \N \N \N +SCF:DCH-01.3 SCF DCH-01.3 Sensitive / Regulated Media Records Mechanisms exist to ensure media records for sensitive/regulated data contain sufficient information to determine the potential impact in the event of a data loss incident. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-01.3_DCH-01.3_A01", "name": "assessment-objective", "prose": "data stewards document the potential impact in the event of a data loss incident."}]} \N \N \N \N +SCF:DCH-20 SCF DCH-20 Archived Data Sets Mechanisms exist to protect archived data in accordance with applicable statutory, regulatory and contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-20_DCH-20_A01", "name": "assessment-objective", "prose": "archived data is protected in accordance with applicable statutory, regulatory and contractual obligations."}]} \N \N \N \N +SCF:DCH-01.4 SCF DCH-01.4 Defining Access Authorizations for Sensitive / Regulated Data Mechanisms exist to explicitly define authorizations for specific individuals and/or roles for logical and /or physical access to sensitive/regulated data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-01.4_DCH-01.4_A01", "name": "assessment-objective", "prose": "specific individuals and/or roles for logical and /or physical access to sensitive / regulated data are defined."}, {"id": "DCH-01.4_DCH-01.4_A02", "name": "assessment-objective", "prose": "only authorized individuals are provided logical and /or physical access to sensitive / regulated data."}, {"id": "DCH-01.4_DCH-01.4_A03", "name": "assessment-objective", "prose": "the system security plan is protected from unauthorized disclosure."}, {"id": "DCH-01.4_DCH-01.4_A04", "name": "assessment-objective", "prose": "the SCRM plan is protected from unauthorized disclosure."}]} \N \N \N \N +SCF:DCH-02 SCF DCH-02 Data & Asset Classification Mechanisms exist to ensure data and assets are categorized in accordance with applicable statutory, regulatory and contractual requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-02_DCH-02_A01", "name": "assessment-objective", "prose": "a data classification scheme is defined that covers reasonable data types to address the organization's operational needs."}, {"id": "DCH-02_DCH-02_A02", "name": "assessment-objective", "prose": "data and assets are categorized in accordance with the data classification scheme that addresses applicable statutory, regulatory and contractual requirements."}]} \N \N \N \N +SCF:DCH-02.1 SCF DCH-02.1 Highest Classification Level Mechanisms exist to ensure that Technology Assets, Applications and/or Services (TAAS) are classified according to the highest level of data sensitivity that is stored, transmitted and/or processed. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-02.1_DCH-02.1_A01", "name": "assessment-objective", "prose": "data stewards formally categorize systems, applications and services in a System Security & Privacy Plan (SSPP) or similar documentation, according to the highest level of data sensitivity that is stored, transmitted and/or processed."}, {"id": "DCH-02.1_DCH-02.1_A02", "name": "assessment-objective", "prose": "a validation process exists to ensure that systems, applications and services are classified according to the highest level of data sensitivity that is stored, transmitted and/or processed."}]} \N \N \N \N +SCF:DCH-03 SCF DCH-03 Media Access Mechanisms exist to control and restrict access to digital and non-digital media to authorized individuals. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-03_DCH-03_A01", "name": "assessment-objective", "prose": "access to sensitive / regulated data on system media is restricted to authorized personnel or roles."}, {"id": "DCH-03_DCH-03_A02", "name": "assessment-objective", "prose": "types of digital media to which access is restricted are defined."}, {"id": "DCH-03_DCH-03_A03", "name": "assessment-objective", "prose": "personnel or roles authorized to access digital media is/are defined."}, {"id": "DCH-03_DCH-03_A04", "name": "assessment-objective", "prose": "types of non-digital media to which access is restricted are defined."}, {"id": "DCH-03_DCH-03_A05", "name": "assessment-objective", "prose": "personnel or roles authorized to access non-digital media is/are defined."}, {"id": "DCH-03_DCH-03_A06", "name": "assessment-objective", "prose": "access to types of non-digital media is restricted to personnel or roles."}, {"id": "DCH-03_DCH-03_A07", "name": "assessment-objective", "prose": "access to CUI on system media is restricted to authorized personnel or roles."}]} \N \N \N \N +SCF:DCH-03.1 SCF DCH-03.1 Disclosure of Information Mechanisms exist to restrict the disclosure of sensitive/regulated data to authorized parties with a need to know. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-03.1_DCH-03.1_A01", "name": "assessment-objective", "prose": "a documented data classification scheme exists that covers data protection controls associated with sharing information with third-parties."}, {"id": "DCH-03.1_DCH-03.1_A02", "name": "assessment-objective", "prose": "data stewards establish formalized business process-specific procedures to limit the disclosure of data to authorized parties."}, {"id": "DCH-03.1_DCH-03.1_A03", "name": "assessment-objective", "prose": "the system security plan is protected from unauthorized disclosure."}, {"id": "DCH-03.1_DCH-03.1_A04", "name": "assessment-objective", "prose": "the SCRM plan is protected from unauthorized disclosure."}]} \N \N \N \N +SCF:DCH-03.2 SCF DCH-03.2 Masking Displayed Data Mechanisms exist to apply data masking to sensitive/regulated information that is displayed or printed. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-03.2_DCH-03.2_A01", "name": "assessment-objective", "prose": "automated mechanisms apply data masking to sensitive information that is displayed or printed, where technically feasible."}]} \N \N \N \N +SCF:DCH-03.3 SCF DCH-03.3 Controlled Release Automated mechanisms exist to validate cybersecurity and data protection attributes prior to releasing information to external Technology Assets, Applications and/or Services (TAAS). 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-03.3_DCH-03.3_A01", "name": "assessment-objective", "prose": "the external system or system component to which to release information is/are defined."}, {"id": "DCH-03.3_DCH-03.3_A02", "name": "assessment-objective", "prose": "controls to be provided by the external system or system component are defined."}, {"id": "DCH-03.3_DCH-03.3_A03", "name": "assessment-objective", "prose": "controls used to validate appropriateness of information to be released are defined."}, {"id": "DCH-03.3_DCH-03.3_A04", "name": "assessment-objective", "prose": "information is released outside of the system only if the receiving system or system component provides organization-defined controls."}, {"id": "DCH-03.3_DCH-03.3_A05", "name": "assessment-objective", "prose": "information is released outside of the system only if organization-defined controls are used to validate the appropriateness of the information designated for release."}]} \N \N \N \N +SCF:DCH-04 SCF DCH-04 Media Marking Mechanisms exist to mark media in accordance with data protection requirements so that personnel are alerted to distribution limitations, handling caveats and applicable security requirements. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-04_DCH-04_A01", "name": "assessment-objective", "prose": "types of media exempt from marking when remaining in controlled areas are defined."}, {"id": "DCH-04_DCH-04_A02", "name": "assessment-objective", "prose": "media is marked with applicable sensitive / regulated data markings."}, {"id": "DCH-04_DCH-04_A03", "name": "assessment-objective", "prose": "media is marked to indicate distribution limitations, handling caveats and applicable security markings (if any) of the information."}, {"id": "DCH-04_DCH-04_A04", "name": "assessment-objective", "prose": "controlled areas where media is exempt from marking are defined."}, {"id": "DCH-04_DCH-04_A05", "name": "assessment-objective", "prose": "types of media exempted from marking remain within controlled areas."}, {"id": "DCH-04_DCH-04_A06", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are marked to indicate distribution limitations."}, {"id": "DCH-04_DCH-04_A07", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are marked to indicate handling caveats."}, {"id": "DCH-04_DCH-04_A08", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are marked to indicate applicable sensitive / regulated data markings."}, {"id": "DCH-04_DCH-04_A09", "name": "assessment-objective", "prose": "system media that contain CUI are marked to indicate distribution limitations."}, {"id": "DCH-04_DCH-04_A10", "name": "assessment-objective", "prose": "system media that contain CUI are marked to indicate handling caveats."}, {"id": "DCH-04_DCH-04_A11", "name": "assessment-objective", "prose": "system media that contain CUI are marked to indicate applicable CUI markings."}]} \N \N \N \N +SCF:DCH-04.1 SCF DCH-04.1 Automated Marking Automated mechanisms exist to mark physical media and digital files to indicate the distribution limitations, handling requirements and applicable security markings (if any) of the information to aid Data Loss Prevention (DLP) technologies. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-04.1_DCH-04.1_A01", "name": "assessment-objective", "prose": "automated mechanisms mark media and system output to indicate the distribution limitations, handling requirements and applicable security markings (if any) of the information to enable the use of Data Loss Prevention (DLP) and similar automated data protection technologies."}]} \N \N \N \N +SCF:DCH-05 SCF DCH-05 Cybersecurity & Data Protection Attributes Mechanisms exist to bind cybersecurity and data protection attributes to information as it is stored, transmitted and processed. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05_DCH-05_A01", "name": "assessment-objective", "prose": "types of security / privacy attributes associated with cybersecurity attribute values for information in storage, in process, and/or in transmission are defined."}, {"id": "DCH-05_DCH-05_A02", "name": "assessment-objective", "prose": "the means to associate organization-defined types of security / privacy attributes with organization-defined security attribute values for information in storage, in process, and/or in transmission are provided."}, {"id": "DCH-05_DCH-05_A03", "name": "assessment-objective", "prose": "the frequency at which to review cybersecurity / data privacy attributes for applicability is defined."}, {"id": "DCH-05_DCH-05_A04", "name": "assessment-objective", "prose": "attributes are reviewed according to an organization-defined frequency."}, {"id": "DCH-05_DCH-05_A05", "name": "assessment-objective", "prose": "attribute associations are made."}, {"id": "DCH-05_DCH-05_A06", "name": "assessment-objective", "prose": "changes to attributes are audited."}, {"id": "DCH-05_DCH-05_A07", "name": "assessment-objective", "prose": "attribute associations are retained with the information."}]} \N \N \N \N +SCF:DCH-05.1 SCF DCH-05.1 Dynamic Attribute Association Mechanisms exist to dynamically associate cybersecurity and data protection attributes with individuals and objects as information is created, combined, or transformed, in accordance with organization-defined cybersecurity and data protection policies. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.1_DCH-05.1_A01", "name": "assessment-objective", "prose": "subjects or objects with which cybersecurity / data privacy attributes are to be dynamically associated as information is created and combined are defined."}, {"id": "DCH-05.1_DCH-05.1_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy policies requiring dynamic association of cybersecurity / data privacy attributes with subjects and objects are defined."}, {"id": "DCH-05.1_DCH-05.1_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes are dynamically associated with organization-defined subjects or objects as information is created or combined."}]} \N \N \N \N +SCF:DCH-05.2 SCF DCH-05.2 Attribute Value Changes By Authorized Individuals Mechanisms exist to provide authorized individuals (or processes acting on behalf of individuals) the capability to define or change the value of associated cybersecurity and data protection attributes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.2_DCH-05.2_A01", "name": "assessment-objective", "prose": "authorized individuals (or processes acting on behalf of individuals) are provided with the capability to define or change the value of associated cybersecurity / data privacy attributes."}]} \N \N \N \N +SCF:DCH-05.3 SCF DCH-05.3 Maintenance of Attribute Associations By System Mechanisms exist to maintain the association and integrity of cybersecurity and data protection attributes to individuals and objects. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.3_DCH-05.3_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes that require association and integrity maintenance are defined."}, {"id": "DCH-05.3_DCH-05.3_A02", "name": "assessment-objective", "prose": "subjects requiring the association and integrity of cybersecurity / data privacy attributes to such subjects to be maintained are defined."}, {"id": "DCH-05.3_DCH-05.3_A03", "name": "assessment-objective", "prose": "objects requiring the association and integrity of cybersecurity / data privacy attributes to such objects to be maintained are defined."}, {"id": "DCH-05.3_DCH-05.3_A04", "name": "assessment-objective", "prose": "the association and integrity of organization-defined cybersecurity / data privacy attributes to organization-defined subjects is maintained."}, {"id": "DCH-05.3_DCH-05.3_A05", "name": "assessment-objective", "prose": "the association and integrity of organization-defined cybersecurity / data privacy attributes to organization-defined objects is maintained."}]} \N \N \N \N +SCF:DCH-05.4 SCF DCH-05.4 Association of Attributes By Authorized Individuals Mechanisms exist to provide the capability to associate cybersecurity and data protection attributes with individuals and objects by authorized individuals (or processes acting on behalf of individuals). 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.4_DCH-05.4_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with subjects by authorized individuals (or processes acting on behalf of individuals) are defined."}, {"id": "DCH-05.4_DCH-05.4_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with objects by authorized individuals (or processes acting on behalf of individuals) are defined."}, {"id": "DCH-05.4_DCH-05.4_A03", "name": "assessment-objective", "prose": "subjects requiring the association of cybersecurity / data privacy attributes by authorized individuals (or processes acting on behalf of individuals) are defined."}, {"id": "DCH-05.4_DCH-05.4_A04", "name": "assessment-objective", "prose": "objects requiring the association of cybersecurity / data privacy attributes by authorized individuals (or processes acting on behalf of individuals) are defined."}, {"id": "DCH-05.4_DCH-05.4_A05", "name": "assessment-objective", "prose": "authorized individuals (or processes acting on behalf of individuals) are provided with the capability to associate organization-defined cybersecurity / data privacy attributes with organization-defined subjects."}, {"id": "DCH-05.4_DCH-05.4_A06", "name": "assessment-objective", "prose": "authorized individuals (or processes acting on behalf of individuals) are provided with the capability to associate organization-defined cybersecurity / data privacy attributes with organization-defined objects."}]} \N \N \N \N +SCF:DCH-05.5 SCF DCH-05.5 Attribute Displays for Output Devices Mechanisms exist to display cybersecurity and data protection attributes in human-readable form on each object that the system transmits to output devices to identify special dissemination, handling or distribution instructions using human-readable, standard naming conventions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.5_DCH-05.5_A01", "name": "assessment-objective", "prose": "special dissemination, handling or distribution instructions to be used for each object that the system transmits to output devices are defined."}, {"id": "DCH-05.5_DCH-05.5_A02", "name": "assessment-objective", "prose": "human-readable, standard naming conventions for the cybersecurity / data privacy attributes to be displayed in human-readable form on each object that the system transmits to output devices are defined."}, {"id": "DCH-05.5_DCH-05.5_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes are displayed in human-readable form on each object that the system transmits to output devices to identify organization-defined instructions using organization-defined naming conventions."}]} \N \N \N \N +SCF:DCH-05.6 SCF DCH-05.6 Data Subject Attribute Associations Mechanisms exist to require personnel to associate and maintain the association of cybersecurity and data protection attributes with individuals and objects in accordance with cybersecurity and data protection policies. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.6_DCH-05.6_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with subjects are defined."}, {"id": "DCH-05.6_DCH-05.6_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with objects are defined."}, {"id": "DCH-05.6_DCH-05.6_A03", "name": "assessment-objective", "prose": "subjects to be associated with cybersecurity / data privacy attributes are defined."}, {"id": "DCH-05.6_DCH-05.6_A04", "name": "assessment-objective", "prose": "objects to be associated with cybersecurity / data privacy attributes are defined."}, {"id": "DCH-05.6_DCH-05.6_A05", "name": "assessment-objective", "prose": "cybersecurity / data privacy policies that require personnel to associate and maintain the association of cybersecurity / data privacy attributes with subjects and objects."}, {"id": "DCH-05.6_DCH-05.6_A06", "name": "assessment-objective", "prose": "personnel are required to associate and maintain the association of organization-defined cybersecurity / data privacy attributes with organization-defined subjects in accordance with organization-defined policies."}, {"id": "DCH-05.6_DCH-05.6_A07", "name": "assessment-objective", "prose": "personnel are required to associate and maintain the association of organization-defined cybersecurity / data privacy attributes with organization-defined objects in accordance with organization-defined policies."}]} \N \N \N \N +SCF:DCH-05.7 SCF DCH-05.7 Consistent Attribute Interpretation Mechanisms exist to provide a consistent, organizationally agreed upon interpretation of cybersecurity and data protection attributes employed in access enforcement and flow enforcement decisions between distributed system components. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.7_DCH-05.7_A01", "name": "assessment-objective", "prose": "a consistent interpretation of cybersecurity / data privacy attributes transmitted between distributed system components is provided."}]} \N \N \N \N +SCF:DCH-05.8 SCF DCH-05.8 Identity Association Techniques & Technologies Mechanisms exist to associate cybersecurity and data protection attributes to information. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.8_DCH-05.8_A01", "name": "assessment-objective", "prose": "techniques and technologies to be implemented in associating cybersecurity / data privacy attributes to information are defined."}, {"id": "DCH-05.8_DCH-05.8_A02", "name": "assessment-objective", "prose": "organization-defined techniques and technologies are implemented in associating cybersecurity / data privacy attributes to information."}]} \N \N \N \N +SCF:DCH-05.9 SCF DCH-05.9 Attribute Reassignment Mechanisms exist to reclassify data as required, due to changing business/technical requirements. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.9_DCH-05.9_A01", "name": "assessment-objective", "prose": "techniques or procedures used to validate regarding mechanisms for cybersecurity / data privacy attributes are defined."}, {"id": "DCH-05.9_DCH-05.9_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with information are changed only via regarding mechanisms validated using organization-defined techniques or procedures."}]} \N \N \N \N +SCF:DCH-05.10 SCF DCH-05.10 Attribute Configuration By Authorized Individuals Mechanisms exist to provide authorized individuals the capability to define or change the type and value of cybersecurity and data protection attributes available for association with subjects and objects. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.10_DCH-05.10_A01", "name": "assessment-objective", "prose": "authorized individuals are provided with the capability to define or change the type and value of cybersecurity / data privacy attributes available for association with subjects and objects."}]} \N \N \N \N +SCF:DCH-05.11 SCF DCH-05.11 Audit Changes Mechanisms exist to audit changes to cybersecurity and data protection attributes and responds to events in accordance with incident response procedures. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-05.11_DCH-05.11_A01", "name": "assessment-objective", "prose": "documented procedures exist to perform reviews of changes to cybersecurity / data privacy attributes."}, {"id": "DCH-05.11_DCH-05.11_A02", "name": "assessment-objective", "prose": "actions taken to respond to unauthorized changes are per the organization's Incident Response Plan (IRP) or similar documented procedures."}]} \N \N \N \N +SCF:IAC-10.6 SCF IAC-10.6 No Embedded Unencrypted Static Authenticators Mechanisms exist to ensure that unencrypted, static authenticators are not embedded in applications, scripts or stored on function keys. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.6_IAC-10.6_A01", "name": "assessment-objective", "prose": "unencrypted static authenticators are not embedded in applications or other forms of static storage."}]} \N \N \N \N +SCF:DCH-06 SCF DCH-06 Media Storage Mechanisms exist to: \r\n(1) Physically control and securely store digital and non-digital media within controlled areas using organization-defined security measures; and\r\n(2) Protect system media until the media are destroyed or sanitized using approved equipment, techniques and procedures. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06_DCH-06_A01", "name": "assessment-objective", "prose": "types of digital media to be securely stored are defined."}, {"id": "DCH-06_DCH-06_A02", "name": "assessment-objective", "prose": "types of non-digital media to be securely stored are defined."}, {"id": "DCH-06_DCH-06_A03", "name": "assessment-objective", "prose": "controlled areas within which to securely store digital media are defined."}, {"id": "DCH-06_DCH-06_A04", "name": "assessment-objective", "prose": "controlled areas within which to securely store non-digital media are defined."}, {"id": "DCH-06_DCH-06_A05", "name": "assessment-objective", "prose": "types of digital media are securely stored within controlled areas."}, {"id": "DCH-06_DCH-06_A06", "name": "assessment-objective", "prose": "types of non-digital media are securely stored within controlled areas."}, {"id": "DCH-06_DCH-06_A07", "name": "assessment-objective", "prose": "system media types are protected until the media are destroyed or sanitized using approved equipment, techniques and procedures."}, {"id": "DCH-06_DCH-06_A08", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are physically controlled."}, {"id": "DCH-06_DCH-06_A09", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are securely stored."}, {"id": "DCH-06_DCH-06_A10", "name": "assessment-objective", "prose": "system media that contain CUI are physically controlled."}, {"id": "DCH-06_DCH-06_A11", "name": "assessment-objective", "prose": "system media that contain CUI are securely stored."}]} \N \N \N \N +SCF:DCH-06.1 SCF DCH-06.1 Physically Secure All Media Mechanisms exist to physically secure all media that contains sensitive information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06.1_DCH-06.1_A01", "name": "assessment-objective", "prose": "types of digital media to be physically controlled are defined."}, {"id": "DCH-06.1_DCH-06.1_A02", "name": "assessment-objective", "prose": "types of non-digital media to be physically controlled are defined."}, {"id": "DCH-06.1_DCH-06.1_A03", "name": "assessment-objective", "prose": "types of digital media are physically controlled."}, {"id": "DCH-06.1_DCH-06.1_A04", "name": "assessment-objective", "prose": "types of non-digital media are physically controlled."}, {"id": "DCH-06.1_DCH-06.1_A05", "name": "assessment-objective", "prose": "system media types are protected until the media are destroyed or sanitized using approved equipment, techniques and procedures."}]} \N \N \N \N +SCF:DCH-06.2 SCF DCH-06.2 Sensitive Data Inventories Mechanisms exist to maintain inventory logs of all sensitive media and conduct sensitive media inventories at least annually. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06.2_DCH-06.2_A01", "name": "assessment-objective", "prose": "an inventory is maintained for all sensitive / regulated data."}, {"id": "DCH-06.2_DCH-06.2_A02", "name": "assessment-objective", "prose": "recurring inventories keep sensitive / regulated data inventories current and accurate."}]} \N \N \N \N +SCF:DCH-06.3 SCF DCH-06.3 Periodic Scans for Sensitive / Regulated Data Mechanisms exist to periodically scan unstructured data sources for sensitive/regulated data or data requiring special protection measures by statutory, regulatory or contractual obligations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06.3_DCH-06.3_A01", "name": "assessment-objective", "prose": "periodic scans of unstructured data sources are used to identify sensitive / regulated data, or data requiring special protection measures, per statutory, regulatory or contractual obligations."}, {"id": "DCH-06.3_DCH-06.3_A02", "name": "assessment-objective", "prose": "actions are taken to respond to the discovery of unauthorized sensitive / regulated data repositories are per the organization's Incident Response Plan (IRP), or similar documented procedures."}]} \N \N \N \N +SCF:DCH-06.4 SCF DCH-06.4 Making Sensitive Data Unreadable In Storage Mechanisms exist to ensure sensitive/regulated data is rendered human unreadable anywhere sensitive/regulated data is stored. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06.4_DCH-06.4_A01", "name": "assessment-objective", "prose": "the organization only uses current and supported technologies that are capable of implementing secure configurations."}, {"id": "DCH-06.4_DCH-06.4_A02", "name": "assessment-objective", "prose": "secure baseline configurations ensure sensitive / regulated data is rendered human unreadable anywhere that data is stored."}]} \N \N \N \N +SCF:DCH-06.5 SCF DCH-06.5 Storing Authentication Data Mechanisms exist to prohibit the storage of sensitive transaction authentication data after authorization. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-06.5_DCH-06.5_A01", "name": "assessment-objective", "prose": "the storage of sensitive authentication data after authorization is prohibited."}, {"id": "DCH-06.5_DCH-06.5_A02", "name": "assessment-objective", "prose": "secure baseline configurations ensure authentication data is not stored after authorization."}]} \N \N \N \N +SCF:DCH-07 SCF DCH-07 Media Transportation Mechanisms exist to protect and control digital and non-digital media during transport outside of controlled areas using appropriate security measures. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-07_DCH-07_A01", "name": "assessment-objective", "prose": "access to media containing sensitive / regulated data is controlled."}, {"id": "DCH-07_DCH-07_A02", "name": "assessment-objective", "prose": "accountability for media containing sensitive / regulated data is maintained during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A03", "name": "assessment-objective", "prose": "types of system media to protect and control during transport outside of controlled areas are defined."}, {"id": "DCH-07_DCH-07_A04", "name": "assessment-objective", "prose": "personnel authorized to conduct media transport activities is/are identified."}, {"id": "DCH-07_DCH-07_A05", "name": "assessment-objective", "prose": "activities associated with the transport of system media are restricted to identified authorized personnel."}, {"id": "DCH-07_DCH-07_A06", "name": "assessment-objective", "prose": "controls used to protect system media outside of controlled areas are defined."}, {"id": "DCH-07_DCH-07_A07", "name": "assessment-objective", "prose": "controls used to control system media outside of controlled areas are defined."}, {"id": "DCH-07_DCH-07_A08", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are protected during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A09", "name": "assessment-objective", "prose": "system media that contain sensitive / regulated data are controlled during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A10", "name": "assessment-objective", "prose": "accountability for system media that contain sensitive / regulated data is maintained during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A11", "name": "assessment-objective", "prose": "activities associated with the transport of system media that contain sensitive / regulated data are documented."}, {"id": "DCH-07_DCH-07_A12", "name": "assessment-objective", "prose": "system media that contain CUI are protected during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A13", "name": "assessment-objective", "prose": "system media that contain CUI are controlled during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A14", "name": "assessment-objective", "prose": "accountability for system media that contain CUI is maintained during transport outside of controlled areas."}, {"id": "DCH-07_DCH-07_A15", "name": "assessment-objective", "prose": "activities associated with the transport of system media that contain CUI are documented."}]} \N \N \N \N +SCF:DCH-07.1 SCF DCH-07.1 Custodians Mechanisms exist to identify custodians throughout the transport of digital or non-digital media. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-07.1_DCH-07.1_A01", "name": "assessment-objective", "prose": "a custodian to transport system media outside of controlled areas is identified."}, {"id": "DCH-07.1_DCH-07.1_A02", "name": "assessment-objective", "prose": "the identified custodian is employed during the transport of system media outside of controlled areas."}]} \N \N \N \N +SCF:DCH-21 SCF DCH-21 Information Disposal Mechanisms exist to securely dispose of, destroy or erase information. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-21_DCH-21_A01", "name": "assessment-objective", "prose": "techniques used to dispose of, destroy and/or erase information following the retention period are defined."}, {"id": "DCH-21_DCH-21_A02", "name": "assessment-objective", "prose": "organization-defined techniques are used to dispose of, destroy and/or erase following the retention period."}]} \N \N \N \N +SCF:DCH-07.2 SCF DCH-07.2 Encrypting Data In Storage Media Cryptographic mechanisms exist to protect the confidentiality and integrity of information stored on digital media during transport outside of controlled areas. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-07.2_DCH-07.2_A01", "name": "assessment-objective", "prose": "information requiring cryptographic protection is defined."}, {"id": "DCH-07.2_DCH-07.2_A02", "name": "assessment-objective", "prose": "system components or media requiring cryptographic protection is/are defined."}, {"id": "DCH-07.2_DCH-07.2_A03", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to prevent unauthorized disclosure and/or modification of information at rest on organization-defined system components or media."}]} \N \N \N \N +SCF:DCH-08 SCF DCH-08 Physical Media Disposal Mechanisms exist to securely dispose of media when it is no longer required, using formal procedures. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-08_DCH-08_A01", "name": "assessment-objective", "prose": "system media to be sanitized prior to disposal is defined."}, {"id": "DCH-08_DCH-08_A02", "name": "assessment-objective", "prose": "system media to be sanitized prior to release from organizational control is defined."}, {"id": "DCH-08_DCH-08_A03", "name": "assessment-objective", "prose": "system media to be sanitized prior to release for reuse is defined."}, {"id": "DCH-08_DCH-08_A04", "name": "assessment-objective", "prose": "sanitization techniques and procedures to be used for sanitization prior to disposal are defined."}, {"id": "DCH-08_DCH-08_A05", "name": "assessment-objective", "prose": "sanitization techniques and procedures to be used for sanitization prior to release from organizational control are defined."}, {"id": "DCH-08_DCH-08_A06", "name": "assessment-objective", "prose": "sanitization techniques and procedures to be used for sanitization prior to release for reuse are defined."}, {"id": "DCH-08_DCH-08_A07", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to disposal."}, {"id": "DCH-08_DCH-08_A08", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to release from organizational control."}, {"id": "DCH-08_DCH-08_A09", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to release for reuse."}, {"id": "DCH-08_DCH-08_A10", "name": "assessment-objective", "prose": "sanitization mechanisms with strength and integrity commensurate with the security category or classification of the information are employed."}]} \N \N \N \N +SCF:DCH-09 SCF DCH-09 System Media Sanitization Mechanisms exist to sanitize system media with the strength and integrity commensurate with the classification or sensitivity of the information prior to disposal, release out of organizational control or release for reuse. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09_DCH-09_A01", "name": "assessment-objective", "prose": "system media to be sanitized prior to disposal, release and/or reuse is defined."}, {"id": "DCH-09_DCH-09_A02", "name": "assessment-objective", "prose": "sanitization techniques and procedures to be used for sanitization prior to disposal, release and/or reuse are defined."}, {"id": "DCH-09_DCH-09_A03", "name": "assessment-objective", "prose": "system media is sanitized using sanitization techniques and procedures prior to disposal, release and/or reuse."}, {"id": "DCH-09_DCH-09_A04", "name": "assessment-objective", "prose": "sanitization mechanisms with strength and integrity commensurate with the security category or classification of the information are employed."}, {"id": "DCH-09_DCH-09_A05", "name": "assessment-objective", "prose": "circumstances requiring sanitization of portable storage devices are defined."}, {"id": "DCH-09_DCH-09_A06", "name": "assessment-objective", "prose": "non-destructive sanitization techniques are applied to portable storage devices prior to connecting such devices to the system under circumstances."}, {"id": "DCH-09_DCH-09_A07", "name": "assessment-objective", "prose": "equipment containing sensitive / regulated data is sanitized prior to disposal, reuse, or release out of organizational control."}, {"id": "DCH-09_DCH-09_A08", "name": "assessment-objective", "prose": "system media that contain CUI are sanitized prior to disposal, release out of organizational control, or release for reuse."}, {"id": "DCH-09_DCH-09_A09", "name": "assessment-objective", "prose": "system media containing sensitive/regulated data is sanitized or destroyed before disposal."}, {"id": "DCH-09_DCH-09_A10", "name": "assessment-objective", "prose": "system media containing sensitive/regulated data is sanitized before it is released for reuse."}]} \N \N \N \N +SCF:DCH-09.1 SCF DCH-09.1 System Media Sanitization Documentation Mechanisms exist to supervise, track, document and verify system media sanitization and disposal actions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09.1_DCH-09.1_A01", "name": "assessment-objective", "prose": "media sanitization and disposal actions are reviewed."}, {"id": "DCH-09.1_DCH-09.1_A02", "name": "assessment-objective", "prose": "media sanitization and disposal actions are approved."}, {"id": "DCH-09.1_DCH-09.1_A03", "name": "assessment-objective", "prose": "media sanitization and disposal actions are documented."}, {"id": "DCH-09.1_DCH-09.1_A04", "name": "assessment-objective", "prose": "media sanitization and disposal actions are tracked."}, {"id": "DCH-09.1_DCH-09.1_A05", "name": "assessment-objective", "prose": "media sanitization and disposal actions are verified."}]} \N \N \N \N +SCF:DCH-09.2 SCF DCH-09.2 Equipment Testing Mechanisms exist to test sanitization equipment and procedures to verify that the intended result is achieved. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09.2_DCH-09.2_A01", "name": "assessment-objective", "prose": "the frequency with which to test sanitization equipment / procedures is defined."}, {"id": "DCH-09.2_DCH-09.2_A02", "name": "assessment-objective", "prose": "sanitization equipment / procedures are tested frequently to ensure that the intended sanitization is achieved."}]} \N \N \N \N +SCF:DCH-09.3 SCF DCH-09.3 Sanitization of Personal Data (PD) Mechanisms exist to facilitate the sanitization of Personal Data (PD). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09.3_DCH-09.3_A01", "name": "assessment-objective", "prose": "system media to be sanitized prior to disposal is defined."}, {"id": "DCH-09.3_DCH-09.3_A02", "name": "assessment-objective", "prose": "types of Personal Data (PD) to be sanitized prior to disposal are defined."}, {"id": "DCH-09.3_DCH-09.3_A03", "name": "assessment-objective", "prose": "sanitization techniques and procedures to be used for sanitization of Personal Data (PD) are defined."}, {"id": "DCH-09.3_DCH-09.3_A04", "name": "assessment-objective", "prose": "sanitization mechanisms with strength and integrity commensurate with the security category or classification of the information are employed for the sanitization of Personal Data."}]} \N \N \N \N +SCF:DCH-09.4 SCF DCH-09.4 First Time Use Sanitization Mechanisms exist to apply nondestructive sanitization techniques to portable storage devices prior to first use. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09.4_DCH-09.4_A01", "name": "assessment-objective", "prose": "circumstances requiring sanitization of portable storage devices are defined."}, {"id": "DCH-09.4_DCH-09.4_A02", "name": "assessment-objective", "prose": "non-destructive sanitization techniques are applied to portable storage devices prior to connecting such devices to the system under circumstances."}]} \N \N \N \N +SCF:DCH-09.5 SCF DCH-09.5 Dual Authorization for Sensitive Data Destruction Mechanisms exist to enforce dual authorization for the destruction, disposal or sanitization of digital media that contains sensitive/regulated data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-09.5_DCH-09.5_A01", "name": "assessment-objective", "prose": "system media to be sanitized using dual authorization is defined."}, {"id": "DCH-09.5_DCH-09.5_A02", "name": "assessment-objective", "prose": "dual authorization for sanitization of system media is enforced."}]} \N \N \N \N +SCF:DCH-10 SCF DCH-10 Media Use Mechanisms exist to restrict the use of types of digital media on systems or system components. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-10_DCH-10_A01", "name": "assessment-objective", "prose": "the use of removable media on system components is controlled."}, {"id": "DCH-10_DCH-10_A02", "name": "assessment-objective", "prose": "organization-defined types of system media are restricted or prohibited."}, {"id": "DCH-10_DCH-10_A03", "name": "assessment-objective", "prose": "types of system media with usage restrictions or that are prohibited from use are defined."}, {"id": "DCH-10_DCH-10_A04", "name": "assessment-objective", "prose": "systems or system components on which the use of specific types of system media to be restricted or prohibited are defined."}, {"id": "DCH-10_DCH-10_A05", "name": "assessment-objective", "prose": "controls to restrict or prohibit the use of specific types of system media on systems or system components are defined."}, {"id": "DCH-10_DCH-10_A06", "name": "assessment-objective", "prose": "the use of types of system media is organization-defined criteria on systems or system components using controls."}, {"id": "DCH-10_DCH-10_A07", "name": "assessment-objective", "prose": "the use of portable storage devices in organizational systems is prohibited when such devices have no identifiable owner."}, {"id": "DCH-10_DCH-10_A08", "name": "assessment-objective", "prose": "the use of the following types of system media is restricted or prohibited: ."}]} \N \N \N \N +SCF:DCH-10.1 SCF DCH-10.1 Limitations on Use Mechanisms exist to restrict the use and distribution of sensitive/regulated data. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-10.1_DCH-10.1_A01", "name": "assessment-objective", "prose": "the use of sensitive / regulated data is restricted to approved business practices."}, {"id": "DCH-10.1_DCH-10.1_A02", "name": "assessment-objective", "prose": "the distribution of sensitive / regulated data is restricted to authorized personnel."}]} \N \N \N \N +SCF:DCH-10.2 SCF DCH-10.2 Prohibit Use Without Owner Mechanisms exist to prohibit the use of portable storage devices in organizational systems when such devices have no identifiable owner. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-10.2_DCH-10.2_A01", "name": "assessment-objective", "prose": "the use of portable storage devices is prohibited when such devices have no identifiable owner."}, {"id": "DCH-10.2_DCH-10.2_A02", "name": "assessment-objective", "prose": "the use of removable system media without an identifiable owner is prohibited."}]} \N \N \N \N +SCF:DCH-11 SCF DCH-11 Data Reclassification Mechanisms exist to reclassify data, including associated Technology Assets, Applications and/or Services (TAAS), commensurate with the security category and/or classification level of the information. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-11_DCH-11_A01", "name": "assessment-objective", "prose": "a system media downgrading process is defined."}, {"id": "DCH-11_DCH-11_A02", "name": "assessment-objective", "prose": "system media requiring downgrading is defined."}, {"id": "DCH-11_DCH-11_A03", "name": "assessment-objective", "prose": "a system media downgrading process is established."}, {"id": "DCH-11_DCH-11_A04", "name": "assessment-objective", "prose": "the system media downgrading process includes employing downgrading mechanisms with strength and integrity commensurate with the security category or classification of the information."}, {"id": "DCH-11_DCH-11_A05", "name": "assessment-objective", "prose": "there is verification that the system media downgrading process is commensurate with the security category and/or classification level of the information to be removed."}, {"id": "DCH-11_DCH-11_A06", "name": "assessment-objective", "prose": "there is verification that the system media downgrading process is commensurate with the access authorizations of the potential recipients of the downgraded information."}, {"id": "DCH-11_DCH-11_A07", "name": "assessment-objective", "prose": "system media requiring downgrading is identified."}, {"id": "DCH-11_DCH-11_A08", "name": "assessment-objective", "prose": "the identified system media is downgraded using the system media downgrading process."}, {"id": "DCH-11_DCH-11_A09", "name": "assessment-objective", "prose": "system media containing sensitive and/or regulated information is identified."}, {"id": "DCH-11_DCH-11_A10", "name": "assessment-objective", "prose": "system media containing sensitive and/or regulated information is downgraded prior to public release."}]} \N \N \N \N +SCF:DCH-12 SCF DCH-12 Removable Media Security Mechanisms exist to restrict removable media in accordance with data handling and acceptable usage parameters. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-12_DCH-12_A01", "name": "assessment-objective", "prose": "removable media restrictions are in accordance with data handling and acceptable usage requirements."}]} \N \N \N \N +SCF:DCH-13 SCF DCH-13 Use of External Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to govern how external parties, including Technology Assets, Applications and/or Services (TAAS), are used to securely store, process and transmit data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-13_DCH-13_A01", "name": "assessment-objective", "prose": "connections to external systems are identified."}, {"id": "DCH-13_DCH-13_A02", "name": "assessment-objective", "prose": "the use of external systems is identified."}, {"id": "DCH-13_DCH-13_A03", "name": "assessment-objective", "prose": "connections to external systems are verified."}, {"id": "DCH-13_DCH-13_A04", "name": "assessment-objective", "prose": "the use of external systems is verified."}, {"id": "DCH-13_DCH-13_A05", "name": "assessment-objective", "prose": "connections to external systems are controlled/limited."}, {"id": "DCH-13_DCH-13_A06", "name": "assessment-objective", "prose": "the use of external systems is controlled/limited."}, {"id": "DCH-13_DCH-13_A07", "name": "assessment-objective", "prose": "terms and conditions consistent with the trust relationships established with other organizations owning, operating, and/or maintaining external systems are defined."}, {"id": "DCH-13_DCH-13_A08", "name": "assessment-objective", "prose": "controls asserted to be implemented on external systems consistent with the trust relationships established with other organizations owning, operating, and/or maintaining external systems are defined."}, {"id": "DCH-13_DCH-13_A09", "name": "assessment-objective", "prose": "types of external systems prohibited from use are defined."}, {"id": "DCH-13_DCH-13_A10", "name": "assessment-objective", "prose": "organization-defined criteria are consistent with the trust relationships established with other organizations owning, operating, and/or maintaining external systems, allowing authorized individuals to access the system from external systems (if applicable)."}, {"id": "DCH-13_DCH-13_A11", "name": "assessment-objective", "prose": "organization-defined criteria consistent with the trust relationships established with other organizations owning, operating, and/or maintaining external systems, allowing authorized individuals to process, store or transmit organization-controlled information using external systems (if applicable)."}, {"id": "DCH-13_DCH-13_A12", "name": "assessment-objective", "prose": "the use of organization-defined prohibited types of external systems is prohibited (if applicable)."}, {"id": "DCH-13_DCH-13_A13", "name": "assessment-objective", "prose": "security requirements to be satisfied on external systems prior to allowing the use of or access to those systems by authorized individuals are defined."}, {"id": "DCH-13_DCH-13_A14", "name": "assessment-objective", "prose": "the use of external systems is prohibited unless the systems are specifically authorized."}, {"id": "DCH-13_DCH-13_A15", "name": "assessment-objective", "prose": "the following security requirements to be satisfied on external systems prior to allowing the use of or access to those systems by authorized individuals are established: ."}, {"id": "DCH-13_DCH-13_A16", "name": "assessment-objective", "prose": "authorized individuals are permitted to use external systems to access the organizational system or to process, store, or transmit CUI only after verifying that the security requirements on the external systems as specified in the organization’s system security plans have been satisfied."}, {"id": "DCH-13_DCH-13_A17", "name": "assessment-objective", "prose": "authorized individuals are permitted to use external systems to access the organizational system or to process, store, or transmit CUI only after retaining approved system connection or processing agreements with the organizational entity hosting the external systems."}]} \N \N \N \N +SCF:DCH-13.1 SCF DCH-13.1 Limits of Authorized Use Mechanisms exist to prohibit external parties, including Technology Assets, Applications and/or Services (TAAS), from storing, processing and transmitting data unless authorized individuals first: \r\n(1) Verifying the implementation of required security, compliance and/or resilience controls; or\r\n(2) Retaining a processing agreement with the entity hosting the external TAAS. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-13.1_DCH-13.1_A01", "name": "assessment-objective", "prose": "authorized individuals are permitted to use an external system to access the system or to process, store or transmit organization-controlled information only after verification of the implementation of controls on the external system as specified in the organization's cybersecurity / data privacy policies and cybersecurity / data privacy plans (if applicable)."}, {"id": "DCH-13.1_DCH-13.1_A02", "name": "assessment-objective", "prose": "authorized individuals are permitted to use an external system to access the system or to process, store or transmit organization-controlled information only after retention of approved system connection or processing agreements with the organizational entity hosting the external system (if applicable)."}]} \N \N \N \N +SCF:DCH-13.2 SCF DCH-13.2 Portable Storage Devices Mechanisms exist to restrict or prohibit the use of portable storage devices by users on external systems. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-13.2_DCH-13.2_A01", "name": "assessment-objective", "prose": "the use of portable storage devices containing sensitive / regulated data on external systems is identified and documented."}, {"id": "DCH-13.2_DCH-13.2_A02", "name": "assessment-objective", "prose": "limits on the use of portable storage devices containing sensitive / regulated data on external systems are defined."}, {"id": "DCH-13.2_DCH-13.2_A03", "name": "assessment-objective", "prose": "the use of portable storage devices containing sensitive / regulated data on external systems is limited as defined."}, {"id": "DCH-13.2_DCH-13.2_A04", "name": "assessment-objective", "prose": "restrictions on the use of organization-controlled portable storage devices by authorized individuals on external systems are defined."}, {"id": "DCH-13.2_DCH-13.2_A05", "name": "assessment-objective", "prose": "the use of organization-controlled portable storage devices by authorized individuals on external systems is restricted."}]} \N \N \N \N +SCF:DCH-13.3 SCF DCH-13.3 Protecting Sensitive / Regulated Data on External Technology Assets, Applications and/or S Mechanisms exist to ensure that the requirements for the protection of sensitive/regulated data processed, stored or transmitted on external Technology Assets, Applications and/or Services (TAAS), are implemented in accordance with applicable statutory, regulatory and contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-13.3_DCH-13.3_A01", "name": "assessment-objective", "prose": "the frequency at which to review / update the procedures is defined."}, {"id": "DCH-13.3_DCH-13.3_A02", "name": "assessment-objective", "prose": "organizational controls ensure that requirements for the protection of sensitive and/or regulated information that is processed, stored or transmitted on external systems are implemented in accordance with applicable laws, executive orders, directives, policies, regulations and standards."}, {"id": "DCH-13.3_DCH-13.3_A03", "name": "assessment-objective", "prose": "procedures are established to ensure that requirements for the protection of sensitive and/or regulated information that is processed, stored or transmitted on external systems are implemented in accordance with applicable laws, executive orders, directives, policies, regulations and standards."}, {"id": "DCH-13.3_DCH-13.3_A04", "name": "assessment-objective", "prose": "procedures are reviewed / updated frequently"}]} \N \N \N \N +SCF:DCH-13.4 SCF DCH-13.4 Non-Organizationally Owned Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to restrict the use of non-organizationally owned Technology Assets, Applications and/or Services (TAAS) to process, store or transmit organizational information. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-13.4_DCH-13.4_A01", "name": "assessment-objective", "prose": "restrictions on the use of non-organizationally owned systems or system components to process, store or transmit organizational information are defined."}, {"id": "DCH-13.4_DCH-13.4_A02", "name": "assessment-objective", "prose": "the use of non-organizationally owned systems or system components to process, store or transmit organizational information is restricted using organization-defined restrictions."}, {"id": "DCH-13.4_DCH-13.4_A03", "name": "assessment-objective", "prose": "information resources that are owned, provisioned or issued by the organization are identified."}, {"id": "DCH-13.4_DCH-13.4_A04", "name": "assessment-objective", "prose": "access to systems and system components is restricted to only those information resources that are owned, provisioned or issued by the organization."}]} \N \N \N \N +SCF:DCH-14 SCF DCH-14 Information Sharing Mechanisms exist to utilize a process to assist users in making information sharing decisions to ensure data is appropriately protected. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-14_DCH-14_A01", "name": "assessment-objective", "prose": "information-sharing circumstances where user discretion is required to determine whether access authorizations assigned to a sharing partner match the information’s access and use restrictions are defined."}, {"id": "DCH-14_DCH-14_A02", "name": "assessment-objective", "prose": "authorized users are enabled to determine whether access authorizations assigned to a sharing partner match the information’s access and use restrictions for organization-defined information-sharing circumstances."}, {"id": "DCH-14_DCH-14_A03", "name": "assessment-objective", "prose": "automated mechanisms or manual processes that assist users in making information-sharing and collaboration decisions are defined."}]} \N \N \N \N +SCF:DCH-14.1 SCF DCH-14.1 Information Search & Retrieval Mechanisms exist to ensure Technology Assets, Applications and/or Services (TAAS) implement data search and retrieval functions that properly enforce data protection / sharing restrictions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-14.1_DCH-14.1_A01", "name": "assessment-objective", "prose": "information-sharing restrictions to be enforced by information search and retrieval services are defined."}, {"id": "DCH-14.1_DCH-14.1_A02", "name": "assessment-objective", "prose": "information search and retrieval services that enforce organization-defined information-sharing restrictions are implemented."}]} \N \N \N \N +SCF:DCH-14.2 SCF DCH-14.2 Transfer Authorizations Mechanisms exist to verify that individuals or Technology Assets, Applications and/or Services (TAAS) transferring data between interconnecting TAAS have the requisite authorizations (e.g., write permissions or privileges) prior to transferring said data. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-14.2_DCH-14.2_A01", "name": "assessment-objective", "prose": "individuals or systems transferring data between interconnecting systems have the requisite authorizations (e.g., write permissions or privileges) prior to accepting such data."}]} \N \N \N \N +SCF:DCH-14.3 SCF DCH-14.3 Data Access Mapping Mechanisms exist to leverage data-specific Access Control Lists (ACL) or Interconnection Security Agreements (ISAs) to generate a logical map of the parties with whom sensitive/regulated data is shared. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-14.3_DCH-14.3_A01", "name": "assessment-objective", "prose": "a data-specific Access Control List (ACL) or Data Information Sharing Agreement (DISA) is documented to determine the personnel with whom sensitive / regulated data is shared."}]} \N \N \N \N +SCF:DCH-15 SCF DCH-15 Publicly Accessible Content Mechanisms exist to control publicly-accessible content. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-15_DCH-15_A01", "name": "assessment-objective", "prose": "individuals authorized to post or process information on publicly accessible systems are identified."}, {"id": "DCH-15_DCH-15_A02", "name": "assessment-objective", "prose": "procedures to ensure sensitive / regulated data is not posted or processed on publicly accessible systems are identified."}, {"id": "DCH-15_DCH-15_A03", "name": "assessment-objective", "prose": "the proposed content of information is reviewed prior to posting onto the publicly accessible system to ensure that non-public information is not included."}, {"id": "DCH-15_DCH-15_A04", "name": "assessment-objective", "prose": "the content on publicly accessible systems is reviewed for sensitive / regulated data."}, {"id": "DCH-15_DCH-15_A05", "name": "assessment-objective", "prose": "mechanisms are in place to remove and address improper posting of sensitive / regulated data."}, {"id": "DCH-15_DCH-15_A06", "name": "assessment-objective", "prose": "the frequency at which to review the content on the publicly accessible system for non-public information is defined."}, {"id": "DCH-15_DCH-15_A07", "name": "assessment-objective", "prose": "authorized individuals are trained to ensure that publicly accessible information does not contain non-public information."}, {"id": "DCH-15_DCH-15_A08", "name": "assessment-objective", "prose": "authorized individuals are trained to ensure that publicly accessible information does not contain CUI."}, {"id": "DCH-15_DCH-15_A09", "name": "assessment-objective", "prose": "CUI is removed from publicly accessible systems, if discovered."}, {"id": "DCH-15_DCH-15_A10", "name": "assessment-objective", "prose": "content on publicly accessible systems is reviewed to ensure that it does not include CUI."}, {"id": "DCH-15_DCH-15_A11", "name": "assessment-objective", "prose": "the content on publicly accessible systems is reviewed for CUI."}, {"id": "DCH-15_DCH-15_A12", "name": "assessment-objective", "prose": "a review process is in place prior to posting of any content to publicly accessible systems."}, {"id": "DCH-15_DCH-15_A13", "name": "assessment-objective", "prose": "content on publicly accessible systems is reviewed to ensure that it does not include sensitive/regulated data."}]} \N \N \N \N +SCF:DCH-16 SCF DCH-16 Data Mining Protection Mechanisms exist to protect data storage objects against unauthorized data mining and data harvesting techniques. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-16_DCH-16_A01", "name": "assessment-objective", "prose": "data mining prevention and detection techniques are defined."}, {"id": "DCH-16_DCH-16_A02", "name": "assessment-objective", "prose": "data storage objects to be protected against unauthorized data mining are defined."}, {"id": "DCH-16_DCH-16_A03", "name": "assessment-objective", "prose": "mechanisms are employed for organization-defined data storage objects to detect and protect against unauthorized data mining."}]} \N \N \N \N +SCF:DCH-17 SCF DCH-17 Ad-Hoc Transfers Mechanisms exist to secure ad-hoc exchanges of large digital files with internal or external parties. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-17_DCH-17_A01", "name": "assessment-objective", "prose": "ad-hoc exchanges of large digital files with internal or external parties are secured according to organization-defined protection criteria."}]} \N \N \N \N +SCF:DCH-18 SCF DCH-18 Media & Data Retention Mechanisms exist to retain media and data in accordance with applicable statutory, regulatory and contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-18_DCH-18_A01", "name": "assessment-objective", "prose": "the frequency with which to conduct reviews of persistent organizational storage locations is defined."}, {"id": "DCH-18_DCH-18_A02", "name": "assessment-objective", "prose": "persistent organizational storage locations are identified."}, {"id": "DCH-18_DCH-18_A03", "name": "assessment-objective", "prose": "reviews of persistent organizational storage locations are conducted per an organization-defined frequency to identify sensitive / regulated data that is no longer needed."}, {"id": "DCH-18_DCH-18_A04", "name": "assessment-objective", "prose": "sensitive / regulated data that is no longer needed is removed."}, {"id": "DCH-18_DCH-18_A05", "name": "assessment-objective", "prose": "sensitive / regulated data within the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A06", "name": "assessment-objective", "prose": "sensitive / regulated data within the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A07", "name": "assessment-objective", "prose": "sensitive / regulated data output from the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A08", "name": "assessment-objective", "prose": "sensitive / regulated data output from the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A09", "name": "assessment-objective", "prose": "CUI within the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A10", "name": "assessment-objective", "prose": "CUI within the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A11", "name": "assessment-objective", "prose": "CUI output from the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}, {"id": "DCH-18_DCH-18_A12", "name": "assessment-objective", "prose": "CUI output from the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines, and operational requirements."}]} \N \N \N \N +SCF:DCH-18.1 SCF DCH-18.1 Minimize Sensitive / Regulated Data Mechanisms exist to minimize sensitive/regulated data that is collected, received, processed, stored and/or transmitted throughout the information lifecycle to only those elements necessary to support necessary business processes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-18.1_DCH-18.1_A01", "name": "assessment-objective", "prose": "elements of Personal Data (PD) being processed in the information life cycle are defined."}, {"id": "DCH-18.1_DCH-18.1_A02", "name": "assessment-objective", "prose": "Personal Data (PD) being processed in the information life cycle is limited to organization-defined elements of Personal Data (PD)."}]} \N \N \N \N +SCF:DCH-18.2 SCF DCH-18.2 Limit Sensitive / Regulated Data In Testing, Training & Research Mechanisms exist to minimize the use of sensitive/regulated data for research, testing, or training, in accordance with authorized, legitimate business practices. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-18.2_DCH-18.2_A01", "name": "assessment-objective", "prose": "the developer of the system or system component is required to minimize the use of Personal Data (PD) in development and test environments."}, {"id": "DCH-18.2_DCH-18.2_A02", "name": "assessment-objective", "prose": "techniques used to minimize the use of Personal Data (PD) for research, testing and training are defined."}, {"id": "DCH-18.2_DCH-18.2_A03", "name": "assessment-objective", "prose": "organization-defined techniques are used to minimize the use of Personal Data (PD) for research, testing and training."}, {"id": "DCH-18.2_DCH-18.2_A04", "name": "assessment-objective", "prose": "processes that implement the privacy principle of minimization are defined."}, {"id": "DCH-18.2_DCH-18.2_A05", "name": "assessment-objective", "prose": "the privacy principle of minimization is implemented using organization-defined processes."}]} \N \N \N \N +SCF:DCH-18.3 SCF DCH-18.3 Temporary Files Containing Personal Data (PD) Mechanisms exist to perform periodic checks of temporary files for the existence of Personal Data (PD). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-18.3_DCH-18.3_A01", "name": "assessment-objective", "prose": "periodic checks of temporary files for the existence of Personal Data (PD) are performed."}]} \N \N \N \N +SCF:DCH-19 SCF DCH-19 Geographic Location of Data Mechanisms exist to inventory, document and maintain data flows for data that is resident (permanently or temporarily) within a service's geographically distributed applications (physical and virtual), infrastructure, systems components and/or shared with other third-parties. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-19_DCH-19_A01", "name": "assessment-objective", "prose": "locations where information processing and data storage is/are to be restricted are defined."}, {"id": "DCH-19_DCH-19_A02", "name": "assessment-objective", "prose": "requirements or conditions for restricting the location of information processing, information storage or information services are defined."}, {"id": "DCH-19_DCH-19_A03", "name": "assessment-objective", "prose": "based on requirements, information processing, information storage or information services is/are restricted to locations."}, {"id": "DCH-19_DCH-19_A04", "name": "assessment-objective", "prose": "the geographic location of information processing and data storage is restricted to facilities located within the legal jurisdictional boundary of the United States."}]} \N \N \N \N +SCF:DCH-22 SCF DCH-22 Data Quality Operations Mechanisms exist to check for Redundant, Obsolete/Outdated, Toxic or Trivial (ROTT) data to ensure the accuracy, relevance, timeliness, impact, completeness and de-identification of information throughout the information lifecycle. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-22_DCH-22_A01", "name": "assessment-objective", "prose": "organization-wide policies for Personal Data (PD) quality management are developed and documented."}, {"id": "DCH-22_DCH-22_A02", "name": "assessment-objective", "prose": "organization-wide procedures for Personal Data (PD) quality management are developed and documented."}, {"id": "DCH-22_DCH-22_A03", "name": "assessment-objective", "prose": "the policies address reviewing the accuracy of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A04", "name": "assessment-objective", "prose": "the policies address reviewing the relevance of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A05", "name": "assessment-objective", "prose": "the policies address reviewing the timeliness of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A06", "name": "assessment-objective", "prose": "the policies address reviewing the completeness of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A07", "name": "assessment-objective", "prose": "the procedures address reviewing the accuracy of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A08", "name": "assessment-objective", "prose": "the procedures address reviewing the relevance of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A09", "name": "assessment-objective", "prose": "the procedures address reviewing the timeliness of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A10", "name": "assessment-objective", "prose": "the procedures address reviewing the completeness of Personal Data (PD) across the information life cycle."}, {"id": "DCH-22_DCH-22_A11", "name": "assessment-objective", "prose": "the policies address correcting or deleting inaccurate or outdated Personal Data (PD)."}, {"id": "DCH-22_DCH-22_A12", "name": "assessment-objective", "prose": "the procedures address correcting or deleting inaccurate or outdated Personal Data (PD)."}, {"id": "DCH-22_DCH-22_A13", "name": "assessment-objective", "prose": "the policies address disseminating notice of corrected or deleted Personal Data (PD) to individuals or other appropriate entities."}, {"id": "DCH-22_DCH-22_A14", "name": "assessment-objective", "prose": "the procedures address disseminating notice of corrected or deleted Personal Data (PD) to individuals or other appropriate entities."}, {"id": "DCH-22_DCH-22_A15", "name": "assessment-objective", "prose": "the policies address appeals of adverse decisions on correction or deletion requests."}, {"id": "DCH-22_DCH-22_A16", "name": "assessment-objective", "prose": "the procedures address appeals of adverse decisions on correction or deletion requests."}, {"id": "DCH-22_DCH-22_A17", "name": "assessment-objective", "prose": "the frequency at which to check the accuracy of Personal Data (PD) across the information life cycle is defined."}, {"id": "DCH-22_DCH-22_A18", "name": "assessment-objective", "prose": "the frequency at which to check the relevance of Personal Data (PD) across the information life cycle is defined."}, {"id": "DCH-22_DCH-22_A19", "name": "assessment-objective", "prose": "the frequency at which to check the timeliness of Personal Data (PD) across the information life cycle is defined."}, {"id": "DCH-22_DCH-22_A20", "name": "assessment-objective", "prose": "the frequency at which to check the completeness of Personal Data (PD) across the information life cycle is defined."}, {"id": "DCH-22_DCH-22_A21", "name": "assessment-objective", "prose": "the accuracy of Personal Data (PD) across the information life cycle is checked frequency."}, {"id": "DCH-22_DCH-22_A22", "name": "assessment-objective", "prose": "the relevance of Personal Data (PD) across the information life cycle is checked frequency."}, {"id": "DCH-22_DCH-22_A23", "name": "assessment-objective", "prose": "the timeliness of Personal Data (PD) across the information life cycle is checked frequency."}, {"id": "DCH-22_DCH-22_A24", "name": "assessment-objective", "prose": "the completeness of Personal Data (PD) across the information life cycle is checked frequency."}, {"id": "DCH-22_DCH-22_A25", "name": "assessment-objective", "prose": "inaccurate or outdated Personal Data (PD) is corrected or deleted."}, {"id": "DCH-22_DCH-22_A26", "name": "assessment-objective", "prose": "automated mechanisms used to correct or delete Personal Data (PD) that is inaccurate, outdated, incorrectly determined regarding impact or incorrectly de-identified are defined."}, {"id": "DCH-22_DCH-22_A27", "name": "assessment-objective", "prose": "automated mechanisms are used to correct or delete Personal Data (PD) that is inaccurate, outdated, incorrectly determined regarding impact or incorrectly de-identified."}]} \N \N \N \N +SCF:DCH-22.1 SCF DCH-22.1 Updating & Correcting Personal Data (PD) Mechanisms exist to utilize technical controls to correct Personal Data (PD) that is inaccurate or outdated, incorrectly determined regarding impact, or incorrectly de-identified. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-22.1_DCH-22.1_A01", "name": "assessment-objective", "prose": "Personal Data (PD) is corrected, or deleted, upon request by individuals or their designated representatives."}, {"id": "DCH-22.1_DCH-22.1_A02", "name": "assessment-objective", "prose": "recipients and individuals are notified when their Personal Data (PD) has been corrected or deleted."}, {"id": "DCH-22.1_DCH-22.1_A03", "name": "assessment-objective", "prose": "recipients of Personal Data (PD) to be notified when their PD has been corrected or deleted are defined."}, {"id": "DCH-22.1_DCH-22.1_A04", "name": "assessment-objective", "prose": "automated mechanisms used to correct or delete Personal Data (PD) that is inaccurate, outdated, incorrectly determined regarding impact or incorrectly de-identified are defined."}, {"id": "DCH-22.1_DCH-22.1_A05", "name": "assessment-objective", "prose": "automated mechanisms are used to correct or delete Personal Data (PD) that is inaccurate, outdated, incorrectly determined regarding impact or incorrectly de-identified."}]} \N \N \N \N +SCF:DCH-22.2 SCF DCH-22.2 Data Tags Mechanisms exist to utilize data tags to automate tracking of sensitive/regulated data across the information lifecycle. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-22.2_DCH-22.2_A01", "name": "assessment-objective", "prose": "data tags are employed to automate the correction or deletion of Personal Data (PD) across the information life cycle within organizational systems."}, {"id": "DCH-22.2_DCH-22.2_A02", "name": "assessment-objective", "prose": "the authorized processing of Personal Data (PD) is defined."}, {"id": "DCH-22.2_DCH-22.2_A03", "name": "assessment-objective", "prose": "elements of Personal Data (PD) to be tagged are defined."}, {"id": "DCH-22.2_DCH-22.2_A04", "name": "assessment-objective", "prose": "data tags containing authorized processing are attached to elements of Personal Data (PD)."}, {"id": "DCH-22.2_DCH-22.2_A05", "name": "assessment-objective", "prose": "processing purposes to be contained in data tags are defined."}, {"id": "DCH-22.2_DCH-22.2_A06", "name": "assessment-objective", "prose": "data tags containing processing purposes are attached to elements of Personal Data (PD)."}]} \N \N \N \N +SCF:DCH-22.3 SCF DCH-22.3 Primary Source Personal Data (PD) Collection Mechanisms exist to collect Personal Data (PD) directly from the individual. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-22.3_DCH-22.3_A01", "name": "assessment-objective", "prose": "Personal Data (PD) is collected directly from the individual."}]} \N \N \N \N +SCF:DCH-23 SCF DCH-23 De-Identification (Anonymization) Mechanisms exist to anonymize data by removing Personal Data (PD) from datasets. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23_DCH-23_A01", "name": "assessment-objective", "prose": "elements of Personal Data (PD) to be removed from datasets are defined."}, {"id": "DCH-23_DCH-23_A02", "name": "assessment-objective", "prose": "the frequency at which to evaluate the effectiveness of de-identification is defined."}, {"id": "DCH-23_DCH-23_A03", "name": "assessment-objective", "prose": "elements are removed from datasets."}, {"id": "DCH-23_DCH-23_A04", "name": "assessment-objective", "prose": "the effectiveness of de-identification is evaluated frequency."}]} \N \N \N \N +SCF:DCH-23.1 SCF DCH-23.1 De-Identify Dataset Upon Collection Mechanisms exist to de-identify the dataset upon collection by not collecting Personal Data (PD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.1_DCH-23.1_A01", "name": "assessment-objective", "prose": "the dataset is de-identified upon collection by not collecting Personal Data (PD)."}]} \N \N \N \N +SCF:DCH-23.2 SCF DCH-23.2 Archiving Mechanisms exist to refrain from archiving Personal Data (PD) elements if those elements in a dataset will not be needed after the dataset is archived. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.2_DCH-23.2_A01", "name": "assessment-objective", "prose": "the archiving of Personal Data (PD) elements is prohibited if those elements in a dataset will not be needed after the dataset is archived."}]} \N \N \N \N +SCF:DCH-23.3 SCF DCH-23.3 Release Mechanisms exist to remove Personal Data (PD) elements from a dataset prior to its release if those elements in the dataset do not need to be part of the data release. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.3_DCH-23.3_A01", "name": "assessment-objective", "prose": "Personal Data (PD) elements are removed from a dataset prior to its release if those elements in the dataset do not need to be part of the data release."}]} \N \N \N \N +SCF:DCH-23.5 SCF DCH-23.5 Statistical Disclosure Control Mechanisms exist to manipulate numerical data, contingency tables and statistical findings so that no person or organization is identifiable in the results of the analysis. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.5_DCH-23.5_A01", "name": "assessment-objective", "prose": "numerical data is manipulated so that no individual or organization is identifiable in the results of the analysis."}, {"id": "DCH-23.5_DCH-23.5_A02", "name": "assessment-objective", "prose": "contingency tables are manipulated so that no individual or organization is identifiable in the results of the analysis."}, {"id": "DCH-23.5_DCH-23.5_A03", "name": "assessment-objective", "prose": "statistical findings are manipulated so that no individual or organization is identifiable in the results of the analysis."}]} \N \N \N \N +SCF:DCH-23.6 SCF DCH-23.6 Differential Data Privacy Mechanisms exist to prevent disclosure of Personal Data (PD) by adding non-deterministic noise to the results of mathematical operations before the results are reported. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.6_DCH-23.6_A01", "name": "assessment-objective", "prose": "the disclosure of Personal Data (PD) is prevented by adding non-deterministic noise to the results of mathematical operations before the results are reported."}]} \N \N \N \N +SCF:DCH-23.7 SCF DCH-23.7 Automated De-Identification of Sensitive Data Mechanisms exist to perform de-identification of sensitive/regulated data, using validated algorithms and software to implement the algorithms. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.7_DCH-23.7_A01", "name": "assessment-objective", "prose": "de-identification is performed using validated algorithms."}, {"id": "DCH-23.7_DCH-23.7_A02", "name": "assessment-objective", "prose": "de-identification is performed using software that is validated to implement the algorithms."}]} \N \N \N \N +SCF:DCH-23.8 SCF DCH-23.8 Motivated Intruder Mechanisms exist to perform a motivated intruder test on the de-identified dataset to determine if the identified data remains or if the de-identified data can be re-identified. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.8_DCH-23.8_A01", "name": "assessment-objective", "prose": "a motivated intruder test is performed on the de-identified dataset to determine if the identified data remains or if the de-identified data can be re-identified."}]} \N \N \N \N +SCF:DCH-23.9 SCF DCH-23.9 Code Names Mechanisms exist to use aliases to name assets, which are mission-critical and/or contain highly-sensitive/regulated data, are unique and not readily associated with a product, project or type of data. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-23.9_DCH-23.9_A01", "name": "assessment-objective", "prose": "aliases used to name assets that are mission-critical and/or contain highly-sensitive / regulated data that are unique and not readily associated with a product, project or type of data."}]} \N \N \N \N +SCF:DCH-24 SCF DCH-24 Information Location Mechanisms exist to identify and document the location of information and the specific system components on which the information resides. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-24_DCH-24_A01", "name": "assessment-objective", "prose": "information for which the location is to be identified and documented is defined."}, {"id": "DCH-24_DCH-24_A02", "name": "assessment-objective", "prose": "the location of sensitive / regulated data is identified and documented."}, {"id": "DCH-24_DCH-24_A03", "name": "assessment-objective", "prose": "the specific system components on which organization-defined information is processed are identified and documented."}, {"id": "DCH-24_DCH-24_A04", "name": "assessment-objective", "prose": "the specific system components on which organization-defined information is stored are identified and documented."}, {"id": "DCH-24_DCH-24_A05", "name": "assessment-objective", "prose": "changes to the location (e.g., system or system components) where organization-defined information is processed are documented."}, {"id": "DCH-24_DCH-24_A06", "name": "assessment-objective", "prose": "changes to the location (e.g., system or system components) where organization-defined information is stored are documented."}, {"id": "DCH-24_DCH-24_A07", "name": "assessment-objective", "prose": "the users who have access to the system and system components where organization-defined information is processed are identified and documented."}, {"id": "DCH-24_DCH-24_A08", "name": "assessment-objective", "prose": "the users who have access to the system and system components where organization-defined information is stored are identified and documented."}, {"id": "DCH-24_DCH-24_A09", "name": "assessment-objective", "prose": "the location of CUI is identified and documented."}]} \N \N \N \N +SCF:DCH-24.1 SCF DCH-24.1 Automated Tools to Support Information Location Automated mechanisms exist to identify by data classification type to ensure adequate security, compliance and resilience controls are in place to protect organizational information and individual data protection. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-24.1_DCH-24.1_A01", "name": "assessment-objective", "prose": "information to be protected is defined by information type."}, {"id": "DCH-24.1_DCH-24.1_A02", "name": "assessment-objective", "prose": "system components where the information is located are defined."}, {"id": "DCH-24.1_DCH-24.1_A03", "name": "assessment-objective", "prose": "automated tools are used to identify information by information type on system components to ensure that controls are in place to protect organizational information and individual privacy."}]} \N \N \N \N +SCF:DCH-25 SCF DCH-25 Transfer of Sensitive and/or Regulated Data Mechanisms exist to restrict and govern the transfer of sensitive and/or regulated data to third-countries or international organizations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-25_DCH-25_A01", "name": "assessment-objective", "prose": "the statutory, regulatory and/or contractual basis restricts the transfer of sensitive and/or regulated data to third-countries or international organizations is identified."}, {"id": "DCH-25_DCH-25_A02", "name": "assessment-objective", "prose": "mechanisms to restrict the transfer of sensitive and/or regulated data to third-countries or international organizations are defined."}, {"id": "DCH-25_DCH-25_A03", "name": "assessment-objective", "prose": "mechanisms to restrict the transfer of sensitive and/or regulated data to third-countries or international organizations are implemented."}]} \N \N \N \N +SCF:DCH-25.1 SCF DCH-25.1 Transfer Activity Limits Mechanisms exist to establish organization-defined "normal business activities" to identify anomalous transaction activities that can reduce the opportunity for sending (outbound) and/or receiving (inbound) fraudulent actions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-25.1_DCH-25.1_A01", "name": "assessment-objective", "prose": "organization-specific \\"normal business activities\\" are defined."}, {"id": "DCH-25.1_DCH-25.1_A02", "name": "assessment-objective", "prose": "mechanisms are implemented to identify anomalous transaction activities that can reduce the opportunity for sending (outbound) and/or receiving (inbound) fraudulent actions."}]} \N \N \N \N +SCF:DCH-26 SCF DCH-26 Data Localization Mechanisms exist to constrain the impact of "digital sovereignty laws," that require localized data within the host country, where data and processes may be subjected to arbitrary enforcement actions that potentially violate other applicable statutory, regulatory and/or contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-26_DCH-26_A01", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies primary risks associated with compliance (e.g., loss of confidentiality and/or integrity considerations with data governance)."}, {"id": "DCH-26_DCH-26_A02", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies secondary risks associated with compliance (e.g., non-compliance with other laws, regulations and contractual agreements)."}, {"id": "DCH-26_DCH-26_A03", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies tertiary risks associated with compliance (e.g., human rights abuses, theft of intellectual property, espionage, etc.)."}, {"id": "DCH-26_DCH-26_A04", "name": "assessment-objective", "prose": "data localization is designed with defense-in-depth architecture to prevent host nations (where data is localized) from accessing other organizational assets not in the same geographic location as the host nation."}]} \N \N \N \N +SCF:DCH-27 SCF DCH-27 Data Rights Management (DRM) Mechanisms exist to utilize Data Rights Management (DRM), or similar technologies, to protect Intellectual Property (IP) rights by preventing the unauthorized distribution and/or modification of sensitive IP. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Classification & Handling", "assessment_objective": [{"id": "DCH-27_DCH-27_A01", "name": "assessment-objective", "prose": "Data Rights Management (DRM), or similar technologies, are implemented."}, {"id": "DCH-27_DCH-27_A02", "name": "assessment-objective", "prose": "Data Rights Management (DRM), or similar technologies, are configured to protect Intellectual Property (IP) rights by preventing the unauthorized distribution and/or modification of sensitive IP."}]} \N \N \N \N +SCF:END-01 SCF END-01 Endpoint Device Management (EDM) Mechanisms exist to facilitate the implementation of Endpoint Device Management (EDM) controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-01_END-01_A01", "name": "assessment-objective", "prose": "security configuration settings for information technology products employed in the system are established and included in the baseline configuration."}, {"id": "END-01_END-01_A02", "name": "assessment-objective", "prose": "a current baseline configuration for systems, applications and services is developed and documented."}, {"id": "END-01_END-01_A03", "name": "assessment-objective", "prose": "the baseline configuration includes hardware, software, firmware and documentation."}, {"id": "END-01_END-01_A04", "name": "assessment-objective", "prose": "the baseline configuration is maintained (reviewed / updated) throughout the system development life cycle under configuration control."}, {"id": "END-01_END-01_A05", "name": "assessment-objective", "prose": "security configuration settings for information technology products employed in the system are enforced."}, {"id": "END-01_END-01_A06", "name": "assessment-objective", "prose": "configuration settings that reflect the most restrictive mode consistent with operational requirements are established and documented for components employed within the system using organization-defined common secure configurations."}, {"id": "END-01_END-01_A07", "name": "assessment-objective", "prose": "a control baseline for the system is selected."}, {"id": "END-01_END-01_A08", "name": "assessment-objective", "prose": "thresholds to which attack surfaces are to be reduced are defined."}, {"id": "END-01_END-01_A09", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to reduce attack surfaces to organization-defined thresholds."}, {"id": "END-01_END-01_A10", "name": "assessment-objective", "prose": "approved authorizations are enforced for controlling the flow of CUI within the system."}, {"id": "END-01_END-01_A11", "name": "assessment-objective", "prose": "endpoint security management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "END-01_END-01_A12", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support endpoint security management operations."}, {"id": "END-01_END-01_A13", "name": "assessment-objective", "prose": "responsibility and authority for the performance of endpoint security management-related activities are assigned to designated personnel."}, {"id": "END-01_END-01_A14", "name": "assessment-objective", "prose": "personnel performing endpoint security management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:END-01.1 SCF END-01.1 Unified Endpoint Device Management (UEDM) Mechanisms exist to utilize a centralized Unified Endpoint Device Management (UEDM) solution that provides agent and/or agentless management of endpoint devices regardless of device location. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-01.1_END-01.1_A01", "name": "assessment-objective", "prose": "a centralized Unified Endpoint Device Management (UEDM) solution is used to provide agent and/or agentless management of endpoint devices, regardless of device location."}]} \N \N \N \N +SCF:END-02 SCF END-02 Endpoint Protection Measures Mechanisms exist to protect the confidentiality, integrity, availability and safety of endpoint devices. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-02_END-02_A01", "name": "assessment-objective", "prose": "the confidentiality and integrity of sensitive / regulated data at rest is protected."}, {"id": "END-02_END-02_A02", "name": "assessment-objective", "prose": "information at rest requiring protection is defined."}]} \N \N \N \N +SCF:END-03 SCF END-03 Prohibit Installation Without Privileged Status Automated mechanisms exist to prohibit software installations without explicitly assigned privileged status. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-03_END-03_A01", "name": "assessment-objective", "prose": "policies governing the installation of software by users are established."}, {"id": "END-03_END-03_A02", "name": "assessment-objective", "prose": "user installation of software is allowed only with explicit privileged status."}, {"id": "END-03_END-03_A03", "name": "assessment-objective", "prose": "methods used to enforce software installation policies are defined."}, {"id": "END-03_END-03_A04", "name": "assessment-objective", "prose": "the frequency with which to monitor compliance is defined."}, {"id": "END-03_END-03_A05", "name": "assessment-objective", "prose": "software installation policies are enforced through methods."}, {"id": "END-03_END-03_A06", "name": "assessment-objective", "prose": "compliance with policies is monitored frequency."}]} \N \N \N \N +SCF:END-04.5 SCF END-04.5 Malware Protection Mechanism Testing Mechanisms exist to test antimalware technologies by introducing a known benign, non-spreading test case into the system and subsequently verifying that both detection of the test case and associated incident reporting occurs. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.5_END-04.5_A01", "name": "assessment-objective", "prose": "the frequency at which to test malicious code protection mechanisms is defined."}, {"id": "END-04.5_END-04.5_A02", "name": "assessment-objective", "prose": "malicious code protection mechanisms are tested frequently by introducing known benign code into the system."}, {"id": "END-04.5_END-04.5_A03", "name": "assessment-objective", "prose": "the detection of (benign test) code occurs."}, {"id": "END-04.5_END-04.5_A04", "name": "assessment-objective", "prose": "the associated incident reporting occurs."}]} \N \N \N \N +SCF:END-03.1 SCF END-03.1 Software Installation Alerts Mechanisms exist to generate an alert when new software is detected. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-03.1_END-03.1_A01", "name": "assessment-objective", "prose": "compliance with software installation policies is monitored using organization-defined automated mechanisms."}, {"id": "END-03.1_END-03.1_A02", "name": "assessment-objective", "prose": "automated mechanisms used to detect the presence of unauthorized hardware, software and/or firmware within the system are defined."}, {"id": "END-03.1_END-03.1_A03", "name": "assessment-objective", "prose": "the presence of unauthorized hardware, software and/or firmware within the system is detected using automated mechanisms frequency."}, {"id": "END-03.1_END-03.1_A04", "name": "assessment-objective", "prose": "the frequency at which automated mechanisms are used to detect the presence of unauthorized hardware, software and/or firmware within the system is defined."}, {"id": "END-03.1_END-03.1_A05", "name": "assessment-objective", "prose": "automated mechanisms disable network access by unauthorized components, isolate unauthorized components and/or notify organization-defined personnel or roles."}, {"id": "END-03.1_END-03.1_A06", "name": "assessment-objective", "prose": "personnel or roles to be notified when unauthorized components are detected is/are defined."}, {"id": "END-03.1_END-03.1_A07", "name": "assessment-objective", "prose": "organization-defined actions are taken when unauthorized hardware, software and/or firmware is detected."}]} \N \N \N \N +SCF:END-03.2 SCF END-03.2 Governing Access Restriction for Change Mechanisms exist to define, document, approve and enforce access restrictions associated with changes to Technology Assets, Applications and/or Services (TAAS). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-03.2_END-03.2_A01", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are defined and documented."}, {"id": "END-03.2_END-03.2_A02", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are approved."}, {"id": "END-03.2_END-03.2_A03", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are enforced."}, {"id": "END-03.2_END-03.2_A04", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are defined and documented."}, {"id": "END-03.2_END-03.2_A05", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are approved."}, {"id": "END-03.2_END-03.2_A06", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are enforced."}]} \N \N \N \N +SCF:END-04 SCF END-04 Malicious Code Protection (Anti-Malware) Mechanisms exist to utilize antimalware technologies to detect and eradicate malicious code. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04_END-04_A01", "name": "assessment-objective", "prose": "the frequency for malicious code scans is defined."}, {"id": "END-04_END-04_A02", "name": "assessment-objective", "prose": "malicious code scans are performed with the defined frequency."}, {"id": "END-04_END-04_A03", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform real-time scans of files from external sources as the files are downloaded, opened or executed."}, {"id": "END-04_END-04_A04", "name": "assessment-objective", "prose": "designated locations for malicious code protection are identified."}, {"id": "END-04_END-04_A05", "name": "assessment-objective", "prose": "protection from malicious code at designated locations is provided."}, {"id": "END-04_END-04_A06", "name": "assessment-objective", "prose": "action to be taken in response to malicious code detection are defined."}, {"id": "END-04_END-04_A07", "name": "assessment-objective", "prose": "personnel or roles to be alerted when malicious code is detected is/are defined."}, {"id": "END-04_END-04_A08", "name": "assessment-objective", "prose": "malicious code protection mechanisms are implemented at system entry and exit points to detect malicious code."}, {"id": "END-04_END-04_A09", "name": "assessment-objective", "prose": "malicious code protection mechanisms are implemented at system entry and exit points to eradicate malicious code."}, {"id": "END-04_END-04_A10", "name": "assessment-objective", "prose": "malicious code protection mechanisms are updated automatically as new releases are available in accordance with organizational configuration management policy and procedures."}, {"id": "END-04_END-04_A11", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform periodic scans of the system frequency."}, {"id": "END-04_END-04_A12", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform real-time scans of files from external sources as the files are downloaded, opened or executed in accordance with organizational policy."}, {"id": "END-04_END-04_A13", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to respond to malicious code detection."}, {"id": "END-04_END-04_A14", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to send alerts to personnel or roles in response to malicious code detection."}, {"id": "END-04_END-04_A15", "name": "assessment-objective", "prose": "the receipt of false positives during malicious code detection and eradication and the resulting potential impact on the availability of the system are addressed."}, {"id": "END-04_END-04_A16", "name": "assessment-objective", "prose": "malicious code protection mechanisms are implemented at system entry and exit points to eradicate malicious code."}, {"id": "END-04_END-04_A17", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to block malicious code, quarantine malicious code, or take other actions in response to malicious code detection."}, {"id": "END-04_END-04_A18", "name": "assessment-objective", "prose": "the frequency at which malicious code protection mechanisms perform scans is defined."}]} \N \N \N \N +SCF:END-04.1 SCF END-04.1 Automatic Antimalware Signature Updates Automated mechanisms exist to update antimalware technologies, including signature definitions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.1_END-04.1_A01", "name": "assessment-objective", "prose": "malicious code protection mechanisms are updated as new releases are available."}, {"id": "END-04.1_END-04.1_A02", "name": "assessment-objective", "prose": "malicious code protection mechanisms are updated as new releases are available in accordance with configuration management policy and procedures."}, {"id": "END-04.1_END-04.1_A03", "name": "assessment-objective", "prose": "malicious code protection mechanisms are updated when new releases are available."}]} \N \N \N \N +SCF:END-04.2 SCF END-04.2 Documented Protection Measures Mechanisms exist to document antimalware technologies. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.2_END-04.2_A01", "name": "assessment-objective", "prose": "antimalware technologies are documented."}]} \N \N \N \N +SCF:END-04.3 SCF END-04.3 Centralized Management of Antimalware Technologies Mechanisms exist to centrally-manage antimalware technologies. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.3_END-04.3_A01", "name": "assessment-objective", "prose": "antimalware controls and related processes to be centrally managed are defined."}, {"id": "END-04.3_END-04.3_A02", "name": "assessment-objective", "prose": "antimalware controls and related processes are centrally managed."}]} \N \N \N \N +SCF:END-04.4 SCF END-04.4 Heuristic / Nonsignature-Based Detection Mechanisms exist to utilize heuristic / nonsignature-based antimalware detection capabilities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.4_END-04.4_A01", "name": "assessment-objective", "prose": "malicious code protection mechanisms are implemented at system entry and exit points to detect malicious code."}, {"id": "END-04.4_END-04.4_A02", "name": "assessment-objective", "prose": "malicious code protection mechanisms are updated automatically as new releases are available in accordance with organizational configuration management policy and procedures."}, {"id": "END-04.4_END-04.4_A03", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform periodic scans of the system frequency."}, {"id": "END-04.4_END-04.4_A04", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform real-time scans of files from external sources as the files are downloaded, opened or executed in accordance with organizational policy."}]} \N \N \N \N +SCF:END-04.6 SCF END-04.6 Evolving Malware Threats Mechanisms exist to perform periodic evaluations evolving malware threats to assess systems that are generally not considered to be commonly affected by malicious software. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.6_END-04.6_A01", "name": "assessment-objective", "prose": "system components that require diversity are defined."}, {"id": "END-04.6_END-04.6_A02", "name": "assessment-objective", "prose": "diversity in system components is created to reduce the extent of malicious code propagation."}]} \N \N \N \N +SCF:END-04.7 SCF END-04.7 Always On Protection Mechanisms exist to ensure that anti-malware technologies are continuously running in real-time and cannot be disabled or altered by non-privileged users, unless specifically authorized by management on a case-by-case basis for a limited time period. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-04.7_END-04.7_A01", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform real-time scans of files from external sources as the files are downloaded, opened or executed."}, {"id": "END-04.7_END-04.7_A02", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform scans of the system per an organization-defined frequency."}, {"id": "END-04.7_END-04.7_A03", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform real-time scans of files from external sources at endpoints or system entry and exit points as the files are downloaded, opened, or executed."}, {"id": "END-04.7_END-04.7_A04", "name": "assessment-objective", "prose": "malicious code protection mechanisms are configured to perform scans of the system ."}, {"id": "END-04.7_END-04.7_A05", "name": "assessment-objective", "prose": "real-time malicious code scans of files from external sources as files are downloaded, opened, or executed are performed."}]} \N \N \N \N +SCF:END-05 SCF END-05 Software Firewall Mechanisms exist to utilize host-based firewall software, or a similar technology, on all endpoint devices, where technically feasible. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-05_END-05_A01", "name": "assessment-objective", "prose": "host-based firewall software, or similar technologies, are used on all systems, where technically feasible."}]} \N \N \N \N +SCF:END-06 SCF END-06 Endpoint File Integrity Monitoring (FIM) Mechanisms exist to utilize File Integrity Monitor (FIM), or similar technologies, to detect and report on unauthorized changes to selected files and configuration settings. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06_END-06_A01", "name": "assessment-objective", "prose": "software, firmware and/or information requiring integrity verification tools to be employed to detect unauthorized changes is defined."}, {"id": "END-06_END-06_A02", "name": "assessment-objective", "prose": "actions to be taken when unauthorized changes to software, firmware and/or information are detected are defined."}, {"id": "END-06_END-06_A03", "name": "assessment-objective", "prose": "integrity verification tools are employed to detect unauthorized changes to software, firmware and/or information."}, {"id": "END-06_END-06_A04", "name": "assessment-objective", "prose": "actions are taken when unauthorized changes to the software, firmware and/or information are detected."}]} \N \N \N \N +SCF:END-06.1 SCF END-06.1 Integrity Checks Mechanisms exist to validate configurations through integrity checking of software and firmware. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.1_END-06.1_A01", "name": "assessment-objective", "prose": "software, firmware and/or information on which an integrity check is to be performed is defined."}, {"id": "END-06.1_END-06.1_A02", "name": "assessment-objective", "prose": "an integrity check of software, firmware and/or information is performed per an organization-defined time period."}, {"id": "END-06.1_END-06.1_A03", "name": "assessment-objective", "prose": "transitional states or security-relevant events requiring integrity checks software, firmware and/or information are defined."}, {"id": "END-06.1_END-06.1_A04", "name": "assessment-objective", "prose": "the frequency with which to perform an integrity check software, firmware and/or information is defined."}]} \N \N \N \N +SCF:END-06.2 SCF END-06.2 Endpoint Detection & Response (EDR) Mechanisms exist to detect and respond to unauthorized configuration changes as cybersecurity incidents. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.2_END-06.2_A01", "name": "assessment-objective", "prose": "security-relevant changes to the system are defined."}, {"id": "END-06.2_END-06.2_A02", "name": "assessment-objective", "prose": "the detection of changes is incorporated into the organizational incident response capability."}]} \N \N \N \N +SCF:END-06.3 SCF END-06.3 Automated Notifications of Integrity Violations Automated mechanisms exist to alert incident response personnel upon discovering discrepancies during integrity verification. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.3_END-06.3_A01", "name": "assessment-objective", "prose": "personnel or roles to whom notification is to be provided upon discovering discrepancies during integrity verification is/are defined."}, {"id": "END-06.3_END-06.3_A02", "name": "assessment-objective", "prose": "automated tools that provide notification to personnel or roles upon discovering discrepancies during integrity verification are employed."}]} \N \N \N \N +SCF:END-06.4 SCF END-06.4 Automated Response to Integrity Violations Automated mechanisms exist to implement remediation actions when integrity violations are discovered. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.4_END-06.4_A01", "name": "assessment-objective", "prose": "controls to be implemented automatically when integrity violations are discovered are defined."}, {"id": "END-06.4_END-06.4_A02", "name": "assessment-objective", "prose": "organization-defined actions are automatically performed when integrity violations are discovered."}]} \N \N \N \N +SCF:END-06.6 SCF END-06.6 Protection of Boot Firmware Automated mechanisms exist to protect the integrity of boot firmware in systems. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.6_END-06.6_A01", "name": "assessment-objective", "prose": "mechanisms to be implemented to protect the integrity of boot firmware in system components are defined."}, {"id": "END-06.6_END-06.6_A02", "name": "assessment-objective", "prose": "system components requiring mechanisms to protect the integrity of boot firmware are defined."}, {"id": "END-06.6_END-06.6_A03", "name": "assessment-objective", "prose": "mechanisms are implemented to protect the integrity of boot firmware in system components."}]} \N \N \N \N +SCF:END-06.7 SCF END-06.7 Binary or Machine-Executable Code Mechanisms exist to prohibit the use of binary or machine-executable code from sources with limited or no warranty and without access to source code. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.7_END-06.7_A01", "name": "assessment-objective", "prose": "the use of binary or machine-executable code is prohibited when it originates from sources with limited or no warranty or without the provision of source code."}, {"id": "END-06.7_END-06.7_A02", "name": "assessment-objective", "prose": "exceptions to the prohibition of binary or machine-executable code from sources with limited or no warranty or without the provision of source code are allowed only for compelling mission or operational requirements."}, {"id": "END-06.7_END-06.7_A03", "name": "assessment-objective", "prose": "exceptions to the prohibition of binary or machine-executable code from sources with limited or no warranty or without the provision of source code are allowed only with the approval of the authorizing official."}]} \N \N \N \N +SCF:END-06.8 SCF END-06.8 Extended Detection & Response (XDR) Mechanisms exist to implement Extended Detection & Response (XDR) technologies to correlate data and respond to threats across multiple security layers, including:\r\n(1) Endpoints;\r\n(2) On-premises networks; \r\n(3) Cloud-based networks;\r\n(4) Electronic communications; \r\n(5) Applications; and\r\n(6) Services. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-06.8_END-06.8_A01", "name": "assessment-objective", "prose": "Extended Detection & Response (XDR) technologies are used to correlate data and respond to threats across multiple security layers."}]} \N \N \N \N +SCF:END-07 SCF END-07 Host Intrusion Detection and Prevention Systems (HIDS / HIPS) Mechanisms exist to utilize Host-based Intrusion Detection / Prevention Systems (HIDS / HIPS), or similar technologies, to monitor for and protect against anomalous host activity, including lateral movement across the network. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-07_END-07_A01", "name": "assessment-objective", "prose": "Host-based Intrusion Detection / Prevention Systems (HIDS / HIPS), or a similar technology, is deployed on business-critical systems."}, {"id": "END-07_END-07_A02", "name": "assessment-objective", "prose": "Host-based Intrusion Detection / Prevention Systems (HIDS / HIPS), or a similar technology, is deployed on systems that store, process and/or transmit sensitive / regulated data."}]} \N \N \N \N +SCF:END-08 SCF END-08 Phishing & Spam Protection Mechanisms exist to utilize anti-phishing and spam protection technologies to detect and take action on unsolicited messages transported by electronic mail. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-08_END-08_A01", "name": "assessment-objective", "prose": "spam protection mechanisms are employed at system entry points to detect unsolicited messages."}, {"id": "END-08_END-08_A02", "name": "assessment-objective", "prose": "spam protection mechanisms are employed at system entry points to act on unsolicited messages."}, {"id": "END-08_END-08_A03", "name": "assessment-objective", "prose": "spam protection mechanisms are employed at system exit points to detect unsolicited messages."}, {"id": "END-08_END-08_A04", "name": "assessment-objective", "prose": "spam protection mechanisms are employed at system exit points to act on unsolicited messages."}]} \N \N \N \N +SCF:END-08.1 SCF END-08.1 Central Management Mechanisms exist to centrally-manage anti-phishing and spam protection technologies. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-08.1_END-08.1_A01", "name": "assessment-objective", "prose": "endpoint security controls and related processes to be centrally managed are defined."}, {"id": "END-08.1_END-08.1_A02", "name": "assessment-objective", "prose": "endpoint security controls and related processes are centrally managed."}]} \N \N \N \N +SCF:END-08.2 SCF END-08.2 Automatic Spam and Phishing Protection Updates Mechanisms exist to automatically update anti-phishing and spam protection technologies when new releases are available in accordance with configuration and change management practices. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-08.2_END-08.2_A01", "name": "assessment-objective", "prose": "the frequency at which to automatically update spam protection mechanisms is defined."}, {"id": "END-08.2_END-08.2_A02", "name": "assessment-objective", "prose": "spam protection mechanisms are automatically updated frequently."}]} \N \N \N \N +SCF:END-09 SCF END-09 Trusted Path Mechanisms exist to establish a trusted communications path between the user and the security functions of the operating system. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-09_END-09_A01", "name": "assessment-objective", "prose": "an organization-defined isolated trusted communication path (e.g., Control-Alt-Delete in Microsoft Windows) is provided for communications between the user and the trusted components of the system."}, {"id": "END-09_END-09_A02", "name": "assessment-objective", "prose": "users are permitted to invoke the trusted communication path (e.g., Control-Alt-Delete in Microsoft Windows) for communications between the user and the security functions of the system, including authentication and re-authentication, at a minimum."}, {"id": "END-09_END-09_A03", "name": "assessment-objective", "prose": "logical security functions of the system are defined."}]} \N \N \N \N +SCF:END-10 SCF END-10 Mobile Code Mechanisms exist to address mobile code / operating system-independent applications. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-10_END-10_A01", "name": "assessment-objective", "prose": "acceptable mobile code technologies are defined."}, {"id": "END-10_END-10_A02", "name": "assessment-objective", "prose": "unacceptable mobile code technologies are defined."}, {"id": "END-10_END-10_A03", "name": "assessment-objective", "prose": "the use of mobile code is authorized, monitored and controlled."}, {"id": "END-10_END-10_A04", "name": "assessment-objective", "prose": "the download of unacceptable mobile code is prevented."}, {"id": "END-10_END-10_A05", "name": "assessment-objective", "prose": "the execution of unacceptable mobile code is prevented."}, {"id": "END-10_END-10_A06", "name": "assessment-objective", "prose": "corrective actions to be taken when unacceptable mobile code is identified are defined."}, {"id": "END-10_END-10_A07", "name": "assessment-objective", "prose": "corrective actions are taken if unacceptable mobile code is identified."}, {"id": "END-10_END-10_A08", "name": "assessment-objective", "prose": "mobile code requirements for the acquisition, development and use of mobile code to be deployed in the system are defined."}, {"id": "END-10_END-10_A09", "name": "assessment-objective", "prose": "the acquisition of mobile code to be deployed in the system meets mobile code requirements."}, {"id": "END-10_END-10_A10", "name": "assessment-objective", "prose": "the development of mobile code to be deployed in the system meets mobile code requirements."}, {"id": "END-10_END-10_A11", "name": "assessment-objective", "prose": "the use of mobile code to be deployed in the system meets mobile code requirements."}, {"id": "END-10_END-10_A12", "name": "assessment-objective", "prose": "unacceptable mobile code to be prevented from downloading and executing is defined."}, {"id": "END-10_END-10_A13", "name": "assessment-objective", "prose": "software applications in which the automatic execution of mobile code is to be prevented are defined."}, {"id": "END-10_END-10_A14", "name": "assessment-objective", "prose": "actions to be enforced by the system prior to executing mobile code are defined."}, {"id": "END-10_END-10_A15", "name": "assessment-objective", "prose": "the automatic execution of mobile code in software applications is prevented."}, {"id": "END-10_END-10_A16", "name": "assessment-objective", "prose": "platform-independent applications to be included within organizational systems are defined."}, {"id": "END-10_END-10_A17", "name": "assessment-objective", "prose": "platform-independent applications are included within organizational systems."}, {"id": "END-10_END-10_A18", "name": "assessment-objective", "prose": "acceptable mobile code is defined."}, {"id": "END-10_END-10_A19", "name": "assessment-objective", "prose": "the use of mobile code is authorized."}, {"id": "END-10_END-10_A20", "name": "assessment-objective", "prose": "the use of mobile code is monitored."}, {"id": "END-10_END-10_A21", "name": "assessment-objective", "prose": "the use of mobile code is controlled."}]} \N \N \N \N +SCF:END-11 SCF END-11 Thin Nodes Mechanisms exist to configure thin nodes to have minimal functionality and information storage. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-11_END-11_A01", "name": "assessment-objective", "prose": "system components to be employed with minimal functionality and information storage are defined."}, {"id": "END-11_END-11_A02", "name": "assessment-objective", "prose": "minimal functionality for system components is employed."}, {"id": "END-11_END-11_A03", "name": "assessment-objective", "prose": "minimal information storage on system components is allocated."}, {"id": "END-11_END-11_A04", "name": "assessment-objective", "prose": "physical isolation techniques are defined."}, {"id": "END-11_END-11_A05", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "END-11_END-11_A06", "name": "assessment-objective", "prose": "physical isolation techniques and/or logical isolation techniques are employed in organizational systems and system components."}]} \N \N \N \N +SCF:END-12 SCF END-12 Port & Input / Output (I/O) Device Access Mechanisms exist to physically disable or remove unnecessary connection ports or input/output devices from sensitive systems. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-12_END-12_A01", "name": "assessment-objective", "prose": "connection ports or input/output devices to be disabled or removed are defined."}, {"id": "END-12_END-12_A02", "name": "assessment-objective", "prose": "systems or system components with connection ports or input/output devices to be disabled or removed are defined."}, {"id": "END-12_END-12_A03", "name": "assessment-objective", "prose": "connection ports or input/output devices that are prohibited are disabled or removed on systems or system components."}]} \N \N \N \N +SCF:END-13 SCF END-13 Sensor Capability Mechanisms exist to configure embedded sensors on systems to: \r\n(1) Prohibit the remote activation of sensing capabilities; and\r\n(2) Provide an explicit indication of sensor use to users. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-13_END-13_A01", "name": "assessment-objective", "prose": "environmental sensing capabilities in devices are defined."}, {"id": "END-13_END-13_A02", "name": "assessment-objective", "prose": "facilities, areas or systems where the use of devices possessing environmental sensing capabilities is prohibited are defined."}, {"id": "END-13_END-13_A03", "name": "assessment-objective", "prose": "exceptions where remote activation of sensors is allowed are defined."}, {"id": "END-13_END-13_A04", "name": "assessment-objective", "prose": "group of users to whom an explicit indication of sensor use is to be provided is defined."}, {"id": "END-13_END-13_A05", "name": "assessment-objective", "prose": "organization-defined parameters are prohibited."}, {"id": "END-13_END-13_A06", "name": "assessment-objective", "prose": "an explicit indication of sensor use is provided to a group of users."}]} \N \N \N \N +SCF:END-13.1 SCF END-13.1 Authorized Use Mechanisms exist to utilize organization-defined measures so that data or information collected by sensors is only used for authorized purposes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-13.1_END-13.1_A01", "name": "assessment-objective", "prose": "measures to be employed so that data or information collected by sensors is only used for authorized purposes are defined."}, {"id": "END-13.1_END-13.1_A02", "name": "assessment-objective", "prose": "organization-defined measures are employed so that data or information collected by sensors is only used for authorized purposes."}]} \N \N \N \N +SCF:END-13.2 SCF END-13.2 Notice of Collection Mechanisms exist to notify individuals that Personal Data (PD) is collected by sensors. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-13.2_END-13.2_A01", "name": "assessment-objective", "prose": "measures to facilitate an individual’s awareness that Personal Data (PD) is being collected are defined."}, {"id": "END-13.2_END-13.2_A02", "name": "assessment-objective", "prose": "sensors that collect Personal Data (PD) are defined."}, {"id": "END-13.2_END-13.2_A03", "name": "assessment-objective", "prose": "organization-defined measures are employed to facilitate an individual’s awareness that Personal Data (PD) is being collected by sensors"}]} \N \N \N \N +SCF:END-13.3 SCF END-13.3 Collection Minimization Mechanisms exist to utilize sensors that are configured to minimize the collection of information about individuals. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-13.3_END-13.3_A01", "name": "assessment-objective", "prose": "processes that implement the privacy principle of minimization are defined."}, {"id": "END-13.3_END-13.3_A02", "name": "assessment-objective", "prose": "the privacy principle of minimization is implemented using organization-defined processes."}, {"id": "END-13.3_END-13.3_A03", "name": "assessment-objective", "prose": "the sensors that are configured to minimize the collection of unneeded information about individuals are defined."}, {"id": "END-13.3_END-13.3_A04", "name": "assessment-objective", "prose": "sensors configured to minimize the collection of information about individuals that is not needed are employed."}, {"id": "END-13.3_END-13.3_A05", "name": "assessment-objective", "prose": "the frequency for reviewing / updating policies that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "END-13.3_END-13.3_A06", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal testing, training and research are developed and documented."}, {"id": "END-13.3_END-13.3_A07", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal testing, training and research are developed and documented."}, {"id": "END-13.3_END-13.3_A08", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal testing, training and research are implemented."}, {"id": "END-13.3_END-13.3_A09", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal testing, training and research are implemented."}, {"id": "END-13.3_END-13.3_A10", "name": "assessment-objective", "prose": "the amount of Personal Data (PD) used for internal testing, training and research purposes is limited or minimized."}, {"id": "END-13.3_END-13.3_A11", "name": "assessment-objective", "prose": "the required use of Personal Data (PD) for internal testing, training and research is authorized."}, {"id": "END-13.3_END-13.3_A12", "name": "assessment-objective", "prose": "policies are reviewed / updated frequently."}, {"id": "END-13.3_END-13.3_A13", "name": "assessment-objective", "prose": "procedures are reviewed / updated frequently."}]} \N \N \N \N +SCF:END-13.4 SCF END-13.4 Sensor Delivery Verification Mechanisms exist to verify embedded technology sensors are configured so that data collected by the sensor(s) is only reported to authorized individuals or roles. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-13.4_END-13.4_A01", "name": "assessment-objective", "prose": "sensors to be used to collect data or information are defined."}, {"id": "END-13.4_END-13.4_A02", "name": "assessment-objective", "prose": "systems are configured so that data or information collected by the sensors is only reported to authorized individuals or roles."}]} \N \N \N \N +SCF:END-14 SCF END-14 Collaborative Computing Devices Mechanisms exist to unplug or prohibit the remote activation of collaborative computing devices with the following exceptions: \r\n(1) Networked whiteboards; \r\n(2) Video teleconference cameras; and \r\n(3) Teleconference microphones. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14_END-14_A01", "name": "assessment-objective", "prose": "collaborative computing devices are identified."}, {"id": "END-14_END-14_A02", "name": "assessment-objective", "prose": "collaborative computing devices provide indication to users of devices in use."}, {"id": "END-14_END-14_A03", "name": "assessment-objective", "prose": "remote activation of collaborative computing devices is prohibited."}, {"id": "END-14_END-14_A04", "name": "assessment-objective", "prose": "exceptions where remote activation is to be allowed are defined."}, {"id": "END-14_END-14_A05", "name": "assessment-objective", "prose": "the remote activation of collaborative computing devices and applications is prohibited with organization-defined exceptions."}, {"id": "END-14_END-14_A06", "name": "assessment-objective", "prose": "an explicit indication of use is provided to users physically present at the devices."}, {"id": "END-14_END-14_A07", "name": "assessment-objective", "prose": "collaborative computing devices are logically or physically disconnected."}, {"id": "END-14_END-14_A08", "name": "assessment-objective", "prose": "disconnect of collaborative computing devices is/are provided in a manner that supports ease of use."}, {"id": "END-14_END-14_A09", "name": "assessment-objective", "prose": "the remote activation of collaborative computing devices and applications is prohibited with the following exceptions: ."}]} \N \N \N \N +SCF:END-14.1 SCF END-14.1 Disabling / Removal In Secure Work Areas Mechanisms exist to disable or remove collaborative computing devices from critical systems and secure work areas. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.1_END-14.1_A01", "name": "assessment-objective", "prose": "systems or system components from which collaborative computing devices are to be disabled or removed are defined."}, {"id": "END-14.1_END-14.1_A02", "name": "assessment-objective", "prose": "secure work areas where collaborative computing devices are to be disabled or removed from systems or system components are defined."}, {"id": "END-14.1_END-14.1_A03", "name": "assessment-objective", "prose": "collaborative computing devices and applications are disabled or removed from systems or system components in secure work areas."}]} \N \N \N \N +SCF:END-14.2 SCF END-14.2 Explicitly Indicate Current Participants Automated mechanisms exist to provide an explicit indication of current participants in online meetings and teleconferences. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.2_END-14.2_A01", "name": "assessment-objective", "prose": "online meetings and teleconferences for which an explicit indication of current participants is to be provided are defined."}, {"id": "END-14.2_END-14.2_A02", "name": "assessment-objective", "prose": "an explicit indication of current participants in online meetings and teleconferences is provided."}]} \N \N \N \N +SCF:END-14.3 SCF END-14.3 Participant Identity Verification Mechanisms exist to verify individual identities to ensure that access to virtual meetings is limited to appropriate individuals. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.3_END-14.3_A01", "name": "assessment-objective", "prose": "personnel are trained to limit access to virtual meetings to appropriate individuals."}, {"id": "END-14.3_END-14.3_A02", "name": "assessment-objective", "prose": "technologies used to conduct virtual meetings can verify individual identities."}, {"id": "END-14.3_END-14.3_A03", "name": "assessment-objective", "prose": "individual identities are verified to ensure that access to virtual meetings is limited to appropriate individuals."}]} \N \N \N \N +SCF:END-14.4 SCF END-14.4 Participant Connection Management Mechanisms exist to ensure the meeting host can positively control an individual's participation in virtual meetings. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.4_END-14.4_A01", "name": "assessment-objective", "prose": "technologies used to conduct virtual meetings allow the host to positively control an individual's participation."}]} \N \N \N \N +SCF:END-14.5 SCF END-14.5 Malicious Link & File Protections Automated mechanisms exist to detect malicious links and/or files in communications and prevent users from accessing those malicious links and/or files. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.5_END-14.5_A01", "name": "assessment-objective", "prose": "antimalware technologies can detect malicious links and/or files in communications."}, {"id": "END-14.5_END-14.5_A02", "name": "assessment-objective", "prose": "antimalware technologies can prevent users from accessing malicious links and/or files sent in communications."}]} \N \N \N \N +SCF:END-14.6 SCF END-14.6 Explicit Indication Of Use Mechanisms exist to configure collaborative computing devices to provide physically-present individuals with an explicit indication of use. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-14.6_END-14.6_A01", "name": "assessment-objective", "prose": "an explicit indication of use is provided to users who are physically present at the devices."}]} \N \N \N \N +SCF:END-16.1 SCF END-16.1 Host-Based Security Function Isolation Mechanisms exist to implement underlying software separation mechanisms to facilitate security function isolation. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Endpoint Security", "assessment_objective": [{"id": "END-16.1_END-16.1_A01", "name": "assessment-objective", "prose": "host-based boundary protection mechanisms to be implemented are defined."}, {"id": "END-16.1_END-16.1_A02", "name": "assessment-objective", "prose": "system components where host-based boundary protection mechanisms are to be implemented are defined."}, {"id": "END-16.1_END-16.1_A03", "name": "assessment-objective", "prose": "host-based boundary protection mechanisms are implemented at system components."}]} \N \N \N \N +SCF:HRS-01 SCF HRS-01 Human Resources Security Management Mechanisms exist to facilitate the implementation of personnel security controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-01_HRS-01_A01", "name": "assessment-objective", "prose": "personnel security procedures to facilitate the implementation of the personnel security policy and associated personnel security controls are developed and documented."}, {"id": "HRS-01_HRS-01_A02", "name": "assessment-objective", "prose": "an official to manage the personnel security policy and procedures is defined."}, {"id": "HRS-01_HRS-01_A03", "name": "assessment-objective", "prose": "a personnel security policy is developed and documented."}, {"id": "HRS-01_HRS-01_A04", "name": "assessment-objective", "prose": "the personnel security policy is disseminated to organization-defined personnel or roles."}, {"id": "HRS-01_HRS-01_A05", "name": "assessment-objective", "prose": "personnel or roles to whom the personnel security policy is to be disseminated is/are defined."}, {"id": "HRS-01_HRS-01_A06", "name": "assessment-objective", "prose": "personnel or roles to whom the personnel security procedures are to be disseminated is/are defined."}, {"id": "HRS-01_HRS-01_A07", "name": "assessment-objective", "prose": "the frequency at which the current personnel security policy is reviewed / updated is defined."}, {"id": "HRS-01_HRS-01_A08", "name": "assessment-objective", "prose": "events that would require the current personnel security policy to be reviewed / updated are defined."}, {"id": "HRS-01_HRS-01_A09", "name": "assessment-objective", "prose": "the frequency at which the current personnel security procedures are reviewed / updated is defined."}, {"id": "HRS-01_HRS-01_A10", "name": "assessment-objective", "prose": "events that would require the personnel security procedures to be reviewed / updated are defined."}, {"id": "HRS-01_HRS-01_A11", "name": "assessment-objective", "prose": "the personnel security procedures are disseminated to organization-defined personnel or roles."}, {"id": "HRS-01_HRS-01_A12", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses purpose."}, {"id": "HRS-01_HRS-01_A13", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses scope."}, {"id": "HRS-01_HRS-01_A14", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses roles."}, {"id": "HRS-01_HRS-01_A15", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses responsibilities."}, {"id": "HRS-01_HRS-01_A16", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses management commitment."}, {"id": "HRS-01_HRS-01_A17", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses coordination among organizational entities."}, {"id": "HRS-01_HRS-01_A18", "name": "assessment-objective", "prose": "the organization's personnel security policy addresses compliance."}, {"id": "HRS-01_HRS-01_A19", "name": "assessment-objective", "prose": "the organization's personnel security policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "HRS-01_HRS-01_A20", "name": "assessment-objective", "prose": "an organization-defined official is designated to manage the development, documentation, and dissemination of the personnel security policy and procedures."}, {"id": "HRS-01_HRS-01_A21", "name": "assessment-objective", "prose": "the current personnel security policy is reviewed / updated organization-defined frequency."}, {"id": "HRS-01_HRS-01_A22", "name": "assessment-objective", "prose": "the current personnel security policy is reviewed / updated following organization-defined events."}, {"id": "HRS-01_HRS-01_A23", "name": "assessment-objective", "prose": "the current personnel security procedures are reviewed / updated organization-defined frequency."}, {"id": "HRS-01_HRS-01_A24", "name": "assessment-objective", "prose": "the current personnel security procedures are reviewed / updated following organization-defined events."}, {"id": "HRS-01_HRS-01_A25", "name": "assessment-objective", "prose": "information security-related duties, roles, and responsibilities are defined."}, {"id": "HRS-01_HRS-01_A26", "name": "assessment-objective", "prose": "information security-related duties, roles, and responsibilities are assigned to designated personnel."}, {"id": "HRS-01_HRS-01_A27", "name": "assessment-objective", "prose": "personnel are adequately trained to carry out their assigned information security-related duties, roles, and responsibilities."}, {"id": "HRS-01_HRS-01_A28", "name": "assessment-objective", "prose": "criteria and/or process for terminating system access authorization and any credentials coincident with personnel actions is established."}, {"id": "HRS-01_HRS-01_A29", "name": "assessment-objective", "prose": "the time period for account inactivity before disabling is defined."}, {"id": "HRS-01_HRS-01_A30", "name": "assessment-objective", "prose": "the time period within which to notify account managers and designated personnel or roles when accounts are no longer required is defined."}, {"id": "HRS-01_HRS-01_A31", "name": "assessment-objective", "prose": "the time period within which to notify account managers and designated personnel or roles when users are terminated or transferred is defined."}, {"id": "HRS-01_HRS-01_A32", "name": "assessment-objective", "prose": "the time period within which to notify account managers and designated personnel or roles when system usage or the need-to-know changes for an individual is defined."}, {"id": "HRS-01_HRS-01_A33", "name": "assessment-objective", "prose": "personnel management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "HRS-01_HRS-01_A34", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support personnel management operations."}, {"id": "HRS-01_HRS-01_A35", "name": "assessment-objective", "prose": "responsibility and authority for the performance of personnel management-related activities are assigned to designated personnel."}, {"id": "HRS-01_HRS-01_A36", "name": "assessment-objective", "prose": "personnel performing personnel management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:HRS-01.1 SCF HRS-01.1 Onboarding, Transferring & Offboarding Personnel Mechanisms exist to proactively govern the following personnel management actions:\r\n(1) Onboarding new personnel (e.g., new hires);\r\n(2) Transferring personnel into new roles within the organization; and \r\n(3) Offboarding personnel (e.g., termination of employment). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-01.1_HRS-01.1_A01", "name": "assessment-objective", "prose": "the organization proactively governs secure practices to address personnel onboarding, transfers and offboarding actions"}]} \N \N \N \N +SCF:HRS-02 SCF HRS-02 Position Categorization Mechanisms exist to manage personnel security risk by assigning a risk designation to all positions and establishing screening criteria for individuals filling those positions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-02_HRS-02_A01", "name": "assessment-objective", "prose": "the frequency at which to review / update position risk designations is defined."}, {"id": "HRS-02_HRS-02_A02", "name": "assessment-objective", "prose": "a risk designation is assigned to all organizational positions."}, {"id": "HRS-02_HRS-02_A03", "name": "assessment-objective", "prose": "screening criteria are established for individuals filling organizational positions."}, {"id": "HRS-02_HRS-02_A04", "name": "assessment-objective", "prose": "position risk designations are reviewed / updated per an organization-defined frequency."}]} \N \N \N \N +SCF:HRS-02.1 SCF HRS-02.1 Users With Elevated Privileges Mechanisms exist to ensure that every user accessing Technology Assets, Applications and/or Services (TAAS) that process, store and/or transmit sensitive/regulated data is cleared and regularly trained to handle the information in question. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-02.1_HRS-02.1_A01", "name": "assessment-objective", "prose": "every user accessing a system, application or service that processes, stores or transmits sensitive / regulated information is cleared and regularly trained to handle the information in question."}]} \N \N \N \N +SCF:HRS-02.2 SCF HRS-02.2 Probationary Periods Mechanisms exist to identify newly onboarded personnel for enhanced monitoring during their probationary period. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-02.2_HRS-02.2_A01", "name": "assessment-objective", "prose": "additional monitoring to be implemented on individuals during probationary periods is defined."}, {"id": "HRS-02.2_HRS-02.2_A02", "name": "assessment-objective", "prose": "the probationary period of individuals is defined."}, {"id": "HRS-02.2_HRS-02.2_A03", "name": "assessment-objective", "prose": "additional monitoring of individuals is implemented during probationary period."}]} \N \N \N \N +SCF:HRS-03 SCF HRS-03 Defined Roles & Responsibilities Mechanisms exist to define cybersecurity roles & responsibilities for all personnel. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-03_HRS-03_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy roles and responsibilities are incorporated into organizational position descriptions."}, {"id": "HRS-03_HRS-03_A02", "name": "assessment-objective", "prose": "the incident response plan is protected from unauthorized disclosure."}]} \N \N \N \N +SCF:HRS-03.1 SCF HRS-03.1 User Awareness Mechanisms exist to communicate with users about their roles and responsibilities to maintain a safe and secure working environment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-03.1_HRS-03.1_A01", "name": "assessment-objective", "prose": "users are formally made aware of their roles and responsibilities to maintain a safe and secure working environment."}, {"id": "HRS-03.1_HRS-03.1_A02", "name": "assessment-objective", "prose": "acknowledgement of user awareness is maintained by the organization."}]} \N \N \N \N +SCF:HRS-03.2 SCF HRS-03.2 Competency Requirements for Security-Related Positions Mechanisms exist to ensure that all security-related positions are staffed by qualified individuals who have the necessary skill set. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-03.2_HRS-03.2_A01", "name": "assessment-objective", "prose": "defined competency requirements ensure that all cybersecurity / data privacy-related positions are staffed by qualified individuals who have the necessary skill set."}, {"id": "HRS-03.2_HRS-03.2_A02", "name": "assessment-objective", "prose": "a risk designation is assigned to all organizational positions."}, {"id": "HRS-03.2_HRS-03.2_A03", "name": "assessment-objective", "prose": "the frequency at which to review / update position risk designations is defined."}, {"id": "HRS-03.2_HRS-03.2_A04", "name": "assessment-objective", "prose": "screening criteria are established for individuals filling organizational positions."}, {"id": "HRS-03.2_HRS-03.2_A05", "name": "assessment-objective", "prose": "position risk designations are reviewed / updated per an organization-defined frequency."}]} \N \N \N \N +SCF:IAC-10.7 SCF IAC-10.7 Hardware Token-Based Authentication Automated mechanisms exist to ensure organization-defined token quality requirements are satisfied for hardware token-based authentication. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.7_IAC-10.7_A01", "name": "assessment-objective", "prose": "organization-defined token quality requirements are satisfied for hardware token-based authentication."}]} \N \N \N \N +SCF:HRS-04 SCF HRS-04 Personnel Screening Mechanisms exist to manage personnel security risk by screening individuals prior to authorizing access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-04_HRS-04_A01", "name": "assessment-objective", "prose": "conditions that require the rescreening of individuals are defined."}, {"id": "HRS-04_HRS-04_A02", "name": "assessment-objective", "prose": "the frequency of rescreening individuals where it is so indicated is defined."}, {"id": "HRS-04_HRS-04_A03", "name": "assessment-objective", "prose": "individuals are screened prior to authorizing access to the system."}, {"id": "HRS-04_HRS-04_A04", "name": "assessment-objective", "prose": "individuals are rescreened in accordance with organization-defined conditions."}, {"id": "HRS-04_HRS-04_A05", "name": "assessment-objective", "prose": "individuals are screened prior to authorizing access to organizational systems."}, {"id": "HRS-04_HRS-04_A06", "name": "assessment-objective", "prose": "where rescreening is so indicated, individuals are rescreened per organization-defined frequency."}, {"id": "HRS-04_HRS-04_A07", "name": "assessment-objective", "prose": "conditions that require the rescreening of individuals are defined."}, {"id": "HRS-04_HRS-04_A08", "name": "assessment-objective", "prose": "individuals are rescreened in accordance with the following conditions: ."}, {"id": "HRS-04_HRS-04_A09", "name": "assessment-objective", "prose": "upon individual reassignment or transfer to other positions in the organization, the ongoing operational need for current logical and physical access authorizations to the system and facility is reviewed."}]} \N \N \N \N +SCF:HRS-04.1 SCF HRS-04.1 Roles With Special Protection Measures Mechanisms exist to ensure that individuals accessing a system that stores, transmits or processes information requiring special protection satisfy organization-defined personnel screening criteria. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-04.1_HRS-04.1_A01", "name": "assessment-objective", "prose": "enhanced personnel screening for individuals is defined."}, {"id": "HRS-04.1_HRS-04.1_A02", "name": "assessment-objective", "prose": "the frequency with which to reassess individual positions and access to sensitive / regulated data is defined."}, {"id": "HRS-04.1_HRS-04.1_A03", "name": "assessment-objective", "prose": "individuals that require enhanced personnel screening are identified."}, {"id": "HRS-04.1_HRS-04.1_A04", "name": "assessment-objective", "prose": "positions that require access to sensitive / regulated data are identified."}, {"id": "HRS-04.1_HRS-04.1_A05", "name": "assessment-objective", "prose": "enhanced personnel screening is conducted for individuals."}, {"id": "HRS-04.1_HRS-04.1_A06", "name": "assessment-objective", "prose": "individual positions and access to sensitive / regulated data is reassessed per an organization-defined frequency."}, {"id": "HRS-04.1_HRS-04.1_A07", "name": "assessment-objective", "prose": "individuals with access to sensitive / regulated data are identified."}, {"id": "HRS-04.1_HRS-04.1_A08", "name": "assessment-objective", "prose": "adverse information about individuals with access to sensitive / regulated data is defined."}, {"id": "HRS-04.1_HRS-04.1_A09", "name": "assessment-objective", "prose": "organizational systems to which individuals have access are identified."}, {"id": "HRS-04.1_HRS-04.1_A10", "name": "assessment-objective", "prose": "mechanisms are in place to protect organizational systems if adverse information develops or is obtained about individuals with access to sensitive / regulated data."}, {"id": "HRS-04.1_HRS-04.1_A11", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting sensitive / regulated data are cleared."}, {"id": "HRS-04.1_HRS-04.1_A12", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting sensitive / regulated data are indoctrinated to the highest classification level of the information to which they have access on the system."}, {"id": "HRS-04.1_HRS-04.1_A13", "name": "assessment-objective", "prose": "additional personnel screening criteria to be satisfied for individuals accessing a system, application or service processing, storing or transmitting information requiring special protection are defined."}, {"id": "HRS-04.1_HRS-04.1_A14", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting information requiring special protection have valid access authorizations that are demonstrated by assigned duties."}, {"id": "HRS-04.1_HRS-04.1_A15", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting information requiring special protection satisfy additional personnel screening criteria."}, {"id": "HRS-04.1_HRS-04.1_A16", "name": "assessment-objective", "prose": "conditions that require the rescreening of individuals are defined."}]} \N \N \N \N +SCF:HRS-04.2 SCF HRS-04.2 Formal Indoctrination Mechanisms exist to formally educate authorized users on proper data handling practices for all the relevant types of data to which they have access. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-04.2_HRS-04.2_A01", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting types of sensitive / regulated data that require formal indoctrination are formally indoctrinated for all of the relevant types of information to which they have access on the system."}]} \N \N \N \N +SCF:HRS-04.3 SCF HRS-04.3 Citizenship Requirements Mechanisms exist to verify that individuals accessing a system processing, storing, or transmitting sensitive information meet applicable statutory, regulatory and/or contractual requirements for citizenship. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-04.3_HRS-04.3_A01", "name": "assessment-objective", "prose": "information types that are processed, stored or transmitted by a system, application or service that requires individuals accessing the system to meet citizenship requirements are defined."}, {"id": "HRS-04.3_HRS-04.3_A02", "name": "assessment-objective", "prose": "citizenship requirements to be met by individuals to access a system, application or service processing, storing or transmitting information are defined."}, {"id": "HRS-04.3_HRS-04.3_A03", "name": "assessment-objective", "prose": "individuals accessing a system, application or service processing, storing or transmitting information types meet citizenship requirements."}]} \N \N \N \N +SCF:HRS-04.4 SCF HRS-04.4 Citizenship Identification Mechanisms exist to identify foreign nationals, including by their specific citizenship. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-04.4_HRS-04.4_A01", "name": "assessment-objective", "prose": "foreign nationals, including by their specific citizenship, are identified."}, {"id": "HRS-04.4_HRS-04.4_A02", "name": "assessment-objective", "prose": "foreign citizenship identification is made conspicuous to other users in environments that contain export-controlled data."}]} \N \N \N \N +SCF:HRS-05 SCF HRS-05 Terms of Employment Mechanisms exist to require all employees and contractors to apply cybersecurity and data protection principles in their daily work to enable secure, compliant and resilient capabilities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05_HRS-05_A01", "name": "assessment-objective", "prose": "through terms of employment, all employees and contractors are required to apply cybersecurity / data privacy principles in their daily work."}, {"id": "HRS-05_HRS-05_A02", "name": "assessment-objective", "prose": "rules are provided to individuals who require access to the system."}]} \N \N \N \N +SCF:HRS-05.1 SCF HRS-05.1 Rules of Behavior Mechanisms exist to define acceptable and unacceptable rules of behavior for the use of technologies, including consequences for unacceptable behavior. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.1_HRS-05.1_A01", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting sensitive / regulated data are established."}, {"id": "HRS-05.1_HRS-05.1_A02", "name": "assessment-objective", "prose": "before authorizing access to information and the system, a documented acknowledgement from such individuals indicating that they have read, understand and agree to abide by the rules of behavior is received."}, {"id": "HRS-05.1_HRS-05.1_A03", "name": "assessment-objective", "prose": "the frequency at which the rules of behavior are reviewed and updated is defined."}, {"id": "HRS-05.1_HRS-05.1_A04", "name": "assessment-objective", "prose": "the rules of behavior are reviewed / updated per an organization-defined frequency."}, {"id": "HRS-05.1_HRS-05.1_A05", "name": "assessment-objective", "prose": "the frequency for individuals to read and re-acknowledge the rules of behavior is defined."}, {"id": "HRS-05.1_HRS-05.1_A06", "name": "assessment-objective", "prose": "individuals who have acknowledged a previous version of the rules of behavior are required to read and reacknowledge the organization's current rules of behavior."}, {"id": "HRS-05.1_HRS-05.1_A07", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting CUI are established."}, {"id": "HRS-05.1_HRS-05.1_A08", "name": "assessment-objective", "prose": "the rules of behavior are reviewed ."}, {"id": "HRS-05.1_HRS-05.1_A09", "name": "assessment-objective", "prose": "the rules of behavior are updated ."}]} \N \N \N \N +SCF:HRS-05.2 SCF HRS-05.2 Social Media & Social Networking Restrictions Mechanisms exist to define rules of behavior that contain explicit restrictions on the use of social media and networking sites, posting information on commercial websites and sharing account information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.2_HRS-05.2_A01", "name": "assessment-objective", "prose": "the rules of behavior include restrictions on the use of social media, social networking sites and external sites/applications."}, {"id": "HRS-05.2_HRS-05.2_A02", "name": "assessment-objective", "prose": "the rules of behavior include restrictions on posting organizational information on public websites."}, {"id": "HRS-05.2_HRS-05.2_A03", "name": "assessment-objective", "prose": "the rules of behavior include restrictions on the use of organization-provided identifiers (e.g., email addresses) and authentication secrets (e.g., passwords) for creating accounts on external sites/applications."}, {"id": "HRS-05.2_HRS-05.2_A04", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting sensitive / regulated data are established."}, {"id": "HRS-05.2_HRS-05.2_A05", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting CUI are established."}]} \N \N \N \N +SCF:HRS-05.3 SCF HRS-05.3 Technology Use Restrictions Mechanisms exist to establish usage restrictions and implementation guidance for organizational technologies based on the potential to cause damage to Technology Assets, Applications and/or Services (TAAS), if used maliciously. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.3_HRS-05.3_A01", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting sensitive / regulated data are established."}, {"id": "HRS-05.3_HRS-05.3_A02", "name": "assessment-objective", "prose": "before authorizing access to information and the system, a documented acknowledgement from such individuals indicating that they have read, understand and agree to abide by the rules of behavior is received."}, {"id": "HRS-05.3_HRS-05.3_A03", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting CUI are established."}]} \N \N \N \N +SCF:HRS-05.4 SCF HRS-05.4 Use of Critical Technologies Mechanisms exist to govern usage policies for critical technologies. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.4_HRS-05.4_A01", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for information and system usage, cybersecurity / data privacy are established for individuals requiring access to the system."}, {"id": "HRS-05.4_HRS-05.4_A02", "name": "assessment-objective", "prose": "before authorizing access to information and the system, a documented acknowledgement from such individuals indicating that they have read, understand and agree to abide by the rules of behavior is received."}]} \N \N \N \N +SCF:HRS-05.5 SCF HRS-05.5 Use of Mobile Devices Mechanisms exist to manage business risks associated with permitting mobile device access to organizational resources. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.5_HRS-05.5_A01", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting sensitive / regulated data are established."}, {"id": "HRS-05.5_HRS-05.5_A02", "name": "assessment-objective", "prose": "before authorizing access to information and the system, a documented acknowledgement from such individuals indicating that they have read, understand and agree to abide by the rules of behavior is received."}, {"id": "HRS-05.5_HRS-05.5_A03", "name": "assessment-objective", "prose": "rules that describe responsibilities and expected behavior for system usage and protecting CUI are established."}]} \N \N \N \N +SCF:HRS-05.6 SCF HRS-05.6 Security-Minded Dress Code Mechanisms exist to prohibit the use of oversized clothing (e.g., baggy pants, oversized hooded sweatshirts, etc.) to prevent the unauthorized exfiltration of data and technology assets. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.6_HRS-05.6_A01", "name": "assessment-objective", "prose": "the use of oversized clothing (e.g., baggy pants, oversized hooded sweatshirts, etc.) is prohibited to prevent the unauthorized exfiltration of data and technology assets."}]} \N \N \N \N +SCF:HRS-05.7 SCF HRS-05.7 Policy Familiarization & Acknowledgement Mechanisms exist to ensure personnel receive recurring familiarization with the organization's security, compliance and resilience policies and provide acknowledgement. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-05.7_HRS-05.7_A01", "name": "assessment-objective", "prose": "personnel receive recurring familiarization with the organization's cybersecurity / data privacy policies."}, {"id": "HRS-05.7_HRS-05.7_A02", "name": "assessment-objective", "prose": "a documented acknowledgement from individuals indicating that they have read, understand, and agree to abide by the rules of behavior is received before authorizing access to sensitive / regulated data and the system."}, {"id": "HRS-05.7_HRS-05.7_A03", "name": "assessment-objective", "prose": "a documented acknowledgement from individuals indicating that they have read, understand, and agree to abide by the rules of behavior is received before authorizing access to CUI and the system."}]} \N \N \N \N +SCF:HRS-11 SCF HRS-11 Separation of Duties (SoD) Mechanisms exist to implement and maintain Separation of Duties (SoD) to prevent potential inappropriate activity without collusion. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-11_HRS-11_A01", "name": "assessment-objective", "prose": "the duties of individuals requiring separation to reduce the risk of malevolent activity are defined."}, {"id": "HRS-11_HRS-11_A02", "name": "assessment-objective", "prose": "responsibilities for duties that require separation are assigned to separate individuals."}, {"id": "HRS-11_HRS-11_A03", "name": "assessment-objective", "prose": "separate accounts for individuals whose duties and accesses must be separated to reduce the risk of malevolent activity or collusion are established"}]} \N \N \N \N +SCF:HRS-06 SCF HRS-06 Access Agreements Mechanisms exist to require internal and third-party users to sign appropriate access agreements prior to being granted access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-06_HRS-06_A01", "name": "assessment-objective", "prose": "access agreements are developed and documented for organizational systems."}, {"id": "HRS-06_HRS-06_A02", "name": "assessment-objective", "prose": "individuals requiring access to organizational information and systems sign appropriate access agreements prior to being granted access."}, {"id": "HRS-06_HRS-06_A03", "name": "assessment-objective", "prose": "individuals requiring access to organizational information and systems re-sign access agreements to maintain access to organizational systems when access agreements have been updated or frequency."}, {"id": "HRS-06_HRS-06_A04", "name": "assessment-objective", "prose": "the frequency at which to review / update access agreements is defined."}, {"id": "HRS-06_HRS-06_A05", "name": "assessment-objective", "prose": "the frequency at which to re-sign access agreements to maintain access to organizational information is defined."}, {"id": "HRS-06_HRS-06_A06", "name": "assessment-objective", "prose": "the access agreements are reviewed / updated frequently."}]} \N \N \N \N +SCF:HRS-06.1 SCF HRS-06.1 Confidentiality Agreements Mechanisms exist to require Non-Disclosure Agreements (NDAs) or similar confidentiality agreements that reflect the needs to protect data and operational details, or both employees and third-parties. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-06.1_HRS-06.1_A01", "name": "assessment-objective", "prose": "individuals requiring access to organizational information and systems sign appropriate access agreements prior to being granted access."}, {"id": "HRS-06.1_HRS-06.1_A02", "name": "assessment-objective", "prose": "individuals requiring access to organizational information and systems re-sign access agreements to maintain access to organizational systems when access agreements have been updated or frequency."}, {"id": "HRS-06.1_HRS-06.1_A03", "name": "assessment-objective", "prose": "the frequency at which to review / update access agreements is defined."}, {"id": "HRS-06.1_HRS-06.1_A04", "name": "assessment-objective", "prose": "the frequency at which to re-sign access agreements to maintain access to organizational information is defined."}, {"id": "HRS-06.1_HRS-06.1_A05", "name": "assessment-objective", "prose": "access agreements are developed and documented for organizational systems."}, {"id": "HRS-06.1_HRS-06.1_A06", "name": "assessment-objective", "prose": "the access agreements are reviewed / updated frequently."}, {"id": "HRS-06.1_HRS-06.1_A07", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who have a valid access authorization that is demonstrated by assigned duties."}, {"id": "HRS-06.1_HRS-06.1_A08", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who satisfy associated personnel security criteria."}, {"id": "HRS-06.1_HRS-06.1_A09", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who have read, understood and signed a non-disclosure agreement."}]} \N \N \N \N +SCF:HRS-06.2 SCF HRS-06.2 Post-Employment Requirements Awareness Mechanisms exist to notify individuals of their applicable, legally-binding post-employment requirements for the protection of sensitive/regulated data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-06.2_HRS-06.2_A01", "name": "assessment-objective", "prose": "individuals are notified of applicable, legally binding post-employment requirements for the protection of organizational information."}, {"id": "HRS-06.2_HRS-06.2_A02", "name": "assessment-objective", "prose": "individuals are required to sign an acknowledgement of applicable, legally binding post-employment requirements as part of being granted initial access to covered information."}]} \N \N \N \N +SCF:HRS-07 SCF HRS-07 Personnel Sanctions Mechanisms exist to sanction personnel failing to comply with established security policies, standards and procedures. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-07_HRS-07_A01", "name": "assessment-objective", "prose": "a formal sanctions process is employed for individuals failing to comply with established cybersecurity / data privacy policies and procedures."}, {"id": "HRS-07_HRS-07_A02", "name": "assessment-objective", "prose": "criteria and/or process for terminating system access authorization and any credentials coincide with personnel actions is established."}, {"id": "HRS-07_HRS-07_A03", "name": "assessment-objective", "prose": "personnel or roles to be notified when a formal employee sanctions process is initiated is/are defined."}, {"id": "HRS-07_HRS-07_A04", "name": "assessment-objective", "prose": "the time period within which organization-defined personnel or roles must be notified when a formal employee sanctions process is initiated is defined."}, {"id": "HRS-07_HRS-07_A05", "name": "assessment-objective", "prose": "personnel or roles is/are notified within an organization-defined time period when a formal employee sanctions process is initiated, identifying the individual sanctioned and the reason for the sanction."}, {"id": "HRS-07_HRS-07_A06", "name": "assessment-objective", "prose": "system access and credentials are terminated consistent with personnel actions such as termination or transfer."}, {"id": "HRS-07_HRS-07_A07", "name": "assessment-objective", "prose": "the system is protected during and after personnel transfer actions."}, {"id": "HRS-07_HRS-07_A08", "name": "assessment-objective", "prose": "individuals with access to sensitive / regulated data are identified."}, {"id": "HRS-07_HRS-07_A09", "name": "assessment-objective", "prose": "adverse information about individuals with access to sensitive / regulated data is defined."}, {"id": "HRS-07_HRS-07_A10", "name": "assessment-objective", "prose": "organizational systems to which individuals have access are identified."}, {"id": "HRS-07_HRS-07_A11", "name": "assessment-objective", "prose": "mechanisms are in place to protect organizational systems if adverse information develops or is obtained about individuals with access to sensitive / regulated data."}]} \N \N \N \N +SCF:HRS-07.1 SCF HRS-07.1 Workplace Investigations Mechanisms exist to conduct employee misconduct investigations when there is reasonable assurance that a policy has been violated. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-07.1_HRS-07.1_A01", "name": "assessment-objective", "prose": "individuals with access to sensitive / regulated data are identified."}, {"id": "HRS-07.1_HRS-07.1_A02", "name": "assessment-objective", "prose": "adverse information about individuals with access to sensitive / regulated data is defined."}, {"id": "HRS-07.1_HRS-07.1_A03", "name": "assessment-objective", "prose": "organizational systems to which individuals have access are identified."}, {"id": "HRS-07.1_HRS-07.1_A04", "name": "assessment-objective", "prose": "mechanisms are in place to protect organizational systems if adverse information develops or is obtained about individuals with access to sensitive / regulated data."}]} \N \N \N \N +SCF:HRS-07.2 SCF HRS-07.2 Updating Disciplinary Processes Mechanisms exist to periodically review and, where appropriate, update disciplinary practices due to:\r\n(1) Legal changes;\r\n(2) Significant changes to operations; and\r\n(3) Applicable threats and risks. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-07.2_HRS-07.2_A01", "name": "assessment-objective", "prose": "disciplinary processes are updated due to legal changes (e.g., new laws or regulations)."}, {"id": "HRS-07.2_HRS-07.2_A02", "name": "assessment-objective", "prose": "disciplinary processes are updated due to significant changes to operations (e.g., new locations, technologies, etc.)."}, {"id": "HRS-07.2_HRS-07.2_A03", "name": "assessment-objective", "prose": "disciplinary processes are updated due to applicable threats and risks."}]} \N \N \N \N +SCF:HRS-07.3 SCF HRS-07.3 Preventative Access Restriction Mechanisms exist to proactively restrict logical and physical access when an individual with access to sensitive/regulated data is under investigation for personnel sanctions that may lead to employment termination. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-07.3_HRS-07.3_A01", "name": "assessment-objective", "prose": "logical access is proactively restricted when an individual with access to sensitive/regulated data is under investigation for personnel sanctions that may lead to employment termination."}, {"id": "HRS-07.3_HRS-07.3_A02", "name": "assessment-objective", "prose": "physical access is proactively restricted when an individual with access to sensitive/regulated data is under investigation for personnel sanctions that may lead to employment termination."}]} \N \N \N \N +SCF:HRS-08 SCF HRS-08 Personnel Transfer Mechanisms exist to adjust logical and physical access authorizations to Technology Assets, Applications and/or Services (TAAS) and facilities upon personnel reassignment or transfer, in a timely manner. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-08_HRS-08_A01", "name": "assessment-objective", "prose": "criteria and/or process for terminating system access authorization and any credentials coincide with personnel actions is established."}, {"id": "HRS-08_HRS-08_A02", "name": "assessment-objective", "prose": "system access and credentials are terminated consistent with personnel actions such as termination or transfer."}, {"id": "HRS-08_HRS-08_A03", "name": "assessment-objective", "prose": "the system is protected during and after personnel transfer actions."}, {"id": "HRS-08_HRS-08_A04", "name": "assessment-objective", "prose": "transfer or reassignment actions to be initiated following transfer or reassignment are defined."}, {"id": "HRS-08_HRS-08_A05", "name": "assessment-objective", "prose": "the time period within which transfer or reassignment actions must occur following transfer or reassignment is defined."}, {"id": "HRS-08_HRS-08_A06", "name": "assessment-objective", "prose": "personnel or roles to be notified when individuals are reassigned or transferred to other positions within the organization is/are defined."}, {"id": "HRS-08_HRS-08_A07", "name": "assessment-objective", "prose": "time period within which to notify organization-defined personnel or roles when individuals are reassigned or transferred to other positions within the organization is defined."}, {"id": "HRS-08_HRS-08_A08", "name": "assessment-objective", "prose": "the ongoing operational need for current logical and physical access authorizations to systems and facilities are reviewed and confirmed when individuals are reassigned or transferred to other positions within the organization."}, {"id": "HRS-08_HRS-08_A09", "name": "assessment-objective", "prose": "transfer or reassignment actions are initiated within an organization-defined time period following the formal transfer action."}, {"id": "HRS-08_HRS-08_A10", "name": "assessment-objective", "prose": "access authorization is modified as needed to correspond with any changes in operational need due to reassignment or transfer."}, {"id": "HRS-08_HRS-08_A11", "name": "assessment-objective", "prose": "personnel or roles are notified within an organization-defined time period."}, {"id": "HRS-08_HRS-08_A12", "name": "assessment-objective", "prose": "the time period within which to disable system access is defined."}, {"id": "HRS-08_HRS-08_A13", "name": "assessment-objective", "prose": "upon individual reassignment or transfer to other positions in the organization, the ongoing operational need for current logical and physical access authorizations to the system and facility is reviewed."}, {"id": "HRS-08_HRS-08_A14", "name": "assessment-objective", "prose": "upon individual reassignment or transfer to other positions in the organization, the ongoing operational need for current logical and physical access authorizations to the system and facility is confirmed."}, {"id": "HRS-08_HRS-08_A15", "name": "assessment-objective", "prose": "upon individual reassignment or transfer to other positions in the organization, access authorization is modified to correspond with any changes in operational need."}]} \N \N \N \N +SCF:HRS-09 SCF HRS-09 Personnel Termination Mechanisms exist to govern the termination of individual employment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-09_HRS-09_A01", "name": "assessment-objective", "prose": "criteria and/or process for terminating system access authorization and any credentials coincide with personnel actions is established."}, {"id": "HRS-09_HRS-09_A02", "name": "assessment-objective", "prose": "system access and credentials are terminated consistent with personnel actions such as termination or transfer."}, {"id": "HRS-09_HRS-09_A03", "name": "assessment-objective", "prose": "the system is protected during and after personnel transfer actions."}, {"id": "HRS-09_HRS-09_A04", "name": "assessment-objective", "prose": "the time period within which to disable system access is defined."}, {"id": "HRS-09_HRS-09_A05", "name": "assessment-objective", "prose": "cybersecurity topics to be discussed when conducting exit interviews are defined."}, {"id": "HRS-09_HRS-09_A06", "name": "assessment-objective", "prose": "upon termination of individual employment, authenticators associated with the individual are terminated or revoked."}, {"id": "HRS-09_HRS-09_A07", "name": "assessment-objective", "prose": "upon termination of individual employment, credentials associated with the individual are terminated or revoked."}, {"id": "HRS-09_HRS-09_A08", "name": "assessment-objective", "prose": "upon termination of individual employment, exit interviews that include a discussion of cybersecurity topics are conducted."}, {"id": "HRS-09_HRS-09_A09", "name": "assessment-objective", "prose": "upon termination of individual employment, security-related system property is retrieved."}, {"id": "HRS-09_HRS-09_A10", "name": "assessment-objective", "prose": "upon termination of individual employment, access to organizational information and systems formerly controlled by the terminated individual are retained."}, {"id": "HRS-09_HRS-09_A11", "name": "assessment-objective", "prose": "upon termination of individual employment, system access is disabled within an organization-defined time period."}, {"id": "HRS-09_HRS-09_A12", "name": "assessment-objective", "prose": "upon termination of individual employment, system access is disabled within ."}]} \N \N \N \N +SCF:HRS-09.1 SCF HRS-09.1 Asset Collection Mechanisms exist to retrieve organization-owned assets upon termination of an individual's employment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-09.1_HRS-09.1_A01", "name": "assessment-objective", "prose": "upon termination of individual employment, security-related system property is retrieved."}]} \N \N \N \N +SCF:HRS-09.2 SCF HRS-09.2 High-Risk Terminations Mechanisms exist to expedite the process of removing "high risk" individual’s access to Technology Assets, Applications, Services and/or Data (TAASD) upon termination, as determined by management. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-09.2_HRS-09.2_A01", "name": "assessment-objective", "prose": "time period within which to disable accounts of individuals who are discovered to pose significant risk is defined."}, {"id": "HRS-09.2_HRS-09.2_A02", "name": "assessment-objective", "prose": "significant risks leading to disabling accounts are defined."}, {"id": "HRS-09.2_HRS-09.2_A03", "name": "assessment-objective", "prose": "accounts of individuals are disabled within an organization-defined time period of discovery of organization-defined significant risks."}, {"id": "HRS-09.2_HRS-09.2_A04", "name": "assessment-objective", "prose": "individuals with access to sensitive / regulated data are identified."}, {"id": "HRS-09.2_HRS-09.2_A05", "name": "assessment-objective", "prose": "adverse information about individuals with access to sensitive / regulated data is defined."}, {"id": "HRS-09.2_HRS-09.2_A06", "name": "assessment-objective", "prose": "organizational systems to which individuals have access are identified."}, {"id": "HRS-09.2_HRS-09.2_A07", "name": "assessment-objective", "prose": "mechanisms are in place to protect organizational systems if adverse information develops or is obtained about individuals with access to sensitive / regulated data."}]} \N \N \N \N +SCF:HRS-09.3 SCF HRS-09.3 Post-Employment Requirements Notification Mechanisms exist to govern former employee behavior by formally notifying terminated individuals of their applicable, legally binding post-employment requirements for the protection of sensitive/regulated data. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-09.3_HRS-09.3_A01", "name": "assessment-objective", "prose": "terminated individuals are notified of applicable, legally binding post-employment requirements for the protection of organizational information."}, {"id": "HRS-09.3_HRS-09.3_A02", "name": "assessment-objective", "prose": "terminated individuals are required to sign an acknowledgement of post-employment requirements as part of the organizational termination process."}]} \N \N \N \N +SCF:HRS-09.4 SCF HRS-09.4 Automated Employment Status Notifications Automated mechanisms exist to notify Identity and Access Management (IAM) personnel or roles upon termination of an individual employment or contract. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-09.4_HRS-09.4_A01", "name": "assessment-objective", "prose": "automated mechanisms to notify personnel or roles of individual termination actions and/or to disable access to system resources are defined."}, {"id": "HRS-09.4_HRS-09.4_A02", "name": "assessment-objective", "prose": "personnel or roles to be notified upon termination of an individual is/are defined."}, {"id": "HRS-09.4_HRS-09.4_A03", "name": "assessment-objective", "prose": "automated mechanisms are used to notify personnel or roles of individual termination actions and/or disable access to system resources."}]} \N \N \N \N +SCF:HRS-10 SCF HRS-10 Third-Party Personnel Mechanisms exist to govern third-party personnel by reviewing and monitoring third-party security, compliance and/or resilience roles and responsibilities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-10_HRS-10_A01", "name": "assessment-objective", "prose": "personnel or roles to be notified of any personnel transfers or terminations of external personnel who possess organizational credentials and/or badges or who have system privileges is/are defined."}, {"id": "HRS-10_HRS-10_A02", "name": "assessment-objective", "prose": "time period within which third-party providers are required to notify organization-defined personnel or roles of any personnel transfers or terminations of external personnel who possess organizational credentials and/or badges or who have system privileges is defined."}, {"id": "HRS-10_HRS-10_A03", "name": "assessment-objective", "prose": "personnel security requirements are established, including security roles and responsibilities for external providers."}, {"id": "HRS-10_HRS-10_A04", "name": "assessment-objective", "prose": "external providers are required to comply with personnel security policies and procedures established by the organization."}, {"id": "HRS-10_HRS-10_A05", "name": "assessment-objective", "prose": "personnel security requirements are documented."}, {"id": "HRS-10_HRS-10_A06", "name": "assessment-objective", "prose": "external providers are required to notify personnel or roles of any personnel transfers or terminations of external personnel who possess organizational credentials and/or badges or who have system privileges within an organization-defined time period."}, {"id": "HRS-10_HRS-10_A07", "name": "assessment-objective", "prose": "provider compliance with personnel security requirements is monitored."}]} \N \N \N \N +SCF:HRS-12 SCF HRS-12 Incompatible Roles Mechanisms exist to avoid incompatible development-specific roles through limiting and reviewing developer privileges to change hardware, software and firmware components within a production/operational environment. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-12_HRS-11_A04", "name": "assessment-objective", "prose": "duties of individuals requiring separation are identified."}, {"id": "HRS-12_HRS-12_A01", "name": "assessment-objective", "prose": "incompatible development-specific roles are prevented through limiting and reviewing developer privileges to change hardware, software and firmware components within a production/operational environment."}]} \N \N \N \N +SCF:HRS-12.1 SCF HRS-12.1 Two-Person Rule Mechanisms exist to enforce a two-person rule for implementing changes to sensitive Technology Assets, Applications and/or Services (TAAS). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-12.1_HRS-12.1_A01", "name": "assessment-objective", "prose": "privileged commands and/or other actions requiring dual authorization are defined."}, {"id": "HRS-12.1_HRS-12.1_A02", "name": "assessment-objective", "prose": "dual authorization is enforced for organization-defined privileged commands and/or other actions."}, {"id": "HRS-12.1_HRS-12.1_A03", "name": "assessment-objective", "prose": "critical or sensitive system and organizational operations for which dual authorization is to be enforced are identified."}, {"id": "HRS-12.1_HRS-12.1_A04", "name": "assessment-objective", "prose": "dual authorization is employed to execute critical or sensitive system and organizational operations."}]} \N \N \N \N +SCF:HRS-13 SCF HRS-13 Identify Critical Skills & Gaps Mechanisms exist to evaluate the critical security, compliance and resilience skills needed to support the organization's mission and identify gaps that exist. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-13_HRS-13_A01", "name": "assessment-objective", "prose": "critical cybersecurity / data privacy skills needed to support the organization's mission are defined."}, {"id": "HRS-13_HRS-13_A02", "name": "assessment-objective", "prose": "gaps / shortfalls in identified critical cybersecurity / data privacy skills needed to support the organization's mission are identified."}]} \N \N \N \N +SCF:HRS-13.1 SCF HRS-13.1 Remediate Identified Skills Deficiencies Mechanisms exist to remediate critical skills deficiencies necessary to support the organization's mission and business functions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-13.1_HRS-13.1_A01", "name": "assessment-objective", "prose": "a plan to remediate critical skills deficiencies necessary to support the organization's mission and business functions is defined."}, {"id": "HRS-13.1_HRS-13.1_A02", "name": "assessment-objective", "prose": "a plan to remediate critical skills deficiencies necessary to support the organization's mission and business functions is implemented."}]} \N \N \N \N +SCF:HRS-13.2 SCF HRS-13.2 Identify Vital Security, Compliance & Resilience Staff Mechanisms exist to identify vital security, compliance and resilience staff. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-13.2_HRS-13.2_A01", "name": "assessment-objective", "prose": "vital cybersecurity / data privacy staff are identified."}]} \N \N \N \N +SCF:HRS-13.3 SCF HRS-13.3 Establish Redundancy for Vital Security, Compliance & Resilience Staff Mechanisms exist to establish redundancy for vital security, compliance and resilience staff. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-13.3_HRS-13.3_A01", "name": "assessment-objective", "prose": "redundancy for vital cybersecurity / data privacy staff is defined."}, {"id": "HRS-13.3_HRS-13.3_A02", "name": "assessment-objective", "prose": "redundancy for vital cybersecurity / data privacy staff is implemented."}]} \N \N \N \N +SCF:HRS-13.4 SCF HRS-13.4 Perform Succession Planning Mechanisms exist to perform succession planning for vital security, compliance and resilience roles. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-13.4_HRS-13.4_A01", "name": "assessment-objective", "prose": "succession planning for vital cybersecurity / data privacy roles is performed."}]} \N \N \N \N +SCF:HRS-14 SCF HRS-14 Identifying Authorized Work Locations Mechanisms exist to identify and document authorized working locations, including:\r\n(1) Designated on-premises, organization-controlled work locations; and\r\n(2) Other off-premises locations not under organization-control (e.g., work from home). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-14_HRS-14_A01", "name": "assessment-objective", "prose": "authorized working locations which are not on organization-controlled premises are defined."}]} \N \N \N \N +SCF:HRS-14.1 SCF HRS-14.1 Communicating Authorized Work Locations Mechanisms exist to communicate authorized work locations to organizational personnel. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-14.1_HRS-14.1_A01", "name": "assessment-objective", "prose": "authorized working locations are communicated to personnel."}]} \N \N \N \N +SCF:HRS-15 SCF HRS-15 Reporting Suspicious Activities Mechanisms exist to enable personnel to report suspicious activities and/or behavior without fear of reprisal or other negative consequences (e.g., whistleblower protections). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Human Resources Security", "assessment_objective": [{"id": "HRS-15_HRS-15_A01", "name": "assessment-objective", "prose": "personnel are empowered to efficiently report suspicious activities and/or behavior without fear of recrimination."}, {"id": "HRS-15_HRS-15_A02", "name": "assessment-objective", "prose": "personnel are provided with an anonymous means to report suspicious activities and/or behavior."}]} \N \N \N \N +SCF:IAC-01 SCF IAC-01 Identity & Access Management (IAM) Mechanisms exist to facilitate the implementation of identification and access management controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-01_IAC-01_A01", "name": "assessment-objective", "prose": "a capability to govern logical identification and access management controls is implemented."}, {"id": "IAC-01_IAC-01_A02", "name": "assessment-objective", "prose": "the Identity & Access Management (IAM) program is organization-wide."}, {"id": "IAC-01_IAC-01_A03", "name": "assessment-objective", "prose": "Identity and Access Management (IAM) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "IAC-01_IAC-01_A04", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Identity and Access Management (IAM) operations."}, {"id": "IAC-01_IAC-01_A05", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Identity and Access Management (IAM)-related activities are assigned to designated personnel."}, {"id": "IAC-01_IAC-01_A06", "name": "assessment-objective", "prose": "personnel performing Identity and Access Management (IAM)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:IAC-01.1 SCF IAC-01.1 Retain Access Records Mechanisms exist to retain a record of personnel accountability to ensure there is a record of all access granted to an individual (system and application-wise), who provided the authorization, when the authorization was granted and when the access was last reviewed. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-01.1_IAC-01.1_A01", "name": "assessment-objective", "prose": "a record of personnel accountability is retained to ensure there is a record of all access granted to an individual (system and application-wise)."}, {"id": "IAC-01.1_IAC-01.1_A02", "name": "assessment-objective", "prose": "a record of personnel accountability is retained to ensure there is a record of who provided the authorization."}, {"id": "IAC-01.1_IAC-01.1_A03", "name": "assessment-objective", "prose": "a record of personnel accountability is retained to ensure there is a record of when the authorization was granted and when the access was last reviewed."}, {"id": "IAC-01.1_IAC-01.1_A04", "name": "assessment-objective", "prose": "a record of personnel accountability is retained to ensure there is a record of when the access was last reviewed."}]} \N \N \N \N +SCF:IAC-01.2 SCF IAC-01.2 Authenticate, Authorize and Audit (AAA) Mechanisms exist to strictly govern the use of Authenticate, Authorize and Audit (AAA) solutions, both on-premises and those hosted by an External Service Provider (ESP). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-01.2_IAC-01.2_A01", "name": "assessment-objective", "prose": "access to the system is authorized based on a valid access authorization."}, {"id": "IAC-01.2_IAC-01.2_A02", "name": "assessment-objective", "prose": "system users are uniquely identified."}, {"id": "IAC-01.2_IAC-01.2_A03", "name": "assessment-objective", "prose": "system users are authenticated."}, {"id": "IAC-01.2_IAC-01.2_A04", "name": "assessment-objective", "prose": "an inventory of Authenticate, Authorize and Audit (AAA) solutions exists, including instances on-premises and hosted by an External Service Provider (ESP)."}, {"id": "IAC-01.2_IAC-01.2_A05", "name": "assessment-objective", "prose": "procedures exist to govern on-premises Authenticate, Authorize and Audit (AAA) solutions by assigned stakeholders."}, {"id": "IAC-01.2_IAC-01.2_A06", "name": "assessment-objective", "prose": "contracts with External Service Providers (ESPs) contain explicit governance requirements for ESP-controlled Authenticate, Authorize and Audit (AAA) solutions."}, {"id": "IAC-01.2_IAC-01.2_A07", "name": "assessment-objective", "prose": "access to the system is authorized based on intended system usage."}, {"id": "IAC-01.2_IAC-01.2_A08", "name": "assessment-objective", "prose": "each type of wireless access to the system is authorized prior to establishing such connections."}]} \N \N \N \N +SCF:IAC-01.3 SCF IAC-01.3 User & Service Account Inventories Mechanisms exist to maintain a current list of authorized users and service accounts. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-01.3_IAC-01.3_A01", "name": "assessment-objective", "prose": "a current list of authorized users and services is maintained."}]} \N \N \N \N +SCF:IAC-02 SCF IAC-02 Identification & Authentication for Organizational Users Mechanisms exist to uniquely identify and centrally Authenticate, Authorize and Audit (AAA) organizational users and processes acting on behalf of organizational users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-02_IAC-02_A01", "name": "assessment-objective", "prose": "system, application and service users are identified."}, {"id": "IAC-02_IAC-02_A02", "name": "assessment-objective", "prose": "the identity of each user is authenticated or verified as a prerequisite to system access."}, {"id": "IAC-02_IAC-02_A03", "name": "assessment-objective", "prose": "processes acting on behalf of users are associated with uniquely identified and authenticated system users."}, {"id": "IAC-02_IAC-02_A04", "name": "assessment-objective", "prose": "the identity of each process acting on behalf of a user is authenticated or verified as a prerequisite to system access."}, {"id": "IAC-02_IAC-02_A05", "name": "assessment-objective", "prose": "the identity of each device accessing or connecting to the system is authenticated or verified as a prerequisite to system access."}, {"id": "IAC-02_IAC-02_A06", "name": "assessment-objective", "prose": "the unique identification of authenticated organizational users is associated with processes acting on behalf of those users."}, {"id": "IAC-02_IAC-02_A07", "name": "assessment-objective", "prose": "devices accessing the system are identified."}, {"id": "IAC-02_IAC-02_A08", "name": "assessment-objective", "prose": "individual identifiers are managed by uniquely identifying each individual as ."}]} \N \N \N \N +SCF:IAC-02.1 SCF IAC-02.1 Group Authentication Mechanisms exist to require individuals to be authenticated with an individual authenticator when a group authenticator is utilized. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-02.1_IAC-02.1_A01", "name": "assessment-objective", "prose": "users are required to be individually authenticated before granting access to the shared accounts or resources when shared accounts or authenticators are employed."}]} \N \N \N \N +SCF:IAC-02.2 SCF IAC-02.2 Replay-Resistant Authentication Automated mechanisms exist to employ replay-resistant authentication. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-02.2_IAC-02.2_A01", "name": "assessment-objective", "prose": "replay-resistant authentication mechanisms for access to privileged accounts are implemented."}, {"id": "IAC-02.2_IAC-02.2_A02", "name": "assessment-objective", "prose": "replay-resistant authentication mechanisms for access to non-privileged accounts are implemented."}, {"id": "IAC-02.2_IAC-02.2_A03", "name": "assessment-objective", "prose": "replay resistance is implemented in the establishment of nonlocal maintenance and diagnostic sessions."}, {"id": "IAC-02.2_IAC-02.2_A04", "name": "assessment-objective", "prose": "systems and system components to identify and authenticate are defined."}, {"id": "IAC-02.2_IAC-02.2_A05", "name": "assessment-objective", "prose": "bidirectional authentication that is cryptographically-based is implemented."}, {"id": "IAC-02.2_IAC-02.2_A06", "name": "assessment-objective", "prose": "bidirectional authentication that is replay-resistant is implemented."}, {"id": "IAC-02.2_IAC-02.2_A07", "name": "assessment-objective", "prose": "systems and system components are identified and authenticated before establishing a network connection using bidirectional authentication that is cryptographically-based and replay- resistant."}]} \N \N \N \N +SCF:IAC-02.3 SCF IAC-02.3 Acceptance of PIV Credentials Mechanisms exist to accept and electronically verify organizational Personal Identity Verification (PIV) credentials. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-02.3_IAC-02.3_A01", "name": "assessment-objective", "prose": "Personal Identity Verification (PIV)-compliant credentials are accepted and electronically verified."}, {"id": "IAC-02.3_IAC-02.3_A02", "name": "assessment-objective", "prose": "organizational controls for using federated or PKI credentials are defined."}, {"id": "IAC-02.3_IAC-02.3_A03", "name": "assessment-objective", "prose": "federated or PKI credentials that meet policy are accepted."}, {"id": "IAC-02.3_IAC-02.3_A04", "name": "assessment-objective", "prose": "federated or PKI credentials that meet policy are verified."}]} \N \N \N \N +SCF:IAC-02.4 SCF IAC-02.4 Out-of-Band Authentication (OOBA) Mechanisms exist to implement Out-of-Band Authentication (OOBA) under specific conditions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-02.4_IAC-02.4_A01", "name": "assessment-objective", "prose": "out-of-band authentication mechanisms to be implemented are defined."}, {"id": "IAC-02.4_IAC-02.4_A02", "name": "assessment-objective", "prose": "conditions under which out-of-band authentication is to be implemented are defined."}, {"id": "IAC-02.4_IAC-02.4_A03", "name": "assessment-objective", "prose": "out-of-band authentication mechanisms are implemented under organization-defined conditions."}]} \N \N \N \N +SCF:IAC-03 SCF IAC-03 Identification & Authentication for Non-Organizational Users Mechanisms exist to uniquely identify and centrally Authenticate, Authorize and Audit (AAA) third-party users and processes that provide services to the organization. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03_IAC-03_A01", "name": "assessment-objective", "prose": "non-organizational users or processes acting on behalf of non-organizational users are uniquely identified and authenticated."}]} \N \N \N \N +SCF:IAC-03.1 SCF IAC-03.1 Acceptance of PIV Credentials from Other Organizations Mechanisms exist to accept and electronically verify Personal Identity Verification (PIV) credentials from third-parties. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03.1_IAC-03.1_A01", "name": "assessment-objective", "prose": "Personal Identity Verification (PIV)-compliant credentials from other federal agencies are accepted."}, {"id": "IAC-03.1_IAC-03.1_A02", "name": "assessment-objective", "prose": "Personal Identity Verification (PIV)-compliant credentials from other federal agencies are electronically verified."}]} \N \N \N \N +SCF:IAC-03.2 SCF IAC-03.2 Acceptance of Third-Party Credentials Automated mechanisms exist to accept Federal Identity, Credential and Access Management (FICAM)-approved third-party credentials. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03.2_IAC-03.2_A01", "name": "assessment-objective", "prose": "only external authenticators that are NIST-compliant are accepted."}, {"id": "IAC-03.2_IAC-03.2_A02", "name": "assessment-objective", "prose": "a list of accepted external authenticators is documented."}, {"id": "IAC-03.2_IAC-03.2_A03", "name": "assessment-objective", "prose": "a list of accepted external authenticators is maintained."}]} \N \N \N \N +SCF:IAC-03.3 SCF IAC-03.3 Use of FICAM-Issued Profiles Mechanisms exist to conform systems to Federal Identity, Credential and Access Management (FICAM)-issued profiles. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03.3_IAC-03.3_A01", "name": "assessment-objective", "prose": "identity management profiles are defined."}, {"id": "IAC-03.3_IAC-03.3_A02", "name": "assessment-objective", "prose": "there is conformance with identity management profiles for identity management."}]} \N \N \N \N +SCF:IAC-03.4 SCF IAC-03.4 Disassociability Mechanisms exist to disassociate user attributes or credential assertion relationships among individuals, credential service providers and relying parties. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03.4_IAC-03.4_A01", "name": "assessment-objective", "prose": "disassociability measures are defined."}, {"id": "IAC-03.4_IAC-03.4_A02", "name": "assessment-objective", "prose": "measures to disassociate user attributes or identifier assertion relationships among individuals, credential service providers and relying parties are implemented."}]} \N \N \N \N +SCF:IAC-06.2 SCF IAC-06.2 Network Access to Non-Privileged Accounts Mechanisms exist to utilize Multi-Factor Authentication (MFA) to authenticate network access for non-privileged accounts. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06.2_IAC-06.2_A01", "name": "assessment-objective", "prose": "multifactor authentication is implemented for network access to non-privileged accounts."}]} \N \N \N \N +SCF:IAC-03.5 SCF IAC-03.5 Acceptance of External Authenticators Mechanisms exist to restrict the use of external authenticators to those that are National Institute of Standards and Technology (NIST)-compliant and maintain a list of accepted external authenticators. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-03.5_IAC-03.5_A01", "name": "assessment-objective", "prose": "the use of external authenticators is restricted to those that are National Institute of Standards and Technology (NIST)-compliant and maintain a list of accepted external authenticators."}]} \N \N \N \N +SCF:IAC-04 SCF IAC-04 Identification & Authentication for Devices Mechanisms exist to uniquely identify and centrally Authenticate, Authorize and Audit (AAA) devices before establishing a connection using bidirectional authentication that is cryptographically- based and replay resistant. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-04_IAC-04_A01", "name": "assessment-objective", "prose": "devices or types of devices to be uniquely identified and authenticated before establishing a connection are defined."}, {"id": "IAC-04_IAC-04_A02", "name": "assessment-objective", "prose": "organization-defined devices or types of devices are authenticated before establishing a system connection."}, {"id": "IAC-04_IAC-04_A03", "name": "assessment-objective", "prose": "devices and/or types of devices are uniquely identified and authenticated before establishing a local connection."}, {"id": "IAC-04_IAC-04_A04", "name": "assessment-objective", "prose": "devices and/or types of devices are uniquely identified and authenticated before establishing a remote connection."}, {"id": "IAC-04_IAC-04_A05", "name": "assessment-objective", "prose": "device identification and authentication are handled based on attestation by configuration management process."}, {"id": "IAC-04_IAC-04_A06", "name": "assessment-objective", "prose": "devices and/or types of devices requiring use of cryptographically based, bidirectional authentication to authenticate before establishing one or more connections are defined."}, {"id": "IAC-04_IAC-04_A07", "name": "assessment-objective", "prose": "devices and/or types of devices are authenticated before establishing a local connection using bidirectional authentication that is cryptographically based."}, {"id": "IAC-04_IAC-04_A08", "name": "assessment-objective", "prose": "devices and/or types of devices are authenticated before establishing a remote connection using bidirectional authentication that is cryptographically based."}, {"id": "IAC-04_IAC-04_A09", "name": "assessment-objective", "prose": "devices and/or types of devices are authenticated before establishing a network connection using bidirectional authentication that is cryptographically based."}, {"id": "IAC-04_IAC-04_A10", "name": "assessment-objective", "prose": " are uniquely identified before establishing a system connection."}, {"id": "IAC-04_IAC-04_A11", "name": "assessment-objective", "prose": " are authenticated before establishing a system connection."}]} \N \N \N \N +SCF:IAC-04.1 SCF IAC-04.1 Device Attestation Mechanisms exist to ensure device identification and authentication is accurate by centrally-managing the joining of systems to the domain as part of the initial asset configuration management process. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-04.1_IAC-04.1_A01", "name": "assessment-objective", "prose": "configuration management process to be employed to handle device identification and authentication based on attestation is defined."}]} \N \N \N \N +SCF:IAC-04.2 SCF IAC-04.2 Device Authorization Enforcement Mechanisms exist to enforce cryptographic communications keys to prevent one key from being used to access multiple devices. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-04.2_IAC-04.2_A01", "name": "assessment-objective", "prose": "unique device cryptographic communications keys are used to prevent one key from being used to access multiple devices."}]} \N \N \N \N +SCF:IAC-05 SCF IAC-05 Identification & Authentication for Third-Party Technology Assets, Applications and/or Ser Mechanisms exist to identify and authenticate third-party Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-05_IAC-05_A01", "name": "assessment-objective", "prose": "system services and applications to be uniquely identified and authenticated are defined."}, {"id": "IAC-05_IAC-05_A02", "name": "assessment-objective", "prose": "system services and applications are uniquely identified and authenticated before establishing communications with devices, users or other services or applications."}]} \N \N \N \N +SCF:IAC-05.1 SCF IAC-05.1 Sharing Identification & Authentication Information Mechanisms exist to ensure external service providers provide current and accurate information for any third-party user with access to the organization's data or assets. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-05.1_IAC-05.1_A01", "name": "assessment-objective", "prose": "third-party service providers provide the organization with current and accurate information for any third-party user with access to the organization's data or assets."}]} \N \N \N \N +SCF:IAC-05.2 SCF IAC-05.2 Privileged Access by Non-Organizational Users Mechanisms exist to prohibit privileged access by non-organizational users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-05.2_IAC-05.2_A01", "name": "assessment-objective", "prose": "privileged access by non-organizational users is prohibited."}]} \N \N \N \N +SCF:IAC-06 SCF IAC-06 Multi-Factor Authentication (MFA) Automated mechanisms exist to enforce Multi-Factor Authentication (MFA) for:\r\n(1) Remote network access; \r\n(2) Third-party Technology Assets, Applications and/or Services (TAAS); and/ or\r\n(3) Non-console access to critical TAAS that store, transmit and/or process sensitive/regulated data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06_IAC-06_A01", "name": "assessment-objective", "prose": "multi-factor authentication for access to privileged accounts is implemented."}, {"id": "IAC-06_IAC-06_A02", "name": "assessment-objective", "prose": "multi-factor authentication for access to non-privileged accounts is implemented."}, {"id": "IAC-06_IAC-06_A03", "name": "assessment-objective", "prose": "system components that are known, authenticated, in a properly configured state or in a trust profile are identified."}, {"id": "IAC-06_IAC-06_A04", "name": "assessment-objective", "prose": "automated or manual/procedural mechanisms to prohibit system components from connecting to organizational systems are identified."}, {"id": "IAC-06_IAC-06_A05", "name": "assessment-objective", "prose": "automated or manual/procedural mechanisms are employed to prohibit system components from connecting to organizational systems unless the components are known, authenticated, in a properly configured state or in a trust profile."}, {"id": "IAC-06_IAC-06_A06", "name": "assessment-objective", "prose": "multi-factor authentication is implemented in the establishment of nonlocal maintenance and diagnostic sessions."}]} \N \N \N \N +SCF:IAC-06.1 SCF IAC-06.1 Network Access to Privileged Accounts Mechanisms exist to utilize Multi-Factor Authentication (MFA) to authenticate network access for privileged accounts. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06.1_IAC-06.1_A01", "name": "assessment-objective", "prose": "privileged accounts are identified."}, {"id": "IAC-06.1_IAC-06.1_A02", "name": "assessment-objective", "prose": "multifactor authentication is implemented for network access to privileged accounts."}]} \N \N \N \N +SCF:IAC-06.4 SCF IAC-06.4 Out-of-Band Multi-Factor Authentication Mechanisms exist to implement Multi-Factor Authentication (MFA) for access to privileged and non-privileged accounts such that one of the factors is independently provided by a device separate from the system being accessed. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06.4_IAC-06.4_A01", "name": "assessment-objective", "prose": "multi-factor authentication for access to privileged accounts is implemented."}, {"id": "IAC-06.4_IAC-06.4_A02", "name": "assessment-objective", "prose": "multi-factor authentication for access to non-privileged accounts is implemented."}]} \N \N \N \N +SCF:IAC-06.5 SCF IAC-06.5 Alternative Multi-Factor Authentication Mechanisms exist to enable alternative Multi-Factor Authentication (MFA) tokens when the primary MFA solution is not able to be used. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-06.5_IAC-06.5_A01", "name": "assessment-objective", "prose": "alternative Multi-Factor Authentication (MFA) tokens can be used when the primary MFA solution is inoperable."}]} \N \N \N \N +SCF:IAC-07 SCF IAC-07 User Provisioning & De-Provisioning Mechanisms exist to utilize a formal user registration and de-registration process that governs the assignment of access rights. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-07_IAC-07_A01", "name": "assessment-objective", "prose": "the validation and verification of identity evidence is conducted in person before a designated registration authority."}, {"id": "IAC-07_IAC-07_A02", "name": "assessment-objective", "prose": "authorization is received from organizational personnel or roles to assign an individual, group, role, service, or device identifier."}, {"id": "IAC-07_IAC-07_A03", "name": "assessment-objective", "prose": "system accounts are created in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-07_IAC-07_A04", "name": "assessment-objective", "prose": "system accounts are enabled in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-07_IAC-07_A05", "name": "assessment-objective", "prose": "system accounts are modified in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-07_IAC-07_A06", "name": "assessment-objective", "prose": "system accounts are disabled in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-07_IAC-07_A07", "name": "assessment-objective", "prose": "system accounts are removed in accordance with organizational policy, procedures, prerequisites, and criteria."}]} \N \N \N \N +SCF:IAC-07.1 SCF IAC-07.1 Change of Roles & Duties Mechanisms exist to revoke user access rights following changes in personnel roles and duties, if no longer necessary or permitted. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-07.1_IAC-07.1_A01", "name": "assessment-objective", "prose": "user access rights are revoked following changes in personnel roles and duties, if no longer necessary or permitted."}]} \N \N \N \N +SCF:IAC-07.2 SCF IAC-07.2 Termination of Employment Mechanisms exist to revoke user access rights in a timely manner, upon termination of employment or contract. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-07.2_IAC-07.2_A01", "name": "assessment-objective", "prose": "prerequisites and criteria for group and role membership are defined."}, {"id": "IAC-07.2_IAC-07.2_A02", "name": "assessment-objective", "prose": "criteria for account creation, enabling, modification, disabling and removal are defined."}, {"id": "IAC-07.2_IAC-07.2_A03", "name": "assessment-objective", "prose": "personnel or roles required to approve requests to create accounts is/are defined."}, {"id": "IAC-07.2_IAC-07.2_A04", "name": "assessment-objective", "prose": "account managers are assigned."}, {"id": "IAC-07.2_IAC-07.2_A05", "name": "assessment-objective", "prose": "attributes (as required) for each account are defined."}, {"id": "IAC-07.2_IAC-07.2_A06", "name": "assessment-objective", "prose": "personnel or roles to be notified is/are defined."}, {"id": "IAC-07.2_IAC-07.2_A07", "name": "assessment-objective", "prose": "time period within which to notify account managers when accounts are no longer required is defined."}, {"id": "IAC-07.2_IAC-07.2_A08", "name": "assessment-objective", "prose": "time period within which to notify account managers when users are terminated or transferred is defined."}, {"id": "IAC-07.2_IAC-07.2_A09", "name": "assessment-objective", "prose": "time period within which to notify account managers when system usage or the need to know changes for an individual is defined."}, {"id": "IAC-07.2_IAC-07.2_A10", "name": "assessment-objective", "prose": "attributes needed to authorize system access (as required) are defined."}, {"id": "IAC-07.2_IAC-07.2_A11", "name": "assessment-objective", "prose": "the frequency of account review is defined."}, {"id": "IAC-07.2_IAC-07.2_A12", "name": "assessment-objective", "prose": "account types allowed for use within the system are defined and documented."}, {"id": "IAC-07.2_IAC-07.2_A13", "name": "assessment-objective", "prose": "account types specifically prohibited for use within the system are defined and documented."}, {"id": "IAC-07.2_IAC-07.2_A14", "name": "assessment-objective", "prose": "prerequisites and criteria for group and role membership are required."}, {"id": "IAC-07.2_IAC-07.2_A15", "name": "assessment-objective", "prose": "authorized users of the system are specified."}, {"id": "IAC-07.2_IAC-07.2_A16", "name": "assessment-objective", "prose": "group and role memberships are specified."}, {"id": "IAC-07.2_IAC-07.2_A17", "name": "assessment-objective", "prose": "access authorizations (i.e., privileges) for each account are specified."}, {"id": "IAC-07.2_IAC-07.2_A18", "name": "assessment-objective", "prose": "attributes (as required) are specified for each account."}, {"id": "IAC-07.2_IAC-07.2_A19", "name": "assessment-objective", "prose": "approvals are required by personnel or roles for requests to create accounts."}, {"id": "IAC-07.2_IAC-07.2_A20", "name": "assessment-objective", "prose": "accounts are created in accordance with policy, procedures, prerequisites and criteria."}, {"id": "IAC-07.2_IAC-07.2_A21", "name": "assessment-objective", "prose": "accounts are enabled in accordance with policy, procedures, prerequisites and criteria."}, {"id": "IAC-07.2_IAC-07.2_A22", "name": "assessment-objective", "prose": "accounts are modified in accordance with policy, procedures, prerequisites and criteria."}, {"id": "IAC-07.2_IAC-07.2_A23", "name": "assessment-objective", "prose": "accounts are disabled in accordance with policy, procedures, prerequisites and criteria."}, {"id": "IAC-07.2_IAC-07.2_A24", "name": "assessment-objective", "prose": "accounts are removed in accordance with policy, procedures, prerequisites and criteria."}, {"id": "IAC-07.2_IAC-07.2_A25", "name": "assessment-objective", "prose": "the use of accounts is monitored."}, {"id": "IAC-07.2_IAC-07.2_A26", "name": "assessment-objective", "prose": "account managers and personnel or roles are notified within an organization-defined time period when accounts are no longer required."}, {"id": "IAC-07.2_IAC-07.2_A27", "name": "assessment-objective", "prose": "account managers and personnel or roles are notified within an organization-defined time period when users are terminated or transferred."}, {"id": "IAC-07.2_IAC-07.2_A28", "name": "assessment-objective", "prose": "account managers and personnel or roles are notified within an organization-defined time period when system usage or the need to know changes for an individual."}, {"id": "IAC-07.2_IAC-07.2_A29", "name": "assessment-objective", "prose": "access to the system is authorized based on a valid access authorization."}, {"id": "IAC-07.2_IAC-07.2_A30", "name": "assessment-objective", "prose": "access to the system is authorized based on intended system usage."}, {"id": "IAC-07.2_IAC-07.2_A31", "name": "assessment-objective", "prose": "access to the system is authorized based on attributes (as required)."}, {"id": "IAC-07.2_IAC-07.2_A32", "name": "assessment-objective", "prose": "accounts are reviewed for compliance with account management requirements frequency."}, {"id": "IAC-07.2_IAC-07.2_A33", "name": "assessment-objective", "prose": "a process is established for changing shared or group account authenticators (if deployed) when individuals are removed from the group."}, {"id": "IAC-07.2_IAC-07.2_A34", "name": "assessment-objective", "prose": "a process is implemented for changing shared or group account authenticators (if deployed) when individuals are removed from the group."}, {"id": "IAC-07.2_IAC-07.2_A35", "name": "assessment-objective", "prose": "account management processes are aligned with personnel termination processes."}, {"id": "IAC-07.2_IAC-07.2_A36", "name": "assessment-objective", "prose": "account management processes are aligned with personnel transfer processes."}, {"id": "IAC-07.2_IAC-07.2_A37", "name": "assessment-objective", "prose": "privileged user accounts are established and administered in accordance with organization-defined criteria."}, {"id": "IAC-07.2_IAC-07.2_A38", "name": "assessment-objective", "prose": "privileged role or attribute assignments are monitored."}, {"id": "IAC-07.2_IAC-07.2_A39", "name": "assessment-objective", "prose": "changes to roles or attributes are monitored."}, {"id": "IAC-07.2_IAC-07.2_A40", "name": "assessment-objective", "prose": "access is revoked when privileged role or attribute assignments are no longer appropriate."}]} \N \N \N \N +SCF:IAC-08 SCF IAC-08 Role-Based Access Control (RBAC) Mechanisms exist to enforce Role-Based Access Control (RBAC) for Technology Assets, Applications, Services and/or Data (TAASD) to restrict access to individuals assigned specific roles with legitimate business needs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-08_IAC-08_A01", "name": "assessment-objective", "prose": "the organization implements a role-based access scheme or an attribute-based access scheme."}, {"id": "IAC-08_IAC-08_A02", "name": "assessment-objective", "prose": "privileged user accounts are established and administered in accordance with organization-defined parameters."}, {"id": "IAC-08_IAC-08_A03", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who have a valid access authorization that is demonstrated by assigned duties."}, {"id": "IAC-08_IAC-08_A04", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who satisfy associated personnel security criteria."}, {"id": "IAC-08_IAC-08_A05", "name": "assessment-objective", "prose": "access to sensitive / regulated data requiring special protection is granted only to individuals who have read, understood and signed a non-disclosure agreement."}, {"id": "IAC-08_IAC-08_A06", "name": "assessment-objective", "prose": "privileged role or attribute assignments are monitored."}, {"id": "IAC-08_IAC-08_A07", "name": "assessment-objective", "prose": "changes to roles or attributes are monitored."}, {"id": "IAC-08_IAC-08_A08", "name": "assessment-objective", "prose": "access is revoked when privileged role or attribute assignments are no longer appropriate."}, {"id": "IAC-08_IAC-08_A09", "name": "assessment-objective", "prose": "security functions for authorized access are defined."}, {"id": "IAC-08_IAC-08_A10", "name": "assessment-objective", "prose": "security-relevant information for authorized access is defined."}, {"id": "IAC-08_IAC-08_A11", "name": "assessment-objective", "prose": "access to is authorized."}, {"id": "IAC-08_IAC-08_A12", "name": "assessment-objective", "prose": "access to is authorized."}, {"id": "IAC-08_IAC-08_A13", "name": "assessment-objective", "prose": "logical access restrictions associated with changes to the system are defined and documented."}, {"id": "IAC-08_IAC-08_A14", "name": "assessment-objective", "prose": "the incident response plan is protected from unauthorized disclosure."}]} \N \N \N \N +SCF:IAC-10.8 SCF IAC-10.8 Default Authenticators Mechanisms exist to ensure default authenticators are changed as part of account creation or system installation. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.8_IAC-10.8_A01", "name": "assessment-objective", "prose": "developers and installers of system components are required to provide unique authenticators or change default authenticators prior to delivery and installation."}]} \N \N \N \N +SCF:IAC-09 SCF IAC-09 Identifier Management (User Names) Mechanisms exist to govern naming standards for usernames and Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09_IAC-09_A01", "name": "assessment-objective", "prose": "personnel or roles from whom authorization must be received to assign an identifier are defined."}, {"id": "IAC-09_IAC-09_A02", "name": "assessment-objective", "prose": "system identifiers are managed by receiving authorization from personnel or roles to assign to an individual, group, role or device identifier."}, {"id": "IAC-09_IAC-09_A03", "name": "assessment-objective", "prose": "the time period for preventing the reuse of identifiers is defined."}, {"id": "IAC-09_IAC-09_A04", "name": "assessment-objective", "prose": "the reuse of identifiers for an organization-defined time period is prevented."}, {"id": "IAC-09_IAC-09_A05", "name": "assessment-objective", "prose": "an identifier that identifies an individual, group, role, service, or device is selected."}, {"id": "IAC-09_IAC-09_A06", "name": "assessment-objective", "prose": "an identifier that identifies an individual, group, role, service, or device is assigned."}, {"id": "IAC-09_IAC-09_A07", "name": "assessment-objective", "prose": "the reuse of identifiers for is prevented."}]} \N \N \N \N +SCF:IAC-09.1 SCF IAC-09.1 User Identity (ID) Management Mechanisms exist to ensure proper user identification management for non-consumer users and administrators. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.1_IAC-09.1_A01", "name": "assessment-objective", "prose": "characteristics used to identify individual status is defined."}, {"id": "IAC-09.1_IAC-09.1_A02", "name": "assessment-objective", "prose": "individual identifiers are managed by uniquely identifying each individual as characteristics."}]} \N \N \N \N +SCF:IAC-09.2 SCF IAC-09.2 Identity User Status Mechanisms exist to identify contractors and other third-party users through unique username characteristics. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.2_IAC-09.2_A01", "name": "assessment-objective", "prose": "characteristic used to identify individual status are defined."}, {"id": "IAC-09.2_IAC-09.2_A02", "name": "assessment-objective", "prose": "individual identifiers are managed by uniquely identifying each individual per an organization-defined characteristic."}, {"id": "IAC-09.2_IAC-09.2_A03", "name": "assessment-objective", "prose": "individual identifiers are managed by uniquely identifying each individual as ."}]} \N \N \N \N +SCF:IAC-09.3 SCF IAC-09.3 Dynamic Management Mechanisms exist to dynamically manage usernames and system identifiers. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.3_IAC-09.3_A01", "name": "assessment-objective", "prose": "individual identifiers are dynamically managed in accordance with dynamic identifier policy."}, {"id": "IAC-09.3_IAC-09.3_A02", "name": "assessment-objective", "prose": "rules for dynamically binding identities and authenticators are defined."}, {"id": "IAC-09.3_IAC-09.3_A03", "name": "assessment-objective", "prose": "identities and authenticators are dynamically bound using organization-defined binding rules."}]} \N \N \N \N +SCF:IAC-09.4 SCF IAC-09.4 Cross-Organization Management Mechanisms exist to coordinate username identifiers with external organizations for cross-organization management of identifiers. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.4_IAC-09.4_A01", "name": "assessment-objective", "prose": "external organizations with whom to coordinate the cross-organization management of identifiers are defined."}, {"id": "IAC-09.4_IAC-09.4_A02", "name": "assessment-objective", "prose": "cross-organization management of identifiers is coordinated with external organizations."}]} \N \N \N \N +SCF:IAC-09.5 SCF IAC-09.5 Privileged Account Identifiers Mechanisms exist to uniquely manage privileged accounts to identify the account as a privileged user or service. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.5_IAC-09.5_A01", "name": "assessment-objective", "prose": "security controls implemented to manage the risk of compromise due to individuals having accounts on multiple systems are defined."}, {"id": "IAC-09.5_IAC-09.5_A02", "name": "assessment-objective", "prose": "security controls are implemented to manage the risk of compromise due to individuals having accounts on multiple systems."}]} \N \N \N \N +SCF:IAC-09.6 SCF IAC-09.6 Pairwise Pseudonymous Identifiers (PPID) Mechanisms exist to generate pairwise pseudonymous identifiers with no identifying information about a data subject to discourage activity tracking and profiling of the data subject. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-09.6_IAC-09.6_A01", "name": "assessment-objective", "prose": "pairwise pseudonymous identifiers are generated."}]} \N \N \N \N +SCF:IAC-10.9 SCF IAC-10.9 Multiple System Accounts Mechanisms exist to implement security safeguards to manage the risk of compromise due to individuals having accounts on multiple Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.9_IAC-10.9_A01", "name": "assessment-objective", "prose": "security controls implemented to manage the risk of compromise due to individuals having accounts on multiple systems are defined."}, {"id": "IAC-10.9_IAC-10.9_A02", "name": "assessment-objective", "prose": "security controls are implemented to manage the risk of compromise due to individuals having accounts on multiple systems."}]} \N \N \N \N +SCF:IAC-10.10 SCF IAC-10.10 Expiration of Cached Authenticators Automated mechanisms exist to prohibit the use of cached authenticators after organization-defined time period. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.10_IAC-10.10_A01", "name": "assessment-objective", "prose": "the time period after which the use of cached authenticators is prohibited is defined."}, {"id": "IAC-10.10_IAC-10.10_A02", "name": "assessment-objective", "prose": "the use of cached authenticators is prohibited after an organization-defined time period."}]} \N \N \N \N +SCF:IAC-10 SCF IAC-10 Authenticator Management Mechanisms exist to:\r\n(1) Securely manage authenticators for users and devices; and\r\n(2) Ensure the strength of authentication is appropriate to the classification of the data being accessed. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10_IAC-10_A01", "name": "assessment-objective", "prose": "the number of generations during which a password cannot be reused is specified."}, {"id": "IAC-10_IAC-10_A02", "name": "assessment-objective", "prose": "reuse of passwords is prohibited during the specified number of generations."}, {"id": "IAC-10_IAC-10_A03", "name": "assessment-objective", "prose": "an immediate change to a permanent password is required when a temporary password is used for system logon."}, {"id": "IAC-10_IAC-10_A04", "name": "assessment-objective", "prose": "the frequency for changing or refreshing authenticators is defined."}, {"id": "IAC-10_IAC-10_A05", "name": "assessment-objective", "prose": "events that trigger the change or refreshment of authenticators are defined."}, {"id": "IAC-10_IAC-10_A06", "name": "assessment-objective", "prose": "the identity of the individual, group, role, service, or device receiving the authenticator as part of the initial authenticator distribution is verified."}, {"id": "IAC-10_IAC-10_A07", "name": "assessment-objective", "prose": "initial authenticator content for any authenticators issued by the organization is established."}, {"id": "IAC-10_IAC-10_A08", "name": "assessment-objective", "prose": "system authenticators are managed to ensure that authenticators have sufficient strength of mechanism for their intended use."}, {"id": "IAC-10_IAC-10_A09", "name": "assessment-objective", "prose": "system authenticators are managed through the establishment and implementation of administrative procedures for initial authenticator distribution. lost, compromised or damaged authenticators. and the revocation of authenticators."}, {"id": "IAC-10_IAC-10_A10", "name": "assessment-objective", "prose": "default authenticators are changed at first use."}, {"id": "IAC-10_IAC-10_A11", "name": "assessment-objective", "prose": "authenticators are changed or refreshed per an organization-defined frequency or when organization-defined events occur."}, {"id": "IAC-10_IAC-10_A12", "name": "assessment-objective", "prose": "system authenticators are managed through the protection of authenticator content from unauthorized disclosure and modification."}, {"id": "IAC-10_IAC-10_A13", "name": "assessment-objective", "prose": "system authenticators are managed through the requirement for individuals to take specific controls to protect authenticators."}, {"id": "IAC-10_IAC-10_A14", "name": "assessment-objective", "prose": "system authenticators are managed through the requirement for devices to implement specific controls to protect authenticators."}, {"id": "IAC-10_IAC-10_A15", "name": "assessment-objective", "prose": "system authenticators are managed through the change of authenticators for group or role accounts when membership to those accounts changes."}, {"id": "IAC-10_IAC-10_A16", "name": "assessment-objective", "prose": "the frequency at which to update the list of commonly used, expected or compromised passwords is defined."}, {"id": "IAC-10_IAC-10_A17", "name": "assessment-objective", "prose": "authenticator composition and complexity rules are defined."}, {"id": "IAC-10_IAC-10_A18", "name": "assessment-objective", "prose": "administrative procedures for initial authenticator distribution are established."}, {"id": "IAC-10_IAC-10_A19", "name": "assessment-objective", "prose": "administrative procedures for lost, compromised, or damaged authenticators are established."}, {"id": "IAC-10_IAC-10_A20", "name": "assessment-objective", "prose": "administrative procedures for revoking authenticators are established."}, {"id": "IAC-10_IAC-10_A21", "name": "assessment-objective", "prose": "administrative procedures for initial authenticator distribution are implemented."}, {"id": "IAC-10_IAC-10_A22", "name": "assessment-objective", "prose": "administrative procedures for lost, compromised, or damaged authenticators are implemented."}, {"id": "IAC-10_IAC-10_A23", "name": "assessment-objective", "prose": "administrative procedures for revoking authenticators are implemented."}, {"id": "IAC-10_IAC-10_A24", "name": "assessment-objective", "prose": "authenticator content is protected from unauthorized disclosure."}, {"id": "IAC-10_IAC-10_A25", "name": "assessment-objective", "prose": "authenticators are changed or refreshed or when the following events occur: ."}, {"id": "IAC-10_IAC-10_A26", "name": "assessment-objective", "prose": "authenticator content is protected from unauthorized disclosure."}, {"id": "IAC-10_IAC-10_A27", "name": "assessment-objective", "prose": "authenticator content is protected from unauthorized modification."}]} \N \N \N \N +SCF:IAC-10.1 SCF IAC-10.1 Password-Based Authentication Mechanisms exist to enforce complexity, length and lifespan considerations to ensure strong criteria for password-based authentication. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.1_IAC-10.1_A01", "name": "assessment-objective", "prose": "for password-based authentication, a list of commonly used, expected or compromised passwords is maintained and updated frequently and when organizational passwords are suspected to have been compromised directly or indirectly."}, {"id": "IAC-10.1_IAC-10.1_A02", "name": "assessment-objective", "prose": "for password-based authentication when passwords are created or updated by users, the passwords are verified not to be found on the list of commonly used, expected or compromised passwords."}, {"id": "IAC-10.1_IAC-10.1_A03", "name": "assessment-objective", "prose": "for password-based authentication, passwords are only transmitted over cryptographically protected channels."}, {"id": "IAC-10.1_IAC-10.1_A04", "name": "assessment-objective", "prose": "for password-based authentication, passwords are stored using an approved salted key derivation function, preferably using a keyed hash."}, {"id": "IAC-10.1_IAC-10.1_A05", "name": "assessment-objective", "prose": "for password-based authentication, immediate selection of a new password is required upon account recovery."}, {"id": "IAC-10.1_IAC-10.1_A06", "name": "assessment-objective", "prose": "for password-based authentication, user selection of long passwords and passphrases is allowed, including spaces and all printable characters."}, {"id": "IAC-10.1_IAC-10.1_A07", "name": "assessment-objective", "prose": "for password-based authentication, automated tools are employed to assist the user in selecting strong password authenticators."}, {"id": "IAC-10.1_IAC-10.1_A08", "name": "assessment-objective", "prose": "organization-defined composition and complexity rules for passwords are enforced."}, {"id": "IAC-10.1_IAC-10.1_A09", "name": "assessment-objective", "prose": "password composition and complexity rules are defined."}, {"id": "IAC-10.1_IAC-10.1_A10", "name": "assessment-objective", "prose": "password change of character requirements are defined."}, {"id": "IAC-10.1_IAC-10.1_A11", "name": "assessment-objective", "prose": "minimum password complexity requirements, as defined, are enforced when new passwords are created."}, {"id": "IAC-10.1_IAC-10.1_A12", "name": "assessment-objective", "prose": "minimum password change of character requirements as defined are enforced when new passwords are created."}, {"id": "IAC-10.1_IAC-10.1_A13", "name": "assessment-objective", "prose": "the following composition and complexity rules for passwords are enforced: ."}]} \N \N \N \N +SCF:IAC-10.2 SCF IAC-10.2 PKI-Based Authentication Automated mechanisms exist to validate certificates by constructing and verifying a certification path to an accepted trust anchor including checking certificate status information for PKI-based authentication. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.2_IAC-10.2_A01", "name": "assessment-objective", "prose": "authorized access to the corresponding private key is enforced for public key-based authentication."}, {"id": "IAC-10.2_IAC-10.2_A02", "name": "assessment-objective", "prose": "the authenticated identity is mapped to the account of the individual or group for public key-based authentication."}, {"id": "IAC-10.2_IAC-10.2_A03", "name": "assessment-objective", "prose": "when public key infrastructure (PKI) is used, certificates are validated by constructing and verifying a certification path to an accepted trust anchor, including checking certificate status information."}, {"id": "IAC-10.2_IAC-10.2_A04", "name": "assessment-objective", "prose": "when public key infrastructure (PKI) is used, a local cache of revocation data is implemented to support path discovery and validation."}]} \N \N \N \N +SCF:IAC-10.3 SCF IAC-10.3 In-Person or Trusted Third-Party Registration Mechanisms exist to conduct in-person or trusted third-party identify verification before user accounts for third-parties are created. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.3_IAC-10.3_A01", "name": "assessment-objective", "prose": "the validation and verification of identity evidence is conducted in person before a designated registration authority."}]} \N \N \N \N +SCF:IAC-10.4 SCF IAC-10.4 Automated Support For Password Strength Automated mechanisms exist to determine if password authenticators are sufficiently strong enough to satisfy organization-defined password length and complexity requirements. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.4_IAC-10.4_A01", "name": "assessment-objective", "prose": "authenticator composition and complexity rules are defined."}, {"id": "IAC-10.4_IAC-10.4_A02", "name": "assessment-objective", "prose": "for password-based authentication, composition and complexity rules are enforced."}, {"id": "IAC-10.4_IAC-10.4_A03", "name": "assessment-objective", "prose": "automated mechanisms for the generation, protection, rotation and management of passwords for systems and system components that do not support multifactor authentication or complex account management are identified."}, {"id": "IAC-10.4_IAC-10.4_A04", "name": "assessment-objective", "prose": "automated mechanisms for the generation, protection, rotation and management of passwords for systems and system components that do not support multifactor authentication or complex account management are employed."}, {"id": "IAC-10.4_IAC-10.4_A05", "name": "assessment-objective", "prose": "the frequency at which to update the list of commonly used, expected, or compromised passwords is defined."}, {"id": "IAC-10.4_IAC-10.4_A06", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is maintained."}, {"id": "IAC-10.4_IAC-10.4_A07", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated per an organization-defined frequency."}, {"id": "IAC-10.4_IAC-10.4_A08", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated when organizational passwords are suspected to have been compromised."}, {"id": "IAC-10.4_IAC-10.4_A09", "name": "assessment-objective", "prose": "passwords are verified not to be found on the list of commonly used, expected, or compromised passwords when they are created or updated by users."}, {"id": "IAC-10.4_IAC-10.4_A10", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated ."}]} \N \N \N \N +SCF:IAC-10.5 SCF IAC-10.5 Protection of Authenticators Mechanisms exist to protect authenticators commensurate with the sensitivity of the information to which use of the authenticator permits access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.5_IAC-10.5_A01", "name": "assessment-objective", "prose": "authenticators are protected commensurate with the security category of the information to which use of the authenticator permits access."}, {"id": "IAC-10.5_IAC-10.5_A02", "name": "assessment-objective", "prose": "authenticator content is protected from unauthorized disclosure."}, {"id": "IAC-10.5_IAC-10.5_A03", "name": "assessment-objective", "prose": "authenticator content is protected from unauthorized modification."}, {"id": "IAC-10.5_IAC-10.5_A04", "name": "assessment-objective", "prose": "passwords are stored in a cryptographically protected form."}, {"id": "IAC-10.5_IAC-10.5_A05", "name": "assessment-objective", "prose": "passwords are cryptographically protected in transit."}, {"id": "IAC-10.5_IAC-10.5_A06", "name": "assessment-objective", "prose": "passwords are only transmitted over cryptographically protected channels."}]} \N \N \N \N +SCF:IAC-10.11 SCF IAC-10.11 Password Managers Mechanisms exist to protect and store passwords via a password manager tool. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.11_IAC-10.11_A01", "name": "assessment-objective", "prose": "password managers employed for generating and managing passwords are defined."}, {"id": "IAC-10.11_IAC-10.11_A02", "name": "assessment-objective", "prose": "password managers are employed to generate and manage passwords."}, {"id": "IAC-10.11_IAC-10.11_A03", "name": "assessment-objective", "prose": "systems and system components that do not support multifactor authentication or complex account management are identified."}, {"id": "IAC-10.11_IAC-10.11_A04", "name": "assessment-objective", "prose": "automated mechanisms for the generation, protection, rotation and management of passwords for systems and system components that do not support multifactor authentication or complex account management are identified."}, {"id": "IAC-10.11_IAC-10.11_A05", "name": "assessment-objective", "prose": "automated mechanisms for the generation, protection, rotation and management of passwords for systems and system components that do not support multifactor authentication or complex account management are employed."}, {"id": "IAC-10.11_IAC-10.11_A06", "name": "assessment-objective", "prose": "controls for protecting passwords are defined."}, {"id": "IAC-10.11_IAC-10.11_A07", "name": "assessment-objective", "prose": "the passwords are protected using controls."}, {"id": "IAC-10.11_IAC-10.11_A08", "name": "assessment-objective", "prose": "the frequency at which to update the list of commonly used, expected, or compromised passwords is defined."}, {"id": "IAC-10.11_IAC-10.11_A09", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is maintained."}, {"id": "IAC-10.11_IAC-10.11_A10", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated per an organization-defined frequency."}, {"id": "IAC-10.11_IAC-10.11_A11", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated when organizational passwords are suspected to have been compromised."}, {"id": "IAC-10.11_IAC-10.11_A12", "name": "assessment-objective", "prose": "passwords are verified not to be found on the list of commonly used, expected, or compromised passwords when they are created or updated by users."}, {"id": "IAC-10.11_IAC-10.11_A13", "name": "assessment-objective", "prose": "a list of commonly used, expected, or compromised passwords is updated ."}]} \N \N \N \N +SCF:IAC-10.12 SCF IAC-10.12 Biometric Authentication Mechanisms exist to ensure biometric-based authentication satisfies organization-defined biometric quality requirements for false positives and false negatives. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.12_IAC-10.12_A01", "name": "assessment-objective", "prose": "biometric quality requirements for biometric-based authentication are defined."}, {"id": "IAC-10.12_IAC-10.12_A02", "name": "assessment-objective", "prose": "mechanisms that satisfy organization-defined biometric quality requirements are employed for biometric-based authentication."}]} \N \N \N \N +SCF:IAC-10.13 SCF IAC-10.13 Events Requiring Authenticator Change Mechanisms exist to change authentication credentials:\r\n(1) At predefined intervals; and/or\r\n(2) Upon suspicion of credential compromise. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.13_IAC-10.13_A01", "name": "assessment-objective", "prose": "authentication credentials are changed at predefined intervals."}, {"id": "IAC-10.13_IAC-10.13_A02", "name": "assessment-objective", "prose": "authentication credentials are changed upon suspicion of credential compromise."}]} \N \N \N \N +SCF:IAC-10.14 SCF IAC-10.14 Passkeys Mechanisms exist to utilize passkeys, or equivalent cryptographic key pairing technologies, to authenticate users to Technology Assets, Applications and/or Services (TAAS). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-10.14_IAC-10.14_A01", "name": "assessment-objective", "prose": "passkeys, or equivalent cryptographic key pairing technologies, are used to authenticate users to Assets, Applications & Services (AAS)."}]} \N \N \N \N +SCF:IAC-11 SCF IAC-11 Authenticator Feedback Mechanisms exist to obscure the feedback of authentication information during the authentication process to protect the information from possible exploitation/use by unauthorized individuals. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-11_IAC-11_A01", "name": "assessment-objective", "prose": "authentication information is obscured during the authentication process."}, {"id": "IAC-11_IAC-11_A02", "name": "assessment-objective", "prose": "feedback of authentication information during the authentication process is obscured."}]} \N \N \N \N +SCF:IAC-12 SCF IAC-12 Cryptographic Module Authentication Mechanisms exist to ensure cryptographic modules adhere to applicable statutory, regulatory and contractual requirements for security strength. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-12_IAC-12_A01", "name": "assessment-objective", "prose": "mechanisms for authentication to a cryptographic module are implemented that meet the requirements of applicable laws, executive orders, directives, policies, regulations, standards and guidelines for such authentication."}]} \N \N \N \N +SCF:IAC-12.1 SCF IAC-12.1 Hardware Security Modules (HSM) Automated mechanisms exist to utilize Hardware Security Modules (HSM) to protect authenticators on which the component relies. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-12.1_IAC-12.1_A01", "name": "assessment-objective", "prose": "Hardware Security Modules (HSM) protect authenticators on which the component relies."}]} \N \N \N \N +SCF:IAC-13 SCF IAC-13 Adaptive Identification & Authentication Mechanisms exist to allow individuals to utilize alternative methods of authentication under specific circumstances or situations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-13_IAC-13_A01", "name": "assessment-objective", "prose": "supplemental authentication techniques or mechanisms to be employed when accessing the system under specific circumstances or situations are defined."}, {"id": "IAC-13_IAC-13_A02", "name": "assessment-objective", "prose": "circumstances or situations that require individuals accessing the system to employ supplemental authentication techniques or mechanisms are defined."}, {"id": "IAC-13_IAC-13_A03", "name": "assessment-objective", "prose": "individuals accessing the system are required to employ supplemental authentication techniques or mechanisms under specific circumstances or situations."}]} \N \N \N \N +SCF:IAC-13.1 SCF IAC-13.1 Single Sign-On (SSO) Transparent Authentication Mechanisms exist to provide a transparent authentication (e.g., Single Sign-On (SSO)) capability to the organization's Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-13.1_IAC-13.1_A01", "name": "assessment-objective", "prose": "system accounts and services for which a single sign-on capability must be provided are defined."}, {"id": "IAC-13.1_IAC-13.1_A02", "name": "assessment-objective", "prose": "a single sign-on capability is provided for organization-defined system accounts and services."}]} \N \N \N \N +SCF:IAC-13.2 SCF IAC-13.2 Federated Credential Management Mechanisms exist to federate credentials to allow cross-organization authentication of individuals and devices. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-13.2_IAC-13.2_A01", "name": "assessment-objective", "prose": "external organizations to be used for federating credentials are defined."}, {"id": "IAC-13.2_IAC-13.2_A02", "name": "assessment-objective", "prose": "external organizations are used to federate credentials."}]} \N \N \N \N +SCF:IAC-14 SCF IAC-14 Re-Authentication Mechanisms exist to force users and devices to re-authenticate according to organization-defined circumstances that necessitate re-authentication. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-14_IAC-14_A01", "name": "assessment-objective", "prose": "circumstances or situations that require re-authentication are defined."}, {"id": "IAC-14_IAC-14_A02", "name": "assessment-objective", "prose": "users are reauthenticated per organization-defined circumstances or situations."}, {"id": "IAC-14_IAC-14_A03", "name": "assessment-objective", "prose": "users are reauthenticated when ."}]} \N \N \N \N +SCF:IAC-15 SCF IAC-15 Account Management Mechanisms exist to proactively govern account management of individual, group, system, service, application, guest and temporary accounts. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15_IAC-15_A01", "name": "assessment-objective", "prose": "criteria for account creation, enabling, modification, disabling and removal are defined."}, {"id": "IAC-15_IAC-15_A02", "name": "assessment-objective", "prose": "approvals are required by organization-defined personnel or roles for requests to create accounts."}, {"id": "IAC-15_IAC-15_A03", "name": "assessment-objective", "prose": "accounts are created in accordance with organization-defined policy, procedures, prerequisites and criteria."}, {"id": "IAC-15_IAC-15_A04", "name": "assessment-objective", "prose": "accounts are enabled in accordance with organization-defined policy, procedures, prerequisites and criteria."}, {"id": "IAC-15_IAC-15_A05", "name": "assessment-objective", "prose": "accounts are modified in accordance with organization-defined policy, procedures, prerequisites and criteria."}, {"id": "IAC-15_IAC-15_A06", "name": "assessment-objective", "prose": "accounts are disabled in accordance with organization-defined policy, procedures, prerequisites and criteria."}, {"id": "IAC-15_IAC-15_A07", "name": "assessment-objective", "prose": "accounts are removed in accordance with organization-defined policy, procedures, prerequisites and criteria."}, {"id": "IAC-15_IAC-15_A08", "name": "assessment-objective", "prose": "the use of accounts is monitored."}, {"id": "IAC-15_IAC-15_A09", "name": "assessment-objective", "prose": "accounts are reviewed for compliance with account management requirements organization-defined frequency."}, {"id": "IAC-15_IAC-15_A10", "name": "assessment-objective", "prose": "account management processes are aligned with personnel termination processes."}, {"id": "IAC-15_IAC-15_A11", "name": "assessment-objective", "prose": "account management processes are aligned with personnel transfer processes."}, {"id": "IAC-15_IAC-15_A12", "name": "assessment-objective", "prose": "account managers and organization-defined personnel or roles are notified within an organization-defined time period when accounts are no longer required."}, {"id": "IAC-15_IAC-15_A13", "name": "assessment-objective", "prose": "account managers and organization-defined personnel or roles are notified within an organization-defined time period when users are terminated or transferred."}, {"id": "IAC-15_IAC-15_A14", "name": "assessment-objective", "prose": "account managers and organization-defined personnel or roles are notified within an organization-defined time period when system usage or the need to know changes for an individual."}, {"id": "IAC-15_IAC-15_A15", "name": "assessment-objective", "prose": "access to the system is authorized based on a valid access authorization."}, {"id": "IAC-15_IAC-15_A16", "name": "assessment-objective", "prose": "access to the system is authorized based on intended system usage."}, {"id": "IAC-15_IAC-15_A17", "name": "assessment-objective", "prose": "access to the system is authorized based on organization-defined attributes (as required)."}, {"id": "IAC-15_IAC-15_A18", "name": "assessment-objective", "prose": "the use of system accounts is monitored."}, {"id": "IAC-15_IAC-15_A19", "name": "assessment-objective", "prose": "system accounts are disabled when the accounts have expired."}, {"id": "IAC-15_IAC-15_A20", "name": "assessment-objective", "prose": "system accounts are disabled when the accounts have been inactive for ."}, {"id": "IAC-15_IAC-15_A21", "name": "assessment-objective", "prose": "system accounts are disabled when the accounts are no longer associated with a user or individual."}, {"id": "IAC-15_IAC-15_A22", "name": "assessment-objective", "prose": "system accounts are disabled when the accounts violate organizational policy."}, {"id": "IAC-15_IAC-15_A23", "name": "assessment-objective", "prose": "system accounts are disabled when significant risks associated with individuals are discovered."}, {"id": "IAC-15_IAC-15_A24", "name": "assessment-objective", "prose": "account types specifically prohibited for use within the system are defined and documented."}, {"id": "IAC-15_IAC-15_A25", "name": "assessment-objective", "prose": "the types of transactions and functions that authorized users are permitted to execute are defined."}, {"id": "IAC-15_IAC-15_A26", "name": "assessment-objective", "prose": "personnel or roles required to approve requests to create accounts is/are defined."}, {"id": "IAC-15_IAC-15_A27", "name": "assessment-objective", "prose": "criteria for account creation, enabling, modification, disabling and removal are defined."}, {"id": "IAC-15_IAC-15_A28", "name": "assessment-objective", "prose": "account types allowed for use within the system are defined and documented."}, {"id": "IAC-15_IAC-15_A29", "name": "assessment-objective", "prose": "account managers are assigned."}, {"id": "IAC-15_IAC-15_A30", "name": "assessment-objective", "prose": "system access is limited to the defined types of transactions and functions for authorized users."}, {"id": "IAC-15_IAC-15_A31", "name": "assessment-objective", "prose": "prerequisites and criteria for group and role membership are defined."}, {"id": "IAC-15_IAC-15_A32", "name": "assessment-objective", "prose": "attributes (as required) for each account are defined."}, {"id": "IAC-15_IAC-15_A33", "name": "assessment-objective", "prose": "personnel or roles required to approve requests to create accounts is/are defined."}, {"id": "IAC-15_IAC-15_A34", "name": "assessment-objective", "prose": "personnel or roles to be notified is/are defined."}, {"id": "IAC-15_IAC-15_A35", "name": "assessment-objective", "prose": "time period within which to notify account managers when accounts are no longer required is defined."}, {"id": "IAC-15_IAC-15_A36", "name": "assessment-objective", "prose": "time period within which to notify account managers when users are terminated or transferred is defined."}, {"id": "IAC-15_IAC-15_A37", "name": "assessment-objective", "prose": "time period within which to notify account managers when system usage or the need to know changes for an individual is defined."}, {"id": "IAC-15_IAC-15_A38", "name": "assessment-objective", "prose": "attributes needed to authorize system access (as required) are defined."}, {"id": "IAC-15_IAC-15_A39", "name": "assessment-objective", "prose": "the frequency of account review is defined."}, {"id": "IAC-15_IAC-15_A40", "name": "assessment-objective", "prose": "organization-defined prerequisites and criteria for group and role membership are required."}, {"id": "IAC-15_IAC-15_A41", "name": "assessment-objective", "prose": "authorized users of the system are specified."}, {"id": "IAC-15_IAC-15_A42", "name": "assessment-objective", "prose": "group and role membership are specified."}, {"id": "IAC-15_IAC-15_A43", "name": "assessment-objective", "prose": "access authorizations (e.g., privileges) are specified for each account."}, {"id": "IAC-15_IAC-15_A44", "name": "assessment-objective", "prose": "organization-defined attributes (as required) are specified for each account."}, {"id": "IAC-15_IAC-15_A45", "name": "assessment-objective", "prose": "a process is established for changing shared or group account authenticators (if deployed) when individuals are removed from the group."}, {"id": "IAC-15_IAC-15_A46", "name": "assessment-objective", "prose": "a process is implemented for changing shared or group account authenticators (if deployed) when individuals are removed from the group."}, {"id": "IAC-15_IAC-15_A47", "name": "assessment-objective", "prose": "the time period for account inactivity before disabling is defined."}, {"id": "IAC-15_IAC-15_A48", "name": "assessment-objective", "prose": "system account types allowed are defined."}, {"id": "IAC-15_IAC-15_A49", "name": "assessment-objective", "prose": "system account types prohibited are defined."}, {"id": "IAC-15_IAC-15_A50", "name": "assessment-objective", "prose": "account managers and designated personnel or roles are notified within when accounts are no longer required."}, {"id": "IAC-15_IAC-15_A51", "name": "assessment-objective", "prose": "account managers and designated personnel or roles are notified within when users are terminated or transferred."}, {"id": "IAC-15_IAC-15_A52", "name": "assessment-objective", "prose": "account managers and designated personnel or roles are notified within when system usage or the need-to-know changes for an individual."}, {"id": "IAC-15_IAC-15_A53", "name": "assessment-objective", "prose": "a new password is selected upon first use after account recovery."}]} \N \N \N \N +SCF:IAC-15.1 SCF IAC-15.1 Automated System Account Management (Directory Services) Automated mechanisms exist to support the management of system accounts (e.g., directory services). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.1_IAC-15.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used to support the management of system accounts are defined."}, {"id": "IAC-15.1_IAC-15.1_A02", "name": "assessment-objective", "prose": "the management of system accounts is supported using organization-defined automated mechanisms."}]} \N \N \N \N +SCF:IAC-15.2 SCF IAC-15.2 Removal of Temporary / Emergency Accounts Automated mechanisms exist to disable or remove temporary and emergency accounts after an organization-defined time period for each type of account. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.2_IAC-15.2_A01", "name": "assessment-objective", "prose": "the time period after which to automatically remove or disable temporary or emergency accounts is defined."}, {"id": "IAC-15.2_IAC-15.2_A02", "name": "assessment-objective", "prose": "temporary and emergency accounts are automatically disabled per an organization-defined time period."}]} \N \N \N \N +SCF:IAC-15.3 SCF IAC-15.3 Disable Inactive Accounts Automated mechanisms exist to disable inactive accounts after an organization-defined time period. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.3_IAC-15.3_A01", "name": "assessment-objective", "prose": "a period of inactivity after which an account / identifier is disabled is defined."}, {"id": "IAC-15.3_IAC-15.3_A02", "name": "assessment-objective", "prose": "accounts / identifiers are disabled after the defined period of inactivity."}, {"id": "IAC-15.3_IAC-15.3_A03", "name": "assessment-objective", "prose": "accounts / identifiers are disabled within an organization-defined time period when the accounts have expired."}, {"id": "IAC-15.3_IAC-15.3_A04", "name": "assessment-objective", "prose": "accounts / identifiers are disabled within an organization-defined time period when the accounts are no longer associated with a user or individual."}, {"id": "IAC-15.3_IAC-15.3_A05", "name": "assessment-objective", "prose": "accounts / identifiers are disabled within an organization-defined time period when the accounts are in violation of organizational policy."}, {"id": "IAC-15.3_IAC-15.3_A06", "name": "assessment-objective", "prose": "system accounts are disabled when the accounts have been inactive for ."}]} \N \N \N \N +SCF:IAC-15.4 SCF IAC-15.4 Automated Audit Actions Automated mechanisms exist to audit account creation, modification, enabling, disabling and removal actions and notify organization-defined personnel or roles. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.4_IAC-15.4_A01", "name": "assessment-objective", "prose": "account creation is automatically audited."}, {"id": "IAC-15.4_IAC-15.4_A02", "name": "assessment-objective", "prose": "account modification is automatically audited."}, {"id": "IAC-15.4_IAC-15.4_A03", "name": "assessment-objective", "prose": "account enabling is automatically audited."}, {"id": "IAC-15.4_IAC-15.4_A04", "name": "assessment-objective", "prose": "account disabling is automatically audited."}, {"id": "IAC-15.4_IAC-15.4_A05", "name": "assessment-objective", "prose": "account removal actions are automatically audited."}]} \N \N \N \N +SCF:IAC-15.5 SCF IAC-15.5 Restrictions on Shared Groups / Accounts Mechanisms exist to authorize the use of shared/group accounts only under certain organization-defined conditions. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.5_IAC-15.5_A01", "name": "assessment-objective", "prose": "conditions for establishing shared and group accounts are defined."}, {"id": "IAC-15.5_IAC-15.5_A02", "name": "assessment-objective", "prose": "the use of shared and group accounts is only permitted if organization-defined conditions are met."}]} \N \N \N \N +SCF:IAC-15.6 SCF IAC-15.6 Account Disabling for High Risk Individuals Mechanisms exist to disable accounts immediately upon notification for users posing a significant risk to the organization. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.6_IAC-15.6_A01", "name": "assessment-objective", "prose": "time period within which to disable accounts of individuals who are discovered to pose significant risk is defined."}, {"id": "IAC-15.6_IAC-15.6_A02", "name": "assessment-objective", "prose": "significant risks leading to disabling accounts are defined."}, {"id": "IAC-15.6_IAC-15.6_A03", "name": "assessment-objective", "prose": "accounts of individuals are disabled within an organization-defined time period of discovery of significant risks."}]} \N \N \N \N +SCF:IAC-20.6 SCF IAC-20.6 Revocation of Access Authorizations Mechanisms exist to revoke logical and physical access authorizations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.6_IAC-20.6_A01", "name": "assessment-objective", "prose": "rules governing the timing of revocations of access authorizations are defined."}, {"id": "IAC-20.6_IAC-20.6_A02", "name": "assessment-objective", "prose": "revocation of access authorizations is enforced, resulting from changes to the cybersecurity / data privacy attributes of subjects based on organization-defined rules."}, {"id": "IAC-20.6_IAC-20.6_A03", "name": "assessment-objective", "prose": "revocation of access authorizations is enforced resulting from changes to the cybersecurity / data privacy attributes of objects based on organization-defined rules."}]} \N \N \N \N +SCF:IAC-15.7 SCF IAC-15.7 System Account Reviews Mechanisms exist to review all system accounts and disable any account that cannot be associated with a business process and owner. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.7_IAC-15.7_A01", "name": "assessment-objective", "prose": "system account types allowed are defined."}, {"id": "IAC-15.7_IAC-15.7_A02", "name": "assessment-objective", "prose": "system account types prohibited are defined."}, {"id": "IAC-15.7_IAC-15.7_A03", "name": "assessment-objective", "prose": "system accounts that cannot be associated with a business process and owner are disabled."}, {"id": "IAC-15.7_IAC-15.7_A04", "name": "assessment-objective", "prose": "system accounts are created in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-15.7_IAC-15.7_A05", "name": "assessment-objective", "prose": "system accounts are enabled in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-15.7_IAC-15.7_A06", "name": "assessment-objective", "prose": "system accounts are modified in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-15.7_IAC-15.7_A07", "name": "assessment-objective", "prose": "system accounts are disabled in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-15.7_IAC-15.7_A08", "name": "assessment-objective", "prose": "system accounts are removed in accordance with organizational policy, procedures, prerequisites, and criteria."}, {"id": "IAC-15.7_IAC-15.7_A09", "name": "assessment-objective", "prose": "authorized users of the system are specified."}]} \N \N \N \N +SCF:IAC-15.8 SCF IAC-15.8 Usage Conditions Automated mechanisms exist to enforce usage conditions for users and/or roles. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.8_IAC-15.8_A01", "name": "assessment-objective", "prose": "circumstances and/or usage conditions to be enforced for system accounts are defined."}, {"id": "IAC-15.8_IAC-15.8_A02", "name": "assessment-objective", "prose": "system accounts subject to enforcement of circumstances and/or usage conditions are defined."}, {"id": "IAC-15.8_IAC-15.8_A03", "name": "assessment-objective", "prose": "organization-defined system accounts are enforced."}]} \N \N \N \N +SCF:IAC-15.9 SCF IAC-15.9 Emergency Accounts Mechanisms exist to establish and control "emergency access only" accounts. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-15.9_IAC-15.9_A01", "name": "assessment-objective", "prose": "a process exists to establish \\"emergency access only\\" accounts."}, {"id": "IAC-15.9_IAC-15.9_A02", "name": "assessment-objective", "prose": "\\"emergency access only\\" accounts are controlled."}]} \N \N \N \N +SCF:IAC-16 SCF IAC-16 Privileged Account Management (PAM) Mechanisms exist to restrict and control privileged access rights for users and Technology Assets, Applications and/or Services (TAAS). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16_IAC-16_A01", "name": "assessment-objective", "prose": "privileged access rights for users and services are restricted based on roles."}, {"id": "IAC-16_IAC-16_A02", "name": "assessment-objective", "prose": "privileged access rights for users and services are controlled."}]} \N \N \N \N +SCF:IAC-16.1 SCF IAC-16.1 Privileged Account Inventories Mechanisms exist to inventory all privileged accounts and validate that each person with elevated privileges is authorized by the appropriate level of organizational management. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16.1_IAC-16.1_A01", "name": "assessment-objective", "prose": "all privileged accounts are inventoried."}, {"id": "IAC-16.1_IAC-16.1_A02", "name": "assessment-objective", "prose": "validation is performed for each person with elevated privileges for authorization by the appropriate level of organizational management."}]} \N \N \N \N +SCF:IAC-16.2 SCF IAC-16.2 Privileged Account Separation Mechanisms exist to separate privileged accounts between infrastructure environments to reduce the risk of a compromise in one infrastructure environment from laterally affecting other infrastructure environments. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16.2_IAC-16.2_A01", "name": "assessment-objective", "prose": "separate privileged accounts exist between infrastructure environments to reduce the risk of a compromise in one infrastructure environment from laterally affecting other infrastructure environments."}]} \N \N \N \N +SCF:IAC-16.3 SCF IAC-16.3 Privileged Command Execution Mechanisms exist to ensure privilege change requests require additional levels of authentication. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16.3_IAC-16.3_A01", "name": "assessment-objective", "prose": "privilege change requests require additional levels of authentication (e.g., authentication prompt)."}]} \N \N \N \N +SCF:IAC-16.4 SCF IAC-16.4 Dedicated Privileged Account Mechanisms exist to assign dedicated privileged user accounts to be used solely for duties requiring privileged access. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16.4_IAC-16.4_A01", "name": "assessment-objective", "prose": "designated privileged user accounts are controlled to be used solely for duties requiring privileged access."}]} \N \N \N \N +SCF:IAC-20.5 SCF IAC-20.5 Dual Authorization for Privileged Commands Automated mechanisms exist to enforce dual authorization for privileged commands. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.5_IAC-20.5_A01", "name": "assessment-objective", "prose": "privileged commands and/or other actions requiring dual authorization are defined."}, {"id": "IAC-20.5_IAC-20.5_A02", "name": "assessment-objective", "prose": "dual authorization is enforced for organization-defined privileged commands and/or other actions."}, {"id": "IAC-20.5_IAC-20.5_A03", "name": "assessment-objective", "prose": "critical or sensitive system and organizational operations for which dual authorization is to be enforced are identified."}, {"id": "IAC-20.5_IAC-20.5_A04", "name": "assessment-objective", "prose": "dual authorization is employed to execute critical or sensitive system and organizational operations."}]} \N \N \N \N +SCF:IAC-16.5 SCF IAC-16.5 Manual Override Mechanisms exist to enable a manual override of the current account privileges to enable the timely response to unusual conditions without terminating the current session and establishing a new session as a higher-privileged user. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-16.5_IAC-16.5_A01", "name": "assessment-objective", "prose": "instances that require a manual override of the current account privileges to enable the timely response to unusual conditions without terminating the current session and establishing a new session as a higher-privileged user are identified."}, {"id": "IAC-16.5_IAC-16.5_A02", "name": "assessment-objective", "prose": "processes/technologies necessary to enable a manual override of the current account privileges to enable the timely response to unusual conditions without terminating the current session and establishing a new session as a higher-privileged user are identified."}, {"id": "IAC-16.5_IAC-16.5_A03", "name": "assessment-objective", "prose": "a capability exists to manually override of the current account privileges to enable the timely response to unusual conditions without terminating the current session and establishing a new session as a higher-privileged user."}]} \N \N \N \N +SCF:IAC-17 SCF IAC-17 Periodic Review of Account Privileges Mechanisms exist to periodically-review the privileges assigned to individuals and service accounts to validate the need for such privileges and reassign or remove unnecessary privileges, as necessary. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-17_IAC-17_A01", "name": "assessment-objective", "prose": "the frequency at which to review the privileges assigned to roles or classes of users is defined."}, {"id": "IAC-17_IAC-17_A02", "name": "assessment-objective", "prose": "roles or classes of users to which privileges are assigned are defined."}, {"id": "IAC-17_IAC-17_A03", "name": "assessment-objective", "prose": "the privileges assigned to roles or classes of users are reviewed to validate the need for such privileges."}, {"id": "IAC-17_IAC-17_A04", "name": "assessment-objective", "prose": "privileges are reassigned or removed, as necessary."}]} \N \N \N \N +SCF:IAC-18 SCF IAC-18 User Responsibilities for Account Management Mechanisms exist to compel users to follow accepted practices in the use of authentication mechanisms (e.g., passwords, passphrases, physical or logical security tokens, smart cards, certificates, etc.). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-18_IAC-18_A01", "name": "assessment-objective", "prose": "authenticators are protected commensurate with the security category of the information to which use of the authenticator permits access."}]} \N \N \N \N +SCF:IAC-19 SCF IAC-19 Credential Sharing Mechanisms exist to prevent the sharing of generic IDs, passwords or other generic authentication methods. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-19_IAC-19_A01", "name": "assessment-objective", "prose": "the sharing of generic IDs, passwords or other generic authentication methods is prevented."}]} \N \N \N \N +SCF:IAC-20 SCF IAC-20 Access Enforcement Mechanisms exist to enforce Logical Access Control (LAC) permissions that conform to the principle of "least privilege." 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20_IAC-20_A01", "name": "assessment-objective", "prose": "approved authorizations for logical access to information and system resources are enforced in accordance with applicable access control policies."}, {"id": "IAC-20_IAC-20_A02", "name": "assessment-objective", "prose": "the principle of least privilege is employed, allowing only authorized access for users (or processes acting on behalf of users) that are necessary to accomplish assigned organizational tasks."}, {"id": "IAC-20_IAC-20_A03", "name": "assessment-objective", "prose": "authorized users are identified."}, {"id": "IAC-20_IAC-20_A04", "name": "assessment-objective", "prose": "processes acting on behalf of authorized users are identified."}, {"id": "IAC-20_IAC-20_A05", "name": "assessment-objective", "prose": "devices (including other systems) authorized to connect to the system are identified."}, {"id": "IAC-20_IAC-20_A06", "name": "assessment-objective", "prose": "system access is limited to authorized users."}, {"id": "IAC-20_IAC-20_A07", "name": "assessment-objective", "prose": "system access is limited to processes acting on behalf of authorized users."}, {"id": "IAC-20_IAC-20_A08", "name": "assessment-objective", "prose": "system access is limited to authorized devices (including other systems)."}, {"id": "IAC-20_IAC-20_A09", "name": "assessment-objective", "prose": "systems and system components included in the scope of the specified enhanced security requirements are identified."}, {"id": "IAC-20_IAC-20_A10", "name": "assessment-objective", "prose": "systems and system components are included in the scope of the specified enhanced security requirements."}, {"id": "IAC-20_IAC-20_A11", "name": "assessment-objective", "prose": "systems and system components that are not included in systems and system components are segregated in purpose-specific networks."}]} \N \N \N \N +SCF:IAC-20.1 SCF IAC-20.1 Access To Sensitive / Regulated Data Mechanisms exist to limit access to sensitive/regulated data to only those individuals whose job requires such access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.1_IAC-20.1_A01", "name": "assessment-objective", "prose": "access to sensitive / regulated data is restricted to only those individuals whose job requires such access."}, {"id": "IAC-20.1_IAC-20.1_A02", "name": "assessment-objective", "prose": "access to is authorized."}, {"id": "IAC-20.1_IAC-20.1_A03", "name": "assessment-objective", "prose": "access to is authorized."}, {"id": "IAC-20.1_IAC-20.1_A04", "name": "assessment-objective", "prose": "the incident response plan is protected from unauthorized disclosure."}]} \N \N \N \N +SCF:IAC-20.2 SCF IAC-20.2 Database Access Mechanisms exist to restrict access to databases containing sensitive/regulated data to only necessary Technology Assets, Applications and/or Services (TAAS) or those individuals whose job requires such access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.2_IAC-20.2_A01", "name": "assessment-objective", "prose": "access to database containing sensitive / regulated data is restricted to only necessary services or those individuals whose job requires such access."}]} \N \N \N \N +SCF:IAC-20.3 SCF IAC-20.3 Use of Privileged Utility Programs Mechanisms exist to restrict and tightly control utility programs that are capable of overriding system and application controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.3_IAC-20.3_A01", "name": "assessment-objective", "prose": "access to utility programs that are capable of overriding system and application controls is restricted."}]} \N \N \N \N +SCF:IAC-20.4 SCF IAC-20.4 Dedicated Administrative Machines Mechanisms exist to restrict executing administrative tasks or tasks requiring elevated access to a dedicated machine. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.4_IAC-20.4_A01", "name": "assessment-objective", "prose": "executing administrative tasks or tasks requiring elevated access is restricted to a dedicated machine."}]} \N \N \N \N +SCF:IAC-20.7 SCF IAC-20.7 Authorized System Accounts Mechanisms exist to define and document the types of accounts allowed and prohibited on Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-20.7_IAC-20.7_A01", "name": "assessment-objective", "prose": "the types of accounts allowed on systems, applications and services is/are defined and documented."}, {"id": "IAC-20.7_IAC-20.7_A02", "name": "assessment-objective", "prose": "the types of accounts prohibited on systems, applications and services is/are defined and documented."}]} \N \N \N \N +SCF:IAC-21 SCF IAC-21 Least Privilege Mechanisms exist to utilize the concept of least privilege, allowing only authorized access to processes necessary to accomplish assigned tasks in accordance with organizational business functions. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21_IAC-21_A01", "name": "assessment-objective", "prose": "organization-defined systems or system components implement the security design principle of least privilege."}, {"id": "IAC-21_IAC-21_A02", "name": "assessment-objective", "prose": "privileged accounts are identified."}, {"id": "IAC-21_IAC-21_A03", "name": "assessment-objective", "prose": "access to privileged accounts is authorized in accordance with the principle of least privilege."}, {"id": "IAC-21_IAC-21_A04", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of least privilege are defined."}, {"id": "IAC-21_IAC-21_A05", "name": "assessment-objective", "prose": "approved authorizations for logical access to system resources are enforced in accordance with applicable access control policies."}, {"id": "IAC-21_IAC-21_A06", "name": "assessment-objective", "prose": "system access for users (or processes acting on behalf of users) is authorized only when necessary to accomplish assigned organizational tasks."}, {"id": "IAC-21_IAC-21.1_A01", "name": "assessment-objective", "prose": "security functions are identified."}, {"id": "IAC-21_IAC-21.1_A02", "name": "assessment-objective", "prose": "access to security functions is authorized in accordance with the principle of least privilege."}]} \N \N \N \N +SCF:IAC-21.1 SCF IAC-21.1 Authorize Access to Security Functions Mechanisms exist to limit access to security functions to explicitly-authorized privileged users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.1_IAC-21.1_A03", "name": "assessment-objective", "prose": "individuals and roles with authorized access to security functions and security-relevant information are defined."}, {"id": "IAC-21.1_IAC-21.1_A04", "name": "assessment-objective", "prose": "security functions (deployed in hardware) for authorized access are defined."}, {"id": "IAC-21.1_IAC-21.1_A05", "name": "assessment-objective", "prose": "security functions (deployed in software) for authorized access are defined."}, {"id": "IAC-21.1_IAC-21.1_A06", "name": "assessment-objective", "prose": "security functions (deployed in firmware) for authorized access are defined."}, {"id": "IAC-21.1_IAC-21.1_A07", "name": "assessment-objective", "prose": "security-relevant information for authorized access is defined."}, {"id": "IAC-21.1_IAC-21.1_A08", "name": "assessment-objective", "prose": "access is authorized for organization-defined individuals and roles to organization-defined security functions (deployed in hardware)."}, {"id": "IAC-21.1_IAC-21.1_A09", "name": "assessment-objective", "prose": "access is authorized for organization-defined individuals and roles to organization-defined security functions (deployed in software)."}, {"id": "IAC-21.1_IAC-21.1_A10", "name": "assessment-objective", "prose": "access is authorized for organization-defined individuals and roles to organization-defined security functions (deployed in firmware)."}, {"id": "IAC-21.1_IAC-21.1_A11", "name": "assessment-objective", "prose": "access is authorized for organization-defined individuals and roles to organization-defined security-relevant information."}]} \N \N \N \N +SCF:IAC-21.2 SCF IAC-21.2 Non-Privileged Access for Non-Security Functions Mechanisms exist to prohibit privileged users from using privileged accounts, while performing non-security functions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.2_IAC-21.2_A01", "name": "assessment-objective", "prose": "non-security functions are identified."}, {"id": "IAC-21.2_IAC-21.2_A02", "name": "assessment-objective", "prose": "users (or roles) with privileged accounts are required to use non-privileged accounts when accessing non-security functions or non-security information."}, {"id": "IAC-21.2_IAC-21.2_A03", "name": "assessment-objective", "prose": "security functions or security-relevant information, the access to which requires users to use non-privileged accounts to access non-security functions, are defined."}]} \N \N \N \N +SCF:IAC-21.3 SCF IAC-21.3 Management Approval For Privileged Accounts Mechanisms exist to restrict the assignment of privileged accounts to management-approved personnel and/or roles. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.3_IAC-21.3_A01", "name": "assessment-objective", "prose": "personnel or roles to which privileged accounts on the system are to be restricted are defined."}, {"id": "IAC-21.3_IAC-21.3_A02", "name": "assessment-objective", "prose": "privileged accounts on the system are restricted to ."}]} \N \N \N \N +SCF:IAC-21.4 SCF IAC-21.4 Auditing Use of Privileged Functions Mechanisms exist to audit the execution of privileged functions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.4_IAC-21.4_A01", "name": "assessment-objective", "prose": "the execution of privileged functions is logged."}]} \N \N \N \N +SCF:IAC-21.5 SCF IAC-21.5 Prohibit Non-Privileged Users from Executing Privileged Functions Mechanisms exist to prevent non-privileged users from executing privileged functions to include disabling, circumventing or altering implemented security safeguards / countermeasures. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.5_IAC-21.5_A01", "name": "assessment-objective", "prose": "privileged functions are defined."}, {"id": "IAC-21.5_IAC-21.5_A02", "name": "assessment-objective", "prose": "non-privileged users are defined."}, {"id": "IAC-21.5_IAC-21.5_A03", "name": "assessment-objective", "prose": "non-privileged users are prevented from executing privileged functions."}, {"id": "IAC-21.5_IAC-21.5_A04", "name": "assessment-objective", "prose": "the execution of privileged functions is captured in event logs."}]} \N \N \N \N +SCF:IAC-21.6 SCF IAC-21.6 Network Access to Privileged Commands Mechanisms exist to authorize remote access to perform privileged commands on critical Technology Assets, Applications and/or Services (TAAS) or where sensitive/regulated data is stored, transmitted and/or processed only for compelling operational needs. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.6_IAC-21.6_A01", "name": "assessment-objective", "prose": "privileged commands to which network access is to be authorized only for compelling operational needs are defined."}, {"id": "IAC-21.6_IAC-21.6_A02", "name": "assessment-objective", "prose": "network access to organization-defined privileged commands is authorized only for organization-defined compelling operational needs."}, {"id": "IAC-21.6_IAC-21.6_A03", "name": "assessment-objective", "prose": "compelling operational needs necessitating network access to privileged commands are defined."}, {"id": "IAC-21.6_IAC-21.6_A04", "name": "assessment-objective", "prose": "the rationale for authorizing network access to privileged commands is documented in the security plan for the system."}]} \N \N \N \N +SCF:IAC-21.7 SCF IAC-21.7 Privilege Levels for Code Execution Automated mechanisms exist to prevent applications from executing at higher privilege levels than the user's privileges. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-21.7_IAC-21.7_A01", "name": "assessment-objective", "prose": "software to be prevented from executing at higher privilege levels than users executing the software is defined."}, {"id": "IAC-21.7_IAC-21.7_A02", "name": "assessment-objective", "prose": "organization-defined software is prevented from executing at higher privilege levels than users executing the software."}]} \N \N \N \N +SCF:IAC-22 SCF IAC-22 Account Lockout Mechanisms exist to enforce a limit for consecutive invalid login attempts by a user during an organization-defined time period and automatically locks the account when the maximum number of unsuccessful attempts is exceeded. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-22_IAC-22_A01", "name": "assessment-objective", "prose": "the means of limiting unsuccessful logon attempts is defined."}, {"id": "IAC-22_IAC-22_A02", "name": "assessment-objective", "prose": "the defined means of limiting unsuccessful logon attempts is implemented."}, {"id": "IAC-22_IAC-22_A03", "name": "assessment-objective", "prose": "the number of consecutive invalid logon attempts by a user allowed during a time period is defined."}, {"id": "IAC-22_IAC-22_A04", "name": "assessment-objective", "prose": " when the maximum number of unsuccessful attempts is exceeded."}, {"id": "IAC-22_IAC-22_A05", "name": "assessment-objective", "prose": "the time period to which the number of consecutive invalid logon attempts by a user is limited is defined."}, {"id": "IAC-22_IAC-22_A06", "name": "assessment-objective", "prose": "the time period for an account or node to be locked is defined (if selected)."}, {"id": "IAC-22_IAC-22_A07", "name": "assessment-objective", "prose": "delay algorithm for the next logon prompt is defined."}, {"id": "IAC-22_IAC-22_A08", "name": "assessment-objective", "prose": "other action to be taken when the maximum number of unsuccessful attempts is exceeded is defined."}, {"id": "IAC-22_IAC-22_A09", "name": "assessment-objective", "prose": "a limit of consecutive invalid logon attempts by a user during is enforced."}, {"id": "IAC-22_IAC-22_A10", "name": "assessment-objective", "prose": "one or more of the following PARAMETER VALUES are selected: {the account or node is locked automatically for ; the account or node is locked automatically until released by an administrator; the next logon prompt is delayed automatically; the system administrator is notified automatically; other action is taken automatically}."}]} \N \N \N \N +SCF:IAC-23 SCF IAC-23 Concurrent Session Control Mechanisms exist to limit the number of concurrent sessions for each system account. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-23_IAC-23_A01", "name": "assessment-objective", "prose": "accounts and/or account types for which to limit the number of concurrent sessions is defined."}, {"id": "IAC-23_IAC-23_A02", "name": "assessment-objective", "prose": "the number of concurrent sessions to be allowed for each account and/or account type is defined."}, {"id": "IAC-23_IAC-23_A03", "name": "assessment-objective", "prose": "the number of concurrent sessions for each organization-defined account and/or account types is limited to organization-defined number."}]} \N \N \N \N +SCF:IAC-24 SCF IAC-24 Session Lock Mechanisms exist to initiate a session lock after an organization-defined time period of inactivity, or upon receiving a request from a user and retain the session lock until the user reestablishes access using established identification and authentication methods. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-24_IAC-24_A01", "name": "assessment-objective", "prose": "the period of inactivity after which the system initiates a session lock is defined."}, {"id": "IAC-24_IAC-24_A02", "name": "assessment-objective", "prose": "access to the system and viewing of data is prevented by initiating a session lock after the defined period of inactivity."}, {"id": "IAC-24_IAC-24_A03", "name": "assessment-objective", "prose": "previously visible information is concealed via a pattern-hiding display after the defined period of inactivity."}, {"id": "IAC-24_IAC-24_A04", "name": "assessment-objective", "prose": "the time period of expected inactivity or description of when to log out is defined."}, {"id": "IAC-24_IAC-24_A05", "name": "assessment-objective", "prose": "users are required to log out when organization-defined time period of expected inactivity or description of when to log out."}, {"id": "IAC-24_IAC-24_A06", "name": "assessment-objective", "prose": "the time period of inactivity after which a device lock is initiated is defined (if selected)."}, {"id": "IAC-24_IAC-24_A07", "name": "assessment-objective", "prose": "access to the system is prevented by ."}, {"id": "IAC-24_IAC-24_A08", "name": "assessment-objective", "prose": "the device lock is retained until the user reestablishes access using established identification and authentication procedures."}, {"id": "IAC-24_IAC-24_A09", "name": "assessment-objective", "prose": "one or more of the following PARAMETER VALUES are selected: {a device lock is initiated after of inactivity; the user is required to initiate a device lock before leaving the system unattended}."}]} \N \N \N \N +SCF:IAC-24.1 SCF IAC-24.1 Pattern-Hiding Displays Mechanisms exist to implement pattern-hiding displays to conceal information previously visible on the display during the session lock. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-24.1_IAC-24.1_A01", "name": "assessment-objective", "prose": "information previously visible on the display is concealed via device lock with a publicly viewable image."}]} \N \N \N \N +SCF:IAC-25 SCF IAC-25 Session Termination Automated mechanisms exist to log out users, both locally on the network and for remote sessions, at the end of the session or after an organization-defined period of inactivity. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-25_IAC-25_A01", "name": "assessment-objective", "prose": "conditions requiring a user session to terminate are defined."}, {"id": "IAC-25_IAC-25_A02", "name": "assessment-objective", "prose": "conditions or trigger events that require session disconnect are defined."}, {"id": "IAC-25_IAC-25_A03", "name": "assessment-objective", "prose": "a user session is automatically terminated after any of the defined conditions occur."}, {"id": "IAC-25_IAC-25_A04", "name": "assessment-objective", "prose": "the time period of expected inactivity requiring users to log out of the system is defined."}, {"id": "IAC-25_IAC-25_A05", "name": "assessment-objective", "prose": "circumstances requiring users to log out of the system are defined."}, {"id": "IAC-25_IAC-25_A06", "name": "assessment-objective", "prose": "users are required to log out of the system after of expected inactivity or when the following circumstances occur: ."}, {"id": "IAC-25_IAC-25_A07", "name": "assessment-objective", "prose": "session connections are terminated when nonlocal maintenance is completed."}, {"id": "IAC-25_IAC-25_A08", "name": "assessment-objective", "prose": "a user session is terminated automatically after ."}]} \N \N \N \N +SCF:IAC-25.1 SCF IAC-25.1 User-Initiated Logouts / Message Displays Mechanisms exist to provide a logout capability and display an explicit logout message to users indicating the reliable termination of the session. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-25.1_IAC-25.1_A01", "name": "assessment-objective", "prose": "information resources for which a logout capability for user-initiated communications sessions is required are defined."}, {"id": "IAC-25.1_IAC-25.1_A02", "name": "assessment-objective", "prose": "a logout capability is provided for user-initiated communications sessions whenever authentication is used to gain access to organization-defined information resources."}]} \N \N \N \N +SCF:IAC-26 SCF IAC-26 Permitted Actions Without Identification or Authorization Mechanisms exist to identify and document the supporting rationale for specific user actions that can be performed on a system without identification or authentication. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-26_IAC-26_A01", "name": "assessment-objective", "prose": "user actions that can be performed on the system without identification or authentication are defined."}, {"id": "IAC-26_IAC-26_A02", "name": "assessment-objective", "prose": "organization-defined user actions that can be performed on the system without identification or authentication consistent with organizational mission and business functions are identified."}, {"id": "IAC-26_IAC-26_A03", "name": "assessment-objective", "prose": "user actions not requiring identification or authentication are documented in the security plan for the system."}, {"id": "IAC-26_IAC-26_A04", "name": "assessment-objective", "prose": "a rationale for user actions not requiring identification or authentication is provided in the security plan for the system."}]} \N \N \N \N +SCF:IAC-27 SCF IAC-27 Reference Monitor Mechanisms exist to implement a reference monitor that is tamperproof, always-invoked, small enough to be subject to analysis / testing and the completeness of which can be assured. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-27_IAC-27_A01", "name": "assessment-objective", "prose": "access control policies for which a reference monitor is implemented are defined."}, {"id": "IAC-27_IAC-27_A02", "name": "assessment-objective", "prose": "a reference monitor is implemented for organization-defined access control policies that is tamper-proof, always invoked and small enough to be subject to analysis and testing, the completeness of which can be assured."}]} \N \N \N \N +SCF:IAC-28 SCF IAC-28 Identity Proofing (Identity Verification) Mechanisms exist to verify the identity of a user before issuing authenticators or modifying access permissions. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28_IAC-28_A01", "name": "assessment-objective", "prose": "users who require accounts for logical access to systems based on appropriate identity assurance level requirements as specified in applicable standards and guidelines are identity proofed."}, {"id": "IAC-28_IAC-28_A02", "name": "assessment-objective", "prose": "user identities are resolved to a unique individual."}, {"id": "IAC-28_IAC-28_A03", "name": "assessment-objective", "prose": "identity evidence is collected."}, {"id": "IAC-28_IAC-28_A04", "name": "assessment-objective", "prose": "identity evidence is validated."}, {"id": "IAC-28_IAC-28_A05", "name": "assessment-objective", "prose": "identity evidence is verified."}]} \N \N \N \N +SCF:IAC-28.1 SCF IAC-28.1 Management Approval For New or Changed Accounts Mechanisms exist to ensure management approvals are required for new accounts or changes in permissions to existing accounts. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28.1_IAC-28.1_A01", "name": "assessment-objective", "prose": "the registration process to receive an account for logical access includes supervisor or sponsor authorization."}, {"id": "IAC-28.1_IAC-28.1_A02", "name": "assessment-objective", "prose": "access control decisions applied to each access request prior to access enforcement are defined."}, {"id": "IAC-28.1_IAC-28.1_A03", "name": "assessment-objective", "prose": "organization-defined criteria are taken into account to ensure that access control decisions are applied to each access request prior to access enforcement."}]} \N \N \N \N +SCF:IAC-28.2 SCF IAC-28.2 Identity Evidence Mechanisms exist to require evidence of individual identification to be presented to the registration authority. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28.2_IAC-28.2_A01", "name": "assessment-objective", "prose": "evidence of individual identification is presented to the registration authority."}]} \N \N \N \N +SCF:IAC-28.3 SCF IAC-28.3 Identity Evidence Validation & Verification Mechanisms exist to require that the presented identity evidence be validated and verified through organizational-defined methods of validation and verification. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28.3_IAC-28.3_A01", "name": "assessment-objective", "prose": "methods of validation and verification of identity evidence are defined."}, {"id": "IAC-28.3_IAC-28.3_A02", "name": "assessment-objective", "prose": "the presented identity evidence is validated and verified through organization-defined methods of validation and verification."}]} \N \N \N \N +SCF:IAC-28.4 SCF IAC-28.4 In-Person Validation & Verification Mechanisms exist to require that the validation and verification of identity evidence be conducted in person before a designated registration authority. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28.4_IAC-28.4_A01", "name": "assessment-objective", "prose": "the validation and verification of identity evidence is conducted in person before a designated registration authority."}]} \N \N \N \N +SCF:IAC-28.5 SCF IAC-28.5 Address Confirmation Mechanisms exist to require that a notice of proofing be delivered through an out-of-band channel to verify the user's address (physical or digital). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-28.5_IAC-28.5_A01", "name": "assessment-objective", "prose": "organization-defined criteria are delivered through an out-of-band channel to verify the user’s address (physical or digital) of record."}]} \N \N \N \N +SCF:IAC-29 SCF IAC-29 Attribute-Based Access Control (ABAC) Mechanisms exist to enforce Attribute-Based Access Control (ABAC) for policy-driven, dynamic authorizations that supports the secure sharing of information. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-29_IAC-29_A01", "name": "assessment-objective", "prose": "Attribute-Based Access Control (ABAC) is enforced for policy-driven, dynamic authorizations that supports the secure sharing of information."}]} \N \N \N \N +SCF:IAC-29.1 SCF IAC-29.1 Real-Time Access Decisions Automated mechanisms exist to utilize Machine Learning (ML) to make real-time access decisions based on advanced network analytics that leverages enterprise-wide data sources. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-29.1_IAC-29.1_A01", "name": "assessment-objective", "prose": "Machine Learning (ML) is used to make real-time access decisions based on advanced network analytics, leveraging enterprise-wide data sources."}]} \N \N \N \N +SCF:IAC-29.2 SCF IAC-29.2 Access Profile Rules Mechanisms exist to develop access profile rules for sensitive/regulated Technology Assets, Applications, Services and/or Data (TAASD) access based on User, Data, Network, Environment & Device attributes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-29.2_IAC-29.2_A01", "name": "assessment-objective", "prose": "access profile rules for sensitive/regulated Data, Assets, Applications & Services (DAAS) access are developed, based on User, Data, Network, Environment & Device attributes."}]} \N \N \N \N +SCF:IAC-30 SCF IAC-30 Mutual Authentication (MA) Mechanisms exist to enforce Mutual Authentication (MA) where both sides of a communications channel verify the identity of the other party through certificate exchange. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Identification & Authentication", "assessment_objective": [{"id": "IAC-30_IAC-30_A01", "name": "assessment-objective", "prose": "instances that require Mutual Authentication (MA) are identified, where both sides of a communications channel verify the identity of the other party through certificate exchange."}, {"id": "IAC-30_IAC-30_A02", "name": "assessment-objective", "prose": "technologies to implement MA are identified."}, {"id": "IAC-30_IAC-30_A03", "name": "assessment-objective", "prose": "technologies enforce MA, where required."}]} \N \N \N \N +SCF:IRO-01 SCF IRO-01 Incident Response Operations Mechanisms exist to implement and govern processes and documentation to facilitate an organization-wide response capability for cybersecurity and data protection-related incidents. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-01_IRO-01_A01", "name": "assessment-objective", "prose": "the rigor of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-01_IRO-01_A02", "name": "assessment-objective", "prose": "the intensity of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-01_IRO-01_A03", "name": "assessment-objective", "prose": "the scope of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-01_IRO-01_A04", "name": "assessment-objective", "prose": "the results of incident handling activities are comparable and predictable across the organization."}, {"id": "IRO-01_IRO-01_A05", "name": "assessment-objective", "prose": "incident handling activities are coordinated with contingency planning activities."}, {"id": "IRO-01_IRO-01_A06", "name": "assessment-objective", "prose": "an operational incident-handling capability is established."}, {"id": "IRO-01_IRO-01_A07", "name": "assessment-objective", "prose": "the operational incident-handling capability includes preparation."}, {"id": "IRO-01_IRO-01_A08", "name": "assessment-objective", "prose": "the operational incident-handling capability includes detection and analysis."}, {"id": "IRO-01_IRO-01_A09", "name": "assessment-objective", "prose": "the operational incident-handling capability includes containment."}, {"id": "IRO-01_IRO-01_A10", "name": "assessment-objective", "prose": "the operational incident-handling capability includes eradication."}, {"id": "IRO-01_IRO-01_A11", "name": "assessment-objective", "prose": "the operational incident-handling capability includes recovery."}, {"id": "IRO-01_IRO-01_A12", "name": "assessment-objective", "prose": "lessons learned from ongoing incident handling activities are incorporated into incident response procedures, training, and testing."}, {"id": "IRO-01_IRO-01_A13", "name": "assessment-objective", "prose": "the changes resulting from the incorporated lessons learned are implemented accordingly."}, {"id": "IRO-01_IRO-01_A14", "name": "assessment-objective", "prose": "an incident-handling capability that is consistent with the incident response plan is implemented."}, {"id": "IRO-01_IRO-01_A15", "name": "assessment-objective", "prose": "incident response management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "IRO-01_IRO-01_A16", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support incident response management operations."}, {"id": "IRO-01_IRO-01_A17", "name": "assessment-objective", "prose": "responsibility and authority for the performance of incident response management-related activities are assigned to designated personnel."}, {"id": "IRO-01_IRO-01_A18", "name": "assessment-objective", "prose": "personnel performing incident response management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:IRO-02 SCF IRO-02 Incident Handling Mechanisms exist to cover:\r\n(1) Preparation;\r\n(2) Automated event detection or manual incident report intake;\r\n(3) Analysis;\r\n(4) Containment;\r\n(5) Eradication; and\r\n(6) Recovery. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02_IRO-02_A01", "name": "assessment-objective", "prose": "an incident handling capability for incidents is implemented that is consistent with the incident response plan."}, {"id": "IRO-02_IRO-02_A02", "name": "assessment-objective", "prose": "the incident handling capability includes preparation."}, {"id": "IRO-02_IRO-02_A03", "name": "assessment-objective", "prose": "the incident handling capability includes detection and analysis."}, {"id": "IRO-02_IRO-02_A04", "name": "assessment-objective", "prose": "the incident handling capability includes containment."}, {"id": "IRO-02_IRO-02_A05", "name": "assessment-objective", "prose": "the incident handling capability includes eradication."}, {"id": "IRO-02_IRO-02_A06", "name": "assessment-objective", "prose": "the incident handling capability includes recovery."}, {"id": "IRO-02_IRO-02_A07", "name": "assessment-objective", "prose": "incident handling activities are coordinated with contingency planning activities."}, {"id": "IRO-02_IRO-02_A08", "name": "assessment-objective", "prose": "the operational incident-handling capability includes user response activities."}, {"id": "IRO-02_IRO-02_A09", "name": "assessment-objective", "prose": "authorities to whom incidents are to be reported are identified."}, {"id": "IRO-02_IRO-02_A10", "name": "assessment-objective", "prose": "organizational officials to whom incidents are to be reported are identified."}, {"id": "IRO-02_IRO-02_A11", "name": "assessment-objective", "prose": "identified authorities are notified of incidents."}, {"id": "IRO-02_IRO-02_A12", "name": "assessment-objective", "prose": "identified organizational officials are notified of incidents."}, {"id": "IRO-02_IRO-02_A13", "name": "assessment-objective", "prose": "incidents are tracked."}, {"id": "IRO-02_IRO-02_A14", "name": "assessment-objective", "prose": "incidents are documented."}, {"id": "IRO-02_IRO-02_A15", "name": "assessment-objective", "prose": "lessons learned from ongoing incident handling activities are incorporated into incident response procedures, training and testing."}, {"id": "IRO-02_IRO-02_A16", "name": "assessment-objective", "prose": "the changes resulting from the incorporated lessons learned are implemented accordingly."}, {"id": "IRO-02_IRO-02_A17", "name": "assessment-objective", "prose": "the rigor of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-02_IRO-02_A18", "name": "assessment-objective", "prose": "the intensity of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-02_IRO-02_A19", "name": "assessment-objective", "prose": "the scope of incident handling activities is comparable and predictable across the organization."}, {"id": "IRO-02_IRO-02_A20", "name": "assessment-objective", "prose": "the results of incident handling activities are comparable and predictable across the organization."}, {"id": "IRO-02_IRO-02_A21", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-02_IRO-02_A22", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within ."}]} \N \N \N \N +SCF:IRO-02.1 SCF IRO-02.1 Automated Incident Handling Processes Automated mechanisms exist to support the incident handling process. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.1_IRO-02.1_A01", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "IRO-02.1_IRO-02.1_A02", "name": "assessment-objective", "prose": "organizational systems and system components are monitored on an ongoing basis for anomalous or suspicious behavior."}, {"id": "IRO-02.1_IRO-02.1_A03", "name": "assessment-objective", "prose": "automated mechanisms used to support the incident handling process are defined."}, {"id": "IRO-02.1_IRO-02.1_A04", "name": "assessment-objective", "prose": "the incident handling process is supported using automated mechanisms."}, {"id": "IRO-02.1_IRO-02.1_A05", "name": "assessment-objective", "prose": "incident response personnel (identified by name and/or by role) to be notified of detected suspicious events is/are defined."}, {"id": "IRO-02.1_IRO-02.1_A06", "name": "assessment-objective", "prose": "least-disruptive actions to terminate suspicious events are defined."}, {"id": "IRO-02.1_IRO-02.1_A07", "name": "assessment-objective", "prose": "incident response personnel are notified of detected suspicious events."}, {"id": "IRO-02.1_IRO-02.1_A08", "name": "assessment-objective", "prose": "least-disruptive actions are taken upon the detection of suspicious events."}]} \N \N \N \N +SCF:IRO-02.2 SCF IRO-02.2 Insider Threat Response Capability Mechanisms exist to implement and govern an insider threat program. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.2_IRO-02.2_A01", "name": "assessment-objective", "prose": "an incident handling capability is implemented for incidents involving insider threats."}]} \N \N \N \N +SCF:NET-06.6 SCF NET-06.6 Microsegmentation Automated mechanisms exist to enable microsegmentation, either physically or virtually, to divide the network according to application and data workflows communications needs. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.6_NET-06.6_A01", "name": "assessment-objective", "prose": "microsegmentation is implemented to divide the network according to application and data workflows communications needs."}]} \N \N \N \N +SCF:IRO-02.3 SCF IRO-02.3 Dynamic Reconfiguration Automated mechanisms exist to dynamically reconfigure system components as part of the incident response capability. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.3_IRO-02.3_A01", "name": "assessment-objective", "prose": "types of dynamic reconfiguration for system components are defined."}, {"id": "IRO-02.3_IRO-02.3_A02", "name": "assessment-objective", "prose": "system components that require dynamic reconfiguration are defined."}, {"id": "IRO-02.3_IRO-02.3_A03", "name": "assessment-objective", "prose": "types of dynamic reconfiguration for system components are included as part of the incident response capability."}]} \N \N \N \N +SCF:IRO-02.4 SCF IRO-02.4 Incident Classification & Prioritization Mechanisms exist to identify classes of incidents and actions to take to ensure the continuation of organizational missions and business functions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.4_IRO-02.4_A01", "name": "assessment-objective", "prose": "classes of incidents requiring an organization-defined action to be taken are defined."}, {"id": "IRO-02.4_IRO-02.4_A02", "name": "assessment-objective", "prose": "classes of incidents are identified."}, {"id": "IRO-02.4_IRO-02.4_A03", "name": "assessment-objective", "prose": "actions to be taken in response to organization-defined classes of incidents are defined."}, {"id": "IRO-02.4_IRO-02.4_A04", "name": "assessment-objective", "prose": "actions are taken in response to those incidents to ensure the continuation of organizational mission and business functions."}]} \N \N \N \N +SCF:IRO-02.5 SCF IRO-02.5 Correlation with External Organizations Mechanisms exist to coordinate with approved third-parties to achieve a cross-organization perspective on incident awareness and more effective incident responses. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.5_IRO-02.5_A01", "name": "assessment-objective", "prose": "external organizations with whom organizational incident information is to be coordinated and shared are defined."}, {"id": "IRO-02.5_IRO-02.5_A02", "name": "assessment-objective", "prose": "incident information to be correlated and shared with organization-defined external organizations are defined."}, {"id": "IRO-02.5_IRO-02.5_A03", "name": "assessment-objective", "prose": "there is coordination with external organizations to correlate and share incident information to achieve a cross-organization perspective on incident awareness and more effective incident responses."}]} \N \N \N \N +SCF:IRO-02.6 SCF IRO-02.6 Automatic Disabling of Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to automatically disable Technology Assets, Applications and/or Services (TAAS), upon detection of a possible incident that meets organizational criteria, which allows for forensic analysis to be performed. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-02.6_IRO-02.6_A01", "name": "assessment-objective", "prose": "a configurable capability is implemented to automatically disable the system if security violations are detected."}]} \N \N \N \N +SCF:IRO-03 SCF IRO-03 Indicators of Compromise (IOC) Mechanisms exist to define specific Indicators of Compromise (IOC) to identify the signs of potential cybersecurity events. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-03_IRO-03_A01", "name": "assessment-objective", "prose": "anomalous or suspicious behavior is defined."}, {"id": "IRO-03_IRO-03_A02", "name": "assessment-objective", "prose": "environments or resources which may contain or may be related to anomalous or suspected adversarial behavior are defined."}, {"id": "IRO-03_IRO-03_A03", "name": "assessment-objective", "prose": "anomalous or suspected adversarial behavior in or related to organization-defined environments or resources are analyzed."}, {"id": "IRO-03_IRO-03_A04", "name": "assessment-objective", "prose": "organizational systems and system components are monitored on an ongoing basis for anomalous or suspicious behavior."}]} \N \N \N \N +SCF:IRO-04 SCF IRO-04 Incident Response Plan (IRP) Mechanisms exist to maintain and make available a current and viable Incident Response Plan (IRP) to all stakeholders. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-04_IRO-04_A01", "name": "assessment-objective", "prose": "personnel or roles that review and approve the incident response plan is/are identified."}, {"id": "IRO-04_IRO-04_A02", "name": "assessment-objective", "prose": "entities, personnel or roles with designated responsibility for incident response are defined."}, {"id": "IRO-04_IRO-04_A03", "name": "assessment-objective", "prose": "an incident response plan is developed that provides the organization with a roadmap for implementing its incident response capability."}, {"id": "IRO-04_IRO-04_A04", "name": "assessment-objective", "prose": "an incident response plan is developed that describes the structure and organization of the incident response capability."}, {"id": "IRO-04_IRO-04_A05", "name": "assessment-objective", "prose": "an incident response plan is developed that provides a high-level approach for how the incident response capability fits into the overall organization."}, {"id": "IRO-04_IRO-04_A06", "name": "assessment-objective", "prose": "an incident response plan is developed that meets the unique requirements of the organization with regard to mission, size, structure and functions."}, {"id": "IRO-04_IRO-04_A07", "name": "assessment-objective", "prose": "an incident response plan is developed that defines reportable incidents."}, {"id": "IRO-04_IRO-04_A08", "name": "assessment-objective", "prose": "an incident response plan is developed that provides metrics for measuring the incident response capability within the organization."}, {"id": "IRO-04_IRO-04_A09", "name": "assessment-objective", "prose": "an incident response plan is developed that defines the resources and management support needed to effectively maintain and mature an incident response capability."}, {"id": "IRO-04_IRO-04_A10", "name": "assessment-objective", "prose": "an incident response plan is developed that addresses the sharing of incident information."}, {"id": "IRO-04_IRO-04_A11", "name": "assessment-objective", "prose": "an incident response plan is developed that is reviewed and approved by personnel or roles frequency."}, {"id": "IRO-04_IRO-04_A12", "name": "assessment-objective", "prose": "an incident response plan is developed that designates responsibilities to organizational entities, personnel, or roles."}, {"id": "IRO-04_IRO-04_A13", "name": "assessment-objective", "prose": "copies of the incident response plan are distributed to designated incident response personnel (identified by name or by role)."}, {"id": "IRO-04_IRO-04_A14", "name": "assessment-objective", "prose": "incident response personnel (identified by name and/or by role) to whom copies of the incident response plan are to be distributed is/are defined."}, {"id": "IRO-04_IRO-04_A15", "name": "assessment-objective", "prose": "organizational elements to which copies of the incident response plan are to be distributed are defined."}, {"id": "IRO-04_IRO-04_A16", "name": "assessment-objective", "prose": "incident response personnel (identified by name and/or by role) to whom changes to the incident response plan is/are communicated are defined."}, {"id": "IRO-04_IRO-04_A17", "name": "assessment-objective", "prose": "organizational elements to which changes to the incident response plan are communicated are defined."}, {"id": "IRO-04_IRO-04_A18", "name": "assessment-objective", "prose": "copies of the incident response plan are distributed to organizational elements."}, {"id": "IRO-04_IRO-04_A19", "name": "assessment-objective", "prose": "the frequency at which to review and approve the incident response plan is defined."}, {"id": "IRO-04_IRO-04_A20", "name": "assessment-objective", "prose": "the incident response plan is updated to address system and organizational changes or problems encountered during plan implementation, execution or testing."}, {"id": "IRO-04_IRO-04_A21", "name": "assessment-objective", "prose": "incident response plan changes are communicated to incident response personnel."}, {"id": "IRO-04_IRO-04_A22", "name": "assessment-objective", "prose": "incident response plan changes are communicated to organizational elements."}, {"id": "IRO-04_IRO-04_A23", "name": "assessment-objective", "prose": "the incident response plan is protected from unauthorized disclosure."}, {"id": "IRO-04_IRO-04_A24", "name": "assessment-objective", "prose": "the incident response plan is protected from unauthorized modification."}, {"id": "IRO-04_IRO-04_A25", "name": "assessment-objective", "prose": "the time period to report suspected incidents to the organizational incident response capability is defined."}, {"id": "IRO-04_IRO-04_A26", "name": "assessment-objective", "prose": "authorities to whom incident information is to be reported are defined."}]} \N \N \N \N +SCF:IRO-04.1 SCF IRO-04.1 Data Breach Mechanisms exist to address data breaches, or other incidents involving the unauthorized disclosure of sensitive or regulated data, according to applicable laws, regulations and contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-04.1_IRO-04.1_A01", "name": "assessment-objective", "prose": "the incident response plan for breaches involving Personal Data (PD) includes a process to determine if notice to individuals or other organizations, including oversight organizations, is needed."}, {"id": "IRO-04.1_IRO-04.1_A02", "name": "assessment-objective", "prose": "the incident response plan for breaches involving Personal Data (PD) includes an assessment process to determine the extent of the harm, embarrassment, inconvenience or unfairness to affected individuals and any mechanisms to mitigate such harms."}, {"id": "IRO-04.1_IRO-04.1_A03", "name": "assessment-objective", "prose": "the incident response plan for breaches involving Personal Data (PD) includes the identification of applicable privacy requirements."}]} \N \N \N \N +SCF:IRO-04.2 SCF IRO-04.2 IRP Update Mechanisms exist to regularly review and modify incident response practices to incorporate lessons learned, business process changes and industry developments, as necessary. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-04.2_IRO-04.2_A01", "name": "assessment-objective", "prose": "an official to manage the incident response policy / procedures is defined."}, {"id": "IRO-04.2_IRO-04.2_A02", "name": "assessment-objective", "prose": "the frequency at which the current incident response policy / procedures is reviewed / updated is defined."}, {"id": "IRO-04.2_IRO-04.2_A03", "name": "assessment-objective", "prose": "events that would require the current incident response policy / procedures to be reviewed / updated are defined."}, {"id": "IRO-04.2_IRO-04.2_A04", "name": "assessment-objective", "prose": "the current incident response policy / procedures are reviewed / updated organization-defined frequency."}, {"id": "IRO-04.2_IRO-04.2_A05", "name": "assessment-objective", "prose": "the current incident response policy / procedures are reviewed / updated following organization-defined events."}, {"id": "IRO-04.2_IRO-04.2_A06", "name": "assessment-objective", "prose": "the incident response plan is updated to address system and organizational changes or problems encountered during plan implementation, execution, or testing."}, {"id": "IRO-04.2_IRO-04.2_A07", "name": "assessment-objective", "prose": "personnel or roles to whom the incident response policy / procedures is to be disseminated are defined."}, {"id": "IRO-04.2_IRO-04.2_A08", "name": "assessment-objective", "prose": "an incident response policy is developed and documented."}, {"id": "IRO-04.2_IRO-04.2_A09", "name": "assessment-objective", "prose": "the incident response policy is disseminated to organization-defined personnel or roles."}, {"id": "IRO-04.2_IRO-04.2_A10", "name": "assessment-objective", "prose": "incident response procedures to facilitate the implementation of the incident response policy and associated incident response controls are developed and documented."}, {"id": "IRO-04.2_IRO-04.2_A11", "name": "assessment-objective", "prose": "the incident response procedures are disseminated to organization-defined personnel or roles."}, {"id": "IRO-04.2_IRO-04.2_A12", "name": "assessment-objective", "prose": "the organization's incident response policy addresses purpose."}, {"id": "IRO-04.2_IRO-04.2_A13", "name": "assessment-objective", "prose": "the organization's incident response policy addresses scope."}, {"id": "IRO-04.2_IRO-04.2_A14", "name": "assessment-objective", "prose": "the organization's incident response policy addresses roles."}, {"id": "IRO-04.2_IRO-04.2_A15", "name": "assessment-objective", "prose": "the organization's incident response policy addresses responsibilities."}, {"id": "IRO-04.2_IRO-04.2_A16", "name": "assessment-objective", "prose": "the organization's incident response policy addresses management commitment."}, {"id": "IRO-04.2_IRO-04.2_A17", "name": "assessment-objective", "prose": "the organization's incident response policy addresses coordination among organizational entities."}, {"id": "IRO-04.2_IRO-04.2_A18", "name": "assessment-objective", "prose": "the organization's incident response policy addresses compliance."}, {"id": "IRO-04.2_IRO-04.2_A19", "name": "assessment-objective", "prose": "the organization's incident response policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "IRO-04.2_IRO-04.2_A20", "name": "assessment-objective", "prose": "the organization-defined official is designated to manage the development, documentation, and dissemination of the incident response policy and procedures."}]} \N \N \N \N +SCF:IRO-04.3 SCF IRO-04.3 Continuous Incident Response Improvements Mechanisms exist to use qualitative and quantitative data from incident response testing to: \r\n(1) Determine the effectiveness of incident response processes;\r\n(2) Continuously improve incident response processes; and\r\n(3) Provide incident response measures and metrics that are accurate, consistent and in a reproducible format. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-04.3_IRO-04.3_A01", "name": "assessment-objective", "prose": "qualitative / quantitative data from testing are used to determine the effectiveness of incident response processes."}, {"id": "IRO-04.3_IRO-04.3_A02", "name": "assessment-objective", "prose": "qualitative / quantitative data from testing are used to continuously improve incident response processes."}, {"id": "IRO-04.3_IRO-04.3_A03", "name": "assessment-objective", "prose": "qualitative / quantitative data from testing are used to provide incident response measures and metrics that are accurate."}, {"id": "IRO-04.3_IRO-04.3_A04", "name": "assessment-objective", "prose": "qualitative / quantitative data from testing are used to provide incident response measures and metrics that are consistent."}, {"id": "IRO-04.3_IRO-04.3_A05", "name": "assessment-objective", "prose": "qualitative / quantitative data from testing are used to provide incident response measures and metrics in a reproducible format."}]} \N \N \N \N +SCF:IRO-05 SCF IRO-05 Incident Response Training Mechanisms exist to train personnel in their incident response roles and responsibilities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-05_IRO-05_A01", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided within an organization-defined time period of assuming an incident response role or responsibility or acquiring system access."}, {"id": "IRO-05_IRO-05_A02", "name": "assessment-objective", "prose": "events that initiate a review of the incident response training content are defined."}, {"id": "IRO-05_IRO-05_A03", "name": "assessment-objective", "prose": "incident response training content is updated per an organization-defined frequency."}, {"id": "IRO-05_IRO-05_A04", "name": "assessment-objective", "prose": "incident response training content is reviewed / updated following organization-defined events."}, {"id": "IRO-05_IRO-05_A05", "name": "assessment-objective", "prose": "the time period within which incident response training is to be provided to system users is defined."}, {"id": "IRO-05_IRO-05_A06", "name": "assessment-objective", "prose": "the frequency at which to provide incident response training to users after initial training is defined."}, {"id": "IRO-05_IRO-05_A07", "name": "assessment-objective", "prose": "the frequency at which to review and update incident response training content is defined."}, {"id": "IRO-05_IRO-05_A08", "name": "assessment-objective", "prose": "incident response training is provided to system users consistent with assigned roles and responsibilities when required by system changes."}, {"id": "IRO-05_IRO-05_A09", "name": "assessment-objective", "prose": "incident response training is provided to system users consistent with assigned roles and responsibilities upon role assignment and per an organization-defined frequency thereafter."}, {"id": "IRO-05_IRO-05_A10", "name": "assessment-objective", "prose": "incident response training content is reviewed per an organization-defined frequency."}, {"id": "IRO-05_IRO-05_A11", "name": "assessment-objective", "prose": "incident response training content is reviewed / updated following events."}, {"id": "IRO-05_IRO-05_A12", "name": "assessment-objective", "prose": "incident response training on how to identify and respond to a breach is provided."}, {"id": "IRO-05_IRO-05_A13", "name": "assessment-objective", "prose": "incident response training on the organization's process for reporting a breach is provided."}, {"id": "IRO-05_IRO-05_A14", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided within of assuming an incident response role or responsibility or acquiring system access."}, {"id": "IRO-05_IRO-05_A15", "name": "assessment-objective", "prose": "incident response training content is reviewed ."}, {"id": "IRO-05_IRO-05_A16", "name": "assessment-objective", "prose": "incident response training content is updated ."}, {"id": "IRO-05_IRO-05_A17", "name": "assessment-objective", "prose": "incident response training content is reviewed following ."}, {"id": "IRO-05_IRO-05_A18", "name": "assessment-objective", "prose": "incident response training content is updated following ."}]} \N \N \N \N +SCF:IRO-05.1 SCF IRO-05.1 Simulated Incidents Mechanisms exist to incorporate simulated events into incident response training to facilitate effective response by personnel in crisis situations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-05.1_IRO-05.1_A01", "name": "assessment-objective", "prose": "simulated events are incorporated into incident response training to facilitate the required response by personnel in crisis situations."}]} \N \N \N \N +SCF:IRO-05.2 SCF IRO-05.2 Automated Incident Response Training Environments Automated mechanisms exist to provide a more thorough and realistic incident response training environment. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-05.2_IRO-05.2_A01", "name": "assessment-objective", "prose": "automated mechanisms used in an incident response training environment are defined."}, {"id": "IRO-05.2_IRO-05.2_A02", "name": "assessment-objective", "prose": "an incident response training environment is provided using automated mechanisms."}]} \N \N \N \N +SCF:IRO-06 SCF IRO-06 Incident Response Testing Mechanisms exist to formally test incident response capabilities through realistic exercises to determine the operational effectiveness of those capabilities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-06_IRO-06_A01", "name": "assessment-objective", "prose": "the frequency at which to test the effectiveness of the incident response capability for the system is defined."}, {"id": "IRO-06_IRO-06_A02", "name": "assessment-objective", "prose": "tests used to test the effectiveness of the incident response capability for the system are defined."}, {"id": "IRO-06_IRO-06_A03", "name": "assessment-objective", "prose": "the incident response capability is tested."}, {"id": "IRO-06_IRO-06_A04", "name": "assessment-objective", "prose": "the effectiveness of the incident response capability is tested per an organization-defined frequency."}, {"id": "IRO-06_IRO-06_A05", "name": "assessment-objective", "prose": "a frequency at which to test intrusion-monitoring tools and mechanisms is defined."}, {"id": "IRO-06_IRO-06_A06", "name": "assessment-objective", "prose": "intrusion-monitoring tools and mechanisms are tested frequently."}, {"id": "IRO-06_IRO-06_A07", "name": "assessment-objective", "prose": "the effectiveness of the incident response capability is tested ."}]} \N \N \N \N +SCF:IRO-06.1 SCF IRO-06.1 Coordination with Related Plans Mechanisms exist to coordinate incident response testing with organizational elements responsible for related plans. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-06.1_IRO-06.1_A01", "name": "assessment-objective", "prose": "incident response testing is coordinated with organizational elements responsible for related plans."}]} \N \N \N \N +SCF:IRO-07 SCF IRO-07 Integrated Security Incident Response Team (ISIRT) Mechanisms exist to establish an integrated team of cybersecurity, IT and business function representatives that are capable of addressing cybersecurity and data protection incident response operations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-07_IRO-07_A01", "name": "assessment-objective", "prose": "an integrated incident response team is established and maintained."}, {"id": "IRO-07_IRO-07_A02", "name": "assessment-objective", "prose": "the time period within which an integrated incident response team can be deployed is defined."}, {"id": "IRO-07_IRO-07_A03", "name": "assessment-objective", "prose": "the cyber incident response team can be deployed by the organization within an organization-defined time period."}, {"id": "IRO-07_IRO-07_A04", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-07_IRO-07_A05", "name": "assessment-objective", "prose": "an incident response support resource that offers advice and assistance to system users on handling and reporting incidents is provided."}, {"id": "IRO-07_IRO-07_A06", "name": "assessment-objective", "prose": "a time period for deploying a cyber incident response team is defined."}, {"id": "IRO-07_IRO-07_A07", "name": "assessment-objective", "prose": "the cyber incident response team can be deployed by the organization within an organization-defined time period."}, {"id": "IRO-07_IRO-07_A08", "name": "assessment-objective", "prose": "the cyber incident response team is maintained."}, {"id": "IRO-07_IRO-07_A09", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within ."}]} \N \N \N \N +SCF:IRO-08 SCF IRO-08 Chain of Custody & Forensics Mechanisms exist to perform digital forensics and maintain the integrity of the chain of custody, in accordance with applicable laws, regulations and industry-recognized secure practices. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-08_IRO-08_A01", "name": "assessment-objective", "prose": "reviewer or releaser credentials are maintained within the established chain of custody for information reviewed or released."}]} \N \N \N \N +SCF:IRO-08.1 SCF IRO-08.1 Licensed Forensic Investigators Mechanisms exist to utilize licensed forensic investigators to perform data analysis for evidentiary purposes that may be used in legal proceedings or to prove wrongdoing. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-08.1_IRO-08.1_A01", "name": "assessment-objective", "prose": "requirements for utilizing a licensed forensic investigator to perform data analysis for evidentiary purposes that may be used in legal proceedings or to prove wrongdoing are identified."}, {"id": "IRO-08.1_IRO-08.1_A02", "name": "assessment-objective", "prose": "where required, only licensed forensic investigators are to perform data analysis for evidentiary purposes that may be used in legal proceedings or to prove wrongdoing."}]} \N \N \N \N +SCF:IRO-09 SCF IRO-09 Situational Awareness For Incidents Mechanisms exist to document, monitor and report the status of cybersecurity and data protection incidents to internal stakeholders all the way through the resolution of the incident. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-09_IRO-09_A01", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-09_IRO-09_A02", "name": "assessment-objective", "prose": "system security incidents are tracked / reported to internal stakeholders."}, {"id": "IRO-09_IRO-09_A03", "name": "assessment-objective", "prose": "system security incidents are documented."}, {"id": "IRO-09_IRO-09_A04", "name": "assessment-objective", "prose": "system security incidents are tracked."}]} \N \N \N \N +SCF:IRO-09.1 SCF IRO-09.1 Automated Tracking, Data Collection & Analysis Automated mechanisms exist to assist in the tracking, collection and analysis of information from actual and potential cybersecurity and data protection incidents. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-09.1_IRO-09.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used to track incidents are defined."}, {"id": "IRO-09.1_IRO-09.1_A02", "name": "assessment-objective", "prose": "automated mechanisms used to collect incident information are defined."}, {"id": "IRO-09.1_IRO-09.1_A03", "name": "assessment-objective", "prose": "automated mechanisms used to analyze incident information are defined."}, {"id": "IRO-09.1_IRO-09.1_A04", "name": "assessment-objective", "prose": "incidents are tracked using automated mechanisms."}, {"id": "IRO-09.1_IRO-09.1_A05", "name": "assessment-objective", "prose": "incident information is collected using automated mechanisms."}, {"id": "IRO-09.1_IRO-09.1_A06", "name": "assessment-objective", "prose": "incident information is analyzed using automated mechanisms."}]} \N \N \N \N +SCF:IRO-09.2 SCF IRO-09.2 Recurring Incident Analysis Mechanisms exist to periodically review incident response activities for the existence of recurring incidents. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-09.2_IRO-09.2_A01", "name": "assessment-objective", "prose": "incident response activities are periodically reviewed for the existence of recurring incidents."}]} \N \N \N \N +SCF:IRO-09.3 SCF IRO-09.3 Incident Tracking Repository Mechanisms exist to maintain a repository of cybersecurity events and incidents that documents:\r\n(1) Details of the incident (e.g., category, severity, affected parties, etc.);\r\n(2) Remediation actions taken through incident closure; and\r\n(3) A summary from the Root Cause Analysis (RCA), if applicable. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-09.3_IRO-09.3_A01", "name": "assessment-objective", "prose": "a repository to document cybersecurity events and incidents is defined."}, {"id": "IRO-09.3_IRO-09.3_A02", "name": "assessment-objective", "prose": "details of the incident (e.g., category, severity, affected parties, etc.) are documented in the repository."}, {"id": "IRO-09.3_IRO-09.3_A03", "name": "assessment-objective", "prose": "remediation actions taken through incident closure are documented in the repository."}, {"id": "IRO-09.3_IRO-09.3_A04", "name": "assessment-objective", "prose": "a summary from the Root Cause Analysis (RCA) are documented in the repository, if applicable."}]} \N \N \N \N +SCF:IRO-09.4 SCF IRO-09.4 Incident Pattern Analysis Mechanisms exist to analyze historical incidents in aggregate to identify:\r\n(1) Patterns;\r\n(2) Trends; and \r\n(3) Other common root causes in order to address the vulnerability and risk. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-09.4_IRO-09.4_A01", "name": "assessment-objective", "prose": "a method to analyze historical incidents in aggregate is defined."}, {"id": "IRO-09.4_IRO-09.4_A02", "name": "assessment-objective", "prose": "historical incidents are analyzed in aggregate to identify patterns."}, {"id": "IRO-09.4_IRO-09.4_A03", "name": "assessment-objective", "prose": "historical incidents are analyzed in aggregate to identify trends."}, {"id": "IRO-09.4_IRO-09.4_A04", "name": "assessment-objective", "prose": "historical incidents are analyzed in aggregate to identify other common root causes in order to address the vulnerability and risk."}]} \N \N \N \N +SCF:IRO-10 SCF IRO-10 Incident Stakeholder Reporting Mechanisms exist to timely-report incidents to applicable:\r\n(1) Internal stakeholders; \r\n(2) Affected clients & third-parties; and\r\n(3) Regulatory authorities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10_IRO-10_A01", "name": "assessment-objective", "prose": "the time period to report suspected incidents to the organizational incident response capability is defined."}, {"id": "IRO-10_IRO-10_A02", "name": "assessment-objective", "prose": "authorities to whom incident information is to be reported are defined."}, {"id": "IRO-10_IRO-10_A03", "name": "assessment-objective", "prose": "personnel are required to report suspected incidents to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-10_IRO-10_A04", "name": "assessment-objective", "prose": "incident information is reported to organization-defined authorities."}, {"id": "IRO-10_IRO-10_A05", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-10_IRO-10_A06", "name": "assessment-objective", "prose": "an incident response support resource that offers advice and assistance to system users on handling and reporting incidents is provided."}, {"id": "IRO-10_IRO-10_A07", "name": "assessment-objective", "prose": "suspected incidents are reported to the organizational incident response capability within ."}, {"id": "IRO-10_IRO-10_A08", "name": "assessment-objective", "prose": "incident information is reported to ."}]} \N \N \N \N +SCF:IRO-10.1 SCF IRO-10.1 Automated Reporting Automated mechanisms exist to assist in the reporting of cybersecurity and data protection incidents. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10.1_IRO-10.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used for reporting incidents are defined."}, {"id": "IRO-10.1_IRO-10.1_A02", "name": "assessment-objective", "prose": "incidents are reported using automated mechanisms."}]} \N \N \N \N +SCF:IRO-10.2 SCF IRO-10.2 Cyber Incident Reporting for Sensitive / Regulated Data Mechanisms exist to report sensitive/regulated data incidents in a timely manner. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10.2_IRO-10.2_A01", "name": "assessment-objective", "prose": "sensitive / regulated data incidents are reported in a timely manner."}, {"id": "IRO-10.2_IRO-10.2_A02", "name": "assessment-objective", "prose": "authorities to whom incident information is to be reported are defined."}]} \N \N \N \N +SCF:IRO-10.3 SCF IRO-10.3 Vulnerabilities Related To Incidents Mechanisms exist to report system vulnerabilities associated with reported cybersecurity and data protection incidents to organization-defined personnel or roles. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10.3_IRO-10.3_A01", "name": "assessment-objective", "prose": "personnel or roles to whom system vulnerabilities associated with reported incidents are reported to is/are defined."}, {"id": "IRO-10.3_IRO-10.3_A02", "name": "assessment-objective", "prose": "system vulnerabilities associated with reported incidents are reported to personnel or roles."}]} \N \N \N \N +SCF:IRO-10.4 SCF IRO-10.4 Supply Chain Coordination Mechanisms exist to provide cybersecurity and data protection incident information to the provider of the Technology Assets, Applications and/or Services (TAAS) and other organizations involved in the supply chain for TAAS related to the incident. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10.4_IRO-10.4_A01", "name": "assessment-objective", "prose": "incident handling activities involving supply chain events are coordinated with other organizations involved in the supply chain."}, {"id": "IRO-10.4_IRO-10.4_A02", "name": "assessment-objective", "prose": "incident information is provided to the provider of the product or service and other organizations involved in the supply chain or supply chain governance for systems or system components related to the incident."}]} \N \N \N \N +SCF:IRO-10.5 SCF IRO-10.5 Serious Incident Reporting Mechanisms exist to report any serious incident involving the organization's Technology Assets, Applications, Services and/or Data (TAASD) to relevant authorities in the locality where the incident occurred, in accordance with mandatory reporting:\r\n(1) Requirements; and\r\n(2) Timelines. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-10.5_IRO-10.5_A01", "name": "assessment-objective", "prose": "serious incident involving the organization's systems, applications and/or services are reported to relevant authorities in the locality where the incident occurred, in accordance with legal requirements."}]} \N \N \N \N +SCF:IRO-11 SCF IRO-11 Incident Reporting Assistance Mechanisms exist to provide incident response advice and assistance to users of Technology Assets, Applications and/or Services (TAAS) for the handling and reporting of actual and potential cybersecurity and data protection incidents. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-11_IRO-11_A01", "name": "assessment-objective", "prose": "an incident response support resource that offers advice and assistance to system users on handling and reporting incidents is provided."}, {"id": "IRO-11_IRO-11_A02", "name": "assessment-objective", "prose": "the incident response support resource offers advice and assistance to users of the system for the response and reporting of incidents."}]} \N \N \N \N +SCF:IRO-11.1 SCF IRO-11.1 Automation Support of Availability of Information / Support Automated mechanisms exist to increase the availability of incident response-related information and support. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-11.1_IRO-11.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used to increase the availability of incident response information and support are defined."}, {"id": "IRO-11.1_IRO-11.1_A02", "name": "assessment-objective", "prose": "the availability of incident response information and support is increased using automated mechanisms."}]} \N \N \N \N +SCF:IRO-11.2 SCF IRO-11.2 Coordination With External Providers Mechanisms exist to establish a direct, cooperative relationship between the organization's incident response capability and external service providers. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-11.2_IRO-11.2_A01", "name": "assessment-objective", "prose": "a direct, cooperative relationship is established between its incident response capability and external providers of the system protection capability."}, {"id": "IRO-11.2_IRO-11.2_A02", "name": "assessment-objective", "prose": "organizational incident response team members are identified to the external providers."}]} \N \N \N \N +SCF:IRO-12 SCF IRO-12 Sensitive / Regulated Data Spill Response Mechanisms exist to respond to sensitive/regulated data spills. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-12_IRO-12_A01", "name": "assessment-objective", "prose": "actions to be performed are defined."}, {"id": "IRO-12_IRO-12_A02", "name": "assessment-objective", "prose": "the specific information involved in the system contamination is identified in response to information spills."}, {"id": "IRO-12_IRO-12_A03", "name": "assessment-objective", "prose": "personnel or roles is/are alerted of the information spill using a method of communication not associated with the spill."}, {"id": "IRO-12_IRO-12_A04", "name": "assessment-objective", "prose": "the contaminated system or system component is isolated in response to information spills."}, {"id": "IRO-12_IRO-12_A05", "name": "assessment-objective", "prose": "the information is eradicated from the contaminated system or component in response to information spills."}, {"id": "IRO-12_IRO-12_A06", "name": "assessment-objective", "prose": "other systems or system components that may have been subsequently contaminated are identified in response to information spills."}, {"id": "IRO-12_IRO-12_A07", "name": "assessment-objective", "prose": "actions are performed in response to information spills."}, {"id": "IRO-12_IRO-12_A08", "name": "assessment-objective", "prose": "sensitive / regulated data is removed from publicly accessible systems, if discovered."}, {"id": "IRO-12_IRO-12_A09", "name": "assessment-objective", "prose": "CUI is removed from publicly accessible systems, if discovered."}]} \N \N \N \N +SCF:IRO-12.1 SCF IRO-12.1 Sensitive / Regulated Data Spill Responsible Personnel Mechanisms exist to formally assign personnel or roles with responsibility for responding to sensitive/regulated data spills. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-12.1_IRO-12.1_A01", "name": "assessment-objective", "prose": "personnel or roles assigned the responsibility for responding to information spills is/are defined."}, {"id": "IRO-12.1_IRO-12.1_A02", "name": "assessment-objective", "prose": "personnel or roles to be alerted of the information spill using a method of communication not associated with the spill is/are defined."}, {"id": "IRO-12.1_IRO-12.1_A03", "name": "assessment-objective", "prose": "personnel or roles is/are assigned the responsibility to respond to information spills."}]} \N \N \N \N +SCF:IRO-12.2 SCF IRO-12.2 Sensitive / Regulated Data Spill Training Mechanisms exist to ensure incident response training material provides coverage for sensitive/regulated data spillage response. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-12.2_IRO-12.2_A01", "name": "assessment-objective", "prose": "the frequency at which to provide information spillage response training is defined."}, {"id": "IRO-12.2_IRO-12.2_A02", "name": "assessment-objective", "prose": "information spillage response training is provided frequently."}]} \N \N \N \N +SCF:IRO-12.3 SCF IRO-12.3 Post-Sensitive / Regulated Data Spill Operations Mechanisms exist to ensure that organizational personnel impacted by sensitive/regulated data spills can continue to carry out assigned tasks while contaminated Technology Assets, Applications and/or Services (TAAS) are undergoing corrective actions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-12.3_IRO-12.3_A01", "name": "assessment-objective", "prose": "procedures to be implemented to ensure that organizational personnel impacted by information spills can continue to carry out assigned tasks while contaminated systems undergo corrective actions are defined."}, {"id": "IRO-12.3_IRO-12.3_A02", "name": "assessment-objective", "prose": "procedures are implemented to ensure that organizational personnel impacted by information spills can continue to carry out assigned tasks while contaminated systems are undergoing corrective actions."}]} \N \N \N \N +SCF:IRO-12.4 SCF IRO-12.4 Sensitive / Regulated Data Exposure to Unauthorized Personnel Mechanisms exist to address security safeguards for personnel exposed to sensitive/regulated data that is not within their assigned access authorizations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-12.4_IRO-12.4_A01", "name": "assessment-objective", "prose": "controls employed for personnel exposed to information not within assigned access authorizations are defined."}, {"id": "IRO-12.4_IRO-12.4_A02", "name": "assessment-objective", "prose": "controls are employed for personnel exposed to information not within assigned access authorizations."}, {"id": "IRO-12.4_IRO-12.4_A03", "name": "assessment-objective", "prose": "malicious code remaining in the system is analyzed after the incident."}, {"id": "IRO-12.4_IRO-12.4_A04", "name": "assessment-objective", "prose": "other residual artifacts remaining in the system (if any) are analyzed after the incident."}]} \N \N \N \N +SCF:IAO-05 SCF IAO-05 Capabilities Deficiency Tracking Mechanisms exist to govern identified deficiencies (e.g., Plan of Action and Milestones (POA&M) or similar methodology) that formally documents, at a minimum:\r\n(1) Deficiency tracking number;\r\n(2) Applicable security, compliance and/or resilience control;\r\n(3) Description of the deficiency(ies);\r\n(4) Risk associated with the deficiency(ies);\r\n(5) Source deficiency identification/detection;\r\n(6) Temporary compensating controls, if applicable;\r\n(7) Point of Contact (POC) (e.g., asset/process owner);\r\n(8) Resources required to conduct remediation actions;\r\n(9) Planned remedial actions to the deficiency(ies);\r\n(10) Proposed remediation timeline; and\r\n(11) Disposition statement (e.g., closeout summary). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-05_IAO-05_A01", "name": "assessment-objective", "prose": "deficiencies and vulnerabilities to be addressed by the plan of action are identified."}, {"id": "IAO-05_IAO-05_A02", "name": "assessment-objective", "prose": "a plan of action is developed to document the planned remediation actions of the organization to correct weaknesses or deficiencies noted during the assessment of the controls and to reduce or eliminate known vulnerabilities in the system."}, {"id": "IAO-05_IAO-05_A03", "name": "assessment-objective", "prose": "the frequency at which to update an existing plan of action based on the findings from control assessments, independent audits or reviews and continuous monitoring activities is defined."}, {"id": "IAO-05_IAO-05_A04", "name": "assessment-objective", "prose": "existing plan of action is updated organization-defined frequency based on the findings from control assessments, independent audits or reviews and continuous monitoring activities."}, {"id": "IAO-05_IAO-05_A05", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the cybersecurity program and associated organizational systems is developed."}, {"id": "IAO-05_IAO-05_A06", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the cybersecurity program and associated organizational systems is maintained."}, {"id": "IAO-05_IAO-05_A07", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the privacy program and associated organizational systems is developed."}, {"id": "IAO-05_IAO-05_A08", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the privacy program and associated organizational systems is maintained."}, {"id": "IAO-05_IAO-05_A09", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the supply chain risk management program and associated organizational systems is developed."}, {"id": "IAO-05_IAO-05_A10", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the supply chain risk management program and associated organizational systems is maintained."}, {"id": "IAO-05_IAO-05_A11", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the cybersecurity program and associated organizational systems documents remedial cybersecurity risk management actions to adequately respond to risks to organizational operations and assets, individuals, other organizations and the Nation."}, {"id": "IAO-05_IAO-05_A12", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the privacy program and associated organizational systems documents remedial privacy risk management actions to adequately respond to risks to organizational operations and assets, individuals, other organizations and the Nation."}, {"id": "IAO-05_IAO-05_A13", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the supply chain risk management program and associated organizational systems documents remedial supply chain risk management actions to adequately respond to risks to organizational operations and assets, individuals, other organizations and the Nation."}, {"id": "IAO-05_IAO-05_A14", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the cybersecurity risk management programs and associated organizational systems is reported in accordance with established reporting requirements."}, {"id": "IAO-05_IAO-05_A15", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the privacy risk management programs and associated organizational systems is reported in accordance with established reporting requirements."}, {"id": "IAO-05_IAO-05_A16", "name": "assessment-objective", "prose": "a process to ensure the plan of action for the supply chain risk management programs and associated organizational systems is reported in accordance with established reporting requirements."}, {"id": "IAO-05_IAO-05_A17", "name": "assessment-objective", "prose": "plan of action is reviewed for consistency with the organizational risk management strategy."}, {"id": "IAO-05_IAO-05_A18", "name": "assessment-objective", "prose": "plan of action is reviewed for consistency with organization-wide priorities for risk response actions."}, {"id": "IAO-05_IAO-05_A19", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to select and employ security tracking tools for use during the development process."}, {"id": "IAO-05_IAO-05_A20", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to select and employ privacy tracking tools for use during the development process."}, {"id": "IAO-05_IAO-05_A21", "name": "assessment-objective", "prose": "the frequency at which to update an existing plan of action based on the findings from control assessments, independent audits or reviews and continuous monitoring activities is defined."}, {"id": "IAO-05_IAO-05_A22", "name": "assessment-objective", "prose": "a plan of action is developed to document the planned remediation actions of the organization to correct weaknesses or deficiencies noted during the assessment of the controls and to reduce or eliminate known vulnerabilities in the system."}, {"id": "IAO-05_IAO-05_A23", "name": "assessment-objective", "prose": "existing plan of action is updated per an organization-defined frequency based on the findings from control assessments, independent audits or reviews and continuous monitoring activities."}, {"id": "IAO-05_IAO-05_A24", "name": "assessment-objective", "prose": "a plan of action is developed to document the planned remediation actions for correcting weaknesses or deficiencies noted during security assessments."}, {"id": "IAO-05_IAO-05_A25", "name": "assessment-objective", "prose": "a plan of action is developed to reduce or eliminate known system vulnerabilities."}, {"id": "IAO-05_IAO-05_A26", "name": "assessment-objective", "prose": "the existing plan of action is updated based on the findings from security assessments."}, {"id": "IAO-05_IAO-05_A27", "name": "assessment-objective", "prose": "the existing plan of action is updated based on the findings from audits or reviews."}, {"id": "IAO-05_IAO-05_A28", "name": "assessment-objective", "prose": "the existing plan of action is updated based on the findings from continuous monitoring activities."}, {"id": "IAO-05_IAO-05_A29", "name": "assessment-objective", "prose": "the plan of action is implemented to correct identified deficiencies and reduce or eliminate identified vulnerabilities."}]} \N \N \N \N +SCF:IRO-13 SCF IRO-13 Root Cause Analysis (RCA) & Lessons Learned Mechanisms exist to incorporate lessons learned from analyzing and resolving cybersecurity and data protection incidents to reduce the likelihood or impact of future incidents. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-13_IRO-13_A01", "name": "assessment-objective", "prose": "an After Action Reviews (AARs), or a similar process, is conducted following incidents that require escalation to an Integrated Security Incident Response Team (ISIRT), or similar integrated team of cybersecurity, IT and business function representatives, are established to address a cybersecurity and/or data privacy incident response operations."}, {"id": "IRO-13_IRO-13_A02", "name": "assessment-objective", "prose": "events that would require the current incident response policy / procedures to be reviewed / updated are defined."}, {"id": "IRO-13_IRO-13_A03", "name": "assessment-objective", "prose": "incident response documentation is updated to address necessary changes to enable the timely and effective response to incidents."}, {"id": "IRO-13_IRO-13_A04", "name": "assessment-objective", "prose": "events that initiate a review of the incident response training content are defined."}]} \N \N \N \N +SCF:IRO-14 SCF IRO-14 Regulatory & Law Enforcement Contacts Mechanisms exist to maintain incident response contacts with applicable regulatory and law enforcement agencies. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-14_IRO-14_A01", "name": "assessment-objective", "prose": "time period for personnel to report suspected incidents to the organizational incident response capability is defined."}, {"id": "IRO-14_IRO-14_A02", "name": "assessment-objective", "prose": "authorities to whom incident information is to be reported are defined."}, {"id": "IRO-14_IRO-14_A03", "name": "assessment-objective", "prose": "personnel are required to report suspected incidents to the organizational incident response capability within an organization-defined time period."}, {"id": "IRO-14_IRO-14_A04", "name": "assessment-objective", "prose": "incident information is reported to authorities."}]} \N \N \N \N +SCF:IRO-15 SCF IRO-15 Detonation Chambers (Sandboxes) Mechanisms exist to utilize a detonation chamber capability to detect and/or block potentially-malicious files and email attachments. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-15_IRO-15_A01", "name": "assessment-objective", "prose": "the system, system component or location where a detonation chamber capability is to be employed is defined."}, {"id": "IRO-15_IRO-15_A02", "name": "assessment-objective", "prose": "a detonation chamber capability is employed within the organization-defined system, system component or location."}]} \N \N \N \N +SCF:IRO-16 SCF IRO-16 Public Relations & Reputation Repair Mechanisms exist to proactively manage public relations associated with incidents and employ appropriate measures to prevent further reputational damage and develop plans to repair any damage to the organization's reputation. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Incident Response", "assessment_objective": [{"id": "IRO-16_IRO-16_A01", "name": "assessment-objective", "prose": "public relations associated with an incident are managed."}, {"id": "IRO-16_IRO-16_A02", "name": "assessment-objective", "prose": "measures are employed to repair the reputation of the organization."}]} \N \N \N \N +SCF:IAO-01 SCF IAO-01 Information Assurance (IA) Operations Mechanisms exist to facilitate the implementation of security, compliance and resilience assessment and authorization controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-01_IAO-01_A01", "name": "assessment-objective", "prose": "an Information Assurance (IA) process is implemented for conducting cybersecurity / data privacy testing, training and monitoring activities associated with systems, applications and services."}, {"id": "IAO-01_IAO-01_A02", "name": "assessment-objective", "prose": "the Information Assurance (IA) program is organization-wide."}, {"id": "IAO-01_IAO-01_A03", "name": "assessment-objective", "prose": "the authorization processes are integrated into an organization-wide Risk Management Program (RMP)."}, {"id": "IAO-01_IAO-01_A04", "name": "assessment-objective", "prose": "the cybersecurity / data privacy security state of organizational systems and the environments in which those systems operate are managed through authorization processes."}, {"id": "IAO-01_IAO-01_A05", "name": "assessment-objective", "prose": "individuals are designated to fulfill specific roles and responsibilities within the organizational risk management process."}, {"id": "IAO-01_IAO-01_A06", "name": "assessment-objective", "prose": "information assurance management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "IAO-01_IAO-01_A07", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support information assurance management operations."}, {"id": "IAO-01_IAO-01_A08", "name": "assessment-objective", "prose": "responsibility and authority for the performance of information assurance management-related activities are assigned to designated personnel."}, {"id": "IAO-01_IAO-01_A09", "name": "assessment-objective", "prose": "personnel performing information assurance management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:IAO-01.1 SCF IAO-01.1 Assessment Boundaries Mechanisms exist to establish the scope of assessments by defining the assessment boundary, according to people, processes and technology that directly or indirectly impact the confidentiality, integrity, availability and safety of the Technology Assets, Applications, Services and/or Data (TAASD) under review. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-01.1_IAO-01.1_A01", "name": "assessment-objective", "prose": "assessments are defined as (1) organization-level, (2) mission/business process-level, or (3) system/application/service-level."}, {"id": "IAO-01.1_IAO-01.1_A02", "name": "assessment-objective", "prose": "the scope of assessments is established by defining the assessment boundary, according to people, processes and technology that directly or indirectly impact the confidentiality, integrity, availability and safety of the data and systems under review."}]} \N \N \N \N +SCF:IAO-04 SCF IAO-04 Threat Analysis & Flaw Remediation During Development Mechanisms exist to require system developers and integrators to create and execute a Security Testing and Evaluation (ST&E) plan, or similar process, to identify and remediate flaws during development. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-04_IAO-04_A01", "name": "assessment-objective", "prose": "the breadth of penetration testing is defined."}, {"id": "IAO-04_IAO-04_A02", "name": "assessment-objective", "prose": "the depth of penetration testing is defined."}, {"id": "IAO-04_IAO-04_A03", "name": "assessment-objective", "prose": "constraints of penetration testing are defined."}, {"id": "IAO-04_IAO-04_A04", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing at an organization-defined breadth."}, {"id": "IAO-04_IAO-04_A05", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing at an organization-defined level of rigor."}, {"id": "IAO-04_IAO-04_A06", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing under organization-defined constraints."}]} \N \N \N \N +SCF:IAO-02 SCF IAO-02 Assessments Mechanisms exist to formally assess the security, compliance and resilience controls in Technology Assets, Applications and/or Services (TAAS) through Information Assurance Program (IAP) activities to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting expected requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-02_IAO-02_A01", "name": "assessment-objective", "prose": "the frequency at which to assess controls in the system and its environment of operation is defined."}, {"id": "IAO-02_IAO-02_A02", "name": "assessment-objective", "prose": "individuals or roles to whom control assessment results are to be provided are defined."}, {"id": "IAO-02_IAO-02_A03", "name": "assessment-objective", "prose": "an appropriate assessor or assessment team is selected for the type of assessment to be conducted."}, {"id": "IAO-02_IAO-02_A04", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including controls and control enhancements under assessment."}, {"id": "IAO-02_IAO-02_A05", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment procedures to be used to determine control effectiveness."}, {"id": "IAO-02_IAO-02_A06", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment environment."}, {"id": "IAO-02_IAO-02_A07", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment team."}, {"id": "IAO-02_IAO-02_A08", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment roles and responsibilities."}, {"id": "IAO-02_IAO-02_A09", "name": "assessment-objective", "prose": "the control assessment plan is reviewed and approved by the authorizing official or designated representative prior to conducting the assessment."}, {"id": "IAO-02_IAO-02_A10", "name": "assessment-objective", "prose": "security critical or essential software, firmware and hardware components for which to verify correctness are defined."}, {"id": "IAO-02_IAO-02_A11", "name": "assessment-objective", "prose": "verification methods or techniques are defined."}, {"id": "IAO-02_IAO-02_A12", "name": "assessment-objective", "prose": "the correctness of security critical or essential software, firmware and hardware components is verified using verification methods or techniques."}, {"id": "IAO-02_IAO-02_A13", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established security requirements."}, {"id": "IAO-02_IAO-02_A14", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established privacy requirements."}, {"id": "IAO-02_IAO-02_A15", "name": "assessment-objective", "prose": "a control assessment report is produced that documents the results of the assessment."}, {"id": "IAO-02_IAO-02_A16", "name": "assessment-objective", "prose": "the results of the control assessment are provided to individuals or roles."}]} \N \N \N \N +SCF:IAO-02.1 SCF IAO-02.1 Assessor Independence Mechanisms exist to ensure assessors or assessment teams have the appropriate independence to conduct security, compliance and/or resilience control assessments. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-02.1_IAO-02.1_A01", "name": "assessment-objective", "prose": "independent assessors or assessment teams are employed to conduct control assessments."}]} \N \N \N \N +SCF:IAO-02.2 SCF IAO-02.2 Specialized Assessments Mechanisms exist to conduct specialized assessments for: \r\n(1) Statutory, regulatory and contractual compliance obligations;\r\n(2) Monitoring capabilities; \r\n(3) Mobile devices;\r\n(4) Databases;\r\n(5) Application security;\r\n(6) Embedded technologies (e.g., IoT, OT, etc.);\r\n(7) Vulnerability management; \r\n(8) Malicious code; \r\n(9) Insider threats;\r\n(10) Performance/load testing; and/or\r\n(11) Artificial Intelligence and Autonomous Technologies (AAT). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-02.2_IAO-02.2_A01", "name": "assessment-objective", "prose": "the frequency at which to include specialized assessments as part of the control assessment is defined."}, {"id": "IAO-02.2_IAO-02.2_A02", "name": "assessment-objective", "prose": "other forms of announced or unannounced assessment are defined."}, {"id": "IAO-02.2_IAO-02.2_A03", "name": "assessment-objective", "prose": "organization-defined specialized assessment frequencies are included as part of control assessments."}]} \N \N \N \N +SCF:IAO-02.3 SCF IAO-02.3 Third-Party Assessment Reciprocity Mechanisms exist to accept and respond to the results of external assessments that are performed by impartial, external organizations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-02.3_IAO-02.3_A01", "name": "assessment-objective", "prose": "external organizations from which the results of control assessments are leveraged are defined."}, {"id": "IAO-02.3_IAO-02.3_A02", "name": "assessment-objective", "prose": "systems, applications and/or services on which a control assessment to be performed by an external organization are defined."}, {"id": "IAO-02.3_IAO-02.3_A03", "name": "assessment-objective", "prose": "requirements to be met by the control assessment performed by an external organization on systems, applications and/or services are defined."}, {"id": "IAO-02.3_IAO-02.3_A04", "name": "assessment-objective", "prose": "the results of control assessments performed by organization-defined external organizations on systems, applications and/or services are leveraged when the assessment meets organization-defined requirements."}]} \N \N \N \N +SCF:IAO-02.4 SCF IAO-02.4 Security Assessment Report (SAR) Mechanisms exist to produce a Security Assessment Report (SAR) at the conclusion of a security assessment to certify the results of the assessment and assist with any remediation actions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-02.4_IAO-02.4_A01", "name": "assessment-objective", "prose": "produce a Security Assessment Report (SAR) at the conclusion of a security assessment to certify the results of the assessment and assist with any remediation actions."}]} \N \N \N \N +SCF:IAO-03 SCF IAO-03 Applied Security, Compliance and Resilience Controls Documentation Mechanisms exist to generate authoritative documentation (e.g., System Security Plan (SSP)) that:\r\n(1) Identifies key architectural and implementation information on in-scope Technology Assets, Applications and/or Services (TAAS);\r\n(2) Reflects the current state of applied security, compliance and resilience controls on applicable People, Processes, Technologies, Data and/or Facilities (PPTDF) that are contained within the system boundary; and\r\n(3) Provides a historical record of applied security controls, including changes. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-03_IAO-03_A01", "name": "assessment-objective", "prose": "the system boundary is described and documented in the system security plan."}, {"id": "IAO-03_IAO-03_A02", "name": "assessment-objective", "prose": "the system components on which sensitive / regulated data is processed are identified and documented."}, {"id": "IAO-03_IAO-03_A03", "name": "assessment-objective", "prose": "the system components on which sensitive / regulated data is stored are identified and documented."}, {"id": "IAO-03_IAO-03_A04", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is processed are documented."}, {"id": "IAO-03_IAO-03_A05", "name": "assessment-objective", "prose": "changes to the system or system component location where sensitive / regulated data is stored are documented."}, {"id": "IAO-03_IAO-03_A06", "name": "assessment-objective", "prose": "a system security plan that describes specific threats to the system that are of concern to the organization is developed."}, {"id": "IAO-03_IAO-03_A07", "name": "assessment-objective", "prose": "a system security plan that describes the safeguards in place or planned for meeting the security requirements is developed."}, {"id": "IAO-03_IAO-03_A08", "name": "assessment-objective", "prose": "a system security plan that identifies individuals that fulfill system roles and responsibilities is developed."}, {"id": "IAO-03_IAO-03_A09", "name": "assessment-objective", "prose": "a system security plan that includes other relevant information necessary for the protection of sensitive / regulated data is developed."}, {"id": "IAO-03_IAO-03_A10", "name": "assessment-objective", "prose": "the system security plan is reviewed per an organization-defined frequency."}, {"id": "IAO-03_IAO-03_A11", "name": "assessment-objective", "prose": "the system security plan is protected from unauthorized disclosure."}, {"id": "IAO-03_IAO-03_A12", "name": "assessment-objective", "prose": "the security requirements identified and approved by the designated authority as non-applicable are identified."}, {"id": "IAO-03_IAO-03_A13", "name": "assessment-objective", "prose": "the method of security requirement implementation is described and documented in the system security plan."}, {"id": "IAO-03_IAO-03_A14", "name": "assessment-objective", "prose": "the relationship with or connection to other systems is described and documented in the system security plan."}, {"id": "IAO-03_IAO-03_A15", "name": "assessment-objective", "prose": "the system security plan documents or references the security solution selected."}, {"id": "IAO-03_IAO-03_A16", "name": "assessment-objective", "prose": "the system security plan documents or references the rationale for the security solution."}, {"id": "IAO-03_IAO-03_A17", "name": "assessment-objective", "prose": "the system security plan documents or references the risk determination."}, {"id": "IAO-03_IAO-03_A18", "name": "assessment-objective", "prose": "individuals or groups with whom cybersecurity / data privacy-related activities affecting the system that require planning and coordination is/are assigned."}, {"id": "IAO-03_IAO-03_A19", "name": "assessment-objective", "prose": "personnel or roles to receive distributed copies of the system cybersecurity / data privacy plans is/are assigned."}, {"id": "IAO-03_IAO-03_A20", "name": "assessment-objective", "prose": "the frequency at which the system security plan is reviewed and updated is defined."}, {"id": "IAO-03_IAO-03_A21", "name": "assessment-objective", "prose": "the system security plan is updated per an organization-defined frequency."}, {"id": "IAO-03_IAO-03_A22", "name": "assessment-objective", "prose": "a security plan for the system is developed that is consistent with the organization's enterprise architecture."}, {"id": "IAO-03_IAO-03_A23", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that is consistent with the organization's enterprise architecture."}, {"id": "IAO-03_IAO-03_A24", "name": "assessment-objective", "prose": "a system security plan that defines the constituent system components is developed."}, {"id": "IAO-03_IAO-03_A25", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that explicitly defines the constituent system components."}, {"id": "IAO-03_IAO-03_A26", "name": "assessment-objective", "prose": "a security plan for the system is developed that describes the operational context of the system in terms of mission and business processes."}, {"id": "IAO-03_IAO-03_A27", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that describes the operational context of the system in terms of mission and business processes."}, {"id": "IAO-03_IAO-03_A28", "name": "assessment-objective", "prose": "a security plan for the system is developed that identifies the individuals that fulfill system roles and responsibilities."}, {"id": "IAO-03_IAO-03_A29", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that identifies the individuals that fulfill system roles and responsibilities."}, {"id": "IAO-03_IAO-03_A30", "name": "assessment-objective", "prose": "a system security plan that identifies the information types processed, stored, and transmitted by the system is developed."}, {"id": "IAO-03_IAO-03_A31", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that identifies the information types processed, stored and transmitted by the system."}, {"id": "IAO-03_IAO-03_A32", "name": "assessment-objective", "prose": "a security plan for the system is developed that provides the security categorization of the system, including supporting rationale."}, {"id": "IAO-03_IAO-03_A33", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that provides the security categorization of the system, including supporting rationale."}, {"id": "IAO-03_IAO-03_A34", "name": "assessment-objective", "prose": "a security plan for the system is developed that describes any specific threats to the system that are of concern to the organization."}, {"id": "IAO-03_IAO-03_A35", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that describes any specific threats to the system that are of concern to the organization."}, {"id": "IAO-03_IAO-03_A36", "name": "assessment-objective", "prose": "a security plan for the system is developed that provides the results of a privacy risk assessment for systems processing Personal Data (PD)."}, {"id": "IAO-03_IAO-03_A37", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that provides the results of a privacy risk assessment for systems processing Personal Data (PD)."}, {"id": "IAO-03_IAO-03_A38", "name": "assessment-objective", "prose": "a system security plan that describes the operational environment for the system and any dependencies on or connections to other systems or system components is developed."}, {"id": "IAO-03_IAO-03_A39", "name": "assessment-objective", "prose": "a system security plan that provides an overview of the security requirements for the system is developed."}, {"id": "IAO-03_IAO-03_A40", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that provides an overview of the privacy requirements for the system."}, {"id": "IAO-03_IAO-03_A41", "name": "assessment-objective", "prose": "a security plan for the system is developed that identifies any relevant control baselines or overlays, if applicable."}, {"id": "IAO-03_IAO-03_A42", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that identifies any relevant control baselines or overlays, if applicable."}, {"id": "IAO-03_IAO-03_A43", "name": "assessment-objective", "prose": "a security plan for the system is developed that describes the controls in place or planned for meeting the security requirements, including rationale for any tailoring decisions."}, {"id": "IAO-03_IAO-03_A44", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that describes the controls in place or planned for meeting the privacy requirements, including rationale for any tailoring decisions."}, {"id": "IAO-03_IAO-03_A45", "name": "assessment-objective", "prose": "a security plan for the system is developed that includes risk determinations for security architecture and design decisions."}, {"id": "IAO-03_IAO-03_A46", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that includes risk determinations for privacy architecture and design decisions."}, {"id": "IAO-03_IAO-03_A47", "name": "assessment-objective", "prose": "a security plan for the system is developed that includes security-related activities affecting the system that require planning and coordination with individuals or groups."}, {"id": "IAO-03_IAO-03_A48", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that includes privacy-related activities affecting the system that require planning and coordination with individuals or groups."}, {"id": "IAO-03_IAO-03_A49", "name": "assessment-objective", "prose": "a security plan for the system is developed that is reviewed and approved by the authorizing official or designated representative prior to plan implementation."}, {"id": "IAO-03_IAO-03_A50", "name": "assessment-objective", "prose": "a privacy plan for the system is developed that is reviewed and approved by the authorizing official or designated representative prior to plan implementation."}, {"id": "IAO-03_IAO-03_A51", "name": "assessment-objective", "prose": "copies of the plans are distributed to personnel or roles."}, {"id": "IAO-03_IAO-03_A52", "name": "assessment-objective", "prose": "subsequent changes to the plans are communicated to personnel or roles."}, {"id": "IAO-03_IAO-03_A53", "name": "assessment-objective", "prose": "plans are reviewed frequently."}, {"id": "IAO-03_IAO-03_A54", "name": "assessment-objective", "prose": "plans are updated to address changes to the system and environment of operations."}, {"id": "IAO-03_IAO-03_A55", "name": "assessment-objective", "prose": "plans are updated to address problems identified during the plan implementation."}, {"id": "IAO-03_IAO-03_A56", "name": "assessment-objective", "prose": "plans are updated to address problems identified during control assessments."}, {"id": "IAO-03_IAO-03_A57", "name": "assessment-objective", "prose": "plans are protected from unauthorized disclosure."}, {"id": "IAO-03_IAO-03_A58", "name": "assessment-objective", "prose": "plans are protected from unauthorized modification."}, {"id": "IAO-03_IAO-03_A59", "name": "assessment-objective", "prose": "the system components on which CUI is stored are identified and documented."}, {"id": "IAO-03_IAO-03_A60", "name": "assessment-objective", "prose": "the system components on which CUI is stored are identified and documented."}, {"id": "IAO-03_IAO-03_A61", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is processed are documented."}, {"id": "IAO-03_IAO-03_A62", "name": "assessment-objective", "prose": "changes to the system or system component location where CUI is stored are documented."}, {"id": "IAO-03_IAO-03_A63", "name": "assessment-objective", "prose": "a system security plan that includes other relevant information necessary for the protection of CUI is developed."}, {"id": "IAO-03_IAO-03_A64", "name": "assessment-objective", "prose": "the system security plan is reviewed ."}, {"id": "IAO-03_IAO-03_A65", "name": "assessment-objective", "prose": "the system security plan is updated ."}]} \N \N \N \N +SCF:IAO-03.1 SCF IAO-03.1 Plan / Coordinate with Other Organizational Entities Mechanisms exist to plan and coordinate Information Assurance Program (IAP) activities with affected stakeholders before conducting such activities in order to reduce the potential impact on operations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-03.1_IAO-03.1_A01", "name": "assessment-objective", "prose": "a cybersecurity / data privacy plan for the system is developed that describes the operational environment for the system and any dependencies on or connections to other systems or system components."}]} \N \N \N \N +SCF:IAO-03.2 SCF IAO-03.2 Adequate Security for Sensitive / Regulated Data In Support of Contracts Mechanisms exist to protect sensitive/regulated data that is collected, developed, received, transmitted, used or stored in support of the performance of a contract. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-03.2_IAO-03.2_A01", "name": "assessment-objective", "prose": "sensitive / regulated data that is collected, developed, received, transmitted, used or stored in support of the performance of a contract is protected."}]} \N \N \N \N +SCF:IAO-05.1 SCF IAO-05.1 Deficiency Tracking Automation Automated mechanisms exist to help ensure tracked deficiencies are: \r\n(1) Accurate;\r\n(2) Up-to-date; and \r\n(3) Readily-available. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-05.1_IAO-05.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used to ensure the accuracy, currency, and availability of the plan of action for the system are defined."}, {"id": "IAO-05.1_IAO-05.1_A02", "name": "assessment-objective", "prose": "organization-defined automated mechanisms are used to ensure the accuracy, currency, and availability of the plan of action for the system."}]} \N \N \N \N +SCF:IAO-06 SCF IAO-06 Technical Verification Mechanisms exist to perform Information Assurance Program (IAP) activities to evaluate the design, implementation and effectiveness of technical security, compliance and resilience controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-06_IAO-06_A01", "name": "assessment-objective", "prose": "the frequency at which to assess controls in the system and its environment of operation is defined."}, {"id": "IAO-06_IAO-06_A02", "name": "assessment-objective", "prose": "individuals or roles to whom control assessment results are to be provided are defined."}, {"id": "IAO-06_IAO-06_A03", "name": "assessment-objective", "prose": "an appropriate assessor or assessment team is selected for the type of assessment to be conducted."}, {"id": "IAO-06_IAO-06_A04", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including controls and control enhancements under assessment."}, {"id": "IAO-06_IAO-06_A05", "name": "assessment-objective", "prose": "the control assessment plan is reviewed and approved by the authorizing official or designated representative prior to conducting the assessment."}, {"id": "IAO-06_IAO-06_A06", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an organization-defined assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established cybersecurity / data privacy requirements."}, {"id": "IAO-06_IAO-06_A07", "name": "assessment-objective", "prose": "a control assessment report is produced that documents the results of the assessment."}, {"id": "IAO-06_IAO-06_A08", "name": "assessment-objective", "prose": "the results of the control assessment are provided to individuals or roles."}, {"id": "IAO-06_IAO-06_A09", "name": "assessment-objective", "prose": "the impacted controls are implemented correctly with regard to meeting the cybersecurity / data privacy requirements for the system after system changes."}, {"id": "IAO-06_IAO-06_A10", "name": "assessment-objective", "prose": "the impacted controls are operating as intended with regard to meeting the cybersecurity / data privacy requirements for the system after system changes."}, {"id": "IAO-06_IAO-06_A11", "name": "assessment-objective", "prose": "the impacted controls are producing the desired outcome with regard to meeting the cybersecurity / data privacy requirements for the system after system changes."}, {"id": "IAO-06_IAO-06_A12", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment procedures to be used to determine control effectiveness."}, {"id": "IAO-06_IAO-06_A13", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment environment."}, {"id": "IAO-06_IAO-06_A14", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment team."}, {"id": "IAO-06_IAO-06_A15", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment roles and responsibilities."}]} \N \N \N \N +SCF:IAO-07 SCF IAO-07 Security Authorization Mechanisms exist to ensure Technology Assets, Applications and/or Services (TAAS) are officially authorized prior to "go live" in a production environment. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Information Assurance", "assessment_objective": [{"id": "IAO-07_IAO-07_A01", "name": "assessment-objective", "prose": "the frequency at which to update the authorizations is defined."}, {"id": "IAO-07_IAO-07_A02", "name": "assessment-objective", "prose": "a senior official is assigned as the authorizing official for the system."}, {"id": "IAO-07_IAO-07_A03", "name": "assessment-objective", "prose": "the authorizations are updated organization-defined frequency."}, {"id": "IAO-07_IAO-07_A04", "name": "assessment-objective", "prose": "a senior official is assigned as the authorizing official for common controls available for inheritance by organizational systems."}, {"id": "IAO-07_IAO-07_A05", "name": "assessment-objective", "prose": "before commencing operations, the authorizing official for the system accepts the use of common controls inherited by the system."}, {"id": "IAO-07_IAO-07_A06", "name": "assessment-objective", "prose": "before commencing operations, the authorizing official for the system authorizes the system to operate."}, {"id": "IAO-07_IAO-07_A07", "name": "assessment-objective", "prose": "the authorizing official for common controls authorizes the use of those controls for inheritance by organizational systems."}]} \N \N \N \N +SCF:MNT-01 SCF MNT-01 Maintenance Operations Mechanisms exist to develop, disseminate, review & update procedures to facilitate the implementation of maintenance controls across the enterprise. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-01_MNT-01_A01", "name": "assessment-objective", "prose": "a maintenance policy is developed and documented."}, {"id": "MNT-01_MNT-01_A02", "name": "assessment-objective", "prose": "the maintenance policy is disseminated to organization-defined personnel or roles."}, {"id": "MNT-01_MNT-01_A03", "name": "assessment-objective", "prose": "maintenance procedures to facilitate the implementation of the maintenance policy and associated maintenance controls are developed and documented."}, {"id": "MNT-01_MNT-01_A04", "name": "assessment-objective", "prose": "the maintenance procedures are disseminated to organization-defined personnel or roles."}, {"id": "MNT-01_MNT-01_A05", "name": "assessment-objective", "prose": "personnel or roles to whom the maintenance policy is to be disseminated is/are defined."}, {"id": "MNT-01_MNT-01_A06", "name": "assessment-objective", "prose": "personnel or roles to whom the maintenance procedures are to be disseminated is/are defined."}, {"id": "MNT-01_MNT-01_A07", "name": "assessment-objective", "prose": "one or more of the following organization-defined criteria is/are selected: {organization-level. mission/business process-level. system-level}."}, {"id": "MNT-01_MNT-01_A08", "name": "assessment-objective", "prose": "an official to manage the maintenance policy and procedures is defined."}, {"id": "MNT-01_MNT-01_A09", "name": "assessment-objective", "prose": "the frequency with which the current maintenance policy is reviewed / updated is defined."}, {"id": "MNT-01_MNT-01_A10", "name": "assessment-objective", "prose": "events that would require the current maintenance policy to be reviewed / updated are defined."}, {"id": "MNT-01_MNT-01_A11", "name": "assessment-objective", "prose": "the frequency with which the current maintenance procedures are reviewed / updated is defined."}, {"id": "MNT-01_MNT-01_A12", "name": "assessment-objective", "prose": "events that would require the maintenance procedures to be reviewed / updated are defined."}, {"id": "MNT-01_MNT-01_A13", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses purpose."}, {"id": "MNT-01_MNT-01_A14", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses scope."}, {"id": "MNT-01_MNT-01_A15", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses roles."}, {"id": "MNT-01_MNT-01_A16", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses responsibilities."}, {"id": "MNT-01_MNT-01_A17", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses management commitment."}, {"id": "MNT-01_MNT-01_A18", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses coordination among organizational entities."}, {"id": "MNT-01_MNT-01_A19", "name": "assessment-objective", "prose": "the organization's maintenance policy addresses compliance."}, {"id": "MNT-01_MNT-01_A20", "name": "assessment-objective", "prose": "the organization's maintenance policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "MNT-01_MNT-01_A21", "name": "assessment-objective", "prose": "the organization-defined official is designated to manage the development, documentation, and dissemination of the maintenance policy and procedures."}, {"id": "MNT-01_MNT-01_A22", "name": "assessment-objective", "prose": "the current maintenance policy is reviewed / updated organization-defined frequency."}, {"id": "MNT-01_MNT-01_A23", "name": "assessment-objective", "prose": "the current maintenance policy is reviewed / updated following organization-defined events."}, {"id": "MNT-01_MNT-01_A24", "name": "assessment-objective", "prose": "the current maintenance procedures are reviewed / updated organization-defined frequency."}, {"id": "MNT-01_MNT-01_A25", "name": "assessment-objective", "prose": "the current maintenance procedures are reviewed / updated following organization-defined events."}, {"id": "MNT-01_MNT-01_A26", "name": "assessment-objective", "prose": "maintenance management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "MNT-01_MNT-01_A27", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support maintenance management operations."}, {"id": "MNT-01_MNT-01_A28", "name": "assessment-objective", "prose": "responsibility and authority for the performance of maintenance management-related activities are assigned to designated personnel."}, {"id": "MNT-01_MNT-01_A29", "name": "assessment-objective", "prose": "personnel performing maintenance management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:MNT-02 SCF MNT-02 Controlled Maintenance Mechanisms exist to conduct controlled maintenance activities throughout the lifecycle of the Technology Asset, Application and/or Service (TAAS). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-02_MNT-02_A01", "name": "assessment-objective", "prose": "maintenance, repair and replacement of systems, applications and/or services are scheduled in accordance with manufacturer or vendor specifications and/or organizational requirements."}, {"id": "MNT-02_MNT-02_A02", "name": "assessment-objective", "prose": "approved configuration-controlled changes to the system are implemented."}, {"id": "MNT-02_MNT-02_A03", "name": "assessment-objective", "prose": "system maintenance is performed."}, {"id": "MNT-02_MNT-02_A04", "name": "assessment-objective", "prose": "personnel or roles required to explicitly approve the removal of the system or system components from organizational facilities for off-site maintenance or repairs is/are defined."}, {"id": "MNT-02_MNT-02_A05", "name": "assessment-objective", "prose": "information to be removed from associated media prior to removal from organizational facilities for off-site maintenance, repair or replacement is defined."}, {"id": "MNT-02_MNT-02_A06", "name": "assessment-objective", "prose": "information to be included in organizational maintenance records is defined."}, {"id": "MNT-02_MNT-02_A07", "name": "assessment-objective", "prose": "maintenance, repair and replacement of system components are documented in accordance with manufacturer or vendor specifications and/or organizational requirements."}, {"id": "MNT-02_MNT-02_A08", "name": "assessment-objective", "prose": "records of maintenance, repair and replacement of system components are reviewed in accordance with manufacturer or vendor specifications and/or organizational requirements."}, {"id": "MNT-02_MNT-02_A09", "name": "assessment-objective", "prose": "all maintenance activities, whether performed on site or remotely and whether the system or system components are serviced on site or removed to another location, are approved."}, {"id": "MNT-02_MNT-02_A10", "name": "assessment-objective", "prose": "all maintenance activities, whether performed on site or remotely and whether the system or system components are serviced on site or removed to another location, are monitored."}, {"id": "MNT-02_MNT-02_A11", "name": "assessment-objective", "prose": "personnel or roles is/are required to explicitly approve the removal of the system or system components from organizational facilities for off-site maintenance, repair or replacement."}, {"id": "MNT-02_MNT-02_A12", "name": "assessment-objective", "prose": "equipment is sanitized to remove information from associated media prior to removal from organizational facilities for off-site maintenance, repair or replacement."}, {"id": "MNT-02_MNT-02_A13", "name": "assessment-objective", "prose": "all potentially impacted controls are checked to verify that the controls are still functioning properly following maintenance, repair or replacement actions."}, {"id": "MNT-02_MNT-02_A14", "name": "assessment-objective", "prose": "information is included in organizational maintenance records."}]} \N \N \N \N +SCF:MNT-02.1 SCF MNT-02.1 Automated Maintenance Activities Automated mechanisms exist to schedule, conduct and document maintenance and repairs. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-02.1_MNT-02.1_A01", "name": "assessment-objective", "prose": "automated mechanisms used to schedule maintenance, repair and replacement actions for the system, application and/or service are defined."}, {"id": "MNT-02.1_MNT-02.1_A02", "name": "assessment-objective", "prose": "automated mechanisms used to conduct maintenance, repair and replacement actions for the system, application and/or service are defined."}, {"id": "MNT-02.1_MNT-02.1_A03", "name": "assessment-objective", "prose": "automated mechanisms used to document maintenance, repair and replacement actions for the system, application and/or service are defined."}, {"id": "MNT-02.1_MNT-02.1_A04", "name": "assessment-objective", "prose": "automated mechanisms are used to schedule maintenance, repair and replacement actions for the system, application and/or service."}, {"id": "MNT-02.1_MNT-02.1_A05", "name": "assessment-objective", "prose": "automated mechanisms are used to conduct maintenance, repair and replacement actions for the system, application and/or service."}, {"id": "MNT-02.1_MNT-02.1_A06", "name": "assessment-objective", "prose": "automated mechanisms are used to document maintenance, repair and replacement actions for the system, application and/or service."}, {"id": "MNT-02.1_MNT-02.1_A07", "name": "assessment-objective", "prose": "up-to-date, accurate and complete records of all maintenance actions requested, scheduled, in process and completed are produced."}, {"id": "MNT-02.1_MNT-02.1_A08", "name": "assessment-objective", "prose": "up-to-date, accurate and complete records of all repair actions requested, scheduled, in process and completed are produced."}, {"id": "MNT-02.1_MNT-02.1_A09", "name": "assessment-objective", "prose": "up-to-date, accurate and complete records of all replacement actions requested, scheduled, in process and completed are produced."}]} \N \N \N \N +SCF:MNT-03 SCF MNT-03 Timely Maintenance Mechanisms exist to obtain maintenance support and/or spare parts for Technology Assets, Applications and/or Services (TAAS) within a defined Recovery Time Objective (RTO). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-03_MNT-03_A01", "name": "assessment-objective", "prose": "system components for which maintenance support and/or spare parts are obtained are defined."}, {"id": "MNT-03_MNT-03_A02", "name": "assessment-objective", "prose": "time period within which maintenance support and/or spare parts are to be obtained after a failure are defined."}, {"id": "MNT-03_MNT-03_A03", "name": "assessment-objective", "prose": "maintenance support and/or spare parts are obtained for system components within an organization-defined time period of failure."}]} \N \N \N \N +SCF:MNT-03.1 SCF MNT-03.1 Preventative Maintenance Mechanisms exist to perform preventive maintenance on critical Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-03.1_MNT-03.1_A01", "name": "assessment-objective", "prose": "system components on which preventive maintenance is to be performed are defined."}, {"id": "MNT-03.1_MNT-03.1_A02", "name": "assessment-objective", "prose": "time intervals within which preventive maintenance is to be performed on system components are defined."}, {"id": "MNT-03.1_MNT-03.1_A03", "name": "assessment-objective", "prose": "preventive maintenance is performed on system components at organization-defined time intervals."}]} \N \N \N \N +SCF:MNT-03.2 SCF MNT-03.2 Predictive Maintenance Mechanisms exist to perform predictive maintenance on critical Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-03.2_MNT-03.2_A01", "name": "assessment-objective", "prose": "system components on which predictive maintenance is to be performed are defined."}, {"id": "MNT-03.2_MNT-03.2_A02", "name": "assessment-objective", "prose": "time intervals within which predictive maintenance is to be performed are defined."}, {"id": "MNT-03.2_MNT-03.2_A03", "name": "assessment-objective", "prose": "predictive maintenance is performed on system components at organization-defined time intervals."}]} \N \N \N \N +SCF:MNT-03.3 SCF MNT-03.3 Automated Support For Predictive Maintenance Automated mechanisms exist to transfer predictive maintenance data to a computerized maintenance management system. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-03.3_MNT-03.3_A01", "name": "assessment-objective", "prose": "automated mechanisms used to transfer predictive maintenance data to a maintenance management system are defined."}, {"id": "MNT-03.3_MNT-03.3_A02", "name": "assessment-objective", "prose": "predictive maintenance data is transferred to a maintenance management system using automated mechanisms."}]} \N \N \N \N +SCF:MNT-04 SCF MNT-04 Maintenance Tools Mechanisms exist to control and monitor the use of system maintenance tools. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-04_MNT-04_A01", "name": "assessment-objective", "prose": "tools used to conduct system maintenance are controlled."}, {"id": "MNT-04_MNT-04_A02", "name": "assessment-objective", "prose": "techniques used to conduct system maintenance are controlled."}, {"id": "MNT-04_MNT-04_A03", "name": "assessment-objective", "prose": "mechanisms used to conduct system maintenance are controlled."}, {"id": "MNT-04_MNT-04_A04", "name": "assessment-objective", "prose": "personnel used to conduct system maintenance are controlled."}, {"id": "MNT-04_MNT-04_A05", "name": "assessment-objective", "prose": "the use of maintenance tools that execute with increased privilege is monitored."}, {"id": "MNT-04_MNT-04_A06", "name": "assessment-objective", "prose": "the frequency at which to review previously approved system maintenance tools is defined."}, {"id": "MNT-04_MNT-04_A07", "name": "assessment-objective", "prose": "the use of system maintenance tools is approved."}, {"id": "MNT-04_MNT-04_A08", "name": "assessment-objective", "prose": "the use of system maintenance tools is controlled."}, {"id": "MNT-04_MNT-04_A09", "name": "assessment-objective", "prose": "the use of system maintenance tools is monitored."}, {"id": "MNT-04_MNT-04_A10", "name": "assessment-objective", "prose": "previously approved system maintenance tools are reviewed per an organization-defined frequency."}, {"id": "MNT-04_MNT-04_A11", "name": "assessment-objective", "prose": "maintenance tools are inspected to ensure that the latest software updates and patches are installed."}]} \N \N \N \N +SCF:MNT-04.1 SCF MNT-04.1 Inspect Tools Mechanisms exist to inspect maintenance tools carried into a facility by maintenance personnel for improper or unauthorized modifications. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-04.1_MNT-04.1_A01", "name": "assessment-objective", "prose": "maintenance tools used by maintenance personnel are inspected for improper or unauthorized modifications."}]} \N \N \N \N +SCF:MNT-04.2 SCF MNT-04.2 Inspect Media Mechanisms exist to check media containing diagnostic and test programs for malicious code before the media are used. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-04.2_MNT-04.2_A01", "name": "assessment-objective", "prose": "media with diagnostic and test programs are checked for malicious code before the media are used in the system."}]} \N \N \N \N +SCF:MNT-05.5 SCF MNT-05.5 Remote Maintenance Pre-Approval Mechanisms exist to require maintenance personnel to obtain pre-approval and scheduling for remote, non-local maintenance sessions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.5_MNT-05.5_A01", "name": "assessment-objective", "prose": "personnel or roles required to approve each nonlocal maintenance session is/are defined."}, {"id": "MNT-05.5_MNT-05.5_A02", "name": "assessment-objective", "prose": "the approval of each nonlocal maintenance session is required by personnel or roles."}]} \N \N \N \N +SCF:NET-18.8 SCF NET-18.8 Authenticated Proxy Mechanisms exist to force systems and processes to authenticate Internet-bound traffic with a proxy to enable user, group and/or location-aware security controls. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.8_NET-18.8_A01", "name": "assessment-objective", "prose": "systems and processes are required to authenticate Internet-bound traffic with a proxy to enable user, group and/or location-aware security controls."}]} \N \N \N \N +SCF:MNT-04.3 SCF MNT-04.3 Prevent Unauthorized Removal Mechanisms exist to prevent or control the removal of equipment undergoing maintenance that contains organizational information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-04.3_MNT-04.3_A01", "name": "assessment-objective", "prose": "personnel or roles who can authorize removal of equipment from the facility is/are defined."}, {"id": "MNT-04.3_MNT-04.3_A02", "name": "assessment-objective", "prose": "the removal of system maintenance equipment containing sensitive / regulated data is prevented by verifying that there is no sensitive / regulated data on the equipment, sanitizing or destroying the equipment, or retaining the equipment within the facility."}, {"id": "MNT-04.3_MNT-04.3_A03", "name": "assessment-objective", "prose": "the removal of maintenance equipment containing organizational information is prevented by sanitizing or destroying the equipment."}, {"id": "MNT-04.3_MNT-04.3_A04", "name": "assessment-objective", "prose": "the removal of maintenance equipment containing organizational information is prevented by retaining the equipment within the facility."}, {"id": "MNT-04.3_MNT-04.3_A05", "name": "assessment-objective", "prose": "the removal of maintenance equipment containing organizational information is prevented by obtaining an exemption from personnel or roles explicitly authorizing removal of the equipment from the facility."}, {"id": "MNT-04.3_MNT-04.3_A06", "name": "assessment-objective", "prose": "the removal of system maintenance equipment containing CUI is prevented by verifying that there is no CUI on the equipment, sanitizing or destroying the equipment, or retaining the equipment within the facility."}]} \N \N \N \N +SCF:MNT-04.4 SCF MNT-04.4 Restrict Tool Usage Automated mechanisms exist to restrict the use of maintenance tools to authorized maintenance personnel and/or roles. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-04.4_MNT-04.4_A01", "name": "assessment-objective", "prose": "the use of maintenance tools is restricted to authorized personnel only."}]} \N \N \N \N +SCF:MNT-05 SCF MNT-05 Remote Maintenance Mechanisms exist to authorize, monitor and control remote, non-local maintenance and diagnostic activities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05_MNT-05_A01", "name": "assessment-objective", "prose": "nonlocal maintenance and diagnostic activities are approved."}, {"id": "MNT-05_MNT-05_A02", "name": "assessment-objective", "prose": "nonlocal maintenance and diagnostic activities are monitored."}, {"id": "MNT-05_MNT-05_A03", "name": "assessment-objective", "prose": "the use of nonlocal maintenance and diagnostic tools are allowed only as consistent with organizational policy."}, {"id": "MNT-05_MNT-05_A04", "name": "assessment-objective", "prose": "the use of nonlocal maintenance and diagnostic tools are documented in the security plan for the system."}, {"id": "MNT-05_MNT-05_A05", "name": "assessment-objective", "prose": "strong authentication is employed in the establishment of nonlocal maintenance and diagnostic sessions."}, {"id": "MNT-05_MNT-05_A06", "name": "assessment-objective", "prose": "records for nonlocal maintenance and diagnostic activities are maintained."}, {"id": "MNT-05_MNT-05_A07", "name": "assessment-objective", "prose": "session connections are terminated when nonlocal maintenance is completed."}, {"id": "MNT-05_MNT-05_A08", "name": "assessment-objective", "prose": "network connections are terminated when nonlocal maintenance is completed."}, {"id": "MNT-05_MNT-05_A09", "name": "assessment-objective", "prose": "multifactor authentication is used to establish nonlocal maintenance sessions via external network connections."}, {"id": "MNT-05_MNT-05_A10", "name": "assessment-objective", "prose": "nonlocal maintenance sessions established via external network connections are terminated when nonlocal maintenance is complete."}]} \N \N \N \N +SCF:MNT-05.1 SCF MNT-05.1 Auditing Remote Maintenance Mechanisms exist to audit remote, non-local maintenance and diagnostic sessions, as well as review the maintenance action performed during remote maintenance sessions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.1_MNT-05.1_A01", "name": "assessment-objective", "prose": "nonlocal maintenance and diagnostic activities are monitored."}, {"id": "MNT-05.1_MNT-05.1_A02", "name": "assessment-objective", "prose": "audit events to be logged for nonlocal maintenance are defined."}, {"id": "MNT-05.1_MNT-05.1_A03", "name": "assessment-objective", "prose": "audit events to be logged for diagnostic sessions are defined."}, {"id": "MNT-05.1_MNT-05.1_A04", "name": "assessment-objective", "prose": "audit events are logged for nonlocal maintenance sessions."}, {"id": "MNT-05.1_MNT-05.1_A05", "name": "assessment-objective", "prose": "audit events are logged for nonlocal diagnostic sessions."}, {"id": "MNT-05.1_MNT-05.1_A06", "name": "assessment-objective", "prose": "the audit records of the maintenance sessions are reviewed to detect anomalous behavior."}, {"id": "MNT-05.1_MNT-05.1_A07", "name": "assessment-objective", "prose": "the audit records of the diagnostic sessions are reviewed to detect anomalous behavior."}]} \N \N \N \N +SCF:MNT-05.2 SCF MNT-05.2 Remote Maintenance Notifications Mechanisms exist to require maintenance personnel to notify affected stakeholders when remote, non-local maintenance is planned (e.g., date/time). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.2_MNT-05.2_A01", "name": "assessment-objective", "prose": "personnel and roles to be notified of the date and time of planned nonlocal maintenance is/are defined."}, {"id": "MNT-05.2_MNT-05.2_A02", "name": "assessment-objective", "prose": "personnel and roles are notified of the date and time of planned nonlocal maintenance."}]} \N \N \N \N +SCF:MNT-05.3 SCF MNT-05.3 Remote Maintenance Cryptographic Protection Cryptographic mechanisms exist to protect the integrity and confidentiality of remote, non-local maintenance and diagnostic communications. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.3_MNT-05.3_A01", "name": "assessment-objective", "prose": "cryptographic mechanisms to be implemented to protect the integrity and confidentiality of nonlocal maintenance and diagnostic communications are defined."}, {"id": "MNT-05.3_MNT-05.3_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to protect the integrity of nonlocal maintenance and diagnostic communications."}, {"id": "MNT-05.3_MNT-05.3_A03", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to protect the confidentiality of nonlocal maintenance and diagnostic communications."}, {"id": "MNT-05.3_MNT-05.3_A04", "name": "assessment-objective", "prose": "replay resistance is implemented in the establishment of nonlocal maintenance and diagnostic sessions."}]} \N \N \N \N +SCF:MNT-05.4 SCF MNT-05.4 Remote Maintenance Disconnect Verification Mechanisms exist to provide remote disconnect verification to ensure remote, non-local maintenance and diagnostic sessions are properly terminated. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.4_MNT-05.4_A01", "name": "assessment-objective", "prose": "session connections are terminated when nonlocal maintenance is completed."}, {"id": "MNT-05.4_MNT-05.4_A02", "name": "assessment-objective", "prose": "session connection termination is verified after the completion of nonlocal maintenance and diagnostic sessions."}, {"id": "MNT-05.4_MNT-05.4_A03", "name": "assessment-objective", "prose": "network connection termination is verified after the completion of nonlocal maintenance and diagnostic sessions."}]} \N \N \N \N +SCF:MNT-05.6 SCF MNT-05.6 Remote Maintenance Comparable Security & Sanitization Mechanisms exist to require Technology Assets, Applications and/or Services (TAAS) performing remote, non-local maintenance and/or diagnostic services implement a security capability comparable to the capability implemented on the system being serviced. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.6_MNT-05.6_A01", "name": "assessment-objective", "prose": "nonlocal maintenance / diagnostic services are required to be performed from a system that implements a security capability comparable to the capability implemented on the system being serviced."}, {"id": "MNT-05.6_MNT-05.6_A02", "name": "assessment-objective", "prose": "alternate controls to be developed and implemented in the event that a system component cannot be sanitized, removed or disconnected from the system are defined."}, {"id": "MNT-05.6_MNT-05.6_A03", "name": "assessment-objective", "prose": "the component to be serviced is removed from the system prior to nonlocal maintenance or diagnostic services."}, {"id": "MNT-05.6_MNT-05.6_A04", "name": "assessment-objective", "prose": "the component to be serviced is sanitized (for organizational information)."}, {"id": "MNT-05.6_MNT-05.6_A05", "name": "assessment-objective", "prose": "the component is inspected and sanitized (for potentially malicious software) after the service is performed and before reconnecting the component to the system."}]} \N \N \N \N +SCF:MNT-05.7 SCF MNT-05.7 Separation of Maintenance Sessions Mechanisms exist to protect maintenance sessions through replay-resistant sessions that are physically or logically separated communications paths from other network sessions. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-05.7_MNT-05.7_A01", "name": "assessment-objective", "prose": "authenticators that are replay resistant are defined."}, {"id": "MNT-05.7_MNT-05.7_A02", "name": "assessment-objective", "prose": "nonlocal maintenance sessions are protected by employing organization-defined authenticators that are replay resistant."}, {"id": "MNT-05.7_MNT-05.7_A03", "name": "assessment-objective", "prose": "nonlocal maintenance sessions are protected by separating maintenance sessions from other network sessions with the system by physically separated communication paths."}, {"id": "MNT-05.7_MNT-05.7_A04", "name": "assessment-objective", "prose": "nonlocal maintenance sessions are protected by logically separated communication paths."}]} \N \N \N \N +SCF:MNT-06 SCF MNT-06 Authorized Maintenance Personnel Mechanisms exist to maintain a current list of authorized maintenance organizations or personnel. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-06_MNT-06_A01", "name": "assessment-objective", "prose": "a process for maintenance personnel authorization is established."}, {"id": "MNT-06_MNT-06_A02", "name": "assessment-objective", "prose": "a list of authorized maintenance organizations or personnel is maintained."}, {"id": "MNT-06_MNT-06_A03", "name": "assessment-objective", "prose": "non-escorted personnel who perform maintenance on the system possess the required access authorizations."}]} \N \N \N \N +SCF:MNT-06.1 SCF MNT-06.1 Maintenance Personnel Without Appropriate Access Mechanisms exist to ensure the risks associated with maintenance personnel who do not have appropriate access authorizations, clearances or formal access approvals are appropriately mitigated. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-06.1_MNT-06.1_A01", "name": "assessment-objective", "prose": "maintenance personnel without required access authorization are supervised during maintenance activities."}, {"id": "MNT-06.1_MNT-06.1_A02", "name": "assessment-objective", "prose": "organizational personnel with required access authorizations are designated to supervise the maintenance activities of personnel who do not possess the required access authorizations."}, {"id": "MNT-06.1_MNT-06.1_A03", "name": "assessment-objective", "prose": "procedures for the use of maintenance personnel who lack appropriate security clearances or are not U.S. citizens are implemented and include approved organizational personnel who are fully cleared, have appropriate access authorizations and are technically qualified escorting and supervising maintenance personnel without the needed access authorization during the performance of maintenance and diagnostic activities."}, {"id": "MNT-06.1_MNT-06.1_A04", "name": "assessment-objective", "prose": "procedures for the use of maintenance personnel who lack appropriate security clearances or are not U.S. citizens are implemented and include all volatile information storage components within the system being sanitized and all non-volatile storage media being removed or physically disconnected from the system and secured prior to initiating maintenance or diagnostic activities."}, {"id": "MNT-06.1_MNT-06.1_A05", "name": "assessment-objective", "prose": "alternate controls are developed and implemented in the event that a system cannot be sanitized, removed or disconnected from the system."}, {"id": "MNT-06.1_MNT-06.1_A06", "name": "assessment-objective", "prose": "personnel performing maintenance and diagnostic activities on a system processing, storing or transmitting sensitive / regulated data possess security clearances for at least the highest classification level and for compartments of information on the system."}, {"id": "MNT-06.1_MNT-06.1_A07", "name": "assessment-objective", "prose": "personnel performing maintenance and diagnostic activities on a system processing, storing or transmitting sensitive / regulated data possess formal access approvals for at least the highest classification level and for compartments of information on the system."}, {"id": "MNT-06.1_MNT-06.1_A08", "name": "assessment-objective", "prose": "personnel performing maintenance and diagnostic activities on a system processing, storing or transmitting sensitive / regulated data are U.S. citizens."}, {"id": "MNT-06.1_MNT-06.1_A09", "name": "assessment-objective", "prose": "foreign nationals are used to conduct maintenance and diagnostic activities on systems only when approved and authorized."}, {"id": "MNT-06.1_MNT-06.1_A10", "name": "assessment-objective", "prose": "approvals regarding the use of foreign nationals to conduct maintenance and diagnostic activities on classified systems are fully documented within Memoranda of Agreements."}, {"id": "MNT-06.1_MNT-06.1_A11", "name": "assessment-objective", "prose": "consents regarding the use of foreign nationals to conduct maintenance and diagnostic activities on classified systems are fully documented within Memoranda of Agreements."}, {"id": "MNT-06.1_MNT-06.1_A12", "name": "assessment-objective", "prose": "detailed operational conditions regarding the use of foreign nationals to conduct maintenance and diagnostic activities on classified systems are fully documented within Memoranda of Agreements."}, {"id": "MNT-06.1_MNT-06.1_A13", "name": "assessment-objective", "prose": "non-escorted personnel who perform maintenance on the system possess the required access authorizations."}, {"id": "MNT-06.1_MNT-06.1_A14", "name": "assessment-objective", "prose": "organizational personnel with required technical competence are designated to supervise the maintenance activities of personnel who do not possess the required access authorizations."}]} \N \N \N \N +SCF:MNT-06.2 SCF MNT-06.2 Non-System Related Maintenance Mechanisms exist to ensure that non-escorted personnel performing non-IT maintenance activities in the physical proximity of systems have required access authorizations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-06.2_MNT-06.2_A01", "name": "assessment-objective", "prose": "non-escorted personnel performing maintenance activities not directly associated with the system but in the physical proximity of the system have required access authorizations."}, {"id": "MNT-06.2_MNT-06.2_A02", "name": "assessment-objective", "prose": "non-escorted personnel who perform maintenance on the system possess the required access authorizations."}]} \N \N \N \N +SCF:MNT-07 SCF MNT-07 Maintain Configuration Control During Maintenance Mechanisms exist to maintain proper physical security and configuration control over technology assets awaiting service or repair. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-07_MNT-07_A01", "name": "assessment-objective", "prose": "system components requiring configuration control are defined."}, {"id": "MNT-07_MNT-07_A02", "name": "assessment-objective", "prose": "configuration control over organization-defined system components awaiting service or repair is maintained."}, {"id": "MNT-07_MNT-07_A03", "name": "assessment-objective", "prose": "configuration control over serviced or repaired organization-defined system components awaiting return to service is maintained."}]} \N \N \N \N +SCF:NET-03.1 SCF NET-03.1 Limit Network Connections Mechanisms exist to limit the number of concurrent external network connections to its Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.1_NET-03.1_A01", "name": "assessment-objective", "prose": "the number of external network connections to the system is limited."}]} \N \N \N \N +SCF:MNT-08 SCF MNT-08 Field Maintenance Mechanisms exist to securely conduct field maintenance on geographically deployed assets. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-08_MNT-08_A01", "name": "assessment-objective", "prose": "systems or system components on which field maintenance is restricted or prohibited to trusted maintenance facilities are defined."}, {"id": "MNT-08_MNT-08_A02", "name": "assessment-objective", "prose": "trusted maintenance facilities that are not restricted or prohibited from conducting field maintenance are defined."}, {"id": "MNT-08_MNT-08_A03", "name": "assessment-objective", "prose": "field maintenance on systems or system components are restricted or prohibited to trusted maintenance facilities."}]} \N \N \N \N +SCF:MNT-09 SCF MNT-09 Off-Site Maintenance Mechanisms exist to ensure off-site maintenance activities are conducted securely and the asset(s) undergoing maintenance actions are secured during physical transfer and storage while off-site. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-09_MNT-09_A01", "name": "assessment-objective", "prose": "off-site maintenance activities are conducted securely and the asset(s) undergoing maintenance actions are secured during physical transfer and storage while off-site."}]} \N \N \N \N +SCF:MNT-10 SCF MNT-10 Maintenance Validation Mechanisms exist to validate:\r\n(1) Maintenance activities were appropriately performed according to the work order; and \r\n(2) Applicable security, compliance and resilience controls are operational. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-10_MNT-10_A01", "name": "assessment-objective", "prose": "maintenance activities are validated to ensure they were appropriately performed according to the work order and that security controls are operational."}]} \N \N \N \N +SCF:MNT-11 SCF MNT-11 Maintenance Monitoring Mechanisms exist to maintain situational awareness of the quality and reliability of systems and components through tracking maintenance activities and component failure rates. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Maintenance", "assessment_objective": [{"id": "MNT-11_MNT-11_A01", "name": "assessment-objective", "prose": "situational awareness is maintained of the quality and reliability of systems and components through tracking maintenance activities and component failure rates."}]} \N \N \N \N +SCF:MDM-01 SCF MDM-01 Centralized Management Of Mobile Devices Mechanisms exist to implement and govern Mobile Device Management (MDM) controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-01_MDM-01_A01", "name": "assessment-objective", "prose": "policies and standards facilitate the implementation of mobile device management controls."}, {"id": "MDM-01_MDM-01_A02", "name": "assessment-objective", "prose": "usage restrictions are established for mobile devices."}, {"id": "MDM-01_MDM-01_A03", "name": "assessment-objective", "prose": "Mobile Device Management (MDM) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "MDM-01_MDM-01_A04", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Mobile Device Management (MDM) operations."}, {"id": "MDM-01_MDM-01_A05", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Mobile Device Management (MDM)-related activities are assigned to designated personnel."}, {"id": "MDM-01_MDM-01_A06", "name": "assessment-objective", "prose": "personnel performing Mobile Device Management (MDM)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:MDM-02 SCF MDM-02 Access Control For Mobile Devices Mechanisms exist to enforce access control requirements for the connection of mobile devices to organizational Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-02_MDM-02_A01", "name": "assessment-objective", "prose": "configuration requirements are established for organization-controlled mobile devices, including when such devices are outside of the controlled area."}, {"id": "MDM-02_MDM-02_A02", "name": "assessment-objective", "prose": "connection requirements are established for organization-controlled mobile devices, including when such devices are outside of the controlled area."}, {"id": "MDM-02_MDM-02_A03", "name": "assessment-objective", "prose": "implementation guidance is established for organization-controlled mobile devices, including when such devices are outside of the controlled area."}, {"id": "MDM-02_MDM-02_A04", "name": "assessment-objective", "prose": "the connection of mobile devices to the system is authorized."}, {"id": "MDM-02_MDM-02_A05", "name": "assessment-objective", "prose": "mobile devices that process, store or transmit sensitive / regulated data are identified."}, {"id": "MDM-02_MDM-02_A06", "name": "assessment-objective", "prose": "mobile device connections are monitored and logged."}]} \N \N \N \N +SCF:MDM-03 SCF MDM-03 Full Device & Container-Based Encryption Cryptographic mechanisms exist to protect the confidentiality and integrity of information on mobile devices through full-device or container encryption. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-03_MDM-03_A01", "name": "assessment-objective", "prose": "mobile devices on which to employ encryption are defined."}, {"id": "MDM-03_MDM-03_A02", "name": "assessment-objective", "prose": "full-device or container-based encryption is implemented to protect the confidentiality of sensitive / regulated data on mobile devices."}, {"id": "MDM-03_MDM-03_A03", "name": "assessment-objective", "prose": "mobile devices and mobile computing platforms that process, store or transmit sensitive / regulated data are identified."}, {"id": "MDM-03_MDM-03_A04", "name": "assessment-objective", "prose": "encryption is employed to protect sensitive / regulated data on identified mobile devices and mobile computing platforms"}, {"id": "MDM-03_MDM-03_A05", "name": "assessment-objective", "prose": "full-device or container-based encryption is implemented to protect the confidentiality of CUI on mobile devices."}]} \N \N \N \N +SCF:MDM-04 SCF MDM-04 Mobile Device Tampering Mechanisms exist to protect mobile devices from tampering through inspecting devices returning from locations that the organization deems to be of significant risk, prior to the device being connected to the organization's network. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-04_MDM-04_A01", "name": "assessment-objective", "prose": "anti-tamper technologies to be employed are defined."}, {"id": "MDM-04_MDM-04_A02", "name": "assessment-objective", "prose": "hardware components to be protected from physical tampering or alteration are defined."}, {"id": "MDM-04_MDM-04_A03", "name": "assessment-objective", "prose": "anti-tamper technologies are employed to detect and/or prevent physical tampering or alteration of hardware components within the system."}]} \N \N \N \N +SCF:MDM-05 SCF MDM-05 Remote Purging Mechanisms exist to remotely purge selected information from mobile devices. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-05_MDM-05_A01", "name": "assessment-objective", "prose": "mobile devices to be purged or wiped of information are defined."}, {"id": "MDM-05_MDM-05_A02", "name": "assessment-objective", "prose": "purging or wiping requirements and techniques to be used when mobile devices are purged or wiped of information are defined."}, {"id": "MDM-05_MDM-05_A03", "name": "assessment-objective", "prose": "information is purged or wiped from organization-defined mobile devices based on organization-defined purging or wiping requirements or techniques after organization-defined number consecutive, unsuccessful device logon attempts."}, {"id": "MDM-05_MDM-05_A04", "name": "assessment-objective", "prose": "the number of consecutive, unsuccessful logon attempts before the information is purged or wiped from mobile devices is defined."}, {"id": "MDM-05_MDM-05_A05", "name": "assessment-objective", "prose": "systems or system components to purge or wipe information either remotely or under specific conditions are defined."}, {"id": "MDM-05_MDM-05_A06", "name": "assessment-objective", "prose": "conditions under which information is to be purged or wiped are defined."}, {"id": "MDM-05_MDM-05_A07", "name": "assessment-objective", "prose": "the capability to purge or wipe information from systems or system components organization-defined criteria are provided."}]} \N \N \N \N +SCF:MDM-06 SCF MDM-06 Personally-Owned Mobile Devices Mechanisms exist to restrict the connection of personally-owned, mobile devices to organizational Technology Assets, Applications and/or Services (TAAS). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-06_MDM-06_A01", "name": "assessment-objective", "prose": "the connection of personally-owned, mobile devices to organizational systems and networks is restricted."}]} \N \N \N \N +SCF:MDM-07 SCF MDM-07 Organization-Owned Mobile Devices Mechanisms exist to prohibit the installation of non-approved applications or approved applications not obtained through the organization-approved application store. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-07_MDM-07_A01", "name": "assessment-objective", "prose": "the installation of non-approved applications or approved applications not obtained through the organization-approved application store is prohibited."}]} \N \N \N \N +SCF:MDM-08 SCF MDM-08 Mobile Device Data Retention Limitations Mechanisms exist to limit data retention on mobile devices to the smallest usable dataset and timeframe. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-08_MDM-08_A01", "name": "assessment-objective", "prose": "data retention on mobile devices is limited to the smallest usable dataset and timeframe."}]} \N \N \N \N +SCF:MDM-09 SCF MDM-09 Mobile Device Geofencing Mechanisms exist to restrict the functionality of mobile devices based on geographic location. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-09_MDM-09_A01", "name": "assessment-objective", "prose": "the functionality of mobile devices is restricted based on geographic location."}]} \N \N \N \N +SCF:MDM-10 SCF MDM-10 Separate Mobile Device Profiles Mechanisms exist to enforce a separate device workspace on applicable mobile devices to separate work-related and personal-related applications and data. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-10_MDM-10_A01", "name": "assessment-objective", "prose": "a separate device workspace is enforced on applicable mobile devices to separate work-related and personal-related applications and data."}]} \N \N \N \N +SCF:MDM-11 SCF MDM-11 Restricting Access To Authorized Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to restrict the connectivity of unauthorized mobile devices from communicating with organizational Technology Assets, Applications and/or Services (TAAS). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Mobile Device Management", "assessment_objective": [{"id": "MDM-11_MDM-11_A01", "name": "assessment-objective", "prose": "the connectivity of unauthorized mobile devices is restricted from communicating with systems, applications and services."}]} \N \N \N \N +SCF:NET-03.2 SCF NET-03.2 External Telecommunications Services Mechanisms exist to maintain a managed interface for each external telecommunication service that protects the confidentiality and integrity of the information being transmitted across each interface. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.2_NET-03.2_A01", "name": "assessment-objective", "prose": "the frequency at which to review exceptions to traffic flow policy is defined."}, {"id": "NET-03.2_NET-03.2_A02", "name": "assessment-objective", "prose": "a managed interface is implemented for each external telecommunication service."}, {"id": "NET-03.2_NET-03.2_A03", "name": "assessment-objective", "prose": "a traffic flow policy is established for each managed interface."}, {"id": "NET-03.2_NET-03.2_A04", "name": "assessment-objective", "prose": "the confidentiality of the information being transmitted across each interface is protected."}, {"id": "NET-03.2_NET-03.2_A05", "name": "assessment-objective", "prose": "the integrity of the information being transmitted across each interface is protected."}, {"id": "NET-03.2_NET-03.2_A06", "name": "assessment-objective", "prose": "each exception to the traffic flow policy is documented with a supporting mission or business need and duration of that need."}, {"id": "NET-03.2_NET-03.2_A07", "name": "assessment-objective", "prose": "exceptions to the traffic flow policy are reviewed frequently."}, {"id": "NET-03.2_NET-03.2_A08", "name": "assessment-objective", "prose": "exceptions to the traffic flow policy that are no longer supported by an explicit mission or business need are removed."}, {"id": "NET-03.2_NET-03.2_A09", "name": "assessment-objective", "prose": "unauthorized exchanges of control plan traffic with external networks are prevented."}, {"id": "NET-03.2_NET-03.2_A10", "name": "assessment-objective", "prose": "information is published to enable remote networks to detect unauthorized control plane traffic from internal networks."}, {"id": "NET-03.2_NET-03.2_A11", "name": "assessment-objective", "prose": "unauthorized control plane traffic is filtered from external networks."}, {"id": "NET-03.2_NET-03.2_A12", "name": "assessment-objective", "prose": "outgoing communications traffic posing a threat to external systems is detected."}, {"id": "NET-03.2_NET-03.2_A13", "name": "assessment-objective", "prose": "outgoing communications traffic posing a threat to external systems is denied."}, {"id": "NET-03.2_NET-03.2_A14", "name": "assessment-objective", "prose": "the identity of internal users associated with denied communications is audited."}]} \N \N \N \N +SCF:NET-01 SCF NET-01 Network Security Controls (NSC) Mechanisms exist to develop, govern & update procedures to facilitate the implementation of Network Security Controls (NSC). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-01_NET-01_A01", "name": "assessment-objective", "prose": "system and communications protection procedures to facilitate the implementation of the system and communications protection policy and associated system and communications protection controls are developed and documented."}, {"id": "NET-01_NET-01_A02", "name": "assessment-objective", "prose": "personnel or roles to whom the system and communications protection policy is to be disseminated is/are defined."}, {"id": "NET-01_NET-01_A03", "name": "assessment-objective", "prose": "personnel or roles to whom the system and communications protection procedures are to be disseminated is/are defined."}, {"id": "NET-01_NET-01_A04", "name": "assessment-objective", "prose": "an official to manage the system and communications protection policy and procedures is defined."}, {"id": "NET-01_NET-01_A05", "name": "assessment-objective", "prose": "the frequency at which the current system and communications protection policy is reviewed / updated is defined."}, {"id": "NET-01_NET-01_A06", "name": "assessment-objective", "prose": "events that would require the current system and communications protection policy to be reviewed / updated are defined."}, {"id": "NET-01_NET-01_A07", "name": "assessment-objective", "prose": "the frequency at which the current system and communications protection procedures are reviewed / updated is defined."}, {"id": "NET-01_NET-01_A08", "name": "assessment-objective", "prose": "events that would require the system and communications protection procedures to be reviewed / updated are defined."}, {"id": "NET-01_NET-01_A09", "name": "assessment-objective", "prose": "a system and communications protection policy is developed and documented."}, {"id": "NET-01_NET-01_A10", "name": "assessment-objective", "prose": "the system and communications protection policy is disseminated to organization-defined personnel or roles."}, {"id": "NET-01_NET-01_A11", "name": "assessment-objective", "prose": "the system and communications protection procedures are disseminated to organization-defined personnel or roles."}, {"id": "NET-01_NET-01_A12", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses purpose."}, {"id": "NET-01_NET-01_A13", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses scope."}, {"id": "NET-01_NET-01_A14", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses roles."}, {"id": "NET-01_NET-01_A15", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses responsibilities."}, {"id": "NET-01_NET-01_A16", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses management commitment."}, {"id": "NET-01_NET-01_A17", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses coordination among organizational entities."}, {"id": "NET-01_NET-01_A18", "name": "assessment-objective", "prose": "the organization's system and communications protection policy addresses compliance."}, {"id": "NET-01_NET-01_A19", "name": "assessment-objective", "prose": "the organization's system and communications protection policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "NET-01_NET-01_A20", "name": "assessment-objective", "prose": "the organization-defined official is designated to manage the development, documentation, and dissemination of the system and communications protection policy and procedures."}, {"id": "NET-01_NET-01_A21", "name": "assessment-objective", "prose": "the current system and communications protection policy is reviewed / updated organization-defined frequency."}, {"id": "NET-01_NET-01_A22", "name": "assessment-objective", "prose": "the current system and communications protection policy is reviewed / updated following organization-defined events."}, {"id": "NET-01_NET-01_A23", "name": "assessment-objective", "prose": "the current system and communications protection procedures are reviewed / updated organization-defined frequency."}, {"id": "NET-01_NET-01_A24", "name": "assessment-objective", "prose": "the current system and communications protection procedures are reviewed / updated following organization-defined events."}, {"id": "NET-01_NET-01_A25", "name": "assessment-objective", "prose": "network security management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "NET-01_NET-01_A26", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support network security management operations."}, {"id": "NET-01_NET-01_A27", "name": "assessment-objective", "prose": "responsibility and authority for the performance of network security management-related activities are assigned to designated personnel."}, {"id": "NET-01_NET-01_A28", "name": "assessment-objective", "prose": "personnel performing network security management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:NET-01.1 SCF NET-01.1 Zero Trust Architecture (ZTA) Mechanisms exist to treat all users and devices as potential threats and prevent access to data and resources until the users can be properly authenticated and their access authorized. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-01.1_NET-01.1_A01", "name": "assessment-objective", "prose": "all users are treated as potential threats and prevent access to data and resources until the user can be properly authenticated and their access authorized."}, {"id": "NET-01.1_NET-01.1_A02", "name": "assessment-objective", "prose": "all devices are treated as potential threats and prevent access to data and resources until the device can be properly authenticated and its access authorized."}]} \N \N \N \N +SCF:NET-02 SCF NET-02 Layered Network Defenses Mechanisms exist to implement security functions as a layered structure that minimizes interactions between layers of the design and avoids any dependence by lower layers on the functionality or correctness of higher layers. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-02_NET-02_A01", "name": "assessment-objective", "prose": "security functions are implemented as a layered structure that minimizes interactions between layers of the design and avoiding any dependence by lower layers on the functionality or correctness of higher layers."}]} \N \N \N \N +SCF:NET-02.1 SCF NET-02.1 Denial of Service (DoS) Protection Automated mechanisms exist to protect against or limit the effects of denial of service attacks. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-02.1_NET-02.1_A01", "name": "assessment-objective", "prose": "types of denial-of-service events to be protected against or limited are defined."}, {"id": "NET-02.1_NET-02.1_A02", "name": "assessment-objective", "prose": "resource prioritization is designed to limit negative effects of denial-of-service events."}, {"id": "NET-02.1_NET-02.1_A03", "name": "assessment-objective", "prose": "controls to achieve the denial-of-service objective by type of denial-of-service event are defined."}, {"id": "NET-02.1_NET-02.1_A04", "name": "assessment-objective", "prose": "controls by type of denial-of-service event are employed to achieve the denial-of-service protection objective."}, {"id": "NET-02.1_NET-02.1_A05", "name": "assessment-objective", "prose": "the ability of individuals to launch denial-of-service attacks against other systems is restricted."}, {"id": "NET-02.1_NET-02.1_A06", "name": "assessment-objective", "prose": "the effects of types of denial-of-service events are organizationally-defined."}, {"id": "NET-02.1_NET-02.1_A07", "name": "assessment-objective", "prose": "capacity, bandwidth or other redundancies to limit the effects of information flooding denial-of-service attacks are managed."}, {"id": "NET-02.1_NET-02.1_A08", "name": "assessment-objective", "prose": "monitoring tools for detecting indicators of denial-of-service attacks are defined."}, {"id": "NET-02.1_NET-02.1_A09", "name": "assessment-objective", "prose": "system resources to be monitored to determine if sufficient resources exist to prevent effective denial-of-service attacks are defined."}, {"id": "NET-02.1_NET-02.1_A10", "name": "assessment-objective", "prose": "monitoring tools are employed to detect indicators of denial-of-service attacks against or launched from the system."}, {"id": "NET-02.1_NET-02.1_A11", "name": "assessment-objective", "prose": "system resources are monitored to determine if sufficient resources exist to prevent effective denial-of-service attacks."}]} \N \N \N \N +SCF:NET-02.2 SCF NET-02.2 Guest Networks Mechanisms exist to implement and manage a secure guest network. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-02.2_NET-02.2_A01", "name": "assessment-objective", "prose": "a secure guest network is defined."}, {"id": "NET-02.2_NET-02.2_A02", "name": "assessment-objective", "prose": "a secure guest network is implemented"}, {"id": "NET-02.2_NET-02.2_A03", "name": "assessment-objective", "prose": "each type of wireless access to the system is defined."}, {"id": "NET-02.2_NET-02.2_A04", "name": "assessment-objective", "prose": "usage restrictions are established for each type of wireless access to the system."}, {"id": "NET-02.2_NET-02.2_A05", "name": "assessment-objective", "prose": "connection requirements are established for each type of wireless access to the system."}, {"id": "NET-02.2_NET-02.2_A06", "name": "assessment-objective", "prose": "each type of wireless access to the system is authorized prior to establishing such connections."}]} \N \N \N \N +SCF:NET-02.3 SCF NET-02.3 Cross Domain Solution (CDS) Mechanisms exist to implement a Cross Domain Solution (CDS) to mitigate the specific security risks of accessing or transferring information between security domains. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-02.3_NET-02.3_A01", "name": "assessment-objective", "prose": "a Cross Domain Solution (CDS) is implemented to mitigate the specific security risks of accessing or transferring information between security domains."}]} \N \N \N \N +SCF:NET-03 SCF NET-03 Boundary Protection Mechanisms exist to monitor and control communications at the external network boundary and at key internal boundaries within the network. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03_NET-03_A01", "name": "assessment-objective", "prose": "the external system boundary is defined."}, {"id": "NET-03_NET-03_A02", "name": "assessment-objective", "prose": "key internal system boundaries are defined."}, {"id": "NET-03_NET-03_A03", "name": "assessment-objective", "prose": "communications are protected at the external system boundary."}, {"id": "NET-03_NET-03_A04", "name": "assessment-objective", "prose": "communications are protected at key internal boundaries."}, {"id": "NET-03_NET-03_A05", "name": "assessment-objective", "prose": "communications are monitored at the external system boundary."}, {"id": "NET-03_NET-03_A06", "name": "assessment-objective", "prose": "communications are controlled at the external system boundary."}, {"id": "NET-03_NET-03_A07", "name": "assessment-objective", "prose": "communications are monitored at key internal boundaries."}, {"id": "NET-03_NET-03_A08", "name": "assessment-objective", "prose": "communications are controlled at key internal boundaries."}, {"id": "NET-03_NET-03_A09", "name": "assessment-objective", "prose": "subnetworks for publicly accessible system components are selected per organization-defined values separated from internal organizational networks."}, {"id": "NET-03_NET-03_A10", "name": "assessment-objective", "prose": "external networks or systems are only connected to through managed interfaces consisting of boundary protection devices arranged in accordance with an organizational cybersecurity / data privacy architecture."}, {"id": "NET-03_NET-03_A11", "name": "assessment-objective", "prose": "outgoing communications traffic posing a threat to external systems is detected."}, {"id": "NET-03_NET-03_A12", "name": "assessment-objective", "prose": "outgoing communications traffic posing a threat to external systems is denied."}, {"id": "NET-03_NET-03_A13", "name": "assessment-objective", "prose": "the identity of internal users associated with denied communications is audited."}, {"id": "NET-03_NET-03_A14", "name": "assessment-objective", "prose": "authorized sources of incoming communications to be routed are defined."}, {"id": "NET-03_NET-03_A15", "name": "assessment-objective", "prose": "authorized destinations to which incoming communications from authorized sources may be routed are defined."}, {"id": "NET-03_NET-03_A16", "name": "assessment-objective", "prose": "only incoming communications from authorized sources are allowed to be routed to authorized destinations."}, {"id": "NET-03_NET-03_A17", "name": "assessment-objective", "prose": "one or more of the following is/are selected: physical isolation techniques. logical isolation techniques."}, {"id": "NET-03_NET-03_A18", "name": "assessment-objective", "prose": "physical isolation techniques are defined."}, {"id": "NET-03_NET-03_A19", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "NET-03_NET-03_A20", "name": "assessment-objective", "prose": "physical isolation techniques and/or organization-defined logical isolation techniques are employed in organizational systems and system components."}, {"id": "NET-03_NET-03_A21", "name": "assessment-objective", "prose": "connection requirements are established for mobile devices."}, {"id": "NET-03_NET-03_A22", "name": "assessment-objective", "prose": "external system connections are only made through managed interfaces that consist of boundary protection devices arranged in accordance with an organizational security architecture."}, {"id": "NET-03_NET-03_A23", "name": "assessment-objective", "prose": "communications at external managed interfaces to the system are controlled."}, {"id": "NET-03_NET-03_A24", "name": "assessment-objective", "prose": "communications at key internal managed interfaces within the system are controlled."}]} \N \N \N \N +SCF:NET-03.4 SCF NET-03.4 Personal Data (PD) Mechanisms exist to apply network-based processing rules to data elements of Personal Data (PD). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.4_NET-03.4_A01", "name": "assessment-objective", "prose": "processing rules for systems that process Personal Data (PD) are defined."}, {"id": "NET-03.4_NET-03.4_A02", "name": "assessment-objective", "prose": "processing rules are applied to data elements of Personal Data (PD) on systems that process Personal Data (PD)."}, {"id": "NET-03.4_NET-03.4_A03", "name": "assessment-objective", "prose": "permitted processing is monitored at the external interfaces to the systems that process Personal Data (PD)."}, {"id": "NET-03.4_NET-03.4_A04", "name": "assessment-objective", "prose": "permitted processing is monitored at key internal boundaries within the systems that process Personal Data (PD)."}, {"id": "NET-03.4_NET-03.4_A05", "name": "assessment-objective", "prose": "each processing exception is documented for systems that process Personal Data (PD)."}, {"id": "NET-03.4_NET-03.4_A06", "name": "assessment-objective", "prose": "exceptions for systems that process Personal Data (PD) are reviewed."}, {"id": "NET-03.4_NET-03.4_A07", "name": "assessment-objective", "prose": "exceptions for systems that process Personal Data (PD) that are no longer supported are removed."}]} \N \N \N \N +SCF:NET-03.5 SCF NET-03.5 Prevent Unauthorized Exfiltration Automated mechanisms exist to prevent the unauthorized exfiltration of sensitive/regulated data across managed interfaces. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.5_NET-03.5_A01", "name": "assessment-objective", "prose": "the exfiltration of information is prevented."}, {"id": "NET-03.5_NET-03.5_A02", "name": "assessment-objective", "prose": "the frequency for conducting exfiltration tests is defined."}, {"id": "NET-03.5_NET-03.5_A03", "name": "assessment-objective", "prose": "exfiltration tests are conducted per an organization-defined frequency."}]} \N \N \N \N +SCF:NET-03.6 SCF NET-03.6 Dynamic Isolation & Segregation (Sandboxing) Automated mechanisms exist to dynamically isolate (e.g., sandbox) untrusted components during runtime, where the component is isolated in a fault-contained environment but it can still collaborate with the application. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.6_NET-03.6_A01", "name": "assessment-objective", "prose": "system components to be dynamically isolated from other system components are defined."}, {"id": "NET-03.6_NET-03.6_A02", "name": "assessment-objective", "prose": "the capability to dynamically isolate organization-defined system components from other system components is provided."}]} \N \N \N \N +SCF:NET-03.7 SCF NET-03.7 Isolation of System Components Mechanisms exist to employ boundary protections to isolate Technology Assets, Applications and/or Services (TAAS) that support critical missions and/or business functions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.7_NET-03.7_A01", "name": "assessment-objective", "prose": "system components to be isolated by boundary protection mechanisms are defined."}, {"id": "NET-03.7_NET-03.7_A02", "name": "assessment-objective", "prose": "boundary protection mechanisms are employed to isolate system components supporting missions and/or business functions."}, {"id": "NET-03.7_NET-03.7_A03", "name": "assessment-objective", "prose": "missions and/or business functions to be supported by system components isolated by boundary protection mechanisms are defined."}, {"id": "NET-03.7_NET-03.7_A04", "name": "assessment-objective", "prose": "physical isolation techniques are defined."}, {"id": "NET-03.7_NET-03.7_A05", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "NET-03.7_NET-03.7_A06", "name": "assessment-objective", "prose": "physical isolation techniques and/or organization-defined logical isolation techniques are employed in organizational systems and system components."}]} \N \N \N \N +SCF:NET-03.8 SCF NET-03.8 Separate Subnet for Connecting to Different Security Domains Mechanisms exist to implement separate network addresses (e.g., different subnets) to connect to systems in different security domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-03.8_NET-03.8_A01", "name": "assessment-objective", "prose": "separate network addresses are implemented to connect to systems in different security domains."}, {"id": "NET-03.8_NET-03.8_A02", "name": "assessment-objective", "prose": "critical system components and functions are logically isolated."}, {"id": "NET-03.8_NET-03.8_A03", "name": "assessment-objective", "prose": "critical system components and functions to be isolated are defined."}, {"id": "NET-03.8_NET-03.8_A04", "name": "assessment-objective", "prose": "subnetworks are separated organization-defined criteria to isolate critical system components and functions."}, {"id": "NET-03.8_NET-03.8_A05", "name": "assessment-objective", "prose": "physical isolation techniques are defined."}, {"id": "NET-03.8_NET-03.8_A06", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "NET-03.8_NET-03.8_A07", "name": "assessment-objective", "prose": "physical isolation techniques and/or organization-defined logical isolation techniques are employed in organizational systems and system components."}]} \N \N \N \N +SCF:NET-04 SCF NET-04 Data Flow Enforcement – Access Control Lists (ACLs) Mechanisms exist to implement and govern Access Control Lists (ACLs) to provide data flow enforcement that explicitly restrict network traffic to only what is authorized. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04_NET-04_A01", "name": "assessment-objective", "prose": "information flow control policies are defined."}, {"id": "NET-04_NET-04_A02", "name": "assessment-objective", "prose": "methods and enforcement mechanisms for controlling the flow of sensitive / regulated data are defined."}, {"id": "NET-04_NET-04_A03", "name": "assessment-objective", "prose": "approved authorizations are enforced for controlling the flow of information within the system and between connected systems based on organization-defined information flow control policies."}, {"id": "NET-04_NET-04_A04", "name": "assessment-objective", "prose": "designated sources and destinations (e.g., networks, individuals and devices) for sensitive / regulated data within the system and between interconnected systems are identified."}, {"id": "NET-04_NET-04_A05", "name": "assessment-objective", "prose": "authorizations for controlling the flow of sensitive / regulated data are defined."}, {"id": "NET-04_NET-04_A06", "name": "assessment-objective", "prose": "approved authorizations are enforced for controlling the flow of CUI between connected systems."}, {"id": "NET-04_NET-04_A07", "name": "assessment-objective", "prose": "secure information transfer solutions are defined."}, {"id": "NET-04_NET-04_A08", "name": "assessment-objective", "prose": "information flows between security domains on connected systems are identified."}, {"id": "NET-04_NET-04_A09", "name": "assessment-objective", "prose": "solutions are employed to control information flows between security domains on connected systems."}, {"id": "NET-04_NET-04_A10", "name": "assessment-objective", "prose": "systems and system components included in the scope of the specified enhanced security requirements are identified."}, {"id": "NET-04_NET-04_A11", "name": "assessment-objective", "prose": "systems and system components are included in the scope of the specified enhanced security requirements."}, {"id": "NET-04_NET-04_A12", "name": "assessment-objective", "prose": "systems and system components that are not included in systems and system components are segregated in purpose-specific networks."}]} \N \N \N \N +SCF:NET-04.1 SCF NET-04.1 Deny Traffic by Default & Allow Traffic by Exception Mechanisms exist to configure firewall and router configurations to deny network traffic by default and allow network traffic by exception (e.g., deny all, permit by exception). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.1_NET-04.1_A01", "name": "assessment-objective", "prose": "network communications traffic is denied by default."}, {"id": "NET-04.1_NET-04.1_A02", "name": "assessment-objective", "prose": "network communications traffic is allowed by exception."}, {"id": "NET-04.1_NET-04.1_A03", "name": "assessment-objective", "prose": "systems for which network communications traffic is denied by default and network communications traffic is allowed by exception are defined."}, {"id": "NET-04.1_NET-04.1_A04", "name": "assessment-objective", "prose": "authorized sources of incoming communications to be routed are defined."}, {"id": "NET-04.1_NET-04.1_A05", "name": "assessment-objective", "prose": "authorized destinations to which incoming communications from authorized sources may be routed are defined."}, {"id": "NET-04.1_NET-04.1_A06", "name": "assessment-objective", "prose": "only incoming communications from authorized sources are allowed to be routed to authorized destinations."}]} \N \N \N \N +SCF:NET-04.2 SCF NET-04.2 Object Security Attributes Mechanisms exist to associate security attributes with information, source and destination objects to enforce defined information flow control configurations as a basis for flow control decisions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.2_NET-04.2_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy attributes associated with information, source and destination objects are defined."}, {"id": "NET-04.2_NET-04.2_A02", "name": "assessment-objective", "prose": "information objects to be associated with cybersecurity / data privacy attributes are defined."}, {"id": "NET-04.2_NET-04.2_A03", "name": "assessment-objective", "prose": "source objects to be associated with cybersecurity / data privacy attributes are defined."}, {"id": "NET-04.2_NET-04.2_A04", "name": "assessment-objective", "prose": "destination objects to be associated with cybersecurity / data privacy attributes are defined."}, {"id": "NET-04.2_NET-04.2_A05", "name": "assessment-objective", "prose": "information flow control policies as a basis for enforcement of flow control decisions are defined."}, {"id": "NET-04.2_NET-04.2_A06", "name": "assessment-objective", "prose": "organization-defined cybersecurity / data privacy attributes associated with organization-defined information objects, organization-defined source objects and organization-defined destination objects are used to enforce organization-defined information flow control policies as a basis for flow control decisions."}, {"id": "NET-04.2_NET-04.2_A07", "name": "assessment-objective", "prose": "secure information transfer solutions are defined."}, {"id": "NET-04.2_NET-04.2_A08", "name": "assessment-objective", "prose": "information flows between security domains on connected systems are identified."}, {"id": "NET-04.2_NET-04.2_A09", "name": "assessment-objective", "prose": "solutions are employed to control information flows between security domains on connected systems."}]} \N \N \N \N +SCF:NET-04.3 SCF NET-04.3 Content Check for Encrypted Data Mechanisms exist to prevent encrypted data from bypassing content-checking mechanisms. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.3_NET-04.3_A01", "name": "assessment-objective", "prose": "information flow control mechanisms that encrypted information is prevented from bypassing are defined."}, {"id": "NET-04.3_NET-04.3_A02", "name": "assessment-objective", "prose": "the organization-defined procedure or method used to prevent encrypted information from bypassing information flow control mechanisms is defined."}, {"id": "NET-04.3_NET-04.3_A03", "name": "assessment-objective", "prose": "encrypted information is prevented from bypassing the organization's information flow control mechanisms."}]} \N \N \N \N +SCF:NET-04.4 SCF NET-04.4 Embedded Data Types Mechanisms exist to enforce limitations on embedding data within other data types. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.4_NET-04.4_A01", "name": "assessment-objective", "prose": "limitations on embedding data types within other data types are defined."}, {"id": "NET-04.4_NET-04.4_A02", "name": "assessment-objective", "prose": "organization-defined limitations are enforced on embedding data types within other data types."}]} \N \N \N \N +SCF:NET-04.5 SCF NET-04.5 Metadata Mechanisms exist to enforce information flow controls based on metadata. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.5_NET-04.5_A01", "name": "assessment-objective", "prose": "metadata on which to base enforcement of information flow control is defined."}, {"id": "NET-04.5_NET-04.5_A02", "name": "assessment-objective", "prose": "information flow control enforcement is based on organization-defined metadata."}, {"id": "NET-04.5_NET-04.5_A03", "name": "assessment-objective", "prose": "secure information transfer solutions are defined."}, {"id": "NET-04.5_NET-04.5_A04", "name": "assessment-objective", "prose": "information flows between security domains on connected systems are identified."}, {"id": "NET-04.5_NET-04.5_A05", "name": "assessment-objective", "prose": "solutions are employed to control information flows between security domains on connected systems."}]} \N \N \N \N +SCF:NET-04.6 SCF NET-04.6 Human Reviews Mechanisms exist to enforce the use of human reviews for Access Control Lists (ACLs) and similar rulesets on a routine basis. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.6_NET-04.6_A01", "name": "assessment-objective", "prose": "information flows requiring the use of human reviews are defined."}, {"id": "NET-04.6_NET-04.6_A02", "name": "assessment-objective", "prose": "conditions under which the use of human reviews for information flows are to be enforced are defined."}, {"id": "NET-04.6_NET-04.6_A03", "name": "assessment-objective", "prose": "human reviews are used for organization-defined conditions."}]} \N \N \N \N +SCF:NET-04.7 SCF NET-04.7 Policy Decision Point (PDP) Automated mechanisms exist to evaluate access requests against established criteria to dynamically and uniformly enforce access rights and permissions. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.7_NET-04.7_A01", "name": "assessment-objective", "prose": "information flows between security domains on connected systems are identified."}, {"id": "NET-04.7_NET-04.7_A02", "name": "assessment-objective", "prose": "solutions are employed to control information flows between security domains on connected systems."}, {"id": "NET-04.7_NET-04.7_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy policy filters to be used as a basis for enforcing information flow control are defined."}, {"id": "NET-04.7_NET-04.7_A04", "name": "assessment-objective", "prose": "information flows for which information flow control is enforced by cybersecurity / data privacy filters are defined."}, {"id": "NET-04.7_NET-04.7_A05", "name": "assessment-objective", "prose": "information flow control is enforced using organization-defined cybersecurity / data privacy policy filter as a basis for flow control decisions for organization-defined information flows."}, {"id": "NET-04.7_NET-04.7_A06", "name": "assessment-objective", "prose": "cybersecurity / data privacy policy identifying actions to be taken after a filter processing failure are defined (e.g., block, strip, modify or quarantine)"}, {"id": "NET-04.7_NET-04.7_A07", "name": "assessment-objective", "prose": "policy identifying actions to be taken after a filter processing failure are defined."}, {"id": "NET-04.7_NET-04.7_A08", "name": "assessment-objective", "prose": "organization's data after a filter processing failure in accordance with organization's data after a filter processing failure in accordance with organization-defined privacy policy."}, {"id": "NET-04.7_NET-04.7_A09", "name": "assessment-objective", "prose": "when transferring information between different security domains, data is sanitized to minimize organization's in accordance with organization-defined policy."}]} \N \N \N \N +SCF:NET-15.5 SCF NET-15.5 Rogue Wireless Detection Mechanisms exist to test for the presence of Wireless Access Points (WAPs) and identify all authorized and unauthorized WAPs within the facility(ies). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15.5_NET-15.5_A01", "name": "assessment-objective", "prose": "all authorized and unauthorized Wireless Access Points (WAPs) are identified within the facility(ies)."}, {"id": "NET-15.5_NET-15.5_A02", "name": "assessment-objective", "prose": "rogue WAPs are responded to in accordance with published incident response plans."}]} \N \N \N \N +SCF:NET-04.8 SCF NET-04.8 Data Type Identifiers Automated mechanisms exist to utilize data type identifiers to validate data essential for information flow decisions when transferring information between different security domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.8_NET-04.8_A01", "name": "assessment-objective", "prose": "data type identifiers to be used to validate data essential for information flow decisions are defined."}, {"id": "NET-04.8_NET-04.8_A02", "name": "assessment-objective", "prose": "when transferring information between different security domains, organization-defined data type identifiers are used to validate data essential for information flow decisions."}]} \N \N \N \N +SCF:NET-04.9 SCF NET-04.9 Decomposition Into Policy-Related Subcomponents Automated mechanisms exist to decompose information into policy-relevant subcomponents for submission to policy enforcement mechanisms, when transferring information between different security domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.9_NET-04.9_A01", "name": "assessment-objective", "prose": "policy-relevant subcomponents into which to decompose information for submission to policy enforcement mechanisms are defined."}, {"id": "NET-04.9_NET-04.9_A02", "name": "assessment-objective", "prose": "when transferring information between different security domains, information is decomposed into organization-defined policy-relevant subcomponents for submission to policy enforcement mechanisms."}]} \N \N \N \N +SCF:NET-04.10 SCF NET-04.10 Detection of Unsanctioned Information Automated mechanisms exist to implement security policy filters requiring fully enumerated formats that restrict data structure and content, when transferring information between different security domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.10_NET-04.10_A01", "name": "assessment-objective", "prose": "unsanctioned information to be detected is defined."}, {"id": "NET-04.10_NET-04.10_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy policy that requires the transfer of unsanctioned information between different security domains to be prohibited is defined."}, {"id": "NET-04.10_NET-04.10_A03", "name": "assessment-objective", "prose": "when transferring information between different security domains, information is examined for the presence of organization-defined unsanctioned information."}, {"id": "NET-04.10_NET-04.10_A04", "name": "assessment-objective", "prose": "when transferring information between different security domains, transfer of organization-defined unsanctioned information is prohibited in accordance with the organization-defined cybersecurity / data privacy policy."}]} \N \N \N \N +SCF:NET-04.11 SCF NET-04.11 Approved Solutions Automated mechanisms exist to examine information for the presence of unsanctioned information and prohibits the transfer of such information, when transferring information between different security domains. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.11_NET-04.11_A01", "name": "assessment-objective", "prose": "solutions in approved configurations to control the flow of information across security domains are defined."}, {"id": "NET-04.11_NET-04.11_A02", "name": "assessment-objective", "prose": "information to be controlled when it flows across security domains is defined."}, {"id": "NET-04.11_NET-04.11_A03", "name": "assessment-objective", "prose": "organization-defined solutions in approved configurations are employed to control the flow of organization-defined information across security domains."}]} \N \N \N \N +SCF:NET-04.12 SCF NET-04.12 Cross Domain Authentication Automated mechanisms exist to uniquely identify and authenticate source and destination points for information transfer. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.12_NET-04.12_A01", "name": "assessment-objective", "prose": "source and destination points are uniquely identified and authenticated by organization-defined criteria for information transfer (e.g., organization, system, application, service or individual)."}]} \N \N \N \N +SCF:NET-04.13 SCF NET-04.13 Metadata Validation Automated mechanisms exist to apply cybersecurity and/or data protection filters on metadata. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.13_NET-04.13_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy policy filters to be implemented on metadata are defined (if selected)."}, {"id": "NET-04.13_NET-04.13_A02", "name": "assessment-objective", "prose": "when transferring information between different security domains, organization-defined cybersecurity / data privacy policy filters are implemented on metadata."}]} \N \N \N \N +SCF:NET-04.14 SCF NET-04.14 Application Proxy Mechanisms exist to terminate, inspect, control and reinitiate application traffic, regardless of the user’s location or the security posture of the surrounding network. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-04.14_NET-04.14_A01", "name": "assessment-objective", "prose": "visibility and control over application traffic is maintained, regardless of the user’s location or the security posture of the surrounding network."}]} \N \N \N \N +SCF:NET-06.4 SCF NET-06.4 Segregation From Enterprise Services Mechanisms exist to isolate sensitive/regulated data enclaves (secure zones) from corporate-provided IT resources by providing enclave-specific IT services (e.g., directory services, DNS, NTP, ITAM, antimalware, patch management, etc.) to those isolated network segments. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.4_NET-06.4_A01", "name": "assessment-objective", "prose": "sensitive / regulated data enclaves (secure zones) are isolated from corporate-provided IT resources by providing enclave-specific IT services (e.g., directory services, DNS, NTP, ITAM, antimalware, patch management, etc.) to those isolated network segments."}]} \N \N \N \N +SCF:NET-06.5 SCF NET-06.5 Direct Internet Access Restrictions Mechanisms exist to prohibit, or strictly-control, Internet access from sensitive/regulated data enclaves (secure zones). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.5_NET-06.5_A01", "name": "assessment-objective", "prose": "Internet access from sensitive / regulated data enclaves (secure zones) is prohibited or strictly-controlled."}]} \N \N \N \N +SCF:NET-05 SCF NET-05 Interconnection Security Agreements (ISAs) Mechanisms exist to authorize connections from systems to other systems using Interconnection Security Agreements (ISAs), or similar methods, that document, for each interconnection:\r\n(1) Interface characteristics;\r\n(2) Security, compliance and resilience requirements; and;\r\n(3) The nature of the information communicated. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-05_NET-05_A01", "name": "assessment-objective", "prose": "the type of agreement used to approve and manage the exchange of information is defined (e.g., interconnection security agreements, information exchange security agreements, memoranda of understanding or agreement, service level agreements, user agreements, non-disclosure agreements or organization-defined type of agreements)."}, {"id": "NET-05_NET-05_A02", "name": "assessment-objective", "prose": "security requirements for each system are documented as part of the exchange agreements."}, {"id": "NET-05_NET-05_A03", "name": "assessment-objective", "prose": "controls are documented as part of each exchange agreement."}, {"id": "NET-05_NET-05_A04", "name": "assessment-objective", "prose": "the frequency at which to review and update agreements is defined."}, {"id": "NET-05_NET-05_A05", "name": "assessment-objective", "prose": "the exchange of sensitive / regulated data between the system and other systems is approved using organization-defined values."}, {"id": "NET-05_NET-05_A06", "name": "assessment-objective", "prose": "the exchange of sensitive / regulated data between the system and other systems is managed using organization-defined values."}, {"id": "NET-05_NET-05_A07", "name": "assessment-objective", "prose": "interface characteristics for each system are documented as part of the exchange agreements."}, {"id": "NET-05_NET-05_A08", "name": "assessment-objective", "prose": "responsibilities for each system are documented as part of the exchange agreements."}, {"id": "NET-05_NET-05_A09", "name": "assessment-objective", "prose": "the impact level of the information communicated is documented as part of each exchange agreement."}, {"id": "NET-05_NET-05_A10", "name": "assessment-objective", "prose": "exchange agreements are reviewed per an organization-defined frequency."}, {"id": "NET-05_NET-05_A11", "name": "assessment-objective", "prose": "exchange agreements are updated per an organization-defined frequency."}, {"id": "NET-05_NET-05_A12", "name": "assessment-objective", "prose": "systems are prohibited from directly connecting to an external network is defined."}, {"id": "NET-05_NET-05_A13", "name": "assessment-objective", "prose": "the boundary protection device required for a direct connection to an external network is defined."}, {"id": "NET-05_NET-05_A14", "name": "assessment-objective", "prose": "the direct connection of systems to an external network without the use of boundary protection device is prohibited."}, {"id": "NET-05_NET-05_A15", "name": "assessment-objective", "prose": "the direct connection of classified national security system to an external network without the use of an organization-defined boundary protection device is prohibited."}, {"id": "NET-05_NET-05_A16", "name": "assessment-objective", "prose": "approved authorizations are enforced for controlling the flow of CUI between connected systems."}, {"id": "NET-05_NET-05_A17", "name": "assessment-objective", "prose": "one or more of the following PARAMETER VALUES are selected: {interconnection security agreements; information exchange security agreements; memoranda of understanding or agreement; service-level agreements; user agreements; non-disclosure agreements; other types of agreements}."}, {"id": "NET-05_NET-05_A18", "name": "assessment-objective", "prose": "the exchange of CUI between the system and other systems is approved using ."}, {"id": "NET-05_NET-05_A19", "name": "assessment-objective", "prose": "the exchange of CUI between the system and other systems is managed using ."}, {"id": "NET-05_NET-05_A20", "name": "assessment-objective", "prose": "exchange agreements are reviewed ."}, {"id": "NET-05_NET-05_A21", "name": "assessment-objective", "prose": "exchange agreements are updated ."}]} \N \N \N \N +SCF:NET-05.1 SCF NET-05.1 External System Connections Mechanisms exist to prohibit the direct connection of a sensitive system to an external network without the use of an organization-defined boundary protection device. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-05.1_NET-05.1_A01", "name": "assessment-objective", "prose": "systems are prohibited from directly connecting to an external network is defined."}, {"id": "NET-05.1_NET-05.1_A02", "name": "assessment-objective", "prose": "the boundary protection device required for a direct connection of a system to an external network is defined."}, {"id": "NET-05.1_NET-05.1_A03", "name": "assessment-objective", "prose": "the direct connection of a system to an external network without the use of a boundary protection device is prohibited."}]} \N \N \N \N +SCF:NET-05.2 SCF NET-05.2 Internal System Connections Mechanisms exist to control internal system connections through authorizing internal connections of systems and documenting, for each internal connection, the interface characteristics, security requirements and the nature of the information communicated. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-05.2_NET-05.2_A01", "name": "assessment-objective", "prose": "internal connections of organization-defined system components to the system are authorized."}, {"id": "NET-05.2_NET-05.2_A02", "name": "assessment-objective", "prose": "for each internal connection, the interface characteristics are documented."}, {"id": "NET-05.2_NET-05.2_A03", "name": "assessment-objective", "prose": "for each internal connection, the security requirements are documented."}, {"id": "NET-05.2_NET-05.2_A04", "name": "assessment-objective", "prose": "for each internal connection, the privacy requirements are documented."}, {"id": "NET-05.2_NET-05.2_A05", "name": "assessment-objective", "prose": "for each internal connection, the nature of the information communicated is documented."}, {"id": "NET-05.2_NET-05.2_A06", "name": "assessment-objective", "prose": "internal system connections are terminated after organization-defined conditions."}, {"id": "NET-05.2_NET-05.2_A07", "name": "assessment-objective", "prose": "the continued need for each internal connection is reviewed organization-defined frequency."}, {"id": "NET-05.2_NET-05.2_A08", "name": "assessment-objective", "prose": "system components or classes of components requiring internal connections to the system are defined."}, {"id": "NET-05.2_NET-05.2_A09", "name": "assessment-objective", "prose": "conditions requiring termination of internal connections are defined."}, {"id": "NET-05.2_NET-05.2_A10", "name": "assessment-objective", "prose": "frequency at which to review the continued need for each internal connection is defined."}]} \N \N \N \N +SCF:NET-06 SCF NET-06 Network Segmentation (macrosegementation) Mechanisms exist to ensure network architecture utilizes network segmentation to isolate Technology Assets, Applications and/or Services (TAAS) to protect from other network resources. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06_NET-06_A01", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "NET-06_NET-06_A02", "name": "assessment-objective", "prose": "mechanisms and/or techniques used to logically separate information flows are defined."}, {"id": "NET-06_NET-06_A03", "name": "assessment-objective", "prose": "information flows are separated logically using organization-defined mechanisms and/or techniques to accomplish organization-defined required separations."}, {"id": "NET-06_NET-06_A04", "name": "assessment-objective", "prose": "publicly accessible system components are identified."}, {"id": "NET-06_NET-06_A05", "name": "assessment-objective", "prose": "subnetworks for publicly accessible system components are physically or logically separated from internal networks."}, {"id": "NET-06_NET-06_A06", "name": "assessment-objective", "prose": "physical isolation techniques and/or organization-defined logical isolation techniques are employed in organizational systems and system components."}, {"id": "NET-06_NET-06_A07", "name": "assessment-objective", "prose": "mechanisms and/or techniques used to physically separate information flows are defined."}, {"id": "NET-06_NET-06_A08", "name": "assessment-objective", "prose": "required separations by types of information are defined."}, {"id": "NET-06_NET-06_A09", "name": "assessment-objective", "prose": "information flows are separated physically using organization-defined mechanisms and/or techniques to accomplish organization-defined required separations."}, {"id": "NET-06_NET-06_A10", "name": "assessment-objective", "prose": "subnetworks are implemented for publicly accessible system components that are physically or logically separated from internal networks."}]} \N \N \N \N +SCF:NET-06.1 SCF NET-06.1 Security Management Subnets Mechanisms exist to implement security management subnets to isolate security tools and support components from other internal system components by implementing separate subnetworks with managed interfaces to other components of the system. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.1_NET-06.1_A01", "name": "assessment-objective", "prose": "cybersecurity tools, mechanisms and support components to be isolated from other internal system components are defined."}, {"id": "NET-06.1_NET-06.1_A02", "name": "assessment-objective", "prose": "cybersecurity tools, mechanisms and support components are isolated from other internal system components by implementing physically separate subnetworks with managed interfaces to other components of the system."}, {"id": "NET-06.1_NET-06.1_A03", "name": "assessment-objective", "prose": "security management subnets are logically isolated."}, {"id": "NET-06.1_NET-06.1_A04", "name": "assessment-objective", "prose": "security management subnet system components and functions to be isolated are defined."}, {"id": "NET-06.1_NET-06.1_A05", "name": "assessment-objective", "prose": "organization-defined criteria are used to isolate security management subnets."}, {"id": "NET-06.1_NET-06.1_A06", "name": "assessment-objective", "prose": "physical isolation techniques are defined."}, {"id": "NET-06.1_NET-06.1_A07", "name": "assessment-objective", "prose": "logical isolation techniques are defined."}, {"id": "NET-06.1_NET-06.1_A08", "name": "assessment-objective", "prose": "physical isolation techniques and/or organization-defined logical isolation techniques are employed in organizational systems and system components."}]} \N \N \N \N +SCF:NET-06.2 SCF NET-06.2 Virtual Local Area Network (VLAN) Separation Mechanisms exist to enable Virtual Local Area Networks (VLANs) to limit the ability of devices on a network to directly communicate with other devices on the subnet and limit an attacker's ability to laterally move to compromise neighboring systems. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.2_NET-06.2_A01", "name": "assessment-objective", "prose": "enable Virtual Local Area Networks (VLANs) to limit the ability of devices on a network to directly communicate with other devices on the subnet and limit an attacker's ability to laterally move to compromise neighboring systems."}]} \N \N \N \N +SCF:NET-06.7 SCF NET-06.7 Software Defined Networking (SDN) Automated mechanisms exist to enable dynamic, policy-driven network segmentation, access controls and traffic management with a Software Defined Networking (SDN) architecture. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-06.7_NET-06.7_A01", "name": "assessment-objective", "prose": "automated mechanisms implement dynamic, policy-driven network segmentation."}, {"id": "NET-06.7_NET-06.7_A02", "name": "assessment-objective", "prose": "automated mechanisms implement dynamic, policy-driven access controls."}, {"id": "NET-06.7_NET-06.7_A03", "name": "assessment-objective", "prose": "automated mechanisms implement dynamic, policy-driven network traffic management."}]} \N \N \N \N +SCF:NET-07 SCF NET-07 Network Connection Termination Mechanisms exist to terminate network connections at the end of a session or after an organization-defined time period of inactivity. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-07_NET-07_A01", "name": "assessment-objective", "prose": "a period of inactivity to terminate network connections associated with communications sessions is defined."}, {"id": "NET-07_NET-07_A02", "name": "assessment-objective", "prose": "network connections associated with communications sessions are terminated at the end of the sessions."}, {"id": "NET-07_NET-07_A03", "name": "assessment-objective", "prose": "network connections associated with communications sessions are terminated after the defined period of inactivity."}, {"id": "NET-07_NET-07_A04", "name": "assessment-objective", "prose": "network connections are terminated when nonlocal maintenance is completed."}, {"id": "NET-07_NET-07_A05", "name": "assessment-objective", "prose": "the time period of inactivity after which the system terminates a network connection associated with a communications session is defined."}, {"id": "NET-07_NET-07_A06", "name": "assessment-objective", "prose": "the network connection associated with a communications session is terminated at the end of the session or after an organization-defined time period of inactivity."}, {"id": "NET-07_NET-07_A07", "name": "assessment-objective", "prose": "the network connection associated with a communications session is terminated at the end of the session or after of inactivity."}]} \N \N \N \N +SCF:NET-08 SCF NET-08 Network Intrusion Detection / Prevention Systems (NIDS / NIPS) Mechanisms exist to employ Network Intrusion Detection / Prevention Systems (NIDS/NIPS) to detect and/or prevent intrusions into the network. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-08_NET-08_A01", "name": "assessment-objective", "prose": "Network Intrusion Detection / Prevention Systems (NIDS/NIPS) is utilized to detect and/or prevent intrusions into the network."}]} \N \N \N \N +SCF:NET-08.1 SCF NET-08.1 DMZ Networks Mechanisms exist to monitor De-Militarized Zone (DMZ) network segments to separate untrusted networks from trusted networks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-08.1_NET-08.1_A01", "name": "assessment-objective", "prose": "De-Militarized Zone (DMZ) network segments exist to separate untrusted networks from trusted networks."}]} \N \N \N \N +SCF:NET-08.2 SCF NET-08.2 Wireless Intrusion Detection / Prevention Systems (WIDS / WIPS) Deployment Mechanisms exist to utilize Wireless Intrusion Detection / Protection Systems (WIDS / WIPS) on wireless network segments. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-08.2_NET-08.2_A01", "name": "assessment-objective", "prose": "wireless network segments implement Wireless Intrusion Detection / Prevention Systems (WIDS/WIPS) technologies."}]} \N \N \N \N +SCF:NET-08.3 SCF NET-08.3 Host Containment Automated mechanisms exist to enforce host containment protections that revoke or quarantine a host’s access to the network. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-08.3_NET-08.3_A01", "name": "assessment-objective", "prose": "host containment protections exist that revoke or quarantine a host’s access to the network."}]} \N \N \N \N +SCF:NET-08.4 SCF NET-08.4 Resource Containment Automated mechanisms exist to enforce resource containment protections that remove or quarantine a resource’s access to other resources. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-08.4_NET-08.4_A01", "name": "assessment-objective", "prose": "resource containment protections exist that remove or quarantine a resource’s access to other resources."}]} \N \N \N \N +SCF:NET-09 SCF NET-09 Session Integrity Mechanisms exist to protect the authenticity and integrity of communications sessions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-09_NET-09_A01", "name": "assessment-objective", "prose": "the authenticity of communications sessions is protected."}, {"id": "NET-09_NET-09_A02", "name": "assessment-objective", "prose": "the confidentiality and/or integrity of information is/are maintained during preparation for transmission."}, {"id": "NET-09_NET-09_A03", "name": "assessment-objective", "prose": "the confidentiality and/or integrity of information is/are maintained during reception."}]} \N \N \N \N +SCF:NET-09.1 SCF NET-09.1 Invalidate Session Identifiers at Logout Automated mechanisms exist to invalidate session identifiers upon user logout or other session termination. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-09.1_NET-09.1_A01", "name": "assessment-objective", "prose": "session identifiers are invalidated upon user logout or other session termination."}]} \N \N \N \N +SCF:NET-09.2 SCF NET-09.2 Unique System-Generated Session Identifiers Automated mechanisms exist to generate and recognize unique session identifiers for each session. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-09.2_NET-09.2_A01", "name": "assessment-objective", "prose": "randomness requirements for generating a unique session identifier for each session are defined."}, {"id": "NET-09.2_NET-09.2_A02", "name": "assessment-objective", "prose": "a unique session identifier is generated for each session with organization-defined randomness requirements."}, {"id": "NET-09.2_NET-09.2_A03", "name": "assessment-objective", "prose": "only system-generated session identifiers are recognized."}]} \N \N \N \N +SCF:NET-10 SCF NET-10 Domain Name Service (DNS) Resolution Mechanisms exist to ensure Domain Name Service (DNS) resolution is designed, implemented and managed to protect the security of name / address resolution. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-10_NET-10_A01", "name": "assessment-objective", "prose": "additional data origin authentication is provided along with the authoritative name resolution data that the system returns in response to external name/address resolution queries."}, {"id": "NET-10_NET-10_A02", "name": "assessment-objective", "prose": "integrity verification artifacts are provided along with the authoritative name resolution data that the system returns in response to external name/address resolution queries."}, {"id": "NET-10_NET-10_A03", "name": "assessment-objective", "prose": "the means to indicate the security status of child zones (and if the child supports secure resolution services) is provided when operating as part of a distributed, hierarchical namespace."}, {"id": "NET-10_NET-10_A04", "name": "assessment-objective", "prose": "the means to enable verification of a chain of trust among parent and child domains when operating as part of a distributed, hierarchical namespace is provided."}]} \N \N \N \N +SCF:NET-10.1 SCF NET-10.1 Architecture & Provisioning for Name / Address Resolution Service Mechanisms exist to ensure systems that collectively provide Domain Name Service (DNS) resolution service are fault-tolerant and implement internal/external role separation. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-10.1_NET-10.1_A01", "name": "assessment-objective", "prose": "the systems that collectively provide name/address resolution services for an organization are fault-tolerant."}, {"id": "NET-10.1_NET-10.1_A02", "name": "assessment-objective", "prose": "the systems that collectively provide name/address resolution services for an organization implement internal role separation."}, {"id": "NET-10.1_NET-10.1_A03", "name": "assessment-objective", "prose": "the systems that collectively provide name/address resolution services for an organization implement external role separation."}]} \N \N \N \N +SCF:NET-10.2 SCF NET-10.2 Secure Name / Address Resolution Service (Recursive or Caching Resolver) Mechanisms exist to perform data origin authentication and data integrity verification on the Domain Name Service (DNS) resolution responses received from authoritative sources when requested by client systems. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-10.2_NET-10.2_A01", "name": "assessment-objective", "prose": "data origin authentication is requested for the name/address resolution responses that the system receives from authoritative sources."}, {"id": "NET-10.2_NET-10.2_A02", "name": "assessment-objective", "prose": "data origin authentication is performed on the name/address resolution responses that the system receives from authoritative sources."}, {"id": "NET-10.2_NET-10.2_A03", "name": "assessment-objective", "prose": "data integrity verification is requested for the name/address resolution responses that the system receives from authoritative sources."}, {"id": "NET-10.2_NET-10.2_A04", "name": "assessment-objective", "prose": "data integrity verification is performed on the name/address resolution responses that the system receives from authoritative sources."}]} \N \N \N \N +SCF:NET-10.3 SCF NET-10.3 Sender Policy Framework (SPF) Mechanisms exist to validate the legitimacy of email communications through configuring a Domain Naming Service (DNS) Sender Policy Framework (SPF) record to specify the IP addresses and/or hostnames that are authorized to send email from the specified domain. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-10.3_NET-10.3_A01", "name": "assessment-objective", "prose": "the legitimacy of email communications is validated through configuring a Domain Naming Service (DNS) Sender Policy Framework (SPF) record to specify the IP addresses and/or hostnames that are authorized to send email from the specified domain."}]} \N \N \N \N +SCF:NET-10.4 SCF NET-10.4 Domain Registrar Security Mechanisms exist to lock the domain name registrar to prevent a denial of service caused by unauthorized deletion, transfer or other unauthorized modification of a domain’s registration details. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-10.4_NET-10.4_A01", "name": "assessment-objective", "prose": "the domain name registrar is locked to prevent a denial of service caused by unauthorized deletion, transfer or other unauthorized modification of a domain’s registration details."}]} \N \N \N \N +SCF:NET-11 SCF NET-11 Out-of-Band Channels Mechanisms exist to utilize out-of-band channels for the electronic transmission of information and/or the physical shipment of system components or devices to authorized individuals. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-11_NET-11_A01", "name": "assessment-objective", "prose": "out-of-band channels to be employed for the physical delivery or electronic transmission of information, system components or devices to individuals or the system are defined."}, {"id": "NET-11_NET-11_A02", "name": "assessment-objective", "prose": "out-of-band channels are employed for the physical delivery or electronic transmission of information, system components or devices to individuals or systems."}, {"id": "NET-11_NET-11_A03", "name": "assessment-objective", "prose": "information, system components or devices to employ out-of-band-channels for physical delivery or electronic transmission are defined."}, {"id": "NET-11_NET-11_A04", "name": "assessment-objective", "prose": "individuals or systems to which physical delivery or electronic transmission of information, system components or devices is to be achieved via the employment of out-of-band channels are defined."}, {"id": "NET-11_NET-11_A05", "name": "assessment-objective", "prose": "controls to be employed to ensure that only designated individuals or systems receive specific information, system components or devices are defined."}, {"id": "NET-11_NET-11_A06", "name": "assessment-objective", "prose": "individuals or systems designated to receive specific information, system components or devices are defined."}, {"id": "NET-11_NET-11_A07", "name": "assessment-objective", "prose": "information, system components or devices that only individuals or systems are designated to receive are defined."}, {"id": "NET-11_NET-11_A08", "name": "assessment-objective", "prose": "organization-defined controls are employed to ensure that only authorized individuals or systems receive information, system components or devices."}]} \N \N \N \N +SCF:NET-12 SCF NET-12 Safeguarding Data Over Open Networks Cryptographic mechanisms exist to implement strong cryptography and security protocols to safeguard sensitive/regulated data during transmission over open, public networks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-12_NET-12_A01", "name": "assessment-objective", "prose": "approved authorizations for logical access to information and system resources are enforced in accordance with applicable access control policies."}]} \N \N \N \N +SCF:NET-18.7 SCF NET-18.7 Bandwidth Control Mechanisms exist to implement bandwidth control technologies to limit the amount of bandwidth used by categories of domains that are bandwidth-intensive. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.7_NET-18.7_A01", "name": "assessment-objective", "prose": "bandwidth-intensive Internet categories are defined."}, {"id": "NET-18.7_NET-18.7_A02", "name": "assessment-objective", "prose": "bandwidth control technologies limit the amount of bandwidth used by categories of domains that are bandwidth-intensive."}]} \N \N \N \N +SCF:NET-12.1 SCF NET-12.1 Wireless Link Protection Mechanisms exist to protect external and internal wireless links from signal parameter attacks through monitoring for unauthorized wireless connections, including scanning for unauthorized wireless access points and taking appropriate action, if an unauthorized connection is discovered. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-12.1_NET-12.1_A01", "name": "assessment-objective", "prose": "external wireless links to be protected from particular types of signal parameter attacks are defined."}, {"id": "NET-12.1_NET-12.1_A02", "name": "assessment-objective", "prose": "internal wireless links to be protected from particular types of signal parameter attacks are defined."}, {"id": "NET-12.1_NET-12.1_A03", "name": "assessment-objective", "prose": "external wireless links are protected from types of signal parameter attacks or references to sources for such attacks."}, {"id": "NET-12.1_NET-12.1_A04", "name": "assessment-objective", "prose": "internal wireless links are protected from types of signal parameter attacks or references to sources for such attacks."}, {"id": "NET-12.1_NET-12.1_A05", "name": "assessment-objective", "prose": "types of signal parameter attacks or references to sources for such attacks from which to protect external wireless links are defined."}, {"id": "NET-12.1_NET-12.1_A06", "name": "assessment-objective", "prose": "types of signal parameter attacks or references to sources for such attacks from which to protect internal wireless links are defined."}]} \N \N \N \N +SCF:NET-12.2 SCF NET-12.2 End-User Messaging Technologies Mechanisms exist to prohibit the transmission of unprotected sensitive/regulated data by end-user messaging technologies. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-12.2_NET-12.2_A01", "name": "assessment-objective", "prose": "the transmission of unprotected sensitive / regulated data by end-user messaging technologies is prohibited through administrative and/or technical means."}]} \N \N \N \N +SCF:NET-13 SCF NET-13 Electronic Messaging Mechanisms exist to protect the confidentiality, integrity and availability of electronic messaging communications. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-13_NET-13_A01", "name": "assessment-objective", "prose": "cryptographic mechanisms are implemented to protect message externals unless otherwise protected by alternative physical controls."}, {"id": "NET-13_NET-13_A02", "name": "assessment-objective", "prose": "alternative physical controls to protect message externals are defined."}, {"id": "NET-13_NET-13_A03", "name": "assessment-objective", "prose": "use of Voice over Internet Protocol (VoIP) technologies is controlled."}, {"id": "NET-13_NET-13_A04", "name": "assessment-objective", "prose": "use of Voice over Internet Protocol (VoIP) technologies is monitored."}]} \N \N \N \N +SCF:NET-14 SCF NET-14 Remote Access Mechanisms exist to define, control and review organization-approved, secure remote access methods. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14_NET-14_A01", "name": "assessment-objective", "prose": "usage restrictions are established for each type of allowable remote system access."}, {"id": "NET-14_NET-14_A02", "name": "assessment-objective", "prose": "types of allowable remote system access are defined."}, {"id": "NET-14_NET-14_A03", "name": "assessment-objective", "prose": "connection requirements are established for each type of allowable remote system access."}, {"id": "NET-14_NET-14_A04", "name": "assessment-objective", "prose": "each type of remote system access is authorized prior to establishing such connections."}, {"id": "NET-14_NET-14_A05", "name": "assessment-objective", "prose": "configuration requirements are established for each type of allowable remote system access."}, {"id": "NET-14_NET-14_A06", "name": "assessment-objective", "prose": "implementation guidance is established and documented for each type of remote access allowed."}, {"id": "NET-14_NET-14_A07", "name": "assessment-objective", "prose": "each type of remote access to the system is authorized prior to allowing such connections."}, {"id": "NET-14_NET-14_A08", "name": "assessment-objective", "prose": "information about remote access mechanisms is protected from unauthorized use and disclosure."}, {"id": "NET-14_NET-14_A09", "name": "assessment-objective", "prose": "remote access to the system is routed through authorized access control points."}, {"id": "NET-14_NET-14_A10", "name": "assessment-objective", "prose": "remote access to the system is routed through managed access control points."}, {"id": "NET-14_NET-14_A11", "name": "assessment-objective", "prose": "remote execution of privileged commands is authorized."}, {"id": "NET-14_NET-14_A12", "name": "assessment-objective", "prose": "remote access to security-relevant information is authorized."}]} \N \N \N \N +SCF:NET-14.1 SCF NET-14.1 Automated Monitoring & Control Automated mechanisms exist to monitor and control remote access sessions. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.1_NET-14.1_A01", "name": "assessment-objective", "prose": "remote access sessions are controlled."}, {"id": "NET-14.1_NET-14.1_A02", "name": "assessment-objective", "prose": "remote access sessions are permitted."}, {"id": "NET-14.1_NET-14.1_A03", "name": "assessment-objective", "prose": "the types of permitted remote access are identified."}, {"id": "NET-14.1_NET-14.1_A04", "name": "assessment-objective", "prose": "remote access sessions are monitored."}]} \N \N \N \N +SCF:NET-14.2 SCF NET-14.2 Protection of Confidentiality / Integrity Using Encryption Cryptographic mechanisms exist to protect the confidentiality and integrity of remote access sessions (e.g., VPN). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.2_NET-14.2_A01", "name": "assessment-objective", "prose": "cryptographic mechanisms to protect the confidentiality of remote access sessions are identified."}, {"id": "NET-14.2_NET-14.2_A02", "name": "assessment-objective", "prose": "cryptographic mechanisms to protect the confidentiality of remote access sessions are implemented."}]} \N \N \N \N +SCF:NET-14.3 SCF NET-14.3 Managed Access Control Points Mechanisms exist to route all remote accesses through managed network access control points (e.g., VPN concentrator). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.3_NET-14.3_A01", "name": "assessment-objective", "prose": "managed access control points are identified and implemented."}, {"id": "NET-14.3_NET-14.3_A02", "name": "assessment-objective", "prose": "remote access is routed through managed network access control points."}]} \N \N \N \N +SCF:NET-15.3 SCF NET-15.3 Restrict Configuration By Users Mechanisms exist to identify and explicitly authorize users who are allowed to independently configure wireless networking capabilities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15.3_NET-15.3_A01", "name": "assessment-objective", "prose": "users allowed to independently configure wireless networking capabilities are identified."}, {"id": "NET-15.3_NET-15.3_A02", "name": "assessment-objective", "prose": "users allowed to independently configure wireless networking capabilities are explicitly authorized."}, {"id": "NET-15.3_NET-15.3_A03", "name": "assessment-objective", "prose": "radio antennas are selected to reduce the probability that signals from wireless access points can be received outside of organization-controlled boundaries."}]} \N \N \N \N +SCF:NET-14.4 SCF NET-14.4 Remote Privileged Commands & Sensitive Data Access Mechanisms exist to restrict the execution of privileged commands and access to security-relevant information via remote access only for compelling operational needs. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.4_NET-14.4_A01", "name": "assessment-objective", "prose": "privileged commands authorized for remote execution are identified."}, {"id": "NET-14.4_NET-14.4_A02", "name": "assessment-objective", "prose": "security-relevant information authorized to be accessed remotely is identified."}, {"id": "NET-14.4_NET-14.4_A03", "name": "assessment-objective", "prose": "the execution of the identified privileged commands via remote access is authorized."}, {"id": "NET-14.4_NET-14.4_A04", "name": "assessment-objective", "prose": "access to the identified security-relevant information via remote access is authorized."}, {"id": "NET-14.4_NET-14.4_A05", "name": "assessment-objective", "prose": "the rationale for remote access is documented in the security plan for the system."}, {"id": "NET-14.4_NET-14.4_A06", "name": "assessment-objective", "prose": "remote execution of privileged commands is authorized."}, {"id": "NET-14.4_NET-14.4_A07", "name": "assessment-objective", "prose": "remote access to security-relevant information is authorized."}]} \N \N \N \N +SCF:NET-14.5 SCF NET-14.5 Work From Anywhere (WFA) - Telecommuting Security Mechanisms exist to define secure telecommuting practices and govern remote access to Technology Assets, Applications, Services and/or Data (TAASD) for remote workers. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.5_NET-14.5_A01", "name": "assessment-objective", "prose": "secure telecommuting practices are defined."}, {"id": "NET-14.5_NET-14.5_A02", "name": "assessment-objective", "prose": "technical measures govern remote access to systems and data for remote workers."}, {"id": "NET-14.5_NET-14.5_A03", "name": "assessment-objective", "prose": "administrative measures govern rules of behavior for telecommuting practices."}, {"id": "NET-14.5_NET-14.5_A04", "name": "assessment-objective", "prose": "security requirements to be employed at alternate work sites are defined."}, {"id": "NET-14.5_NET-14.5_A05", "name": "assessment-objective", "prose": "alternate work sites allowed for use by employees are determined."}, {"id": "NET-14.5_NET-14.5_A06", "name": "assessment-objective", "prose": "the following security requirements are employed at alternate work sites: ."}]} \N \N \N \N +SCF:NET-14.6 SCF NET-14.6 Third-Party Remote Access Governance Mechanisms exist to proactively control and monitor third-party accounts used to access, support, or maintain system components via remote access. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.6_NET-14.6_A01", "name": "assessment-objective", "prose": "proactively control and monitor third-party accounts used to access, support or maintain system components via remote access."}]} \N \N \N \N +SCF:NET-14.7 SCF NET-14.7 Endpoint Security Validation Automated mechanisms exist to validate the security posture of the endpoint devices (e.g., software versions, patch levels, etc.) prior to allowing devices to connect to organizational Technology Assets, Applications and/or Services (TAAS). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.7_NET-14.7_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy compliance checks are performed on constituent system components prior to the establishment of the internal connection."}]} \N \N \N \N +SCF:NET-14.8 SCF NET-14.8 Expeditious Disconnect / Disable Capability Mechanisms exist to provide the capability to expeditiously disconnect or disable a user's remote access session. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-14.8_NET-14.8_A01", "name": "assessment-objective", "prose": "the time period within which to disconnect or disable remote access to the system is defined."}, {"id": "NET-14.8_NET-14.8_A02", "name": "assessment-objective", "prose": "the capability to disconnect or disable remote access to the system within an organization-defined time period is provided."}]} \N \N \N \N +SCF:NET-15 SCF NET-15 Wireless Networking Mechanisms exist to control authorized wireless usage and monitor for unauthorized wireless access. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15_NET-15_A01", "name": "assessment-objective", "prose": "usage restrictions are established for each type of wireless access to the system."}, {"id": "NET-15_NET-15_A02", "name": "assessment-objective", "prose": "connection requirements are established for each type of wireless access to the system."}, {"id": "NET-15_NET-15_A03", "name": "assessment-objective", "prose": "wireless access points are identified."}, {"id": "NET-15_NET-15_A04", "name": "assessment-objective", "prose": "wireless access is authorized prior to allowing such connections."}, {"id": "NET-15_NET-15_A05", "name": "assessment-objective", "prose": "each type of wireless access to the system is defined."}]} \N \N \N \N +SCF:NET-15.1 SCF NET-15.1 Authentication & Encryption Mechanisms exist to secure Wi-Fi (e.g., IEEE 802.11) and prevent unauthorized access by:\r\n(1) Authenticating devices trying to connect; and \r\n(2) Encrypting transmitted data. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15.1_NET-15.1_A01", "name": "assessment-objective", "prose": "wireless access to the system is protected using authentication."}, {"id": "NET-15.1_NET-15.1_A02", "name": "assessment-objective", "prose": "wireless access to the system is protected using encryption."}, {"id": "NET-15.1_NET-15.1_A03", "name": "assessment-objective", "prose": "information is/are maintained during preparation for transmission."}, {"id": "NET-15.1_NET-15.1_A04", "name": "assessment-objective", "prose": "information is/are maintained during reception."}]} \N \N \N \N +SCF:NET-15.2 SCF NET-15.2 Disable Wireless Networking Mechanisms exist to disable unnecessary wireless networking capabilities that are internally embedded within system components prior to issuance to end users. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-15.2_NET-15.2_A01", "name": "assessment-objective", "prose": "when not intended for use, wireless networking capabilities embedded within system components are disabled prior to issuance and deployment."}]} \N \N \N \N +SCF:NET-16 SCF NET-16 Intranets Mechanisms exist to establish trust relationships with other organizations owning, operating, and/or maintaining intranet systems, allowing authorized individuals to: \r\n(1) Access the intranet from external Technology Assets, Applications and/or Services (TAAS); and\r\n(2) Process, store, and/or transmit organization-controlled information using the external TAAS. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-16_NET-16_A01", "name": "assessment-objective", "prose": "trust relationships are established with other organizations owning, operating, and/or maintaining intranet systems."}, {"id": "NET-16_NET-16_A02", "name": "assessment-objective", "prose": "trust relationships with other organizations allow authorized individuals to: \\r\\n •Access the intranet from external systems. and/or and\\r\\n •Process, store, and/or transmit organization-controlled information using the external systems."}]} \N \N \N \N +SCF:NET-17 SCF NET-17 Data Loss Prevention (DLP) Automated mechanisms exist to implement Data Loss Prevention (DLP) to protect sensitive information as it is stored, transmitted and processed. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-17_NET-17_A01", "name": "assessment-objective", "prose": "points where communications traffic is to be analyzed are defined."}, {"id": "NET-17_NET-17_A02", "name": "assessment-objective", "prose": "outbound communications traffic is analyzed at interfaces external to the system to detect covert exfiltration of information."}, {"id": "NET-17_NET-17_A03", "name": "assessment-objective", "prose": "outbound communications traffic is analyzed at interfaces internal to the system to detect covert exfiltration of information."}]} \N \N \N \N +SCF:NET-18 SCF NET-18 DNS & Content Filtering Mechanisms exist to force Internet-bound network traffic through a proxy device (e.g., Policy Enforcement Point (PEP)) for URL content filtering and DNS filtering to limit a user's ability to connect to dangerous or prohibited Internet sites. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18_NET-18_A01", "name": "assessment-objective", "prose": "Internet-bound network traffic is routed through a proxy device or service for URL content filtering and DNS filtering to limit a user's ability to connect to dangerous or prohibited Internet sites."}]} \N \N \N \N +SCF:NET-18.1 SCF NET-18.1 Route Internal Traffic to Proxy Servers Mechanisms exist to route internal communications traffic to external networks through organization-approved proxy servers at managed interfaces. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.1_NET-18.1_A01", "name": "assessment-objective", "prose": "internal communications traffic to be routed to external networks is defined."}, {"id": "NET-18.1_NET-18.1_A02", "name": "assessment-objective", "prose": "external networks to which internal communications traffic is to be routed are defined."}, {"id": "NET-18.1_NET-18.1_A03", "name": "assessment-objective", "prose": "internal communications traffic is routed to external networks through authenticated proxy servers at managed interfaces."}]} \N \N \N \N +SCF:NET-18.2 SCF NET-18.2 Visibility of Encrypted Communications Mechanisms exist to configure the proxy to make encrypted communications traffic visible to monitoring tools and mechanisms. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.2_NET-18.2_A01", "name": "assessment-objective", "prose": "encrypted communications traffic to be made visible to system monitoring tools and mechanisms is defined."}, {"id": "NET-18.2_NET-18.2_A02", "name": "assessment-objective", "prose": "system monitoring tools and mechanisms to be provided access to encrypted communications traffic are defined."}, {"id": "NET-18.2_NET-18.2_A03", "name": "assessment-objective", "prose": "provisions are made so that encrypted communications traffic is visible to system monitoring tools and mechanisms."}]} \N \N \N \N +SCF:NET-18.3 SCF NET-18.3 Route Privileged Network Access Automated mechanisms exist to route networked, privileged accesses through a dedicated, managed interface for purposes of access control and auditing. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.3_NET-18.3_A01", "name": "assessment-objective", "prose": "networked, privileged accesses are routed through a dedicated, managed interface for purposes of auditing."}, {"id": "NET-18.3_NET-18.3_A02", "name": "assessment-objective", "prose": "networked, privileged accesses are routed through a dedicated, managed interface for purposes of access control."}]} \N \N \N \N +SCF:NET-18.4 SCF NET-18.4 Protocol Compliance Enforcement Automated mechanisms exist to ensure network traffic complies with Internet Engineering Task Force (IETF) protocol specifications. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.4_NET-18.4_A01", "name": "assessment-objective", "prose": "technologies are configured block/drop network traffic that does not comply with Internet Engineering Task Force (IETF) protocol specifications."}]} \N \N \N \N +SCF:NET-18.5 SCF NET-18.5 Domain Name Verification Mechanisms exist to ensure that domain name lookups, whether for internal or external domains, are validated according to Domain Name System Security Extensions (DNSSEC). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.5_NET-18.5_A01", "name": "assessment-objective", "prose": "internal domain name lookups are validated according to Domain Name System Security Extensions (DNSSEC)."}, {"id": "NET-18.5_NET-18.5_A02", "name": "assessment-objective", "prose": "external domain name lookups are validated according to Domain Name System Security Extensions (DNSSEC)."}]} \N \N \N \N +SCF:NET-18.6 SCF NET-18.6 Internet Address Denylisting Mechanisms exist to implement Internet address denylisting protections that blocks traffic received from or destined to a denylisted Internet address. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.6_NET-18.6_A01", "name": "assessment-objective", "prose": "Internet address to be blocked are documented on a denylist."}, {"id": "NET-18.6_NET-18.6_A02", "name": "assessment-objective", "prose": "Internet address denylisting protections blocks traffic received from or destined to a denylisted Internet address."}]} \N \N \N \N +SCF:NET-18.9 SCF NET-18.9 Certificate Denylisting Mechanisms exist to prevent communication with Technology Assets, Applications and/or Services (TAAS) that use a set of known bad certificates. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-18.9_NET-18.9_A01", "name": "assessment-objective", "prose": "a set of known bad certificates is documented."}, {"id": "NET-18.9_NET-18.9_A02", "name": "assessment-objective", "prose": "communication with systems and/or services that use known bad certificates is blocked."}]} \N \N \N \N +SCF:NET-19 SCF NET-19 Content Disarm and Reconstruction (CDR) Automated Content Disarm and Reconstruction (CDR) mechanisms exist to detect the presence of unapproved active content and facilitate its removal, resulting in content with only known safe elements. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-19_NET-19_A01", "name": "assessment-objective", "prose": "Automated Content Disarm and Reconstruction (CDR) technologies are implemented."}, {"id": "NET-19_NET-19_A02", "name": "assessment-objective", "prose": "Automated Content Disarm and Reconstruction (CDR) mechanisms are configured to detect the presence of unapproved active content and facilitate its removal, resulting in content with only known safe elements."}]} \N \N \N \N +SCF:NET-20 SCF NET-20 Email Content Protections Mechanisms exist to implement an email filtering security service to detect malicious attachments in emails and prevent users from accessing them. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20_NET-20_A01", "name": "assessment-objective", "prose": "an email filtering security service is implemented."}, {"id": "NET-20_NET-20_A02", "name": "assessment-objective", "prose": "email filtering security services are configured to detect malicious attachments in emails and prevent users from accessing them."}, {"id": "NET-20_NET-20_A03", "name": "assessment-objective", "prose": "email filtering security services are configured to prevent users from accessing malicious email attachments."}]} \N \N \N \N +SCF:NET-20.1 SCF NET-20.1 Email Domain Reputation Protections Mechanisms exist to monitor the organization's email domain’s reputation and protect the email domain’s reputation. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.1_NET-20.1_A01", "name": "assessment-objective", "prose": "domains associated with domain used for email purposes are identified."}, {"id": "NET-20.1_NET-20.1_A02", "name": "assessment-objective", "prose": "processes exist to monitor the organization's email domain’s reputation."}]} \N \N \N \N +SCF:NET-20.2 SCF NET-20.2 Sender Denylisting Mechanisms exist to implement sender denylisting protections that prevent the reception of email from denylisted senders, domains and/or email servers. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.2_NET-20.2_A01", "name": "assessment-objective", "prose": "a set of denylisted senders, domains and/or email servers is documented."}, {"id": "NET-20.2_NET-20.2_A02", "name": "assessment-objective", "prose": "email systems are configured to prevent the reception of email from denylisted senders, domains and/or email servers."}]} \N \N \N \N +SCF:NET-20.3 SCF NET-20.3 Authenticated Received Chain (ARC) Mechanisms exist to utilize an authenticated received chain that allows for an intermediary to sign its own authentication of the original email, allowing downstream entities to accept the intermediary’s authentication even if the email was changed. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.3_NET-20.3_A01", "name": "assessment-objective", "prose": "email systems are configured to utilize an authenticated received chain that allows for an intermediary to sign its own authentication of the original email, allowing downstream entities to accept the intermediary’s authentication even if the email was changed."}]} \N \N \N \N +SCF:NET-20.4 SCF NET-20.4 Domain-Based Message Authentication Reporting and Conformance (DMARC) Mechanisms exist to implement domain signature verification protections that authenticate incoming email according to the Domain-based Message Authentication Reporting and Conformance (DMARC). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.4_NET-20.4_A01", "name": "assessment-objective", "prose": "domain signature verification protections are implemented to authenticate incoming email according to the Domain-based Message Authentication Reporting and Conformance (DMARC)."}]} \N \N \N \N +SCF:NET-20.5 SCF NET-20.5 User Digital Signatures for Outgoing Email Mechanisms exist to enable users to digitally sign their emails, allowing external parties to authenticate the email’s sender and its contents according to the Domain-based Message Authentication Reporting and Conformance (DMARC) email authentication protocol. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.5_NET-20.5_A01", "name": "assessment-objective", "prose": "email systems are configured to enable users to digitally sign their emails, allowing external parties to authenticate the email’s sender and its contents according to the Domain-based Message Authentication Reporting and Conformance (DMARC) email authentication protocol."}]} \N \N \N \N +SCF:NET-20.6 SCF NET-20.6 Encryption for Outgoing Email Mechanisms exist to enable the encryption of outgoing emails using organization-approved cryptographic means. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.6_NET-20.6_A01", "name": "assessment-objective", "prose": "email systems are configured to enable the encryption of outgoing emails."}]} \N \N \N \N +SCF:NET-20.7 SCF NET-20.7 Adaptive Email Protections Mechanisms exist to utilize adaptive email protections that involve employing risk-based analysis in the application and enforcement of email protections. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.7_NET-20.7_A01", "name": "assessment-objective", "prose": "email systems are configured to utilize adaptive email protections that involve employing risk-based analysis in the application and enforcement of email protections."}]} \N \N \N \N +SCF:NET-20.8 SCF NET-20.8 Email Labeling Automated mechanisms exist to implement email labeling that apply organization-defined tags to incoming or outgoing email. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.8_NET-20.8_A01", "name": "assessment-objective", "prose": "email systems are configured to implement email labeling that apply organization-defined tags to incoming email."}, {"id": "NET-20.8_NET-20.8_A02", "name": "assessment-objective", "prose": "email systems are configured to implement email labeling that apply organization-defined tags to outgoing email."}]} \N \N \N \N +SCF:NET-20.9 SCF NET-20.9 User Threat Reporting Mechanisms exist to incorporate submissions from users of phishing attempts, spam or otherwise malicious actions to better protect the organization. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Network Security", "assessment_objective": [{"id": "NET-20.9_NET-20.9_A01", "name": "assessment-objective", "prose": "methods exist to receive submissions from users of phishing attempts, spam or otherwise malicious actions."}]} \N \N \N \N +SCF:PES-01 SCF PES-01 Physical & Environmental Protections Mechanisms exist to facilitate the operation of physical and environmental protection controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-01_PES-01_A01", "name": "assessment-objective", "prose": "the physical facility where organizational systems reside is protected."}, {"id": "PES-01_PES-01_A02", "name": "assessment-objective", "prose": "the location or site of the facility where the system resides is planned considering physical and environmental hazards."}, {"id": "PES-01_PES-01_A03", "name": "assessment-objective", "prose": "for existing facilities, physical and environmental hazards are considered in the organizational risk management strategy."}, {"id": "PES-01_PES-01_A04", "name": "assessment-objective", "prose": "the support infrastructure for organizational systems is protected."}, {"id": "PES-01_PES-01_A05", "name": "assessment-objective", "prose": "the physical facility where organizational systems reside is monitored."}, {"id": "PES-01_PES-01_A06", "name": "assessment-objective", "prose": "the support infrastructure for organizational systems is monitored."}, {"id": "PES-01_PES-01_A07", "name": "assessment-objective", "prose": "physical security operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "PES-01_PES-01_A08", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support physical security operations."}, {"id": "PES-01_PES-01_A09", "name": "assessment-objective", "prose": "responsibility and authority for the performance of physical security-related activities are assigned to designated personnel."}, {"id": "PES-01_PES-01_A10", "name": "assessment-objective", "prose": "personnel performing physical security-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:PES-01.1 SCF PES-01.1 Physical Security Plan (PSP) Mechanisms exist to document a Physical Security Plan (PSP), or similar document, to summarize the implemented security controls to protect physical access to technology assets, as well as applicable risks and threats. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-01.1_PES-01.1_A01", "name": "assessment-objective", "prose": "a Site Security Plan (SitePlan) is documented for each server and communications room to summarize the implemented security controls to protect physical access to technology assets, as well as applicable risks and threats."}]} \N \N \N \N +SCF:PES-01.2 SCF PES-01.2 Zone-Based Physical Security Mechanisms exist to implement a zone-based approach to physical security. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-01.2_PES-01.2_A01", "name": "assessment-objective", "prose": "a zone-based approach to physical security is developed."}, {"id": "PES-01.2_PES-01.2_A02", "name": "assessment-objective", "prose": "a zone-based approach to physical security is implemented."}]} \N \N \N \N +SCF:PES-02 SCF PES-02 Physical Access Authorizations Physical access control mechanisms exist to maintain a current list of personnel with authorized access to organizational facilities (except for those areas within the facility officially designated as publicly accessible). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-02_PES-02_A01", "name": "assessment-objective", "prose": "authorized individuals allowed physical access are identified."}, {"id": "PES-02_PES-02_A02", "name": "assessment-objective", "prose": "physical access to operating environments is limited to authorized individuals."}, {"id": "PES-02_PES-02_A03", "name": "assessment-objective", "prose": "physical access to organizational systems is limited to authorized individuals."}, {"id": "PES-02_PES-02_A04", "name": "assessment-objective", "prose": "physical access to equipment is limited to authorized individuals."}, {"id": "PES-02_PES-02_A05", "name": "assessment-objective", "prose": "the frequency at which to review the access list detailing authorized facility access by individuals is defined."}, {"id": "PES-02_PES-02_A06", "name": "assessment-objective", "prose": "a list of individuals with authorized access to the facility where the system resides is approved."}, {"id": "PES-02_PES-02_A07", "name": "assessment-objective", "prose": "a list of individuals with authorized access to the facility where the system resides is maintained."}, {"id": "PES-02_PES-02_A08", "name": "assessment-objective", "prose": "authorization credentials are issued for facility access."}, {"id": "PES-02_PES-02_A09", "name": "assessment-objective", "prose": "the facility access list is reviewed per an organization-defined frequency."}, {"id": "PES-02_PES-02_A10", "name": "assessment-objective", "prose": "individuals from the facility access list are removed when access is no longer required."}, {"id": "PES-02_PES-02_A11", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are approved."}, {"id": "PES-02_PES-02_A12", "name": "assessment-objective", "prose": "a list of individuals with authorized access to the facility where the system resides is developed."}, {"id": "PES-02_PES-02_A13", "name": "assessment-objective", "prose": "physical access authorizations are enforced at entry and exit points to the facility where the system resides by verifying individual physical access authorizations before granting access."}, {"id": "PES-02_PES-02_A14", "name": "assessment-objective", "prose": "the facility access list is reviewed ."}]} \N \N \N \N +SCF:PES-02.1 SCF PES-02.1 Role-Based Physical Access Physical access control mechanisms exist to authorize physical access to facilities based on the position or role of the individual. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-02.1_PES-02.1_A01", "name": "assessment-objective", "prose": "physical access to the facility where the system resides is authorized based on position or role."}, {"id": "PES-02.1_PES-02.1_A02", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are defined and documented."}, {"id": "PES-02.1_PES-02.1_A03", "name": "assessment-objective", "prose": "the frequency at which to review the access list detailing authorized facility access by individuals is defined."}, {"id": "PES-02.1_PES-02.1_A04", "name": "assessment-objective", "prose": "authorization credentials for facility access are issued."}]} \N \N \N \N +SCF:PES-02.2 SCF PES-02.2 Dual Authorization for Physical Access Mechanisms exist to enforce a "two-person rule" for physical access by requiring two authorized individuals with separate access cards, keys or PINs, to access highly-sensitive areas (e.g., safe, high-security cage, etc.). 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-02.2_PES-02.2_A01", "name": "assessment-objective", "prose": "a \\"two-person rule\\" is enforced for physical access by requiring two authorized individuals with separate access cards, keys or PINs, to access highly-sensitive areas (e.g., safe, high-security cage, etc.)."}]} \N \N \N \N +SCF:PES-04.3 SCF PES-04.3 Temporary Storage Physical access control mechanisms exist to temporarily store undelivered packages or deliveries in a dedicated, secure area (e.g., security cage, secure room) that is locked, access-controlled and monitored with surveillance cameras and/or security guards. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-04.3_PES-04.3_A01", "name": "assessment-objective", "prose": "physical security personnel temporarily store undelivered packages or deliveries in a dedicated, secure area (e.g., security cage, secure room) that is locked, access-controlled and monitored with surveillance cameras and/or security guards."}]} \N \N \N \N +SCF:PES-03 SCF PES-03 Physical Access Control Physical access control mechanisms exist to enforce physical access authorizations for all physical access points (including designated entry/exit points) to facilities (excluding those areas within the facility officially designated as publicly accessible). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-03_PES-03_A01", "name": "assessment-objective", "prose": "physical access controls to control access to areas within the facility designated as publicly accessible are defined."}, {"id": "PES-03_PES-03_A02", "name": "assessment-objective", "prose": "physical access authorizations are enforced at entry and exit points to the facility where the system resides by controlling ingress and egress with physical access control systems, devices, or guards."}, {"id": "PES-03_PES-03_A03", "name": "assessment-objective", "prose": "entry and exit points to the facility in which the system resides are defined."}, {"id": "PES-03_PES-03_A04", "name": "assessment-objective", "prose": "entry or exit points for which physical access logs are maintained are defined."}, {"id": "PES-03_PES-03_A05", "name": "assessment-objective", "prose": "physical access devices are identified."}, {"id": "PES-03_PES-03_A06", "name": "assessment-objective", "prose": "physical access devices are controlled."}, {"id": "PES-03_PES-03_A07", "name": "assessment-objective", "prose": "physical access devices are managed."}, {"id": "PES-03_PES-03_A08", "name": "assessment-objective", "prose": "circumstances requiring visitor escorts and control of visitor activity are defined."}, {"id": "PES-03_PES-03_A09", "name": "assessment-objective", "prose": "physical access devices to be inventoried are defined."}, {"id": "PES-03_PES-03_A10", "name": "assessment-objective", "prose": "frequency at which to inventory physical access devices is defined."}, {"id": "PES-03_PES-03_A11", "name": "assessment-objective", "prose": "frequency at which to change combinations is defined."}, {"id": "PES-03_PES-03_A12", "name": "assessment-objective", "prose": "frequency at which to change keys is defined."}, {"id": "PES-03_PES-03_A13", "name": "assessment-objective", "prose": "physical access authorizations are enforced at entry and exit points by controlling ingress and egress to the facility."}, {"id": "PES-03_PES-03_A14", "name": "assessment-objective", "prose": "physical access event logs are maintained for entry or exit points."}, {"id": "PES-03_PES-03_A15", "name": "assessment-objective", "prose": "access to areas within the facility designated as publicly accessible are maintained by implementing physical access controls."}, {"id": "PES-03_PES-03_A16", "name": "assessment-objective", "prose": "visitors are escorted."}, {"id": "PES-03_PES-03_A17", "name": "assessment-objective", "prose": "visitor activity is controlled circumstances."}, {"id": "PES-03_PES-03_A18", "name": "assessment-objective", "prose": "physical access devices are inventoried frequently."}, {"id": "PES-03_PES-03_A19", "name": "assessment-objective", "prose": "combinations are changed frequently, when combinations are compromised or when individuals possessing the combinations are transferred or terminated."}, {"id": "PES-03_PES-03_A20", "name": "assessment-objective", "prose": "keys are changed frequency, when keys are lost or when individuals possessing the keys are transferred or terminated."}, {"id": "PES-03_PES-03_A21", "name": "assessment-objective", "prose": "the frequency at which to perform security checks at the physical perimeter of the facility or system for exfiltration of information or removal of system components is defined."}, {"id": "PES-03_PES-03_A22", "name": "assessment-objective", "prose": "security checks are performed C at the physical perimeter of the facility or system for exfiltration of information or removal of system components."}, {"id": "PES-03_PES-03_A23", "name": "assessment-objective", "prose": "physical access points to the facility where the system resides are defined."}, {"id": "PES-03_PES-03_A24", "name": "assessment-objective", "prose": "guards are employed to control physical access points to the facility where the system resides 24 hours per day, 7 days per week."}, {"id": "PES-03_PES-03_A25", "name": "assessment-objective", "prose": "physical access restrictions associated with changes to the system are enforced."}, {"id": "PES-03_PES-03_A26", "name": "assessment-objective", "prose": "keys, combinations, and other physical access devices are secured."}]} \N \N \N \N +SCF:PES-03.1 SCF PES-03.1 Controlled Ingress & Egress Points Physical access control mechanisms exist to limit and monitor physical access through controlled ingress and egress points. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-03.1_PES-03.1_A01", "name": "assessment-objective", "prose": "physical access control mechanisms limit physical access through controlled ingress and egress points."}, {"id": "PES-03.1_PES-03.1_A02", "name": "assessment-objective", "prose": "physical access control mechanisms monitor physical access through controlled ingress and egress points."}]} \N \N \N \N +SCF:PES-03.2 SCF PES-03.2 Lockable Physical Casings Physical access control mechanisms exist to protect system components from unauthorized physical access (e.g., lockable physical casings). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-03.2_PES-03.2_A01", "name": "assessment-objective", "prose": "system components to be protected from unauthorized physical access are defined."}, {"id": "PES-03.2_PES-03.2_A02", "name": "assessment-objective", "prose": "lockable physical casings are used to protect system components from unauthorized access."}]} \N \N \N \N +SCF:PES-03.3 SCF PES-03.3 Physical Access Logs Physical access control mechanisms generate a log entry for each access attempt through controlled ingress and egress points. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-03.3_PES-03.3_A01", "name": "assessment-objective", "prose": "physical access audit logs for entry or exit points are maintained."}, {"id": "PES-03.3_PES-03.3_A02", "name": "assessment-objective", "prose": "time period for which to maintain visitor access records for the facility where the system resides is defined."}, {"id": "PES-03.3_PES-03.3_A03", "name": "assessment-objective", "prose": "visitor access records for the facility where the system resides are maintained for time period."}, {"id": "PES-03.3_PES-03.3_A04", "name": "assessment-objective", "prose": "the frequency at which to review visitor access records is defined."}, {"id": "PES-03.3_PES-03.3_A05", "name": "assessment-objective", "prose": "visitor access records are reviewed frequently."}, {"id": "PES-03.3_PES-03.3_A06", "name": "assessment-objective", "prose": "personnel to whom visitor access records anomalies are reported to is/are defined."}, {"id": "PES-03.3_PES-03.3_A07", "name": "assessment-objective", "prose": "visitor access records anomalies are reported to personnel."}, {"id": "PES-03.3_PES-03.3_A08", "name": "assessment-objective", "prose": "audit logs of physical access are maintained."}]} \N \N \N \N +SCF:PES-03.4 SCF PES-03.4 Access To Critical Systems Physical access control mechanisms exist to enforce physical access to critical systems or sensitive/regulated data, in addition to the physical access controls for the facility. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-03.4_PES-03.4_A01", "name": "assessment-objective", "prose": "physical spaces are defined."}, {"id": "PES-03.4_PES-03.4_A02", "name": "assessment-objective", "prose": "physical access controls are enforced for the facility at physical spaces."}, {"id": "PES-03.4_PES-03.4_A03", "name": "assessment-objective", "prose": "physical access authorizations are enforced."}]} \N \N \N \N +SCF:PES-04 SCF PES-04 Physical Security of Offices, Rooms & Facilities Mechanisms exist to identify systems, equipment and respective operating environments that require limited physical access so that appropriate physical access controls are designed and implemented for offices, rooms and facilities. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-04_PES-04_A01", "name": "assessment-objective", "prose": "identify systems, equipment and respective operating environments that require limited physical access so that appropriate physical access controls are designed and implemented for offices, rooms and facilities."}]} \N \N \N \N +SCF:PES-04.1 SCF PES-04.1 Working in Secure Areas Physical security mechanisms exist to allow only authorized personnel access to secure areas. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-04.1_PES-04.1_A01", "name": "assessment-objective", "prose": "physical security access controls allow only authorized personnel access to secure areas."}]} \N \N \N \N +SCF:PES-04.2 SCF PES-04.2 Searches Physical access control mechanisms exist to inspect personnel and their personal effects (e.g., personal property ordinarily worn or carried by the individual, including vehicles) to prevent the unauthorized exfiltration of data and technology assets. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-04.2_PES-04.2_A01", "name": "assessment-objective", "prose": "physical security personnel inspect individuals and their personal effects (e.g., personal property ordinarily worn or carried by the individual, including vehicles) to prevent the unauthorized exfiltration of data and technology assets."}]} \N \N \N \N +SCF:PES-05 SCF PES-05 Monitoring Physical Access Physical access control mechanisms exist to monitor for, detect and respond to physical security incidents. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-05_PES-05_A01", "name": "assessment-objective", "prose": "the frequency at which to review physical access logs is defined."}, {"id": "PES-05_PES-05_A02", "name": "assessment-objective", "prose": "events or potential indications of events requiring physical access logs to be reviewed are defined."}, {"id": "PES-05_PES-05_A03", "name": "assessment-objective", "prose": "physical access to the facility where the system resides is monitored to detect physical security incidents."}, {"id": "PES-05_PES-05_A04", "name": "assessment-objective", "prose": "physical access logs are reviewed per an organization-defined frequency."}, {"id": "PES-05_PES-05_A05", "name": "assessment-objective", "prose": "physical access logs are reviewed upon occurrence of organization-defined events or potential indicators of events."}, {"id": "PES-05_PES-05_A06", "name": "assessment-objective", "prose": "results of reviews are coordinated with organizational incident response capabilities."}, {"id": "PES-05_PES-05_A07", "name": "assessment-objective", "prose": "results of investigations are coordinated with organizational incident response capabilities."}, {"id": "PES-05_PES-05_A08", "name": "assessment-objective", "prose": "physical security incidents are responded to."}, {"id": "PES-05_PES-05_A09", "name": "assessment-objective", "prose": "physical access logs are reviewed ."}, {"id": "PES-05_PES-05_A10", "name": "assessment-objective", "prose": "physical access logs are reviewed upon occurrence of ."}]} \N \N \N \N +SCF:PES-05.1 SCF PES-05.1 Intrusion Alarms / Surveillance Equipment Physical access control mechanisms exist to monitor physical intrusion alarms and surveillance equipment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-05.1_PES-05.1_A01", "name": "assessment-objective", "prose": "physical access to the facility where the system resides is monitored using physical intrusion alarms."}, {"id": "PES-05.1_PES-05.1_A02", "name": "assessment-objective", "prose": "physical access to the facility where the system resides is monitored using physical surveillance equipment."}]} \N \N \N \N +SCF:PES-05.2 SCF PES-05.2 Monitoring Physical Access To Critical Systems Facility security mechanisms exist to monitor physical access to critical systems or sensitive/regulated data, in addition to the physical access monitoring of the facility. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-05.2_PES-05.2_A01", "name": "assessment-objective", "prose": "physical spaces containing one or more components of the system are defined."}, {"id": "PES-05.2_PES-05.2_A02", "name": "assessment-objective", "prose": "physical access to the system is monitored in addition to the physical access monitoring of the facility at physical spaces."}]} \N \N \N \N +SCF:PES-06 SCF PES-06 Visitor Control Physical access control mechanisms exist to identify, authorize and monitor visitors before allowing access to the facility (other than areas designated as publicly accessible). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06_PES-06_A01", "name": "assessment-objective", "prose": "visitors are escorted."}, {"id": "PES-06_PES-06_A02", "name": "assessment-objective", "prose": "visitor activity is controlled."}]} \N \N \N \N +SCF:PES-06.1 SCF PES-06.1 Distinguish Visitors from On-Site Personnel Physical access control mechanisms exist to easily distinguish between onsite personnel and visitors, especially in areas where sensitive/regulated data is accessible. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.1_PES-06.1_A01", "name": "assessment-objective", "prose": "physical access control mechanisms distinguish between onsite personnel and visitors, especially in areas where sensitive / regulated data is accessible."}, {"id": "PES-06.1_PES-06.1_A02", "name": "assessment-objective", "prose": "visitors are escorted."}, {"id": "PES-06.1_PES-06.1_A03", "name": "assessment-objective", "prose": "visitor activity is controlled."}]} \N \N \N \N +SCF:PES-06.2 SCF PES-06.2 Identification Requirement Physical access control mechanisms exist to requires at least one(1) form of government-issued or organization-issued photo identification to authenticate individuals before they can gain access to the facility. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.2_PES-06.2_A01", "name": "assessment-objective", "prose": "a list of acceptable forms of identification for visitor access to the facility where the system resides is defined."}, {"id": "PES-06.2_PES-06.2_A02", "name": "assessment-objective", "prose": "two forms of identification are required from list of acceptable forms of identification for visitor access to the facility where the system resides."}]} \N \N \N \N +SCF:PES-06.3 SCF PES-06.3 Restrict Unescorted Access Physical access control mechanisms exist to restrict unescorted access to facilities to personnel with required security clearances, formal access authorizations and validate the need for access. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.3_PES-06.3_A01", "name": "assessment-objective", "prose": "visitor activity is controlled."}, {"id": "PES-06.3_PES-06.3_A02", "name": "assessment-objective", "prose": "unescorted access to the facility where the system resides is restricted."}, {"id": "PES-06.3_PES-06.3_A03", "name": "assessment-objective", "prose": "visitor activity is monitored."}, {"id": "PES-06.3_PES-06.3_A04", "name": "assessment-objective", "prose": "visitors are escorted."}, {"id": "PES-06.3_PES-06.3_A05", "name": "assessment-objective", "prose": "physical access authorizations for unescorted access to the facility where the system resides are defined."}]} \N \N \N \N +SCF:PES-06.4 SCF PES-06.4 Automated Records Management & Review Automated mechanisms exist to facilitate the maintenance and review of visitor access records. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.4_PES-06.4_A01", "name": "assessment-objective", "prose": "automated mechanisms used to maintain visitor access records are defined."}, {"id": "PES-06.4_PES-06.4_A02", "name": "assessment-objective", "prose": "automated mechanisms used to review visitor access records are defined."}, {"id": "PES-06.4_PES-06.4_A03", "name": "assessment-objective", "prose": "visitor access records are maintained using automated mechanisms."}, {"id": "PES-06.4_PES-06.4_A04", "name": "assessment-objective", "prose": "visitor access records are reviewed using automated mechanisms."}]} \N \N \N \N +SCF:PRI-01.7 SCF PRI-01.7 Limiting Personal Data (PD) Disclosures Mechanisms exist to limit the disclosure of Personal Data (PD) to authorized parties for the sole purpose for which the PD was obtained. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.7_PRI-01.7_A01", "name": "assessment-objective", "prose": "the disclosure of Personal Data (PD) is restricted to authorized parties for the sole purpose for which the PD was obtained."}]} \N \N \N \N +SCF:PES-06.5 SCF PES-06.5 Minimize Visitor Personal Data (PD) Mechanisms exist to minimize the collection of Personal Data (PD) contained in visitor access records. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.5_PES-06.5_A01", "name": "assessment-objective", "prose": "elements identified in the privacy risk assessment to limit Personal Data (PD) contained in visitor access logs are defined."}, {"id": "PES-06.5_PES-06.5_A02", "name": "assessment-objective", "prose": "Personal Data (PD) contained in visitor access records is limited to elements identified in the privacy risk assessment."}, {"id": "PES-06.5_PES-06.5_A03", "name": "assessment-objective", "prose": "processes that implement the privacy principle of minimization are defined."}, {"id": "PES-06.5_PES-06.5_A04", "name": "assessment-objective", "prose": "the privacy principle of minimization is implemented using organization-defined processes."}]} \N \N \N \N +SCF:PES-06.6 SCF PES-06.6 Visitor Access Revocation Mechanisms exist to ensure visitor badges, or other issued identification, are surrendered before visitors leave the facility or are deactivated at a pre-determined time/date of expiration. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-06.6_PES-06.6_A01", "name": "assessment-objective", "prose": "visitor badges, or other issued identification, are surrendered before visitors leave the facility or are deactivated at a pre-determined time/date of expiration."}]} \N \N \N \N +SCF:PES-07 SCF PES-07 Supporting Utilities Facility security mechanisms exist to protect power equipment and power cabling for the system from damage and destruction. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07_PES-07_A01", "name": "assessment-objective", "prose": "power equipment for the system is protected from damage and destruction."}, {"id": "PES-07_PES-07_A02", "name": "assessment-objective", "prose": "power cabling for the system is protected from damage and destruction."}]} \N \N \N \N +SCF:PES-07.1 SCF PES-07.1 Automatic Voltage Controls Facility security mechanisms exist to utilize automatic voltage controls for critical system components. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.1_PES-07.1_A01", "name": "assessment-objective", "prose": "the critical system components that require automatic voltage controls are defined."}, {"id": "PES-07.1_PES-07.1_A02", "name": "assessment-objective", "prose": "automatic voltage controls for critical system components are employed."}]} \N \N \N \N +SCF:PES-07.2 SCF PES-07.2 Emergency Shutoff Facility security mechanisms exist to shut off power in emergency situations by:\r\n(1) Placing emergency shutoff switches or devices in close proximity to systems or system components to facilitate safe and easy access for personnel; and\r\n(2) Protecting emergency power shutoff capability from unauthorized activation. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.2_PES-07.2_A01", "name": "assessment-objective", "prose": "system or individual system components that require the capability to shut off power in emergency situations is/are defined."}, {"id": "PES-07.2_PES-07.2_A02", "name": "assessment-objective", "prose": "location of emergency shutoff switches or devices by system or system component is defined."}, {"id": "PES-07.2_PES-07.2_A03", "name": "assessment-objective", "prose": "the capability to shut off power to system or individual system components in emergency situations is provided."}, {"id": "PES-07.2_PES-07.2_A04", "name": "assessment-objective", "prose": "emergency shutoff switches or devices are placed in location to facilitate access for authorized personnel."}, {"id": "PES-07.2_PES-07.2_A05", "name": "assessment-objective", "prose": "the emergency power shutoff capability is protected from unauthorized activation."}]} \N \N \N \N +SCF:PES-07.3 SCF PES-07.3 Emergency Power Facility security mechanisms exist to supply alternate power, capable of maintaining minimally-required operational capability, in the event of an extended loss of the primary power source. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.3_PES-07.3_A01", "name": "assessment-objective", "prose": "an uninterruptible power supply is provided to facilitate selected organization-defined values in the event of a primary power source loss."}, {"id": "PES-07.3_PES-07.3_A02", "name": "assessment-objective", "prose": "an alternate power supply provided for the system is activated upon organization-defined criteria."}, {"id": "PES-07.3_PES-07.3_A03", "name": "assessment-objective", "prose": "the alternate power supply provided for the system can maintain minimally required operational capability in the event of an extended loss of the primary power source."}]} \N \N \N \N +SCF:PES-07.4 SCF PES-07.4 Emergency Lighting Facility security mechanisms exist to utilize and maintain automatic emergency lighting that activates in the event of a power outage or disruption and that covers emergency exits and evacuation routes within the facility. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.4_PES-07.4_A01", "name": "assessment-objective", "prose": "automatic emergency lighting that activates in the event of a power outage or disruption is employed for the system."}, {"id": "PES-07.4_PES-07.4_A02", "name": "assessment-objective", "prose": "automatic emergency lighting that activates in the event of a power outage or disruption is maintained for the system."}, {"id": "PES-07.4_PES-07.4_A03", "name": "assessment-objective", "prose": "automatic emergency lighting for the system covers emergency exits within the facility."}, {"id": "PES-07.4_PES-07.4_A04", "name": "assessment-objective", "prose": "automatic emergency lighting for the system covers evacuation routes within the facility."}]} \N \N \N \N +SCF:PES-19 SCF PES-19 Physical Access Device Inventories Mechanisms exist to maintain an accurate inventory of all physical access devices (e.g., RFID cards, access fobs, door keys, etc.). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-19_PES-19_A01", "name": "assessment-objective", "prose": "the organization's physical access devices (e.g., RFID cards, access fobs and door keys) are identified."}, {"id": "PES-19_PES-19_A02", "name": "assessment-objective", "prose": "an accurate inventory of all physical access devices (e.g., RFID cards, access fobs and door keys) is established and maintained."}]} \N \N \N \N +SCF:PES-07.5 SCF PES-07.5 Water Damage Protection Facility security mechanisms exist to protect systems from damage resulting from water leakage by providing master shutoff valves that are accessible, working properly and known to key personnel. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.5_PES-07.5_A01", "name": "assessment-objective", "prose": "the system is protected from damage resulting from water leakage by providing master shutoff or isolation valves."}, {"id": "PES-07.5_PES-07.5_A02", "name": "assessment-objective", "prose": "the master shutoff or isolation valves are accessible."}, {"id": "PES-07.5_PES-07.5_A03", "name": "assessment-objective", "prose": "the master shutoff or isolation valves are working properly."}, {"id": "PES-07.5_PES-07.5_A04", "name": "assessment-objective", "prose": "the master shutoff or isolation valves are known to key personnel."}]} \N \N \N \N +SCF:PES-07.6 SCF PES-07.6 Automation Support for Water Damage Protection Facility security mechanisms exist to detect the presence of water in the vicinity of critical systems and alert facility maintenance and IT personnel. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.6_PES-07.6_A01", "name": "assessment-objective", "prose": "personnel or roles to be alerted when the presence of water is detected near the system is/are defined."}, {"id": "PES-07.6_PES-07.6_A02", "name": "assessment-objective", "prose": "automated mechanisms used to detect the presence of water near the system are defined."}, {"id": "PES-07.6_PES-07.6_A03", "name": "assessment-objective", "prose": "the presence of water near the system can be detected automatically."}, {"id": "PES-07.6_PES-07.6_A04", "name": "assessment-objective", "prose": "organization-defined personnel or roles is/are alerted using organization-defined automated mechanisms."}]} \N \N \N \N +SCF:PES-07.7 SCF PES-07.7 Redundant Cabling Mechanisms exist to employ redundant power cabling paths that are physically separated to ensure that power continues to flow in the event one of the cables is cut or otherwise damaged. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-07.7_PES-07.7_A01", "name": "assessment-objective", "prose": "distance by which redundant power cabling paths are to be physically separated is defined."}, {"id": "PES-07.7_PES-07.7_A02", "name": "assessment-objective", "prose": "redundant power cabling paths that are physically separated by organization-defined distance are employed."}]} \N \N \N \N +SCF:PES-08 SCF PES-08 Fire Protection Facility security mechanisms exist to utilize and maintain fire suppression and detection devices/systems for the system that are supported by an independent energy source. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-08_PES-08_A01", "name": "assessment-objective", "prose": "fire detection systems are employed."}, {"id": "PES-08_PES-08_A02", "name": "assessment-objective", "prose": "employed fire detection systems are supported by an independent energy source."}, {"id": "PES-08_PES-08_A03", "name": "assessment-objective", "prose": "employed fire detection systems are maintained."}, {"id": "PES-08_PES-08_A04", "name": "assessment-objective", "prose": "fire suppression systems are employed."}, {"id": "PES-08_PES-08_A05", "name": "assessment-objective", "prose": "employed fire suppression systems are supported by an independent energy source."}, {"id": "PES-08_PES-08_A06", "name": "assessment-objective", "prose": "employed fire suppression systems are maintained."}]} \N \N \N \N +SCF:PES-08.1 SCF PES-08.1 Fire Detection Devices Facility security mechanisms exist to utilize and maintain fire detection devices/systems that activate automatically and notify organizational personnel and emergency responders in the event of a fire. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-08.1_PES-08.1_A01", "name": "assessment-objective", "prose": "personnel or roles to be notified in the event of a fire is/are defined."}, {"id": "PES-08.1_PES-08.1_A02", "name": "assessment-objective", "prose": "emergency responders to be notified in the event of a fire are defined."}, {"id": "PES-08.1_PES-08.1_A03", "name": "assessment-objective", "prose": "fire detection systems that activate automatically are employed in the event of a fire."}, {"id": "PES-08.1_PES-08.1_A04", "name": "assessment-objective", "prose": "fire detection systems that notify organization-defined personnel or roles automatically are employed in the event of a fire."}, {"id": "PES-08.1_PES-08.1_A05", "name": "assessment-objective", "prose": "fire detection systems that notify organization-defined emergency responders automatically are employed in the event of a fire."}]} \N \N \N \N +SCF:PES-08.2 SCF PES-08.2 Fire Suppression Devices Facility security mechanisms exist to utilize fire suppression devices/systems that provide automatic notification of any activation to organizational personnel and emergency responders. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-08.2_PES-08.2_A01", "name": "assessment-objective", "prose": "fire suppression systems that notify organization-defined personnel or roles automatically are employed."}, {"id": "PES-08.2_PES-08.2_A02", "name": "assessment-objective", "prose": "fire suppression systems that notify organization-defined emergency responders automatically are employed."}, {"id": "PES-08.2_PES-08.2_A03", "name": "assessment-objective", "prose": "personnel or roles to be notified in the event of a fire is/are defined."}, {"id": "PES-08.2_PES-08.2_A04", "name": "assessment-objective", "prose": "emergency responders to be notified in the event of a fire are defined."}, {"id": "PES-08.2_PES-08.2_A05", "name": "assessment-objective", "prose": "fire suppression systems that activate automatically are employed."}]} \N \N \N \N +SCF:PES-08.3 SCF PES-08.3 Automatic Fire Suppression Facility security mechanisms exist to employ an automatic fire suppression capability for critical systems when the facility is not staffed on a continuous basis. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-08.3_PES-08.3_A01", "name": "assessment-objective", "prose": "an automatic fire suppression capability is employed when the facility is not staffed on a continuous basis."}]} \N \N \N \N +SCF:PES-09 SCF PES-09 Temperature & Humidity Controls Facility security mechanisms exist to maintain and monitor temperature and humidity levels within the facility. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-09_PES-09_A01", "name": "assessment-objective", "prose": "environmental control(s) for which to maintain a specified level in the facility where the system resides are defined."}, {"id": "PES-09_PES-09_A02", "name": "assessment-objective", "prose": "acceptable levels for environmental controls are defined."}, {"id": "PES-09_PES-09_A03", "name": "assessment-objective", "prose": "frequency at which to monitor environmental control levels is defined."}, {"id": "PES-09_PES-09_A04", "name": "assessment-objective", "prose": "levels are maintained at acceptable levels within the facility where the system resides."}, {"id": "PES-09_PES-09_A05", "name": "assessment-objective", "prose": "environmental control levels are monitored frequency."}]} \N \N \N \N +SCF:PES-09.1 SCF PES-09.1 Monitoring with Alarms / Notifications Facility security mechanisms exist to trigger an alarm or notification of temperature and humidity changes that be potentially harmful to personnel or equipment. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-09.1_PES-09.1_A01", "name": "assessment-objective", "prose": "personnel or roles to be notified by environmental control monitoring when environmental changes are potentially harmful to personnel or equipment is/are defined."}, {"id": "PES-09.1_PES-09.1_A02", "name": "assessment-objective", "prose": "environmental control monitoring is employed."}, {"id": "PES-09.1_PES-09.1_A03", "name": "assessment-objective", "prose": "personnel or roles are notified when changes are potentially harmful to personnel or equipment."}]} \N \N \N \N +SCF:PES-10 SCF PES-10 Delivery & Removal Physical security mechanisms exist to isolate information processing facilities from points such as delivery and loading areas and other points to avoid unauthorized access. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-10_PES-10_A01", "name": "assessment-objective", "prose": "types of system components to be authorized and controlled when entering the facility are defined."}, {"id": "PES-10_PES-10_A02", "name": "assessment-objective", "prose": "types of system components to be authorized and controlled when exiting the facility are defined."}, {"id": "PES-10_PES-10_A03", "name": "assessment-objective", "prose": "types of system components are authorized and controlled when entering the facility."}, {"id": "PES-10_PES-10_A04", "name": "assessment-objective", "prose": "types of system components are authorized and controlled when exiting the facility."}, {"id": "PES-10_PES-10_A05", "name": "assessment-objective", "prose": "records of the system components are maintained."}]} \N \N \N \N +SCF:PES-11 SCF PES-11 Alternate Work Site Physical security mechanisms exist to utilize appropriate management, operational and technical controls at alternate work sites. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-11_PES-11_A01", "name": "assessment-objective", "prose": "alternate work sites allowed for use by employees are defined."}, {"id": "PES-11_PES-11_A02", "name": "assessment-objective", "prose": "security requirements to be employed at alternate work sites are defined."}, {"id": "PES-11_PES-11_A03", "name": "assessment-objective", "prose": "alternate work sites allowed for use by employees are determined."}, {"id": "PES-11_PES-11_A04", "name": "assessment-objective", "prose": "organization-defined security requirements are employed at alternate work sites."}, {"id": "PES-11_PES-11_A05", "name": "assessment-objective", "prose": "the effectiveness of controls at alternate work sites is assessed."}, {"id": "PES-11_PES-11_A06", "name": "assessment-objective", "prose": "a means for employees to communicate with cybersecurity / data privacy personnel in case of incidents is provided."}, {"id": "PES-11_PES-11_A07", "name": "assessment-objective", "prose": "safeguarding measures for sensitive / regulated data are defined for alternate work sites."}, {"id": "PES-11_PES-11_A08", "name": "assessment-objective", "prose": "safeguarding measures for sensitive / regulated data are enforced for alternate work sites."}, {"id": "PES-11_PES-11_A09", "name": "assessment-objective", "prose": "the following security requirements are employed at alternate work sites: ."}]} \N \N \N \N +SCF:PES-12 SCF PES-12 Equipment Siting & Protection Physical security mechanisms exist to locate system components within the facility to minimize potential damage from physical and environmental hazards and to minimize the opportunity for unauthorized access. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-12_PES-12_A01", "name": "assessment-objective", "prose": "the location or site of the facility where the system resides is planned considering physical and environmental hazards."}, {"id": "PES-12_PES-12_A02", "name": "assessment-objective", "prose": "for existing facilities, physical and environmental hazards are considered in the organizational risk management strategy."}, {"id": "PES-12_PES-12_A03", "name": "assessment-objective", "prose": "physical and environmental hazards that could result in potential damage to system components within the facility are defined."}, {"id": "PES-12_PES-12_A04", "name": "assessment-objective", "prose": "system components are positioned within the facility to minimize potential damage from physical and environmental hazards and to minimize the opportunity for unauthorized access."}, {"id": "PES-12_PES-12_A05", "name": "assessment-objective", "prose": "managed interfaces to be protected against unauthorized physical connections are defined."}, {"id": "PES-12_PES-12_A06", "name": "assessment-objective", "prose": "managed interfaces are protected against unauthorized physical connections."}]} \N \N \N \N +SCF:PRI-01.6 SCF PRI-01.6 Security of Personal Data (PD) Mechanisms exist to ensure Personal Data (PD) is protected by logical and physical security safeguards that are sufficient and appropriately scoped to protect the confidentiality and integrity of the PD. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.6_PRI-01.6_A01", "name": "assessment-objective", "prose": "Personal Data (PD) is protected by security safeguards that are sufficient and appropriately scoped to protect the confidentiality and integrity of the PD."}]} \N \N \N \N +SCF:PES-12.1 SCF PES-12.1 Transmission Medium Security Physical security mechanisms exist to protect power and telecommunications cabling carrying data or supporting information services from interception, interference or damage. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-12.1_PES-12.1_A01", "name": "assessment-objective", "prose": "system distribution and transmission lines requiring physical access controls are defined."}, {"id": "PES-12.1_PES-12.1_A02", "name": "assessment-objective", "prose": "security controls to be implemented to control physical access to system distribution and transmission lines within the organizational facility are defined."}, {"id": "PES-12.1_PES-12.1_A03", "name": "assessment-objective", "prose": "physical access to system distribution and transmission lines within organizational facilities is controlled."}, {"id": "PES-12.1_PES-12.1_A04", "name": "assessment-objective", "prose": "managed interfaces to be protected against unauthorized physical connections are defined."}, {"id": "PES-12.1_PES-12.1_A05", "name": "assessment-objective", "prose": "managed interfaces are protected against unauthorized physical connections."}]} \N \N \N \N +SCF:PES-12.2 SCF PES-12.2 Access Control for Output Devices Physical security mechanisms exist to restrict access to printers and other system output devices to prevent unauthorized individuals from obtaining the output. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-12.2_PES-12.2_A01", "name": "assessment-objective", "prose": "output devices that require physical access control to output are defined."}, {"id": "PES-12.2_PES-12.2_A02", "name": "assessment-objective", "prose": "physical access to output devices is controlled to prevent unauthorized individuals from obtaining access to sensitive / regulated data."}, {"id": "PES-12.2_PES-12.2_A03", "name": "assessment-objective", "prose": "physical access to output devices is controlled to prevent unauthorized individuals from obtaining access to CUI."}]} \N \N \N \N +SCF:PES-13 SCF PES-13 Information Leakage Due To Electromagnetic Signals Emanations Facility security mechanisms exist to protect the system from information leakage due to electromagnetic signals emanations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-13_PES-13_A01", "name": "assessment-objective", "prose": "the system is protected from information leakage due to electromagnetic signal emanations."}]} \N \N \N \N +SCF:PES-14 SCF PES-14 Asset Monitoring and Tracking Physical security mechanisms exist to employ asset location technologies that track and monitor the location and movement of organization-defined assets within organization-defined controlled areas. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-14_PES-14_A01", "name": "assessment-objective", "prose": "asset location technologies to be employed to track and monitor the location and movement of assets is defined."}, {"id": "PES-14_PES-14_A02", "name": "assessment-objective", "prose": "assets whose location and movement are to be tracked and monitored are defined."}, {"id": "PES-14_PES-14_A03", "name": "assessment-objective", "prose": "controlled areas within which asset location and movement are to be tracked and monitored are defined."}, {"id": "PES-14_PES-14_A04", "name": "assessment-objective", "prose": "asset location technologies are employed to track and monitor the location and movement of assets within controlled areas."}]} \N \N \N \N +SCF:PES-15 SCF PES-15 Electromagnetic Pulse (EMP) Protection Physical security mechanisms exist to employ safeguards against Electromagnetic Pulse (EMP) damage for systems and system components. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-15_PES-15_A01", "name": "assessment-objective", "prose": "protective measures to be employed against electromagnetic pulse damage are defined."}, {"id": "PES-15_PES-15_A02", "name": "assessment-objective", "prose": "system and system components requiring protection against electromagnetic pulse damage are defined."}, {"id": "PES-15_PES-15_A03", "name": "assessment-objective", "prose": "protective measures are employed against electromagnetic pulse damage for system and system components."}]} \N \N \N \N +SCF:PES-16 SCF PES-16 Component Marking Physical security mechanisms exist to mark system hardware components indicating the impact or classification level of the information permitted to be processed, stored or transmitted by the hardware component. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-16_PES-16_A01", "name": "assessment-objective", "prose": "system hardware components to be marked indicating the impact level or classification level of the information permitted to be processed, stored or transmitted by the hardware component are defined."}, {"id": "PES-16_PES-16_A02", "name": "assessment-objective", "prose": "system hardware components are marked indicating the impact level or classification level of the information permitted to be processed, stored or transmitted by the hardware component."}]} \N \N \N \N +SCF:PES-17 SCF PES-17 Proximity Sensor Automated mechanisms exist to monitor physical proximity to robotic or autonomous platforms to reduce applied force or stop the operation when sensors indicate a potentially dangerous scenario. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-17_PES-17_A01", "name": "assessment-objective", "prose": "physical proximity to robotic or autonomous platforms is monitored to reduce applied force or stop the operation when sensors indicate a potentially dangerous scenario."}]} \N \N \N \N +SCF:PES-18 SCF PES-18 On-Site Client Segregation Mechanisms exist to ensure client-specific sensitive/regulated data is isolated from other data when client-specific sensitive/regulated data is processed or stored within multi-client workspaces. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Physical & Environmental Security", "assessment_objective": [{"id": "PES-18_PES-18_A01", "name": "assessment-objective", "prose": "client-specific Intellectual Property (IP) is isolated from other data when client-specific IP is processed or stored within multi-client workspaces."}]} \N \N \N \N +SCF:PRI-01 SCF PRI-01 Data Privacy Program Mechanisms exist to facilitate the implementation and operation of data protection controls throughout the data lifecycle to ensure all forms of Personal Data (PD) are processed lawfully, fairly and transparently. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01_PRI-01_A01", "name": "assessment-objective", "prose": "an organization-wide privacy program plan that provides an overview of the agency’s privacy program is developed."}, {"id": "PRI-01_PRI-01_A02", "name": "assessment-objective", "prose": "the privacy program plan includes a description of the structure of the privacy program."}, {"id": "PRI-01_PRI-01_A03", "name": "assessment-objective", "prose": "the privacy program plan includes a description of the resources dedicated to the privacy program."}, {"id": "PRI-01_PRI-01_A04", "name": "assessment-objective", "prose": "the privacy program plan provides an overview of the requirements for the privacy program."}, {"id": "PRI-01_PRI-01_A05", "name": "assessment-objective", "prose": "the privacy program plan provides a description of the privacy program management controls in place or planned for meeting the requirements of the privacy program."}, {"id": "PRI-01_PRI-01_A06", "name": "assessment-objective", "prose": "the privacy program plan provides a description of common controls in place or planned for meeting the requirements of the privacy program."}, {"id": "PRI-01_PRI-01_A07", "name": "assessment-objective", "prose": "the privacy program plan includes the role of the senior organization official for privacy."}, {"id": "PRI-01_PRI-01_A08", "name": "assessment-objective", "prose": "the privacy program plan includes the identification and assignment of the roles of other privacy officials and staff and their responsibilities."}, {"id": "PRI-01_PRI-01_A09", "name": "assessment-objective", "prose": "the privacy program plan describes management commitment."}, {"id": "PRI-01_PRI-01_A10", "name": "assessment-objective", "prose": "the privacy program plan describes compliance."}, {"id": "PRI-01_PRI-01_A11", "name": "assessment-objective", "prose": "the privacy program plan describes the strategic goals and objectives of the privacy program."}, {"id": "PRI-01_PRI-01_A12", "name": "assessment-objective", "prose": "the privacy program plan reflects coordination among organizational entities responsible for the different aspects of privacy."}, {"id": "PRI-01_PRI-01_A13", "name": "assessment-objective", "prose": "the privacy program plan is approved by a senior official with responsibility and accountability for the privacy risk being incurred by organizational operations (including, mission, functions, image and reputation), organizational assets, individuals, other organizations and the Nation."}, {"id": "PRI-01_PRI-01_A14", "name": "assessment-objective", "prose": "the privacy program plan is disseminated."}, {"id": "PRI-01_PRI-01_A15", "name": "assessment-objective", "prose": "the frequency of updates to the privacy program plan is defined."}, {"id": "PRI-01_PRI-01_A16", "name": "assessment-objective", "prose": "the privacy program plan is updated per an organization-defined frequency."}, {"id": "PRI-01_PRI-01_A17", "name": "assessment-objective", "prose": "the privacy program plan is updated to address changes in federal privacy laws and policies."}, {"id": "PRI-01_PRI-01_A18", "name": "assessment-objective", "prose": "the privacy program plan is updated to address organizational changes."}, {"id": "PRI-01_PRI-01_A19", "name": "assessment-objective", "prose": "the privacy program plan is updated to address problems identified during plan implementation or privacy control assessments."}, {"id": "PRI-01_PRI-01_A20", "name": "assessment-objective", "prose": "data privacy operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "PRI-01_PRI-01_A21", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support data privacy operations."}, {"id": "PRI-01_PRI-01_A22", "name": "assessment-objective", "prose": "responsibility and authority for the performance of data privacy-related activities are assigned to designated personnel."}, {"id": "PRI-01_PRI-01_A23", "name": "assessment-objective", "prose": "personnel performing data privacy-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:PRI-01.1 SCF PRI-01.1 Chief Privacy Officer (CPO) Mechanisms exist to appoints a Chief Privacy Officer (CPO) or similar role, with the authority, mission, accountability and resources to coordinate, develop and implement, applicable data privacy requirements and manage data privacy risks through the organization-wide data privacy program. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.1_PRI-01.1_A01", "name": "assessment-objective", "prose": "a senior organization official for privacy with authority, mission, accountability and resources is appointed."}, {"id": "PRI-01.1_PRI-01.1_A02", "name": "assessment-objective", "prose": "the senior organization official for privacy coordinates applicable privacy requirements."}, {"id": "PRI-01.1_PRI-01.1_A03", "name": "assessment-objective", "prose": "the senior organization official for privacy develops applicable privacy requirements."}, {"id": "PRI-01.1_PRI-01.1_A04", "name": "assessment-objective", "prose": "the senior organization official for privacy implements applicable privacy requirements."}, {"id": "PRI-01.1_PRI-01.1_A05", "name": "assessment-objective", "prose": "the senior organization official for privacy manages privacy risks through the organization-wide privacy program."}]} \N \N \N \N +SCF:PRI-01.2 SCF PRI-01.2 Privacy Act Statements Mechanisms exist to provide additional formal notice to individuals from whom the information is being collected that includes:\r\n(1) Notice of the authority of organizations to collect Personal Data (PD); \r\n(2) Whether providing PD is mandatory or optional; \r\n(3) The principal purpose or purposes for which the PD is to be used; \r\n(4) The intended disclosures or routine uses of the information; and \r\n(5) The consequences of not providing all or some portion of the information requested. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.2_PRI-01.2_A01", "name": "assessment-objective", "prose": "Privacy Act statements are included on forms that collect information that will be maintained in a Privacy Act system of records or Privacy Act statements are provided on separate forms that can be retained by individuals."}]} \N \N \N \N +SCF:PRI-01.3 SCF PRI-01.3 Dissemination of Data Privacy Program Information Mechanisms exist to: \r\n(1) Ensure that the public has access to information about organizational data privacy activities and can communicate with its Chief Privacy Officer (CPO) or similar role;\r\n(2) Ensure that organizational data privacy practices are publicly available through organizational websites or document repositories; \r\n(3) Utilize publicly facing email addresses and/or phone lines to enable the public to provide feedback and/or direct questions to data privacy office(s) regarding data privacy practices; and\r\n(4) Inform data subjects when changes are made to the privacy notice and the nature of such changes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.3_PRI-01.3_A01", "name": "assessment-objective", "prose": "a central resource webpage is maintained on the organization's principal public website."}, {"id": "PRI-01.3_PRI-01.3_A02", "name": "assessment-objective", "prose": "the webpage serves as a central source of information about the organization's privacy program."}, {"id": "PRI-01.3_PRI-01.3_A03", "name": "assessment-objective", "prose": "the webpage ensures that the public has access to information about organizational privacy activities."}, {"id": "PRI-01.3_PRI-01.3_A04", "name": "assessment-objective", "prose": "the webpage ensures that the public can communicate with its senior organization official for privacy."}, {"id": "PRI-01.3_PRI-01.3_A05", "name": "assessment-objective", "prose": "the webpage ensures that organizational privacy practices are publicly available."}, {"id": "PRI-01.3_PRI-01.3_A06", "name": "assessment-objective", "prose": "the webpage ensures that organizational privacy reports are publicly available."}, {"id": "PRI-01.3_PRI-01.3_A07", "name": "assessment-objective", "prose": "the webpage employs publicly facing email addresses and/or phone numbers to enable the public to provide feedback and/or direct questions to privacy offices regarding privacy practices."}]} \N \N \N \N +SCF:PRI-01.4 SCF PRI-01.4 Data Protection Officer (DPO) Mechanisms exist to appoint a Data Protection Officer (DPO):\r\n(1) Based on professional qualifications; and\r\n(2) To be involved in all issues related to how Personal Data (PD) is collected, received, processed, stored, transmitted, shared, updated and/or disposed. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.4_PRI-01.4_A01", "name": "assessment-objective", "prose": "a Data Protection Officer (DPO) is appointed based on the basis of professional qualities."}, {"id": "PRI-01.4_PRI-01.4_A02", "name": "assessment-objective", "prose": "the role of the Data Protection Officer (DPO) is involved in all issues related to the protection of Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-01.5 SCF PRI-01.5 Binding Corporate Rules (BCR) Mechanisms exist to implement and manage Binding Corporate Rules (BCR) (e.g., data sharing agreement) to legally-bind all parties engaged in a joint economic activity that contractually states enforceable rights on data subjects with regard to the processing of their personal data. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.5_PRI-01.5_A01", "name": "assessment-objective", "prose": "Binding Corporate Rules (BCR) are used to legally-bind all parties engaged in a joint economic activity that contractually states enforceable rights on data subjects with regard to the processing of their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-01.8 SCF PRI-01.8 Data Fiduciary Mechanisms exist to appoint an individual to determine the following criteria about Personal Data (PD):\r\n(1) The purpose why PD is necessary; \r\n(2) Authorized methods to collect, receive, process, store, transmit, share, update and/or dispose PD; and\r\n(3) Authorized parties PD may be shared with. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.8_PRI-01.8_A01", "name": "assessment-objective", "prose": "an individual, or role, is appointed to determine along the purpose and means of processing of Personal Data (PD)."}, {"id": "PRI-01.8_PRI-01.8_A02", "name": "assessment-objective", "prose": "the purpose and means of processing of Personal Data (PD) is documented."}]} \N \N \N \N +SCF:PRI-01.9 SCF PRI-01.9 Personal Data (PD) Process Manager Mechanisms exist to assign accountability to a Personal Data Process Manager, or equivalent role, to ensure Personal Data (PD) is collected, received, processed, stored, transmitted, shared, updated and/or disposed of according to data subject consent. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.9_PRI-01.9_A01", "name": "assessment-objective", "prose": "the role and responsibilities associated with a Personal Data Process Manager are defined."}, {"id": "PRI-01.9_PRI-01.9_A02", "name": "assessment-objective", "prose": "accountability is assigned to the Personal Data Process Manager to ensure data is used according to the Data Subject's consent."}]} \N \N \N \N +SCF:PRI-01.10 SCF PRI-01.10 Financial Incentives For Personal Data (PD) Mechanisms exist to strictly govern financial incentives offered to data subjects for Personal Data (PD) to ensure compliance with applicable legal and regulatory requirements. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.10_PRI-01.10_A01", "name": "assessment-objective", "prose": "any financial incentives offered to data subjects for Personal Data (PD) are reviewed by a Data Protection Officer (DPO), or similar role, to ensure compliance with applicable legal and regulatory requirements."}]} \N \N \N \N +SCF:PRI-01.11 SCF PRI-01.11 Reasonable Data Privacy Practices Mechanisms exist to limit the collection, receiving, processing, storage, transmission, sharing, updating and/or disposal of Personal Data (PD) according to reasonable consumer expectations for what is necessary and proportionate. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-01.11_PRI-01.11_A01", "name": "assessment-objective", "prose": "reasonable consumer expectations are defined for what is necessary and proportionate for collecting, receiving, processing, storage, transmission, sharing, updating and/or disposal of Personal Data (PD)."}, {"id": "PRI-01.11_PRI-01.11_A02", "name": "assessment-objective", "prose": "organization-specific practices are defined to limit the collection, receiving, processing, storage, transmission, sharing, updating and/or disposal of Personal Data (PD) according to reasonable consumer expectations for what is necessary and proportionate."}, {"id": "PRI-01.11_PRI-01.11_A03", "name": "assessment-objective", "prose": "the collection, receiving, processing, storage, transmission, sharing, updating and/or disposal of Personal Data (PD) is limited to reasonable consumer expectations for what is necessary and proportionate."}]} \N \N \N \N +SCF:PRI-02 SCF PRI-02 Data Privacy Notice Mechanisms exist to:\r\n(1) Make data privacy notice(s) available to individuals upon first interacting with an organization and subsequently as necessary; \r\n(2) Ensure that data privacy notices are clear and easy-to-understand, expressing relevant information about how Personal Data (PD) is collected, received, processed, stored, transmitted, shared, updated and/or disposed;\r\n(3) Contain all necessary notice-related criteria required by applicable statutory, regulatory and contractual obligations;\r\n(4) Define the scope of PD processing activities, including the geographic locations and third-party recipients that process the PD within the scope of the data privacy notice;\r\n(5) Periodically, review and update the content of the privacy notice, as necessary; and\r\n(6) Retain prior versions of the privacy notice, in accordance with data retention requirements. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02_PRI-02_A01", "name": "assessment-objective", "prose": "privacy notice(s) are developed and posted on all external-facing websites."}, {"id": "PRI-02_PRI-02_A02", "name": "assessment-objective", "prose": "privacy notice(s) are developed and posted on all mobile applications."}, {"id": "PRI-02_PRI-02_A03", "name": "assessment-objective", "prose": "privacy notice(s) are developed and posted on all other digital services."}, {"id": "PRI-02_PRI-02_A04", "name": "assessment-objective", "prose": "the privacy notice(s) are written in plain language."}, {"id": "PRI-02_PRI-02_A05", "name": "assessment-objective", "prose": "the privacy notice(s) are organized in a way that is easy to understand and navigate."}, {"id": "PRI-02_PRI-02_A06", "name": "assessment-objective", "prose": "the privacy notice(s) provide the information needed by the public to make an informed decision about whether to interact with the organization."}, {"id": "PRI-02_PRI-02_A07", "name": "assessment-objective", "prose": "the privacy notice(s) provide the information needed by the public to make an informed decision about how to interact with the organization."}, {"id": "PRI-02_PRI-02_A08", "name": "assessment-objective", "prose": "the privacy notice(s) are updated whenever the organization makes a substantive change to the practices it describes."}, {"id": "PRI-02_PRI-02_A09", "name": "assessment-objective", "prose": "the privacy notice(s) include a time/date stamp to inform the public of the date of the most recent changes."}, {"id": "PRI-02_PRI-02_A10", "name": "assessment-objective", "prose": "the frequency at which a notice is provided to individuals after initial interaction with an organization is defined."}, {"id": "PRI-02_PRI-02_A11", "name": "assessment-objective", "prose": "information to be included with the notice about the processing of Personal Data (PD) is defined."}, {"id": "PRI-02_PRI-02_A12", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) is provided such that the notice is available to individuals upon first interacting with an organization."}, {"id": "PRI-02_PRI-02_A13", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) is provided such that the notice is subsequently available to individuals frequency."}, {"id": "PRI-02_PRI-02_A14", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) is provided that is clear, easy-to-understand and expresses information about Personal Data (PD) processing in plain language."}, {"id": "PRI-02_PRI-02_A15", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) that identifies the authority that authorizes the processing of Personal Data (PD) is provided."}, {"id": "PRI-02_PRI-02_A16", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) that identifies the purpose for which Personal Data (PD) is to be processed is provided."}, {"id": "PRI-02_PRI-02_A17", "name": "assessment-objective", "prose": "a notice to individuals about the processing of Personal Data (PD) which includes information is provided."}]} \N \N \N \N +SCF:PRI-02.1 SCF PRI-02.1 Purpose Specification Mechanisms exist to ensure data privacy notices identify the purpose(s) for which Personal Data (PD) is collected, received, processed, stored, transmitted and/or shared. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.1_PRI-02.1_A01", "name": "assessment-objective", "prose": "the purpose(s) for processing Personal Data (PD) is/are defined."}, {"id": "PRI-02.1_PRI-02.1_A02", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) to be restricted is defined."}, {"id": "PRI-02.1_PRI-02.1_A03", "name": "assessment-objective", "prose": "mechanisms to be implemented for ensuring any changes in the processing of Personal Data (PD) are made in accordance with requirements are defined."}, {"id": "PRI-02.1_PRI-02.1_A04", "name": "assessment-objective", "prose": "requirements for changing the processing of Personal Data (PD) are defined."}, {"id": "PRI-02.1_PRI-02.1_A05", "name": "assessment-objective", "prose": "the purpose(s) for processing Personal Data (PD) is/are identified and documented."}, {"id": "PRI-02.1_PRI-02.1_A06", "name": "assessment-objective", "prose": "the purpose(s) is/are described in the public privacy notices of the organization."}, {"id": "PRI-02.1_PRI-02.1_A07", "name": "assessment-objective", "prose": "the purpose(s) is/are described in the policies of the organization."}, {"id": "PRI-02.1_PRI-02.1_A08", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) is restricted to only that which is compatible with the identified purpose(s)."}, {"id": "PRI-02.1_PRI-02.1_A09", "name": "assessment-objective", "prose": "changes in the processing of Personal Data (PD) are monitored."}, {"id": "PRI-02.1_PRI-02.1_A10", "name": "assessment-objective", "prose": "mechanisms are implemented to ensure that any changes are made in accordance with requirements."}]} \N \N \N \N +SCF:PRI-02.2 SCF PRI-02.2 Automated Data Management Processes Automated mechanisms exist to adjust data that is able to be collected, received, processed, stored, transmitted, shared, updated and/or disposed, based on updated data subject authorization(s). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.2_PRI-02.2_A01", "name": "assessment-objective", "prose": "automated mechanisms used to manage enforcement of the authorized processing of Personal Data (PD) are defined."}, {"id": "PRI-02.2_PRI-02.2_A02", "name": "assessment-objective", "prose": "enforcement of the authorized processing of Personal Data (PD) is managed using automated mechanisms."}]} \N \N \N \N +SCF:PRI-02.3 SCF PRI-02.3 Computer Matching Agreements (CMA) Mechanisms exist to publish Computer Matching Agreements (CMA) on the organization's public website(s). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.3_PRI-02.3_A01", "name": "assessment-objective", "prose": "approval to conduct the matching program is obtained from the data integrity board/function when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A02", "name": "assessment-objective", "prose": "a computer matching agreement is developed when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A03", "name": "assessment-objective", "prose": "a computer matching agreement is entered into when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A04", "name": "assessment-objective", "prose": "a matching notice is published in the Federal Register when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A05", "name": "assessment-objective", "prose": "the information produced by the matching program is independently verified before taking adverse action against an individual, if required, when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A06", "name": "assessment-objective", "prose": "individuals are provided with notice when a system or organization processes information for the purpose of conducting a matching program."}, {"id": "PRI-02.3_PRI-02.3_A07", "name": "assessment-objective", "prose": "individuals are provided with an opportunity to contest the findings before adverse action is taken against them when a system or organization processes information for the purpose of conducting a matching program."}]} \N \N \N \N +SCF:PRI-02.4 SCF PRI-02.4 System of Records Notice (SORN) Mechanisms exist to draft, publish and keep System of Records Notices (SORN) updated in accordance with regulatory guidance. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.4_PRI-02.4_A01", "name": "assessment-objective", "prose": "System of Records Notices (SORNs) are drafted in accordance with OMB guidance for systems that process information that will be maintained in a Privacy Act system of records."}, {"id": "PRI-02.4_PRI-02.4_A02", "name": "assessment-objective", "prose": "new and significantly modified system of records notices are submitted to the OMB and appropriate congressional committees for advance review for systems that process information that will be maintained in a Privacy Act system of records."}, {"id": "PRI-02.4_PRI-02.4_A03", "name": "assessment-objective", "prose": "System of Records Notices (SORNs) are published in the Federal Register for systems that process information that will be maintained in a Privacy Act system of records."}, {"id": "PRI-02.4_PRI-02.4_A04", "name": "assessment-objective", "prose": "System of Records Notices (SORNs) are kept accurate, up-to-date and scoped in accordance with policy for systems that process information that will be maintained in a Privacy Act system of records."}]} \N \N \N \N +SCF:PRI-02.5 SCF PRI-02.5 System of Records Notice (SORN) Review Process Mechanisms exist to review all routine uses of data published in the System of Records Notices (SORN) to ensure continued accuracy and to ensure that routine uses continue to be compatible with the purpose for which the information was collected. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.5_PRI-02.5_A01", "name": "assessment-objective", "prose": "the frequency at which to review all routine uses published in the System of Records Notice (SORN) is defined."}, {"id": "PRI-02.5_PRI-02.5_A02", "name": "assessment-objective", "prose": "all routine uses published in the system of records notice are reviewed frequently to ensure continued accuracy and to ensure that routine uses continue to be compatible with the purpose for which the information was collected."}]} \N \N \N \N +SCF:PRI-02.6 SCF PRI-02.6 Privacy Act Exemptions Mechanisms exist to review all Privacy Act exemptions claimed for the System of Records Notices (SORN) to ensure they remain appropriate and accurate. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.6_PRI-02.6_A01", "name": "assessment-objective", "prose": "the frequency at which to review all Privacy Act exemptions claimed for the system of records is defined."}, {"id": "PRI-02.6_PRI-02.6_A02", "name": "assessment-objective", "prose": "all Privacy Act exemptions claimed for the system of records are reviewed frequently to ensure that they remain appropriate and necessary in accordance with law."}, {"id": "PRI-02.6_PRI-02.6_A03", "name": "assessment-objective", "prose": "all Privacy Act exemptions claimed for the system of records are reviewed frequently to ensure that they have been promulgated as regulations."}, {"id": "PRI-02.6_PRI-02.6_A04", "name": "assessment-objective", "prose": "all Privacy Act exemptions claimed for the system of records are reviewed frequently to ensure that they are accurately described in the system of records notice."}]} \N \N \N \N +SCF:PRI-02.7 SCF PRI-02.7 Real-Time or Layered Notice Mechanisms exist to provide real-time and/or layered notice when Personal Data (PD) is collected that provides data subjects with a summary of key points or more detailed information that is specific to the organization's data privacy notice. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.7_PRI-02.7_A01", "name": "assessment-objective", "prose": "real-time and/or layered notices are generated to provide data subjects with a summary of key points or more detailed information that is specific to the organization's privacy notice."}]} \N \N \N \N +SCF:PRI-02.8 SCF PRI-02.8 Purpose Compatibility Mechanisms exist to periodically assess disclosed purposes for which Personal Data (PD) is collected, received, processed, stored, transmitted and/or shared to ensure compatibility with reasonable consumer expectations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.8_PRI-02.8_A01", "name": "assessment-objective", "prose": "the cadence to periodically assess disclosed purposes for which Personal Data (PD) is collected, received, processed, stored, transmitted and/or shared is defined."}, {"id": "PRI-02.8_PRI-02.8_A02", "name": "assessment-objective", "prose": "reasonable consumer expectations for disclosed purposes for which Personal Data (PD) is collected, received, processed, stored, transmitted and/or shared is identified."}, {"id": "PRI-02.8_PRI-02.8_A03", "name": "assessment-objective", "prose": "disclosed purposes for which Personal Data (PD) is collected, received, processed, stored, transmitted and/or shared are periodically assessed to ensure compatibility with reasonable consumer expectations."}]} \N \N \N \N +SCF:PRI-02.9 SCF PRI-02.9 Privacy Notice Formatting Mechanisms exist to reasonably accommodate data privacy notice formatting for consumers requiring alternative formatting due to accessibility needs through:\r\n(1) Screen resolution / screen sizes;\r\n(2) Multilingual support; and/or\r\n(3) Disability-specific concessions. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.9_PRI-02.9_A01", "name": "assessment-objective", "prose": "reasonable methods to accommodate data privacy notice formatting for consumers requiring alternative formatting due to accessibility needs are defined."}, {"id": "PRI-02.9_PRI-02.9_A02", "name": "assessment-objective", "prose": "reasonable methods to accommodate data privacy notice formatting for consumers requiring alternative formatting due to accessibility needs are implemented."}]} \N \N \N \N +SCF:PRI-02.10 SCF PRI-02.10 Symmetry In Choice Mechanisms exist to ensure symmetry in choice, where options presented to consumers for more protective options are not longer, more difficult, nor more time-consuming than less protective options. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.10_PRI-02.10_A01", "name": "assessment-objective", "prose": "methods to implement symmetry in choice are identified, where options presented to consumers for more protective options are not longer, more difficult, nor more time-consuming than less protective options."}, {"id": "PRI-02.10_PRI-02.10_A02", "name": "assessment-objective", "prose": "symmetry in choice are implemented."}]} \N \N \N \N +SCF:PRI-02.11 SCF PRI-02.11 Choice Architecture Mechanisms exist to avoid choice architecture that impairs, interferes with or subverts a consumer’s ability to make well-informed choices. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.11_PRI-02.11_A01", "name": "assessment-objective", "prose": "choice architecture that enables data subjects to make well-informed choices is defined."}, {"id": "PRI-02.11_PRI-02.11_A02", "name": "assessment-objective", "prose": "choice architecture that supports data subjects' ability to make well-informed choices is implemented."}]} \N \N \N \N +SCF:PRI-02.12 SCF PRI-02.12 Choice Architecture Testing Mechanisms exist to perform testing of choice architecture to ensure it does not undermine a consumer’s ability to submit choice selections. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.12_PRI-02.12_A01", "name": "assessment-objective", "prose": "methods to perform testing of choice architecture to ensure it does not undermine a consumer’s ability to submit choice selections are defined."}, {"id": "PRI-02.12_PRI-02.12_A02", "name": "assessment-objective", "prose": "testing of choice architecture is performed to ensure it does not undermine a consumer’s ability to submit choice selections."}]} \N \N \N \N +SCF:PRI-02.13 SCF PRI-02.13 Notice of Right To Limit Mechanisms exist to include within the data privacy notice a notification to data subjects of:\r\n(1) Their right to limit the use and disclosure of their sensitive Personal Data (sPD); and\r\n(2) The methods available to exercise that right. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.13_PRI-02.13_A01", "name": "assessment-objective", "prose": "data privacy notices alert data subjects to their right to limit the use and disclosure of their sensitive Personal Data (sPD)."}, {"id": "PRI-02.13_PRI-02.13_A02", "name": "assessment-objective", "prose": "data privacy notices alert data subjects to methods available to exercise that right to limit the use and disclosure of their sensitive Personal Data (sPD)."}]} \N \N \N \N +SCF:PRI-02.14 SCF PRI-02.14 Alternative Means To Deliver Privacy Notice Mechanisms exist to provide data subjects with a data privacy notice through alternative means for interactions that do not utilize an interface on a website or application. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-02.14_PRI-02.14_A01", "name": "assessment-objective", "prose": "alternative methods to deliver a data privacy notice are defined."}, {"id": "PRI-02.14_PRI-02.14_A02", "name": "assessment-objective", "prose": "alternative methods to deliver a data privacy notice are implemented."}, {"id": "PRI-02.14_PRI-02.14_A03", "name": "assessment-objective", "prose": "data subjects are provided with a data privacy notice through alternative means for interactions that do not utilize an interface on a website or application."}]} \N \N \N \N +SCF:PRI-03 SCF PRI-03 Choice & Consent Mechanisms exist to enable data subjects to authorize the collection, receiving, processing, storage, transmission, sharing, updating and/or disposal of their Personal Data (PD), where prior to collection the data subject is provided with:\r\n(1) Plain language to illustrate the potential data privacy risks of the authorization; \r\n(2) A means for users to decline the authorization; and\r\n(3) All necessary choice and consent-related criteria required by applicable statutory, regulatory and contractual obligations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03_PRI-03_A01", "name": "assessment-objective", "prose": "the tools or mechanisms to be implemented for individuals to consent to the processing of their Personal Data (PD) are defined."}, {"id": "PRI-03_PRI-03_A02", "name": "assessment-objective", "prose": "tools or mechanisms are implemented for individuals to consent to the processing of their Personal Data (PD) prior to its collection that facilitates individuals’ informed decision-making."}]} \N \N \N \N +SCF:PRI-03.1 SCF PRI-03.1 Tailored Consent Mechanisms exist to allow data subjects to modify permission to collect, receive, process, store, transmit, share, update and/or dispose selected attributes of their Personal Data (PD). 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.1_PRI-03.1_A01", "name": "assessment-objective", "prose": "tailoring mechanisms for processing selected elements of Personal Data (PD) permissions are defined."}, {"id": "PRI-03.1_PRI-03.1_A02", "name": "assessment-objective", "prose": "mechanisms are provided to allow individuals to tailor processing permissions to selected elements of Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-03.2 SCF PRI-03.2 Just-In-Time Notice & Updated Consent Mechanisms exist to present data subjects with a new or updated consent request to collect, receive, process, store, transmit, share, update and/or dispose Personal Data (PD) in conjunction with the data action, when:\r\n(1) The original circumstances under which an individual gave consent have changed; or\r\n(2) A significant amount of time has passed since an individual gave consent. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.2_PRI-03.2_A01", "name": "assessment-objective", "prose": "consent mechanisms to be presented to individuals are defined."}, {"id": "PRI-03.2_PRI-03.2_A02", "name": "assessment-objective", "prose": "the frequency at which to present consent mechanisms to individuals is defined."}, {"id": "PRI-03.2_PRI-03.2_A03", "name": "assessment-objective", "prose": "Personal Data (PD) processing to be presented in conjunction with organization-defined consent mechanisms is defined."}, {"id": "PRI-03.2_PRI-03.2_A04", "name": "assessment-objective", "prose": "consent mechanisms are presented to individuals frequently and in conjunction with Personal Data (PD) processing."}]} \N \N \N \N +SCF:PRI-03.3 SCF PRI-03.3 Prohibition of Selling, Processing and/or Sharing Personal Data (PD) Mechanisms exist to prevent the sale, processing and/or sharing of Personal Data (PD) when:\r\n(1) Instructed by the data subject; or\r\n(2) The data subject is a minor, where selling and/or sharing PD is legally prohibited. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.3_PRI-03.3_A01", "name": "assessment-objective", "prose": "Personal Data (PD) identified as \\"do not sell\\" by the data subject is identified."}, {"id": "PRI-03.3_PRI-03.3_A02", "name": "assessment-objective", "prose": "the sale of Personal Data (PD) identified as \\"do not sell\\" is prevented anywhere the PD is stored and/or processed."}]} \N \N \N \N +SCF:PRI-03.4 SCF PRI-03.4 Revoke Consent Mechanisms exist to allow data subjects to revoke consent to collect, receive, process, store, transmit, share and/or update their Personal Data (PD). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.4_PRI-03.4_A01", "name": "assessment-objective", "prose": "the tools or mechanisms to be implemented for revoking consent to the processing of Personal Data (PD) are defined."}, {"id": "PRI-03.4_PRI-03.4_A02", "name": "assessment-objective", "prose": "the tools or mechanisms are implemented for individuals to revoke consent to the processing of their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-03.5 SCF PRI-03.5 Product or Service Delivery Restrictions Mechanisms exist to prevent discrimination against a data subject for exercising their legal rights pertaining to modifying or revoking consent, including prohibiting:\r\n(1) Refusing products and/or services;\r\n(2) Charging different rates for goods and/or services; and\r\n(3) Providing different levels of quality. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.5_PRI-03.5_A01", "name": "assessment-objective", "prose": "processes exist to prevent the refusal of products and/or services on the grounds that a data subject does not agree to the processing of Personal Data (PD) or withdraws consent."}]} \N \N \N \N +SCF:PRI-03.6 SCF PRI-03.6 Authorized Agent Mechanisms exist to allow data subjects to authorize another person or entity (e.g., authorized agent, proxy, etc.), acting on the data subject's behalf, to make Personal Data (PD) processing decisions. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.6_PRI-03.6_A01", "name": "assessment-objective", "prose": "data subjects are empowered to authorize another person or entity, acting on the data subject's behalf, to make Personal Data (PD) processing decisions."}]} \N \N \N \N +SCF:PRI-03.7 SCF PRI-03.7 Active Participation By Data Subjects Mechanisms exist to compel data subjects to select the level of consent deemed appropriate by the data subject for the relevant business purpose (e.g., opt-in, opt-out, accept all cookies, etc.). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.7_PRI-03.7_A01", "name": "assessment-objective", "prose": "data subjects are compelled to select the level of consent deemed appropriate by the data subject for the relevant business purpose (e.g., opt-in, opt-out, accept all cookies, etc.)."}]} \N \N \N \N +SCF:PRI-03.8 SCF PRI-03.8 Global Privacy Control (GPC) Automated mechanisms exist to provide data subjects with functionality to exercise pre-selected opt-out preferences (e.g., opt-out signal). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.8_PRI-03.8_A01", "name": "assessment-objective", "prose": "consumer-facing technologies are configured to empower data subjects with functionality to exercise pre-selected opt-out preferences (e.g., opt-out signal)."}]} \N \N \N \N +SCF:PRI-03.9 SCF PRI-03.9 Continued Use of Personal Data (PD) Mechanisms exist to govern the continued use of Personal Data (PD) as it is collected, received, processed, stored, transmitted, shared and/or updated until:\r\n(1) Disposal of PD occurs when there is no longer a legitimate business purpose;\r\n(2) Disposal of PD occurs when the data retention timeline for the use case is met; and/or\r\n(3) Continued use of PD is prohibited upon withdrawal of data subject consent. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.9_PRI-03.9_A01", "name": "assessment-objective", "prose": "a process exists to notify affected the Personal Data Process Manager, or similar role, when a data subject withdraws consent."}, {"id": "PRI-03.9_PRI-03.9_A02", "name": "assessment-objective", "prose": "a process exists to cease processing Personal Data (PD), once notification of consent revocation is received."}]} \N \N \N \N +SCF:PRI-03.10 SCF PRI-03.10 Cease Processing, Storing and/or Sharing Personal Data (PD) Mechanisms exist to ensure the organization ceases collecting, receiving, processing, storing, transmitting, sharing and/or updating Personal Data (PD) upon receiving a data subject's consent revocation. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.10_PRI-03.10_A01", "name": "assessment-objective", "prose": "a process to decouple Personal Data (PD) from business processes in a timely manner is defined."}, {"id": "PRI-03.10_PRI-03.10_A02", "name": "assessment-objective", "prose": "upon consent revocation by the data subject, processes decouple Personal Data (PD) from business processes."}]} \N \N \N \N +SCF:PRI-03.11 SCF PRI-03.11 Communicating Processing Changes Mechanisms exist to notify data subjects of processing changes affecting their Personal Data (PD), including:\r\n(1) Erasure of PD;\r\n(2) Remediation of incorrect PD; and/or\r\n(3) Processing restrictions affecting their PD. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.11_PRI-03.11_A01", "name": "assessment-objective", "prose": "a process exists to contact data subjects."}, {"id": "PRI-03.11_PRI-03.11_A02", "name": "assessment-objective", "prose": "a process exists to notify affected data subjects of processing changes affecting their Personal Data (PD), including:\\r\\n (1) Erasure of PD;\\r\\n (2) Remediation of incorrect PD; and/or\\r\\n (3) Processing restrictions affecting their PD."}]} \N \N \N \N +SCF:PRI-04.6 SCF PRI-04.6 Re-Validate Collected Personal Data (PD) Mechanisms exist to ensure that the data subject, or authorized representative, re-validate that Personal Data (PD) acquired during the collection process is still accurate. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.6_PRI-04.6_A01", "name": "assessment-objective", "prose": "data subjects, or authorized representatives, are prompted to re-validate that Personal Data (PD) acquired during the collection process is still accurate."}]} \N \N \N \N +SCF:PRI-07.3 SCF PRI-07.3 Obligation To Inform Third-Parties Mechanisms exist to inform applicable third-parties of any modification, deletion or other change that affects shared Personal Data (PD). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07.3_PRI-07.3_A01", "name": "assessment-objective", "prose": "inform applicable third-parties of any modification, deletion or other change that affects shared Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-03.12 SCF PRI-03.12 Data Subject Opt-In Consent Mechanisms exist to obtain consent from data subjects to opt-in for the following Personal Data (PD) actions:\r\n(1) Collecting;\r\n(2) Receiving; \r\n(3) Processing;\r\n(4) Storing;\r\n(5) Transmitting:\r\n(6) Sharing; and/or\r\n(7) Updating. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.12_PRI-03.12_A01", "name": "assessment-objective", "prose": "consent is obtained from data subject for collecting Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A02", "name": "assessment-objective", "prose": "consent is obtained from data subject for receiving Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A03", "name": "assessment-objective", "prose": "consent is obtained from data subject for processing Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A04", "name": "assessment-objective", "prose": "consent is obtained from data subject for storing Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A05", "name": "assessment-objective", "prose": "consent is obtained from data subject for transmitting Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A06", "name": "assessment-objective", "prose": "consent is obtained from data subject for sharing Personal Data (PD)."}, {"id": "PRI-03.12_PRI-03.12_A07", "name": "assessment-objective", "prose": "consent is obtained from data subject for updating Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-03.13 SCF PRI-03.13 Parent or Guardian Opt-In Consent For Minors Mechanisms exist to obtain parental or guardian consent for Personal Data (PD) processing actions through reasonable consumer expectations, when the data subject is a minor. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-03.13_PRI-03.13_A01", "name": "assessment-objective", "prose": "processes that may involve minors are identified."}, {"id": "PRI-03.13_PRI-03.13_A02", "name": "assessment-objective", "prose": "reasonable consumer expectations to obtain parental or guardian consent for Personal Data (PD) processing actions when the data subject is a minor are identified."}, {"id": "PRI-03.13_PRI-03.13_A03", "name": "assessment-objective", "prose": "parental or guardian consent for Personal Data (PD) processing actions through reasonable consumer expectations, when the data subject is a minor, is obtained."}]} \N \N \N \N +SCF:PRI-04 SCF PRI-04 Restrict Collection To Identified Purpose Mechanisms exist to minimize the collection of Personal Data (PD) to only what is adequate, relevant and limited to the purposes identified in the data privacy notice, including protections against collecting PD from minors without appropriate parental or legal guardian consent. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04_PRI-04_A01", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) is defined."}, {"id": "PRI-04_PRI-04_A02", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) to be restricted is defined."}]} \N \N \N \N +SCF:PRI-04.1 SCF PRI-04.1 Authority To Collect, Process, Store & Share Personal Data (PD) Mechanisms exist to determine and document the legal authority that permits the organization to collect, receive, process, store, transmit, share, update and/or dispose Personal Data (PD), either generally or in support of a specific business process. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.1_PRI-04.1_A01", "name": "assessment-objective", "prose": "the authority to permit the processing of Personal Data (PD) is defined."}, {"id": "PRI-04.1_PRI-04.1_A02", "name": "assessment-objective", "prose": "the authority that permits the processing of Personal Data (PD) is determined and documented."}, {"id": "PRI-04.1_PRI-04.1_A03", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) is restricted to only that which is authorized."}]} \N \N \N \N +SCF:PRI-04.2 SCF PRI-04.2 Primary Sources Mechanisms exist to ensure information is directly collected from the data subject, whenever possible. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.2_PRI-04.2_A01", "name": "assessment-objective", "prose": "processes exist to ensure that whenever possible, Personal Data (PD) is directly collected from the data subject."}]} \N \N \N \N +SCF:PRI-04.3 SCF PRI-04.3 Identifiable Image Collection Mechanisms exist to restrict collecting, receiving, processing, storing, transmitting and/or sharing of photographic and/or video surveillance image collection that can identify individuals to legitimate business needs. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.3_PRI-04.3_A01", "name": "assessment-objective", "prose": "the business case(s) is defined for the collection, processing, storage and sharing of photographic and/or video surveillance image collection that can identify individuals."}, {"id": "PRI-04.3_PRI-04.3_A02", "name": "assessment-objective", "prose": "the collection, processing, storage and sharing of photographic and/or video surveillance image collection that can identify individuals is restricted to legitimate business needs."}]} \N \N \N \N +SCF:PRI-04.4 SCF PRI-04.4 Acquired Personal Data (PD) Mechanisms exist to promptly inform data subjects of the utilization purpose when their Personal Data (PD) is acquired and not received directly from the data subject, except where that utilization purpose was disclosed in advance to the data subject. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.4_PRI-04.4_A01", "name": "assessment-objective", "prose": "data subjects are promptly informed of the utilization purpose when their Personal Data (PD) is acquired and not received directly from the data subject, except where that utilization purpose was disclosed in advance to the data subject."}]} \N \N \N \N +SCF:PRI-04.5 SCF PRI-04.5 Validate Collected Personal Data (PD) Mechanisms exist to ensure that the data subject, or authorized representative, validate Personal Data (PD) during the collection process. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.5_PRI-04.5_A01", "name": "assessment-objective", "prose": "data subjects, or authorized representatives, are prompted to validate Personal Data (PD) during the collection process."}]} \N \N \N \N +SCF:PRI-07.4 SCF PRI-07.4 Reject Unauthenticated or Untrustworthy Disclosure Requests Mechanisms exist to reject unauthenticated, or untrustworthy, disclosure requests. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07.4_PRI-07.4_A01", "name": "assessment-objective", "prose": "reject unauthorized disclosure requests."}]} \N \N \N \N +SCF:PRI-04.7 SCF PRI-04.7 Personal Data (PD) Collection Methods Mechanisms exist to ensure that Personal Data (PD) collection methods are:\r\n(1) In accordance with applicable statutory and/or regulatory requirements;\r\n(2) Appropriate for the circumstances of the data subject;\r\n(3) Unambiguous; and\r\n(4) Secure. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-04.7_PRI-04.7_A01", "name": "assessment-objective", "prose": "Personal Data (PD) collection methods are defined."}, {"id": "PRI-04.7_PRI-04.7_A02", "name": "assessment-objective", "prose": "a process exists to ensure that Personal Data (PD) collection methods are:\\r\\n (1) Appropriate for the circumstances of the data subject;\\r\\n (2) Unambiguous; and\\r\\n (3) Secure."}]} \N \N \N \N +SCF:PRI-05 SCF PRI-05 Personal Data (PD) Retention & Disposal Mechanisms exist to: \r\n(1) Retain Personal Data (PD), including metadata, for an organization-defined time period to fulfill the purpose(s) identified in the notice or as required by law;\r\n(2) Dispose of, destroys, erases, and/or anonymizes the PD, regardless of the method of storage; and\r\n(3) Use organization-defined techniques or methods to ensure secure deletion or destruction of PD (including originals, copies and archived records). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05_PRI-05_A01", "name": "assessment-objective", "prose": "techniques used to dispose of information following the retention period are defined."}, {"id": "PRI-05_PRI-05_A02", "name": "assessment-objective", "prose": "techniques used to destroy information following the retention period are defined."}, {"id": "PRI-05_PRI-05_A03", "name": "assessment-objective", "prose": "techniques used to erase information following the retention period are defined."}, {"id": "PRI-05_PRI-05_A04", "name": "assessment-objective", "prose": "organization-defined techniques are used to dispose of information following the retention period."}, {"id": "PRI-05_PRI-05_A05", "name": "assessment-objective", "prose": "organization-defined techniques are used to destroy information following the retention period."}, {"id": "PRI-05_PRI-05_A06", "name": "assessment-objective", "prose": "organization-defined techniques are used to erase information following the retention period."}, {"id": "PRI-05_PRI-05_A07", "name": "assessment-objective", "prose": "information within the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines and operational requirements."}, {"id": "PRI-05_PRI-05_A08", "name": "assessment-objective", "prose": "information output from the system is retained in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines and operational requirements."}, {"id": "PRI-05_PRI-05_A09", "name": "assessment-objective", "prose": "information within the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines and operational requirements."}, {"id": "PRI-05_PRI-05_A10", "name": "assessment-objective", "prose": "information output from the system is managed in accordance with applicable laws, Executive Orders, directives, regulations, policies, standards, guidelines and operational requirements."}]} \N \N \N \N +SCF:PRI-05.1 SCF PRI-05.1 Internal Use of Personal Data (PD) For Testing, Training and Research Mechanisms exist to address the use of Personal Data (PD) for internal testing, training and research that:\r\n(1) Takes measures to limit or minimize the amount of PD used for internal testing, training and research purposes; and\r\n(2) Authorizes the use of PD when such information is required for internal testing, training and research. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.1_PRI-05.1_A01", "name": "assessment-objective", "prose": "elements of Personal Data (PD) being processed in the information life cycle are defined."}, {"id": "PRI-05.1_PRI-05.1_A02", "name": "assessment-objective", "prose": "techniques used to minimize the use of Personal Data (PD) for research, testing and training are defined."}, {"id": "PRI-05.1_PRI-05.1_A03", "name": "assessment-objective", "prose": "organization-defined techniques are used to minimize the use of Personal Data (PD) for research, testing and training."}, {"id": "PRI-05.1_PRI-05.1_A04", "name": "assessment-objective", "prose": "Personal Data (PD) being processed in the information life cycle is limited to organization-defined elements of Personal Data (PD)."}, {"id": "PRI-05.1_PRI-05.1_A05", "name": "assessment-objective", "prose": "the frequency for reviewing policies that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.1_PRI-05.1_A06", "name": "assessment-objective", "prose": "the frequency for updating policies that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.1_PRI-05.1_A07", "name": "assessment-objective", "prose": "the frequency for reviewing procedures that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.1_PRI-05.1_A08", "name": "assessment-objective", "prose": "the frequency for updating procedures that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.1_PRI-05.1_A09", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal research, testing and training are developed and documented."}, {"id": "PRI-05.1_PRI-05.1_A10", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal research, testing and training are developed and documented."}, {"id": "PRI-05.1_PRI-05.1_A11", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal research, testing and training are implemented."}, {"id": "PRI-05.1_PRI-05.1_A12", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal research, testing and training are implemented."}, {"id": "PRI-05.1_PRI-05.1_A13", "name": "assessment-objective", "prose": "the amount of Personal Data (PD) used for internal research, testing and training purposes is limited or minimized."}, {"id": "PRI-05.1_PRI-05.1_A14", "name": "assessment-objective", "prose": "the required use of Personal Data (PD) for internal research, testing and training is authorized."}, {"id": "PRI-05.1_PRI-05.1_A15", "name": "assessment-objective", "prose": "policies are reviewed frequently."}, {"id": "PRI-05.1_PRI-05.1_A16", "name": "assessment-objective", "prose": "policies are updated frequently."}, {"id": "PRI-05.1_PRI-05.1_A17", "name": "assessment-objective", "prose": "procedures are reviewed frequently."}, {"id": "PRI-05.1_PRI-05.1_A18", "name": "assessment-objective", "prose": "procedures are updated frequently."}, {"id": "PRI-05.1_PRI-05.1_A19", "name": "assessment-objective", "prose": "the authority to permit the processing of Personal Data (PD) is defined."}, {"id": "PRI-05.1_PRI-05.1_A20", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) is defined."}, {"id": "PRI-05.1_PRI-05.1_A21", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) to be restricted is defined."}, {"id": "PRI-05.1_PRI-05.1_A22", "name": "assessment-objective", "prose": "the authority that permits the processing of Personal Data (PD) is determined and documented."}, {"id": "PRI-05.1_PRI-05.1_A23", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) is restricted to only that which is authorized."}, {"id": "PRI-05.1_PRI-05.1_A24", "name": "assessment-objective", "prose": "the purpose(s) for processing Personal Data (PD) is/are defined."}, {"id": "PRI-05.1_PRI-05.1_A25", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) to be restricted is defined."}, {"id": "PRI-05.1_PRI-05.1_A26", "name": "assessment-objective", "prose": "mechanisms to be implemented for ensuring any changes in the processing of Personal Data (PD) are made in accordance with requirements are defined."}, {"id": "PRI-05.1_PRI-05.1_A27", "name": "assessment-objective", "prose": "requirements for changing the processing of Personal Data (PD) are defined."}, {"id": "PRI-05.1_PRI-05.1_A28", "name": "assessment-objective", "prose": "the purpose(s) for processing Personal Data (PD) is/are identified and documented."}, {"id": "PRI-05.1_PRI-05.1_A29", "name": "assessment-objective", "prose": "the purpose(s) is/are described in the public privacy notices of the organization."}, {"id": "PRI-05.1_PRI-05.1_A30", "name": "assessment-objective", "prose": "the purpose(s) is/are described in the policies of the organization."}, {"id": "PRI-05.1_PRI-05.1_A31", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) is restricted to only that which is compatible with the identified purpose(s)."}, {"id": "PRI-05.1_PRI-05.1_A32", "name": "assessment-objective", "prose": "changes in the processing of Personal Data (PD) are monitored."}, {"id": "PRI-05.1_PRI-05.1_A33", "name": "assessment-objective", "prose": "mechanisms are implemented to ensure that any changes are made in accordance with requirements."}]} \N \N \N \N +SCF:PRI-05.2 SCF PRI-05.2 Personal Data (PD) Accuracy & Integrity Mechanisms exist to ensure the accuracy and relevance of Personal Data (PD) throughout the information lifecycle by:\r\n(1) Keeping PD up-to-date; and \r\n(2) Remediating identified inaccuracies, as necessary. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.2_PRI-05.2_A01", "name": "assessment-objective", "prose": "a data integrity board/function is established."}, {"id": "PRI-05.2_PRI-05.2_A02", "name": "assessment-objective", "prose": "the data integrity board/function reviews proposals to conduct or participate in a matching program."}, {"id": "PRI-05.2_PRI-05.2_A03", "name": "assessment-objective", "prose": "the data integrity board/function conducts an annual review of all matching programs in which the agency has participated."}]} \N \N \N \N +SCF:PRI-05.3 SCF PRI-05.3 Data Masking Mechanisms exist to mask sensitive/regulated data through data anonymization, pseudonymization, redaction or de-identification. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.3_PRI-05.3_A01", "name": "assessment-objective", "prose": "direct identifiers in a dataset are removed, masked, encrypted, hashed or replaced."}]} \N \N \N \N +SCF:PRI-05.4 SCF PRI-05.4 Usage Restrictions of Personal Data (PD) Mechanisms exist to restrict collecting, receiving, processing, storing, transmitting, sharing and/or updating Personal Data (PD) to:\r\n(1) The purpose(s) originally collected, consistent with the data privacy notice(s);\r\n(2) What is authorized by the data subject, or authorized agent; and\r\n(3) What is consistent with applicable laws, regulations and contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.4_PRI-05.4_A01", "name": "assessment-objective", "prose": "the authority to permit the processing of Personal Data (PD) is defined."}, {"id": "PRI-05.4_PRI-05.4_A02", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) is defined."}, {"id": "PRI-05.4_PRI-05.4_A03", "name": "assessment-objective", "prose": "the type of processing of Personal Data (PD) to be restricted is defined."}, {"id": "PRI-05.4_PRI-05.4_A04", "name": "assessment-objective", "prose": "the authority that permits the processing of Personal Data (PD) is determined and documented."}, {"id": "PRI-05.4_PRI-05.4_A05", "name": "assessment-objective", "prose": "the processing of Personal Data (PD) is restricted to only that which is authorized."}, {"id": "PRI-05.4_PRI-05.4_A06", "name": "assessment-objective", "prose": "processing conditions to be applied for specific categories of Personal Data (PD) are defined."}, {"id": "PRI-05.4_PRI-05.4_A07", "name": "assessment-objective", "prose": "processing conditions are applied for specific categories of Personal Data (PD)."}, {"id": "PRI-05.4_PRI-05.4_A08", "name": "assessment-objective", "prose": "data mining prevention and detection techniques are defined."}, {"id": "PRI-05.4_PRI-05.4_A09", "name": "assessment-objective", "prose": "data storage objects to be protected against unauthorized data mining are defined."}, {"id": "PRI-05.4_PRI-05.4_A10", "name": "assessment-objective", "prose": "organization-defined techniques are employed for organization-defined data storage objects to detect and protect against unauthorized data mining."}, {"id": "PRI-05.4_PRI-05.4_A11", "name": "assessment-objective", "prose": "the frequency for reviewing policies that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.4_PRI-05.4_A12", "name": "assessment-objective", "prose": "the frequency for updating policies that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.4_PRI-05.4_A13", "name": "assessment-objective", "prose": "the frequency for reviewing procedures that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.4_PRI-05.4_A14", "name": "assessment-objective", "prose": "the frequency for updating procedures that address the use of Personal Data (PD) for internal testing, training and research is defined."}, {"id": "PRI-05.4_PRI-05.4_A15", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal testing are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A16", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal training are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A17", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal research are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A18", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal testing are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A19", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal training are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A20", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal research are developed and documented."}, {"id": "PRI-05.4_PRI-05.4_A21", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for internal testing are implemented."}, {"id": "PRI-05.4_PRI-05.4_A22", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for training are implemented."}, {"id": "PRI-05.4_PRI-05.4_A23", "name": "assessment-objective", "prose": "policies that address the use of Personal Data (PD) for research are implemented."}, {"id": "PRI-05.4_PRI-05.4_A24", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for internal testing are implemented."}, {"id": "PRI-05.4_PRI-05.4_A25", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for training are implemented."}, {"id": "PRI-05.4_PRI-05.4_A26", "name": "assessment-objective", "prose": "procedures that address the use of Personal Data (PD) for research are implemented."}, {"id": "PRI-05.4_PRI-05.4_A27", "name": "assessment-objective", "prose": "the amount of Personal Data (PD) used for internal testing purposes is limited or minimized."}, {"id": "PRI-05.4_PRI-05.4_A28", "name": "assessment-objective", "prose": "the amount of Personal Data (PD) used for internal training purposes is limited or minimized."}, {"id": "PRI-05.4_PRI-05.4_A29", "name": "assessment-objective", "prose": "the amount of Personal Data (PD) used for internal research purposes is limited or minimized."}, {"id": "PRI-05.4_PRI-05.4_A30", "name": "assessment-objective", "prose": "the required use of Personal Data (PD) for internal testing is authorized."}, {"id": "PRI-05.4_PRI-05.4_A31", "name": "assessment-objective", "prose": "the required use of Personal Data (PD) for internal training is authorized."}, {"id": "PRI-05.4_PRI-05.4_A32", "name": "assessment-objective", "prose": "the required use of Personal Data (PD) for internal research is authorized."}, {"id": "PRI-05.4_PRI-05.4_A33", "name": "assessment-objective", "prose": "policies are reviewed frequently."}, {"id": "PRI-05.4_PRI-05.4_A34", "name": "assessment-objective", "prose": "policies are updated frequently."}, {"id": "PRI-05.4_PRI-05.4_A35", "name": "assessment-objective", "prose": "procedures are reviewed frequently."}, {"id": "PRI-05.4_PRI-05.4_A36", "name": "assessment-objective", "prose": "procedures are updated frequently."}]} \N \N \N \N +SCF:PRI-07.2 SCF PRI-07.2 Joint Processing of Personal Data (PD) Mechanisms exist to clearly define and communicate the organization's role in processing Personal Data (PD) in the data processing ecosystem. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07.2_PRI-07.2_A01", "name": "assessment-objective", "prose": "clearly define and communicate the organization's role in processing Personal Data (PD) in the data processing ecosystem."}]} \N \N \N \N +SCF:PRI-05.5 SCF PRI-05.5 Inventory of Personal Data (PD) Mechanisms exist to establish and maintain a current inventory of all Technology Assets, Applications and/or Services (TAAS) that collect, receive, process, store, transmit, share, update and/or dispose Personal Data (PD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.5_PRI-05.5_A01", "name": "assessment-objective", "prose": "the frequency at which to update the inventory of systems, applications and projects that process Personal Data (PD) is defined."}, {"id": "PRI-05.5_PRI-05.5_A02", "name": "assessment-objective", "prose": "an inventory of all systems, applications and projects that process Personal Data (PD) is established."}, {"id": "PRI-05.5_PRI-05.5_A03", "name": "assessment-objective", "prose": "an inventory of all systems, applications and projects that process Personal Data (PD) is maintained."}, {"id": "PRI-05.5_PRI-05.5_A04", "name": "assessment-objective", "prose": "an inventory of all systems, applications and projects that process Personal Data (PD) is updated frequently."}]} \N \N \N \N +SCF:PRI-05.6 SCF PRI-05.6 Personal Data (PD) Inventory Automation Support Automated mechanisms exist to determine if Personal Data (PD) is maintained in electronic form. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.6_PRI-05.6_A01", "name": "assessment-objective", "prose": "automated mechanisms are implemented to inventory Personal Data (PD) across the organization."}]} \N \N \N \N +SCF:PRI-05.7 SCF PRI-05.7 Personal Data (PD) Categories Mechanisms exist to define and implement data handling and protection requirements for specific categories of sensitive Personal Data (PD). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.7_PRI-05.7_A01", "name": "assessment-objective", "prose": "processing conditions to be applied for specific categories of Personal Data (PD) are defined."}, {"id": "PRI-05.7_PRI-05.7_A02", "name": "assessment-objective", "prose": "processing conditions are applied for specific categories of Personal Data (PD)."}, {"id": "PRI-05.7_PRI-05.7_A03", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, the unnecessary collection, maintenance and use of Social Security numbers are eliminated."}, {"id": "PRI-05.7_PRI-05.7_A04", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, alternatives to the use of Social Security Numbers as a personal identifier are explored."}, {"id": "PRI-05.7_PRI-05.7_A05", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, individual rights, benefits or privileges provided by law are not denied because of an individual’s refusal to disclose their Social Security number."}, {"id": "PRI-05.7_PRI-05.7_A06", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, any individual who is asked to disclose their Social Security number is informed whether that disclosure is mandatory or voluntary, by what statutory or other authority such number is solicited and what uses will be made of it."}, {"id": "PRI-05.7_PRI-05.7_A07", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, any individual who is asked to disclose their Social Security number is informed by what statutory or other authority the number is solicited."}, {"id": "PRI-05.7_PRI-05.7_A08", "name": "assessment-objective", "prose": "when a system processes Social Security numbers, any individual who is asked to disclose their Social Security number is informed what uses will be made of it."}, {"id": "PRI-05.7_PRI-05.7_A09", "name": "assessment-objective", "prose": "the processing of information describing how any individual exercises rights guaranteed by the First Amendment is prohibited unless expressly authorized by statute or by the individual or unless pertinent to and within the scope of an authorized law enforcement activity."}]} \N \N \N \N +SCF:PRI-05.8 SCF PRI-05.8 Personal Data (PD) Formats Mechanisms exist to retain Personal Data (PD) in a format permitting data subject identification for no longer than is necessary for legitimate business purposes. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-05.8_PRI-05.8_A01", "name": "assessment-objective", "prose": "a data retention schedule, or similar process, dictates the maximum timeline necessary to maintain Personal Data (PD), based on purposes for which the PD are processed."}, {"id": "PRI-05.8_PRI-05.8_A02", "name": "assessment-objective", "prose": "processes are defined to implement the data retention schedule for Personal Data (PD)."}, {"id": "PRI-05.8_PRI-05.8_A03", "name": "assessment-objective", "prose": "processes remove Personal Data (PD) which permits the identification of data subjects once it is no longer necessary for the purposes for which the PD are processed."}]} \N \N \N \N +SCF:PRI-06 SCF PRI-06 Data Subject Empowerment Mechanisms exist to provide authenticated data subjects the ability to:\r\n(1) Access their Personal Data (PD) that is being processed, stored and shared, except where the burden, risk or expense of providing access would be disproportionate to the benefit offered to the data subject through granting access;\r\n(2) Obtain answers on the specifics of how their PD is collected, received, processed, stored, transmitted, shared, updated and/or disposed; \r\n(3) Obtain the source(s) of their PD; \r\n(4) Obtain the categories of their PD being collected, received, processed, stored and shared; \r\n(5) Request correction to their PD due to inaccuracies;\r\n(6) Request erasure of their PD; and\r\n(7) Restrict the further collecting, receiving, processing, storing, transmitting, updated and/or sharing of their PD. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06_PRI-06_A01", "name": "assessment-objective", "prose": "mechanisms enabling individuals to have access to elements of their Personal Data (PD) are defined."}, {"id": "PRI-06_PRI-06_A02", "name": "assessment-objective", "prose": "elements of Personal Data (PD) to which individuals have access are defined."}, {"id": "PRI-06_PRI-06_A03", "name": "assessment-objective", "prose": "organization-defined mechanisms are provided to enable individuals to have access to organization-defined elements of their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-06.1 SCF PRI-06.1 Correcting Inaccurate Personal Data (PD) Mechanisms exist to maintain a process for:\r\n(1) Data subjects to have inaccurate Personal Data (PD) maintained by the organization corrected or amended; and\r\n(2) Disseminating corrections or amendments of PD to other authorized users of the PD. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.1_PRI-06.1_A01", "name": "assessment-objective", "prose": "recipients of Personal Data (PD) to be notified when the Personal Data (PD) has been corrected or deleted are defined."}, {"id": "PRI-06.1_PRI-06.1_A02", "name": "assessment-objective", "prose": "recipients and individuals are notified when the Personal Data (PD) has been corrected or deleted."}]} \N \N \N \N +SCF:PRI-06.2 SCF PRI-06.2 Notice of Correction or Processing Change Mechanisms exist to notify affected data subjects if their Personal Data (PD) has been corrected, amended or deleted. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.2_PRI-06.2_A01", "name": "assessment-objective", "prose": "recipients of Personal Data (PD) to be notified when the Personal Data (PD) has been corrected or deleted are defined."}, {"id": "PRI-06.2_PRI-06.2_A02", "name": "assessment-objective", "prose": "recipients and individuals are notified when the Personal Data (PD) has been corrected or deleted."}]} \N \N \N \N +SCF:PRI-06.3 SCF PRI-06.3 Appeal Adverse Decision Mechanisms exist to maintain a process for data subjects to appeal an adverse decision. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.3_PRI-06.3_A01", "name": "assessment-objective", "prose": "a process for receiving & acknowledging complaints, concerns or questions from individuals about organizational cybersecurity / data privacy practices is implemented."}, {"id": "PRI-06.3_PRI-06.3_A02", "name": "assessment-objective", "prose": "a process for responding to complaints, concerns or questions from individuals about organizational cybersecurity / data privacy practices is implemented."}, {"id": "PRI-06.3_PRI-06.3_A03", "name": "assessment-objective", "prose": "the time period in which complaints (including concerns or questions) from individuals are to be reviewed and acknowledging is defined."}, {"id": "PRI-06.3_PRI-06.3_A04", "name": "assessment-objective", "prose": "the time period in which complaints (including concerns or questions) from individuals are to be addressed is defined."}, {"id": "PRI-06.3_PRI-06.3_A05", "name": "assessment-objective", "prose": "the complaint management process includes mechanisms that are easy to use by the public."}, {"id": "PRI-06.3_PRI-06.3_A06", "name": "assessment-objective", "prose": "the complaint management process includes mechanisms that are readily accessible by the public."}, {"id": "PRI-06.3_PRI-06.3_A07", "name": "assessment-objective", "prose": "the complaint management process includes all information necessary for successfully filing complaints."}, {"id": "PRI-06.3_PRI-06.3_A08", "name": "assessment-objective", "prose": "the complaint management process includes tracking mechanisms to ensure that all complaints are reviewed within an organization-defined time period."}, {"id": "PRI-06.3_PRI-06.3_A09", "name": "assessment-objective", "prose": "the complaint management process includes tracking mechanisms to ensure that all complaints are addressed within an organization-defined time period."}, {"id": "PRI-06.3_PRI-06.3_A10", "name": "assessment-objective", "prose": "the complaint management process includes acknowledging the receipt of complaints, concerns or questions from individuals within an organization-defined time period."}, {"id": "PRI-06.3_PRI-06.3_A11", "name": "assessment-objective", "prose": "the complaint management process includes responding to complaints, concerns or questions from individuals within an organization-defined time period."}]} \N \N \N \N +SCF:PRI-06.4 SCF PRI-06.4 User Feedback Management Mechanisms exist to maintain a process to efficiently and effectively respond to requests, complaints, concerns or questions from authenticated data subjects about Personal Data (PD) the organization collects, receives, processes, stores, transmits, shares, updates and/or disposes. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.4_PRI-06.4_A01", "name": "assessment-objective", "prose": "the time period in which complaints (including concerns or questions) from individuals are to be reviewed and acknowledging is defined."}, {"id": "PRI-06.4_PRI-06.4_A02", "name": "assessment-objective", "prose": "the time period in which complaints (including concerns or questions) from individuals are to be addressed is defined."}, {"id": "PRI-06.4_PRI-06.4_A03", "name": "assessment-objective", "prose": "the time period for acknowledging the receipt of complaints is defined."}, {"id": "PRI-06.4_PRI-06.4_A04", "name": "assessment-objective", "prose": "the time period for responding to complaints is defined."}, {"id": "PRI-06.4_PRI-06.4_A05", "name": "assessment-objective", "prose": "a process for receiving & acknowledging complaints, concerns or questions from individuals about organizational cybersecurity / data privacy practices is implemented."}, {"id": "PRI-06.4_PRI-06.4_A06", "name": "assessment-objective", "prose": "a process for responding to complaints, concerns or questions from individuals about organizational cybersecurity / data privacy practices is implemented."}, {"id": "PRI-06.4_PRI-06.4_A07", "name": "assessment-objective", "prose": "the complaint management process includes mechanisms that are easy to use by the public."}, {"id": "PRI-06.4_PRI-06.4_A08", "name": "assessment-objective", "prose": "the complaint management process includes mechanisms that are readily accessible by the public."}, {"id": "PRI-06.4_PRI-06.4_A09", "name": "assessment-objective", "prose": "the complaint management process includes all information necessary for successfully filing complaints."}, {"id": "PRI-06.4_PRI-06.4_A10", "name": "assessment-objective", "prose": "the complaint management process includes tracking mechanisms to ensure that all complaints are reviewed within an organization-defined time period."}, {"id": "PRI-06.4_PRI-06.4_A11", "name": "assessment-objective", "prose": "the complaint management process includes tracking mechanisms to ensure that all complaints are addressed within an organization-defined time period."}, {"id": "PRI-06.4_PRI-06.4_A12", "name": "assessment-objective", "prose": "the complaint management process includes acknowledging the receipt of complaints, concerns or questions from individuals within an organization-defined time period."}, {"id": "PRI-06.4_PRI-06.4_A13", "name": "assessment-objective", "prose": "the complaint management process includes responding to complaints, concerns or questions from individuals within an organization-defined time period."}]} \N \N \N \N +SCF:PRI-06.5 SCF PRI-06.5 Right to Erasure Mechanisms exist to maintain a process to erase a data subject's Personal Data (PD), in accordance with applicable laws, regulations and contractual obligations pertaining to the retention of their PD. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.5_PRI-06.5_A01", "name": "assessment-objective", "prose": "administrative processes exist to intake data subject requests to erase Personal Data (PD) erase Personal Data (PD)."}, {"id": "PRI-06.5_PRI-06.5_A02", "name": "assessment-objective", "prose": "technical processes exist to securely erase Personal Data (PD) without delay, once a legitimate data subject request for erasure is received."}]} \N \N \N \N +SCF:PRI-06.6 SCF PRI-06.6 Data Portability Mechanisms exist to format exports of Personal Data (PD) in a structured, machine-readable format that allows data subjects to transfer their PD to another controller without hindrance. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.6_PRI-06.6_A01", "name": "assessment-objective", "prose": "export Personal Data (PD) in a structured, commonly used and machine-readable format that allows the data subject to transmit the data to another controller without hindrance."}]} \N \N \N \N +SCF:PRI-06.7 SCF PRI-06.7 Personal Data (PD) Exports Mechanisms exist to export a data subject's available Personal Data (PD) in a readily usable format, upon an authenticated request. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.7_PRI-06.7_A01", "name": "assessment-objective", "prose": "Personal Data (PD) is capable of being digitally exported in a secure manner upon request by the data subject."}]} \N \N \N \N +SCF:PRI-06.8 SCF PRI-06.8 Data Subject Authentication Mechanisms exist to utilize reasonable consumer expectations to verify a data subject's identity, prior to taking action to disclose, share, correct, amend and/or delete Personal Data (PD). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-06.8_PRI-06.8_A01", "name": "assessment-objective", "prose": "reasonable consumer expectations to verify a data subject's identity, prior to taking action to disclose, share, correct, amend and/or delete Personal Data (PD), are identified."}, {"id": "PRI-06.8_PRI-06.8_A02", "name": "assessment-objective", "prose": "reasonable consumer expectations are utilized to verify a data subject's identity, prior to taking action to disclose, share, correct, amend and/or delete Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-07 SCF PRI-07 Information Sharing With Third Parties Mechanisms exist to disclose Personal Data (PD) to third-parties only for the purposes identified in the data privacy notice and with the implicit or explicit consent of the data subject. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07_PRI-07_A01", "name": "assessment-objective", "prose": "information-sharing circumstances where user discretion is required to determine whether access authorizations assigned to a sharing partner match the information’s access and use restrictions are defined."}, {"id": "PRI-07_PRI-07_A02", "name": "assessment-objective", "prose": "authorized users are enabled to determine whether access authorizations assigned to a sharing partner match the information’s access and use restrictions for information-sharing circumstances."}, {"id": "PRI-07_PRI-07_A03", "name": "assessment-objective", "prose": "automated mechanisms or manual processes that assist users in making information-sharing and collaboration decisions are defined."}, {"id": "PRI-07_PRI-07_A04", "name": "assessment-objective", "prose": "automated mechanisms are employed to assist users in making information-sharing and collaboration decisions."}]} \N \N \N \N +SCF:PRI-07.1 SCF PRI-07.1 Data Privacy Requirements for Contractors & Service Providers Mechanisms exist to include data privacy requirements in contracts and other acquisition-related documents that establish data privacy roles and responsibilities for contractors and service providers. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07.1_PRI-07.1_A01", "name": "assessment-objective", "prose": "includes privacy requirements in contracts and other acquisition-related documents that establish privacy roles and responsibilities for contractors and service providers."}]} \N \N \N \N +SCF:PRI-07.5 SCF PRI-07.5 Justification To Reject Disclosure Requests Mechanisms exist to reject data subject access requests that are categorized as:\r\n(1) Harassing; \r\n(2) Repetitive; or\r\n(3) Fraudulent. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-07.5_PRI-07.5_A01", "name": "assessment-objective", "prose": "criteria to define what constitutes \\"repetitious or harassing\\" requests for access from data subjects is defined."}, {"id": "PRI-07.5_PRI-07.5_A02", "name": "assessment-objective", "prose": "a process exists to document data subject requests."}, {"id": "PRI-07.5_PRI-07.5_A03", "name": "assessment-objective", "prose": "data subject requests for access are analyzed for legitimacy."}, {"id": "PRI-07.5_PRI-07.5_A04", "name": "assessment-objective", "prose": "a process exists to reject repetitious, or harassing, requests for access from data subjects."}]} \N \N \N \N +SCF:PRI-08 SCF PRI-08 Personal Data (PD) Control Testing, Training & Monitoring Mechanisms exist to conduct testing, training and monitoring activities for Personal Data (PD) controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-08_PRI-08_A01", "name": "assessment-objective", "prose": "a process is implemented for ensuring that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems are developed."}, {"id": "PRI-08_PRI-08_A02", "name": "assessment-objective", "prose": "a process is implemented for ensuring that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems are maintained."}, {"id": "PRI-08_PRI-08_A03", "name": "assessment-objective", "prose": "a process is implemented for ensuring that organizational plans for conducting cybersecurity / data privacy testing, training and monitoring activities associated with organizational systems continue to be executed."}, {"id": "PRI-08_PRI-08_A04", "name": "assessment-objective", "prose": "testing plans are reviewed for consistency with the organizational risk management strategy."}, {"id": "PRI-08_PRI-08_A05", "name": "assessment-objective", "prose": "training plans are reviewed for consistency with the organizational risk management strategy."}, {"id": "PRI-08_PRI-08_A06", "name": "assessment-objective", "prose": "monitoring plans are reviewed for consistency with the organizational risk management strategy."}, {"id": "PRI-08_PRI-08_A07", "name": "assessment-objective", "prose": "testing plans are reviewed for consistency with organization-wide priorities for risk response actions."}, {"id": "PRI-08_PRI-08_A08", "name": "assessment-objective", "prose": "training plans are reviewed for consistency with organization-wide priorities for risk response actions."}, {"id": "PRI-08_PRI-08_A09", "name": "assessment-objective", "prose": "monitoring plans are reviewed for consistency with organization-wide priorities for risk response actions."}]} \N \N \N \N +SCF:PRI-09 SCF PRI-09 Personal Data (PD) Lineage Mechanisms exist to maintain a process to document the lineage of Personal Data (PD) by recording how the organization collects, receives, processes, stores, transmits, shares, updates and/or disposes PD. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-09_PRI-09_A01", "name": "assessment-objective", "prose": "records of data disclosures and sharing are maintained."}, {"id": "PRI-09_PRI-09_A02", "name": "assessment-objective", "prose": "records of data disclosures and sharing can be accessed for review or transmission/disclosure."}, {"id": "PRI-09_PRI-09_A03", "name": "assessment-objective", "prose": "records of data provenance and lineage are maintained"}, {"id": "PRI-09_PRI-09_A04", "name": "assessment-objective", "prose": "records of data provenance and lineage can be accessed for review or transmission/disclosure."}]} \N \N \N \N +SCF:PRI-10 SCF PRI-10 Data Quality Management Mechanisms exist to manage the quality, utility, objectivity, integrity and impact determination and de-identification of sensitive/regulated data across the information lifecycle. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-10_PRI-10_A01", "name": "assessment-objective", "prose": "the responsibilities of the organization's data governance body are defined."}, {"id": "PRI-10_PRI-10_A02", "name": "assessment-objective", "prose": "a data governance body is established."}, {"id": "PRI-10_PRI-10_A03", "name": "assessment-objective", "prose": "the organization's data governance body consisting of roles with responsibilities is established."}, {"id": "PRI-10_PRI-10_A04", "name": "assessment-objective", "prose": "the data integrity board/function reviews proposals to conduct or participate in a matching program."}, {"id": "PRI-10_PRI-10_A05", "name": "assessment-objective", "prose": "the data integrity board/function conducts an annual review of all matching programs in which the agency has participated."}, {"id": "PRI-10_PRI-10_A06", "name": "assessment-objective", "prose": "organization-wide policies for Personal Data (PD) quality management are developed and documented."}, {"id": "PRI-10_PRI-10_A07", "name": "assessment-objective", "prose": "organization-wide procedures for Personal Data (PD) quality management are developed and documented."}, {"id": "PRI-10_PRI-10_A08", "name": "assessment-objective", "prose": "the policies address reviewing the accuracy of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A09", "name": "assessment-objective", "prose": "the policies address reviewing the relevance of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A10", "name": "assessment-objective", "prose": "the policies address reviewing the timeliness of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A11", "name": "assessment-objective", "prose": "the policies address reviewing the completeness of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A12", "name": "assessment-objective", "prose": "the procedures address reviewing the accuracy of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A13", "name": "assessment-objective", "prose": "the procedures address reviewing the relevance of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A14", "name": "assessment-objective", "prose": "the procedures address reviewing the timeliness of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A15", "name": "assessment-objective", "prose": "the procedures address reviewing the completeness of Personal Data (PD) across the information life cycle."}, {"id": "PRI-10_PRI-10_A16", "name": "assessment-objective", "prose": "the policies address correcting or deleting inaccurate or outdated Personal Data (PD)."}, {"id": "PRI-10_PRI-10_A17", "name": "assessment-objective", "prose": "the procedures address correcting or deleting inaccurate or outdated Personal Data (PD)."}, {"id": "PRI-10_PRI-10_A18", "name": "assessment-objective", "prose": "the policies address disseminating notice of corrected or deleted Personal Data (PD) to individuals or other appropriate entities."}, {"id": "PRI-10_PRI-10_A19", "name": "assessment-objective", "prose": "the procedures address disseminating notice of corrected or deleted Personal Data (PD) to individuals or other appropriate entities."}, {"id": "PRI-10_PRI-10_A20", "name": "assessment-objective", "prose": "the policies address appeals of adverse decisions on correction or deletion requests."}, {"id": "PRI-10_PRI-10_A21", "name": "assessment-objective", "prose": "the procedures address appeals of adverse decisions on correction or deletion requests."}, {"id": "PRI-10_PRI-10_A22", "name": "assessment-objective", "prose": "the roles of the organization's data governance body are defined."}]} \N \N \N \N +SCF:PRI-10.1 SCF PRI-10.1 Data Quality Automation Automated mechanisms exist to support the evaluation of data quality across the information lifecycle. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-10.1_PRI-10.1_A01", "name": "assessment-objective", "prose": "automated mechanisms for tracking the processing purposes of Personal Data (PD) are defined."}, {"id": "PRI-10.1_PRI-10.1_A02", "name": "assessment-objective", "prose": "the processing purposes of Personal Data (PD) are tracked using automated mechanisms."}]} \N \N \N \N +SCF:PRI-10.2 SCF PRI-10.2 Data Analytics Bias Mechanisms exist to evaluate its analytical processes for potential bias. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-10.2_PRI-10.2_A01", "name": "assessment-objective", "prose": "potential data analytics biases are defined."}, {"id": "PRI-10.2_PRI-10.2_A02", "name": "assessment-objective", "prose": "the organization evaluates its analytical processes for potential data analytics bias."}]} \N \N \N \N +SCF:PRI-11 SCF PRI-11 Data Tagging Mechanisms exist to issue data modeling guidelines to support tagging of sensitive/regulated data. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-11_PRI-11_A01", "name": "assessment-objective", "prose": "processing purposes to be contained in data tags are defined."}, {"id": "PRI-11_PRI-11_A02", "name": "assessment-objective", "prose": "elements of Personal Data (PD) to be tagged are defined."}, {"id": "PRI-11_PRI-11_A03", "name": "assessment-objective", "prose": "data tags containing processing purposes are attached to elements of Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-12 SCF PRI-12 Updating Personal Data (PD) Process Mechanisms exist to identify and record:\r\n(1) The process(es) used to update Personal Data (PD); and\r\n(2) The frequency that such updates occur. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-12_PRI-12_A01", "name": "assessment-objective", "prose": "processes to identify and record the method under which Personal Data (PD) is updated and the frequency that such updates occur are defined."}, {"id": "PRI-12_PRI-12_A02", "name": "assessment-objective", "prose": "processes to identify and record the method under which Personal Data (PD) is updated and the frequency that such updates occur are implemented."}]} \N \N \N \N +SCF:PRI-12.1 SCF PRI-12.1 Enabling Data Subjects To Update Personal Data (PD) Mechanisms exist to enable data subjects to update their Personal Data (PD). 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-12.1_PRI-12.1_A01", "name": "assessment-objective", "prose": "the capability, or processes, to enable data subjects to update their Personal Data (PD) is defined."}, {"id": "PRI-12.1_PRI-12.1_A02", "name": "assessment-objective", "prose": "upon a validated request, data subjects are enabled to update their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-13 SCF PRI-13 Data Management Board Mechanisms exist to establish a written charter for a Data Management Board (DMB) and assigned organization-defined roles to the DMB. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-13_PRI-13_A01", "name": "assessment-objective", "prose": "a data integrity board/function is established."}, {"id": "PRI-13_PRI-13_A02", "name": "assessment-objective", "prose": "the data integrity board/function reviews proposals to conduct or participate in a matching program."}, {"id": "PRI-13_PRI-13_A03", "name": "assessment-objective", "prose": "the data integrity board/function conducts an annual review of all matching programs in which the agency has participated."}, {"id": "PRI-13_PRI-13_A04", "name": "assessment-objective", "prose": "the roles of the organization's data governance body are defined."}, {"id": "PRI-13_PRI-13_A05", "name": "assessment-objective", "prose": "the responsibilities of the organization's data governance body are defined."}, {"id": "PRI-13_PRI-13_A06", "name": "assessment-objective", "prose": "the organization's data governance body consisting of roles with responsibilities is established."}]} \N \N \N \N +SCF:PRI-14 SCF PRI-14 Documenting Data Processing Activities Mechanisms exist to document Personal Data (PD) processing activities that covers collection, receiving, processing, storage, transmission, sharing, updating and/or disposal actions with sufficient detail to demonstrate conformity with applicable statutory, regulatory and contractual requirements. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-14_PRI-14_A01", "name": "assessment-objective", "prose": "privacy reports are defined."}, {"id": "PRI-14_PRI-14_A02", "name": "assessment-objective", "prose": "privacy oversight bodies are defined."}, {"id": "PRI-14_PRI-14_A03", "name": "assessment-objective", "prose": "officials responsible for monitoring privacy program compliance are defined."}, {"id": "PRI-14_PRI-14_A04", "name": "assessment-objective", "prose": "the frequency for reviewing and updating privacy reports is defined."}, {"id": "PRI-14_PRI-14_A05", "name": "assessment-objective", "prose": "privacy reports are developed."}, {"id": "PRI-14_PRI-14_A06", "name": "assessment-objective", "prose": "privacy reports are disseminated to oversight bodies to demonstrate accountability with statutory, regulatory and policy privacy mandates."}, {"id": "PRI-14_PRI-14_A07", "name": "assessment-objective", "prose": "privacy reports are disseminated to officials."}, {"id": "PRI-14_PRI-14_A08", "name": "assessment-objective", "prose": "privacy reports are disseminated to other personnel responsible for monitoring privacy program compliance."}, {"id": "PRI-14_PRI-14_A09", "name": "assessment-objective", "prose": "privacy reports are reviewed / updated frequently."}]} \N \N \N \N +SCF:PRI-14.1 SCF PRI-14.1 Accounting of Disclosures Mechanisms exist to provide data subjects with an accounting of disclosures of their Personal Data (PD) controlled by:\r\n(1) The organization; and/or\r\n(2) Relevant third-parties that their PD was shared with. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-14.1_PRI-14.1_A01", "name": "assessment-objective", "prose": "an accurate accounting of disclosures of Personal Data (PD) is developed and maintained."}, {"id": "PRI-14.1_PRI-14.1_A02", "name": "assessment-objective", "prose": "the accounting includes the date of each disclosure."}, {"id": "PRI-14.1_PRI-14.1_A03", "name": "assessment-objective", "prose": "the accounting includes the nature of each disclosure."}, {"id": "PRI-14.1_PRI-14.1_A04", "name": "assessment-objective", "prose": "the accounting includes the purpose of each disclosure."}, {"id": "PRI-14.1_PRI-14.1_A05", "name": "assessment-objective", "prose": "the accounting includes the name of the individual or organization to whom the disclosure was made."}, {"id": "PRI-14.1_PRI-14.1_A06", "name": "assessment-objective", "prose": "the accounting includes the address or other contact information of the individual or organization to whom the disclosure was made."}, {"id": "PRI-14.1_PRI-14.1_A07", "name": "assessment-objective", "prose": "the accounting of disclosures is retained for the length of time that the Personal Data (PD) is maintained or five years after the disclosure is made, whichever is longer."}, {"id": "PRI-14.1_PRI-14.1_A08", "name": "assessment-objective", "prose": "the accounting of disclosures is made available to the individual to whom the Personal Data (PD) relates upon request."}]} \N \N \N \N +SCF:PRI-14.2 SCF PRI-14.2 Notification of Disclosure Request To Data Subject Mechanisms exist to notify data subjects of applicable legal requests to disclose Personal Data (PD). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-14.2_PRI-14.2_A01", "name": "assessment-objective", "prose": "data subjects are provided notice of applicable legal requests to disclose their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-15 SCF PRI-15 Register As A Data Controller and/or Data Processor Mechanisms exist to register as a data controller and/or data processor, including registering databases containing Personal Data (PD) with the appropriate Data Authority, when necessary. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-15_PRI-15_A01", "name": "assessment-objective", "prose": "a list of Data Authorities that require database registration is created and maintained."}, {"id": "PRI-15_PRI-15_A02", "name": "assessment-objective", "prose": "as required by a law or regulation, databases containing Personal Data (PD) are registered with the appropriate Data Authority."}]} \N \N \N \N +SCF:SEA-21 SCF SEA-21 Application Container Mechanisms exist to utilize an application container (virtualization approach) to isolate to a known set of dependencies, access methods and interfaces. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-21_SEA-21_A01", "name": "assessment-objective", "prose": "application containers (virtualization approach) are used to isolate to a known set of dependencies, access methods and interfaces."}]} \N \N \N \N +SCF:PRI-16 SCF PRI-16 Potential Human Rights Abuses Mechanisms exist to constrain the supply of physical and/or digital activity logs to the host government that can directly lead to contravention of the Universal Declaration of Human Rights (UDHR), as well as other applicable statutory, regulatory and/or contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-16_PRI-16_A01", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies risks associated with non-compliance (e.g., fines, operational impacts, etc.)."}, {"id": "PRI-16_PRI-16_A02", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies primary risks associated with compliance (e.g., loss of confidentiality and/or integrity considerations with data governance)."}, {"id": "PRI-16_PRI-16_A03", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies secondary risks associated with compliance (e.g., non-compliance with other laws, regulations and contractual agreements)."}, {"id": "PRI-16_PRI-16_A04", "name": "assessment-objective", "prose": "executive leadership, along with legal counsel, formally identifies tertiary risks associated with compliance (e.g., human rights abuses, theft of intellectual property, espionage, etc.)."}]} \N \N \N \N +SCF:PRI-17 SCF PRI-17 Data Subject Communications Mechanisms exist to craft disclosures and communications to data subjects in a manner that is concise, unambiguous and understandable by a reasonable person. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17_PRI-17_A01", "name": "assessment-objective", "prose": "disclosures and communications to data subjects are made easily accessible."}, {"id": "PRI-17_PRI-17_A02", "name": "assessment-objective", "prose": "disclosures and communications to data subjects are written in a manner that is concise, unambiguous and understandable by a reasonable person."}]} \N \N \N \N +SCF:PRI-17.1 SCF PRI-17.1 Conspicuous Link To Data Privacy Notice Mechanisms exist to include a conspicuous link to the organization's data privacy notice on all consumer-facing websites and mobile applications. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17.1_PRI-17.1_A01", "name": "assessment-objective", "prose": "a conspicuous link to the organization's privacy notice exists on all consumer-facing websites."}, {"id": "PRI-17.1_PRI-17.1_A02", "name": "assessment-objective", "prose": "a conspicuous link to the organization's privacy notice exists on all consumer-facing mobile applications."}]} \N \N \N \N +SCF:PRI-17.2 SCF PRI-17.2 Notice of Financial Incentive Mechanisms exist to provide data subjects with a Notice of Financial Incentive that explains the material terms of a financial incentive, price or service difference so the data subject can make an informed decision about whether to participate. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17.2_PRI-17.2_A01", "name": "assessment-objective", "prose": "data subjects are provided with a Notice of Financial Incentive that explains the material terms of a financial incentive, price or service difference so the data subject can make an informed decision about whether to participate."}]} \N \N \N \N +SCF:PRI-17.3 SCF PRI-17.3 Data Subject Communications Documentation Mechanisms exist to maintain records of data subject requests and responses in accordance with an established documentation retention schedule that adheres to applicable statutory, regulatory and/or contractual obligations. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17.3_PRI-17.3_A01", "name": "assessment-objective", "prose": "the timeline to maintain records of data subject requests and responses adhere to applicable statutory, regulatory and/or contractual obligations is defined."}, {"id": "PRI-17.3_PRI-17.3_A02", "name": "assessment-objective", "prose": "records of data subject requests and responses are retained in accordance with an established documentation retention schedule that adheres to applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:PRI-17.4 SCF PRI-17.4 Data Subject Communications Metrics Mechanisms exist to collect metrics associated with data subject requests and responses. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17.4_PRI-17.4_A01", "name": "assessment-objective", "prose": "metrics associated with data subject requests and responses are defined."}, {"id": "PRI-17.4_PRI-17.4_A02", "name": "assessment-objective", "prose": "metrics associated with data subject requests and responses are collected."}]} \N \N \N \N +SCF:PRI-17.5 SCF PRI-17.5 Data Subject Communications Disclosure Mechanisms exist to publicly disclose applicable data subject communications metrics, as required by statutory and/or regulatory obligations. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-17.5_PRI-17.5_A01", "name": "assessment-objective", "prose": "applicable statutory and/or regulatory obligations to publicly disclose data subject communications metrics are identified."}, {"id": "PRI-17.5_PRI-17.5_A02", "name": "assessment-objective", "prose": "applicable data subject communications metrics are publicly disclosed, as required by statutory and/or regulatory obligations."}]} \N \N \N \N +SCF:PRI-18 SCF PRI-18 Data Controller Communications Mechanisms exist to receive and process data controller communications pertaining to:\r\n(1) Receiving and responding to data subject requests;\r\n(2) Updating/correcting Personal Data (PD); \r\n(3) Accounting for disclosures of PD; and\r\n(4) Accounting for PD that is stored, processed and/or transmitted on behalf of the data controller. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-18_PRI-18_A01", "name": "assessment-objective", "prose": "the organization has processes to respond to data controls communications pertaining to data subject requests."}, {"id": "PRI-18_PRI-18_A02", "name": "assessment-objective", "prose": "the organization has processes to respond to data controls communications pertaining to updating/correcting Personal Data (PD) under its control."}, {"id": "PRI-18_PRI-18_A03", "name": "assessment-objective", "prose": "the organization has processes to respond to data controls communications pertaining to the disclosure of Personal Data (PD)."}, {"id": "PRI-18_PRI-18_A04", "name": "assessment-objective", "prose": "the organization has processes to respond to data controls communications pertaining to accounting for Personal Data (PD) that is stored, processed and/or transmitted on behalf of the data controller."}]} \N \N \N \N +SCF:PRI-19 SCF PRI-19 Automated Decision-Making Technology (ADMT) For Data Subject Actions Mechanisms exist to ensure data subject actions utilizing Automated Decision-Making Technology (ADMT) where computation replaces, or substantially replaces, human decisionmaking, conforms with all applicable statutory, regulatory and/or contractual obligations. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-19_PRI-19_A01", "name": "assessment-objective", "prose": "Automated Decision-Making Technology (ADMT), where computation replaces, or substantially replaces, human decision-making for data subject actions, are identified."}, {"id": "PRI-19_PRI-19_A02", "name": "assessment-objective", "prose": "applicable statutory, regulatory and/or contractual obligations for Automated Decision-Making Technology (ADMT), where computation replaces, or substantially replaces, human decision-making for data subject actions, are identified."}, {"id": "PRI-19_PRI-19_A03", "name": "assessment-objective", "prose": "the use of Automated Decision-Making Technology (ADMT), where computation replaces, or substantially replaces, human decision-making for data subject actions, conforms with all applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:PRI-19.1 SCF PRI-19.1 Automated Decision-Making Technology (ADMT) Use Notification Mechanisms exist to notify data subjects of their rights through a pre-use notice when their Personal Data (PD) will be processed by an Automated Decision-Making Technology (ADMT). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-19.1_PRI-19.1_A01", "name": "assessment-objective", "prose": "processes using Automated Decision-Making Technology (ADMT) are identified."}, {"id": "PRI-19.1_PRI-19.1_A02", "name": "assessment-objective", "prose": "data subjects are notified of their rights through a pre-use notice when their Personal Data (PD) will be processed by an Automated Decision-Making Technology (ADMT)."}]} \N \N \N \N +SCF:PRI-19.2 SCF PRI-19.2 Automated Decision-Making Technology (ADMT) Opt-Out Consent Mechanisms exist to provide concise, unambiguous and understandable instructions on how data subjects can opt-out of Automated Decision-Making Technology (ADMT). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-19.2_PRI-19.2_A01", "name": "assessment-objective", "prose": "data subject-focused instructions pertaining to Automated Decision-Making Technology (ADMT) are documented."}, {"id": "PRI-19.2_PRI-19.2_A02", "name": "assessment-objective", "prose": "data subjects are provided concise, unambiguous and understandable instructions on how a data subjects can opt-out of Automated Decision-Making Technology (ADMT)."}]} \N \N \N \N +SCF:PRI-19.3 SCF PRI-19.3 Automated Decision-Making Technology (ADMT) Transparency Mechanisms exist to provide data subjects with sufficient details of the logic and parameters used by Automated Decision-Making Technology (ADMT) to process the Personal Data (PD) to generate an output with respect to the data subject. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-19.3_PRI-19.3_A01", "name": "assessment-objective", "prose": "sufficient details of the logic and parameters used by Automated Decision-Making Technology (ADMT) to process the Personal Data (PD) to generate an output with respect to the data subject are documented."}, {"id": "PRI-19.3_PRI-19.3_A02", "name": "assessment-objective", "prose": "data subjects are provided with sufficient details of the logic and parameters used by Automated Decision-Making Technology (ADMT) to process the Personal Data (PD) to generate an output with respect to the data subject."}]} \N \N \N \N +SCF:PRI-20 SCF PRI-20 Data Brokers Mechanisms exist to ensure data brokers that collect Personal Data (PD) from a source other than directly from the data subject adhere to all applicable statutory, regulatory and/or contractual obligations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-20_PRI-20_A01", "name": "assessment-objective", "prose": "sources of Personal Data (PD) other than directly from a data subject are documented."}, {"id": "PRI-20_PRI-20_A02", "name": "assessment-objective", "prose": "formal contracts exist with data brokers."}, {"id": "PRI-20_PRI-20_A03", "name": "assessment-objective", "prose": "data brokers that collect Personal Data (PD) from a source other than directly from the data subject are required to adhere to all applicable statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:PRI-21 SCF PRI-21 Notice of Right To Opt-Out Mechanisms exist to include a notification to data subjects within the data privacy notice of:\r\n(1) Their right to direct an organization that sells or shares their Personal Data (PD) to stop selling or sharing their PD; and\r\n(2) The methods available to exercise that right. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-21_PRI-21_A01", "name": "assessment-objective", "prose": "data privacy notices inform data subjects of their right to direct an organization that sells or shares their Personal Data (PD) to stop selling or sharing their PD."}, {"id": "PRI-21_PRI-21_A02", "name": "assessment-objective", "prose": "data privacy notices inform data subjects of methods available to exercise that right to direct an organization to stop selling or sharing their Personal Data (PD)."}]} \N \N \N \N +SCF:PRI-21.1 SCF PRI-21.1 Opt-Out Links Mechanisms exist to publish conspicuous links for data subjects to exercise their rights to:\r\n(1) Limit the collection and/or use of Personal Data (PD); and\r\n(2) Not sell or share PD. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-21.1_PRI-21.1_A01", "name": "assessment-objective", "prose": "conspicuous links are published for data subjects to exercise their rights to limit the collection and/or use of Personal Data (PD)."}, {"id": "PRI-21.1_PRI-21.1_A02", "name": "assessment-objective", "prose": "conspicuous links are published for data subjects to exercise their rights for their Personal Data (PD) to not be sold and/or shared."}]} \N \N \N \N +SCF:SEA-01.1 SCF SEA-01.1 Centralized Management of Security, Compliance & Resilience Controls Mechanisms exist to centrally-manage the organization-wide management and implementation of security, compliance and resilience controls and related processes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-01.1_SEA-01.1_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls and related processes to be centrally managed are defined."}, {"id": "SEA-01.1_SEA-01.1_A02", "name": "assessment-objective", "prose": "controls and related processes are centrally managed."}]} \N \N \N \N +SCF:PRI-21.2 SCF PRI-21.2 Alternative Out-Out Link Mechanisms exist to publish a single, clearly-labeled link that allows data subjects to efficiently exercise their opt-out rights to:\r\n(1) Limit the collection and/or use of Personal Data (PD); and\r\n(2) Not sell or share PD. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Data Privacy", "assessment_objective": [{"id": "PRI-21.2_PRI-21.2_A01", "name": "assessment-objective", "prose": "a single, clearly-labeled link is published that allows data subjects to efficiently exercise their opt-out rights to limit the collection and/or use of Personal Data (PD)."}, {"id": "PRI-21.2_PRI-21.2_A02", "name": "assessment-objective", "prose": "a single, clearly-labeled link is published that allows data subjects to efficiently exercise their opt-out rights for their Personal Data (PD) to not be sold and/or shared."}]} \N \N \N \N +SCF:PRM-01 SCF PRM-01 Security, Compliance & Resilience Protection Portfolio Management Mechanisms exist to facilitate the implementation of resource planning controls that provide a portfolio management approach to achieve security, compliance and resilience objectives. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-01_PRM-01_A01", "name": "assessment-objective", "prose": "the organization-defined official is designated to manage the development, documentation, and dissemination of the planning policy and procedures."}, {"id": "PRM-01_PRM-01_A02", "name": "assessment-objective", "prose": "planning procedures facilitate the implementation of the planning policy and associated planning controls are developed and documented."}, {"id": "PRM-01_PRM-01_A03", "name": "assessment-objective", "prose": "personnel or roles to whom the planning policy is to be disseminated is/are defined."}, {"id": "PRM-01_PRM-01_A04", "name": "assessment-objective", "prose": "personnel or roles to whom the planning procedures are to be disseminated is/are defined."}, {"id": "PRM-01_PRM-01_A05", "name": "assessment-objective", "prose": "one or more of the following organization-defined criteria is/are selected: mission/business process-level /system-level."}, {"id": "PRM-01_PRM-01_A06", "name": "assessment-objective", "prose": "an official to manage the planning policy and procedures is defined."}, {"id": "PRM-01_PRM-01_A07", "name": "assessment-objective", "prose": "the frequency with which the current planning policy is reviewed / updated is defined."}, {"id": "PRM-01_PRM-01_A08", "name": "assessment-objective", "prose": "events that would require the current planning policy to be reviewed / updated are defined."}, {"id": "PRM-01_PRM-01_A09", "name": "assessment-objective", "prose": "the frequency with which the current planning procedures are reviewed / updated is defined."}, {"id": "PRM-01_PRM-01_A10", "name": "assessment-objective", "prose": "events that would require procedures to be reviewed / updated are defined."}, {"id": "PRM-01_PRM-01_A11", "name": "assessment-objective", "prose": "a planning policy is developed and documented."}, {"id": "PRM-01_PRM-01_A12", "name": "assessment-objective", "prose": "the planning policy is disseminated to organization-defined personnel or roles."}, {"id": "PRM-01_PRM-01_A13", "name": "assessment-objective", "prose": "the planning procedures are disseminated to organization-defined personnel or roles."}, {"id": "PRM-01_PRM-01_A14", "name": "assessment-objective", "prose": "the organization's planning policy addresses purpose."}, {"id": "PRM-01_PRM-01_A15", "name": "assessment-objective", "prose": "the organization's planning policy addresses scope."}, {"id": "PRM-01_PRM-01_A16", "name": "assessment-objective", "prose": "the organization's planning policy addresses roles."}, {"id": "PRM-01_PRM-01_A17", "name": "assessment-objective", "prose": "the organization's planning policy addresses responsibilities."}, {"id": "PRM-01_PRM-01_A18", "name": "assessment-objective", "prose": "the organization's planning policy addresses management commitment."}, {"id": "PRM-01_PRM-01_A19", "name": "assessment-objective", "prose": "the organization's planning policy addresses coordination among organizational entities."}, {"id": "PRM-01_PRM-01_A20", "name": "assessment-objective", "prose": "the organization's planning policy addresses compliance."}, {"id": "PRM-01_PRM-01_A21", "name": "assessment-objective", "prose": "the organization's planning policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "PRM-01_PRM-01_A22", "name": "assessment-objective", "prose": "the current planning policy is reviewed / updated organization-defined frequency."}, {"id": "PRM-01_PRM-01_A23", "name": "assessment-objective", "prose": "the current planning policy is reviewed / updated following organization-defined events."}, {"id": "PRM-01_PRM-01_A24", "name": "assessment-objective", "prose": "the current planning procedures are reviewed / updated organization-defined frequency."}, {"id": "PRM-01_PRM-01_A25", "name": "assessment-objective", "prose": "the current planning procedures are reviewed / updated following organization-defined events."}, {"id": "PRM-01_PRM-01_A26", "name": "assessment-objective", "prose": "Project & Resource Management (PRM) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "PRM-01_PRM-01_A27", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Project & Resource Management (PRM) operations."}, {"id": "PRM-01_PRM-01_A28", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Project & Resource Management (PRM)-related activities are assigned to designated personnel."}, {"id": "PRM-01_PRM-01_A29", "name": "assessment-objective", "prose": "personnel performing Project & Resource Management (PRM)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:PRM-01.1 SCF PRM-01.1 Strategic Plan & Objectives Mechanisms exist to establish a:\r\n(1) Strategic security, compliance and resilience-specific business plan; and \r\n(2) Set of objectives to achieve that plan. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-01.1_PRM-01.1_A01", "name": "assessment-objective", "prose": "a documented strategic cybersecurity / data privacy-specific business plan exists."}, {"id": "PRM-01.1_PRM-01.1_A02", "name": "assessment-objective", "prose": "a documented set of objectives to achieve that cybersecurity and privacy-specific business plan exists."}]} \N \N \N \N +SCF:PRM-01.2 SCF PRM-01.2 Targeted Capability Maturity Levels Mechanisms exist to define and identify targeted capability maturity levels. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-01.2_PRM-01.2_A01", "name": "assessment-objective", "prose": "the organization defines a Capability Maturity Model (CMM) it will use to benchmark maturity."}, {"id": "PRM-01.2_PRM-01.2_A02", "name": "assessment-objective", "prose": "targeted capability maturity levels are defined at the domain and/or control level."}]} \N \N \N \N +SCF:PRM-02 SCF PRM-02 Security, Compliance & Resilience Resource Management Mechanisms exist to address all capital planning and investment requests, including the resources needed to implement the Security, Compliance & Resilience Program (SCRP) and document all exceptions to this requirement. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-02_PRM-02_A01", "name": "assessment-objective", "prose": "the resources needed to implement the cybersecurity / data privacy program are included in capital planning and investment requests and all exceptions are documented."}, {"id": "PRM-02_PRM-02_A02", "name": "assessment-objective", "prose": "the documentation required for addressing the cybersecurity / data privacy program in capital planning and investment requests is prepared in accordance with applicable laws, executive orders, directives, policies, regulations, standards."}, {"id": "PRM-02_PRM-02_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy resources are made available for expenditure as planned."}]} \N \N \N \N +SCF:PRM-02.1 SCF PRM-02.1 Prioritization To Address Evolving Risks & Threats Mechanisms exist to integrate foundational cybersecurity practices with advanced technologies to maintain situation awareness of and minimize the organization's exposure to evolving risks and threats. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-02.1_PRM-02.1_A01", "name": "assessment-objective", "prose": "foundational cybersecurity practices are defined."}, {"id": "PRM-02.1_PRM-02.1_A02", "name": "assessment-objective", "prose": "foundational cybersecurity practices are integrated with advanced technologies to maintain situation awareness of and minimize the organization's exposure to evolving risks and threats."}]} \N \N \N \N +SCF:PRM-03 SCF PRM-03 Allocation of Resources Mechanisms exist to identify and allocate resources for management, operational, technical and data protection requirements within business process planning for projects / initiatives. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-03_PRM-03_A01", "name": "assessment-objective", "prose": "the high-level cybersecurity / data privacy requirements for the system or system service are determined in mission and business process planning."}, {"id": "PRM-03_PRM-03_A02", "name": "assessment-objective", "prose": "the resources required to protect the system or system service are determined and documented as part of the organizational capital planning and investment control process."}, {"id": "PRM-03_PRM-03_A03", "name": "assessment-objective", "prose": "the resources required to protect the system or system service are allocated as part of the organizational capital planning and investment control process."}, {"id": "PRM-03_PRM-03_A04", "name": "assessment-objective", "prose": "a discrete line item for is established in organizational programming and budgeting documentation."}]} \N \N \N \N +SCF:PRM-04 SCF PRM-04 Security, Compliance & Resilience In Project Management Mechanisms exist to assess security, compliance and resilience controls in system project development to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting the requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-04_PRM-04_A01", "name": "assessment-objective", "prose": "controls are assessed in the system and its environment of operation per an organization-defined assessment frequency to determine the extent to which the controls are implemented correctly, operating as intended and producing the desired outcome with respect to meeting established cybersecurity / data privacy requirements."}, {"id": "PRM-04_PRM-04_A02", "name": "assessment-objective", "prose": "an appropriate assessor or assessment team is selected for the type of assessment to be conducted."}, {"id": "PRM-04_PRM-04_A03", "name": "assessment-objective", "prose": "a control assessment report is produced that documents the results of the assessment."}, {"id": "PRM-04_PRM-04_A04", "name": "assessment-objective", "prose": "the results of the control assessment are provided to individuals or roles."}, {"id": "PRM-04_PRM-04_A05", "name": "assessment-objective", "prose": "the frequency at which to assess controls in the system and its environment of operation is defined."}, {"id": "PRM-04_PRM-04_A06", "name": "assessment-objective", "prose": "individuals or roles to whom control assessment results are to be provided are defined."}, {"id": "PRM-04_PRM-04_A07", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including controls and control enhancements under assessment."}, {"id": "PRM-04_PRM-04_A08", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment procedures to be used to determine control effectiveness."}, {"id": "PRM-04_PRM-04_A09", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment environment."}, {"id": "PRM-04_PRM-04_A10", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including the assessment team."}, {"id": "PRM-04_PRM-04_A11", "name": "assessment-objective", "prose": "a control assessment plan is developed that describes the scope of the assessment, including assessment roles and responsibilities."}, {"id": "PRM-04_PRM-04_A12", "name": "assessment-objective", "prose": "the control assessment plan is reviewed and approved by the authorizing official or designated representative prior to conducting the assessment."}]} \N \N \N \N +SCF:PRM-05 SCF PRM-05 Security, Compliance & Resilience Requirements Definition Mechanisms exist to identify critical system components and functions by performing a criticality analysis for critical Technology Assets, Applications and/or Services (TAAS) at pre-defined decision points in the Secure Development Life Cycle (SDLC). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-05_PRM-05_A01", "name": "assessment-objective", "prose": "systems, system components or system services to be analyzed for criticality are defined."}, {"id": "PRM-05_PRM-05_A02", "name": "assessment-objective", "prose": "decision points in the system development life cycle when a criticality analysis is to be performed are defined."}, {"id": "PRM-05_PRM-05_A03", "name": "assessment-objective", "prose": "critical system components and functions are identified by performing a criticality analysis for systems, system components or system services at decision points in the system development life cycle."}]} \N \N \N \N +SCF:PRM-06 SCF PRM-06 Business Process Definition Mechanisms exist to define business processes with consideration for security, compliance and resilience that determines: \r\n(1) The resulting risk to organizational operations, assets, individuals and other organizations; and\r\n(2) Information protection needs arising from the defined business processes and revises the processes as necessary, until an achievable set of protection needs is obtained. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-06_PRM-06_A01", "name": "assessment-objective", "prose": "organizational mission and business processes are defined with consideration for cybersecurity / data privacy."}, {"id": "PRM-06_PRM-06_A02", "name": "assessment-objective", "prose": "organizational mission and business processes are defined with consideration for the resulting risk to organizational operations, organizational assets, individuals, other organizations and the Nation."}, {"id": "PRM-06_PRM-06_A03", "name": "assessment-objective", "prose": "the frequency at which to review and revise the mission and business processes is defined."}, {"id": "PRM-06_PRM-06_A04", "name": "assessment-objective", "prose": "information protection needs arising from the defined mission and business processes are determined."}, {"id": "PRM-06_PRM-06_A05", "name": "assessment-objective", "prose": "Personal Data (PD) processing needs arising from the defined mission and business processes are determined."}, {"id": "PRM-06_PRM-06_A06", "name": "assessment-objective", "prose": "the mission and business processes are reviewed and revised per an organization-defined frequency."}]} \N \N \N \N +SCF:PRM-07 SCF PRM-07 Secure Development Life Cycle (SDLC) Management Mechanisms exist to ensure changes to Technology Assets, Applications and/or Services (TAAS) within the Secure Development Life Cycle (SDLC) are controlled through formal change control procedures. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-07_PRM-07_A01", "name": "assessment-objective", "prose": "system development life cycle is defined."}, {"id": "PRM-07_PRM-07_A02", "name": "assessment-objective", "prose": "the system is acquired, developed and managed using organization-defined system-development life cycle that incorporates information cybersecurity / data privacy considerations."}, {"id": "PRM-07_PRM-07_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy roles and responsibilities are defined and documented throughout the system development life cycle."}, {"id": "PRM-07_PRM-07_A04", "name": "assessment-objective", "prose": "individuals with cybersecurity / data privacy roles and responsibilities are identified."}, {"id": "PRM-07_PRM-07_A05", "name": "assessment-objective", "prose": "organizational cybersecurity / data privacy risk management processes are integrated into system development life cycle activities."}, {"id": "PRM-07_PRM-07_A06", "name": "assessment-objective", "prose": "system pre-production environments are protected commensurate with risk throughout the system development life cycle for the system, system component or system service."}, {"id": "PRM-07_PRM-07_A07", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of procedural rigor are defined."}, {"id": "PRM-07_PRM-07_A08", "name": "assessment-objective", "prose": "systems or system components implement the security design principle of procedural rigor."}]} \N \N \N \N +SCF:PRM-08 SCF PRM-08 Manage Organizational Knowledge Mechanisms exist to manage the organizational knowledge of the security, compliance and resilience staff. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Project & Resource Management", "assessment_objective": [{"id": "PRM-08_PRM-08_A01", "name": "assessment-objective", "prose": "critical organizational knowledge is defined."}, {"id": "PRM-08_PRM-08_A02", "name": "assessment-objective", "prose": "organizational knowledge of the cybersecurity / data privacy staff is documented."}, {"id": "PRM-08_PRM-08_A03", "name": "assessment-objective", "prose": "cross-training is performed to maintain organizational knowledge."}]} \N \N \N \N +SCF:RSK-03 SCF RSK-03 Risk Identification Mechanisms exist to identify and document risks, both internal and external. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-03_RSK-03_A01", "name": "assessment-objective", "prose": "a process exists to identify applicable internal and external risks."}, {"id": "RSK-03_RSK-03_A02", "name": "assessment-objective", "prose": "applicable internal and external risks are documented."}, {"id": "RSK-03_RSK-03_A03", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of sensitive / regulated data is assessed."}, {"id": "RSK-03_RSK-03_A04", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of CUI is assessed."}]} \N \N \N \N +SCF:RSK-01 SCF RSK-01 Risk Management Program Mechanisms exist to facilitate the implementation of strategic, operational and tactical risk management controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01_RSK-01_A01", "name": "assessment-objective", "prose": "a comprehensive strategy is developed to manage cybersecurity / data privacy risk to organizational operations and assets, individuals and other organizations associated with the operation and use of organizational systems."}, {"id": "RSK-01_RSK-01_A02", "name": "assessment-objective", "prose": "the risk management strategy is implemented consistently across the organization."}, {"id": "RSK-01_RSK-01_A03", "name": "assessment-objective", "prose": "a senior organizational position for Risk Management aligns cybersecurity / data privacy management processes with strategic, operational and budgetary planning processes."}, {"id": "RSK-01_RSK-01_A04", "name": "assessment-objective", "prose": "for existing facilities, physical and environmental hazards are considered in the organizational risk management strategy."}, {"id": "RSK-01_RSK-01_A05", "name": "assessment-objective", "prose": "the frequency at which to review / update the risk management strategy is defined."}, {"id": "RSK-01_RSK-01_A06", "name": "assessment-objective", "prose": "the risk management strategy is reviewed / updated per an organization-defined frequency or as required to address organizational changes."}, {"id": "RSK-01_RSK-01_A07", "name": "assessment-objective", "prose": "a senior organizational position for Risk Management is appointed."}, {"id": "RSK-01_RSK-01_A08", "name": "assessment-objective", "prose": "a risk executive function is established."}, {"id": "RSK-01_RSK-01_A09", "name": "assessment-objective", "prose": "a risk executive function views and analyzes risk from an organization-wide perspective."}, {"id": "RSK-01_RSK-01_A10", "name": "assessment-objective", "prose": "a risk executive function ensures that the management of risk is consistent across the organization."}, {"id": "RSK-01_RSK-01_A11", "name": "assessment-objective", "prose": "organization-defined security requirements are enforced to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences of supply chain-related events."}, {"id": "RSK-01_RSK-01_A12", "name": "assessment-objective", "prose": "the following security requirements are enforced to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences of supply chain-related events: ."}, {"id": "RSK-01_RSK-01_A13", "name": "assessment-objective", "prose": "risk management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "RSK-01_RSK-01_A14", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support risk management operations."}, {"id": "RSK-01_RSK-01_A15", "name": "assessment-objective", "prose": "responsibility and authority for the performance of risk management-related activities are assigned to designated personnel."}, {"id": "RSK-01_RSK-01_A16", "name": "assessment-objective", "prose": "personnel performing risk management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:RSK-01.1 SCF RSK-01.1 Risk Framing Mechanisms exist to identify:\r\n(1) Assumptions affecting risk assessments, risk response and risk monitoring;\r\n(2) Constraints affecting risk assessments, risk response and risk monitoring;\r\n(3) The organizational risk tolerance; and\r\n(4) Priorities, benefits and trade-offs considered by the organization for managing risk. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01.1_RSK-01.1_A01", "name": "assessment-objective", "prose": "the personnel to receive the results of risk framing activities is/are defined."}, {"id": "RSK-01.1_RSK-01.1_A02", "name": "assessment-objective", "prose": "the frequency for reviewing and updating risk framing considerations is defined."}, {"id": "RSK-01.1_RSK-01.1_A03", "name": "assessment-objective", "prose": "assumptions affecting risk assessments are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A04", "name": "assessment-objective", "prose": "assumptions affecting risk responses are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A05", "name": "assessment-objective", "prose": "assumptions affecting risk monitoring are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A06", "name": "assessment-objective", "prose": "constraints affecting risk assessments are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A07", "name": "assessment-objective", "prose": "constraints affecting risk responses are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A08", "name": "assessment-objective", "prose": "constraints affecting risk monitoring are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A09", "name": "assessment-objective", "prose": "priorities considered by the organization for managing risk are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A10", "name": "assessment-objective", "prose": "trade-offs considered by the organization for managing risk are identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A11", "name": "assessment-objective", "prose": "organizational risk tolerance is identified and documented."}, {"id": "RSK-01.1_RSK-01.1_A12", "name": "assessment-objective", "prose": "the results of risk framing activities are distributed to personnel."}, {"id": "RSK-01.1_RSK-01.1_A13", "name": "assessment-objective", "prose": "risk framing considerations are reviewed / updated frequently."}, {"id": "RSK-01.1_RSK-01.1_A14", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of sensitive / regulated data is assessed."}, {"id": "RSK-01.1_RSK-01.1_A15", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of CUI is assessed."}]} \N \N \N \N +SCF:RSK-01.2 SCF RSK-01.2 Risk Management Resourcing Mechanisms exist to reduce the magnitude or likelihood of potential impacts by resourcing the capability required to manage technology-related risks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01.2_RSK-01.2_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, identifies necessary resourcing for the capability required to manage technology-related risks."}, {"id": "RSK-01.2_RSK-01.2_A02", "name": "assessment-objective", "prose": "the organization's incident response capability is resourced accordingly so it can reduce the magnitude or likelihood of potential impacts from technology-related risks."}, {"id": "RSK-01.2_RSK-01.2_A03", "name": "assessment-objective", "prose": "recurring reviews of incident response operations are used to benchmark resourcing requirements for incident response operations."}]} \N \N \N \N +SCF:RSK-01.3 SCF RSK-01.3 Risk Tolerance Mechanisms exist to define organizational risk tolerance, the specified range of acceptable results. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01.3_RSK-01.3_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines the organization's risk tolerance."}]} \N \N \N \N +SCF:RSK-01.4 SCF RSK-01.4 Risk Threshold Mechanisms exist to define organizational risk threshold, the level of risk exposure above which risks are addressed and below which risks may be accepted. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01.4_RSK-01.4_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines the organization's risk threshold."}]} \N \N \N \N +SCF:RSK-01.5 SCF RSK-01.5 Risk Appetite Mechanisms exist to define organizational risk appetite, the degree of uncertainty the organization is willing to accept in anticipation of a reward. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-01.5_RSK-01.5_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines the organization's risk appetite."}]} \N \N \N \N +SCF:RSK-02 SCF RSK-02 Risk-Based Security Categorization Mechanisms exist to categorize Technology Assets, Applications, Services and/or Data (TAASD) in accordance with applicable laws, regulations and contractual obligations that:\r\n(1) Document the security categorization results (including supporting rationale) in the security plan for systems; and\r\n(2) Ensure the security categorization decision is reviewed and approved by the asset owner. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-02_RSK-02_A01", "name": "assessment-objective", "prose": "systems, applications, services and the information processed, stored and/or transmitted are categorized."}, {"id": "RSK-02_RSK-02_A02", "name": "assessment-objective", "prose": "the security categorization results, including supporting rationale, are documented in the security plan for the system."}, {"id": "RSK-02_RSK-02_A03", "name": "assessment-objective", "prose": "the authorizing official or authorizing official designated representative reviews and approves the security categorization decision."}]} \N \N \N \N +SCF:RSK-02.1 SCF RSK-02.1 Impact-Level Prioritization Mechanisms exist to prioritize the impact level for Technology Assets, Applications and/or Services (TAAS) to prevent potential disruptions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-02.1_RSK-02.1_A01", "name": "assessment-objective", "prose": "an impact-level prioritization of organizational systems is conducted to obtain additional granularity on system impact levels."}]} \N \N \N \N +SCF:RSK-03.1 SCF RSK-03.1 Risk Catalog Mechanisms exist to develop and keep current a catalog of applicable risks associated with the organization's business operations and technologies in use. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-03.1_RSK-03.1_A01", "name": "assessment-objective", "prose": "a risk catalog, or similar solution, exists that keeps current a catalog of applicable risks associated with the organization's business operations and technologies in use."}, {"id": "RSK-03.1_RSK-03.1_A02", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of sensitive / regulated data is assessed."}, {"id": "RSK-03.1_RSK-03.1_A03", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of CUI is assessed."}]} \N \N \N \N +SCF:RSK-04 SCF RSK-04 Risk Assessment Mechanisms exist to conduct recurring assessments of risk that includes the likelihood and magnitude of harm, from unauthorized access, use, disclosure, disruption, modification or destruction of the organization's Technology Assets, Applications, Services and/or Data (TAASD). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-04_RSK-04_A01", "name": "assessment-objective", "prose": "the frequency to assess risk to organizational operations, organizational assets and individuals is defined."}, {"id": "RSK-04_RSK-04_A02", "name": "assessment-objective", "prose": "a document in which risk assessment results are to be documented (if not documented in the cybersecurity / data privacy plans or risk assessment report) is defined."}, {"id": "RSK-04_RSK-04_A03", "name": "assessment-objective", "prose": "a risk assessment is conducted to determine the likelihood and magnitude of harm from unauthorized access, use, disclosure, disruption, modification or destruction of the system. the information it processes, stores or transmits. and any related information."}, {"id": "RSK-04_RSK-04_A04", "name": "assessment-objective", "prose": "personnel or roles to whom risk assessment results are to be disseminated is/are defined."}, {"id": "RSK-04_RSK-04_A05", "name": "assessment-objective", "prose": "risk assessment results are disseminated to personnel or roles."}, {"id": "RSK-04_RSK-04_A06", "name": "assessment-objective", "prose": "the frequency to update the risk assessment is defined."}, {"id": "RSK-04_RSK-04_A07", "name": "assessment-objective", "prose": "the frequency to review risk assessment results is defined."}, {"id": "RSK-04_RSK-04_A08", "name": "assessment-objective", "prose": "a risk assessment is conducted to identify threats to and vulnerabilities in the system."}, {"id": "RSK-04_RSK-04_A09", "name": "assessment-objective", "prose": "security solutions are identified."}, {"id": "RSK-04_RSK-04_A10", "name": "assessment-objective", "prose": "current and accumulated threat intelligence is identified."}, {"id": "RSK-04_RSK-04_A11", "name": "assessment-objective", "prose": "Anticipated risk to organizational systems and the organization based on current and accumulated threat intelligence is identified."}, {"id": "RSK-04_RSK-04_A12", "name": "assessment-objective", "prose": "the effectiveness of security solutions is assessed frequency to address anticipated risk to organizational systems and the organization based on current and accumulated threat intelligence."}, {"id": "RSK-04_RSK-04_A13", "name": "assessment-objective", "prose": "a risk assessment is conducted to determine the likelihood and impact of adverse effects on individuals arising from the processing of Personal Data (PD)."}, {"id": "RSK-04_RSK-04_A14", "name": "assessment-objective", "prose": "risk assessment results and risk management decisions from the organization and mission or business process perspectives are integrated with system-level risk assessments."}, {"id": "RSK-04_RSK-04_A15", "name": "assessment-objective", "prose": "risk assessment results are documented per organization-defined criteria."}, {"id": "RSK-04_RSK-04_A16", "name": "assessment-objective", "prose": "risk assessment results are reviewed frequently."}, {"id": "RSK-04_RSK-04_A17", "name": "assessment-objective", "prose": "the risk assessment is updated frequently or when there are significant changes to the system, its environment of operation or other conditions that may impact the cybersecurity / data privacy state of the system."}, {"id": "RSK-04_RSK-04_A18", "name": "assessment-objective", "prose": "risk to organizational operations, organizational assets and individuals resulting from the operation of an organizational system that processes, stores or transmits sensitive / regulated data is assessed with the defined frequency."}, {"id": "RSK-04_RSK-04_A19", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of sensitive / regulated data is assessed."}, {"id": "RSK-04_RSK-04_A20", "name": "assessment-objective", "prose": "risk assessments are updated per an organization-defined frequency."}, {"id": "RSK-04_RSK-04_A21", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of CUI is assessed."}, {"id": "RSK-04_RSK-04_A22", "name": "assessment-objective", "prose": "risk assessments are updated ."}]} \N \N \N \N +SCF:RSK-04.1 SCF RSK-04.1 Risk Register Mechanisms exist to maintain a risk register that facilitates monitoring and reporting of risks. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-04.1_RSK-04.1_A01", "name": "assessment-objective", "prose": "a risk register is maintained to facilitate the monitoring and reporting of risks."}]} \N \N \N \N +SCF:RSK-04.2 SCF RSK-04.2 Risk Assessment Methodology Mechanisms exist to implement a risk assessment methodology to ensure coverage for organizational components relevant for secure, compliant and resilient operations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-04.2_RSK-04.2_A01", "name": "assessment-objective", "prose": "a risk assessment methodology that can cover the organization's components relevant for secure, compliant and resilient operations is defined."}, {"id": "RSK-04.2_RSK-04.2_A02", "name": "assessment-objective", "prose": "a risk assessment methodology that covers the organization's components relevant for secure, compliant and resilient operations is implemented."}]} \N \N \N \N +SCF:RSK-04.3 SCF RSK-04.3 Instances Requiring A Risk Assessment Mechanisms exist to define instances that require a risk assessment to be performed. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-04.3_RSK-04.3_A01", "name": "assessment-objective", "prose": "instances that require a risk assessment to be performed are defined."}]} \N \N \N \N +SCF:RSK-04.4 SCF RSK-04.4 Risk Assessment Stakeholder Involvement Mechanisms exist to:\r\n(1) Define applicable stakeholders for each risk assessment;\r\n(2) Involve identified stakeholders in the risk assessment process; and\r\n(3) Provide identified stakeholders with results of the risk assessment, upon completion. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-04.4_RSK-04.4_A01", "name": "assessment-objective", "prose": "applicable stakeholders for each risk assessment are identified."}, {"id": "RSK-04.4_RSK-04.4_A02", "name": "assessment-objective", "prose": "identified stakeholders are involved in the risk assessment process."}, {"id": "RSK-04.4_RSK-04.4_A03", "name": "assessment-objective", "prose": "identified stakeholders are provided with results of the risk assessment, upon completion."}]} \N \N \N \N +SCF:RSK-05 SCF RSK-05 Risk Ranking Mechanisms exist to identify and assign a risk ranking to newly discovered security vulnerabilities that is based on industry-recognized practices. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-05_RSK-05_A01", "name": "assessment-objective", "prose": "newly discovered risks are ranked based on industry-recognized practices."}]} \N \N \N \N +SCF:RSK-06 SCF RSK-06 Risk Remediation Mechanisms exist to remediate risks to an acceptable level. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-06_RSK-06_A01", "name": "assessment-objective", "prose": "a defined risk threshold exists to determine what risk is and is not acceptable."}, {"id": "RSK-06_RSK-06_A02", "name": "assessment-objective", "prose": "data / process owners are held accountable to remediate risks to an acceptable level."}, {"id": "RSK-06_RSK-06_A03", "name": "assessment-objective", "prose": "the organization utilizes compensating controls to remediate control deficiencies to an acceptable level."}]} \N \N \N \N +SCF:TDA-06.4 SCF TDA-06.4 Supporting Toolchain Automated mechanisms exist to improve the accuracy, consistency and comprehensiveness of secure practices throughout the asset's lifecycle. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.4_TDA-06.4_A01", "name": "assessment-objective", "prose": "a supporting toolchain helps ensure the accuracy, consistency and comprehensiveness of secure practices throughout the asset's lifecycle."}]} \N \N \N \N +SCF:RSK-06.1 SCF RSK-06.1 Risk Response Mechanisms exist to ensure proper risk response actions were performed to remediate findings from security, compliance and/or resilience-related:\r\n(1) Assessments;\r\n(2) Audits; and/or\r\n(3) Incidents. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-06.1_RSK-06.1_A01", "name": "assessment-objective", "prose": "findings from security assessments are responded to in accordance with organizational risk tolerance."}, {"id": "RSK-06.1_RSK-06.1_A02", "name": "assessment-objective", "prose": "findings from security assessments are responded to."}, {"id": "RSK-06.1_RSK-06.1_A03", "name": "assessment-objective", "prose": "findings from security monitoring are responded to."}, {"id": "RSK-06.1_RSK-06.1_A04", "name": "assessment-objective", "prose": "findings from security audits are responded to."}]} \N \N \N \N +SCF:RSK-06.2 SCF RSK-06.2 Compensating Countermeasures Mechanisms exist to identify and implement compensating countermeasures to reduce risk and exposure to threats. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-06.2_RSK-06.2_A01", "name": "assessment-objective", "prose": "identify and implement compensating countermeasures to reduce risk and exposure to threats."}]} \N \N \N \N +SCF:RSK-06.3 SCF RSK-06.3 Risk Treatment Options Mechanisms exist to select appropriate risk treatment options, based on applicable risk assessment findings. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-06.3_RSK-06.3_A01", "name": "assessment-objective", "prose": "risk treatment options are defined."}, {"id": "RSK-06.3_RSK-06.3_A02", "name": "assessment-objective", "prose": "appropriate risk treatment options, based on applicable risk assessment findings, are selected."}]} \N \N \N \N +SCF:RSK-06.4 SCF RSK-06.4 Risk Treatment Plan (RTP) Mechanisms exist to formalize a Risk Treatment Plan (RTP) that applicable stakeholders will utilize to remediate identified risks according to a defined timeline. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-06.4_RSK-06.4_A01", "name": "assessment-objective", "prose": "a Risk Treatment Plan (RTP) format is defined."}, {"id": "RSK-06.4_RSK-06.4_A02", "name": "assessment-objective", "prose": "a Risk Treatment Plan (RTP) is utilized for applicable stakeholders to remediate identified risks according to a defined timeline."}]} \N \N \N \N +SCF:RSK-07 SCF RSK-07 Risk Assessment Update Mechanisms exist to routinely update risk assessments and react accordingly upon identifying new security vulnerabilities, including using outside sources for security vulnerability information. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-07_RSK-07_A01", "name": "assessment-objective", "prose": "the frequency at which to update the risk assessment is defined."}, {"id": "RSK-07_RSK-07_A02", "name": "assessment-objective", "prose": "risk assessments are updated per an organization-defined frequency."}, {"id": "RSK-07_RSK-07_A03", "name": "assessment-objective", "prose": "risk assessments are updated ."}]} \N \N \N \N +SCF:RSK-08 SCF RSK-08 Business Impact Analysis (BIA) Mechanisms exist to conduct a Business Impact Analysis (BIA) to identify and assess security, compliance and resilience risks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-08_RSK-08_A01", "name": "assessment-objective", "prose": "a Business Impact Analysis (BIA) is conducted to identify and evaluate the impacts of possible disruptions."}]} \N \N \N \N +SCF:RSK-09 SCF RSK-09 Supply Chain Risk Management (SCRM) Plan Mechanisms exist to develop a plan for Supply Chain Risk Management (SCRM) associated with the development, acquisition, maintenance and disposal of Technology Assets, Applications and/or Services (TAAS), including documenting selected mitigating actions and monitoring performance against those plans. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-09_RSK-09_A01", "name": "assessment-objective", "prose": "an organization-wide strategy for managing supply chain risks is developed."}, {"id": "RSK-09_RSK-09_A02", "name": "assessment-objective", "prose": "supply chain risks associated with organizational systems and system components are identified."}, {"id": "RSK-09_RSK-09_A03", "name": "assessment-objective", "prose": "the supply chain risk management strategy is implemented consistently across the organization."}, {"id": "RSK-09_RSK-09_A04", "name": "assessment-objective", "prose": "a plan for managing supply chain risks is developed."}, {"id": "RSK-09_RSK-09_A05", "name": "assessment-objective", "prose": "security requirements to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences from supply chain-related events are defined."}, {"id": "RSK-09_RSK-09_A06", "name": "assessment-objective", "prose": "the supply chain risk management strategy is reviewed / updated per an organization-defined frequency or as required to address organizational changes."}, {"id": "RSK-09_RSK-09_A07", "name": "assessment-objective", "prose": "the frequency at which to review and update the supply chain risk management plan is defined."}, {"id": "RSK-09_RSK-09_A08", "name": "assessment-objective", "prose": "the plan for managing supply chain risks is updated frequently."}, {"id": "RSK-09_RSK-09_A09", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the research and development of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A10", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the design of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A11", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the manufacturing of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A12", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the acquisition of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A13", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the delivery of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A14", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the integration of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A15", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the operation of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A16", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the maintenance of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A17", "name": "assessment-objective", "prose": "the SCRM plan addresses risks associated with the disposal of the system, system components, or system services."}, {"id": "RSK-09_RSK-09_A18", "name": "assessment-objective", "prose": "the SCRM plan is reviewed per an organization-defined frequency."}, {"id": "RSK-09_RSK-09_A19", "name": "assessment-objective", "prose": "the SCRM plan is updated per an organization-defined frequency."}, {"id": "RSK-09_RSK-09_A20", "name": "assessment-objective", "prose": "the SCRM plan is protected from unauthorized disclosure."}, {"id": "RSK-09_RSK-09_A21", "name": "assessment-objective", "prose": "the supply chain risk management plan is protected from unauthorized modification."}, {"id": "RSK-09_RSK-09_A22", "name": "assessment-objective", "prose": "Operations Security (OPSEC) controls to protect supply chain-related information for the system, system component or system service are defined."}, {"id": "RSK-09_RSK-09_A23", "name": "assessment-objective", "prose": "OPSEC controls are employed to protect supply chain-related information for the system, system component or system service."}, {"id": "RSK-09_RSK-09_A24", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of sensitive / regulated data is assessed."}, {"id": "RSK-09_RSK-09_A25", "name": "assessment-objective", "prose": "a process for identifying weaknesses or deficiencies in the supply chain elements and processes is established."}, {"id": "RSK-09_RSK-09_A26", "name": "assessment-objective", "prose": "organization-defined security requirements are enforced to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences of supply chain-related events."}, {"id": "RSK-09_RSK-09_A27", "name": "assessment-objective", "prose": "a process for addressing weaknesses or deficiencies in the supply chain elements and processes is established."}, {"id": "RSK-09_RSK-09_A28", "name": "assessment-objective", "prose": "the risk (including supply chain risk) of unauthorized disclosure resulting from the processing, storage, or transmission of CUI is assessed."}, {"id": "RSK-09_RSK-09_A29", "name": "assessment-objective", "prose": "the SCRM plan is reviewed ."}, {"id": "RSK-09_RSK-09_A30", "name": "assessment-objective", "prose": "the SCRM plan is updated ."}, {"id": "RSK-09_RSK-09_A31", "name": "assessment-objective", "prose": "the following security requirements are enforced to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences of supply chain-related events: ."}]} \N \N \N \N +SCF:RSK-09.1 SCF RSK-09.1 Supply Chain Risk Assessment Mechanisms exist to periodically assess supply chain risks associated with Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-09.1_RSK-09.1_A01", "name": "assessment-objective", "prose": "supply chain risks associated with organizational systems and system components are identified."}, {"id": "RSK-09.1_RSK-09.1_A02", "name": "assessment-objective", "prose": "supply chain risks associated with organizational systems and system components are assessed."}, {"id": "RSK-09.1_RSK-09.1_A03", "name": "assessment-objective", "prose": "supply chain risks associated with organizational systems and system components are responded to."}, {"id": "RSK-09.1_RSK-09.1_A04", "name": "assessment-objective", "prose": "supply chain risks associated with organizational systems and system components are monitored."}, {"id": "RSK-09.1_RSK-09.1_A05", "name": "assessment-objective", "prose": "the frequency at which to update the supply chain risk assessment is defined."}, {"id": "RSK-09.1_RSK-09.1_A06", "name": "assessment-objective", "prose": "the supply chain risk assessment is updated frequently, when there are significant changes to the relevant supply chain or when changes to the system, environments of operation or other conditions may necessitate a change in the supply chain."}]} \N \N \N \N +SCF:RSK-09.2 SCF RSK-09.2 AI & Autonomous Technologies Supply Chain Impacts Mechanisms exist to address Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks and benefits arising from the organization's supply chain, including third-party software and data. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-09.2_RSK-09.2_A01", "name": "assessment-objective", "prose": "Supply Chain Risk Management (SCRM) practices address Artificial Intelligence (AI) and Autonomous Technologies (AAT)-related risks and benefits arising from the organization's supply chain, including third-party software and data."}]} \N \N \N \N +SCF:OPS-06 SCF OPS-06 Security Orchestration, Automation, and Response (SOAR) Mechanisms exist to utilize Security Orchestration, Automation and Response (SOAR) tools to define, prioritize and automate the response to security incidents. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-06_OPS-06_A01", "name": "assessment-objective", "prose": "Security Orchestration, Automation and Response (SOAR) tools are used to define, prioritize and automate responses to security incidents."}]} \N \N \N \N +SCF:RSK-10 SCF RSK-10 Data Protection Impact Assessment (DPIA) Mechanisms exist to conduct a Data Protection Impact Assessment (DPIA) on Technology Assets, Applications and/or Services (TAAS) that store, process and/or transmit Personal Data (PD) to identify and remediate reasonably-expected risks. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-10_RSK-10_A01", "name": "assessment-objective", "prose": "Data Protection Impact Assessments (DPIAs) are conducted for systems, programs or other activities before developing or procuring information technology that processes Personal Data (PD)."}, {"id": "RSK-10_RSK-10_A02", "name": "assessment-objective", "prose": "Data Protection Impact Assessments (DPIAs) are conducted for systems, programs or other activities before initiating a collection of Personal Data (PD) that will be processed using information technology."}, {"id": "RSK-10_RSK-10_A03", "name": "assessment-objective", "prose": "Data Protection Impact Assessments (DPIAs) are conducted for systems, programs or other activities before initiating a collection of Personal Data (PD) that includes Personal Data (PD) permitting the physical or virtual (online) contacting of a specific individual."}]} \N \N \N \N +SCF:RSK-11 SCF RSK-11 Risk Monitoring Mechanisms exist to ensure risk monitoring as an integral part of the continuous monitoring strategy that includes monitoring the effectiveness of security, compliance and resilience controls, compliance and change management. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-11_RSK-11_A01", "name": "assessment-objective", "prose": "risk monitoring is an integral part of the continuous monitoring strategy."}, {"id": "RSK-11_RSK-11_A02", "name": "assessment-objective", "prose": "effectiveness monitoring is included in risk monitoring."}, {"id": "RSK-11_RSK-11_A03", "name": "assessment-objective", "prose": "compliance monitoring is included in risk monitoring."}, {"id": "RSK-11_RSK-11_A04", "name": "assessment-objective", "prose": "change monitoring is included in risk monitoring."}]} \N \N \N \N +SCF:RSK-12 SCF RSK-12 Risk Culture Mechanisms exist to ensure teams are committed to a culture that considers and communicates technology-related risk. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-12_RSK-12_A01", "name": "assessment-objective", "prose": "an executive steering committee, or advisory board, defines the organization's risk culture."}, {"id": "RSK-12_RSK-12_A02", "name": "assessment-objective", "prose": "a Chief Risk Officer (CRO), or similar position, is tasked with operationalizing the defined risk culture criteria throughout the organization's Business As Usual (BAU) activities."}]} \N \N \N \N +SCF:RSK-13 SCF RSK-13 Executive Leadership Approval For Managing Material Risk Mechanisms exist to obtain executive leadership approval for risk management decisions involving material risk. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-13_RSK-13_A01", "name": "assessment-objective", "prose": "material risk thresholds are defined."}, {"id": "RSK-13_RSK-13_A02", "name": "assessment-objective", "prose": "executive leadership approval for risk management decisions involving material risk is defined."}, {"id": "RSK-13_RSK-13_A03", "name": "assessment-objective", "prose": "executive leadership approval for risk management decisions involving material risk is obtained."}, {"id": "RSK-13_RSK-13_A04", "name": "assessment-objective", "prose": "executive leadership approval for risk management decisions involving material risk is documented."}]} \N \N \N \N +SCF:RSK-13.1 SCF RSK-13.1 Documented Alternatives Mechanisms exist to document alternative courses of action to ensure executive leadership is reasonably informed of options to manage material risks, including potential:\r\n(1) Benefits;\r\n(2) Drawbacks (including technical limitations);\r\n(3) Costs; and\r\n(4) Timelines. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-13.1_RSK-13.1_A01", "name": "assessment-objective", "prose": "potential courses of action are developed to manage material risks with necessary information to make an informed decision."}, {"id": "RSK-13.1_RSK-13.1_A02", "name": "assessment-objective", "prose": "potential courses of action to manage material risks are presented to executive leadership."}]} \N \N \N \N +SCF:RSK-13.2 SCF RSK-13.2 Documented Justification For Material Risk Management Decisions Mechanisms exist to document executive leadership justification for selecting a specific course of action to manage material risk. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Risk Management", "assessment_objective": [{"id": "RSK-13.2_RSK-13.3_A01", "name": "assessment-objective", "prose": "acceptable methods to document executive leadership justification for selecting a specific course of action to manage material risk are defined."}, {"id": "RSK-13.2_RSK-13.3_A02", "name": "assessment-objective", "prose": "executive leadership justification for selecting a specific course of action to manage material risk are documented."}]} \N \N \N \N +SCF:SEA-01 SCF SEA-01 Secure Engineering Principles Mechanisms exist to facilitate the implementation of industry-recognized security, compliance and resilience practices in the specification, design, development, implementation and modification of Technology Assets, Applications and/or Services (TAAS). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-01_SEA-01_A01", "name": "assessment-objective", "prose": "secure engineering principles are defined."}, {"id": "SEA-01_SEA-01_A02", "name": "assessment-objective", "prose": "data privacy engineering principles are defined."}, {"id": "SEA-01_SEA-01_A03", "name": "assessment-objective", "prose": "architectural designs that promote effective cybersecurity / data privacy are identified."}, {"id": "SEA-01_SEA-01_A04", "name": "assessment-objective", "prose": "systems engineering principles that promote effective cybersecurity / data privacy are identified."}, {"id": "SEA-01_SEA-01_A05", "name": "assessment-objective", "prose": "identified architectural designs that promote effective cybersecurity / data privacy are employed."}, {"id": "SEA-01_SEA-01_A06", "name": "assessment-objective", "prose": "identified systems engineering principles that promote effective cybersecurity / data privacy are employed."}, {"id": "SEA-01_SEA-01_A07", "name": "assessment-objective", "prose": "systems security engineering principles to be applied to the development or modification of the system and system components are defined."}, {"id": "SEA-01_SEA-01_A08", "name": "assessment-objective", "prose": "systems security engineering principles are applied in the specification of the system and system components."}, {"id": "SEA-01_SEA-01_A09", "name": "assessment-objective", "prose": "cybersecurity / data privacy engineering principles are applied in the design of the system and system components."}, {"id": "SEA-01_SEA-01_A10", "name": "assessment-objective", "prose": "cybersecurity / data privacy engineering principles are applied in the development of the system and system components."}, {"id": "SEA-01_SEA-01_A11", "name": "assessment-objective", "prose": "cybersecurity / data privacy engineering principles are applied in the implementation of the system and system components."}, {"id": "SEA-01_SEA-01_A12", "name": "assessment-objective", "prose": "cybersecurity / data privacy engineering principles are applied in the modification of the system and system components."}, {"id": "SEA-01_SEA-01_A13", "name": "assessment-objective", "prose": "thresholds to which attack surfaces are to be reduced are defined."}, {"id": "SEA-01_SEA-01_A14", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to reduce attack surfaces to organization-defined thresholds."}, {"id": "SEA-01_SEA-01_A15", "name": "assessment-objective", "prose": "systems are prevented from entering unsecure states in the event of an operational failure of a boundary protection device."}, {"id": "SEA-01_SEA-01_A16", "name": "assessment-objective", "prose": "Secure Engineering & Architecture (SEA) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "SEA-01_SEA-01_A17", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Secure Engineering & Architecture (SEA) operations."}, {"id": "SEA-01_SEA-01_A18", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Secure Engineering & Architecture (SEA)-related activities are assigned to designated personnel."}, {"id": "SEA-01_SEA-01_A19", "name": "assessment-objective", "prose": "personnel performing Secure Engineering & Architecture (SEA)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:SEA-01.2 SCF SEA-01.2 Achieving Resilience Requirements Mechanisms exist to achieve resilience requirements in normal and adverse situations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-01.2_SEA-01.2_A01", "name": "assessment-objective", "prose": "the organization's goals for resiliency are defined for normal and adverse situations."}, {"id": "SEA-01.2_SEA-01.2_A02", "name": "assessment-objective", "prose": "solutions exist to achieve resilience requirements in normal situations."}, {"id": "SEA-01.2_SEA-01.2_A03", "name": "assessment-objective", "prose": "solutions exist to achieve resilience requirements in adverse situations."}]} \N \N \N \N +SCF:SEA-01.3 SCF SEA-01.3 Resilience Capabilities Mechanisms exist to ensure security, compliance and resilience are designed and implemented to provide resistance to:\r\n(1) Unintentional errors (by users or software); and \r\n(2) Intentional attack or circumvention. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-01.3_SEA-01.3_A01", "name": "assessment-objective", "prose": "cybersecurity and data protection controls are designed and implemented to provide resistance to unintentional errors (by users or software)."}, {"id": "SEA-01.3_SEA-01.3_A02", "name": "assessment-objective", "prose": "cybersecurity and data protection controls are designed and implemented to provide resistance to intentional attack or circumvention."}]} \N \N \N \N +SCF:SEA-02 SCF SEA-02 Alignment With Enterprise Architecture Mechanisms exist to develop an enterprise architecture, aligned with industry-recognized leading practices, with consideration for security, compliance and resilience principles that addresses risk to organizational operations, assets, individuals and other organizations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-02_SEA-02_A01", "name": "assessment-objective", "prose": "an enterprise architecture is developed with consideration for cybersecurity / data privacy."}, {"id": "SEA-02_SEA-02_A02", "name": "assessment-objective", "prose": "an enterprise architecture is maintained with consideration for cybersecurity / data privacy."}, {"id": "SEA-02_SEA-02_A03", "name": "assessment-objective", "prose": "an enterprise architecture is developed with consideration for the resulting risk to organizational operations and assets, individuals and other organizations."}, {"id": "SEA-02_SEA-02_A04", "name": "assessment-objective", "prose": "an enterprise architecture is maintained with consideration for the resulting risk to organizational operations and assets, individuals and other organizations."}, {"id": "SEA-02_SEA-02_A05", "name": "assessment-objective", "prose": "frequency for review / update to reflect changes in the enterprise architecture."}, {"id": "SEA-02_SEA-02_A06", "name": "assessment-objective", "prose": "a cybersecurity / data privacy architecture for the system describes the requirements and approach to be taken for protecting the confidentiality, integrity and availability of organizational information."}, {"id": "SEA-02_SEA-02_A07", "name": "assessment-objective", "prose": "a cybersecurity / data privacy architecture for the system describes how the architecture is integrated into and supports the enterprise architecture."}, {"id": "SEA-02_SEA-02_A08", "name": "assessment-objective", "prose": "a cybersecurity / data privacy architecture for the system describes any assumptions about and dependencies on external systems and services."}, {"id": "SEA-02_SEA-02_A09", "name": "assessment-objective", "prose": "changes in the enterprise architecture are reviewed / updated per an organization-defined frequency to reflect changes in the enterprise architecture."}, {"id": "SEA-02_SEA-02_A10", "name": "assessment-objective", "prose": "planned architecture changes are reflected in the cybersecurity / data privacy plan."}, {"id": "SEA-02_SEA-02_A11", "name": "assessment-objective", "prose": "planned architecture changes are reflected in the Concept of Operations (CONOPS)."}, {"id": "SEA-02_SEA-02_A12", "name": "assessment-objective", "prose": "planned architecture changes are reflected in criticality analysis."}, {"id": "SEA-02_SEA-02_A13", "name": "assessment-objective", "prose": "planned architecture changes are reflected in organizational procedures."}, {"id": "SEA-02_SEA-02_A14", "name": "assessment-objective", "prose": "planned architecture changes are reflected in procurements and acquisitions."}]} \N \N \N \N +SCF:SEA-02.1 SCF SEA-02.1 Standardized Terminology Mechanisms exist to standardize technology and process terminology to reduce confusion amongst groups and departments. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-02.1_SEA-02.1_A01", "name": "assessment-objective", "prose": "technology and process terminology is standardized to reduce confusion amongst groups and departments."}]} \N \N \N \N +SCF:SEA-02.2 SCF SEA-02.2 Outsourcing Non-Essential Functions or Services Mechanisms exist to identify non-essential functions or services that are capable of being outsourced to external service providers and align with the organization's enterprise architecture and security standards. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-02.2_SEA-02.2_A01", "name": "assessment-objective", "prose": "non-essential functions or services to be offloaded are defined."}, {"id": "SEA-02.2_SEA-02.2_A02", "name": "assessment-objective", "prose": "non-essential functions or services are offloaded to other systems, system components or an external provider."}]} \N \N \N \N +SCF:SEA-02.3 SCF SEA-02.3 Technical Debt Reviews Mechanisms exist to conduct ongoing “technical debt” reviews of hardware and software technologies to remediate outdated and/or unsupported technologies. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-02.3_SEA-02.3_A01", "name": "assessment-objective", "prose": "“technical debt” reviews of hardware and software technologies are routinely conducted."}, {"id": "SEA-02.3_SEA-02.3_A02", "name": "assessment-objective", "prose": "the results of “technical debt” reviews are leveraged as justification to remediate outdated and/or unsupported technologies."}]} \N \N \N \N +SCF:SEA-03 SCF SEA-03 Defense-In-Depth (DiD) Architecture Mechanisms exist to implement security functions as a layered structure minimizing interactions between layers of the design and avoiding any dependence by lower layers on the functionality or correctness of higher layers. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-03_SEA-03_A01", "name": "assessment-objective", "prose": "security functions are implemented as a layered structure, minimizing interactions between layers of the design and avoiding any dependence by lower layers on the functionality or correctness of higher layers."}, {"id": "SEA-03_SEA-03_A02", "name": "assessment-objective", "prose": "the cybersecurity / data privacy architecture for the system is designed using a defense-in-depth approach that allocates controls to locations and architectural layers."}, {"id": "SEA-03_SEA-03_A03", "name": "assessment-objective", "prose": "the cybersecurity / data privacy architecture for the system is designed using a defense-in-depth approach that ensures the allocated controls operate in a coordinated and mutually reinforcing manner."}, {"id": "SEA-03_SEA-03_A04", "name": "assessment-objective", "prose": "controls to be allocated are defined."}, {"id": "SEA-03_SEA-03_A05", "name": "assessment-objective", "prose": "locations and architectural layers are defined."}]} \N \N \N \N +SCF:SEA-07.1 SCF SEA-07.1 Technology Lifecycle Management Mechanisms exist to manage the usable lifecycles of Technology Assets, Applications and/or Services (TAAS). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-07.1_SEA-07.1_A01", "name": "assessment-objective", "prose": "a technology refresh schedule is planned for the system throughout the system development life cycle."}, {"id": "SEA-07.1_SEA-07.1_A02", "name": "assessment-objective", "prose": "a technology refresh schedule is implemented for the system throughout the system development life cycle."}, {"id": "SEA-07.1_SEA-07.1_A03", "name": "assessment-objective", "prose": "system pre-production environments are protected commensurate with risk throughout the system development life cycle for the system, system component or system service."}]} \N \N \N \N +SCF:SEA-03.1 SCF SEA-03.1 System Partitioning Mechanisms exist to partition systems so that partitions reside in separate physical domains or environments. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-03.1_SEA-03.1_A01", "name": "assessment-objective", "prose": "system components to reside in separate physical or logical domains or environments based on circumstances for the physical or logical separation of components are defined."}, {"id": "SEA-03.1_SEA-03.1_A02", "name": "assessment-objective", "prose": "circumstances for the physical or logical separation of components are defined."}, {"id": "SEA-03.1_SEA-03.1_A03", "name": "assessment-objective", "prose": "the system is partitioned into system components residing in separate organization-defined criteria domains or environments based on circumstances for the physical or logical separation of components."}]} \N \N \N \N +SCF:SEA-03.2 SCF SEA-03.2 Application Partitioning Mechanisms exist to separate user functionality from system management functionality. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-03.2_SEA-03.2_A01", "name": "assessment-objective", "prose": "user functionality is identified."}, {"id": "SEA-03.2_SEA-03.2_A02", "name": "assessment-objective", "prose": "system management functionality is identified."}, {"id": "SEA-03.2_SEA-03.2_A03", "name": "assessment-objective", "prose": "user functionality is separated from system management functionality."}, {"id": "SEA-03.2_SEA-03.2_A04", "name": "assessment-objective", "prose": "the presentation of system management functionality is prevented at interfaces to non-privileged users."}, {"id": "SEA-03.2_SEA-03.2_A05", "name": "assessment-objective", "prose": "state information is stored separately from applications and software."}]} \N \N \N \N +SCF:SEA-04 SCF SEA-04 Process Isolation Mechanisms exist to implement a separate execution domain for each executing process. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-04_SEA-04_A01", "name": "assessment-objective", "prose": "a separate execution domain is maintained for each executing system process."}]} \N \N \N \N +SCF:SEA-04.1 SCF SEA-04.1 Security Function Isolation Mechanisms exist to isolate security functions from non-security functions. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-04.1_SEA-04.1_A01", "name": "assessment-objective", "prose": "security functions are isolated from non-security functions."}]} \N \N \N \N +SCF:SEA-04.2 SCF SEA-04.2 Hardware Separation Mechanisms exist to implement underlying hardware separation mechanisms to facilitate process separation. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-04.2_SEA-04.2_A01", "name": "assessment-objective", "prose": "hardware separation is implemented to facilitate process isolation."}]} \N \N \N \N +SCF:SEA-04.3 SCF SEA-04.3 Thread Separation Mechanisms exist to maintain a separate execution domain for each thread in multi-threaded processing. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-04.3_SEA-04.3_A01", "name": "assessment-objective", "prose": "multi-thread processing for which a separate execution domain is to be maintained for each thread is defined."}, {"id": "SEA-04.3_SEA-04.3_A02", "name": "assessment-objective", "prose": "a separate execution domain is maintained for each thread in organization-defined multi-threaded processing."}]} \N \N \N \N +SCF:SEA-04.4 SCF SEA-04.4 System Privileges Isolation Mechanisms exist to isolate, or logically separate, any application, service and/or process running with system privileges. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-04.4_SEA-04.4_A01", "name": "assessment-objective", "prose": "systems are configured to isolate, or logically separate, any application, service and/or process running with system privileges."}]} \N \N \N \N +SCF:SEA-05 SCF SEA-05 Information In Shared Resources Mechanisms exist to prevent unauthorized and unintended information transfer via shared system resources. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-05_SEA-05_A01", "name": "assessment-objective", "prose": "unauthorized information transfer via shared system resources is prevented."}, {"id": "SEA-05_SEA-05_A02", "name": "assessment-objective", "prose": "unintended information transfer via shared system resources is prevented."}]} \N \N \N \N +SCF:SEA-06 SCF SEA-06 Prevent Program Execution Automated mechanisms exist to prevent the execution of unauthorized software programs. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-06_SEA-06_A01", "name": "assessment-objective", "prose": "policies, rules of behavior, and/or access agreements regarding software program usage and restrictions are defined."}, {"id": "SEA-06_SEA-06_A02", "name": "assessment-objective", "prose": "program execution is prevented in accordance with organization-defined criteria."}]} \N \N \N \N +SCF:SEA-07 SCF SEA-07 Predictable Failure Analysis Mechanisms exist to determine the Mean Time to Failure (MTTF) for system components in specific environments of operation. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-07_SEA-07_A01", "name": "assessment-objective", "prose": "system components for which Mean Time to Failure (MTTF) should be determined are defined."}, {"id": "SEA-07_SEA-07_A02", "name": "assessment-objective", "prose": "Mean Time to Failure (MTTF) substitution criteria to be used as a means to exchange active and standby components are defined."}, {"id": "SEA-07_SEA-07_A03", "name": "assessment-objective", "prose": "Mean Time to Failure (MTTF) is determined for system components in specific environments of operation."}, {"id": "SEA-07_SEA-07_A04", "name": "assessment-objective", "prose": "substitute system components and a means to exchange active and standby components are provided in accordance with Mean Time to Failure (MTTF) substitution criteria."}]} \N \N \N \N +SCF:SEA-07.2 SCF SEA-07.2 Fail Secure Mechanisms exist to enable systems to fail to an organization-defined known-state for types of failures, preserving system state information in failure. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-07.2_SEA-07.2_A01", "name": "assessment-objective", "prose": "restrictions for safe mode of operation are defined."}, {"id": "SEA-07.2_SEA-07.2_A02", "name": "assessment-objective", "prose": "conditions detected to enter a safe mode of operation are defined."}, {"id": "SEA-07.2_SEA-07.2_A03", "name": "assessment-objective", "prose": "a safe mode of operation is entered with restrictions when conditions are detected."}, {"id": "SEA-07.2_SEA-07.2_A04", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of secure failure are defined."}, {"id": "SEA-07.2_SEA-07.2_A05", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of secure recovery are defined."}, {"id": "SEA-07.2_SEA-07.2_A06", "name": "assessment-objective", "prose": "systems or system components implement the security design principle of secure failure."}, {"id": "SEA-07.2_SEA-07.2_A07", "name": "assessment-objective", "prose": "systems or system components implement the security design principle of secure recovery."}, {"id": "SEA-07.2_SEA-07.2_A08", "name": "assessment-objective", "prose": "types of system failures for which the system components fail to a known state are defined."}, {"id": "SEA-07.2_SEA-07.2_A09", "name": "assessment-objective", "prose": "known system state to which system components fail in the event of a system failure is defined."}, {"id": "SEA-07.2_SEA-07.2_A10", "name": "assessment-objective", "prose": "system state information to be preserved in the event of a system failure is defined."}, {"id": "SEA-07.2_SEA-07.2_A11", "name": "assessment-objective", "prose": "types of system failures on system components fail to a known system state while preserving system state information in failure."}]} \N \N \N \N +SCF:SEA-07.3 SCF SEA-07.3 Fail Safe Mechanisms exist to implement fail-safe procedures when failure conditions occur. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-07.3_SEA-07.3_A01", "name": "assessment-objective", "prose": "fail-safe procedures associated with failure conditions are defined."}, {"id": "SEA-07.3_SEA-07.3_A02", "name": "assessment-objective", "prose": "a list of failure conditions requiring fail-safe procedures is defined."}, {"id": "SEA-07.3_SEA-07.3_A03", "name": "assessment-objective", "prose": "fail-safe procedures are implemented when list of failure conditions occur."}]} \N \N \N \N +SCF:SEA-08 SCF SEA-08 Non-Persistence Mechanisms exist to implement non-persistent system components and services that are initiated in a known state and terminated upon the end of the session of use or periodically at an organization-defined frequency. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-08_SEA-08_A01", "name": "assessment-objective", "prose": "non-persistent system components and services to be implemented are defined."}, {"id": "SEA-08_SEA-08_A02", "name": "assessment-objective", "prose": "the frequency at which to terminate non-persistent components and services that are initiated in a known state is defined."}, {"id": "SEA-08_SEA-08_A03", "name": "assessment-objective", "prose": "non-persistent system components and services that are initiated in a known state are implemented."}, {"id": "SEA-08_SEA-08_A04", "name": "assessment-objective", "prose": "non-persistent system components and services are terminated per organization-defined criteria."}]} \N \N \N \N +SCF:SEA-08.1 SCF SEA-08.1 Refresh from Trusted Sources Mechanisms exist to ensure that software and data needed for system component and service refreshes are obtained from trusted sources. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-08.1_SEA-08.1_A01", "name": "assessment-objective", "prose": "a technology refresh schedule is planned for the system throughout the system development life cycle."}, {"id": "SEA-08.1_SEA-08.1_A02", "name": "assessment-objective", "prose": "a technology refresh schedule is implemented for the system throughout the system development life cycle."}, {"id": "SEA-08.1_SEA-08.1_A03", "name": "assessment-objective", "prose": "trusted sources to obtain software and data for system component and service refreshes are defined."}, {"id": "SEA-08.1_SEA-08.1_A04", "name": "assessment-objective", "prose": "the software and data employed during system component and service refreshes are obtained from organization-defined trusted sources."}, {"id": "SEA-08.1_SEA-08.1_A05", "name": "assessment-objective", "prose": "approved systems and system components are identified."}, {"id": "SEA-08.1_SEA-08.1_A06", "name": "assessment-objective", "prose": "implemented system components are identified."}, {"id": "SEA-08.1_SEA-08.1_A07", "name": "assessment-objective", "prose": "an authoritative source and repository are established to provide a trusted source and accountability for approved and implemented system components."}, {"id": "SEA-08.1_SEA-08.1_A08", "name": "assessment-objective", "prose": "an authoritative source and repository are maintained to provide a trusted source and accountability for approved and implemented system components."}, {"id": "SEA-08.1_SEA-08.1_A09", "name": "assessment-objective", "prose": "systems and system components to refresh from a known, trusted state are defined."}, {"id": "SEA-08.1_SEA-08.1_A10", "name": "assessment-objective", "prose": "the frequency to refresh systems and systems components is defined."}, {"id": "SEA-08.1_SEA-08.1_A11", "name": "assessment-objective", "prose": "a known, trusted state is identified for systems and system components."}, {"id": "SEA-08.1_SEA-08.1_A12", "name": "assessment-objective", "prose": "systems and system components are refreshed from a known, trusted state per an organization-defined frequency."}]} \N \N \N \N +SCF:SEA-09 SCF SEA-09 Information Output Filtering Mechanisms exist to validate information output from software programs and/or applications to ensure that the information is consistent with the expected content. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-09_SEA-09_A01", "name": "assessment-objective", "prose": "software programs and/or applications whose information output requires validation are defined."}, {"id": "SEA-09_SEA-09_A02", "name": "assessment-objective", "prose": "information output from organization-defined software programs and/or applications is validated to ensure that the information is consistent with the expected content."}]} \N \N \N \N +SCF:SEA-09.1 SCF SEA-09.1 Limit Personal Data (PD) Dissemination Mechanisms exist to limit the dissemination of Personal Data (PD) to organization-defined elements identified in the Data Protection Impact Assessment (DPIA) and consistent with authorized purposes. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-09.1_SEA-09.1_A01", "name": "assessment-objective", "prose": "the dissemination of Personal Data (PD) is restricted to organization-defined elements identified in the Data Protection Impact Assessment (DPIA) and consistent with authorized purposes."}]} \N \N \N \N +SCF:SEA-10 SCF SEA-10 Memory Protection Mechanisms exist to implement security safeguards to protect system memory from unauthorized code execution. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-10_SEA-10_A01", "name": "assessment-objective", "prose": "controls to be implemented to protect the system memory from unauthorized code execution are defined."}, {"id": "SEA-10_SEA-10_A02", "name": "assessment-objective", "prose": "controls are implemented to protect the system memory from unauthorized code execution."}]} \N \N \N \N +SCF:SEA-14.2 SCF SEA-14.2 Change Processing & Storage Locations Automated mechanisms exist to change the location of processing and/or storage at random time intervals. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-14.2_SEA-14.2_A01", "name": "assessment-objective", "prose": "processing and/or storage locations to be changed are defined."}, {"id": "SEA-14.2_SEA-14.2_A02", "name": "assessment-objective", "prose": "time frequency at which to change the location of processing and/or storage is defined."}, {"id": "SEA-14.2_SEA-14.2_A03", "name": "assessment-objective", "prose": "the location of processing and/or storage is changed per an organization-defined criteria."}]} \N \N \N \N +SCF:WEB-12 SCF WEB-12 Web Browser Security Mechanisms exist to ensure web applications implement Content-Security-Policy, HSTS and X-Frame-Options response headers to protect both the web application and its users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-12_WEB-12_A01", "name": "assessment-objective", "prose": "web applications implement Content-Security-Policy, HSTS and X-Frame-Options response headers to protect both the web application and its users."}]} \N \N \N \N +SCF:SEA-11 SCF SEA-11 Honeypots Mechanisms exist to utilize honeypots that are specifically designed to be the target of malicious attacks for the purpose of detecting, deflecting and analyzing such attacks. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-11_SEA-11_A01", "name": "assessment-objective", "prose": "environments or resources which may contain or may be related to anomalous or suspected adversarial behavior are defined."}, {"id": "SEA-11_SEA-11_A02", "name": "assessment-objective", "prose": "anomalous or suspected adversarial behavior in or related to organization-defined environments or resources are analyzed."}, {"id": "SEA-11_SEA-11_A03", "name": "assessment-objective", "prose": "components within organizational systems specifically designed to be the target of malicious attacks are included to detect such attacks."}, {"id": "SEA-11_SEA-11_A04", "name": "assessment-objective", "prose": "components within organizational systems specifically designed to be the target of malicious attacks are included to deflect such attacks."}, {"id": "SEA-11_SEA-11_A05", "name": "assessment-objective", "prose": "components within organizational systems specifically designed to be the target of malicious attacks are included to analyze such attacks."}, {"id": "SEA-11_SEA-11_A06", "name": "assessment-objective", "prose": "technical and procedural means to confuse and mislead adversaries are defined."}, {"id": "SEA-11_SEA-11_A07", "name": "assessment-objective", "prose": "technical and procedural means are employed to confuse and mislead adversaries."}]} \N \N \N \N +SCF:SEA-12 SCF SEA-12 Honeyclients Mechanisms exist to utilize honeyclients that proactively seek to identify malicious websites and/or web-based malicious code. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-12_SEA-12_A01", "name": "assessment-objective", "prose": "system components that proactively seek to identify network-based malicious code or malicious websites are included."}, {"id": "SEA-12_SEA-12_A02", "name": "assessment-objective", "prose": "environments or resources which may contain or may be related to anomalous or suspected adversarial behavior are defined."}, {"id": "SEA-12_SEA-12_A03", "name": "assessment-objective", "prose": "anomalous or suspected adversarial behavior in or related to organization-defined environments or resources are analyzed."}]} \N \N \N \N +SCF:SEA-13 SCF SEA-13 Heterogeneity Mechanisms exist to utilize a diverse set of technologies for system components to reduce the impact of technical vulnerabilities from the same Original Equipment Manufacturer (OEM). 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-13_SEA-13_A01", "name": "assessment-objective", "prose": "diversity in system components is created to reduce the extent of malicious code propagation."}, {"id": "SEA-13_SEA-13_A02", "name": "assessment-objective", "prose": "system components requiring a diverse set of information technologies to be employed in the implementation of the system are defined."}, {"id": "SEA-13_SEA-13_A03", "name": "assessment-objective", "prose": "a diverse set of information technologies is employed for organization-defined system components in the implementation of the system."}]} \N \N \N \N +SCF:SEA-13.1 SCF SEA-13.1 Virtualization Techniques Mechanisms exist to utilize virtualization techniques to support the employment of a diversity of operating systems and applications. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-13.1_SEA-13.1_A01", "name": "assessment-objective", "prose": "the frequency at which to change the diversity of operating systems and applications deployed using virtualization techniques is defined."}, {"id": "SEA-13.1_SEA-13.1_A02", "name": "assessment-objective", "prose": "virtualization techniques are employed to support the deployment of a diverse range of operating systems and applications that are changed per an organization-defined frequency."}]} \N \N \N \N +SCF:SEA-14 SCF SEA-14 Concealment & Misdirection Mechanisms exist to utilize concealment and misdirection techniques for Technology Assets, Applications and/or Services (TAAS) to confuse and mislead adversaries. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-14_SEA-14_A01", "name": "assessment-objective", "prose": "concealment and misdirection techniques to be employed to confuse and mislead adversaries potentially targeting systems are defined."}, {"id": "SEA-14_SEA-14_A02", "name": "assessment-objective", "prose": "systems for which concealment and misdirection techniques are to be employed are defined."}, {"id": "SEA-14_SEA-14_A03", "name": "assessment-objective", "prose": "time periods to employ concealment and misdirection techniques for systems are defined."}, {"id": "SEA-14_SEA-14_A04", "name": "assessment-objective", "prose": "concealment and misdirection techniques are employed for systems for time periods to confuse and mislead adversaries."}]} \N \N \N \N +SCF:SEA-14.1 SCF SEA-14.1 Randomness Automated mechanisms exist to introduce randomness into organizational operations and assets. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-14.1_SEA-14.1_A01", "name": "assessment-objective", "prose": "changes to organizational systems and system components to introduce a degree of unpredictability into operations are defined."}, {"id": "SEA-14.1_SEA-14.1_A02", "name": "assessment-objective", "prose": "the frequency of changes by system and system components is defined."}, {"id": "SEA-14.1_SEA-14.1_A03", "name": "assessment-objective", "prose": "organizational systems and system components necessitating unpredictability are identified."}, {"id": "SEA-14.1_SEA-14.1_A04", "name": "assessment-objective", "prose": "changes to organizational systems and system components are implemented frequently to introduce a degree of unpredictability into operations."}, {"id": "SEA-14.1_SEA-14.1_A05", "name": "assessment-objective", "prose": "technical and procedural means to confuse and mislead adversaries are defined."}, {"id": "SEA-14.1_SEA-14.1_A06", "name": "assessment-objective", "prose": "technical and procedural means are employed to confuse and mislead adversaries."}]} \N \N \N \N +SCF:SEA-20 SCF SEA-20 Clock Synchronization Mechanisms exist to utilize time-synchronization technology to synchronize all critical system clocks. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-20_SEA-20_A01", "name": "assessment-objective", "prose": "granularity of time measurement for audit record timestamps is defined."}, {"id": "SEA-20_SEA-20_A02", "name": "assessment-objective", "prose": "internal system clocks are used to generate timestamps for audit records."}]} \N \N \N \N +SCF:SEA-15 SCF SEA-15 Distributed Processing & Storage Mechanisms exist to distribute processing and storage across multiple physical locations. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-15_SEA-15_A01", "name": "assessment-objective", "prose": "the logical and physical location where the system resides is planned considering physical and environmental hazards."}, {"id": "SEA-15_SEA-15_A02", "name": "assessment-objective", "prose": "for existing facilities, physical and environmental hazards are considered in the organizational risk management strategy."}, {"id": "SEA-15_SEA-15_A03", "name": "assessment-objective", "prose": "processing components to be distributed across multiple locations/domains are defined."}, {"id": "SEA-15_SEA-15_A04", "name": "assessment-objective", "prose": "storage components to be distributed across multiple locations/domains are defined."}, {"id": "SEA-15_SEA-15_A05", "name": "assessment-objective", "prose": "processing components are distributed across organization-defined locations."}, {"id": "SEA-15_SEA-15_A06", "name": "assessment-objective", "prose": "storage components are distributed across organization-defined locations."}, {"id": "SEA-15_SEA-15_A07", "name": "assessment-objective", "prose": "system functions or resources to distribute and relocate are defined."}, {"id": "SEA-15_SEA-15_A08", "name": "assessment-objective", "prose": "frequency to distribute and relocate system functions or resources is defined."}, {"id": "SEA-15_SEA-15_A09", "name": "assessment-objective", "prose": "system functions or resources are distributed and relocated frequency."}]} \N \N \N \N +SCF:SEA-16 SCF SEA-16 Non-Modifiable Executable Programs Mechanisms exist to utilize non-modifiable executable programs that load and execute the operating environment and applications from hardware-enforced, read-only media. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-16_SEA-16_A01", "name": "assessment-objective", "prose": "system components for which the operating environment and applications are to be loaded and executed from hardware-enforced, read-only media are defined."}, {"id": "SEA-16_SEA-16_A02", "name": "assessment-objective", "prose": "applications to be loaded and executed from hardware-enforced, read-only media are defined."}, {"id": "SEA-16_SEA-16_A03", "name": "assessment-objective", "prose": "the operating environment for system components is loaded and executed from hardware-enforced, read-only media."}, {"id": "SEA-16_SEA-16_A04", "name": "assessment-objective", "prose": "applications for system components are loaded and executed from hardware-enforced, read-only media."}]} \N \N \N \N +SCF:SEA-17 SCF SEA-17 Secure Log-On Procedures Mechanisms exist to utilize a trusted communications path between the user and the security functions of the system. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-17_SEA-17_A01", "name": "assessment-objective", "prose": "a trusted communications path is used between the user and the security functions of the system (e.g., Ctrl+Alt+Del)."}]} \N \N \N \N +SCF:SEA-18 SCF SEA-18 System Use Notification (Logon Banner) Mechanisms exist to utilize system use notification / logon banners that display an approved system use notification message or banner before granting access to Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-18_SEA-18_A01", "name": "assessment-objective", "prose": "system use notification message or banner to be displayed by the system to users before granting access to the system is defined."}, {"id": "SEA-18_SEA-18_A02", "name": "assessment-objective", "prose": "conditions for system use to be displayed by the system before granting further access are defined."}, {"id": "SEA-18_SEA-18_A03", "name": "assessment-objective", "prose": "organization-defined system use notification is displayed to users before granting access to the system that provides privacy and security notices consistent with applicable laws, Executive Orders, directives, regulations, policies, standards and guidelines."}, {"id": "SEA-18_SEA-18_A04", "name": "assessment-objective", "prose": "the system use notification states that users are accessing a protected system."}, {"id": "SEA-18_SEA-18_A05", "name": "assessment-objective", "prose": "the system use notification states that system usage may be monitored, recorded and subject to audit."}, {"id": "SEA-18_SEA-18_A06", "name": "assessment-objective", "prose": "the system use notification states that unauthorized use of the system is prohibited and subject to criminal and civil penalties."}, {"id": "SEA-18_SEA-18_A07", "name": "assessment-objective", "prose": "the system use notification states that use of the system indicates consent to monitoring and recording."}, {"id": "SEA-18_SEA-18_A08", "name": "assessment-objective", "prose": "the notification message or banner is retained on the screen until users acknowledge the usage conditions and take explicit actions to log on to or further access the system."}, {"id": "SEA-18_SEA-18_A09", "name": "assessment-objective", "prose": "for publicly accessible systems, system use information organization-defined conditions is displayed before granting further access to the publicly accessible system."}, {"id": "SEA-18_SEA-18_A10", "name": "assessment-objective", "prose": "for publicly accessible systems, any references to monitoring, recording or auditing that are consistent with privacy accommodations for such systems that generally prohibit those activities are displayed."}, {"id": "SEA-18_SEA-18_A11", "name": "assessment-objective", "prose": "for publicly accessible systems, a description of the authorized uses of the system is included."}, {"id": "SEA-18_SEA-18_A12", "name": "assessment-objective", "prose": "a system use notification message with privacy and security notices consistent with applicable CUI rules is displayed before granting access to the system."}, {"id": "SEA-18_SEA-18_A13", "name": "assessment-objective", "prose": "privacy and security notices required by statutory/regulatory-specified rules are identified, consistent, and associated with the specific sensitive/regulated data category."}, {"id": "SEA-18_SEA-18_A14", "name": "assessment-objective", "prose": "privacy and security notices are displayed."}]} \N \N \N \N +SCF:SEA-18.1 SCF SEA-18.1 Standardized Microsoft Windows Banner Mechanisms exist to configure Microsoft Windows-based systems to display an approved logon banner before granting access to the system. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-18.1_SEA-18.1_A01", "name": "assessment-objective", "prose": "Microsoft Windows-based systems are configured to display an approved logon banner before granting access to the system that provides privacy and security notices."}, {"id": "SEA-18.1_SEA-18.1_A02", "name": "assessment-objective", "prose": "a system use notification message with privacy and security notices consistent with applicable CUI rules is displayed before granting access to the system."}]} \N \N \N \N +SCF:SEA-18.2 SCF SEA-18.2 Truncated Banner Mechanisms exist to utilize a truncated system use notification / logon banner on systems not capable of displaying a logon banner from a centralized directory services technology (e.g., Active Directory, Entra ID, etc.). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-18.2_SEA-18.2_A01", "name": "assessment-objective", "prose": "where technically feasible, systems utilize a truncated system use notification / logon banner on systems not capable of displaying a logon banner from a centralized source (e.g., Active Directory)."}, {"id": "SEA-18.2_SEA-18.2_A02", "name": "assessment-objective", "prose": "a system use notification message with privacy and security notices consistent with applicable CUI rules is displayed before granting access to the system."}]} \N \N \N \N +SCF:SEA-19 SCF SEA-19 Previous Logon Notification Mechanisms exist to configure systems that process, store or transmit sensitive/regulated data to notify the user, upon successful logon, of the number of unsuccessful logon attempts since the last successful logon. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-19_SEA-19_A01", "name": "assessment-objective", "prose": "the user is notified, upon successful logon to the system, of the date and time of the last logon."}]} \N \N \N \N +SCF:SEA-22 SCF SEA-22 Privileged Environments Mechanisms exist to prevent privileged operating environments from existing within unprivileged operating environments, including physical or virtual deployments of Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Secure Engineering & Architecture", "assessment_objective": [{"id": "SEA-22_SEA-22_A01", "name": "assessment-objective", "prose": "unprivileged operating environments are defined."}, {"id": "SEA-22_SEA-22_A02", "name": "assessment-objective", "prose": "privileged operating environments are defined."}, {"id": "SEA-22_SEA-22_A03", "name": "assessment-objective", "prose": "privileged operating environments are prohibited from existing within unprivileged operating environments, including physical or virtual deployments of Assets, Applications & Services (AAS)."}]} \N \N \N \N +SCF:OPS-01 SCF OPS-01 Operations Security Mechanisms exist to facilitate the implementation of operational security controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-01_OPS-01_A01", "name": "assessment-objective", "prose": "operations security controls to be employed to protect key organizational information throughout the system development life cycle are defined."}, {"id": "OPS-01_OPS-01_A02", "name": "assessment-objective", "prose": "operations security controls are employed to protect key organizational information throughout the system development life cycle."}, {"id": "OPS-01_OPS-01_A03", "name": "assessment-objective", "prose": "security operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "OPS-01_OPS-01_A04", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support security operations."}, {"id": "OPS-01_OPS-01_A05", "name": "assessment-objective", "prose": "responsibility and authority for the performance of security operations-related activities are assigned to designated personnel."}, {"id": "OPS-01_OPS-01_A06", "name": "assessment-objective", "prose": "personnel performing security operations-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:OPS-01.1 SCF OPS-01.1 Standardized Operating Procedures (SOP) Mechanisms exist to identify and document Standardized Operating Procedures (SOP), or similar documentation, to enable the proper execution of day-to-day / assigned tasks. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-01.1_OPS-01.1_A01", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of sensitive / regulated data are developed and documented."}, {"id": "OPS-01.1_OPS-01.1_A02", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of sensitive / regulated data are disseminated to organizational personnel or roles."}, {"id": "OPS-01.1_OPS-01.1_A03", "name": "assessment-objective", "prose": "the current cybersecurity / data privacy procedures are reviewed / updated frequently."}, {"id": "OPS-01.1_OPS-01.1_A04", "name": "assessment-objective", "prose": "the current cybersecurity / data privacy procedures are reviewed / updated following events."}, {"id": "OPS-01.1_OPS-01.1_A05", "name": "assessment-objective", "prose": "personnel or roles to whom cybersecurity / data privacy procedures are to be disseminated is/are defined."}, {"id": "OPS-01.1_OPS-01.1_A06", "name": "assessment-objective", "prose": "events that would require procedures to be reviewed / updated are defined."}, {"id": "OPS-01.1_OPS-01.1_A07", "name": "assessment-objective", "prose": "systems or system components that implement the security design principle of sufficient documentation are defined."}, {"id": "OPS-01.1_OPS-01.1_A08", "name": "assessment-objective", "prose": "systems or system components implement the security design principle of sufficient documentation."}, {"id": "OPS-01.1_OPS-01.1_A09", "name": "assessment-objective", "prose": "policies and procedures are reviewed per an organization-defined frequency."}, {"id": "OPS-01.1_OPS-01.1_A10", "name": "assessment-objective", "prose": "policies and procedures are updated per an organization-defined frequency."}, {"id": "OPS-01.1_OPS-01.1_A11", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of CUI are developed and documented."}, {"id": "OPS-01.1_OPS-01.1_A12", "name": "assessment-objective", "prose": "procedures needed to satisfy the security requirements for the protection of CUI are disseminated to organizational personnel or roles."}, {"id": "OPS-01.1_OPS-01.1_A13", "name": "assessment-objective", "prose": "policies and procedures are reviewed ."}, {"id": "OPS-01.1_OPS-01.1_A14", "name": "assessment-objective", "prose": "policies and procedures are updated ."}]} \N \N \N \N +SCF:OPS-02 SCF OPS-02 Security Concept Of Operations (CONOPS) Mechanisms exist to develop a security Concept of Operations (CONOPS), or a similarly-defined plan for achieving cybersecurity objectives, that documents management, operational and technical measures implemented to apply defense-in-depth techniques that is communicated to all appropriate stakeholders. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-02_OPS-02_A02", "name": "assessment-objective", "prose": "a Concept of Operations (CONOPS) for the system describing how the organization intends to operate the system from the perspective of cybersecurity / data privacy is developed."}, {"id": "OPS-02_OPS-02_A01", "name": "assessment-objective", "prose": "frequency for review / update of the Concept of Operations (CONOPS) is defined."}, {"id": "OPS-02_OPS-02_A03", "name": "assessment-objective", "prose": "the Concept of Operations (CONOPS) is reviewed / updated per an organization-defined frequency."}]} \N \N \N \N +SCF:OPS-03 SCF OPS-03 Service Delivery (Business Process Support) Mechanisms exist to define supporting business processes and implement appropriate governance and service management to ensure appropriate planning, delivery and support of the organization's technology capabilities supporting business functions, workforce, and/or customers based on industry-recognized standards to achieve the specific goals of the process area. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-03_OPS-03_A01", "name": "assessment-objective", "prose": "supporting business processes are defined."}, {"id": "OPS-03_OPS-03_A02", "name": "assessment-objective", "prose": "appropriate governance and service management is implemented to ensure appropriate planning, delivery and support of business functions, workforce, and/or customers."}]} \N \N \N \N +SCF:OPS-04 SCF OPS-04 Security Operations Center (SOC) Mechanisms exist to establish and maintain a Security Operations Center (SOC) that facilitates a 24x7 response capability. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-04_OPS-04_A01", "name": "assessment-objective", "prose": "a Security Operations Center (SOC) capability is established and maintained."}, {"id": "OPS-04_OPS-04_A02", "name": "assessment-objective", "prose": "a time period to operate a Security Operations Center (SOC) capability is defined."}, {"id": "OPS-04_OPS-04_A03", "name": "assessment-objective", "prose": "the Security Operations Center (SOC) capability operates according to an organization-defined time period."}]} \N \N \N \N +SCF:OPS-05 SCF OPS-05 Secure Practices Guidelines Mechanisms exist to provide guidelines and recommendations for the secure use of Technology Assets, Applications and/or Services (TAAS) to assist in the configuration, installation and use of the product and/or service. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-05_OPS-05_A01", "name": "assessment-objective", "prose": "guidelines and recommendations for the secure use of products and/or services are generated to assist in the configuration, installation and use of the product and/or service."}]} \N \N \N \N +SCF:OPS-07 SCF OPS-07 Shadow Information Technology Detection Mechanisms exist to detect the presence of unauthorized Technology Assets, Applications and/or Services (TAAS) in use. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Operations", "assessment_objective": [{"id": "OPS-07_OPS-07_A01", "name": "assessment-objective", "prose": "organizational policy prohibits unauthorized software, systems and services in use by the organization (e.g., shadow IT)."}, {"id": "OPS-07_OPS-07_A02", "name": "assessment-objective", "prose": "no less than annually, financial expenditures are reviewed for instances of unauthorized software, systems and services in use by the organization (e.g., shadow IT)."}, {"id": "OPS-07_OPS-07_A03", "name": "assessment-objective", "prose": "instances of unauthorized software, systems and services in use by the organization (e.g., shadow IT) are investigated as cybersecurity incidents."}, {"id": "OPS-07_OPS-07_A04", "name": "assessment-objective", "prose": "personnel responsible for unauthorized software, systems and services are held accountable per the organization's disciplinary processes."}]} \N \N \N \N +SCF:SAT-01 SCF SAT-01 Security, Compliance & Resilience-Minded Workforce Mechanisms exist to facilitate the implementation of security workforce development and awareness controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-01_SAT-01_A01", "name": "assessment-objective", "prose": "a cybersecurity / data privacy workforce development and improvement program is established."}, {"id": "SAT-01_SAT-01_A02", "name": "assessment-objective", "prose": "the cybersecurity / data privacy education and awareness program is organization-wide."}, {"id": "SAT-01_SAT-01_A03", "name": "assessment-objective", "prose": "the frequency at which to provide security literacy training to system users after initial training is defined."}, {"id": "SAT-01_SAT-01_A04", "name": "assessment-objective", "prose": "events that require security literacy training for system users are defined."}, {"id": "SAT-01_SAT-01_A05", "name": "assessment-objective", "prose": "security literacy training is provided to system users as part of initial training for new users."}, {"id": "SAT-01_SAT-01_A06", "name": "assessment-objective", "prose": "security literacy training is provided to system users after initial training."}, {"id": "SAT-01_SAT-01_A07", "name": "assessment-objective", "prose": "Security Awareness & Training (SAT) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "SAT-01_SAT-01_A08", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Security Awareness & Training (SAT) operations."}, {"id": "SAT-01_SAT-01_A09", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Security Awareness & Training (SAT)-related activities are assigned to designated personnel."}, {"id": "SAT-01_SAT-01_A10", "name": "assessment-objective", "prose": "personnel performing Security Awareness & Training (SAT)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:SAT-01.1 SCF SAT-01.1 Maintaining Workforce Development Relevancy Mechanisms exist to periodically review security workforce development and awareness training to account for changes to:\r\n(1) Organizational policies, standards and procedures;\r\n(2) Assigned roles and responsibilities;\r\n(3) Relevant threats and risks; and\r\n(4) Technological developments. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-01.1_SAT-01.1_A01", "name": "assessment-objective", "prose": "security workforce development and awareness training is periodically reviewed to account for changes to organizational policies, standards and procedures."}, {"id": "SAT-01.1_SAT-01.1_A02", "name": "assessment-objective", "prose": "security workforce development and awareness training is periodically reviewed to account for changes to assigned roles and responsibilities."}, {"id": "SAT-01.1_SAT-01.1_A03", "name": "assessment-objective", "prose": "security workforce development and awareness training is periodically reviewed to account for changes to relevant threats and risks."}, {"id": "SAT-01.1_SAT-01.1_A04", "name": "assessment-objective", "prose": "security workforce development and awareness training is periodically reviewed to account for changes to technological developments."}]} \N \N \N \N +SCF:SAT-02 SCF SAT-02 Security, Compliance & Resilience Awareness Training Mechanisms exist to provide all employees and contractors appropriate security, compliance and resilience awareness education and training that is relevant for their job function. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-02_SAT-02_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy literacy training is provided to system users (including managers, senior executives and contractors) as part of initial training for new users."}, {"id": "SAT-02_SAT-02_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy literacy training is provided to system users (including managers, senior executives and contractors) organization-defined frequency thereafter."}, {"id": "SAT-02_SAT-02_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy literacy training is provided to system users (including managers, senior executives and contractors) when required by system changes or following organization-defined events."}, {"id": "SAT-02_SAT-02_A04", "name": "assessment-objective", "prose": "security risks associated with organizational activities involving sensitive / regulated data are identified."}, {"id": "SAT-02_SAT-02_A05", "name": "assessment-objective", "prose": "policies, standards and procedures related to the security of the system are identified."}, {"id": "SAT-02_SAT-02_A06", "name": "assessment-objective", "prose": "managers, systems administrators and users of the system are made aware of the security risks associated with their activities."}, {"id": "SAT-02_SAT-02_A07", "name": "assessment-objective", "prose": "managers, systems administrators and users of the system are made aware of the applicable policies, standards and procedures related to the security of the system."}, {"id": "SAT-02_SAT-02_A08", "name": "assessment-objective", "prose": "the frequency at which to provide cybersecurity / data privacy literacy training to system users (including managers, senior executives and contractors) after initial training is defined."}, {"id": "SAT-02_SAT-02_A09", "name": "assessment-objective", "prose": "events that require cybersecurity / data privacy literacy training for system users are defined."}, {"id": "SAT-02_SAT-02_A10", "name": "assessment-objective", "prose": "techniques to be employed to increase the cybersecurity / data privacy awareness of system users are defined."}, {"id": "SAT-02_SAT-02_A11", "name": "assessment-objective", "prose": "events that require security literacy training for system users are defined."}, {"id": "SAT-02_SAT-02_A12", "name": "assessment-objective", "prose": "events that require security literacy training content updates are defined."}, {"id": "SAT-02_SAT-02_A13", "name": "assessment-objective", "prose": "awareness training is updated frequently or when there are significant changes to the threat."}, {"id": "SAT-02_SAT-02_A14", "name": "assessment-objective", "prose": "organization-defined awareness techniques are employed to increase the cybersecurity / data privacy awareness of system users."}, {"id": "SAT-02_SAT-02_A15", "name": "assessment-objective", "prose": "literacy training and awareness content is updated organization-defined frequency."}, {"id": "SAT-02_SAT-02_A16", "name": "assessment-objective", "prose": "literacy training and awareness content is updated following organization-defined events."}, {"id": "SAT-02_SAT-02_A17", "name": "assessment-objective", "prose": "lessons learned from internal or external security incidents or breaches are incorporated into literacy training and awareness techniques."}]} \N \N \N \N +SCF:SAT-02.1 SCF SAT-02.1 Simulated Cyber Attack Scenario Training Mechanisms exist to include simulated actual cyber-attacks through practical exercises that are aligned with current threat scenarios. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-02.1_SAT-02.1_A01", "name": "assessment-objective", "prose": "practical exercises are identified."}, {"id": "SAT-02.1_SAT-02.1_A02", "name": "assessment-objective", "prose": "current threat scenarios are identified."}, {"id": "SAT-02.1_SAT-02.1_A03", "name": "assessment-objective", "prose": "practical exercises in literacy training that simulate events and incidents are provided."}, {"id": "SAT-02.1_SAT-02.1_A04", "name": "assessment-objective", "prose": "individuals involved in training and their supervisors are identified."}, {"id": "SAT-02.1_SAT-02.1_A05", "name": "assessment-objective", "prose": "practical exercises that are aligned with current threat scenarios are included in awareness training for roles."}, {"id": "SAT-02.1_SAT-02.1_A06", "name": "assessment-objective", "prose": "frequency at which to provide feedback on organizational training results is defined."}, {"id": "SAT-02.1_SAT-02.1_A07", "name": "assessment-objective", "prose": "personnel to whom feedback on organizational training results will be provided is/are assigned."}, {"id": "SAT-02.1_SAT-02.1_A08", "name": "assessment-objective", "prose": "feedback on organizational training results is provided organization-defined frequency to organization-defined personnel."}]} \N \N \N \N +SCF:TDA-06.3 SCF TDA-06.3 Software Assurance Maturity Model (SAMM) Mechanisms exist to utilize a Software Assurance Maturity Model (SAMM) to govern a secure development lifecycle for the development of Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.3_TDA-06.3_A01", "name": "assessment-objective", "prose": "a Software Assurance Maturity Model (SAMM) governs a secure development lifecycle for the development of systems, applications and services."}]} \N \N \N \N +SCF:SAT-02.2 SCF SAT-02.2 Social Engineering & Mining Mechanisms exist to include awareness training on recognizing and reporting potential and actual instances of social engineering and social mining. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-02.2_SAT-02.2_A01", "name": "assessment-objective", "prose": "threats from social engineering, advanced persistent threat actors, breaches and suspicious behaviors are identified."}, {"id": "SAT-02.2_SAT-02.2_A02", "name": "assessment-objective", "prose": "security literacy training is provided to system users on recognizing indicators of social engineering."}, {"id": "SAT-02.2_SAT-02.2_A03", "name": "assessment-objective", "prose": "security literacy training is provided to system users on reporting indicators of social engineering."}, {"id": "SAT-02.2_SAT-02.2_A04", "name": "assessment-objective", "prose": "security literacy training is provided to system users on recognizing indicators of social mining."}, {"id": "SAT-02.2_SAT-02.2_A05", "name": "assessment-objective", "prose": "security literacy training is provided to system users on reporting indicators of social mining."}, {"id": "SAT-02.2_SAT-02.2_A06", "name": "assessment-objective", "prose": "significant changes to the threats from social engineering, advanced persistent threat actors, breaches and suspicious behaviors are identified."}, {"id": "SAT-02.2_SAT-02.2_A07", "name": "assessment-objective", "prose": "awareness training is updated per an organization-defined frequency or when there are significant changes to the threat."}]} \N \N \N \N +SCF:SAT-03 SCF SAT-03 Role-Based Security, Compliance & Resilience Training Mechanisms exist to provide role-based security, compliance and resilience-related training: \r\n(1) Before authorizing access to the system or performing assigned duties; \r\n(2) When required by system changes; and \r\n(3) Annually thereafter. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03_SAT-03_A01", "name": "assessment-objective", "prose": "roles and responsibilities for role-based cybersecurity / data privacy training are defined."}, {"id": "SAT-03_SAT-03_A02", "name": "assessment-objective", "prose": "events that require role-based security training content updates are defined."}, {"id": "SAT-03_SAT-03_A03", "name": "assessment-objective", "prose": "role-based cybersecurity / data privacy training is provided to organizational personnel before authorizing access to the system or sensitive / regulated data."}, {"id": "SAT-03_SAT-03_A04", "name": "assessment-objective", "prose": "role-based security training is provided to organizational personnel before performing assigned duties."}, {"id": "SAT-03_SAT-03_A05", "name": "assessment-objective", "prose": "role-based cybersecurity / data privacy training is provided to organizational personnel per an organization-defined frequency after initial training."}, {"id": "SAT-03_SAT-03_A06", "name": "assessment-objective", "prose": "role-based cybersecurity / data privacy training is provided to organizational personnel when required by system changes or following organization-defined events."}, {"id": "SAT-03_SAT-03_A07", "name": "assessment-objective", "prose": "the frequency at which to provide role-based security training to assigned personnel after initial training is defined."}, {"id": "SAT-03_SAT-03_A08", "name": "assessment-objective", "prose": "the frequency at which to update role-based security training content is defined."}, {"id": "SAT-03_SAT-03_A09", "name": "assessment-objective", "prose": "role-based security training content is updated per an organization-defined frequency."}, {"id": "SAT-03_SAT-03_A10", "name": "assessment-objective", "prose": "role-based security training content is updated following organization-defined events."}, {"id": "SAT-03_SAT-03_A11", "name": "assessment-objective", "prose": "lessons learned from internal or external security incidents or breaches are incorporated into role-based training."}, {"id": "SAT-03_SAT-03_A12", "name": "assessment-objective", "prose": "events that require role-based security training are defined."}, {"id": "SAT-03_SAT-03_A13", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided within an organization-defined time period of assuming an incident response role or responsibility or acquiring system access."}, {"id": "SAT-03_SAT-03_A14", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided when required by system changes."}, {"id": "SAT-03_SAT-03_A15", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided per an organization-defined frequency thereafter."}, {"id": "SAT-03_SAT-03_A16", "name": "assessment-objective", "prose": "role-based security training is provided to organizational personnel before authorizing access to the system or CUI."}, {"id": "SAT-03_SAT-03_A17", "name": "assessment-objective", "prose": "role-based security training is provided to organizational personnel after initial training."}, {"id": "SAT-03_SAT-03_A18", "name": "assessment-objective", "prose": "role-based security training is provided to organizational personnel when required by system changes or following ."}, {"id": "SAT-03_SAT-03_A19", "name": "assessment-objective", "prose": "role-based security training content is updated ."}, {"id": "SAT-03_SAT-03_A20", "name": "assessment-objective", "prose": "role-based security training content is updated following ."}, {"id": "SAT-03_SAT-03_A21", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided within of assuming an incident response role or responsibility or acquiring system access."}, {"id": "SAT-03_SAT-03_A22", "name": "assessment-objective", "prose": "incident response training for system users consistent with assigned roles and responsibilities is provided thereafter."}]} \N \N \N \N +SCF:SAT-03.1 SCF SAT-03.1 Practical Exercises Mechanisms exist to include practical exercises in security, compliance and resilience training that reinforce training objectives. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.1_SAT-03.1_A01", "name": "assessment-objective", "prose": "practical exercises in cybersecurity / data privacy training that reinforce training objectives are provided."}]} \N \N \N \N +SCF:SAT-03.2 SCF SAT-03.2 Suspicious Communications & Anomalous System Behavior Mechanisms exist to provide training to personnel on organization-defined indicators of malware to recognize suspicious communications and anomalous behavior. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.2_SAT-03.2_A01", "name": "assessment-objective", "prose": "indicators of malicious code are defined."}, {"id": "SAT-03.2_SAT-03.2_A02", "name": "assessment-objective", "prose": "literacy training on recognizing suspicious communications and anomalous behavior in organizational systems using organization-defined indicators of malicious code is provided."}, {"id": "SAT-03.2_SAT-03.2_A03", "name": "assessment-objective", "prose": "literacy training on the advanced persistent threat is provided."}]} \N \N \N \N +SCF:SAT-03.3 SCF SAT-03.3 Sensitive / Regulated Data Storage, Handling & Processing Mechanisms exist to ensure that every user accessing a system processing, storing or transmitting sensitive/regulated data is formally trained in data handling requirements. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.3_SAT-03.3_A01", "name": "assessment-objective", "prose": "personnel or roles to be provided with initial and refresher training in the employment and operation of sensitive / regulated data processing and transparency controls is/are defined."}, {"id": "SAT-03.3_SAT-03.3_A02", "name": "assessment-objective", "prose": "the frequency at which to provide refresher training in the employment and operation of sensitive / regulated data processing and transparency controls is defined."}, {"id": "SAT-03.3_SAT-03.3_A03", "name": "assessment-objective", "prose": "organization-defined personnel or roles are provided with initial and refresher training organization-defined frequency in the employment and operation of sensitive / regulated data processing and transparency controls."}]} \N \N \N \N +SCF:SAT-03.4 SCF SAT-03.4 Vendor Security, Compliance & Resilience Training Mechanisms exist to incorporate vendor-specific security, compliance and resilience training in support of new technology initiatives. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.4_SAT-03.4_A01", "name": "assessment-objective", "prose": "vendor-specific security training is provided to support new technology initiatives."}]} \N \N \N \N +SCF:SAT-03.5 SCF SAT-03.5 Privileged Users Mechanisms exist to provide specific training for privileged users to ensure privileged users understand their unique roles and responsibilities 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.5_SAT-03.5_A01", "name": "assessment-objective", "prose": "specific training for privileged users is provided to ensure privileged users understand their unique roles and responsibilities"}]} \N \N \N \N +SCF:SAT-03.6 SCF SAT-03.6 Cyber Threat Environment Mechanisms exist to provide role-based security, compliance and resilience awareness training that is current and relevant to the cyber threats that users might encounter in day-to-day business operations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.6_SAT-03.6_A01", "name": "assessment-objective", "prose": "literacy training on the cyber threat environment is provided."}, {"id": "SAT-03.6_SAT-03.6_A02", "name": "assessment-objective", "prose": "system operations reflect current cyber threat information."}, {"id": "SAT-03.6_SAT-03.6_A03", "name": "assessment-objective", "prose": "the frequency of providing awareness training is defined."}, {"id": "SAT-03.6_SAT-03.6_A04", "name": "assessment-objective", "prose": "the frequency of updating awareness training is defined."}, {"id": "SAT-03.6_SAT-03.6_A05", "name": "assessment-objective", "prose": "security literacy training is provided to system users when required by system changes or following ."}, {"id": "SAT-03.6_SAT-03.6_A06", "name": "assessment-objective", "prose": "security literacy training content is updated ."}, {"id": "SAT-03.6_SAT-03.6_A07", "name": "assessment-objective", "prose": "security literacy training content is updated following ."}]} \N \N \N \N +SCF:SAT-03.7 SCF SAT-03.7 Continuing Professional Education (CPE) - Security, Compliance & Resilience Personnel Mechanisms exist to ensure security, compliance and resilience personnel receive Continuing Professional Education (CPE) training to maintain currency and proficiency with industry-recognized secure practices that are pertinent to their assigned roles and responsibilities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.7_SAT-03.7_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy personnel receive Continuing Professional Education (CPE) training to maintain currency and proficiency with industry-recognized secure practices that are pertinent to their assigned roles and responsibilities."}]} \N \N \N \N +SCF:SAT-03.8 SCF SAT-03.8 Continuing Professional Education (CPE) - DevOps Personnel Mechanisms exist to ensure application development and operations (DevOps) personnel receive Continuing Professional Education (CPE) training on Secure Software Development Practices (SSDP) to appropriately address evolving threats. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.8_SAT-03.8_A01", "name": "assessment-objective", "prose": "application development and operations (DevOps) personnel receive Continuing Professional Education (CPE) training on Secure Software Development Practices (SSDP) to appropriately address evolving threats."}]} \N \N \N \N +SCF:SAT-03.9 SCF SAT-03.9 Counterintelligence Training Mechanisms exist to provide specialized counterintelligence awareness training that enables personnel to collect, interpret and act upon a range of data sources that may signal the presence of a hostile actor. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-03.9_SAT-03.9_A01", "name": "assessment-objective", "prose": "specialized counterintelligence awareness training is provided to personnel to collect, interpret and act upon a range of data sources that may signal the presence of a hostile actor."}]} \N \N \N \N +SCF:SAT-04 SCF SAT-04 Security, Compliance & Resilience Training Records Mechanisms exist to document, retain and monitor individual training activities, including:\r\n(1) Initial security, compliance and resilience awareness training;\r\n(2) Recurring awareness training; and\r\n(3) Technology Assets, Applications and/or Services (TAAS)-specific training. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-04_SAT-04_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy training activities, including cybersecurity / data privacy awareness training and specific role-based cybersecurity / data privacy training, are documented."}, {"id": "SAT-04_SAT-04_A02", "name": "assessment-objective", "prose": "time period for retaining individual training records is defined."}, {"id": "SAT-04_SAT-04_A03", "name": "assessment-objective", "prose": "individual training records are retained for organization-defined time period."}, {"id": "SAT-04_SAT-04_A04", "name": "assessment-objective", "prose": "cybersecurity / data privacy training activities, including cybersecurity / data privacy awareness training and specific role-based cybersecurity / data privacy training, are monitored."}]} \N \N \N \N +SCF:SAT-05 SCF SAT-05 Security, Compliance & Resilience Knowledge Sharing Mechanisms exist to improve knowledge sharing across security, compliance and resilience personnel allowing for:\r\n(1) Efficient operations; and\r\n(2) Rapid and effective response to incidents. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Security Awareness & Training", "assessment_objective": [{"id": "SAT-05_SAT-05_A01", "name": "assessment-objective", "prose": "a process to improve cybersecurity and data protection knowledge sharing across security personnel is defined."}, {"id": "SAT-05_SAT-05_A02", "name": "assessment-objective", "prose": "cybersecurity and data protection knowledge sharing is implemented across security personnel allowing for more rapid and effective response to incidents."}]} \N \N \N \N +SCF:TDA-01 SCF TDA-01 Technology Development & Acquisition Mechanisms exist to facilitate the implementation of tailored development and acquisition strategies, contract tools and procurement methods to meet unique business needs. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-01_TDA-01_A01", "name": "assessment-objective", "prose": "a system and services acquisition policy is developed and documented."}, {"id": "TDA-01_TDA-01_A02", "name": "assessment-objective", "prose": "system and services acquisition procedures to facilitate the implementation of the system and services acquisition policy and associated system and services acquisition controls are developed and documented."}, {"id": "TDA-01_TDA-01_A03", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are implemented to identify supply chain risks."}, {"id": "TDA-01_TDA-01_A04", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are implemented to protect against supply chain risks."}, {"id": "TDA-01_TDA-01_A05", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are implemented to mitigate supply chain risks."}, {"id": "TDA-01_TDA-01_A06", "name": "assessment-objective", "prose": "personnel or roles to whom the system and services acquisition policy is to be disseminated is/are defined."}, {"id": "TDA-01_TDA-01_A07", "name": "assessment-objective", "prose": "personnel or roles to whom the system and services acquisition procedures are to be disseminated is/are defined."}, {"id": "TDA-01_TDA-01_A08", "name": "assessment-objective", "prose": "one or more of the following organization-defined criteria is/are selected: {organization-level. mission/business process-level. system-level}."}, {"id": "TDA-01_TDA-01_A09", "name": "assessment-objective", "prose": "an official to manage the system and services acquisition policy and procedures is defined."}, {"id": "TDA-01_TDA-01_A10", "name": "assessment-objective", "prose": "the frequency at which the current system and services acquisition policy is reviewed / updated is defined."}, {"id": "TDA-01_TDA-01_A11", "name": "assessment-objective", "prose": "events that would require the current system and services acquisition policy to be reviewed / updated are defined."}, {"id": "TDA-01_TDA-01_A12", "name": "assessment-objective", "prose": "the frequency at which the current system and services acquisition procedures are reviewed / updated is defined."}, {"id": "TDA-01_TDA-01_A13", "name": "assessment-objective", "prose": "events that would require the system and services acquisition procedures to be reviewed / updated are defined."}, {"id": "TDA-01_TDA-01_A14", "name": "assessment-objective", "prose": "the system and services acquisition policy is disseminated to organization-defined personnel or roles."}, {"id": "TDA-01_TDA-01_A15", "name": "assessment-objective", "prose": "the system and services acquisition procedures are disseminated to organization-defined personnel or roles."}, {"id": "TDA-01_TDA-01_A16", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses purpose."}, {"id": "TDA-01_TDA-01_A17", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses scope."}, {"id": "TDA-01_TDA-01_A18", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses roles."}, {"id": "TDA-01_TDA-01_A19", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses responsibilities."}, {"id": "TDA-01_TDA-01_A20", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses management commitment."}, {"id": "TDA-01_TDA-01_A21", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses coordination among organizational entities."}, {"id": "TDA-01_TDA-01_A22", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy addresses compliance."}, {"id": "TDA-01_TDA-01_A23", "name": "assessment-objective", "prose": "the organization's system and services acquisition policy is consistent with applicable laws, Executive Orders, directives, regulations, policies, standards, and guidelines."}, {"id": "TDA-01_TDA-01_A24", "name": "assessment-objective", "prose": "the organization-defined official is designated to manage the development, documentation, and dissemination of the system and services acquisition policy and procedures."}, {"id": "TDA-01_TDA-01_A25", "name": "assessment-objective", "prose": "the system and services acquisition policy is reviewed / updated organization-defined frequency."}, {"id": "TDA-01_TDA-01_A26", "name": "assessment-objective", "prose": "the current system and services acquisition policy is reviewed / updated following organization-defined events."}, {"id": "TDA-01_TDA-01_A27", "name": "assessment-objective", "prose": "the current system and services acquisition procedures are reviewed / updated organization-defined frequency."}, {"id": "TDA-01_TDA-01_A28", "name": "assessment-objective", "prose": "the current system and services acquisition procedures are reviewed / updated following organization-defined events."}, {"id": "TDA-01_TDA-01_A29", "name": "assessment-objective", "prose": "systems or system components supporting mission-essential services or functions are defined."}, {"id": "TDA-01_TDA-01_A30", "name": "assessment-objective", "prose": "organization's is employed on organization-defined systems or system components supporting essential services or functions to increase the trustworthiness in those systems or components."}, {"id": "TDA-01_TDA-01_A31", "name": "assessment-objective", "prose": "systems security engineering principles to be applied to the development or modification of the system and system components are defined."}, {"id": "TDA-01_TDA-01_A32", "name": "assessment-objective", "prose": "Technology Development & Acquisition (TDA) operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "TDA-01_TDA-01_A33", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support Technology Development & Acquisition (TDA) operations."}, {"id": "TDA-01_TDA-01_A34", "name": "assessment-objective", "prose": "responsibility and authority for the performance of Technology Development & Acquisition (TDA)-related activities are assigned to designated personnel."}, {"id": "TDA-01_TDA-01_A35", "name": "assessment-objective", "prose": "personnel performing Technology Development & Acquisition (TDA)-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:TDA-02.10 SCF TDA-02.10 Product Testing & Reviews Mechanisms exist to regularly review Technology Assets, Applications and/or Services (TAAS) for an appropriate level of security and resiliency based on applicable risks and threats. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.10_TDA-02.10_A01", "name": "assessment-objective", "prose": "an appropriate level of security and resiliency for products and/or services is defined."}, {"id": "TDA-02.10_TDA-02.10_A02", "name": "assessment-objective", "prose": "products and/or services are regularly reviewed for an appropriate level of security and resiliency based on applicable risks and threats."}]} \N \N \N \N +SCF:TDA-01.1 SCF TDA-01.1 Product Management Mechanisms exist to design and implement product management processes to proactively govern the design, development and production of Technology Assets, Applications and/or Services (TAAS) across the System Development Life Cycle (SDLC) to:\r\n(1) Improve functionality;\r\n(2) Enhance security and resiliency capabilities; \r\n(3) Correct security deficiencies; and\r\n(4) Conform with applicable statutory, regulatory and/or contractual obligations. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-01.1_TDA-01.1_A01", "name": "assessment-objective", "prose": "product management processes are designed and implemented to ensure products, including systems, software and services, are routinely updated to improve functionality and correct security deficiencies."}, {"id": "TDA-01.1_TDA-01.1_A02", "name": "assessment-objective", "prose": "systems or system components supporting mission-essential services or functions are defined."}, {"id": "TDA-01.1_TDA-01.1_A03", "name": "assessment-objective", "prose": "organization-defined criteria are employed on systems or system components supporting essential services or functions to increase the trustworthiness in those systems or components."}]} \N \N \N \N +SCF:TDA-01.2 SCF TDA-01.2 Integrity Mechanisms for Software / Firmware Updates Mechanisms exist to utilize integrity validation mechanisms for security updates. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-01.2_TDA-01.2_A01", "name": "assessment-objective", "prose": "integrity validation mechanisms are utilized for security updates."}]} \N \N \N \N +SCF:TDA-01.3 SCF TDA-01.3 Malware Testing Prior to Release Mechanisms exist to utilize at least one(1) malware detection tool to identify if any known malware exists in the final binaries of the product or security update. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-01.3_TDA-01.3_A01", "name": "assessment-objective", "prose": "at least one (1) malware detection tool is used to identify if any known malware exists in the final binaries of the product or security update."}]} \N \N \N \N +SCF:TDA-01.4 SCF TDA-01.4 DevSecOps Mechanisms exist to integrate security, compliance and resilience into Development, Security and Operations (DevSecOps) to prioritize secure practices throughout the Software Development Lifecycle (SDLC). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-01.4_TDA-01.4_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy is integrated into emerging Development and Operations (DevOps) to prioritize secure practices throughout the Software Development Lifecycle (SDLC)."}]} \N \N \N \N +SCF:TDA-02 SCF TDA-02 Minimum Viable Product (MVP) Security Requirements Mechanisms exist to design, develop and produce Technology Assets, Applications and/or Services (TAAS) in such a way that risk-based technical and functional specifications ensure Minimum Viable Product (MVP) criteria establish an appropriate level of security and resiliency based on applicable risks and threats. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02_TDA-02_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy functional requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A02", "name": "assessment-objective", "prose": "strength of mechanism requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy assurance requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A04", "name": "assessment-objective", "prose": "controls needed to satisfy the cybersecurity / data requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A05", "name": "assessment-objective", "prose": "cybersecurity / data privacy documentation requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A06", "name": "assessment-objective", "prose": "requirements for protecting cybersecurity / data privacy documentation, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A07", "name": "assessment-objective", "prose": "the description of the system development environment and environment in which the system is intended to operate, requirements and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A08", "name": "assessment-objective", "prose": "the allocation of responsibility or identification of parties responsible for cybersecurity / data privacy requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TDA-02_TDA-02_A09", "name": "assessment-objective", "prose": "the allocation of responsibility or identification of parties responsible for supply chain risk management requirements, descriptions and criteria are included explicitly or by reference using organization-defined criteria."}, {"id": "TDA-02_TDA-02_A10", "name": "assessment-objective", "prose": "acceptance criteria requirements and descriptions are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}]} \N \N \N \N +SCF:TDA-02.1 SCF TDA-02.1 Ports, Protocols & Services In Use Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to identify early in the Secure Development Life Cycle (SDLC), the functions, ports, protocols and services intended for use. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.1_TDA-02.1_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to identify the functions intended for organizational use."}, {"id": "TDA-02.1_TDA-02.1_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to identify the ports intended for organizational use."}, {"id": "TDA-02.1_TDA-02.1_A03", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to identify the protocols intended for organizational use."}, {"id": "TDA-02.1_TDA-02.1_A04", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to identify the services intended for organizational use."}]} \N \N \N \N +SCF:TDA-02.2 SCF TDA-02.2 Information Assurance Enabled Products Mechanisms exist to limit the use of commercially-provided Information Assurance (IA) and IA-enabled IT products to those products that have been successfully evaluated against a National Information Assurance partnership (NIAP)-approved Protection Profile or the cryptographic module is FIPS-validated or NSA-approved. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.2_TDA-02.2_A01", "name": "assessment-objective", "prose": "as required per statutory, regulatory or contractual obligations, only information technology products on the FIPS 201-approved products list for the Personal Identity Verification (PIV) capability implemented within organizational systems are employed."}]} \N \N \N \N +SCF:TDA-06.2 SCF TDA-06.2 Threat Modeling Mechanisms exist to perform threat modelling and other secure design techniques, to ensure that threats to software and solutions are identified and accounted for. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.2_TDA-06.2_A01", "name": "assessment-objective", "prose": "threat modelling and other secure design techniques are used to ensure that threats to software and solutions are identified and accounted for."}]} \N \N \N \N +SCF:TDA-02.3 SCF TDA-02.3 Development Methods, Techniques & Processes Mechanisms exist to require software developers to ensure that their software development processes employ industry-recognized secure practices for secure programming, engineering methods, quality control processes and validation techniques to minimize flawed and/or malformed software. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.3_TDA-02.3_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy systems engineering methods are defined."}, {"id": "TDA-02.3_TDA-02.3_A02", "name": "assessment-objective", "prose": "software development methods are defined."}, {"id": "TDA-02.3_TDA-02.3_A03", "name": "assessment-objective", "prose": "testing, evaluation, assessment, verification and validation methods are defined."}, {"id": "TDA-02.3_TDA-02.3_A04", "name": "assessment-objective", "prose": "quality control processes are defined."}, {"id": "TDA-02.3_TDA-02.3_A05", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to demonstrate the use of a system development life cycle process that includes organization-defined system security engineering methods."}, {"id": "TDA-02.3_TDA-02.3_A06", "name": "assessment-objective", "prose": "systems security engineering principles to be applied to the development or modification of the system and system components are defined."}, {"id": "TDA-02.3_TDA-02.3_A07", "name": "assessment-objective", "prose": " are applied to the development or modification of the system and system components."}]} \N \N \N \N +SCF:TDA-02.4 SCF TDA-02.4 Pre-Established Secure Configurations Mechanisms exist to ensure vendors / manufacturers:\r\n(1) Deliver the Technology Asset, Application and/or Service (TAAS) with a pre-established, secure configuration implemented; and\r\n(2) Use the pre-established, secure configuration as the default for any subsequent TAAS reinstallation or upgrade. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.4_TDA-02.4_A01", "name": "assessment-objective", "prose": "pre-established security configurations for the system, component or service are defined."}, {"id": "TDA-02.4_TDA-02.4_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to deliver the system, component or service with pre-established security configurations implemented."}, {"id": "TDA-02.4_TDA-02.4_A03", "name": "assessment-objective", "prose": "the pre-established configurations are used as the default for any subsequent system, component or service reinstallation or upgrade."}]} \N \N \N \N +SCF:TDA-02.5 SCF TDA-02.5 Identification & Justification of Ports, Protocols & Services Mechanisms exist to require process owners to identify, document and justify the business need for the ports, protocols and other services necessary to operate their technology solutions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.5_TDA-02.5_A01", "name": "assessment-objective", "prose": "process owners identify necessary ports, protocols and other services necessary to operate their technology solutions."}, {"id": "TDA-02.5_TDA-02.5_A02", "name": "assessment-objective", "prose": "process owners document legitimate business justifications for the ports, protocols and other services necessary to operate their technology solutions."}]} \N \N \N \N +SCF:TDA-02.6 SCF TDA-02.6 Insecure Ports, Protocols & Services Mechanisms exist to mitigate the risk associated with the use of insecure ports, protocols and services necessary to operate technology solutions. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.6_TDA-02.6_A01", "name": "assessment-objective", "prose": "risks associated with the use of insecure ports, protocols and services necessary to operate technology solutions are appropriately mitigated."}]} \N \N \N \N +SCF:TDA-02.7 SCF TDA-02.7 Security, Compliance & Resilience Representatives For Product Changes Mechanisms exist to include appropriate security, compliance and resilience representatives in the product feature and/or functionality change control review process. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.7_TDA-02.7_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy representatives to be included in the configuration change management and control process are defined."}, {"id": "TDA-02.7_TDA-02.7_A02", "name": "assessment-objective", "prose": "configuration change management and control processes in which cybersecurity / data privacy representatives are required to be included are defined."}, {"id": "TDA-02.7_TDA-02.7_A03", "name": "assessment-objective", "prose": "organization-defined cybersecurity / data privacy representatives are required to be included in the organization-defined configuration change management and control processes."}]} \N \N \N \N +SCF:TDA-02.8 SCF TDA-02.8 Minimizing Attack Surfaces Mechanisms exist to minimize the attack surface of Technology Assets, Applications and/or Services (TAAS) by reasonably mitigating known exploitable vulnerabilities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.8_TDA-02.8_A01", "name": "assessment-objective", "prose": "the attack surface of products and/or services is minimized by reasonably mitigating known exploitable vulnerabilities."}]} \N \N \N \N +SCF:TDA-02.9 SCF TDA-02.9 Ongoing Product Security Support Mechanisms exist to deliver security updates to Technology Assets, Applications and/or Services (TAAS), where applicable, through:\r\n(1) Automatic updates; and\r\n(2) Notification of available updates to affected users. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.9_TDA-02.9_A01", "name": "assessment-objective", "prose": "security updates are delivered to products and/or services, where applicable, through automatic updates."}, {"id": "TDA-02.9_TDA-02.9_A02", "name": "assessment-objective", "prose": "security updates are delivered to products and/or services, where applicable, through notification of available updates to affected users."}]} \N \N \N \N +SCF:TDA-02.11 SCF TDA-02.11 Disclosure of Vulnerabilities Mechanisms exist to disclose information about vulnerabilities to relevant stakeholders, including:\r\n(1) A description of the vulnerability(ies);\r\n(2) Affected product(s) and/or service(s);\r\n(3) Potential impact of the vulnerability(ies);\r\n(4) Severity of the vulnerability(ies); and\r\n(5) Guidance to remediate the vulnerability(ies). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.11_TDA-02.11_A01", "name": "assessment-objective", "prose": "stakeholder vulnerability disclosures contain a description of the vulnerability(ies)."}, {"id": "TDA-02.11_TDA-02.11_A02", "name": "assessment-objective", "prose": "stakeholder vulnerability disclosures contain information about affected product(s) and/or service(s)."}, {"id": "TDA-02.11_TDA-02.11_A03", "name": "assessment-objective", "prose": "stakeholder vulnerability disclosures contain information about potential impact of the vulnerability(ies)."}, {"id": "TDA-02.11_TDA-02.11_A04", "name": "assessment-objective", "prose": "stakeholder vulnerability disclosures contain information about the severity of the vulnerability(ies)."}, {"id": "TDA-02.11_TDA-02.11_A05", "name": "assessment-objective", "prose": "stakeholder vulnerability disclosures contain information about guidance to remediate the vulnerability(ies)."}]} \N \N \N \N +SCF:TDA-02.12 SCF TDA-02.12 Products With Digital Elements Mechanisms exist to categorize applicable security and resiliency requirements for products and/or services with digital elements. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.12_TDA-02.12_A01", "name": "assessment-objective", "prose": "a categorization scheme for products and/or services with digital elements is developed to define security and resiliency requirements."}, {"id": "TDA-02.12_TDA-02.12_A02", "name": "assessment-objective", "prose": "products and/or services with digital elements are categorized according to applicable security and resiliency requirements."}]} \N \N \N \N +SCF:TDA-02.13 SCF TDA-02.13 Reporting Exploitable Vulnerabilities Mechanisms exist to notify applicable stakeholders about potentially exploitable vulnerabilities in organization-developed Technology Assets, Applications and/or Services (TAAS), as required by statutory, regulatory and/or contractual obligations. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.13_TDA-02.13_A01", "name": "assessment-objective", "prose": "applicable stakeholders are notified about potentially exploitable vulnerabilities in organization-developed products and/or services, as required by statutory, regulatory and/or contractual obligations."}]} \N \N \N \N +SCF:TDA-02.14 SCF TDA-02.14 Logging Syntax Mechanisms exist to require system developers to use an industry-defined secure logging format to generate event logs for specified event types at organization-defined level of detail. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-02.14_TDA-02.14_A01", "name": "assessment-objective", "prose": "industry-defined secure logging formats are used to generate event logs."}]} \N \N \N \N +SCF:TDA-03 SCF TDA-03 Commercial Off-The-Shelf (COTS) Security Solutions Mechanisms exist to utilize only Commercial Off-the-Shelf (COTS) security products. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-03_TDA-03_A01", "name": "assessment-objective", "prose": "the organization only uses Commercial Off-the-Shelf (COTS) security products."}, {"id": "TDA-03_TDA-03_A02", "name": "assessment-objective", "prose": "for classified environments, only Government Off-The-Shelf (GOTS)or Commercial Off-The-Shelf (COTS) information assurance and information assurance-enabled information technology products that compose an NSA-approved solution are employed."}, {"id": "TDA-03_TDA-03_A03", "name": "assessment-objective", "prose": "for classified environments, GOTS and COTS products have been evaluated and/or validated by NSA or in accordance with NSA-approved procedures."}]} \N \N \N \N +SCF:TDA-03.1 SCF TDA-03.1 Supplier Diversity Mechanisms exist to obtain security, compliance and resilience technologies from different suppliers to minimize supply chain risk. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-03.1_TDA-03.1_A01", "name": "assessment-objective", "prose": "system components with a diverse set of sources are defined."}, {"id": "TDA-03.1_TDA-03.1_A02", "name": "assessment-objective", "prose": "services with a diverse set of sources are defined."}, {"id": "TDA-03.1_TDA-03.1_A03", "name": "assessment-objective", "prose": "a diverse set of sources is employed for system components."}, {"id": "TDA-03.1_TDA-03.1_A04", "name": "assessment-objective", "prose": "a diverse set of sources is employed for services."}, {"id": "TDA-03.1_TDA-03.1_A05", "name": "assessment-objective", "prose": "controls to be allocated are defined."}, {"id": "TDA-03.1_TDA-03.1_A06", "name": "assessment-objective", "prose": "locations and architectural layers are defined."}, {"id": "TDA-03.1_TDA-03.1_A07", "name": "assessment-objective", "prose": "controls that are allocated to locations and architectural layers are required to be obtained from different suppliers."}]} \N \N \N \N +SCF:TDA-04 SCF TDA-04 Documentation Requirements Mechanisms exist to obtain, protect and distribute administrator documentation for Technology Assets, Applications and/or Services (TAAS) that describe:\r\n(1) Secure configuration, installation and operation of the TAAS;\r\n(2) Effective use and maintenance of security features/functions; and\r\n(3) Known vulnerabilities regarding configuration and use of administrative (e.g., privileged) functions. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-04_TDA-04_A01", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes the secure configuration of the system, component or service is obtained or developed."}, {"id": "TDA-04_TDA-04_A02", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes the secure installation of the system, component or service is obtained or developed."}, {"id": "TDA-04_TDA-04_A03", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes the secure operation of the system, component or service is obtained or developed."}, {"id": "TDA-04_TDA-04_A04", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes the effective use of cybersecurity / data privacy functions and mechanisms is obtained or developed."}, {"id": "TDA-04_TDA-04_A05", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes the effective maintenance of cybersecurity / data privacy functions and mechanisms is obtained or developed."}, {"id": "TDA-04_TDA-04_A06", "name": "assessment-objective", "prose": "user documentation for the system, system component or system service that describes user-accessible cybersecurity / data privacy functions and mechanisms is obtained or developed."}, {"id": "TDA-04_TDA-04_A07", "name": "assessment-objective", "prose": "user documentation for the system, system component or system service that describes how to effectively use those (user-accessible cybersecurity / data privacy) functions and mechanisms is obtained or developed."}, {"id": "TDA-04_TDA-04_A08", "name": "assessment-objective", "prose": "user documentation for the system, system component or system service that describes methods for user interaction, which enable individuals to use the system, component or service in a more secure manner is obtained or developed."}, {"id": "TDA-04_TDA-04_A09", "name": "assessment-objective", "prose": "user documentation for the system, system component or system service that describes methods for user interaction, which enable individuals to use the system, component or service to protect individual privacy is obtained or developed."}, {"id": "TDA-04_TDA-04_A10", "name": "assessment-objective", "prose": "user documentation for the system, system component or system service that describes user responsibilities for maintaining the cybersecurity / data privacy of the system, component or service is obtained or developed."}, {"id": "TDA-04_TDA-04_A11", "name": "assessment-objective", "prose": "actions to take when system, system component or system service documentation is either unavailable or nonexistent are defined."}, {"id": "TDA-04_TDA-04_A12", "name": "assessment-objective", "prose": "personnel or roles to distribute system documentation to is/are defined."}, {"id": "TDA-04_TDA-04_A13", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes known vulnerabilities regarding the configuration of administrative or privileged functions is obtained or developed."}, {"id": "TDA-04_TDA-04_A14", "name": "assessment-objective", "prose": "administrator documentation for the system, system component or system service that describes known vulnerabilities regarding the use of administrative or privileged functions is obtained or developed."}, {"id": "TDA-04_TDA-04_A15", "name": "assessment-objective", "prose": "attempts to obtain system, system component or system service documentation when such documentation is either unavailable or nonexistent is documented."}, {"id": "TDA-04_TDA-04_A16", "name": "assessment-objective", "prose": "after attempts to obtain system, system component or system service documentation when such documentation is either unavailable or nonexistent, actions are taken in response."}, {"id": "TDA-04_TDA-04_A17", "name": "assessment-objective", "prose": "documentation is distributed to personnel or roles."}]} \N \N \N \N +SCF:TDA-04.1 SCF TDA-04.1 Functional Properties Mechanisms exist to require software developers to provide information describing the functional properties of the security, compliance and resilience controls to be utilized within Technology Assets, Applications and/or Services (TAAS) in sufficient detail to permit analysis and testing of the controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-04.1_TDA-04.1_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to provide a description of the functional properties of the controls to be implemented."}, {"id": "TDA-04.1_TDA-04.1_A02", "name": "assessment-objective", "prose": "organization-defined criteria for security-relevant information pertaining to external system interfaces, high-level design, low-level design, source code or hardware schematics and design and implementation information are documented in a System Security & Privacy Plan (SSPP), or similar document."}, {"id": "TDA-04.1_TDA-04.1_A03", "name": "assessment-objective", "prose": "design and implementation information is defined."}, {"id": "TDA-04.1_TDA-04.1_A04", "name": "assessment-objective", "prose": "level of detail is defined."}, {"id": "TDA-04.1_TDA-04.1_A05", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to provide design and implementation information for the controls that includes using at level of detail."}]} \N \N \N \N +SCF:TDA-04.2 SCF TDA-04.2 Software Bill of Materials (SBOM) Mechanisms exist to generate, or obtain, a Software Bill of Materials (SBOM) for Technology Assets, Applications and/or Services (TAAS) that lists software packages in use, including versions and applicable licenses. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-04.2_TDA-04.2_A01", "name": "assessment-objective", "prose": "a Software Bill of Materials (SBOM) for systems, applications and services lists software packages in use, including versions and applicable licenses."}]} \N \N \N \N +SCF:TDA-05 SCF TDA-05 Developer Architecture & Design Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to produce a design specification and security architecture that: \r\n(1) Is consistent with and supportive of the organization's security architecture which is established within and is an integrated part of the organization's enterprise architecture;\r\n(2) Accurately and completely describes the required security functionality and the allocation of security, compliance and resilience controls among physical and logical components; and\r\n(3) Expresses how individual security functions, mechanisms and services work together to provide required security capabilities and a unified approach to protection. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-05_TDA-05_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to produce a design specification and cybersecurity / data privacy architecture that are consistent with the organization's security architecture, which is an integral part the organization's enterprise architecture."}, {"id": "TDA-05_TDA-05_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to produce a design specification and cybersecurity / data privacy architecture that accurately and completely describe the required security functionality and the allocation of controls among physical and logical components."}, {"id": "TDA-05_TDA-05_A03", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to produce a design specification and cybersecurity / data privacy architecture that express how individual security functions, mechanisms and services work together to provide required security capabilities and a unified approach to protection."}]} \N \N \N \N +SCF:TDA-05.1 SCF TDA-05.1 Physical Diagnostic & Test Interfaces Mechanisms exist to secure physical diagnostic and test interfaces to prevent misuse. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-05.1_TDA-05.1_A01", "name": "assessment-objective", "prose": "physical diagnostic and test interfaces are secured to prevent misuse."}]} \N \N \N \N +SCF:TDA-05.2 SCF TDA-05.2 Diagnostic & Test Interface Monitoring Mechanisms exist to enable endpoint devices to log events and generate alerts for attempts to access diagnostic and test interfaces. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-05.2_TDA-05.2_A01", "name": "assessment-objective", "prose": "endpoint devices are configured to log events and generate alerts for attempts to access diagnostic and test interfaces."}]} \N \N \N \N +SCF:TDA-06 SCF TDA-06 Secure Software Development Practices (SSDP) Mechanisms exist to develop applications based on Secure Software Development Practices (SSDP). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06_TDA-06_A01", "name": "assessment-objective", "prose": "software development techniques that promote effective cybersecurity / data privacy are identified."}, {"id": "TDA-06_TDA-06_A02", "name": "assessment-objective", "prose": "testing, evaluation, assessment, verification and validation methods are defined."}, {"id": "TDA-06_TDA-06_A03", "name": "assessment-objective", "prose": "cybersecurity / data privacy requirements to be satisfied by the process, standards, tools, tool options and tool configurations are defined."}, {"id": "TDA-06_TDA-06_A04", "name": "assessment-objective", "prose": "identified software development techniques that promote effective cybersecurity / data privacy are employed."}, {"id": "TDA-06_TDA-06_A05", "name": "assessment-objective", "prose": "quality control processes are defined."}, {"id": "TDA-06_TDA-06_A06", "name": "assessment-objective", "prose": "frequency at which to review the development process, standards, tools, tool options and tool configurations is defined."}, {"id": "TDA-06_TDA-06_A07", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that explicitly addresses security requirements."}, {"id": "TDA-06_TDA-06_A08", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that explicitly addresses privacy requirements."}, {"id": "TDA-06_TDA-06_A09", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that identifies the standards used in the development process."}, {"id": "TDA-06_TDA-06_A10", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that identifies the tools used in the development process."}, {"id": "TDA-06_TDA-06_A11", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that documents the specific tool used in the development process."}, {"id": "TDA-06_TDA-06_A12", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that documents the specific tool configurations used in the development process."}, {"id": "TDA-06_TDA-06_A13", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process that documents, manages and ensures the integrity of changes to the process and/or tools used in development."}, {"id": "TDA-06_TDA-06_A14", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process in which the development process, standards, tools, tool options and tool configurations are reviewed frequently to determine that the process, standards, tools, tool options and tool configurations selected and employed satisfy security requirements."}, {"id": "TDA-06_TDA-06_A15", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to follow a documented development process in which the development process, standards, tools, tool options and tool configurations are reviewed frequently to determine that the process, standards, tools, tool options and tool configurations selected and employed satisfy privacy requirements."}, {"id": "TDA-06_TDA-06_A16", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to demonstrate the use of a system development life cycle process that includes organization-defined system security engineering methods."}]} \N \N \N \N +SCF:TDA-06.1 SCF TDA-06.1 Criticality Analysis During Development Mechanisms exist to require the developer of the Technology Asset, Application and/or Service (TAAS) to perform a criticality analysis at organization-defined decision points in the Secure Development Life Cycle (SDLC). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.1_TDA-06.1_A01", "name": "assessment-objective", "prose": "decision points in the system development life cycle are defined."}, {"id": "TDA-06.1_TDA-06.1_A02", "name": "assessment-objective", "prose": "the breadth of criticality analysis is defined."}, {"id": "TDA-06.1_TDA-06.1_A03", "name": "assessment-objective", "prose": "the depth of criticality analysis is defined."}, {"id": "TDA-06.1_TDA-06.1_A04", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform a criticality analysis at organization-defined decision points in the system development life cycle."}, {"id": "TDA-06.1_TDA-06.1_A05", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform a criticality analysis per an organization-defined breadth."}, {"id": "TDA-06.1_TDA-06.1_A06", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform a criticality analysis per an organization-defined depth."}, {"id": "TDA-06.1_TDA-06.1_A07", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are identified."}, {"id": "TDA-06.1_TDA-06.1_A08", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are prioritized."}, {"id": "TDA-06.1_TDA-06.1_A09", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are assessed."}]} \N \N \N \N +SCF:TDA-06.5 SCF TDA-06.5 Software Design Review Mechanisms exist to have an independent review of the software design to validate:\r\n(1) Applicable security, compliance and resilience requirements are met; and\r\n(2) Identified risks are remediated. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.5_TDA-06.5_A01", "name": "assessment-objective", "prose": "an independent review of the software design confirms that all cybersecurity / data privacy requirements are met and that any identified risks are satisfactorily addressed."}]} \N \N \N \N +SCF:TDA-06.6 SCF TDA-06.6 Software Design Root Cause Analysis Mechanisms exist to assess software design processes that includes: \r\n(1) Conducting Root Cause Analysis (RCA) to identify the underlying causes of issues or failures;\r\n(2) Developing actions to address the root cause of the issue or failure; and\r\n(3) Implementing the actions and monitoring the implementation for effectiveness. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-06.6_TDA-06.6_A01", "name": "assessment-objective", "prose": "software design processes include conducting Root Cause Analysis (RCA) to identify the underlying causes of issues or failures."}, {"id": "TDA-06.6_TDA-06.6_A02", "name": "assessment-objective", "prose": "software design processes include developing actions to address the root cause of the issue or failure."}, {"id": "TDA-06.6_TDA-06.6_A03", "name": "assessment-objective", "prose": "software design processes include implementing the actions and monitor the implementation for effectiveness."}]} \N \N \N \N +SCF:TDA-07 SCF TDA-07 Secure Development Environments Mechanisms exist to maintain a segmented development network to ensure a secure development environment. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-07_TDA-07_A01", "name": "assessment-objective", "prose": "system pre-production environments are protected commensurate with risk throughout the system development life cycle for the system, system component or system service."}]} \N \N \N \N +SCF:TDA-08 SCF TDA-08 Separation of Development, Testing and Operational Environments Mechanisms exist to manage separate development, testing and operational environments to reduce the risks of unauthorized access or changes to the operational environment and to ensure no impact to production Technology Assets, Applications and/or Services (TAAS). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-08_TDA-08_A01", "name": "assessment-objective", "prose": "changes to the system are analyzed in a separate test environment before implementation in an operational environment."}, {"id": "TDA-08_TDA-08_A02", "name": "assessment-objective", "prose": "changes to the system are analyzed for cybersecurity / data privacy impacts due to flaws."}, {"id": "TDA-08_TDA-08_A03", "name": "assessment-objective", "prose": "changes to the system are analyzed for cybersecurity / data privacy impacts due to weaknesses."}, {"id": "TDA-08_TDA-08_A04", "name": "assessment-objective", "prose": "changes to the system are analyzed for cybersecurity / data privacy impacts due to incompatibility."}, {"id": "TDA-08_TDA-08_A05", "name": "assessment-objective", "prose": "changes to the system are analyzed for cybersecurity / data privacy impacts due to intentional malice."}]} \N \N \N \N +SCF:TDA-08.1 SCF TDA-08.1 Secure Migration Practices Mechanisms exist to ensure secure migration practices purge Technology Assets, Applications and/or Services (TAAS) of test/development/staging data and accounts before it is migrated into a production environment. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-08.1_TDA-08.1_A01", "name": "assessment-objective", "prose": "secure migration practices purge systems, applications and services of test/development/staging data and accounts before it is migrated into a production environment."}]} \N \N \N \N +SCF:TDA-09 SCF TDA-09 Security, Compliance & Resilience Testing Throughout Development Mechanisms exist to require system developers/integrators consult with security, compliance and/or resilience personnel to: \r\n(1) Create and implement a Security Testing and Evaluation (ST&E) plan, or similar capability;\r\n(2) Implement a verifiable flaw remediation process to correct weaknesses and deficiencies identified during the control testing and evaluation process; and\r\n(3) Document the results. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09_TDA-09_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to demonstrate the use of a system development life cycle process that includes organization-defined system security engineering methods."}, {"id": "TDA-09_TDA-09_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to perform attack surface reviews."}, {"id": "TDA-09_TDA-09_A03", "name": "assessment-objective", "prose": "the breadth of testing and evaluation of required controls is defined."}, {"id": "TDA-09_TDA-09_A04", "name": "assessment-objective", "prose": "the depth of testing and evaluation of required controls is defined."}, {"id": "TDA-09_TDA-09_A05", "name": "assessment-objective", "prose": "frequency at which to conduct testing/evaluation is defined."}, {"id": "TDA-09_TDA-09_A06", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to develop a plan for ongoing security assessments."}, {"id": "TDA-09_TDA-09_A07", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to implement a plan for ongoing security assessments."}, {"id": "TDA-09_TDA-09_A08", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to develop a plan for privacy assessments."}, {"id": "TDA-09_TDA-09_A09", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to implement a plan for ongoing privacy assessments."}, {"id": "TDA-09_TDA-09_A10", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to perform testing/evaluation frequency to conduct at depth and coverage."}, {"id": "TDA-09_TDA-09_A11", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to produce evidence of the execution of the assessment plan."}, {"id": "TDA-09_TDA-09_A12", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to produce the results of the testing and evaluation."}, {"id": "TDA-09_TDA-09_A13", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to implement a verifiable flaw remediation process."}, {"id": "TDA-09_TDA-09_A14", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required at all post-design stages of the system development life cycle to correct flaws identified during testing and evaluation."}, {"id": "TDA-09_TDA-09_A15", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to verify that the scope of testing and evaluation provides complete coverage of the required controls per an organization-defined breadth."}, {"id": "TDA-09_TDA-09_A16", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to verify that the scope of testing and evaluation provides complete coverage of the required controls per an organization-defined depth."}]} \N \N \N \N +SCF:TDA-09.1 SCF TDA-09.1 Continuous Monitoring Plan Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to produce a plan for the continuous monitoring of security, compliance and/or resilience control effectiveness. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.1_TDA-09.1_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to produce a plan for the continuous monitoring of control effectiveness that is consistent with the continuous monitoring program of the organization."}]} \N \N \N \N +SCF:THR-06 SCF THR-06 Vulnerability Disclosure Program (VDP) Mechanisms exist to establish a Vulnerability Disclosure Program (VDP) to assist with the secure development and maintenance of Technology Assets, Applications and/or Services (TAAS) that receives unsolicited input from the public about vulnerabilities in organizational TAAS. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-06_THR-06_A01", "name": "assessment-objective", "prose": "a public reporting channel is established for receiving reports of vulnerabilities in organizational systems and system components."}]} \N \N \N \N +SCF:TDA-09.2 SCF TDA-09.2 Static Code Analysis Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to employ static code analysis tools to identify and remediate common flaws and document the results of the analysis. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.2_TDA-09.2_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to employ static code analysis tools to identify common flaws."}, {"id": "TDA-09.2_TDA-09.2_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to employ static code analysis tools to document the results of the analysis."}]} \N \N \N \N +SCF:TDA-09.3 SCF TDA-09.3 Dynamic Code Analysis Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to employ dynamic code analysis tools to identify and remediate common flaws and document the results of the analysis. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.3_TDA-09.3_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to employ dynamic code analysis tools to identify common flaws."}, {"id": "TDA-09.3_TDA-09.3_A02", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to document the results of the analysis."}]} \N \N \N \N +SCF:TDA-09.4 SCF TDA-09.4 Malformed Input Testing Mechanisms exist to utilize testing methods to ensure Technology Assets, Applications and/or Services (TAAS) continue to operate as intended when subject to invalid or unexpected inputs on its interfaces. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.4_TDA-09.4_A01", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform testing to ensure it continues to operate as intended when subject to invalid or unexpected inputs on its interfaces."}]} \N \N \N \N +SCF:TDA-09.5 SCF TDA-09.5 Application Penetration Testing Mechanisms exist to perform application-level penetration testing of custom-made Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.5_TDA-09.5_A01", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing per an organization-defined breadth."}, {"id": "TDA-09.5_TDA-09.5_A02", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing per an organization-defined depth."}, {"id": "TDA-09.5_TDA-09.5_A03", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform penetration testing under organization-defined constraints."}, {"id": "TDA-09.5_TDA-09.5_A04", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to perform attack surface reviews."}]} \N \N \N \N +SCF:TDA-09.6 SCF TDA-09.6 Secure Settings By Default Mechanisms exist to implement secure configuration settings by default to reduce the likelihood of Technology Assets, Applications and/or Services (TAAS) being deployed with weak security settings that would put the TAAS at a greater risk of compromise. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.6_TDA-09.6_A01", "name": "assessment-objective", "prose": "default secure configuration settings reduce the likelihood of software being deployed with weak security settings that would put the asset at a greater risk of compromise."}]} \N \N \N \N +SCF:TDA-09.7 SCF TDA-09.7 Manual Code Review Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to employ a manual code review process to identify and remediate unique flaws that require knowledge of the application’s requirements and design. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-09.7_TDA-09.7_A01", "name": "assessment-objective", "prose": "specific code requiring manual code review is defined."}, {"id": "TDA-09.7_TDA-09.7_A02", "name": "assessment-objective", "prose": "processes, procedures, and/or techniques used for manual code reviews are defined."}, {"id": "TDA-09.7_TDA-09.7_A03", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform a manual code review of organization-defined specific code using organization-defined processes, procedures, and/or techniques."}]} \N \N \N \N +SCF:TDA-10 SCF TDA-10 Use of Live Data Mechanisms exist to approve, document and control the use of live data in development and test environments. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-10_TDA-10_A01", "name": "assessment-objective", "prose": "the use of live data in pre-production environments is approved for the system, system component or system service."}, {"id": "TDA-10_TDA-10_A02", "name": "assessment-objective", "prose": "the use of live data in pre-production environments is documented for the system, system component or system service."}, {"id": "TDA-10_TDA-10_A03", "name": "assessment-objective", "prose": "the use of live data in pre-production environments is controlled for the system, system component or system service."}, {"id": "TDA-10_TDA-10_A04", "name": "assessment-objective", "prose": "pre-production environments for the system, system component or system service are protected at the same impact or classification level as any live data in use within the pre-production environments."}]} \N \N \N \N +SCF:TDA-10.1 SCF TDA-10.1 Test Data Integrity Mechanisms exist to ensure the integrity of test data through existing security, compliance and resilience controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-10.1_TDA-10.1_A01", "name": "assessment-objective", "prose": "the integrity of test data is ensured through existing cybersecurity / data privacy controls."}]} \N \N \N \N +SCF:TDA-11 SCF TDA-11 Product Tampering and Counterfeiting (PTC) Mechanisms exist to maintain awareness of component authenticity by developing and implementing Product Tampering and Counterfeiting (PTC) practices that include the means to detect and prevent counterfeit components. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-11_TDA-11_A01", "name": "assessment-objective", "prose": "controls to validate that the system or system component received is genuine are defined."}, {"id": "TDA-11_TDA-11_A02", "name": "assessment-objective", "prose": "controls to validate that the system or system component received has not been altered are defined."}, {"id": "TDA-11_TDA-11_A03", "name": "assessment-objective", "prose": "controls are employed to validate that the system or system component received is genuine."}, {"id": "TDA-11_TDA-11_A04", "name": "assessment-objective", "prose": "controls are employed to validate that the system or system component received has not been altered."}, {"id": "TDA-11_TDA-11_A05", "name": "assessment-objective", "prose": "controls employed to ensure that the integrity of the system and system component are defined."}, {"id": "TDA-11_TDA-11_A06", "name": "assessment-objective", "prose": "an analysis method to be conducted to validate the internal composition and provenance of critical or mission-essential technologies, products and services to ensure the integrity of the system and system component is defined."}, {"id": "TDA-11_TDA-11_A07", "name": "assessment-objective", "prose": "controls are employed to ensure the integrity of the system and system components."}, {"id": "TDA-11_TDA-11_A08", "name": "assessment-objective", "prose": "analysis method is conducted to ensure the integrity of the system and system components."}, {"id": "TDA-11_TDA-11_A09", "name": "assessment-objective", "prose": "systems or system components that require inspection are defined."}, {"id": "TDA-11_TDA-11_A10", "name": "assessment-objective", "prose": "frequency at which to inspect systems or system components is defined."}, {"id": "TDA-11_TDA-11_A11", "name": "assessment-objective", "prose": "indications of the need for an inspection of systems or system components are defined."}, {"id": "TDA-11_TDA-11_A12", "name": "assessment-objective", "prose": "systems or system components are inspected to detect tampering."}, {"id": "TDA-11_TDA-11_A13", "name": "assessment-objective", "prose": "external reporting organizations to whom counterfeit system components are to be reported is/are defined."}, {"id": "TDA-11_TDA-11_A14", "name": "assessment-objective", "prose": "personnel or roles to whom counterfeit system components are to be reported is/are defined."}, {"id": "TDA-11_TDA-11_A15", "name": "assessment-objective", "prose": "anti-counterfeit procedures are developed and implemented."}, {"id": "TDA-11_TDA-11_A16", "name": "assessment-objective", "prose": "the anti-counterfeit procedures include the means to detect counterfeit components entering the system."}, {"id": "TDA-11_TDA-11_A17", "name": "assessment-objective", "prose": "the anti-counterfeit procedures include the means to prevent counterfeit components from entering the system."}, {"id": "TDA-11_TDA-11_A18", "name": "assessment-objective", "prose": "counterfeit system components are reported per organization-defined criteria."}, {"id": "TDA-11_TDA-11_A19", "name": "assessment-objective", "prose": "the frequency at which to scan for counterfeit system components is defined."}, {"id": "TDA-11_TDA-11_A20", "name": "assessment-objective", "prose": "scanning for counterfeit system components is conducted per an organization-defined frequency."}]} \N \N \N \N +SCF:TDA-11.1 SCF TDA-11.1 Anti-Counterfeit Training Mechanisms exist to train personnel to detect counterfeit system components, including hardware, software and firmware. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-11.1_TDA-11.1_A01", "name": "assessment-objective", "prose": "personnel or roles requiring training to detect counterfeit system components (including hardware, software and firmware) is/are defined."}, {"id": "TDA-11.1_TDA-11.1_A02", "name": "assessment-objective", "prose": "personnel or roles are trained to detect counterfeit system components (including hardware, software and firmware)."}]} \N \N \N \N +SCF:TDA-11.2 SCF TDA-11.2 Component Disposal [deprecated - incorporated into AST-09]\r\nMechanisms exist to dispose of system components using organization-defined techniques and methods to prevent such components from entering the gray market. {"group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-11.2_TDA-11.2_A01", "name": "assessment-objective", "prose": "N/A [deprecated – incorporated into AST-09]"}]} \N \N \N \N +SCF:TDA-12 SCF TDA-12 Customized Development of Critical Components Mechanisms exist to custom-develop critical system components, when Commercial Off The Shelf (COTS) solutions are unavailable. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-12_TDA-12_A01", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are identified."}, {"id": "TDA-12_TDA-12_A02", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are prioritized."}, {"id": "TDA-12_TDA-12_A03", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are assessed."}, {"id": "TDA-12_TDA-12_A04", "name": "assessment-objective", "prose": "critical system components to be reimplemented or custom-developed are defined."}, {"id": "TDA-12_TDA-12_A05", "name": "assessment-objective", "prose": "critical systems are reimplemented or custom-developed."}, {"id": "TDA-12_TDA-12_A06", "name": "assessment-objective", "prose": "systems or system components supporting mission-essential services or functions are defined."}, {"id": "TDA-12_TDA-12_A07", "name": "assessment-objective", "prose": "organization-defined criteria are employed on systems or system components supporting essential services or functions to increase the trustworthiness in those systems or components."}]} \N \N \N \N +SCF:TDA-13 SCF TDA-13 Developer Screening Mechanisms exist to ensure that the developers of Technology Assets, Applications and/or Services (TAAS) have the requisite skillset and appropriate access authorizations. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-13_TDA-13_A01", "name": "assessment-objective", "prose": "the system, systems component or system service that the developer has access to is/are defined."}, {"id": "TDA-13_TDA-13_A02", "name": "assessment-objective", "prose": "official duties assigned to the developer are defined."}, {"id": "TDA-13_TDA-13_A03", "name": "assessment-objective", "prose": "additional personnel screening criteria for the developer are defined."}]} \N \N \N \N +SCF:TDA-14 SCF TDA-14 Developer Configuration Management Mechanisms exist to require system developers and integrators to perform configuration management during system design, development, implementation and operation. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-14_TDA-14_A01", "name": "assessment-objective", "prose": "the developer of system, systems component or system service is required to have appropriate access authorizations as determined by assigned official duties."}, {"id": "TDA-14_TDA-14_A02", "name": "assessment-objective", "prose": "configuration items under configuration management are defined."}, {"id": "TDA-14_TDA-14_A03", "name": "assessment-objective", "prose": "personnel to whom security flaws and flaw resolutions within the system, component or service are reported is/are defined."}, {"id": "TDA-14_TDA-14_A04", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to perform configuration management during system, component or service per organization-defined criteria."}, {"id": "TDA-14_TDA-14_A05", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to document the integrity of changes to configuration items."}, {"id": "TDA-14_TDA-14_A06", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to manage the integrity of changes to configuration items."}, {"id": "TDA-14_TDA-14_A07", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to control the integrity of changes to configuration items."}, {"id": "TDA-14_TDA-14_A08", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to implement only organization-approved changes to the system, component or service."}, {"id": "TDA-14_TDA-14_A09", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to document approved changes to the system, component or service."}, {"id": "TDA-14_TDA-14_A10", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to document the potential security impacts of approved changes."}, {"id": "TDA-14_TDA-14_A11", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to document the potential privacy impacts of approved changes."}, {"id": "TDA-14_TDA-14_A12", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to track security flaws within the system, component or service."}, {"id": "TDA-14_TDA-14_A13", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to track security flaw resolutions within the system, component or service."}, {"id": "TDA-14_TDA-14_A14", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to report findings to personnel."}, {"id": "TDA-14_TDA-14_A15", "name": "assessment-objective", "prose": "an alternate configuration management process has been provided using organizational personnel in the absence of a dedicated developer configuration management team."}, {"id": "TDA-14_TDA-14_A16", "name": "assessment-objective", "prose": "the frequency with which to reassess individual positions and access to sensitive / regulated data is defined."}, {"id": "TDA-14_TDA-14_A17", "name": "assessment-objective", "prose": "individuals that require enhanced personnel screening are identified."}, {"id": "TDA-14_TDA-14_A18", "name": "assessment-objective", "prose": "positions that require access to sensitive / regulated data are identified."}, {"id": "TDA-14_TDA-14_A19", "name": "assessment-objective", "prose": "organization-defined enhanced personnel screening is conducted for individuals."}, {"id": "TDA-14_TDA-14_A20", "name": "assessment-objective", "prose": "individual positions and access to sensitive / regulated data is reassessed per an organization-defined frequency."}, {"id": "TDA-14_TDA-14_A21", "name": "assessment-objective", "prose": "individuals with access to sensitive / regulated data are identified."}, {"id": "TDA-14_TDA-14_A22", "name": "assessment-objective", "prose": "adverse information about individuals with access to sensitive / regulated data is defined."}, {"id": "TDA-14_TDA-14_A23", "name": "assessment-objective", "prose": "organizational systems to which individuals have access are identified."}, {"id": "TDA-14_TDA-14_A24", "name": "assessment-objective", "prose": "mechanisms are in place to protect organizational systems if adverse information develops or is obtained about individuals with access to sensitive / regulated data."}]} \N \N \N \N +SCF:TDA-14.1 SCF TDA-14.1 Software / Firmware Integrity Verification Mechanisms exist to require developers of Technology Assets, Applications and/or Services (TAAS) to enable integrity verification of software and firmware components. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-14.1_TDA-14.1_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to enable integrity verification of software and firmware components."}]} \N \N \N \N +SCF:TDA-14.2 SCF TDA-14.2 Hardware Integrity Verification Mechanisms exist to require developers of Technology Assets, Applications and/or Services (TAAS) to enable integrity verification of hardware components. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-14.2_TDA-14.2_A01", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to enable integrity verification of hardware components."}, {"id": "TDA-14.2_TDA-14.2_A02", "name": "assessment-objective", "prose": "the integrity of hardware components is verified."}, {"id": "TDA-14.2_TDA-14.2_A03", "name": "assessment-objective", "prose": "independence criteria to be satisfied by an independent agent are defined."}, {"id": "TDA-14.2_TDA-14.2_A04", "name": "assessment-objective", "prose": "an independent agent is required to satisfy organization-defined independence criteria to verify the correct implementation of the developer security assessment plan and the evidence produced during testing and evaluation."}, {"id": "TDA-14.2_TDA-14.2_A05", "name": "assessment-objective", "prose": "an independent agent is required to satisfy organization-defined independence criteria to verify the correct implementation of the developer privacy assessment plan and the evidence produced during testing and evaluation."}, {"id": "TDA-14.2_TDA-14.2_A06", "name": "assessment-objective", "prose": "the independent agent is provided with sufficient information to complete the verification process or granted the authority to obtain such information."}]} \N \N \N \N +SCF:TDA-15 SCF TDA-15 Developer Threat Analysis & Flaw Remediation Mechanisms exist to require system developers and integrators to develop and implement an ongoing Security Testing and Evaluation (ST&E) plan, or similar process, to objectively identify and remediate vulnerabilities prior to release to production. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-15_TDA-15_A01", "name": "assessment-objective", "prose": "information concerning impact, environment of operations, known or assumed threats and acceptable risk levels to be used as contextual information for threat modeling and vulnerability analyses is defined."}, {"id": "TDA-15_TDA-15_A02", "name": "assessment-objective", "prose": "the tools and methods to be employed for threat modeling and vulnerability analyses are defined."}, {"id": "TDA-15_TDA-15_A03", "name": "assessment-objective", "prose": "the breadth and depth of threat modeling to be conducted is defined."}, {"id": "TDA-15_TDA-15_A04", "name": "assessment-objective", "prose": "the breadth and depth of vulnerability analyses to be conducted is defined."}, {"id": "TDA-15_TDA-15_A05", "name": "assessment-objective", "prose": "acceptance criteria to be met by produced evidence for threat modeling are defined."}, {"id": "TDA-15_TDA-15_A06", "name": "assessment-objective", "prose": "acceptance criteria to be met by produced evidence for vulnerability analyses are defined."}, {"id": "TDA-15_TDA-15_A07", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during development of the system, component, or service that uses organization-defined information."}, {"id": "TDA-15_TDA-15_A08", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during development of the system, component, or service that uses organization-defined information."}, {"id": "TDA-15_TDA-15_A09", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during the subsequent testing and evaluation of the system, component, or service that uses organization-defined information."}, {"id": "TDA-15_TDA-15_A10", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during the subsequent testing and evaluation of the system, component, or service that uses organization-defined information."}, {"id": "TDA-15_TDA-15_A11", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during development of the system, component, or service that employs organization-defined tools and methods."}, {"id": "TDA-15_TDA-15_A12", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during the subsequent testing and evaluation of the system, component, or service that employs organization-defined tools and methods."}, {"id": "TDA-15_TDA-15_A13", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during development of the system, component, or service that employs organization-defined tools and methods."}, {"id": "TDA-15_TDA-15_A14", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during the subsequent testing and evaluation of the system, component, or service that employs organization-defined tools and methods."}, {"id": "TDA-15_TDA-15_A15", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling per an organization-defined breadth and depth during development of the system, component or service."}, {"id": "TDA-15_TDA-15_A16", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during the subsequent testing and evaluation of the system, component, or service that conducts modeling and analyses per an organization-defined breadth and depth."}, {"id": "TDA-15_TDA-15_A17", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during development of the system, component, or service that produces evidence that meets organization-defined acceptance criteria."}, {"id": "TDA-15_TDA-15_A18", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform threat modeling during the subsequent testing and evaluation of the system, component, or service that produces evidence that meets organization-defined acceptance criteria."}, {"id": "TDA-15_TDA-15_A19", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during development of the system, component, or service that produces evidence that meets organization-defined acceptance criteria."}, {"id": "TDA-15_TDA-15_A20", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during the subsequent testing and evaluation of the system, component, or service that produces evidence that meets organization-defined acceptance criteria."}]} \N \N \N \N +SCF:TDA-16 SCF TDA-16 Developer-Provided Training Mechanisms exist to require the developers of Technology Assets, Applications and/or Services (TAAS) to provide training on the correct use and operation of the Technology Asset, Application and/or Service (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-16_TDA-16_A01", "name": "assessment-objective", "prose": "training on the correct use and operation of the implemented cybersecurity / data privacy functions, controls, and/or mechanisms provided by the developer of the system, system component or system service is defined."}, {"id": "TDA-16_TDA-16_A02", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to provide training on the correct use and operation of the implemented cybersecurity / data privacy functions , controls, and/or mechanisms."}]} \N \N \N \N +SCF:TDA-17 SCF TDA-17 Unsupported Technology Assets, Applications and/or Services (TAAS) Mechanisms exist to prevent unsupported Technology Assets, Applications and/or Services (TAAS) by:\r\n(1) Removing and/or replacing TAAS when support for the components is no longer available from the developer, vendor or manufacturer; and\r\n(2) Requiring justification and documented approval for the continued use of unsupported TAAS required to satisfy mission/business needs. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-17_TDA-17_A01", "name": "assessment-objective", "prose": "support from external providers is defined."}, {"id": "TDA-17_TDA-17_A02", "name": "assessment-objective", "prose": "system components are replaced when support for the components is no longer available from the developer, vendor, or manufacturer."}]} \N \N \N \N +SCF:TDA-17.1 SCF TDA-17.1 Alternate Sources for Continued Support Mechanisms exist to provide in-house support or contract external providers for support with unsupported Technology Assets, Applications and/or Services (TAAS). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-17.1_TDA-17.1_A01", "name": "assessment-objective", "prose": "options for risk mitigation or alternative sources for continued support for unsupported components that cannot be replaced are provided."}]} \N \N \N \N +SCF:TDA-18 SCF TDA-18 Input Data Validation Mechanisms exist to check the validity of information inputs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-18_TDA-18_A01", "name": "assessment-objective", "prose": "information inputs to the system requiring validity checks are defined."}, {"id": "TDA-18_TDA-18_A02", "name": "assessment-objective", "prose": "the validity of the organization-defined information inputs is checked."}, {"id": "TDA-18_TDA-18_A03", "name": "assessment-objective", "prose": "approved authorizations for logical access to information and system resources are enforced in accordance with applicable access control policies."}]} \N \N \N \N +SCF:TPM-03.3 SCF TPM-03.3 Processes To Address Weaknesses or Deficiencies Mechanisms exist to address identified weaknesses or deficiencies in the security of the supply chain 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-03.3_TPM-03.3_A01", "name": "assessment-objective", "prose": "the system or system component requiring a process or processes to identify and address weaknesses or deficiencies is defined."}, {"id": "TPM-03.3_TPM-03.3_A02", "name": "assessment-objective", "prose": "supply chain personnel with whom to coordinate the process or processes to identify and address weaknesses or deficiencies in the supply chain elements and processes is/are defined."}, {"id": "TPM-03.3_TPM-03.3_A03", "name": "assessment-objective", "prose": "supply chain controls employed to protect against supply chain risks to the system, system component or system service and to limit the harm or consequences from supply chain-related events are defined."}, {"id": "TPM-03.3_TPM-03.3_A04", "name": "assessment-objective", "prose": "the document identifying the selected and implemented supply chain processes and controls is defined."}, {"id": "TPM-03.3_TPM-03.3_A05", "name": "assessment-objective", "prose": "a process or processes is/are established to identify and address weaknesses or deficiencies in the supply chain elements and processes of system or system component."}, {"id": "TPM-03.3_TPM-03.3_A06", "name": "assessment-objective", "prose": "the process or processes to identify and address weaknesses or deficiencies in the supply chain elements and processes of system or system component is/are coordinated with supply chain personnel."}, {"id": "TPM-03.3_TPM-03.3_A07", "name": "assessment-objective", "prose": "supply chain controls are employed to protect against supply chain risks to the system, system component or system service and to limit the harm or consequences from supply chain-related events."}, {"id": "TPM-03.3_TPM-03.3_A08", "name": "assessment-objective", "prose": "the selected and implemented supply chain processes and controls are documented in accordance with organization-defined criteria."}]} \N \N \N \N +SCF:TDA-19 SCF TDA-19 Error Handling Mechanisms exist to handle error conditions by: \r\n(1) Identifying potentially security-relevant error conditions;\r\n(2) Generating error messages that provide information necessary for corrective actions without revealing sensitive or potentially harmful information in error logs and administrative messages that could be exploited; and\r\n(3) Revealing error messages only to authorized personnel. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-19_TDA-19_A01", "name": "assessment-objective", "prose": "personnel or roles to whom error messages are to be revealed is/are defined."}, {"id": "TDA-19_TDA-19_A02", "name": "assessment-objective", "prose": "error messages that provide the information necessary for corrective actions are generated without revealing information that could be exploited."}, {"id": "TDA-19_TDA-19_A03", "name": "assessment-objective", "prose": "error messages are revealed only to organization-defined personnel or roles."}]} \N \N \N \N +SCF:TDA-20 SCF TDA-20 Access to Program Source Code Mechanisms exist to limit privileges to change software resident within software libraries. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-20_TDA-20_A01", "name": "assessment-objective", "prose": "organization-defined criteria for security-relevant information pertaining to external system interfaces, high-level design, low-level design, source code or hardware schematics and design and implementation information are documented in a System Security Plan (SSP)."}, {"id": "TDA-20_TDA-20_A04", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to provide design and implementation information for the controls that includes using at level of detail."}]} \N \N \N \N +SCF:TDA-20.1 SCF TDA-20.1 Software Release Integrity Verification Mechanisms exist to publish integrity verification information for software releases. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-20.1_TDA-20.1_A01", "name": "assessment-objective", "prose": "integrity verification information is published for software releases."}]} \N \N \N \N +SCF:TDA-20.2 SCF TDA-20.2 Archiving Software Releases Mechanisms exist to archive software releases and all of their components (e.g., code, package files, third-party libraries, documentation) to maintain integrity verification information. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-20.2_TDA-20.2_A01", "name": "assessment-objective", "prose": "software releases and all of their components (e.g., code, package files, third-party libraries, documentation) are securely archived to maintain integrity verification information."}]} \N \N \N \N +SCF:TDA-20.3 SCF TDA-20.3 Software Escrow Mechanisms exist to escrow source code and supporting documentation to ensure software availability in the event the software provider goes out of business or is unable to provide support. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-20.3_TDA-20.3_A01", "name": "assessment-objective", "prose": "source code and supporting documentation are escrowed to ensure software availability in the event the software provider goes out of business or is unable to provide support."}]} \N \N \N \N +SCF:TDA-20.4 SCF TDA-20.4 Approved Code Mechanisms exist to govern the approval of binaries and code for production use. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-20.4_TDA-20.4_A01", "name": "assessment-objective", "prose": "approval of binaries and code for production use is governed through organizational change control processes."}]} \N \N \N \N +SCF:TDA-21 SCF TDA-21 Product Conformity Governance Mechanisms exist to ensure developed Technology Assets, Applications and/or Services (TAAS) conform to applicable statutory and regulatory requirements, based on the product's and/or service's:\r\n(1) Use case(s); and\r\n(2) Geographic markets. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-21_TDA-21_A01", "name": "assessment-objective", "prose": "developed products and/or services conform to applicable statutory and regulatory requirements, based on the product's and/or service's use case(s)."}, {"id": "TDA-21_TDA-21_A02", "name": "assessment-objective", "prose": "developed products and/or services conform to applicable statutory and regulatory requirements, based on the product's and/or service's geographic markets."}]} \N \N \N \N +SCF:TDA-22 SCF TDA-22 Technical Documentation Artifacts Mechanisms exist to generate appropriate technical documentation artifacts for Technology Assets, Applications and/or Services (TAAS) in sufficient detail to demonstrate conformity with applicable statutory, regulatory and contractual compliance requirements. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-22_TDA-22_A01", "name": "assessment-objective", "prose": "appropriate technical documentation artifacts are generated for products and/or services in sufficient detail to demonstrate conformity with applicable statutory, regulatory and contractual compliance requirements."}]} \N \N \N \N +SCF:TDA-22.1 SCF TDA-22.1 Product-Specific Risk Assessment Artifacts Mechanisms exist to include a detailed cybersecurity risk assessment in the technical documentation for Technology Assets, Applications and/or Services (TAAS) to demonstrate applicable risks in approved use cases. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Technology Development & Acquisition", "assessment_objective": [{"id": "TDA-22.1_TDA-22.1_A01", "name": "assessment-objective", "prose": "a detailed cybersecurity risk assessment is included in the technical documentation for products and/or services to demonstrate applicable risks in approved use cases."}]} \N \N \N \N +SCF:TPM-05.7 SCF TPM-05.7 Break Clauses Mechanisms exist to include "break clauses" within contracts for failure to meet contract criteria for security, compliance and/or resilience controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.7_TPM-05.7_A01", "name": "assessment-objective", "prose": "contracts with third-parties include \\"break clauses\\" to enable the organization to exit a contract due to a third-party's non-compliance with contract requirements for cybersecurity / data privacy controls."}]} \N \N \N \N +SCF:TPM-01 SCF TPM-01 Third-Party Management Mechanisms exist to facilitate the implementation of third-party management controls. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-01_TPM-01_A01", "name": "assessment-objective", "prose": "security requirements to protect against supply chain risks to the system, system components, or system services and to limit the harm or consequences from supply chain-related events are defined."}, {"id": "TPM-01_TPM-01_A02", "name": "assessment-objective", "prose": "cybersecurity / data privacy functional requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A03", "name": "assessment-objective", "prose": "requirements for protecting cybersecurity / data privacy documentation, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A04", "name": "assessment-objective", "prose": "strength of mechanism requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A05", "name": "assessment-objective", "prose": "cybersecurity / data privacy assurance requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A06", "name": "assessment-objective", "prose": "controls needed to satisfy the cybersecurity / data privacy requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A07", "name": "assessment-objective", "prose": "cybersecurity / data privacy documentation requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A08", "name": "assessment-objective", "prose": "the description of the system development environment and environment in which the system is intended to operate, requirements and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A09", "name": "assessment-objective", "prose": "the allocation of responsibility or identification of parties responsible for cybersecurity / data privacy requirements, descriptions and criteria are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A10", "name": "assessment-objective", "prose": "the allocation of responsibility or identification of parties responsible for supply chain risk management requirements, descriptions and criteria are included explicitly or by reference using organization-defined criteria."}, {"id": "TPM-01_TPM-01_A11", "name": "assessment-objective", "prose": "acceptance criteria requirements and descriptions are included explicitly or by reference using in the acquisition contract for the system, system component or system service."}, {"id": "TPM-01_TPM-01_A12", "name": "assessment-objective", "prose": "contract language is defined."}, {"id": "TPM-01_TPM-01_A13", "name": "assessment-objective", "prose": "third-party management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "TPM-01_TPM-01_A14", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support third-party management operations."}, {"id": "TPM-01_TPM-01_A15", "name": "assessment-objective", "prose": "responsibility and authority for the performance of third-party management-related activities are assigned to designated personnel."}, {"id": "TPM-01_TPM-01_A16", "name": "assessment-objective", "prose": "personnel performing third-party management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:TPM-01.1 SCF TPM-01.1 Third-Party Inventories Mechanisms exist to maintain a current, accurate and complete list of External Service Providers (ESPs) that can potentially impact the Confidentiality, Integrity, Availability and/or Safety (CIAS) of the organization's Technology Assets, Applications, Services and/or Data (TAASD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-01.1_TPM-01.1_A01", "name": "assessment-objective", "prose": "a current, accurate and complete list of Third-Party Service Providers (TSP) that can potentially impact the Sensitivity, Integrity, Availability and/or Safety (CIAS) of the organization's systems, applications, services and data is maintained."}]} \N \N \N \N +SCF:TPM-02 SCF TPM-02 Third-Party Criticality Assessments Mechanisms exist to identify, prioritize and assess suppliers and partners of critical Technology Assets, Applications and/or Services (TAAS) using a supply chain risk assessment process relative to their importance in supporting the delivery of high-value services. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-02_TPM-02_A01", "name": "assessment-objective", "prose": "systems, system components or system services to be analyzed for criticality are defined."}, {"id": "TPM-02_TPM-02_A02", "name": "assessment-objective", "prose": "decision points in the system development life cycle when a criticality analysis is to be performed are defined."}, {"id": "TPM-02_TPM-02_A03", "name": "assessment-objective", "prose": "critical system components and functions are identified by performing a criticality analysis for systems, system components or system services at decision points in the system development life cycle."}, {"id": "TPM-02_TPM-02_A04", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are identified."}, {"id": "TPM-02_TPM-02_A05", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are prioritized."}, {"id": "TPM-02_TPM-02_A06", "name": "assessment-objective", "prose": "suppliers of critical or mission-essential technologies, products and services are assessed."}]} \N \N \N \N +SCF:TPM-03 SCF TPM-03 Supply Chain Risk Management (SCRM) Mechanisms exist to:\r\n(1) Evaluate security risks and threats associated with Technology Assets, Applications and/or Services (TAAS) supply chains; and\r\n(2) Take appropriate remediation actions to minimize the organization's exposure to those risks and threats, as necessary. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-03_TPM-03_A01", "name": "assessment-objective", "prose": "the personnel, roles and responsibilities of the supply chain risk management team are defined."}, {"id": "TPM-03_TPM-03_A02", "name": "assessment-objective", "prose": "supply chain risk management activities are defined."}, {"id": "TPM-03_TPM-03_A03", "name": "assessment-objective", "prose": "a supply chain risk management team consisting of personnel, roles and responsibilities is established to lead and support supply chain risk management activities."}, {"id": "TPM-03_TPM-03_A04", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the research and development of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A05", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the design of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A06", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the manufacturing of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A07", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the acquisition of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A08", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the delivery of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A09", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the integration of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A10", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the operation and maintenance of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A11", "name": "assessment-objective", "prose": "the supply chain risk management plan addresses risks associated with the disposal of systems, system components or system services."}, {"id": "TPM-03_TPM-03_A12", "name": "assessment-objective", "prose": "systems, system components or system services for which a supply chain risk management plan is developed are defined."}, {"id": "TPM-03_TPM-03_A13", "name": "assessment-objective", "prose": "the frequency at which to review / update the supply chain risk management plan is defined."}, {"id": "TPM-03_TPM-03_A14", "name": "assessment-objective", "prose": "a plan for managing supply chain risks is developed."}, {"id": "TPM-03_TPM-03_A15", "name": "assessment-objective", "prose": "the supply chain risk management plan is reviewed / updated frequently or as required to address threat, organizational or environmental changes."}, {"id": "TPM-03_TPM-03_A16", "name": "assessment-objective", "prose": "the supply chain risk management plan is protected from unauthorized disclosure."}, {"id": "TPM-03_TPM-03_A17", "name": "assessment-objective", "prose": "the supply chain risk management plan is protected from unauthorized modification."}]} \N \N \N \N +SCF:TPM-03.1 SCF TPM-03.1 Acquisition Strategies, Tools & Methods Mechanisms exist to utilize tailored acquisition strategies, contract tools and procurement methods for the purchase of unique Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-03.1_TPM-03.1_A01", "name": "assessment-objective", "prose": "acquisition strategies, contract tools and procurement methods to protect against, identify and mitigate supply chain risks are defined."}, {"id": "TPM-03.1_TPM-03.1_A02", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement method protect against, identify and mitigate supply chain risks are developed."}, {"id": "TPM-03.1_TPM-03.1_A03", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are developed to identify supply chain risks."}, {"id": "TPM-03.1_TPM-03.1_A04", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are developed to protect against supply chain risks."}, {"id": "TPM-03.1_TPM-03.1_A05", "name": "assessment-objective", "prose": "acquisition strategies, contract tools, and procurement methods are developed to mitigate supply chain risks."}]} \N \N \N \N +SCF:TPM-03.2 SCF TPM-03.2 Limit Potential Harm Mechanisms exist to utilize security safeguards to limit harm from potential adversaries who identify and target the organization's supply chain. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-03.2_TPM-03.2_A01", "name": "assessment-objective", "prose": "controls to limit harm from potential supply chain adversaries are defined."}, {"id": "TPM-03.2_TPM-03.2_A02", "name": "assessment-objective", "prose": "controls are employed to limit harm from potential adversaries identifying and targeting the organizational supply chain."}]} \N \N \N \N +SCF:TPM-03.4 SCF TPM-03.4 Adequate Supply Mechanisms exist to develop and implement a spare parts strategy to ensure that an adequate supply of critical components is available to meet operational needs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-03.4_TPM-03.4_A01", "name": "assessment-objective", "prose": "controls to ensure an adequate supply of critical system components are defined."}, {"id": "TPM-03.4_TPM-03.4_A02", "name": "assessment-objective", "prose": "critical system components of which an adequate supply is required are defined."}, {"id": "TPM-03.4_TPM-03.4_A03", "name": "assessment-objective", "prose": "controls are employed to ensure an adequate supply of critical system components."}]} \N \N \N \N +SCF:TPM-04 SCF TPM-04 Third-Party Services Mechanisms exist to mitigate the risks associated with third-party access to the organization's Technology Assets, Applications, Services and/or Data (TAASD). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-04_TPM-04_A01", "name": "assessment-objective", "prose": "controls to be employed by external system service providers are defined."}, {"id": "TPM-04_TPM-04_A02", "name": "assessment-objective", "prose": "processes, methods and techniques employed to monitor control compliance by external service providers are defined."}, {"id": "TPM-04_TPM-04_A03", "name": "assessment-objective", "prose": "providers of external system services comply with organizational cybersecurity / data privacy requirements."}, {"id": "TPM-04_TPM-04_A04", "name": "assessment-objective", "prose": "providers of external system services employ controls."}, {"id": "TPM-04_TPM-04_A05", "name": "assessment-objective", "prose": "organizational oversight with regard to external system services are defined and documented."}, {"id": "TPM-04_TPM-04_A06", "name": "assessment-objective", "prose": "user roles and responsibilities with regard to external system services are defined and documented."}, {"id": "TPM-04_TPM-04_A07", "name": "assessment-objective", "prose": "processes, methods and techniques are employed to monitor control compliance by external service providers on an ongoing basis."}]} \N \N \N \N +SCF:TPM-04.1 SCF TPM-04.1 Third-Party Risk Assessments & Approvals Mechanisms exist to conduct a risk assessment prior to the acquisition or outsourcing of technology-related Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-04.1_TPM-04.1_A01", "name": "assessment-objective", "prose": "personnel or roles that approve the acquisition or outsourcing of dedicated cybersecurity services is/are defined."}, {"id": "TPM-04.1_TPM-04.1_A02", "name": "assessment-objective", "prose": "an organizational assessment of risk is conducted prior to the acquisition or outsourcing of cybersecurity services."}, {"id": "TPM-04.1_TPM-04.1_A03", "name": "assessment-objective", "prose": "personnel or roles approve the acquisition or outsourcing of dedicated cybersecurity services."}, {"id": "TPM-04.1_TPM-04.1_A04", "name": "assessment-objective", "prose": "a process for identifying weaknesses or deficiencies in the supply chain elements and processes is established."}]} \N \N \N \N +SCF:TPM-04.2 SCF TPM-04.2 External Connectivity Requirements - Identification of Ports, Protocols & Services Mechanisms exist to require External Service Providers (ESPs) to identify and document the business need for ports, protocols and other services it requires to operate its Technology Assets, Applications and/or Services (TAAS). 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-04.2_TPM-04.2_A01", "name": "assessment-objective", "prose": "external system services that require the identification of functions, ports, protocols and other services are defined."}, {"id": "TPM-04.2_TPM-04.2_A02", "name": "assessment-objective", "prose": "providers of external system services are required to identify the functions, ports, protocols and other services required for the use of such services."}]} \N \N \N \N +SCF:TPM-04.3 SCF TPM-04.3 Conflict of Interests Mechanisms exist to ensure that the interests of external service providers are consistent with and reflect organizational interests. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-04.3_TPM-04.3_A01", "name": "assessment-objective", "prose": "external service providers are defined."}, {"id": "TPM-04.3_TPM-04.3_A02", "name": "assessment-objective", "prose": "actions to be taken to verify that the interests of external service providers are consistent with and reflect organizational interests are defined."}, {"id": "TPM-04.3_TPM-04.3_A03", "name": "assessment-objective", "prose": "actions are taken to verify that the interests of external service providers are consistent with and reflect organizational interests."}]} \N \N \N \N +SCF:TPM-04.4 SCF TPM-04.4 Third-Party Processing, Storage and Service Locations Mechanisms exist to restrict the location of information processing/storage based on business requirements. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-04.4_TPM-04.4_A01", "name": "assessment-objective", "prose": "locations where information processing and data storage is/are to be restricted are defined."}, {"id": "TPM-04.4_TPM-04.4_A02", "name": "assessment-objective", "prose": "requirements or conditions for restricting the location of information processing, information storage or information services are defined."}, {"id": "TPM-04.4_TPM-04.4_A03", "name": "assessment-objective", "prose": "based on requirements, information processing, information storage or information services is/are restricted to locations."}, {"id": "TPM-04.4_TPM-04.4_A04", "name": "assessment-objective", "prose": "the location or site of the facility where the system resides is planned considering physical and environmental hazards."}, {"id": "TPM-04.4_TPM-04.4_A05", "name": "assessment-objective", "prose": "for existing facilities, physical and environmental hazards are considered in the organizational risk management strategy."}]} \N \N \N \N +SCF:TPM-12.1 SCF TPM-12.1 Ownership Change Monitoring Mechanisms exist to periodically review External Service Providers (ESP) for changes that affect Foreign Ownership, Control or Influence (FOCI). 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-12.1_TPM-12.1_A01", "name": "assessment-objective", "prose": "External Service Providers (ESP) are periodically reviewed for changes that affect Foreign Ownership, Control or Influence (FOCI)."}]} \N \N \N \N +SCF:TPM-05 SCF TPM-05 Third-Party Contract Requirements Mechanisms exist to require contractual requirements for applicable security, compliance and resilience requirements with third-parties, reflecting the organization's needs to protect its Technology Assets, Applications, Services and/or Data (TAASD). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05_TPM-05_A01", "name": "assessment-objective", "prose": "legally-binding contracts are executed to enforce cybersecurity / data privacy requirements by third-parties."}, {"id": "TPM-05_TPM-05_A02", "name": "assessment-objective", "prose": "before sharing sensitive / regulated data, Non-Disclosure Agreements (NDAs) are executed with third parties."}, {"id": "TPM-05_TPM-05_A03", "name": "assessment-objective", "prose": "security requirements to be satisfied by external system service providers are defined."}, {"id": "TPM-05_TPM-05_A04", "name": "assessment-objective", "prose": "the providers of external system services used for the processing, storage, or transmission of sensitive / regulated data comply with organization-defined security requirements."}, {"id": "TPM-05_TPM-05_A05", "name": "assessment-objective", "prose": "the providers of external system services used for the processing, storage, or transmission of CUI comply with the following security requirements: ."}]} \N \N \N \N +SCF:TPM-05.1 SCF TPM-05.1 Security Compromise Notification Agreements Mechanisms exist to compel External Service Providers (ESPs) to provide notification of actual or potential compromises in the supply chain that can potentially affect or have adversely affected Technology Assets, Applications and/or Services (TAAS) that the organization utilizes. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.1_TPM-05.1_A01", "name": "assessment-objective", "prose": "security requirements to be satisfied by external system service providers are defined."}, {"id": "TPM-05.1_TPM-05.1_A02", "name": "assessment-objective", "prose": "agreements and procedures are established with entities involved in the supply chain for the system, system components or system service per organization-defined criteria."}, {"id": "TPM-05.1_TPM-05.1_A03", "name": "assessment-objective", "prose": "External Service Providers (ESPs) are contractually obligated to provide notification of actual or potential compromises in the supply chain that can potentially affect or have adversely affected systems, applications and/or services that the organization utilizes."}]} \N \N \N \N +SCF:TPM-05.2 SCF TPM-05.2 Contract Flow-Down Requirements Mechanisms exist to ensure applicable security, compliance and resilience requirements are included in contracts that flow-down to applicable sub-contractors and suppliers. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.2_TPM-05.2_A01", "name": "assessment-objective", "prose": "the controls included in the contracts of prime contractors are also included in the contracts of subcontractors."}, {"id": "TPM-05.2_TPM-05.2_A02", "name": "assessment-objective", "prose": "security requirements to be satisfied by external system service providers are defined."}]} \N \N \N \N +SCF:TPM-05.3 SCF TPM-05.3 Third-Party Authentication Practices Mechanisms exist to ensure External Service Providers (ESPs) use unique authentication factors for each of its customers. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.3_TPM-05.3_A01", "name": "assessment-objective", "prose": "Third-Party Service Providers (TSP) are obligated to use unique authentication factors for each of its customers."}]} \N \N \N \N +SCF:TPM-05.4 SCF TPM-05.4 Responsible, Accountable, Supportive, Consulted & Informed (RASCI) Matrix Mechanisms exist to document and maintain a Responsible, Accountable, Supportive, Consulted & Informed (RASCI) matrix, or similar documentation, to delineate assignment for security, compliance and resilience controls between internal stakeholders and External Service Providers (ESPs). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.4_TPM-05.4_A01", "name": "assessment-objective", "prose": "a Responsible, Accountable, Supportive, Consulted & Informed (RASCI) matrix, or similar documentation, delineates assignment for cybersecurity / data privacy controls between internal stakeholders and Third-Party Service Providers (TSP)."}, {"id": "TPM-05.4_TPM-05.4_A02", "name": "assessment-objective", "prose": "user roles and responsibilities with regard to external system services, including shared responsibilities with external service providers, are defined and documented."}]} \N \N \N \N +SCF:TPM-05.5 SCF TPM-05.5 Third-Party Scope Review Mechanisms exist to perform recurring validation of the Responsible, Accountable, Supportive, Consulted & Informed (RASCI) matrix, or similar documentation, to ensure security, compliance and resilience control assignments accurately reflect current:\r\n(1) Contractual obligations for the External Service Provider (ESP);\r\n(2) Business practices;\r\n(3) Applicable stakeholders; and\r\n(4) Deployed Technology Assets, Applications and/or Services (TAAS). 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.5_TPM-05.5_A01", "name": "assessment-objective", "prose": "recurring validation of the Responsible, Accountable, Supportive, Consulted & Informed (RASCI) matrix, or similar documentation, is performed to ensure cybersecurity / data privacy control assignments accurately reflect current business practices, compliance obligations, technologies and stakeholders."}, {"id": "TPM-05.5_TPM-05.5_A02", "name": "assessment-objective", "prose": "processes, methods, and techniques to monitor security requirement compliance by external service providers on an ongoing basis are implemented."}]} \N \N \N \N +SCF:TPM-05.6 SCF TPM-05.6 First-Party Declaration (1PD) Mechanisms exist to obtain a First-Party Declaration(1PD) from applicable External Service Providers (ESPs) that provides assurance of compliance with specified statutory, regulatory and contractual obligations for security, compliance and resilience controls, including any flow-down requirements to subcontractors. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.6_TPM-05.6_A01", "name": "assessment-objective", "prose": "a First-Party Declaration (1PD) is obtained from applicable Third-Party Service Providers (TSP) that provides assurance of compliance with specified statutory, regulatory and contractual obligations for cybersecurity / data privacy controls, including any flow-down requirements to subcontractors."}, {"id": "TPM-05.6_TPM-05.6_A02", "name": "assessment-objective", "prose": "processes, methods, and techniques to monitor security requirement compliance by external service providers on an ongoing basis are implemented."}]} \N \N \N \N +SCF:TPM-05.8 SCF TPM-05.8 Third-Party Attestation (3PA) Mechanisms exist to obtain an attestation from an independent Third-Party Assessment Organization (3PAO) that provides assurance of conformity with specified statutory, regulatory and contractual obligations for security, compliance and resilience controls, including any flow-down requirements to contractors and subcontractors. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-05.8_TPM-05.8_A01", "name": "assessment-objective", "prose": "statutory, regulatory and/or contractual obligations requiring a conformity assessment by an independent Third-Party Assessment Organization (3PAO) are identified."}, {"id": "TPM-05.8_TPM-05.8_A02", "name": "assessment-objective", "prose": "a current and passing conformity assessment by an independent Third-Party Assessment Organization (3PAO) exists for each applicable statutory, regulatory and/or contractual obligation requiring a 3PAO's attestation."}, {"id": "TPM-05.8_TPM-05.8_A03", "name": "assessment-objective", "prose": "processes, methods, and techniques to monitor security requirement compliance by external service providers on an ongoing basis are implemented."}]} \N \N \N \N +SCF:TPM-06 SCF TPM-06 Third-Party Personnel Security Mechanisms exist to control personnel security requirements including security roles and responsibilities for third-party providers. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-06_TPM-06_A01", "name": "assessment-objective", "prose": "roles and responsibilities for third-party provider personnel are documented."}]} \N \N \N \N +SCF:TPM-07 SCF TPM-07 Monitoring for Third-Party Information Disclosure Mechanisms exist to monitor for evidence of unauthorized exfiltration or disclosure of organizational information. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-07_TPM-07_A01", "name": "assessment-objective", "prose": "sensitive / regulated data flows identify information shared with third-parties."}, {"id": "TPM-07_TPM-07_A02", "name": "assessment-objective", "prose": "mechanisms are used to look for unauthorized exfiltration or disclosure of sensitive / regulated data that is shared with third-parties."}]} \N \N \N \N +SCF:TPM-08 SCF TPM-08 Review of Third-Party Services Mechanisms exist to monitor, regularly review and assess External Service Providers (ESPs) for compliance with established contractual requirements for security, compliance and resilience controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-08_TPM-08_A01", "name": "assessment-objective", "prose": "the frequency at which to assess and review the supply chain-related risks associated with suppliers or contractors and the systems, system components or system services they provide is defined."}, {"id": "TPM-08_TPM-08_A02", "name": "assessment-objective", "prose": "the supply chain-related risks associated with suppliers or contractors and the systems, system components or system services they provide are assessed and reviewed per an organization-defined frequency."}, {"id": "TPM-08_TPM-08_A03", "name": "assessment-objective", "prose": "supply chain elements, processes and actors to be analyzed and tested are defined."}, {"id": "TPM-08_TPM-08_A04", "name": "assessment-objective", "prose": "organization-defined mechanisms are employed on supply chain elements, processes and actors associated with the system, system component or system service."}, {"id": "TPM-08_TPM-08_A05", "name": "assessment-objective", "prose": "processes, methods, and techniques to monitor security requirement compliance by external service providers on an ongoing basis are implemented."}]} \N \N \N \N +SCF:TPM-09 SCF TPM-09 Third-Party Deficiency Remediation Mechanisms exist to address weaknesses or deficiencies in supply chain elements identified during independent or organizational assessments of such elements. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-09_TPM-09_A01", "name": "assessment-objective", "prose": "weaknesses or deficiencies in supply chain elements identified during independent or organizational assessments of such elements are remediated."}]} \N \N \N \N +SCF:TPM-10 SCF TPM-10 Managing Changes To Third-Party Services Mechanisms exist to control changes to services by suppliers, taking into account the criticality of business Technology Assets, Applications, Services and/or Data (TAASD) that are in scope by the third-party. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-10_TPM-10_A01", "name": "assessment-objective", "prose": "affected third-parties are identified through change control practices."}, {"id": "TPM-10_TPM-10_A02", "name": "assessment-objective", "prose": "provided services are assessed for impact from proposed changes."}, {"id": "TPM-10_TPM-10_A03", "name": "assessment-objective", "prose": "recurring reviews are performed of third-party provided services against existing contract requirements."}, {"id": "TPM-10_TPM-10_A04", "name": "assessment-objective", "prose": "discrepancies in services provided and/or geolocation of provided services are evaluated for impact to the organization's operations."}]} \N \N \N \N +SCF:TPM-11 SCF TPM-11 Third-Party Incident Response & Recovery Capabilities Mechanisms exist to ensure response/recovery planning and testing are conducted with critical suppliers/providers. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-11_TPM-11_A01", "name": "assessment-objective", "prose": "incident handling activities involving supply chain events are coordinated with other organizations involved in the supply chain."}]} \N \N \N \N +SCF:TPM-12 SCF TPM-12 Foreign Ownership, Control or Influence (FOCI) Mechanisms exist to minimize risk associated with Foreign Ownership, Control or Influence (FOCI) through Supply Chain Risk Management (SCRM) practices. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-12_TPM-12_A01", "name": "assessment-objective", "prose": "a process to minimize risk associate with Foreign Ownership, Control or Influence (FOCI) through Supply Chain Risk Management (SCRM) practices is defined."}, {"id": "TPM-12_TPM-12_A02", "name": "assessment-objective", "prose": "Supply Chain Risk Management (SCRM) practices exist to minimize risk associate with FOCI."}]} \N \N \N \N +SCF:TPM-12.2 SCF TPM-12.2 Ownership Change Provisions Mechanisms exist to contractually impose safeguards (e.g., additional controls, access modification, contract termination, etc.) from Foreign Ownership, Control or Influence (FOCI) concerns to ensure that:\r\n(1) Unauthorized access to sensitive and/or regulated data is prevented; and \r\n(2) Performance of contracts is not adversely affected. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Third-Party Management", "assessment_objective": [{"id": "TPM-12.2_TPM-12.2_A01", "name": "assessment-objective", "prose": "contracts with third-parties contractually impose safeguards (e.g., additional controls, access modification, contract termination, etc.) from Foreign Ownership, Control or Influence (FOCI) concerns to ensure that unauthorized access to sensitive and/or regulated data is prevented."}, {"id": "TPM-12.2_TPM-12.2_A02", "name": "assessment-objective", "prose": "contracts with third-parties contractually impose safeguards (e.g., additional controls, access modification, contract termination, etc.) from FOCI concerns to ensure that performance of contracts is not adversely affected."}]} \N \N \N \N +SCF:THR-01 SCF THR-01 Threat Intelligence Program Mechanisms exist to implement a threat intelligence program that includes a cross-organization information-sharing capability that can influence the development of the system and security architectures, selection of security solutions, monitoring, threat hunting, response and recovery activities. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-01_THR-01_A01", "name": "assessment-objective", "prose": "a threat awareness program that includes a cross-organization information-sharing capability for threat intelligence is implemented."}, {"id": "THR-01_THR-01_A02", "name": "assessment-objective", "prose": "sources of threat intelligence are defined."}, {"id": "THR-01_THR-01_A03", "name": "assessment-objective", "prose": "a risk assessment methodology is identified."}, {"id": "THR-01_THR-01_A04", "name": "assessment-objective", "prose": "sources of threat intelligence are employed as part of a risk assessment to guide and inform the development of organizational systems and security architectures."}, {"id": "THR-01_THR-01_A05", "name": "assessment-objective", "prose": "sources of threat intelligence are employed as part of a risk assessment to guide and inform the selection of security solutions."}, {"id": "THR-01_THR-01_A06", "name": "assessment-objective", "prose": "sources of threat intelligence are employed as part of a risk assessment to guide and inform system monitoring activities."}, {"id": "THR-01_THR-01_A07", "name": "assessment-objective", "prose": "sources of threat intelligence are employed as part of a risk assessment to guide and inform threat hunting activities."}, {"id": "THR-01_THR-01_A08", "name": "assessment-objective", "prose": "sources of threat intelligence are employed as part of a risk assessment to guide and inform response and recovery activities."}, {"id": "THR-01_THR-01_A09", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to facilitate ongoing security education and training for organizational personnel."}, {"id": "THR-01_THR-01_A10", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to maintain currency with recommended security practices, techniques and technologies."}, {"id": "THR-01_THR-01_A11", "name": "assessment-objective", "prose": "contact is established and institutionalized with selected groups and associations within the cybersecurity / data privacy community to share current security information, including threats, vulnerabilities and incidents."}, {"id": "THR-01_THR-01_A12", "name": "assessment-objective", "prose": "threat management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "THR-01_THR-01_A13", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support threat management operations."}, {"id": "THR-01_THR-01_A14", "name": "assessment-objective", "prose": "responsibility and authority for the performance of threat management-related activities are assigned to designated personnel."}, {"id": "THR-01_THR-01_A15", "name": "assessment-objective", "prose": "personnel performing threat management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:THR-02 SCF THR-02 Indicators of Exposure (IOE) Mechanisms exist to develop Indicators of Exposure (IOE) to understand the potential attack vectors that attackers could use to attack the organization. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-02_THR-02_A01", "name": "assessment-objective", "prose": "Indicators of Exposure (IOE) exist for personnel to understand the potential attack vectors that attackers could use to attack the organization."}]} \N \N \N \N +SCF:THR-03 SCF THR-03 Threat Intelligence Feeds Mechanisms exist to maintain situational awareness of vulnerabilities and evolving threats by leveraging the knowledge of attacker tactics, techniques and procedures to facilitate the implementation of preventative and compensating controls. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-03_THR-03_A01", "name": "assessment-objective", "prose": "external organizations from whom system security alerts, advisories and directives are to be received on an ongoing basis are defined."}, {"id": "THR-03_THR-03_A02", "name": "assessment-objective", "prose": "personnel or roles to whom security alerts, advisories and directives are to be disseminated is/are defined."}, {"id": "THR-03_THR-03_A03", "name": "assessment-objective", "prose": "elements within the organization to whom security alerts, advisories and directives are to be disseminated are defined."}, {"id": "THR-03_THR-03_A04", "name": "assessment-objective", "prose": "external organizations to whom security alerts, advisories and directives are to be disseminated are defined."}, {"id": "THR-03_THR-03_A05", "name": "assessment-objective", "prose": "system security alerts, advisories, and directives from external organizations are received on an ongoing basis."}, {"id": "THR-03_THR-03_A06", "name": "assessment-objective", "prose": "threat indicator information is identified."}, {"id": "THR-03_THR-03_A07", "name": "assessment-objective", "prose": "effective mitigations are identified."}, {"id": "THR-03_THR-03_A08", "name": "assessment-objective", "prose": "intrusion detection approaches are identified."}, {"id": "THR-03_THR-03_A09", "name": "assessment-objective", "prose": "threat hunting activities are identified."}, {"id": "THR-03_THR-03_A10", "name": "assessment-objective", "prose": "internal security alerts, advisories and directives are generated as deemed necessary."}, {"id": "THR-03_THR-03_A11", "name": "assessment-objective", "prose": "security alerts, advisories and directives are disseminated per organization-defined criteria."}, {"id": "THR-03_THR-03_A12", "name": "assessment-objective", "prose": "security directives are implemented in accordance with established time frames or if the issuing organization is notified of the degree of noncompliance."}, {"id": "THR-03_THR-03_A13", "name": "assessment-objective", "prose": "external organizations from which to obtain threat indicator information and effective mitigations are defined."}, {"id": "THR-03_THR-03.1_A03", "name": "assessment-objective", "prose": "automated mechanisms used to broadcast security alert and advisory information throughout the organization are defined."}, {"id": "THR-03_THR-03.1_A04", "name": "assessment-objective", "prose": "automated mechanisms are used to broadcast security alerts and advisory information throughout the organization."}, {"id": "THR-03_THR-03.1_A05", "name": "assessment-objective", "prose": "automated mechanisms are employed to maximize the effectiveness of sharing threat intelligence information."}]} \N \N \N \N +SCF:THR-03.1 SCF THR-03.1 Threat Intelligence Reporting Mechanisms exist to utilize external threat intelligence feeds to generate and disseminate organization-specific security alerts, advisories and/or directives. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-03.1_THR-03.1_A01", "name": "assessment-objective", "prose": "internal security alerts, advisories, and directives are generated, as necessary."}, {"id": "THR-03.1_THR-03.1_A02", "name": "assessment-objective", "prose": "internal security alerts, advisories, and directives are disseminated, as necessary."}]} \N \N \N \N +SCF:THR-04 SCF THR-04 Insider Threat Program Mechanisms exist to implement an insider threat program that includes a cross-discipline insider threat incident handling team. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-04_THR-04_A01", "name": "assessment-objective", "prose": "an insider threat program that includes a cross-discipline insider threat incident handling team is implemented."}, {"id": "THR-04_THR-04_A02", "name": "assessment-objective", "prose": "threat indicator information and effective mitigations obtained from external organizations are used to guide and inform intrusion detection and threat hunting."}]} \N \N \N \N +SCF:THR-05 SCF THR-05 Insider Threat Awareness Mechanisms exist to utilize security awareness training on recognizing and reporting potential indicators of insider threat. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-05_THR-05_A01", "name": "assessment-objective", "prose": "potential indicators associated with insider threats are identified."}, {"id": "THR-05_THR-05_A02", "name": "assessment-objective", "prose": "security literacy training is provided to system users on recognizing indicators of insider threat."}, {"id": "THR-05_THR-05_A03", "name": "assessment-objective", "prose": "security literacy training is provided to system users on reporting indicators of insider threat."}, {"id": "THR-05_THR-05_A04", "name": "assessment-objective", "prose": "security awareness training on recognizing and reporting potential indicators of insider threat is provided to managers and employees."}]} \N \N \N \N +SCF:THR-06.1 SCF THR-06.1 Security Disclosure Contact Information Mechanisms exist to enable public submissions of discovered or potential security vulnerabilities. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-06.1_THR-06.1_A01", "name": "assessment-objective", "prose": "a process to enable public submissions of discovered or potential security vulnerabilities is defined."}, {"id": "THR-06.1_THR-06.1_A02", "name": "assessment-objective", "prose": "a process to receive public submissions of discovered or potential security vulnerabilities is implemented."}]} \N \N \N \N +SCF:THR-07 SCF THR-07 Threat Hunting Mechanisms exist to perform cyber threat hunting that uses Indicators of Compromise (IoC) to detect, track and disrupt threats that evade existing security controls. 4 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "4"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-07_THR-07_A01", "name": "assessment-objective", "prose": "a cyber threat capability is established and maintained to search for Indicators of Compromise (IOC) in organizational systems."}, {"id": "THR-07_THR-07_A02", "name": "assessment-objective", "prose": "a cyber threat capability is established and maintained to detect, track and disrupt threats that evade existing controls."}, {"id": "THR-07_THR-07_A03", "name": "assessment-objective", "prose": "cyber threat hunting activities are conducted according to an organization-defined frequency and/or organization-defined event to detect, track and disrupt threats that evade existing controls."}, {"id": "THR-07_THR-07_A04", "name": "assessment-objective", "prose": "sensors and monitoring capabilities to be relocated are defined."}, {"id": "THR-07_THR-07_A05", "name": "assessment-objective", "prose": "locations to where sensors and monitoring capabilities are to be relocated are defined."}, {"id": "THR-07_THR-07_A06", "name": "assessment-objective", "prose": "conditions or circumstances for relocating sensors and monitoring capabilities are defined."}, {"id": "THR-07_THR-07_A07", "name": "assessment-objective", "prose": "sensors and monitoring capabilities are relocated to locations under organization-defined conditions or circumstances."}, {"id": "THR-07_THR-07_A08", "name": "assessment-objective", "prose": "Indicators of Compromise (IOC) are defined."}, {"id": "THR-07_THR-07_A09", "name": "assessment-objective", "prose": "organizational systems to search for Indicators of Compromise (IOC) are defined."}, {"id": "THR-07_THR-07_A10", "name": "assessment-objective", "prose": "the frequency with which to conduct cyber threat hunting activities is defined."}, {"id": "THR-07_THR-07_A11", "name": "assessment-objective", "prose": "the event triggering cyber threat hunting activities is defined."}]} \N \N \N \N +SCF:THR-08 SCF THR-08 Tainting Mechanisms exist to embed false data or steganographic data in files to enable the organization to determine if data has been exfiltrated and provide a means to identify the individual(s) involved. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-08_THR-08_A01", "name": "assessment-objective", "prose": "the systems or system components with data or capabilities to be embedded are defined."}, {"id": "THR-08_THR-08_A02", "name": "assessment-objective", "prose": "data or capabilities are embedded in systems or system components to determine if organizational data has been exfiltrated or improperly removed from the organization."}]} \N \N \N \N +SCF:THR-09 SCF THR-09 Threat Catalog Mechanisms exist to develop and keep current a catalog of applicable internal and external threats to the organization, both natural and manmade. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-09_THR-09_A01", "name": "assessment-objective", "prose": "the organization maintains a threat catalog that documents applicable internal and external threats that are specific to the organization."}, {"id": "THR-09_THR-09_A02", "name": "assessment-objective", "prose": "the threat catalog documents both natural and manmade threats."}, {"id": "THR-09_THR-09_A03", "name": "assessment-objective", "prose": "on at least an annual basis, a threat assessment is performed to identify and assess applicable internal and external threats."}, {"id": "THR-09_THR-09_A04", "name": "assessment-objective", "prose": "the threat catalog is updated, based on a current threat assessment."}]} \N \N \N \N +SCF:THR-10 SCF THR-10 Threat Analysis Mechanisms exist to identify, assess, prioritize and document the potential impact(s) and likelihood(s) of applicable internal and external threats. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-10_THR-10_A01", "name": "assessment-objective", "prose": "on at least an annual basis, a threat assessment is performed to identify and assess applicable internal and external threats."}, {"id": "THR-10_THR-10_A02", "name": "assessment-objective", "prose": "a threat catalog captures applicable internal and external threats from the threat assessment."}, {"id": "THR-10_THR-10_A03", "name": "assessment-objective", "prose": "each item in the threat catalog is prioritized, based on the potential threat to the organization."}]} \N \N \N \N +SCF:THR-11 SCF THR-11 Behavioral Baselining Automated mechanisms exist to establish behavioral baselines that capture information about user and entity behavior to enable dynamic threat discovery. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Threat Management", "assessment_objective": [{"id": "THR-11_THR-11_A01", "name": "assessment-objective", "prose": "baselines are captured to establish behavioral baselines about user and entity behavior."}, {"id": "THR-11_THR-11_A02", "name": "assessment-objective", "prose": "behavioral baselines about user and entity behavior are leveraged for dynamic threat discovery purposes."}]} \N \N \N \N +SCF:VPM-01 SCF VPM-01 Vulnerability & Patch Management Program (VPMP) Mechanisms exist to facilitate the implementation and monitoring of vulnerability management controls. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-01_VPM-01_A01", "name": "assessment-objective", "prose": "an organization-wide vulnerability and patch management program is developed and implemented to proactively identify and remediation vulnerabilities."}, {"id": "VPM-01_VPM-01_A02", "name": "assessment-objective", "prose": "the time within which to identify system flaws is specified."}, {"id": "VPM-01_VPM-01_A03", "name": "assessment-objective", "prose": "system flaws are identified within the specified time frame."}, {"id": "VPM-01_VPM-01_A04", "name": "assessment-objective", "prose": "the time within which to report system flaws is specified."}, {"id": "VPM-01_VPM-01_A05", "name": "assessment-objective", "prose": "system flaws are reported within the specified time frame."}, {"id": "VPM-01_VPM-01_A06", "name": "assessment-objective", "prose": "the time within which to correct system flaws is specified."}, {"id": "VPM-01_VPM-01_A07", "name": "assessment-objective", "prose": "system flaws are corrected within the specified time frame."}, {"id": "VPM-01_VPM-01_A08", "name": "assessment-objective", "prose": "time period within which to install security-relevant software updates after the release of the updates is defined."}, {"id": "VPM-01_VPM-01_A09", "name": "assessment-objective", "prose": "software updates related to flaw remediation are tested for effectiveness before installation."}, {"id": "VPM-01_VPM-01_A10", "name": "assessment-objective", "prose": "software updates related to flaw remediation are tested for potential side effects before installation."}, {"id": "VPM-01_VPM-01_A11", "name": "assessment-objective", "prose": "firmware updates related to flaw remediation are tested for effectiveness before installation."}, {"id": "VPM-01_VPM-01_A12", "name": "assessment-objective", "prose": "firmware updates related to flaw remediation are tested for potential side effects before installation."}, {"id": "VPM-01_VPM-01_A13", "name": "assessment-objective", "prose": "security-relevant software updates are installed within an organization-defined time period of the release of the updates."}, {"id": "VPM-01_VPM-01_A14", "name": "assessment-objective", "prose": "security-relevant firmware updates are installed within an organization-defined time period of the release of the updates."}, {"id": "VPM-01_VPM-01_A15", "name": "assessment-objective", "prose": "flaw remediation is incorporated into the organizational configuration management process."}, {"id": "VPM-01_VPM-01_A16", "name": "assessment-objective", "prose": "response times to remediate system vulnerabilities are defined."}, {"id": "VPM-01_VPM-01_A17", "name": "assessment-objective", "prose": "vulnerability & patch management operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "VPM-01_VPM-01_A18", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support vulnerability & patch management operations."}, {"id": "VPM-01_VPM-01_A19", "name": "assessment-objective", "prose": "responsibility and authority for the performance of vulnerability & patch management-related activities are assigned to designated personnel."}, {"id": "VPM-01_VPM-01_A20", "name": "assessment-objective", "prose": "personnel performing vulnerability & patch management-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:VPM-01.1 SCF VPM-01.1 Attack Surface Scope Mechanisms exist to define and manage the scope for its attack surface management activities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-01.1_VPM-01.1_A01", "name": "assessment-objective", "prose": "the breadth of testing and evaluation of required controls is defined."}, {"id": "VPM-01.1_VPM-01.1_A02", "name": "assessment-objective", "prose": "the depth of testing and evaluation of required controls is defined."}, {"id": "VPM-01.1_VPM-01.1_A03", "name": "assessment-objective", "prose": "system, applications and services are monitored for vulnerabilities per an organization-defined frequency."}, {"id": "VPM-01.1_VPM-01.1_A04", "name": "assessment-objective", "prose": "systems and system components are included in the scope of the specified enhanced security requirements."}, {"id": "VPM-01.1_VPM-01.1_A05", "name": "assessment-objective", "prose": "systems and system components that are not included in systems and system components are segregated in purpose-specific networks."}, {"id": "VPM-01.1_VPM-01.1_A06", "name": "assessment-objective", "prose": "the developer of the system, system component or system service is required to perform attack surface reviews."}, {"id": "VPM-01.1_VPM-01.1_A07", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to perform vulnerability analyses during the subsequent testing and evaluation of the system, component, or service that produces evidence that meets an organization-defined breadth."}, {"id": "VPM-01.1_VPM-01.1_A08", "name": "assessment-objective", "prose": "the developer of the system, system component, or system service is required to verify that the scope of testing and evaluation provides complete coverage of the required controls at an organization-defined depth."}, {"id": "VPM-01.1_VPM-01.1_A09", "name": "assessment-objective", "prose": "the system is monitored for vulnerabilities ."}]} \N \N \N \N +SCF:VPM-02 SCF VPM-02 Vulnerability Remediation Process Mechanisms exist to ensure that vulnerabilities are properly identified, tracked and remediated. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-02_VPM-02_A01", "name": "assessment-objective", "prose": "vulnerabilities are identified."}, {"id": "VPM-02_VPM-02_A02", "name": "assessment-objective", "prose": "response times to remediate system vulnerabilities are defined."}, {"id": "VPM-02_VPM-02_A03", "name": "assessment-objective", "prose": "vulnerabilities are remediated in accordance with risk assessments."}]} \N \N \N \N +SCF:VPM-03 SCF VPM-03 Vulnerability Ranking Mechanisms exist to identify and assign a risk ranking to newly discovered security vulnerabilities using reputable outside sources for security vulnerability information. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-03_VPM-03_A01", "name": "assessment-objective", "prose": "a risk ranking methodology is utilized to prioritize newly discovered security vulnerabilities."}]} \N \N \N \N +SCF:VPM-03.1 SCF VPM-03.1 Vulnerability Exploitation Analysis Mechanisms exist to identify, assess, prioritize and document the potential impact(s) and likelihood(s) of applicable internal and external threats exploiting known vulnerabilities. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-03.1_VPM-03.1_A01", "name": "assessment-objective", "prose": "on at least an annual basis, a threat assessment is performed to identify and assess applicable internal and external threats."}, {"id": "VPM-03.1_VPM-03.1_A02", "name": "assessment-objective", "prose": "a threat catalog captures applicable internal and external threats from the threat assessment."}, {"id": "VPM-03.1_VPM-03.1_A03", "name": "assessment-objective", "prose": "the scope of Attack Surface Management (ASM) is defined."}, {"id": "VPM-03.1_VPM-03.1_A04", "name": "assessment-objective", "prose": "vulnerability scanning activities are performed against the scope of ASM to identify applicable vulnerabilities."}, {"id": "VPM-03.1_VPM-03.1_A05", "name": "assessment-objective", "prose": "the organization documents the potential impact(s) and likelihood(s) of applicable internal and external threats exploiting known vulnerabilities."}, {"id": "VPM-03.1_VPM-03.1_A06", "name": "assessment-objective", "prose": "each item in the threat catalog is prioritized, based on potential impact(s) and likelihood(s) of applicable internal and external threats exploiting identified vulnerabilities."}]} \N \N \N \N +SCF:VPM-04 SCF VPM-04 Continuous Vulnerability Remediation Activities Mechanisms exist to address new threats and vulnerabilities on an ongoing basis and ensure assets are protected against known attacks. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-04_VPM-04_A01", "name": "assessment-objective", "prose": "sources of new threats and vulnerabilities are defined."}, {"id": "VPM-04_VPM-04_A02", "name": "assessment-objective", "prose": "a time period is defined to seek out new, applicable threats and vulnerabilities."}, {"id": "VPM-04_VPM-04_A03", "name": "assessment-objective", "prose": "a capability exists to respond to new threats and vulnerabilities on an ongoing basis."}, {"id": "VPM-04_VPM-04_A04", "name": "assessment-objective", "prose": "system vulnerabilities are remediated within organization-defined response times."}, {"id": "VPM-04_VPM-04_A05", "name": "assessment-objective", "prose": "system vulnerabilities are remediated within ."}]} \N \N \N \N +SCF:VPM-04.1 SCF VPM-04.1 Stable Versions Mechanisms exist to install the latest stable version of any software and/or security-related updates on all applicable systems. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-04.1_VPM-04.1_A01", "name": "assessment-objective", "prose": "the latest stable version of software and/or security-related updates is installed on applicable systems."}]} \N \N \N \N +SCF:VPM-04.2 SCF VPM-04.2 Flaw Remediation with Personal Data (PD) Mechanisms exist to identify and correct flaws related to the collection, usage, processing or dissemination of Personal Data (PD). 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-04.2_VPM-04.2_A01", "name": "assessment-objective", "prose": "flaws related to the collection, usage, processing or dissemination of Personal Data (PD) are identified."}, {"id": "VPM-04.2_VPM-04.2_A02", "name": "assessment-objective", "prose": "flaws related to the collection, usage, processing or dissemination of Personal Data (PD) are corrected."}]} \N \N \N \N +SCF:VPM-04.3 SCF VPM-04.3 Deferred Patching Decisions Mechanisms exist to facilitate the deferral of software and/or firmware patches when the disadvantages of applying the patch outweighs the benefits. 2 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "2"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-04.3_VPM-04.3_A01", "name": "assessment-objective", "prose": "criteria are defined to justify the deferral of software and/or firmware patches."}, {"id": "VPM-04.3_VPM-04.3_A02", "name": "assessment-objective", "prose": "the deferral of software and/or firmware patches is facilitated when the disadvantages of applying the patch outweighs the benefits, based on organization-defined criteria."}]} \N \N \N \N +SCF:VPM-05 SCF VPM-05 Software & Firmware Patching Mechanisms exist to conduct software patching for all deployed Technology Assets, Applications and/or Services (TAAS), including firmware. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05_VPM-05_A01", "name": "assessment-objective", "prose": "the time period within which to install security-relevant software updates after the release of the updates is defined."}, {"id": "VPM-05_VPM-05_A02", "name": "assessment-objective", "prose": "system flaws are identified."}, {"id": "VPM-05_VPM-05_A03", "name": "assessment-objective", "prose": "automated patch management tools are employed to facilitate flaw remediation to components."}, {"id": "VPM-05_VPM-05_A04", "name": "assessment-objective", "prose": "system flaws are corrected."}, {"id": "VPM-05_VPM-05_A05", "name": "assessment-objective", "prose": "system flaws are reported."}, {"id": "VPM-05_VPM-05_A06", "name": "assessment-objective", "prose": "software updates related to flaw remediation are tested for effectiveness before installation."}, {"id": "VPM-05_VPM-05_A07", "name": "assessment-objective", "prose": "software updates related to flaw remediation are tested for potential side effects before installation."}, {"id": "VPM-05_VPM-05_A08", "name": "assessment-objective", "prose": "firmware updates related to flaw remediation are tested for effectiveness before installation."}, {"id": "VPM-05_VPM-05_A09", "name": "assessment-objective", "prose": "firmware updates related to flaw remediation are tested for potential side effects before installation."}, {"id": "VPM-05_VPM-05_A10", "name": "assessment-objective", "prose": "security-relevant software updates are installed within an organization-defined time period of the release of the updates."}, {"id": "VPM-05_VPM-05_A11", "name": "assessment-objective", "prose": "security-relevant firmware updates are installed within an organization-defined time period of the release of the updates."}, {"id": "VPM-05_VPM-05_A12", "name": "assessment-objective", "prose": "flaw remediation is incorporated into the organizational configuration management process."}, {"id": "VPM-05_VPM-05_A13", "name": "assessment-objective", "prose": "the system components requiring automated patch management tools to facilitate flaw remediation are defined."}, {"id": "VPM-05_VPM-05_A14", "name": "assessment-objective", "prose": "the time period within which to install security-relevant firmware updates after the release of the updates is defined."}, {"id": "VPM-05_VPM-05_A15", "name": "assessment-objective", "prose": "system vulnerabilities are remediated within ."}, {"id": "VPM-05_VPM-05_A16", "name": "assessment-objective", "prose": "security-relevant software updates are installed within of the release of the updates."}, {"id": "VPM-05_VPM-05_A17", "name": "assessment-objective", "prose": "security-relevant firmware updates are installed within of the release of the updates."}]} \N \N \N \N +SCF:VPM-05.1 SCF VPM-05.1 Centralized Management of Flaw Remediation Processes Mechanisms exist to centrally-manage the flaw remediation process. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.1_VPM-05.1_A01", "name": "assessment-objective", "prose": "cybersecurity / data privacy controls and related processes to be centrally managed are defined."}, {"id": "VPM-05.1_VPM-05.1_A02", "name": "assessment-objective", "prose": "controls and related processes are centrally managed."}, {"id": "VPM-05.1_VPM-05.1_A03", "name": "assessment-objective", "prose": "the system components requiring automated patch management tools to facilitate flaw remediation are defined."}, {"id": "VPM-05.1_VPM-05.1_A04", "name": "assessment-objective", "prose": "automated patch management tools are employed to facilitate flaw remediation to components."}]} \N \N \N \N +SCF:VPM-05.2 SCF VPM-05.2 Automated Remediation Status Automated mechanisms exist to determine the state of system components with regard to flaw remediation. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.2_VPM-05.2_A01", "name": "assessment-objective", "prose": "automated mechanisms to determine if applicable security-relevant software and firmware updates are installed on system components are defined."}, {"id": "VPM-05.2_VPM-05.2_A02", "name": "assessment-objective", "prose": "the frequency at which to determine if applicable security-relevant software and firmware updates are installed on system components is defined."}, {"id": "VPM-05.2_VPM-05.2_A03", "name": "assessment-objective", "prose": "system components have applicable security-relevant software and firmware updates installed frequency using automated mechanisms."}, {"id": "VPM-05.2_VPM-05.2_A04", "name": "assessment-objective", "prose": "the system components requiring automated patch management tools to facilitate flaw remediation are defined."}, {"id": "VPM-05.2_VPM-05.2_A05", "name": "assessment-objective", "prose": "automated patch management tools are employed to facilitate flaw remediation to components."}]} \N \N \N \N +SCF:VPM-05.3 SCF VPM-05.3 Time To Remediate / Benchmarks For Corrective Action Mechanisms exist to track the effectiveness of remediation operations through metrics reporting. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.3_VPM-05.3_A01", "name": "assessment-objective", "prose": "the benchmarks for taking corrective actions are defined."}, {"id": "VPM-05.3_VPM-05.3_A02", "name": "assessment-objective", "prose": "the time between flaw identification and flaw remediation is measured."}, {"id": "VPM-05.3_VPM-05.3_A03", "name": "assessment-objective", "prose": "benchmarks for taking corrective actions have been established."}]} \N \N \N \N +SCF:VPM-05.4 SCF VPM-05.4 Automated Software & Firmware Updates Automated mechanisms exist to install the latest stable versions of security-relevant software and firmware updates. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.4_VPM-05.4_A01", "name": "assessment-objective", "prose": "the system components requiring automated patch management tools to facilitate flaw remediation are defined."}, {"id": "VPM-05.4_VPM-05.4_A02", "name": "assessment-objective", "prose": "automated patch management tools are employed to facilitate flaw remediation to components."}, {"id": "VPM-05.4_VPM-05.4_A03", "name": "assessment-objective", "prose": "security-relevant software and firmware updates to be automatically installed to system components are defined."}, {"id": "VPM-05.4_VPM-05.4_A04", "name": "assessment-objective", "prose": "system components requiring security-relevant software updates to be automatically installed are defined."}, {"id": "VPM-05.4_VPM-05.4_A05", "name": "assessment-objective", "prose": "security-relevant software and firmware updates are installed automatically to system components."}]} \N \N \N \N +SCF:VPM-05.5 SCF VPM-05.5 Removal of Previous Versions Mechanisms exist to remove old versions of software and firmware components after updated versions have been installed. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.5_VPM-05.5_A01", "name": "assessment-objective", "prose": "software and firmware components to be removed after updated versions have been installed are defined."}, {"id": "VPM-05.5_VPM-05.5_A02", "name": "assessment-objective", "prose": "previous versions of software and firmware components are removed after updated versions have been installed."}]} \N \N \N \N +SCF:VPM-05.6 SCF VPM-05.6 Pre-Deployment Patch Testing Mechanisms exist to perform due diligence on software and/or firmware update stability by conducting pre-production testing in a non-production environment. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.6_VPM-05.6_A01", "name": "assessment-objective", "prose": "a process to conduct reasonable testing of software and/or firmware patching in a non-production environment, prior to production release, is defined."}, {"id": "VPM-05.6_VPM-05.6_A02", "name": "assessment-objective", "prose": "prior to production release, the organization performs reasonable testing of software and/or firmware patching in a non-production environment."}]} \N \N \N \N +SCF:VPM-05.7 SCF VPM-05.7 Out-of-Cycle Patching Mechanisms exist to perform out-of-cycle software and/or firmware updates to address time-sensitive remediations. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.7_VPM-05.7_A01", "name": "assessment-objective", "prose": "a process to perform out-of-cycle software and/or firmware patching to address time-sensitive remediations is defined."}, {"id": "VPM-05.7_VPM-05.7_A02", "name": "assessment-objective", "prose": "the organization performs out-of-cycle software and/or firmware patching to address time-sensitive remediations."}]} \N \N \N \N +SCF:VPM-05.8 SCF VPM-05.8 Software Patch Integrity Mechanisms exist to ensure software and/or firmware patches are:\r\n(1) Obtained from trusted sources; and \r\n(2) Checked for integrity. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-05.8_VPM-05.8_A01", "name": "assessment-objective", "prose": "software and/or firmware patches are obtained from trusted sources."}, {"id": "VPM-05.8_VPM-05.8_A02", "name": "assessment-objective", "prose": "software and/or firmware patches are checked for integrity."}]} \N \N \N \N +SCF:VPM-06 SCF VPM-06 Vulnerability Scanning Mechanisms exist to detect vulnerabilities and configuration errors by routine vulnerability scanning of systems and applications. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06_VPM-06_A01", "name": "assessment-objective", "prose": "the frequency at which the system is scanned for vulnerabilities is defined."}, {"id": "VPM-06_VPM-06_A02", "name": "assessment-objective", "prose": "response times to remediate legitimate vulnerabilities in accordance with an organizational assessment of risk are defined."}, {"id": "VPM-06_VPM-06_A03", "name": "assessment-objective", "prose": "personnel or roles with whom information obtained from the vulnerability scanning process and control assessments are to be shared."}, {"id": "VPM-06_VPM-06_A04", "name": "assessment-objective", "prose": "vulnerability scan reports and results from vulnerability monitoring are analyzed."}, {"id": "VPM-06_VPM-06_A05", "name": "assessment-objective", "prose": "systems and hosted applications are scanned for vulnerabilities frequently and/or randomly in accordance with organization-defined process and when new vulnerabilities potentially affecting the system are identified and reported."}, {"id": "VPM-06_VPM-06_A06", "name": "assessment-objective", "prose": "vulnerability monitoring tools and techniques are employed to facilitate interoperability among tools."}, {"id": "VPM-06_VPM-06_A07", "name": "assessment-objective", "prose": "vulnerability monitoring tools and techniques are employed to automate parts of the vulnerability management process by using standards for enumerating platforms, software flaws and improper configurations."}, {"id": "VPM-06_VPM-06_A08", "name": "assessment-objective", "prose": "vulnerability monitoring tools and techniques are employed to facilitate interoperability among tools and to automate parts of the vulnerability management process by using standards for formatting checklists and test procedures."}, {"id": "VPM-06_VPM-06_A09", "name": "assessment-objective", "prose": "vulnerability monitoring tools and techniques are employed to facilitate interoperability among tools and to automate parts of the vulnerability management process by using standards for measuring vulnerability impact."}, {"id": "VPM-06_VPM-06_A10", "name": "assessment-objective", "prose": "the system is scanned for vulnerabilities per an organization-defined frequency."}, {"id": "VPM-06_VPM-06_A11", "name": "assessment-objective", "prose": "vulnerability scans are performed on applications with the defined frequency."}, {"id": "VPM-06_VPM-06_A12", "name": "assessment-objective", "prose": "the system is monitored for vulnerabilities when new vulnerabilities that affect the system are identified."}, {"id": "VPM-06_VPM-06_A13", "name": "assessment-objective", "prose": "the system is scanned for vulnerabilities when new vulnerabilities that affect the system are identified."}, {"id": "VPM-06_VPM-06_A14", "name": "assessment-objective", "prose": "legitimate vulnerabilities are remediated response times in accordance with an organizational assessment of risk."}, {"id": "VPM-06_VPM-06_A15", "name": "assessment-objective", "prose": "information obtained from the vulnerability monitoring process and control assessments is shared with personnel or roles to help eliminate similar vulnerabilities in other systems."}, {"id": "VPM-06_VPM-06_A16", "name": "assessment-objective", "prose": "vulnerability monitoring tools that include the capability to readily update the vulnerabilities to be scanned are employed."}, {"id": "VPM-06_VPM-06_A17", "name": "assessment-objective", "prose": "the frequency at which to update system vulnerabilities to be scanned is defined."}, {"id": "VPM-06_VPM-06_A18", "name": "assessment-objective", "prose": "the system is monitored for vulnerabilities per an organization-defined frequency."}, {"id": "VPM-06_VPM-06_A19", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated per an organization-defined frequency."}, {"id": "VPM-06_VPM-06_A20", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated when new vulnerabilities are identified and reported."}, {"id": "VPM-06_VPM-06_A21", "name": "assessment-objective", "prose": "the frequency at which the system is monitored for vulnerabilities is defined."}, {"id": "VPM-06_VPM-06_A22", "name": "assessment-objective", "prose": "the system is monitored for vulnerabilities ."}, {"id": "VPM-06_VPM-06_A23", "name": "assessment-objective", "prose": "the system is scanned for vulnerabilities ."}, {"id": "VPM-06_VPM-06_A24", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated ."}]} \N \N \N \N +SCF:VPM-06.1 SCF VPM-06.1 Update Tool Capability Mechanisms exist to update vulnerability scanning tools. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.1_VPM-06.1_A01", "name": "assessment-objective", "prose": "the frequency at which to update system vulnerabilities to be scanned is defined."}, {"id": "VPM-06.1_VPM-06.1_A02", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated per an organization-defined frequency."}, {"id": "VPM-06.1_VPM-06.1_A03", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated when new vulnerabilities are identified and reported."}, {"id": "VPM-06.1_VPM-06.1_A04", "name": "assessment-objective", "prose": "system vulnerabilities to be scanned are updated ."}]} \N \N \N \N +SCF:VPM-06.2 SCF VPM-06.2 Breadth / Depth of Coverage Mechanisms exist to identify the breadth and depth of coverage for vulnerability scanning that define the system components scanned and types of vulnerabilities that are checked for. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.2_VPM-06.2_A01", "name": "assessment-objective", "prose": "the breadth and depth of vulnerability scanning coverage are defined."}]} \N \N \N \N +SCF:VPM-06.3 SCF VPM-06.3 Privileged Access Mechanisms exist to implement privileged access authorization for selected vulnerability scanning activities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.3_VPM-06.3_A01", "name": "assessment-objective", "prose": "system components to which privileged access is authorized for selected vulnerability scanning activities are defined."}, {"id": "VPM-06.3_VPM-06.3_A02", "name": "assessment-objective", "prose": "vulnerability scanning activities selected for privileged access authorization to system components are defined."}, {"id": "VPM-06.3_VPM-06.3_A03", "name": "assessment-objective", "prose": "privileged access authorization is implemented to system components for vulnerability scanning activities."}]} \N \N \N \N +SCF:VPM-06.4 SCF VPM-06.4 Trend Analysis Automated mechanisms exist to compare the results of vulnerability scans over time to determine trends in system vulnerabilities. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.4_VPM-06.4_A01", "name": "assessment-objective", "prose": "automated mechanisms to compare the results of multiple vulnerability scans are defined."}, {"id": "VPM-06.4_VPM-06.4_A02", "name": "assessment-objective", "prose": "the results of multiple vulnerability scans are compared using automated mechanisms."}]} \N \N \N \N +SCF:VPM-06.5 SCF VPM-06.5 Review Historical Event logs Mechanisms exist to review historical event logs to determine if identified vulnerabilities have been previously exploited. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.5_VPM-06.5_A01", "name": "assessment-objective", "prose": "a system, application or service whose historic event logs are to be reviewed is defined."}, {"id": "VPM-06.5_VPM-06.5_A02", "name": "assessment-objective", "prose": "a time period for a potential previous exploit of a system, application or service is defined."}, {"id": "VPM-06.5_VPM-06.5_A03", "name": "assessment-objective", "prose": "historic event logs are reviewed to determine if a vulnerability identified in a system, application or service has been previously exploited within an organization-defined time period."}]} \N \N \N \N +SCF:VPM-06.6 SCF VPM-06.6 External Vulnerability Assessment Scans Mechanisms exist to perform quarterly external vulnerability scans (outside the organization's network looking inward) via a reputable vulnerability service provider, which include rescans until passing results are obtained or all “high” vulnerabilities are resolved, as defined by the Common Vulnerability Scoring System (CVSS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.6_VPM-06.6_A01", "name": "assessment-objective", "prose": "for Payment Card Industry Data Security Standard (PCI DSS) compliance, quarterly external vulnerability scans (outside the organization's network looking inward) via a reputable vulnerability service provider, are performed until passing results are obtained or all “high” vulnerabilities are resolved, as defined by the Common Vulnerability Scoring System (CVSS)."}]} \N \N \N \N +SCF:WEB-11 SCF WEB-11 Output Encoding Mechanisms exist to ensure output encoding is performed on all content produced by a web application to reduce the likelihood of cross-site scripting and other injection attacks. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-11_WEB-11_A01", "name": "assessment-objective", "prose": "output encoding is performed on all content produced by a web application to reduce the likelihood of cross-site scripting and other injection attacks."}]} \N \N \N \N +SCF:VPM-06.7 SCF VPM-06.7 Internal Vulnerability Assessment Scans Mechanisms exist to perform quarterly internal vulnerability scans, which includes all segments of the organization's internal network, as well as rescans until passing results are obtained or all “high” vulnerabilities are resolved, as defined by the Common Vulnerability Scoring System (CVSS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.7_VPM-06.7_A01", "name": "assessment-objective", "prose": "for Payment Card Industry Data Security Standard (PCI DSS) compliance, quarterly internal vulnerability scans, which includes all segments of the organization's internal network, are performed until passing results are obtained or all “high” vulnerabilities are resolved, as defined by the Common Vulnerability Scoring System (CVSS)."}]} \N \N \N \N +SCF:VPM-06.8 SCF VPM-06.8 Acceptable Discoverable Information Mechanisms exist to define what information is allowed to be discoverable by adversaries and take corrective actions to remediate non-compliant Technology Assets, Applications and/or Services (TAAS). 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.8_VPM-06.8_A01", "name": "assessment-objective", "prose": "corrective actions to be taken if information about the system is discoverable are defined."}, {"id": "VPM-06.8_VPM-06.8_A02", "name": "assessment-objective", "prose": "corrective actions are taken when information about the system is confirmed as discoverable."}, {"id": "VPM-06.8_VPM-06.8_A03", "name": "assessment-objective", "prose": "information about the system is discoverable."}]} \N \N \N \N +SCF:VPM-06.9 SCF VPM-06.9 Correlate Scanning Information Automated mechanisms exist to correlate the output from vulnerability scanning tools to determine the presence of multi-vulnerability/multi-hop attack vectors. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-06.9_VPM-06.9_A01", "name": "assessment-objective", "prose": "the output from vulnerability scanning tools is correlated to determine the presence of multi-vulnerability and multi-hop attack vectors."}]} \N \N \N \N +SCF:VPM-07 SCF VPM-07 Penetration Testing Mechanisms exist to conduct penetration testing on Technology Assets, Applications and/or Services (TAAS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-07_VPM-07_A01", "name": "assessment-objective", "prose": "the breadth of penetration testing is defined."}, {"id": "VPM-07_VPM-07_A02", "name": "assessment-objective", "prose": "the depth of penetration testing is defined."}, {"id": "VPM-07_VPM-07_A03", "name": "assessment-objective", "prose": "constraints of penetration testing are defined."}, {"id": "VPM-07_VPM-07_A04", "name": "assessment-objective", "prose": "automated scanning tools are identified."}, {"id": "VPM-07_VPM-07_A05", "name": "assessment-objective", "prose": "ad hoc tests using subject matter experts are identified."}, {"id": "VPM-07_VPM-07_A06", "name": "assessment-objective", "prose": "penetration testing is conducted frequently leveraging automated scanning tools and ad hoc tests using subject matter experts."}, {"id": "VPM-07_VPM-07_A07", "name": "assessment-objective", "prose": "frequency at which to conduct penetration testing on systems or system components is defined."}, {"id": "VPM-07_VPM-07_A08", "name": "assessment-objective", "prose": "penetration testing is conducted organization-defined frequency on organization-defined system(s) or system components."}]} \N \N \N \N +SCF:VPM-07.1 SCF VPM-07.1 Independent Penetration Agent or Team Mechanisms exist to utilize an independent assessor or penetration team to perform penetration testing. 6 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "6"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-07.1_VPM-07.1_A01", "name": "assessment-objective", "prose": "an independent penetration testing agent or team is employed to perform penetration testing on the system or system components."}]} \N \N \N \N +SCF:VPM-08 SCF VPM-08 Technical Surveillance Countermeasures Security Mechanisms exist to utilize a technical surveillance countermeasures survey. 1 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "1"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-08_VPM-08_A01", "name": "assessment-objective", "prose": "locations to employ technical surveillance countermeasure surveys are defined."}, {"id": "VPM-08_VPM-08_A02", "name": "assessment-objective", "prose": "the frequency at which to employ technical surveillance countermeasure surveys is defined."}, {"id": "VPM-08_VPM-08_A03", "name": "assessment-objective", "prose": "events or indicators which, if they occur, trigger a technical surveillance countermeasures survey are defined."}, {"id": "VPM-08_VPM-08_A04", "name": "assessment-objective", "prose": "a technical surveillance countermeasures survey is employed at locations per organization-defined criteria."}]} \N \N \N \N +SCF:VPM-09 SCF VPM-09 Reviewing Vulnerability Scanner Usage Mechanisms exist to monitor logs associated with scanning activities and associated administrator accounts to ensure that those activities are limited to the timeframes of legitimate scans. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-09_VPM-09_A01", "name": "assessment-objective", "prose": "logs associated with scanning activities are monitored to ensure that those activities are limited to the timeframes of legitimate scans."}, {"id": "VPM-09_VPM-09_A02", "name": "assessment-objective", "prose": "logs associated with administrator accounts are monitored to ensure that those activities are limited to the timeframes of legitimate scans."}]} \N \N \N \N +SCF:VPM-10 SCF VPM-10 Red Team Exercises Mechanisms exist to utilize "red team" exercises to simulate attempts by adversaries to compromise Technology Assets, Applications and/or Services (TAAS) in accordance with organization-defined rules of engagement. 3 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "3"}, "group_title": "Vulnerability & Patch Management", "assessment_objective": [{"id": "VPM-10_VPM-10_A01", "name": "assessment-objective", "prose": "red team exercises to simulate attempts by adversaries to compromise organizational systems are defined."}, {"id": "VPM-10_VPM-10_A02", "name": "assessment-objective", "prose": "organization-defined red team exercises are employed to simulate attempts by adversaries to compromise organizational systems in accordance with applicable rules of engagement."}]} \N \N \N \N +SCF:WEB-01 SCF WEB-01 Web Security Mechanisms exist to facilitate the implementation of an enterprise-wide web management policy, as well as associated standards, controls and procedures. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-01_WEB-01_A01", "name": "assessment-objective", "prose": "an enterprise-wide web management policy, as well as associated standards, controls and procedures exists."}, {"id": "WEB-01_WEB-01_A02", "name": "assessment-objective", "prose": "web security operations are conducted according to documented policies, standards, procedures and/or other organizational directives."}, {"id": "WEB-01_WEB-01_A03", "name": "assessment-objective", "prose": "adequate resources (e.g., people, processes, technologies, data and/or facilities) are provided to support web security operations."}, {"id": "WEB-01_WEB-01_A04", "name": "assessment-objective", "prose": "responsibility and authority for the performance of web security-related activities are assigned to designated personnel."}, {"id": "WEB-01_WEB-01_A05", "name": "assessment-objective", "prose": "personnel performing web security-related activities have the skills and knowledge needed to perform their assigned duties."}]} \N \N \N \N +SCF:WEB-01.1 SCF WEB-01.1 Unauthorized Code Mechanisms exist to prevent unauthorized code from being present in a secure page as it is rendered in a client’s browser. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-01.1_WEB-01.1_A01", "name": "assessment-objective", "prose": "a capability exists to review secure pages for unauthorized code."}]} \N \N \N \N +SCF:WEB-02 SCF WEB-02 Use of Demilitarized Zones (DMZ) Mechanisms exist to utilize a Demilitarized Zone (DMZ) to restrict inbound traffic to authorized Technology Assets, Applications and/or Services (TAAS) on certain services, protocols and ports. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-02_WEB-02_A01", "name": "assessment-objective", "prose": "a Demilitarized Zone (DMZ) architecture is utilized for Internet-facing technologies to restrict inbound traffic to authorized devices on certain services, protocols and ports."}]} \N \N \N \N +SCF:WEB-03 SCF WEB-03 Web Application Firewall (WAF) Mechanisms exist to deploy Web Application Firewalls (WAFs) to provide defense-in-depth protection for application-specific threats. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-03_WEB-03_A01", "name": "assessment-objective", "prose": "a Web Application Firewalls (WAFs) is utilized for Internet-facing technologies to protect against application-specific threats."}]} \N \N \N \N +SCF:WEB-04 SCF WEB-04 Client-Facing Web Services Mechanisms exist to deploy reasonably-expected security, compliance and resilience controls to protect the confidentiality and availability of client data that is stored, transmitted or processed by the Internet-based service. 10 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "10"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-04_WEB-04_A01", "name": "assessment-objective", "prose": "a capability exists to protect the confidentiality and availability of client data that is stored, transmitted or processed by the Internet-based service."}]} \N \N \N \N +SCF:WEB-05 SCF WEB-05 Cookie Management Mechanisms exist to provide individuals with clear and precise information about cookies, in accordance with applicable legal requirements for cookie management. 5 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "5"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-05_WEB-05_A01", "name": "assessment-objective", "prose": "data subjects are provided with clear and precise information about cookies, in accordance with applicable legal requirements for cookie management."}]} \N \N \N \N +SCF:WEB-06 SCF WEB-06 Strong Customer Authentication (SCA) Mechanisms exist to implement Strong Customer Authentication (SCA) for consumers to reasonably prove their identity. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-06_WEB-06_A01", "name": "assessment-objective", "prose": "Strong Customer Authentication (SCA) is utilized for consumers and/or data subjects to prove their identity."}]} \N \N \N \N +SCF:WEB-07 SCF WEB-07 Web Security Standard Mechanisms exist to ensure the Open Web Application Security Project (OWASP) Application Security Verification Standard is incorporated into the organization's Secure Systems Development Lifecycle (SSDLC) process. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-07_WEB-07_A01", "name": "assessment-objective", "prose": "the Open Web Application Security Project (OWASP) Application Security Verification Standard is incorporated into the organization's Secure Systems Development Lifecycle (SSDLC) process."}]} \N \N \N \N +SCF:WEB-08 SCF WEB-08 Web Application Framework Mechanisms exist to ensure a robust Web Application Framework is used to aid in the development of secure web applications, including web services, web resources and web APIs. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-08_WEB-08_A01", "name": "assessment-objective", "prose": "a robust Web Application Framework is used to aid in the development of secure web applications, including web services, web resources and web APIs."}]} \N \N \N \N +SCF:WEB-09 SCF WEB-09 Validation & Sanitization Mechanisms exist to ensure all input handled by a web application is validated and/or sanitized. 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-09_WEB-09_A01", "name": "assessment-objective", "prose": "all input handled by a web application is validated and/or sanitized."}]} \N \N \N \N +SCF:WEB-10 SCF WEB-10 Secure Web Traffic Mechanisms exist to ensure all web application content is delivered using cryptographic mechanisms (e.g., TLS). 9 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "9"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-10_WEB-10_A01", "name": "assessment-objective", "prose": "all web application content is delivered using cryptographic mechanisms (e.g., TLS)."}]} \N \N \N \N +SCF:WEB-13 SCF WEB-13 Website Change Detection Mechanisms exist to detect and respond to Indicators of Compromise (IoC) for unauthorized alterations, additions, deletions or changes on websites that store, process and/or transmit sensitive/regulated data. 8 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "8"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-13_WEB-13_A01", "name": "assessment-objective", "prose": "Indicators of Compromise (IoC) include unauthorized alterations, additions, deletions or changes on websites that store, process and/or transmit sensitive / regulated data."}, {"id": "WEB-13_WEB-13_A02", "name": "assessment-objective", "prose": "a capability exists to monitor for web-based IoC triggers."}]} \N \N \N \N +SCF:WEB-14 SCF WEB-14 Publicly Accessible Content Reviews Mechanisms exist to routinely review the content on publicly accessible systems for sensitive/regulated data and remove such information, if discovered. 7 {"importance": {"ns": "https://scfconnect.com/oscal", "name": "weight", "value": "7"}, "group_title": "Web Security", "assessment_objective": [{"id": "WEB-14_WEB-14_A01", "name": "assessment-objective", "prose": "the scope of publicly accessible systems is defined."}, {"id": "WEB-14_WEB-14_A02", "name": "assessment-objective", "prose": "publicly accessible systems containing sensitive / regulated data are identified."}, {"id": "WEB-14_WEB-14_A03", "name": "assessment-objective", "prose": "a capability exists to routinely review the content on publicly accessible systems for sensitive / regulated data and remove such information, if discovered."}, {"id": "WEB-14_WEB-14_A04", "name": "assessment-objective", "prose": "a capability exists to expeditiously remove sensitive / regulated data from publicly accessible systems, if discovered."}]} \N \N \N \N +\. + + +ALTER TABLE public.frameworks_controls ENABLE TRIGGER ALL; + +-- +-- Data for Name: compliance_component_implements_controls; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.compliance_component_implements_controls DISABLE TRIGGER ALL; + +COPY public.compliance_component_implements_controls (framework_control_id, compliance_component_id, description) FROM stdin; +Grundschutz++:UMS.3.1 fde77b64-1009-52b0-8c2f-d44cb765d35e Anzeigen der "Low Hanging Fruits" denkbar +Grundschutz++:UMS.4.1 fde77b64-1009-52b0-8c2f-d44cb765d35e Tagging durch openCode Funktionen möglich. +Grundschutz++:UMS.4.2 fde77b64-1009-52b0-8c2f-d44cb765d35e Einsetzen von Deadlines für Issues/ Workitems durch openCode Funktionen möglich. +Grundschutz++:UMS.5.2 fde77b64-1009-52b0-8c2f-d44cb765d35e Die Dokumentation der Ausnahmen kann über die entsprechende Dokumentation in openCode (z. B. Issues/ Workitems) nachgehalten werden. +Grundschutz++:UMS.6.1 fde77b64-1009-52b0-8c2f-d44cb765d35e Die Nachverfolgung der Umsetzung kann durch Issues/ Workitems dokumentiert werden. +Grundschutz++:ASST.2.3 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode kann als Ablageort der SBOM der untersuchten Software dienen. Es gibt ein entsprechendes SBOM Archiv auf dem die SBOMs abgelegt werden und welches als Source of Truth gelten kann (https://devguard-sbom-frontend-575abd.usercontent.opencode.de/) +Grundschutz++:ASST.5.1 fde77b64-1009-52b0-8c2f-d44cb765d35e Über die openCode können per Issue/ Workitems Wartungsbedarfe der Softwarekomponenten dokumentiert und zugewiesen werden. +Grundschutz++:ASST.5.7 fde77b64-1009-52b0-8c2f-d44cb765d35e Wird die Software auf openCode gewartet, kann die Wartung und die geleisteten Tasks durch die Entwickelnden innerhalb der Commit-History bzw. in einem Changelog dokumentiert werden. +Grundschutz++:PERS.2.2 fde77b64-1009-52b0-8c2f-d44cb765d35e Rollen können über das openCode Rollenmodell wie z. B. Dev/ Maintainer/ Owner festgelegt und dokumentiert werden. +Grundschutz++:DLS.2.1 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode selbst unterstützt MFA über eine KeyCloak Instanz. +Grundschutz++:TEST.2.1 fde77b64-1009-52b0-8c2f-d44cb765d35e Versionshistorien der betrachteten Software oder abgelegter Dokumente können über die GitLab Funktionen auf einer technischen Ebene (Version der Speicherung oder der Softwareversion) nachgehalten werden. +Grundschutz++:KONF.6.9 fde77b64-1009-52b0-8c2f-d44cb765d35e Lesenden oder schreibenden Zugriff auf den Code kann über das openCode inhäränte Rollensystem durch die jeweiligen Owner vergeben werden. +Grundschutz++:DEV.1.1.1 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode ermöglicht durch Funktionen wie ein Wiki oder Markdown Editierung eine Projekt- bzw. Code-nahe Dokumentation. Ebenso können über die Funktion der "Work-Item - description templates" Vorlagen wie Checklisten angelegt werden, die für bestimmte Prozesse verpflichtend sind. Desweiteren besteht die Möglichkeit automatisierte Pipelines-Checks (z. B. für die Security) anzulegen, die bei jedem Commit der Entwickelnden, verpflichtend durchlaufen werden und fest in den Entwicklungszyklus integriert werden. Die Prüfungen der Pipeline werden nicht nur durch die Pipelineanlage selbst technisch dokumentiert, sondern die Ergebnisse werden auch durch Reportings an die Entwickelnden zurückgespielt und als Artefakt gespeichert. +Grundschutz++:DEV.1.1.2 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode bietet die Möglichkeit, bestimmte Personen sogenannten Work-Items zuzuweisen. Die Zuweisung erfolgt somit an einen Personenbezogenen Account, der auch über die GitLab Funktionalitäten mit entsprechenden Rollen und damit verbundene Berechtigungen besitzt. Erzwungen werden kann eine solche Zuteilung jedoch nicht auf der technischen Ebene - Hier kann über kommunizierte Vorgaben, oder über den Workaround der Templates gearbeitet werden (Templates können automatische Zuweiseungen im Template-Text enthalten). +Grundschutz++:DEV.1.1.3 fde77b64-1009-52b0-8c2f-d44cb765d35e In openCode besteht die Möglichkeit den jeweiligen Repositories eine .README Datei hinzuzufügen. Diese Dateien sind Textdokumente, die nach belieben in Markdown Code geschrieben werden und von jedem Mitglied des Projektes gelesen werden können. Ebenso ist es möglich, dass die neuen Mitglieder einer Gruppe oder eines Repositories bei betreten ein Work-Item zugewiesen bekommen, in dem alle Verfahren und Regelungen aufgezeigt werden. Wenn das Work-Item durch die Person nach dem Lesen der jeweiligen Verfahren geschlossen wird, ist dokumentiert nachgewiesen, dass die Person informiert worden ist. +Grundschutz++:DEV.1.2 fde77b64-1009-52b0-8c2f-d44cb765d35e Über openCode lassen sich Issues mit bestimmten Start- und Fälligkeitszeitpunkten festlegen. So kann eine regelmäßige Überprüfung zumindest manuell vorausgeplant werden. Eine Funktionalität zum automatisierten Reopening der Tickets besteht nicht. +Grundschutz++:DEV.2.2 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode ermöglicht durch Funktionen wie ein Wiki oder Markdown Editierung eine Projekt- bzw. Code-nahe dokumentation. +Grundschutz++:DEV.2.4 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) beschränkt den schreibenden Zugriff auf den Quellcode über rollenbasierte Projektberechtigungen, geschützte Branches und Push-Regeln. +Grundschutz++:DEV.2.5 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) schützt Zugangsdaten in der CI/CD über maskierte und geschützte CI/CD-Variablen. +Grundschutz++:DEV.4.3 fde77b64-1009-52b0-8c2f-d44cb765d35e Auf openCode wird ein entsprechendes [SBOM Archiv](https://devguard-sbom-frontend-575abd.usercontent.opencode.de/) bereitgestellt, auf dem die aktuellen SBOMs der Projekte, die über DevGuard generiert werden, abgespeichert und den interessierten Parteien zur Verfügung gestellt werden können. +Grundschutz++:DEV.4.10 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) protokolliert alle Codeänderungen über die Git-Commit-Historie (Autor, Zeitpunkt, Inhalt) und Merge-Request-Verläufe mit Begründung. +Grundschutz++:DEV.4.11 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) führt, wenn entsprechend konfiguriert, bei jedem Push und Merge Request automatisierte CI/CD-Pipelines und Tests aus. +Grundschutz++:DEV.5.3 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) unterstützt signierte Commits und Tags (GPG) zur Integritätsverifikation. +Grundschutz++:DEV.6.1 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) ermöglicht Freigaben über Merge-Request-Reviews/Approvals und geschützte Branches vor dem Merge. +Grundschutz++:DEV.7.1 fde77b64-1009-52b0-8c2f-d44cb765d35e openCode (GitLab) stellt CI/CD-Deployment-Pipelines sowie eine integrierte Container- und Paket-Registry für die Bereitstellung bereit. +Grundschutz++:DEV.7.2 fde77b64-1009-52b0-8c2f-d44cb765d35e Im Falle von GitLab Pages ist die Ausstellung und Erneuerung der Zertifikate für die verwendeten Domains durch den Plattformbetrieb von openCode sichergestellt. +Grundschutz++:STM.4.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard erfasst Software-Assets automatisch in einer Organisationshierarchie (Organisation → Projekt → Repository → Asset-Version) mit versionierten SBOMs und Schwachstellenzustand je Branch/Tag. Bildet technische Grundlage für das Softwarekomponenten-Inventar. +Grundschutz++:STM.4.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard dokumentiert alle Asset-Versionen mit maschinenlesbarer CycloneDX-SBOM (Komponentenname, Version, Lizenz, PURL) und verknüpftem Schwachstellenstatus. Export für Auditoren und Behörden auf Anforderung. +Grundschutz++:UMS.1.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Compliance-Dashboards auf Organisations-, Projekt- und Asset-Ebene können den aktuellen Umsetzungsstatus von ausgewählten Sicherheitsmaßnahmen mit Referenz auf CRA, ISO 27001 und BSI IT-Grundschutz ++ im Bezug auf die Softwareprojekte anzeigen. +Grundschutz++:DEV.1.1.2 5af743cb-4393-5daf-aef5-83af49f76b3a Es ist eine Test denkbar, der überprüft, ob Issues mit bestimmten Labeln einer Person zugewiesen sind (Assignee) +Grundschutz++:VRB.3.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Compliance-Dashboards und Schwachstellentrends über Zeit identifizieren systematisch Verbesserungspotenziale in der Softwaresicherheit und ermöglichen datengetriebene Verbesserungsentscheidungen. +Grundschutz++:PERF.2.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Compliance-Dashboards überwachen kontinuierlich die Einhaltung technischer Sicherheitsvorgaben mit expliziten Referenzen auf ISO 27001, EU CRA und BSI IT-Grundschutz. Policy-Verstöße werden auf allen Ebenen sichtbar gemacht. Deren Einhaltung und die Erfüllungsdokumentation kann ebenfalls über OSCAL exportiert werden. +Grundschutz++:PERF.4.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard generiert revisionssichere Audit-Evidenz: CI/CD-Scan-Reports, Vulnerability-Triage-Historien (Identität, Zeitstempel, Begründung), SBOM-Exports, CSAF-Advisories und Compliance-Dashboard-Snapshots als direkte Grundlage für Auditberichte. +Grundschutz++:PERF.6.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Webhook-Integration (4 Event-Typen: SBOM generiert, Dependency-Schwachstellen erkannt, SAST-Findings erkannt, Test-Event; HMAC-verifiziert; 3 automatische Wiederholungen) ermöglicht strukturierte Anbindung an SIEM-Systeme und Incident-Management-Plattformen. +Grundschutz++:ASST.2.3 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard führt ein automatisch aktualisiertes Software-Asset-Inventar mit CycloneDX-SBOM (Komponenten, Versionen, Lizenzen, PURLs) über alle Repositories und Asset-Versionen der Organisation. Komponentensuche quer über alle Projekte. +Grundschutz++:ASST.5.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard kann Wartungsbedarfe der Softwareassets hinsichtlich vorhandener Softwareschwachstellen anzeigen und dokumentieren (Inklusive deren Umsetzungszustand). +Grundschutz++:BES.4.5 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's SAST-Scans (Semgrep) und IaC-Scanning prüfen automatisiert, ob Security-by-Design-Prinzipien im Quellcode (Fehlerbehandlung, Eingabevalidierung, sichere Defaults) und der Infrastrukturkonfiguration umgesetzt wurden. Der Einsatz von openCode DevGuard an sich, ist durch die Implementierung einer DevSecOps Pipeline und deren Nutzung eine Dokumentation, dass Security by Design in dem entsprechenden Softwareprojekt eingesetzt wird. +Grundschutz++:BES.4.6 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's IaC-Scanner erkennt unsichere Standardkonfigurationen in Kubernetes-Manifesten, Terraform und Dockerfiles (z.B. zu weitreichende Berechtigungen, fehlende Security Policies), die gegen Security-by-Default-Prinzipien verstoßen. +Grundschutz++:BES.5.4 8b9497f5-85e5-5198-8963-f92b2b3a8323 Die Nutzung von DevGuard kann als Nachweis von Security-Kontrollmechanismen bezogen auf die Softwareentwicklung dienen. +Grundschutz++:BES.7.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's SCA und Dependency Firewall prüfen neu integrierte Softwarebibliotheken automatisch auf bekannte Schwachstellen (CVEs/GHSAs aus 13+ Ökosystemen) und bekannte Schadsoftware (OSSF Malicious Packages Dataset) vor dem Build. +Grundschutz++:DLS.2.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard selbst unterstützt MFA über OIDC/SSO-Integration (GitHub, GitLab und weitere Anbieter) mit Ory Kratos als Identity-Management-Backend. OIDC-Only-Modus erzwingt exklusives SSO und verhindert Passwort-only-Zugang. +Grundschutz++:DLS.2.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard erzwingt TLS für alle Verbindungen zum Server und nutzt HTTP Message Signing für authentifizierte Scan-Ergebnis-Uploads. Alle Daten bleiben bei Self-Hosting in der eigenen Infrastruktur. +Grundschutz++:DLS.3.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard selbst kann für Compliancevorgaben gewisse Checks und Compliancedokumentationen in OSCAL selbst ermöglichen und bei gewissen Vorgaben wie z. B. der Freiheit von Schwachstellen, harte Kontrollmaßnahmen, wie etwa eine failende CI/CD-Pipeline ermöglichen. Somit wird die Einhaltung der Maßnahmen erzwungen. +Grundschutz++:TEST.1.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 Software-Security Testungen finden durch den mindestens täglichen Abgleich der SBOM mit der aktuellen Vulnerability Datenbank in einem regelmäßigen Rhytmus statt. +Grundschutz++:TEST.3.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard automatisiert umfassende Software-Sicherheitstests im CI/CD-Prozess: SAST (Semgrep), SCA (Trivy/Grype, 13+ Ökosysteme), Secret Scanning (Gitleaks), Container Image Scanning, IaC-Scanning (Kubernetes/Terraform/Dockerfile) mit konfigurierbarem Threshold-basiertem Pipeline-Blocking. +Grundschutz++:TEST.3.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard deckt alle für die Softwareentwicklung relevanten Scan-Kategorien ab (SAST, SCA, Secret, Container, IaC) und integriert sich in GitHub Actions und GitLab CI. SARIF-Normalisierung ermöglicht die Erweiterung um beliebige SARIF-kompatible Tools. +Grundschutz++:TEST.4.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard unterstützt kryptografische Artefaktsignierung (Cosign für Container-Images) und in-toto-Link-Attestierungen sowie SLSA-Provenance-Generierung im CI/CD-Prozess als Nachweis der Build-Integrität. +Grundschutz++:TEST.5.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's CI/CD-Pipeline unterstützt Cosign-Signierung von Container-Artefakten und in-toto-Attestierungen als kryptografisch gesicherte Bereitstellung. Dependency Firewall schützt die Lieferkette bei der Paketbereitstellung. +Grundschutz++:BER.3.6 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard unterstützt Single-Sign-On über OIDC-Integration (GitHub, GitLab und weitere Anbieter) als primären Authentifizierungsmechanismus. OIDC-Only-Modus erzwingt ausschließlich SSO-basierte Anmeldung. +Grundschutz++:BER.5.4 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Secret Scanning (Gitleaks) erkennt versehentlich eingecheckte Credentials, API-Keys, Tokens und Passwörter im Quellcode. CI/CD-Pipeline-Blocking verhindert Releases mit gefundenen kompromittierten Berechtigungsmitteln. +Grundschutz++:BER.6.10 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Secret Scanning überwacht kontinuierlich Quellcode-Repositories auf exponierte Zugangsdaten, API-Schlüssel und Tokens (Gitleaks). Scheduled Rescans erkennen auch nachträglich identifizierte Leak-Muster. +Grundschutz++:DET.2.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Webhook-System (4 Event-Typen, HMAC-verifiziert, 3 automatische Wiederholungsversuche, strukturierte JSON-Payloads) ermöglicht direkte Integration in Meldeverfahren und SIEM-Systeme für automatisierte Sicherheitsereignismeldungen. +Grundschutz++:DET.3.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard führt vollständige, revisionssichere Audit-Trails aller sicherheitsrelevanten Entscheidungen: Vulnerability-Triage (Identität, Zeitstempel, Begründung), VEX-Uploads, Lizenz-Bewilligungen. Prometheus-Metriken für Betriebsüberwachung. +Grundschutz++:DET.5.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Kernfunktion: Kontinuierliches SCA-/SAST-Scanning mit Scheduled Rescans (automatische CVE-Erkennung für bestehende Komponenten), Risk-Score-Priorisierung (CVSS + EPSS + CIA-Anforderungen), automatisches Ticket-Reopening bei neuen CVEs, CI/CD-Pipeline-Blocking. +Grundschutz++:DET.5.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard führt ein vollständiges, lückenlos nachverfolgtes Schwachstellenregister über alle Assets: CVE-ID, CVSS, EPSS, Triage-Status (Open/Resolved/Accepted Risk/False Positive/Mitigated/Under Investigation), vollständige Entscheidungshistorie mit Identität und Begründung. +Grundschutz++:DEV.4.5 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badge Programm prüft dies in der Security Badge +Grundschutz++:DET.5.3 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard automatisiert SCA, SAST (Semgrep), Secret Scanning (Gitleaks), Container Image Scanning (Trivy/Grype), IaC-Scanning sowie Scheduled Rescans ohne Code-Änderungen für neu publizierte CVEs. SARIF-basierte Normalisierung aller Scanner-Ergebnisse. +Grundschutz++:DET.5.8 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's kontextuelles Risk Scoring (CVSS-BE × (EPSS+1) / 2 / Component Depth) mit konfigurierbaren CIA-Anforderungen pro Asset liefert eine quantifizierte Bedrohungsanalyse je Schwachstelle auf Basis aktueller Exploit-Wahrscheinlichkeiten (EPSS, täglich aktualisiert). +Grundschutz++:DET.5.9 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard stellt technische Infrastruktur für externe Schwachstellenmeldungen bereit: CSAF-Provider-Listing (maschinenlesbar, öffentlich), CVD-Infrastruktur mit VEX-Endpunkten. DevGuard selbst hat dokumentierte CVD-Richtlinie (SECURITY.md, security.txt, GitHub Private Vulnerability Reporting, PGP-Kommunikation). +Grundschutz++:DET.5.10 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard verknüpft Schwachstellenfindungen mit Issue-Trackern (GitHub Issues, GitLab Issues, Jira), automatisiert Ticket-Erstellung und Reopening, trackt Behebungsstatus mit Audit-Trail und blockiert Releases mit unbehandelten kritischen Findings via CI/CD-Thresholds. +Grundschutz++:REA.2.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's strukturierter Triage-Workflow mit 6 Status (Open, Resolved, Accepted Risk, False Positive, Mitigated, Under Investigation), Begründungspflicht, automatischer Issue-Tracker-Synchronisation und Slash-Command-Integration unterstützt sofortige, nachweisbare Erstreaktion. +Grundschutz++:REA.2.3 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Audit-Trail dokumentiert alle Vulnerability-Triage-Entscheidungen mit Identität, Zeitstempel und Begründung unveränderlich. SBOM-, VEX- und CSAF-Exports ermöglichen vollständige Vorfallsdokumentation für forensische und behördliche Zwecke. +Grundschutz++:REA.2.6 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Dependency-Graph-Visualisierung (direkte vs. transitive Abhängigkeiten, Bottleneck-Komponenten, Risikofärbung) und SBOM-basierte Komponentenanalyse ermöglichen systematische Ursachenanalyse bei komponentenbezogenen Sicherheitsvorfällen. +Grundschutz++:KONF.1.5 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Secret Scanning (Gitleaks) erkennt unverschlüsselte Konfigurationsgeheimnisse (Passwörter, API-Keys, Tokens, Private Keys) in Quellcode, IaC-Dateien und Konfigurationsdateien. CI/CD-Blocking verhindert Deployments mit exponierten Secrets. +Grundschutz++:KONF.2.5 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's IaC-Scanner prüft automatisiert Kubernetes-Manifeste, Terraform-Konfigurationen und Dockerfiles auf sicherheitsrelevante Fehlkonfigurationen. CI/CD-Integration erzwingt konforme Konfiguration als Releasevoraussetzung. +Grundschutz++:KONF.7.9 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Dependency Firewall (Proxy für npm, Go, PyPI) blockiert bekannte Schadsoftware aus dem OSSF Malicious Packages Dataset (inkl. Typosquatting, injiziertem Schadcode, kompromittierte Versionen) vor der Installation. 2-Stunden-Update-Zyklus der Blockliste. +Grundschutz++:KONF.8.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Scheduled Rescans überprüfen automatisch und regelmäßig alle Asset-Versionen auf neu veröffentlichte CVEs und Sicherheitsupdates, auch ohne Code-Änderungen. Neue Findings triggern automatisch Tickets in konfigurierten Issue-Trackern. +Grundschutz++:KONF.8.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard erkennt verfügbare Patch-Versionen für verwundbare Abhängigkeiten und gibt die Mindest-Patch-Version je Schwachstelle an. Automatische Ticket-Erstellung und Reopening in GitHub/GitLab/Jira stellt zeitnahe Entwicklerbenachrichtigung sicher. +Grundschutz++:DEV.1.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard etabliert strukturierte Sicherheitsentwicklungsprozesse als Tool: CI/CD-Integration mit definierten Scan-Typen, dokumentierter Triage-Workflow mit Begründungspflicht, Compliance-Dashboards für Entwicklungsorganisationen und auditfähige Evidenzgenerierung. Ein konsequenter Einsatz von DevGuard für alle Entwicklungsprodukte bietet eine dokumentierte und damit auditierbare Möglichkeit, um Regelungen für die Sicherheit in der Entwicklung von IT-Produkten per Rego-Policies zu überprüfen und der Umsetzung durch die Entwickler zu erzwingen. +Grundschutz++:DEV.1.1.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 Siehe DEV.1.1 +Grundschutz++:DEV.2.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 Durch die Nutzung von DevGuard für die Entwicklung von Softwareprojekten kann ein Security by Design, durch die Nutzung einer DevSecOps Pipeline und weiterer Software Security Funktionalitäten nachgewiesen werden. Die Arbeitsweise/ Nutzung von DevGuard ist auch durch die Speicherung der SBOMs und Vulnerability-Handling (z. B. per VEX) auditierbar +Grundschutz++:DEV.2.5 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuards Secret Scanning (Gitleaks) erkennt versehentlich in Quellcode und Git-Historie eingebettete Zugangsdaten (API-Keys, Passwörter, Tokens) und verhindert deren Offenlegung im CI/CD-Prozess. +Grundschutz++:DEV.2.6 8b9497f5-85e5-5198-8963-f92b2b3a8323 Durch den Einsatz eines SAST Scanners über DevGuard können präventiv Code-Schwächen aufgedeckt werden, die im Code der Entwickelnden existieren. So können Angriffe, die auf diese Schwächen abzielen frühzeitig erkannt werden. Es handelt sich dabei aber um eine rein Code-basierte Präventive Maßnahme. +Grundschutz++:DEV.2.6.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuards SAST-Scanner (Semgrep) erkennt viele fehlende Eingabevalidierung und Injection-Schwachstellen im Quellcode. +Grundschutz++:DEV.2.6.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuards SAST-Scanner (Semgrep) erkennt viele Schwachstellen durch fehlende Ausgabekodierung (z.B. XSS) im Quellcode. +Grundschutz++:DEV.4.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 Durch die Möglichkeit VEX oder CSAF Informationen an die Nachnutzenden weiterzugeben, können diese über Schwachstellen und Sicherheitslücken in deren Anwendungen informiert werden. Dies ist jedoch nur möglich, wenn diese entsprechende Formate auch einlesen und verarbeiten können. +Grundschutz++:DEV.4.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Dependency Firewall agiert als Schutz-Proxy für npm, Go, PyPI sowie OCI-Images und prüft alle Paketquellen gegen den OSSF Malicious Packages Datensatz (inkl. Typosquatting, injizierten Schadcode, kompromittierte Versionen). Integritätsprüfung via SHA256. Nutzenden können auch eigenen Regeln zum Blockieren bzw. Erlauben definieren. +Grundschutz++:DEV.4.3 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard generiert automatisch CycloneDX-JSON-SBOMs für alle Softwarekomponenten inkl. transitiver Abhängigkeiten. Öffentliche Live-SBOM-Endpunkt, Multi-SBOM-Merge-Tooling sowie Export-Funktionen unterstützen darüber hinaus. +Grundschutz++:DEV.4.4 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's Dependency Firewall verifiziert SHA256-Prüfsummen aller gecachten Pakete, verhindert Cache-Poisoning. In-toto-Attestierungen und Cosign-Signierung ermöglichen kryptografische Build-Integrität. +Grundschutz++:DEV.4.5 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's SCA und kontinuierliche Rescans identifizieren verwundbare Abhängigkeiten. Automatische Ticketerstellung stellt die Präsenz im Entwicklungsteam sicher. CI/CD-Blocking verhindert Releases mit kritisch verwundbaren Libraries. +Grundschutz++:DEV.4.7 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard unterstützt SLSA-Provenance-Generierung und in-toto-Attestierungen für nachweisbare Builds. +Grundschutz++:DEV.4.11 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard triggert automatisch vollständige Sicherheitstests (SAST, SCA, Secret Scanning, Container Scanning, IaC) bei jedem Code-Commit im CI/CD-Prozess (GitHub Actions, GitLab CI) und blockiert die Pipeline bei Überschreitung definierter Risikothresholds. +Grundschutz++:DEV.5.2 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard veröffentlicht maschinenlesbare VEX-Dokumente und CSAF-Sicherheitshinweise über öffentliche Live-Endpunkte, die Auftraggeber und nachgelagerte Betroffene fortlaufend über den Behebungs- und Update-Status betroffener Komponenten informieren. +Grundschutz++:DEV.5.3 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's CI/CD-Pipeline unterstützt Cosign-Artefaktsignierung, in-toto-Link-Attestierungen und SLSA-Provenance-Generierung als kryptografische Integritätsnachweise für Software-Updates und ermöglicht Empfängern die Signaturverifikation. +Grundschutz++:DEV.6.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 DevGuard's CI/CD-Pipeline-Blocking mit konfigurierbaren Thresholds (`--failOnRisk`, `--failOnCVSS`) erzwingt Sicherheitstest-Freigabe als Releasevoraussetzung. Release-Artefakte ohne bestandene Sicherheitsprüfung werden automatisch blockiert. +Grundschutz++:DEV.7.1 8b9497f5-85e5-5198-8963-f92b2b3a8323 Cosign-Artefaktsignierung, in-toto-Attestierungen, SLSA-Provenance und Dependency-Firewall-Schutz der Lieferkette gewährleisten eine kryptografisch verifizierbare, sichere Bereitstellung von Software-Artefakten aus dem CI/CD-Prozess. +Grundschutz++:ASST.5.2 5893a5a9-6627-52a2-b339-7975bb93aee5 Das Container.gov Programm kann durch die vertraglich geregelten SLAs eine entsprechende geregelte Wartung genutzter Container-Images garantieren. +Grundschutz++:BES.4.5 5893a5a9-6627-52a2-b339-7975bb93aee5 Durch den Einsatz gehärteter Container Images aus dem Container.gov Repository kann ein Einsatz von Security by Design Prinzipien dokumentiert und nachgewiesen werden. +Grundschutz++:KONF.10.1 5893a5a9-6627-52a2-b339-7975bb93aee5 Über das Container-gov Projekt werden bereits gehärtete und vorkonfigurierte Container Images bereitgestellt. Hier kann man von einer sicheren Grundkonfiguration der jeweiligen Anwendungen sprechen. +Grundschutz++:KONF.10.4 5893a5a9-6627-52a2-b339-7975bb93aee5 Über das Container-gov Projekt werden bereits gehärtete und vorkonfigurierte Container Images bereitgestellt. Zur Härtung der Images zählt auch die Daktivierung nicht benötigter Anwendungsfunktionen. +Grundschutz++:DEV.1.1 5893a5a9-6627-52a2-b339-7975bb93aee5 Im Rahmen der Initiative müssen aktuell kritische und hohe bekannte Schwachstellen über den VEX dokumentiert und behandelt werden. Diese Informationen stehen Nutzenden zur Verfügung. Für diesen Teilbereich, z.B. Base-Image ist damit der Prozess etabliert. Wird im Entwicklungsprozess nur auf Containerimages von container.gov.de zurückgegriffen, wenn möglich kann sich für diese Images die Reglung vererben. +Grundschutz++:DEV.1.1.1 5893a5a9-6627-52a2-b339-7975bb93aee5 Siehe DEV.1.1, die Initiative gibt sich klare, maschinell und in Code dokumentierte Regeln. +Grundschutz++:DEV.2.1 5893a5a9-6627-52a2-b339-7975bb93aee5 Die Nutzung von gehärteten Container Images folgt den Security by Design Prinzipien dadurch, dass die Anwendungsimages von Beginn an sicher bezogen werden. Der Bezug der Images ist audierbatr und nachweisbar. +Grundschutz++:DEV.4.4 5893a5a9-6627-52a2-b339-7975bb93aee5 Die Initiative unterstützt explizit die Integritätsprüfung der angebotenen Images via Digest. +Grundschutz++:DEV.4.5 5893a5a9-6627-52a2-b339-7975bb93aee5 Siehe DEV1.1, die Images sind verpflichtend bereits geprüft und Ergebnisse werden in offenen Standardformaten bereitgestellt. +Grundschutz++:DEV.4.7 5893a5a9-6627-52a2-b339-7975bb93aee5 Einiges der Images werden bereits reproduzierbar gebaut. Attestierungen geben Kontext über den Build-Prozess. +Grundschutz++:DEV.4.9 5893a5a9-6627-52a2-b339-7975bb93aee5 Die über container.gov.de bezogenen Images werden bereits per Default auf einem gewissen, festgelegten Sicherheitslevel ausgeliefert. Hier müssen die Entwickelnden jedoch darauf achten, diese Konfigurationen nur dann abzuändern, wenn es wirklich notwendig ist. +Grundschutz++:DEV.5.2 5893a5a9-6627-52a2-b339-7975bb93aee5 Die Images enthalten bei Bereitstellung über Container.gov bereits einen VEX. Dieser muss jedoch bei der Weiterentwicklung durch die Entwickelnden weiterführend gepflegt werden. +Grundschutz++:DEV.5.3 5893a5a9-6627-52a2-b339-7975bb93aee5 Container.Gov gibt einen entsprechenden Digest und Signaturen für die verschiedenen, bereitgestellten Images an. Bei Änderungen muss dieser jedoch weitergepflegt werden. +Grundschutz++:UMS.1.1 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badgeprogramm soll über automatisierte Prüfungen die Umsetzung der Grundschutz++ Vorgaben auf Basis der Systemchecks und der Auswertung der Entwickler:innen Angaben unterstützen und über das Tooling (PoC) darstellen. +Grundschutz++:UMS.3.1 5af743cb-4393-5daf-aef5-83af49f76b3a Anzeigen der "Low Hanging Fruits" denkbar +Grundschutz++:UMS.3.2 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badge Programm könnte den Nutzenden anzeigen die fehlenden Maßnahmen anzeigen und hier die Priorisierung "leicht" unterstützen. +Grundschutz++:UMS.7.1 5af743cb-4393-5daf-aef5-83af49f76b3a Durch die aktuellen Prüfungen durch das Badge Programm kann die Einhaltung der der automatisiert prüfbaren Maßnahmen gewährleistet und den Nutzenden in Form von Badges angezeigt werden. +Grundschutz++:VRB.3.1 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badgeprogramm ist in der Lage den aktuellen Zustand der Umsetzung, aber auch die nicht erfüllten Maßnahmen anzuzeigen. Auf Basis dieser Informationen können die Nutzerinnen Verbesserungspotenziale identifizieren und erhalten Informationen zu deren Umsetzung. +Grundschutz++:ASST.2.3 5af743cb-4393-5daf-aef5-83af49f76b3a Das BadgeProgramm kann das vorhandensein einer entsprechenden SBOM überprüfen und die Erfüllung, sowie die Evidenz (inkl. Pfad) bestätigen. +Grundschutz++:ASST.5.7 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badge-Programm kann überprüfen, ob eine Wartung über openCode erfolgt und die Einhaltung bestimmter Sicherheitsanforderungen wie etwa das Commit-Signing prüfen sowie dokumentieren. +Grundschutz++:BES.4.5 5af743cb-4393-5daf-aef5-83af49f76b3a Überprüfung und Dokumentation der Schließung entsprechender Issues resultierend aus den DevGuard Scans - Innerhalb eines entsprechenden Zeitrahmens ist möglich. +Grundschutz++:BES.4.6 5af743cb-4393-5daf-aef5-83af49f76b3a Überprüfung und Dokumentation der Schließung entsprechender Issues resultierend aus den DevGuard Scans - Innerhalb eines entsprechenden Zeitrahmens ist möglich. +Grundschutz++:TEST.3.2 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badge-Programm kann die Aktivierung und Durchführung solcher Security-Tests überprüfuen und die Anforderungserfüllung dahingehend dokumentieren. +Grundschutz++:SENS.2.3 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badgeprogramm kann Signaturen von Tags und die kryptographisch signierten Attestierungen der Build-Provenance überprüfen und bei einem nicht vorhanden sein die Entwickelnden darauf aufmerksam machen (Awareness schaffen) +Grundschutz++:DEV.1.1 5af743cb-4393-5daf-aef5-83af49f76b3a Das Badge Programm prüft verschiedene Verfahren und Regelungen der Softwareentwicklung. Wenn die Softwareprojekte die entsprechenden Badges erhalten, kann automatisiert geprüft werden, ob Regelungen im Bereich der Entwicklung durch die Entwickelnden eingehalten werden. +\. + + +ALTER TABLE public.compliance_component_implements_controls ENABLE TRIGGER ALL; + +-- +-- Data for Name: compliance_postures; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.compliance_postures DISABLE TRIGGER ALL; + +COPY public.compliance_postures (id, message, state, last_detected, ticket_id, ticket_url, manual_ticket_creation, created_at, updated_at, deleted_at, asset_version_name, asset_id, project_id, org_id, framework_control_id) FROM stdin; +\. + + +ALTER TABLE public.compliance_postures ENABLE TRIGGER ALL; + +-- +-- Data for Name: compliance_component_implements_control_statements; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.compliance_component_implements_control_statements DISABLE TRIGGER ALL; + +COPY public.compliance_component_implements_control_statements (id, compliance_posture_id, compliance_component_id, framework_control_id, implementation_status, description) FROM stdin; +\. + + +ALTER TABLE public.compliance_component_implements_control_statements ENABLE TRIGGER ALL; + +-- +-- Data for Name: component_dependencies; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.component_dependencies DISABLE TRIGGER ALL; + +COPY public.component_dependencies (component_id, dependency_id, asset_id, asset_version_name) FROM stdin; +\. + + +ALTER TABLE public.component_dependencies ENABLE TRIGGER ALL; + +-- +-- Data for Name: config; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.config DISABLE TRIGGER ALL; + +COPY public.config (key, val) FROM stdin; +hash_migration_version 4 +maintain.cleanup {"time":"2026-07-30T12:02:37.227714+02:00"} +vulndb.opensourceinsights {"time":"2026-07-30T12:02:37.290145+02:00"} +vulndb.vulndb {"time":"2026-07-30T12:02:37.298887+02:00"} +vulndb.lastRCImport "2026-07-30T07:28:34.257487858Z" +vulndb.lastRCIntegrity {"table_integrity":[{"table_name":"affected_components","checksum":"YmFkZDg5NTIyMmY2MjQwM2EwMzYzNWQ0YjEwMDBmMzQ=","total_count":2164291},{"table_name":"cve_affected_component","checksum":"MGYwOGUxZjZlMmMyMDliODg2MDY0ZTZmMmZmYTg5YjM=","total_count":11231136},{"table_name":"cve_relationships","checksum":"NmQxNzZkNmExODQzMDVhOTc2NWNjNjkxMGEyMTNlYzA=","total_count":517771},{"table_name":"cves","checksum":"NWNmOTA0NmFmZDc3N2RhYTYyYmJlMWE4ZjExZDk5ZDM=","total_count":207284},{"table_name":"exploits","checksum":"NzFkYTcwZGZkYjk5YjQ1OWYxOWU3Njk5YjJlYjZkZTg=","total_count":9238},{"table_name":"malicious_affected_components","checksum":"ODI3MGQyYTMyMzFmYWM4NDYwZWRhOTRiNjk3NDRlODA=","total_count":251324},{"table_name":"malicious_packages","checksum":"M2I3ZWRmZmUxYjdiZWZkOTEyMDFiMGNmMDUwMWNkNTA=","total_count":232787}],"import_timestamp":"2026-07-30T07:28:34.257487858Z","artifact_checksum":"sha256:ca063e76cd1039764ae353e5f1c2e6b231ca3d547f4ba8a0cb9fb46b113e17e7"} +vulndb.fixedVersions {"time":"2026-07-30T12:08:11.438783+02:00"} +vulndb.directDependencyFixedVersion {"time":"2026-07-30T12:08:11.452035+02:00"} +leaderElection {"leaderId":"8711080b-5597-426a-a07a-8654c439097f","lastPing":1785408670} +\. + + +ALTER TABLE public.config ENABLE TRIGGER ALL; + +-- +-- Data for Name: cwes; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.cwes DISABLE TRIGGER ALL; + +COPY public.cwes (created_at, updated_at, cwe, description) FROM stdin; +\. + + +ALTER TABLE public.cwes ENABLE TRIGGER ALL; + +-- +-- Data for Name: dependency_proxy_secrets; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.dependency_proxy_secrets DISABLE TRIGGER ALL; + +COPY public.dependency_proxy_secrets (secret, asset_id, project_id, org_id) FROM stdin; +\. + + +ALTER TABLE public.dependency_proxy_secrets ENABLE TRIGGER ALL; + +-- +-- Data for Name: exploits; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.exploits DISABLE TRIGGER ALL; + +COPY public.exploits (id, published, updated, author, type, verified, source_url, description, cve_id, tags, forks, watchers, subscribers, stars, content_hash) FROM stdin; +exploitdb:48143 2020-02-20 2020-03-02 YDHCUI f https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi/blob/8bd38f4cf22331ecf4e48096a78c5931509c26be/CNVD-2020-10487-Tomcat-Ajp-lfi.py Apache Tomcat - AJP 'Ghostcat File Read/Inclusion CVE-2020-1938 0 0 0 0 1017766694220301853 +exploitdb:43904 2018-01-28 2018-01-28 Andrea Sindoni f Artifex MuJS 1.0.2 - Integer Overflow CVE-2018-5759 0 0 0 0 4092948620410002028 +exploitdb:47129 2019-07-16 2019-07-16 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/http/laravel_token_unserialize_exec.rb PHP Laravel Framework 5.5.40 / 5.6.x < 5.6.30 - token Unserialize Remote Command Execution (Metasploit) CVE-2018-15133 Metasploit Framework (MSF) 0 0 0 0 497450506001374706 +exploitdb:51111 2023-03-28 2023-03-28 Hosein Vita f X-Skipper-Proxy v0.13.237 - Server Side Request Forgery (SSRF) CVE-2022-38580 0 0 0 0 4563355986924216860 +exploitdb:45712 2018-10-29 2018-10-29 Adam Brown f Paramiko 2.4.1 - Authentication Bypass CVE-2018-7750 0 0 0 0 1686838995199838746 +exploitdb:52625 2026-07-07 2026-07-07 Diamorphine f MCPJam Inspector - Remote Code Execution CVE-2026-23744 0 0 0 0 4061155723236137719 +exploitdb:52350 2025-07-02 2025-07-02 Likhith Appalaneni f Moodle 4.4.0 - Authenticated Remote Code Execution CVE-2024-43425 0 0 0 0 8813751724694483125 +exploitdb:42611 2017-09-04 2017-09-04 mame t https://hackerone.com/reports/243156 RubyGems < 2.6.13 - Arbitrary File Overwrite CVE-2017-0901 0 0 0 0 6027545934166710285 +exploitdb:45883 2018-11-16 2018-12-11 Dawood Ansar f DomainMOD 4.11.01 - 'raid' Cross-Site Scripting CVE-2018-19136 Cross-Site Scripting (XSS) 0 0 0 0 8033556186932082710 +exploitdb:52352 2025-07-08 2025-07-08 Stratascale f Sudo chroot 1.9.17 - Local Privilege Escalation CVE-2025-32463 0 0 0 0 3285699504425976803 +exploitdb:41614 2017-03-15 2018-05-03 Metasploit t https://github.com/rapid7/metasploit-framework/blob/173633263853c7717caa658a9b98350b985cda02/modules/exploits/multi/http/struts2_content_type_ognl.rb Apache Struts 2.3.5 < 2.3.31 / 2.5 < 2.5.10 - 'Jakarta' Multipart Parser OGNL Injection (Metasploit) CVE-2017-5638 Metasploit Framework (MSF) 0 0 0 0 7751400307672988298 +exploitdb:50152 2021-07-26 2021-07-26 Joan Martinez f Elasticsearch ECE 7.13.3 - Anonymous Database Dump CVE-2021-22146 0 0 0 0 5074979069678319396 +exploitdb:46886 2019-05-21 2019-05-21 Simone Quatrini f https://www.pentestpartners.com/security-blog/pwning-wordpress-graphql/ WordPress Plugin WPGraphQL 0.2.3 - Multiple Vulnerabilities CVE-2019-9881 0 0 0 0 3852451003854244681 +exploitdb:43595 2018-01-15 2018-01-15 Florian Kunushevci t ILIAS < 5.2.4 - Cross-Site Scripting CVE-2018-5688 0 0 0 0 496651288765186924 +exploitdb:45108 2018-07-31 2018-08-09 0xB455 f Craft CMS SEOmatic plugin 3.1.4 - Server-Side Template Injection CVE-2018-14716 0 0 0 0 649812418035251564 +exploitdb:50383 2021-10-06 2022-02-11 Lucas Souza t Apache HTTP Server 2.4.49 - Path Traversal & Remote Code Execution (RCE) CVE-2021-41773 0 0 0 0 4508764246402333411 +exploitdb:43710 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1390 Microsoft Edge Chakra JIT - Incorrect Bounds Calculation CVE-2018-0769 Out Of Bounds 0 0 0 0 1541697024923789822 +exploitdb:40637 2016-10-27 2016-11-16 Xiphos Research Ltd f https://github.com/XiphosResearch/exploits/tree/master/Joomraa Joomla! 3.4.4 < 3.6.4 - Account Creation / Privilege Escalation CVE-2016-8869 0 0 0 0 3689834243415789225 +exploitdb:47502 2019-10-15 2021-12-17 Mohin Paramasivam f sudo 1.8.27 - Security Bypass CVE-2019-14287 0 0 0 0 8088669438663639797 +exploitdb:52193 2025-04-14 2025-04-14 maeitsec f Pimcore customer-data-framework 4.2.0 - SQL injection CVE-2024-11956 0 0 0 0 5341076007849213667 +exploitdb:44512 2018-04-24 2018-04-24 Wenming Jiang f Monstra CMS 3.0.4 - Arbitrary Folder Deletion CVE-2018-9038 0 0 0 0 1421301813013404243 +exploitdb:48388 2020-04-28 2020-04-28 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/windows/local/docker_credential_wincred.rb Docker-Credential-Wincred.exe - Privilege Escalation (Metasploit) CVE-2019-15752 Metasploit Framework (MSF) 0 0 0 0 7211254260313321753 +exploitdb:44599 2018-05-08 2018-05-09 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/222b1fb27c3be73cb9840d6efe5559646bc52781/modules/exploits/multi/http/playsms_filename_exec.rb PlaySMS 1.4 - 'sendfromfile.php?Filename' (Authenticated) 'Code Execution (Metasploit) CVE-2017-9080 Metasploit Framework (MSF) 0 0 0 0 5157218536736659275 +exploitdb:50118 2021-07-13 2021-07-13 Central InfoSec f Apache Tomcat 9.0.0.M1 - Open Redirect CVE-2018-11784 0 0 0 0 7583951894177440602 +exploitdb:47995 2020-02-04 2020-02-11 Joe Vennix f Sudo 1.8.25p - 'pwfeedback' Buffer Overflow (PoC) CVE-2019-18634 0 0 0 0 1919315914248142490 +exploitdb:44160 2018-02-22 2018-02-22 Ihsan Sencan f Joomla! Component PrayerCenter 3.0.2 - 'sessionid' SQL Injection CVE-2018-7314 0 0 0 0 7957784197886451510 +exploitdb:51003 2022-08-09 2022-08-09 Steffen Langenfeld f ThingsBoard 3.3.1 'name' - Stored Cross-Site Scripting (XSS) CVE-2021-42750 0 0 0 0 363174325288686379 +exploitdb:14268 2010-07-08 2010-07-08 Luigi Auriemma t Qt 4.6.3 - 'QSslSocketBackendPrivate::transmit()' Denial of Service CVE-2010-2621 0 0 0 0 4040525021522003040 +exploitdb:52491 2026-04-06 2026-04-06 Beatriz Fresno Naumova f Grafana 11.6.0 - SSRF CVE-2025-4123 0 0 0 0 7039579635775560121 +exploitdb:47340 2019-09-02 2019-09-02 Aetsu f Alkacon OpenCMS 10.5.x - Local File inclusion CVE-2019-13237 0 0 0 0 3513981978898864571 +exploitdb:48820 2020-09-21 2020-09-21 Noth f BlackCat CMS 1.3.6 - Cross-Site Request Forgery CVE-2020-25453 0 0 0 0 9214586766686953010 +exploitdb:46516 2019-01-11 2019-03-07 Harry Sintonen f https://gist.github.com/mehaase/63e45c17bdbbd59e8e68d02ec58f4ca2 OpenSSH SCP Client - Write Arbitrary Files CVE-2019-6111 0 0 0 0 5036489049320802758 +exploitdb:44694 2018-05-22 2018-05-22 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1531 Microsoft Edge Chakra JIT - Magic Value Type Confusion CVE-2018-0953 Type Confusion 0 0 0 0 489635255068200733 +exploitdb:52385 2025-07-28 2025-07-28 Kevin Dicks f Mezzanine CMS 6.1.0 - Stored Cross Site Scripting (XSS) CVE-2025-50481 0 0 0 0 5541263825163466160 +exploitdb:50532 2021-11-17 2021-11-17 Jacob Baines f GitLab 13.10.2 - Remote Code Execution (RCE) (Unauthenticated) CVE-2021-22205 0 0 0 0 7876357708417153186 +exploitdb:48144 2020-02-03 2020-02-27 Askar f https://github.com/mhaskar/CVE-2020-8813/blob/4877c2b2f378ce5937f56b259b69b02840514d4c/Cacti-postauth-rce.py Cacti 1.2.8 - Authenticated Remote Code Execution CVE-2020-8813 0 0 0 0 7903465312965379056 +exploitdb:45208 2018-08-16 2018-08-16 SEC Consult f Pimcore 5.2.3 - SQL Injection / Cross-Site Scripting / Cross-Site Request Forgery CVE-2018-14059 SQL Injection (SQLi) 0 0 0 0 224750770584665265 +exploitdb:49257 2020-12-14 2021-02-11 Fortunato Lodari f GitLab 11.4.7 - Remote Code Execution (Authenticated) (1) CVE-2018-19585 0 0 0 0 4736396752232828870 +exploitdb:43720 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1433 Microsoft Edge Chakra - 'AsmJSByteCodeGenerator::EmitCall' Out-of-Bounds Read CVE-2018-0780 Out Of Bounds 0 0 0 0 2477018515208231996 +exploitdb:46634 2019-04-02 2019-04-02 q3rv0 f LimeSurvey < 3.16 - Remote Code Execution CVE-2018-17057 0 0 0 0 1217800118016010347 +exploitdb:51244 2023-04-05 2023-04-05 Fu2x2000 f Liferay Portal 6.2.5 - Insecure Permissions CVE-2021-33990 0 0 0 0 4792949024822320591 +exploitdb:52205 2025-04-15 2025-04-15 Mohammed Idrees Banyamer f Pymatgen 2024.1 - Remote Code Execution (RCE) CVE-2024-23346 0 0 0 0 4954580285473142416 +exploitdb:50889 2022-04-26 2022-05-11 Greenwolf f GitLab 14.9 - Stored Cross-Site Scripting (XSS) CVE-2022-1175 0 0 0 0 1737780340350377479 +exploitdb:44439 2018-04-10 2018-11-17 taoge f WUZHI CMS 4.1.0 - Cross-Site Request Forgery (Add Admin) CVE-2018-9926 0 0 0 0 8795031457298360529 +exploitdb:43500 2016-07-03 2018-01-11 tintinweb f https://github.com/tintinweb/pub/tree/11f6ebda59ad878377df78351f8ab580660d0024/pocs/cve-2016-0772 Python smtplib 2.7.11 / 3.4.4 / 3.5.1 - Man In The Middle StartTLS Stripping CVE-2016-0772 0 0 0 0 125020719862775002 +exploitdb:41890 2017-04-16 2017-04-17 hyp3rlinx t Mantis Bug Tracker 1.3.0/2.3.0 - Password Reset CVE-2017-7615 0 0 0 0 3123534024131423393 +exploitdb:43054 2017-10-25 2017-10-25 Ishaq Mohammed f KeystoneJS 4.0.0-beta.5 - Cross-Site Scripting CVE-2017-15878 0 0 0 0 5451600921078249265 +exploitdb:46459 2019-02-25 2019-02-25 leonjza f Drupal < 8.6.9 - REST Module Remote Code Execution CVE-2019-6340 0 0 0 0 2737686611824855932 +exploitdb:40288 2016-08-22 2016-08-22 Yorick Koster t WordPress Core 4.5.3 - Directory Traversal / Denial of Service CVE-2016-6897 0 0 0 0 771688568543193894 +exploitdb:40678 2016-11-01 2017-01-30 Dawid Golunski f https://legalhackers.com/advisories/MySQL-Maria-Percona-PrivEscRace-CVE-2016-6663-5616-Exploit.html MySQL / MariaDB / PerconaDB 5.5.x/5.6.x/5.7.x - 'mysql' System User Privilege Escalation / Race Condition CVE-2016-6663 0 0 0 0 1930804548694703353 +exploitdb:49098 2020-11-24 2021-01-06 Hemant Patidar f OpenCart 3.0.3.6 - 'Profile Image' Stored Cross-Site Scripting (Authenticated) CVE-2020-29471 0 0 0 0 5322988004257280835 +exploitdb:51229 2023-04-03 2023-04-03 Nuri Çilengir f GLPI 4.0.2 - Unauthenticated Local File Inclusion on Manageentities plugin CVE-2022-34127 0 0 0 0 1457226032564190312 +exploitdb:46414 2019-02-18 2019-02-18 GeekHack f WordPress Plugin WooCommerce - GloBee (cryptocurrency) Payment Gateway 1.1.1 - Payment Bypass / Unauthorized Order Status Spoofing CVE-2018-20782 0 0 0 0 5571375351714031471 +exploitdb:48443 2020-05-10 2020-05-11 Nick Frichette f https://github.com/Frichetten/CVE-2020-11108-PoC/blob/3559713cfd9fb0c58d0d10c412b8e9c1f6c8eb75/root-cve-2020-11108-rce.py Pi-hole < 4.4 - Authenticated Remote Code Execution / Privileges Escalation CVE-2020-11108 0 0 0 0 2579611690001326251 +exploitdb:51059 2023-03-25 2023-06-22 Sarang Tumne t MODX Revolution v2.8.3-pl - Authenticated Remote Code Execution CVE-2022-26149 0 0 0 0 4596318131202335504 +exploitdb:46785 2019-05-02 2019-05-02 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/rails_double_tap.rb Ruby On Rails - DoubleTap Development Mode secret_key_base Remote Code Execution (Metasploit) CVE-2019-5420 Metasploit Framework (MSF) 0 0 0 0 1139074020376288311 +exploitdb:49918 2021-06-01 2021-06-01 g0ldm45k f LogonTracer 1.2.0 - Remote Code Execution (Unauthenticated) CVE-2018-16167 0 0 0 0 7839052047964711562 +exploitdb:51889 2024-03-14 2024-03-14 0xB455 f GitLab CE/EE < 16.7.2 - Password Reset CVE-2023-7028 0 0 0 0 264919007560288800 +exploitdb:40236 2016-08-15 2016-08-15 Kaimi f GitLab - 'impersonate' Feature Privilege Escalation CVE-2016-4340 0 0 0 0 791232212504819684 +exploitdb:44022 2018-02-10 2018-02-12 Mikhail Klementev f https://github.com/jollheef/libreoffice-remote-arbitrary-file-disclosure/tree/7eb75ff6662e50783824df97c34f6c7f58e71ce5 LibreOffice < 6.0.1 - '=WEBSERVICE' Remote Arbitrary File Disclosure CVE-2018-6871 0 0 0 0 2554554951830906298 +exploitdb:52288 2025-05-09 2025-05-09 Abdualhadi khalifa f Apache ActiveMQ 6.1.6 - Denial of Service (DOS) CVE-2025-27533 0 0 0 0 3414093513618106633 +exploitdb:42394 2017-07-30 2018-09-11 Janusz Piechówka t Jenkins < 1.650 - Java Deserialization CVE-2016-0792 0 0 0 0 8741073235564636805 +exploitdb:42183 2017-06-14 2017-06-20 Qualys Corporation f http://seclists.org/oss-sec/2017/q2/470 Sudo 1.8.20 - 'get_process_ttyname()' Local Privilege Escalation CVE-2017-1000367 0 0 0 0 4029191979685497057 +exploitdb:52531 2026-04-30 2026-04-30 velampudisakshi f Camaleon CMS v2.9.0 - Path Traversal CVE-2024-46987 0 0 0 0 6665872188716467308 +exploitdb:44403 2018-04-05 2018-04-05 Dhiraj Mishra f WebRTC - Private IP Leakage (Metasploit) CVE-2018-6849 0 0 0 0 7658585607662403433 +exploitdb:48421 2020-05-05 2021-02-23 Jasper Lievisse Adriaanse f Saltstack 3000.1 - Remote Code Execution CVE-2020-11652 0 0 0 0 911477922012279935 +exploitdb:46753 2019-04-25 2019-05-02 AkkuS t osTicket 1.11 - Cross-Site Scripting / Local File Inclusion CVE-2019-11537 Cross-Site Scripting (XSS) 0 0 0 0 8401761527004703460 +exploitdb:50826 2022-03-16 2022-03-16 Ashish Koli f Pluck CMS 4.7.16 - Remote Code Execution (RCE) (Authenticated) CVE-2022-26965 0 0 0 0 2157320331174232038 +exploitdb:49814 2021-04-30 2021-04-30 Fariskhi Vidyan f Moodle 3.6.1 - Persistent Cross-Site Scripting (XSS) CVE-2019-3810 0 0 0 0 8150689940421630780 +exploitdb:47386 2019-09-13 2019-09-13 SEC Consult t LimeSurvey 3.17.13 - Cross-Site Scripting CVE-2019-16173 Cross-Site Scripting (XSS) 0 0 0 0 1025471737866307886 +exploitdb:40979 2016-12-30 2016-12-30 Dawid Golunski f Zend Framework / zend-mail < 2.4.11 - Remote Code Execution CVE-2016-10034 0 0 0 0 482937452519322080 +exploitdb:51608 2023-07-20 2023-07-20 Emir Polat f pfSense v2.7.0 - OS Command Injection CVE-2023-27253 0 0 0 0 8960101156842318304 +exploitdb:52582 2026-05-27 2026-05-27 joshua f scramble - Remote Code Execution CVE-2026-44262 0 0 0 0 6909179133712239041 +exploitdb:44144 2018-02-19 2018-02-19 Samrat Das f October CMS < 1.0.431 - Cross-Site Scripting CVE-2018-7198 0 0 0 0 167974724747830168 +exploitdb:41157 2017-01-20 2018-07-18 Charles Fol f https://www.ambionics.io/blog/cve-2016-9838-joomla-account-takeover-and-remote-code-execution Joomla! < 3.6.4 - Admin Takeover CVE-2016-9838 0 0 0 0 7159989677098981832 +exploitdb:52485 2026-03-03 2026-03-03 alvarez f mailcow 2025-01a - Host Header Password Reset Poisoning CVE-2025-25198 0 0 0 0 3057099431123933486 +exploitdb:46710 2019-04-16 2019-04-16 Haboob Team f Joomla! Core 1.5.0 - 3.9.4 - Directory Traversal / Authenticated Arbitrary File Deletion CVE-2019-10945 Traversal 0 0 0 0 6464949033613702142 +exploitdb:40084 2016-07-11 2016-07-11 Egidio Romano f IPS Community Suite 4.1.12.3 - PHP Code Injection CVE-2016-6174 0 0 0 0 6015931111800274906 +exploitdb:39821 2016-05-16 2016-05-16 Narendra Bhati t Web2py 2.14.5 - Multiple Vulnerabilities CVE-2016-4808 0 0 0 0 639842059165919559 +exploitdb:51009 2022-09-15 2023-08-02 samguy t Gitea 1.16.6 - Remote Code Execution (RCE) (Metasploit) CVE-2022-30781 0 0 0 0 547263490761863144 +exploitdb:42944 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14494.py Dnsmasq < 2.78 - Information Leak CVE-2017-14494 0 0 0 0 7442836715182390007 +exploitdb:50592 2021-12-14 2021-12-15 kozmer f Apache Log4j 2 - Remote Code Execution (RCE) CVE-2021-44228 0 0 0 0 5030874970101850250 +exploitdb:50792 2022-02-28 2022-02-28 Mayank Deshmukh f Casdoor 1.13.0 - SQL Injection (Unauthenticated) CVE-2022-24124 0 0 0 0 2517384256629253611 +exploitdb:52499 2026-04-08 2026-04-08 Mohammed Idrees Banyamer f SQLite 3.50.1 - Heap Overflow CVE-2025-6965 0 0 0 0 4404482934526321259 +exploitdb:48906 2020-10-19 2020-10-19 Rodolfo Tavares f Typesetter CMS 5.1 - Arbitrary Code Execution (Authenticated) CVE-2020-25790 0 0 0 0 4340074246971781714 +exploitdb:42942 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14492.py Dnsmasq < 2.78 - Heap Overflow CVE-2017-14492 0 0 0 0 2225550587945781726 +exploitdb:51891 2024-03-14 2024-03-14 DEFCESCO f KiTTY 0.76.1.13 - 'Start Duplicated Session Username' Buffer Overflow CVE-2024-25004 0 0 0 0 8290710348758332000 +exploitdb:49771 2021-04-15 2021-04-15 Akash Chathoth f Tileserver-gl 3.0.0 - 'key' Reflected Cross-Site Scripting (XSS) CVE-2020-15500 0 0 0 0 3414571761780737464 +exploitdb:44617 2018-05-13 2018-05-13 jiguang f WUZHI CMS 4.1.0 - 'form[qq_10]' Cross-Site Scripting CVE-2018-10313 0 0 0 0 8540839250837011154 +exploitdb:45714 2018-10-29 2018-11-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1687 systemd - 'reexec' State Injection CVE-2018-15686 0 0 0 0 5258618110004733011 +exploitdb:46362 2019-02-13 2019-02-13 Chris Moberly f https://github.com/initstring/dirty_sock/blob/6d7515eba1e045276770aa0c781e9b33f039b497/dirty_sockv2.py snapd < 2.37 (Ubuntu) - 'dirty_sock' Local Privilege Escalation (2) CVE-2019-7304 Local 0 0 0 0 632071483023060343 +exploitdb:39493 2016-02-24 2016-02-24 Google Security Research t https://code.google.com/p/google-security-research/issues/detail?id=639 libxml2 - xmlParserPrintFileContextInternal Heap Buffer Overread CVE-2016-1838 0 0 0 0 1792365086986093304 +exploitdb:51058 2023-03-25 2023-06-23 Sarang Tumne t Abantecart v1.3.2 - Authenticated Remote Code Execution CVE-2022-26521 0 0 0 0 1133869483696198077 +exploitdb:45271 2018-08-27 2018-08-27 Simon Uvarov t Responsive FileManager < 9.13.4 - Directory Traversal CVE-2018-15536 Traversal 0 0 0 0 9092678230723572891 +exploitdb:39838 2016-05-18 2016-10-10 agix t Magento < 2.0.6 - Arbitrary Unserialize / Arbitrary Write File CVE-2016-4010 0 0 0 0 2613824562254888521 +exploitdb:52282 2025-05-06 2025-05-06 Sn1p3r-H4ck3r f Grokability Snipe-IT 8.0.4 - Insecure Direct Object Reference (IDOR) CVE-2025-47226 0 0 0 0 9209808087927692299 +exploitdb:40969 2016-12-27 2016-12-28 Dawid Golunski f https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass.html PHPMailer < 5.2.20 - Remote Code Execution CVE-2016-10045 0 0 0 0 3876773640540604506 +exploitdb:47792 2019-12-18 2019-12-18 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/openmrs_deserialization.rb OpenMRS - Java Deserialization RCE (Metasploit) CVE-2018-19276 Metasploit Framework (MSF) 0 0 0 0 7235970923040510094 +exploitdb:40154 2016-07-25 2016-07-25 kmkz t PHP gettext 1.0.12 - 'gettext.php' Code Execution CVE-2016-6175 0 0 0 0 3171223234693037414 +exploitdb:46376 2019-02-14 2019-02-14 Mohammed Abdul Kareem t DomainMOD 4.11.01 - 'assets/edit/host.php?whid=5' Cross-Site Scripting CVE-2018-19915 Cross-Site Scripting (XSS) 0 0 0 0 3394339632076615857 +exploitdb:52455 2025-12-03 2025-12-03 CodeSecLab f phpMyFaq 2.9.8 - Cross Site Request Forgery (CSRF) CVE-2017-15808 0 0 0 0 3136787117179603987 +exploitdb:44783 2018-05-28 2018-05-28 longer f DomainMod 4.09.03 - 'sslpaid' Cross-Site Scripting CVE-2018-11404 0 0 0 0 5128675619962494397 +exploitdb:52273 2025-04-22 2025-04-22 Milad karimi f Firefox ESR 115.11 - PDF.js Arbitrary JavaScript execution CVE-2024-4367 0 0 0 0 1340780858740527464 +exploitdb:52190 2025-04-11 2025-04-11 Jordan Sharp f qBittorrent 5.0.1 - MITM RCE CVE-2024-51774 0 0 0 0 8018380811825003916 +exploitdb:52448 2025-12-03 2025-12-03 CodeSecLab f PluckCMS 4.7.10 - Unrestricted File Upload CVE-2020-20969 0 0 0 0 4850285114402360250 +exploitdb:52492 2026-04-06 2026-04-06 Mohammed Idrees Banyamer f ASP.net 8.0.10 - Bypass CVE-2025-55315 0 0 0 0 6984994462745824277 +exploitdb:47298 2019-08-21 2019-08-21 LoadLow f LibreOffice < 6.2.6 Macro - Python Code Execution (Metasploit) CVE-2019-9851 0 0 0 0 8668233726271139788 +exploitdb:49451 2021-01-21 2021-01-21 Ninad Mishra f Anchor CMS 0.12.7 - CSRF (Delete user) CVE-2020-23342 0 0 0 0 988899623706098255 +exploitdb:49943 2021-06-03 2021-06-03 Piyush Patil f FUDForum 3.1.0 - 'author' Reflected XSS CVE-2021-27520 0 0 0 0 5465036912510052428 +exploitdb:45272 2018-08-27 2018-08-27 Matt Austin t https://github.com/matt-/CVE-2018-15685 Electron WebPreferences - Remote Code Execution CVE-2018-15685 0 0 0 0 5071515693073499162 +exploitdb:43935 2018-01-29 2018-01-31 Michael Orlitzky f http://seclists.org/oss-sec/2018/q1/115 systemd (systemd-tmpfiles) < 236 - 'fs.protected_hardlinks=0' Local Privilege Escalation CVE-2017-18078 0 0 0 0 1229720379270152309 +exploitdb:48491 2020-05-19 2020-05-19 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/http/pihole_blocklist_exec.rb Pi-Hole - heisenbergCompensator Blocklist OS Command Execution (Metasploit) CVE-2020-11108 Metasploit Framework (MSF) 0 0 0 0 1212010137561140237 +exploitdb:44653 2018-05-18 2018-05-18 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1530 Microsoft Edge Chakra JIT - Bound Check Elimination Bug CVE-2018-0980 0 0 0 0 1925295256387225584 +exploitdb:51014 2022-09-20 2022-09-20 p1ckzi f Blink1Control2 2.2.7 - Weak Password Encryption CVE-2022-35513 0 0 0 0 892963606968925200 +exploitdb:48727 2020-08-04 2020-08-04 Luis Vacacas f Pi-hole 4.3.2 - Remote Code Execution (Authenticated) CVE-2020-8816 0 0 0 0 4061529889876258601 +exploitdb:52534 2026-04-30 2026-04-30 banyamer f NiceGUI 3.6.1 - Path Traversal CVE-2026-25732 0 0 0 0 5367387528604990134 +exploitdb:52380 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via the Chat Transfer Function CVE-2025-51401 0 0 0 0 2896684723216641163 +exploitdb:48568 2020-06-09 2020-06-09 Luis Vacacas f Bludit 3.9.12 - Directory Traversal CVE-2019-16113 0 0 0 0 613748238125882778 +exploitdb:50947 2022-06-03 2022-06-03 Manojkumar J f Microweber CMS 1.2.15 - Account Takeover CVE-2022-1631 0 0 0 0 4752417258406184316 +exploitdb:52526 2026-04-29 2026-04-29 banyamer f HAX CMS 24.x - Stored Cross-Site Scripting (XSS) CVE-2026-22704 0 0 0 0 835872268836430232 +exploitdb:44396 2018-04-03 2018-04-04 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1502&desc=2 Microsoft Edge Chakra JIT - Stack-to-Heap Copy (Incomplete Fix) (1) CVE-2018-0934 0 0 0 0 8433870073881608589 +exploitdb:27802 2006-05-03 2013-08-23 Konstantin V. Gavrilenko t https://www.securityfocus.com/bid/17808/info Quagga Routing Software Suite 0.9x - RIPd RIPv1 RESPONSE Packet Route Injection CVE-2006-2224 0 0 0 0 3519337195481870372 +exploitdb:44437 2018-04-10 2018-04-11 Stefan Broeder f WordPress Plugin Activity Log 2.4.0 - Stored Cross-Site Scripting CVE-2018-8729 0 0 0 0 2744556264602423750 +exploitdb:49099 2020-11-24 2021-01-06 Hemant Patidar f OpenCart 3.0.3.6 - 'subject' Stored Cross-Site Scripting CVE-2020-29470 0 0 0 0 3692879775953677251 +exploitdb:47226 2019-08-12 2019-08-12 Aishwarya Iyer t osTicket 1.12 - Persistent Cross-Site Scripting CVE-2019-14750 Cross-Site Scripting (XSS) 0 0 0 0 2043207898984629289 +exploitdb:44289 2018-03-15 2018-03-16 Antonio Francesco Sardella f https://github.com/m3ssap0/spring-break_cve-2017-8046 Spring Data REST < 2.6.9 (Ingalls SR9) / 3.0.1 (Kay SR1) - PATCH Request Remote Code Execution CVE-2017-8046 0 0 0 0 4367125735251838231 +exploitdb:52134 2025-04-07 2025-04-07 Al Baradi Joy f Apache Tomcat 11.0.3 - Remote Code Execution CVE-2025-24813 0 0 0 0 1329413079232481762 +exploitdb:46677 2019-02-27 2019-04-09 cfreal f https://github.com/cfreal/exploits/blob/1a671d1d8510e93a0b2607261e9b779562585fe2/CVE-2019-6977-imagecolormatch/exploit.php PHP 7.2 - 'imagecolormatch()' Out of Band Heap Write CVE-2019-6977 0 0 0 0 680516952765360887 +exploitdb:45019 2018-07-13 2018-07-13 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/c9001699cd3a32e907262ce2816aaf91ae5ffd17/modules/exploits/linux/http/apache_couchdb_cmd_exec.rb Apache CouchDB - Arbitrary Command Execution (Metasploit) CVE-2017-12636 Metasploit Framework (MSF) 0 0 0 0 5256890852783819040 +exploitdb:52458 2025-12-03 2025-12-03 CodeSecLab f phpMyFAQ 2.9.8 - Cross-Site Request Forgery (CSRF) CVE-2017-15735 0 0 0 0 4392277352961272465 +exploitdb:50570 2021-12-06 2022-03-11 Deha Berkin Bir f Croogo 3.0.2 - Remote Code Execution (Authenticated) CVE-2021-44673 0 0 0 0 5217144210158238153 +exploitdb:50017 2021-06-16 2021-10-28 Ron Jost f OpenEMR 5.0.1.3 - Authentication Bypass CVE-2018-15152 0 0 0 0 7071618870911169964 +exploitdb:46526 2019-03-11 2019-04-22 AkkuS f OpenKM 6.3.2 < 6.3.7 - Remote Command Execution (Metasploit) CVE-2019-11445 Metasploit Framework (MSF) 0 0 0 0 4149256834533757539 +exploitdb:52409 2025-08-11 2025-08-11 İbrahimsql f Ghost CMS 5.59.1 - Arbitrary File Read CVE-2023-40028 0 0 0 0 843112968532345414 +exploitdb:44416 2018-04-06 2018-06-08 ppb t Cobub Razor 0.7.2 - Cross-Site Request Forgery CVE-2018-7746 0 0 0 0 6254266825434823433 +exploitdb:44925 2018-06-22 2018-06-22 Fakhri Zulkifli f QEMU Guest Agent 2.12.50 - Denial of Service CVE-2018-12617 Denial of Service (DoS) 0 0 0 0 4346544046702625979 +exploitdb:51509 2023-06-09 2023-06-09 Galoget Latorre f Thruk Monitoring Web Interface 3.06 - Path Traversal CVE-2023-34096 0 0 0 0 3538444995493512742 +exploitdb:46379 2019-02-14 2019-02-14 0xB9 f LayerBB 1.1.2 - Cross-Site Request Forgery (Add Admin) CVE-2018-17996 Cross-Site Request Forgery (CSRF) 0 0 0 0 9195941214890241513 +exploitdb:42043 2017-05-20 2017-05-21 hyp3rlinx f Mantis Bug Tracker 1.3.10/2.3.0 - Cross-Site Request Forgery CVE-2017-7620 0 0 0 0 3286303355837095895 +exploitdb:43106 2017-11-01 2017-11-01 Zain Sabahat f OctoberCMS 1.0.426 (Build 426) - Cross-Site Request Forgery CVE-2017-16244 0 0 0 0 515938488525193367 +exploitdb:42945 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14495.py Dnsmasq < 2.78 - Lack of free() Denial of Service CVE-2017-14495 0 0 0 0 5010551575098310465 +exploitdb:50651 2022-01-10 2022-01-10 Dominic Clark f Open-AudIT Community 4.2.0 - Cross-Site Scripting (XSS) (Authenticated) CVE-2021-44916 0 0 0 0 2420763994595959793 +exploitdb:51013 2022-09-20 2023-08-02 Akshay Ravi t Bookwyrm v0.4.3 - Authentication Bypass CVE-2022-2651 0 0 0 0 724579904557663087 +exploitdb:50973 2022-07-11 2022-07-11 Mohammed Alshehri f Nginx 1.20.0 - Denial of Service (DOS) CVE-2021-23017 0 0 0 0 3417106563232395769 +exploitdb:42121 2017-06-05 2017-06-05 hyp3rlinx f BIND 9.10.5 - Unquoted Service Path Privilege Escalation CVE-2017-3141 0 0 0 0 1387247568740863337 +exploitdb:45967 2018-12-11 2018-12-12 Mohammed Abdul Raheem f DomainMOD 4.11.01 - Cross-Site Scripting CVE-2018-19913 Cross-Site Scripting (XSS) 0 0 0 0 821611572036330894 +exploitdb:44889 2018-06-13 2018-06-13 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/29f4870fa0f916e31300d1bc78aeabeb297c667f/modules/exploits/linux/local/glibc_realpath_priv_esc.rb glibc - 'realpath()' Privilege Escalation (Metasploit) CVE-2018-1000001 Metasploit Framework (MSF) 0 0 0 0 7644777573239442467 +exploitdb:47770 2019-12-11 2019-12-11 Compass Security f Apache Olingo OData 4.0 - XML External Entity Injection CVE-2019-17554 XML External Entity (XXE) 0 0 0 0 854765461038738803 +exploitdb:46050 2018-11-30 2018-12-24 Alex Leahu f https://www.bishopfox.com/news/2018/11/phpspreadsheet/ PhpSpreadsheet < 1.5.0 - XML External Entity (XXE) CVE-2018-19277 0 0 0 0 2472735310727422134 +exploitdb:44075 2018-02-15 2018-02-15 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1434 Microsoft Edge Chakra JIT - 'GlobOpt::OptTagChecks' Must Consider IsLoopPrePass Properly (2) CVE-2018-0770 0 0 0 0 5418053343054585876 +exploitdb:47225 2019-08-12 2019-08-12 Aishwarya Iyer t osTicket 1.12 - Formula Injection CVE-2019-14749 0 0 0 0 7113064753286529173 +exploitdb:45213 2018-08-17 2018-08-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1565 Microsoft Edge Chakra JIT - ImplicitCallFlags Check Bypass with Intl CVE-2018-8288 0 0 0 0 199846726659147587 +exploitdb:45941 2018-12-04 2018-12-04 Mohammed Abdul Raheem f DomainMOD 4.11.01 - Owner name Field Cross-Site Scripting CVE-2018-19749 Cross-Site Scripting (XSS) 0 0 0 0 1133230238560172361 +exploitdb:49164 2020-12-02 2021-01-06 Hemant Patidar f WonderCMS 3.1.3 - 'Menu' Persistent Cross-Site Scripting CVE-2020-29469 0 0 0 0 860636167368792858 +exploitdb:51228 2023-04-03 2023-04-03 Nuri Çilengir f Roxy WI v6.1.1.0 - Unauthenticated Remote Code Execution (RCE) via ssl_cert Upload CVE-2022-31161 0 0 0 0 905603217029405676 +exploitdb:40909 2016-12-12 2016-12-14 Jungun Baek f Apache 2.4.23 mod_http2 - Denial of Service CVE-2016-8740 0 0 0 0 2559041179024100476 +exploitdb:46510 2019-03-07 2019-03-07 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/6ff18828c0273b7170469939a49e4b063d561799/modules/exploits/unix/webapp/drupal_restws_unserialize.rb Drupal < 8.5.11 / < 8.6.10 - RESTful Web Services unserialize() Remote Command Execution (Metasploit) CVE-2019-6340 Metasploit Framework (MSF) 0 0 0 0 716478167518451900 +exploitdb:33047 2009-05-19 2014-04-27 Gareth Hayes t https://www.securityfocus.com/bid/35441/info WebKit - 'parent/top' Cross Domain Scripting CVE-2009-1724 0 0 0 0 5920796416470529769 +exploitdb:47879 2019-12-24 2020-04-13 Ryuji Tsutsui t https://ryu22e.org/en/posts/2019/12/25/django-cve-2019-19844/ Django < 3.0 < 2.2 < 1.11 - Account Hijack CVE-2019-19844 0 0 0 0 7574420622451896904 +exploitdb:50238 2021-08-30 2021-08-30 David Utón f Strapi 3.0.0-beta.17.7 - Remote Code Execution (RCE) (Authenticated) CVE-2019-19609 0 0 0 0 8732886843644898119 +exploitdb:47163 2019-07-24 2019-07-26 bcoles f https://github.com/bcoles/kernel-exploits/blob/a0b44c8c987bb33ab6535415cac3a4a9df09106e/CVE-2019-13272/poc.c Linux Kernel 4.10 < 5.1.17 - 'PTRACE_TRACEME' pkexec Local Privilege Escalation CVE-2019-13272 0 0 0 0 2457950938562750042 +exploitdb:50262 2021-09-06 2021-09-06 Mason Soroka-Gill f FlatCore CMS 2.0.7 - Remote Code Execution (RCE) (Authenticated) CVE-2021-39608 0 0 0 0 3610463289323156624 +exploitdb:50237 2021-08-30 2021-08-30 David Anglada f Strapi 3.0.0-beta - Set Password (Unauthenticated) CVE-2019-18818 0 0 0 0 4184725812675292792 +exploitdb:45011 2018-07-12 2018-07-12 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1563 Microsoft Edge Chakra JIT - Out-of-Bounds Reads/Writes CVE-2018-8145 Denial of Service (DoS) 0 0 0 0 7824980653010838766 +exploitdb:41954 2017-05-01 2017-09-18 Rodrigo Marcos t https://github.com/SECFORCE/CVE-2017-3599/blob/575707b35ab6b18fe87577392fc45b036f46e217/cve-2017-3599_poc.py MySQL < 5.6.35 / < 5.7.17 - Integer Overflow CVE-2017-3599 Denial of Service (DoS) 0 0 0 0 1294853475080309560 +exploitdb:44904 2018-06-18 2018-06-19 Fakhri Zulkifli f Redis-cli < 5.0 - Buffer Overflow (PoC) CVE-2018-12326 Denial of Service (DoS) 0 0 0 0 6118500984363260283 +exploitdb:51249 2023-04-05 2023-04-05 Etienne Lacoche f Binwalk v2.3.2 - Remote Command Execution (RCE) CVE-2022-4510 0 0 0 0 6327716470691660785 +exploitdb:51477 2023-05-23 2023-05-23 Rahad Chowdhury f ChurchCRM v4.5.4 - Reflected XSS via Image (Authenticated) CVE-2023-31699 0 0 0 0 89886793104309565 +exploitdb:51976 2024-04-12 2024-04-12 Jenson Zhao f MinIO < 2024-01-31T20-20-33Z - Privilege Escalation CVE-2024-24747 0 0 0 0 1905181014829086521 +exploitdb:51230 2023-04-03 2023-04-03 Nuri Çilengir f GLPI Glpiinventory v1.0.1 - Unauthenticated Local File Inclusion CVE-2022-31062 0 0 0 0 6550749448224979844 +exploitdb:52142 2025-04-08 2025-04-08 Andrea Pasin f InfluxDB OSS 2.7.11 - Operator Token Privilege Escalation CVE-2024-30896 0 0 0 0 4298333459932807741 +exploitdb:47000 2019-06-17 2019-06-17 Riemann f Spring Security OAuth - Open Redirector CVE-2019-3778 0 0 0 0 3447360272329914876 +exploitdb:52339 2025-06-26 2025-06-26 Mohammed Idrees Banyamer f PX4 Military UAV Autopilot 1.12.3 - Denial of Service (DoS) CVE-2025-5640 0 0 0 0 7175199153144740447 +exploitdb:42935 2017-10-02 2017-10-02 Sysdream f phpCollab 2.5.1 - SQL Injection CVE-2017-6089 0 0 0 0 6095589161340817582 +exploitdb:52241 2025-04-16 2025-04-16 ub3rsick f Ethercreative Logs 3.0.3 - Path Traversal CVE-2022-23409 0 0 0 0 2112608314553636092 +exploitdb:43194 2017-11-29 2017-11-29 Eric Blake t https://lists.gnu.org/archive/html/qemu-devel/2017-11/msg05045.html QEMU - NBD Server Long Export Name Stack Buffer Overflow CVE-2017-15118 Buffer Overflow 0 0 0 0 659093361664447391 +exploitdb:46375 2019-02-14 2019-02-16 Mohammed Abdul Kareem t https://github.com/domainmod/domainmod/issues/87 DomainMOD 4.11.01 - 'assets/add/dns.php' Cross-Site Scripting CVE-2018-19914 Cross-Site Scripting (XSS) 0 0 0 0 3257651233931435631 +exploitdb:51346 2023-04-08 2023-04-08 Betul Denizler f X2CRM v6.6/6.9 - Reflected Cross-Site Scripting (XSS) (Authenticated) CVE-2022-48177 0 0 0 0 4741121466733405920 +exploitdb:42024 2017-05-17 2017-05-17 Metasploit t https://github.com/rapid7/metasploit-framework/blob/1f4ff30adb09c836dc9cb5f2c2024a244cebd08d/modules/exploits/unix/webapp/wp_phpmailer_host_header.rb WordPress Plugin PHPMailer 4.6 - Host Header Command Injection (Metasploit) CVE-2016-10033 Metasploit Framework (MSF) 0 0 0 0 8836154026251706721 +exploitdb:45548 2018-10-05 2018-10-17 Junio C Hamano f https://marc.info/?l=git&m=153875888916397&w=2 Git Submodule - Arbitrary Code Execution (PoC) CVE-2018-17456 0 0 0 0 8721979557061961613 +exploitdb:52456 2025-12-03 2025-12-03 Wafcontrol Security Team f Django 5.1.13 - SQL Injection CVE-2025-64459 0 0 0 0 5486870758766037527 +exploitdb:43852 2018-01-21 2018-01-21 A. Pakbaz f PHPFreeChat 1.7 - Denial of Service CVE-2018-5954 0 0 0 0 4036777384791753152 +exploitdb:49799 2021-04-23 2021-04-23 nu11secur1ty f DzzOffice 2.02.1 - 'Multiple' Cross-Site Scripting (XSS) CVE-2021-3318 0 0 0 0 6365053823931055191 +exploitdb:45260 2018-08-26 2018-08-27 Mazin Ahmed f https://github.com/mazen160/struts-pwn_CVE-2018-11776/blob/ffaefa75242315913a8f695b6d5eab8b6143794d/struts-pwn.py Apache Struts 2.3 < 2.3.34 / 2.5 < 2.5.16 - Remote Code Execution (1) CVE-2018-11776 Remote 0 0 0 0 6656275690265573553 +exploitdb:43491 2018-01-10 2018-01-10 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1380 Microsoft Edge Chakra JIT - 'Lowerer::LowerSetConcatStrMultiItem' Missing Integer Overflow Check CVE-2018-0758 0 0 0 0 2922665728085708734 +exploitdb:47293 2019-08-19 2019-08-19 Fernando A. Lagos B f Webmin 1.920 - Remote Code Execution CVE-2019-15107 0 0 0 0 5386384669904480307 +exploitdb:51726 2023-10-09 2023-10-09 Brian Peters f GLPI GZIP(Py3) 9.4.5 - RCE CVE-2020-11060 0 0 0 0 4799910216582752675 +exploitdb:46373 2019-02-14 2019-02-14 Mohammed Abdul Raheem t https://github.com/domainmod/domainmod/issues/88 DomainMOD 4.11.01 - 'ssl-accounts.php username' Cross-Site Scripting CVE-2018-20010 Cross-Site Scripting (XSS) 0 0 0 0 14098137943461880 +exploitdb:51705 2023-09-04 2023-09-04 kv1to f AdminLTE PiHole 5.18 - Broken Access Control CVE-2022-23513 0 0 0 0 3674028854236794573 +exploitdb:52627 2026-07-08 2026-07-08 Diamorphine f Langflow 1.9.0 - RCE CVE-2026-33017 0 0 0 0 8800424794574828797 +exploitdb:52327 2025-06-15 2025-06-15 /bin/neko f Anchor CMS 0.12.7 - Stored Cross Site Scripting (XSS) CVE-2025-46041 0 0 0 0 2134071884525749530 +exploitdb:52105 2025-03-29 2025-03-29 Mehran Seifalinia f XWiki Standard 14.10 - Remote Code Execution (RCE) CVE-2023-48292 0 0 0 0 3618029113214449983 +exploitdb:46353 2019-02-12 2019-02-12 Dustin Cobb t BlogEngine.NET 3.3.6 - Directory Traversal / Remote Code Execution CVE-2019-6714 Traversal 0 0 0 0 7466428549421602112 +exploitdb:50079 2021-07-02 2021-10-29 Stig Magnus Baugstø f Scratch Desktop 3.17 - Remote Code Execution CVE-2020-7750 0 0 0 0 701381687126981632 +exploitdb:44994 2018-07-09 2020-06-18 t4rkd3vilz f Tor Browser < 0.3.2.10 - Use After Free (PoC) CVE-2018-0491 Use After Free (UAF) 0 0 0 0 478828905205706570 +exploitdb:39767 2016-05-04 2018-04-29 Nikolay Ermishkin f ImageMagick 7.0.1-0 / 6.9.3-9 - 'ImageTragick ' Multiple Vulnerabilities CVE-2016-3718 0 0 0 0 3638958522897126812 +exploitdb:42762 2017-09-21 2017-09-22 Marcin Kozlowski f Linux Kernel < 4.13.1 - BlueTooth Buffer Overflow (PoC) CVE-2017-1000251 0 0 0 0 1376598306167182161 +exploitdb:46970 2019-06-05 2019-06-05 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/librenms_addhost_cmd_inject.rb LibreNMS - addhost Command Injection (Metasploit) CVE-2018-20434 Metasploit Framework (MSF) 0 0 0 0 7565812022603282482 +exploitdb:49614 2021-03-04 2021-03-04 Tadjmen f e107 CMS 2.3.0 - CSRF CVE-2021-27885 0 0 0 0 4987378205014004531 +exploitdb:40888 2016-12-07 2016-12-07 SecPod Research f OpenSSH 7.2 - Denial of Service CVE-2016-6515 0 0 0 0 3356725749803733404 +exploitdb:52514 2026-04-29 2026-04-29 banyamer f LangChain Core 1.2.4 - SSTI/RCE CVE-2025-68664 0 0 0 0 6676430119400882144 +exploitdb:49340 2021-01-04 2021-01-04 EthicalHCOP f Mantis Bug Tracker 2.24.3 - 'access' SQL Injection CVE-2020-28413 0 0 0 0 9009549196702575078 +exploitdb:47469 2019-10-07 2019-10-07 Creatigon f Subrion 4.2.1 - 'Email' Persistant Cross-Site Scripting CVE-2019-17225 0 0 0 0 847472640942056324 +exploitdb:52375 2025-07-22 2025-07-22 İbrahimsql f Discourse 3.1.1 - Unauthenticated Chat Message Access CVE-2023-45131 0 0 0 0 3679498923432526599 +exploitdb:47749 2019-12-06 2019-12-06 Jinny Ramsmark f Verot 2.0.3 - Remote Code Execution CVE-2019-19576 0 0 0 0 1747800809436759840 +exploitdb:46453 2019-02-25 2019-02-25 wetw0rk f Jenkins Plugin Script Security 1.49/Declarative 1.3.4/Groovy 2.60 - Remote Code Execution CVE-2019-1003000 0 0 0 0 8451123242915295496 +exploitdb:52199 2025-04-14 2025-04-14 James Nicoll f SilverStripe 5.3.8 - Stored Cross Site Scripting (XSS) (Authenticated) CVE-2024-47605 0 0 0 0 6509082521861845631 +exploitdb:47208 2019-08-05 2019-08-05 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/windows/http/apache_tika_jp2_jscript.rb Apache Tika 1.15 - 1.17 - Header Command Injection (Metasploit) CVE-2018-1335 Metasploit Framework (MSF) 0 0 0 0 5229358255381747914 +exploitdb:47376 2019-09-10 2019-09-10 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/october_upload_bypass_exec.rb October CMS - Upload Protection Bypass Code Execution (Metasploit) CVE-2017-1000119 Metasploit Framework (MSF) 0 0 0 0 842233987413880828 +exploitdb:52500 2026-04-08 2026-04-08 complexusprada f xibocms 3.3.4 - RCE CVE-2023-33177 0 0 0 0 3777658432872873887 +exploitdb:48134 2020-02-25 2020-02-25 GeekHack f WordPress Plugin WooCommerce CardGate Payment Gateway 3.1.15 - Payment Process Bypass CVE-2020-8819 0 0 0 0 6761946655871553998 +exploitdb:40968 2016-12-26 2020-03-23 Dawid Golunski t https://github.com/opsxcq/exploit-CVE-2016-10033/commit/1f6642cf116ecb6b6b96b5ec966915d5100adfe3 PHPMailer < 5.2.18 - Remote Code Execution CVE-2016-10033 0 0 0 0 3107518672719434085 +exploitdb:52442 2025-12-02 2025-12-02 CodeSecLab f phpIPAM 1.6 - Reflected-Cross-Site Scripting (XSS) CVE-2024-41357 0 0 0 0 8981069974651450090 +exploitdb:42987 2017-10-13 2017-11-17 Ishaq Mohammed f phpMyFAQ 2.9.8 - Cross-Site Scripting (2) CVE-2017-14619 0 0 0 0 1349232456808158210 +exploitdb:51417 2023-05-02 2023-05-02 Lucas Noki (0xPrototype) f Companymaps v8.0 - Stored Cross Site Scripting (XSS) CVE-2023-29983 0 0 0 0 1320130807609178484 +exploitdb:46327 2019-02-05 2019-02-05 Bishop Fox f https://www.bishopfox.com/news/2019/02/openmrs-insecure-object-deserialization/ OpenMRS Platform < 2.24.0 - Insecure Object Deserialization CVE-2018-19276 Deserialization 0 0 0 0 596940855329025885 +exploitdb:42124 2017-06-05 2017-06-06 OSS-Fuzz t https://bugs.wireshark.org/bugzilla/show_bug.cgi?id=13637 Wireshark 2.2.0 < 2.2.12 - ROS Dissector Denial of Service CVE-2017-9347 Denial of Service (DoS) 0 0 0 0 6482732437373882304 +exploitdb:49901 2021-05-24 2021-05-27 Marek Toth f Shopizer 2.16.0 - 'Multiple' Cross-Site Scripting (XSS) CVE-2021-33561 0 0 0 0 3503163559661772724 +exploitdb:42060 2017-05-24 2017-07-04 steelo t Samba 3.5.0 - Remote Code Execution CVE-2017-7494 0 0 0 0 2007260046567482025 +exploitdb:52136 2025-04-07 2025-04-07 Al Baradi Joy f XWiki Platform 15.10.10 - Remote Code Execution CVE-2025-24893 0 0 0 0 5056950737238993103 +exploitdb:50478 2021-11-03 2021-11-03 Mayank Deshmukh f Eclipse Jetty 11.0.5 - Sensitive File Disclosure CVE-2021-34429 0 0 0 0 867990696848164387 +exploitdb:51635 2023-07-28 2023-07-28 Vartamtezidis Theodoros t copyparty v1.8.6 - Reflected Cross Site Scripting (XSS) CVE-2023-38501 0 0 0 0 8076327320382705761 +exploitdb:47231 2019-08-12 2021-04-08 Etienne Lacoche t Ghidra (Linux) 9.0.4 - .gar Arbitrary Code Execution CVE-2019-13623 0 0 0 0 1829288314701853732 +exploitdb:48993 2020-11-05 2020-11-05 FishballAndMeatball f Amarok 2.8.0 - Denial-of-Service CVE-2020-13152 0 0 0 0 6788861869555235817 +exploitdb:50609 2021-12-20 2021-12-20 citril f WBCE CMS 1.5.1 - Admin Password Reset CVE-2021-3817 0 0 0 0 5912288679675802645 +exploitdb:42262 2017-06-27 2017-06-27 Eric CARTER t GLPI 0.90.4 - SQL Injection CVE-2016-7508 SQL Injection (SQLi) 0 0 0 0 896125002331637866 +exploitdb:51183 2023-04-01 2023-04-01 Chan Nyein Wai f AD Manager Plus 7122 - Remote Code Execution (RCE) CVE-2021-44228 0 0 0 0 4208327101861515425 +exploitdb:41967 2017-05-05 2017-05-05 Sysdream f ViMbAdmin 3.0.15 - Multiple Cross-Site Request Forgery Vulnerabilities CVE-2017-6086 Cross-Site Request Forgery (CSRF) 0 0 0 0 1528779314406423017 +exploitdb:51004 2022-08-09 2022-08-09 Steffen Langenfeld f ThingsBoard 3.3.1 'description' - Stored Cross-Site Scripting (XSS) CVE-2021-42751 0 0 0 0 3068633157543779290 +exploitdb:46443 2019-02-21 2019-03-18 s4vitar f ScreenStream 3.0.15 - Denial of Service CVE-2019-9833 Denial of Service (DoS) 0 0 0 0 4640630744765843871 +exploitdb:52359 2025-07-16 2025-07-16 Mohammed Idrees Banyamer f Keras 2.15 - Remote Code Execution (RCE) CVE-2025-1550 0 0 0 0 486490459816985439 +exploitdb:49334 2020-12-24 2021-02-25 Norbert Hofmann f GitLab 11.4.7 - RCE (Authenticated) (2) CVE-2018-19585 0 0 0 0 5991202466743429591 +exploitdb:51254 2023-04-05 2023-06-09 Manojkumar J t BTCPay Server v1.7.4 - HTML Injection CVE-2023-0493 0 0 0 0 6842369051346360623 +exploitdb:52515 2026-04-29 2026-04-29 Chris f Fedora - Local Privilege Escalation CVE-2025-12744 0 0 0 0 396140837504197739 +exploitdb:43922 2018-01-28 2018-01-28 Saurabh Banawar f KeystoneJS < 4.0.0-beta.7 - Cross-Site Request Forgery CVE-2017-16570 0 0 0 0 1025947384927022818 +exploitdb:48169 2020-03-05 2020-03-05 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/eyesofnetwork_autodiscovery_rce.rb EyesOfNetwork - AutoDiscovery Target Command Execution (Metasploit) CVE-2020-8657 Metasploit Framework (MSF) 0 0 0 0 3946022641476953206 +exploitdb:48198 2020-03-11 2020-06-18 i4bdullah f Joomla! 3.9.0 < 3.9.7 - CSV Injection CVE-2019-12765 0 0 0 0 2520776314411272919 +exploitdb:42301 2017-07-06 2017-07-06 zhangtan t http://bugzilla.maptools.org/show_bug.cgi?id=2693 LibTIFF - '_TIFFVGetField (tiffsplit)' Out-of-Bounds Read CVE-2017-9147 Denial of Service (DoS) 0 0 0 0 2724934234107221892 +exploitdb:42761 2017-09-21 2017-11-17 Ishaq Mohammed f PHPMyFAQ 2.9.8 - Cross-Site Scripting (1) CVE-2017-14618 0 0 0 0 7267070633859320327 +exploitdb:50077 2021-07-01 2021-07-01 Ron Jost f Wordpress Plugin XCloner 4.2.12 - Remote Code Execution (Authenticated) CVE-2020-35948 0 0 0 0 6944779345456271053 +exploitdb:52128 2025-04-06 2025-04-13 ByteHunter f DataEase 2.4.0 - Database Configuration Information Exposure CVE-2024-30269 0 0 0 0 6530472606180881003 +exploitdb:45082 2018-07-24 2018-07-25 Fakhri Zulkifli f Nagios Core 4.4.1 - Denial of Service CVE-2018-13458 Denial of Service (DoS) 0 0 0 0 7103362118057331907 +exploitdb:41885 2017-04-14 2018-07-17 hyp3rlinx t Concrete5 CMS 8.1.0 - 'Host' Header Injection CVE-2017-7725 0 0 0 0 1192130071780296930 +exploitdb:40185 2016-07-29 2016-07-29 @iamsecurity f phpMyAdmin 4.6.2 - (Authenticated) Remote Code Execution CVE-2016-5734 0 0 0 0 1743445861116645568 +exploitdb:51633 2023-07-28 2023-07-28 p4r4bellum f GreenShot 1.2.10 - Insecure Deserialization Arbitrary Code Execution CVE-2023-34634 0 0 0 0 371014830513762719 +exploitdb:46034 2018-12-21 2019-02-13 Jacob Baines t Netatalk 3.1.12 - Authentication Bypass CVE-2018-1160 Authentication Bypass / Credentials Bypass (AB/CB) 0 0 0 0 3323318085856619393 +exploitdb:48634 2020-07-02 2020-07-02 Askar f OCS Inventory NG 2.7 - Remote Code Execution CVE-2020-14947 0 0 0 0 2939763078801857035 +exploitdb:51071 2023-03-27 2023-06-19 Trenches of IT t Zoneminder < v1.37.24 - Log Injection & Stored XSS & CSRF Bypass CVE-2022-39291 0 0 0 0 5395518072077063626 +exploitdb:52168 2025-04-11 2025-04-13 CodeSecLab f GetSimpleCMS 3.3.16 - Remote Code Execution (RCE) CVE-2021-28976 0 0 0 0 1040692413235636762 +exploitdb:44223 2018-03-02 2018-03-02 Marios Nicolaides t uWSGI < 2.0.17 - Directory Traversal CVE-2018-7490 0 0 0 0 3553236987861307224 +exploitdb:52440 2025-10-31 2025-10-31 nltt0 f Flowise 3.0.4 - Remote Code Execution (RCE) CVE-2025-59528 0 0 0 0 1339909643459404634 +exploitdb:52152 2025-04-09 2025-04-13 Sanan Qasimzada f ChurchCRM 5.9.1 - SQL Injection CVE-2024-39304 0 0 0 0 2253330033688776855 +exploitdb:51993 2024-04-15 2024-04-15 Matisse Beckandt f Jenkins 2.441 - Local File Inclusion CVE-2024-23897 0 0 0 0 264696952255250647 +exploitdb:52318 2025-06-05 2025-06-05 Abdualhadi khalifa f Apache Tomcat 10.1.39 - Denial of Service (DoS) CVE-2025-31650 0 0 0 0 252504153269720398 +exploitdb:51227 2023-04-03 2023-06-04 Nuri Çilengir t Roxy WI v6.1.0.0 - Unauthenticated Remote Code Execution (RCE) CVE-2022-31126 0 0 0 0 4581127117528459741 +exploitdb:39491 2016-02-24 2016-02-24 Google Security Research t https://code.google.com/p/google-security-research/issues/detail?id=637 libxml2 - xmlDictAddString Heap Buffer Overread CVE-2016-1839 0 0 0 0 3996420692993285389 +exploitdb:50795 2022-03-02 2022-03-02 Rik Lutz f Xerte 3.9 - Remote Code Execution (RCE) (Authenticated) CVE-2021-44664 0 0 0 0 6870597412157574222 +exploitdb:45103 2018-07-30 2018-08-09 GUIA BRAHIM FOUAD f Responsive Filemanager 9.13.1 - Server-Side Request Forgery CVE-2018-14728 0 0 0 0 1781576162009311741 +exploitdb:52390 2025-08-03 2025-08-03 Byte Reaper f Copyparty 1.18.6 - Reflected Cross-Site Scripting (XSS) CVE-2025-54589 0 0 0 0 2627329958590523770 +exploitdb:39657 2016-04-04 2016-04-04 PizzaHatHacker f Hexchat IRC Client 2.11.0 - CAP LS Handling Buffer Overflow CVE-2016-2233 0 0 0 0 3125219973595420199 +exploitdb:45400 2018-09-13 2018-09-13 Che-Chun Kuo f Apache Syncope 2.0.7 - Remote Code Execution CVE-2018-1322 0 0 0 0 758724496207387947 +exploitdb:51225 2023-04-03 2023-04-03 Dino Barlattani f sleuthkit 4.11.1 - Command Injection CVE-2022-45639 0 0 0 0 6957863598734594276 +exploitdb:43963 2018-02-05 2018-09-11 Samrat Das t Wonder CMS 2.3.1 - Unrestricted File Upload CVE-2017-14521 0 0 0 0 11093297137033878 +exploitdb:52434 2025-09-16 2025-09-16 Mukundsinh Solanki (r00td3str0y3r) f ClipBucket 5.5.2 Build #90 - Server-Side Request Forgery (SSRF) CVE-2025-55911 0 0 0 0 6276305636428370546 +exploitdb:46869 2019-05-20 2021-06-17 liquidsky f eLabFTW 1.8.5 - Arbitrary File Upload / Remote Code Execution CVE-2019-12185 0 0 0 0 4529599126149059456 +exploitdb:47177 2019-07-26 2019-07-26 Fabian Mosch_ Nick Theisinger f Moodle Filepicker 3.5.2 - Server Side Request Forgery CVE-2018-1042 Server-Side Request Forgery (SSRF) 0 0 0 0 1019064665994758172 +exploitdb:46572 2019-03-19 2019-03-28 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/24143f812c7bede6d0ab66a6830761f621140ebd/modules/exploits/multi/http/jenkins_metaprogramming.rb Jenkins 2.137 and Pipeline Groovy Plugin 2.61 - ACL Bypass and Metaprogramming Remote Code Execution (Metasploit) CVE-2019-1003002 Metasploit Framework (MSF) 0 0 0 0 9066050598093661489 +exploitdb:39768 2016-05-04 2016-05-04 Juraj Somorovsky t http://web-in-security.blogspot.ca/2016/05/curious-padding-oracle-in-openssl-cve.html OpenSSL - Padding Oracle in AES-NI CBC MAC Check CVE-2016-2107 0 0 0 0 5378865573163189947 +exploitdb:44556 2017-09-08 2018-09-11 brianwrf t https://github.com/brianwrf/S2-053-CVE-2017-12611/blob/a587bbdc79843fe44ad3fe0439d7add3f887bc31/exploit.py Apache Struts 2.0.1 < 2.3.33 / 2.5 < 2.5.10 - Arbitrary Code Execution CVE-2017-12611 0 0 0 0 919280668476102737 +exploitdb:42943 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14493.py Dnsmasq < 2.78 - Stack Overflow CVE-2017-14493 0 0 0 0 9060506290186709494 +exploitdb:51729 2023-10-09 2023-10-09 CraCkEr f Clcknshop 1.0.0 - SQL Injection CVE-2023-4708 0 0 0 0 8059995238807409389 +exploitdb:43133 2017-11-09 2017-11-14 Wei Lei and Liu Yang t https://bugs.php.net/bug.php?id=75055 PHP 7.1.8 - Heap Buffer Overflow CVE-2017-16642 0 0 0 0 2546821397302416739 +exploitdb:49925 2021-06-01 2021-06-01 Víctor García f Veyon 4.4.1 - 'VeyonService' Unquoted Service Path CVE-2020-15261 0 0 0 0 6360254043821388264 +exploitdb:46996 2019-06-17 2019-08-26 Marco Ivaldi t Exim 4.87 - 4.91 - Local Privilege Escalation CVE-2019-10149 Local 0 0 0 0 7466087155053429967 +exploitdb:45437 2018-09-19 2018-09-19 Fahimeh Rezaei f Roundcube rcfilters plugin 2.1.6 - Cross-Site Scripting CVE-2018-16736 Cross-Site Scripting (XSS) 0 0 0 0 9052164812850237277 +exploitdb:49711 2021-03-25 2021-10-29 Andrea Gonzalez f Dolibarr ERP 11.0.4 - File Upload Restrictions Bypass (Authenticated RCE) CVE-2020-14209 0 0 0 0 4040799062152120796 +exploitdb:44482 2018-04-17 2018-08-28 José Ignacio Rojo t Drupal < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution (Metasploit) CVE-2018-7600 Metasploit Framework (MSF) 0 0 0 0 4909686885710292859 +exploitdb:52361 2025-07-16 2025-07-16 HayToN f PivotX 3.0.0 RC3 - Remote Code Execution (RCE) CVE-2025-52367 0 0 0 0 1878187052458508036 +exploitdb:52001 2024-04-21 2024-04-21 Maerifat Majeed f Flowise 1.6.5 - Authentication Bypass CVE-2024-31621 0 0 0 0 5443964238591048767 +exploitdb:52225 2025-04-15 2025-04-15 D3Ext f Cacti 1.2.26 - Remote Code Execution (RCE) (Authenticated) CVE-2024-25641 0 0 0 0 5994996094635247021 +exploitdb:44495 2018-04-20 2019-03-28 Kyhvedn f Cobub Razor 0.8.0 - Physical Path Leakage CVE-2018-8770 0 0 0 0 2044304390136309223 +exploitdb:48904 2020-10-19 2020-10-19 Daniel Morris f Jenkins 2.63 - Sandbox bypass in pipeline: Groovy plug-in CVE-2019-1003030 0 0 0 0 5611149872903218949 +exploitdb:45946 2018-12-04 2018-12-04 Mohammed Abdul Raheem f DomainMOD 4.11.01 - Custom Domain Fields Cross-Site Scripting CVE-2018-19750 Cross-Site Scripting (XSS) 0 0 0 0 751984013085230231 +exploitdb:52468 2026-01-17 2026-01-17 Beatriz Fresno Naumova f RPi-Jukebox-RFID 2.8.0 - Remote Command Execution CVE-2025-10327 0 0 0 0 3669221152012945751 +exploitdb:47224 2019-08-12 2019-08-12 Aishwarya Iyer t osTicket 1.12 - Persistent Cross-Site Scripting via File Upload CVE-2019-14748 Cross-Site Scripting (XSS) 0 0 0 0 1017134841266772071 +exploitdb:48536 2020-06-01 2020-06-01 s1gh f QuickBox Pro 2.1.8 - Authenticated Remote Code Execution CVE-2020-13448 0 0 0 0 5378042739388896402 +exploitdb:39645 2016-04-01 2016-04-01 Andrew Kramer f PHP 5.5.33/7.0.4 - SNMP Format String CVE-2016-4071 0 0 0 0 1888570755868253810 +exploitdb:52460 2025-12-08 2025-12-08 CodeSecLab f Pluck 4.7.7-dev2 - PHP Code Execution CVE-2018-11736 0 0 0 0 4633672534536109889 +exploitdb:47933 2020-01-15 2020-01-16 Oliver Lyak f https://github.com/ollypwn/cve-2020-0601/tree/d957153ee016c69674769b64bf87b49f7d91120e Microsoft Windows - CryptoAPI (Crypt32.dll) Elliptic Curve Cryptography (ECC) Spoof Code-Signing Certificate CVE-2020-0601 0 0 0 0 4747199239229478444 +exploitdb:42989 2017-10-15 2017-12-10 hyp3rlinx f Webmin 1.850 - Multiple Vulnerabilities CVE-2017-15646 0 0 0 0 1207715748327622639 +exploitdb:46175 2019-01-16 2019-01-16 Magnus Klaaborg Stubman t https://dumpco.re/bugs/ntpsec-oobread1 NTPsec 1.1.2 - 'ctl_getitem' Out-of-Bounds Read (PoC) CVE-2019-6443 Out Of Bounds 0 0 0 0 3815501707071732189 +exploitdb:48145 2020-02-03 2020-02-27 Askar f https://github.com/mhaskar/CVE-2020-8813/blob/dfb48378f39249ff54ecf24ccd3b89db26971ccf/Cacti-preauth-rce.py Cacti 1.2.8 - Unauthenticated Remote Code Execution CVE-2020-8813 0 0 0 0 2917435606045178887 +exploitdb:46405 2019-02-18 2019-02-18 Mehmet EMIROGLU f Webiness Inventory 2.3 - 'ProductModel' Arbitrary File Upload CVE-2019-8404 0 0 0 0 3897640823394435947 +exploitdb:49155 2020-12-02 2021-04-21 zetc0de f WonderCMS 3.1.3 - Authenticated Remote Code Execution CVE-2020-35314 0 0 0 0 1289475707025226781 +exploitdb:52558 2026-05-13 2026-05-13 anonimicerum f coreruleset 4.21.0 - Firewall Bypass CVE-2026-21876 0 0 0 0 7147705042800642141 +exploitdb:45954 2018-12-04 2018-12-04 Netsparker f FreshRSS 1.11.1 - Cross-Site Scripting CVE-2018-19782 Cross-Site Scripting (XSS) 0 0 0 0 424444037231780473 +exploitdb:47230 2019-08-12 2019-08-26 AkkuS t Webmin 1.920 - Unauthenticated Remote Code Execution (Metasploit) CVE-2019-15107 Metasploit Framework (MSF) 0 0 0 0 8434967252443030373 +exploitdb:8097 2009-02-23 2017-02-14 Michael Peselnik t MLdonkey 2.9.7 - Arbitrary File Disclosure CVE-2009-0753 0 0 0 0 5910107983312219948 +exploitdb:49071 2020-11-18 2020-11-18 West Shepherd f ZeroLogon - Netlogon Elevation of Privilege CVE-2020-1472 0 0 0 0 6951120994101018942 +exploitdb:52408 2025-08-11 2025-08-11 İbrahimsql f Ghost CMS 5.42.1 - Path Traversal CVE-2023-32235 0 0 0 0 5282750998142998050 +exploitdb:50914 2022-05-11 2022-05-11 Konstantin Burov f Apache CouchDB 3.2.1 - Remote Code Execution (RCE) CVE-2022-24706 0 0 0 0 1180216608804410270 +exploitdb:46585 2019-03-21 2019-03-21 NotoriousRebel f Rails 5.2.1 - Arbitrary File Content Disclosure CVE-2019-5418 Traversal 0 0 0 0 1333725191071022466 +exploitdb:46984 2019-06-11 2019-07-16 AkkuS t Webmin 1.910 - 'Package Updates' Remote Command Execution (Metasploit) CVE-2019-12840 Metasploit Framework (MSF) 0 0 0 0 1190419548214341649 +exploitdb:41962 2017-05-03 2017-05-04 Dawid Golunski f https://exploitbox.io/vuln/WordPress-Exploit-4-6-RCE-CODE-EXEC-CVE-2016-10033.html WordPress Core 4.6 - Remote Code Execution CVE-2016-10033 0 0 0 0 2537650588223823124 +exploitdb:45933 2018-12-03 2018-12-05 David May f Apache Superset < 0.23 - Remote Code Execution CVE-2018-8021 0 0 0 0 1789434969302950813 +exploitdb:45258 2018-08-27 2018-08-27 GunEggWang f Gleez CMS 1.2.0 - Cross-Site Request Forgery (Add Admin) CVE-2018-15845 Cross-Site Request Forgery (CSRF) 0 0 0 0 426035138362734558 +exploitdb:49561 2021-02-15 2021-02-15 snovvcrash f TestLink 1.9.20 - Unrestricted File Upload (Authenticated) CVE-2020-8639 0 0 0 0 3253786029168307042 +exploitdb:52545 2026-05-04 2026-05-04 hazar f Traccar GPS Tracking System 6.11.1 - Cross-Site WebSocket Hijacking (CSWSH) CVE-2025-68930 0 0 0 0 448524778247063000 +exploitdb:47305 2019-08-26 2019-08-26 Julian Rittweger f openITCOCKPIT 3.6.1-2 - Cross-Site Request Forgery CVE-2019-10227 Cross-Site Request Forgery (CSRF) 0 0 0 0 2142443227652092244 +exploitdb:45839 2018-11-13 2018-11-13 Ameer Pornillos f ClipperCMS 1.3.3 - Cross-Site Request Forgery (File Upload) CVE-2018-19135 Cross-Site Request Forgery (CSRF) 0 0 0 0 5206498178686475128 +exploitdb:51057 2023-03-25 2023-06-23 Sarang Tumne t SimpleMachinesForum v2.1.1 - Authenticated Remote Code Execution CVE-2022-26982 0 0 0 0 6637593293155444153 +exploitdb:49949 2021-06-04 2021-06-04 Ron Jost f Monstra CMS 3.0.4 - Remote Code Execution (Authenticated) CVE-2018-6383 0 0 0 0 6639108317105518844 +exploitdb:50084 2021-07-02 2021-07-02 Ron Jost f Wordpress Plugin Modern Events Calendar 5.16.2 - Event export (Unauthenticated) CVE-2021-24146 0 0 0 0 388096574252657681 +exploitdb:47927 2020-01-16 2020-01-16 Ai Ho f Jenkins Gitlab Hook Plugin 1.4.2 - Reflected Cross-Site Scripting CVE-2020-2096 0 0 0 0 70359457779953573 +exploitdb:49788 2021-04-21 2021-10-29 Mehmet Ince t GravCMS 1.10.7 - Unauthenticated Arbitrary File Write (Metasploit) CVE-2021-21425 0 0 0 0 8915745601110174790 +exploitdb:52172 2025-04-11 2025-04-13 Luka Petrovic (refr4g) f CyberPanel 2.3.6 - Remote Code Execution (RCE) CVE-2024-51378 0 0 0 0 2519701209408842688 +exploitdb:46662 2019-04-05 2019-04-05 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/wp_crop_rce.rb WordPress Core 5.0.0 - Crop-image Shell Upload (Metasploit) CVE-2019-8943 Metasploit Framework (MSF) 0 0 0 0 506949727372564719 +exploitdb:41240 2017-02-03 2017-02-04 Kristian Erik Hermansen f http://www.openwall.com/lists/oss-security/2017/02/04/1 ntfs-3g (Debian 9) - Local Privilege Escalation CVE-2017-0358 0 0 0 0 3370453573942328664 +exploitdb:44922 2018-06-22 2018-06-22 vr_system f GreenCMS 2.3.0603 - Information Disclosure CVE-2018-12604 0 0 0 0 4497963044302315183 +exploitdb:51492 2023-05-31 2023-05-31 AFFAN AHMED f unilogies/bumsys v1.0.3 beta - Unrestricted File Upload CVE-2023-0455 0 0 0 0 7134718011137102719 +exploitdb:52622 2026-07-07 2026-07-07 banyamer f Hydra - Stack Buffer Overflow CVE-2026-56766 0 0 0 0 9025348417587794012 +exploitdb:50839 2022-03-30 2022-03-30 Egidio Romano f ImpressCMS 1.4.2 - Remote Code Execution (RCE) CVE-2021-26599 0 0 0 0 5223343987768785396 +exploitdb:52135 2025-04-07 2025-04-07 Al Baradi Joy f YesWiki 4.5.1 - Unauthenticated Path Traversal CVE-2025-31131 0 0 0 0 6086760655081177572 +exploitdb:49487 2021-01-28 2021-01-28 Alexandre ZANNI f Fuel CMS 1.4.1 - Remote Code Execution (2) CVE-2018-16763 0 0 0 0 3784728132535653714 +exploitdb:44598 2018-05-08 2018-05-09 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/83c89640098c9cd0599dc85568655d90fd77181c/modules/exploits/multi/http/playsms_uploadcsv_exec.rb PlaySMS - 'import.php' (Authenticated) CSV File Upload Code Execution (Metasploit) CVE-2017-9101 Metasploit Framework (MSF) 0 0 0 0 4804626682488034871 +exploitdb:43056 2017-10-25 2017-12-22 Maciek Krupa f PHPMailer < 5.2.21 - Local File Disclosure CVE-2017-5223 0 0 0 0 7433346147294013004 +exploitdb:5618 2008-05-14 2016-12-02 EgiX t Lanius CMS 1.2.16 - 'FCKeditor' Arbitrary File Upload CVE-2007-5156 0 0 0 0 6354452338226209255 +exploitdb:43499 2018-01-10 2018-01-11 tintinweb f https://github.com/tintinweb/pub/tree/352d69d518b9b9c0f4983f1254418f0e9755cbb2/pocs/cve-2017-18016 Parity Browser < 1.6.10 - Bypass Same Origin Policy CVE-2017-18016 0 0 0 0 6226524669028436178 +exploitdb:48826 2020-09-22 2021-01-05 Alperen Ergel f Flatpress Add Blog 1.0.3 - Persistent Cross-Site Scripting CVE-2020-35241 0 0 0 0 8164851672789448667 +exploitdb:43337 2017-12-14 2017-12-14 Akityo f Piwigo 2.9.1 - 'cat_true' / 'cat_false' SQL Injection CVE-2017-10682 0 0 0 0 2214737836191742737 +exploitdb:44397 2018-04-03 2018-04-04 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1503 Microsoft Edge Chakra JIT - Stack-to-Heap Copy (Incomplete Fix) (2) CVE-2018-0934 0 0 0 0 766757595655415192 +exploitdb:52561 2026-05-14 2026-05-14 vabismo452 f PJPROJECT 2.16 - Heap Bufferoverflow CVE-2026-25994 0 0 0 0 7337948509866223062 +exploitdb:51232 2023-04-03 2023-04-03 Nuri Çilengir f GLPI Activity v3.1.0 - Authenticated Local File Inclusion on Activity plugin CVE-2022-34125 0 0 0 0 7284046158581853811 +exploitdb:42005 2017-04-28 2017-05-15 Faiz Ahmed Zaidi t Admidio 3.2.8 - Cross-Site Request Forgery CVE-2017-8382 0 0 0 0 2275190034633901259 +exploitdb:41541 2017-03-06 2017-03-06 Kyle Neideck f Deluge Web UI 1.3.13 - Cross-Site Request Forgery CVE-2017-7178 Cross-Site Request Forgery (CSRF) 0 0 0 0 5739206791578166109 +exploitdb:48638 2020-07-06 2020-07-06 mostwanted002 f Grafana 7.0.1 - Denial of Service (PoC) CVE-2020-13379 0 0 0 0 5370738087248667341 +exploitdb:52544 2026-04-30 2026-04-30 joshua f FUXA 1.2.8 - Authentication Bypass + RCE Exploit CVE-2025-69985 0 0 0 0 7323762231609083980 +exploitdb:41747 2017-03-27 2017-03-27 Sysdream f EyesOfNetwork (EON) 5.0 - SQL Injection CVE-2017-6088 SQL Injection (SQLi) 0 0 0 0 2804790921647871751 +exploitdb:50581 2021-12-09 2021-12-09 s1gh f Grafana 8.3.0 - Directory Traversal and Arbitrary File Read CVE-2021-43798 0 0 0 0 772519883433429686 +exploitdb:50768 2022-02-21 2022-02-21 Chetanya Sharma f Microweber 1.2.11 - Remote Code Execution (RCE) (Authenticated) CVE-2022-0557 0 0 0 0 407980739379685245 +exploitdb:45047 2018-07-16 2018-07-18 Charles Fol f https://ambionics.io/blog/prestashop-privilege-escalation PrestaShop < 1.6.1.19 - 'BlowFish ECD' Privilege Escalation CVE-2018-13784 0 0 0 0 2276906164260881173 +exploitdb:46155 2019-01-14 2019-02-13 Parvez Anwar t https://www.greyhathacker.net/?p=1041 Dokany 1.2.0.1000 - Stack-Based Buffer Overflow Privilege Escalation CVE-2018-5410 Local 0 0 0 0 7138059316064524644 +exploitdb:52555 2026-05-07 2026-05-26 Maksim Rogov f Ghost CMS 6.19.0 - SQLi CVE-2026-26980 0 0 0 0 8561915326162488194 +exploitdb:43717 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1412 Microsoft Edge Chakra - Deferred Parsing Makes Wrong Scopes (2) CVE-2018-0775 0 0 0 0 3307585309143678595 +exploitdb:40865 2016-12-05 2017-01-30 hyp3rlinx t Apache CouchDB 2.0.0 - Local Privilege Escalation CVE-2016-8742 0 0 0 0 4894268515532967951 +exploitdb:44843 2018-06-05 2018-06-15 Kl3_GMjq6 f Jenkins Mailer Plugin < 1.20 - Cross-Site Request Forgery (Send Email) CVE-2018-8718 Cross-Site Request Forgery (CSRF) 0 0 0 0 4508763820664616688 +exploitdb:43140 2017-11-13 2017-11-17 Ishaq Mohammed t Kirby CMS < 2.5.7 - Cross-Site Scripting CVE-2017-16807 0 0 0 0 5554558293495655452 +exploitdb:43522 2018-01-11 2018-01-11 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1387 Microsoft Edge Chakra - 'AppendLeftOverItemsFromEndSegment' Out-of-Bounds Read CVE-2018-0767 Out Of Bounds 0 0 0 0 5806619162320711350 +exploitdb:52588 2026-05-29 2026-05-29 Th3-SAx11 f CubeCart < 6.7.0 - Reflected Cross-Site Scripting (XSS) (Unauthenticated) CVE-2026-44376 0 0 0 0 6273938780837249474 +exploitdb:49693 2021-03-22 2021-03-22 Nicholas Ferreira f WordPress Plugin Delightful Downloads Jquery File Tree 1.6.6 - Path Traversal CVE-2017-1000170 0 0 0 0 656753864421315298 +exploitdb:43382 2017-06-06 2018-01-08 nixawk f https://github.com/nixawk/labs/blob/bf31676e55f0010adf9634269f86a61cc44e7102/CVE-2016-3087/ Apache Struts - REST Plugin With Dynamic Method Invocation Remote Code Execution CVE-2016-3087 0 0 0 0 5668714404256456463 +exploitdb:47537 2019-10-23 2019-10-25 3H34N f Rocket.Chat 2.1.0 - Cross-Site Scripting CVE-2019-17220 Cross-Site Scripting (XSS) 0 0 0 0 3839269993332954142 +exploitdb:36932 2012-05-13 2015-05-07 fdiskyou t RealVNC 4.1.0/4.1.1 - Authentication Bypass CVE-2006-2369 0 0 0 0 7593882317894616976 +exploitdb:52605 2026-05-30 2026-05-30 Daniel Miranda f YAMCS yamcs-core 5.12.7 - No Rate Limiting CVE-2026-44596 0 0 0 0 2960725616292519781 +exploitdb:49659 2021-03-17 2021-03-17 Fady Mohammed Osman f VestaCP 0.9.8 - File Upload CSRF CVE-2021-28379 0 0 0 0 9064773706811629576 +exploitdb:40974 2016-12-29 2016-12-29 anarc0der f PHPMailer < 5.2.18 - Remote Code Execution CVE-2016-10033 0 0 0 0 2583873138015574319 +exploitdb:50640 2022-01-05 2022-01-05 Jeremiasz Pluta f Gerapy 0.9.7 - Remote Code Execution (RCE) (Authenticated) CVE-2021-43857 0 0 0 0 5593537944218282256 +exploitdb:42941 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14491.py Dnsmasq < 2.78 - 2-byte Heap Overflow CVE-2017-14491 0 0 0 0 5556179939733885928 +exploitdb:52533 2026-04-30 2026-04-30 jduardo2704 f Frigate NVR 0.16.3 - Remote Code Execution CVE-2026-25643 0 0 0 0 7248549314201173742 +exploitdb:43331 2017-12-13 2018-01-08 Qualys Corporation t GNU C Library Dynamic Loader glibc ld.so - Memory Leak / Buffer Overflow CVE-2017-1000409 Local 0 0 0 0 5677907192609106697 +exploitdb:48519 2020-05-26 2021-05-27 Photubias t Pi-hole 4.4.0 - Remote Code Execution (Authenticated) CVE-2020-11108 0 0 0 0 2080490251592665699 +exploitdb:49907 2021-05-26 2021-05-26 Ron Jost f Codiad 2.8.4 - Remote Code Execution (Authenticated) (3) CVE-2018-19423 0 0 0 0 370051040212070190 +exploitdb:44454 2018-04-16 2018-04-17 Kyhvedn f Cobub Razor 0.8.0 - SQL injection CVE-2018-8057 SQL Injection (SQLi) 0 0 0 0 1533701102168047846 +exploitdb:51256 2023-04-05 2023-04-05 nu11secur1ty f ImageMagick 7.1.0-49 - DoS CVE-2022-44267 0 0 0 0 2790024795485240958 +exploitdb:52450 2025-12-03 2025-12-03 CodeSecLab f RosarioSIS 6.7.2 - Cross Site Scripting (XSS) CVE-2020-15716 0 0 0 0 3924023987150831710 +exploitdb:48140 2020-02-26 2020-02-26 Qualys Corporation f https://www.qualys.com/2020/02/24/cve-2020-8794/lpe-rce-opensmtpd-default-install-exploit.c OpenSMTPD < 6.6.3p1 - Local Privilege Escalation + Remote Code Execution CVE-2020-8794 0 0 0 0 4658434880178677164 +exploitdb:50531 2021-11-17 2021-11-17 M. Cory Billington t SuiteCRM 7.11.18 - Remote Code Execution (RCE) (Authenticated) (Metasploit) CVE-2021-42840 0 0 0 0 4339766624944231961 +exploitdb:52577 2026-05-26 2026-05-26 alisunbul f Apache HTTP Server 2.4.66 - 'mod_http2' Double-Free Denial of Service CVE-2026-23918 0 0 0 0 1822565541998791374 +exploitdb:51489 2023-05-26 2023-06-15 PARAG BAGUL t Camaleon CMS v2.7.0 - Server-Side Template Injection (SSTI) CVE-2023-30145 0 0 0 0 4019761122490975573 +exploitdb:48679 2020-07-17 2020-07-17 Noth f CMSUno 1.6 - Cross-Site Request Forgery (Change Admin Password) CVE-2020-15600 0 0 0 0 8095725715767088673 +exploitdb:51532 2023-06-14 2023-06-20 Gabriel Lima t PyLoad 0.5.0 - Pre-auth Remote Code Execution (RCE) CVE-2023-0297 0 0 0 0 787095330140309887 +exploitdb:49927 2021-06-02 2021-06-02 Pepe Berba f Apache Airflow 1.10.10 - 'Example Dag' Remote Code Execution CVE-2020-13927 0 0 0 0 7941646741881610720 +exploitdb:47598 2019-11-08 2019-11-08 vesche f Jenkins build-metrics plugin 1.3 - 'label' Cross-Site Scripting CVE-2019-10475 0 0 0 0 2599443893183530567 +exploitdb:52481 2026-02-11 2026-02-11 prabhat f motionEye 0.43.1b4 - RCE CVE-2025-60787 0 0 0 0 3489124496472215339 +exploitdb:49424 2021-01-14 2021-04-07 SunCSR Team f Laravel 8.4.2 debug mode - Remote code execution CVE-2021-3129 0 0 0 0 2532431203239754720 +exploitdb:46374 2019-02-14 2019-02-14 Mohammed Abdul Raheem t https://github.com/domainmod/domainmod/issues/88 DomainMOD 4.11.01 - 'category.php CatagoryName_ StakeHolder' Cross-Site Scripting CVE-2018-20011 Cross-Site Scripting (XSS) 0 0 0 0 7342123267036932439 +exploitdb:43718 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1429&desc=2 Microsoft Edge Chakra JIT - Out-of-Bounds Write CVE-2018-0777 Out Of Bounds 0 0 0 0 3990473850219223768 +exploitdb:46369 2019-02-13 2019-02-14 embargo f https://www.openwall.com/lists/oss-security/2019/02/13/3 runc < 1.0-rc6 (Docker < 18.09.2) - Container Breakout (2) CVE-2019-5736 0 0 0 0 5748272259110516390 +exploitdb:48215 2020-03-10 2020-03-14 Andrea Cardaci f https://cardaci.xyz/advisories/2020/03/10/horde-groupware-webmail-edition-5.2.22-rce-in-csv-data-import/ Horde Groupware Webmail Edition 5.2.22 - Remote Code Execution CVE-2020-8518 0 0 0 0 5222811632027922085 +exploitdb:45949 2018-12-04 2018-12-04 Mohammed Abdul Raheem f DomainMOD 4.11.01 - Registrar Cross-Site Scripting CVE-2018-19752 Cross-Site Scripting (XSS) 0 0 0 0 7674657993656472714 +exploitdb:45939 2018-12-04 2018-12-04 Leap Security f OpenSSH < 7.7 - User Enumeration (2) CVE-2018-15473 0 0 0 0 1146023531762561570 +exploitdb:50702 2022-02-02 2022-02-02 souzo f PHP Unit 4.8.28 - Remote Code Execution (RCE) (Unauthenticated) CVE-2017-9841 0 0 0 0 4915020677585404618 +exploitdb:51001 2022-08-09 2022-08-09 Karthik UJ f Prestashop blockwishlist module 2.1.0 - SQLi CVE-2022-31101 0 0 0 0 7191754008240196506 +exploitdb:51345 2023-04-08 2023-04-08 Betul Denizler f X2CRM v6.6/6.9 - Stored Cross-Site Scripting (XSS) (Authenticated) CVE-2022-48178 0 0 0 0 944029416466950335 +exploitdb:48408 2020-05-01 2020-05-01 Faiz Ahmed Zaidi f Apache OFBiz 17.12.03 - Cross-Site Request Forgery (Account Takeover) CVE-2019-0235 0 0 0 0 3323584515025260515 +exploitdb:44642 2018-05-17 2018-05-17 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/436e414b93e003f4b6c0291cd2290e2e7c7e698a/modules/exploits/linux/misc/jenkins_ldap_deserialize.rb Jenkins CLI - HTTP Java Deserialization (Metasploit) CVE-2016-9299 Metasploit Framework (MSF) 0 0 0 0 5661284874648883916 +exploitdb:44825 2018-06-03 2018-06-15 xichao f GreenCMS 2.3.0603 - Cross-Site Request Forgery / Remote Code Execution CVE-2018-11670 Cross-Site Request Forgery (CSRF) 0 0 0 0 2847866233122517955 +exploitdb:40360 2016-09-12 2016-11-17 Dawid Golunski f http://legalhackers.com/advisories/MySQL-Exploit-Remote-Root-Code-Execution-Privesc-CVE-2016-6662.html MySQL / MariaDB / PerconaDB 5.5.51/5.6.32/5.7.14 - Code Execution / Privilege Escalation CVE-2016-6662 0 0 0 0 2641674551559769588 +exploitdb:51961 2024-04-02 2024-04-02 Van Lam Nguyen f Casdoor < v1.331.0 - '/api/set-password' CSRF CVE-2023-34927 0 0 0 0 34543693975142559 +exploitdb:45127 2018-08-02 2018-08-02 Porhai Eung f WityCMS 0.6.2 - Cross-Site Request Forgery (Password Change) CVE-2018-14029 Cross-Site Request Forgery (CSRF) 0 0 0 0 9183547817900540472 +exploitdb:52145 2025-04-09 2025-04-09 Shreyas Malhotra t DocsGPT 0.12.0 - Remote Code Execution CVE-2025-0868 0 0 0 0 3710052265119121180 +exploitdb:33033 2009-05-08 2014-04-26 Michal Zalewski t https://www.securityfocus.com/bid/35315/info WebKit - JavaScript 'onload()' Event Cross Domain Scripting CVE-2009-1684 0 0 0 0 8623738240828313316 +exploitdb:49001 2020-11-09 2020-11-09 M. Cory Billington f SuiteCRM 7.11.15 - 'last_name' Remote Code Execution (Authenticated) CVE-2020-28328 0 0 0 0 1633546228245220863 +exploitdb:50122 2021-07-13 2021-07-13 Alexandre ZANNI f OpenEMR 5.0.1.3 - 'manage_site_files' Remote Code Execution (Authenticated) (2) CVE-2018-15139 0 0 0 0 6295667446881125096 +exploitdb:45012 2018-07-12 2018-07-12 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1569&desc=2 Microsoft Edge Chakra JIT - BoundFunction::NewInstance Out-of-Bounds Read CVE-2018-8139 Denial of Service (DoS) 0 0 0 0 6002161642042512370 +exploitdb:41143 2017-01-21 2017-01-22 Saurabh Banawar t PageKit 1.0.10 - Password Reset CVE-2017-5594 0 0 0 0 7904532126036420294 +exploitdb:44419 2018-04-09 2018-04-09 ppb f Cobub Razor 0.7.2 - Add New Superuser Account CVE-2018-7745 0 0 0 0 6689796483404464075 +exploitdb:46983 2019-06-11 2019-06-11 Valerio Brussani f Liferay Portal 7.1 CE GA=3 / SimpleCaptcha API - Cross-Site Scripting CVE-2019-6588 Cross-Site Scripting (XSS) 0 0 0 0 6856170564902135078 +exploitdb:46743 2019-04-23 2019-04-23 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1756 systemd - Lack of Seat Verification in PAM Module Permits Spoofing Active Session to polkit CVE-2019-3842 0 0 0 0 6410388295022673844 +exploitdb:51026 2022-11-11 2022-11-18 Jacob Ebben f Open Web Analytics 1.7.3 - Remote Code Execution CVE-2022-24637 0 0 0 0 5184460712596880813 +exploitdb:50477 2021-11-03 2021-11-03 Padsala Trushal f Fuel CMS 1.4.1 - Remote Code Execution (3) CVE-2018-16763 0 0 0 0 5001382512535581173 +exploitdb:43469 2018-01-09 2018-01-09 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1396 Microsoft Edge Chakra JIT - Escape Analysis Bug CVE-2017-11918 0 0 0 0 3285843316889914995 +exploitdb:43152 2017-11-16 2017-12-19 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1341&desc=3 Microsoft Edge Chakra JIT - Type Confusion with switch Statements CVE-2017-11811 Type Confusion 0 0 0 0 2847691201967361191 +exploitdb:52268 2025-04-22 2025-04-22 cybersploit f tar-fs 3.0.0 - Arbitrary File Write/Overwrite CVE-2024-12905 0 0 0 0 2597113172672843904 +exploitdb:52483 2026-03-03 2026-03-03 onurdemir f WeGIA 3.5.0 - SQL Injection CVE-2025-62360 0 0 0 0 7003399037313971875 +exploitdb:52610 2026-06-08 2026-06-08 doany1 f OpenEMR 7.0.2 - Arbitrary File Read CVE-2026-24849 0 0 0 0 4559505726877681772 +exploitdb:45174 2018-08-09 2018-08-09 Joachim De Zutter f reSIProcate 1.10.2 - Heap Overflow CVE-2018-12584 Heap Overflow 0 0 0 0 1104515339791438297 +exploitdb:50529 2021-11-17 2021-11-17 Vasu f Bludit 3.13.1 - 'username' Cross Site Scripting (XSS) CVE-2021-35323 0 0 0 0 6263275214417130446 +exploitdb:50393 2021-10-08 2021-10-08 Raven Security Associates f django-unicorn 0.35.3 - Stored Cross-Site Scripting (XSS) CVE-2021-42053 0 0 0 0 2765793571662205342 +exploitdb:49992 2021-06-14 2021-06-14 Brian Peters f GLPI 9.4.5 - Remote Code Execution (RCE) CVE-2020-11060 0 0 0 0 7149007842624475929 +exploitdb:50042 2021-06-21 2021-08-03 g0ldm45k t Websvn 2.6.0 - Remote Code Execution (Unauthenticated) CVE-2021-32305 0 0 0 0 5568337421138521310 +exploitdb:46060 2018-12-27 2019-01-02 BouSalman f bludit Pages Editor 3.0.0 - Arbitrary File Upload CVE-2018-1000811 0 0 0 0 2517983927313016930 +exploitdb:50700 2022-02-02 2022-02-02 lavclash75 f Moodle 3.11.4 - SQL Injection CVE-2022-0332 0 0 0 0 3278673890299711325 +exploitdb:49039 2020-11-13 2020-11-13 SunCSR t Apache Tomcat - AJP 'Ghostcat' File Read/Inclusion (Metasploit) CVE-2020-1938 0 0 0 0 216002230726496199 +exploitdb:52402 2025-08-11 2025-08-11 /bin/neko f Grav CMS 1.7.48 - Remote Code Execution (RCE) CVE-2025-50286 0 0 0 0 2669557392537861891 +exploitdb:52529 2026-04-30 2026-04-30 abdulmoiz f Erugo 0.2.14 - Remote Code Execution (RCE) CVE-2026-24897 0 0 0 0 3964401989078195816 +exploitdb:47650 2019-11-13 2019-11-13 liquidsky f FUDForum 3.0.9 - Remote Code Execution CVE-2019-18873 0 0 0 0 8575635339663907884 +exploitdb:52283 2025-05-06 2025-05-06 Ahmed Thaiban f ERPNext 14.82.1 - Account Takeover via Cross-Site Request Forgery (CSRF) CVE-2025-28062 0 0 0 0 329349079607838034 +exploitdb:50241 2021-08-31 2021-10-29 BitTheByte f Umbraco CMS 8.9.1 - Directory Traversal CVE-2020-5811 0 0 0 0 5863139871124650769 +exploitdb:52547 2026-05-04 2026-05-04 thewhiteh4t f MindsDB 25.9.1.1 - Path Traversal CVE-2026-27483 0 0 0 0 3778567272102399962 +exploitdb:52376 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via Telegram Bot Username CVE-2025-51396 0 0 0 0 548882080352764434 +exploitdb:42044 2017-05-21 2018-05-08 Touhid M.Shaikh t PlaySMS 1.4 - 'import.php' Remote Code Execution CVE-2017-9101 0 0 0 0 3734843717007015126 +exploitdb:52427 2025-09-16 2025-09-16 Byte Reaper f Mbed TLS 3.6.4 - Use-After-Free CVE-2025-47917 0 0 0 0 6682949183870444690 +exploitdb:44790 2018-05-28 2018-08-02 Nathu Nandwani f wityCMS 0.6.1 - Cross-Site Scripting CVE-2018-11512 Cross-Site Scripting (XSS) 0 0 0 0 7791626182143121615 +exploitdb:50965 2022-06-14 2022-06-14 nu11secur1ty f ChurchCRM 4.4.5 - SQLi CVE-2022-31325 0 0 0 0 4946196304595713942 +exploitdb:46251 2019-01-28 2019-01-28 Ishaq Mohammed f Rundeck Community Edition < 3.0.13 - Persistent Cross-Site Scripting CVE-2019-6804 Cross-Site Scripting (XSS) 0 0 0 0 5746403409249463845 +exploitdb:41377 2017-02-16 2017-02-16 Ben Nott t dotCMS 3.6.1 - Blind Boolean SQL Injection CVE-2017-5344 0 0 0 0 8958632019021540621 +exploitdb:44542 2018-04-25 2018-11-17 Blaklis t https://pastebin.com/pRM8nmwj Drupal < 7.58 - 'Drupalgeddon3' (Authenticated) Remote Code Execution (PoC) CVE-2018-7602 Remote 0 0 0 0 7290626111370646145 +exploitdb:46341 2019-02-11 2019-02-11 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/0dbad5d2e3c9e9c4cfb6203b99a2b437b18a0105/modules/exploits/multi/fileformat/evince_cbt_cmd_injection.rb Evince - CBT File Command Injection (Metasploit) CVE-2017-1000083 Metasploit Framework (MSF) 0 0 0 0 8175944033756727768 +exploitdb:43723 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1420 Microsoft Edge Chakra JIT - Stack-to-Heap Copy CVE-2018-0776 0 0 0 0 5884775109793280433 +exploitdb:51108 2023-03-28 2023-06-19 zetc0de t BoxBilling<=4.22.1.5 - Remote Code Execution (RCE) CVE-2022-3552 0 0 0 0 9050518603793672113 +exploitdb:48335 2020-04-16 2020-04-16 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/playsms_template_injection.rb PlaySMS - index.php Unauthenticated Template Injection Code Execution (Metasploit) CVE-2020-8644 Metasploit Framework (MSF) 0 0 0 0 8417024055239247617 +exploitdb:50717 2022-02-08 2022-02-08 FEBIN MON SAJI f FileBrowser 2.17.2 - Cross Site Request Forgery (CSRF) to Remote Code Execution (RCE) CVE-2021-46398 0 0 0 0 4268003576913202012 +exploitdb:51073 2023-03-27 2023-06-09 SimranJeet Singh t Grafana <=6.2.4 - HTML Injection CVE-2019-13068 0 0 0 0 3672706136056438629 +exploitdb:40291 2016-08-23 2016-08-23 Kaslov Dmitri t Eye of Gnome 3.10.2 - GMarkup Out of Bounds Write CVE-2016-6855 0 0 0 0 8611201572715427011 +exploitdb:50706 2022-02-02 2022-02-02 Ceylan BOZOĞULLARINDAN f WordPress Plugin Learnpress 4.1.4.1 - Arbitrary Image Renaming CVE-2022-0377 0 0 0 0 6426321419952394592 +exploitdb:42978 2017-10-12 2017-11-17 Ishaq Mohammed f OctoberCMS 1.0.425 (Build 425) - Cross-Site Scripting CVE-2017-15284 0 0 0 0 4269841770906664899 +exploitdb:52020 2024-05-19 2024-05-19 Abdualhadi khalifa f Apache OFBiz 18.12.12 - Directory Traversal CVE-2024-32113 0 0 0 0 45678495687954961 +exploitdb:48297 2020-04-06 2021-03-17 Matthew Aberegg t LimeSurvey 4.1.11 - 'File Manager' Path Traversal CVE-2020-11455 0 0 0 0 4141731228100590521 +exploitdb:44449 2018-04-13 2019-04-12 Hans Topo & g0tmi1k t https://github.com/dreadlocked/Drupalgeddon2/blob/16cac1b2336d38642f75eb7b7e2c833b2c3f49b1/drupalgeddon2.rb Drupal < 7.58 / < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution CVE-2018-7600 Remote 0 0 0 0 471829365367853004 +exploitdb:51030 2022-11-11 2022-11-18 Emir Polat f CVAT 2.0 - Server Side Request Forgery CVE-2022-31188 0 0 0 0 3253423049868095102 +exploitdb:42139 2017-02-17 2017-06-07 Agostino Sarubbo t http://seclists.org/oss-sec/2017/q1/458 Artifex MuPDF mujstest 1.10a - Null Pointer Dereference CVE-2017-6060 0 0 0 0 6952226805814558374 +exploitdb:47459 2019-10-03 2019-10-03 Tijme Gommers f AnchorCMS < 0.12.3a - Information Disclosure CVE-2018-7251 0 0 0 0 1653117458921431564 +exploitdb:49942 2021-06-03 2021-06-03 Piyush Patil f FUDForum 3.1.0 - 'srch' Reflected XSS CVE-2021-27519 0 0 0 0 6656817638378000244 +exploitdb:52597 2026-05-29 2026-05-29 Diamorphine f Langflow 1.3.0 - Remote Code Execution CVE-2026-0770 0 0 0 0 7788044611279342558 +exploitdb:49772 2021-04-15 2021-04-15 nu11secur1ty f htmly 2.8.0 - 'description' Stored Cross-Site Scripting (XSS) CVE-2021-30637 0 0 0 0 6713191702423121666 +exploitdb:52228 2025-04-16 2025-04-16 Ayato Shitomi @ Fore-Z co.ltd f Teedy 1.11 - Account Takeover via Stored Cross-Site Scripting (XSS) CVE-2024-46278 0 0 0 0 5235262368363898507 +exploitdb:47393 2019-09-16 2020-06-18 Bogdan Kurinnoy f Notepad++ < 7.7 (x64) - Denial of Service CVE-2019-16294 0 0 0 0 3594265444426070095 +exploitdb:51465 2023-05-23 2023-05-23 Astik Rawat f Webkul Qloapps 1.5.2 - Cross-Site Scripting (XSS) CVE-2023-30256 0 0 0 0 2762692469127232336 +exploitdb:34419 2014-08-26 2014-08-26 Steffen Bauch f ntopng 1.2.0 - Cross-Site Scripting Injection CVE-2014-5464 0 0 0 0 8578237597455489946 +exploitdb:48942 2020-10-23 2020-11-13 Mayank Deshmukh t Bludit 3.9.2 - Auth Bruteforce Bypass CVE-2019-17240 0 0 0 0 7431294900556912969 +exploitdb:46080 2019-01-07 2019-01-07 0xB9 f MyBB OUGC Awards Plugin 1.8.3 - Persistent Cross-Site Scripting CVE-2019-3501 Cross-Site Scripting (XSS) 0 0 0 0 7884845568218852802 +exploitdb:42389 2017-07-28 2017-07-28 qflb.wu f SoundTouch 1.9.2 - Multiple Vulnerabilities CVE-2017-9260 Denial of Service (DoS) 0 0 0 0 6292542711667612762 +exploitdb:40899 2016-12-11 2016-12-12 Silverfox f OpenSSL 1.1.0a/1.1.0b - Denial of Service CVE-2016-7054 0 0 0 0 1219379434860587706 +exploitdb:42600 2017-09-01 2017-09-01 Ke Liu f https://github.com/uclouvain/openjpeg/issues/835 OpenJPEG - 'mqc.c' Heap Buffer Overflow CVE-2016-10504 0 0 0 0 862777989347715886 +exploitdb:44913 2018-06-20 2018-07-13 Cody Zacharias t Apache CouchDB < 2.1.0 - Remote Code Execution CVE-2017-12636 0 0 0 0 866826032959080345 +exploitdb:49067 2020-11-17 2020-11-17 Matt S f Aerospike Database 5.1.0.3 - OS Command Execution CVE-2020-13151 0 0 0 0 2182387111032477344 +exploitdb:38836 2015-12-01 2015-12-01 Dolev Farhi f ntop-ng 2.0.151021 - Privilege Escalation CVE-2015-8368 0 0 0 0 5376247150208551398 +exploitdb:45263 2018-08-27 2021-03-15 Jeffery M f Libpango 1.40.8 - Denial of Service (PoC) CVE-2018-15120 Denial of Service (DoS) 0 0 0 0 8542312754297544288 +exploitdb:43141 2017-11-13 2017-11-14 Rick Osgood f Ulterius Server < 1.9.5.0 - Directory Traversal CVE-2017-16806 0 0 0 0 3232447447541064403 +exploitdb:48139 2020-02-26 2020-02-26 Qualys Corporation f https://www.openwall.com/lists/oss-security/2020/02/24/4/1 OpenSMTPD 6.6.3 - Arbitrary File Read CVE-2020-8793 0 0 0 0 5412797500439686663 +exploitdb:50037 2021-06-21 2021-06-21 Ron Jost f OpenEMR 5.0.1.7 - 'fileName' Path Traversal (Authenticated) CVE-2019-14530 0 0 0 0 6589075622111108454 +exploitdb:51181 2023-04-01 2023-06-06 Antonio Francesco Sardella t GitLab v15.3 - Remote Code Execution (RCE) (Authenticated) CVE-2022-2884 0 0 0 0 1013994655284810258 +exploitdb:52439 2025-10-29 2025-10-29 Van Lam Nguyen f Casdoor 2.95.0 - Cross-Site Request Forgery (CSRF) CVE-2023-34927 0 0 0 0 6312838202116085202 +exploitdb:43009 2017-10-17 2017-10-17 Michael Stepankin & Olga Barinova t Apache Solr 7.0.1 - XML External Entity Expansion / Remote Code Execution CVE-2017-12629 0 0 0 0 280120457548873987 +exploitdb:42033 2017-05-19 2017-05-22 Mateus Lino f Joomla! 3.7.0 - 'com_fields' SQL Injection CVE-2017-8917 SQL Injection (SQLi) 0 0 0 0 7541971172068603580 +exploitdb:39535 2016-03-09 2016-10-10 Hacker Fantastic t Exim 4.84-3 - Local Privilege Escalation CVE-2016-1531 0 0 0 0 880757656078806507 +exploitdb:42999 2017-10-17 2017-11-22 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1338 Microsoft Edge Chakra - 'StackScriptFunction::BoxState::Box' Accesses to Uninitialized Pointers (Denial of Service) CVE-2017-11809 0 0 0 0 952305860058944830 +exploitdb:47515 2019-10-16 2019-10-16 Valerio Brussani f Whatsapp 2.19.216 - Remote Code Execution CVE-2019-11932 0 0 0 0 1005169816117041442 +exploitdb:46053 2018-12-10 2018-12-24 evict f https://github.com/evict/poc_CVE-2018-1002105/blob/f704f2e593fbb686b4a5799dc13e8bfcec13f3c3/poc.py Kubernetes - (Authenticated) Arbitrary Requests CVE-2018-1002105 0 0 0 0 6959842371588870987 +exploitdb:40970 2016-12-25 2016-12-28 Dawid Golunski f https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln.html PHPMailer < 5.2.18 - Remote Code Execution CVE-2016-10033 0 0 0 0 3292128494193350412 +exploitdb:51892 2024-03-14 2024-03-14 DEFCESCO f KiTTY 0.76.1.13 - Command Injection CVE-2024-23749 0 0 0 0 3144379677301440049 +exploitdb:46820 2019-05-10 2019-05-13 Alexandre Basquin t Cortex Unshortenlink Analyzer < 1.1 - Server-Side Request Forgery CVE-2019-7652 Server-Side Request Forgery (SSRF) 0 0 0 0 7739073539423625253 +exploitdb:46177 2019-01-16 2019-03-17 Magnus Klaaborg Stubman t https://dumpco.re/bugs/ntpsec-authed-npe NTPsec 1.1.2 - 'ntp_control' (Authenticated) NULL Pointer Dereference (PoC) CVE-2019-6445 Denial of Service (DoS) 0 0 0 0 3706042301565602987 +exploitdb:52447 2025-12-03 2025-12-03 CodeSecLab f openSIS Community Edition 8.0 - SQL Injection CVE-2021-40617 0 0 0 0 1388473172436315294 +exploitdb:49935 2021-06-03 2021-06-03 Piyush Patil f Seo Panel 4.8.0 - 'from_time' Reflected XSS CVE-2021-28420 0 0 0 0 8428088909920868189 +exploitdb:50853 2022-04-07 2022-04-07 Chetanya Sharma f minewebcms 1.15.2 - Cross-site Scripting (XSS) CVE-2022-1163 0 0 0 0 7568998161031011669 +exploitdb:45053 2018-07-18 2018-07-18 Ranjeet Jaiswal f Open-AudIT Community 2.1.1 - Cross-Site Scripting CVE-2018-11124 Cross-Site Scripting (XSS) 0 0 0 0 1694295412968018474 +exploitdb:49910 2021-05-27 2021-05-27 Debshubra Chakraborty f Postbird 0.8.4 - Javascript Injection CVE-2021-33570 0 0 0 0 7351551258423531921 +exploitdb:51002 2022-08-09 2022-08-09 Shivam Singh f Feehi CMS 2.1.1 - Stored Cross-Site Scripting (XSS) CVE-2022-34140 0 0 0 0 6366357656119798444 +exploitdb:39813 2016-05-16 2016-05-16 Dawid Golunski f http://legalhackers.com/advisories/CakePHP-IP-Spoofing-Vulnerability.txt CakePHP Framework 3.2.4 - IP Spoofing CVE-2016-4793 0 0 0 0 6758549592101133952 +exploitdb:52606 2026-05-30 2026-05-30 Kavin Jindal f Notepad++ 8.9.6 - Arbitrary Code Execution CVE-2026-48778 0 0 0 0 5067015981597913496 +exploitdb:52346 2025-06-26 2025-06-26 Huseyin Mardinli f Social Warfare WordPress Plugin 3.5.2 - Remote Code Execution (RCE) CVE-2019-9978 0 0 0 0 6236385501321466854 +exploitdb:52475 2026-02-04 2026-02-04 Beatriz Fresno Naumova f Ingress-NGINX Admission Controller v1.11.1 - FD Injection to RCE CVE-2025-24514 0 0 0 0 5294564205579306884 +exploitdb:44421 2018-04-09 2018-04-09 Sureshbabu Narvaneni f WolfCMS 0.8.3.1 - Open Redirection CVE-2018-8813 0 0 0 0 4039117901632475481 +exploitdb:43468 2018-01-09 2018-01-09 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1385 Microsoft Edge Chakra - 'asm.js' Out-of-Bounds Read CVE-2017-11911 0 0 0 0 3831272100169565060 +exploitdb:52459 2025-12-03 2025-12-03 CodeSecLab f phpMyFAQ 2.9.8 - Cross-Site Request Forgery(CSRF) CVE-2017-15734 0 0 0 0 7297747407608057839 +exploitdb:52400 2025-08-11 2025-08-11 Byte Reaper f atjiu pybbs 6.0.0 - Cross Site Scripting (XSS) CVE-2025-8550 0 0 0 0 7401186671673817404 +exploitdb:52476 2026-02-04 2026-02-04 prabhat f OctoPrint 1.11.2 - File Upload CVE-2025-58180 0 0 0 0 8743304332205078114 +exploitdb:51716 2023-09-08 2023-09-08 Miguel Santareno f Wordpress Plugin Elementor 3.5.5 - Iframe Injection CVE-2022-4953 0 0 0 0 4001548062300041549 +exploitdb:50794 2022-03-02 2022-03-02 Rik Lutz f Xerte 3.10.3 - Directory Traversal (Authenticated) CVE-2021-44665 0 0 0 0 8467554628040513153 +exploitdb:46967 2019-06-05 2019-06-05 k8gege f Zimbra < 8.8.11 - XML External Entity Injection / Server-Side Request Forgery CVE-2019-9621 XML External Entity (XXE) 0 0 0 0 5472629067502891209 +exploitdb:9606 2009-09-09 \N Jeremy Brown t Apple Safari 3.2.3 (Windows x86) - JavaScript 'eval' Remote Denial of Service CVE-2009-3272 0 0 0 0 5062546769975871050 +exploitdb:52262 2025-04-18 2025-04-18 VeryLazyTech f Langflow 1.3.0 - Remote Code Execution (RCE) CVE-2025-3248 0 0 0 0 7080143957731812865 +exploitdb:52519 2026-04-29 2026-04-29 unico007x f GUnet OpenEclass E-learning platform < 4.2 - Remote Code Execution (RCE) CVE-2026-22241 0 0 0 0 1896427712002962478 +exploitdb:39638 2016-03-30 2016-03-30 Stelios Tsampas f Kamailio 4.3.4 - Heap Buffer Overflow CVE-2016-2385 0 0 0 0 6902216679847646745 +exploitdb:44391 2018-04-02 2018-04-02 Sureshbabu Narvaneni f OpenCMS 10.5.3 - Cross-Site Request Forgery CVE-2018-8811 0 0 0 0 2186129411094785156 +exploitdb:46691 2019-04-12 2019-04-22 AkkuS f ATutor < 2.2.4 - 'file_manager' Remote Code Execution (Metasploit) CVE-2019-11446 Metasploit Framework (MSF) 0 0 0 0 5634379599514481292 +exploitdb:52274 2025-04-22 2025-04-22 Milad karimi f WordPress Core 6.2 - Directory Traversal CVE-2023-2745 0 0 0 0 8142917398232220133 +exploitdb:48300 2020-04-06 2020-04-07 Matthew Aberegg f pfSense 2.4.4-P3 - 'User Manager' Persistent Cross-Site Scripting CVE-2020-11457 0 0 0 0 2463575676762478613 +exploitdb:45790 2018-11-06 2018-11-06 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/a32d8083f023c1445f411b74b8f85de5754cd3a0/modules/exploits/unix/webapp/jquery_file_upload.rb blueimp's jQuery 9.22.0 - (Arbitrary) File Upload (Metasploit) CVE-2018-9206 Metasploit Framework (MSF) 0 0 0 0 6949888862001194268 +exploitdb:45340 2018-09-06 2018-09-11 Javier Olmedo t Jorani Leave Management 0.6.5 - (Authenticated) 'startdate' SQL Injection CVE-2018-15918 SQL Injection (SQLi) 0 0 0 0 3228226836499278762 +exploitdb:48516 2020-05-26 2020-05-26 Kamaljeet Kumar f Open-AudIT 3.3.0 - Reflective Cross-Site Scripting (Authenticated) CVE-2020-12261 0 0 0 0 3296490458975446147 +exploitdb:47413 2019-09-24 2020-06-18 Nassim Asrir f Pfsense 2.3.4 / 2.4.4-p3 - Remote Code Injection CVE-2019-16701 0 0 0 0 4074179150657056810 +exploitdb:17719 2011-08-26 2011-08-26 Metasploit t http://secunia.com/advisories/20107/ RealVNC - Authentication Bypass (Metasploit) CVE-2006-2369 Metasploit Framework (MSF) 0 0 0 0 7240484570895291187 +exploitdb:52235 2025-04-16 2025-04-16 Geo f phpMyFAQ 3.2.10 - Unintended File Download Triggered by Embedded Frames CVE-2024-55889 0 0 0 0 1473191547956677825 +exploitdb:49112 2020-11-27 2020-11-27 Xavi Beltran f Laravel Administrator 4 - Unrestricted File Upload (Authenticated) CVE-2020-10963 0 0 0 0 1696253023620199902 +exploitdb:44475 2018-04-17 2018-04-17 Sahil Tikoo f Brave Browser < 0.13.0 - 'window.close(self)' Denial of Service CVE-2016-10718 0 0 0 0 9100260824621723135 +exploitdb:46496 2019-03-04 2019-03-04 Ismail Tasdelen f Craft CMS 3.1.12 Pro - Cross-Site Scripting CVE-2019-9554 Cross-Site Scripting (XSS) 0 0 0 0 5065017248243807821 +exploitdb:51235 2023-04-03 2023-04-24 r3nt0n t Paid Memberships Pro v2.9.8 (WordPress Plugin) - Unauthenticated SQL Injection CVE-2023-23488 0 0 0 0 9093391761914916658 +exploitdb:41192 2017-01-26 2017-01-30 Guido Vranken f https://github.com/guidovranken/CVE-2017-3730/blob/98cca4c8c706c6b3ff8b6f2fc9fb2e8c956f3263/crash-postfix.c OpenSSL 1.1.0 - Remote Client Denial of Service CVE-2017-3730 0 0 0 0 8214183665452367900 +exploitdb:50260 2021-09-06 2021-09-06 Allen Enosh Upputori f OpenEMR 6.0.0 - 'noteid' Insecure Direct Object Reference (IDOR) CVE-2021-40352 0 0 0 0 722679511604416018 +exploitdb:47073 2019-07-03 2019-07-03 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/windows/http/tomcat_cgi_cmdlineargs.rb Apache Tomcat - CGIServlet enableCmdLineArguments Remote Code Execution (Metasploit) CVE-2019-0232 Metasploit Framework (MSF) 0 0 0 0 6435040710269592762 +exploitdb:51591 2023-07-15 2023-07-15 abhishek morla f WinterCMS < 1.2.3 - Persistent Cross-Site Scripting CVE-2023-37269 0 0 0 0 770312589045892377 +exploitdb:50438 2021-10-22 2021-10-22 Mayank Deshmukh f Jetty 9.4.37.v20210219 - Information Disclosure CVE-2021-28164 0 0 0 0 2206232269072711782 +exploitdb:44846 2018-06-06 2018-06-06 Wei Lei and Liu Yang t PHP 7.2.2 - 'php_stream_url_wrap_http_ex' Buffer Overflow CVE-2018-7584 0 0 0 0 172413218752049702 +exploitdb:42324 2017-07-07 2018-05-17 Vex Woo t https://github.com/nixawk/labs/blob/943764ccb3b36a419729062f23972fd0d726bd24/CVE-2017-9791/exploit_S2-048.py Apache Struts 2.3.x Showcase - Remote Code Execution CVE-2017-9791 0 0 0 0 7078115743085831679 +exploitdb:49818 2021-05-03 2021-05-03 nu11secur1ty f Piwigo 11.3.0 - 'language' SQL CVE-2021-27973 0 0 0 0 8261121451607392859 +exploitdb:39702 2016-04-15 2016-04-15 Metasploit t Exim - 'perl_startup' Local Privilege Escalation (Metasploit) CVE-2016-1531 Metasploit Framework (MSF) 0 0 0 0 2324585809941419653 +exploitdb:52141 2025-04-08 2025-04-08 xOryus f jQuery 3.3.1 - Prototype Pollution & XSS Exploit CVE-2020-7656 0 0 0 0 3351464804878358564 +exploitdb:51384 2023-04-20 2023-04-20 nu11secur1ty f Linux Kernel 6.2 - Userspace Processes To Enable Mitigation CVE-2023-1998 0 0 0 0 6060363056853382723 +exploitdb:43000 2017-10-17 2017-10-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1334 Microsoft Edge Chakra JIT - 'RegexHelper::StringReplace' Must Call the Callback Function with Updating ImplicitCallFlags CVE-2017-11802 0 0 0 0 4799981370419924098 +exploitdb:41993 2017-05-11 2017-05-11 QuarksLab t https://ostif.org/the-openvpn-2-4-0-audit-by-ostif-and-quarkslab-results/ OpenVPN 2.4.0 - Denial of Service CVE-2017-7478 Denial of Service (DoS) 0 0 0 0 174373751287308315 +exploitdb:45046 2018-07-16 2018-07-18 Charles Fol f https://github.com/ambionics/prestashop-exploits/blob/3bcb6af9954c03f269623c4752788f8de80602b9/prestashop_aes_cbc/prestashop_cbc_read.py PrestaShop < 1.6.1.19 - 'AES CBC' Privilege Escalation CVE-2018-13784 0 0 0 0 2755141026553313559 +exploitdb:50101 2021-07-06 2021-07-06 faisalfs10x f Pallets Werkzeug 0.15.4 - Path Traversal CVE-2019-14322 0 0 0 0 3484534001915116421 +exploitdb:39569 2016-03-16 2018-01-11 tintinweb f https://github.com/tintinweb/pub/tree/e8fe09e2123f07f09e3f8e34fc4e3e58fe804fd4/pocs/cve-2016-3115 OpenSSH 7.2p1 - (Authenticated) xauth Command Injection CVE-2016-3115 0 0 0 0 465136509745853385 +exploitdb:44803 2018-05-30 2018-05-30 Carlo Pelliccioni f Yosoro 1.0.4 - Remote Code Execution CVE-2018-11522 0 0 0 0 6401181206037661800 +exploitdb:49642 2021-03-15 2021-04-26 Balaji Ayyasamy f Zenario CMS 8.8.53370 - 'id' Blind SQL Injection CVE-2021-26830 0 0 0 0 6442998337853113438 +exploitdb:49154 2020-12-02 2021-04-21 zetc0de f WonderCMS 3.1.3 - Authenticated SSRF to Remote Remote Code Execution CVE-2020-35313 0 0 0 0 650817034855260318 +exploitdb:39919 2016-06-10 2016-06-10 Metasploit t Apache Struts - REST Plugin With Dynamic Method Invocation Remote Code Execution (Metasploit) CVE-2016-3087 Metasploit Framework (MSF) 0 0 0 0 5102263326841978539 +exploitdb:43899 2018-01-25 2018-01-26 Wflki f https://medium.com/@Wflki/exploiting-electron-rce-in-exodus-wallet-d9e6db13c374 Exodus Wallet (ElectronJS Framework) - Remote Code Execution CVE-2018-1000006 0 0 0 0 5730254569142056830 +exploitdb:52335 2025-06-15 2025-06-15 Cristian Branet f Skyvern 0.1.85 - Remote Code Execution (RCE) via SSTI CVE-2025-49619 0 0 0 0 4292106059605728390 +exploitdb:45385 2018-09-12 2018-09-12 Marouene Boubakri f Rubedo CMS 3.4.0 - Directory Traversal CVE-2018-16836 0 0 0 0 2012972055785569951 +exploitdb:49767 2021-04-14 2021-04-14 Central InfoSec f jQuery 1.0.3 - Cross-Site Scripting (XSS) CVE-2020-11023 0 0 0 0 8451702055042654661 +exploitdb:51217 2023-04-03 2023-04-03 n3m1.sys f sudo 1.8.0 to 1.9.12p1 - Privilege Escalation CVE-2023-22809 0 0 0 0 8656275321613066856 +exploitdb:44247 2018-03-05 2018-03-05 Positive Technologies f https://github.com/kirillwow/ids_bypass Suricata < 4.0.4 - IDS Detection Bypass CVE-2018-6794 0 0 0 0 8799479402154710373 +exploitdb:52227 2025-04-16 2025-04-16 The Kernel Panic f https://drive.google.com/file/d/14bnNaCRmFOQvPHUR9zQwdbjMmzKE2pZl/view?usp=drive_link Hugging Face Transformers MobileViTV2 4.41.1 - Remote Code Execution (RCE) CVE-2024-11392 0 0 0 0 613762935451065951 +exploitdb:40109 2016-07-13 2016-07-13 Julien Ahrens f Apache Archiva 1.3.9 - Multiple Cross-Site Request Forgery Vulnerabilities CVE-2016-4469 0 0 0 0 6408033826546232811 +exploitdb:51000 2022-08-02 2022-08-02 Aaron Esau f uftpd 2.10 - Directory Traversal (Authenticated) CVE-2020-20277 0 0 0 0 8936057877456609307 +exploitdb:42934 2017-10-02 2018-01-11 Sysdream t phpCollab 2.5.1 - Arbitrary File Upload CVE-2017-6090 0 0 0 0 6319809618535734601 +exploitdb:51020 2022-09-23 2023-08-02 UnD3sc0n0c1d0 t Wordpress Plugin WP-UserOnline 2.88.0 - Stored Cross Site Scripting (XSS) CVE-2022-2941 0 0 0 0 2852075689001123475 +exploitdb:45947 2018-12-04 2018-12-04 Mohammed Abdul Raheem f DomainMOD 4.11.01 - Custom SSL Fields Cross-Site Scripting CVE-2018-19751 Cross-Site Scripting (XSS) 0 0 0 0 7846484076868370810 +exploitdb:42946 2017-10-02 2017-10-02 Google Security Research t https://raw.githubusercontent.com/google/security-research-pocs/master/vulnerabilities/dnsmasq/CVE-2017-14496.py Dnsmasq < 2.78 - Integer Underflow CVE-2017-14496 0 0 0 0 7759048725112864443 +exploitdb:52454 2025-12-03 2025-12-03 CodeSecLab f MobileDetect 2.8.31 - Cross-Site Scripting (XSS) CVE-2018-25080 0 0 0 0 8005517256206329085 +exploitdb:42745 2017-09-18 2017-09-19 Hanno Bock f https://github.com/hannob/optionsbleed/blob/e297ce13cfb0f338b2cabfb81a70349fd6925f82/optionsbleed Apache < 2.2.34 / < 2.4.27 - OPTIONS Memory Leak CVE-2017-9798 0 0 0 0 5051254363726058153 +exploitdb:52166 2025-04-11 2025-04-13 CodeSecLab f flatCore 1.5 - Cross Site Request Forgery (CSRF) CVE-2019-13961 0 0 0 0 3783747304596270150 +exploitdb:46359 2019-02-12 2019-02-14 feexd f https://github.com/feexd/pocs/tree/a5aac58e0935a505c034b5f9e6cf35c1fc67471d/CVE-2019-5736 runc < 1.0-rc6 (Docker < 18.09.2) - Container Breakout (1) CVE-2019-5736 Local 0 0 0 0 8226019121707349371 +exploitdb:44059 2017-08-03 2018-02-15 SecuriTeam f https://blogs.securiteam.com/index.php/archives/3454 Horde Groupware 5.2.21 - Unauthorized File Download CVE-2017-15235 0 0 0 0 6849542187345846463 +exploitdb:52083 2025-03-18 2025-03-18 Mohamed Kamel BOUZEKRIA f Chamilo LMS 1.11.24 - Remote Code Execution (RCE) CVE-2023-4220 0 0 0 0 8304687197856754799 +exploitdb:48147 2020-03-02 2020-03-02 Javier Olmedo f Joplin Desktop 1.0.184 - Cross-Site Scripting CVE-2020-9038 0 0 0 0 2900602993446285042 +exploitdb:41356 2017-02-14 2017-02-14 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1072 ntfs-3g - Unsanitized modprobe Environment Privilege Escalation CVE-2017-0358 Local 0 0 0 0 2640334889523933627 +exploitdb:44409 2018-04-05 2018-05-03 Stefan Broeder f WordPress Plugin Activity Log 2.4.0 - Cross-Site Scripting CVE-2018-8729 0 0 0 0 8268255686665721440 +exploitdb:45671 2018-10-24 2018-10-25 hackk.gr f exim 4.90 - Remote Code Execution CVE-2018-6789 Remote 0 0 0 0 1118497809605322166 +exploitdb:52413 2025-08-18 2025-08-18 Gurjot Singh f RiteCMS 3.0.0 - Reflected Cross Site Scripting (XSS) CVE-2024-28623 0 0 0 0 2862822116811140456 +exploitdb:46974 2019-06-05 2019-06-07 Qualys Corporation f https://lwn.net/Articles/790553/ Exim 4.87 < 4.91 - (Local / Remote) Command Execution CVE-2019-10149 0 0 0 0 3005979579777539096 +exploitdb:49960 2021-06-07 2021-10-28 enox t Rocket.Chat 3.12.1 - NoSQL Injection (Unauthenticated) CVE-2021-22911 0 0 0 0 4253020006059322836 +exploitdb:1794 2006-05-15 2016-09-14 H D Moore t http://secunia.com/advisories/20107/ RealVNC 4.1.0 < 4.1.1 - VNC Null Authentication Bypass (Metasploit) CVE-2006-2369 Metasploit Framework (MSF) 0 0 0 0 2355293433357781853 +exploitdb:52539 2026-04-30 2026-04-30 Marshall Whittaker f HUSTOJ Zip-Slip v26.01.24 - RCE CVE-2026-24479 0 0 0 0 3917789162764349947 +exploitdb:44589 2018-05-06 2018-05-06 Youssef Mami f CSP MySQL User Manager 2.3.1 - Authentication Bypass CVE-2018-10757 0 0 0 0 5837735647946491529 +exploitdb:42299 2017-07-06 2017-07-06 team OWL337 t http://bugzilla.maptools.org/show_bug.cgi?id=2712 LibTIFF - 'tif_dirwrite.c' Denial of Service CVE-2017-10688 Denial of Service (DoS) 0 0 0 0 3989542109652316580 +exploitdb:51447 2023-05-23 2023-05-23 MaanVader f Apache Superset 2.0.0 - Authentication Bypass CVE-2023-27524 0 0 0 0 1530539993809146986 +exploitdb:51060 2023-03-25 2023-06-13 Sarang Tumne t Composr-CMS Version <=10.0.39 - Authenticated Remote Code Execution CVE-2021-46360 0 0 0 0 106272111776662531 +exploitdb:45202 2018-08-16 2018-09-11 Joshua Fam t OpenEMR 5.0.1.3 - (Authenticated) Arbitrary File Actions CVE-2018-15142 0 0 0 0 7340876401036916842 +exploitdb:46054 2018-12-27 2019-01-02 Raif Berkay Dincel f Craft CMS 3.0.25 - Cross-Site Scripting CVE-2018-20418 Cross-Site Scripting (XSS) 0 0 0 0 3768481199872634825 +exploitdb:52584 2026-05-27 2026-05-27 sixpain f Casdoor 3.54.1 - Arbitrary File Write via Path Traversal CVE-2026-6815 0 0 0 0 1782228321871865824 +exploitdb:49856 2021-05-10 2021-05-10 sl1nki f Microweber CMS 1.1.20 - Remote Code Execution (Authenticated) CVE-2020-28337 0 0 0 0 8402146400215096789 +exploitdb:49441 2021-01-19 2021-01-19 Talat Mehmood f osTicket 1.14.2 - SSRF CVE-2020-24881 0 0 0 0 1170534596571427588 +exploitdb:43233 2017-12-07 2017-12-08 Wireshark t https://www.wireshark.org/security/wnpa-sec-2017-49.html Wireshark 2.4.0 < 2.4.2 / 2.2.0 < 2.2.10 - CIP Safety Dissector Crash CVE-2017-17085 Denial of Service (DoS) 0 0 0 0 1776978896054642234 +exploitdb:43053 2017-10-25 2017-10-25 Ishaq Mohammed f KeystoneJS 4.0.0-beta.5 - CSV Excel Macro Injection CVE-2017-15879 0 0 0 0 3032315165109257606 +exploitdb:48746 2020-08-17 2020-11-13 Alexandre ZANNI t Bludit 3.9.2 - Authentication Bruteforce Mitigation Bypass CVE-2019-17240 0 0 0 0 6918928795280570838 +exploitdb:42084 2017-05-29 2017-09-06 Metasploit t https://github.com/rapid7/metasploit-framework/blob/ae22b4ccf4a3dde77ec339d83091b057aa7e9a77/modules/exploits/linux/samba/is_known_pipename.rb Samba 3.5.0 < 4.4.14/4.5.10/4.6.4 - 'is_known_pipename()' Arbitrary Module Load (Metasploit) CVE-2017-7494 Metasploit Framework (MSF) 0 0 0 0 2767808649093658570 +exploitdb:39514 2016-03-01 2016-03-01 Metasploit t ATutor 2.2.1 - SQL Injection / Remote Code Execution (Metasploit) CVE-2016-2555 Metasploit Framework (MSF) 0 0 0 0 3895273275894714611 +exploitdb:52114 2025-04-03 2025-04-13 Kjesper f Webmin Usermin 2.100 - Username Enumeration CVE-2024-44762 0 0 0 0 8329432910718932862 +exploitdb:42138 2017-06-07 2017-06-07 Kamil Frankowicz t https://bugs.ghostscript.com/show_bug.cgi?id=697500 Artifex MuPDF - Null Pointer Dereference CVE-2017-5991 0 0 0 0 7803969222718820094 +exploitdb:5688 2008-05-29 \N Stack t SyntaxCMS 1.3 - 'FCKeditor' Arbitrary File Upload CVE-2007-5156 0 0 0 0 7664107897083359765 +exploitdb:42221 2017-06-21 2017-08-03 phackt_ul f PHPMailer < 5.2.20 with Exim MTA - Remote Code Execution CVE-2016-10074 0 0 0 0 7265310801278596837 +exploitdb:41013 2017-01-09 2017-01-11 Computest f https://www.computest.nl/advisories/CT-2017-0109_Ansible.txt Ansible 2.1.4/2.2.1 - Command Execution CVE-2016-9587 0 0 0 0 885318190552315750 +exploitdb:52111 2025-04-03 2025-04-03 4m3rr0r f Vite 6.2.2 - Arbitrary File Read CVE-2025-30208 0 0 0 0 1181121331256098140 +exploitdb:40972 2016-12-28 2016-12-28 Dawid Golunski f https://legalhackers.com/advisories/SwiftMailer-Exploit-Remote-Code-Exec-CVE-2016-10074-Vuln.html SwiftMailer < 5.4.5-DEV - Remote Code Execution CVE-2016-10074 0 0 0 0 6244130251377256457 +exploitdb:48210 2020-03-11 2020-03-12 Andrea Cardaci f https://cardaci.xyz/advisories/2020/03/11/horde-groupware-webmail-edition-5.2.22-multiple-vulnerabilities-promote-file-upload-in-temp-folder-to-rce/ Horde Groupware Webmail Edition 5.2.22 - PHAR Loading CVE-2020-8866 0 0 0 0 2054346993533010680 +exploitdb:44826 2018-06-03 2018-06-15 xichao f GreenCMS 2.3.0603 - Cross-Site Request Forgery (Add Admin) CVE-2018-11671 Cross-Site Request Forgery (CSRF) 0 0 0 0 7391823881360573276 +exploitdb:52477 2026-02-04 2026-02-04 Beatriz Fresno Naumova f Redis 8.0.2 - RCE CVE-2025-32023 0 0 0 0 4976675074588474383 +exploitdb:44264 2018-03-05 2018-03-09 anonymous f https://pastebin.com/raw/ZiUeinae Memcached 1.5.5 - 'Memcrashed' Insufficient Control Network Message Volume Denial of Service (1) CVE-2018-1000115 0 0 0 0 7098478629474630589 +exploitdb:47044 2019-06-28 2019-06-28 Askar t https://gist.github.com/mhaskar/516df57aafd8c6e3a1d70765075d372d LibreNMS 1.46 - 'addhost' Remote Code Execution CVE-2018-20434 0 0 0 0 2415601762213824794 +exploitdb:41746 2017-03-27 2017-03-27 Sysdream f EyesOfNetwork (EON) 5.0 - Remote Code Execution CVE-2017-6087 0 0 0 0 6312093194370343769 +exploitdb:43665 2018-01-11 2018-01-17 Google Security Research t https://github.com/taviso/rbndr/tree/a189ffd9447ba78aa2702c5649d853b6fb612e3b Transmission - RPC DNS Rebinding CVE-2018-5702 0 0 0 0 376119813141800840 +exploitdb:45013 2018-07-12 2018-07-12 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1560 Microsoft Edge Chakra JIT - Type Confusion with Hoisted SetConcatStrMultiItemBE Instructions CVE-2018-8229 Type Confusion 0 0 0 0 7621389817293222337 +exploitdb:43021 2017-10-18 2017-10-20 Julien Ahrens f Check_MK 1.2.8p25 - Information Disclosure CVE-2017-14955 0 0 0 0 3024260665287360765 +exploitdb:45890 2018-11-19 2018-11-20 ttffdd f https://github.com/ttffdd/XBadManners/blob/800e9188da9358d932829e33e3c20e9c3466bc62/XBadManners.sh ImageMagick - Memory Leak CVE-2018-16323 0 0 0 0 2955621640916000597 +exploitdb:46525 2019-03-11 2019-04-22 AkkuS f Liferay CE Portal < 7.1.2 ga3 - Remote Command Execution (Metasploit) CVE-2019-11444 Metasploit Framework (MSF) 0 0 0 0 889483675931350134 +exploitdb:41570 2017-03-07 2018-09-11 Vex Woo t https://github.com/nixawk/labs/tree/17cf725d64f33ef51b820dea4fc1e6133f579d64/CVE-2017-5638 Apache Struts 2.3.5 < 2.3.31 / 2.5 < 2.5.10 - Remote Code Execution CVE-2017-5638 0 0 0 0 3260502275367713866 +exploitdb:52578 2026-05-26 2026-05-26 Mustafa Murat Akgül f Grav CMS 2.0.0-beta.2 - Remote Code Execution CVE-2026-42607 0 0 0 0 597474175725971091 +exploitdb:42779 2017-09-25 2017-09-26 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/4d1e51a0ffa8aadbfeef558fe52314d2f83ed227/modules/exploits/linux/http/supervisor_xmlrpc_exec.rb Supervisor 3.0a1 < 3.3.2 - XML-RPC (Authenticated) Remote Code Execution (Metasploit) CVE-2017-11610 Metasploit Framework (MSF) 0 0 0 0 5230193309810698967 +exploitdb:50179 2021-08-05 2021-08-05 splint3rsec f CMSuno 1.7 - 'tgo' Stored Cross-Site Scripting (XSS) (Authenticated) CVE-2021-36654 0 0 0 0 6528864240982029976 +exploitdb:52505 2026-04-09 2026-04-09 mmohammedheshamm f RomM 4.4.0 - XSS_CSRF Chain CVE-2025-65027 0 0 0 0 2570989076786507286 +exploitdb:50829 2022-03-16 2022-03-16 Ven3xy f Apache APISIX 2.12.1 - Remote Code Execution (RCE) CVE-2022-24112 0 0 0 0 2340793749119813433 +exploitdb:46471 2019-02-28 2019-03-08 AkkuS f Feng Office 3.7.0.5 - Remote Command Execution (Metasploit) CVE-2019-9623 0 0 0 0 1251331165425712971 +exploitdb:44973 2018-07-03 2018-07-03 Ioannis Profetis f ntop-ng < 3.4.180617 - Authentication Bypass CVE-2018-12520 Authentication Bypass / Credentials Bypass (AB/CB) 0 0 0 0 7075162068650130940 +exploitdb:45631 2018-10-16 2018-10-17 joernchen f https://gist.github.com/joernchen/38dd6400199a542bc9660ea563dcf2b6 Git Submodule - Arbitrary Code Execution CVE-2018-17456 0 0 0 0 8672682982991521313 +exploitdb:49808 2021-04-28 2021-04-28 Sreenath Raghunathan f Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS) CVE-2021-29460 0 0 0 0 8141657132620016657 +exploitdb:45561 2018-10-08 2019-03-17 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/8b955f8ec569edcedc4330476907fd9177cc4d13/modules/exploits/multi/http/navigate_cms_rce.rb Navigate CMS - (Unauthenticated) Remote Code Execution (Metasploit) CVE-2018-17553 Metasploit Framework (MSF) 0 0 0 0 3009859815635479158 +exploitdb:52457 2025-12-03 2025-12-03 CodeSecLab f MaNGOSWebV4 4.0.6 - Reflected XSS CVE-2017-6478 0 0 0 0 608989498340121399 +exploitdb:48716 2020-07-26 2020-07-26 Lucas Amorim f Rails 5.0.1 - Remote Code Execution CVE-2020-8163 0 0 0 0 6520358001841508672 +exploitdb:47385 2019-09-13 2019-09-13 Manuel García Cárdenas f phpMyAdmin 4.9.0.1 - Cross-Site Request Forgery CVE-2019-12922 Cross-Site Request Forgery (CSRF) 0 0 0 0 3092325530692947327 +exploitdb:52623 2026-07-07 2026-07-07 banyamer f Flowise 3.1.3 - arbitrary code execution CVE-2026-58057 0 0 0 0 6083529567685148290 +exploitdb:45150 2018-08-06 2018-08-08 Zeel Chavda f Subrion CMS 4.2.1 - Cross-Site Scripting CVE-2018-14840 Cross-Site Scripting (XSS) 0 0 0 0 1578791988286055233 +exploitdb:45024 2018-07-13 2018-07-13 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/b40a1467232a84c19b0c8f16a36e2b9973cab951/modules/exploits/windows/local/mov_ss.rb Microsoft Windows - POP/MOV SS Local Privilege Elevation (Metasploit) CVE-2018-8897 Metasploit Framework (MSF) 0 0 0 0 6526111761070104191 +exploitdb:40412 2016-09-22 2016-09-22 Manuel García Cárdenas f Exponent CMS 2.3.9 - Blind SQL Injection CVE-2016-7400 0 0 0 0 7820684537026565437 +exploitdb:52230 2025-04-16 2025-04-16 m4nb4 f Zabbix 7.0.0 - SQL Injection CVE-2024-42327 0 0 0 0 1211797079598789337 +exploitdb:49318 2020-12-22 2020-12-22 AkkuS t Webmin 1.962 - 'Package Updates' Escape Bypass RCE (Metasploit) CVE-2020-35606 0 0 0 0 5333312716735859600 +exploitdb:52154 2025-04-10 2025-04-13 Andrey Stoykov f Feng Office 3.11.1.2 - SQL Injection CVE-2024-6039 0 0 0 0 2481188395993515337 +exploitdb:52557 2026-05-13 2026-05-13 andersoncezar048 f Flowise < 3.0.5 - Missing Authentication for Critical Function CVE-2025-58434 0 0 0 0 6047234978117293218 +exploitdb:47438 2019-09-30 2019-09-30 Kevin Kirsche f phpIPAM 1.4 - SQL Injection CVE-2019-16692 SQL Injection (SQLi) 0 0 0 0 6461613963643208353 +exploitdb:45438 2018-09-19 2018-09-25 Manuel García Cárdenas f WordPress Plugin Wechat Broadcast 1.2.0 - Local File Inclusion CVE-2018-16283 File Inclusion (LFI/RFI) 0 0 0 0 8497502590050261494 +exploitdb:52453 2025-12-03 2025-12-03 CodeSecLab f phpIPAM 1.4 - SQL-Injection CVE-2019-16693 0 0 0 0 5572031248777635402 +exploitdb:44946 2018-06-26 2018-07-25 r4xis f PoDoFo 0.9.5 - Buffer Overflow (PoC) CVE-2018-8002 Buffer Overflow 0 0 0 0 9220861117579857222 +exploitdb:48442 2020-05-10 2020-05-11 Nick Frichette f https://github.com/Frichetten/CVE-2020-11108-PoC/blob/16cca4100e4e15f903d6cf08afec028bb12cf115/cve-2020-11108-rce.py Pi-hole < 4.4 - Authenticated Remote Code Execution CVE-2020-11108 0 0 0 0 2295662055622210622 +exploitdb:48250 2020-03-25 2020-05-11 SunCSR f LeptonCMS 4.5.0 - Persistent Cross-Site Scripting CVE-2020-12707 0 0 0 0 5294077418214447598 +exploitdb:47133 2019-07-17 2019-07-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1903 Linux - Broken Permission and Object Lifetime Handling for PTRACE_TRACEME CVE-2019-13272 Local 0 0 0 0 5268811555449155057 +exploitdb:40113 2016-07-18 2016-12-07 Eddie Harari f http://seclists.org/fulldisclosure/2016/Jul/51 OpenSSHd 7.2p2 - Username Enumeration CVE-2016-6210 0 0 0 0 2820529259387428345 +exploitdb:49932 2021-06-02 2021-06-02 Piyush Patil f Seo Panel 4.8.0 - 'category' Reflected XSS CVE-2021-28418 0 0 0 0 1531793261549680245 +exploitdb:45217 2018-08-17 2018-08-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1582 Microsoft Edge Chakra JIT - InitializeNumberFormat and InitializeDateTimeFormat Type Confusion CVE-2018-8298 Type Confusion 0 0 0 0 3589363330267659772 +exploitdb:40679 2016-11-01 2017-01-30 Dawid Golunski f https://legalhackers.com/advisories/MySQL-Maria-Percona-RootPrivEsc-CVE-2016-6664-5617-Exploit.html MySQL / MariaDB / PerconaDB 5.5.x/5.6.x/5.7.x - 'root' System User Privilege Escalation CVE-2016-6664 0 0 0 0 1496607433071009507 +exploitdb:50108 2021-07-07 2021-07-07 enox t Rocket.Chat 3.12.1 - NoSQL Injection to RCE (Unauthenticated) (2) CVE-2021-22911 0 0 0 0 9017923591436331266 +exploitdb:50828 2022-03-16 2022-03-16 FEBIN MON SAJI f Tiny File Manager 2.4.6 - Remote Code Execution (RCE) CVE-2021-45010 0 0 0 0 8398471692481269719 +exploitdb:47338 2019-09-02 2019-09-02 Aetsu f Alkacon OpenCMS 10.5.x - Cross-Site Scripting CVE-2019-13235 0 0 0 0 2163497264290212237 +exploitdb:48488 2020-05-19 2020-05-19 humblelad f Submitty 20.04.01 - Persistent Cross-Site Scripting CVE-2020-12882 0 0 0 0 8721866244616695100 +exploitdb:42433 2017-08-08 2017-08-08 qflb.wu f WildMIDI 0.4.2 - Multiple Vulnerabilities CVE-2017-11664 Denial of Service (DoS) 0 0 0 0 3221508239732327227 +exploitdb:42627 2017-09-06 2019-07-09 Warflop f Apache Struts 2.5 < 2.5.12 - REST Plugin XStream Remote Code Execution CVE-2017-9805 0 0 0 0 5432806988766234536 +exploitdb:52338 2025-06-20 2025-06-20 Likhith Appalaneni t Ingress-NGINX 4.11.0 - Remote Code Execution (RCE) CVE-2025-1974 0 0 0 0 7805426387022660283 +exploitdb:51226 2023-04-03 2023-05-24 Nuri Çilengir t Roxy WI v6.1.0.0 - Improper Authentication Control CVE-2022-31125 0 0 0 0 4621289931645834805 +exploitdb:47343 2019-09-02 2019-09-02 Mohammed Abdul Raheem f Craft CMS 2.7.9/3.2.5 - Information Disclosure CVE-2019-14280 0 0 0 0 4265493016252797046 +exploitdb:46726 2019-04-18 2019-04-18 Fakhri Zulkifli f Netwide Assembler (NASM) 2.14rc15 - NULL Pointer Dereference (PoC) CVE-2018-16517 Denial of Service (DoS) 0 0 0 0 5121921043413621350 +exploitdb:52443 2025-12-02 2025-12-02 CodeSecLab f Piwigo 13.6.0 - SQL Injection CVE-2023-33362 0 0 0 0 1877857622649793183 +exploitdb:50178 2021-08-04 2021-10-29 Adrián Díaz f ApacheOfBiz 17.12.01 - Remote Command Execution (RCE) CVE-2020-9496 0 0 0 0 4393316789980229590 +exploitdb:48185 2020-03-09 2020-03-09 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/local/opensmtpd_oob_read_lpe.rb OpenSMTPD - OOB Read Local Privilege Escalation (Metasploit) CVE-2020-8794 Metasploit Framework (MSF) 0 0 0 0 308156419122063777 +exploitdb:52551 2026-05-07 2026-05-07 9tamilmathi f ThingsBoard IoT Platform 4.2.0 - Server-Side Request Forgery (SSRF) CVE-2025-34282 0 0 0 0 7484322924846190869 +exploitdb:50979 2022-07-21 2022-08-01 Samy Younsi f OctoBot WebInterface 0.4.3 - Remote Code Execution (RCE) CVE-2021-36711 0 0 0 0 7140966092934832712 +exploitdb:50888 2022-04-26 2022-05-11 Greenwolf f Gitlab 14.9 - Authentication Bypass CVE-2022-1162 0 0 0 0 1210200949516002279 +exploitdb:51234 2023-04-03 2023-04-03 Nuri Çilengir f GLPI Cartography Plugin v6.0.0 - Unauthenticated Remote Code Execution (RCE) CVE-2022-34128 0 0 0 0 2687850759187707021 +exploitdb:51669 2023-08-08 2023-08-08 Daniel Barros f Pyro CMS 3.9 - Server-Side Template Injection (SSTI) (Authenticated) CVE-2023-29689 0 0 0 0 4206600888745145282 +exploitdb:32746 2009-01-20 2014-04-08 SecureState t https://www.securityfocus.com/bid/33365/info MoinMoin 1.8 - 'AttachFile.py' Cross-Site Scripting CVE-2009-0260 0 0 0 0 4531232952306417735 +exploitdb:44184 2018-02-27 2018-02-27 EnableSecurity t https://raw.githubusercontent.com/EnableSecurity/advisories/master/ES2018-01-asterisk-pjsip-subscribe-stack-corruption/README.md Asterisk chan_pjsip 15.2.0 - 'SUBSCRIBE' Stack Corruption CVE-2018-7284 Denial of Service (DoS) 0 0 0 0 6159710529175756629 +exploitdb:50525 2021-11-15 2021-11-16 Hosein Vita f PHP Laravel 8.70.1 - Cross Site Scripting (XSS) to Cross Site Request Forgery (CSRF) CVE-2021-43617 0 0 0 0 1995282842757726420 +exploitdb:42391 2017-07-28 2017-07-28 qflb.wu f libjpeg-turbo 1.5.1 - Denial of Service CVE-2017-9614 Denial of Service (DoS) 0 0 0 0 2228664548297996521 +exploitdb:43903 2018-01-28 2018-01-28 Andrea Sindoni f Artifex MuJS 1.0.2 - Denial of Service CVE-2018-6191 0 0 0 0 5702874608337726156 +exploitdb:44643 2018-05-17 2018-05-17 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/6ec0272ff5ca38c222d68febab4d154c5f96fd3f/modules/exploits/multi/http/struts2_code_exec_showcase.rb Apache Struts 2 - Struts 1 Plugin Showcase OGNL Code Execution (Metasploit) CVE-2017-9791 Metasploit Framework (MSF) 0 0 0 0 5834409148085766462 +exploitdb:45951 2018-12-04 2018-12-04 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1715 Wireshark - 'find_signature' Heap Out-of-Bounds Read CVE-2018-19627 Out Of Bounds 0 0 0 0 6611438732487107774 +exploitdb:50129 2021-07-15 2021-11-24 Simone Cristofaro f WordPress Plugin Popular Posts 5.3.2 - Remote Code Execution (RCE) (Authenticated) CVE-2021-42362 0 0 0 0 3541944941795482921 +exploitdb:48814 2020-09-16 2020-09-16 Iridium f Piwigo 2.10.1 - Cross Site Scripting CVE-2020-9467 0 0 0 0 9159221785747179477 +exploitdb:49085 2020-11-20 2021-01-06 Hemant Patidar t WonderCMS 3.1.3 - 'content' Persistent Cross-Site Scripting CVE-2020-29233 0 0 0 0 1740794937400574369 +exploitdb:49876 2021-05-17 2021-10-29 Fellipe Oliveira f Subrion CMS 4.2.1 - Arbitrary File Upload CVE-2018-19422 0 0 0 0 5618832221521139014 +exploitdb:48332 2020-04-16 2020-04-16 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/liferay_java_unmarshalling.rb Liferay Portal - Java Unmarshalling via JSONWS RCE (Metasploit) CVE-2020-7961 0 0 0 0 5864294645282372700 +exploitdb:42652 2017-09-11 2017-09-12 FarazPajohan f tcprewrite - Heap Buffer Overflow CVE-2017-14266 0 0 0 0 3504413038947105789 +exploitdb:48539 2020-06-02 2020-06-02 Kailash Bohara f OpenCart 3.0.3.2 - Stored Cross Site Scripting (Authenticated) CVE-2020-10596 0 0 0 0 8551597177631361080 +exploitdb:52229 2025-04-16 2025-04-16 xerosec f NagVis 1.9.33 - Arbitrary File Read CVE-2022-46945 0 0 0 0 2514008164661291799 +exploitdb:51039 2023-03-23 2023-03-23 Momen Eldawakhly f wkhtmltopdf 0.12.6 - Server Side Request Forgery CVE-2022-35583 0 0 0 0 5763855446085945557 +exploitdb:44805 2018-05-30 2018-07-13 Sysdream t Dolibarr ERP/CRM 7.0.0 - (Authenticated) SQL Injection CVE-2018-10094 SQL Injection (SQLi) 0 0 0 0 516180825396597626 +exploitdb:51109 2023-03-28 2023-03-28 Ryan Smith f Label Studio 1.5.0 - Authenticated Server Side Request Forgery (SSRF) CVE-2022-36551 0 0 0 0 6852045132689617032 +exploitdb:52150 2025-04-09 2025-04-13 Jeremia Geraldi Sihombing f ResidenceCMS 2.10.1 - Stored Cross-Site Scripting (XSS) CVE-2024-39143 0 0 0 0 3437273711225048684 +exploitdb:40195 2016-08-03 2016-08-03 Antti Levomäki t Wireshark 2.0.0 < 2.0.4 - MMSE / WAP / WBXML / WSP Dissectors Denial of Service CVE-2016-6512 0 0 0 0 7483493267610539425 +exploitdb:51329 2023-04-08 2023-04-08 Jacob Ebben f Icinga Web 2.10 - Arbitrary File Disclosure CVE-2022-24716 0 0 0 0 915672213799082674 +exploitdb:50924 2022-05-11 2022-05-11 Altelus f MyBB 1.8.29 - MyBB 1.8.29 - Remote Code Execution (RCE) (Authenticated) CVE-2022-24734 0 0 0 0 7553492301358050162 +exploitdb:49237 2020-12-11 2020-12-11 gx1 f Jenkins 2.235.3 - 'Description' Stored XSS CVE-2020-2230 0 0 0 0 1714571926630059860 +exploitdb:46495 2019-03-04 2019-03-04 Ismail Tasdelen f Bolt CMS 3.6.4 - Cross-Site Scripting CVE-2019-9553 Cross-Site Scripting (XSS) 0 0 0 0 9114532692336732110 +exploitdb:41824 2017-04-05 2017-04-06 rungga_reksya f HelpDEZK 1.1.1 - Cross-Site Request Forgery / Code Execution CVE-2017-7447 0 0 0 0 5163832242745732356 +exploitdb:52552 2026-05-07 2026-05-07 onurcangencbilkent f NocoBase 2.0.27 - VM Sandbox Escape CVE-2026-34156 0 0 0 0 3945972987687303811 +exploitdb:49721 2021-03-29 2021-03-29 Quadron Research Lab f Concrete5 8.5.4 - 'name' Stored XSS CVE-2021-3111 0 0 0 0 5520884122693957153 +exploitdb:51318 2023-04-07 2023-04-07 Arvandy f NotrinosERP 0.7 - Authenticated Blind SQL Injection CVE-2023-24788 0 0 0 0 4647125614591896835 +exploitdb:10338 2009-12-07 \N Jeremy Brown t Polipo 1.0.4 - Remote Memory Corruption (PoC) CVE-2009-4413 0 0 0 0 1009834350157904152 +exploitdb:50385 2021-10-07 2021-10-07 Kiran Ghimire t Google SLO-Generator 2.0.0 - Code Execution CVE-2021-22557 0 0 0 0 6191030842435049511 +exploitdb:52254 2025-04-17 2025-04-17 Kjesper f Usermin 2.100 - Username Enumeration CVE-2024-44762 0 0 0 0 1570922946502600109 +exploitdb:46540 2019-03-13 2019-08-05 Rhino Security Labs t https://rhinosecuritylabs.com/application-security/exploiting-cve-2018-1335-apache-tika/ Apache Tika-server < 1.18 - Command Injection CVE-2018-1335 Command Injection 0 0 0 0 7683638148250878284 +exploitdb:52358 2025-07-08 2025-07-08 İbrahimsql f Discourse 3.2.x - Anonymous Cache Poisoning CVE-2024-47773 0 0 0 0 7669838181958680196 +exploitdb:52444 2025-12-02 2025-12-02 CodeSecLab f phpIPAM 1.5.1 - SQL Injection CVE-2023-1211 0 0 0 0 1010600077068179980 +exploitdb:41965 2017-05-05 2017-05-05 SecuriTeam f https://blogs.securiteam.com/index.php/archives/3171 CloudBees Jenkins 2.32.1 - Java Deserialization CVE-2017-1000353 Denial of Service (DoS) 0 0 0 0 9190331446030812479 +exploitdb:45106 2018-07-30 2018-07-30 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1616 fusermount - user_allow_other Restriction Bypass and SELinux Label Control CVE-2018-10906 0 0 0 0 8282823887723045609 +exploitdb:44618 2018-05-13 2018-05-13 jiguang f WUZHI CMS 4.1.0 - 'tag[pinyin]' Cross-Site Scripting CVE-2018-10311 0 0 0 0 408678985583353032 +exploitdb:52568 2026-05-21 2026-05-21 Anthony Cihan f FUXA 1.2.9 - RCE CVE-2026-25895 0 0 0 0 3321765464221577843 +exploitdb:52432 2025-09-16 2025-09-17 Van Lam Nguyen f Casdoor 2.55.0 - Cross-Site Request Forgery (CSRF) CVE-2023-34927 0 0 0 0 798084870985056159 +exploitdb:52319 2025-06-09 2025-06-09 Mohammed Idrees Banyamer f Laravel Pulse 1.3.1 - Arbitrary Code Injection CVE-2024-55661 0 0 0 0 9039044922906176945 +exploitdb:39573 2016-03-20 2016-03-20 Tal Solomon of Palantir Security t Wildfly - 'WEB-INF' / 'META-INF' Information Disclosure via Filter Restriction Bypass CVE-2016-0793 0 0 0 0 2569009384584252929 +exploitdb:46788 2019-05-03 2019-05-03 Ramòn Janssen f Zotonic < 0.47.0 mod_admin - Cross-Site Scripting CVE-2019-11504 0 0 0 0 6226949177210253394 +exploitdb:40136 2016-07-20 2017-06-27 0_o f OpenSSH 7.2p2 - Username Enumeration CVE-2016-6210 0 0 0 0 93467970878997363 +exploitdb:49522 2021-02-03 2021-02-03 nu11secur1ty f Sudo 1.9.5p1 - 'Baron Samedit ' Heap-Based Buffer Overflow Privilege Escalation (2) CVE-2021-3156 0 0 0 0 4342919785621471196 +exploitdb:51056 2023-03-25 2023-03-25 Sarang Tumne f ImpressCMS v1.4.3 - Authenticated SQL Injection CVE-2022-26986 0 0 0 0 6604131212355683774 +exploitdb:50259 2021-09-03 2021-10-22 Eric Salario f OpenSIS 8.0 'modname' - Directory Traversal CVE-2021-40651 0 0 0 0 5401634970247222390 +exploitdb:46427 2019-02-19 2019-03-19 orange t https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html Jenkins Plugin Script Security < 1.50/Declarative < 1.3.4.1/Groovy < 2.61.1 - Remote Code Execution (PoC) CVE-2019-1003002 0 0 0 0 2054218525894939633 +exploitdb:46193 2019-01-18 2019-01-18 Mark E. Haase f https://gist.github.com/mehaase/63e45c17bdbbd59e8e68d02ec58f4ca2 SCP Client - Multiple Vulnerabilities (SSHtranger Things) CVE-2019-6111 0 0 0 0 5571052345181738450 +exploitdb:50809 2022-03-09 2022-03-09 faisalfs10x f Webmin 1.984 - Remote Code Execution (Authenticated) CVE-2022-0824 0 0 0 0 3402523906189262187 +exploitdb:49608 2021-03-02 2021-03-02 Mücahit Saratar t Zen Cart 1.5.7b - Remote Code Execution (Authenticated) CVE-2021-3291 0 0 0 0 3971786554441637888 +exploitdb:49726 2021-03-30 2021-10-29 boku f GetSimple CMS 3.3.16 - Persistent Cross-Site Scripting CVE-2020-23839 0 0 0 0 6248005127136153175 +exploitdb:43196 2017-11-28 2017-11-30 Fu2x2000 f WordPress Plugin WooCommerce 2.0/3.0 - Directory Traversal CVE-2017-17058 0 0 0 0 7877849284276554035 +exploitdb:40196 2016-08-03 2016-08-03 Igor t Wireshark 2.0.0 < 2.0.4 - CORBA IDL Dissectors Denial of Service CVE-2016-6503 0 0 0 0 451927279786627345 +exploitdb:49902 2021-05-24 2021-05-24 Ron Jost f Codiad 2.8.4 - Remote Code Execution (Authenticated) (2) CVE-2019-19208 0 0 0 0 2112340990902379945 +exploitdb:52583 2026-05-27 2026-05-27 Max Gabriel f EspoCRM 9.3.3 - SSRF CVE-2026-33534 0 0 0 0 1161789373971684780 +exploitdb:51262 2023-04-05 2023-04-05 Cristian Giustini f Apache Tomcat 10.1 - Denial Of Service CVE-2022-29885 0 0 0 0 8827127983313036393 +exploitdb:49769 2021-04-15 2021-04-15 nu11secur1ty f Horde Groupware Webmail 5.2.22 - Stored XSS CVE-2021-26929 0 0 0 0 3050193844323975630 +exploitdb:27801 2006-05-03 2013-08-23 Konstantin V. Gavrilenko t https://www.securityfocus.com/bid/17808/info Quagga Routing Software Suite 0.9x - RIPd RIPv1 Request Routing Table Disclosure CVE-2006-2223 0 0 0 0 8734834513833210922 +exploitdb:46760 2019-04-26 2019-04-26 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1771 systemd - DynamicUser can Create setuid Binaries when Assisted by Another Process CVE-2019-3844 0 0 0 0 1137476549566336012 +exploitdb:51741 2023-10-09 2023-10-09 1337kid f BoidCMS v2.0.0 - authenticated file upload vulnerability CVE-2023-38836 0 0 0 0 1499869645527116206 +exploitdb:47111 2019-07-12 2019-07-12 Ishaq Mohammed f Jenkins Dependency Graph View Plugin 0.13 - Persistent Cross-Site Scripting CVE-2019-10349 Cross-Site Scripting (XSS) 0 0 0 0 920090729551417188 +exploitdb:51019 2022-09-23 2022-09-23 Brandon Roach f Teleport v10.1.1 - Remote Code Execution (RCE) CVE-2022-36633 0 0 0 0 2918859437379523546 +exploitdb:43519 2018-01-11 2018-01-11 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/7e2c7837e5f204393ba187519e5e98afb4c88174/modules/exploits/unix/webapp/phpcollab_upload_exec.rb phpCollab 2.5.1 - File Upload (Metasploit) CVE-2017-6090 Metasploit Framework (MSF) 0 0 0 0 1340601739334250906 +exploitdb:44194 2018-02-27 2019-09-20 Chapman Schleiss f Concrete5 CMS < 8.3.0 - Username / Comments Enumeration CVE-2017-18195 0 0 0 0 4904341747378094882 +exploitdb:52080 2024-10-01 2025-04-03 Devrim Dıragumandan f openSIS 9.1 - SQLi (Authenticated) CVE-2024-46626 0 0 0 0 3929136924976822731 +exploitdb:44367 2018-03-30 2018-03-30 Stefan Broeder f WordPress Plugin Contact Form 7 to Database Extension 2.10.32 - CSV Injection CVE-2018-9035 0 0 0 0 3791001237693267564 +exploitdb:44910 2018-06-20 2018-06-20 ManhNho f MaDDash 2.0.2 - Directory Listing CVE-2018-12525 0 0 0 0 5274292968586311642 +exploitdb:52426 2025-09-16 2025-09-16 Madhusudhan Rajappa f HTTP/2 2.0 - Denial Of Service (DOS) CVE-2023-44487 0 0 0 0 7459929128805175559 +exploitdb:40986 2017-01-02 2017-01-02 Dawid Golunski f https://legalhackers.com/videos/PHPMailer-Exploit-Remote-Code-Exec-Vuln-CVE-2016-10033-PoC.html PHPMailer < 5.2.20 / SwiftMailer < 5.4.5-DEV / Zend Framework / zend-mail < 2.4.11 - 'AIO' 'PwnScriptum' Remote Code Execution CVE-2016-10074 0 0 0 0 3182152419560750302 +exploitdb:49346 2021-01-04 2021-01-04 icekam f Subrion CMS 4.2.1 - 'avatar[path]' XSS CVE-2020-35437 0 0 0 0 2515212233948950817 +exploitdb:43063 2017-10-28 2017-10-30 Nikhil Mittal f PHPMyFAQ 2.9.8 - Cross-Site Scripting (3) CVE-2017-15727 0 0 0 0 1800421665284442477 +exploitdb:44498 2018-04-23 2018-09-24 r4wd3r f Apache CouchDB 1.7.0 / 2.x < 2.1.1 - Remote Privilege Escalation CVE-2017-12635 0 0 0 0 6880506229083851840 +exploitdb:44899 2018-06-18 2018-06-18 Adam Greenhill f Nikto 2.1.6 - CSV Injection CVE-2018-11652 0 0 0 0 2750399870622842888 +exploitdb:49519 2021-02-03 2021-02-03 Noth f Pixelimity 1.0 - 'password' Cross-Site Request Forgery CVE-2020-23522 0 0 0 0 7539396477583947984 +exploitdb:44557 2018-04-30 2018-08-28 SixP4ck3r t Drupal < 7.58 - 'Drupalgeddon3' (Authenticated) Remote Code (Metasploit) CVE-2018-7602 Metasploit Framework (MSF) 0 0 0 0 5223446442697811123 +exploitdb:50590 2021-12-14 2021-12-14 leonjza f Apache Log4j2 2.14.1 - Information Disclosure CVE-2021-44228 0 0 0 0 4608562775792922618 +exploitdb:46551 2019-03-15 2019-03-15 Darryn Ten f Moodle 3.4.1 - Remote Code Execution CVE-2018-1133 0 0 0 0 8229841670274237549 +exploitdb:40963 2016-12-23 2016-12-23 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1009 OpenSSH < 7.4 - agent Protocol Arbitrary Library Loading CVE-2016-10009 0 0 0 0 5043467284846952371 +exploitdb:42300 2017-07-06 2017-07-06 team OWL337 t http://bugzilla.maptools.org/show_bug.cgi?id=2706 LibTIFF - 'tif_jbig.c' Denial of Service CVE-2017-9936 Denial of Service (DoS) 0 0 0 0 5932104551257544534 +exploitdb:51975 2024-04-12 2024-04-12 George Tsimpidas f GUnet OpenEclass E-learning platform 3.15 - 'certbadge.php' Unrestricted File Upload CVE-2024-31777 0 0 0 0 8791813623378476988 +exploitdb:48052 2020-02-06 2020-08-20 Dylan Katz f https://github.com/Plazmaz/CVE-2019-18634/blob/b348e738a83fd4180b3ec26ed216535547f3bb8a/self-contained.sh Sudo 1.8.25p - 'pwfeedback' Buffer Overflow CVE-2019-18634 0 0 0 0 3833625712237922797 +exploitdb:50911 2022-05-11 2022-05-11 UNICORD f ExifTool 12.23 - Arbitrary Code Execution CVE-2021-22204 0 0 0 0 1976243303081927202 +exploitdb:51193 2023-04-01 2023-06-07 Sunil Iyengar t Apache 2.4.x - Buffer Overflow CVE-2021-44790 0 0 0 0 2617100713485282770 +exploitdb:51261 2023-04-05 2023-04-24 Cristian Giustini f ImageMagick 7.1.0-49 - Arbitrary File Read CVE-2022-44268 0 0 0 0 3847615564244981874 +exploitdb:45914 2018-11-29 2018-11-29 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/b3ad4a03581f53c670d91e82d2a4ef00ec392f8f/modules/exploits/linux/http/php_imap_open_rce.rb PHP imap_open - Remote Code Execution (Metasploit) CVE-2018-19518 Metasploit Framework (MSF) 0 0 0 0 6516641676444103501 +exploitdb:41740 2017-03-27 2017-03-27 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1039 Samba 4.5.2 - Symlink Race Permits Opening Files Outside Share Directory CVE-2017-2619 0 0 0 0 257450798827313481 +exploitdb:52603 2026-05-30 2026-05-30 Daniel Miranda f YAMCS yamcs-core 5.12.7 - LDAP Injection CVE-2026-42568 0 0 0 0 1141438461142271731 +exploitdb:40197 2016-08-03 2016-08-03 Chris Benedict t Wireshark 1.12.0 < 1.12.12 / 2.0.0 < 2.0.4 - PacketBB Dissector Denial of Service CVE-2016-6505 0 0 0 0 2700077651076425808 +exploitdb:49094 2020-11-24 2020-11-24 SunCSR f Apache OpenMeetings 5.0.0 - 'hostname' Denial of Service CVE-2020-13951 0 0 0 0 1697201843246821377 +exploitdb:50716 2022-02-08 2022-02-08 WackyH4cker f Strapi CMS 3.0.0-beta.17.4 - Set Password (Unauthenticated) (Metasploit) CVE-2019-18818 0 0 0 0 6862359641721018447 +exploitdb:49232 2020-12-11 2020-12-11 gx1 f Jenkins 2.235.3 - 'tooltip' Stored Cross-Site Scripting CVE-2020-2229 0 0 0 0 8181132633874746690 +exploitdb:49045 2020-11-13 2020-11-13 Sivanesh Ashok f October CMS Build 465 - Arbitrary File Read Exploit (Authenticated) CVE-2020-5295 0 0 0 0 5361233469659006622 +exploitdb:44782 2018-05-28 2018-05-28 longer f DomainMod 4.09.03 - 'oid' Cross-Site Scripting CVE-2018-11403 0 0 0 0 7393067545425677853 +exploitdb:44806 2018-05-30 2018-05-30 Qualys Corporation f Procps-ng - Multiple Vulnerabilities CVE-2018-1124 Denial of Service (DoS) 0 0 0 0 18570361585865680 +exploitdb:52167 2025-04-11 2025-04-13 CodeSecLab f Gnuboard5 5.3.2.8 - SQL Injection CVE-2020-18662 0 0 0 0 2493278810820099676 +exploitdb:52377 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via Operator Surname CVE-2025-51397 0 0 0 0 4072782236118375865 +exploitdb:48654 2020-07-07 2020-10-01 Logan Sanderson f Exhibitor Web UI 1.7.1 - Remote Code Execution CVE-2019-5029 0 0 0 0 886474499470352441 +exploitdb:18159 2011-11-25 2016-12-07 Jane Doe t XChat 2.8.9 - Heap Overflow Denial of Service CVE-2011-5129 0 0 0 0 1289262116627795821 +exploitdb:52441 2025-12-02 2026-02-04 CodeSecLab f phpIPAM 1.6 - Reflected Cross-Site Scripting (XSS) CVE-2024-41358 0 0 0 0 8161979119869197867 +exploitdb:52364 2025-07-16 2025-07-16 Raghad Abdallah Al-syouf f Langflow 1.2.x - Remote Code Execution (RCE) CVE-2025-3248 0 0 0 0 4952269455562398104 +exploitdb:46594 2019-03-22 2019-03-22 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1761 snap - seccomp BBlacklist for TIOCSTI can be Circumvented CVE-2019-7303 0 0 0 0 2404862190904468009 +exploitdb:46014 2018-12-19 2018-12-19 Raif Berkay Dincel f Bolt CMS < 3.6.2 - Cross-Site Scripting CVE-2018-19933 Cross-Site Scripting (XSS) 0 0 0 0 8183399614898650695 +exploitdb:18733 2012-04-12 2017-07-19 anonymous t WICD 1.7.1 - Local Privilege Escalation CVE-2012-2095 0 0 0 0 4537044767944526120 +exploitdb:49931 2021-06-02 2021-06-02 Piyush Patil f Seo Panel 4.8.0 - 'search_name' Reflected XSS CVE-2021-28417 0 0 0 0 2468419738460801408 +exploitdb:46386 2019-02-15 2019-02-15 JameelNabbo f Jinja2 2.10 - 'from_string' Server Side Template Injection CVE-2019-8341 0 0 0 0 8018746500036484866 +exploitdb:48333 2020-04-16 2020-04-16 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/thinkphp_rce.rb ThinkPHP - Multiple PHP Injection RCEs (Metasploit) CVE-2019-9082 Metasploit Framework (MSF) 0 0 0 0 8330001858690235176 +exploitdb:41141 2017-01-22 2017-01-30 hyp3rlinx f http://hyp3rlinx.altervista.org/advisories/NTOPNG-CSRF-TOKEN-BYPASS.txt NTOPNG 2.4 Web Interface - Cross-Site Request Forgery CVE-2017-5473 0 0 0 0 9183027121325893871 +exploitdb:45178 2018-08-10 2018-08-10 0xB9 f MyBB Thank You/Like Plugin 3.0.0 - Cross-Site Scripting CVE-2018-14888 Cross-Site Scripting (XSS) 0 0 0 0 272063697120949714 +exploitdb:50970 2022-06-27 2022-06-27 cxosmo f WSO2 Management Console (Multiple Products) - Unauthenticated Reflected Cross-Site Scripting (XSS) CVE-2022-29548 0 0 0 0 8205086634348541176 +exploitdb:52517 2026-04-29 2026-04-29 uvettrivel007 f FacturaScripts 2025.43 - XSS CVE-2025-69210 0 0 0 0 3042473257636824532 +exploitdb:44181 2018-02-27 2018-02-27 EnableSecurity t https://raw.githubusercontent.com/EnableSecurity/advisories/master/ES2018-04-asterisk-pjsip-tcp-segfault/README.md Asterisk chan_pjsip 15.2.0 - 'INVITE' Denial of Service CVE-2018-7286 Denial of Service (DoS) 0 0 0 0 4187748943121236355 +exploitdb:51867 2024-03-10 2024-03-10 Matheus Alexandre f Numbas < v7.3 - Remote Code Execution CVE-2024-27612 0 0 0 0 8084304274200142869 +exploitdb:45715 2018-10-29 2018-11-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1689 systemd - 'chown_one()' Dereference Symlinks CVE-2018-15687 0 0 0 0 5943472354190271747 +exploitdb:50876 2022-04-19 2022-06-10 Roel van Beurden f WordPress Plugin Popup Maker 1.16.5 - Stored Cross-Site Scripting (Authenticated) CVE-2022-1104 0 0 0 0 977919731964144596 +exploitdb:52506 2026-04-09 2026-04-09 danieljavanrad f React Server 19.2.0 - Remote Code Execution CVE-2025-55182 0 0 0 0 4786568480929251720 +exploitdb:52161 2025-04-10 2025-04-13 cyberaz0r f Typecho 1.3.0 - Race Condition CVE-2024-35539 0 0 0 0 3826344224794643471 +exploitdb:39756 2016-05-02 2016-05-02 Metasploit t Apache Struts - Dynamic Method Invocation Remote Code Execution (Metasploit) CVE-2016-3081 Metasploit Framework (MSF) 0 0 0 0 5463024835040942545 +exploitdb:40155 2016-07-25 2016-07-25 Hans Jerry Illikainen t PHP 5.5.37/5.6.23/7.0.8 - 'bzread()' Out-of-Bounds Write CVE-2016-5399 0 0 0 0 9090802260093116290 +exploitdb:46079 2019-01-07 2019-01-07 0xB9 f LayerBB 1.1.1 - Persistent Cross-Site Scripting CVE-2018-17997 Cross-Site Scripting (XSS) 0 0 0 0 4794642647755090879 +exploitdb:40962 2016-12-23 2016-12-23 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1010 OpenSSH < 7.4 - 'UsePrivilegeSeparation Disabled' Forwarded Unix Domain Sockets Privilege Escalation CVE-2016-10010 Local 0 0 0 0 8437040023426195583 +exploitdb:51476 2023-05-23 2023-05-26 Rahad Chowdhury t Bludit CMS v3.14.1 - Stored Cross-Site Scripting (XSS) (Authenticated) CVE-2023-31698 0 0 0 0 748680260934262006 +exploitdb:43992 2018-02-07 2018-02-07 Juan Sacco t Asterisk 13.17.2 - 'chan_skinny' Remote Memory Corruption CVE-2017-17090 0 0 0 0 6096252867001911895 +exploitdb:48483 2020-05-18 2020-05-18 Cody Winkler f HP LinuxKI 6.01 - Remote Command Injection CVE-2020-7209 0 0 0 0 45225999823477190 +exploitdb:45584 2018-10-11 2018-11-06 Larry W. Cashdollar t jQuery-File-Upload 9.22.0 - Arbitrary File Upload CVE-2018-9206 0 0 0 0 4532976671735613422 +exploitdb:51586 2023-07-15 2023-07-15 Dante Corona f Icinga Web 2.10 - Authenticated Remote Code Execution CVE-2022-24715 0 0 0 0 315802173260453985 +exploitdb:47403 2019-09-20 2019-09-20 0xB9 f LayerBB < 1.1.4 - Cross-Site Request Forgery CVE-2019-16531 0 0 0 0 3709447066188193753 +exploitdb:44392 2018-04-02 2018-04-02 Sureshbabu Narvaneni f OpenCMS 10.5.3 - Cross-Site Scripting CVE-2018-8815 0 0 0 0 3768020182165861164 +exploitdb:45105 2018-07-30 2018-07-31 owodelta f H2 Database 1.4.197 - Information Disclosure CVE-2018-14335 0 0 0 0 3609557192932537982 +exploitdb:44272 2018-03-09 2018-03-09 Gustavo Sorondo f Bacula-Web < 8.0.0-rc2 - SQL Injection CVE-2017-15367 0 0 0 0 5109710929907371218 +exploitdb:50800 2022-03-07 2022-03-07 Chetanya Sharma f part-db 0.5.11 - Remote Code Execution (RCE) CVE-2022-0848 0 0 0 0 6103404862993446234 +exploitdb:50151 2021-07-23 2021-07-23 Podalirius f Microsoft SharePoint Server 2019 - Remote Code Execution (2) CVE-2020-1147 0 0 0 0 9170626267754986406 +exploitdb:50289 2021-09-13 2021-09-13 Abhiram V f Facebook ParlAI 1.0.0 - Deserialization of Untrusted Data in parlai CVE-2021-24040 0 0 0 0 8443632709900165837 +exploitdb:52393 2025-08-03 2025-08-18 Gurjot Singh f Ultimate Member WordPress Plugin 2.6.6 - Privilege Escalation CVE-2023-3460 0 0 0 0 8309010918050153646 +exploitdb:44502 2018-04-23 2018-04-23 Wenming Jiang f Monstra cms 3.0.4 - Persitent Cross-Site Scripting CVE-2018-10109 0 0 0 0 3641950238075983278 +exploitdb:41830 2017-04-05 2017-04-07 rungga_reksya t Faveo Helpdesk Community 1.9.3 - Cross-Site Request Forgery CVE-2017-7571 0 0 0 0 9150399594541261157 +exploitdb:52226 2025-04-16 2025-04-16 CodeSecLab f phpMyFAQ 3.1.7 - Reflected Cross-Site Scripting (XSS) CVE-2022-4407 0 0 0 0 6150318873052328288 +exploitdb:42303 2017-07-07 2017-07-07 hyp3rlinx f Yaws 1.91 - Remote File Disclosure CVE-2017-10974 0 0 0 0 8423941052750929824 +exploitdb:45824 2018-11-13 2019-02-11 Matlink t Evince 3.24.0 - Command Injection CVE-2017-1000083 Denial of Service (DoS) 0 0 0 0 3372431307048339707 +exploitdb:44817 2018-05-31 2018-05-31 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1542 Microsoft Edge Chakra - EntrySimpleObjectSlotGetter Type Confusion CVE-2018-8133 Type Confusion 0 0 0 0 5702016984213178879 +exploitdb:39736 2016-04-26 2016-04-26 Hans Jerry Illikainen f libgd 2.1.1 - Signedness Heap Overflow CVE-2016-3074 0 0 0 0 4166339398497768495 +exploitdb:52124 2025-04-05 2025-04-05 kOaDT f Next.js Middleware 15.2.2 - Authorization Bypass CVE-2025-29927 0 0 0 0 3079936389203697912 +exploitdb:51740 2023-10-09 2023-10-09 Antonio Francesco Sardella f Cacti 1.2.24 - Authenticated command injection when using SNMP options CVE-2023-39362 0 0 0 0 6239608729705881461 +exploitdb:51255 2023-04-05 2023-04-05 Patrick Dean Ramos / Nathu Nandwani / Junnair Manla f ERPNext 12.29 - Cross-Site Scripting (XSS) CVE-2022-28598 0 0 0 0 4936052210849111577 +exploitdb:44908 2018-06-20 2018-06-20 Fakhri Zulkifli f Redis 5.0 - Denial of Service CVE-2018-12453 Denial of Service (DoS) 0 0 0 0 6015407798035761016 +exploitdb:46675 2019-04-08 2019-04-08 muts t QNAP Netatalk < 3.1.12 - Authentication Bypass CVE-2018-1160 0 0 0 0 3380188704584864284 +exploitdb:48521 2020-05-20 2020-05-27 Teppei Fukuda f https://github.com/knqyf263/CVE-2020-8617/blob/92a64e68cf77a5b938e0d9c04524fa6147ccb785/exploit.py BIND - 'TSIG' Denial of Service CVE-2020-8617 0 0 0 0 5959954383892804120 +exploitdb:47339 2019-09-02 2019-09-02 Aetsu f Alkacon OpenCMS 10.5.x - Cross-Site Scripting (2) CVE-2019-13236 0 0 0 0 7590332741998911175 +exploitdb:49551 2021-02-10 2021-02-10 Soham Bakore f b2evolution 6.11.6 - 'plugin name' Stored XSS CVE-2020-22841 0 0 0 0 3720243801393921893 +exploitdb:43713 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1403 Microsoft Edge Chakra - 'JavascriptGeneratorFunction::GetPropertyBuiltIns' Type Confusion CVE-2017-11914 Type Confusion 0 0 0 0 8468283107934101252 +exploitdb:42614 2017-09-04 2017-09-05 hyp3rlinx f Mongoose Web Server 6.5 - Cross-Site Request Forgery / Remote Code Execution CVE-2017-11567 0 0 0 0 7016144531589689307 +exploitdb:51018 2022-09-23 2022-11-22 yuyudhn f Feehi CMS 2.1.1 - Remote Code Execution (Authenticated) CVE-2022-34140 0 0 0 0 8828609660554162217 +exploitdb:44362 2018-03-30 2018-03-30 zixian f MiniCMS 1.10 - Cross-Site Request Forgery CVE-2018-9092 Cross-Site Request Forgery (CSRF) 0 0 0 0 7142434082187026924 +exploitdb:40774 2016-11-18 2016-12-15 Vincent Malguy t Nagios 4.2.2 - Local Privilege Escalation CVE-2016-8641 0 0 0 0 8995022366151818352 +exploitdb:49070 2020-11-18 2020-11-18 RedTeam Pentesting GmbH f BigBlueButton 2.2.25 - Arbitrary File Disclosure and Server-Side Request Forgery CVE-2020-25820 0 0 0 0 2355915085634120387 +exploitdb:46545 2019-03-15 2019-03-18 s4vitar f NetData 1.13.0 - HTML Injection CVE-2019-9834 0 0 0 0 7935885257547539194 +exploitdb:49749 2021-04-07 2021-04-07 Orion Hridoy f Composr CMS 10.0.36 - Cross Site Scripting CVE-2021-30150 0 0 0 0 2162029466152604152 +exploitdb:51422 2023-05-05 2023-05-09 Lucas Noki (0xPrototype) t Cmaps v8.0 - SQL injection CVE-2023-29809 0 0 0 0 7097377818724006478 +exploitdb:45367 2018-09-10 2018-09-10 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/718aaca0f4a25827695d643568beaa784ff21518/modules/exploits/multi/http/struts2_namespace_ognl.rb Apache Struts 2 - Namespace Redirect OGNL Injection (Metasploit) CVE-2018-11776 Metasploit Framework (MSF) 0 0 0 0 7614069447513705560 +exploitdb:50943 2022-05-23 2022-05-23 Malte V f m1k1o's Blog v.10 - Remote Code Execution (RCE) (Authenticated) CVE-2022-23626 0 0 0 0 4396996493485562088 +exploitdb:52354 2025-07-08 2025-07-08 Rich Mirch f Sudo 1.9.17 Host Option - Elevation of Privilege CVE-2025-32462 0 0 0 0 4581128131366188791 +exploitdb:44343 2018-03-26 2018-03-26 Haboob Team f Laravel Log Viewer < 0.13.0 - Local File Download CVE-2018-8947 0 0 0 0 2486364940530980099 +exploitdb:52173 2025-04-11 2025-04-13 AmirZargham f Roundcube Webmail 1.6.6 - Stored Cross Site Scripting (XSS) CVE-2024-37383 0 0 0 0 6046213813331813626 +exploitdb:49598 2021-02-26 2021-02-26 Peithon f LightCMS 1.3.4 - 'exclusive' Stored XSS CVE-2021-3355 0 0 0 0 755740910022997592 +exploitdb:49766 2021-04-14 2021-04-14 Central InfoSec f jQuery 1.2 - Cross-Site Scripting (XSS) CVE-2020-11022 0 0 0 0 9009381527711205161 +exploitdb:47294 2019-08-19 2019-08-19 Fabian Mosch f YouPHPTube 7.2 - 'userCreate.json.php' SQL Injection CVE-2019-14430 SQL Injection (SQLi) 0 0 0 0 8726377603605935210 +exploitdb:46727 2019-04-18 2019-04-18 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/fileformat/libreoffice_macro_exec.rb LibreOffice < 6.0.7 / 6.1.3 - Macro Code Execution (Metasploit) CVE-2018-16858 Metasploit Framework (MSF) 0 0 0 0 8149565854639457162 +exploitdb:40961 2016-12-23 2016-12-23 RedTeam Pentesting GmbH f https://www.redteam-pentesting.de/advisories/rt-sa-2016-001.txt Apache mod_session_crypto - Padding Oracle CVE-2016-0736 0 0 0 0 7784190547468703784 +exploitdb:47331 2019-09-02 2019-09-02 Nipun Somani f Opencart 3.x - Cross-Site Scripting CVE-2019-15081 0 0 0 0 562687029754551368 +exploitdb:52479 2026-02-11 2026-02-11 Beatriz Fresno Naumova f glibc 2.38 - Buffer Overflow CVE-2023-4911 0 0 0 0 2338489005132371589 +exploitdb:44564 2018-05-02 2018-05-02 Richard Davy f LibreOffice/Open Office - '.odt' Information Disclosure CVE-2018-10583 0 0 0 0 6070205162742988349 +exploitdb:46511 2019-03-01 2019-03-07 allyshka f https://gist.github.com/allyshka/f159c0b43f1374f87f2c3817d6401fd6 WordPress Core 5.0 - Remote Code Execution CVE-2019-8943 0 0 0 0 4790591538892617651 +exploitdb:49521 2021-02-03 2021-02-03 West Shepherd f Sudo 1.9.5p1 - 'Baron Samedit ' Heap-Based Buffer Overflow Privilege Escalation (1) CVE-2021-3156 0 0 0 0 2241141913365046282 +exploitdb:49024 2020-11-09 2020-11-09 Philip Holbrook f Joplin 1.2.6 - 'link' Cross Site Scripting CVE-2020-28249 0 0 0 0 3422633353925142186 +exploitdb:52470 2026-02-02 2026-02-02 Beatriz Fresno Naumova f RPi-Jukebox-RFID 2.8.0 - Stored Cross-Site Scripting (XSS) CVE-2025-10370 0 0 0 0 1815728413557574786 +exploitdb:50316 2021-09-22 2021-09-27 Jake Ruston f OpenCats 0.9.4-2 - 'docx ' XML External Entity Injection (XXE) CVE-2019-13358 0 0 0 0 5223403031846006537 +exploitdb:51734 2023-10-09 2023-10-09 Jenson Zhao f Minio 2022-07-29T19-40-48Z - Path traversal CVE-2022-35919 0 0 0 0 2681359279505128368 +exploitdb:43876 2018-01-24 2018-01-24 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/685a95007767adff169839fa2c1e0d1c81d66de4/modules/exploits/linux/http/kaltura_unserialize_cookie_rce.rb Kaltura - Remote PHP Code Execution over Cookie (Metasploit) CVE-2017-14143 Metasploit Framework (MSF) 0 0 0 0 3150053928239222032 +exploitdb:43968 2018-02-05 2018-02-05 Barak Tawily f https://baraktawily.blogspot.com/2018/02/how-to-dos-29-of-world-wide-websites.html WordPress Core - 'load-scripts.php' Denial of Service CVE-2018-6389 WordPress Core 0 0 0 0 5078947915545756060 +exploitdb:51251 2023-04-05 2023-05-18 Galoget Latorre t Responsive FileManager 9.9.5 - Remote Code Execution (RCE) CVE-2022-46604 0 0 0 0 2108284651119526025 +exploitdb:41923 2017-04-25 2018-02-15 G. Geshev f https://blogs.securiteam.com/index.php/archives/3134 LightDM (Ubuntu 16.04/16.10) - 'Guest Account' Local Privilege Escalation CVE-2017-7358 Local 0 0 0 0 227868219666346513 +exploitdb:51388 2023-04-25 2023-04-25 Mr Empy f KodExplorer 4.49 - CSRF to Arbitrary File Upload CVE-2022-4944 0 0 0 0 9100372132946162238 +exploitdb:43715 2018-01-17 2018-01-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1411 Microsoft Edge Chakra - Incorrect Scope Handling CVE-2018-0774 0 0 0 0 234591630957993731 +exploitdb:52324 2025-06-13 2025-06-13 Maksim Rogov f Roundcube 1.6.10 - Remote Code Execution (RCE) CVE-2025-49113 0 0 0 0 2737645173964289724 +exploitdb:49804 2021-04-26 2021-04-26 nu11secur1ty f SEO Panel 4.8.0 - 'order_col' Blind SQL Injection (2) CVE-2021-28419 0 0 0 0 8970278853641762647 +exploitdb:50541 2021-11-23 2021-11-23 Ujas Dhami f Linux Kernel 5.1.x - 'PTRACE_TRACEME' pkexec Local Privilege Escalation (2) CVE-2019-13272 0 0 0 0 441041632979008895 +exploitdb:41828 2017-04-06 2017-04-06 Marko Belzetski f Moodle 2.x/3.x - SQL Injection CVE-2017-2641 0 0 0 0 1516938581548110457 +exploitdb:40129 2016-07-20 2016-07-20 Vulnerability-Lab t https://www.vulnerability-lab.com/get_content.php?id=1869 Django CMS 3.3.0 - Editor Snippet Persistent Cross-Site Scripting CVE-2016-6186 0 0 0 0 8881950817228349134 +exploitdb:50405 2021-10-13 2021-10-13 Mayank Deshmukh f Keycloak 12.0.1 - 'request_uri ' Blind Server-Side Request Forgery (SSRF) (Unauthenticated) CVE-2020-10770 0 0 0 0 4947618802223548518 +exploitdb:52553 2026-05-07 2026-05-07 yahia f Bludit CMS 3.18.4 - RCE CVE-2026-25099 0 0 0 0 4506497703793642820 +exploitdb:46361 2019-02-13 2019-02-13 Chris Moberly f https://github.com/initstring/dirty_sock/blob/6d7515eba1e045276770aa0c781e9b33f039b497/dirty_sockv1.py snapd < 2.37 (Ubuntu) - 'dirty_sock' Local Privilege Escalation (1) CVE-2019-7304 Local 0 0 0 0 493670416051236399 +exploitdb:45694 2018-10-25 2018-10-25 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1697 libtiff 4.0.9 - Decodes Arbitrarily Sized JBIG into a Target Buffer CVE-2018-18557 Heap Overflow 0 0 0 0 6627914432690270578 +exploitdb:47027 2019-06-24 2019-06-24 Corey Robinson f GrandNode 4.40 - Path Traversal / Arbitrary File Download CVE-2019-12276 0 0 0 0 7930772094243690230 +exploitdb:46982 2019-06-11 2019-06-11 Riemann f phpMyAdmin 4.8 - Cross-Site Request Forgery CVE-2019-12616 Cross-Site Request Forgery (CSRF) 0 0 0 0 3424606014814588214 +exploitdb:52559 2026-05-13 2026-05-13 best.sell f glances 4.5.2 - command injection CVE-2026-33641 0 0 0 0 6337472394543200700 +exploitdb:48209 2020-03-11 2020-03-12 Andrea Cardaci f https://cardaci.xyz/advisories/2020/03/11/horde-groupware-webmail-edition-5.2.22-multiple-vulnerabilities-promote-file-upload-in-temp-folder-to-rce/ Horde Groupware Webmail Edition 5.2.22 - PHP File Inclusion CVE-2020-8866 0 0 0 0 8817521678010989335 +exploitdb:44758 2018-05-25 2018-05-25 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1534 Microsoft Edge Chakra - Cross Context Use-After-Free CVE-2018-0946 Use After Free (UAF) 0 0 0 0 7613573753159357527 +exploitdb:39277 2016-01-19 2016-11-22 Perception Point Team f http://perception-point.io/2016/01/14/analysis-and-exploitation-of-a-linux-kernel-vulnerability-cve-2016-0728/ Linux Kernel 4.4.1 - REFCOUNT Overflow Use-After-Free in Keyrings Local Privilege Escalation (1) CVE-2016-0728 0 0 0 0 5433240383917460363 +exploitdb:41984 2017-05-09 2017-05-09 Talos f http://www.talosintelligence.com/reports/TALOS-2017-0293/ wolfSSL 3.10.2 - x509 Certificate Text Parsing Off-by-One CVE-2017-2800 Denial of Service (DoS) 0 0 0 0 2990184224562337103 +exploitdb:49383 2021-01-06 2021-04-01 1F98D t Gitea 1.7.5 - Remote Code Execution CVE-2019-11229 0 0 0 0 2667564775344475969 +exploitdb:39555 2016-03-14 2016-10-04 OpenSource Security f https://os-s.net//advisories/OSS-2016-17_snd-usb-audio.pdf Linux Kernel 3.10.0-229.x (CentOS / RHEL 7.1) - 'snd-usb-audio' Crash (PoC) CVE-2016-2184 0 0 0 0 547675384743405760 +exploitdb:52461 2025-12-16 2025-12-16 Byte Reaper f esm-dev 136 - Path Traversal CVE-2025-59342 0 0 0 0 8397835483647432542 +exploitdb:44855 2018-06-07 2018-09-24 DEEPIN2 f Monstra CMS < 3.0.4 - Cross-Site Scripting (1) CVE-2018-10118 0 0 0 0 2817960359654242502 +exploitdb:44837 2018-06-05 2018-06-05 DEEPIN2 f Pagekit < 1.0.13 - Cross-Site Scripting Code Generator CVE-2018-11564 0 0 0 0 5611661422168164191 +exploitdb:47375 2019-09-10 2019-09-10 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/librenms_collectd_cmd_inject.rb LibreNMS - Collectd Command Injection (Metasploit) CVE-2019-10669 Metasploit Framework (MSF) 0 0 0 0 5306679528239178297 +exploitdb:45785 2018-11-02 2018-11-05 Billy Brumley f https://github.com/bbbrumley/portsmash/tree/e3e7447ba04e1a8a5637cabadf3403faf94f7a56 Intel (Skylake / Kaby Lake) - 'PortSmash' CPU SMT Side-Channel CVE-2018-5407 0 0 0 0 1190324436291629953 +exploitdb:51051 2023-03-25 2023-03-25 Elias Hohl f NVFLARE < 2.1.4 - Unsafe Deserialization due to Pickle CVE-2022-34668 0 0 0 0 386950929105589892 +exploitdb:50871 2022-04-19 2022-04-19 Alexandre ZANNI f Easy Appointments 1.4.2 - Information Disclosure CVE-2022-0482 0 0 0 0 5735963450787396961 +exploitdb:46372 2019-02-14 2019-02-14 Mohammed Abdul Raheem t https://github.com/domainmod/domainmod/issues/88 DomainMOD 4.11.01 - 'ssl-provider-name' Cross-Site Scripting CVE-2018-20009 Cross-Site Scripting (XSS) 0 0 0 0 1936378872828518420 +exploitdb:46880 2019-05-20 2019-05-20 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/getsimplecms_unauth_code_exec.rb GetSimpleCMS - Unauthenticated Remote Code Execution (Metasploit) CVE-2019-11231 Metasploit Framework (MSF) 0 0 0 0 9149083600024137402 +exploitdb:40921 2016-12-15 2016-12-16 Dawid Golunski t https://legalhackers.com/advisories/Nagios-Exploit-Root-PrivEsc-CVE-2016-9566.html Nagios < 4.2.4 - Local Privilege Escalation CVE-2016-9566 Local 0 0 0 0 7407597021518773303 +exploitdb:52521 2026-04-29 2026-07-06 Ahmet Mersin f OpenWrt 23.05 - Authenticated Remote Code Execution (RCE) CVE-2026-46368 0 0 0 0 4334960810349913508 +exploitdb:46200 2019-01-18 2019-01-18 Praveen Sutar f Joomla! Core 3.9.1 - Persistent Cross-Site Scripting in Global Configuration Textfilter Settings CVE-2019-6263 Cross-Site Scripting (XSS) 0 0 0 0 4898286570967880515 +exploitdb:43359 2017-01-04 2017-12-18 Sebastian Krahmer f http://seclists.org/oss-sec/2017/q1/20 Firejail < 0.9.44.4 / < 0.9.38.8 LTS - Local Sandbox Escape CVE-2017-5180 0 0 0 0 8104001204523250031 +exploitdb:52392 2025-08-03 2025-08-03 Byte Reaper f Swagger UI 1.0.3 - Cross-Site Scripting (XSS) CVE-2025-8191 0 0 0 0 4438888623553955518 +exploitdb:1791 2006-05-16 2017-08-17 redsand t RealVNC 4.1.0 < 4.1.1 - VNC Null Authentication Bypass CVE-2006-2369 0 0 0 0 6471581894157944199 +exploitdb:41784 2017-04-02 2017-04-04 rungga_reksya f Pixie 1.0.4 - Arbitrary File Upload CVE-2017-7402 0 0 0 0 2768752579677972093 +exploitdb:45638 2018-10-18 2018-10-19 Dayanç Soyadlı f https://github.com/blacknbunny/libSSH-Authentication-Bypass/blob/5dc55fbf5518f2e11503f08fa84a3640e60c7ec9/libsshauthbypass.py libSSH - Authentication Bypass CVE-2018-10933 0 0 0 0 4044232013490924322 +exploitdb:41783 2017-04-04 2017-04-03 justpentest f Apache Tomcat 6/7/8/9 - Information Disclosure CVE-2016-6816 0 0 0 0 5140224484835978992 +exploitdb:44324 2018-03-20 2019-07-25 zioBlack f https://github.com/zi0Black/POC-CVE-2018-0114/tree/d3bddb421726a9eddbabfd6a1ca58ff4abca93af Cisco node-jos < 0.11.0 - Re-sign Tokens CVE-2018-0114 0 0 0 0 2544840274763048201 +exploitdb:52264 2025-04-18 2025-04-18 Cyd Tseng f UJCMS 9.6.3 - User Enumeration via IDOR CVE-2024-12483 0 0 0 0 4454025844974120523 +exploitdb:46307 2018-10-20 2019-02-03 jas502n t https://github.com/jas502n/CVE-2018-10933/blob/05ee62e7ed7d4cd10e71ea10b28da990e37a24f4/libssh-CVE-2018-10933-jas502n.py LibSSH 0.7.6 / 0.8.4 - Unauthorized Access CVE-2018-10933 0 0 0 0 6140313624139616790 +exploitdb:41497 2017-03-03 2017-05-04 Dctor f WordPress Core < 4.7.1 - Username Enumeration CVE-2017-5487 0 0 0 0 4357720098298303258 +exploitdb:43467 2018-01-09 2018-01-09 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1384 Microsoft Edge Chakra JIT - BackwardPass::RemoveEmptyLoopAfterMemOp Does not Insert Branches CVE-2017-11909 0 0 0 0 6832834170420947347 +exploitdb:50983 2022-07-29 2022-07-29 Elias Hohl f rpc.py 0.6.0 - Remote Code Execution (RCE) CVE-2022-35411 0 0 0 0 7521742547968582509 +exploitdb:44504 2018-04-24 2018-04-24 jiguang f WUZHI CMS 4.1.0 - Cross-Site Request Forgery CVE-2018-10312 0 0 0 0 7862381471522334690 +exploitdb:44697 2018-05-22 2018-07-13 Can Bölük t https://github.com/can1357/CVE-2018-8897 Microsoft Windows - 'POP/MOV SS' Privilege Escalation CVE-2018-8897 0 0 0 0 8879927578109845576 +exploitdb:42162 2017-06-12 2017-06-13 Hanno Boeck t https://bugzilla.gnome.org/show_bug.cgi?id=775120 GStreamer gst-plugins-bad Plugin - NULL Pointer Dereference CVE-2016-9813 0 0 0 0 8556092231062868683 +exploitdb:43028 2017-10-23 2018-01-24 Robin Verton t Kaltura < 13.2.0 - Remote Code Execution CVE-2017-14143 0 0 0 0 647962831991320789 +exploitdb:33306 2009-10-22 2014-05-12 laurent gaffie t https://www.securityfocus.com/bid/36795/info Snort 2.8.5 - Multiple Denial of Service Vulnerabilities CVE-2009-3641 0 0 0 0 1613626303478111586 +exploitdb:40453 2016-10-04 2016-10-05 Infobyte f ISC BIND 9 - Denial of Service CVE-2016-2776 0 0 0 0 7847030295690754915 +exploitdb:45547 2018-10-08 2019-03-17 Magnus Klaaborg Stubman f https://dumpco.re/blog/net-snmp-5.7.3-remote-dos net-snmp 5.7.3 - (Authenticated) Denial of Service (PoC) CVE-2018-18065 Denial of Service (DoS) 0 0 0 0 8756400963201186636 +exploitdb:52118 2025-04-03 2025-04-03 Nishanth Gaddam f AppSmith 1.47 - Remote Code Execution (RCE) CVE-2024-55963 0 0 0 0 1497216947798458278 +exploitdb:45214 2018-08-17 2018-08-19 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1570 Microsoft Edge Chakra JIT - Parameter Scope Parsing Type Confusion CVE-2018-8279 Type Confusion 0 0 0 0 3553823508874551203 +exploitdb:47699 2019-11-20 2019-11-20 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/bludit_upload_images_exec.rb Bludit - Directory Traversal Image File Upload (Metasploit) CVE-2019-16113 Metasploit Framework (MSF) 0 0 0 0 8755485835336919873 +exploitdb:46488 2019-03-04 2019-03-04 Yang Chenglong f zzzphp CMS 1.6.1 - Cross-Site Request Forgery CVE-2019-9082 Cross-Site Request Forgery (CSRF) 0 0 0 0 4591685023263225984 +exploitdb:49582 2021-02-23 2021-02-23 BouSalman f Monica 2.19.1 - 'last_name' Stored XSS CVE-2021-27370 0 0 0 0 3312385847540382458 +exploitdb:46936 2019-05-29 2019-05-29 Chi Tran f pfSense 2.4.4-p3 (ACME Package 0.59_14) - Persistent Cross-Site Scripting CVE-2019-12347 0 0 0 0 7388191219018343048 +exploitdb:52149 2025-04-09 2025-04-13 Yesith Alvarez f Apache HugeGraph Server 1.2.0 - Remote Code Execution (RCE) CVE-2024-27348 0 0 0 0 8547933567212499966 +exploitdb:52535 2026-04-30 2026-04-30 banyamer f SumatraPDF 3.5.2 - Remote Code Execution CVE-2026-25961 0 0 0 0 5573185980470435411 +exploitdb:46783 2019-04-30 2019-04-30 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/pimcore_unserialize_rce.rb Pimcore < 5.71 - Unserialize Remote Code Execution (Metasploit) CVE-2019-10867 Metasploit Framework (MSF) 0 0 0 0 3016899738030460129 +exploitdb:9969 2009-10-23 \N laurent gaffie t Snort 2.8.5 - IPv6 Denial of Service CVE-2009-3641 0 0 0 0 8232379136790329626 +exploitdb:44496 2018-04-23 2018-04-23 revengsh f phpMyAdmin 4.8.0 < 4.8.0-1 - Cross-Site Request Forgery CVE-2018-10188 0 0 0 0 7443874997284082113 +exploitdb:44357 2018-03-29 2018-03-29 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/0a0bef0c4fc52c418782015b1b49daf067ce964c/modules/exploits/windows/browser/exodus.rb Exodus Wallet (ElectronJS Framework) - Remote Code Execution (Metasploit) CVE-2018-1000006 Metasploit Framework (MSF) 0 0 0 0 6803020310559242411 +exploitdb:45798 2018-11-06 2018-11-07 Dhiraj Mishra f libiec61850 1.3 - Stack Based Buffer Overflow CVE-2018-18957 Denial of Service (DoS) 0 0 0 0 3905712801470910037 +exploitdb:50446 2021-10-25 2021-10-25 ThelastVvV f Apache HTTP Server 2.4.50 - Remote Code Execution (RCE) (2) CVE-2021-42013 0 0 0 0 1491334105468029974 +exploitdb:52097 2025-03-27 2025-04-13 Okan Kurtulus f https://github.com/advisories/GHSA-p26r-gfgc-c47h KubeSphere 3.4.0 - Insecure Direct Object Reference (IDOR) CVE-2024-46528 0 0 0 0 3018866097445831009 +exploitdb:44418 2018-04-09 2018-04-11 Sureshbabu Narvaneni f WolfCMS 0.8.3.1 - Cross-Site Request Forgery CVE-2018-8814 0 0 0 0 4310871118342774194 +exploitdb:44613 2018-05-11 2018-05-14 Tejesh Kolisetty f Open-AudIT Community 2.2.0 - Cross-Site Scripting CVE-2018-10314 0 0 0 0 9044202627553516152 +exploitdb:44226 2018-03-02 2018-03-02 Manish Tanwar f https://github.com/incredibleindishell/exploit-code-by-me/tree/70ab010fa559abec85f327dbd33f4fbaa7a9ce04/TestLink%20-below%201.9.17-%20Remote%20Code%20Execution TestLink Open Source Test Management < 1.9.16 - Remote Code Execution CVE-2018-7466 0 0 0 0 3376389516994482838 +exploitdb:41171 2017-01-24 2019-03-07 Sebastian Krahmer f http://www.openwall.com/lists/oss-security/2017/01/24/4 Systemd 228 (SUSE 12 SP2 / Ubuntu Touch 15.04) - Local Privilege Escalation CVE-2016-10156 0 0 0 0 8818409743540869386 +exploitdb:42123 2017-06-05 2017-06-06 OSS-Fuzz t https://bugs.wireshark.org/bugzilla/show_bug.cgi?id=13675 Wireshark 2.2.6 - IPv6 Dissector Denial of Service CVE-2017-9353 Denial of Service (DoS) 0 0 0 0 698383786825507791 +exploitdb:48837 2020-09-28 2020-09-28 Ademar Nowasky Junior f Joplin 1.0.245 - Arbitrary Code Execution (PoC) CVE-2020-15930 0 0 0 0 3330971299563337872 +exploitdb:47221 2019-08-12 2019-08-12 Greg.Priest f UNA 10.0.0 RC1 - 'polyglot.php' Persistent Cross-Site Scripting CVE-2019-14804 Cross-Site Scripting (XSS) 0 0 0 0 1664782091262733871 +exploitdb:45215 2018-08-17 2018-08-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1576 Microsoft Edge Chakra JIT - 'DictionaryPropertyDescriptor::CopyFrom' Type Confusion CVE-2018-8291 Type Confusion 0 0 0 0 1553373906822149619 +exploitdb:46215 2019-01-21 2019-01-22 Dhiraj Mishra f GattLib 0.2 - Stack Buffer Overflow CVE-2019-6498 Buffer Overflow 0 0 0 0 5970707525545202221 +exploitdb:52595 2026-05-29 2026-05-29 Jose Rivas f ImageMagick - Infinite Loop in the MIFF decoder can lead to CPU exhaustion CVE-2026-46522 0 0 0 0 248613356844812978 +exploitdb:47307 2019-08-26 2019-08-26 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/local/exim4_deliver_message_priv_esc.rb Exim 4.87 / 4.91 - Local Privilege Escalation (Metasploit) CVE-2019-10149 Metasploit Framework (MSF) 0 0 0 0 8164859451635539664 +exploitdb:47325 2019-08-30 2019-08-30 Damian Ebelties f DomainMod 4.13 - Cross-Site Scripting CVE-2019-15811 Cross-Site Scripting (XSS) 0 0 0 0 6194770140608801024 +exploitdb:45497 2018-09-26 2018-09-28 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1664&can=1&q=&sort=-modified%20-id&colspec=ID%20Status%20Owner%20Summary%20Modified Linux Kernel - VMA Use-After-Free via Buggy vmacache_flush_all() Fastpath Local Privilege Escalation CVE-2018-17182 Use After Free (UAF) 0 0 0 0 2898314435790399085 +exploitdb:48818 2020-09-18 2020-09-18 Nikolas Geiselman f Mantis Bug Tracker 2.3.0 - Remote Code Execution (Unauthenticated) CVE-2019-15715 0 0 0 0 9133278722975263235 +exploitdb:49912 2021-05-28 2021-05-28 Captain_hook f WordPress Plugin LifterLMS 4.21.0 - Stored Cross-Site Scripting (XSS) CVE-2021-24308 0 0 0 0 4985448463713209454 +exploitdb:49753 2021-04-08 2021-04-08 Orion Hridoy f Composr 10.0.36 - Remote Code Execution CVE-2021-30149 0 0 0 0 9026267044489801439 +exploitdb:45964 2018-12-11 2018-12-12 Fariskhi Vidyan f PrestaShop 1.6.x/1.7.x - Remote Code Execution CVE-2018-19126 Deserialization 0 0 0 0 4140260193583507494 +exploitdb:52023 2024-05-19 2024-05-19 Miguel Redondo f htmlLawed 1.2.5 - Remote Code Execution (RCE) CVE-2022-35914 0 0 0 0 8441509313522473581 +exploitdb:50144 2021-07-20 2021-07-20 Mesh3l_911 f Webmin 1.973 - 'run.cgi' Cross-Site Request Forgery (CSRF) CVE-2021-31761 0 0 0 0 4181640141323851054 +exploitdb:39983 2016-06-20 2016-06-20 hyp3rlinx f http://hyp3rlinx.altervista.org/advisories/SYMPHONY-CMS-SESSION-FIXATION.txt Symphony CMS 2.6.7 - Session Fixation CVE-2016-4309 0 0 0 0 3558259227781858537 +exploitdb:44408 2018-04-05 2018-04-05 Sureshbabu Narvaneni f GetSimple CMS 3.3.13 - Cross-Site Scripting CVE-2018-9173 0 0 0 0 1986953064385203907 +exploitdb:52175 2025-04-11 2025-04-13 CodeSecLab f MiniCMS 1.1 - Cross Site Scripting (XSS) CVE-2018-1000638 0 0 0 0 3750582007151913698 +exploitdb:43501 2017-05-11 2018-01-11 tintinweb f https://github.com/tintinweb/pub/tree/edf0b0693dc18decd51e186b3ae8e6f635958967/pocs/cve-2017-8798 MiniUPnP MiniUPnPc < 2.0 - Remote Denial of Service CVE-2017-8798 0 0 0 0 3707098008794145124 +exploitdb:49867 2021-05-14 2021-12-01 M. Cory Billington t Chamilo LMS 1.11.14 - Remote Code Execution (Authenticated) CVE-2021-31933 0 0 0 0 6429531283514907578 +exploitdb:48025 2020-02-07 2020-02-07 Clément Billac f EyesOfNetwork 5.3 - Remote Code Execution CVE-2020-8656 0 0 0 0 7222555682424077019 +exploitdb:50998 2022-08-01 2022-08-01 Emir Polat f Webmin 1.996 - Remote Code Execution (RCE) (Authenticated) CVE-2022-36446 0 0 0 0 2482732309907300663 +exploitdb:45338 2018-09-06 2018-09-06 Javier Olmedo f Jorani Leave Management 0.6.5 - Cross-Site Scripting CVE-2018-15917 Cross-Site Scripting (XSS) 0 0 0 0 1800453556291780409 +exploitdb:49909 2021-05-26 2021-06-29 Ron Jost t Pluck CMS 4.7.13 - File Upload Remote Code Execution (Authenticated) CVE-2020-29607 0 0 0 0 8843810178522035395 +exploitdb:51157 2023-03-31 2023-03-31 Krzysztof Burghardt f qubes-mirage-firewall v0.8.3 - Denial Of Service (DoS) CVE-2022-46770 0 0 0 0 347148804838064684 +exploitdb:27931 2006-05-31 2013-08-29 Blake Hartstein t https://www.securityfocus.com/bid/18200/info Snort 2.4.x - URIContent Rules Detection Evasion CVE-2006-2769 0 0 0 0 2328963189831513283 +exploitdb:46201 2019-01-18 2019-03-08 AkkuS f Webmin 1.900 - Remote Command Execution (Metasploit) CVE-2019-9624 Metasploit Framework (MSF) 0 0 0 0 4251020139053838546 +exploitdb:50684 2022-01-25 2022-01-25 Rodolfo Tavares f PHPIPAM 1.4.4 - SQLi (Authenticated) CVE-2022-23046 0 0 0 0 4989209369439981108 +exploitdb:48747 2020-08-17 2021-07-23 West Shepherd f Microsoft SharePoint Server 2019 - Remote Code Execution CVE-2020-1147 0 0 0 0 7736585290987275750 +exploitdb:52446 2025-12-02 2025-12-02 CodeSecLab f YOURLS 1.8.2 - Cross-Site Request Forgery (CSRF) CVE-2022-0088 0 0 0 0 9042894133367727245 +exploitdb:51276 2023-04-06 2023-04-06 7h3h4ckv157 f modoboa 2.0.4 - Admin TakeOver CVE-2023-0777 0 0 0 0 9058364255546677699 +exploitdb:51233 2023-04-03 2023-04-03 Nuri Çilengir f GLPI v10.0.2 - SQL Injection (Authentication Depends on Configuration) CVE-2022-31056 0 0 0 0 7017905013852108416 +exploitdb:45262 2018-08-25 2018-08-27 hook-s3c f https://github.com/hook-s3c/CVE-2018-11776-Python-PoC/blob/343bf070cc8649803ea865bd64543234fec1a4f6/exploitS2-057-cmd.py Apache Struts 2.3 < 2.3.34 / 2.5 < 2.5.16 - Remote Code Execution (2) CVE-2018-11776 0 0 0 0 2667861116910535832 +exploitdb:46246 2019-01-25 2019-01-25 Fady Mohammed Osman f Lua 5.3.5 - 'debug.upvaluejoin' Use After Free CVE-2019-6706 Use After Free (UAF) 0 0 0 0 2954943028643841905 +exploitdb:45233 2018-08-21 2018-10-01 Justin Gardner t OpenSSH 2.3 < 7.7 - Username Enumeration CVE-2018-15473 0 0 0 0 3115368327908146051 +exploitdb:52604 2026-05-30 2026-05-30 Daniel Miranda f YAMCS yamcs-core 5.12.7 - User Enumeration CVE-2026-44595 0 0 0 0 2780023408513849187 +exploitdb:52378 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via Facebook Integration Page Name Field CVE-2025-51398 0 0 0 0 8564033263803716988 +exploitdb:51531 2023-06-19 2023-06-19 Amirhossein Bahramizadeh f WordPress Theme Medic v1.0.0 - Weak Password Recovery Mechanism for Forgotten Password CVE-2020-11027 0 0 0 0 1520883743967122368 +exploitdb:51263 2023-04-05 2023-04-05 Askar f Froxlor 2.0.3 Stable - Remote Code Execution (RCE) CVE-2023-0315 0 0 0 0 5326271605367847713 +exploitdb:51205 2023-04-03 2023-04-03 Jenson Zhao f Nacos 2.0.3 - Access Control vulnerability CVE-2021-43116 0 0 0 0 6328287733676972520 +exploitdb:46664 2019-04-08 2019-04-08 FelipeGaspar f Bolt CMS 3.6.6 - Cross-Site Request Forgery / Remote Code Execution CVE-2019-10874 Cross-Site Request Forgery (CSRF) 0 0 0 0 6094056563410155393 +exploitdb:48963 2020-10-28 2020-10-28 Vaisha Bernard f Blueman < 2.1.4 - Local Privilege Escalation CVE-2020-15238 0 0 0 0 5144149548952785465 +exploitdb:46178 2019-01-16 2019-03-17 Magnus Klaaborg Stubman t https://dumpco.re/bugs/ntpsec-authed-oobwrite NTPsec 1.1.2 - 'config' (Authenticated) Out-of-Bounds Write Denial of Service (PoC) CVE-2019-6442 Out Of Bounds 0 0 0 0 8480875551047399913 +exploitdb:47178 2019-07-26 2019-07-26 j0lama t pdfresurrect 0.15 - Buffer Overflow CVE-2019-14267 0 0 0 0 7610410333233701416 +exploitdb:42660 2017-09-12 2018-03-30 Mehmet Ince f https://pentest.blog/advisory-osticket-v1-10-unauthenticated-sql-injection/ osTicket 1.10 - SQL Injection (PoC) CVE-2017-14396 0 0 0 0 2815009187126150275 +exploitdb:51622 2023-07-28 2023-07-31 Ranjeet Jaiswal t RosarioSIS 10.8.4 - CSV Injection CVE-2023-29918 0 0 0 0 7907502969904682476 +exploitdb:48042 2020-02-11 2020-02-11 Sayak Naskar f Vanilla Forums 2.6.3 - Persistent Cross-Site Scripting CVE-2020-8825 0 0 0 0 2447987574671321579 +exploitdb:29915 2007-04-26 2013-11-30 En Douli t https://www.securityfocus.com/bid/23676/info MoinMoin 1.5.x - 'index.php' Cross-Site Scripting CVE-2007-2423 0 0 0 0 1138205211684642963 +exploitdb:33219 2009-09-11 2014-05-07 Steve Kemp t https://www.securityfocus.com/bid/36392/info Planet 2.0 - HTML Injection CVE-2009-2937 0 0 0 0 8607809913039235499 +exploitdb:46538 2019-03-13 2019-03-13 Gionathan Reale f pfSense 2.4.4-p1 (HAProxy Package 0.59_14) - Persistent Cross-Site Scripting CVE-2019-8953 Cross-Site Scripting (XSS) 0 0 0 0 8060948219853004189 +exploitdb:44265 2018-03-08 2018-03-09 649 f https://github.com/649/Memcrashed-DDoS-Exploit/tree/3422efc009a43451281d165e8b9979189c405ff1 Memcached 1.5.5 - 'Memcrashed ' Insufficient Control of Network Message Volume Denial of Service With Shodan API CVE-2018-1000115 0 0 0 0 6432407366973662061 +exploitdb:52445 2025-12-02 2025-12-02 CodeSecLab f phpMyFAQ 3.1.7 - Reflected Cross-Site Scripting (XSS) CVE-2022-3766 0 0 0 0 7237196448881024691 +exploitdb:52600 2026-05-29 2026-05-29 cardosource f MikroORM 7.0.13 - SQL Injection CVE-2026-44680 0 0 0 0 5967189562191961414 +exploitdb:50892 2022-05-11 2022-05-11 cxosmo f Akka HTTP 10.1.14 - Denial of Service CVE-2021-42697 0 0 0 0 6719067438606313526 +exploitdb:43466 2018-01-09 2018-01-09 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1379 Microsoft Edge Chakra JIT - Op_MaxInAnArray and Op_MinInAnArray can Explicitly call User-Defined JavaScript Functions CVE-2017-11893 0 0 0 0 6044266793765988293 +exploitdb:48701 2020-07-26 2020-07-26 James Green f Bludit 3.9.2 - Directory Traversal CVE-2019-16113 0 0 0 0 5479945263219539987 +exploitdb:52429 2025-09-16 2025-09-16 Maksim Rogov f XWiki Platform 15.10.10 - Metasploit Module for Remote Code Execution (RCE) CVE-2025-24893 0 0 0 0 1608010532768462390 +exploitdb:51270 2023-04-06 2023-04-06 Ravindu Wickramasinghe f Dompdf 1.2.1 - Remote Code Execution (RCE) CVE-2022-28368 0 0 0 0 7484849038499705263 +exploitdb:52271 2025-04-22 2025-04-22 Milad karimi f WonderCMS 3.4.2 - Remote Code Execution (RCE) CVE-2023-41425 0 0 0 0 6092325989052107487 +exploitdb:52451 2025-12-03 2025-12-03 CodeSecLab f phpMyAdmin 5.0.0 - SQL Injection CVE-2020-5504 0 0 0 0 1412672219213199228 +exploitdb:52543 2026-04-30 2026-04-30 jefersoncardoso.dev f Python-Multipart 0.0.22 - Path Traversal CVE-2026-24486 0 0 0 0 6476461224133213185 +exploitdb:40920 2016-12-15 2016-12-16 Dawid Golunski t https://legalhackers.com/advisories/Nagios-Exploit-Command-Injection-CVE-2016-9565-2008-4796.html Nagios < 4.2.2 - Arbitrary Code Execution CVE-2016-9565 Remote 0 0 0 0 3221277802410124590 +exploitdb:52449 2025-12-03 2025-12-03 CodeSecLab f RosarioSIS 6.7.2 - Cross-Site Scripting (XSS) CVE-2020-15718 0 0 0 0 2479184721929699155 +exploitdb:47448 2019-10-01 2019-10-01 MaYaSeVeN f DotNetNuke < 9.4.0 - Cross-Site Scripting CVE-2019-12562 Cross-Site Scripting (XSS) 0 0 0 0 7139884101738940109 +exploitdb:49765 2021-04-14 2021-10-29 Central InfoSec f MariaDB 10.2 - 'wsrep_provider' OS Command Execution CVE-2021-27928 0 0 0 0 1573095578948448909 +exploitdb:42998 2017-10-17 2017-10-17 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1333 Microsoft Edge Chakra JIT - Incorrect GenerateBailOut Calling Patterns CVE-2017-11799 0 0 0 0 1652514275489604261 +exploitdb:44154 2018-02-21 2018-02-21 r4xis f Wavpack 5.1.0 - Denial of Service CVE-2018-7254 0 0 0 0 8535307025172411833 +exploitdb:47320 2019-08-20 2019-08-30 vishnudevtj f https://github.com/vishnudevtj/exploits/blob/bdbe2647969150c63ee3b34da5a2deb056e64f0b/qemu/CVE-2019-14378/exp.c QEMU - Denial of Service CVE-2019-14378 0 0 0 0 1233669949593179143 +exploitdb:44448 2018-04-13 2018-08-28 Vitalii Rudnykh t https://github.com/a2u/CVE-2018-7600/blob/2c623a6a9ea641119cf7ee75cd344fb32047169b/exploit.py Drupal < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution (PoC) CVE-2018-7600 0 0 0 0 6240813129066992973 +exploitdb:51577 2023-07-11 2023-07-11 GatoGamer1155 f Spring Cloud 3.2.2 - Remote Command Execution (RCE) CVE-2022-22963 0 0 0 0 7476444181122040138 +exploitdb:46452 2019-02-23 2019-02-23 Charles Fol f https://www.ambionics.io/blog/drupal8-rce Drupal < 8.6.10 / < 8.5.11 - REST Module Remote Code Execution CVE-2019-6340 0 0 0 0 948912924169485789 +exploitdb:50502 2021-11-08 2021-11-08 Martin Cernac f Froxlor 0.10.29.1 - SQL Injection (Authenticated) CVE-2021-42325 0 0 0 0 6952985683948643460 +exploitdb:44023 2018-02-12 2018-02-12 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/321b78b0fe8fd515d1efab64996f11b4eecbc27d/modules/exploits/linux/local/juju_run_agent_priv_esc.rb Juju-run Agent - Privilege Escalation (Metasploit) CVE-2017-9232 Metasploit Framework (MSF) 0 0 0 0 4600947012933832227 +exploitdb:44571 2018-05-02 2018-05-02 straight_blast f https://medium.com/@straightblast426/my-poc-walk-through-for-cve-2018-6789-2e402e4ff588 Exim < 4.90.1 - 'base64d' Remote Code Execution CVE-2018-6789 Remote 0 0 0 0 6739441427598389705 +exploitdb:40561 2016-10-17 2016-10-25 Metasploit t Ruby on Rails - Dynamic Render File Upload / Remote Code Execution (Metasploit) CVE-2016-0752 Metasploit Framework (MSF) 0 0 0 0 6607941981422498940 +exploitdb:43964 2018-02-05 2018-02-05 Samrat Das f Wonder CMS 2.3.1 - 'Host' Header Injection CVE-2017-14523 0 0 0 0 3570807348763049945 +exploitdb:43322 2017-12-11 2017-12-11 Jungun Baek f http://bugzilla.maptools.org/show_bug.cgi?id=2750 LibTIFF pal2rgb 4.0.9 - Heap Buffer Overflow CVE-2017-17095 Denial of Service (DoS) 0 0 0 0 2617374673456070229 +exploitdb:43155 2017-11-16 2017-11-16 MalwareBenchmark t https://kay-malwarebenchmark.github.io/blog/cve-2017-15806-critical-rce-vulnerability/ Zeta Components Mail 1.8.1 - Remote Code Execution CVE-2017-15806 0 0 0 0 4344552892412956658 +exploitdb:45169 2018-08-08 2018-08-08 Rajwinder Singh f osTicket 1.10.1 - Arbitrary File Upload CVE-2017-15580 0 0 0 0 4982134933781441212 +exploitdb:52165 2025-04-10 2025-04-13 CodeSecLab f flatCore 1.5.5 - Arbitrary File Upload CVE-2019-10652 0 0 0 0 5915932220549452092 +exploitdb:52094 2025-03-22 2025-03-22 Max Meyer - Rivendell f TeamPass 3.0.0.21 - SQL Injection CVE-2023-1545 0 0 0 0 7784658433501846383 +exploitdb:51257 2023-04-05 2023-04-27 Eduardo Pérez-Malumbres Cervera t Answerdev 1.0.3 - Account Takeover CVE-2023-0744 0 0 0 0 8279426802819546237 +exploitdb:50941 2022-05-17 2022-05-24 Akshay Ravi f Showdoc 2.10.3 - Stored Cross-Site Scripting (XSS) CVE-2022-0967 0 0 0 0 2210486996838937429 +exploitdb:52348 2025-07-02 2025-07-02 cybersploit f gogs 0.13.0 - Remote Code Execution (RCE) CVE-2024-39930 0 0 0 0 2226528798948069701 +exploitdb:52162 2025-04-10 2025-04-13 cyberaz0r f Typecho 1.3.0 - Stored Cross-Site Scripting (XSS) CVE-2024-35540 0 0 0 0 4279214899617397200 +exploitdb:49998 2021-06-14 2021-06-14 Ron Jost f OpenEMR 5.0.1.3 - 'manage_site_files' Remote Code Execution (Authenticated) CVE-2018-15139 0 0 0 0 7852388756027082059 +exploitdb:52130 2025-04-06 2025-04-13 Suphawith Phusanbai f Watcharr 1.43.0 - Remote Code Execution (RCE) CVE-2024-48827 0 0 0 0 6907908638304152284 +exploitdb:52608 2026-06-01 2026-06-01 cardosource f Drupal Core 10.5.5 - Error-Based SQL Injection CVE-2026-9082 0 0 0 0 4183582288547118172 +exploitdb:44545 2018-04-26 2018-04-26 Sven Fassbender f SickRage < v2018.03.09 - Clear-Text Credentials HTTP Response CVE-2018-9160 0 0 0 0 4719537633632751455 +exploitdb:48681 2020-07-22 2020-07-22 Amin Sharifi f Docsify.js 4.11.4 - Reflective Cross-Site Scripting CVE-2020-7680 0 0 0 0 5339269118378376522 +exploitdb:40450 2016-10-03 2016-10-03 Dawid Golunski t http://legalhackers.com/advisories/Tomcat-DebPkgs-Root-Privilege-Escalation-Exploit-CVE-2016-1240.html Apache Tomcat 8/7/6 (Debian-Based Distros) - Local Privilege Escalation CVE-2016-1240 0 0 0 0 4689222247911204576 +exploitdb:47543 2019-10-24 2019-10-24 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/local/ptrace_traceme_pkexec_helper.rb Linux Polkit - pkexec helper PTRACE_TRACEME local root (Metasploit) CVE-2019-13272 Metasploit Framework (MSF) 0 0 0 0 95000956086093648 +exploitdb:39791 2016-05-09 2018-04-29 Metasploit t ImageMagick 6.9.3-9 / 7.0.1-0 - 'ImageTragick' Delegate Arbitrary Command Execution (Metasploit) CVE-2016-3714 Metasploit Framework (MSF) 0 0 0 0 5454081914458375011 +exploitdb:51890 2024-03-14 2024-03-14 DEFCESCO f KiTTY 0.76.1.13 - 'Start Duplicated Session Hostname' Buffer Overflow CVE-2024-25003 0 0 0 0 7365483029746391214 +exploitdb:50808 2022-03-08 2022-03-08 Lance Biggerstaff f Linux Kernel 5.8 < 5.16.11 - Local Privilege Escalation (DirtyPipe) CVE-2022-0847 0 0 0 0 4180005273452914269 +exploitdb:44775 2018-05-27 2018-05-27 Nathu Nandwani f ClipperCMS 1.3.3 - Cross-Site Scripting CVE-2018-11332 0 0 0 0 675819772453291218 +exploitdb:40086 2016-07-11 2016-07-11 Metasploit t Ruby on Rails ActionPack Inline ERB - Code Execution (Metasploit) CVE-2016-2098 Metasploit Framework (MSF) 0 0 0 0 2858128492419432731 +exploitdb:46772 2019-04-30 2019-04-30 Dhiraj Mishra f Spring Cloud Config 2.1.x - Path Traversal (Metasploit) CVE-2019-3799 Metasploit Framework (MSF) 0 0 0 0 4553840215828901796 +exploitdb:43064 2017-10-27 2017-10-30 Nikhil Mittal f phpMyFAQ 2.9.8 - Cross-Site Request Forgery CVE-2017-15730 0 0 0 0 7368968766484812964 +exploitdb:51277 2023-04-06 2023-04-06 p4kl0nc4t f POLR URL 2.3.0 - Shortener Admin Takeover CVE-2021-21276 0 0 0 0 6684811310972469056 +exploitdb:46182 2019-01-16 2019-01-16 Larry W. Cashdollar f http://www.vapidlabs.com/advisory.php?v=204 Blueimp's jQuery File Upload 9.22.0 - Arbitrary File Upload Exploit CVE-2018-9206 0 0 0 0 3330576172677788144 +exploitdb:39549 2016-03-10 2017-09-19 Dawid Golunski t http://legalhackers.com/advisories/Exim-Local-Root-Privilege-Escalation.txt Exim < 4.86.2 - Local Privilege Escalation CVE-2016-1531 0 0 0 0 3483350689098395669 +exploitdb:52194 2025-04-14 2025-04-14 maeitsec f Pimcore 11.4.2 - Stored cross site scripting CVE-2024-11954 0 0 0 0 614514731320457946 +exploitdb:46771 2019-04-30 2019-04-30 Kağan EĞLENCE f HumHub 1.3.12 - Cross-Site Scripting CVE-2019-11564 Cross-Site Scripting (XSS) 0 0 0 0 5240403358849048011 +exploitdb:46048 2018-12-21 2019-02-11 Tenable NS t https://medium.com/tenable-techblog/exploiting-an-18-year-old-bug-b47afe54172 Netatalk 3.1.12 - Authentication Bypass (PoC) CVE-2018-1160 0 0 0 0 2162024194445039810 +exploitdb:43375 2017-12-19 2017-12-19 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/76823e9fe6e38e88c2a25bc5a13c6b2bec6aeeb2/modules/exploits/multi/http/jenkins_xstream_deserialize.rb Jenkins - XStream Groovy classpath Deserialization (Metasploit) CVE-2016-0792 Metasploit Framework (MSF) 0 0 0 0 3287903230792295539 +exploitdb:46973 2019-06-04 2019-06-07 Arminius f https://raw.githubusercontent.com/numirias/security/6171866eb84b4deed10cd5214130f1070c82db13/doc/2019-06-04_ace-vim-neovim.md Vim < 8.1.1365 / Neovim < 0.3.6 - Arbitrary Code Execution CVE-2019-12735 0 0 0 0 2751855221035605013 +exploitdb:47138 2019-07-19 2021-01-28 0xd0ff9 f fuel CMS 1.4.1 - Remote Code Execution (1) CVE-2018-16763 0 0 0 0 6065835172232471989 +exploitdb:49983 2021-06-11 2021-06-11 Ron Jost f OpenEMR 5.0.0 - Remote Code Execution (Authenticated) CVE-2017-9380 0 0 0 0 42787240629795889 +exploitdb:52341 2025-06-26 2025-06-26 Zen-kun04 f Pterodactyl Panel 1.11.11 - Remote Code Execution (RCE) CVE-2025-49132 0 0 0 0 2148223301922401122 +exploitdb:41748 2017-03-27 2017-03-27 Sysdream f Nuxeo 6.0/7.1/7.2/7.3 - Remote Code Execution (Metasploit) CVE-2017-5869 Metasploit Framework (MSF) 0 0 0 0 3804189831895077774 +exploitdb:40768 2016-11-16 2017-11-16 Dawid Golunski f http://legalhackers.com/advisories/Nginx-Exploit-Deb-Root-PrivEsc-CVE-2016-1247.html Nginx (Debian Based Distros + Gentoo) - 'logrotate' Local Privilege Escalation CVE-2016-1247 0 0 0 0 1812575947296750140 +exploitdb:41963 2017-05-03 2017-05-04 Dawid Golunski f https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset-0day-CVE-2017-8295.html WordPress Core < 4.7.4 - Unauthorized Password Reset CVE-2017-8295 0 0 0 0 7980065097678724536 +exploitdb:50799 2022-03-07 2022-03-07 Carlos E. Vieira f Spring Cloud Gateway 3.1.0 - Remote Code Execution (RCE) CVE-2022-22947 0 0 0 0 560224723864821912 +exploitdb:49091 2020-11-23 2020-11-23 3ndG4me f LifeRay 7.2.1 GA2 - Stored XSS CVE-2020-7934 0 0 0 0 6672314497273592672 +exploitdb:46052 2018-12-10 2018-12-24 evict f https://github.com/evict/poc_CVE-2018-1002105/blob/ed5da79aadad0049d11f89fcb9ed65f987a331a1/unauth_poc.py Kubernetes - (Unauthenticated) Arbitrary Requests CVE-2018-1002105 0 0 0 0 2150816709108813733 +exploitdb:50082 2021-07-02 2021-07-02 Ron Jost f Wordpress Plugin Modern Events Calendar 5.16.2 - Remote Code Execution (Authenticated) CVE-2021-24145 0 0 0 0 356098583625344501 +exploitdb:43775 2018-01-16 2018-11-17 halfdog t https://www.halfdog.net/Security/2017/LibcRealpathBufferUnderflow/RationalLove.c glibc < 2.26 - 'getcwd()' Local Privilege Escalation CVE-2018-1000001 0 0 0 0 6498657215996386985 +exploitdb:46176 2019-01-16 2019-01-16 Magnus Klaaborg Stubman t https://dumpco.re/bugs/ntpsec-oobread2 NTPsec 1.1.2 - 'ntp_control' Out-of-Bounds Read (PoC) CVE-2019-6444 0 0 0 0 3343202346845982876 +exploitdb:44358 2018-03-29 2018-03-29 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/a1fff486bcffc0868b0a26b62d6ca0e390c38d33/modules/exploits/unix/webapp/joomla_comfields_sqli_rce.rb Joomla! Component Fields - SQLi Remote Code Execution (Metasploit) CVE-2017-8917 Metasploit Framework (MSF) 0 0 0 0 2881457460573625182 +exploitdb:48289 2020-04-06 2020-04-06 Matthew Aberegg f LimeSurvey 4.1.11 - 'Survey Groups' Persistent Cross-Site Scripting CVE-2020-11456 0 0 0 0 1859408660963015847 +exploitdb:45210 2018-08-16 2018-10-04 Matthew Daley t https://bugfuzz.com/stuff/ssh-check-username.py OpenSSH 2.3 < 7.7 - Username Enumeration (PoC) CVE-2018-15473 0 0 0 0 4506814619329683413 +exploitdb:52176 2025-04-11 2025-04-13 CodeSecLab f phpIPAM 1.6 - Reflected Cross Site Scripting (XSS) CVE-2023-24657 0 0 0 0 8428776411461185361 +exploitdb:46794 2019-05-03 2019-05-03 hash3liZer f WordPress Plugin Social Warfare < 3.5.3 - Remote Code Execution CVE-2019-9978 0 0 0 0 2999821848825232812 +exploitdb:50119 2021-07-13 2021-07-13 Central InfoSec f Apache Tomcat 9.0.0.M1 - Cross-Site Scripting (XSS) CVE-2019-0221 0 0 0 0 2488861065403758045 +exploitdb:50185 2021-08-10 2021-08-10 Brian Ombongi f Cockpit CMS 0.11.1 - 'Username Enumeration & Password Reset' NoSQL Injection CVE-2020-35848 0 0 0 0 2956130804408024977 +exploitdb:47989 2020-02-03 2020-02-04 Suvadip Kar f phpList 3.5.0 - Authentication Bypass CVE-2020-8547 0 0 0 0 4435326387778577082 +exploitdb:51166 2023-03-31 2023-03-31 Riadh Bouchahoua f Cacti v1.2.22 - Remote Command Execution (RCE) CVE-2022-46169 0 0 0 0 640254487723818782 +exploitdb:42599 2017-08-31 2017-09-01 Metasploit t https://github.com/rapid7/metasploit-framework/blob/202c936868328a4fe665c9d2ea82b8f8a2610b6e/modules/exploits/multi/http/git_submodule_command_exec.rb Git < 2.7.5 - Command Injection (Metasploit) CVE-2017-1000117 Metasploit Framework (MSF) 0 0 0 0 7663321561439604735 +exploitdb:52379 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via Personal Canned Messages CVE-2025-51400 0 0 0 0 6596837264500108296 +exploitdb:49485 2021-01-28 2021-11-01 Alexandre ZANNI f CMSUno 1.6.2 - 'lang' Remote Code Execution (Authenticated) CVE-2020-25557 0 0 0 0 185282568273673469 +exploitdb:52269 2025-04-22 2025-04-22 Milad karimi f OpenSSH server (sshd) 9.8p1 - Race Condition CVE-2024-6387 0 0 0 0 576524466868395789 +exploitdb:49705 2021-03-23 2021-03-23 WangYihang t Codiad 2.8.4 - Remote Code Execution (Authenticated) CVE-2018-14009 0 0 0 0 8706361584045313392 +exploitdb:45571 2018-10-09 2018-10-09 Google Security Research t https://bugs.chromium.org/p/project-zero/issues/detail?id=1612 Microsoft Edge Chakra JIT - 'BailOutOnInvalidatedArrayHeadSegment' Check Bypass CVE-2018-8466 Denial of Service (DoS) 0 0 0 0 301328135439517593 +exploitdb:46693 2019-04-12 2019-04-12 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/linux/http/zimbra_xxe_rce.rb Zimbra Collaboration - Autodiscover Servlet XXE and ProxyServlet SSRF (Metasploit) CVE-2019-9670 Metasploit Framework (MSF) 0 0 0 0 9218790823439297504 +exploitdb:43184 2017-11-27 2017-11-27 meh t https://bugs.exim.org/show_bug.cgi?id=2201 Exim 4.89 - 'BDAT' Denial of Service CVE-2017-16944 Denial of Service (DoS) 0 0 0 0 2182692582296864238 +exploitdb:47987 2020-02-03 2020-02-03 kolya5544 f BearFTP 0.1.0 - 'PASV' Denial of Service CVE-2020-8416 0 0 0 0 6274510583960700600 +exploitdb:45160 2018-08-06 2018-08-08 Ranjeet Jaiswal f Open-AudIT Community 2.2.6 - Cross-Site Scripting CVE-2018-14493 Cross-Site Scripting (XSS) 0 0 0 0 6033256390298622845 +exploitdb:42294 2017-07-02 2017-10-04 Brandon Dennis f Zookeeper 3.5.2 Client - Denial of Service CVE-2017-5637 0 0 0 0 3642694970569876979 +exploitdb:51475 2023-05-23 2023-05-26 Youssef Muhammad t GetSimple CMS v3.3.16 - Remote Code Execution (RCE) CVE-2022-41544 0 0 0 0 6840128216582725992 +exploitdb:45628 2018-10-17 2018-10-18 Ismail Tasdelen f BigTree CMS 4.2.23 - Cross-Site Scripting CVE-2018-18308 Cross-Site Scripting (XSS) 0 0 0 0 7323201326745672764 +exploitdb:52169 2025-04-11 2025-04-13 CodeSecLab f RosarioSIS 7.6 - SQL Injection CVE-2021-44567 0 0 0 0 3511939889201901836 +exploitdb:49810 2021-04-29 2021-10-29 Leonardo Paiva f Cacti 1.2.12 - 'filter' SQL Injection CVE-2020-14295 0 0 0 0 5593720095001365020 +exploitdb:49244 2020-12-14 2021-02-17 gx1 f Jenkins 2.235.3 - 'X-Forwarded-For' Stored XSS CVE-2020-2231 0 0 0 0 8428374767419087052 +exploitdb:44277 2018-03-12 2018-03-12 Manuel García Cárdenas f TextPattern 4.6.2 - 'qty' SQL Injection CVE-2018-7474 0 0 0 0 2946427542186243404 +exploitdb:39524 2016-03-07 2016-03-07 mr_me t ATutor LMS - '/install_modules.php' Cross-Site Request Forgery / Remote Code Execution CVE-2016-2539 0 0 0 0 3778394362376107962 +exploitdb:51962 2024-04-02 2024-04-02 Ali Maharramli_Fikrat Guliev_Islam Rzayev f Gibbon LMS v26.0.00 - SSTI vulnerability CVE-2024-24724 0 0 0 0 3967230871207603044 +exploitdb:43381 2017-12-02 2017-12-21 Etienne Stalmans f https://hackerone.com/reports/294462 Ruby < 2.2.8 / < 2.3.5 / < 2.4.2 / < 2.5.0-preview1 - 'NET::Ftp' Command Injection CVE-2017-17405 0 0 0 0 5592960448141338498 +exploitdb:47384 2019-09-13 2019-09-13 Metin Yunus Kandemir f Dolibarr ERP-CRM 10.0.1 - 'User-Agent' Cross-Site Scripting CVE-2019-16197 Cross-Site Scripting (XSS) 0 0 0 0 2516865842058454414 +exploitdb:45284 2018-08-29 2018-11-03 VulnSpy t phpMyAdmin 4.7.x - Cross-Site Request Forgery CVE-2017-1000499 Cross-Site Request Forgery (CSRF) 0 0 0 0 2200451491842861050 +exploitdb:49840 2021-05-06 2021-05-06 nu11secur1ty f b2evolution 7-2-2 - 'cf_name' SQL Injection CVE-2021-28242 0 0 0 0 865842317105929622 +exploitdb:49072 2020-11-19 2020-11-19 icekam f PESCMS TEAM 2.3.2 - Multiple Reflected XSS CVE-2020-28092 0 0 0 0 1403992782173045109 +exploitdb:50406 2021-10-13 2021-10-13 Lucas Souza t Apache HTTP Server 2.4.50 - Path Traversal & Remote Code Execution (RCE) CVE-2021-42013 0 0 0 0 2835718037476098249 +exploitdb:50126 2021-07-14 2021-07-20 Mesh3l_911 f Webmin 1.973 - 'save_user.cgi' Cross-Site Request Forgery (CSRF) CVE-2021-31762 0 0 0 0 2072625026079022096 +exploitdb:51870 2024-03-10 2024-03-10 u32i f Akaunting < 3.1.3 - RCE CVE-2024-22836 0 0 0 0 112626119597212163 +exploitdb:40194 2016-08-03 2016-08-03 Chris Benedict t Wireshark 1.12.0 < 1.12.12 - NDS Dissector Denial of Service CVE-2016-6504 0 0 0 0 2794463104401873731 +exploitdb:50512 2021-11-11 2022-04-19 Valentin Lobstein t Apache HTTP Server 2.4.50 - Remote Code Execution (RCE) (3) CVE-2021-42013 0 0 0 0 1998794890920302400 +exploitdb:52528 2026-04-30 2026-04-30 banyamer f deephas 1.0.7 - Prototype Pollution CVE-2026-25047 0 0 0 0 508248293497948384 +exploitdb:40003 2016-01-19 2016-06-22 Federico Bento f Linux Kernel 4.4.1 - REFCOUNT Overflow Use-After-Free in Keyrings Local Privilege Escalation (2) CVE-2016-0728 0 0 0 0 2070281296835476921 +exploitdb:52381 2025-07-22 2025-07-22 Manojkumar J f LiveHelperChat 4.61 - Stored Cross Site Scripting (XSS) via Department Assignment Alias Nick Field CVE-2025-51403 0 0 0 0 1445617202096319880 +exploitdb:46539 2019-03-13 2019-03-28 Metasploit t https://raw.githubusercontent.com/rapid7/metasploit-framework/a4c1181b9f81869b7b1df62affbc9554e828f81c/modules/exploits/unix/webapp/elfinder_php_connector_exiftran_cmd_injection.rb elFinder PHP Connector < 2.1.48 - 'exiftran' Command Injection (Metasploit) CVE-2019-9194 Metasploit Framework (MSF) 0 0 0 0 4078881894794985926 +exploitdb:52435 2025-09-16 2025-09-16 Mukundsinh Solanki (r00td3str0y3r) f ClipBucket 5.5.0 - Arbitrary File Upload CVE-2025-55912 0 0 0 0 8857221616549385524 +exploitdb:46481 2019-03-04 2019-03-13 q3rv0 t https://www.secsignal.org/news/cve-2019-9194-triggering-and-exploiting-a-1-day-vulnerability/ elFinder 2.1.47 - 'PHP connector' Command Injection CVE-2019-9194 Command Injection 0 0 0 0 3763884812270966114 +exploitdb:42143 2017-06-08 2017-06-09 Ahsan Tahir f Craft CMS 2.6 - Cross-Site Scripting CVE-2017-9516 0 0 0 0 1742185098886263834 +exploitdb:52425 2025-09-16 2025-10-29 wulfgarpro f http://example.com HTMLDOC 1.9.13 - Stack Buffer Overflow CVE-2021-43579 0 0 0 0 6967702958808918927 +exploitdb:41826 2017-04-06 2017-04-06 Compass Security f Cesanta Mongoose OS - Use-After-Free CVE-2017-7185 Use After Free (UAF) 0 0 0 0 444694221399401149 +exploitdb:49930 2021-06-02 2021-06-02 Piyush Patil f Products.PluggableAuthService 2.6.0 - Open Redirect CVE-2021-21337 0 0 0 0 2558033275981985924 +github:735350717 2023-12-24 2023-12-24 f https://github.com/zunak/CVE-2023-49471 CVE-2023-49471 0 0 1 0 323983364217258663 +github:987053597 2025-05-27 2025-05-27 f https://github.com/rick2600/redis-stack-CVE-2024-55656 CVE-2024-55656 0 0 2 0 3843656740077953025 +github:1113515043 2025-12-22 2026-06-14 f https://github.com/theori-io/reactguard ReactGuard provides framework- and vulnerability-detection tooling for CVE-2025-55182 (React2Shell) CVE-2025-55182 4 18 0 18 4352395664314189805 +github:1255573444 2026-06-01 2026-06-01 f https://github.com/JianrongXiao-Linksys/dnsmasq-cve-2026 Automated defect verification tool for 6 dnsmasq CVEs (CVE-2026-2291, 4890, 4891, 4892, 4893, 5172) CVE-2026-2291 0 0 0 0 2197153316808909736 +github:1239769021 2026-05-15 2026-05-15 f https://github.com/soksofos/wazuh-nginx-cve-2026-42945-sca-lab Centralized Wazuh SCA Assessment for CVE-2026-42945 on NGINX Servers CVE-2026-42945 0 0 0 0 5643217365774489545 +github:131035487 2018-04-25 2020-07-17 f https://github.com/faizzaidi/Composr-CMS-10.0.13-Cross-Site-Scripting-XSS Composr CMS 10.0.13 Cross Site Scripting(XSS) Assigned CVE Number: CVE-2018-6518 CVE-2018-6518 0 2 1 2 1000497821285282832 +github:989277001 2025-05-23 2026-07-15 f https://github.com/dact91/CVE-2019-25137-RCE CVE-2019-25137 is an Umbraco RCE vulnerability, the script within this repo is slightly altered CVE-2019-25137 0 1 0 1 8159700751488774049 +github:933535027 2025-02-17 2025-11-03 f https://github.com/godylockz/CVE-2024-42327 POC for CVE-2024-42327: Zabbix Privilege Escalation -> RCE CVE-2024-42327 2 9 1 9 560635237640176527 +github:943485301 2025-03-05 2025-03-05 f https://github.com/x3m1Sec/CVE-2019-0232_tomcat_cgi_exploit CVE-2019-0232 0 0 1 0 2057273335593720406 +github:803032803 2024-07-27 2024-07-27 f https://github.com/cc3305/CVE-2021-22205 CVE-2021-22205 exploit script CVE-2021-22205 0 0 1 0 8299997688250058028 +github:198226341 2019-07-23 2019-07-23 f https://github.com/french560/ptl6574 ptl cve-2018-6574 CVE-2018-6574 0 0 0 0 5936167385513228837 +github:703739148 2023-10-12 2023-11-03 f https://github.com/nickswink/CVE-2023-38646 CVE-2023-38646 Unauthenticated RCE vulnerability in Metabase CVE-2023-38646 2 3 1 3 1688778362033954547 +github:312628962 2020-12-31 2026-05-10 f https://github.com/aljavier/exploit_laravel_cve-2018-15133 Exploit for Laravel Remote Code Execution with API_KEY (CVE-2018-15133) CVE-2018-15133 15 57 1 57 1266817190665420045 +github:1112039364 2025-12-22 2025-12-22 f https://github.com/faizdotid/rust-cve-2025-55182 CVE-2025-55182 0 0 0 0 2619003705768296133 +github:1112423866 2025-12-08 2025-12-08 f https://github.com/AliAbdollahiii/react2shell_detector Heuristic security scanner for detecting React Server Components (RSC) vulnerabilities, including React2Shell-style behavior (CVE-2025-55182). Safe, non-exploitative, multi-target capable. CVE-2025-55182 0 0 0 0 1862978879150071616 +github:210890120 2019-09-25 2024-08-12 f https://github.com/jaychouzzk/CVE-2019-5475-Nexus-Repository-Manager- CVE-2019-5475 5 7 1 7 6750427650018898130 +github:328097281 2021-01-09 2024-08-12 f https://github.com/B1anda0/CVE-2021-3019 lanproxy 目录遍历漏洞批量检测 (CVE-2021-3019) CVE-2021-3019 5 3 1 3 9015603767483340839 +github:332484104 2021-01-24 2024-12-22 f https://github.com/lakwsh/CVE-2020-8597 CVE-2020-8597 in RM2100 CVE-2020-8597 3 6 1 6 1147024696208029297 +github:520582575 2022-08-02 2022-08-02 f https://github.com/vino-theva/CVE-2021-44228 Apache Log4j is a logging tool written in Java. This paper focuses on what is Log4j and log4shell vulnerability and how it works, how it affects the victim, and how can this be mitigated CVE-2021-44228 0 0 1 0 129959237874458762 +github:697735132 2023-10-08 2026-01-12 f https://github.com/pyn3rd/CVE-2023-34040 Spring-Kafka-Deserialization-Remote-Code-Execution CVE-2023-34040 8 32 1 32 8724653270467075354 +github:476708454 2022-04-02 2022-04-02 f https://github.com/Joe1sn/CVE-2022-22965 CVE-2022-22965 Environment CVE-2022-22965 0 1 1 1 9012507076882454069 +github:685531028 2023-08-31 2023-11-09 f https://github.com/a1665454764/CVE-2020-19360 CVE-2020-19360 CVE-2020-19360 0 0 1 0 7376330108742327369 +github:1014504773 2025-07-12 2025-07-12 f https://github.com/r0otk3r/CVE-2021-41773 CVE-2021-41773 0 0 0 0 1101998390835966769 +github:1300016798 2026-07-14 2026-07-14 f https://github.com/Kushiro45/metabase-cve-2023-38646 Repo contains the PoC and steps to reproduce cve 2023-38646 CVE-2023-38646 0 0 0 0 3428895069207441901 +github:805741257 2024-05-25 2024-05-25 f https://github.com/jakob-pennington/cve-2024-32002-poc-aw A POC for CVE-2024-32002 demonstrating arbitrary write into the .git directory. CVE-2024-32002 0 0 1 0 1697460173660453079 +github:647037210 2025-07-13 2025-07-13 f https://github.com/pS3ud0RAnD0m/cve-2022-24785-poc-lab Moment.js vuln lab CVE-2022-24785 0 1 2 1 4004882645097398518 +github:1004536002 2025-06-18 2025-06-18 f https://github.com/0xgh057r3c0n/CVE-2025-3248 Exploit for Langflow AI Remote Code Execution (Unauthenticated) CVE-2025-3248 0 0 0 0 4880478369726380316 +github:397483539 2021-08-23 2021-08-26 f https://github.com/security-n/CVE-2021-39377 CVE-2021-39377 0 0 1 0 5507873999854446649 +github:650974335 2023-06-08 2024-07-29 f https://github.com/Sybelle03/CVE-2021-43617 This is a reproduction of PHP Laravel 8.70.1 - Cross Site Scripting (XSS) to Cross Site Request Forgery (CSRF) vulnerability CVE-2021-43617 1 1 1 1 4160824393035164413 +github:529394141 2022-09-17 2026-06-22 f https://github.com/Chocapikk/CVE-2022-27925-Revshell Python Script to exploit Zimbra Auth Bypass + RCE (CVE-2022-27925) CVE-2022-27925 1 5 2 5 1564608348155645024 +github:1136673210 2026-01-18 2026-01-18 f https://github.com/sastraadiwiguna-purpleeliteteaming/DDoS-Purple-Teaming-Offensive-Multi-Vector-7-Tier-Defensive-Holistic-Blueprint- Replicable Blueprint for advanced DDoS Purple Teaming, engineered for the threat landscape. It integrates a Red Elite Teaming offensive suite—featuring multi-vector rotations, HTTP/2 Rapid Reset (CVE-2023-44487) exploitation, and mTLS 1.3-encrypted C2 orchestration—with a high-integrity 7-Tier Blue Elite Teaming defense-in-depth architecture. CVE-2023-44487 0 0 0 0 8177015633862773806 +github:440439859 2021-12-21 2021-12-21 f https://github.com/r00thunter/Log4Shell-Scanner Python script to detect Log4Shell Vulnerability CVE-2021-44228 CVE-2021-44228 0 0 1 0 2909773006191523503 +github:827307888 2024-07-11 2024-07-11 f https://github.com/crynomore/CVE-2024-34102 Burp Extension to test for CVE-2024-34102 CVE-2024-34102 0 0 1 0 3917228044341519137 +github:1205692872 2026-04-09 2026-04-09 f https://github.com/0xBlackash/CVE-2025-32433 CVE-2025-32433 CVE-2025-32433 0 0 0 0 7775987248897574211 +github:1110335731 2025-12-05 2025-12-05 f https://github.com/Z3YR0xX/CVE-2025-64459 CVE-2025-64459 0 0 0 0 2321725091597937057 +github:886907044 2025-01-30 2025-01-30 f https://github.com/uthrasri/CVE-2018-14881_no_patch CVE-2018-14881 0 0 1 0 6046602838332771088 +github:401163597 2021-08-29 2022-05-11 f https://github.com/guglia001/CVE-2019-18818 CVE-2019-18818 1 3 1 3 1957780978986153252 +github:678243170 2023-08-14 2025-02-25 f https://github.com/Halcy0nic/CVE-2023-40294-and-CVE-2023-40295 Proof of concept for CVE-2023-40294 and CVE-2023-40295 CVE-2023-40294 0 2 1 2 1782187962038640091 +github:732688819 2023-12-18 2025-02-14 f https://github.com/dwisiswant0/cve-2023-50164-poc Proof of Concept for Path Traversal in Apache Struts ("CVE-2023-50164") CVE-2023-50164 14 57 2 57 6473146419661706022 +github:824466447 2024-07-05 2024-07-05 f https://github.com/Heyholiday067/CVE-2024-39943-Poc CVE-2024-39943 rejetto HFS (aka HTTP File Server) 3 before 0.52.10 on Linux, UNIX, and macOS allows OS command execution by remote authenticated users (if they have Upload permissions). This occurs because a shell is used to execute df (i.e., with execSync instead of spawnSync in child_process in Node.js). CVE-2024-39943 5 0 0 0 6764064455544724098 +github:965228284 2025-04-13 2026-06-22 f https://github.com/Mattb709/CVE-2025-24813-PoC-Apache-Tomcat-RCE A Python proof-of-concept exploit for CVE-2025-24813 - Unauthenticated RCE in Apache Tomcat (v9.0.0-9.0.98/10.1.0-10.1.34/11.0.0-11.0.2) via malicious Java object deserialization. Includes safe detection mode and custom payload support. CVE-2025-24813 1 3 1 3 5066484552188264867 +github:1111440382 2025-12-07 2025-12-07 f https://github.com/MikeTheHash/CVE-2025-55182 A modified and a little boosted exploit for CVE-2025-55182, React2Shell: Pre-authentication Remote Code Execution in React Server Packages CVE-2025-55182 0 0 0 0 6351623646772579251 +github:686134711 2023-09-01 2026-06-22 f https://github.com/samh4cks/CVE-2016-6210-OpenSSH-User-Enumeration CVE-2016-6210 0 0 1 0 7502221030994427023 +github:439803220 2021-12-19 2022-10-28 f https://github.com/KeysAU/Get-log4j-Windows-local Identifying all log4j components across on local windows servers. CVE-2021-44228 CVE-2021-44228 1 5 2 5 8488404843166581670 +github:823065840 2024-07-02 2024-07-04 f https://github.com/rumochnaya/openssh-cve-2024-6387.sh openssh-cve-2024-6387.sh CVE-2024-6387 0 1 1 1 1741439980583132370 +github:1159229440 2026-02-16 2026-03-06 f https://github.com/kyakei/CVE-2025-4138-poc A Python script to generate a malicious tar archive that exploits CVE-2025-4138 / CVE-2025-4517. CVE-2025-4138 1 1 0 1 7132577707847234759 +github:463579186 2022-02-25 2024-11-06 f https://github.com/SecNN/CVE-2022-24112 Apache APISIX batch-requests RCE(CVE-2022-24112) CVE-2022-24112 4 8 2 8 2643060994246146781 +github:1016746826 2025-07-09 2025-07-09 f https://github.com/fishyyh/CVE-2025-48384-POC CVE-2025-48384 2 0 0 0 2873877550271152997 +github:1103267660 2025-11-24 2025-11-24 f https://github.com/Rivek619/CVE-2025-65676 Stored Cross site scripting (XSS) vulnerability in Classroomio LMS 0.1.13 allows authenticated attackers to execute arbitrary code via crafted SVG cover images. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-65676 0 0 0 0 8459968676820979978 +github:153468806 2023-12-19 2026-07-24 f https://github.com/blacknbunny/CVE-2018-10933 Spawn to shell without any credentials by using CVE-2018-10933 (LibSSH) CVE-2018-10933 115 498 21 498 3775769475084006649 +github:283207767 2020-07-29 2020-07-29 f https://github.com/triple-octopus/Bludit-CVE-2019-17240-Fork Better version of rastating.github.io/bludit-brute-force-mitigation-bypass/ CVE-2019-17240 0 0 0 0 8839830495749814309 +github:245688871 2020-03-12 2026-05-23 f https://github.com/winmin/CVE-2020-8597 CVE-2020-8597 pppd buffer overflow poc CVE-2020-8597 4 47 1 47 6423565169649784238 +github:778979017 2024-03-28 2025-07-04 f https://github.com/mind2hex/CVE-2019-17240-Bludit-3.9.2-Auth-Bruteforce-Bypass Bludit 3.9.2 auth bruteforce bypass CVE-2019-17240 0 0 1 0 8785174371372163475 +github:277021315 2020-07-03 2023-09-05 f https://github.com/txrw/Dubbo-CVE-2020-1948 Apache Dubbo CVE-2020-1948 漏洞测试环境，亲测可用。 CVE-2020-1948 1 4 0 4 2210194534640311827 +github:437005376 2021-12-14 2025-12-23 f https://github.com/NorthwaveSecurity/log4jcheck A script that checks for vulnerable Log4j (CVE-2021-44228) systems using injection of the payload in common HTTP headers. CVE-2021-44228 24 126 6 126 1128961528513463105 +github:437141854 2021-12-10 2026-04-17 f https://github.com/alexandreroman/cve-2021-44228-workaround-buildpack Buildpack providing a workaround for CVE-2021-44228 (Log4j RCE exploit) CVE-2021-44228 0 3 1 3 7373293137596442857 +github:1234898270 2026-05-10 2026-05-10 f https://github.com/Jeanpt/CVE-2023-34468 CVE-2023-34468 - Apache NiFi H2 RCE PoC CVE-2023-34468 0 0 0 0 8085000744427488372 +github:879406527 2025-01-07 2025-01-07 f https://github.com/0xDTC/Chamilo-LMS-CVE-2023-4220-Exploit Refurbish Chamilo LMS CVE-2023-4220 exploit written in bash CVE-2023-4220 0 0 1 0 6571252909526802956 +github:1242713248 2026-05-18 2026-05-18 f https://github.com/Akira07210/Exploit-CVE-2024-34070 Script exploit the CVE-2024-32019. Credit to froxlor for the vuln. CVE-2024-34070 0 0 0 0 8484007517263774513 +github:1017411356 2025-07-16 2025-07-16 f https://github.com/altm4n/cve-2025-48384 CVE-2025-48384 0 0 0 0 4232667783166191030 +github:476738410 2022-04-01 2024-05-26 f https://github.com/wshon/spring-framework-rce CVE-2022-22965 CVE-2022-22965 0 4 0 4 1932754680134138128 +github:1122668013 2025-12-25 2025-12-25 f https://github.com/giriaryan694-a11y/cve-2025-32433_rce_exploit This exploit script is designed to simplify exploitation of the Erlang/OTP SSH vulnerability CVE-2025-32433 in the TryHackMe lab environment. CVE-2025-32433 0 0 0 0 4571934867479011918 +github:437451451 2021-12-15 2025-04-17 f https://github.com/blake-fm/vcenter-log4j Script to apply official workaround for VMware vCenter log4j vulnerability CVE-2021-44228 CVE-2021-44228 6 17 3 17 4578159034354718778 +github:1110470458 2026-07-16 2026-07-16 f https://github.com/Saturate/CVE-2025-55182-react2shell A bash scanner for detecting CVE-2025-55182 vulnerability in Next.js applications. And a PoC nodejs script CVE-2025-55182 0 1 0 1 6062905745251146914 +github:368100083 2021-07-04 2026-05-13 f https://github.com/faisalfs10x/http-vuln-cve2019-14322.nse Nmap NSE script to detect CVE-2019-14322 of Pallets Werkzeug path traversal via SharedDataMiddleware mishandles drive names (such as C:) in Windows pathnames CVE-2019-14322 0 1 1 1 6777970030553827223 +github:420684825 2021-10-24 2024-04-19 f https://github.com/TheLastVvV/CVE-2021-42013_Reverse-Shell PoC CVE-2021-42013 reverse shell Apache 2.4.50 with CGI CVE-2021-42013 2 7 1 7 5249045751330523211 +github:1261982856 2026-06-09 2026-06-09 f https://github.com/11romain/CVE-2026-9082 Drupal Core PostgreSQL SQLi to RCE via /user/login (CVE-2026-9082 / SA-CORE-2026-004) CVE-2026-9082 0 0 0 0 2103769554222151290 +github:804180682 2024-06-06 2024-06-06 f https://github.com/Astrowmist/POC-CVE-2016-10033 Proof Of Concept for the CVE-2016-10033 (PHPMailer) CVE-2016-10033 0 0 1 0 1313903211727403172 +github:85733752 2017-04-26 2019-11-20 f https://github.com/KarzsGHR/S2-046_S2-045_POC S2-046|S2-045: Struts 2 Remote Code Execution vulnerability（CVE-2017-5638） CVE-2017-5638 1 1 1 1 1976728174611587879 +github:1269454939 2026-06-15 2026-06-16 f https://github.com/nnatsopoulos/xz-backdoor-research CVE-2024-3094 XZ Utils backdoor research - attack surface visualiser, system vulnerability checker, and general Linux CVE assessment tool CVE-2024-3094 1 1 0 1 685985582620579453 +github:819022278 2024-08-14 2026-03-31 f https://github.com/shanker-sec/HLF_TxTime_spoofing PoC covering the problem of transaction time manipulation (CVE-2024-45244) in the Hyperledger Fabric blockchain. CVE-2024-45244 1 2 1 2 7678102376245805171 +github:508905276 2022-06-29 2022-06-30 f https://github.com/jxpsx/CVE-2022-0847-DirtyPipe-Exploits A collection of exploits and documentation that can be used to exploit the Linux Dirty Pipe vulnerability. CVE-2022-0847 2 0 0 0 1594967296244059825 +github:857843697 2024-09-16 2025-12-23 f https://github.com/0xB0y426/CVE-2024-6782-PoC Unauthenticated remote code execution via Calibre’s content server in Calibre <= 7.14.0. CVE-2024-6782 0 1 1 1 5824781350621922499 +github:223286619 2019-11-22 2024-04-17 f https://github.com/ManhNDd/CVE-2019-19204 Heap-buffer-overflow in Oniguruma (function fetch_interval_quantifier) CVE-2019-19204 0 3 1 3 8630687644501198809 +github:1116057572 2025-12-15 2025-12-15 f https://github.com/MammaniNelsonD/React2P4IM0Nshell 💥Extension Tool para Auditoría y Explotación avanzada RCE/Source Leak/Dos (CVE-2025-55182/83/84) para entornos Next.js y React Server Components (RSC) directamente desde tu navegador + Laboratorio Vulnerable❌ CVE-2025-55182 0 3 0 3 1410541404262422868 +github:69451131 2016-09-28 2016-09-28 f https://github.com/KosukeShimofuji/CVE-2016-2776 CVE-2016-2776 0 0 1 0 1393523921162416850 +github:1304349797 2026-07-17 2026-07-17 f https://github.com/seal-sean-org/yaml-payload SnakeYAML CVE-2022-1471 exploit payload for Seal Security demos CVE-2022-1471 0 0 0 0 2411722934960870107 +github:778652207 2024-05-30 2024-06-25 f https://github.com/nphuang/NS-Project-2024-Spring Network Security Project CVE-2023-38545 CVE-2023-38545 0 0 1 0 5285499575603353311 +github:665252870 2023-07-11 2023-12-18 f https://github.com/EmadYaY/CVE-2023-3460 CVE-2023-3460 CVE-2023-3460 0 0 0 0 8529820894099929857 +github:1113091128 2026-01-28 2026-03-15 f https://github.com/kondukto-io/vulnerable-next-js-poc POC for React2Shell (CVE-2025-55182) CVE-2025-55182 1 5 0 5 1872982523212409738 +github:919114316 2025-02-18 2025-04-07 f https://github.com/13m0n4de/pngcheck-vulns A repository of proof-of-concept files demonstrating disclosed and patched vulnerabilities in pngcheck (2.4.0 - 3.0.1), including CVE-2020-27818, CVE-2020-35511 and other vulns. CVE-2020-27818 0 0 1 0 6464933776051209913 +github:177401018 2019-03-24 2020-10-09 f https://github.com/drugeddon/drupal-exploit CVE-2018-7600 CVE-2018-7600 2 1 0 1 8387613528830103487 +github:537944043 2022-09-17 2024-08-12 f https://github.com/touchmycrazyredhat/CVE-2022-27925-Revshell CVE-2022-27925 2 1 2 1 2910834375410642788 +github:476590347 2022-04-01 2022-04-01 f https://github.com/stfnw/Debugging_Dirty_Pipe_CVE-2022-0847 Presentation slides and supplementary material CVE-2022-0847 0 0 1 0 5713615047456350359 +github:1256105651 2026-06-01 2026-06-01 f https://github.com/rotavori/dasel-melange-apko dasel v3.3.1 packaged with Melange and shipped as a minimal apko image, patched for CVE-2026-33320 CVE-2026-33320 0 0 0 0 3482179565123060754 +github:229946045 2019-12-24 2019-12-24 f https://github.com/SecT0uch/CVE-2019-17495-test CVE-2019-17495 0 0 1 0 7549812791032410560 +github:1255911354 2026-06-02 2026-06-02 f https://github.com/anupamojha-eng/sentinel-transitive-cve-demo Sentinel demo: transitive snakeyaml CVE-2022-1471 via Spring Boot + exploitable code pattern CVE-2022-1471 0 0 0 0 428643843955789854 +github:478225648 2022-04-05 2022-04-07 f https://github.com/SealPaPaPa/SpringCloudFunction-Research CVE-2022-22963 research CVE-2022-22963 0 1 1 1 5363652233804814140 +github:437888133 2022-05-04 2023-02-11 f https://github.com/irgoncalves/f5-waf-quick-patch-cve-2021-44228 This tool creates a custom signature set on F5 WAF and apply to policies in blocking mode CVE-2021-44228 4 3 1 3 5636400534213649559 +github:732890890 2024-01-09 2023-12-27 f https://github.com/scabench/l4j-tp1 jee web project with log4shell (CVE-2021-44228) vulnerability CVE-2021-44228 0 0 1 0 4496584935474202766 +github:1110118222 2025-12-11 2025-12-11 f https://github.com/ps-interactive/cve-2025-55182 Vulnerable REACT app in docker container and poc code - for demos CVE-2025-55182 0 0 0 0 8508002002264100785 +github:475726184 2022-03-30 2026-07-03 f https://github.com/dinosn/CVE-2022-22963 CVE-2022-22963 PoC CVE-2022-22963 40 115 1 115 2204208948053128523 +github:1029551494 2025-07-31 2025-07-31 f https://github.com/millad7/SOGo_web_mail-vulnerability-CVE-2025-50340 Insecure Direct Object Reference (IDOR vulnerability) in SOGo Webmail Allows a user to send emails on behalf of another user. CVE-2025-50340 0 0 0 0 4442300302716550137 +github:222956814 2019-11-20 2019-11-20 f https://github.com/tarantula-team/CVE-2019-19012 An integer overflow in the search_in_range function in regexec.c in Oniguruma 6.x before 6.9.4_rc2 leads to an out-of-bounds read CVE-2019-19012 0 0 1 0 8646843944124665865 +github:634912432 2023-10-11 2025-05-22 f https://github.com/ruycr4ft/CVE-2022-46169 Exploit for cacti version 1.2.22 CVE-2022-46169 0 3 1 3 2996802438629632103 +github:1135412102 2026-01-16 2026-01-21 f https://github.com/Rezy-Dev/CVE-2018-6574 CVE-2018-6574 0 0 0 0 4345281753748244804 +github:509795175 2022-07-02 2024-09-29 f https://github.com/laffray/ruby-RCE-CVE-2019-5420- Ruby反序列化命令执行漏洞（CVE-2019-5420）-vulfocus通关版 CVE-2019-5420 0 5 1 5 1427789801518575608 +github:660279030 2023-06-29 2023-07-03 f https://github.com/Hamesawian/CVE-2021-42013 CVE-2021-42013 1 1 1 1 2627029924631417137 +github:50231808 2016-01-20 2019-01-06 f https://github.com/googleweb/CVE-2016-0728 CVE-2016-0728 3 0 1 0 1767758275866939284 +github:478494950 2022-09-16 2024-02-18 f https://github.com/4nNns/CVE-2022-22947 Spring-Cloud-Spel-RCE CVE-2022-22947 2 12 1 12 7317516021726870008 +github:703918600 2023-10-12 2025-02-14 f https://github.com/imfht/CVE-2023-38545 😄 CVE-2023-38545堆溢出的POC和分析文章 CVE-2023-38545 1 8 1 8 2148410676390203600 +github:281622020 2020-07-23 2024-12-19 f https://github.com/tdwyer/CVE-2020-8559 This is a PoC exploit for CVE-2020-8559 Kubernetes Vulnerability CVE-2020-8559 14 54 3 54 2369221777694495312 +github:1122899153 2025-12-25 2026-04-02 f https://github.com/hackersatyamrastogi/n8n-exploit-CVE-2025-68613-n8n-God-Mode-Ultimate n8n God Mode Ultimate - CVE-2025-68613 Scanner v1.0.0 ║ ║ Workflow Automation Remote Code Execution CVE-2025-68613 3 5 1 5 8920802902329854716 +github:175834951 2019-03-15 2024-08-12 f https://github.com/darrynten/MoodleExploit Noodle [Moodle RCE] (v3.4.1) - CVE-2018-1133 CVE-2018-1133 5 10 1 10 1790505843997378942 +github:408111498 2021-09-19 2021-09-19 f https://github.com/jayngng/CVE-2021-22911 Modifed ver of the original exploit to save some times on password reseting for unprivileged user CVE-2021-22911 0 0 1 0 9209619500826034523 +github:1134022498 2026-01-14 2026-01-14 f https://github.com/Nurjaman2004/jsPDF-Bulk-Detector-CVE-2025-68428- Asset-wide detection tool for identifying jsPDF usage related to CVE-2025-68428 Detection only — no exploitation CVE-2025-68428 0 0 0 0 6542220217690684822 +github:129776823 2018-04-16 2018-08-09 f https://github.com/jkutner/spring-break-cve-2017-8046 This is a Java program that exploits Spring Break vulnerability (CVE-2017-8046). CVE-2017-8046 0 1 1 1 2469056861910762796 +github:498394246 2025-01-31 2026-07-29 f https://github.com/p0dalirius/CVE-2018-16763-FuelCMS-1.4.1-RCE Exploit to trigger RCE for CVE-2018-16763 on FuelCMS <= 1.4.1 and interactive shell. CVE-2018-16763 3 26 1 26 3674049666760671762 +github:764734826 2024-03-01 2024-06-06 f https://github.com/jakabakos/CVE-2023-39362-cacti-snmp-command-injection-poc CVE-2023-39362 0 2 1 2 53220608484489453 +github:1211603192 2026-04-16 2026-04-16 f https://github.com/aniruddh-bhandarkar/cups-script-final-project Custom script to showcase the novel contribution to CVE-2025-58060 CVE-2025-58060 0 0 0 0 2919907942061255328 +github:231344778 2020-01-02 2020-01-02 f https://github.com/kev-ho/cve-2018-6574-payload pentesterlab test payload CVE-2018-6574 0 0 1 0 3176301196637873204 +github:524931119 2022-09-01 2022-11-09 f https://github.com/bor8/CVE-2022-34169 https://nvd.nist.gov/vuln/detail/CVE-2022-34169 CVE-2022-34169 0 0 1 0 2634312476092866285 +github:1227390350 2026-05-02 2026-05-02 f https://github.com/trnguyen03/activemq-ids-ips-lab IDS/IPS lab for detecting and preventing Apache ActiveMQ RCE (CVE-2023-46604) using GVM, Nmap, Snort, iptables, and UFW. CVE-2023-46604 0 0 0 0 2709236661442341219 +github:897899835 2024-12-03 2026-02-21 f https://github.com/compr00t/CVE-2024-42327 PoC for CVE-2024-42327 / ZBX-25623 CVE-2024-42327 5 18 1 18 7442108802035533331 +github:955412887 2025-03-26 2025-03-26 f https://github.com/m-q-t/ingressnightmare-detection-poc Proof-of-Concept Tool to detect IngressNightmare (CVE-2025-1974) via (non-intrusive) active means. CVE-2025-1974 0 0 1 0 104694840416238810 +github:1115641982 2025-12-22 2026-03-10 f https://github.com/MoLeft/React2Shell-Toolbox A CVE-2025-55182(React2Shell) Toolbox Application CVE-2025-55182 0 35 0 35 376321349776291469 +github:569794902 2022-11-23 2022-12-10 f https://github.com/bypazs/CVE-2022-32060 An arbitrary file upload vulnerability in the Update Branding Settings component of Snipe-IT v6.0.2 allows attackers to execute arbitrary code via a crafted file. CVE-2022-32060 0 1 1 1 4046402409710869198 +github:485209824 2022-04-25 2022-03-08 f https://github.com/CPT-Jack-A-Castle/CVE-2022-0847 This is the story of CVE-2022-0847, a vulnerability in the Linux kernel since 5.8 which allows overwriting data in arbitrary read-only files. This leads to privilege escalation because unprivileged processes can inject code into root processes. CVE-2022-0847 0 0 0 0 2240136068354984918 +github:482744393 2025-06-22 2025-06-22 f https://github.com/9pings/CVE-2022-24999 "qs" prototype poisoning vulnerability ( CVE-2022-24999 ) CVE-2022-24999 3 8 1 8 7051214326116063677 +github:102583828 2020-08-31 2025-06-15 f https://github.com/luc10/struts-rce-cve-2017-9805 CVE 2017-9805 CVE-2017-9805 26 60 4 60 1160641051764940924 +github:1134700198 2026-02-19 2026-02-19 f https://github.com/sakthivel10q/sakthivel10q.github.io 🛠 Exploit the CVE-2025-14847 MongoDB vulnerability to reveal sensitive information through crafted zlib-compressed packets and real-time output. CVE-2025-14847 0 0 0 0 3774747031928705474 +github:1234348953 2026-05-10 2026-05-10 f https://github.com/jimi2x/dirtycups CVE-2024-47176 CUPS UDP Scanner. CVE-2024-47176 0 0 0 0 144506983260172604 +github:1156418903 2026-02-12 2026-02-12 f https://github.com/scroollocker/CVE-2025-49132 CVE-2025-49132 0 0 0 0 5617260280878294252 +github:967793224 2025-04-28 2026-03-05 f https://github.com/ethicalPap/CVE-2025-29775 CVE-2025-29775 0 1 1 1 6727508417685271456 +github:782016563 2024-04-04 2024-04-05 f https://github.com/KaminaDuck/ansible-CVE-2024-3094 Ansible playbooks designed to check and remediate CVE-2024-3094 (XZ Backdoor) CVE-2024-3094 1 4 1 4 4576411531013695449 +github:958616955 2025-04-01 2025-04-01 f https://github.com/cwm1123/CVE-2025-31129 CVE-2025-31129 0 0 1 0 1032863791557081477 +github:263302751 2020-05-12 2020-05-12 f https://github.com/ShianTrish/sudo-Security-Bypass-vulnerability-CVE-2019-14287 CVE-2019-14287 0 0 1 0 6317858855455164230 +github:405306886 2021-09-11 2021-09-11 f https://github.com/D3m0nicw0lf/CVE-2019-19609 Strapi Remote Code Execution CVE-2019-19609 0 0 1 0 6258187146429649487 +github:1313738210 2026-07-27 2026-07-27 f https://github.com/yuimamur/CVE-2024-4367-hands-on CVE-2024-4367 0 0 0 0 6700958890478978118 +github:1104398243 2025-11-26 2025-11-26 f https://github.com/faizdotid/CVE-2021-41773 Path Traversal Apache HTTP Server 2.4.49/2.4.50 CVE-2021-41773 0 0 0 0 7393194614721125077 +github:206106300 2019-09-08 2026-07-19 f https://github.com/Matheus-Garbelini/esp32_esp8266_attacks Proof of Concept of ESP32/8266 Wi-Fi vulnerabilties (CVE-2019-12586, CVE-2019-12587, CVE-2019-12588) CVE-2019-12586 69 820 31 820 7437065205852463025 +github:1298403821 2026-07-12 2026-07-12 f https://github.com/yuzuki-ayanami/CVE-2025-24813 CVE-2025-24813 - Apache Tomcat RCE via Session Deserialization - PoC Exploit CVE-2025-24813 0 0 0 0 1718562101966349836 +github:961247708 2025-04-06 2025-04-06 f https://github.com/YEONDG/nextjs-cve-2025-29927 vulnerable-nextjs-14-CVE-2025-29927 CVE-2025-29927 0 0 1 0 1052334127923025972 +github:1013978643 2026-02-17 2026-06-13 f https://github.com/0p5cur/CVE-2025-32462-POC 🔓 Local privilege escalation PoC for CVE-2025-32462 (sudo -h bypass) – gain root via misconfigured sudoers CVE-2025-32462 5 8 0 8 1844327005213109898 +github:1013125878 2025-07-03 2025-11-14 f https://github.com/san8383/CVE-2025-32463 CVE-2025-32463 1 1 0 1 7575810919805869386 +github:100446125 2017-08-16 2017-08-16 f https://github.com/ieee0824/CVE-2017-1000117-sl Experiment of CVE-2017-1000117 CVE-2017-1000117 0 0 1 0 8974325923686342380 +github:1244149527 2026-05-20 2026-05-20 f https://github.com/gitgudKrish/cve-2025-29927-nextjs CVE-2025-29927 0 0 0 0 3049261862353812615 +github:1295930839 2026-07-10 2026-07-10 f https://github.com/BiiTts/CVE-2026-56423-MISP-deleteSelection-BrokenAccessControl PoC for CVE-2026-56423: MISP deleteSelection broken access control (CWE-862, contributor hard-deletes other orgs' Event Reports/Sharing Groups, CVSS 8.8) CVE-2026-56423 0 0 0 0 6642801301607112141 +github:390551926 2021-07-29 2021-07-29 f https://github.com/Mkway/CVE-2020-5248 CVE-2020-5248 CVE-2020-5248 0 0 1 0 7569228423031062306 +github:215647693 2019-10-19 2023-09-13 f https://github.com/ShielderSec/CVE-2017-18635 PoC for CVE-2017-18635 CVE-2017-18635 5 5 2 5 2804895472736689088 +github:274587350 2020-07-02 2025-02-05 f https://github.com/cyberharsh/nginx-CVE-2017-7529 CVE-2017-7529 1 2 1 2 5716329616677254718 +github:367057442 2021-05-13 2024-08-12 f https://github.com/yuaneuro/ofbiz-poc CVE-2020-9496和CVE-2021-26295利用dnslog批量验证漏洞poc及exp CVE-2020-9496 1 6 1 6 2924002756015957258 +github:824194262 2024-07-12 2025-04-03 f https://github.com/MehdiBoukhobza/SandBox_CVE-2021-23358 CVE-2021-23358 1 1 1 1 6233577668628604330 +github:460773028 2022-02-21 2026-04-02 f https://github.com/jweny/CVE-2022-23131 cve-2022-23131 exp CVE-2022-23131 38 95 3 95 7030612798139460265 +github:595917273 2023-02-01 2026-04-01 f https://github.com/masahiro331/cve-2022-25927 CVE-2022-25927 1 1 1 1 1293887167054164958 +github:492786625 2023-02-06 2022-05-16 f https://github.com/patrickdeanramos/CVE-2022-28598 Persistent XSS on 'last_known_version' field (My Settings) CVE-2022-28598 0 0 1 0 7482810066027464358 +github:1061871960 2025-09-22 2025-09-22 f https://github.com/JOOJIII/CVE-2025-59424 LinkAce Stored Cross-Site Scripting (XSS) on the /system/audit page CVE-2025-59424 0 0 0 0 969168184683035951 +github:510867863 2022-07-05 2024-08-12 f https://github.com/rabomen/Dirty-Pipe exp of CVE-2022-0847 CVE-2022-0847 3 2 1 2 1876467224904271467 +github:614448985 2023-03-31 2025-02-14 f https://github.com/vagnerd/CVE-2023-27587-PoC The simple PoC of CVE-2023-27587 CVE-2023-27587 1 5 1 5 1528902234956400142 +github:1023616269 2025-07-21 2026-07-08 f https://github.com/szybnev/CVE-2023-7028 This FORK of repository presents a proof-of-concept of CVE-2023-7028. I am only improve exploit usage CVE-2023-7028 0 1 0 1 8486446387249897335 +github:1188118834 2026-03-21 2026-06-02 f https://github.com/v3cn4x00/POC-CVE-2025-66034 CVE-2025-66034 0 4 0 4 4641490349847365572 +github:502931948 2022-06-13 2023-07-18 f https://github.com/Captain-v-hook/PoC-for-CVE-2021-38540- Missing Authentication on Critical component CVE-2021-38540 CVE-2021-38540 0 4 1 4 6588889232785206648 +github:438128189 2021-12-21 2025-03-27 f https://github.com/faisalfs10x/Log4j2-CVE-2021-44228-revshell Log4j2 CVE-2021-44228 revshell, ofc it suck!! CVE-2021-44228 2 18 1 18 7471347829653266975 +github:591626374 2023-04-25 2026-07-17 f https://github.com/Marsel-marsel/CVE-2022-45770 LPE exploit via windows driver CVE-2022-45770 3 8 1 8 4602305617939083477 +github:957244481 2025-04-01 2025-04-03 f https://github.com/mihat2/OnlyOffice-path-traversal CVE-2023-46988: ONLYOFFICE Path Traversal Exploit CVE-2023-46988 0 0 1 0 7345748053638955141 +github:1260214355 2026-06-06 2026-06-06 f https://github.com/u1tr0nex/cve-2026-40072-ssrf-lab Hands-on lab for CVE-2026-40072 — SSRF vulnerability in web3.py via CCIP Read (EIP-3668) CVE-2026-40072 0 0 0 0 7830101442805289282 +github:153562229 2018-10-18 2024-08-12 f https://github.com/likekabin/CVE-2018-10933_ssh CVE-2018-10933 1 0 1 0 7675679968004881036 +github:332682252 2021-01-25 2026-05-25 f https://github.com/SecPros-Team/laravel-CVE-2021-3129-EXP CVE-2021-3129 30 78 0 78 3658424269899993003 +github:575363965 2022-12-07 2022-12-08 f https://github.com/blackm4c/CVE-2021-41805 HashiCorp Consul exploit with python. (CVE-2021-41805) CVE-2021-41805 1 1 1 1 6333224443341039567 +github:322346332 2020-12-17 2020-12-17 f https://github.com/noname-nohost/CVE-2018-6574 CVE-2018-6574 0 0 1 0 271992548179838082 +github:447164459 2022-01-12 2022-01-12 f https://github.com/yaoyao-cool/CVE-2020-15261 CVE-2020-15261 test CVE-2020-15261 0 0 1 0 6377830793432909571 +github:855192500 2025-04-29 2025-03-26 f https://github.com/Artemisxxx37/OverlayFS-PrivEsc-CVE-2022-0944 CVE-2022-0944 0 1 1 1 5998398456074145366 +github:595867993 2023-02-01 2024-07-02 f https://github.com/Halcy0nic/CVE-2022-44318 Proof of concept for CVE-2022-44318 CVE-2022-44318 0 1 1 1 5627183880806380098 +github:802232037 2024-05-19 2026-07-10 f https://github.com/amalmurali47/git_rce Exploit PoC for CVE-2024-32002 CVE-2024-32002 149 533 2 533 1063336862170638276 +github:955518357 2025-03-26 2025-03-26 f https://github.com/MiclelsonCN/CVE-2025-30208_POC CVE-2025-30208 任意文件读取漏洞快速验证 CVE-2025-30208 0 0 1 0 4625521266013664986 +github:1003514619 2025-06-17 2026-07-08 f https://github.com/ynsmroztas/CVE-2025-3248-Langflow-RCE CVE-2025-3248 Langflow RCE Exploit CVE-2025-3248 3 17 0 17 5057373116633271482 +github:333450928 2021-01-27 2023-02-28 f https://github.com/nexcess/sudo_cve-2021-3156 CVE-2021-3156 0 0 8 0 2935354207251997241 +github:435904073 2021-12-23 2026-06-14 f https://github.com/asaotomo/CVE-2021-43798-Grafana-Exp Grafanav8.*版本任意文件读取漏洞批量检测工具：该漏洞目前为0day漏洞，未授权的攻击者利用该漏洞，能够获取服务器敏感文件。 CVE-2021-43798 4 12 1 12 382671072997173319 +github:656996292 2023-06-23 2023-06-22 f https://github.com/Erenlancaster/CVE-2021-46704 CVE-2021-46704 Nuclei template CVE-2021-46704 0 0 1 0 8230490511717947363 +github:568592373 2022-11-21 2025-09-22 f https://github.com/qwert419/linux- 修改版CVE-2022-0847 CVE-2022-0847 2 7 1 7 966779040655436348 +github:922031381 2025-01-25 2025-01-25 f https://github.com/guobei233/CVE-2023-40029 CVE-2023-40029 git CVE-2023-40029 0 0 1 0 4591018937508756020 +github:414044140 2022-10-07 2025-05-22 f https://github.com/itsecurityco/CVE-2021-41773 CVE-2021-41773 POC with Docker CVE-2021-41773 6 12 1 12 4016050567114183133 +github:854781649 2024-09-10 2024-12-09 f https://github.com/FlojBoj/CVE-2022-0944 SQLPad - Template injection (POC exploit for SQLPad RCE [CVE-2022-0944]) CVE-2022-0944 0 5 1 5 588390180811176686 +github:1081750392 2025-10-24 2026-03-09 f https://github.com/razvanclaudiu/ktor-xxe-poc This repository provides a Proof of Concept for CVE-2023-45612, demonstrating an XML External Entity (XXE) injection vulnerability in JetBrains Ktor versions prior to 2.3.5. CVE-2023-45612 0 0 0 0 1980012713870553268 +github:331774345 2021-01-22 2021-01-22 f https://github.com/Dviejopomata/CVE-2020-8554 CVE-2020-8554 0 0 1 0 6585236073549707566 +github:820951653 2024-06-27 2024-06-27 f https://github.com/Sudistark/rewrites-nextjs-CVE-2024-34350 CVE-2024-34350 0 0 1 0 797403059361164293 +github:839965855 2024-08-08 2025-10-14 f https://github.com/Fckroun/CVE-2024-41651 CVE-2024-41651 CVE-2024-41651 2 1 1 1 7009300192227140856 +github:1254049966 2026-05-30 2026-05-30 f https://github.com/HAERIN-L/poc_cve-2026-42208 CVE-2026-42208 0 0 0 0 5573662380946301638 +github:402473190 2021-09-03 2021-10-06 f https://github.com/5qu1n7/CVE-2021-40492 CVE-2021-40492 Gibbon version 22 Reflected Cross Site Scripting (XSS) CVE-2021-40492 1 1 1 1 3575604109078122486 +github:461861174 2022-02-21 2025-10-31 f https://github.com/St3v3nsS/CVE-2017-7651 This is the repository used for CVE-2017-7651 for exploiting mosquitto 1.4.14 CVE-2017-7651 0 1 1 1 7440775463103254510 +github:324426068 2020-12-25 2020-12-25 f https://github.com/taipansec/CVE-2020-8165 CVE-2020-8165 0 0 1 0 2214146741471853720 +github:466024451 2022-03-04 2024-08-12 f https://github.com/dingxiao77/-cve-2022-22947- cve-2022-22947 spring cloud gateway 批量扫描脚本 CVE-2022-22947 3 9 1 9 2542139355844004806 +github:665264567 2023-07-12 2026-01-21 f https://github.com/diego-tella/CVE-2023-3460 Exploit and scanner for CVE-2023-3460 CVE-2023-3460 0 7 3 7 65489245798536059 +github:953797642 2025-03-24 2026-05-13 f https://github.com/strobes-security/nextjs-vulnerable-app CVE-2025-29927 lab CVE-2025-29927 7 6 0 6 5205467130753615569 +github:496048138 2025-12-19 2022-05-25 f https://github.com/yuuki1967/CVE-2021-44228-Apache-Log4j-Rce CVE-2021-44228 0 0 1 0 3127280630491091241 +github:733072535 2023-12-18 2023-12-18 f https://github.com/hardsoftsecurity/CVE-2020-11651-PoC Repository that contains a CVE-2020-11651 Exploit updated to work with the latest versions of python. CVE-2020-11651 0 0 1 0 1509299161058991046 +github:736198962 2024-01-14 2023-12-27 f https://github.com/scabench/l4j-fp1 jee web project with sanitised log4shell (CVE-2021-44228) vulnerability CVE-2021-44228 0 0 1 0 7489253980664001607 +github:111313970 2022-03-07 2025-12-17 f https://github.com/stefanlucas/Exploit-Joomla CVE-2017-8917 - SQL injection Vulnerability Exploit in Joomla 3.7.0 CVE-2017-8917 24 67 0 67 2096043172970506574 +github:1086709473 2025-12-08 2026-06-19 f https://github.com/TheCyberGeek/CVE-2025-24367-Cacti-PoC Proof of Concept for CVE-2025-24367 CVE-2025-24367 4 37 0 37 7792802584265146748 +github:1012904280 2025-07-03 2025-11-26 f https://github.com/Mikivirus0/sudoinjection Sudo Local Privilege Escalation CVE-2025-32463 (Best For Cases Where the shell is not stable to spawn a new root shell) CVE-2025-32463 0 2 0 2 5283192622653163779 +github:395869216 2022-02-17 2025-04-14 f https://github.com/dnr6419/CVE-2021-24145 WordPress File Upload Vulnerability, Modern Events Calendar Lite WordPress plugin before 5.16.5 CVE-2021-24145 2 3 1 3 8409354537582541829 +github:443163405 2022-01-03 2023-08-15 f https://github.com/MarceloLeite2604/log4j-vulnerability Presents how to exploit CVE-2021-44228 vulnerability. CVE-2021-44228 0 1 1 1 672187412289294936 +github:649522285 2023-06-05 2024-08-12 f https://github.com/Adelittle/CVE-2021-4191_Exploits CVE-2021-4191 4 0 1 0 9027386020675744293 +github:439385857 2021-12-17 2021-12-17 f https://github.com/WatchGuard-Threat-Lab/log4shell-iocs A collection of IOCs for CVE-2021-44228 also known as Log4Shell CVE-2021-44228 0 0 1 0 2109956355970913381 +github:724104865 2026-03-05 2026-03-05 f https://github.com/0xbbdd/CVE-2022-46152 CVE-2022-46152: Improper Validation of Array Index in the `cleanup_shm_refs' function. CVE-2022-46152 0 0 1 0 2667998228239088021 +github:1106754177 2025-11-29 2025-11-29 f https://github.com/JawadPy/WerkGhost Exploit for Werkzeug < 3.1.4 (CVE-2023-46136) CVE-2023-46136 0 0 0 0 8335362980157981379 +github:1115799760 2025-12-13 2025-12-13 f https://github.com/ZorvithonLeo-Null/CVE-2025-55182-exploit CVE-2025-55182 0 0 0 0 3364255415210812317 +github:1285105696 2026-07-02 2026-07-28 f https://github.com/BridgerAlderson/CVE-2025-69212-PoC OpenSTAManager v2.9.8 and earlier versions contain a critical OS Command Injection vulnerability in the P7M (signed XML) file decoding function. CVE-2025-69212 1 3 0 3 7370163632269596164 +github:440932687 2021-12-19 2021-12-24 f https://github.com/BJLIYANLIANG/log4j-scanner Log4j 2 (CVE-2021-44228) vulnerability scanner for Windows OS CVE-2021-44228 0 0 0 0 8106735785286249750 +github:1093200691 2025-11-10 2025-11-10 f https://github.com/Ghstxz/CVE-2025-32463 CVE-2025-32463 0 0 0 0 5895704214089805462 +github:1048734583 2025-09-02 2025-09-02 f https://github.com/Snizi/CVE-2019-10945 Python3 port of the original Joomla Core (1.5.0 through 3.9.4) - Directory Traversal && Authenticated Arbitrary File Deletion CVE-2019-10945 0 0 0 0 3026828271927393653 +github:844242066 2024-08-18 2024-08-18 f https://github.com/LGenAgul/CVE-2023-4220-Proof-of-concept Chamilo LMS Unauthenticated Big Upload File that allows remote code execution CVE-2023-4220 0 0 1 0 8182951844805399722 +github:1121547568 2025-12-23 2025-12-23 f https://github.com/Pinus97/CVE-2025-65964-POC CVE-2025-65964-POC CVE-2025-65964 0 0 0 0 8413334689953357564 +github:1108160104 2025-12-02 2025-12-15 f https://github.com/Jorge2Rubio/CVE-2019-0232 CVE-2019-0232 0 1 0 1 153864202088046219 +github:411821114 2021-09-29 2022-07-21 f https://github.com/adjaliya/-CVE-2017-7494-Samba-Exploit-POC According to researchers with Rapid7, over 110,000 devices appear on internet, which run stable Samba versions, while 92,500 seem to run unstable Samba versions, for which there is no fix. The newest Samba models, including the models 4.6.x before 4.6.4, 4.5.x before 4.5.10 and 3.5.0 before 4.4.13, was impacted by this error. May 24, 2017, Samba released version 4.6.4, which fixes a serious remote code execution vulnerability, vulnerability number CVE-2017-7494, which affected Samba 3.5.0 onwards. Vulnerability number: CVE-2017-7494 Severity Rating: High Affected software: • Samba Version < 4.6.4 • Samba Version < 4.5.10 • Samba Version < 4.4.14 Unaffected software: • Samba Version = 4.6.4 • Samba Version = 4.5.10 • Samba Version = 4.4.14 CVE-2017-7494 0 0 1 0 2696988766939530186 +github:515043572 2022-07-18 2026-07-17 f https://github.com/Shehzadcyber/CVE-2017-7529 Nginx versions since 0.5.6 up to and including 1.13.2 are vulnerable to integer overflow vulnerability in nginx range filter module resulting into leak of potentially sensitive information triggered by specially crafted request. CVE-2017-7529 1 11 1 11 285357391081208481 +github:601784074 2023-02-14 2023-02-15 f https://github.com/ticofookfook/CVE-2023-25136 CVE-2023-25136 1 3 1 3 3157853306607999058 +github:395444418 2021-08-12 2021-08-13 f https://github.com/KielVaughn/CVE-2021-38603 CVE-2021-38603 0 1 1 1 4400285682800165647 +github:968560860 2025-04-18 2025-04-18 f https://github.com/Epivalent/CVE-2025-32433-detection CVE-2025-32433 0 0 1 0 992329352969287814 +github:336189382 2021-02-05 2021-02-05 f https://github.com/DXY0411/CVE-2019-16113 CVE-2019-16113 0 0 1 0 6297502825950467438 +github:1121615505 2026-01-06 2026-01-06 f https://github.com/seahcy/CVE-2025-24813 Instructions for rapid deployment of Tomcat v9.0.90 with java 25.0.1 2025-10-21 LTS on Windows Server 2019 Standard for lazy researchers. CVE-2025-24813 0 1 0 1 8348043816117732914 +github:476673811 2022-04-01 2022-04-02 f https://github.com/talentsec/Spring-Cloud-Gateway-CVE-2022-22947 Spring-Cloud-Gateway-CVE-2022-22947 CVE-2022-22947 0 1 1 1 8871004107968186035 +github:1094982673 2026-05-18 2026-05-18 f https://github.com/Alex-Acero-Security/CVE-2024-48910-POC CVE-2024-48910 0 0 0 0 5249902881161178025 +github:752488530 2024-02-03 2025-11-30 f https://github.com/CrackerCat/CVE-2023-4863- Triggering the famous libweb 0day vuln with libfuzzer CVE-2023-4863 1 1 0 1 4846664956380647345 +github:1085240130 2025-10-28 2025-10-28 f https://github.com/the-chivalrousZ/cve-2021-21300 CVE-2021-21300 test CVE-2021-21300 0 0 0 0 8900922966988527126 +github:868072354 2024-10-05 2025-04-11 f https://github.com/geniuszly/GenGravSSTIExploit is a PoC Python script that exploits an authenticated Server-Side Template Injection (SSTI) vulnerability in Grav CMS versions <= 1.7.44 (CVE-2024-28116) CVE-2024-28116 2 7 1 7 8156568293824499184 +github:1137760789 2026-01-19 2026-02-11 f https://github.com/AirineiAndrei/Tarmageddon-CVE-2025-62518- CVE-2025-62518 0 0 0 0 6440243127435171199 +github:120648393 2018-02-09 2026-05-13 f https://github.com/0x00-0x00/CVE-2018-1000001 glibc getcwd() local privilege escalation compiled binaries CVE-2018-1000001 6 31 1 31 6706925358818073414 +github:443422203 2022-05-10 2022-01-01 f https://github.com/romanutti/log4shell-vulnerable-app This repository contains a Spring Boot web application vulnerable to CVE-2021-44228, known as log4shell. CVE-2021-44228 0 0 1 0 1143883600658093987 +github:689929838 2023-09-11 2025-02-14 f https://github.com/SorceryIE/CVE-2023-41362_MyBB_ACP_RCE CVE-2023-41362 0 7 1 7 1465732950432751926 +github:968698065 2025-04-19 2025-04-19 f https://github.com/teamtopkarl/CVE-2025-32433 Erlang/OTP SSH 远程代码执行漏洞 CVE-2025-32433 0 1 1 1 8987985530535569228 +github:1111208103 2025-12-06 2025-12-06 f https://github.com/MrSol0/CVE-2025-55182-Terminal This is a POC for testing your projects that are vulnerable to CVE-2025-55182 with a terminal and ability to scan a list CVE-2025-55182 0 0 0 0 8824028542104459889 +github:1199505285 2026-04-03 2026-04-03 f https://github.com/nicostan15/CVE-2022-46169 CVE-2022-46169 0 0 0 0 4304037179810590099 +github:957353931 2025-03-30 2025-11-27 f https://github.com/Drew-Alleman/CVE-2020-11651 A script that exploits SaltStack CVE-2020-11651 and CVE-2020-11652 to add new users to a vulnerable Salt master by injecting entries into /etc/passwd and /etc/shadow. POC CVE-2020-11651 0 1 1 1 113100193511916876 +github:425022767 2021-11-05 2023-09-08 f https://github.com/runsel/GitLab-CVE-2021-22205- Exploit for GitLab CVE-2021-22205 Unauthenticated Remote Code Execution CVE-2021-22205 1 3 1 3 4415283970471706237 +github:442640537 2021-12-28 2021-12-29 f https://github.com/jxpsx/CVE-2021-45232-RCE CVE-2021-45232 RCE CVE-2021-45232 0 0 0 0 3669690675640946711 +github:619003382 2023-03-26 2023-03-26 f https://github.com/pumpkinpiteam/CVE-2022-24716 CVE-2022-24716 0 0 1 0 7984882047157203405 +github:809406995 2024-06-24 2024-07-09 f https://github.com/Cappricio-Securities/CVE-2019-12616 phpMyAdmin <4.9.0 - Cross-Site Request Forgery CVE-2019-12616 1 1 0 1 6357362626806899006 +github:438561965 2022-04-07 2024-08-12 f https://github.com/BobTheShoplifter/CVE-2021-45046-Info Oh no another one CVE-2021-45046 3 4 1 4 4285810450745780802 +github:160665138 2018-12-21 2025-10-15 f https://github.com/evict/poc_CVE-2018-1002105 PoC for CVE-2018-1002105. CVE-2018-1002105 37 222 8 222 2393049884968400108 +github:832204447 2024-07-22 2025-05-22 f https://github.com/hxlxmj/Grafxploit Automated Exploit Tool for Grafana CVE-2021-43798: Scanning common files that contain juicy informations and extracting SSH keys from compromised users. CVE-2021-43798 0 0 1 0 8307545902763484912 +github:92644725 2017-06-03 2023-05-25 f https://github.com/jpacora/Struts2Shell An exploit (and library) for CVE-2017-5638 - Apache Struts2 S2-045 bug. CVE-2017-5638 1 1 1 1 4715710377265462218 +github:276953836 2021-09-01 2021-09-01 f https://github.com/al-sultani/AVideo3xploit RCE exploit for AVideo < 8.9 (CVE-2020-23489 & CVE-2020-23490) CVE-2020-23489 0 2 1 2 1042522453305944914 +github:1246500486 2026-05-22 2026-05-22 f https://github.com/vuducmanhno100-cloud/CVE-2024-6387 CVE-2024-6387 POC (Currently being edited) CVE-2024-6387 0 0 0 0 5511027338506840443 +github:56461631 2016-04-19 2016-04-18 f https://github.com/nickanderson/cfengine-CVE-2016-2118 An example detection and remediation policy. CVE-2016-2118 0 0 0 0 8036116250745416262 +github:480851528 2022-04-12 2022-04-12 f https://github.com/Wangsafz/cve-2017-0358.sh CVE-2017-0358 2 0 1 0 3504550760376947169 +github:441161290 2021-12-23 2021-12-23 f https://github.com/dileepdkumar/https-github.com-pravin-pp-log4j2-CVE-2021-45105 CVE-2021-45105 0 0 1 0 6982575602742406382 +github:461502653 2022-12-16 2026-05-13 f https://github.com/Mr-xn/CVE-2022-24086 CVE-2022-24086 about Magento RCE CVE-2022-24086 5 35 8 35 2115168071173678753 +github:899606694 2024-12-06 2025-09-16 f https://github.com/depers-rus/CVE-2024-42327 CVE-2024-42327 0 3 1 3 4406448080163080568 +github:644828673 2023-05-24 2023-05-24 f https://github.com/mnqazi/CVE-2023-2591 CVE-2023-2591 Medium blog CVE-2023-2591 1 0 1 0 9181650369940735673 +github:1304532300 2026-07-18 2026-07-18 f https://github.com/akash-osmsec/CVE-2026-44262- CVE-2026-44262 0 0 0 0 7555780880096803347 +github:635861076 2023-05-03 2024-08-10 f https://github.com/zPrototype/CVE-2023-29808 CVE-2023-29808 0 4 1 4 3539962908140241182 +github:942466114 2025-03-04 2025-03-04 f https://github.com/kz0xpwn/CVE-2024-56801 CVE-2024-56801 0 0 1 0 2781317742621423358 +github:960798541 2025-04-05 2025-04-05 f https://github.com/lilil3333/Vite-CVE-2025-30208-EXP Vite-CVE-2025-30208-EXP单目标检测，支持自定义读取路径，深度检索 CVE-2025-30208 0 1 1 1 6252016464633177306 +github:176753685 2019-03-20 2024-12-17 f https://github.com/SkyBlueEternal/CVE-2018-1335-EXP-GUI GUI版 EXP CVE-2018-1335 4 14 0 14 6470969316562700708 +github:129620689 2018-04-15 2020-07-09 f https://github.com/sl4cky/CVE-2018-7600-Masschecker Tool to check for CVE-2018-7600 vulnerability on several URLS CVE-2018-7600 0 3 1 3 7950226605243239063 +github:834943647 2024-08-28 2026-03-31 f https://github.com/shanker-sec/hlf-time-oracle Chaincode for blockchain Hyperledger Fabric provides accurate time to other chaincodes. Thus solving the security problem associated with transaction time manipulation (CVE-2024-45244). CVE-2024-45244 1 3 1 3 5171819283038998109 +github:1101581775 2025-11-21 2025-11-22 f https://github.com/omarkurt/django-connector-CVE-2025-64459-testbed A self-contained testbed for Django CVE-2025-64459. Demonstrates QuerySet.filter() parameter injection via dictionary expansion using Docker. CVE-2025-64459 0 2 0 2 4827650119445113837 +github:100325886 2017-08-17 2017-08-17 f https://github.com/shogo82148/Fix-CVE-2017-1000117 CVE-2017-1000117 0 0 1 0 7842340345758681540 +github:702911359 2023-10-10 2024-04-22 f https://github.com/CN016/Apache-ShenYu-Admin-JWT-CVE-2021-37580- Apache ShenYu Admin JWT认证绕过漏洞(CVE-2021-37580) CVE-2021-37580 0 1 1 1 1529613913881757033 +github:1055110112 2025-09-11 2025-09-11 f https://github.com/MKIRAHMET/CVE-2025-29927-PoC This repository contains **research and analysis** related to CVE-2025-29927. It demonstrates safe, controlled testing approaches for a path traversal/middleware misconfiguration vulnerability in web applications. CVE-2025-29927 0 0 0 0 6903270444744064386 +github:1271061347 2026-06-16 2026-06-16 f https://github.com/cc3305/CVE-2025-49844 CVE-2025-49844 exploit script CVE-2025-49844 0 0 0 0 4029849710135195327 +github:241072935 2020-02-17 2020-02-17 f https://github.com/N0b1e6/CVE-2016-4977-POC CVE-2016-4977 0 0 1 0 3222072995979192990 +github:1175893473 2026-03-08 2026-03-08 f https://github.com/Remnant-DB/CVE-2025-67303 CVE-2025-67303 Lab CVE-2025-67303 0 0 0 0 5985858055124342469 +github:1264237182 2026-06-09 2026-06-09 f https://github.com/v3s9er/CVE-2026-52885 CVE-2026-52885 0 0 0 0 6808664210972154313 +github:1244220931 2026-05-20 2026-05-20 f https://github.com/dannyEndorTest/node-prompt-here EXPOSURE demo target (node-prompt-here) — HOT baseline for CVE-2020-7602. See README. CVE-2020-7602 0 0 0 0 1859919741940091518 +github:651325651 2023-06-09 2023-06-13 f https://github.com/galoget/Thruk-CVE-2023-34096 Thruk Monitoring Web Interface <= 3.06 vulnerable to CVE-2023-34096 (Path Traversal). CVE-2023-34096 1 1 1 1 750808329543849682 +github:1149953987 2026-02-04 2026-02-04 f https://github.com/Evillm/CVE-2025-49113-PoC CVE-2025-49113 0 0 0 0 5131534962368820832 +github:544836274 2022-10-17 2022-10-03 f https://github.com/JinHao-L/PoC-for-CVE-2020-28948-CVE-2020-28949 CVE-2020-28948 1 0 1 0 8706474855866596940 +github:573138430 2024-10-28 2022-12-14 f https://github.com/fe-ax/tf-cve-2021-36782 A Terraform module to launch Rancher 2.6.6 for blog article about CVE-2021-36782 CVE-2021-36782 0 0 2 0 7053499429992294185 +github:633954680 2023-04-28 2023-05-02 f https://github.com/0xGabe/CVE-2021-38314 Exploit in python3 to explore CVE-2021-38314 in Redux Framework a wordpress plugin CVE-2021-38314 0 1 1 1 423452673087773859 +github:1000687487 2025-06-12 2025-06-12 f https://github.com/amitlttwo/Next.JS-CVE-2025-29927 CVE-2025-29927 0 0 0 0 5230551255427110601 +github:438719808 2021-12-20 2021-12-20 f https://github.com/b1tm0n3r/CVE-2021-44228 CVE-2021-44228 demo webapp CVE-2021-44228 0 0 1 0 111161804472778105 +github:632426945 2023-05-22 2024-06-09 f https://github.com/Zeyad-Azima/CVE-2022-22733 Apache ShardingSphere ElasticJob-UI Privilege Escalation & RCE Exploit CVE-2022-22733 1 2 1 2 5822803921733783772 +github:709787729 2024-10-01 2026-06-30 f https://github.com/KernelKrise/CVE-2023-4911 Looney Tunables Local privilege escalation (CVE-2023-4911) workshop CVE-2023-4911 3 18 1 18 1151764408742853109 +github:1239508795 2026-05-15 2026-05-15 f https://github.com/Ez4rd1x1/CVE-2026-0770 LangFlow RCE | CVE-2026-0770 | Proof-Of-Concept CVE-2026-0770 0 0 0 0 8514411162759000881 +github:1289505333 2026-07-04 2026-07-04 f https://github.com/diamorphine666/CVE-2026-23744-exploit Exploit for MCPJam Inspector - Remote Code Execution (CVE-2026-23744) CVE-2026-23744 0 0 0 0 2704687794181975273 +github:1243036207 2026-05-19 2026-05-19 f https://github.com/imSre9/CVE-2026-42945 CVE-2026-42945 0 0 0 0 2785731033908998068 +github:222906322 2019-11-20 2024-04-21 f https://github.com/ManhNDd/CVE-2019-19012 Integer overflow in Oniguruma CVE-2019-19012 0 4 1 4 1060031696861823759 +github:437142312 2023-08-29 2021-12-11 f https://github.com/racoon-rac/CVE-2021-44228 CVE-2021-44228 0 0 1 0 27224551848453106 +github:1112620187 2025-12-08 2026-01-28 f https://github.com/Shield-Cyber/react2shell-scanner Scanner to detect the presence of CVE-2025-55182 & CVE-2025-66478 on targeted web services. CVE-2025-55182 0 1 0 1 8229535594566043194 +github:380873715 2021-06-28 2024-08-12 f https://github.com/dn9uy3n/Check-CVE-2021-23383 Check the conditions for exploiting CVE-2021-23383 through the handlebars library version assessment. CVE-2021-23383 1 1 1 1 8252916742378145927 +github:781642777 2024-04-03 2024-04-03 f https://github.com/TheTorjanCaptain/CVE-2024-3094-Checker The repository consists of a checker file that confirms if your xz version and xz-utils package is vulnerable to CVE-2024-3094. CVE-2024-3094 0 0 1 0 3595404401322741386 +github:802333923 2024-05-18 2026-07-04 f https://github.com/M507/CVE-2024-32002 local poc for CVE-2024-32002 CVE-2024-32002 1 10 1 10 2462817910805919804 +github:827338519 2024-07-12 2024-07-12 f https://github.com/nr4x4/CVE-2023-4220 CVE-2023–4220 Exploit CVE-2023-4220 0 0 1 0 1069052888835812311 +github:806888145 2024-05-28 2024-06-01 f https://github.com/Goplush/CVE-2024-32002-git-rce CVE-2024-32002 0 1 1 1 4884648147201804082 +github:1125545936 2025-12-30 2026-01-12 f https://github.com/NoNameError/MongoBLEED---CVE-2025-14847-POC- This repo contains my python script version of CVE-2025-14847 (MongoBleed) CVE-2025-14847 0 1 0 1 760302930030427538 +github:1040790315 2025-08-19 2025-08-19 f https://github.com/R3verseIN/Nextjs-middleware-vulnerable-appdemo-CVE-2025-29927 CVE-2025-29927 0 0 0 0 3197615336937583185 +github:346618078 2021-03-11 2025-04-02 f https://github.com/murataydemir/CVE-2021-3019 [CVE-2021-3019] LanProxy Directory Traversal CVE-2021-3019 1 1 1 1 2470540436248203092 +github:939770107 2025-03-01 2025-03-01 f https://github.com/CanVo/CVE-2022-35978-POC Proof of concept created for CVE-2022-35978 for educational purposes only. CVE-2022-35978 0 0 1 0 8026222812654420158 +github:1301000567 2026-07-14 2026-07-14 f https://github.com/JohannesLks/CVE-2026-50338 CVE-2026-50338 0 0 0 0 7887279819816084305 +github:1202040291 2026-04-27 2026-04-27 f https://github.com/AIPEACS/SC3010-Computer-Security Using Struts2 and PowerShell to recreate CVE-2017-5638 OGNL Injection vulnerability. CVE-2017-5638 0 0 0 0 3454376878725078093 +github:995787011 2025-06-04 2025-06-04 f https://github.com/note0577/CVE-2019-12840-NodeJs-Exploit Authenticated Remote Command Execution - Webmin <= 1.910 CVE-2019-12840 0 0 0 0 4320576208969174598 +github:441423344 2021-12-24 2024-02-26 f https://github.com/cybersecurityworks553/log4j-shell-csw A Proof-Of-Concept Exploit for CVE-2021-44228 vulnerability. CVE-2021-44228 2 8 1 8 3518916908108368729 +github:974046106 2025-04-28 2025-04-28 f https://github.com/Hirainsingadia/CVE-2025-29927 Next js middlewareauth Bypass CVE-2025-29927 0 0 1 0 4573785539571160392 +github:1203883547 2026-04-15 2026-04-15 f https://github.com/With-fate/CVE-2020-1938 Apache Tomcat(CVE-2020-1938)漏洞验证脚本 CVE-2020-1938 0 1 0 1 7530925832756600438 +github:602123461 2023-02-15 2023-03-29 f https://github.com/bypazs/Duplicate-of-CVE-2023-26982 Trudesk version 1.2.6 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the tickets `Create/Modify Ticket Tags` on admin role. CVE-2023-26982 0 0 1 0 8756335628239848923 +github:943526356 2025-03-07 2025-05-29 f https://github.com/armaansidana2003/CVE-2025-25614 CVE-2025-25614 0 0 1 0 6425401170526392085 +github:284480533 2020-08-02 2020-08-02 f https://github.com/mkelepce/CVE-2020-13094 Dolibarr 11.0.3 - Persistent Cross-Site Scripting CVE-2020-13094 0 0 1 0 2737318246450429430 +github:1133786124 2026-01-13 2026-01-25 f https://github.com/alexcyberx/CVE-2025-14847_Expolit CVE-2025-14847 0 2 0 2 5226014044523527266 +github:679660290 2023-08-17 2023-08-17 f https://github.com/H4R335HR/CVE-2023-24329-PoC CVE-2023-24329 1 0 1 0 1525038321720261566 +github:817964661 2024-07-27 2024-07-27 f https://github.com/cc3305/CVE-2023-2825 CVE-2023-2825 exploit script CVE-2023-2825 0 0 1 0 6801120302311532566 +github:728488310 2023-12-25 2023-12-07 f https://github.com/C1ph3rX13/CVE-2023-28432 CVE-2023-28432 Minio Information isclosure Exploit CVE-2023-28432 0 1 1 1 2340558246440869993 +github:661117473 2023-07-27 2023-07-27 f https://github.com/benjaminpsinclair/Netbox-CVE-2023-37625 CVE-2023-37625 0 0 1 0 6062453632511523768 +github:1065265366 2025-09-27 2025-09-27 f https://github.com/KamalideenAK/Microsoft-Defender-for-Endpoint-Deployment-on-Windows-10-11-device This repository documents how deployment of Microsoft Defender for Endpoint on a Windows 11 device, including onboarding via local script, enabling device discovery, configuring Log4j2 detection (CVE-2021-44228), and validating incident response workflows. CVE-2021-44228 0 0 0 0 7155471720903699694 +github:685436172 2024-03-13 2026-07-11 f https://github.com/d0rb/CVE-2023-30943 This repository contains combined exploits for two vulnerabilities in Moodle, a widely used open-source learning management system (LMS) CVE-2023-30943 1 18 1 18 6080790328005650201 +github:671551353 2024-05-11 2024-05-11 f https://github.com/Rajneeshkarya/CVE-2023-3460 Exploit for the vulnerability of Ultimate Member Plugin. CVE-2023-3460 1 1 2 1 5575134272494907671 +github:1105192964 2025-11-30 2025-12-02 f https://github.com/MartinFabianIonut/CVE-2025-55315 Proof-of-concept exploit for CVE-2025-55315 (.NET HTTP Request Smuggling). Demonstrates how improperly parsed chunked encoding lets attackers smuggle requests past proxies and load balancers in vulnerable ASP.NET Core/Kestrel servers. CVE-2025-55315 0 1 1 1 8713031380608168587 +github:1199567242 2026-04-02 2026-04-02 f https://github.com/tpirate/CVE-2025-26466 poc for CVE-2025-26466 CVE-2025-26466 0 0 0 0 8225015782887749692 +github:55105611 2016-03-31 2018-11-30 f https://github.com/ikoz/certPinningVulnerableOkHttp OkHttp sample app vulnerable to CVE-2016-2402 CVE-2016-2402 4 10 1 10 4710262929715879674 +github:50038843 2016-01-20 2025-11-21 f https://github.com/kennetham/cve_2016_0728 CVE-2016-0728 Linux Kernel Vulnerability CVE-2016-0728 2 3 0 3 5321615654631959869 +github:778677741 2024-03-28 2024-11-26 f https://github.com/Sumitpathania03/Apache-RocketMQ-CVE-2023-33246- CVE-2023-33246 0 0 1 0 3173928470913238692 +github:1220398537 2026-05-26 2026-05-26 f https://github.com/Hann1bl3L3ct3r/FUXAPWN POC exploit for CVE-2026-25895 FUXA Unauthenticated Path Traversal -> Arbitrary File Write -> RCE CVE-2026-25895 0 0 0 0 7289519557720228984 +github:472271080 2022-03-21 2024-08-12 f https://github.com/spiarh/webhook-cve-2022-0811 Simple webhook to block exploitation of CVE-2022-0811 CVE-2022-0811 4 8 1 8 7718262836122825677 +github:482426042 2022-04-18 2026-07-16 f https://github.com/rexpository/linux-privilege-escalation Scripted Linux Privilege Escalation for the CVE-2022-0847 "Dirty Pipe" vulnerability CVE-2022-0847 9 9 2 9 2997795545087566574 +github:1039082895 2025-08-16 2025-08-16 f https://github.com/shoucheng3/vert-x3__vertx-web_CVE-2018-12542_3-5-3-CR1 CVE-2018-12542 0 0 0 0 868274147397418814 +github:438992218 2021-12-16 2021-12-16 f https://github.com/recanavar/vuln_spring_log4j2 Simple Vulnerable Spring Boot Application to Test the CVE-2021-44228 CVE-2021-44228 1 0 1 0 9032068294703905414 +github:1010680969 2025-06-29 2025-06-30 f https://github.com/TH-SecForge/CVE-2025-30208 CVE‑2025‑30208 is a medium-severity arbitrary file read vulnerability in the Vite development server (a popular frontend build tool) CVE-2025-30208 0 1 0 1 5838559253417428802 +github:532526273 2024-03-19 2023-11-03 f https://github.com/AlexanderZinoni/CVE-2022-21449 CVE-2022-21449 0 0 1 0 1638643734979750691 +github:1064132619 2025-09-25 2025-09-25 f https://github.com/cainiao159357/CVE-2025-51495 CVE-2025-51495 0 0 0 0 4959858850198822554 +github:577750614 2022-12-22 2022-12-13 f https://github.com/domdom82/h2conn-exploit Exploit for CVE-2022-41717 CVE-2022-41717 1 0 1 0 8707220403246901085 +github:1117351921 2025-12-16 2026-04-14 f https://github.com/EQSTLab/CVE-2025-55182 React2Shell CVE-2025-55182 0 1 0 1 7908570871859713016 +github:931597077 2025-02-12 2025-02-14 f https://github.com/vkairy/cve-2024-21409-repro CVE-2024-21409 0 1 1 1 2098047861152177299 +github:1206810099 2026-05-15 2026-05-21 f https://github.com/HelgeSverre/livewire-honeypot High-interaction honeypot mimicking a vulnerable Laravel/Livewire app. Captures RCE exploits and webshells targeting CVE-2024-47823, CVE-2025-54068, and CVE-2025-14894, then analyzes them in sandboxed Docker containers to extract IOCs. CVE-2024-47823 0 6 0 6 6927758342547913992 +github:1012169568 2025-07-01 2025-12-22 f https://github.com/7r00t/cve-2025-32463-lab CVE-2025-32463 0 2 0 2 7585703466674352563 +github:215516489 2019-10-16 2025-12-10 f https://github.com/valbrux/CVE-2019-11932-SupportApp This native code file aims to be complementary to the published Whatsapp GIF RCE exploit by Awakened , by calculating the system() function address and ROP gadget address for different types of devices, which then can be used to successfully exploit the vulnerability. CVE-2019-11932 23 38 3 38 7588972833592031870 +github:191191957 2019-06-10 2019-06-10 f https://github.com/GeunSam2/CVE-2018-10118 exploit tool of CVE-2018-10118 CVE-2018-10118 0 1 0 1 1424189859709571272 +github:1127161409 2026-01-03 2026-01-30 f https://github.com/rahuulmiishra/react2shell-CVE-2025-55182 CVE-2025-55182 1 1 1 1 4294073516828885231 +github:532243498 2022-09-03 2025-04-22 f https://github.com/0xrobiul/CVE-2018-15473 CVE-2018-15473 0 1 1 1 6842068605867411620 +github:307257958 2020-10-27 2023-04-17 f https://github.com/datntsec/CVE-2019-12735 CVE-2019-12735 0 0 1 0 1006197806723573382 +github:978084264 2025-05-05 2025-06-06 f https://github.com/SexyShoelessGodofWar/CVE-2025-47256 Stack overflow in LibXMP CVE-2025-47256 1 1 1 1 7446378499532102002 +github:495741457 2022-05-24 2022-05-24 f https://github.com/whr819987540/test_CVE-2020-26233 CVE-2020-26233 0 0 1 0 8488673789065637671 +github:973487467 2025-04-27 2025-04-27 f https://github.com/salt318/CVE-2025-1974 WHS3기 가상화 취약한(CVE) Docker 환경 구성 과제 CVE-2025-1974 0 0 1 0 1172225441090932896 +github:1125864331 2025-12-31 2025-12-31 f https://github.com/Goultarde/CVE-2025-55182-React2Shell-Lab CVE-2025-55182 0 0 0 0 2402049760901915169 +github:1301357027 2026-07-15 2026-07-15 f https://github.com/c0gnit00/CVE-2026-59827 Blog on CVE-2026-59827, Unsafe H2 query ouput deserialization CVE-2026-59827 0 0 0 0 2123673459562692935 +github:130868059 2018-05-08 2018-07-08 f https://github.com/Hestat/drupal-check Tool to dive Apache logs for evidence of exploitation of CVE-2018-7600 CVE-2018-7600 2 2 0 2 8055653275313810730 +github:1185073246 2026-03-18 2026-03-18 f https://github.com/tsiddiquea/cve-reproduction-lab Cybersecurity lab demonstrating Apache CVE-2021-41773 path traversal vulnerability with vulnerable server simulation, scanner, and security reporting. CVE-2021-41773 0 0 0 0 8526811668196930198 +github:703246649 2023-10-15 2025-09-21 f https://github.com/hadrian3689/looney-tunables-CVE-2023-4911 CVE-2023-4911 6 29 2 29 180950339524405987 +github:374746568 2021-07-18 2021-07-18 f https://github.com/brunosergi/bloodit Bludit 3.9.2 - Auth Brute Force Mitigation Bypass. CVE-2019-17240 CVE-2019-17240 0 0 1 0 9215990697486947956 +github:441302422 2021-12-24 2024-07-13 f https://github.com/name/log4j-remediation Discover and remediate Log4Shell vulnerability [CVE-2021-45105] CVE-2021-45105 0 1 0 1 6260766115951186385 +github:1025777034 2025-07-24 2025-07-24 f https://github.com/hackmelocal/CVE-2025-31486-Simulation CVE-2025-31486 0 0 0 0 4489040880652580307 +github:286325312 2020-08-09 2022-09-04 f https://github.com/shadofren/CVE-2016-2555 CVE-2016-2555 CVE-2016-2555 2 3 1 3 9081917831305407577 +github:1303114321 2026-07-28 2026-07-28 f https://github.com/prmawyer/log4shell-vulnerable-app Spring Boot web application vulnerable to Log4Shell (CVE-2021-44228). CVE-2021-44228 0 0 0 0 7555375706977050860 +github:873291160 2024-10-15 2024-10-16 f https://github.com/SpiralBL0CK/CVE-2024-24686 Crash File ( Poc for CVE-2024-24686) CVE-2024-24686 1 1 1 1 3218326003680466391 +github:1034264206 2025-08-08 2025-08-08 f https://github.com/samplev45/CVE-2025-22963 CVE-2025-22963 0 0 0 0 3254503201633578019 +github:438593574 2021-12-20 2022-01-12 f https://github.com/KeysAU/Get-log4j-Windows.ps1 Identifying all log4j components across all windows servers, entire domain, can be multi domain. CVE-2021-44228 CVE-2021-44228 0 7 2 7 524608880347272166 +github:439444176 2021-12-20 2025-11-20 f https://github.com/ankur-katiyar/log4j-docker Docker images and k8s YAMLs for Log4j Vulnerability POC (Log4j (CVE-2021-44228 RCE Vulnerability) CVE-2021-44228 2 5 1 5 1896318112305956100 +github:1147660772 2026-02-02 2026-02-02 f https://github.com/thomas-osgood/cve-2025-58360 CVE-2025-58360 0 1 0 1 9077411312971745922 +github:1208064599 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-65950 CVE-2025-65950 - WBCE CMS is Vulnerable to Time-Based Blind SQL Injection through groups[] Parameter CVE-2025-65950 0 0 0 0 8138952677881191792 +github:620782596 2023-03-29 2023-03-29 f https://github.com/0759104103/cd-CVE-2019-11932 CVE-2019-11932 0 0 1 0 1795620993228153672 +github:1204520025 2026-04-08 2026-04-08 f https://github.com/sangrok-jeon/CVE-2020-1938-Tomcat-AJP-Ghostcat--Analysis CVE-2020-1938-Tomcat-AJP(Ghostcat)-Analysis CVE-2020-1938 0 0 0 0 1979399424364691588 +github:1185304167 2026-03-18 2026-06-28 f https://github.com/Areeba-Zehra-Jafri/CVE-2021-41773---Apache-Path-Traversal---RCE Proof-of-concept (PoC) for CVE-2021-41773, demonstrating Apache HTTP Server 2.4.49 path traversal and remote code execution (RCE) in a controlled lab environment. CVE-2021-41773 0 0 0 0 5060892064068143240 +github:191192516 2019-06-10 2019-06-10 f https://github.com/GeunSam2/CVE-2018-8718 POC of CVE-2018-8718 + tool CVE-2018-8718 0 1 0 1 260971967558692924 +github:430749161 2021-11-22 2025-05-26 f https://github.com/wizardy0ga/THM-Vulnerability_Capstone-CVE-2018-16763 A write up on the THM room Vulnerability Capstone & Exploit script for CVE-2018-16763. CVE-2018-16763 0 0 1 0 4830900784717149025 +github:1208170845 2026-04-11 2026-06-21 f https://github.com/kayl22/cve-2025-8110-GOGS-RCE GOGS RCE cve-2025-8110 python script that automates the whole attack chain of creating a repository with a symlink file pointing to .git/config and then triggering rce via a poisoned sshCommand on the config file. CVE-2025-8110 0 4 0 4 3636769291961927558 +github:913891719 2025-01-10 2025-01-09 f https://github.com/patrickhalasik/cve-2020-23127-PoC CVE-2020-23127 0 0 1 0 8368508794210074603 +github:440722343 2022-03-28 2024-03-12 f https://github.com/BabooPan/Log4Shell-CVE-2021-44228-Demo Log4Shell Demo with AWS CVE-2021-44228 1 2 1 2 6023861913154046813 +github:1114860565 2025-12-12 2026-04-13 f https://github.com/kimtruth/CVE-2025-55183-poc PoC for CVE-2025-55183 CVE-2025-55183 3 7 0 7 346790297392107476 +github:1115037245 2025-12-12 2025-12-15 f https://github.com/X-Cotang/CVE-2025-55183_POC CVE-2025-55183 POC CVE-2025-55183 1 4 0 4 5912372307585263166 +github:495571729 2022-08-29 2022-08-29 f https://github.com/DShankle/VLC_CVE-2021-25804_Analysis CVE-2021-25804 0 0 1 0 4815351036999990945 +github:1011812779 2025-11-19 2026-07-20 f https://github.com/pr0v3rbs/CVE-2025-32463_chwoot Escalation of Privilege to the root through sudo binary with chroot option. CVE-2025-32463 CVE-2025-32463 95 526 2 526 4054495676569089318 +github:153920395 2018-10-25 2024-08-12 f https://github.com/Virgula0/POC-CVE-2018-10933 LibSSH Authentication Bypass Exploit using RCE CVE-2018-10933 7 11 2 11 2237231104667848422 +github:172282648 2019-02-24 2021-02-11 f https://github.com/beelzebruh/cve-2019-5737 CVE-2019-5737 0 0 0 0 7676845365583329025 +github:955619750 2025-03-26 2026-03-31 f https://github.com/nicknisi/next-attack A demo of the CVE-2025-29927 vulnerability for a NebraskaJS lightning talk CVE-2025-29927 0 2 1 2 366836210498523843 +github:536963041 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37207 CVE-2022-37207 POC CVE-2022-37207 0 0 1 0 4956500557329442786 +github:1115360197 2025-12-13 2026-07-01 f https://github.com/sho-luv/React2Shell CVE-2025-55182 security test kit: CLI scanner + Chrome extension + Nuclei templates + Docker lab. CVE-2025-55182 2 8 0 8 4231620588372936874 +github:1261003065 2026-06-09 2026-06-09 f https://github.com/hnytgl/CVE-2026-42588 CVE-2026-42588 - Apache ActiveMQ Jolokia 远程代码执行漏洞利用 (RCE Exploit) CVE-2026-42588 0 3 0 3 4544800592569117169 +github:604917165 2023-02-22 2023-02-22 f https://github.com/jahwni/CVE-2018-6574 Used for a PentesterLab exercise CVE-2018-6574 0 0 1 0 336765062279835996 +github:378333575 2021-06-19 2021-06-19 f https://github.com/sec000/cve-2018-6574 Pentesterlabs CVE-2018-6574 0 0 1 0 4064811320750832332 +github:857700493 2024-09-15 2024-10-03 f https://github.com/dogucyber/WordPress-Exploit-CVE-2024-1071 CVE-2024-1071 1 2 1 2 4497900138565941735 +github:1271625539 2026-06-16 2026-06-16 f https://github.com/rivaedoardo62-boop/cve-2024-23897-jenkins-poc Self-contained Docker reproduction and analysis of CVE-2024-23897, the Jenkins CLI arbitrary file read via the args4j @-syntax argument expansion. CVE-2024-23897 0 0 0 0 5134046199465080457 +github:1111608526 2025-12-07 2025-12-07 f https://github.com/UmmItKin/CVE-2025-55182-PoC react2shell PoC with Go / CVE-2025-55182 CVE-2025-55182 0 1 0 1 830947174570577908 +github:235858699 2023-05-30 2024-08-12 f https://github.com/Hans-MartinHannibalLauridsen/CurveBall CVE-2020-0601: Windows CryptoAPI Vulnerability. (CurveBall/ChainOfFools) CVE-2020-0601 1 1 1 1 5502415542488210437 +github:736363353 2023-12-27 2023-12-27 f https://github.com/kimstars/CVE-2018-17552 POC +report note CVE-2018-17552 0 0 1 0 1455280671584067456 +github:1016938255 2025-07-09 2025-07-09 f https://github.com/ppd520/CVE-2025-48384 CVE-2025-48384 0 0 0 0 3537862204265311119 +github:244069452 2023-09-12 2024-08-12 f https://github.com/w4fz5uck5/CVE-2020-1938-Clean-Version CVE-2020-1938(GhostCat) clean and readable code version CVE-2020-1938 5 6 1 6 6939481481094478471 +github:1124786653 2026-01-28 2026-01-28 f https://github.com/Rishi-kaul/n8n-CVE-2025-68613 CVE-2025-68613 0 0 0 0 6323990658054775497 +github:158217015 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-8038 CVE-2018-8038 0 0 0 0 181191516434421440 +github:1009766442 2025-06-28 2025-10-22 f https://github.com/Ikram124/CVE-2024-3094-analysis Security analysis project: Real-world CVE breakdown CVE-2024-3094 0 1 0 1 3492042333146884992 +github:729952479 2023-12-12 2023-12-12 f https://github.com/0utl4nder/Another-Metabase-RCE-CVE-2023-38646 Metabase postgres (org.h2.Driver) RCE without INIT CVE-2023-38646 0 1 1 1 4759159233653902344 +github:1027243347 2025-08-10 2025-08-10 f https://github.com/joaosilva21/CVE-2024-43018 Piwigo 13.8.0 and below is vulnerable to SQL Injection in the parameters max_level and min_register. These parameters are used in ws_user_gerList function from file include\\ws_functions\\pwg.users.php and this same function that is called by ws.php file at some point can be used for searching users in advanced way in /admin.php?page=user_list. CVE-2024-43018 1 0 0 0 162411910186364654 +github:336638175 2021-02-06 2026-06-05 f https://github.com/1N53C/CVE-2021-3156-PoC CVE-2021-3156 2 7 1 7 2525478651912722208 +github:437963460 2024-03-16 2026-03-01 f https://github.com/p0dalirius/CVE-2021-43008-AdminerRead Exploit tool for CVE-2021-43008 Adminer 1.0 up to 4.6.2 Arbitrary File Read vulnerability CVE-2021-43008 17 85 2 85 9075112807768373292 +github:483967422 2022-04-21 2023-07-06 f https://github.com/achuna33/CVE-2022-0265 CVE-2022-0265 0 5 1 5 4738875243690642627 +github:803069213 2024-05-20 2024-05-20 f https://github.com/ymuraki-csc/cve-2024-3435 CVE-2024-3435 0 0 1 0 3100294118867470698 +github:1152786171 2026-02-08 2026-02-11 f https://github.com/ramzihafiz/CVE-2025-49132 CVE-2025-49132 0 1 0 1 4190220800446273069 +github:125541441 2018-05-03 2018-05-03 f https://github.com/c0llision/exim-vuln-poc CVE-2018-6789 CVE-2018-6789 1 0 1 0 8533630041765905302 +github:1309488705 2026-07-23 2026-07-23 f https://github.com/razureink/cve-2026-34486-tomcat_encrypt_bypass_reproduction CVE Reproduction: cve-2026-34486-tomcat_encrypt_bypass_reproduction CVE-2026-34486 0 0 0 0 4955084032347181112 +github:760212653 2024-02-20 2024-02-20 f https://github.com/acesoyeo/METABASE-RCE-CVE-2023-38646- CVE-2023-38646 0 0 1 0 9126615529672829970 +github:827686717 2024-07-12 2024-07-12 f https://github.com/jakabakos/CVE-2024-36401-GeoServer-RCE CVE-2024-36401 0 0 1 0 1921124443700658840 +github:900576461 2024-12-09 2024-12-09 f https://github.com/CyberCrowCC/CVE-2024-48990 CVE-2024-48990 0 0 1 0 6133244689948259844 +github:832571304 2024-07-25 2025-03-18 f https://github.com/d0rb/CVE-2024-41107 This repository contains an PoC for the critical vulnerability identified as CVE-2024-41107 in Apache CloudStack CVE-2024-41107 4 8 1 8 7261086738429892569 +github:1111293915 2025-12-06 2026-01-13 f https://github.com/CirqueiraDev/MassExploit-CVE-2025-55182 CVE-2025-55182 RCE - Massive Scanner POC CVE-2025-55182 0 5 0 5 154081036981285026 +github:1220590751 2026-04-25 2026-04-25 f https://github.com/LoGGGG2402/CVE-2025-27407 CVE-2025-27407 0 0 0 0 5329309015526866846 +github:980367922 2025-05-09 2025-05-19 f https://github.com/absholi7ly/CVE-2025-27533-Exploit-for-Apache-ActiveMQ exploit for CVE-2025-27533, a Denial of Service (DoS) vulnerability in Apache ActiveMQ CVE-2025-27533 2 8 1 8 5421521589429270358 +github:1110541630 2025-12-05 2026-07-21 f https://github.com/aliclub0x00/CVE-2025-55182-POC-NEXTJS Working proof of concept for NextJS RCE to establish a reverse shell. [React2Shell] CVE-2025-55182 0 28 1 28 2827892706058855989 +github:711804243 2023-12-30 2026-01-11 f https://github.com/r0binak/CVE-2023-5044 PoC CVE-2023-5044 CVE-2023-5044 0 4 1 4 954061442881765868 +github:1301965348 2026-07-15 2026-07-15 f https://github.com/shinthink/CVE-2026-13001 Podlove Podcast Publisher Unauthenticated File Upload RCE via is_image() vs extract_file_extension() Mismatch | CVSS 9.8 CVE-2026-13001 2 0 0 0 6900225067343945895 +github:665224442 2023-08-09 2026-05-10 f https://github.com/entr0pie/CVE-2023-27163 Proof-of-Concept for Server Side Request Forgery (SSRF) in request-baskets (<= v.1.2.1) CVE-2023-27163 5 31 1 31 623284769183511184 +github:494836607 2022-05-21 2024-08-12 f https://github.com/0x7eTeam/CVE-2022-22916 CVE-2022-22916,O2OA RCE 远程命令执行 CVE-2022-22916 5 4 1 4 3770944151419363459 +github:476577644 2022-04-01 2026-05-23 f https://github.com/SecNN/SpringFramework_CVE-2022-22965_RCE SpringFramework 远程代码执行漏洞CVE-2022-22965 CVE-2022-22965 17 72 1 72 6149384566020490101 +github:933834573 2025-02-16 2025-02-16 f https://github.com/abelsrzz/CVE-2019-18818_CVE-2019-19609 This repository contains a Python script to exploit two vulnerabilities: CVE-2019-18818 and CVE-2019-19609. CVE-2019-18818 0 0 1 0 6815708165003327676 +github:1186133598 2026-03-25 2026-03-26 f https://github.com/ngtuonghung/CVE-2021-3156 POC for CVE-2021-3156 - Heap-based buffer overflow in sudo CVE-2021-3156 0 0 0 0 673394707231918810 +github:784744024 2024-08-05 2025-07-19 f https://github.com/RacerZ-fighting/CVE-2024-32113-POC Apache OfBiz vulns CVE-2024-32113 2 8 1 8 6190982701430073395 +github:823542110 2024-07-04 2026-06-30 f https://github.com/Symbolexe/CVE-2024-6387 SSH Exploit for CVE-2024-6387 : RCE in OpenSSH's server, on glibc-based Linux systems CVE-2024-6387 6 3 2 3 6820072726029292389 +github:361309279 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32157 Exploiting a Reflected Cross-Site Scripting (XSS) attack to get a Remote Command Execution (RCE) through the Webmin's Scheduled Cron Jobs feature CVE-2021-32157 0 0 1 0 8524114031927367691 +github:1138084671 2026-01-20 2026-01-20 f https://github.com/Vladjrfhfg/React-site-CVE-2025-55182 CVE-2025-55182 0 0 0 0 3557018209935935012 +github:1126141986 2026-01-03 2026-01-03 f https://github.com/Vaidehim55/CVE-2019-9978-RCE-PoC A custom Python proof-of-concept showcasing root-cause analysis and exploitation of CVE 2019-9978 (Social Warfare plugin),focusing on practical RFI to RCE attack flow. CVE-2019-9978 0 0 0 0 5913737108818359870 +github:1212010027 2026-04-16 2026-04-16 f https://github.com/rippsec/CVE-2025-24893-XWiki-SSTI-RCE CVE-2025-24893 – XWiki SSTI unauthenticated RCE exploit (HackTheBox CTF) CVE-2025-24893 0 0 0 0 8082906756506241132 +github:392581141 2021-08-04 2026-06-16 f https://github.com/s4dbrd/CVE-2020-9496 CVE-2020-9496 0 4 1 4 622096591461104073 +github:649901931 2023-06-05 2023-06-05 f https://github.com/MrDottt/CVE-2021-22911 CVE-2021-22911 1 0 1 0 6652470122870237770 +github:589838604 2023-01-17 2026-05-18 f https://github.com/flowerwind/AutoGenerateXalanPayload cve-2022-34169 延伸出的Jdk Xalan的payload自动生成工具，可根据不同的Jdk生成出其所对应的xslt文件 CVE-2022-34169 6 94 1 94 3892999733973468441 +github:219936583 2023-01-24 2019-11-06 f https://github.com/JonathanWilbur/CVE-2019-5010 CVE-2019-5010 Exploit PoC - Python Denial of Service via Malformed X.509v3 Extension CVE-2019-5010 0 0 1 0 1721059763199003112 +github:183741969 2019-05-08 2019-05-08 f https://github.com/jsotiro/VulnerableSpringDataRest An intentionally vulnerable (CVE-2017-8046) SrpingData REST appl with Swagger Support for pentesting purposes CVE-2017-8046 0 0 1 0 5416379940156010594 +github:1012696307 2025-07-02 2025-07-02 f https://github.com/robbert1978/CVE-2025-32463_POC CVE-2025-32463 0 0 0 0 8267737482441514335 +github:273894733 2020-10-27 2021-12-10 f https://github.com/prprhyt/PoC_TLS1_3_CVE-2020-13777 CVE-2020-13777 0 0 2 0 3794063538628505028 +github:1156548855 2026-02-21 2026-02-21 f https://github.com/sychikov/CVE-2024-11003-POC Poc for easily exploit CVE-2024-11003 CVE-2024-11003 0 0 0 0 5524482927398590311 +github:1164649141 2026-03-05 2026-03-05 f https://github.com/0xBlackash/CVE-2025-55182 CVE-2025-55182 CVE-2025-55182 1 0 0 0 6937226964185204847 +github:1310383400 2026-07-23 2026-07-23 f https://github.com/nullRoot-Red/CVE-2026-23744 Proof-of-concept and offensive security research analyzing CVE-2026-23744 (MCPJam Inspector Unauthenticated RCE, Patched in v1.4.3+). CVE-2026-23744 0 0 0 0 1214599383228956823 +github:1092954460 2026-02-11 2026-02-12 f https://github.com/0xNullComet/CVE-2016-10204_Webshell A bash script demonstrating the manual exploitation of CVE-2016-10204 against a target endpoint, leading to upload of a php webshell. CVE-2016-10204 0 2 0 2 1822782481059429338 +github:588548677 2025-07-27 2025-07-27 f https://github.com/offalltn/CVE-2022-45299 CVE 2022-45299 CVE-2022-45299 0 1 1 1 8650164807067843375 +github:893527608 2024-11-24 2024-11-24 f https://github.com/YassDEV221608/CVE-2024-6387 CVE-2024-6387 0 0 1 0 8410689105094297044 +github:565982204 2022-11-14 2024-01-04 f https://github.com/gbrsh/CVE-2022-29464 RCE exploit for WSO2 CVE-2022-29464 1 7 1 7 3484687266573264321 +github:731901174 2024-01-20 2024-06-16 f https://github.com/Valentin-Metz/writeup_split Writeup of a heap overflow vulnerability in the GNU coreutils split program. CVE-2024-0684 CVE-2024-0684 0 4 1 4 184322099204731243 +github:1189382153 2026-07-27 2026-07-27 f https://github.com/showy-headteacher114/cve-2025-66398 Demonstrate exploitation of Signal K Server CVE-2025-66398 allowing unauthenticated attackers to inject backdoor and enable remote code execution. CVE-2025-66398 0 1 0 1 5189723873709073963 +github:410761927 2021-08-16 2021-10-29 f https://github.com/d3c3ptic0n/CVE-2021-3156 Sudo heap-based buffer overflow privilege escalation commands and mitigations. CVE-2021-3156 0 0 0 0 3353676846704187124 +github:954855431 2025-03-25 2025-03-25 f https://github.com/moften/cve-2018-15473-poc Check if a username is valid on the SSH server by attempting an authentication. The server response will indicate whether the username exists. CVE-2018-15473 0 0 1 0 386011146906440061 +github:1201098204 2026-06-25 2026-07-13 f https://github.com/kx00007/CVE-2026-39938 Pre-authentication LFI Lead to RCE CVE-2026-39938 0 0 0 0 1661289108376005929 +github:1110579378 2025-12-11 2026-07-13 f https://github.com/l4rm4nd/CVE-2025-55182 Docker poc lab for CVE-2025-55182 / CVE-2025-66478 (React2Shell) detection and exploitation CVE-2025-55182 26 86 0 86 7054571974235583539 +github:723248102 2023-11-25 2023-11-25 f https://github.com/Benasin/CVE-2022-22720 CVE-2022-22720 0 0 1 0 4181148036642604909 +github:508303833 2022-07-08 2024-08-12 f https://github.com/bypazs/CVE-2022-34961 OpenTeknik LLC OSSN OPEN SOURCE SOCIAL NETWORK v6.3 LTS was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Users Timeline module. CVE-2022-34961 1 0 1 0 4620953436525800852 +github:736826577 2024-01-05 2023-12-29 f https://github.com/scabench/jsonorg-fp3 simple application with a (unreachable!) CVE-2022-45688 vulnerability CVE-2022-45688 0 0 1 0 6947103752202997250 +github:780480213 2024-04-02 2024-04-03 f https://github.com/gustavorobertux/CVE-2024-3094 Checker - CVE-2024-3094 CVE-2024-3094 1 3 1 3 8861468034588095800 +github:876714741 2024-11-25 2024-12-10 f https://github.com/grecosamuel/CVE-2024-32002 CVE-2024-32002 0 1 1 1 8811304228458436339 +github:1054509650 2025-09-11 2026-02-06 f https://github.com/T1erno/CVE-2024-32019-Netdata-ndsudo-Privilege-Escalation-PoC Netdata ndsudo Privilege Escalation PoC CVE-2024-32019 0 3 0 3 9162844118394626640 +github:1241062556 2026-05-16 2026-05-16 f https://github.com/fellipefelix06/Zabbix-CVE-2024-42327 CVE-2024-42327 0 0 0 0 7739150009919838100 +github:242107452 2020-02-28 2024-11-27 f https://github.com/dacade/CVE-2020-1938 CVE-2020-1938 6 9 1 9 395806618416280766 +github:384971364 2021-07-15 2021-09-11 f https://github.com/Neko-chanQwQ/CVE-2020-1938 Scanner for CVE-2020-1938 CVE-2020-1938 1 1 1 1 8561384781316962934 +github:911772666 2025-01-03 2025-01-03 f https://github.com/FakesiteSecurity/CVE-2021-41773 MASS CVE-2021-41773 CVE-2021-41773 0 0 1 0 6327107666392400479 +github:706845140 2023-10-18 2023-10-18 f https://github.com/jet-pentest/CVE-2023-45966 Blind SSRF in umputun/remark42 <= 1.12.1 CVE-2023-45966 0 0 1 0 1052239576717628778 +github:1279173175 2026-06-24 2026-06-24 f https://github.com/litndat/React2Shell-PoC-CVE-2025-55182 Khai thác lỗ hổng bảo mật CVE-2025-55182 CVE-2025-55182 0 0 0 0 1102039119495865660 +github:1225991105 2026-04-12 2026-04-30 f https://github.com/AdityaInnovates/CVE-2025-8110-Gogs-RCE-Exploit Gogs CVE-2025-8110 RCE Exploit CVE-2025-8110 1 0 0 0 7943650333364991668 +github:1281333507 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-46558 Plane’s V2 asset subsystem trusted workspace slugs and asset UUIDs without enforcing the right membership checks, which let one authenticated user read, copy, delete, and overwrite assets in other workspaces. CVE-2026-46558 0 0 0 0 5486436091815381086 +github:146650579 2018-08-30 2026-03-05 f https://github.com/649/Apache-Struts-Shodan-Exploit This tool takes advantage of CVE-2018-11776 and Shodan to perform mass exploitation of verified and vulnerable Apache Struts servers. CVE-2018-11776 17 56 2 56 4354232588897869083 +github:721073490 2023-11-20 2023-11-20 f https://github.com/Iris288/CVE-2021-41773 CVE-2021-41773 0 1 1 1 9088660989416279482 +github:933989292 2025-02-17 2025-02-20 f https://github.com/godylockz/CVE-2021-44967 POC for CVE-2021-44967: LimeSurvey RCE CVE-2021-44967 0 1 1 1 5353109778761910531 +github:1291502992 2026-07-06 2026-07-06 f https://github.com/diamorphine666/React2shell-CVE-2025-55182-Exploit Next.js / RSC - Unauthenticated RCE (React2Shell) (CVE-2025-55182) CVE-2025-55182 0 0 0 0 8470097811952869388 +github:327580889 2021-01-07 2021-01-07 f https://github.com/knokbak/save-pixels-updated An updated version of save-pixels that patches the CVE-2020-8175 security issue. CVE-2020-8175 0 0 1 0 88367213008150826 +github:879447823 2024-10-27 2024-10-27 f https://github.com/devetop/CVE-2022-2639-PipeVersion CVE-2022-2639 0 0 1 0 3681687811207383935 +github:942343732 2025-03-04 2025-10-10 f https://github.com/Somchandra17/CVE-2024-46507 build-script for CVE-2024-46507 and CVE-2024-46508 CVE-2024-46507 0 1 1 1 2545885834236660079 +github:946292284 2025-03-18 2026-01-08 f https://github.com/doyensec/malicious-devfile-registry Exploit for CVE-2024-0402 in Gitlab CVE-2024-0402 5 15 0 15 555696612038334644 +github:1110820705 2025-12-05 2025-12-05 f https://github.com/NathanJ60/react2shell-interactive CVE-2025-55182 Interactive PoC - React Server Components RCE - Educational Security Research CVE-2025-55182 0 0 0 0 8058066959632579225 +github:129830979 2018-04-12 2018-04-17 f https://github.com/Tom4t0/CVE-2018-1270_EXP CVE-2018-1270 5 0 1 0 3452981839585866171 +github:823250035 2024-07-02 2025-06-04 f https://github.com/th3gokul/CVE-2024-6387 CVE-2024-6387 : Vulnerability Detection tool for regreSSHion Remote Unauthenticated Code Execution in OpenSSH Server CVE-2024-6387 1 4 1 4 1374177736966383812 +github:1270491756 2026-06-16 2026-06-27 f https://github.com/tar-xz/CVE-2026-53519-PoC PoC exploit for CVE-2026-53519. CVE-2026-53519 2 3 2 3 8535579539900100252 +github:1112829964 2025-12-09 2026-02-08 f https://github.com/techgaun/cve-2025-55182-scanner CVE-2025-55182 0 3 0 3 5399428696194700414 +github:726003969 2023-12-01 2023-12-08 f https://github.com/mbadanoiu/CVE-2022-40635 CVE-2022-40635: Groovy Sandbox Bypass in CrafterCMS CVE-2022-40635 0 2 1 2 8285228147585429165 +github:1053927642 2025-12-21 2025-12-21 f https://github.com/MooseLoveti/PagSeguro-Connect-Para-WooCommerce-CVE-Report Disclosure for CVE-2025-10142 CVE-2025-10142 0 0 0 0 2619174327276917189 +github:1034694828 2025-08-08 2025-08-08 f https://github.com/mbadanoiu/CVE-2025-6384 CVE-2025-6384: Groovy Sandbox Bypass 2 in CrafterCMS CVE-2025-6384 0 0 0 0 825054211523256517 +github:1039510259 2025-08-17 2025-08-17 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10076_2-11-0-M3 CVE-2019-10076 0 0 0 0 3915803435944483716 +github:932179349 2025-04-12 2025-10-29 f https://github.com/victoni/Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC POC for Roundcube vulnerabilities CVE-2024-42008 and CVE-2024-42010 CVE-2024-42008 0 2 1 2 251929527495134363 +github:1116698646 2025-12-15 2025-12-15 f https://github.com/Call123X/-cve-2025-55182 cve-2025-55182 CVE-2025-55182 0 0 0 0 2988724517557517680 +github:1258543283 2026-06-04 2026-06-04 f https://github.com/Galaxy-sc/CVE-2026-47423-dompurify-xss-detector CVE-2026-47423 0 0 0 0 6778097564799221093 +github:912606614 2025-01-06 2025-01-06 f https://github.com/GroundCTL2MajorTom/CVE-2023-51385POC CVE-2023-51385 0 0 1 0 3848093067980140309 +github:780339753 2024-04-01 2024-04-01 f https://github.com/mightysai1997/CVE-2024-3094 CVE-2024-3094 0 0 1 0 1419552391137516189 +github:1296308030 2026-07-10 2026-07-10 f https://github.com/cain66666/openclaw-hardening-check Offline, read-only hardening check for a self-hosted OpenClaw install — gateway exposure, auth, CVE-2026-25253. Never prints secrets, makes no network calls. CVE-2026-25253 0 0 0 0 3591417803355959771 +github:1012203820 2025-07-02 2025-07-02 f https://github.com/paulogmota/CVE-2018-6574 Golang cgo exploit for CVE-2018-6574 CVE-2018-6574 0 0 0 0 5346647381118117307 +github:247807828 2020-03-16 2020-03-16 f https://github.com/yitingfan/CVE-2018-6574_demo CVE-2018-6574 0 0 1 0 6324894517509376899 +github:1059121145 2025-09-18 2026-07-08 f https://github.com/mrk336/Cluster-Chaos-Exploiting-CVE-2025-59359-for-Kubernetes-Takeover A hands-on forensic walkthrough of CVE-2025-59359, a critical OS command injection flaw in Chaos-Mesh. Learn how attackers hijack Kubernetes clusters via GraphQL mutations, and how to detect, analyze, and report the breach using ELK. CVE-2025-59359 0 0 0 0 4717078259804746190 +github:1121888906 2025-12-23 2025-12-23 f https://github.com/GnuTLam/POC-CVE-2025-68613 My poc to exploit this vuln :D CVE-2025-68613 0 0 0 0 3813608063779122890 +github:580301790 2025-07-10 2024-01-17 f https://github.com/ssst0n3/docker-cve-2022-39253-poc CVE-2022-39253 5 10 1 10 291310384526110502 +github:934946585 2025-10-14 2026-05-04 f https://github.com/rxerium/CVE-2025-26465 MitM attack allowing a malicious interloper to impersonate a legitimate server when a client attempts to connect to it CVE-2025-26465 0 9 1 9 8159986360562571120 +github:809009313 2024-06-01 2024-06-01 f https://github.com/tobelight/cve_2024_32002 https://www.cve.org/CVERecord?id=CVE-2024-32002 CVE-2024-32002 0 0 1 0 7095769346865397819 +github:977172685 2025-05-04 2025-05-04 f https://github.com/koyomihack00/CVE-2025-47226 This CVE - PoC about information on the CVEs I found. CVE-2025-47226 0 0 1 0 9062928971975722278 +github:420144635 2021-10-22 2024-08-12 f https://github.com/BabyTeam1024/CVE-2021-41773 CVE-2021-41773 1 0 1 0 1567088221773153887 +github:192838091 2019-06-21 2023-10-14 f https://github.com/AnonymKing/CVE-2017-1000117 CVE-2017-1000117漏洞复现（PoC+Exp） CVE-2017-1000117 2 3 0 3 2008362497728525950 +github:734560456 2023-12-22 2023-12-22 f https://github.com/miles3719/cve-2023-50164 CVE-2023-50164 0 0 1 0 6975075286106336715 +github:1018807065 2025-08-24 2026-01-28 f https://github.com/kazuya256/Moodle-authenticated-RCE 🚀 Exploit for Moodle 4.4.0 Authenticated RCE (CVE-2024-43425) — run commands remotely ⚡ CVE-2024-43425 1 2 0 2 2192956635634135410 +github:1017815201 2025-07-11 2025-07-11 f https://github.com/p1026/CVE-2025-48384 CVE-2025-48384 0 0 0 0 6358692367262850226 +github:1290301153 2026-07-06 2026-07-10 f https://github.com/shinthink/CVE-2026-27966 Pre-auth RCE scanner for Langflow < 1.8.0 — Route Injection + Vertex Injection → Code Execution (CVSS 9.8) CVE-2026-27966 0 2 0 2 6852075977286563868 +github:1109938914 2025-12-07 2025-12-07 f https://github.com/CymulateResearch/React2Shell-Scanner React2Shell Scanner (CVE-2025-55182 & CVE-2025-66478) CVE-2025-55182 0 2 0 2 7149155449893789973 +github:1119299403 2025-12-19 2026-05-16 f https://github.com/open-flaw/CVE-2025-55182 CVE-2025-55182 0 0 0 0 1767216546707222723 +github:164349734 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2016-6515 cve-2016-6515 CVE-2016-6515 0 0 0 0 8801372645355572412 +github:391941607 2021-08-02 2021-08-02 f https://github.com/whitetea2424/CVE-2020-27955-LFS-main CVE-2020-27955 0 0 1 0 715074886349802587 +github:337797858 2021-02-10 2021-03-03 f https://github.com/azizalshammari/CVE-2020-36079. CVE-2020-36079 1 1 1 1 5488831407820747250 +github:136231159 2018-06-05 2026-07-14 f https://github.com/u0pattern/CVE-2018-1000117-Exploit Buffer Overflow Vulnerability that can result ACE CVE-2018-1000117 1 3 0 3 5718179233608344606 +github:688420580 2023-09-13 2026-04-09 f https://github.com/bruno-1337/CVE-2023-23946-POC Explanation and POC of the CVE-2023-23946 CVE-2023-23946 0 1 1 1 9108699752520823996 +github:802232904 2024-05-19 2026-06-13 f https://github.com/amalmurali47/hook Hook for the PoC for exploiting CVE-2024-32002 CVE-2024-32002 32 18 1 18 5971853521849788831 +github:823296113 2024-07-02 2025-12-27 f https://github.com/xonoxitron/regreSSHion-checker Quickly identifies servers vulnerable to OpenSSH 'regreSSHion' (CVE-2024-6387). CVE-2024-6387 6 10 1 10 3179340602726456899 +github:1008549886 2025-07-12 2025-07-12 f https://github.com/melonlonmeo/CVE-2025-49132 Poc - CVE-2025-49132 CVE-2025-49132 0 0 0 0 6445694360666935660 +github:1123354905 2025-12-26 2025-12-26 f https://github.com/J4ck3LSyN-Gen2/n8n-CVE-2025-68613-TryHackMe The minor methodology for room: https://tryhackme.com/room/n8ncve202568613 CVE-2025-68613 0 0 0 0 907989389257589832 +github:719704174 2023-11-16 2023-11-16 f https://github.com/SynixCyberCrimeMy/CVE-2022-29464 SynixCyberCrimeMY CVE Exploiter By SamuraiMelayu1337 & ?/h4zzzzzz.scc CVE-2022-29464 1 0 1 0 4963844858620573887 +github:878490904 2024-10-25 2026-02-10 f https://github.com/davidzzo23/CVE-2022-23131 Zabbix Frontend Authentication Bypass Vulnerability CVE-2022-23131 0 3 1 3 301887887774655602 +github:612724556 2023-05-18 2026-02-07 f https://github.com/ariyaadinatha/cacti-cve-2022-46169-exploit This is poc of CVE-2022-46169 authentication bypass and remote code execution CVE-2022-46169 6 15 1 15 6318639053222404929 +github:995619033 2025-10-24 2025-10-24 f https://github.com/rxerium/CVE-2025-49113 Detection for CVE-2025-49113 CVE-2025-49113 0 5 0 5 4642110133262434820 +github:165318193 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-8917 cve-2017-8917 CVE-2017-8917 0 0 0 0 4073873644346852938 +github:437186290 2021-12-11 2021-12-15 f https://github.com/uint0/cve-2021-44228--spring-hibernate CVE-2021-44228 POC - Spring / Hibernate CVE-2021-44228 0 1 2 1 8062079318194005542 +github:587725691 2023-01-11 2023-05-08 f https://github.com/giz-berlin/quasar-app-webpack-json5-vulnerability Reproduction for CVE-2022-46175 CVE-2022-46175 0 0 1 0 2730874870966871890 +github:1239156281 2026-05-14 2026-05-14 f https://github.com/ChamsBouzaiene/ai-vuln-rediscovery-nginx-cve-2026-42945 CVE-2026-42945 2 0 0 0 312560935574537 +github:452774894 2022-01-27 2022-01-27 f https://github.com/lolameroo/Codiad-CVE-2018-14009 Codiad through 2.8.4 allows Remote Code Execution, a different vulnerability than CVE-2017-11366 and CVE-2017-15689 CVE-2017-11366 0 0 1 0 7701128599457577705 +github:213772542 2019-10-08 2019-10-08 f https://github.com/cucadili/CVE-2018-11776 Investigation of CVE-2018-11776 vulnerability that allows attackers to remotely execute code and gain control over Apache Struts-based applications. CVE-2018-11776 0 0 1 0 5972775351755744538 +github:172217636 2023-06-19 2025-07-21 f https://github.com/knqyf263/CVE-2019-6340 Environment for CVE-2019-6340 (Drupal) CVE-2019-6340 8 42 0 42 7220226167495619739 +github:1078833067 2025-12-17 2025-12-17 f https://github.com/RIZZZIOM/CVE-2021-27905 Apache Solr < 8.8.2 Server Side Request Forgery CVE-2021-27905 0 2 0 2 1297393090019369649 +github:417227516 2021-11-22 2025-08-28 f https://github.com/twseptian/cve-2021-41773-docker-lab Docker container lab to play/learn with CVE-2021-41773 CVE-2021-41773 0 0 0 0 1030487907424869746 +github:122955721 2018-02-26 2018-02-26 f https://github.com/BlackRouter/cve-2018-6389 CVE-2018-6389 0 0 1 0 4189572514981806797 +github:158216115 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-8039 CVE-2018-8039 0 0 0 0 5858554755443386661 +github:1158702922 2026-02-15 2026-06-09 f https://github.com/0xDTC/CVE-2025-4517-tarfile-PATH_MAX-bypass Python tarfile data filter bypass via PATH_MAX overflow in os.path.realpath() - CVE-2025-4517 / CVE-2025-4330 CVE-2025-4517 0 8 0 8 6853871887929159328 +github:619372624 2023-03-27 2023-04-24 f https://github.com/0x0Jackal/CVE-2022-24716 Arbitrary File Disclosure Vulnerability in Icinga Web 2 <2.8.6, <2.9.6, <2.10 CVE-2022-24716 0 3 1 3 2719659198572199587 +github:1161143065 2026-06-30 2026-06-30 f https://github.com/CVEs-Labs/CVE-2026-22241 Lab Environment for CVE-2026-22241 CVE-2026-22241 0 0 0 0 8597945527874999166 +github:1196577838 2026-03-30 2026-03-30 f https://github.com/mkdemir/activemq-lockbit-analysis Apache ActiveMQ (CVE-2023-46604) zafiyetinden LockBit ransomware aşamasına uzanan 419 saatlik sızma vakasının uçtan uca analizi, SIEM korelasyon kuralları ve IOC listesi. CVE-2023-46604 0 0 0 0 8973017204224709484 +github:1075818517 2026-05-17 2026-05-18 f https://github.com/Groppoxx/CVE-2025-25198-PoC PoC for CVE-2025-25198: automated Host header poisoning test for Mailcow - HTTPS listener, automatic cookie/CSRF handling, captures first reset link. CVE-2025-25198 1 20 4 20 3068133517632376607 +github:430814901 2021-11-22 2024-01-19 f https://github.com/z3n70/CVE-2021-41277 simple program for exploit metabase CVE-2021-41277 1 5 1 5 262395667741426318 +github:1110312056 2025-12-05 2025-12-05 f https://github.com/Darker-Ink/react-ssr-vulnerability This is a POC script for CVE-2025-55182 (React SSR RCE) CVE-2025-55182 0 0 0 0 6491785173774151251 +github:100357293 2017-08-15 2017-08-15 f https://github.com/sasairc/CVE-2017-1000117_wasawasa CVE-2017-1000117 0 1 1 1 8408089239400252796 +github:437948858 2021-12-14 2021-12-14 f https://github.com/p3dr16k/log4j-1.2.15-mod log4j version 1 with a patch for CVE-2021-44228 vulnerability CVE-2021-44228 0 1 1 1 5823752019630939534 +github:822619924 2024-07-01 2024-07-01 f https://github.com/HPT-Intern-Task-Submission/CVE-2023-39361 CVE-2023-39361 0 0 0 0 57902789853959870 +github:390319299 2021-07-28 2021-07-28 f https://github.com/dpredrag/CVE-2020-28502 CVE-2020-28502 0 0 1 0 7478320957793957634 +github:267802055 2020-05-29 2020-09-23 f https://github.com/StarkChristmas/CVE-2020-1947 CVE-2020-1947 1 1 1 1 2045336084058080233 +github:1115059334 2025-12-12 2025-12-12 f https://github.com/meenakshisl/PoC-CVE-2025-13780 PoC for CVE-2025-13780 CVE-2025-13780 0 0 0 0 8041297540990101285 +github:694381126 2023-10-19 2023-09-20 f https://github.com/manbolq/CVE-2021-39165 Python3 POC for CVE-2021-39165 in CachetHQ CVE-2021-39165 0 0 1 0 8014065500889610296 +github:912395761 2025-08-11 2026-01-30 f https://github.com/D3Ext/CVE-2021-44967 POC exploit for CVE-2021-44967 CVE-2021-44967 0 6 1 6 8756445987707483108 +github:605262093 2023-03-07 2026-07-27 f https://github.com/Christbowel/CVE-2023-25136 OpenSSH 9.1 vulnerability mass scan and exploit CVE-2023-25136 21 107 2 107 3277339805320912896 +github:1150938806 2026-02-06 2026-03-05 f https://github.com/advaitpathak21/CVE-2024-46987 Exploit created using Python CVE-2024-46987 0 1 0 1 5956131249134730517 +github:761543979 2024-02-22 2024-03-01 f https://github.com/UserConnecting/Exploit-CVE-2023-38646-Metabase Exploit for the Remote Code Execution (RCE) vulnerability identified in Metabase versions before 0.46.6.1 (open source) and 1.46.6.1 (Enterprise). Authentication is not required for exploitation. CVE-2023-38646 0 1 1 1 1987310122283448278 +github:338510801 2021-02-13 2024-08-12 f https://github.com/HoangKien1020/CVE-2021-21014 Magento versions 2.4.1 (and earlier), 2.4.0-p1 (and earlier) and 2.3.6 (and earlier) are vulnerable to a file upload restriction bypass. Successful exploitation could lead to arbitrary code execution by an authenticated attacker. CVE-2021-21014 2 4 1 4 2316615527459467347 +github:437426248 2021-12-12 2023-04-17 f https://github.com/unlimitedsola/log4j2-rce-poc A bare minimum proof-of-concept for Log4j2 JNDI RCE vulnerability (CVE-2021-44228/Log4Shell). CVE-2021-44228 2 3 1 3 7496713262051145792 +github:573871584 2022-12-03 2025-09-20 f https://github.com/mux0x/CVE-2018-6574 CVE-2018-6574 0 1 1 1 6060187270043254847 +github:188356491 2019-06-09 2026-02-26 f https://github.com/fuzzlove/ATutor-2.2.4-Language-Exploit ATutor 2.2.4 Arbitrary File Upload / RCE (CVE-2019-12169) CVE-2019-12169 3 4 0 4 1067499875319857130 +github:784676322 2024-04-12 2025-03-18 f https://github.com/brains93/CVE-2024-24576-PoC-Python CVE-2024-24576 3 9 1 9 1139036758760306046 +github:1118271087 2026-04-29 2026-04-29 f https://github.com/harley-ghostie/safe-check-CVE-2025-23419 Script em python scanner safe-check da CVE-2025-23419 CVE-2025-23419 0 0 0 0 5407666282550457356 +github:1052906670 2025-09-08 2025-09-08 f https://github.com/Makavellik/POC-CVE-2025-24813-Apache-Tomcat-Remote-Code-Execution Este repositorio contiene un exploit automatizado desarrollado con fines educativos y de investigación en ciberseguridad, dirigido a demostrar una potencial vulnerabilidad de ejecución remota de código (RCE) en Apache Tomcat (CVE-2025-24813). CVE-2025-24813 0 0 0 0 5865142266631641928 +github:1116656228 2025-12-15 2025-12-15 f https://github.com/subhdotsol/CVE-2025-55182 This project provides a fully functional demonstration of CVE-2025-55182 (React2Shell) - a critical Remote Code Execution vulnerability in React Server Components and Next.js. CVE-2025-55182 0 2 1 2 3565369996729965527 +github:1120218144 2025-12-20 2025-12-26 f https://github.com/vijay-shirhatti/RSC-Detect-CVE-2025-55182 RSC Detect CVE 2025 55182 CVE-2025-55182 9 21 0 21 3138106294260252200 +github:863849686 2024-09-27 2024-09-27 f https://github.com/Masamuneee/hook This is a demo for CVE-2024-32002 POC CVE-2024-32002 0 0 1 0 4138749769649034468 +github:277557089 2020-07-06 2026-06-03 f https://github.com/jpts/cve-2020-1764-poc Auth Bypass PoC for Kiali CVE-2020-1764 1 1 1 1 9206809404469325234 +github:1196746927 2026-07-20 2026-07-29 f https://github.com/EQSTLab/CVE-2026-33017 Langflow RCE CVE-2026-33017 3 6 0 6 6109801911735805931 +github:160123862 2018-12-03 2018-12-03 f https://github.com/fath0218/CVE-2016-2233 This is an exploitation guide for CVE-2016-2233 CVE-2016-2233 1 0 0 0 2767602343305866688 +github:781419608 2024-04-03 2024-11-06 f https://github.com/MagpieRYL/CVE-2024-3094-backdoor-env-container This is a container environment running CVE-2024-3094 sshd backdoor instance, working with https://github.com/amlweems/xzbot project. IT IS NOT Docker, just implemented by chroot. CVE-2024-3094 0 0 1 0 510760547474727489 +github:1112312681 2025-12-16 2025-12-16 f https://github.com/jandelima/cve-2025-55182-poc-test CVE-2025-55182 0 0 0 0 2409360167403434451 +github:473521612 2022-03-24 2022-11-23 f https://github.com/the-valluvarsploit/CVE-2018-6574 CVE-2018-6574 0 1 1 1 683780858012373767 +github:1212598691 2026-04-16 2026-04-16 f https://github.com/Nxvh1337/CVE-2025-15602-PoC Snipe-IT < 8.3.7 Mass Assignment Vulnerability Leading to Privilege Escalation CVE-2025-15602 0 0 0 0 86700775068277842 +github:101361478 2017-08-25 2020-07-17 f https://github.com/faizzaidi/Wolfcms-v0.8.3.1-xss-POC-by-Provensec-llc WolfCMS-v0.8.3.1 Cross Site Scripting(XSS) Assigned CVE Number: CVE-2017-11611 CVE-2017-11611 0 2 1 2 5722523478886623688 +github:439217985 2022-01-13 2023-03-19 f https://github.com/Fazmin/vCenter-Server-Workaround-Script-CVE-2021-44228 Script - Workaround instructions to address CVE-2021-44228 in vCenter Server CVE-2021-44228 0 2 1 2 3856653752220253022 +github:974724585 2025-08-09 2025-08-09 f https://github.com/HoumanPashaei/CVE-2025-29927 This is a CVE-2025-29927 Scanner. CVE-2025-29927 0 5 1 5 5133552718261567798 +github:231642511 2020-04-27 2024-08-12 f https://github.com/ph4r05/ledger-app-monero-1.42-vuln PoC repository for CVE-2020-6861: Ledger Monero App Spend key Extraction CVE-2020-6861 1 4 1 4 1872313902213328204 +github:1048180555 2025-09-01 2026-07-08 f https://github.com/mrk336/CVE-2021-3456 A practical chain that starts with an innocuous PDF file and ends up in a reverse shell on an AWS EC2 instance CVE-2021-3456 0 0 0 0 7444561535373312562 +github:421851715 2023-01-23 2026-07-03 f https://github.com/walnutsecurity/cve-2021-42013 cve-2021-42013.py is a python script that will help in finding Path Traversal or Remote Code Execution vulnerability in Apache 2.4.50 CVE-2021-42013 13 27 1 27 3397248607256324222 +github:696301802 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44760_ConcreteCMS-Stored-XSS---TrackingCodes Multiple Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the Header and Footer Tracking Codes of the SEO & Statistics CVE-2023-44760 0 0 1 0 6968213651236807512 +github:1252058387 2026-05-28 2026-05-28 f https://github.com/quantumworld-dpdns-io/CVE-2026-42945 CVE-2026-42945 0 0 0 0 9199776378965774781 +github:1249230518 2026-05-25 2026-05-25 f https://github.com/learner202649/CVE-2026-47102-PoC The code for personally reproducing the corresponding vulnerability CVE-2026-47102 0 0 0 0 4060131111692611304 +github:1112025258 2025-12-08 2026-03-20 f https://github.com/4l13n-DN/POC-CVE-2018-7600 Drupal vulnerable a CVE-2018-7600 CVE-2018-7600 0 1 0 1 7839606418733277007 +github:360465836 2021-04-28 2026-07-28 f https://github.com/PetrusViet/Gitlab-RCE CVE-2021-22192 CVE-2021-22192 3 12 1 12 448688356803139697 +github:1041584987 2025-08-20 2025-08-20 f https://github.com/shoucheng3/DSpace__DSpace_CVE-2022-31195_5-10 CVE-2022-31195 0 0 0 0 7319411689923490487 +github:1213480202 2026-04-18 2026-04-18 f https://github.com/tombstoneghost/htb-sau-exploit-chain Automated exploit chain for HTB Sau — CVE-2023-27163 (SSRF) + Maltrail Unauthenticated RCE → Reverse Shell CVE-2023-27163 0 0 0 0 9170071643136080093 +github:1208065486 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-66204 CVE-2025-66204 - WBCE CMS allows brute-force protection bypass using X-Forwarded-For header CVE-2025-66204 0 0 0 0 612294774186870717 +github:611686754 2023-04-08 2023-10-19 f https://github.com/Pflegusch/CVE-2022-24637 Open Web Analytics 1.7.3 - Remote Code Execution CVE-2022-24637 0 4 1 4 3859126133884115315 +github:742651580 2024-01-13 2024-01-13 f https://github.com/ifulxploit/Minio-Security-Vulnerability-Checker Program ini adalah alat (tool) yang dibuat untuk memeriksa keamanan sistem Minio terkait dengan kerentanan CVE-2022-35919 CVE-2022-35919 1 0 1 0 5745693452391330946 +github:1112137621 2025-12-08 2025-12-08 f https://github.com/chitoz1300/React2Shell-CVE-2025-55182 * React2Shell-CVE-2025-55182 CVE-2025-55182 0 0 0 0 7103121766323408039 +github:203983183 2019-08-23 2026-04-25 f https://github.com/AdministratorGithub/CVE-2019-15107 CVE-2019-15107 webmin python3 CVE-2019-15107 5 5 1 5 2771969103275139845 +github:417081130 2021-10-26 2021-10-26 f https://github.com/zomy22/CVE-2020-16846-Saltstack-Salt-API CVE-2020-16846 0 0 1 0 3772046465760485679 +github:1184625527 2026-03-17 2026-03-17 f https://github.com/nexxp90/CVE-2025-55182_RCE_Exploit REC Exploit is a Python-based security testing tool that automates detection of potential RCE conditions in web applications under authorized environments. It sends crafted POST requests to targets, analyzes server responses for execution indicators, and supports batch scanning with custom input, structured payload handling, and clear CLI output. CVE-2025-55182 0 0 0 0 3840502778867773740 +github:498653861 2023-01-13 2025-05-16 f https://github.com/gar-re/cve-2022-27438 CVE-2022-27438 1 0 0 0 6003849841582270741 +github:455174932 2022-06-06 2022-02-20 f https://github.com/jas9reet/CVE-2021-42013-LAB Apache HTTP Server 2.4.50 - RCE Lab CVE-2021-42013 0 1 1 1 4742229450820079173 +github:782054881 2024-04-05 2024-04-16 f https://github.com/robertdebock/ansible-playbook-cve-2024-3094 A small repo with a single playbook. CVE-2024-3094 0 1 1 1 647715511973700465 +github:1304130965 2026-07-17 2026-07-17 f https://github.com/bekwiner/cve-2026-47777 CVE-2026-47777 0 1 0 1 8963944658064376185 +github:1084590641 2026-05-18 2026-05-18 f https://github.com/Alex-Acero-Security/CVE-2025-20260-POC CVE-2025-20260 0 0 0 0 2841247176747112810 +github:1120352922 2026-01-23 2026-01-23 f https://github.com/vonuyvicoo/nextploiter NextJS exploiter for CVE-2025-55182 and more. CVE-2025-55182 0 1 1 1 8167533940769575891 +github:1291021938 2026-07-06 2026-07-06 f https://github.com/covepseng/cve-2026-49352-poc Exploitability PoC for CVE-2026-49352 (9router Hardcoded JWT Secret Authentication Bypass) CVE-2026-49352 0 0 0 0 401173502724107988 +github:249481499 2022-12-14 2024-08-12 f https://github.com/GUI/legacy-rails-CVE-2020-5267-patch Patch CVE-2020-5267 for Rails 4 and Rails 3 CVE-2020-5267 1 1 1 1 6749345144294128735 +github:427956887 2021-11-14 2021-11-14 f https://github.com/xMohamed0/CVE-2021-21315-POC CVE-2021-21315 0 0 1 0 735371365619757767 +github:437681598 2021-12-13 2025-01-06 f https://github.com/sunnyvale-it/CVE-2021-44228-PoC CVE-2021-44228 (Log4Shell) Proof of Concept CVE-2021-44228 5 8 0 8 6500928717649189369 +github:145935231 2024-05-09 2024-05-09 f https://github.com/jiguangsdf/CVE-2018-11776 CVE-2018-11776(S2-057) EXPLOIT CODE CVE-2018-11776 5 10 1 10 4884173230774899101 +github:263369235 2020-05-12 2020-05-12 f https://github.com/thinuri99/Sudo-Security-Bypass-Vulnerability-CVE-2019-14287- This is the exploitation of sudo security bypass vulnerability CVE-2019-14287 0 0 1 0 387268698767094378 +github:437056774 2021-12-17 2026-05-06 f https://github.com/KosmX/CVE-2021-44228-example vulnerability POC CVE-2021-44228 2 7 1 7 8302224554072490952 +github:1112980178 2025-12-11 2025-12-11 f https://github.com/ysfcndgr/React2Shell-CVE-2025-55182-Advanced-Scanner CVE-2025-55182 0 0 0 0 67001556496202713 +github:1106874289 2025-11-30 2025-11-30 f https://github.com/0xnemian/CVE-2021-23394 Docker container to setup a vulnerable elfinder version on both nginx and apache servers. Can be used to test vulnerability POC CVE-2021-23394 0 0 0 0 7918048074191549136 +github:1048875056 2025-09-02 2026-03-19 f https://github.com/dhruvik-git/CVE-2024-45590 Exploit for CVE-2024-45590 CVE-2024-45590 0 1 0 1 8370612960124692350 +github:960879939 2025-04-05 2025-08-08 f https://github.com/AsaL1n/CVE-2025-24813 simple exp for CVE-2025-24813 CVE-2025-24813 0 4 1 4 7363981567320411285 +github:273768106 2021-02-13 2021-02-13 f https://github.com/cdedmondson/Modified-CVE-2019-15107 CVE-2019-15107 0 0 1 0 6943120084719037753 +github:732097888 2026-07-05 2026-07-05 f https://github.com/K3ysTr0K3R/CVE-2023-32315-EXPLOIT A PoC exploit for CVE-2023-32315 - Openfire Authentication Bypass CVE-2023-32315 6 14 1 14 6379610701503273268 +github:596224234 2023-02-02 2024-06-26 f https://github.com/motikan2010/CVE-2023-23924 CVE-2023-23924 (Dompdf - RCE) PoC CVE-2023-23924 2 9 1 9 5958855107796804921 +github:827940099 2025-10-14 2025-10-14 f https://github.com/rxerium/CVE-2024-39929 Detection method for Exim vulnerability CVE-2024-39929 CVE-2024-39929 0 3 1 3 3714277266585326472 +github:1113991214 2025-12-10 2026-01-04 f https://github.com/Saad-Ayady/react2shellNSE nmap script to scan react2shell (CVE-2025-55182 and CVE-2025-66478) Vulnerability CVE-2025-55182 0 1 0 1 5138728163472063308 +github:585137919 2023-01-04 2023-01-04 f https://github.com/ajith737/Dirty-Pipe-CVE-2022-0847-POCs CVE-2022-0847 3 0 1 0 4767850167611223138 +github:964605404 2025-04-11 2025-04-11 f https://github.com/VoyagerOnne/Exim-CVE-2019-10149 PoC for exploitation of vulnerability CVE-2019-10149 CVE-2019-10149 0 0 1 0 4807786089278789086 +github:1298480816 2026-07-12 2026-07-12 f https://github.com/ozcanpng/CVE-2023-34468 CVE-2023-34468 Apache NiFi ExecuteSQL H2 RUNSCRIPT RCE PoC CVE-2023-34468 0 0 0 0 6370489939775227713 +github:899001660 2024-12-05 2024-12-06 f https://github.com/Pr1or95/CVE-2023-4220-exploit Carga de archivos sin restricciones en la funcionalidad de carga de archivos grandes en `/main/inc/lib/javascript/bigupload/inc/bigUpload.php` en Chamilo LMS en versiones <= 1.11.24 permite a atacantes no autenticados realizar ataques de Cross Site Scripting almacenados y obtener código remoto ejecución mediante la carga de web shell. CVE-2023-4220 0 1 1 1 5144667252200883762 +github:1094250701 2025-11-15 2026-01-09 f https://github.com/rimbadirgantara/CVE-2024-51378 Exploit cyberpanel version 2.3.6 - 2.3.7 CVE-2024-51378 0 0 0 0 1608344536284228271 +github:1242306496 2026-05-18 2026-05-18 f https://github.com/34zY/CVE-2025-14177 PHP getimagesize() CVE-2025-14177 - Heap Memory Leak Exploit Generator Fully functional exploit chain in Python CVE-2025-14177 0 0 0 0 2108253766851928961 +github:1115581004 2025-12-13 2025-12-13 f https://github.com/Saboor-Hakimi-23/CVE-2025-65964 CVE-2025-65964 0 0 0 0 2004963202184944992 +github:265647598 2020-05-20 2020-05-20 f https://github.com/darthvader-htb/CVE-2018-6574 CVE-2018-6574 CVE-2018-6574 0 0 1 0 2015984727335021420 +github:817530776 2024-06-20 2024-06-20 f https://github.com/MalekAlthubiany/CVE-2021-43798 CVE-2021-43798 0 0 1 0 2363010332382360805 +github:1039584672 2025-08-17 2025-08-17 f https://github.com/shoucheng3/ESAPI__esapi-java-legacy_CVE-2022-24891_2-2-3-1 CVE-2022-24891 0 0 0 0 465712635622156481 +github:519186045 2022-07-29 2026-05-23 f https://github.com/ESUAdmin/CVE-2022-2185 wo ee cve-2022-2185 gitlab authenticated rce CVE-2022-2185 13 78 1 78 559043146304641943 +github:767118935 2024-03-05 2025-01-25 f https://github.com/Trackflaw/CVE-2024-1071-Docker CVE-2024-1071 with Docker CVE-2024-1071 2 3 1 3 1274838188685518762 +github:1115917419 2025-12-14 2025-12-15 f https://github.com/grejh0t/CVE-2025-55182 CVE-2025-55182 0 0 0 0 5436137144487561177 +github:661387078 2023-07-02 2023-07-02 f https://github.com/bhavikmalhotra/CVE-2022-44268-Exploit Expoit for CVE-2022-44268 CVE-2022-44268 1 1 1 1 7849267451796933879 +github:567740887 2022-11-19 2025-05-15 f https://github.com/Mr-xn/CVE-2022-40127 Apache Airflow < 2.4.0 DAG example_bash_operator RCE POC CVE-2022-40127 6 41 1 41 7810681973304853953 +github:1116951063 2025-12-15 2025-12-15 f https://github.com/o0wo0o/CVE-2025-24893_Shell CVE-2025-24893 0 0 0 0 2670454773277938070 +github:1013973489 2026-02-17 2026-02-17 f https://github.com/0p5cur/CVE-2025-32463-POC 🛡️ Proof of Concept (PoC) for CVE-2025-32463 — Local privilege escalation in sudo (versions 1.9.14 to 1.9.17). This exploit abuses the --chroot option and a malicious nsswitch.conf to execute arbitrary code as root. ⚠️ For educational and authorized testing only. CVE-2025-32463 0 1 0 1 3686042476510819312 +github:418310369 2021-10-18 2026-07-10 f https://github.com/xiaojiangxl/CVE-2021-40438 CVE-2021-40438 2 5 1 5 5351980459216133645 +github:1160709941 2026-02-18 2026-02-18 f https://github.com/bgutowski/CVE-2025-4517-POC-Sudoers Exploit for CVE-2024-6232 - Python Tarfile Realpath Overflow CVE-2024-6232 0 0 0 0 5201875406632280860 +github:126385112 2018-03-23 2026-07-29 f https://github.com/bgeesaman/subpath-exploit Writeup of CVE-2017-1002101 with sample "exploit"/escape CVE-2017-1002101 2 34 2 34 8385995585880180752 +github:462124353 2022-02-22 2022-02-22 f https://github.com/TheJoyOfHacking/SecuraBV-CVE-2020-1472 CVE-2020-1472 0 0 1 0 3158529189326983965 +github:1301534824 2026-07-15 2026-07-15 f https://github.com/0xrogg/CVE-2021-41773 The GREENDARK hospital infrastructure was configured by Dr. Gusto Rogue prior to his termination. No further details are provided. CVE-2021-41773 0 0 0 0 7604372208733629863 +github:954769467 2025-05-16 2025-05-16 f https://github.com/0xcucumbersalad/cve-2025-29927 CVE-2025-29927 1 0 1 0 3089341395344157222 +github:1208226530 2026-04-14 2026-06-14 f https://github.com/CVETeam/FlowiseAI-Critical-KillChain Critical unauthenticated kill chain leading to full RCE in FlowiseAI (CVE-2025-58434 + CVE-2025-59528) CVE-2025-58434 0 1 0 1 3938375669494378073 +github:1107316451 2025-12-01 2025-12-11 f https://github.com/Kairo-one/CVE-2020-26217-XStream CVE-2020-26217 XStream反序列化的poc CVE-2020-26217 0 2 0 2 6247132475764120231 +github:886209908 2024-11-10 2024-11-10 f https://github.com/AhmedMansour93/-Unveiling-the-Lessons-from-Log4Shell-A-Wake-Up-Call-for-Cybersecurity- In December 2021, the world of cybersecurity was shaken by the discovery of the Log4Shell vulnerability (CVE-2021-44228), embedded within the widely-used Apache Log4j library. With a CVSS score of 10 CVE-2021-44228 0 0 1 0 8097621239780492851 +github:799502114 2024-05-12 2026-07-19 f https://github.com/Voorivex/CVE-2024-34351 CVE-2024-34351 4 10 1 10 1962267337915302279 +github:887656070 2024-12-29 2024-12-29 f https://github.com/riftsandroses/CVE-2024-50986 An issue in Clementine v.1.3.1 allows a local attacker to execute arbitrary code via a crafted DLL file (DLL Hijacking) CVE-2024-50986 0 0 1 0 3354909248421836226 +github:1249017483 2026-05-25 2026-05-25 f https://github.com/learner202649/CVE-2026-47101-PoC The code for personally reproducing the corresponding vulnerability CVE-2026-47101 0 0 0 0 6084901972615983571 +github:879407389 2025-02-02 2026-05-29 f https://github.com/0xDTC/Pluck-CMS-v4.7.18-Remote-Code-Execution-CVE-2023-50564 Refurbish exploit in bash CVE-2023-50564 0 1 1 1 5913972608254652936 +github:1064147378 2025-09-25 2025-09-25 f https://github.com/WebSafety-2tina/CVE-2025-49132 CVE-2025-49132 CVE-2025-49132 0 0 0 0 7288605766877967626 +github:1004317150 2025-06-29 2025-06-29 f https://github.com/h4ckt0m/CVE-2018-25031-test CVE-2018-25031 0 0 0 0 1059016388136537683 +github:1163605669 2026-02-21 2026-02-21 f https://github.com/4nuxd/CVE-2025-49132 The flaw allows an attacker to execute arbitrary system commands on the server hosting the Pterodactyl Panel without any prior authentication. CVE-2025-49132 0 0 0 0 7451185702551021195 +github:710352369 2023-10-26 2023-10-26 f https://github.com/katseyres2/CVE-2021-43798 CVE-2021-43798 0 0 1 0 8803430673792597243 +github:295410608 2020-11-07 2023-11-20 f https://github.com/ludy-dev/PHPUnit_eval-stdin_RCE (CVE-2017-9841) PHPUnit_eval-stdin_php Remote Code Execution CVE-2017-9841 0 6 1 6 8788373576508989116 +github:289633451 2021-03-02 2023-07-24 f https://github.com/lb0x/cve-2020-24572 CVE-2020-24572 1 4 1 4 7278306843524853034 +github:302635416 2025-09-25 2025-11-28 f https://github.com/venomnis/CVE-2020-5248 Proof of Concept (PoC) for CVE-2020-5248. CVE-2020-5248 0 6 0 6 960107479963951194 +github:909197043 2024-12-28 2025-05-27 f https://github.com/TuanCui22/ZerologonWithImpacket-CVE2020-1472 A practical proof-of-concept for CVE-2020-1472 (Zerologon) using the Impacket library to exploit Netlogon vulnerability and perform unauthorized domain controller access. CVE-2020-1472 1 0 1 0 9134077983873979797 +github:525091869 2023-04-23 2023-04-11 f https://github.com/Ly0nt4r/CVE-2020-9496 ApacheOfBiz 17.12.01 - Unauthorized Remote Code Executión CVE-2020-9496 0 2 1 2 1374565440134238130 +github:437108119 2021-12-11 2021-12-11 f https://github.com/izzyacademy/log4shell-mitigation Mitigation for Log4Shell Security Vulnerability CVE-2021-44228 CVE-2021-44228 1 0 1 0 7629278968352461685 +github:497041610 2022-05-27 2022-05-27 f https://github.com/jftierno/CVE-2018-6574-2 CVE-2018-6574 0 0 1 0 1603765210231373450 +github:339947921 2021-12-14 2026-04-03 f https://github.com/zhzyker/CVE-2021-3129 Laravel <= v8.4.2 debug mode: Remote code execution (CVE-2021-3129) CVE-2021-3129 55 163 1 163 1320265337294335334 +github:1123368189 2025-12-26 2025-12-26 f https://github.com/0xROI/CVE-2025-55182 Exploitation script for CVE-2025-55182. This is modified only for my personal use. If you are facing any problem fix it yourself. CVE-2025-55182 0 0 0 0 6233680299078727418 +github:1208701312 2026-04-28 2026-05-22 f https://github.com/jwsly12/CVE-2025-58434-59528-htb-ctf Exploitation Silentium HTB-CTF CVE-2025-58434 0 2 0 2 5498940640655516913 +github:265059711 2021-10-18 2026-06-01 f https://github.com/RandomRobbieBF/phpunit-brute Tool to try multiple paths for PHPunit RCE CVE-2017-9841 CVE-2017-9841 19 30 2 30 878177500966917736 +github:1100915198 2025-11-20 2025-11-20 f https://github.com/alnashawatirohwederb2167-max/cve-2025-12735-expr-eval-rce Security research tool for detecting and testing CVE-2025-12735 (expr-eval RCE vulnerability) CVE-2025-12735 0 0 0 0 6139164022769191751 +github:1157501937 2026-07-20 2026-07-20 f https://github.com/JM00NJ/CVE-2025-6019-udisks2-XFS-Resize-TOCTOU-Privilege-Escalation CVE-2025-6019: udisks2 XFS Resize TOCTOU Privilege Escalation CVE-2025-6019 1 2 1 2 5007880926149594805 +github:191952969 2019-06-14 2024-08-12 f https://github.com/aishee/CVE-2019-10149-quick Simple Bash shell quick fix CVE-2019-10149 CVE-2019-10149 2 1 0 1 6364585654985247255 +github:626802613 2023-04-12 2023-04-12 f https://github.com/khuntor/CVE-2021-43858-MinIO CVE-2021-43858 0 0 1 0 376368551406428519 +github:950489314 2025-03-18 2026-06-25 f https://github.com/msadeghkarimi/CVE-2025-24813-Exploit Apache Tomcat Remote Code Execution (RCE) Exploit - CVE-2025-24813 CVE-2025-24813 1 6 1 6 9199174552442333767 +github:1229043473 2026-05-31 2026-05-31 f https://github.com/nedlir/dasel-hardened-container Hardened dasel v3.3.1 package and image built via Melange and apko. Patching CVE-2026-33320. CVE-2026-33320 0 0 0 0 6190907249918121820 +github:1277760404 2026-06-24 2026-06-24 f https://github.com/fuchiuebusi-lab/nginx-ui-CVE-2026-42221-CVE-2026-42238- CVE-2026-42221 0 0 0 0 530133111482286103 +github:963355993 2025-04-09 2025-04-09 f https://github.com/l1uk/nextjs-middleware-exploit Research on Next.js middleware vulnerability (CVE-2025-29927) allowing authorization bypass and potential exploits. CVE-2025-29927 0 0 1 0 3283636224318976496 +github:946324895 2025-03-11 2025-03-11 f https://github.com/oussama-binike/cve-2023-37635 CVE-2023-37635 0 0 1 0 97082503720771221 +github:787174802 2024-04-16 2024-04-16 f https://github.com/thinkliving2020/CVE-2023-51385- CVE-2023-51385 CVE-2023-51385 0 0 1 0 569755159055941173 +github:1110830069 2025-12-23 2025-12-25 f https://github.com/GarethMSheldon/React2Shell-CVE-2025-55182-Detector CVE-2025-55182 0 1 0 1 4226957605275082239 +github:239981818 2020-02-06 2020-02-12 f https://github.com/CrackerCat/CurveballCertTool PoC for CVE-2020-0601 vulnerability (Code Signing) CVE-2020-0601 2 0 0 0 3027299208485918989 +github:1106650763 2025-11-29 2025-11-29 f https://github.com/opsifiz/CVE-2018-10933 CVE-2018-10933 - LibSSH - Authentication Bypass CVE-2018-10933 0 0 0 0 632777022684949577 +github:141165293 2018-07-17 2026-05-12 f https://github.com/ambionics/prestashop-exploits Collection of exploits/POC for PrestaShop cookie vulnerabilities (CVE-2018-13784) CVE-2018-13784 10 49 5 49 3963865314581502021 +github:480373364 2022-04-11 2024-08-12 f https://github.com/Loneyers/Spring4Shell Spring4Shell , Spring Framework RCE (CVE-2022-22965) , Burpsuite Plugin CVE-2022-22965 5 4 1 4 6210817864072149736 +github:801030972 2024-05-15 2025-12-07 f https://github.com/Stuub/CVE-2024-29895-CactiRCE-PoC CVE-2024-29895 PoC - Exploiting remote command execution in Cacti servers using the 1.3.X DEV branch builds CVE-2024-29895 1 23 1 23 4858592943245789961 +github:326501568 2021-01-03 2022-07-02 f https://github.com/Eremiel/CVE-2018-0114 python2.7 script for JWT generation CVE-2018-0114 1 2 2 2 7131996164280816460 +github:825467646 2026-01-30 2026-01-30 f https://github.com/T0X1Cx/CVE-2024-34361-Pi-Hole-SSRF-to-RCE This repository contains an exploit for CVE-2024-34361, a critical Pi-hole vulnerability (CVSS 8.6). It uses SSRF to achieve RCE by exploiting improper URL validation, allowing attackers to send arbitrary requests and execute commands on the system. Disclaimer: For educational and ethical security testing only. Unauthorized use is illegal. CVE-2024-34361 0 1 1 1 560929209186370948 +github:1112217325 2025-12-15 2026-04-25 f https://github.com/Security-Phoenix-demo/react2shell-scanner-CVE-2025-55182 React2shell-web-scanner CVE-2025-55182 0 2 0 2 1528753465296884527 +github:487055738 2022-04-29 2026-07-18 f https://github.com/Swammers8/SubrionCMS-4.2.1-File-upload-RCE-auth- This is an edited version of the CVE-2018-19422 exploit to fix an small but annoying issue I had. CVE-2018-19422 1 8 1 8 4954690771303030171 +github:184705705 2021-06-26 2026-06-25 f https://github.com/hash3liZer/CVE-2019-9978 CVE-2019-9978 - (PoC) RCE in Social WarFare Plugin (<=3.5.2) CVE-2019-9978 8 22 0 22 937092598309369187 +github:358308476 2021-04-15 2024-08-12 f https://github.com/somatrasss/CVE-2021-21402 本项目涉及到的仅为安全研究和授权情况下使用，其使用人员有责任和义务遵守当地法律条规。 CVE-2021-21402 1 0 1 0 7690015155728690202 +github:1115946456 2025-12-13 2026-05-03 f https://github.com/hidden-investigations/react2shell-vulnlab A modern Next.js vulnerable web app themed as a news / blog portal for CVE-2025-55182 (React) and CVE-2025-66478 (Next.js) to learn, detect, and safely exercise React2Shell. Runs unpatched React 19.0.0 and Next.js 15.0.3. CVE-2025-55182 0 3 0 3 7190379879569552401 +github:1121695008 2025-12-23 2025-12-23 f https://github.com/ali-py3/Exploit-CVE-2025-68613 CVE-2025-68613 0 0 0 0 4645195380058105016 +github:146094544 2018-08-25 2025-11-18 f https://github.com/knqyf263/CVE-2018-11776 Environment for CVE-2018-11776 / S2-057 (Apache Struts 2) CVE-2018-11776 3 4 0 4 9082908254870891929 +github:548959911 2022-10-10 2025-02-22 f https://github.com/segfault-it/cve-2022-41352 cve-2022-41352 poc CVE-2022-41352 1 8 1 8 3828690569739385611 +github:952168108 2025-03-20 2026-04-13 f https://github.com/killercd/CVE-2023-45878 CVE-2023-45878 GibbonEdu Arbitrary File Write CVE-2023-45878 0 3 1 3 2073265981368959083 +github:176290079 2019-03-18 2024-08-12 f https://github.com/xConsoIe/CVE-2019-0193 CVE-2019-0193 4 7 1 7 9092974408350915621 +github:464522849 2022-02-28 2022-02-28 f https://github.com/readloud/CVE-2017-5638 This script is intended to validate Apache Struts 2 vulnerability (CVE-2017-5638), AKA Struts-Shock. CVE-2017-5638 1 0 0 0 2430042494325018685 +github:995296012 2025-06-06 2026-02-05 f https://github.com/valeriot30/cve-2024-3094 A XZ backdoor vulnerability explained in details CVE-2024-3094 1 1 0 1 6578559632685202836 +github:1257791536 2026-06-08 2026-06-08 f https://github.com/jf-gondim/mcp-pwn PoC exploit for CVE-2026-23744 — unauthenticated RCE in MCPJam Inspector via unvalidated serverConfig command injection on /api/mcp/connect, enabling reverse shell as process owner without credentials. CVE-2026-23744 0 0 0 0 7595217906371467254 +github:620455544 2023-03-28 2023-03-28 f https://github.com/mha98/CVE-2022-45003 CVE-2022-45003 0 0 1 0 624534388661997861 +github:1109770096 2025-12-04 2025-12-04 f https://github.com/dissy123/cve-2025-55182 CVE-2025-55182 0 0 0 0 3626047394079857482 +github:436973468 2021-12-10 2026-05-23 f https://github.com/zlepper/CVE-2021-44228-Test-Server A small server for verifing if a given java program is succeptibel to CVE-2021-44228 CVE-2021-44228 0 3 1 3 1910479539943215288 +github:437860177 2021-12-13 2022-10-04 f https://github.com/1hakusai1/log4j-rce-CVE-2021-44228 log4j2 CVE-2021-44228 POC CVE-2021-44228 0 0 1 0 5932734291566718855 +github:1026874879 2025-08-05 2025-08-05 f https://github.com/jkobierczynski/cve-2022-44268 CVE-2022-44268 0 0 0 0 4988746725297421016 +github:1220092993 2026-04-24 2026-04-24 f https://github.com/AbokorMAHAMMADMOUSSE/CVE-2025-25279-Mattermost-Path-Traversal CVE-2025-25279 0 0 0 0 7483026732278096050 +github:1111639846 2025-12-07 2025-12-07 f https://github.com/zxz3650/CVE-2025-55182-POC CVE-2025-55182-POC CVE-2025-55182 1 0 0 0 1687492508207858486 +github:803353937 2024-05-20 2025-11-21 f https://github.com/skilfoy/CVE-2024-4323-Exploit-POC This proof-of-concept script demonstrates how to exploit CVE-2024-4323, a memory corruption vulnerability in Fluent Bit, enabling remote code execution. CVE-2024-4323 4 15 1 15 403525658488891177 +github:442217104 2023-07-25 2022-01-04 f https://github.com/s-retlaw/l4s_poc Log4Shell (Cve-2021-44228) Proof Of Concept CVE-2021-44228 0 0 2 0 478503256125950858 +github:1244586606 2026-05-20 2026-05-20 f https://github.com/get-xor/coreweave-demo-2026-05 Verified vulnerability journey for CVE-2025-8110 (Gogs) and CVE-2025-3248 (Langflow) — risk triage, exploitability verification, verified patches. CVE-2025-8110 0 0 0 0 8421869817686403819 +github:1288866193 2026-07-04 2026-07-04 f https://github.com/ThemeHackers/CVE-2026-34038 CVE-2026-34038: Authenticated Remote Command Injection in Coolify CVE-2026-34038 0 1 0 1 6105007970022256873 +github:1017756066 2025-07-15 2025-07-11 f https://github.com/cuijiung/xstream-CVE-2020-26258 CVE-2020-26258 0 0 0 0 8062685452007500904 +github:577393656 2022-12-16 2022-12-12 f https://github.com/devengpk/CVE-2022-22965 CVE-2022-22965 1 0 1 0 7454606439721392345 +github:1006244578 2025-06-21 2025-06-21 f https://github.com/Dermot-lab/TryHack CVE-2024-3094 CVE-2024-3094 0 0 0 0 6300297862441005558 +github:1302005096 2026-07-15 2026-07-19 f https://github.com/m0n3ef/regreSSHion-Checker A lightweight, fast tool to scan and detect the "regreSSHion" OpenSSH remote code execution vulnerability (CVE-2024-6387). CVE-2024-6387 0 3 0 3 7936401493754787020 +github:1130338445 2026-01-05 2026-01-08 f https://github.com/im-hanzou/mongobleed CVE-2025-14847 PoC exploit for MongoDB heap memory disclosure CVE-2025-14847 0 0 0 0 4116654708247586648 +github:156363089 2018-11-06 2025-02-27 f https://github.com/jm33-m0/CVE-2018-7750 an RCE (remote command execution) approach of CVE-2018-7750 CVE-2018-7750 8 21 2 21 3347401230909219393 +github:325637056 2021-01-04 2024-11-20 f https://github.com/Marmeus/CVE-2020-15999 Todos los materiales necesarios para la PoC en Chrome y ftview CVE-2020-15999 1 2 1 2 7226627642841244535 +github:1236873353 2026-05-12 2026-05-26 f https://github.com/SpeatX/ChamiloLMS-CVE-2023-4220 CVE-2023-4220 — Unauthenticated file upload RCE in Chamilo LMS ≤ 1.11.24. OSCP-style and auto exploit. CVE-2023-4220 0 0 0 0 4632674717277659402 +github:523702714 2025-01-31 2026-07-29 f https://github.com/p0dalirius/CVE-2022-36446-Webmin-Software-Package-Updates-RCE A Python script to exploit CVE-2022-36446 Software Package Updates RCE (Authenticated) on Webmin < 1.997. CVE-2022-36446 32 116 1 116 6984050017014244444 +github:1112766753 2025-12-09 2025-12-09 f https://github.com/ancs21/react2shell-scanner-rust Detect CVE-2025-55182 & CVE-2025-66478 in Next.js/RSC applications (Rust) CVE-2025-55182 0 1 0 1 7585753045920109035 +github:1250793133 2026-05-31 2026-05-31 f https://github.com/joaoaugustom/Drupal_REST-RCE_Unauthenticated This exploit is based on CVE-2019-6340 and was built upon the original exploit by leonjza and the Metasploit module, extending it can be executed multiple times against the same target without waiting for cache expiration. CVE-2019-6340 0 0 0 0 2410768672261218077 +github:1039401080 2025-11-20 2025-08-17 f https://github.com/shoucheng3/nahsra__antisamy_CVE-2022-29577_1-6-6-1 CVE-2022-29577 0 0 0 0 1984810224648301628 +github:967722470 2026-01-28 2025-05-07 f https://github.com/enochgitgamefied/NextJS-CVE-2025-29927 CVE-2025-29927 0 0 1 0 1373402389106254287 +github:460891453 2022-02-19 2024-10-01 f https://github.com/1mxml/CVE-2022-23131 CVE-2022-23131 0 3 1 3 6608032115669113174 +github:502141677 2022-12-11 2022-12-08 f https://github.com/IbrahimEkimIsik/CVE-2022-31403 CVE-2022-31403 1 0 1 0 251554047366316034 +github:1032048071 2025-09-26 2025-09-26 f https://github.com/M-Abid34/CVE-2018-7600 For Home Lab and Educational Purpose only not intended for any Harmful intenstions purely for educational purpose CVE-2018-7600 0 0 0 0 1549457894985508291 +github:1287012787 2026-07-02 2026-07-07 f https://github.com/c0gnit00/CVE-2026-33017 Python POC, Exploit for CVE-2026-33017 CVE-2026-33017 0 2 0 2 666068667653753754 +github:537484841 2022-09-28 2022-09-28 f https://github.com/whitej3rry/CVE-2022-40916 CVE-2022-40916 1 0 1 0 5125843835405508343 +github:584002684 2022-12-31 2023-02-03 f https://github.com/MaherAzzouzi/CVE-2022-47952 LXC Information Disclosure vulnerability. CVE-2022-47952 1 0 1 0 4803670670614231943 +github:632617123 2023-11-01 2023-04-25 f https://github.com/brainkok/CVE-2023-25292 Reflected Cross Site Scripting (XSS) in Intermesh BV Group-Office version 6.6.145, allows attackers to gain escalated privileges and gain sensitive information via the GO_LANGUAGE cookie CVE-2023-25292 0 0 1 0 5375200361915414542 +github:1256770133 2026-06-02 2026-06-02 f https://github.com/m2sousa/CVE-2026-23744 CVE-2026-23744 Proof-of-concept. CVE-2026-23744 0 0 0 0 8987416887308034828 +github:1111975134 2026-06-26 2026-06-26 f https://github.com/theman001/CVE-2025-55182 CVE-2025-55182 React RCE Test Program CVE-2025-55182 0 2 0 2 7537491485253788055 +github:1285885711 2026-07-01 2026-07-20 f https://github.com/aratane/CVE-2026-42945 A flaw was found in NGINX, specifically within the ngx_http_rewrite_module. An unauthenticated attacker can exploit this vulnerability by sending crafted HTTP requests under specific rewrite configurations. This can lead to a heap buffer overflow in the NGINX worker process, which may result in arbitrary code execution CVE-2026-42945 0 1 0 1 4753277974967131208 +github:158891873 2019-03-26 2019-03-26 f https://github.com/jcjjaidigital/CVE-2018-0202 Security & Privacy in Computing(Fall 2018), Final Group Project at JHUISI, clamscan vulnerability in Cisco's ClamAV 0.99.3 CVE-2018-0202 0 1 3 1 2273787170529221248 +github:1107251420 2025-11-30 2025-11-30 f https://github.com/imohammed28/cve-2024-10220-test Testing CVE-2024-10220 for HPC security research CVE-2024-10220 0 0 0 0 6273346142927080998 +github:813723501 2024-06-11 2025-12-01 f https://github.com/LeadroyaL/CVE-2024-37051-EXP CVE-2024-37051 poc and exploit CVE-2024-37051 5 29 1 29 6301124454189938363 +github:463915095 2022-02-26 2022-02-26 f https://github.com/hamm0nz/CVE-2020-18325 Exploit PoC for CVE-2020-18325 CVE-2020-18325 0 0 1 0 9052567314550850029 +github:464439372 2022-03-31 2025-11-30 f https://github.com/kh4sh3i/CVE-2022-23131 Zabbix - SAML SSO Authentication Bypass CVE-2022-23131 6 15 1 15 817968390281357348 +github:851015122 2024-09-02 2024-09-02 f https://github.com/FlojBoj/CVE-2022-44268 ImageMagick 7.1.0-49 vulnerable to Information Disclosure CVE-2022-44268 0 0 1 0 1179584544056529255 +github:898427651 2024-12-05 2024-12-05 f https://github.com/Pablodiz/CVE-2023-50387 CVE-2023-50387 0 0 1 0 2830011523034287952 +github:1237828341 2026-05-13 2026-05-13 f https://github.com/emresandikci/nextjs-cve-2026-23870-checker Checker and fixer for all 13 vulnerabilities in the Next.js May 2026 security release (CVE-2026-23870) CVE-2026-23870 0 0 0 0 430950949396659328 +github:789441464 2024-04-20 2024-04-20 f https://github.com/faiqu3/cve-2018-6574 CVE-2018-6574 0 0 1 0 9099030638001075213 +github:625670330 2023-04-10 2023-04-09 f https://github.com/h0ng10/CVE-2023-28432_docker Test environments for CVE-2023-28432, information disclosure in MinIO clusters CVE-2023-28432 0 0 1 0 2620871885152034308 +github:1244270206 2026-05-21 2026-05-20 f https://github.com/dannyEndorTest/gin-vulnerable Demo consumer for gin v1.7.0 (CVE-2023-29401) — Context.FileAttachment with user input. endorctl scan target. CVE-2023-29401 0 0 0 0 8687567429929277904 +github:1301243832 2026-07-15 2026-07-15 f https://github.com/Cosm3No1de/HTB-Snapped-Writeup Writeup de la máquina Snapped (Hard) de Hack The Box. Foothold: CVE-2026-27944 — Nginx UI unauthenticated backup disclosure Privilege Escalation: CVE-2026-3888 — snapd race condition LPE Técnicas: subdomain enumeration, AES decryption, bcrypt cracking, namespace manipulation, dynamic linker hijacking. CVE-2026-27944 0 0 0 0 1335963828787379671 +github:329840409 2021-01-21 2023-01-28 f https://github.com/progfay/CVE-2020-8165 PoC for CVE-2020-8165 CVE-2020-8165 0 0 0 0 7044461068876103090 +github:1051628202 2025-09-06 2025-09-06 f https://github.com/shoucheng3/ff4j__ff4j_CVE-2022-44262_1_8_13_fixed CVE-2022-44262 0 0 0 0 2228958399037336185 +github:976337212 2025-05-25 2025-05-25 f https://github.com/SkyW4r33x/CVE-2023-4226 Vulnerabilidad de carga de archivos sin restricciones en **Chamilo LMS** (<= v1.11.24). CVE-2023-4226 0 1 1 1 8625543410225459524 +github:1041391503 2025-08-20 2025-08-20 f https://github.com/shoucheng3/apache__shiro_CVE-2023-46749_1-12-0 CVE-2023-46749 0 0 0 0 8856168450153030688 +github:802139060 2024-05-17 2024-05-17 f https://github.com/markuta/hooky A submodule for exploiting CVE-2024-32002 vulnerability. CVE-2024-32002 1 0 1 0 1805474965471478749 +github:822788426 2026-05-29 2026-07-21 f https://github.com/xaitax/CVE-2024-6387_Check CVE-2024-6387_Check is a lightweight, efficient tool designed to identify servers running vulnerable versions of OpenSSH CVE-2024-6387 100 526 6 526 1492118963404010746 +github:579889417 2022-12-19 2023-07-10 f https://github.com/SpiralBL0CK/CVE-2016-2338-nday CVE-2016-2338 Use-after-free nday full exploit CVE-2016-2338 1 0 1 0 3236379643007375012 +github:875183000 2024-10-19 2024-10-19 f https://github.com/paragbagul111/CVE-2024-48652 Cross Site Scripting vulnerability in camaleon-cms v.2.7.5 allows remote attacker to execute arbitrary code via the content group name field CVE-2024-48652 0 0 1 0 3133365795790580625 +github:1016848432 2025-07-09 2025-07-09 f https://github.com/liamg/CVE-2025-48384-submodule CVE-2025-48384 5 0 0 0 6741603588510920789 +github:1197273201 2026-04-01 2026-04-23 f https://github.com/drkim-dev/CVE-2025-62429 CVE-2025-62429 | clipbucket RCE CVE-2025-62429 1 1 0 1 1877386616183247627 +github:423305286 2021-10-31 2021-11-01 f https://github.com/Jeromeyoung/CVE-2021-22210 CVE-2021-22205未授权漏洞批量检测 CVE-2021-22210 5 0 0 0 5693860365260409860 +github:1250960051 2026-05-27 2026-05-27 f https://github.com/lottiedeyan/CVE20265172poc CVE-2026-5172: buffer overflow in extract_addresses() on crafted resource record PoC CVE-2026-5172 0 0 0 0 2261316555355796976 +github:80442312 2017-01-26 2017-01-30 f https://github.com/olivierh59500/CVE-2017-3730 OpenSSL CVE-2017-3730 proof-of-concept CVE-2017-3730 5 0 1 0 5629235343970370410 +github:333199828 2021-01-26 2025-02-19 f https://github.com/mr-r3b00t/CVE-2021-3156 CVE-2021-3156 31 35 8 35 446363988059740006 +github:433314465 2021-11-30 2021-12-03 f https://github.com/pisut4152/Sigma-Rule-for-CVE-2021-40438-exploitation-attempt Sigma-Rule-for-CVE-2021-40438-Attack-Attemp CVE-2021-40438 0 1 1 1 840186626491127079 +github:669143228 2023-08-03 2024-06-06 f https://github.com/jakabakos/CVE-2022-40127-Airflow-RCE CVE-2022-40127 PoC and exploit CVE-2022-40127 1 2 1 2 289017695866379536 +github:1124473999 2025-12-29 2025-12-29 f https://github.com/andrewd-cg/cve-2024-52005-poc Proof-of-Concept for CVE-2024-52005: ANSI escape sequence injection in Git. Demonstrates incorrect 'not_affected' VEX claims in hardened container images. CVE-2024-52005 0 0 0 0 2614138586672859781 +github:803580529 2024-05-21 2024-05-21 f https://github.com/h2oa/CVE-2018-25031 CVE-2018-25031 0 0 1 0 8690618126447419092 +github:1006057082 2025-06-21 2026-01-24 f https://github.com/mbanyamer/PX4-Military-UAV-Autopilot-1.12.3-Stack-Buffer-Overflow-Exploit-CVE-2025-5640- CVE-2025-5640 0 4 0 4 4297693409522277071 +github:981214599 2025-05-14 2025-05-14 f https://github.com/ndr-repo/CVE-2017-5487 PoC for CVE-2017-5487 - WordPress User Enumeration via REST CVE-2017-5487 0 0 1 0 3722281918667292299 +github:167006781 2019-02-21 2025-05-07 f https://github.com/JavanXD/Demo-Exploit-Jackson-RCE Exploiting CVE-2017-7525 demo project with Angular7 frontend and Spring. CVE-2017-7525 5 18 2 18 7263376584769030428 +github:781963666 2024-04-04 2024-04-04 f https://github.com/weltregie/liblzma-scan Scans liblzma from xu-utils for backdoor (CVE-2024-3094) CVE-2024-3094 0 0 1 0 8695906140285075649 +github:153770795 2018-10-20 2023-01-28 f https://github.com/k3v142/CVE-2018-12018 EPoD (Ethereum Packet of Death) CVE-2018-12018 1 6 1 6 2801943389409217580 +github:120477120 2018-02-06 2026-05-09 f https://github.com/safebuffer/CVE-2018-6389 CVE-2018-6389 Exploit In WordPress DoS CVE-2018-6389 36 82 3 82 3331238160144068220 +github:253711698 2020-04-07 2025-09-09 f https://github.com/zhzyker/CVE-2018-7600-Drupal-POC-EXP CVE-2018-7600 Drupal Drupalgeddon 2 远程代码执行漏洞利用脚本 CVE-2018-7600 2 8 1 8 2526279985316361210 +github:371425844 2021-05-27 2024-08-12 f https://github.com/dorkerdevil/CVE-2021-33564 Argument Injection in Dragonfly Ruby Gem exploit (backup) CVE-2021-33564 1 0 1 0 7684274592365714718 +github:101267457 2017-08-24 2017-08-24 f https://github.com/TamiiLambrado/Apache-Struts-CVE-2017-5638-RCE-Mass-Scanner CVE-2017-5638 0 0 0 0 1090275533865657686 +github:590734045 2022-12-29 2023-12-05 f https://github.com/Olafdaf/CVE-2022-40363 A buffer overflow in the component nfc_device_load_mifare_ul_data of Flipper Devices Inc., Flipper Zero before v0.65.2 allows attackers to cause a Denial of Service (DoS) via a crafted NFC file. CVE project by @Sn0wAlice CVE-2022-40363 0 5 0 5 9067055879389721895 +github:1029807236 2025-07-31 2025-08-28 f https://github.com/Madhav-Bhardwaj/CVE-2025-52289 CVE-2025-52289 0 1 0 1 6298802832838928006 +github:361584351 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32158 Exploiting a Reflected Cross-Site Scripting (XSS) attack to get a Command Injection through the Webmin's Upload and Download feature CVE-2021-32158 0 0 1 0 5431055254228204294 +github:1311200042 2026-07-24 2026-07-24 f https://github.com/indra-031/React2Shell-Exploit-CVE-2025-55182 React2Shell is a proof-of-concept exploit for CVE-2025-55182 affecting vulnerable React Server Components (RSC) implementations in Next.js CVE-2025-55182 0 1 0 1 289193539536843815 +github:1293785172 2026-07-09 2026-07-09 f https://github.com/jmg0929/CVE-2021-40346 WHS CVE-2021-40346 분석 CVE-2021-40346 0 0 0 0 1399103303368476085 +github:566904700 2023-01-19 2023-01-19 f https://github.com/mattlloyddavies/ps-lab-cve-2022-0847 Resources required for building Pluralsight CVE-2022-0847 lab CVE-2022-0847 2 1 1 1 9187508662450747278 +github:438406090 2021-12-15 2024-11-23 f https://github.com/ab0x90/CVE-2021-44228_PoC CVE-2021-44228 1 16 1 16 1503136098696313998 +github:780503272 2024-04-02 2026-01-14 f https://github.com/0xlane/xz-cve-2024-3094 XZ Backdoor Extract(Test on Ubuntu 23.10) CVE-2024-3094 4 17 1 17 2801929848663807032 +github:1117791691 2025-12-16 2025-12-16 f https://github.com/nulltrace1336/CVE-2025-55182-Metasploit-exploit-skeleton-real-flow- Quyida to‘liq LAB rejasi: demo-vulnerable app → Python PoC → Metasploit exploit skeleton CVE-2025-55182 0 0 0 0 6955342206516658696 +github:462019807 2022-09-20 2023-01-03 f https://github.com/hadrian3689/webmin_1.920 CVE-2019-15107 Webmin 1.920 RCE CVE-2019-15107 0 0 1 0 2273844511188271075 +github:900400961 2025-02-06 2025-02-06 f https://github.com/Xernary/CVE-2017-5638-POC Proof of concept of CVE-2017-5638 including the whole setup of the Apache vulnerable server CVE-2017-5638 0 0 1 0 2205423599590685760 +github:415290894 2021-10-09 2024-09-15 f https://github.com/5gstudent/cve-2021-41773-and-cve-2021-42013 cve-2021-41773 即 cve-2021-42013 批量检测脚本 CVE-2021-41773 2 2 1 2 2731078092020180387 +github:537011231 2022-09-15 2022-09-15 f https://github.com/mightysai1997/cve-2021-42013.get CVE-2021-42013 0 0 1 0 8101479949669033371 +github:871549647 2024-10-12 2026-07-02 f https://github.com/h4x0r-dz/CVE-2024-3656 Keycloak admin API allows low privilege users to use administrative functions CVE-2024-3656 10 31 1 31 5373251940089135016 +github:519575233 2022-08-30 2025-01-27 f https://github.com/UDPsycho/Moodle-CVE-2018-1042 Script to exploit CVE-2018-1042 in order to do internal port scans. CVE-2018-1042 0 2 1 2 1191847512257790131 +github:377461855 2021-06-16 2021-06-16 f https://github.com/repos13579/labCVE-2018-6574 CVE-2018-6574 0 0 1 0 7416389024134152002 +github:1192316658 2026-03-26 2026-03-27 f https://github.com/greydoubt/xz Security issues CVE-2025-31115: Threaded .xz decoder frees memory too early CVE-2024-47611: Argument injection on Windows CVE-2024-3094: liblzma backdoor CVE-2022-1271: xzgrep filename handling CVE-2020-22916: A bogus CVE CVE-2020-22916 1 1 0 1 1791103290115684081 +github:1053460474 2025-09-09 2025-09-09 f https://github.com/m4sk0ff/CVE-2018-11776 PoC Script for the CVE-2018-11776 vuln CVE-2018-11776 0 0 0 0 6940189056075654342 +github:605052737 2023-04-11 2024-11-26 f https://github.com/Sumitpathania03/LOG4J-CVE-2021-44228 CVE-2021-44228 0 0 1 0 8782434867469576937 +github:826432240 2024-07-10 2026-07-22 f https://github.com/filipi86/CVE-2024-6387-Vulnerability-Checker This Python script checks for the CVE-2024-6387 vulnerability in OpenSSH servers. It supports multiple IP addresses, URLs, CIDR ranges, and ports. The script can also read addresses from a file. CVE-2024-6387 18 102 2 102 2030323091636563158 +github:295078439 2020-09-13 2020-09-13 f https://github.com/kawkab101/cve-2018-6574 CVE-2018-6574 0 0 1 0 2167343739134822886 +github:714606214 2023-11-05 2026-02-27 f https://github.com/7h3h4ckv157/CVE-2023-37903 Exploit for CVE-2023-37903 CVE-2023-37903 1 9 1 9 603859172632235866 +github:1011990184 2025-07-16 2026-05-20 f https://github.com/Tea-On/CVE-2023-41425-RCE-WonderCMS-4.3.2 Automates creation and hosting of a JavaScript XSS payload to install a malicious theme module, triggering a reverse shell via Remote Code Execution in WonderCMS. This tool uses PentestMonkey's PHP reverse shell script as the payload CVE-2023-41425 0 8 0 8 3442118072039046585 +github:1111476454 2025-12-07 2025-12-07 f https://github.com/Qixinlee/CVE-2025-55182-Scanner Automated scanner for CVE-2025-55182: a critical RCE vulnerability in React Server Components and Next.js. CVE-2025-55182 0 1 0 1 3456652846565294909 +github:1100160946 2025-11-19 2025-11-19 f https://github.com/Loaxert/CVE-2018-15133-PoC CVE-2018-15133 0 0 0 0 6534327408570261248 +github:190417594 2019-06-06 2019-06-06 f https://github.com/799600966/CVE-2018-17456 CVE-2018-17456 0 0 0 0 8290923066630645293 +github:369849369 2021-06-01 2023-10-25 f https://github.com/pberba/CVE-2020-11978 PoC of how to exploit a RCE vulnerability of the example DAGs in Apache Airflow <1.10.11 CVE-2020-11978 3 8 1 8 7118634148122958600 +github:1041428210 2025-08-20 2025-08-20 f https://github.com/shoucheng3/spring-cloud__spring-cloud-config_CVE-2020-5405_2-1-6-RELEASE CVE-2020-5405 0 0 0 0 2786031631842228933 +github:1292703100 2026-07-08 2026-07-14 f https://github.com/WesWrench/CVE-2026-36214 Stored Cross-Site Scripting (XSS) in osTicket via Vulnerable Bootstrap Tooltip Component CVE-2026-36214 0 1 0 1 6269560844458103135 +github:689922616 2023-09-11 2023-09-11 f https://github.com/Trinadh465/openssl-1.1.1g_CVE-2022-0778 CVE-2022-0778 0 0 1 0 7566631567399751560 +github:1033493696 2025-08-06 2025-09-14 f https://github.com/C0deInBlack/CVE-2024-32019-poc Netdata ndsudo PoC CVE-2024-32019 0 0 0 0 4164328342105053157 +github:881591080 2024-11-01 2026-01-10 f https://github.com/ajayalf/CVE-2024-51567 CVE-2024-51567 is a Python PoC exploit targeting an RCE vulnerability in CyberPanel v2.3.6’s upgrademysqlstatus endpoint, bypassing CSRF protections. CVE-2024-51567 1 5 1 5 8632737486909214541 +github:1259965834 2026-06-05 2026-06-05 f https://github.com/tanvirahmedcs/CVE-2025-55182 react CVE-2025-55182 CVE-2025-55182 0 0 0 0 4484262630075452533 +github:1111516525 2025-12-07 2026-07-20 f https://github.com/LemonTeatw1/CVE-2025-55182-exploit This is CVE-2025-55182 exploit CVE-2025-55182 0 6 0 6 1374402563444263761 +github:804525927 2024-05-22 2024-05-22 f https://github.com/vincepsh/CVE-2024-32002-hook CVE-2024-32002-hook CVE-2024-32002 0 0 1 0 6094174729506151569 +github:295692158 2020-09-21 2020-10-05 f https://github.com/limerencee/cs4239-cve-2020-15873 Proof of Concept of CVE-2020-15873 - Blind SQL Injection in Librenms < v1.65.1 CVE-2020-15873 2 0 2 0 5120066848104874056 +github:1114240295 2025-12-11 2026-05-26 f https://github.com/mrmtwoj/React2Shell-CVE-2025-55182 Educational / research tool related to React / Next.js vulnerability CVE‑2025‑55182 (“React2Shell”). CVE-2025-55182 0 1 0 1 4013803028604467772 +github:1290406700 2026-07-06 2026-07-06 f https://github.com/shinthink/CVE-2026-9290 Pre-auth Local File Inclusion in WP User Manager <= 2.9.17 via path traversal in tab parameter (CVSS 7.5) CVE-2026-9290 0 0 0 0 7149340870014939514 +github:957386590 2025-03-31 2025-06-10 f https://github.com/lufeirider/IngressNightmare-PoC IngressNightmare-PoC： (CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, CVE-2025-1974) PoC ，One-click script 。 一键脚本 CVE-2025-1097 5 9 1 9 8630838697474357998 +github:414284449 2021-10-06 2024-08-12 f https://github.com/r00tVen0m/CVE-2021-41773 CVE-2021-41773 1 1 1 1 3458001867132101885 +github:90377429 2017-05-05 2026-05-03 f https://github.com/payatu/CVE-2017-5638 Apache Struts 2.0 RCE vulnerability - Allows an attacker to inject OS commands into a web application through the content-type header CVE-2017-5638 5 8 0 8 1616228095960580286 +github:1232718879 2026-05-08 2026-05-08 f https://github.com/si1ence90/Ghostcat-Tomcat-AJP-Exploit-Py3 A fully refactored, Python 3 compatible exploit script for Tomcat Ghostcat (CVE-2020-1938 / CNVD-2020-10487) AJP Local File Inclusion CVE-2020-1938 0 0 0 0 2211059403689873910 +github:437296454 2021-12-11 2022-01-25 f https://github.com/mkhazamipour/log4j-vulnerable-app-cve-2021-44228-terraform A Terraform to deploy vulnerable app and a JDNIExploit to work with CVE-2021-44228 CVE-2021-44228 1 2 1 2 1467937458485054148 +github:1031131967 2025-08-03 2025-12-28 f https://github.com/AzureADTrent/CVE-2024-32019-POC POC for netdata ndsudo vulnerability - CVE-2024-32019 CVE-2024-32019 2 21 0 21 3569924016312289631 +github:1157402485 2026-07-28 2026-07-28 f https://github.com/tr3m0x/CVE-2025-6019 CVE-2025-6019 exploit CVE-2025-6019 0 0 0 0 5490647106729605995 +github:439889436 2021-12-22 2026-05-13 f https://github.com/puzzlepeaches/Log4jCenter Exploiting CVE-2021-44228 in vCenter for remote code execution and more. CVE-2021-44228 19 106 4 106 2886047950284118008 +github:648006283 2023-06-04 2026-04-13 f https://github.com/Le1a/CVE-2023-33246 Apache RocketMQ 远程代码执行漏洞(CVE-2023-33246) Exploit CVE-2023-33246 5 81 1 81 32278147153256298 +github:1220911425 2026-05-01 2026-05-01 f https://github.com/Nayekah/Next.js-Proof-of-Concept Some Proof-of-Concept (POCs) for CVE-2025-29927, CVE-2026-27978, and CVE-2026-29057 in Next.js. CVE-2025-29927 0 0 0 0 4812850344347171741 +github:1293829187 2026-07-08 2026-07-08 f https://github.com/oscerd/CVE-2026-40048 Reproducer for CVE-2026-40048: Apache Camel camel-pqc FileBasedKeyLifecycleManager unsafe deserialization (RCE) CVE-2026-40048 0 0 0 0 5488446388324103367 +github:170613828 2019-02-14 2026-05-13 f https://github.com/jas502n/CVE-2019-5736 runc容器逃逸漏洞预警 CVE-2019-5736 4 14 2 14 8320174900519528016 +github:1185261483 2026-03-18 2026-03-18 f https://github.com/Rana-Ali93/CVE-2021-3156-Sudo-Buffer-Overflow-Linux Red Team exploitation of CVE-2021-3156 (Baron Samedit) – Heap Buffer Overflow in Sudo leading to Local Privilege Escalation on Ubuntu 20.04 CVE-2021-3156 0 0 0 0 6301345956591388985 +github:577691389 2025-01-31 2026-01-14 f https://github.com/p0dalirius/CVE-2022-45771-Pwndoc-LFI-to-RCE Pwndoc local file inclusion to remote code execution of Node.js code on the server CVE-2022-45771 7 47 1 47 6906454218504891887 +github:1276092396 2026-06-21 2026-06-21 f https://github.com/Fomovet/cve-2025-24893 POC for CVE-2025-24893 CVE-2025-24893 0 0 0 0 7609521889103568984 +github:1026987267 2025-07-27 2025-07-27 f https://github.com/QHxDr-dz/CVE-2017-5638 CVE-2017-5638 1 0 0 0 2311243377845830328 +github:442444055 2021-12-28 2021-12-28 f https://github.com/Osyanina/westone-CVE-2021-45232-scanner A vulnerability scanner that detects CVE-2021-45232 vulnerabilities. CVE-2021-45232 0 0 1 0 5560999195849743786 +github:1006980686 2025-06-23 2025-06-23 f https://github.com/dennisec/CVE-2025-3248 CVE-2025-3248 CVE-2025-3248 0 0 0 0 7495537673672899921 +github:883918850 2024-11-06 2024-11-08 f https://github.com/uthrasri/CVE-2021-21401_nanopb-c_AOSP10_R33 CVE-2021-21401 0 0 1 0 1565703990003500465 +github:154401051 2020-08-31 2026-03-02 f https://github.com/r3dxpl0it/CVE-2018-7600 CVE-2018-7600 POC (Drupal RCE) CVE-2018-7600 8 9 0 9 1027342889071140113 +github:822121304 2024-07-24 2025-10-29 f https://github.com/SNE-M23-SN/Vulnerable-Docker-Engine This exploit offers an in-depth look at the CVE-2021-41091 security vulnerability and provides a step-by-step guide on how to utilize the exploit script to achieve privilege escalation on a host. CVE-2021-41091 0 2 1 2 342112449497008769 +github:561142579 2022-11-24 2022-12-15 f https://github.com/corelight/CVE-2022-3602 Detects attempts at exploitation of CVE-2022-3602, a remote code execution vulnerability in OpenSSL v 3.0.0 through v.3.0.6 CVE-2022-3602 1 4 7 4 513355956475401905 +github:1197641685 2026-03-31 2026-07-02 f https://github.com/0xmid00/CVE-2022-46364-poc CVE-2022-46364 Apache CXF XOP:Include SSRF / LFI CVE-2022-46364 0 0 0 0 7866340052193126973 +github:626014717 2023-05-21 2024-08-12 f https://github.com/ahrixia/CVE-2023-30256 QloApp 1.5.2: Vulnerable to XSS on two Parameter (email_create and back) CVE-2023-30256 1 3 1 3 7182844223811253567 +github:1110056807 2025-12-04 2025-12-04 f https://github.com/r2c-CSE/multer-sca-rule-test_cve-2025-7338 Test to validate CVE-2025-7338 https://semgrep.dev/orgs/-/advisories?f=CAAQGRoTCg1jdmUtMjAyNS03MzM4GgAiAA%3D%3D CVE-2025-7338 0 0 0 0 730939839613487577 +github:100498924 2017-08-17 2017-08-16 f https://github.com/takehaya/CVE-2017-1000117 CVE-2017-1000117 1 0 1 0 1139618225463612421 +github:162062968 2018-12-17 2018-12-17 f https://github.com/Venscor/CVE-2018-1270 CVE-2018-1270 表达式RCE环境 CVE-2018-1270 0 0 1 0 1067728605182165273 +github:295984599 2020-09-16 2025-04-02 f https://github.com/murataydemir/CVE-2020-1472 [CVE-2020-1472] Netlogon Remote Protocol Call (MS-NRPC) Privilege Escalation (Zerologon) CVE-2020-1472 2 1 1 1 8079406760385170544 +github:536958064 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37203 CVE-2022-37203 POC CVE-2022-37203 0 0 1 0 838260434368990776 +github:891898238 2024-11-21 2024-12-28 f https://github.com/TAM-K592/CVE-2024-52318 CVE-2024-52318 - Apache Tomcat XSS Vulnerability in Generated JSPs CVE-2024-52318 0 0 1 0 7031610589768754357 +github:419389200 2021-10-23 2021-10-23 f https://github.com/LayarKacaSiber/CVE-2021-42013 CVE-2021-42013 0 0 1 0 122860819932446202 +github:954634803 2025-06-04 2025-08-24 f https://github.com/TheresAFewConors/CVE-2025-29927-Testing PowerShell script to test if a web app is vulnerable to CVE-2025-29927 CVE-2025-29927 2 2 1 2 5067289942935256454 +github:468735837 2022-03-11 2024-05-05 f https://github.com/sakib570/CVE-2018-1263-Demo CVE-2018-1263 0 1 1 1 6806949329875104678 +github:637940882 2023-05-08 2026-06-09 f https://github.com/nokn0wthing/CVE-2023-20052 CVE-2023-20052, information leak vulnerability in the DMG file parser of ClamAV CVE-2023-20052 5 27 2 27 2055511910385205088 +github:1036026711 2025-08-11 2025-08-11 f https://github.com/mah4nzfr/CVE-2021-41773 Bash POC script for RCE vulnerability in Apache 2.4.49 CVE-2021-41773 1 0 0 0 105199576796445920 +github:459503187 2022-02-16 2022-02-17 f https://github.com/szymonh/d-os-descriptor CVE-2022-25258 - Demo exploit targeting usb gadget's os descriptor handler CVE-2022-25258 1 0 1 0 8436195495299851267 +github:749723508 2024-02-01 2025-05-25 f https://github.com/diegaccio/Craft-CMS-Exploit CVE-2023-41892 Reverse Shell CVE-2023-41892 0 5 1 5 8695063731229042641 +github:1117080197 2026-04-22 2026-04-22 f https://github.com/B1tBit/CVE-2025-32434-exploit A script for exploiting a vulnerability in PyTorch with subsequent RCE in library versions < 2.6.0 CVE-2025-32434 0 0 0 0 287465851180747084 +github:66328457 2016-08-27 2016-08-27 f https://github.com/shajinzheng/cve-2016-5699-jinzheng-sha Reading Course Report CVE-2016-5699 0 0 1 0 6633226807841976011 +github:749427663 2024-02-19 2024-02-04 f https://github.com/Shisones/MetabaseRCE_CVE-2023-38646 CVE-2023-38646 0 0 1 0 5031897024206305489 +github:1167405022 2026-02-26 2026-02-26 f https://github.com/mbanyamer/CVE-2025-5688-FreeRTOS-Plus-TCP-Out-of-Bounds-Write CVE-2025-5688 0 0 0 0 136241778700213825 +github:973575067 2025-04-27 2025-09-15 f https://github.com/yeahhbean/Laravel-CVE-2018-15133 CVE-2018-15133 0 1 1 1 3252737255051587378 +github:313899657 2020-11-19 2022-10-27 f https://github.com/lp008/CVE-2020-13942 CVE-2020-13942 0 6 1 6 5421053176033552737 +github:438998103 2021-12-16 2022-01-08 f https://github.com/DXC-StrikeForce/Burp-Log4j-HammerTime Burp Active Scan extension to identify Log4j vulnerabilities CVE-2021-44228 and CVE-2021-45046 CVE-2021-44228 0 8 2 8 171330679123726735 +github:140643631 2018-07-17 2018-07-17 f https://github.com/happynote3966/CVE-2018-7600 CVE-2018-7600 0 0 0 0 8514922849728844078 +github:437426386 2022-10-24 2026-05-30 f https://github.com/corretto/hotpatch-for-apache-log4j2 An agent to hotpatch the log4j RCE from CVE-2021-44228. CVE-2021-44228 72 497 24 497 525718680154410717 +github:437799663 2021-12-14 2024-08-12 f https://github.com/george-petrakis/log4j-scanner-CVE-2021-44228 Simple tool for scanning entire directories for attempts of CVE-2021-44228 CVE-2021-44228 1 2 1 2 6482053893702952743 +github:1289122014 2026-07-04 2026-07-25 f https://github.com/abdugafforov-bobur/CVE-2026-54415-PoC PoC for CVE-2026-54415 — Azuriom CMS (<1.2.11) Broken Access Control → account takeover CVE-2026-54415 0 2 0 2 8948948259188523269 +github:333483141 2021-01-31 2026-02-24 f https://github.com/reverse-ex/CVE-2021-3156 CVE-2021-3156 CVE-2021-3156 40 112 4 112 8631104476199686484 +github:1293563027 2026-07-08 2026-07-08 f https://github.com/eunho87/CVE-2021-42013 CVE-2021-42013 0 0 0 0 7418445684497717137 +github:1110396059 2025-12-05 2026-07-28 f https://github.com/Spritualkb/CVE-2025-55182-exp CVE-2025-55182 React Server Components Remote Code Execution Exploit Tool CVE-2025-55182 12 46 1 46 4382702154831952825 +github:1112232454 2025-12-08 2025-12-09 f https://github.com/hamm0nz/react2shell-audit A lightweight, recursive Bash script to detect Next.js and React Server DOM versions vulnerable to CVE-2025-55182 (React2Shell) in local projects. CVE-2025-55182 0 1 0 1 4072239719060572421 +github:413943505 2021-10-06 2024-08-12 f https://github.com/masahiro331/CVE-2021-41773 CVE-2021-41773 1 1 1 1 8556560084187705740 +github:104592299 2019-05-02 2019-05-02 f https://github.com/xfer0/CVE-2017-9791 Metasploit module for Apache Struts CVE-2017-9791 Remote Code Execution Vulnerability CVE-2017-9791 1 0 0 0 2629726186480324698 +github:720423496 2023-11-18 2026-04-09 f https://github.com/NKeshawarz/CVE-2023-46604-RCE CVE-2023-46604 0 3 1 3 4598922482657607757 +github:817724893 2025-07-23 2026-06-17 f https://github.com/josemlwdf/CVE-2019-13272 This is a Python 3 version of this exploit. Hope it works!!! CVE-2019-13272 1 3 1 3 5773600350878938113 +github:415191949 2021-10-09 2026-05-23 f https://github.com/inbug-team/CVE-2021-41773_CVE-2021-42013 CVE-2021-41773 CVE-2021-42013漏洞批量检测工具 CVE-2021-41773 46 147 2 147 3315575855395498297 +github:1040893826 2025-08-19 2025-08-19 f https://github.com/shoucheng3/hibernate__hibernate-validator_CVE-2019-10219_6-0-17-Final CVE-2019-10219 0 0 0 0 7460179908248820834 +github:951721171 2025-03-20 2025-03-20 f https://github.com/absholi7ly/Poc-CVE-2024-32962-xml-crypto CVE-2024-32962 0 0 1 0 8450772307741023286 +github:437525008 2021-12-12 2022-02-15 f https://github.com/mrlnstk/cve-2021-44228-minecraft-poc Log4J CVE-2021-44228 Minecraft PoC CVE-2021-44228 0 5 1 5 4650465726698909326 +github:931305888 2025-11-04 2025-11-04 f https://github.com/qnole000/CVE-2024-51378 CVE-2024-51378 0 0 1 0 8699564050820130184 +github:418722822 2021-10-19 2024-12-04 f https://github.com/xiaojiangxl/CVE-2021-21234 CVE-2021-21234 0 5 2 5 114084592935459076 +github:1095454510 2025-11-25 2025-11-25 f https://github.com/cyhe50/cve-2025-32434-poc CVE-2025-32434 0 0 0 0 1687403956921480680 +github:1110527960 2025-12-05 2025-12-05 f https://github.com/ngvcanh/CVE-2025-55182-Attack-Analysis Real-world attack analysis of CVE-2025-55182 (React2Shell) - React Server Components RCE vulnerability CVE-2025-55182 0 0 0 0 3645817778810474643 +github:162466355 2018-12-19 2018-12-19 f https://github.com/sj/web2py-e94946d-CVE-2016-3957 web2py/web2py @ e94946d CVE-2016-3957 0 0 1 0 1354007953811068841 +github:1206492765 2026-04-10 2026-04-10 f https://github.com/acseguin21/trust-boundary-ctf Browser-based MCP CTF — OAuth token confusion and session isolation failure (CVE-2025-49596 pattern). DevTools only. CVE-2025-49596 0 0 0 0 3270724153878345481 +github:852283076 2024-09-04 2026-01-27 f https://github.com/Masamuneee/CVE-2024-4367-Analysis CVE-2024-4367 1 4 1 4 5003926056055818594 +github:1242433002 2026-05-18 2026-05-18 f https://github.com/amnnrth/CVE-2025-34291_cors_security_scanner A lightweight Python-based security assessment tool for detecting dangerous Cross-Origin Resource Sharing (CORS) misconfigurations - CVE-2025-34291. CVE-2025-34291 0 0 0 0 6538127165813397660 +github:640427326 2023-05-14 2024-05-18 f https://github.com/Akash7350/CVE-2021-22204 CVE-2021-22204 1 4 1 4 5627632092696182844 +github:437709337 2021-12-13 2024-01-30 f https://github.com/pedrohavay/exploit-CVE-2021-44228 This is a proof-of-concept exploit for Log4j RCE Unauthenticated (CVE-2021-44228). CVE-2021-44228 3 20 1 20 3788155851902887273 +github:759622445 2024-03-02 2026-05-18 f https://github.com/Ap0dexMe0/CVE-2024-23897 Perform with massive Jenkins Reading-2-RCE CVE-2024-23897 1 2 1 2 7244342963848021190 +github:214143215 2019-10-10 2026-05-24 f https://github.com/synacktiv/Exim-CVE-2018-6789 PoC materials to exploit CVE-2018-6789 CVE-2018-6789 6 10 3 10 976763340217402898 +github:476446818 2023-11-29 2024-08-12 f https://github.com/viniciuspereiras/CVE-2022-22965-poc CVE-2022-22965 poc including reverse-shell support CVE-2022-22965 5 13 1 13 2106659384066176333 +github:560635749 2022-11-01 2024-01-18 f https://github.com/attilaszia/cve-2022-3602 cve-2022-3602 poc CVE-2022-3602 0 3 2 3 6868971297554788151 +github:214186123 2020-07-30 2026-05-05 f https://github.com/arlyone/Apache-Struts-0Day-Exploit Critical Remote Code Execution Vulnerability (CVE-2018-11776) Found in Apache Struts. CVE-2018-11776 5 16 1 16 4963547279082656779 +github:822978721 2024-07-02 2024-07-02 f https://github.com/CiderAndWhisky/regression-scanner Used to detect ssh servers vulnerable to CVE-2024-6387. Shameless robbery from https://github.com/bigb0x/CVE-2024-6387 using ChatGPT to translate the code to PHP. CVE-2024-6387 0 0 1 0 3128044797810078137 +github:250132825 2020-04-14 2026-05-06 f https://github.com/mzer0one/CVE-2020-7961-POC CVE-2020-7961 38 118 6 118 5814908834565457125 +github:803147840 2024-05-20 2024-07-10 f https://github.com/rvzsec/CVE-2024-2961 CVE-2024–2961 Security Issue Mitigation Script CVE-2024-2961 0 5 1 5 5019932727512459996 +github:823735743 2024-08-04 2024-08-04 f https://github.com/jocker2410/CVE-2024-6387_poc CVE-2024-6387 0 0 1 0 1393780116759971338 +github:437788180 2021-12-13 2024-08-12 f https://github.com/tuyenee/Log4shell A lab for playing around with the Log4J CVE-2021-44228 CVE-2021-44228 1 0 1 0 7171800467447183664 +github:634367688 2023-04-29 2023-04-29 f https://github.com/devilgothies/CVE-2022-46169 PoC for CVE-2022-46169 that affects Cacti 1.2.22 version CVE-2022-46169 0 0 1 0 1040626539182899076 +github:802726386 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-submod CVE-2024-32002 0 0 1 0 4581625806381887529 +github:498173034 2022-05-31 2023-11-08 f https://github.com/tuannq2299/CVE-2019-8942 CVE-2019-8942 0 1 1 1 597547214841429390 +github:749060845 2024-01-27 2025-09-17 f https://github.com/10T4/PoC-Fix-jenkins-rce_CVE-2024-23897 on this git you can find all information on the CVE-2024-23897 CVE-2024-23897 2 4 1 4 6205477913025648707 +github:90816233 2017-05-10 2024-08-12 f https://github.com/GeneralTesler/CVE-2016-10033 RCE against WordPress 4.6; Python port of https://exploitbox.io/vuln/WordPress-Exploit-4-6-RCE-CODE-EXEC-CVE-2016-10033.html CVE-2016-10033 6 9 1 9 7817206607543365242 +github:777466221 2024-03-26 2024-03-25 f https://github.com/awjkjflkwlekfdjs/CVE-2024-29272 CVE-2024-29272 0 0 1 0 1413039647994094727 +github:476734390 2022-04-04 2025-08-30 f https://github.com/me2nuk/CVE-2022-22965 Spring Framework RCE via Data Binding on JDK 9+ / spring4shell / CVE-2022-22965 CVE-2022-22965 8 14 1 14 3937804662396632958 +github:388358547 2021-07-26 2024-08-12 f https://github.com/magichk/cve-2021-22146 CVE-2021-22146 6 3 1 3 6665226569328964301 +github:529784417 2022-08-28 2022-08-28 f https://github.com/s-index/CVE-2021-41078 nameko Arbitrary code execution due to YAML deserialization CVE-2021-41078 0 0 1 0 5706333667226045788 +github:437948564 2022-01-07 2026-04-04 f https://github.com/hackinghippo/log4shell_ioc_ips log4j / log4shell IoCs from multiple sources put together in one big file (IPs) more coming soon (CVE-2021-44228) CVE-2021-44228 12 37 4 37 1627156075842211941 +github:1060674504 2025-09-20 2025-09-24 f https://github.com/Titus-soc/-CVE-2024-3094-Vulnerability-Checker-Fixer-Public A lightweight utility designed to detect and remediate systems affected by CVE-2024-3094, a critical vulnerability impacting [insert affected software/library here if known]. This tool provides automated scanning, reporting, and optional mitigation steps to help administrators and security teams secure their environments quickly. CVE-2024-3094 0 0 0 0 4520661365415345630 +github:1110584648 2026-02-26 2026-02-26 f https://github.com/Airis101/CVE-2025-55182-analysis 浅谈React Server Components RCE 漏洞分析 CVE-2025-55182 0 1 0 1 2449033572220817411 +github:1100031875 2026-03-09 2026-03-09 f https://github.com/DaturaSaturated/Adminer-CVE-2021-43008 Adminer CVE-2021-43008 PoC CVE-2021-43008 1 0 0 0 4319964948851236927 +github:1125350115 2026-01-02 2026-01-02 f https://github.com/FurkanKAYAPINAR/CVE-2025-14847-MongoBleed-Exploit CVE-2025-14847 MongoBleed - MongoDB Memory Leak Vulnerability PoC CVE-2025-14847 0 1 0 1 7840224340388101735 +github:1039479899 2025-08-17 2025-08-17 f https://github.com/shoucheng3/perwendel__spark_CVE-2016-9177_2-5-1 CVE-2016-9177 0 0 0 0 9154076410995686829 +github:467145231 2022-03-07 2024-12-19 f https://github.com/darkb1rd/cve-2022-22947 CVE-2022-22947 0 6 1 6 3155079206005947597 +github:580942836 2022-12-21 2022-12-21 f https://github.com/mfdev-solution/Exploit-CVE-2017-5638 this exemple of application permet to test the vunerability CVE_2017-5638 CVE-2017-5638 0 0 1 0 1577503083779314652 +github:1183040122 2026-03-16 2026-03-16 f https://github.com/Experience-rookie/struts-s2-052-deserialization-rce-lab Proof-of-Concept exploit for Apache Struts S2-052 (CVE-2017-9805) XML Deserialization Remote Code Execution. Created while solving the INE eWPTX Practice Range lab. Includes custom payloads, reverse shell exploit script, and step-by-step exploitation examples. CVE-2017-9805 0 0 0 0 2414975693162329927 +github:633292629 2023-04-27 2024-09-19 f https://github.com/ZZ-SOCMAP/CVE-2023-27524 Apache Superset Auth Bypass Vulnerability CVE-2023-27524. CVE-2023-27524 2 3 1 3 9156960040331208019 +github:1285035333 2026-07-01 2026-07-10 f https://github.com/lyccyc/CVE-2023-41892_PoC CVE-2023-41892 0 0 0 0 5916376410505146564 +github:297085240 2020-10-19 2020-10-19 f https://github.com/johnpathe/zerologon-cve-2020-1472-notes CVE-2020-1472 0 0 1 0 8151275095620879386 +github:954193014 2025-03-24 2026-06-25 f https://github.com/beyond-devsecops/CVE-2025-24813 Session Exploit CVE-2025-24813 0 4 0 4 6377716496043728762 +github:780121031 2024-04-01 2024-04-01 f https://github.com/Mustafa1986/CVE-2024-3094 CVE-2024-3094 0 0 1 0 1916188782736277973 +github:1021842682 2025-07-19 2026-06-16 f https://github.com/incommatose/CVE-2025-27591-PoC A Proof of Concept for CVE-2025-27591, a local privilege escalation in Below < v0.9.0 CVE-2025-27591 1 5 0 5 8853815340146648683 +github:897672332 2024-12-03 2024-12-03 f https://github.com/Sebastianbedoya25/CVE-2021-3156 CVE-2021-3156 0 0 1 0 6186067881640463803 +github:512712652 2023-02-01 2023-02-18 f https://github.com/CDACesec/CVE-2022-31902 CVE-2022-31902 0 1 1 1 3620928600148285492 +github:147746262 2018-09-06 2018-09-06 f https://github.com/jezzus/CVE-2018-11776-Python-PoC CVE-2018-11776 0 0 1 0 6850218327447906494 +github:905905924 2024-12-19 2024-12-19 f https://github.com/SpiralBL0CK/CVE-2024-39908 CVE-2024-39908 full poc CVE-2024-39908 1 0 1 0 8268738479674239876 +github:295851673 2020-09-16 2020-09-16 f https://github.com/daehee/nginx-overflow Scans for nginx integer overflow vulnerability (CVE-2017-7529) CVE-2017-7529 0 0 1 0 5199347462403831497 +github:622121979 2023-04-01 2023-04-02 f https://github.com/ChrisPritchard/CVE-2021-22911-rust exploit for CVE-2021-22911 in rust CVE-2021-22911 0 0 1 0 339957815349628489 +github:436974241 2024-04-26 2026-07-20 f https://github.com/christophetd/log4shell-vulnerable-app Spring Boot web application vulnerable to Log4Shell (CVE-2021-44228). CVE-2021-44228 553 1139 21 1139 4398111507602418997 +github:561229376 2022-11-07 2025-10-04 f https://github.com/blipzip/cve-2022-31692 A project demonstrating an app that is vulnerable to Spring Security authorization bypass CVE-2022-31692 CVE-2022-31692 6 35 0 35 8539426930447210956 +github:335533066 2021-02-03 2023-04-12 f https://github.com/lp008/CVE-2021-25646 CVE-2021-25646 0 2 1 2 7433186065373063630 +github:836929821 2024-08-01 2024-08-01 f https://github.com/y1s4s/CVE-2024-36401-PoC CVE-2024-36401 0 0 1 0 6477275967819741118 +github:1111579199 2025-12-07 2025-12-07 f https://github.com/ethicalrohitt/React2Shell_cve-2025-55182 CVE-2025-55182 0 0 0 0 2952609736545419045 +github:280433276 2020-09-04 2020-09-04 f https://github.com/dldygnl/CVE-2019-16113 Bludit Exploitation Via upload Image.php CVE-2019-16113 0 0 0 0 135383596874342845 +github:450360735 2022-01-21 2025-09-27 f https://github.com/AlphabugX/CVE-2022-RCE test 反向辣鸡数据投放 CVE-2022-23305 工具 利用 教程 Exploit POC CVE-2022-23305 3 5 1 5 2738267391043875534 +github:635027757 2023-09-11 2026-06-12 f https://github.com/FredBrave/CVE-2022-46169-CACTI-1.2.22 This is a exploit of CVE-2022-46169 to cacti 1.2.22. This exploit allows through an RCE to obtain a reverse shell on your computer. CVE-2022-46169 8 42 1 42 1452162515851055630 +github:860707248 2024-09-21 2024-09-21 f https://github.com/qiupy123/CVE-2024-42861 the CVE-2024-42861 0 0 1 0 6773952635926749553 +github:964008900 2025-04-11 2026-06-25 f https://github.com/Franconyu/Poc_for_CVE-2025-24813 CVE-2025-24813 poc CVE-2025-24813 3 9 1 9 7209234523743415821 +github:128607175 2018-04-08 2024-08-01 f https://github.com/pradeepjairamani/TYPO3-XSS-POC Typo3 -v9.1.0 Persistent Cross Site Scripting(XSS) Assigned CVE Number: CVE-2018-6905 CVE-2018-6905 2 5 0 5 2151318736681497894 +github:1115443057 2025-12-13 2026-07-02 f https://github.com/StealthMoud/react-server-cve-lab Security research lab for CVE-2025-55183 and CVE-2025-55184 in React Server Components CVE-2025-55183 0 5 0 5 6543569242503776589 +github:868009830 2024-10-05 2025-02-15 f https://github.com/TrixSec/CVE-2019-16172 The CVE-2019-16172 Scanner is designed to check LimeSurvey instances for the stored XSS vulnerability. CVE-2019-16172 0 5 1 5 4373729721705144777 +github:724166656 2023-11-27 2023-11-27 f https://github.com/Cyber-Wo0dy/CVE-2023-49052 Microweber version 2.0.4 vulnerable to "Uploading Malicious Files" CVE-2023-49052 0 0 1 0 1983997653084499102 +github:592241313 2023-01-23 2023-01-23 f https://github.com/amit-pathak009/CVE-2018-6389-FIX it is the official Fix of Wordpress CVE-2018-6389. CVE-2018-6389 0 0 1 0 1942244173995479203 +github:163621881 2019-04-29 2024-08-12 f https://github.com/mekhalleh/cve-2018-6574 CVE-2018-6574 1 0 1 0 3503480734237854192 +github:233010845 2020-01-15 2026-03-30 f https://github.com/magicming200/CVE-2019-7238_Nexus_RCE_Tool CVE-2019-7238 Nexus RCE漏洞图形化一键检测工具。CVE-2019-7238 Nexus RCE Vul POC Tool. CVE-2019-7238 9 24 2 24 6704072673208216558 +github:1039479814 2025-08-17 2025-09-25 f https://github.com/shoucheng3/hapifhir__org_hl7_fhir_core_CVE-2023-28465_5-6-1055 CVE-2023-28465 0 0 0 0 2598390857035250381 +github:1309724550 2026-07-23 2026-07-23 f https://github.com/pickl31/CVE-2026-59827 Metabase CVE-2026-59827 Vulnerability Scanner CVE-2026-59827 0 0 0 0 5186864315648192531 +github:439769164 2021-12-19 2021-12-19 f https://github.com/kkyehit/log4j_CVE-2021-44228 CVE-2021-44228 0 0 1 0 6348043353897679363 +github:422615032 2021-10-29 2021-10-29 f https://github.com/scopion/CVE-2020-10963 CVE-2020-10963 0 0 1 0 8751162626942571393 +github:889129803 2024-11-19 2024-11-19 f https://github.com/Praison001/CVE-2024-50803-Redaxo Stored XSS in mediapool feature of Redaxo CVE-2024-50803 0 0 1 0 7192957800436006742 +github:112276528 2017-10-20 2020-11-24 f https://github.com/BeyondCy/S2-052 CVE-2017-9805 - Exploit CVE-2017-9805 0 1 1 1 6612617078033449636 +github:217958958 2019-11-13 2024-08-12 f https://github.com/huang919/cve-2019-14287-PPT CVE-2019-14287 1 0 1 0 7166395648576589066 +github:799663993 2024-05-12 2025-11-12 f https://github.com/DiabloHTB/Nuclei-Template-CVE-2024-1561 Nuclei Templates CVE-2024-1561 0 3 1 3 8542679709619227084 +github:1248776967 2026-05-25 2026-05-25 f https://github.com/learner202649/CVE-2025-45809-PoC Code to reproduce the vulnerability individually CVE-2025-45809 0 0 0 0 4315179195455452175 +github:436149953 2021-12-13 2021-12-13 f https://github.com/JiuBanSec/Grafana-CVE-2021-43798 Grafana File-Read Vuln CVE-2021-43798 0 0 1 0 8800801519990684367 +github:1178255457 2026-03-10 2026-03-10 f https://github.com/IssaBoudin/CVE-2025-27136 XML External Entity PoC in an S3. CVE-2025-27136 0 0 0 0 6185669930756038662 +github:1053001257 2025-09-08 2025-09-08 f https://github.com/moften/regreSSHion-CVE-2024-6387 CVE-2024-6387 CVE-2024-6387 0 0 0 0 6530891778782600050 +github:1110912208 2025-12-08 2026-01-05 f https://github.com/mohit121312/CVE-2025-55182_full_exploit this repo have CVE-2025-55182 full exploit with RCE CVE-2025-55182 0 0 0 0 5793066267691349720 +github:834427246 2024-07-27 2024-07-27 f https://github.com/CERTologists/HTTP-Request-for-PHP-object-injection-attack-on-CVE-2023-41892 CVE-2023-41892 0 0 1 0 185643215781078585 +github:940906557 2025-03-01 2025-04-04 f https://github.com/overgrowncarrot1/CVE-2019-1003030 CVE-2019-1003030 0 1 1 1 6443502335765570706 +github:1117954563 2025-12-18 2026-01-04 f https://github.com/ThemeHackers/CVE-2025-13780 A comprehensive vulnerability scanner for CVE-2025-13780, a Remote Code Execution (RCE) vulnerability in pgAdmin 4 versions ≤ 8.14. CVE-2025-13780 0 3 0 3 7670709012250240082 +github:1021088657 2025-11-04 2025-11-04 f https://github.com/tigr78/CVE-2025-53964 CVE-2025-53964 0 0 1 0 6929200602698702165 +github:1119500706 2025-12-19 2026-02-09 f https://github.com/rxerium/CVE-2025-68461 Detection for CVE-2025-68461 CVE-2025-68461 1 16 0 16 7350650367196946666 +github:807674683 2024-07-22 2024-05-29 f https://github.com/mranv/honeypot.rs CVE-2023-46604 (Apache ActiveMQ RCE Vulnerability) and focused on getting Indicators of Compromise. CVE-2023-46604 0 0 1 0 8772887714490434062 +github:769052536 2024-05-12 2024-05-30 f https://github.com/omranisecurity/CVE-2024-22393 Exploit for CVE-2024-22393 Unrestricted Upload of File with Dangerous Type vulnerability in Apache Answer. CVE-2024-22393 0 0 1 0 8696751258926848285 +github:958978541 2025-04-02 2025-04-02 f https://github.com/0xshaheen/CVE-2025-30208 CVE-2025-30208 0 0 1 0 1227626690472091692 +github:185733954 2021-12-08 2021-12-08 f https://github.com/panzouh/Docker-Runc-Exploit Docker runc CVE-2019-5736 exploit Dockerfile. Credits : https://github.com/Frichetten/CVE-2019-5736-PoC.git CVE-2019-5736 0 1 0 1 5695311164223124774 +github:421138366 2021-10-25 2022-07-01 f https://github.com/MazX0p/CVE-2021-41773 CVE-2021-41773 0 1 1 1 1967902223950996208 +github:943531812 2025-03-07 2025-03-07 f https://github.com/armaansidana2003/CVE-2025-25615 CVE-2025-25615 0 0 1 0 4821475409555110211 +github:77386317 2023-02-27 2026-06-05 f https://github.com/opsxcq/exploit-CVE-2016-10033 PHPMailer < 5.2.18 Remote Code Execution exploit and vulnerable container CVE-2016-10033 144 408 25 408 7173711314925923846 +github:263135881 2020-05-12 2020-05-12 f https://github.com/HussyCool/CVE-2019-14287-IT18030372- Sudo Security Policy bypass Vulnerability CVE-2019-14287 0 0 1 0 4730192641770925062 +github:326860293 2021-01-06 2024-10-09 f https://github.com/progfay/nodejs-http-transfer-encoding-smuggling-poc PoC of HTTP Request Smuggling in nodejs (CVE-2020-8287) CVE-2020-8287 1 2 0 2 41731077069574791 +github:749518886 2024-01-29 2024-01-29 f https://github.com/scabench/fastjson-tp1fn1 a scenario based on CVE-2022-25845 yielding a TP for metadata based SCA but a FN if the callgraph is used CVE-2022-25845 0 0 2 0 4165630306721741842 +github:596690527 2023-02-02 2023-02-02 f https://github.com/miko550/CVE-2022-46169 CVE-2022-46169 0 0 1 0 7971591153909118905 +github:1156005221 2026-02-12 2026-03-13 f https://github.com/snipevx/React2Shell-POC React2Shell (CVE-2025-55182) POC CVE-2025-55182 2 2 0 2 5896659544287574116 +github:1208996745 2026-04-13 2026-07-21 f https://github.com/kartik2005221/CVE-2025-58434-AND-59528-POC Combined PoC for CVE-2025-28434 and CVE-2025-59528 CVE-2025-58434 0 19 0 19 7286861896519226041 +github:350172979 2021-03-22 2025-04-07 f https://github.com/jayngng/bludit-CVE-2019-17240 Bypass bludit mitigation login form and upload malicious to call a rev shell CVE-2019-17240 0 0 1 0 3436785510977486343 +github:901876002 2024-12-13 2024-12-13 f https://github.com/l0w3/CVE-2019-18634 This repo contains both the exploit and the explaination of how this vulnerability is exploited CVE-2019-18634 0 0 1 0 754538425016956957 +github:506991349 2022-06-24 2022-06-24 f https://github.com/arvindshima/CVE-2021-3156 CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) CVE-2021-3156 0 0 1 0 3208030485586853500 +github:485290659 2022-07-29 2022-07-29 f https://github.com/anldori/CVE-2018-7600 CVE-2018-7600 0 0 1 0 3711695377156069021 +github:1054343739 2025-09-12 2025-09-12 f https://github.com/illera88/CVE-2021-21239 CVE-2021-21239 0 0 0 0 1201304268857604937 +github:988972425 2025-05-23 2025-05-23 f https://github.com/pouriam23/CVE-2016-5180-docker- CVE-2016-5180 1 0 0 0 4377863982082767006 +github:735339499 2023-12-24 2023-12-24 f https://github.com/Ckrielle/CVE-2019-16784-POC A Proof of Concept exploit for the PyInstaller CVE-2019-16783 CVE-2019-16784 0 0 1 0 8081669287616591632 +github:214170556 2019-10-10 2022-11-23 f https://github.com/shellord/Drupalgeddon-Mass-Exploiter CVE-2018-7600 and CVE-2018-7602 Mass Exploiter CVE-2018-7600 1 1 1 1 2486116614357563468 +github:1310235147 2026-07-23 2026-07-23 f https://github.com/ghapvharmo/gha-lab-a5c1876997-1 GitHub Actions workflow sandbox (CVE-2026-48546 reproduction) CVE-2026-48546 0 0 0 0 8156707782469495301 +github:713074877 2023-11-01 2023-12-19 f https://github.com/soy-oreocato/CVE-2023-46998 CVE-2023-46998 0 1 1 1 1097035006960328730 +github:365687047 2021-05-09 2021-06-09 f https://github.com/s-index/CVE-2021-21349 XStream SSRF CVE-2021-21349 CVE-2021-21349 0 1 1 1 4488102757555255189 +github:327306394 2021-01-06 2021-01-06 f https://github.com/shanika04/cloudfoundry_uaa CVE-2016-4468 CVE-2016-4468 0 0 1 0 6713777252103489402 +github:366358815 2022-01-12 2025-02-22 f https://github.com/scumdestroy/CVE-2019-5420.rb POC Exploit written in Ruby CVE-2019-5420 0 3 1 3 3651803965162296799 +github:869670698 2026-01-09 2025-05-08 f https://github.com/Agilevatester/FlaskCache_CVE-2021-33026_POC CVE-2021-33026 0 1 1 1 6390315786928297989 +github:436272467 2021-12-15 2022-11-16 f https://github.com/s1gh/CVE-2021-43798 CVE-2021-43798 0 4 1 4 4273626579455416067 +github:1237827933 2026-05-13 2026-05-13 f https://github.com/jcaz2378/ComfyUIrce Git CVE-2025-67303 payload CVE-2025-67303 0 0 0 0 3815515015356361362 +github:371132825 2020-12-08 2021-05-26 f https://github.com/Alaa-abdulridha/POC-CVE-2020-7961-Token-iterate POC-CVE-2020-7961-Token-iterate CVE-2020-7961 0 0 0 0 3422347339734746660 +github:467468720 2022-03-08 2025-11-01 f https://github.com/cspshivam/CVE-2022-0847-dirty-pipe-exploit An exploit for CVE-2022-0847 dirty-pipe vulnerability CVE-2022-0847 3 2 1 2 4660804571446212636 +github:478798941 2022-04-07 2023-04-11 f https://github.com/wikiZ/springboot_CVE-2022-22965 CVE-2022-22965 pocsuite3 POC CVE-2022-22965 1 6 1 6 8903796818778490772 +github:486460599 2022-04-28 2023-09-15 f https://github.com/Satheesh575555/external_expat_AOSP10_r33_CVE-2022-23990 CVE-2022-23990 1 0 1 0 3000132255330255336 +github:962243562 2025-04-07 2025-09-04 f https://github.com/mouadk/parquet-rce-poc-CVE-2025-30065 CVE-2025-30065 1 3 1 3 2519596367493233591 +github:437729534 2022-01-07 2025-03-22 f https://github.com/fireeye/CVE-2021-44228 OpenIOC rules to facilitate hunting for indicators of compromise CVE-2021-44228 7 37 7 37 6052111796302500080 +github:154050332 2019-12-05 2024-08-12 f https://github.com/xFreed0m/CVE-2018-10933 a python script to exploit libssh authentication vulnerability CVE-2018-10933 3 3 1 3 13345213931257526 +github:263377940 2020-05-12 2020-05-12 f https://github.com/lalishasanduwara/CVE-2018-10933 CVE-2018-10933 0 0 1 0 2328955907789137896 +github:672759334 2023-08-11 2023-08-27 f https://github.com/raytheon0x21/CVE-2023-38646 Tools to exploit metabase CVE-2023-38646 CVE-2023-38646 1 0 1 0 6787555169440558357 +github:1031256673 2025-08-03 2025-12-28 f https://github.com/AliElKhatteb/CVE-2024-32019-POC this is a poc for the CVE-2025-24893 CVE-2024-32019 2 5 0 5 1415029545322466204 +github:1305877583 2026-07-19 2026-07-21 f https://github.com/joeack123/PoC-for-CVE-2025-64512 PoC script for CVE-2025-64512 CVE-2025-64512 0 0 0 0 8316014966481617389 +github:401673817 2021-10-30 2023-08-10 f https://github.com/DCKento/CVE-2021-40374 Stored Cross-site Scripting in OpenEyes 3.5.1 CVE-2021-40374 1 2 1 2 281719367663709111 +github:438182253 2021-12-14 2021-12-14 f https://github.com/andrii-kovalenko-celonis/log4j-vulnerability-demo Endpoint to test CVE-2021-44228 – Log4j 2 CVE-2021-44228 0 0 1 0 2813034643849235112 +github:441034050 2021-12-23 2024-08-12 f https://github.com/TaroballzChen/CVE-2021-44228-log4jVulnScanner-metasploit open detection and scanning tool for discovering and fuzzing for Log4J RCE CVE-2021-44228 vulnerability CVE-2021-44228 3 7 1 7 5131316308428065352 +github:1088079359 2025-11-30 2026-05-17 f https://github.com/sw0rd1ight/CVE-2025-57833 Analysis and reproduction of CVE-2025-57833 CVE-2025-57833 0 6 0 6 1519647754229625999 +github:607007482 2023-02-27 2023-02-27 f https://github.com/sz-guanx/CVE-2021-32305 CVE-2021-32305 0 0 1 0 4879863324490588443 +github:510182546 2022-07-04 2022-07-04 f https://github.com/superzerosec/CVE-2022-24706 CVE-2022-24706 POC exploit CVE-2022-24706 0 0 1 0 159217351461793843 +github:1032665493 2025-08-07 2025-08-07 f https://github.com/investigato/cve-2025-24893-poc Proof-of-Concept exploit for CVE-2025-24893, an unauthenticated Remote Code Execution (RCE) vulnerability in XWiki. Exploits a template injection flaw in the SolrSearch endpoint via Groovy script execution. CVE-2025-24893 0 0 0 0 5924535495528520927 +github:498173029 2022-05-31 2022-05-31 f https://github.com/viliuspovilaika/cve-2021-42013 Exploit for Apache 2.4.50 (CVE-2021-42013) CVE-2021-42013 0 0 1 0 6711935410054257116 +github:844163753 2024-08-18 2024-09-02 f https://github.com/Praison001/CVE-2024-38856-ApacheOfBiz Exploit for CVE-2024-38856 affecting Apache OFBiz versions before 18.12.15 CVE-2024-38856 0 1 1 1 2364026053924157163 +github:91959764 2017-05-21 2020-07-17 f https://github.com/faizzaidi/Admidio-3.2.8-CSRF-POC-by-Provensec-llc Admidio 3.2.8 Cross-Site Request Forgery Assigned CVE Number: CVE-2017-8382 CVE-2017-8382 0 3 1 3 3541809581024839641 +github:178909066 2019-04-11 2024-05-22 f https://github.com/Bad3r/RailroadBandit a demo for Ruby on Rails CVE-2019-5418 CVE-2019-5418 0 3 0 3 2205594333896532265 +github:1138256253 2026-02-01 2026-02-01 f https://github.com/suyash-R-K/dfir-malware-investigation Spring4Shell (CVE-2022-22965) DFIR lab with exploit simulation, Python WAF, IOC-based detection, and PCAP analysis. CVE-2022-22965 0 0 0 0 6818075367152714990 +github:234381096 2020-01-16 2023-12-18 f https://github.com/h4ckologic/CVE-2019-17221 PhantomJS uses internal module: webpage, to open, close, render, and perform multiple actions on webpages, which suffers from an arbitrary file read vulnerability. The vulnerability exists in the page.open() function of the webpage module, which loads the specified URL and calls a given callback. When opening a HTML file, an attacker can supply specially crafted file content, which allows reading arbitrary files on the filesystem. The vulnerability is demonstrated by using page.render() as the function callback, resulting in the generation of a PDF or an image of the targeted file. CVE-2019-17221 3 8 2 8 711266843667042838 +github:438920047 2021-12-16 2023-11-29 f https://github.com/roxas-tan/CVE-2021-44228 This Log4j RCE exploit originated from https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce CVE-2021-44228 7 10 2 10 5509705273867289302 +github:628050830 2023-04-14 2023-04-15 f https://github.com/rafaelcintralopes/SwaggerUI-CVE-2018-25031 Exploit Swagger UI - User Interface (UI) Misrepresentation of Critical Information (CVE-2018-25031) CVE-2018-25031 1 2 1 2 6306256336679650482 +github:250216519 2020-03-26 2024-07-26 f https://github.com/dinhbaouit/CVE-2018-16763 CVE 2018-16763 CVE-2018-16763 2 1 1 1 6629984136703156797 +github:970910363 2025-04-22 2025-04-22 f https://github.com/Yoshik0xF6/CVE-2025-29529 SQLi ITC Multiplan v3.7.4.1002 (CVE-2025-29529) CVE-2025-29529 0 0 1 0 7703395431254486536 +github:563791951 2022-11-11 2022-11-11 f https://github.com/chr1sM/CVE-2018-6574 CVE-2018-6574 0 0 1 0 4429806472292024733 +github:314947753 2020-11-22 2020-11-22 f https://github.com/yhsung/cve-2020-27955-poc CVE-2020-27955 0 0 1 0 2684372414939836446 +github:1242267233 2026-05-26 2026-05-26 f https://github.com/nkopylov/tanscript-exploit-check IOC checker for the TanStack/Mini Shai-Hulud npm supply chain attack (CVE-2026-45321) CVE-2026-45321 0 1 0 1 2964846112025332 +github:518865051 2022-07-28 2022-07-28 f https://github.com/Rubikcuv5/CVE-2018-10933 libSSH-Authentication-Bypass CVE-2018-10933 2 1 1 1 1792896009327905345 +github:483804378 2026-03-15 2026-05-23 f https://github.com/notkmhn/CVE-2022-21449-TLS-PoC CVE-2022-21449 Proof of Concept demonstrating its usage with a client running on a vulnerable Java version and a malicious TLS server CVE-2022-21449 24 121 2 121 5314745441229484277 +github:1242560997 2026-06-06 2026-06-06 f https://github.com/hnytgl/CVE-2026-34197 这是一个面向防守和内网排查的 Apache ActiveMQ Classic 暴露面检测工具，用于辅助评估 CVE-2026-34197 相关风险。 CVE-2026-34197 0 1 0 1 6185677263438536443 +github:200200646 2019-08-03 2024-08-12 f https://github.com/NHPT/SSH-account-enumeration-verification-script SSH account enumeration verification script(CVE-2018-15473) CVE-2018-15473 2 1 1 1 7730591641404293612 +github:840977646 2024-08-11 2024-08-11 f https://github.com/Bigb972003/cve-2024-24590 CVE-2024-24590 0 0 1 0 628157967780477098 +github:1153552710 2026-02-09 2026-03-03 f https://github.com/renat0z3r0/notepadpp-supply-chain-iocs IoCs and detection rules for the Notepad++ supply chain attack (CVE-2025-15556) — Lotus Blossom APT, June–December 2025. Includes Falcon LogScale queries, YARA/Sigma rules, and MITRE ATT&CK mapping. CVE-2025-15556 0 1 0 1 4670767926245881698 +github:995595752 2025-06-03 2026-02-01 f https://github.com/abrewer251/CVE-2025-2945_PgAdmin_PoC pgAdmin Proof of Concept CVE-2025-2945 1 3 0 3 5951627621619467517 +github:1118751127 2025-12-18 2025-12-18 f https://github.com/r4j3sh-com/CVE-2025-55182 Lightweight Go toolkit plus a Dockerized Next.js lab to explore and triage CVE-2025-55182. CVE-2025-55182 0 0 0 0 3774205379880429886 +github:68207529 2016-09-15 2016-09-14 f https://github.com/konstantin-kelemen/mysqld_safe-CVE-2016-6662-patch MySQL server CVE-2016-6662 patch playbook CVE-2016-6662 0 0 1 0 8979355594704794497 +github:474005175 2022-03-25 2023-04-04 f https://github.com/Nathaniel1025/CVE-2022-22947 poc for CVE-2022-22947 CVE-2022-22947 2 1 1 1 2017074875281899232 +github:519029849 2022-08-10 2022-08-11 f https://github.com/0xhebi/CVE-2022-34970 Vulnerability in Crow prior v1.0+4 CVE-2022-34970 0 1 1 1 2511863030956262925 +github:1021635325 2025-07-17 2025-07-17 f https://github.com/simplyfurious/CVE-2025-48384-submodule_test CVE-2025-48384 0 0 0 0 7591193098687099485 +github:1219187068 2026-04-23 2026-04-23 f https://github.com/r00tpgp/CVE-2018-6574 CVE-2018-6574 0 0 0 0 3006543202698405588 +github:803851228 2024-05-21 2024-05-23 f https://github.com/YukaFake/CVE-2024-32002-Reverse-Shell Este script demuestra cómo explotar la vulnerabilidad CVE-2024-32002 para obtener una reverse shell, proporcionando acceso remoto al sistema afectado. Úselo con precaución en entornos controlados y solo con fines educativos o de pruebas de seguridad. CVE-2024-32002 0 6 1 6 2573443871501090772 +github:804686415 2024-05-23 2024-05-23 f https://github.com/10cks/CVE-2024-32002-EXP CVE-2024-32002 0 2 1 2 5562257504760730307 +github:287009597 2020-08-06 2020-11-05 f https://github.com/Tobey123/CVE-2020-1472-visualizer CVE-2020-1472 1 0 0 0 5125150541507401083 +github:334594270 2021-01-31 2022-11-09 f https://github.com/Q4n/CVE-2021-3156 复现别人家的CVEs系列 CVE-2021-3156 2 2 1 2 7225779771719945911 +github:1076471737 2025-11-05 2025-11-05 f https://github.com/kimtangker/CVE-2024-46256 CVE-2024-46256 tool CVE-2024-46256 0 0 0 0 6200968795275510742 +github:863885454 2024-09-30 2025-01-12 f https://github.com/referefref/cupspot-2024-47177 PoC honeypot for detecting exploit attempts against CVE-2024-47177 CVE-2024-47177 2 8 2 8 3199719245482621772 +github:494818180 2023-06-21 2024-04-18 f https://github.com/ihenakaarachchi/debian11-dirty_pipe-patcher A Simple bash script that patches the CVE-2022-0847 (dirty pipe) kernel vulnerability on Debian 11 CVE-2022-0847 2 2 1 2 6080958979290879780 +github:534599866 2022-09-09 2024-08-12 f https://github.com/emirpolatt/CVE-2022-31188 CVE-2022-31188 - OpenCV CVAT (Computer Vision Annotation Tool) SSRF CVE-2022-31188 4 5 1 5 5636256044329026736 +github:588437634 2023-01-16 2025-10-30 f https://github.com/c3rrberu5/CVE-2022-46169 Exploit to CVE-2022-46169 vulnerability CVE-2022-46169 6 9 1 9 731238576386559439 +github:590053195 2025-07-15 2026-04-07 f https://github.com/nu0l/CVE-2022-46463 CVE-2022-46463(Harbor 未授权) CVE-2022-46463 8 31 1 31 3165278579484971360 +github:852879948 2024-09-05 2024-09-05 f https://github.com/Cgv-Dev/Metasploit-Module-TFM Module written in Ruby with the objective of exploiting vulnerabilities CVE-2023-2728 and CVE-2024-3177, both related to the secret mount policy in a Kubernetes cluster using a custom Metasploit module. Part of a Cybersecurity Master's degree finalization project. CVE-2023-2728 0 0 1 0 6002652379171533491 +github:804727245 2024-05-23 2024-05-23 f https://github.com/WOOOOONG/hook PoC Exploit for CVE-2024-32002 CVE-2024-32002 0 0 1 0 5609082571523518958 +github:129569913 2023-07-18 2025-03-05 f https://github.com/thehappydinoa/CVE-2018-7600 Proof-of-Concept for Drupal CVE-2018-7600 / SA-CORE-2018-002 CVE-2018-7600 0 7 0 7 2489381289578330149 +github:356203698 2021-04-10 2021-04-10 f https://github.com/jiaocoll/CVE-2021-21402-Jellyfin CVE-2021-21402-Jellyfin-任意文件读取 CVE-2021-21402 0 1 1 1 8088853634470967601 +github:869360224 2025-04-25 2025-04-25 f https://github.com/becrevex/CVE-2022-24706 Apache CouchDB 3.2.1 - Remote Code Execution (RCE) Checker CVE-2022-24706 0 0 1 0 7271680701673328808 +github:217001772 2019-10-23 2025-01-28 f https://github.com/mRanonyMousTZ/CVE-2019-11932-whatsApp-exploit Double-free vulnerability in DDGifSlurp in decoding.c in libpl_droidsonroids_gif can read more https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/ CVE-2019-11932 5 16 4 16 6446666217464910478 +github:504547542 2022-06-17 2022-06-17 f https://github.com/pwn3z/CVE-2021-41773-Apache-RCE A flaw was found in a change made to path normalization in Apache HTTP Server 2.4.49. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue is known to be exploited in the wild. This issue only affects Apache 2.4.49 and not earlier versions. The fix in Apache HTTP Server 2.4.50 was found to be incomplete, see CVE-2021-42013. CVE-2021-41773 0 0 1 0 3825727800394558434 +github:971364975 2025-08-28 2026-02-26 f https://github.com/far00t01/CVE-2025-43960 CVE-2025-43960 - PHP Object Injection en Adminer < 4.8.1 con Monolog (DoS) CVE-2025-43960 0 1 0 1 856873047882202779 +github:1111771866 2025-12-07 2025-12-07 f https://github.com/umairahmadh/react-vuln-scanner A bash script to scan your server for React applications vulnerable to **CVE-2025-55182** — a critical remote code execution vulnerability (CVSS 10.0) in React Server Components. CVE-2025-55182 0 0 0 0 8749426356944545848 +github:1107559101 2025-12-04 2025-12-04 f https://github.com/tlekrean/CVE-2025-65345 An authenticated Directory Traversal vulnerability in laravel-file-manager v3.3.1 and below allows attackers with access to the file manager interface to use zip/archiving function to create archives containing files and directories outside the intended scope due to improper path validation. CVE-2025-65345 0 0 0 0 8371920776764350567 +github:709455861 2023-10-25 2023-10-26 f https://github.com/Pushkarup/CVE-2022-29464 A PoC and Exploit for CVE 2022-29464 CVE-2022-29464 0 1 1 1 4343579923074565404 +github:802726337 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-hulk CVE-2024-32002 0 0 1 0 2345974069473031801 +github:253158422 2020-10-09 2026-02-07 f https://github.com/Prabesh01/Laravel-PHP-Unit-RCE-Auto-shell-uploader Laravel-PHP-Unit-RCE (CVE-2018-15133) Auto Exploiter and Shell Uploader CVE-2018-15133 2 6 1 6 3868745474773165016 +github:824470499 2024-07-05 2024-09-18 f https://github.com/felipecruz91/node-ip-vex Sample project that uses VEX to supress CVE-2024-29415. CVE-2024-29415 1 1 1 1 2593026882367236768 +github:1295732851 2026-07-09 2026-07-09 f https://github.com/nmagill123/CVE-2026-61343-poc-librebooking-rce Librebooking Admin RCE PoC CVE-2026-61343 CVE-2026-61343 0 0 0 0 3382188666632233466 +github:335565227 2021-02-03 2021-10-12 f https://github.com/cdeletre/Serpentiel-CVE-2021-3156 CVE-2021-3156 0 0 1 0 4058290845443591930 +github:1037104502 2025-08-14 2026-06-15 f https://github.com/NiteeshPujari/CVE-2025-32433-PoC CVE-2025-32433 PoC: Unauthenticated Remote Code Execution (RCE) in Erlang/OTP SSH. A proof-of-concept exploit for CVE-2025-32433 CVE-2025-32433 1 7 0 7 4467923582644475381 +github:1232171770 2026-05-08 2026-05-09 f https://github.com/0xDaeras/Flowise-CVE-2025-58434-Chain-59528 FlowiseAI CVE-2025-58434 & CVE-2025-59528 exploit PoC, demonstrating unauthenticated ATO via reset token leakage, followed by authenticated RCE. Includes a reproductible Docker lab environment. CVE-2025-58434 0 1 0 1 5930026296623415754 +github:205945238 2019-09-02 2020-06-18 f https://github.com/UbuntuStrike/CVE-2017-9805-Apache-Struts-Fuzz-N-Sploit A script to Fuzz and and exploit Apache struts CVE-2017-9805 CVE-2017-9805 0 0 1 0 4540459131903973021 +github:438090697 2022-01-14 2022-11-21 f https://github.com/alpacamybags118/log4j-cve-2021-44228-sample Sample docker-compose setup to show how this exploit works CVE-2021-44228 0 2 1 2 8475934079644830915 +github:1110798864 2025-12-05 2025-12-09 f https://github.com/zessu/CVE-2025-55182-Typescript Show case CVE-2025-55182 POC in Typrescript/Javascript CVE-2025-55182 0 0 0 0 5452431699636323539 +github:1314942047 2026-07-28 2026-07-28 f https://github.com/gyubin02/cve-2026-59891-control-lab Isolated regression and security-control lab for CVE-2026-59891 in @sigstore/oci CVE-2026-59891 0 0 0 0 3405839607318469395 +github:941032128 2025-03-01 2025-03-01 f https://github.com/sternstundes/CVE-2023-1545-POC-python CVE-2023-1545-POC with python CVE-2023-1545 0 0 1 0 2631100986419793371 +github:701294663 2023-10-06 2023-10-06 f https://github.com/Trinadh465/platform_external_libvpx_v1.8.0_CVE-2023-5217 CVE-2023-5217 0 0 1 0 7105362613493284473 +github:1294450342 2026-07-09 2026-07-09 f https://github.com/chaitanyagarware/CVE-2026-50181 CVE-2026-50181 / GHSA-fg23-3346-88f5: Langroid path traversal advisory landing page CVE-2026-50181 0 1 0 1 5446595190372176505 +github:138520346 2020-06-07 2018-06-24 f https://github.com/leandrocamposcardoso/CVE-2017-5638-Mass-Exploit CVE-2017-5638 1 0 1 0 551485874621177152 +github:386119933 2022-02-18 2026-05-11 f https://github.com/Neko-chanQwQ/CVE-2020-15778-Exploit Exploit for CVE-2020-15778(OpenSSH vul) CVE-2020-15778 17 38 1 38 8780127841888684367 +github:954239487 2025-03-24 2025-04-22 f https://github.com/0xWhoknows/CVE-2025-29927 Async Python scanner for Next.js CVE-2025-29927. Uses aiohttp & aiofiles to efficiently process large URL lists, detect vulnerabilities, and save results. Features connection pooling, caching, and chunked processing for fast performance CVE-2025-29927 2 3 1 3 5434016072652777050 +github:1163666055 2026-02-22 2026-02-22 f https://github.com/danilo1992-sys/CVE-2025-32463 CVE-2025-32463 0 0 0 0 3026515747980159393 +github:1016742988 2025-07-09 2025-07-09 f https://github.com/kallydev/cve-2025-48384-hook CVE-2025-48384 0 0 0 0 8497733491641301440 +github:93683327 2017-06-05 2017-06-07 f https://github.com/smancke/CVE-2017-5638 CVE-2017-5638 0 0 1 0 5493561686624963603 +github:1169519630 2026-03-18 2026-07-13 f https://github.com/InferiorAK/CVE-2025-55182-React2Shell-Async-Scanner Async RCE scanner for CVE-2025-55182 / CVE-2025-66478 — prototype-pollution → code execution via React Server Actions. CVE-2025-55182 1 3 0 3 6461075302100747601 +github:437877109 2021-12-21 2024-05-14 f https://github.com/manuel-alvarez-alvarez/log4j-cve-2021-44228 Log4j CVE-2021-44228 examples: Remote Code Execution (through LDAP, RMI, ...), Forced DNS queries, ... CVE-2021-44228 1 5 1 5 5071171559987112815 +github:240413864 2020-02-14 2020-02-14 f https://github.com/Hu3sky/CVE-2019-17564 CVE-2019-17564 : Apache Dubbo Deserialization Remote Code Execution CVE-2019-17564 0 1 1 1 1108535003790996542 +github:497030057 2022-05-27 2022-05-27 f https://github.com/Cypheer/exploit_CVE-2018-6574 Exploit for Pentester Labs CVE-2018-6574 0 0 1 0 4569563725975728057 +github:1160455662 2026-02-19 2026-07-21 f https://github.com/estebanzarate/CVE-2019-9194-elFinder-Command-Injection-PoC Command injection vulnerability in elFinder <= 2.1.47 via the PHP connector component. Allows unauthenticated remote code execution as the web server user. CVE-2019-9194 0 2 0 2 1298571384611935733 +github:777920527 2024-05-22 2025-12-07 f https://github.com/KirkDJohnson/Wireshark Downloaded a packet capture (.pcapng) file from malware-traffic-analysis.net which was an example of an attempted attack against a webserver using the Log4J vulnerability (CVE-2021-44228). I examined teh amount of endpoints communicating with the server and knowing jnidi as a common in the vulnerbilty found it in clear text CVE-2021-44228 1 3 1 3 2992633015634992574 +github:476671454 2022-04-04 2022-04-05 f https://github.com/helsecert/CVE-2022-22965 CVE-2022-22965 0 1 7 1 3676770751750610923 +github:918591329 2025-01-18 2026-03-02 f https://github.com/aulauniversal/CVE-2023-44487 RapidResetClient CVE-2023-44487 0 1 1 1 8649521117447572212 +github:1039061610 2026-05-21 2026-05-21 f https://github.com/umutcamliyurt/CVE-2025-27591 Below = 2.5.0 CVE-2021-32789 0 0 1 0 5449958471676928199 +github:943534967 2025-03-07 2025-03-07 f https://github.com/armaansidana2003/CVE-2025-25618 CVE-2025-25618 0 0 1 0 1266429843833468960 +github:1040228894 2025-08-18 2025-08-18 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10077_2-11-0-M3 CVE-2019-10077 0 0 0 0 8249766875155085180 +github:903010615 2025-04-06 2025-10-04 f https://github.com/666asd/CVE-2024-23653 CVE-2024-23653 1 4 1 4 8194411226918643861 +github:366482211 2021-05-20 2026-07-29 f https://github.com/convisolabs/CVE-2021-22204-exiftool Python exploit for the CVE-2021-22204 vulnerability in Exiftool CVE-2021-22204 27 97 9 97 728645850396871480 +github:706076873 2024-03-13 2026-05-13 f https://github.com/d0rb/CVE-2023-38545 This script is designed to exploit a heap buffer overflow vulnerability in a socks5 proxy server. CVE-2023-38545 2 21 1 21 2391971787333952322 +github:1104605653 2025-11-26 2026-02-04 f https://github.com/Udayveer17/CVE-2025-2945-pgAdmin4-Authenticated-RCE-PoC- CVE-2025-2945 0 2 0 2 4873796053980039917 +github:1121024849 2025-12-22 2025-12-22 f https://github.com/flame-11/CVE-2024-3408-dtale Vuln lab for CVE-2024-3408 - D-Tale Authentication Bypass & RCE CVE-2024-3408 0 0 0 0 8495761176103234994 +github:830527219 2024-07-18 2024-07-18 f https://github.com/coana-tech/CVE-2022-0155-PoC CVE-2022-0155 0 0 3 0 7917281170451413723 +github:814041598 2024-06-14 2024-06-14 f https://github.com/HPT-Intern-Task-Submission/CVE-2022-46169 CVE-2022-46169 0 0 0 0 7078863370659883464 +github:1061834611 2025-09-22 2025-09-22 f https://github.com/amalpvatayam67/day09-bentoml-deser-lab ay 09 — CVE-2025-27520 (BentoML-style insecure deserialization) — Local Docker lab CVE-2025-27520 0 0 0 0 7661402328402106681 +github:1014774707 2025-07-05 2025-07-06 f https://github.com/gmh5225/CVE-2025-22963 CVE-2025-22963 0 0 0 0 79880615712878625 +github:72763213 2018-09-17 2025-03-18 f https://github.com/dag-erling/kexkill Proof of concept for CVE-2016-8858 CVE-2016-8858 6 7 2 7 4746307218226203242 +github:1239370644 2026-05-15 2026-05-21 f https://github.com/chenqin231/CVE-2026-42945 CVE-2026-42945: nginx-rift vulnerability analysis and detection script CVE-2026-42945 0 1 0 1 482532284239938790 +github:562747008 2022-11-07 2025-10-01 f https://github.com/yilin1203/CVE-2018-20062 CVE-2018-20062 0 2 1 2 3111755387073156959 +github:767361191 2024-03-05 2024-11-07 f https://github.com/shellkraft/CVE-2024-27914 CVE-2024-27914 0 0 1 0 5691085506717597466 +github:496102260 2026-04-06 2026-04-06 f https://github.com/sbani/CVE-2022-29221-PoC CVE-2022-29221 Proof of Concept Code - Smarty RCE CVE-2022-29221 3 16 1 16 2621721961610759857 +github:952662840 2025-03-21 2025-03-21 f https://github.com/gothburz/CVE-2024-11042 Proof-of-concept for In invoke-ai/invokeai version v5.0.2 Arbitrary File Deletion. CVE-2024-11042 0 0 1 0 795266139314758065 +github:1057783242 2025-09-14 2025-12-25 f https://github.com/pirenga/CVE-2025-24813 Example PoC for CVE-2025-24813 (Tomcat RCE) CVE-2025-24813 5 2 0 2 6465197063760617489 +github:968041280 2025-04-17 2025-04-17 f https://github.com/shellkraft/CVE-2025-3568 A security vulnerability has been identified in Krayin CRM <=2.1.0 that allows a low-privileged user to escalate privileges by tricking an admin into opening a malicious SVG file. CVE-2025-3568 0 0 1 0 3676299835765134113 +github:191493140 2019-07-08 2026-02-27 f https://github.com/cowbe0x004/eximrce-CVE-2019-10149 simple python socket connection to test if exim is vulnerable to CVE-2019-10149. The payload simply touch a file in /tmp/eximrce. CVE-2019-10149 10 14 1 14 8522750617579836562 +github:1173773259 2026-06-28 2026-06-28 f https://github.com/fabse-hack/CVE-2024-3829 CVE-2024-3829 CVE-2024-3829 0 1 1 1 7059469139028409569 +github:908543261 2024-12-26 2024-12-26 f https://github.com/yoohhuu/Rocket-Chat-3.12.1-PoC-CVE-2021-22911- CVE-2021-22911 1 0 1 0 9194703044391792183 +github:123645081 2018-03-03 2020-02-12 f https://github.com/CHYbeta/CVE-2017-11427-DEMO The Demo for CVE-2017-11427 CVE-2017-11427 2 12 1 12 3850083160327592170 +github:539404394 2022-09-21 2022-09-22 f https://github.com/EmaVirgRep/CVE-2018-11235 CVE-2018-11235 0 1 1 1 2910906131581124688 +github:236845131 2022-03-06 2025-01-30 f https://github.com/ioncodes/Curveball PoC for CVE-2020-0601 - CryptoAPI exploit CVE-2020-0601 4 20 1 20 4162092892916800587 +github:833605581 2024-07-25 2024-07-25 f https://github.com/soltanali0/CVE-2023-7028 Implementation and exploitation of CVE-2023-7028 account takeover vulnerability related to GO-TO CVE weekly articles of the 11th week. CVE-2023-7028 0 0 1 0 8882658866908350917 +github:696501225 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44766_ConcreteCMS-Stored-XSS---SEO Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the SEO - Header Extra Content from Page Settings. CVE-2023-44766 0 0 1 0 7425568454112546097 +github:1304083129 2026-07-21 2026-07-21 f https://github.com/cyeezy08/DoS-Braces-3.03 CVE-Candidate: DoS in braces@3.0.3 via comma-separated brace expansion (CVE-2024-4068 incomplete fix) CVE-2024-4068 0 0 0 0 1282615748455351933 +github:595664546 2023-01-31 2023-01-31 f https://github.com/antunesmpedro/CVE-2018-6574 CVE-2018-6574 go get CVE-2018-6574 0 0 1 0 1556593042914855509 +github:556237054 2022-10-23 2026-04-20 f https://github.com/MaherAzzouzi/CVE-2022-37704 Amanda 3.5.1 LPE CVE-2022-37704 1 4 1 4 3301494345449746267 +github:1049709442 2025-09-07 2025-09-07 f https://github.com/CEAlbez/CVE-2025-24813-PoC This is a PoC for the CVE-2025-24813 and tested in different environments. CVE-2025-24813 0 0 0 0 3747505710567239764 +github:1256692220 2026-06-02 2026-06-09 f https://github.com/alisster00/CVE-2026-23744-RCE This utility was created during research involving MCPJam v1.4.2. The application exposes an API endpoint that accepts a server configuration object. Under certain conditions, insufficient validation may allow unintended command execution. CVE-2026-23744 0 1 0 1 7337356765765373984 +github:217798293 2019-11-13 2022-07-16 f https://github.com/fuzzlove/FUDforum-XSS-RCE FUDForum 3.0.9 - XSS / Remote Code Execution (CVE-2019-18873, CVE-2019-18839) CVE-2019-18873 4 7 1 7 6844706090958704593 +github:323352519 2020-12-21 2020-12-21 f https://github.com/shadofren/CVE-2018-6574 CVE-2018-6574 0 0 1 0 7852744392289429657 +github:387065961 2021-07-18 2021-07-18 f https://github.com/MazX0p/CVE-2021-21315-exploit systeminformation CVE-2021-21315 0 0 0 0 8219069904865072582 +github:437164940 2021-12-11 2021-12-27 f https://github.com/binganao/Log4j2-RCE Log4j2 CVE-2021-44228 复现和回显利用 CVE-2021-44228 0 2 1 2 1674193788198232424 +github:1239284081 2026-05-20 2026-06-24 f https://github.com/oseasfr/Scanner_CVE_2026-42945 Script Python para detecção de instâncias Nginx vulneráveis ao CVE-2026-42945 em IPs, CIDRs e ASNs. CVE-2026-42945 1 18 0 18 2933064894362539532 +github:1160233716 2026-02-17 2026-02-17 f https://github.com/toxxxaka/CVE-2019-7609 New CVE-2019-7609 which works with python 13 CVE-2019-7609 0 0 0 0 4009778589363916161 +github:482005646 2022-04-15 2025-10-14 f https://github.com/twseptian/cve-2022-22947 Spring Cloud Gateway Actuator API SpEL Code Injection (CVE-2022-22947) CVE-2022-22947 1 11 1 11 3145252811824713662 +github:1276251246 2026-06-21 2026-06-21 f https://github.com/vtemlabs/imaging Security-maintenance fork of disintegration/imaging (CVE-2023-36308 fix) used by Tala WTE CVE-2023-36308 0 0 0 0 1506333303887860374 +github:792301008 2024-04-26 2024-04-26 f https://github.com/thinkycx/activemq-rce-cve-2023-46604 activemq-rce-cve-2023-46604 CVE-2023-46604 0 0 1 0 8540679130624745090 +github:1167635290 2026-02-26 2026-03-19 f https://github.com/yonathanpy/CVE-2025-32433.py CVE-2025-32433 PoC – SSH Protocol Python-based PoC for controlled lab testing of SSH message handling, channel operations, and pre-auth interactions. Designed for safe security research and analysis. CVE-2025-32433 1 2 0 2 5006279739617496257 +github:720827247 2023-11-19 2025-10-07 f https://github.com/actuator/com.simplemobiletools.dialer CVE-2023-49003 CVE-2023-49003 0 1 0 1 1517756460185060458 +github:1115677326 2025-12-13 2025-12-13 f https://github.com/Kugelbyte/React2Shell-Analysis A research report on CVE-2025-55182 (React2Shell). CVE-2025-55182 0 0 0 0 5205499513880711575 +github:1116922769 2026-01-05 2026-01-05 f https://github.com/rain321654/yasa-cve-2024-43400-main1 yasa CVE-2024-43400 0 0 0 0 1674813918087194071 +github:893347321 2024-11-24 2026-03-31 f https://github.com/pentestfunctions/CVE-2024-48990-PoC-Testing Testing POC for use cases CVE-2024-48990 1 26 1 26 1237766889342114162 +github:437091396 2021-12-10 2023-11-08 f https://github.com/OopsieWoopsie/mc-log4j-patcher CVE-2021-44228 server-side fix for minecraft servers. CVE-2021-44228 1 7 1 7 4682290256425009260 +github:956863508 2025-03-29 2025-04-03 f https://github.com/w2hcorp/CVE-2025-29927-PoC Here is a simple but effective exploit for CVE-2025-29927. CVE-2025-29927 0 1 1 1 6217632587853676465 +github:123791550 2018-03-10 2022-05-17 f https://github.com/m3ssap0/wordpress_cve-2018-6389 Tries to exploit a WordPress vulnerability (CVE-2018-6389) which can be used to cause a Denial of Service. CVE-2018-6389 0 2 1 2 1505245537567353099 +github:935598432 2025-02-19 2025-02-25 f https://github.com/Pallangyo98/Trickster-HTB This report details exploiting Trickster via an XSS in PrestaShop (CVE-2024-34716) to gain www-data access, extracting database credentials for SSH as james. A root shell in Docker is obtained via ChangeDetection.io (CVE-2024-32651), revealing adam’s credentials, followed by root escalation with CVE-2023-47268 in PrusaSlicer. CVE-2023-47268 0 0 1 0 6732117683206809139 +github:1254313696 2026-05-31 2026-05-31 f https://github.com/kavin-jindal/CVE-2026-48778-PoC CVE-2026-48778 0 0 0 0 7331845546848320076 +github:483938215 2022-04-21 2022-04-21 f https://github.com/tufanturhan/wso2-rce-cve-2022-29464 CVE-2022-29464 0 2 1 2 5868836821189353217 +github:1194834243 2026-03-28 2026-05-30 f https://github.com/kasem545/CVE-2025-54123-Poc CVE-2025-54123 Hoverfly Authenticated Middleware Command Injection RCE CVE-2025-54123 0 7 0 7 3298985890627428745 +github:1288275149 2026-07-03 2026-07-03 f https://github.com/0Zetrium0/CVE-2025-69212_PoC This repository contains a PoC exploit for CVE-2025-69212. CVE-2025-69212 0 0 0 0 4633700409408594668 +github:802844748 2024-06-24 2025-11-03 f https://github.com/Cappricio-Securities/CVE-2020-35489 WordPress Contact Form 7 - Unrestricted File Upload CVE-2020-35489 0 2 0 2 1419941315477310944 +github:926220979 2025-02-02 2025-02-02 f https://github.com/tiemio/SSH-key-and-RCE-PoC-for-CVE-2021-41773 This repository contains a Proof-of-Concept for the CVE-2021-41773. This CVE contains a LFI and RCE vulnerablity. CVE-2021-41773 0 0 1 0 6116985242820839381 +github:1152842565 2026-02-08 2026-05-26 f https://github.com/kikechans/-Pluck-CMS-RCE-CVE-2023-50564 📦 Pluck CMS 4.7.18 - Authenticated RCE Exploit (CVE-2023-50564). Bypass de restricciones de subida y ejecución remota. 🎯 CVE-2023-50564 0 0 0 0 5767849698153976271 +github:836045735 2024-07-31 2025-11-13 f https://github.com/VictorShem/QVD-2024-26473 QVD-2024-26473 && CVE-2021-29442 CVE-2021-29442 0 3 1 3 574700401227586298 +github:414860866 2022-08-30 2026-05-26 f https://github.com/Vulnmachines/cve-2021-42013 Apache 2.4.50 Path traversal vulnerability CVE-2021-42013 3 15 1 15 7010386041452538826 +github:1280506797 2026-06-25 2026-06-28 f https://github.com/joaquinrrr/CVE-2025-8110 PoC exploit for CVE-2025-8110 CVE-2025-8110 0 5 1 5 236116488733298723 +github:951514279 2025-04-17 2025-04-17 f https://github.com/ps-interactive/lab-cve-2025-24813 Resources for teh Apache Tomcat CVE lab CVE-2025-24813 0 0 4 0 8995943930491427770 +github:1297411876 2026-07-11 2026-07-11 f https://github.com/lheeeesoo/Apache-CVE-2021-41773 WHS 4기 이희수. kr-vulhub 과제 제출물 CVE-2021-41773 0 0 0 0 2924520414204496852 +github:462818933 2022-02-23 2025-02-15 f https://github.com/random-robbie/cve-2022-23131-exp Zabbix SSO Bypass CVE-2022-23131 7 8 2 8 8536128444286029021 +github:789761052 2024-04-21 2024-04-21 f https://github.com/SheL3G/CVE-2024-24576-PoC-BatBadBut PoC for CVE-2024-24576 vulnerability "BatBadBut" CVE-2024-24576 0 0 1 0 2622762145561457879 +github:1039457518 2025-08-17 2025-08-17 f https://github.com/shoucheng3/fabric8io__kubernetes-client_CVE-2021-4178_5-0-2 CVE-2021-4178 0 0 0 0 3232968542565547080 +github:1111077117 2025-12-06 2025-12-21 f https://github.com/greenheadHQ/CVE-2025-55182 CVE-2025-55182 1 1 0 1 2201055598973123154 +github:490532996 2022-05-13 2024-05-06 f https://github.com/NathanMulbrook/CVE-2022-0918 CVE-2022-0918 CVE-2022-0918 1 5 2 5 4169135350501638328 +github:762626721 2024-02-24 2024-11-12 f https://github.com/ayrustogaru/cve-2023-39320 CVE-2023-39320 1 1 1 1 4003309472712376677 +github:782242240 2024-04-09 2024-12-06 f https://github.com/chebuya/CVE-2024-30851-jasmin-ransomware-path-traversal-poc Jasmin ransomware web panel path traversal PoC CVE-2024-30851 5 21 2 21 9209603269191849994 +github:536997164 2022-09-15 2022-09-15 f https://github.com/mightysai1997/cve-2021-42013L CVE-2021-42013 0 0 1 0 8871409052459623804 +github:374077433 2021-06-05 2024-08-12 f https://github.com/0xAJ2K/CVE-2018-7600 Drupal 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because of an issue affecting multiple subsystems with default or common module configurations. CVE-2018-7600 1 1 1 1 3012452578878209344 +github:467159035 2022-03-07 2026-05-13 f https://github.com/bbaranoff/CVE-2022-0847 CVE-2022-0847 CVE-2022-0847 21 50 1 50 3509852165930844569 +github:556684444 2022-12-09 2026-05-23 f https://github.com/0xf4n9x/CVE-2022-37042 CVE-2022-37042 Zimbra Auth Bypass leads to RCE CVE-2022-37042 6 29 1 29 5426347535838762009 +github:822884531 2024-07-02 2024-07-02 f https://github.com/teamos-hub/regreSSHion This is a POC I wrote for CVE-2024-6387 CVE-2024-6387 0 1 0 1 5114390678947295508 +github:1121346888 2025-12-22 2025-12-22 f https://github.com/sahilccras/Blackash-CVE-2025-68613 CVE-2025-68613 CVE-2025-68613 2 0 0 0 1009250040167162650 +github:478746696 2022-04-14 2023-05-21 f https://github.com/sh-ubh/CVE-2018-1002105 CVE-2018-1002105 0 1 1 1 8826949246565126336 +github:972730226 2026-03-28 2025-04-25 f https://github.com/sealldeveloper/CVE-2018-0114-PoC A PoC of CVE-2018-0114 I made for PentesterLab CVE-2018-0114 0 0 1 0 6000861146853453014 +github:156674030 2020-03-06 2025-11-13 f https://github.com/beraphin/CVE-2018-6789 CVE-2018-6789 1 3 1 3 51799835595732814 +github:1152720295 2026-02-14 2026-02-17 f https://github.com/malw0re/CVE-2025-49132-Mods CVE-2025-49132 2 12 0 12 2992168656342196416 +github:891522149 2024-11-20 2024-11-20 f https://github.com/SUDORM0X/PoC-CVE-2018-15473 FAFAF CVE-2018-15473 0 0 1 0 3509129302767684368 +github:1158361045 2026-06-04 2026-06-04 f https://github.com/DesertDemons/CVE-2025-4138-4517-POC CVE-2025-4138 / CVE-2025-4517 — Python tarfile PATH_MAX Symlink Filter Bypass CVE-2025-4138 2 17 0 17 4458917499239110815 +github:1265909166 2026-06-11 2026-06-11 f https://github.com/HORKimhab/CVE-2026-45447 CVE-2026-45447 - Draft CVE-2026-45447 0 0 0 0 8160036766406296117 +github:299845895 2020-09-30 2020-09-30 f https://github.com/Ken-Abruzzi/cve-2020-1472 CVE-2020-1472 0 0 1 0 6971701278922831243 +github:430315623 2022-12-15 2024-08-12 f https://github.com/SecCoder-Security-Lab/spring-cloud-netflix-hystrix-dashboard-cve-2021-22053 Spring Cloud Netflix Hystrix Dashboard template resolution vulnerability CVE-2021-22053 CVE-2021-22053 8 37 1 37 7165513488210415639 +github:218678736 2020-03-12 2026-07-21 f https://github.com/Ekultek/CVE-2019-17625 Working exploit code for CVE-2019-17625 CVE-2019-17625 9 18 1 18 3187112509580659979 +github:363561516 2021-05-02 2021-05-02 f https://github.com/DXY0411/CVE-2020-23342 CVE-2020-23342 0 0 1 0 5796602590898011176 +github:780222430 2024-04-01 2024-04-01 f https://github.com/galacticquest/cve-2024-3094-detect CVE-2024-3094 0 1 1 1 7966690678027308287 +github:1253756571 2026-05-29 2026-05-29 f https://github.com/Dungsocool/CVE-2017-12635_36 CVE-2017-12635 0 0 0 0 7438111530105038746 +github:1239852354 2026-05-18 2026-05-18 f https://github.com/Hirokiii/CVE-2023-44487 Educational environment for LTAT.04.022 Homework 4. CVE-2023-44487 0 0 0 0 5841462647136481427 +github:413890827 2022-08-30 2026-05-26 f https://github.com/Vulnmachines/cve-2021-41773 CVE-2021-41773 Path Traversal vulnerability in Apache 2.4.49. CVE-2021-41773 9 38 1 38 6521453430390874775 +github:438090719 2021-12-14 2021-12-14 f https://github.com/sandarenu/log4j2-issue-check Demo project to evaluate Log4j2 Vulnerability | CVE-2021-44228 CVE-2021-44228 1 0 1 0 828433460950902031 +github:704732969 2023-10-30 2026-07-23 f https://github.com/secengjeff/rapidresetclient Tool for testing mitigations and exposure to Rapid Reset DDoS (CVE-2023-44487) CVE-2023-44487 16 76 3 76 8761334083462021111 +github:1012252636 2025-07-02 2025-07-02 f https://github.com/timsonner/CVE-2025-49144-Research CVE-2025-49144 1 0 0 0 9125794025201145607 +github:437512798 2021-12-12 2023-11-07 f https://github.com/sud0x00/log4j-CVE-2021-44228 CVE-2021-44228 CVE-2021-44228 0 5 1 5 7161871978526994889 +github:511347007 2022-07-07 2022-07-07 f https://github.com/novysodope/CVE-2021-27850 CVE-2021-27850 ysoserial CVE-2021-27850 0 0 1 0 7066132771056390587 +github:837384219 2024-09-01 2026-07-17 f https://github.com/Abdurahmon3236/CVE-2024-24549 CVE-2024-24549 0 10 1 10 4019526536866446448 +github:1138037990 2026-06-14 2026-06-19 f https://github.com/boroeurnprach/CVE-2026-23744-PoC CVE-2026-23744 - Versions 1.4.2 and earlier of MCPJam inspector are vulnerable to remote code execution (RCE). Because the tool listens on 0.0.0.0 by default, an attacker can trigger the installation and execution of a malicious MCP server by sending a crafted HTTP request. Version 1.4.3 contains a patch for this issue. CVE-2026-23744 2 8 0 8 4569956326504937622 +github:299977188 2020-09-30 2020-10-13 f https://github.com/rhymeswithmogul/Set-ZerologonMitigation Protect your domain controllers against Zerologon (CVE-2020-1472). CVE-2020-1472 1 2 1 2 303382703618937591 +github:1044876154 2026-01-01 2026-02-26 f https://github.com/ibadovulfat/CVE-2025-24893 A critical remote code execution (RCE) vulnerability (CVE‑2025‑24893) exists in the XWiki Platform, specifically in the SolrSearch RSS feed endpoint. CVE-2025-24893 0 0 0 0 3442433391016963593 +github:953668703 2025-03-23 2026-06-14 f https://github.com/MuhammadWaseem29/CVE-2025-29927-POC Authorization Bypass in Next.js Middleware CVE-2025-29927 3 9 1 9 95284402517607816 +github:1069201924 2025-10-06 2026-06-11 f https://github.com/infernosalex/CVE-2023-45612-PoC Proof-of-Concept of CVE-2023-45612 CVE-2023-45612 0 1 0 1 537115301712979141 +github:536953912 2026-01-09 2022-09-15 f https://github.com/mightysai1997/CVE-2021-41773h CVE-2021-41773 0 0 1 0 2161426843268110738 +github:961229845 2025-04-06 2025-04-06 f https://github.com/VVeakee/CVE-2024-4367 CVE-2024-4367 0 0 1 0 6731265714133338145 +github:1272391607 2026-06-18 2026-06-18 f https://github.com/wearehackers160/CVE-2026-48907 CVE-2026-48907 is a critical improper access control vulnerability in the JCE editor extension for Joomla. It allows unauthenticated attackers to create new editor profiles, which can ultimately lead to arbitrary PHP file upload and remote code execution on affected systems CVE-2026-48907 0 0 0 0 2377264861595023419 +github:1154158697 2026-02-10 2026-02-10 f https://github.com/faysalferdous/CVE-2025-68645-Exploiting-Zimbra-Webmail-LFI-Vulnerability CVE-2025-68645 0 0 0 0 7884260818126319894 +github:440183835 2021-12-21 2026-04-02 f https://github.com/Y0-kan/Log4jShell-Scan log4j2 RCE漏洞（CVE-2021-44228)内网扫描器，可用于在不出网的条件下进行漏洞扫描，帮助企业内部快速发现Log4jShell漏洞。 CVE-2021-44228 6 38 2 38 8847904817218601669 +github:966244921 2025-04-14 2025-04-14 f https://github.com/buutt3rf1y/CVE-2023-40028 POC for CVE-2023-40028: Ghost CMS Arbitrary File Read CVE-2023-40028 0 0 1 0 3591142222242129413 +github:854315476 2024-09-17 2024-09-17 f https://github.com/enzored/CVE-2024-34831 Disclosure of CVE-2024-34831 CVE-2024-34831 0 0 1 0 2682525155692416672 +github:678208074 2023-08-14 2023-08-14 f https://github.com/c3rrberu5/ZeroLogon-to-Shell This is a combination of the zerologon_tester.py code (https://raw.githubusercontent.com/SecuraBV/CVE-2020-1472/master/zerologon_tester.py) and the tool evil-winrm to get a shell. CVE-2020-1472 0 0 1 0 6111530343887174043 +github:1196742440 2026-06-02 2026-07-13 f https://github.com/Stuub/Appsmith-1.98-Stored-XSS-Exploit Automating the exploitation of CVE-2026-7299 - Stored XSS via Database Table/Column Names in SQL Autocomplete within Appsmith =>1.99. Initial discovery 30/03/26 CVE-2026-7299 0 3 0 3 673890244878782476 +github:215893893 2020-10-06 2024-08-12 f https://github.com/3ndG4me/liferay-xss-7.2.1GA2-poc-report-CVE-2020-7934 Authenticated Stored XSS in LifeRay 7.2.0 GA1 via MyAccountPortlet executed by Search Results CVE-2020-7934 1 6 1 6 1292553640453451679 +github:481573619 2022-04-22 2024-12-03 f https://github.com/k3rwin/spring-cloud-function-rce Spring Cloud Function SPEL表达式注入漏洞（CVE-2022-22963） CVE-2022-22963 3 8 1 8 6877868445049528685 +github:1307431887 2026-07-21 2026-07-21 f https://github.com/Ghalendar/CVE-2026-27971_POC CVE-2026-27971 qwik rce CVE-2026-27971 0 0 0 0 6922860078019488152 +github:69619571 2016-10-03 2024-02-09 f https://github.com/infobyte/CVE-2016-2776 CVE-2016-2776 CVE-2016-2776 14 27 12 27 8352040954600316810 +github:524474931 2022-05-19 2022-05-19 f https://github.com/amit-pathak009/CVE-2022-29464 CVE-2022-29464 1 0 0 0 7332764182296784307 +github:1293297542 2026-07-08 2026-07-08 f https://github.com/RootEvil333/CVE-2025-55182 Exploit for CVE-2025-55182 CVE-2025-55182 0 0 0 0 827494581338306176 +github:584868904 2023-01-03 2023-01-03 f https://github.com/ajith737/Spring4Shell-CVE-2022-22965-POC User friendly Spring4Shell POC CVE-2022-22965 0 0 1 0 4499352209813780298 +github:779430633 2024-03-31 2026-04-14 f https://github.com/FabioBaroni/CVE-2024-3094-checker Quick and dirty PoC for checking whether a vulnerable version of xz-utils is installed (CVE-2024-3094) CVE-2024-3094 12 72 1 72 5549551546770090904 +github:1281918197 2026-06-27 2026-07-16 f https://github.com/gh1mau/masta-cve-2026-48907 cve-2026-48907 scanner CVE-2026-48907 10 57 1 57 1257912110182117101 +github:893203261 2024-11-23 2026-07-04 f https://github.com/Zierax/CVE-2023-50094_POC poc for CVE-2023-50094 (rengine command injection) CVE-2023-50094 1 1 1 1 6449369526365977452 +github:1012829628 2025-07-08 2025-07-08 f https://github.com/yaleman/cve-2025-24813-poc CVE-2025-24813 0 0 0 0 4396669484844986105 +github:1185555365 2026-03-18 2026-03-18 f https://github.com/sobanahmed6061/CVE-2021-41773-RedTeam Apache 2.4.49 Path Traversal RCE CVE-2021-41773 0 0 0 0 6227247353350777300 +github:465686911 2022-03-03 2026-07-14 f https://github.com/Vulnmachines/spring-cve-2022-22947 Spring cloud gateway code injection : CVE-2022-22947 CVE-2022-22947 1 10 1 10 2899849254044355517 +github:831254914 2024-07-20 2024-07-20 f https://github.com/TSY244/CVE-2024-32002-git-rce-father-poc CVE-2024-32002 0 0 1 0 3029166926129967759 +github:119790221 2018-02-01 2018-02-02 f https://github.com/huzhenghui/Test-7-2-1-PHP-CVE-2018-5711 CVE-2018-5711 0 1 1 1 6151201546745122330 +github:415737041 2021-10-11 2024-12-11 f https://github.com/apapedulimu/Apachuk CVE-2021-41773 Grabber CVE-2021-41773 4 4 1 4 9196865664522021861 +github:1079044624 2025-11-09 2026-04-28 f https://github.com/wubinworks/magento2-session-reaper-patch Patch for CVE-2025-54236(a.k.a Session Reaper) which allows customer account takeover and RCE under certain conditions. This patch is actually a Magento 2 extension and universal compatible for Magento 2.3 & 2.4. If you cannot upgrade Magento or cannot apply the official hotfix, try this one. CVE-2025-54236 0 3 0 3 2023448227521528946 +github:999332240 2025-06-10 2025-06-10 f https://github.com/vishalborkar7/POC_for_-CVE-2024-22371 CVE-2024-22371 0 0 0 0 2443045910022175896 +github:84644857 2017-03-16 2017-03-11 f https://github.com/random-robbie/CVE-2017-5638 CVE: 2017-5638 in different formats CVE-2017-5638 1 0 1 0 109009084234497714 +github:166348598 2019-01-21 2019-01-21 f https://github.com/duckzsc2/CVE-2018-6574-POC CVE-2018-6574 0 0 1 0 5126993049256225469 +github:352460406 2021-03-28 2024-09-21 f https://github.com/elvi7major/snap_priv_esc Another implementation for linux privilege escalation exploit via snap(d) (CVE-2019-7304) CVE-2019-7304 0 1 1 1 5525955500869301111 +github:671748014 2023-07-28 2023-08-02 f https://github.com/adriyansyah-mf/CVE-2023-38646--Metabase- CVE-2023-38646 0 0 1 0 6652973469333506342 +github:184282942 2019-04-30 2023-05-21 f https://github.com/bgeesaman/cve-2018-1002105 PoC command injection example for cve-2018-1002105 based off https://github.com/gravitational/cve-2018-1002105 CVE-2018-1002105 0 1 0 1 5517516198687004762 +github:882127199 2024-12-15 2024-12-15 f https://github.com/Aur3ns/Block-Spring4Shell POC firewall with rules designed to detect and block Spring4Shell vulnerability (CVE-2022-22965) exploit CVE-2022-22965 0 0 1 0 4896057597689580832 +github:968586192 2025-04-18 2025-11-18 f https://github.com/iuds/-CVE-2024-52010- exploit auto CVE-2024-52010 0 0 1 0 3898305537130644228 +github:1062525180 2025-09-23 2025-09-23 f https://github.com/amalpvatayam67/day10-nextjs-middleware-lab Next.js middleware auth-bypass lab (CVE-2025-29927 simulation) CVE-2025-29927 0 0 0 0 1083857662484221092 +github:437816743 2021-12-13 2022-01-19 f https://github.com/itlabbet/CVE-2021-40839 Dirty Cow kernel exploit without libcrypt dependency CVE-2021-40839 1 1 1 1 2043845842236091468 +github:1299526189 2026-07-13 2026-07-13 f https://github.com/seal-sec-demo-2/JavaScript-Example Seal Security example — vulnerable npm app (EJS CVE-2022-29078) remediated to sealed versions; GitHub Actions + Jenkins integration CVE-2022-29078 0 0 0 0 706176894096698339 +github:1223376693 2026-04-28 2026-04-28 f https://github.com/tieupham267/log4shell-coraza Log4Shell (CVE-2021-44228) defense lab — nginx + Coraza WAF dynamic module + OWASP CRS v4. Educational use only. CVE-2021-44228 0 0 0 0 5446760116312912648 +github:1113654857 2025-12-10 2025-12-10 f https://github.com/gunyakit/CVE-2025-1974-PoC-exploit Kubernetes Ingress-nginx RCE (IngressNightmare) CVE-2025-1974 0 0 0 0 795222170241354537 +github:1014437887 2025-07-23 2025-07-23 f https://github.com/kevinpdicks/Mezzanine-CMS-6.1.0-XSS Mezzanine CMS 6.1.0 XSS (CVE-2025-50481) CVE-2025-50481 0 1 0 1 6404519240718986806 +github:1120636777 2025-12-21 2025-12-21 f https://github.com/crstaicu/CVE-2019-5414 Fake repo CVE-2019-5414 0 0 0 0 3782788537304757390 +github:438761150 2022-08-26 2023-10-19 f https://github.com/aws-samples/kubernetes-log4j-cve-2021-44228-node-agent CVE-2021-44228 17 2 1 2 151538411439347586 +github:1112969473 2025-12-09 2026-02-15 f https://github.com/liamromanis101/cve-2025-55182 Python3 script that can be used to demonstrate **CVE-2025-55182**. It exploits a server-side JavaScript injection vulnerability in Next.js/React applications, allowing **remote code execution** via malformed multipart form data. CVE-2025-55182 0 0 0 0 13532823354492579 +github:1123501670 2025-12-27 2026-04-14 f https://github.com/flame-11/CVE-2018-9206-jquery-file-upload CVE-2018-9206 0 1 0 1 6005741141236059890 +github:351622243 2021-08-25 2026-07-12 f https://github.com/riptl/cve-2021-3449 CVE-2021-3449 OpenSSL denial-of-service exploit 👨🏻‍💻 CVE-2021-3449 37 224 5 224 7828769159937361789 +github:1195323985 2026-03-29 2026-04-01 f https://github.com/Shashivanth009/CVE-2022-46364---Apache-CXF-XOP-Include-LFI-PoC CVE-2022-46364 0 1 0 1 7226247064768489105 +github:1226660887 2026-05-08 2026-05-10 f https://github.com/mananispiwpiw/CVE-2025-59528-PoC CVE-2025-59528 Proof of Concept CVE-2025-59528 0 1 0 1 6480586272295315341 +github:304362194 2020-11-11 2020-11-11 f https://github.com/maikelnight/zerologon Check for events that indicate non compatible devices -> CVE-2020-1472 CVE-2020-1472 0 0 1 0 3797431645760019318 +github:384737658 2021-12-03 2021-12-03 f https://github.com/paolorabbito/Internet-Security-Project---CVE-2021-26814 CVE-2021-26814 0 0 1 0 6430819590402384850 +github:954961253 2025-03-25 2025-03-25 f https://github.com/cypherlobo/DirtyPipe-BSI A root exploit for CVE-2022-0847 (Dirty Pipe) CVE-2022-0847 1 0 1 0 5484070270766338376 +github:117999664 2019-01-23 2019-01-23 f https://github.com/sighup1/cybersecurity-struts2 Struts2 Application Vulnerable to CVE-2017-5638. Explains how the exploit of the vulnerability works in relation to OGNL and the JakartaMultiPart parser. CVE-2017-5638 3 1 0 1 8427413824483390552 +github:674953694 2023-08-05 2024-01-07 f https://github.com/HusenjanDev/CVE-2023-27163-AND-Mailtrail-v0.53 Requests Baskets (CVE-2023-27163) and Mailtrail v0.53 CVE-2023-27163 1 2 1 2 3998993448158668671 +github:284276011 2020-08-03 2026-07-19 f https://github.com/b4ny4n/CVE-2020-13151 POC for CVE-2020-13151 CVE-2020-13151 6 42 0 42 8265007227258056408 +github:1145568287 2026-02-25 2026-06-29 f https://github.com/guiimoraes/CVE-2025-15467 Command Execution PoC for OpenSSL Stack buffer overflow CVE-2025-15467 CVE-2025-15467 3 15 1 15 2060311059167243576 +github:1232981763 2026-05-08 2026-05-10 f https://github.com/mananispiwpiw/CVE-2025-58434-PoC CVE-2025-58434 Proof of Concept CVE-2025-58434 0 0 0 0 2650888554863926881 +github:604432382 2023-02-21 2023-03-20 f https://github.com/clearcdq/Zabbix-SAML-SSO-_CVE-2022-23131 CVE-2022-23131 0 1 1 1 1655104530809177466 +github:720307928 2023-11-22 2026-03-12 f https://github.com/Tris0n/CVE-2023-32571-POC CVE-2023-32571 0 7 1 7 842908882581666768 +github:1168839371 2026-02-27 2026-02-27 f https://github.com/mrknowledgshare/testing_cve-2019-20149 CVE-2019-20149 0 0 0 0 7357153677833551161 +github:551717222 2022-10-15 2025-01-16 f https://github.com/xen0bit/CVE-2022-37434_poc u think that it doesnt but it do CVE-2022-37434 1 3 1 3 8217826266770082121 +github:1096343757 2025-12-02 2025-12-02 f https://github.com/KhanhDuy155/calibre-web-CVE-2025-65858 CVE-2025-65858 0 0 0 0 7610285429864012870 +github:195966434 2019-07-09 2019-07-09 f https://github.com/0rx1/CVE-2018-11235 CVE-2018-11235 0 0 0 0 6723083503679648624 +github:426338911 2021-11-12 2026-01-13 f https://github.com/faisalfs10x/GitLab-CVE-2021-22205-scanner CVE-2021-22205 1 6 1 6 934091837513880560 +github:774480851 2024-05-27 2025-06-03 f https://github.com/Goethe-Universitat-Cybersecurity/NSEC3-Encloser-Attack This project generates DNS zonefiles with custom NSEC3 parameters to reproduce and evaluate the attacks in CVE-2023-50868. CVE-2023-50868 0 6 0 6 2046013743986366111 +github:1098224162 2026-01-26 2026-01-26 f https://github.com/starrynightsecurity/CVE-2025-54574-Squid-Heap-Buffer-Overflow Vulnerability Found on Squid Proxy. CVE-2025-54574 0 0 0 0 6824271441701266927 +github:442784926 2021-12-29 2024-10-16 f https://github.com/trganda/CVE-2021-22204 CVE-2021-22204 0 3 1 3 5447065858430912236 +github:673282845 2023-08-01 2023-08-01 f https://github.com/dawnl3ss/CVE-2022-46169 Unauthenticated Command Injection in Cacti <= 1.2.22 CVE-2022-46169 1 0 1 0 592328699030936420 +github:753929545 2024-02-07 2025-02-14 f https://github.com/ilikeoyt/CVE-2023-4450-Attack CVE-2023-4450 0 22 1 22 2603012740611480925 +github:1154415845 2026-02-10 2026-02-10 f https://github.com/bixiPRO/Drupalgeddon2-CVE-2018-7600 CVE-2018-7600 0 0 0 0 5445374345992525753 +github:695149706 2023-09-22 2023-09-28 f https://github.com/sromanhu/CVE-2023-43879-RiteCMS-Stored-XSS---GlobalContent About RiteCMS 3.0 is affected by a Multiple Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload to the Global Content Blocks in the Administration Menu CVE-2023-43879 0 0 1 0 5320050867449186180 +github:1089498353 2025-11-05 2025-11-15 f https://github.com/AuroraSec-Pivot/CVE-2025-55752 基于 Docker 的重现环境，用于复现 Apache Tomcat 10.1.44 中的路径遍历漏洞 CVE-2025-55752。本实验场景可以复现官网报道的RCE CVE-2025-55752 0 2 0 2 5964971063672685121 +github:1245975881 2026-05-31 2026-06-29 f https://github.com/oseasfr/Scanner_CVE_OpenSSH Scanner para identificação de servidores com softwares SSH possivelmente vulnerável às CVEs CVE-2024-6387 e CVE-2023-48795. CVE-2023-48795 0 1 0 1 5989541356242431442 +github:442328025 2021-12-28 2023-04-05 f https://github.com/NatteeSetobol/CVE-2018-15133-Lavel-Expliot "Lavel Exploit CVE-2018-15133 is a powerful exploit that allows attackers to gain unauthorized access to vulnerable systems. This exploit was originally developed as part of a Capture The Flag (CTF) challenge and has since been used by security researchers and ethical hackers to identify and address vulnerabilities in web applications. CVE-2018-15133 0 0 1 0 1458603712993360251 +github:839055208 2024-08-06 2024-08-06 f https://github.com/fevar54/CVE-2024-42461 Se han identificado problemas en la verificación de firmas ECDSA y EDDSA en el proyecto Wycheproof. Las comprobaciones ausentes durante la etapa de decodificación de firmas permiten agregar o eliminar bytes cero, lo que afecta la capacidad de envío de correos. CVE-2024-42461 1 0 1 0 5833706850517712958 +github:1249420334 2026-05-25 2026-05-25 f https://github.com/russellwork2021-lgtm/cosmicsting-cve-2024-34102-exploit Complete CosmicSting (CVE-2024-34102) exploit suite for Magento/Adobe Commerce XXE vulnerability CVE-2024-34102 0 0 0 0 4818513622804081049 +github:979019411 2025-10-09 2025-12-10 f https://github.com/moften/CVE-2025-29927_Next.js_Auth_Bypass Next.js Auth Bypass PoC Edge Runtime Env Leak via Middleware Bug CVE-2025-29927 0 1 1 1 3783541874598318150 +github:266469917 2022-11-16 2025-05-07 f https://github.com/Al1ex/CVE-2019-12814 CVE-2019-12814:Jackson JDOM XSLTransformer Gadget CVE-2019-12814 6 5 1 5 160231893463877322 +github:1022817935 2025-07-19 2026-07-11 f https://github.com/00xCanelo/CVE-2025-49113 💥 Python Exploit for CVE-2025-49113 | Roundcube Webmail RCE via PHP Object Injection CVE-2025-49113 6 8 0 8 4939622298193295131 +github:427044394 2021-11-11 2025-03-26 f https://github.com/Soliux/CVE-2021-41773 On the 11/11/21 the apache 2.4.49-2.4.50 remote command execution POC has been published online and this is a loader so that you can mass exploit servers using this. CVE-2021-41773 0 2 1 2 8650852035837299327 +github:361513143 2021-04-25 2021-06-13 f https://github.com/edsonjt81/CVE-2019-14287- CVE-2019-14287 0 0 1 0 6476075618084728760 +github:1192241109 2026-03-26 2026-05-05 f https://github.com/danieljosmariyan7254/TryHackMe-Solar-exploiting-log4j- Explore CVE-2021-44228, a vulnerability in log4j affecting almost all software under the sun. CVE-2021-44228 0 1 0 1 498981582148717070 +github:1183762303 2026-03-16 2026-03-16 f https://github.com/plur1bu5/CVE-2025-2945-pgadmin-rce Authenticated RCE in pgAdmin 4 (8.10–9.1) via eval() injection in the Query Tool. This is an updated PoC with compatibility fixes for pgAdmin 9.x auth changes CVE-2025-2945 0 0 0 0 8840787898659947352 +github:703526370 2023-10-11 2026-07-17 f https://github.com/Ylarod/CVE-2023-5521 Root takeover via signature spoofing in KernelSU CVE-2023-5521 6 19 1 19 6644733313590770446 +github:498028990 2022-05-30 2024-12-03 f https://github.com/rama291041610/CVE-2022-1292 CVE-2022-1292 OpenSSL c_rehash Vulnerability CVE-2022-1292 1 5 1 5 8528817481941752556 +github:483385180 2022-08-09 2026-05-13 f https://github.com/jprx/CVE-2022-29968 Exploit PoC for CVE-2022-29968 by Joseph Ravichandran and Michael Wang CVE-2022-29968 4 19 3 19 8734814842007238576 +github:1302799984 2026-07-16 2026-07-18 f https://github.com/XaocZenon/CVE-2026-20896 this is a modified POC of rz1027 for CVE-2026-20896 CVE-2026-20896 0 6 0 6 6173993249164320247 +github:296948762 2020-09-19 2023-02-08 f https://github.com/midpipps/CVE-2020-1472-Easy A simple implementation/code smash of a bunch of other repos CVE-2020-1472 1 1 1 1 6201720380242663418 +github:242163769 2020-02-22 2026-06-16 f https://github.com/woaiqiukui/CVE-2020-1938TomcatAjpScanner 批量扫描TomcatAJP漏洞 CVE-2020-1938 2 14 1 14 1665048081513024041 +github:900254066 2024-12-08 2025-01-04 f https://github.com/z3usx01/CVE-2021-23017-POC The issue only affects nginx if the "resolver" directive is used in the configuration file. Further, the attack is only possible if an attacker is able to forge UDP packets from the DNS server. CVE-2021-23017 0 1 1 1 3068864114238969148 +github:869555882 2025-08-12 2025-08-12 f https://github.com/m0d0ri205/PDFJS wargame, CVE-2024-4367 CVE-2024-4367 0 0 1 0 9024732658231747760 +github:822958334 2024-07-04 2026-07-15 f https://github.com/d0rb/CVE-2024-6387 This Python script exploits a remote code execution vulnerability (CVE-2024-6387) in OpenSSH. CVE-2024-6387 15 51 1 51 8596446216147842400 +github:1063513884 2025-09-24 2025-09-24 f https://github.com/nayankadamm/CVE-2023-34233_Proof_OF_Concept CVE-2023-34233 0 0 0 0 3709844308064307692 +github:619163880 2023-03-26 2026-03-16 f https://github.com/0xM4hm0ud/CVE-2022-24637 Unauthenticated RCE in Open Web Analytics version <1.7.4 CVE-2022-24637 0 3 1 3 2415139552322050281 +github:425153525 2021-11-06 2021-11-06 f https://github.com/mmeza-developer/CVE-2018-0114 JWT Exploit CVE-2018-0114 0 0 1 0 633458991178766369 +github:1211317990 2026-04-15 2026-04-15 f https://github.com/X4BROZER/CVE-2025-8110 Gogs RCE PoC - CVE-2025-8110 CVE-2025-8110 0 0 0 0 1446744647333954367 +github:158365908 2019-11-14 2019-11-14 f https://github.com/beraphin/CVE-2017-16943 CVE-2017-16943 0 0 0 0 6907063960999721676 +github:1189868164 2026-03-23 2026-03-23 f https://github.com/ColdFusionX/CVE-2024-46878-TikiCMS-XSS CVE-2024-46878 - Tiki CMS Reflected Cross-Site Scripting (XSS) Vulnerability CVE-2024-46878 0 0 0 0 5057662709846429416 +github:1238037648 2026-05-13 2026-05-13 f https://github.com/pixelotes/lab-cve-2023-4863 CVE-2023-4863 0 0 0 0 8482087245914982339 +github:1316525005 2026-07-29 2026-07-29 f https://github.com/Groppoxx/CVE-2024-36104-PoC PoC for CVE-2024-36104 — unauthenticated Groovy RCE in Apache OFBiz (<18.12.14) via /%2e/%2e/ view path traversal to ProgramExport CVE-2024-36104 0 3 0 3 2114216069992266257 +github:155492594 2018-12-05 2026-01-10 f https://github.com/JoeBlackSecurity/SSHUsernameBruter-SSHUB Fully functional script for brute forcing SSH and trying credentials - CVE-2018-15473 CVE-2018-15473 3 2 0 2 5213139572248283757 +github:930084475 2025-02-10 2025-02-10 f https://github.com/p0et08/CVE-2024-27348 This is a repository for Apache HugeGraph Remote Code Execution vulnerability(CVE-2024-27348)) CVE-2024-27348 0 0 1 0 681878427785474682 +github:1208064544 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-68400 CVE-2025-68400 - ChurchCRM vulnerable to time-based blind SQL Injection in ConfirmReportEmail.php CVE-2025-68400 0 0 0 0 2997790232359139078 +github:438600716 2021-12-15 2021-12-27 f https://github.com/jyotisahu98/logpresso-CVE-2021-44228-Scanner Vulnerability scanner and mitigation patch for Log4j2 CVE-2021-44228 CVE-2021-44228 0 0 1 0 5674320353532260214 +github:1182693730 2026-03-15 2026-03-15 f https://github.com/metadust/CVE-2025-11187 Stack buffer overflow in PKCS#12 PBMAC1 PBKDF2 keylength (OpenSSL 3.X) CVE-2025-11187 0 0 0 0 1966162128874297424 +github:1012218233 2025-07-07 2025-07-07 f https://github.com/B1gN0Se/Tomcat-CVE-2025-31650 CVE-2025-31650 0 0 0 0 3151833763703458987 +github:724563642 2023-11-28 2026-04-08 f https://github.com/louiselalanne/CVE-2023-49314 Asana Desktop 2.1.0 on macOS allows code injection because of specific Electron Fuses. There is inadequate protection against code injection through settings such as RunAsNode and enableNodeCliInspectArguments, and thus r3ggi/electroniz3r can be used to perform an attack. CVE-2023-49314 0 7 1 7 5746082496087686957 +github:971651999 2025-05-19 2025-10-09 f https://github.com/F5-Labs/parquet-canary-exploit-rce-poc-CVE-2025-30065 CVE-2025-30065 2 12 1 12 2764352865155552373 +github:202961104 2019-08-18 2019-08-18 f https://github.com/PalmTreeForest/CodePath_Week_7-8 CodePath Assignment for Weeks 7 & 8: CVE-2017-14719, CVE-2019-9787 & Unauthenticated Page/Post Content Modification via REST API CVE-2017-14719 0 0 1 0 2174543141650132181 +github:600465186 2023-02-11 2025-08-29 f https://github.com/yuriisanin/CVE-2022-45771 [PoC] Privilege escalation & code execution via LFI in PwnDoC CVE-2022-45771 0 6 1 6 8119960348565583573 +github:842041393 2024-08-13 2024-11-18 f https://github.com/isPique/CVE-2024-22120-RCE-with-gopher This is my exploit for CVE-2024-22120, which involves an SSRF vulnerability inside an XXE with a Gopher payload. CVE-2024-22120 0 3 0 3 2690960172278710450 +github:1217908056 2026-04-22 2026-07-19 f https://github.com/karimelsheikh1/HTB-Silentium-Writeup Hack The Box - Silentium machine writeup | CVE-2025-58434, CVE-2025-59528, CVE-2025-8110 CVE-2025-58434 1 4 0 4 9169099590860532957 +github:1258235102 2026-06-28 2026-06-28 f https://github.com/Saku0512/CVE-2026-54088-poc CVE-2026-54088 0 0 0 0 5513350180122532431 +github:431364503 2021-11-24 2021-11-24 f https://github.com/TheLastVvV/CVE-2021-41277 Metabase GeoJSON map local file inclusion CVE-2021-41277 0 0 1 0 3371006367275572752 +github:1039437127 2025-08-17 2025-08-17 f https://github.com/shoucheng3/apache__uima-uimaj_CVE-2022-32287_3-3-0 CVE-2022-32287 0 0 0 0 1610472043824269162 +github:957387649 2026-02-17 2026-02-17 f https://github.com/andreglock/axios-ssrf Demonstration of CVE-2025-27152 CVE-2025-27152 1 1 1 1 1429961102451958748 +github:1122224140 2025-12-24 2025-12-24 f https://github.com/secjoker/CVE-2025-68613 基于Pocsuite3 框架编写的漏洞验证与利用脚本，用于检测 n8n工作流自动化工具中的认证后远程代码执行漏洞（RCE） CVE-2025-68613 0 0 0 0 4461452341882977449 +github:1240753157 2026-05-17 2026-07-27 f https://github.com/MateusVerass/nGixshell nginx CVE scanner + RCE exploit framework (CVE-2026-42945 + 16 others) CVE-2026-42945 8 20 0 20 3148501575973600321 +github:1116870634 2025-12-15 2025-12-15 f https://github.com/simantchaudhari/CVE-2025-55182 CVE-2025-55182 0 0 0 0 3897404835542313648 +github:223192188 2019-11-21 2025-08-22 f https://github.com/setrus/CVE-2019-0232 CVE-2019-0232-Remote Code Execution on Apache Tomcat 7.0.42 CVE-2019-0232 7 20 1 20 2917144504631806702 +github:628273977 2023-05-02 2025-11-09 f https://github.com/funcid/log4j-exploit-fork-bomb 💣💥💀 Proof of Concept: пример запуска fork-бомбы на удаленном сервере благодаря уязвимости CVE-2021-44228 CVE-2021-44228 0 0 1 0 5214191334505829786 +github:592661297 2023-09-06 2024-02-10 f https://github.com/mutur4/CVE-2022-0847 Drity Pipe Linux Kernel 1-Day Exploit CVE-2022-0847 1 2 1 2 7614043356734086801 +github:435633141 2021-12-07 2026-04-29 f https://github.com/taythebot/CVE-2021-43798 CVE-2021-43798 - Grafana 8.x Path Traversal (Pre-Auth) CVE-2021-43798 8 41 1 41 2585747382473043445 +github:58256737 2016-05-07 2025-03-01 f https://github.com/Hood3dRob1n/CVE-2016-3714 ImaegMagick Code Execution (CVE-2016-3714) CVE-2016-3714 33 69 6 69 5660857375973101641 +github:873393552 2024-10-16 2024-10-16 f https://github.com/muhammadhendro/CVE-2022-24439 CVE-2022-24439 0 0 1 0 8588075635692250513 +github:835791874 2024-08-04 2024-08-04 f https://github.com/White-BAO/CVE-2023-25813 12 CVE-2023-25813 0 1 1 1 6900391801472208158 +github:1279462844 2026-06-24 2026-06-24 f https://github.com/JazzTheRabbit/FreePBX-SQLi-RCE CVE-2025-57819 FreePBX SQLi RCE PoC CVE-2025-57819 0 0 0 0 4990145788996935010 +github:440799948 2021-12-22 2026-05-05 f https://github.com/r00thunter/Log4Shell Generic Scanner for Apache log4j RCE CVE-2021-44228 CVE-2021-44228 0 7 1 7 4539194655005772423 +github:1110052667 2025-12-04 2026-02-21 f https://github.com/shamo0/react2shell-PoC Nuclei template for detecting react2shell (CVE-2025-55182 & CVE-2025-66478) CVE-2025-55182 3 10 0 10 7760823420831973538 +github:1252567889 2026-05-28 2026-07-21 f https://github.com/sonnycroco/HTB-Reactor-Linux-Machine-Walkthrough Full walkthrough of HTB's Reactor machine — exploit CVE-2025-55182 to gain a shell, then get root via an exposed Node.js debugger. Step-by-step with screenshots. CVE-2025-55182 0 0 0 0 4184604438438594580 +github:396080591 2021-08-14 2021-08-14 f https://github.com/jptr218/ghostcat An implementation of CVE-2020-1938 CVE-2020-1938 0 1 1 1 3372677318246387595 +github:1110536898 2025-12-05 2025-12-05 f https://github.com/KrE80r/cve-2021-3007-vulnerable CVE-2021-3007 Vulnerable Test Environment - Laminas/Zend Framework Deserialization RCE CVE-2021-3007 0 0 0 0 3117153405149659207 +github:360287311 2021-04-24 2025-01-04 f https://github.com/electronicbots/CVE-2021-31760 Exploiting a Cross-site request forgery (CSRF) attack to get a Remote Command Execution (RCE) through the Webmin's running process feature CVE-2021-31760 4 2 1 2 2042426731630128551 +github:802465835 2024-05-25 2024-07-03 f https://github.com/jakob-pennington/cve-2024-32002-poc-rce CVE-2024-32002 4 1 1 1 6633827395218010840 +github:475986847 2022-03-30 2023-02-15 f https://github.com/Kirill89/CVE-2022-22963-PoC CVE-2022-22963 3 9 1 9 6622967491505978615 +github:972763939 2025-04-25 2025-04-25 f https://github.com/becrevex/CVE-2023-41425 WonderCMS v3.4.2 NSE Discovery Script CVE-2023-41425 0 0 1 0 4413102647263695162 +github:1129214403 2026-01-06 2026-01-09 f https://github.com/waheeb71/CVE-2025-14847 CVE-2025-14847 MongoDB Memory Leak Exploit CVE-2025-14847 0 1 0 1 4558552256788948738 +github:857813726 2024-09-15 2024-09-15 f https://github.com/btar1gan/exploit_CVE-2023-0297 New exploit for pyLoad v0.5.0 - Unauthenticated remote code excecution CVE-2023-0297 0 0 1 0 7231870918203781736 +github:1031268623 2025-08-03 2025-08-03 f https://github.com/dhiaZnaidi/CVE-2025-24893-PoC CVE-2025-24893 0 0 0 0 1786878861969390427 +github:414256797 2021-10-21 2024-08-12 f https://github.com/Zeop-CyberSec/apache_normalize_path Metasploit-Framework modules (scanner and exploit) for the CVE-2021-41773 and CVE-2021-42013 (Path Traversal in Apache 2.4.49/2.4.50) CVE-2021-41773 2 12 2 12 9015944895637132840 +github:508463322 2022-06-28 2025-04-02 f https://github.com/murataydemir/CVE-2022-22980 [CVE-2022-22980] Spring Data MongoDB SpEL Expression Injection CVE-2022-22980 1 5 1 5 3771581385681747112 +github:326357836 2021-01-08 2024-08-12 f https://github.com/AzhariKun/CVE-2018-15133 CVE-2018-15133 3 3 1 3 7611909360373500578 +github:834629281 2024-07-27 2025-07-11 f https://github.com/mbadanoiu/CVE-2024-34693 CVE-2024-34693: Server Arbitrary File Read in Apache Superset CVE-2024-34693 0 10 1 10 5367868829279696320 +github:956461266 2025-03-28 2025-07-29 f https://github.com/AlperenY-cs/CVE-2025-24813 Create lab for CVE-2025-24813 CVE-2025-24813 0 3 1 3 6074290741840996587 +github:475776212 2022-11-09 2026-05-23 f https://github.com/BobTheShoplifter/Spring4Shell-POC Spring4Shell Proof Of Concept/And vulnerable application CVE-2022-22965 CVE-2022-22965 112 377 18 377 5313145814338335611 +github:660561885 2023-06-30 2024-07-22 f https://github.com/H4K6/CVE-2023-25136 OpenSSH 9.1漏洞大规模扫描和利用 CVE-2023-25136 5 5 1 5 8104269052901078897 +github:1263432393 2026-06-09 2026-06-09 f https://github.com/Moon-Harvest/CVE-2025-59528 Go Proof of Concept (PoC) exploit for Flowise CustomMCP Remote Code Execution (RCE) CVE-2025-59528 CVE-2025-59528 0 0 0 0 2280845589870273468 +github:906963385 2024-12-22 2024-12-27 f https://github.com/xpltive/CVE-2023-50564 Pluck-CMS v4.7.18 RCE exploit CVE-2023-50564 1 1 1 1 6930575757143869545 +github:804747982 2024-05-27 2025-09-23 f https://github.com/avalahEE/pdfjs_disable_eval CVE-2024-4367 mitigation for Odoo 14.0 CVE-2024-4367 0 1 2 1 1141126910102155702 +github:1006778763 2025-06-23 2025-12-10 f https://github.com/0-d3y/langflow-rce-exploit Remote Code Execution Exploit for Langflow (CVE-2025-3248) - [ By S4Tech ] CVE-2025-3248 1 7 0 7 9163630169089590184 +github:978451242 2026-07-14 2026-07-14 f https://github.com/singetu0096/CVE-2025-46731 CVE-2025-46731 1 0 1 0 7642045521644556945 +github:170445833 2022-01-05 2026-07-29 f https://github.com/Frichetten/CVE-2019-5736-PoC PoC for CVE-2019-5736 CVE-2019-5736 164 658 1 658 2580176010395479422 +github:353538057 2021-04-01 2025-12-19 f https://github.com/gerbsec/CVE-2020-24572-POC An issue was discovered in includes/webconsole.php in RaspAP 2.5. With authenticated access, an attacker can use a misconfigured (and virtually unrestricted) web console to attack the underlying OS running this software, and execute commands on the system including ones for uploading of files and execution of code. CVE-2020-24572 0 7 1 7 190734215556871006 +github:733767538 2023-12-20 2023-12-21 f https://github.com/Cristiano100/CVE-2023-47119 CVE-2023-47119 0 0 1 0 3430525471789630145 +github:84640546 2017-03-13 2017-03-13 f https://github.com/sjitech/test_struts2_vulnerability_CVE-2017-5638 test struts2 vulnerability CVE-2017-5638 in Mac OS X CVE-2017-5638 0 0 6 0 406075073830103847 +github:810234472 2024-06-04 2025-02-09 f https://github.com/kjdfklha/CVE-2024-2961_poc CVE-2024-2961 0 2 1 2 3013122771966229200 +github:1032318509 2025-08-04 2025-08-05 f https://github.com/gmh5225/Blackash-CVE-2025-54574 CVE-2025-54574 CVE-2025-54574 1 0 0 0 8563984667230781037 +github:1113896011 2025-12-10 2025-12-11 f https://github.com/JahazielLem/NSE_CVE-2025-55182 Nmap NSE script for scanning React2Shell (CVE-2025-55182) CVE-2025-55182 0 1 0 1 7103052063890608295 +github:1119469884 2025-12-19 2026-01-02 f https://github.com/chrahman/react2shell-CVE-2025-55182-full-rce-script React2Shell vulnerability (CVE-2025-55182 / CVE-2025-66478) Full Script CVE-2025-55182 3 3 0 3 7962508145908841154 +github:1019015907 2025-07-13 2025-07-13 f https://github.com/sabbu143s/CVE_2020_35848 CVE-2020-35848 impacts Cockpit-CMS v1.7 due to unsafe handling of user inputs in authentication mechanisms, leading to remote code execution. This lab is built for CTF players and bug bounty learners to simulate real-world exploitation workflows including token extraction, password reset, and flag capture. CVE-2020-35848 1 0 0 0 4406783563243454159 +github:438423480 2021-12-15 2021-12-15 f https://github.com/0xThiebaut/CVE-2021-44228 CVE-2021-44228 Response Scripts CVE-2021-44228 0 0 1 0 1812286971299098798 +github:632383541 2023-07-24 2026-03-01 f https://github.com/Ap0dexMe0/CVE-2022-29464 Perform With Mass Exploits In WSO Management. CVE-2022-29464 3 9 1 9 8422042089351980898 +github:1238765160 2026-05-15 2026-05-22 f https://github.com/nanwinata/nginxrift-CVE-2026-42945 CVE-2026-42945 3 2 0 2 7712341807688525273 +github:606400096 2023-02-25 2023-02-25 f https://github.com/JonPichel/CVE-2017-7358 CVE-2017-7358 0 0 1 0 1968687349438975101 +github:362713324 2022-02-12 2026-07-14 f https://github.com/LiveOverflow/pwnedit CVE-2021-3156 - Sudo Baron Samedit CVE-2021-3156 36 225 8 225 3598528705254976729 +github:480403914 2023-07-20 2022-04-11 f https://github.com/nanopathi/external_expat_AOSP10_r33_CVE-2022-22822toCVE-2022-22827 CVE-2022-22822 1 0 1 0 7602322995818337946 +github:779402262 2025-05-27 2025-05-27 f https://github.com/KubernetesBachelor/CVE-2023-5044 Poc for CVE 2023 5044 CVE-2023-5044 0 0 0 0 5605143677723761264 +github:825489885 2026-02-09 2026-02-09 f https://github.com/Rai2en/CVE-2023-4220-Chamilo-LMS This is a script written in Python that allows the exploitation of the Chamilo's LMS software security flaw described in CVE-2023-4220 CVE-2023-4220 2 5 0 5 1568706221479661257 +github:1240011136 2026-05-15 2026-07-29 f https://github.com/love07oj/nextjs-cve-2026-44578 Nuclei templates for detecting CVE-2026-44578 (Next.js WebSocket Upgrade SSRF) with multi-cloud metadata validation, Next.js fingerprinting, and real-world scanning workflows. Includes references to the original NextSSRF research and exploit tooling. CVE-2026-44578 1 7 0 7 6459978273244039847 +github:576308362 2025-06-18 2026-01-26 f https://github.com/Malwareman007/CVE-2022-36537 POC of CVE-2022-36537 CVE-2022-36537 6 36 1 36 5172317576944016184 +github:1238802955 2026-05-14 2026-07-27 f https://github.com/rheodev/CVE-2026-42945 NGINX Rift 漏洞分析与复现 CVE-2026-42945 5 21 0 21 7962427918556595599 +github:698841275 2023-10-01 2023-10-01 f https://github.com/moTorky/CVE-2018-6574-POC CVE-2018-6574 0 0 1 0 3558792035881167994 +github:586854096 2023-01-14 2026-01-03 f https://github.com/bAuh0lz/CVE-2023-0297_Pre-auth_RCE_in_pyLoad CVE-2023-0297: The Story of Finding Pre-auth RCE in pyLoad CVE-2023-0297 10 28 1 28 1089462121998471368 +github:707950575 2023-10-21 2023-10-21 f https://github.com/ShivamDey/CVE-2021-23017 CVE-2021-23017 0 0 1 0 1966434193949541752 +github:780827916 2024-04-02 2025-08-22 f https://github.com/AdarkSt/Honeypot_Smart_Infrastructure This Repository Includes Kubernetes manifest files for configuration of Honeypot system and Falco IDS in K8s environment. There are also Demo Application written with Node.js which is containing Remote Code Execution Vulnerability (CVE-2023-32314) for demonstrating all addvantages of this architecture to manage Honeypot systems CVE-2023-32314 0 1 1 1 6892307556244444804 +github:92457464 2022-12-27 2026-07-29 f https://github.com/opsxcq/exploit-CVE-2017-7494 SambaCry exploit and vulnerable container (CVE-2017-7494) CVE-2017-7494 96 381 9 381 4526842335722506244 +github:169983604 2019-02-10 2019-02-10 f https://github.com/Kurlee/LibSSH-exploit Takes advantage of CVE-2018-10933 CVE-2018-10933 0 0 0 0 2979232402984019467 +github:158098266 2019-01-17 2026-07-02 f https://github.com/ttffdd/XBadManners Tool for CVE-2018-16323 CVE-2018-16323 8 83 4 83 5131233738094854753 +github:737472483 2024-01-10 2025-08-13 f https://github.com/shad0w0sec/CVE-2023-1454-EXP JeecgBoot SQL（CVE-2023-1454）sqlmap 注入不出来的情况可以使用该脚本 CVE-2023-1454 0 4 1 4 5622625208274037054 +github:1006050152 2025-06-21 2025-06-21 f https://github.com/maikneysm/AutoPwn-Titanic.htb This is an automated exploitation script for the Hack The Box machine *Titanic*. It extracts Gitea user hashes via LFI, assists in cracking them, and exploits an ImageMagick vulnerability (CVE-2024-41817) to gain root access via a malicious shared library. CVE-2024-41817 0 0 0 0 5933859479994211479 +github:1270707629 2026-06-16 2026-06-16 f https://github.com/HORKimhab/CVE-LiteLLM CVE-2026-47101, CVE-2026-47102, CVE-2026-40217 CVE-2026-47101 0 0 0 0 8639857468320368794 +github:783899125 2024-04-08 2024-04-08 f https://github.com/mbadanoiu/CVE-2020-12641 CVE-2020-12641: Command Injection via “_im_convert_path” Parameter in Roundcube Webmail CVE-2020-12641 0 0 1 0 7495253334533425541 +github:154573529 2020-10-23 2026-06-26 f https://github.com/r3dxpl0it/CVE-2018-15473 OpenSSH 7.7 - Username Enumeration CVE-2018-15473 24 17 0 17 6284728732839664785 +github:259851239 2020-04-29 2020-04-29 f https://github.com/coblax/CVE-2018-6574 CVE-2018-6574 0 0 1 0 236419396576035381 +github:610098108 2023-03-10 2023-06-29 f https://github.com/aeyesec/CVE-2023-22432 PoC for CVE-2023-22432 (web2py) CVE-2023-22432 0 3 3 3 783458660253394527 +github:749076546 2024-01-27 2025-04-07 f https://github.com/gbrsh/CVE-2023-6875 Exploit for CVE-2023-6875 - Unauthorized Account Takeover. CVE-2023-6875 2 6 1 6 409623893146136599 +github:819502016 2024-06-24 2025-04-20 f https://github.com/dollarboysushil/Dolibarr-17.0.0-Exploit-CVE-2023-30253 In Dolibarr 17.0.0 with the CMS Website plugin (core) enabled, an authenticated attacker can obtain remote command execution via php code injection bypassing the application restrictions. CVE-2023-30253 3 9 1 9 976312279088709763 +github:1182674692 2026-03-15 2026-03-21 f https://github.com/AliElKhatteb/CVE-2024-25082_CVE-2024-25081 FontForge Splinefont Crafted Filename Command Injection Vulnerability CVE-2024-25082 0 1 0 1 5720366174688940934 +github:1131343415 2026-01-09 2026-01-09 f https://github.com/TomKingori/xwiki-cve-2025-24893-exploit Unauthenticated RCE exploit for XWiki CVE-2025-24893 via Groovy script injection CVE-2025-24893 0 0 0 0 3300256878885860677 +github:1203070222 2026-06-30 2026-06-30 f https://github.com/JohannesLks/CVE-2026-33186 gRPC-Go RBAC Authorization Policy Bypass via Missing `:path` Slash (Auth Bypass) CVE-2026-33186 0 1 0 1 2255430510964566158 +github:700635443 2023-10-05 2024-01-20 f https://github.com/Ev3rR3d/CVE-2023-50465 CVE-2023-50465 0 0 1 0 3297153553619866015 +github:420531710 2021-10-23 2022-08-29 f https://github.com/TheLastVvV/CVE-2021-42013 Poc CVE-2021-42013 - Apache 2.4.50 without CGI CVE-2021-42013 0 2 1 2 3371427959991100494 +github:896042322 2026-07-27 2026-07-27 f https://github.com/alyaapm/CVE-2025-55182-shellinteractive CVE-2025-55182 1 0 1 0 2743359319057728139 +github:1281567218 2026-06-26 2026-06-26 f https://github.com/Polosss/By-Poloss..-..CVE-2026-39938 Cacti <= 1.2.30 CVE-2026-39938 0 0 0 0 4260341788297074744 +github:1130360660 2026-01-08 2026-01-08 f https://github.com/x0rbeexd/CVE-2019-9624 Authenticated RCE for Webmin 1.9.0 CVE-2019-9624 0 0 0 0 88159478795263991 +github:437551037 2021-12-12 2021-12-12 f https://github.com/urholaukkarinen/docker-log4shell Dockerized Go app for testing the CVE-2021-44228 vulnerability CVE-2021-44228 0 0 1 0 6311526542418850307 +github:438390351 2021-12-17 2023-02-21 f https://github.com/guerzon/log4shellpoc Simple Spring Boot application vulnerable to CVE-2021-44228 (a.k.a log4shell) CVE-2021-44228 1 1 1 1 1992924403882086403 +github:1169542219 2026-02-28 2026-02-28 f https://github.com/GarethMSheldon/CVE-2025-60787-Detection-motionEye-RCE-via-Config-Injection CVE-2025-60787 0 0 0 0 8732767614305324991 +github:309400991 2020-11-02 2026-07-03 f https://github.com/RedTeamPentesting/CVE-2020-13935 Exploit for WebSocket Vulnerability in Apache Tomcat CVE-2020-13935 37 168 1 168 3377768343529771861 +github:438985997 2023-02-13 2025-05-09 f https://github.com/korteke/log4shell-demo Simple webapp that is vulnerable to Log4Shell (CVE-2021-44228) CVE-2021-44228 4 2 1 2 3100415253361888010 +github:805950324 2024-05-25 2024-05-25 f https://github.com/alienkeric/CVE-2023-4197 this is a simple script from CVE-2023-4197 that was little bit modified since because it didn't work at first time with broadlight machine from HTB which means that we have to modify the script a little bit and then use it as how the ducumentation says CVE-2023-4197 1 0 1 0 8777321927780928309 +github:635433764 2023-05-02 2023-05-04 f https://github.com/Safarchand/CVE-2022-46169 Improved PoC for Unauthenticated RCE on Cacti <= 1.2.22 - CVE-2022-46169 CVE-2022-46169 1 1 1 1 5594249054447596816 +github:416269763 2022-04-22 2022-01-02 f https://github.com/Edgarloyola/CVE-2021-40906 CVE-2021-40906 0 1 1 1 8513761129229489678 +github:610601071 2023-03-07 2023-03-07 f https://github.com/rahmadsandy/EXIM-4.87-CVE-2019-10149 CVE-2019-10149 0 0 1 0 546778632089616949 +github:437949273 2024-06-20 2023-11-16 f https://github.com/claranet/ansible-role-log4shell Find Log4Shell CVE-2021-44228 on your system CVE-2021-44228 5 11 12 11 1566127851996645998 +github:907531691 2024-12-30 2024-12-30 f https://github.com/Harshit-Mashru/iTop-CVEs-exploit This repository contains exploits for iTOP CVE-2024-52002, 52000, 31998, 31448 that involve CSRF+XSS chaining to get RCE CVE-2024-52002 0 0 1 0 5037469667541260489 +github:77446132 2016-12-28 2025-12-09 f https://github.com/cujanovic/CVE-2016-8610-PoC CVE-2016-8610 (SSL Death Alert) PoC CVE-2016-8610 20 33 1 33 7428892231197261128 +github:296056571 2020-09-16 2024-08-12 f https://github.com/FaFcFF41/CVE-2020-1472 CVE-2020-1472 1 0 1 0 5075443884854626187 +github:304001314 2020-10-14 2023-06-02 f https://github.com/rusakovichma/CVE-2019-10172 CVE-2019-10172 PoC and Possible mitigations CVE-2019-10172 0 1 1 1 1991589556060757560 +github:247037641 2020-03-13 2024-08-12 f https://github.com/shadowsock5/ShardingSphere_CVE-2020-1947 CVE-2020-1947 1 1 1 1 985194469705222656 +github:913058800 2025-01-07 2025-01-07 f https://github.com/JustinYe377/CTF-CVE-2022-0847 CVE-2022-0847 1 0 1 0 8549921661275306247 +github:662215491 2023-07-04 2023-07-04 f https://github.com/4rtamis/CVE-2022-23614 Proof of concept for CVE-2022-23614 (command injection in Twig) CVE-2022-23614 1 0 1 0 686310510521883444 +github:1298455863 2026-07-12 2026-07-12 f https://github.com/yuzuki-ayanami/CVE-2019-0232 CVE-2019-0232 - Apache Tomcat CGIServlet enableCmdLineArguments RCE - PoC Exploit CVE-2019-0232 1 0 0 0 8038917976193983697 +github:779837781 2024-04-01 2024-04-05 f https://github.com/brinhosa/CVE-2024-3094-One-Liner CVE-2024-3094 0 1 1 1 980508777554789236 +github:389169410 2021-07-24 2021-07-24 f https://github.com/bousalman/CVE-2020-35545 Spotweb 1.4.9 - 'search' SQL Injection CVE-2020-35545 0 0 1 0 4025821869928528265 +github:712086997 2023-10-30 2023-11-06 f https://github.com/andreysanyuk/CVE-2023-42283 Proof of concept for CVE-2023-42283 in Tyk Gateway CVE-2023-42283 0 0 1 0 1226679861237293648 +github:974456227 2025-04-28 2025-04-29 f https://github.com/Know56/CVE-2025-32433 CVE-2025-32433 is a vuln of ssh CVE-2025-32433 0 1 1 1 1933034636117581611 +github:1030376738 2025-08-01 2025-08-01 f https://github.com/captain-woof/cve-2017-12629 Remote code execution occurs in Apache Solr before 7.1 with Apache Lucene before 7.1 by exploiting XXE in conjunction with use of a Config API add-listener command to reach the RunExecutableListener class. CVE-2017-12629 0 0 0 0 4318197148144030910 +github:126003106 2018-03-20 2018-05-18 f https://github.com/ggolawski/struts-rce Apache Struts CVE-2017-5638 RCE exploitation CVE-2017-5638 2 1 0 1 4935360039594462193 +github:922642268 2025-01-27 2025-01-27 f https://github.com/davidrxchester/Grafana-8.3-Directory-Traversal CVE-2021-43798 working exploit CVE-2021-43798 0 0 1 0 8189249904282009670 +github:186354983 2019-06-03 2026-02-26 f https://github.com/fuzzlove/ATutor-Instructor-Backup-Arbitrary-File ATutor 2.2.4 'Backup' Remote Command Execution (CVE-2019-12170) CVE-2019-12170 1 3 0 3 7857179021464111405 +github:822595195 2024-07-01 2026-06-23 f https://github.com/getdrive/CVE-2024-6387-PoC PoC RCE in OpenSSH CVE-2024-6387 2 24 1 24 5665795262685168639 +github:1020155119 2025-07-15 2025-07-15 f https://github.com/ECHO6789/CVE-2025-48384-submodule CVE-2025-48384 0 0 0 0 2107455994552131502 +github:121817216 2018-02-17 2018-02-20 f https://github.com/jlk/exploit-CVE-2017-6090 Containerized exploitable PhpCollab CVE-2017-6090 0 1 1 1 4519565719013489387 +github:1155318774 2026-02-11 2026-02-11 f https://github.com/Pwndalf/CVE-2025-49132-PoC This script exploits Remote Code Execution vulnerability in Pterodactyl Panel < 1.11.11 CVE-2025-49132 0 1 0 1 2034624135150129496 +github:1114045945 2025-12-10 2026-06-24 f https://github.com/pkrasulia/CVE-2025-55182-NextJS-RCE-PoC Working Proof of Concept (PoC) for CVE-2025-55182 (React2Shell) - Unauthenticated Remote Code Execution in Next.js 15.0.0 via React Server Components CVE-2025-55182 1 4 0 4 6939145439972278269 +github:184548123 2019-05-02 2024-08-12 f https://github.com/synacktiv/CVE-2019-8942 WordPress crop-image exploitation CVE-2019-8942 3 4 1 4 7790823650098484847 +github:1044467681 2025-08-25 2025-08-28 f https://github.com/iampetru/PoC-CVE-2017-5638 Apache Struts2 CVE-2017-5638 (Safe Educational Demo) CVE-2017-5638 0 3 0 3 4362376906518192113 +github:252876143 2020-05-10 2024-10-20 f https://github.com/Frichetten/CVE-2020-11108-PoC PoCs for CVE-2020-11108; an RCE and priv esc in Pi-hole CVE-2020-11108 8 27 2 27 4462223504301008702 +github:122881954 2018-02-26 2018-02-25 f https://github.com/thechrono13/PoC---CVE-2018-6389 Proof of Concept of vunerability CVE-2018-6389 on Wordpress 4.9.2 CVE-2018-6389 1 0 0 0 6176123110119198480 +github:365686424 2021-05-09 2021-05-09 f https://github.com/s-index/CVE-2021-21341 XStream DoS CVE-2021-21341 CVE-2021-21341 1 0 1 0 1062853721791407439 +github:478195147 2022-04-05 2022-04-05 f https://github.com/luoqianlin/CVE-2022-22965 Spring Framework RCE Exploit CVE-2022-22965 0 0 1 0 8857150005480340966 +github:839631817 2024-10-02 2026-05-27 f https://github.com/securelayer7/CVE-2024-38856_Scanner Apache OFBiz RCE Scanner & Exploit (CVE-2024-38856) CVE-2024-38856 13 49 1 49 1080336845319123624 +github:839724541 2025-02-06 2025-02-06 f https://github.com/wubinworks/magento2-cosmic-sting-patch An alternative solution(as a Magento 2 extension) to fix the XXE vulnerability CVE-2024-34102(aka Cosmic Sting). If you cannot upgrade Magento or cannot apply the official patch, try this one. CVE-2024-34102 0 1 1 1 8346243762846224634 +github:956959730 2025-03-29 2025-08-04 f https://github.com/jinsu9758/PUG-RCE-CVE-2021-21353-POC CVE-2021-21353 0 2 1 2 7747982396242490075 +github:450128440 2022-01-20 2022-01-20 f https://github.com/Haxatron/CVE-2022-0219 CVE-2022-0219 0 0 1 0 3090092923109608501 +github:526356142 2022-08-18 2026-01-23 f https://github.com/superhac/CVE-2022-2414-POC CVE-2022-2414 1 1 1 1 877895202905289392 +github:1260774153 2026-06-05 2026-06-05 f https://github.com/yurahshell/CVE-2025-49132 CVE-2025-49132 0 0 0 0 4629796003651903214 +github:485001744 2022-05-01 2022-04-27 f https://github.com/thack1/CVE-2022-21449 Zeek script to detect exploitation attempts of CVE-2022-21449 targeting TLS clients CVE-2022-21449 1 5 1 5 1548064852468475487 +github:1039072235 2025-08-16 2025-08-16 f https://github.com/shoucheng3/apache__rocketmq_CVE-2023-37582_4-9-6 CVE-2023-37582 0 0 0 0 2247878582429343247 +github:322000482 2023-01-24 2026-04-27 f https://github.com/EXP-Docs/CVE-2019-5475 CVE-2019-5475 靶场： RCE 命令注入漏洞 CVE-2019-5475 3 5 0 5 8279872039108241324 +github:370402145 2021-05-24 2021-05-24 f https://github.com/nopdata/cve-2020-28948 CVE-2020-28948 0 0 1 0 8509578317455134016 +github:1284116522 2026-06-29 2026-07-08 f https://github.com/rootdirective-sec/CVE-2026-28496-Lab CVE-2026-28496 0 1 0 1 4397552734290581542 +github:323036144 2021-02-21 2021-02-21 f https://github.com/adityathebe/POC-CVE-2018-0114 POC for CVE-2018-0114 written in Go CVE-2018-0114 0 1 1 1 6648333282170895991 +github:1027265337 2025-07-27 2025-07-27 f https://github.com/sahbaazansari/CVE-2025-29927 The POC for m6.fr website CVE-2025-29927 0 0 0 0 8098579538624410949 +github:410750342 2021-11-30 2022-07-08 f https://github.com/kxisxr/Bash-Script-CVE-2018-16763 FUEL CMS 1.4.1 allows PHP Code Evaluation via the pages/select/ filter parameter or the preview/ data parameter. This can lead to Pre-Auth Remote Code Execution. CVE-2018-16763 2 2 1 2 8697622013314142538 +github:419312678 2021-10-20 2024-05-08 f https://github.com/ItsFadinG/CVE-2018-6574 CVE-2018-6574 1 1 1 1 1984628966581875745 +github:314692880 2020-11-23 2024-08-12 f https://github.com/shifa123/CVE-2020-13942-POC- CVE-2020-13942 POC + Automation Script CVE-2020-13942 9 9 1 9 5994768666349309599 +github:1004764154 2025-06-19 2025-07-16 f https://github.com/zapstiko/CVE-2025-3248 CVE-2025-3248 — Langflow RCE Exploit CVE-2025-3248 1 1 0 1 7710058922003139960 +github:1115279424 2026-04-07 2026-04-07 f https://github.com/gagaltotal/tot-react-rce-CVE-2025-55182 CVE-2025-55182 – CVE-2025-66478 – React2Shell CVE-2025-55182 0 1 0 1 1707955387586938803 +github:1272471484 2026-06-17 2026-06-17 f https://github.com/yan5ui/ENV-CVE-2020-8036 Aritifacts of docker env of CVE-2020-8036 CVE-2020-8036 0 0 0 0 2497445188031083887 +github:343523383 2021-06-09 2026-05-05 f https://github.com/ForbiddenProgrammer/CVE-2021-21315-PoC CVE 2021-21315 PoC CVE-2021-21315 25 160 8 160 3574504885240445368 +github:1030858129 2025-09-02 2025-10-08 f https://github.com/AdnanApriliyansyahh/CVE-2022-1592 CVE-2022-1592 0 1 0 1 3539690956927472961 +github:1286168711 2026-07-01 2026-07-01 f https://github.com/NoXiVaR/CVE-2026-48907 CVE-2026-48907 PoC CVE-2026-48907 0 0 0 0 1452754841127906747 +github:537060189 2025-12-08 2022-09-16 f https://github.com/mightysai1997/CVE-2021-41773S CVE-2021-41773 0 1 1 1 8080520292542142199 +github:703914770 2023-10-12 2024-06-27 f https://github.com/pabloec20/rapidreset CVE-2023-44487 CVE-2023-44487 0 0 1 0 8895699200325891339 +github:924344284 2025-10-14 2026-05-20 f https://github.com/rxerium/CVE-2024-12084 A heap-based buffer overflow flaw was found in the rsync daemon. This issue is due to improper handling of attacker-controlled checksum lengths (s2length) in the code. When MAX_DIGEST_LEN exceeds the fixed SUM_LENGTH (16 bytes), an attacker can write out of bounds in the sum2 buffer. CVE-2024-12084 0 1 1 1 973269220838871123 +github:238829481 2020-02-19 2025-01-17 f https://github.com/Plazmaz/CVE-2019-18634 A functional exploit for CVE-2019-18634, a BSS overflow in sudo's pwfeedback feature that allows for for privesc CVE-2019-18634 19 58 4 58 4978314623026594483 +github:659028420 2023-06-27 2024-11-22 f https://github.com/adhikara13/CVE-2022-4510-WalkingPath A Python script for generating exploits targeting CVE-2022-4510 RCE Binwalk. It supports SSH, command execution, and reverse shell options. Exploits are saved in PNG format. Ideal for testing and demonstrations. CVE-2022-4510 1 14 1 14 4331936906467108776 +github:1083923507 2025-10-27 2025-10-27 f https://github.com/CaelumIsMe/CVE-2020-29607-POC CVE-2020-29607 0 0 0 0 3059032217329112122 +github:1044364206 2025-08-25 2025-08-25 f https://github.com/HuzaifaTariqAfzalKhan/CVE-Exploit-Research-Development-ITSOLERA A research regarding the exisiting CVE exploit : CVE-2021-3156(Sudo BufferOverflow) CVE-2021-3156 0 0 0 0 2540406508309094862 +github:851552545 2024-09-03 2025-12-03 f https://github.com/gh-ost00/CVE-2024-24809-Proof-of-concept Critical Flaws in Traccar GPS System Expose Users to Remote Attacks CVE-2024-24809 0 5 1 5 5417890900011284205 +github:432716321 2021-12-05 2026-07-16 f https://github.com/0xInfection/PewSWITCH A FreeSWITCH specific scanning and exploitation toolkit for CVE-2021-37624 and CVE-2021-41157. CVE-2021-37624 9 30 0 30 7654225695968441354 +github:668528727 2023-04-10 2023-12-27 f https://github.com/passwa11/CVE-2023-29017-reverse-shell CVE-2023-29017 0 0 0 0 6736913146919802931 +github:1040546938 2025-08-19 2025-08-19 f https://github.com/shoucheng3/xwiki__xwiki-commons_CVE-2022-24897_12-6-6 CVE-2022-24897 0 0 0 0 6988614684300593726 +github:779214530 2024-04-02 2025-03-03 f https://github.com/jakabakos/ShadowRay-RCE-PoC-CVE-2023-48022 ShadowRay RCE POC (CVE-2023-48022) CVE-2023-48022 2 6 1 6 8429272529586563117 +github:964348748 2026-06-08 2026-07-03 f https://github.com/bmth666/GeoServer-Tools-CVE-2024-36401 CVE-2024-36401 图形化利用工具，支持各个JDK版本利用以及回显、内存马实现 CVE-2024-36401 2 44 1 44 4165313483555340287 +github:959007808 2025-04-02 2025-09-16 f https://github.com/sumeet-darekar/CVE-2025-30208 mass scan for CVE-2025-30208 CVE-2025-30208 0 1 1 1 8021281631188296957 +github:1263957973 2026-06-09 2026-06-09 f https://github.com/workshops-de/google_gax Patched google_gax 0.4.1 for Tesla 1.18.3+ compatibility (CVE-2026-48598) CVE-2026-48598 0 0 0 0 1794232178291133197 +github:479655916 2022-04-09 2022-04-09 f https://github.com/fransvanbuul/CVE-2022-22965-susceptibility CVE-2022-22965 0 0 1 0 8371137601112894529 +github:809953064 2024-06-03 2026-07-24 f https://github.com/kljunowsky/CVE-2024-27348 Apache HugeGraph Server Unauthenticated RCE - CVE-2024-27348 Proof of concept Exploit CVE-2024-27348 9 19 2 19 3457419844524032824 +github:1314440938 2026-07-28 2026-07-28 f https://github.com/HORKimhab/CVE-2026-27577 CVE-2026-27577 - Draft or Todo CVE-2026-27577 0 0 0 0 9069893928116834260 +github:437518939 2021-12-13 2021-12-13 f https://github.com/DiCanio/CVE-2021-44228-docker-example CVE-2021-44228 0 1 1 1 4941823974237964711 +github:1121259069 2025-12-24 2026-06-11 f https://github.com/gotr00t0day/CVE-2025-68461 A C++ security scanner tool to detect Cross-Site Scripting (XSS) vulnerabilities in Roundcube Webmail installations. CVE-2025-68461 1 6 0 6 3859246125696522912 +github:846725221 2024-10-02 2026-06-22 f https://github.com/convisolabs/CVE-2024-43044-jenkins Exploit for the vulnerability CVE-2024-43044 in Jenkins CVE-2024-43044 24 188 4 188 5228109842201456606 +github:1147398217 2026-02-01 2026-04-28 f https://github.com/scumfrog/CVE-2025-55130 POC for CVE-2025-55130 CVE-2025-55130 0 1 0 1 5790725317831663535 +github:1039506115 2025-08-17 2025-08-17 f https://github.com/shoucheng3/diffplug__goomph_CVE-2022-26049_3-37-1 CVE-2022-26049 0 0 0 0 7433808090056260628 +github:1155439110 2026-02-12 2026-03-11 f https://github.com/ahmetartuc/poc-cve-2025-69219 cve-2025-69219 CVE-2025-69219 0 1 0 1 2919766140857325786 +github:266001258 2020-05-22 2020-05-22 f https://github.com/HKirito/phpmyadmin4.4_cve-2016-5734 CVE-2016-5734 1 0 1 0 695723278454516199 +github:968393576 2025-04-19 2026-04-06 f https://github.com/ekomsSavior/POC_CVE-2025-32433 CVE-2025-32433 2 5 1 5 2948545460793257999 +github:1026677566 2025-07-27 2025-07-27 f https://github.com/nihilor/cve-2025-54313 Checks projects for compromised packages, suspicious files, and import statements. CVE-2025-54313 0 0 0 0 6458199546903488475 +github:1241294318 2026-05-17 2026-05-17 f https://github.com/MuharremK0/Info-Sys-Security-CVE-2025-55182 CVE-2025-55182 0 0 0 0 3011251210637409371 +github:437553138 2021-12-12 2025-09-17 f https://github.com/ssl/scan4log4j Python script that sends CVE-2021-44228 log4j payload requests to url list CVE-2021-44228 7 6 1 6 6252761756650980737 +github:831261401 2024-07-20 2024-07-20 f https://github.com/TSY244/CVE-2024-32002-git-rce CVE-2024-32002 0 0 1 0 4400021969974444014 +github:1013396078 2025-07-05 2026-06-22 f https://github.com/mirchr/CVE-2025-32463-sudo-chwoot PoC for CVE-2025-32463 - Sudo chroot Elevation of Privilege Vulnerability CVE-2025-32463 4 25 1 25 2320498033047232962 +github:1258850320 2026-06-19 2026-06-19 f https://github.com/mruniversity/CVE-2026-2256- CVE-2026-2256 diagram CVE-2026-2256 0 0 0 0 5117381983462847881 +github:1227965042 2026-05-03 2026-05-03 f https://github.com/dinosn/cve-2019-6250-lab End-to-end pre-auth RCE lab for CVE-2019-6250 (libzmq <= 4.3.0, ZMTP/2.0 wire-protocol) CVE-2019-6250 0 0 0 0 2072235009501342646 +github:243498604 2020-02-27 2025-01-03 f https://github.com/JavierOlmedo/CVE-2020-9038 Disclosure report of CVE-2020-9038 CVE-2020-9038 1 5 1 5 602356476158485056 +github:953984054 2025-03-26 2025-03-30 f https://github.com/Eve-SatOrU/POC-CVE-2025-29927 CVE-2025-29927 Proof of Concept CVE-2025-29927 1 3 1 3 4813886895730627342 +github:1178447228 2026-03-11 2026-03-11 f https://github.com/lnn0v4/sqli-hunter-CVE-2024-51482-PoC Scripts en Python para la explotación de CVE-2024-51482 (SQLi en ZoneMinder) — HTB CCTV CVE-2024-51482 0 0 0 0 8636942977361084222 +github:1066891518 2025-09-30 2025-09-30 f https://github.com/Tnot123/cve-2017-9822 CVE-2017-9822 0 0 0 0 6695606708900500302 +github:797556032 2024-07-30 2024-07-30 f https://github.com/jrbH4CK/CVE-2022-22963 CVE-2022-22963 1 0 1 0 9141533914238723132 +github:701130009 2023-10-07 2025-04-07 f https://github.com/zaenhaxor/CVE-2023-41892 CVE-2023-41892 - Craft CMS Remote Code Execution (RCE) CVE-2023-41892 2 3 1 3 7688276224088010015 +github:760525998 2024-11-18 2024-11-18 f https://github.com/pulentoski/CVE-2024-23897-Arbitrary-file-read Un script realizado en python para atumatizar la vulnerabilidad CVE-2024-23897 CVE-2024-23897 0 0 1 0 1088085794393737761 +github:806764891 2025-02-22 2025-02-22 f https://github.com/dream434/CVE-2017-5487 wp-includes/rest-api/endpoints/class-wp-rest-users-controller.php in the REST API implementation in WordPress 4.7 before 4.7.1 does not properly restrict listings of post authors, which allows remote attackers to obtain sensitive information via a wp-json/wp/v2/users request. CVE-2017-5487 0 0 1 0 8232681801544329041 +github:134137690 2018-05-20 2018-05-20 f https://github.com/ahmetmanga/go-get-rce cve-2018-6574 @pentesterlab CVE-2018-6574 1 0 0 0 7663234000195021376 +github:439393950 2021-12-17 2021-12-19 f https://github.com/Aschen/log4j-patched Provide patched version of Log4J against CVE-2021-44228 and CVE-2021-45046 as well as a script to manually patch it yourself CVE-2021-44228 1 1 1 1 8826444780909175082 +github:832765785 2024-07-24 2026-05-07 f https://github.com/sh3bu/CVE-2024-41662 Markdown XSS leads to RCE in VNote version <=3.18.1 CVE-2024-41662 0 4 1 4 1550553197245076928 +github:1110754555 2025-12-08 2026-04-09 f https://github.com/Cr4at0r/Next.js-RCE-Scanner-BurpSuite-Extension- 使用burp自动检测CVE-2025-55182 Next.js RCE 漏洞 CVE-2025-55182 1 26 0 26 2936691690827653410 +github:171705705 2019-10-31 2019-10-31 f https://github.com/kevinherron/stack-overflow-poc PoC for CVE-2018-12086 affecting various OPC UA stacks CVE-2018-12086 1 0 1 0 6982795515732489946 +github:124591869 2021-06-04 2025-09-26 f https://github.com/m3ssap0/spring-break_cve-2017-8046 This is a Java program that exploits Spring Break vulnerability (CVE-2017-8046). CVE-2017-8046 11 17 3 17 6166614372705977598 +github:439931338 2021-12-19 2024-07-27 f https://github.com/Labout/log4shell-rmi-poc A Proof of Concept of the Log4j vulnerabilities (CVE-2021-44228) over Java-RMI CVE-2021-44228 4 8 1 8 5608710952761977773 +github:617667621 2023-03-22 2023-03-23 f https://github.com/betillogalvanfbc/POC-CVE-2022-44268 CVE-2022-44268 0 1 1 1 4013495262505658409 +github:671124763 2023-07-26 2023-08-05 f https://github.com/davuXVI/CVE-2023-27163 PoC CVE-2023-27163, SSRF, request-baskets hasta v1.2.1 CVE-2023-27163 1 1 1 1 8145384783305585370 +github:1177333662 2026-03-09 2026-03-09 f https://github.com/Rk-000/Apache-Hunter ApacheHunter detects CVE-2024-22393 in Apache Answer servers. Like Wappalyzer but CLI-based. Scans headers, page content, meta tags, and paths to identify Apache versions and vulnerable installations (≤1.2.1). No output files—just real-time results. CVE-2024-22393 0 1 0 1 5758915279180684815 +github:1254116164 2026-05-30 2026-07-08 f https://github.com/fineman999/POC_CVE-2026-42589 POC_CVE-2026-42589 CVE-2026-42589 0 1 0 1 4191113758158445599 +github:438144746 2026-07-22 2026-05-23 f https://github.com/0xInfection/LogMePwn A fully automated, reliable, super-fast, scanning and validation toolkit for the Log4J RCE CVE-2021-44228 vulnerability. CVE-2021-44228 54 395 9 395 5640031173152433396 +github:1007337497 2025-06-23 2025-11-19 f https://github.com/qiaojojo/CVE-2025-49132_poc Pterodactyl翼龙面板CVE-2025-49132批量检测☝️🤓 CVE-2025-49132 0 4 0 4 6836958086926474488 +github:1179152265 2026-03-11 2026-07-13 f https://github.com/TheLeopard65/CVE-2021-3156-Baron-Samedit A simple Docker lab and Exploit setup for CVE-2021-3156 - "Baron Samedit". CVE-2021-3156 0 1 0 1 5947597033175119694 +github:414347675 2021-10-08 2024-08-12 f https://github.com/n3k00n3/CVE-2021-41773 exploit to CVE-2021-41773 CVE-2021-41773 2 1 1 1 3115434062490933626 +github:1181187938 2026-03-13 2026-03-13 f https://github.com/extracoding-dozen/CVE-2024-3094 Research of CVE-2024-3094 vulnerability. CVE-2024-3094 0 0 0 0 4039154223138818225 +github:955692101 2025-03-27 2025-03-27 f https://github.com/0xBingo/CVE-2025-1974 A minimal test tool to help detect annotation injection vulnerabilities in Kubernetes NGINX Ingress controllers. This script sends a crafted AdmissionReview request to simulate a potential exploit path from CVE-2025-1974 and checks for signs of misinterpreted annotations in controller logs. CVE-2025-1974 0 0 1 0 1757736134097204093 +github:121831599 2018-02-17 2025-07-05 f https://github.com/R3K1NG/wpUsersScan Wordpress Username Enumeration /CVE-2017-5487,WordPress < 4.7.1 - CVE-2017-5487 1 1 0 1 5814801763783691026 +github:1309488427 2026-07-23 2026-07-23 f https://github.com/razureink/cve-2025-55182-react2shell_reproduction CVE Reproduction: cve-2025-55182-react2shell_reproduction CVE-2025-55182 0 0 0 0 4099850666959845314 +github:1109565745 2026-01-03 2026-07-22 f https://github.com/whiteov3rflow/CVE-2025-55182-poc React2Shell Proof of Concept CVE-2025-55182 33 94 0 94 7625159083632361624 +github:1194851569 2026-03-28 2026-03-28 f https://github.com/Humberto-pixel/CVE-2023-43208-PoC Explota vulnerabilidad CVE-2023-43208 0 0 0 0 8009250311300832017 +github:1203614231 2026-04-07 2026-04-07 f https://github.com/sathish46-lab/CVE-2025-48384-submodule CVE-2025-48384 0 0 0 0 7241395479138208939 +github:657085766 2023-06-22 2025-10-20 f https://github.com/afine-com/CVE-2023-35840 elFinder < 2.1.62 - Path Traversal vulnerability in PHP LocalVolumeDriver connector CVE-2023-35840 1 2 0 2 3368683677384213142 +github:149863677 2020-09-21 2020-09-21 f https://github.com/himanshurahi1996/e107_2.1.9_CSRF_POC CVE-2018-17081 CVE-2018-17081 0 0 0 0 5997601789224684850 +github:333238894 2021-02-10 2024-08-12 f https://github.com/AssassinUKG/CVE-2020-9484 CVE-2020-9484 5 4 1 4 656970215024418321 +github:1112619711 2025-12-08 2026-02-26 f https://github.com/vulncheck-oss/cve-2025-55182 VulnCheck CVE-2025-55182 react2shell CVE-2025-55182 0 2 0 2 3381205978928189235 +github:95873695 2017-06-30 2025-08-29 f https://github.com/sUbc0ol/Apache-Struts-CVE-2017-5638-RCE-Mass-Scanner CVE-2017-5638 1 0 0 0 162294362763525197 +github:1293424439 2026-07-08 2026-07-08 f https://github.com/junghyeonkum/CVE-2022-24706 CVE-2022-24706 0 0 0 0 3527177843317061914 +github:1039891400 2025-08-18 2025-10-05 f https://github.com/shoucheng3/asf__nifi_CVE-2023-34468_1-21-00 CVE-2023-34468 0 0 0 0 6750282162397882227 +github:346285133 2021-03-10 2023-11-18 f https://github.com/AlkenePan/CVE-2021-21300 CVE-2021-21300 5 0 1 0 7266312143924464442 +github:946481482 2025-03-11 2025-03-11 f https://github.com/Vanshuk-Bhagat/Apache-HTTP-Server-Vulnerabilities-CVE-2021-41773-and-CVE-2021-42013 In this project, I documented a detailed penetration testing process targeting Apache HTTP Server vulnerabilities, specifically CVE-2021-41773 and CVE-2021-42013, which involve Path Traversal and Remote Code Execution (RCE). CVE-2021-41773 0 0 1 0 2622425023808097882 +github:1244824112 2026-05-20 2026-05-20 f https://github.com/xiaoqiesec0x1/CVE-2024-4367-PDF.js-xss CVE-2024-4367–PDF.js-xss CVE-2024-4367 0 0 0 0 6872983070462675189 +github:346572089 2021-03-11 2021-03-16 f https://github.com/1uanWu/CVE-2021-21300 remote code exec for git CVE-2021-21300 2 0 1 0 3770729878093279482 +github:320084650 2020-12-10 2023-03-10 f https://github.com/MBHudson/CVE-2020-1971 CVE-2020-1971 Auto Scan & Remote Exploit Script. Auto Local Scan & Patch Script. CVE-2020-1971 2 7 3 7 6900306257873518851 +github:1219571597 2026-04-24 2026-04-24 f https://github.com/karimelsheikh1/HTB-Pterodactyl-Writeup HTB Season 10 - Pterodactyl machine writeup. Medium Linux box covering CVE-2025-49132 (Pterodactyl Panel RCE) and CVE-2025-6018/6019 (udisks2 privilege escalation). CVE-2025-49132 0 0 0 0 4866294896299595723 +github:1111759231 2025-12-07 2025-12-07 f https://github.com/commit2main/zerologon-lab Scripts for a lab environment demonstrating the Zerologon (CVE-2020-1472) vulnerability. CVE-2020-1472 0 0 0 0 7218180116895431222 +github:1113176454 2026-06-15 2026-07-13 f https://github.com/edoardottt/CVE-2025-67511 CVE-2025-67511: Tricking a Security AI Agent Into Pwning Itself CVE-2025-67511 0 5 0 5 6732815106264117474 +github:677308198 2023-08-11 2024-01-06 f https://github.com/d0rb/CVE-2023-33246 CVE-2023-33246 POC CVE-2023-33246 0 1 1 1 3484255078010193526 +github:766465357 2024-03-03 2024-05-16 f https://github.com/r4vanan/CVE-2023-34845 Vulnerability POC for CVE-2023-34845 CVE-2023-34845 1 1 1 1 7231840014738477760 +github:972757120 2025-05-08 2025-05-08 f https://github.com/becrevex/CVE-2025-32433 Erlang OTP SSH NSE Discovery Script CVE-2025-32433 0 1 1 1 7109256643885661824 +github:1113738692 2025-12-11 2025-12-11 f https://github.com/gonaumov/cve-2025-55182-checker A portable Bash script to detect vulnerable versions of React Server DOM and Next.js packages affected by [CVE-2025-55182] CVE-2025-55182 0 0 0 0 9021579637494255424 +github:1307864027 2026-07-24 2026-07-24 f https://github.com/pduggusa/dugganusa-ietf DugganUSA threat-intelligence contributions to the IETF Hackathon — real-world agentic-attack benchmark vectors, CVE-2026-33697 attestation analysis, MCP verification. Empirical grounding for standards work. CVE-2026-33697 0 0 0 0 1204867447745840923 +github:671894212 2023-07-28 2024-04-20 f https://github.com/Pumpkin-Garden/POC_Metabase_CVE-2023-38646 For educational purposes only CVE-2023-38646 1 6 1 6 3120130560835263777 +github:699309813 2024-04-21 2026-07-11 f https://github.com/OligoCyberSecurity/ShellTorchChecker A tool that checks if a TorchServe instance is vulnerable to CVE-2023-43654 CVE-2023-43654 1 40 1 40 4348237511253865918 +github:1288777833 2026-07-04 2026-07-04 f https://github.com/Curtail-Inc/hello-ReGrade-security Find the vulnerability your tests were never written to catch. A ReGrade demo modeling CVE-2023-5968: catch a password-hash leak by comparing an app to itself. CVE-2023-5968 0 0 0 0 5406365431025517745 +github:836283983 2024-07-31 2026-04-08 f https://github.com/alex14324/ssh_poc2024 An exploit for CVE-2024-6387, targeting a signal handler race condition in OpenSSH's server CVE-2024-6387 0 1 1 1 4793611913461375012 +github:1113860182 2026-03-12 2026-03-12 f https://github.com/CrazyloveforWeb/Golang-CVE-2025-55182-POC CVE-2025-55182 0 0 0 0 5586710780224353556 +github:808410272 2024-05-31 2024-05-31 f https://github.com/AD-Appledog/CVE-2024-32002 CVE-2024-32002wakuwaku CVE-2024-32002 0 0 1 0 2515892868787969009 +github:104625015 2017-09-24 2017-09-24 f https://github.com/l0n3rs/CVE-2017-9798 CVE-2017-9798 1 0 0 0 2126694456915454404 +github:439234639 2022-01-04 2021-12-17 f https://github.com/Grupo-Kapa-7/CVE-2021-44228-Log4j-PoC-RCE PoC RCE Log4j CVE-2021-4428 para pruebas CVE-2021-44228 1 0 0 0 7757352522063312657 +github:146628899 2018-08-31 2024-08-12 f https://github.com/u238/grafana-CVE-2018-15727 a small utility to generate a cookie in order to exploit a grafana vulnerability (CVE-2018-15727) CVE-2018-15727 7 22 1 22 8985903042806705719 +github:653891440 2023-06-15 2023-06-21 f https://github.com/5rGJ5aCh5oCq5YW9/CVE-2023-32315exp CVE-2023-32315 1 2 1 2 5208268254084085308 +github:560631661 2022-11-01 2025-08-31 f https://github.com/d3fudd/CVE-2017-7494_SambaCry SambaCry (CVE-2017-7494) exploit for Samba | bind shell without Metasploit CVE-2017-7494 0 7 1 7 8089721457589881734 +github:1021959957 2026-02-11 2026-02-11 f https://github.com/Ch35h1r3c47/CVE-2022-44136-poc Zenar CMS 9.3 suffers from an ​​unrestricted file upload vulnerability​​ in its file management module, allowing authenticated attackers (with minimal privileges) to upload arbitrary files, including malicious PHP scripts, to the web server. CVE-2022-44136 0 1 0 1 1675324669746675808 +github:193423029 2022-01-26 2020-09-03 f https://github.com/OzNetNerd/apche-struts-vuln-demo-cve-2018-11776 Spins up an isolated test environment for experimentation with Apache Struts vulnerability CVE-2018-11776. CVE-2018-11776 0 0 0 0 1138396566352774382 +github:818045212 2024-07-31 2026-01-20 f https://github.com/g4nkd/CVE-2023-30253-PoC I couldn’t find a PoC for CVE-2023-30253, so I developed an effective one CVE-2023-30253 0 1 1 1 8980892691054280515 +github:104254696 2017-09-20 2020-11-23 f https://github.com/pabloec20/optionsbleed CVE-2017-9798 CVE-2017-9798 1 2 0 2 9023562669865572631 +github:737283431 2025-06-20 2024-07-02 f https://github.com/DASICS-ICT/DASICS-CVE-2021-3156 CVE-2021-3156 0 1 0 1 6278639689611715137 +github:1111593131 2025-12-07 2026-04-07 f https://github.com/ihhgimhana/React2Shell-CVE-2025-55182-PoC-Reverse-Shell This is an easy to use PoC script to exploit React2Shell-CVE-2025-55182 Nextjs vulnerability. This will help to gain a reverse shell. CVE-2025-55182 0 3 0 3 4512802646766459018 +github:476680845 2022-04-01 2022-04-02 f https://github.com/AayushmanThapaMagar/CVE-2022-22963 POC for CVE-2022-22963 CVE-2022-22963 0 1 1 1 3457359703901258060 +github:202034341 2019-10-14 2024-08-12 f https://github.com/Wezery/CVE-2019-14529 OpenEMR Security issue CVE-2019-14529 1 0 1 0 4955419813943516338 +github:1032328245 2025-08-05 2025-08-05 f https://github.com/NUDTTAN91/Webmin-CVE-2022-0824-Enhanced-Exploit Webmin CVE-2022-0824 增强版漏洞利用工具 - 支持命令执行和反向Shell双模式 CVE-2022-0824 0 0 0 0 3350972374258230275 +github:903309507 2024-12-14 2024-12-14 f https://github.com/CodePontiff/next_js_poisoning The CVE-2024-46982 is cache poisoning of next_js some site have API to load their image CVE-2024-46982 1 0 2 0 6113486277068606867 +github:1032348141 2025-08-05 2025-08-05 f https://github.com/zs1n/CVE-2025-24893 PoC | XWiki Platform 15.10.10 - Remote Code Execution CVE-2025-24893 0 0 0 0 846151081703188059 +github:118851943 2018-01-25 2026-03-09 f https://github.com/CHYbeta/CVE-2018-1000006-DEMO The Demo for CVE-2018-1000006 CVE-2018-1000006 5 39 1 39 3705435503830181242 +github:1278497949 2026-06-23 2026-06-30 f https://github.com/0xBlackash/CVE-2026-55200 CVE-2026-55200 CVE-2026-55200 2 10 0 10 2555147905886392198 +github:439030654 2021-12-21 2021-12-21 f https://github.com/gyaansastra/CVE-2021-44228 Log4Shell CVE-2021-44228 Vulnerability Scanner and POC CVE-2021-44228 0 1 1 1 12358176949028626 +github:1014103850 2025-07-04 2026-05-01 f https://github.com/gmh5225/Blackash-CVE-2025-32463 CVE-2025-32463 CVE-2025-32463 0 0 0 0 1170123758922541270 +github:329385640 2021-01-13 2021-01-13 f https://github.com/Starry-lord/CVE-2018-0114 CVE-2018-0114 0 0 1 0 2117715166404754698 +github:439273329 2021-12-23 2024-05-08 f https://github.com/sysadmin0815/Fix-Log4j-PowershellScript Log4Shell mitigation (CVE-2021-44228) - search and remove JNDI class from *log4j*.jar files on the system with Powershell (Windows) CVE-2021-44228 0 0 1 0 2521581219660937378 +github:893730273 2024-11-25 2026-01-22 f https://github.com/ally-petitt/CVE-2024-48990-Exploit My exploit for CVE-2024-48990. Full details of how I made this are on my blog. CVE-2024-48990 14 5 1 5 7813728037980420981 +github:1113996223 2025-12-10 2025-12-12 f https://github.com/VeilVulp/RscScan-cve-2025-55182 RscScan: Professional cross-platform vulnerability scanner for Next.js Server Actions (CVE-2025-55182). Detects critical RCE flaws with multi-threaded scanning, real-time analytics, and multi-language support. Built with Electron & React. CVE-2025-55182 0 3 0 3 334909566113030889 +github:100116587 2017-08-12 2019-05-09 f https://github.com/alilangtest/CVE-2017-1000117 test CVE-2017-1000117 0 0 1 0 7819746637881488054 +github:1030539488 2025-08-01 2025-08-01 f https://github.com/Nosie12/fire-wall-server Python-based simulated firewall to detect and block Spring4Shell (CVE-2022-22965) exploit attempts. This project filters HTTP requests by identifying malicious payload patterns using a custom firewall_server.py and tests them with test_requests.py. CVE-2022-22965 0 0 0 0 5030932941391707913 +github:1129699353 2026-01-20 2026-01-20 f https://github.com/BoianEduard/CVE-2025-1974 ingress-nginx admission controller RCE escalation PoC CVE-2025-1974 0 0 0 0 3031023985624093895 +github:1112515019 2025-12-08 2026-06-11 f https://github.com/jan0x190/CVE-2025-55182-Simple-Scanner-main CVE-2025-55182 0 1 0 1 1051028468993387569 +github:1112936084 2025-12-09 2026-07-20 f https://github.com/joelvaiju/react2shell-CVE-2025-55182-poc a simple react2shell poc with basic waf bypass CVE-2025-55182 0 3 0 3 2385306103151406452 +github:1258204776 2026-06-03 2026-06-03 f https://github.com/strivepan/Nginx_cve-2026-42945-scanner-gui Bulk scanning + one-click vulnerability exploitation CVE-2026-42945 0 3 0 3 4292586400313400436 +github:313906359 2020-11-20 2026-05-13 f https://github.com/masahiro331/CVE-2020-8277 CVE-2020-8277 0 7 1 7 7645503867627843454 +github:891432537 2024-11-20 2024-12-28 f https://github.com/TAM-K592/CVE-2024-52316 CVE-2024-52316 - Apache Tomcat Authentication Bypass Vulnerability CVE-2024-52316 1 0 1 0 2545593911814234058 +github:918881461 2025-04-10 2025-04-10 f https://github.com/EliahKagan/checkout-index Reproducer for CVE-2025-22620 CVE-2025-22620 0 0 1 0 45686457785070317 +github:180293963 2021-10-21 2024-12-30 f https://github.com/qweraqq/CVE-2018-11235-Git-Submodule-CE CVE-2018-11235-Git PoC CVE-2018-11235 1 3 1 3 3236209044344249798 +github:244379753 2020-03-02 2025-05-07 f https://github.com/fairyming/CVE-2020-9547 CVE-2020-9547：FasterXML/jackson-databind 远程代码执行漏洞 CVE-2020-9547 7 23 1 23 3977339045419188682 +github:481145537 2022-04-13 2022-04-13 f https://github.com/jfrog/jfrog-CVE-2022-24675 CVE-2022-24675 1 0 2 0 6094915553064794372 +github:1237291395 2026-06-10 2026-06-10 f https://github.com/Jenderal92/magento-upload-auto-submit-zoneh SessionReaper-CVE-2025-54236 CVE-2025-54236 0 0 0 0 6630470425162139318 +github:1112255751 2025-12-17 2026-03-26 f https://github.com/0xSalm0n/CVE-2025-55182 CVE-2025-55182 0 1 0 1 5452233302696723327 +github:1083223921 2025-12-04 2025-12-04 f https://github.com/Theethat-Thamwasin/CVE-2025-65346 A Path Traversal vulnerability in the unzip/extract functionality of the affected application allows an attacker to write files to arbitrary filesystem locations during archive extraction. Because the extraction routine fails to sanitize destination paths inside ZIP entries, an attacker can craft ZIP archives containing traversal sequences (e.g., . CVE-2025-65346 0 0 0 0 9117675805008609632 +github:84819853 2017-03-20 2024-08-12 f https://github.com/oktavianto/CVE-2017-5638-Apache-Struts2 Example PHP Exploiter for CVE-2017-5638 CVE-2017-5638 4 1 1 1 990185766238955514 +github:834267924 2024-07-26 2024-07-26 f https://github.com/asd58584388/CVE-2021-44228 CVE-2021-44228 vulnerability study CVE-2021-44228 0 0 1 0 4235066346929470586 +github:213851960 2023-02-04 2023-02-11 f https://github.com/nisaruj/nosqli-flintcms Blind noSQL injection case study lab based on CVE-2018-3783 CVE-2018-3783 0 4 1 4 4873283101913250119 +github:988268131 2025-05-22 2026-05-18 f https://github.com/Saptaktdk/go-get-RCE This is the exploit of CVE-2018-6574: go get RCE CVE-2018-6574 0 0 1 0 6563333366647551282 +github:272803463 2020-06-16 2026-05-13 f https://github.com/osamahamad/CVE-2020-5410-POC CVE-2020-5410 Spring Cloud Config directory traversal vulnerability CVE-2020-5410 6 30 2 30 794070488595345164 +github:968584793 2025-04-18 2025-04-18 f https://github.com/LemieOne/CVE-2025-32433 Missing Authentication for Critical Function (CWE-306)-Exploit CVE-2025-32433 0 3 1 3 2767699740147917103 +github:265151514 2020-05-19 2026-07-03 f https://github.com/threedr3am/tomcat-cluster-session-sync-exp tomcat使用了自带session同步功能时，不安全的配置（没有使用EncryptInterceptor）导致存在的反序列化漏洞，通过精心构造的数据包， 可以对使用了tomcat自带session同步功能的服务器进行攻击。PS:这个不是CVE-2020-9484，9484是session持久化的洞，这个是session集群同步的洞！ CVE-2020-9484 37 214 2 214 7789170080893810754 +github:513057641 2022-07-12 2022-07-12 f https://github.com/kmahyyg/CVE-2022-22947 CVE-2022-22947 0 1 1 1 7524280158080998226 +github:1113621703 2025-12-12 2025-12-12 f https://github.com/bakhod1r/CVE-2025-55182 CVE-2025-55182 0 0 0 0 6909528985229144584 +github:1250352382 2026-05-26 2026-07-18 f https://github.com/Nxploited/CVE-2026-47668 DbGate Unauthenticated Remote Code Execution CVE-2026-47668 0 6 0 6 1352094409173692819 +github:672206923 2023-09-07 2026-02-02 f https://github.com/jakabakos/CVE-2023-22884-Airflow-SQLi CVE-2023-22884 PoC CVE-2023-22884 3 9 1 9 889879422215846985 +github:618321930 2023-03-24 2026-04-01 f https://github.com/MzzdToT/CVE-2023-28432 MinIO敏感信息泄露漏洞批量扫描poc&exp CVE-2023-28432 11 37 2 37 3655887759556409581 +github:490780231 2022-05-10 2024-05-03 f https://github.com/spring-io/cve-2022-22976-bcrypt-skips-salt CVE-2022-22976 0 1 2 1 4460863096521344882 +github:1246946637 2026-05-22 2026-07-04 f https://github.com/F2u0a0d3/CVE-2026-42945-nginx-rift-poc PoC for CVE-2026-42945 (nginx Rift) — heap buffer overflow in ngx_http_rewrite_module. Includes detect/probe/exploit modes, dual-fixture Docker lab, empirical address discovery, OOB-verified offset sweep. Original disclosure by depthfirst. CVE-2026-42945 0 1 0 1 1023110623727531856 +github:507218064 2022-06-25 2026-03-13 f https://github.com/B0rn2d/Spring-Cloud-Gateway-Nacos Nacos下Spring-Cloud-Gateway CVE-2022-22947利用环境 CVE-2022-22947 4 16 1 16 8246633479786808285 +github:1293455774 2026-07-08 2026-07-08 f https://github.com/minsmiths/cve-2023-34446 CVE-2023-34446 0 0 0 0 6768296972974192999 +github:1109696160 2025-12-04 2025-12-06 f https://github.com/sudo-Yangziran/CVE-2025-55182POC CVE-2025-55182 0 2 0 2 3508671156145946158 +github:129016985 2018-03-12 2025-11-04 f https://github.com/Pa55w0rd/CVE-2018-1305 Apache Tomcat 安全绕过漏洞 Poc CVE-2018-1305 9 6 1 6 2785195840254321707 +github:734561364 2024-01-01 2024-01-13 f https://github.com/aaronm-sysdig/cve-2023-50164 CVE-2023-50164 1 1 1 1 1426042403723453951 +github:826836993 2024-07-10 2024-07-10 f https://github.com/DimaMend/cve-2024-6387-poc CVE-2024-6387 0 0 1 0 6378050547862052949 +github:1240952320 2026-05-23 2026-07-13 f https://github.com/N1et/CVE-2026-46529 Evince/xreader/Atril RCE exploit to CVE-2026-46529 CVE-2026-46529 5 13 0 13 1233322406287767118 +github:698015658 2023-09-29 2025-12-02 f https://github.com/OITApps/Find-VulnerableElectronVersion Scans an executable and determines if it was wrapped in an Electron version vulnerable to the Chromium vulnerability CVE-2023-4863/ CVE-2023-5129 CVE-2023-4863 0 5 0 5 859620617462094710 +github:1100924580 2025-11-21 2025-11-21 f https://github.com/AN5I/cve-2025-12735-expr-eval-rce Security research tool for detecting and testing CVE-2025-12735 (expr-eval RCE vulnerability) CVE-2025-12735 1 0 0 0 7456525211684858454 +github:242675940 2020-02-24 2024-08-12 f https://github.com/fairyming/CVE-2019-17564 CVE-2019-17564：Apache Dubbo反序列化漏洞 CVE-2019-17564 5 8 2 8 4634554694420417448 +github:427124933 2021-11-11 2021-11-11 f https://github.com/ericmann/apache-cve-poc Dockerized Proof-of-Concept of CVE-2021-40438 in Apache 2.4.48. CVE-2021-40438 1 0 1 0 8493452815038003229 +github:931426692 2025-02-12 2025-02-12 f https://github.com/ravi5hanka/CVE-2021-43798-Exploit-for-Windows-and-Linux Modified exploit for CVE-2021-43798 compatible with both Windows and Linux hosts. CVE-2021-43798 0 0 1 0 1501124812355314116 +github:884847468 2024-11-07 2024-12-28 f https://github.com/thehash007/CVE-2024-51567-RCE-EXPLOIT cbyerpanel rce exploit CVE-2024-51567 0 1 1 1 7410257182706146770 +github:519767694 2022-08-15 2022-08-15 f https://github.com/istanescu/CVE-2017-1000251_Exploit PoC exploit for CVE-2017-1000251 (modified) CVE-2017-1000251 1 0 1 0 7528483129382905162 +github:812482563 2024-06-14 2025-09-22 f https://github.com/tadash10/Exploiting-CVE-2021-44228-Log4Shell-in-a-Banking-Environment Objective: Demonstrate the exploitation of the Log4Shell vulnerability (CVE-2021-44228) within a simulated banking application environment. CVE-2021-44228 0 3 1 3 2904357952996637308 +github:961436063 2025-04-06 2025-04-06 f https://github.com/he-ewo/CVE-2022-22978 CVE-2022-22978 0 0 1 0 5647042860401844332 +github:1129965008 2026-01-07 2026-01-07 f https://github.com/en0f/CVE-2025-55182-poc-json CVE-2025-55182-poc-json CVE-2025-55182 0 0 0 0 4666014628924608258 +github:484697115 2022-04-28 2024-08-12 f https://github.com/mariomamo/CVE-2022-22965 CVE-2022-22965 1 5 1 5 417352351231044826 +github:1257782764 2026-06-03 2026-06-03 f https://github.com/06-ux/CVE-2026-9256-POC CVE-2026-9256 Nginx heap buffer overflow POC CVE-2026-9256 0 0 0 0 6997272091630466536 +github:420650239 2021-10-24 2026-07-18 f https://github.com/sixpacksecurity/CVE-2021-40438 CVE-2021-40438 exploit PoC with Docker setup. CVE-2021-40438 4 14 1 14 5022277865657141407 +github:706569754 2023-10-18 2023-10-18 f https://github.com/cli-ish/CVE-2023-28329 CVE-2023-28329 0 0 1 0 2516126512626564930 +github:309756250 2021-01-12 2025-10-29 f https://github.com/ExploitBox/git-lfs-RCE-exploit-CVE-2020-27955 Git-lfs RCE exploit CVE-2020-27955 - tested on Windows on: git, gh cli, GitHub Desktop, Visual Studio, SourceTree etc. CVE-2020-27955 25 30 2 30 8465215080100480472 +github:414845157 2021-10-08 2024-08-12 f https://github.com/0xRar/CVE-2021-41773 Exploit for Apache 2.4.49 CVE-2021-41773 12 7 1 7 3021736845463344000 +github:439018822 2022-03-05 2022-03-05 f https://github.com/andalik/log4j-filescan Scanner recursivo de arquivos desenvolvido em Python 3 para localização e varredura de versões vulneráveis do Log4j2, contemplando análise interna de arquivos JAR (CVE-2021-44228, CVE-2021-45046, CVE-2021-45105 e CVE-2021-44832) CVE-2021-44228 0 1 2 1 2160424753273788568 +github:788459467 2024-04-18 2026-05-18 f https://github.com/neuralinhibitor/xzwhy XZ Utils CVE-2024-3094 POC for Kubernetes CVE-2024-3094 0 5 1 5 5972853777113453626 +github:1286606231 2026-07-03 2026-07-03 f https://github.com/kaleth4/CVE-2026-55200 CVE-2026-55200 0 0 0 0 4826166436043486119 +github:241135389 2020-02-17 2025-01-22 f https://github.com/eastmountyxz/CVE-2020-0601-EXP 这资源是作者复现微软签字证书漏洞CVE-2020-0601，结合相关资源及文章实现。推荐大家结合作者博客，理解ECC算法、Windows验证机制，并尝试自己复现可执行文件签名证书和HTTPS劫持的例子。作为网络安全初学者，自己确实很菜，但希望坚持下去，加油！ CVE-2020-0601 2 30 1 30 6776474331415850079 +github:1123925696 2025-12-27 2025-12-27 f https://github.com/saereya/CVE-2025-14847---MongoBleed CVE-2025-14847 0 0 0 0 576855454119723344 +github:440601926 2023-03-22 2021-12-21 f https://github.com/rejupillai/log4j2-hack-springboot Log4j2 CVE-2021-44228 hack demo for a springboot app CVE-2021-44228 0 0 1 0 1451159345323553448 +github:1263535547 2026-06-09 2026-06-09 f https://github.com/HORKimhab/CVE-2024-52011 CVE-2024-52011 - Draft CVE-2024-52011 0 0 0 0 2242067236068217838 +github:1113218682 2025-12-10 2025-12-10 f https://github.com/amir-malek/react-cve-2025-55182 CVE-2025-55182 0 0 0 0 5447267545540159615 +github:823086763 2024-07-08 2026-06-16 f https://github.com/devarshishimpi/CVE-2024-6387-Check Fast, efficient, and reliable detection for the regreSSHion exploit. Scan multiple targets in seconds with zero dependencies. CVE-2024-6387 3 14 2 14 8948075585088254059 +github:1023573500 2025-07-21 2025-07-21 f https://github.com/BreezeGalaxy/CVE-2023-38646 CVE-2023-38646 0 0 0 0 3135823951820067190 +github:1039006748 2025-08-16 2025-08-16 f https://github.com/shoucheng3/apache__shiro_CVE-2023-34478_1-11-0 CVE-2023-34478 0 0 0 0 1696491432314685544 +github:977124082 2025-05-03 2025-05-03 f https://github.com/vigilante-1337/CVE-2025-32433 A critical flaw has been discovered in Erlang/OTP's SSH server allows unauthenticated attackers to gain remote code execution. One malformed SSH handshake bypasses authentication and exploits improper handling of SSH protocol messages. CVE-2025-32433 0 0 1 0 5529937037850525686 +github:1246866909 2026-05-23 2026-06-24 f https://github.com/SpeatX/WordPress-RCE-CVE-2019-8942 Python exploit toolkit for WordPress Crop Image RCE — CVE-2019-8942 & CVE-2019-8943 CVE-2019-8942 0 1 0 1 627486616411086198 +github:414252359 2021-10-06 2026-02-16 f https://github.com/BlueTeamSteve/CVE-2021-41773 Vulnerable docker images for CVE-2021-41773 CVE-2021-41773 8 23 1 23 4432379619973755823 +github:1126672833 2026-01-02 2026-01-02 f https://github.com/Stp1t/CVE-2025-27591 Exploit for CVE-2025-27591 (for educational purposes) CVE-2025-27591 0 0 0 0 8921271825657946505 +github:441364313 2021-12-24 2021-12-24 f https://github.com/grimch/log4j-CVE-2021-44228-workaround general purpose workaround for the log4j CVE-2021-44228 vulnerability CVE-2021-44228 0 0 1 0 4388395790763451964 +github:1114549858 2025-12-11 2025-12-12 f https://github.com/Jmehta10/CVE-2025-66470 A fast, simple scanner for detecting CVE-2025-66470 - XSS vulnerability in NiceGUI's ui.interactive_image component. CVE-2025-66470 1 2 0 2 6725737317012951296 +github:422620568 2021-10-29 2021-10-29 f https://github.com/scopion/CVE-2018-8947 CVE-2018-8947 1 0 1 0 4978687671289706175 +github:630844635 2023-04-21 2024-07-15 f https://github.com/padbergpete47/CVE-2023-1454 CVE-2023-1454,Jeecg-Boot 前台SQL注入,CVE-2023-1454批量检测 CVE-2023-1454 2 8 1 8 515686095456547355 +github:564929230 2022-11-24 2026-04-04 f https://github.com/Cr4ckC4t/cve-2022-41352-zimbra-rce Zimbra <9.0.0.p27 RCE CVE-2022-41352 24 109 2 109 3792359969881994282 +github:849694443 2024-08-30 2026-07-24 f https://github.com/gh-ost00/CVE-2024-1071-SQL-Injection Proof of concept : CVE-2024-1071: WordPress Vulnerability Exploited CVE-2024-1071 7 24 1 24 2791314043772932195 +github:270998785 2020-06-09 2025-10-29 f https://github.com/hg8/CVE-2019-16113-PoC Bludit >= 3.9.2 - Authenticated RCE (CVE-2019-16113) CVE-2019-16113 1 5 1 5 8988293703283655474 +github:211231317 2019-09-27 2024-08-12 f https://github.com/lightninglabs/chanleakcheck A tool to check if your lnd node was targeted by CVE-2019-12999 CVE-2019-12999 6 10 4 10 8801800196991486322 +github:969817757 2025-04-21 2025-10-09 f https://github.com/imbas007/CVE-2025-30208-template CVE-2025-30208 vite file read nuclei template CVE-2025-30208 0 1 1 1 6856353418495563446 +github:1316705426 2026-07-30 2026-07-30 f https://github.com/HORKimhab/CVE-2026-59726 CVE-2026-59726 - Draft or Todo CVE-2026-59726 0 0 0 0 8212565438235103355 +github:1039062804 2025-08-16 2025-08-16 f https://github.com/shoucheng3/eclipse__hawkbit_CVE-2020-27219_0-3-0M6 CVE-2020-27219 0 0 0 0 7563144632119962143 +github:499886197 2022-06-04 2026-05-06 f https://github.com/ducluongtran9121/CVE-2022-22978-PoC PoC of CVE-2022-22978 vulnerability in Spring Security framework CVE-2022-22978 1 13 1 13 7104263269749101876 +github:863854967 2024-09-27 2024-12-17 f https://github.com/th4s1s/CVE-2024-32002-PoC Proof of Concept for CVE-2024-32002 CVE-2024-32002 0 1 1 1 6546338633543813522 +github:135505582 2020-10-25 2025-11-24 f https://github.com/Rogdham/CVE-2018-11235 PoC exploit for CVE-2018-11235 allowing RCE on git clone --recurse-submodules CVE-2018-11235 26 48 2 48 1895473407684197951 +github:1018359628 2025-07-12 2025-07-30 f https://github.com/Makkkiiii/GitPython-Exploit-CVE-2022-24439 Method I used for my Practical Pentest Module. CVE-2022-24439 0 1 0 1 7896912216125241529 +github:438043313 2021-12-14 2021-12-21 f https://github.com/perryflynn/find-log4j Find log4j for CVE-2021-44228 on some places * Log4Shell CVE-2021-44228 4 2 1 2 5518626284801537110 +github:437407625 2021-12-12 2022-05-22 f https://github.com/jeffbryner/log4j-docker-vaccine docker compose solution to run a vaccine environment for the log4j2 vulnerability CVE-2021-44228 CVE-2021-44228 0 2 1 2 3309948965713039724 +github:1149334696 2026-02-04 2026-02-25 f https://github.com/hsltz/CVE-2025-68493 CVE-2025-68493 CVE-2025-68493 0 2 0 2 2363660565934188319 +github:1283448209 2026-07-01 2026-07-29 f https://github.com/sydneysamantha/Triage-CVE-2021-44228-Log4Shell-Log4j- Goal is to triage well known attack and learn how security teams quickly respond. CVE-2021-44228 0 0 0 0 1814692799076282600 +github:1212113925 2026-06-27 2026-06-27 f https://github.com/Saku0512/CVE-2026-40176-poc CVE-2026-40176 0 2 0 2 5595891772163040285 +github:550214805 2022-10-12 2023-04-26 f https://github.com/6E6L6F/CVE-2022-35914 CVE-2022-35914 0 1 1 1 2919584437692313998 +github:662605583 2023-07-05 2026-01-21 f https://github.com/gbrsh/CVE-2023-3460 Exploit for CVE-2023-3460. Unauthorized admin access for Ultimate Member plugin < v2.6.7 CVE-2023-3460 13 35 1 35 3464690890282564749 +github:881948753 2024-11-01 2025-07-04 f https://github.com/Spid3heX/CVE-2024-1071-PoC-Script wp/ultimate-member - SQL Injection Vulnerability Exploit Script. CVE-2024-1071 1 2 1 2 5944356912117254750 +github:1013270647 2025-07-03 2025-07-04 f https://github.com/ashiqrehan-21/MCP-Inspector-CVE-2025-49596 MCP-Inspector-vulncheck is a Python script that checks if an MCP Inspector server is vulnerable to CVE-2025-49596. It tests whether the /sse endpoint responds to unauthenticated requests, indicating a potential security flaw. The script is simple to use and provides clear output on whether the target server is likely vulnerable or patched. CVE-2025-49596 0 0 0 0 5046357165907511958 +github:1094478293 2025-11-11 2026-01-13 f https://github.com/harekrishnarai/CVE-2024-23897-test-windows CVE-2024-23897 0 0 0 0 3677779913104477330 +github:1147576310 2026-02-13 2026-03-03 f https://github.com/woorifisa-service-dev-6th/tech-seminar-React2Shell [우리 FISA] 기술 세미나 우승 - 클라우드 서비스 개발 6기 3팀 - React2Shell (CVE-2025-55182) 분석 및 연구 CVE-2025-55182 0 1 0 1 2826375464726625207 +github:84581800 2017-03-12 2026-05-29 f https://github.com/xsscx/cve-2017-5638 Example PoC Code for CVE-2017-5638 | Apache Struts Exploit CVE-2017-5638 24 21 0 21 5379242924577237211 +github:869690102 2024-10-08 2025-05-30 f https://github.com/Carlos-Mesquita/TPASLog4ShellPoC Proof of Concept for the Log4Shell vulnerability (CVE-2021-44228), developed as part of the coursework for the curricular unit TPAS in the Master's degree in Information Security at FCUP. CVE-2021-44228 0 1 1 1 3297611524841861640 +github:634374104 2023-04-30 2023-04-30 f https://github.com/zPrototype/CVE-2023-29983 CVE-2023-29983 1 0 1 0 2069780536700153506 +github:225175128 2019-12-01 2026-07-29 f https://github.com/hekadan/CVE-2019-7609 CVE-2019-7609 3 20 3 20 1317714077085921 +github:475545855 2022-03-30 2025-01-25 f https://github.com/Vancomycin-g/CVE-2022-22947 CVE-2022-22947 1 2 1 2 3926142906837410608 +github:551262719 2023-06-16 2025-09-16 f https://github.com/EmicoEcommerce/Magento-APSB22-48-Security-Patches This repository contains potential security patches for the Magento APSB22-48 and CVE-2022-35698 security vulnerability CVE-2022-35698 11 37 11 37 675872209572587292 +github:1033713976 2025-08-07 2025-08-08 f https://github.com/Scouserr/cve-2022-0847-poc-dockerimage CVE-2022-0847 0 0 0 0 6900196103451422624 +github:1177305425 2026-03-09 2026-03-09 f https://github.com/0xBlackash/CVE-2025-49844 CVE-2025-49844 CVE-2025-49844 1 0 0 0 4460712627400353241 +github:1143902427 2026-01-28 2026-01-28 f https://github.com/SimoesCTT/CTT-Serverless-RCE-v1.0---Convergent-Time-Theory-Enhanced-MCP-Exploit Serverless Framework MCP Server (CVE-2025-69256) Base Score: 9.4/10 → CTT Enhanced Score: 9.9/10 A critical command injection vulnerability in Serverless Framework's MCP (Model Context Protocol) server enhanced with CTT temporal resonance for unprecedented exploitation reliability and evasion. CVE-2025-69256 0 0 0 0 392614352086107504 +github:867675283 2024-10-04 2024-10-04 f https://github.com/MohandAcherir/CVE-2021-23639 Exploit of CVE-2021-23639 for the vulnerable library 'md-to-pdf' in JS CVE-2021-23639 1 0 1 0 1545021369224055013 +github:663397634 2023-07-11 2024-04-20 f https://github.com/izzz0/CVE-2023-32315-POC CVE-2023-32315-Openfire-Bypass CVE-2023-32315 1 5 1 5 3480990498617526430 +github:1297265188 2026-07-11 2026-07-11 f https://github.com/cybertechajju/CVE-2026-59734-POC OS Command Injection in Health Check → Remote Code Execution CVE-2026-59734 0 0 0 0 2173748724337061465 +github:1032661315 2025-08-05 2025-08-05 f https://github.com/KameliaZaman/Exploiting-GitLab-CVE-2023-7028 Penetration test targeting CVE-2023-7028 CVE-2023-7028 0 0 0 0 2824984134989852696 +github:806068547 2024-06-01 2024-06-01 f https://github.com/Surko888/Surko-Exploit-Jenkins-CVE-2024-23897 Un exploit con el que puedes aprovecharte de la vulnerabilidad (CVE-2024-23897) CVE-2024-23897 0 0 1 0 8871207588528766603 +github:323716576 2021-03-03 2026-05-20 f https://github.com/stealthcopter/CVE-2020-28243 CVE-2020-28243 Local Privledge Escalation Exploit in SaltStack Minion CVE-2020-28243 3 20 2 20 598894478550059061 +github:610851382 2023-06-04 2024-09-24 f https://github.com/charis3306/CVE-2022-22963 spring cloud function 一键利用工具! by charis 博客https://charis3306.top/ CVE-2022-22963 0 8 1 8 3101735436920769721 +github:338203663 2021-02-12 2021-02-12 f https://github.com/freddierice/cve-2020-35498-flag Flag the cve-2020-35498 attack CVE-2020-35498 1 0 1 0 5325083819593345792 +github:848376459 2024-09-01 2025-12-26 f https://github.com/Safarchand/CVE-2024-25641 PoC for CVE-2024-25641 Authenticated RCE on Cacti v1.2.26 CVE-2024-25641 2 2 1 2 5296763436934913188 +github:1107304117 2025-12-01 2025-12-01 f https://github.com/0xcucumbersalad/CVE-2025-13796-PoC deco-cx apps Parameter analyticsScript.ts AnalyticsScript server-side request forgery CVE-2025-13796 0 0 0 0 166265093723538321 +github:1120347152 2026-03-11 2026-03-31 f https://github.com/purgemebaby/CVE-2018-11736 PoC exploit for CVE-2018-11736 affecting Pluck CMS versions prior to 4.7.7-dev2 with a File Upload Vulnerability CVE-2018-11736 0 1 0 1 5643284334976739709 +github:627250763 2023-04-13 2024-06-26 f https://github.com/P4x1s/CVE-2023-1454-EXP CVE-2023-1454 jeecg-boot Unauthorized SQL injection vulnerability CVE-2023-1454 0 1 1 1 6025050107452393979 +github:688500004 2023-09-07 2026-06-22 f https://github.com/Chocapikk/CVE-2023-30943 A Python-based tool to detect the CVE-2023-30943 vulnerability in Moodle, which allows unauthorized folder creation via specially crafted requests in TinyMCE loaders. CVE-2023-30943 3 14 2 14 8021854178102799734 +github:1111264326 2025-12-13 2026-04-06 f https://github.com/keklick1337/CVE-2025-55182-golang-PoC CVE-2025-55182 React Server Components RCE - Go PoC CVE-2025-55182 1 6 0 6 7985140064247244163 +github:175870594 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2019-9194 cve-2019-9194 CVE-2019-9194 0 0 0 0 7190470543259393488 +github:1262791979 2026-06-08 2026-07-13 f https://github.com/YuvrajSHAD/FreePBX-CVE-2025-57819 Unauthenticated SQL Injection to Remote Code Execution in FreePBX — CVE-2025-57819 CVE-2025-57819 0 1 0 1 275331859599512540 +github:1098213319 2025-11-17 2026-05-09 f https://github.com/cybercrewinc/CVE-2025-64027 Reflected Cross-Site Scripting in Snipe-IT CSV Import Workflow CVE-2025-64027 0 0 0 0 4010367693621458463 +github:1270202116 2026-07-12 2026-07-12 f https://github.com/DylanZahedi/CVE-2026-9277 CVE-2026-9277 0 2 0 2 7079071590327161322 +github:739326545 2024-01-05 2024-12-17 f https://github.com/AVE-Stoik/CVE-2020-11110-Proof-of-Concept Proof of concept for CVE-2020-11110, for educational purpose only CVE-2020-11110 1 2 1 2 8937205725461208519 +github:854473439 2024-09-10 2024-09-10 f https://github.com/Philip-Otter/CVE-2022-0944_RCE_Automation PoC code written for CVE-2022-0944 to make exploitation easier. Based on information found here: https://huntr.com/bounties/46630727-d923-4444-a421-537ecd63e7fb CVE-2022-0944 1 0 1 0 6807934242648416423 +github:1197942284 2026-07-02 2026-07-02 f https://github.com/eris-ths/supply-chain-guard Detect, assess, and respond to supply chain attacks across npm/yarn and Python (pip/poetry/uv). Claude Code skill + standalone scripts. Built during axios RAT (2026-03-31) and Starlette BadHost CVE-2026-48710 (2026-05-22). CVE-2026-48710 0 3 0 3 9179714388370958193 +github:463162355 2022-02-24 2023-09-22 f https://github.com/OmriBaso/CVE-2022-22845-Exploit Exploit for CVE-2022-22845 - Unauthenticated Admin Takeover On QXIP SIPCAPTURE Homer-App up to 1.4.27 CVE-2022-22845 1 2 1 2 680659548955990204 +github:835883162 2024-07-30 2025-10-22 f https://github.com/Mr-r00t11/CVE-2024-34693 An input validation vulnerability in Apache Superset allows an authenticated attacker to create a MariaDB connection with local_infile enabled, potentially leading to local file disclosure on the server. Fixed in Superset versions 3.1.3 and 4.0.1. CVE-2024-34693 0 0 1 0 7904522066303755710 +github:518001622 2022-07-26 2022-10-16 f https://github.com/yuxblank/CVE-2022-2466---Request-Context-not-terminated-with-GraphQL CVE-2022-2466 0 1 1 1 3878865815292520095 +github:100730507 2021-10-29 2021-10-29 f https://github.com/nkoneko/CVE-2017-1000117 GitのCommand Injectionの脆弱性を利用してスクリプトを落として実行する例 CVE-2017-1000117 0 2 1 2 6583712828633690338 +github:1283688683 2026-06-29 2026-06-29 f https://github.com/xitexploiter96-dot/CVE-2026-48907- CVE-2026-48907 0 0 0 0 3087772457882006155 +github:509747722 2022-07-02 2022-07-02 f https://github.com/macilin/CVE-2021-21300 CVE-2021-21300 0 0 1 0 9058014886243174569 +github:478817916 2022-05-10 2026-07-02 f https://github.com/4nth0ny1130/spring4shell_behinder CVE-2022-22965写入冰蝎webshell脚本 CVE-2022-22965 21 62 2 62 4572434265666589260 +github:1040234272 2025-08-18 2025-08-18 f https://github.com/shoucheng3/jenkinsci__workflow-cps-global-lib-plugin_CVE-2022-25174_544-vff04fa68714d CVE-2022-25174 0 0 0 0 3024580893520645049 +github:1110384306 2025-12-05 2026-06-25 f https://github.com/Chocapikk/CVE-2025-55182 Next.js React Server Components RCE exploit for CVE-2025-55182 CVE-2025-55182 15 67 2 67 1338392057203424752 +github:478648908 2022-04-06 2022-04-06 f https://github.com/vuongnv3389-sec/CVE-2019-20372 CVE-2019-20372 0 0 1 0 8717793535400526379 +github:1109785752 2025-12-09 2026-07-08 f https://github.com/dwisiswant0/CVE-2025-55182 Pre-auth RCE in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0. CVE-2025-55182 15 59 1 59 6187636895083513901 +github:1261247367 2026-06-06 2026-06-06 f https://github.com/asdasddqwdq29-a11y/CVE-2026-34197 Apache ActiveMQ RCE via Jolokia vulnerability analysis and reproduction notes CVE-2026-34197 0 0 0 0 7365861258888573747 +github:962086487 2025-04-07 2025-04-07 f https://github.com/Heimd411/CVE-2025-24813-noPoC CVE-2025-24813 0 0 1 0 794770738838687908 +github:1125540858 2025-12-30 2026-01-26 f https://github.com/codeb0ssx/CVE-2025-68645-PoC Academic proof-of-concept demonstrating CVE-2025-68645 for authorized security research. CVE-2025-68645 0 2 0 2 4160042799650986418 +github:432475559 2021-11-27 2022-07-14 f https://github.com/n000xy/CVE-2019-19609-POC-Python Strapi Framework, 3.0.0-beta.17.4 CVE-2019-19609 0 0 1 0 6638065083388126321 +github:438165990 2021-12-15 2022-01-30 f https://github.com/codiobert/log4j-scanner Check CVE-2021-44228 vulnerability CVE-2021-44228 1 3 3 3 5427952262916977224 +github:780489939 2024-04-01 2024-04-01 f https://github.com/ackemed/detectar_cve-2024-3094 CVE-2024-3094 0 0 1 0 3346649114713702127 +github:1117885878 2025-12-17 2026-01-09 f https://github.com/Tarekhshaikh13/CVE-2025-55184 Target Code + Exploit CVE-2025-55184 0 0 0 0 8446056611008454396 +github:1113401629 2025-12-09 2025-12-09 f https://github.com/osman-butt/CVE-2025-55182-demo Demo of CVE-2025-55182 — Next.js RCE (for educational purposes) CVE-2025-55182 0 0 0 0 4955033703645340365 +github:1238717147 2026-05-14 2026-07-27 f https://github.com/cipherspy/CVE-2026-42945-POC exploit for CVE-2026-42945 CVE-2026-42945 13 50 1 50 1657642216787866418 +github:1267158481 2026-06-12 2026-06-29 f https://github.com/0xBlackash/CVE-2026-48907 CVE-2026-48907 CVE-2026-48907 6 3 1 3 226798413167835423 +github:295992280 2020-09-16 2024-11-15 f https://github.com/npocmak/CVE-2020-1472 https://github.com/dirkjanm/CVE-2020-1472 CVE-2020-1472 1 1 1 1 4304330428622422869 +github:357955989 2021-04-15 2022-05-17 f https://github.com/givemefivw/CVE-2021-25646 CVE-2021-25646 Apache Druid 远程代码执行漏洞 Wker脚本 CVE-2021-25646 2 3 1 3 7640235187940618876 +github:886317363 2024-11-10 2024-11-11 f https://github.com/oxapavan/CVE-2023-4220-HTB-PermX CVE-2023-4220 0 1 1 1 635044748474794207 +github:1254145542 2026-05-30 2026-05-30 f https://github.com/Jeanback1/CVE-2023-30253-exploit CVE-2023-30253 — Dolibarr ERP/CRM 17.0.0 RCE via PHP code injection (exploit educativo) CVE-2023-30253 0 0 0 0 3412830630244464434 +github:787252981 2024-04-25 2024-04-25 f https://github.com/almkuznetsov/CVE-2024-1441 CVE-2024-1441 0 0 1 0 4796017575662175692 +github:1040691342 2025-08-29 2025-08-29 f https://github.com/Abdullah4eb/CVE-2025-50383 A low-privileged user can exploit this via a crafted order_by parameter, causing time-based blind SQL injection. CVE-2025-50383 0 0 0 0 5901045412624666041 +github:429720874 2021-11-19 2024-08-12 f https://github.com/ZororoZ/CVE-2021-37580 CVE-2021-37580 2 5 1 5 4910326739678430177 +github:420407065 2023-01-11 2024-08-25 f https://github.com/walnutsecurity/cve-2021-41773 cve-2021-41773.py is a python script that will help in finding Path Traversal or Remote Code Execution vulnerability in Apache 2.4.49 CVE-2021-41773 3 2 0 2 5600458621422024337 +github:988826081 2025-05-23 2026-05-13 f https://github.com/Dr0xharakiri/CVE-2023-48795 Python tool to identify SSH servers potentially vulnerable to CVE-2023-48795 (Terrapin) by analyzing OpenSSH version banners via netcat. Useful for internal audits, penetration testing, and vulnerability assessments. CVE-2023-48795 0 0 1 0 4150814515055351682 +github:367662074 2021-05-15 2024-08-12 f https://github.com/dorkerdevil/CVE-2020-28018 exim use after free exploit and detection CVE-2020-28018 1 7 1 7 6972824138867810240 +github:823285710 2024-07-05 2026-07-26 f https://github.com/l0n3m4n/CVE-2024-6387 PoC - Remote Unauthenticated Code Execution Vulnerability in OpenSSH server (Scanner and Exploit) CVE-2024-6387 37 112 3 112 3929709185734301014 +github:1309845708 2026-07-23 2026-07-23 f https://github.com/Dynamo2k1/CVE-2026-33017 CVE-2026-33017 0 0 0 0 2560348502015190753 +github:406548761 2021-09-14 2024-11-12 f https://github.com/MrDottt/CVE-2018-15473 CVE-2018-15473 Exploit CVE-2018-15473 0 3 1 3 6414919332488031833 +github:808786062 2024-05-31 2024-05-31 f https://github.com/epicosy/Quartz-1 quartz with CVE-2019-13990 CVE-2019-13990 0 0 1 0 4097885267425372434 +github:437784907 2021-12-13 2021-12-13 f https://github.com/markuman/aws-log4j-mitigations CVE-2021-44228 log4j mitigation using aws wafv2 with ansible CVE-2021-44228 0 0 1 0 70210338138485494 +github:1240196760 2026-05-15 2026-05-15 f https://github.com/seal-sec-demo-2/seal-security-nuget-demo-net7 .NET 7 fork of seal-security-nuget-demo: same CVE-2024-21907 exploit story, retargeted for customers locked to .NET SDK 7. CVE-2024-21907 1 0 0 0 7457390412889084603 +github:153855090 2018-10-20 2026-03-10 f https://github.com/jas502n/CVE-2018-10933 libssh CVE-2018-10933 CVE-2018-10933 6 22 2 22 5114145315410932865 +github:1238450411 2026-05-14 2026-06-15 f https://github.com/p3Nt3st3r-sTAr/CVE-2026-42945-POC CVE-2026-42945 10 15 0 15 1610550965988863851 +github:531401741 2022-09-01 2023-07-06 f https://github.com/greek0x0/CVE-2022-1292 OpenSSL CVE-2022-1292 0 6 1 6 5730208431319155326 +github:631842494 2023-04-24 2023-04-24 f https://github.com/Trinadh465/Openssl-1.1.1g_CVE-2022-4304 CVE-2022-4304 0 0 1 0 5155193489228318492 +github:800870191 2024-05-15 2024-05-17 f https://github.com/0xB455/CVE-2018-14716 PoC for CVE-2018-14716 CVE-2018-14716 0 1 1 1 5370610167001651542 +github:377050838 2021-06-15 2021-06-15 f https://github.com/spyx/cve-2019-17240 CVE-2019-17240 0 1 1 1 4373505348389180764 +github:520832418 2022-08-03 2022-08-03 f https://github.com/aweiiy/CVE-2021-43617 CVE-2021-43617 0 0 1 0 9187843732459281863 +github:261113794 2020-05-04 2026-04-27 f https://github.com/dozernz/cve-2020-11651 CVE-2020-11651 36 106 4 106 2027339444269558484 +github:886019978 2024-12-06 2024-12-06 f https://github.com/saisathvik1/CVE-2024-47062 CVE-2024-47062 PoC CVE-2024-47062 0 0 1 0 6395510946127743373 +github:1109508497 2025-12-05 2025-12-05 f https://github.com/santihabib/CVE-2025-55182-analysis CVE-2025-55182 0 4 1 4 8571587480803075030 +github:487163916 2022-11-19 2022-12-15 f https://github.com/TPower2112/Writing-Sample-1 CVE-2021-44228 Log4j Summary CVE-2021-44228 0 1 1 1 2273327742981674144 +github:679233677 2024-05-30 2025-07-24 f https://github.com/tadhglewis/apollo-koa-minimal GraphQL vulnerability disclosure: CVE-2023-26144 CVE-2023-26144 0 1 1 1 6804020194521440487 +github:1024189813 2025-08-12 2026-01-21 f https://github.com/GURJOTEXPERT/CVE-2023-3460 CVE-2023-3460 1 1 0 1 2123725411019822084 +github:405365829 2021-08-07 2021-09-11 f https://github.com/sbladiamond/CVE-2021-3156 CVE-2021-3156 1 0 0 0 3628253771414626335 +github:437769581 2021-12-13 2021-12-13 f https://github.com/halibobor/log4j2 CVE-2021-44228 CVE-2021-44228 1 1 1 1 7663349738767955243 +github:479042800 2022-04-08 2024-03-21 f https://github.com/CalumHutton/CVE-2022-22965-PoC_Payara CVE-2022-22965 0 3 1 3 4638408708503622446 +github:1043762706 2025-08-24 2025-08-24 f https://github.com/shoucheng3/kubernetes-client__java_CVE-2020-8570_client-java-parent-9-0-1 CVE-2020-8570 0 0 0 0 4157609442887114847 +github:442707396 2023-09-15 2024-05-29 f https://github.com/name/log4j-scanner Discover Log4Shell vulnerability [CVE-2021-44832] CVE-2021-44832 1 1 1 1 2415005170233200453 +github:534599250 2022-09-09 2026-02-28 f https://github.com/emirpolatt/CVE-2022-36446 CVE-2022-36446 - Webmin 1.996 Remote Code Execution CVE-2022-36446 2 3 1 3 746465725717357434 +github:924651717 2025-01-31 2026-07-14 f https://github.com/honeyb33z/cve-2020-11023-scanner CVE-2020-11023 1 4 1 4 1956425764803307545 +github:470297034 2022-04-03 2026-07-13 f https://github.com/drago-96/CVE-2022-0778 Proof of concept for CVE-2022-0778, which triggers an infinite loop in parsing X.509 certificates due to a bug in BN_mod_sqrt CVE-2022-0778 46 181 15 181 203828727413030410 +github:697995967 2023-09-28 2023-10-06 f https://github.com/sromanhu/CVE-2023-44769_ZenarioCMS--Reflected-XSS---Alias Zenariocms 9.4.59197 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload to the Spare aliases from Alias. CVE-2023-44769 0 0 1 0 8493684027135379624 +github:735025193 2023-12-23 2026-01-05 f https://github.com/puckiestyle/CVE-2023-4911 CVE-2023-4911 0 2 1 2 6022510452143241343 +github:234478120 2022-12-15 2026-07-29 f https://github.com/motikan2010/CVE-2020-5398 CVE-2020-5398 - RFD(Reflected File Download) Attack for Spring MVC CVE-2020-5398 18 84 2 84 135248036732292135 +github:1011788551 2025-07-01 2026-06-02 f https://github.com/psibot/apache-vulnerable Detects Apache HTTP Server path traversal vulnerabilities (CVE-2021-41773, CVE-2021-42013) by checking for exposure of /etc/passwd through various traversal techniques. CVE-2021-41773 0 1 0 1 5023151138351960622 +github:893536910 2025-01-19 2025-10-03 f https://github.com/Diegomjx/CVE-2023-41425-WonderCMS-Authenticated-RCE Xss injection, WonderCMS 3.2.0 -3.4.2 CVE-2023-41425 0 1 1 1 4704360419765059235 +github:688800024 2023-09-11 2026-02-16 f https://github.com/jakabakos/CVE-2023-27524-Apache-Superset-Auth-Bypass-and-RCE CVE-2023-27524 8 28 1 28 5189741687803035786 +github:957479455 2025-03-30 2026-01-04 f https://github.com/davidzzo23/CVE-2023-45878 GibbonEdu Arbitrary File Write to Remote Code Execution CVE-2023-45878 2 3 1 3 3538307359063248355 +github:325280690 2020-12-30 2020-12-30 f https://github.com/vishack/CVE-2018-6574 CVE-2018-6574 0 0 1 0 1923927341067322518 +github:927043113 2025-02-04 2025-02-04 f https://github.com/qw3rtyou/CVE-2021-44228_dockernize CVE-2021-44228 0 1 1 1 2370340123398666882 +github:1148755996 2026-04-22 2026-04-22 f https://github.com/kazisabu/CVE-2025-70849-Podinfo PoC and Advisory for CVE-2025-70849: Unauthenticated Stored XSS in Podinfo /store endpoint. CVE-2025-70849 0 0 0 0 2546787872573337703 +github:736712600 2024-05-27 2024-07-13 f https://github.com/solomon12354/LockingGirl-----CVE-2022-0847-Dirty_Pipe_virus CVE-2022-0847 2 0 1 0 3002618963802588735 +github:1081290651 2025-10-22 2025-10-22 f https://github.com/clemfavre/cve-2023-45612_exploit Reproduction of a high severty security problem that allows XXE (XML eXternal Entity) attacks on Ktor's XML serialization. CVE-2023-45612 0 0 0 0 6661271910113950831 +github:1233699992 2026-05-12 2026-05-12 f https://github.com/MJ-bin/POC_CVE-2024-4322 POC_CVE-2024-4322 CVE-2024-4322 0 0 0 0 999101656711892096 +github:1261304906 2026-06-06 2026-06-06 f https://github.com/Gumbraise/CVE-2026-30849-PoC Proof-of-Concept checker/exploit for MantisBT SOAP auth bypass (CVE-2026-30849 / GHSA-phrq-pc6r-f6gh) CVE-2026-30849 0 0 0 0 7235028828553126251 +github:956235901 2025-04-10 2025-04-10 f https://github.com/echoosso/CVE-2019-9978 A Remote Code Execution (RCE) vulnerability in the Social Warfare plugin for WordPress, affecting versions below 3.5.3. CVE-2019-9978 0 1 1 1 4876076825595493655 +github:541211049 2022-09-25 2024-12-09 f https://github.com/jam620/Zimbra CVE-2022-27925 CVE-2022-27925 1 8 1 8 1586908531647838045 +github:1102613866 2025-11-25 2025-11-25 f https://github.com/Catnip-Express-Maxim/AWSTESTEXPLOIT Testing if AWS exploit CVE-2025-2598 still works CVE-2025-2598 1 0 0 0 3364042352506958505 +github:803086886 2024-05-21 2026-07-11 f https://github.com/W01fh4cker/CVE-2024-22120-RCE Time Based SQL Injection in Zabbix Server Audit Log --> RCE CVE-2024-22120 22 141 1 141 7666214361283768154 +github:823199952 2024-07-02 2024-07-02 f https://github.com/dawnl3ss/CVE-2024-6387 CVE-2024-6387 0 0 1 0 2120022968121312925 +github:1259495546 2026-06-12 2026-07-15 f https://github.com/danilo-dellorco/CVE-2026-6815 Proof of Concept (PoC) exploit for CVE-2026-6815: Authenticated Path Traversal & Arbitrary File Write in Casdoor (< 3.54.1) leading to RCE/DoS. CVE-2026-6815 0 2 0 2 3446454501129436305 +github:674981101 2023-08-05 2025-06-18 f https://github.com/thistehneisen/CVE-2018-6789-Python3 Exim < 4.90.1 RCE Vulnerability remake for Python3 with arguments passed from CLI CVE-2018-6789 1 2 1 2 2459787621835480948 +github:295068653 2020-11-19 2026-06-24 f https://github.com/n0obit4/Webmin_1.890-POC CVE-2019-15107 exploit CVE-2019-15107 2 7 1 7 5200701614851220021 +github:933066267 2025-02-15 2025-02-20 f https://github.com/yelang123/Zimbra10_SQL_Injection Zimbra 10 SQL Injection (CVE-2025-25064) Analysis Article CVE-2025-25064 3 11 1 11 2465699937273882170 +github:1287520733 2026-07-02 2026-07-03 f https://github.com/K3ysTr0K3R/CVE-2025-57819 CVE-2025-57819 - FreePBX Unauthenticated Remote Code Execution (RCE) CVE-2025-57819 0 1 0 1 5515122148287595771 +github:1265843072 2026-06-11 2026-06-11 f https://github.com/krisdewa/CVE-2017-9841-PHPUnit-Remote-Code-Execution-PoC CVE-2017-9841 is a Remote Code Execution (RCE) vulnerability in the PHPUnit library affecting versions prior to 5.6.3 and 6.x prior to 6.4.2. CVE-2017-9841 0 0 0 0 79905211406896296 +github:438013062 2021-12-13 2021-12-13 f https://github.com/tica506/Siem-queries-for-CVE-2021-44228 CVE-2021-44228 0 0 1 0 7585300934695292885 +github:891177744 2024-11-22 2024-11-22 f https://github.com/Performant-Labs/CVE-2022-22970 CVE-2022-22970 0 0 2 0 5382918958054496007 +github:1143276902 2026-01-27 2026-01-27 f https://github.com/tom025/ply_exploit_rejection Arguments to reject CVE-2025-56005 CVE-2025-56005 0 0 0 0 5669582751822811359 +github:520716888 2022-08-03 2022-09-26 f https://github.com/LY613313/CVE-2022-22947 CVE-2022-22947 0 3 1 3 8268404905996576131 +github:414848372 2021-10-08 2024-08-12 f https://github.com/pisut4152/Sigma-Rule-for-CVE-2021-41773-and-CVE-2021-42013-exploitation-attempt CVE-2021-41773 1 0 1 0 1095153436334667251 +github:686738266 2024-10-27 2026-06-29 f https://github.com/rodolfomarianocy/Unauthenticated-RCE-FUXA-CVE-2023-33831 Description and exploit of CVE-2023-33831 affecting FUXA web-based Process Visualization (SCADA/HMI/Dashboard) software. CVE-2023-33831 2 13 1 13 3977112508781335736 +github:1292085325 2026-07-07 2026-07-07 f https://github.com/keelanbrady1011/CVE-2024-36401 Remix of Chokapikk's CVE-2024-36401 to allow webshell-like behaviour on limited environments CVE-2024-36401 0 0 0 0 8147612591700961545 +github:333619288 2021-01-29 2026-07-14 f https://github.com/kernelzeroday/CVE-2021-3156-Baron-Samedit 1day research effort CVE-2021-3156 5 18 4 18 2358466046008690018 +github:710110251 2023-10-26 2026-06-22 f https://github.com/trganda/ActiveMQ-RCE CVE-2023-46604 CVE-2023-46604 8 28 1 28 3887061151284732515 +github:1220823995 2026-04-25 2026-04-25 f https://github.com/HivinManjuSri/ubuntu-cve-2019-14287-patch-manager patch-manager CVE-2019-14287 0 0 0 0 9131575960436421137 +github:1039549148 2025-08-17 2025-08-17 f https://github.com/shoucheng3/asf__james-project_CVE-2022-22931_3-6-0 CVE-2022-22931 0 0 0 0 1884273493312553206 +github:1127873832 2026-01-04 2026-01-04 f https://github.com/Fl5xia/CVE-2017-9805 CVE-2017-9805: Apache Struts 2 S2-052 RCE Exploit - PoC for Harvard University (OTD) CVE-2017-9805 0 0 0 0 4449022583672043532 +github:536959702 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37204 CVE-2022-37204 POC CVE-2022-37204 0 0 1 0 7524364888592454169 +github:164352202 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2018-11776 cve-2018-11776 CVE-2018-11776 1 1 0 1 493087821539033766 +github:1194815761 2026-03-28 2026-05-30 f https://github.com/kasem545/CVE-2022-46364-Poc CVE-2022-46364-Poc Apache CXF SSRF via MTOM XOP:Include CVE-2022-46364 0 7 0 7 8133892297139050530 +github:1218155617 2026-04-22 2026-04-22 f https://github.com/jpselva/CVE-2023-4863 CVE-2023-4863 0 0 0 0 3342871461819357541 +github:964975069 2025-04-12 2025-04-12 f https://github.com/BektiHandoyo/cve-pdf-host PDF host for CVE-2024-4367 CVE-2024-4367 0 0 1 0 1122471756916227250 +github:129500604 2018-04-14 2025-08-29 f https://github.com/dr-iman/CVE-2018-7600-Drupal-0day-RCE Drupal 0day Remote PHP Code Execution (Perl) CVE-2018-7600 7 7 0 7 8455530053703880371 +github:1153052391 2026-02-09 2026-02-09 f https://github.com/ramzerk/CVE-2024-46987 This Rust PoC exploits CVE-2024-46987, a Path Traversal bug in Camaleon CMS 2.8.0 < 2.8.2 (work on 2.9.0). CVE-2024-46987 0 0 0 0 3194574017241778496 +github:1241507536 2026-05-17 2026-05-17 f https://github.com/corey-farley/CVE-2025-59528-Flowise-RCE Authenticated RCE PoC for Flowise version <= 3.0.5 via CustomMCP Node (CVE-2025-59528) CVE-2025-59528 0 0 0 0 1196664231265349293 +github:568496317 2022-11-20 2026-04-06 f https://github.com/EkamSinghWalia/Detection-and-Mitigation-script-for-CVE-2021-42717 Detection and Mitigation script for CVE-2021-42717 -> ModSecurity DoS Vulnerability in JSON Parsing CVE-2021-42717 0 1 1 1 2225065734848877931 +github:170741210 2019-02-14 2024-04-09 f https://github.com/SecuritySi/CVE-2019-7304_DirtySock Payload Generator CVE-2019-7304 2 6 1 6 348495985973130297 +github:1081708249 2025-10-26 2025-10-26 f https://github.com/srakkk/cve-2024-32002-hook CVE-2024-32002 0 0 0 0 8877644397701161188 +github:812538216 2024-06-15 2024-06-15 f https://github.com/kva55/CVE-2024-36416 Tool for validating / testing CVE-2024-36416 CVE-2024-36416 0 0 1 0 3284563358158396979 +github:864159582 2024-09-27 2024-09-27 f https://github.com/paragbagul111/CVE-2024-25411 A cross-site scripting (XSS) vulnerability in Flatpress v1.3 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the username parameter in setup.php CVE-2024-25411 0 0 1 0 7510962102943831255 +github:774402935 2024-03-19 2024-03-19 f https://github.com/Yang-Shun-Yu/CVE-2023-38545 CVE-2023-38545 0 0 1 0 6278885465316737323 +github:716592824 2023-11-09 2023-11-09 f https://github.com/j0yb0y0h/CVE-2023-38646 Code to detect/exploit vulnerable metabase application CVE-2023-38646 0 0 1 0 3493817452312383422 +github:276697965 2020-07-02 2026-05-13 f https://github.com/mhaskar/CVE-2020-14947 The official exploit for OCS Inventory NG v2.7 Remote Command Execution CVE-2020-14947 CVE-2020-14947 6 17 2 17 6145746207779758916 +github:437674455 2021-12-20 2026-03-20 f https://github.com/Diverto/nse-log4shell Nmap NSE scripts to check against log4shell or LogJam vulnerabilities (CVE-2021-44228) CVE-2021-44228 47 352 6 352 1992113963099903505 +github:1240906220 2026-05-16 2026-05-16 f https://github.com/im-nymii/CVE-2025-59528 Technical PoC for CVE-2025-59528 (Flowise < 3.0.5), demonstrating authenticated RCE through customMCP mcpServerConfig injection, with clear bilingual documentation and reproducible steps for authorized security testing. CVE-2025-59528 0 1 0 1 9058731831032788441 +github:1239652962 2026-05-15 2026-07-10 f https://github.com/jelasin/CVE-2026-42945 CVE-2026-42945 4 4 0 4 7842800327321356195 +github:90859397 2017-06-12 2026-01-12 f https://github.com/chipironcin/CVE-2016-10033 Code and vulnerable WordPress container for exploiting CVE-2016-10033 CVE-2016-10033 7 1 0 1 512635442299145987 +github:687504769 2023-09-05 2023-09-05 f https://github.com/Ijinleife/CVE-2019-14287 CVE-2019-14287 0 0 1 0 1716809382505307856 +github:465533233 2023-05-01 2022-03-03 f https://github.com/Anonymous-Family/CVE-2020-1472 Test tool for CVE-2020-1472 CVE-2020-1472 0 0 0 0 2008867525758147452 +github:295754317 2020-09-16 2024-11-13 f https://github.com/thatonesecguy/zerologon-CVE-2020-1472 PoC for Zerologon (CVE-2020-1472) - Exploit CVE-2020-1472 5 8 1 8 4490797412198488056 +github:342564562 2021-03-06 2026-06-19 f https://github.com/Immersive-Labs-Sec/CVE-2021-25281 Chaining CVE-2021-25281 and CVE-2021-25282 to exploit a SaltStack CVE-2021-25281 7 27 0 27 1353257827204659108 +github:127436541 2019-03-29 2026-07-13 f https://github.com/a2u/CVE-2018-7600 💀Proof-of-Concept for CVE-2018-7600 Drupal SA-CORE-2018-002 CVE-2018-7600 106 354 75 354 881290940569251502 +github:597372793 2023-02-04 2023-07-16 f https://github.com/Baikuya/CVE-2022-44268-PoC CVE-2022-44268 PoC CVE-2022-44268 1 2 1 2 1344887260590937902 +github:1315825595 2026-07-30 2026-07-30 f https://github.com/EQSTLab/CVE-2026-20896 Gitea Docker Image Authentication Bypass CVE-2026-20896 0 1 0 1 3217905764126130507 +github:637902693 2023-05-09 2025-02-14 f https://github.com/tardc/CVE-2023-27524 Apache Superset Auth Bypass (CVE-2023-27524) CVE-2023-27524 1 11 1 11 7062922547933541854 +github:236884560 2020-01-30 2024-08-12 f https://github.com/amlweems/gringotts proof of concept for CVE-2020-0601 CVE-2020-0601 1 1 1 1 2103063782008088278 +github:239451773 2022-10-01 2024-08-12 f https://github.com/hacky1997/CVE-2020-8825 VanillaForum 2.6.3 allows stored XSS. CVE-2020-8825 3 3 1 3 7240603692695266929 +github:1191329071 2026-04-22 2026-07-13 f https://github.com/devianntsec/CVE-2025-55182 Advanced security research on CVE-2025-55182 (React2Shell). Features an exploitation framework with 6 functional impact scenarios (RCE to Secret Exfiltration), an interactive reverse shell, and a complete laboratory. Portfolio piece demonstrating deep analysis of Prototype Pollution and Insecure Deserialization in React Server Components CVE-2025-55182 0 1 0 1 5842756562864452762 +github:1010057065 2025-06-28 2025-06-28 f https://github.com/aninfosec/CVE-2024-43425-Poc CVE-2024-43425 0 0 0 0 4637333170077982149 +github:882387857 2024-11-07 2024-11-07 f https://github.com/osvaldotenorio/cve-2024-48325 CVE-2024-48325 0 0 1 0 3354498829736513655 +github:1240663126 2026-06-22 2026-06-22 f https://github.com/limo57640-crypto/nginx-rift-detector Free NGINX Rift CVE-2026-42945 detector for version, rewrite config, ASLR, crash logs, and exploitation indicators. CVE-2026-42945 0 0 0 0 2508264408630440448 +github:736124655 2023-12-27 2023-12-27 f https://github.com/DDayLuong/CVE-2019-18634 CVE-2019-18634 0 0 1 0 1637202861210278622 +github:234191063 2020-01-20 2026-07-29 f https://github.com/ly4k/CurveBall PoC for CVE-2020-0601- Windows CryptoAPI (Crypt32.dll) CVE-2020-0601 256 888 29 888 2530291396639372612 +github:241988804 2021-11-26 2026-07-20 f https://github.com/bkfish/CNVD-2020-10487-Tomcat-Ajp-lfi-Scanner Cnvd-2020-10487 / cve-2020-1938, scanner tool CVE-2020-1938 93 294 6 294 4504544290430316845 +github:914916728 2025-12-08 2025-12-08 f https://github.com/mayank-s16/Swagger-HTML-Injection-CVE-2025-8191 XSS Test Swagger 3.14.1 to 3.37.0 CVE-2025-8191 0 0 1 0 1296704744867509773 +github:639166342 2023-05-10 2023-05-10 f https://github.com/FredBrave/CVE-2017-5638-ApacheStruts2.3.5 A exploit for CVE-2017-5638. This exploit works on versions 2.3.5-2.3.31 and 2.5 – 2.5.10 CVE-2017-5638 1 0 1 0 2852951717131205687 +github:174141495 2019-02-23 2019-03-06 f https://github.com/im23pds/CVE-2019-1003000-and-CVE-2018-1999002-Pre-Auth-RCE-Jenkins Python CVE-2019-1003000 and CVE-2018-1999002 Pre-Auth RCE Jenkins CVE-2018-1999002 3 0 1 0 2288369157750582107 +github:973601009 2025-04-27 2025-04-27 f https://github.com/Dowonkwon/drupal-cve-2018-7600-poc CVE-2018-7600 0 0 1 0 1709087208952601616 +github:481619824 2022-08-30 2026-01-04 f https://github.com/gabrielolivra/Exploit-Medium-CVE-2021-41184 CVE-2021-41184 2 6 1 6 6294154249067955265 +github:804159088 2024-05-22 2025-06-24 f https://github.com/absholi7ly/FreeRDP-Out-of-Bounds-Read-CVE-2024-32459- The FreeRDP - Out-of-Bounds Read (CVE-2024-32459) vulnerability concerns FreeRDP, a free implementation of Remote Desktop Protocol. FreeRDP-based clients and servers using a version of FreeRDP prior to version 3.5.0 or 2.11.6 are vulnerable to out-of-bounds reading12. Versions 3.5.0 and 2.11.6 correct the problem CVE-2024-32459 10 4 1 4 7190976292228717013 +github:1118325939 2025-12-18 2025-12-18 f https://github.com/pwnxpl0it/react2shell-lab React2shell vulnerable lab (CVE-2025-55182) CVE-2025-55182 1 0 0 0 2787925572120953954 +github:437060009 2021-12-13 2024-08-12 f https://github.com/greymd/CVE-2021-44228 Vulnerability CVE-2021-44228 checker CVE-2021-44228 4 35 1 35 4565341007788507906 +github:637284460 2023-06-11 2023-05-07 f https://github.com/andyhsu024/CVE-2022-41034 CVE-2022-41034 0 0 1 0 4466223757879381666 +github:542059955 2022-10-31 2022-11-01 f https://github.com/bypazs/CVE-2022-42094 Backdrop CMS version 1.23.0 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Card content. CVE-2022-42094 0 1 1 1 5210065054277565684 +github:1053807260 2025-09-10 2026-07-05 f https://github.com/onurcangnc/CVE-2025-57520-Stored-XSS-in-Decap-CMS-3.8.3- A stored cross-site scripting (XSS) vulnerability exists in Decap CMS up to version 3.8.3. The issue affects multiple input fields in the **admin interface** and is triggered when a privileged user opens the **content preview panel** of a malicious entry. CVE-2025-57520 0 0 0 0 7932388746363849281 +github:697796057 2023-10-12 2026-07-10 f https://github.com/vin01/poc-proxycommand-vulnerable Proof of conept to exploit vulnerable proxycommand configurations on ssh clients (CVE-2023-51385) CVE-2023-51385 38 50 1 50 4609826627063342183 +github:1110639877 2025-12-05 2025-12-05 f https://github.com/alexandre-briongos-wavestone/react-cve-2025-55182-lab CVE-2025-55182 0 0 0 0 6332250282564611232 +github:356847908 2021-05-03 2022-12-05 f https://github.com/Algafix/gitlab-RCE-11.4.7 GitLab 11.4.7 RCE exploit with different reverse shells. CVE-2018-19571 + CVE-2018-19585 CVE-2018-19571 3 3 1 3 7955430736046580815 +github:1110915137 2025-12-10 2026-04-01 f https://github.com/ejpir/CVE-2025-55182-bypass Header bypass for CVE-2025-55182 (React Server Components RCE). CVE-2025-55182 3 6 0 6 6206221866676977996 +github:685049637 2026-05-04 2026-07-20 f https://github.com/Contrast-Security-OSS/Spring-Kafka-POC-CVE-2023-34040 POC for Spring Kafka Deserialization Vulnerability CVE-2023-34040 CVE-2023-34040 5 45 1 45 8513957813998340563 +github:1149966479 2026-02-04 2026-02-04 f https://github.com/Evillm/CVE-2025-27520-PoC CVE-2025-27520 0 0 0 0 3953143881352075341 +github:437960695 2021-12-13 2024-08-14 f https://github.com/taurusxin/CVE-2021-44228 CVE-2021-44228 0 2 1 2 8830046025458882059 +github:417416873 2021-10-15 2024-11-12 f https://github.com/Devang-Solanki/CVE-2018-6574 Exploit for remote command execution in Golang go get command. CVE-2018-6574 1 1 1 1 6957580299124519254 +github:1182854582 2026-03-16 2026-03-21 f https://github.com/moamenx8/CVE-2024-25082 CVE-2024-25082 0 0 1 0 4612322723270537313 +github:905684125 2024-12-22 2024-12-22 f https://github.com/awusan125/test_for6387 test code for cve-2024-6387 CVE-2024-6387 0 3 1 3 6919668129604404211 +github:1267833692 2026-06-12 2026-06-12 f https://github.com/dampedcoast/Exploiting-a-vulnerability-using-reverse-shell This project simulates a real-world attack-and-defend scenario across two virtual machines. You will exploit a critical pre-authentication RCE vulnerability (CVE-2025-32433) in an Erlang/OTP SSH server, crack extracted password hashes, and then harden the victim machine with firewall rules and patching. CVE-2025-32433 0 0 0 0 4772373490957146826 +github:172448763 2019-03-18 2026-07-29 f https://github.com/brianwrf/WordPress_4.9.8_RCE_POC A simple PoC for WordPress RCE (author priviledge), refer to CVE-2019-8942 and CVE-2019-8943. CVE-2019-8942 20 74 1 74 5827607942797161180 +github:1055976341 2025-09-13 2025-09-17 f https://github.com/amalpvatayam67/day05-grafana-sqlexpr-lab Grafana SQL Expressions → DuckDB LFI (CVE-2024-9264) CVE-2024-9264 0 0 0 0 8916852551001258164 +github:192580764 2019-06-19 2024-08-12 f https://github.com/oldthree3/CVE-2019-12735-VIM-NEOVIM CVE-2019-12735 1 2 0 2 3031211185178809477 +github:669707422 2023-07-24 2023-12-07 f https://github.com/fanbyprinciple/ImageMagick-lfi-poc ImageMagick Arbitrary Read Files - CVE-2022-44268 CVE-2022-44268 1 1 1 1 8250934846997904192 +github:1117107987 2025-12-15 2025-12-15 f https://github.com/premdanav/react2shelldemo This repo contains the scripts you can execute to simulate the (CVE-2025-55182) along with next.js server CVE-2025-55182 0 0 0 0 9106615929556445085 +github:414241382 2021-10-08 2025-10-04 f https://github.com/1nhann/CVE-2021-41773 CVE-2021-41773 的复现 CVE-2021-41773 4 9 1 9 1081949122675656044 +github:1015341991 2025-07-07 2025-12-16 f https://github.com/MAAYTHM/CVE-2025-32462_32463-Lab Docker PoC for CVE-2025-32462 & CVE-2025-32463 (sudo), based on Stratascale CRU research. CVE-2025-32462 0 5 0 5 2078371750701210822 +github:1056844099 2025-09-17 2025-09-17 f https://github.com/Shubhankargupta691/CVE-2024-42009 CVE-2024-42009 0 0 0 0 4785505873590209857 +github:1040857890 2025-08-19 2025-08-19 f https://github.com/shoucheng3/codehaus-plexus__plexus-archiver_CVE-2018-1002200_3-5 CVE-2018-1002200 0 0 0 0 3274585489402907032 +github:1112081649 2025-12-08 2025-12-08 f https://github.com/wangzhengquan/CVE-2025-55182 https://gist.github.com/maple3142/48bc9393f45e068cf8c90ab865c0f5f3 CVE-2025-55182 0 0 0 0 1402699651055087990 +github:598673740 2023-02-09 2026-07-27 f https://github.com/jfrog/jfrog-CVE-2023-25136-OpenSSH_Double-Free CVE-2023-25136 11 41 3 41 3289281332626623730 +github:960380943 2025-04-07 2025-05-13 f https://github.com/bjornhels/CVE-2025-30065 PoC CVE-2025-30065 3 12 1 12 1362940765393461284 +github:426512152 2021-12-27 2021-12-27 f https://github.com/G01d3nW01f/CVE-2021-21315 rust noob tried write easy exploit code with rust lang CVE-2021-21315 0 1 1 1 3324136349594269433 +github:437363274 2021-12-11 2026-04-29 f https://github.com/pedrohavay/exploit-grafana-CVE-2021-43798 This is a proof-of-concept exploit for Grafana's Unauthorized Arbitrary File Read Vulnerability (CVE-2021-43798). CVE-2021-43798 12 46 3 46 1732158529926243375 +github:1120535223 2025-12-21 2025-12-24 f https://github.com/niokagi/react-cve-2025-55182 Test & Analyze the CVE-2025-55182 vulnerability within Next.js Server Actions CVE-2025-55182 0 0 0 0 4451704496183973457 +github:1309726441 2026-07-23 2026-07-25 f https://github.com/Max78000/CVE-2026-27641-Flask-Reuploaded PoC and test server CVE-2026-27641 0 0 0 0 3161930450382780542 +github:269130305 2020-06-03 2026-02-14 f https://github.com/ynots0ups/CVE-2019-16113 CVE-2019-16113 2 5 1 5 5306203996723024774 +github:1090319605 2025-11-09 2026-05-09 f https://github.com/cybercrewinc/CVE-2025-63588 CVE-2025-63588 0 0 0 0 1541698128945158857 +github:614431466 2024-04-03 2024-03-19 f https://github.com/LouisLiuNova/CVE-2019-14271_Exploit A convenient and time-saving auto script of building environment and exploit it. CVE-2019-14271 1 1 1 1 5212684315231712646 +github:414108838 2021-10-07 2026-06-24 f https://github.com/blasty/CVE-2021-41773 CVE-2021-41773 playground CVE-2021-41773 48 211 5 211 7425860723145443592 +github:958679134 2025-04-03 2025-05-10 f https://github.com/alastair66/CVE-2025-29927 Next.js Middleware Bypass Vulnerability CVE-2025-29927 0 1 1 1 1620307208570281432 +github:880915888 2024-10-30 2024-10-30 f https://github.com/h3athen/CVE-2023-41425 Writing one because the one I found isn't working CVE-2023-41425 0 0 1 0 289290074656589916 +github:979479913 2025-05-07 2025-05-07 f https://github.com/mLniumm/CVE-2025-28073 CVE-2025-28073 0 0 1 0 5111323289377303599 +github:548059345 2022-10-12 2023-10-19 f https://github.com/hupe1980/CVE-2022-24637 Open Web Analytics (OWA) - Unauthenticated Remote Code Execution CVE-2022-24637 0 5 1 5 8013922922503588356 +github:1181683623 2026-03-14 2026-03-14 f https://github.com/materaj2/CVE-2025-68926-repo Script and node.proto for exploit CVE-2025-68926 CVE-2025-68926 0 0 0 0 3995705117515996311 +github:859728354 2024-09-20 2026-05-13 f https://github.com/sergiovks/CVE-2019-14322 Modification of: PoC of CVE-2019-14322: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CVE-2019-14322 0 1 1 1 1149038131474059216 +github:438825521 2021-12-20 2021-12-20 f https://github.com/rv4l3r3/log4v-vuln-check This script is used to perform a fast check if your server is possibly affected by CVE-2021-44228 (the log4j vulnerability). CVE-2021-44228 0 0 1 0 4544978466204801739 +github:1265442845 2026-06-12 2026-07-20 f https://github.com/LiaoZiqi-GZFLS/CVE-2026-42945 CVE-2026-42945 Nginx Rift CVE-2026-42945 0 1 0 1 9099696366452327486 +github:263378580 2020-05-12 2020-05-12 f https://github.com/SachinThanushka/CVE-2018-1160 CVE-2018-1160 0 0 1 0 8380506969833742466 +github:1017646191 2025-07-11 2025-07-11 f https://github.com/fabioeletto/hka-seminar-log4shell Praktische Demonstration der Log4Shell-Sicherheitslücke (CVE-2021-44228) CVE-2021-44228 0 0 0 0 868677850591359772 +github:349293150 2021-03-19 2024-06-26 f https://github.com/motikan2010/CVE-2020-27223 CVE-2020-27223 Vulnerability App & PoC CVE-2020-27223 0 3 1 3 1041560913790614115 +github:410319200 2021-09-25 2026-06-26 f https://github.com/redhawkeye/sudo-exploit CVE-2021-3156 - sudo exploit for ubuntu 18.04 & 20.04 CVE-2021-3156 0 17 2 17 1988054610646896233 +github:442543099 2021-12-28 2021-12-29 f https://github.com/LTiDi2000/CVE-2021-45232 CVE-2021-45232 0 1 0 1 6372715881324790346 +github:887990161 2024-11-14 2025-06-27 f https://github.com/Fysac/CVE-2024-44625 Symbolic link path traversal vulnerability in Gogs CVE-2024-44625 1 7 1 7 5189490764412177614 +github:1041520141 2025-08-20 2025-08-20 f https://github.com/replicatorbot/CVE-2025-48384-POC CVE-2025-48384 0 0 0 0 7329218562687391386 +github:1063876464 2025-09-25 2025-09-25 f https://github.com/FozilCV/Apache-Struts2-CVE-2017-5638 CVE-2017-5638- PoC CVE-2017-5638 0 0 0 0 6868546606609650823 +github:430542078 2021-11-22 2021-11-22 f https://github.com/Henry4E36/Metabase-cve-2021-41277 Metabase 任意文件读取 CVE-2021-41277 1 0 1 0 1113104151818010598 +github:1039032540 2025-08-16 2025-08-16 f https://github.com/shoucheng3/whitesource__curekit_CVE-2022-23082_1-1-3 CVE-2022-23082 0 0 0 0 1190871806253253924 +github:416979824 2021-10-15 2025-07-26 f https://github.com/BrucessKING/CVE-2021-36749 Apache Druid 任意文件读取 CVE-2021-36749 6 33 1 33 6524136756806497302 +github:98817608 2017-08-02 2026-07-29 f https://github.com/jpiechowka/jenkins-cve-2016-0792 Exploit for Jenkins serialization vulnerability - CVE-2016-0792 CVE-2016-0792 19 47 3 47 6098085955294784824 +github:92405414 2017-07-26 2025-12-25 f https://github.com/betab0t/cve-2017-7494 Proof-of-Concept exploit for CVE-2017-7494(Samba RCE from a writable share) CVE-2017-7494 51 181 10 181 5099765192700832076 +github:637228442 2023-09-27 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2017-5487-EXPLOIT A PoC exploit for CVE-2017-5487 - WordPress User Enumeration. CVE-2017-5487 1 9 1 9 4457744053217232096 +github:302645381 2020-11-05 2020-11-08 f https://github.com/Langriklol/CVE-2020-15227 CVE-2020-15227 exploit CVE-2020-15227 1 1 2 1 3846545625748532857 +github:352006763 2023-01-24 2026-04-27 f https://github.com/EXP-Docs/CVE-2021-22192 CVE-2021-22192 靶场： 未授权用户 RCE 漏洞 CVE-2021-22192 4 38 0 38 7316560722557222392 +github:1143499048 2026-01-27 2026-01-27 f https://github.com/notbside/CVE-2021-43798-PoC Simple and effective PoC for CVE-2021-43798 Grafana Path Traversal CVE-2021-43798 0 0 0 0 7496018517481291287 +github:771904991 2024-03-14 2024-03-14 f https://github.com/levpachmanov/cve-2024-28088-poc CVE-2024-28088 0 0 1 0 4605446219194781891 +github:1078420776 2025-12-09 2025-12-09 f https://github.com/dr4xp/sudo-chroot Sudo Vulnerability Local PrivEsc (CVE-2025-32463) POC with Python CVE-2025-32463 0 1 0 1 5959267595246378721 +github:220680650 2019-11-10 2024-08-12 f https://github.com/KrE80r/webmin_cve-2019-12840_poc A standalone POC for CVE-2019-12840 CVE-2019-12840 6 8 1 8 2925872773872677547 +github:828720069 2024-07-15 2024-07-15 f https://github.com/Al3xGD/CVE-2023-4220-Exploit LMS Chamilo 1.11.24 CVE-2023-4220 Exploit CVE-2023-4220 0 0 1 0 9223301178951029216 +github:1138451421 2026-01-20 2026-01-21 f https://github.com/Namsom007/CVE-2025-55182-Exploit CVE-2025-55182 React Server Components Remote Code Execution Exploit Lab CVE-2025-55182 0 0 0 0 5450740664948751391 +github:778520336 2024-03-27 2024-03-27 f https://github.com/ticofookfook/CVE-2021-43798 CVE-2021-43798 0 0 1 0 5998003176699171489 +github:1286765873 2026-07-02 2026-07-02 f https://github.com/malejdj/CVE-2026-30784-rustdesk-poc CVE-2026-30784: RustDesk hbbs Traffic Amplification PoC & PCAP Analysis CVE-2026-30784 0 0 0 0 7797056436650962299 +github:327318338 2021-01-06 2021-03-22 f https://github.com/shanika04/apache_skywalking CVE-2020-9483 OR CVE-2020-13921 CVE-2020-9483 0 1 1 1 3725603212074410633 +github:669611759 2023-08-09 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2021-4191-EXPLOIT A PoC exploit for CVE-2021-4191 - GitLab User Enumeration. CVE-2021-4191 1 9 1 9 863149719525275427 +github:369228387 2021-05-20 2021-05-20 f https://github.com/smallpiggy/CVE-2019-7238 RCE CVE-2019-7238 0 1 1 1 858677141352353040 +github:480857529 2022-06-30 2025-12-16 f https://github.com/p1ckzi/CVE-2022-22965 spring4shell | CVE-2022-22965 CVE-2022-22965 7 23 2 23 5141803587989931154 +github:823099379 2024-07-02 2024-07-02 f https://github.com/hssmo/cve-2024-6387_AImade cve-2024-6387_AImade CVE-2024-6387 0 0 1 0 4390697666683917417 +github:988964968 2026-02-01 2025-05-23 f https://github.com/enochgitgamefied/NextJS-CVE-2025-29927-Docker-Lab CVE-2025-29927 0 0 0 0 73159795487547216 +github:577393491 2022-12-12 2022-12-12 f https://github.com/hamza-boudouche/projet-secu CVE-2020-16846 CVE-2020-16846 0 0 1 0 1977615280145300253 +github:437884471 2021-12-13 2026-01-12 f https://github.com/justakazh/Log4j-CVE-2021-44228 Mass Check Vulnerable Log4j CVE-2021-44228 CVE-2021-44228 4 6 1 6 1521076766913428152 +github:884824446 2024-11-07 2026-06-12 f https://github.com/luelueking/CVE-2022-25845-In-Spring CVE-2022-25845(fastjson1.2.80) exploit in Spring Env! CVE-2022-25845 13 108 3 108 8421379283901080312 +github:757561414 2024-02-14 2024-02-14 f https://github.com/stegano5/ExploitScript-CVE-2023-46604 CVE-2023-46604 1 1 1 1 1024804187735361222 +github:1311095225 2026-07-24 2026-07-24 f https://github.com/electricsheep08/CVE-2025-27520 exploit for CVE-2025-27520 A Remote Code Execution (RCE) vulnerability caused by insecure deserialization in the latest version (v1.4.2) of BentoML. It allows any unauthenticated user to execute arbitrary code on the server. It exists an unsafe code segment in serde.py. This vulnerability is fixed in 1.4.3. CVE-2025-27520 0 0 0 0 4564808311290982580 +github:421191229 2021-10-25 2021-10-25 f https://github.com/vida003/Scanner-CVE-2021-41773 A automatic scanner to apache 2.4.49 CVE-2021-41773 0 0 1 0 8712573880309748086 +github:967268350 2025-04-16 2025-04-16 f https://github.com/Knotsecurity/CVE-2025-29927-NextJs-Middleware-Simulation Simulates CVE-2025-29927, a critical Next.js vulnerability allowing attackers to bypass middleware authorization by exploiting the internal x-middleware-subrequest HTTP header. Demonstrates unauthorized access to protected routes and provides mitigation strategies. CVE-2025-29927 0 0 1 0 5827574711151544891 +github:1247951483 2026-05-24 2026-06-28 f https://github.com/N45HT/drupal-cve-2026-9082-checker Drupal CVE-2026-9082 Blind SQL Injection Checker CVE-2026-9082 2 7 0 7 7249697695898320951 +github:792443354 2024-04-26 2025-01-22 f https://github.com/dumbbutt0/evilMP4 Explore CVE-2022-41741 with the Evil MP4 repository. It offers educational PoCs,and documentation on securing nginx against MP4 file vulnerabilities. For legal, ethical security testing only. CVE-2022-41741 0 1 1 1 5759816205289707830 +github:742027806 2024-06-21 2024-07-25 f https://github.com/Cappricio-Securities/CVE-2021-20323 A POST based reflected Cross Site Scripting vulnerability on has been identified in Keycloak. CVE-2021-20323 1 2 0 2 7372993489863298203 +github:72648517 2016-11-02 2016-11-02 f https://github.com/zugetor/Joomla-3.4.4-3.6.4_CVE-2016-8869_and_CVE-2016-8870 Source code: https://github.com/XiphosResearch/exploits/tree/master/Joomraa CVE-2016-8869 1 0 1 0 2914587286566701949 +github:928914700 2025-02-07 2025-08-19 f https://github.com/typical-pashochek/CVE-2024-39713 CVE-2024-39713 2 5 1 5 3963868519580687847 +github:1019716760 2025-07-14 2025-07-14 f https://github.com/mickhacking/Thank-u-Next CVE-2025-29927 PoC | Auth Bypass Exploit | Python Tool using httpx | Middleware Vulnerability | Ethical Hacking Toolkit CVE-2025-29927 0 0 0 0 2884731678407921321 +github:578286043 2023-09-10 2025-10-04 f https://github.com/LalieA/CVE-2021-27928 A Proof of Concept for the CVE-2021-27928 flaw exploitation CVE-2021-27928 0 0 1 0 5949782322941075689 +github:1256043408 2026-07-22 2026-07-22 f https://github.com/JTMH37/Apache-Tomcat-CVE-2025-24813-Lab ICT279 Vulnerability Detection and Mitigation Project using CVE-2025-24813 in an Internet Banking Environment CVE-2025-24813 0 0 0 0 8620177266629858644 +github:356332111 2021-04-09 2021-04-09 f https://github.com/coolyin001/CVE-2021-26295-- CVE-2021-26295-POC 利用DNSlog进行CVE-2021-26295的漏洞验证。 使用 poc：将目标放于target.txt后运行python poc.py即可。（Jdk环境需<12，否则ysoserial无法正常生成有效载荷） exp：python exp.py https://baidu.com然后进入命令执行界面（无回显） CVE-2021-26295 0 0 1 0 5381896490914342030 +github:442255773 2021-12-27 2021-12-27 f https://github.com/LinkMJB/log4shell_scanner Quick and dirty scanner, hitting common ports looking for Log4Shell (CVE-2021-44228) vulnerability CVE-2021-44228 0 0 1 0 1855897043169947657 +github:1179689486 2026-03-12 2026-03-12 f https://github.com/lutraat/CVE-2025-55182-React-RSC-Exploit Basic Proof of Concept (Poc) Exploit for React RSC - CVE-2025-55182 CVE-2025-55182 0 0 0 0 2072466758722138226 +github:337512578 2021-02-09 2026-06-14 f https://github.com/Rvn0xsy/CVE-2021-3156-plus CVE-2021-3156非交互式执行命令 CVE-2021-3156 40 205 3 205 2214097662771272243 +github:469063637 2024-06-17 2024-06-17 f https://github.com/arttnba3/CVE-2022-0847 my personal exploit of CVE-2022-0847(dirty pipe) CVE-2022-0847 2 6 1 6 6482387731365113268 +github:772568314 2024-03-15 2026-02-05 f https://github.com/RoboGR00t/Exploit-CVE-2024-26503 Exploit for Open eClass – CVE-2024-26503: Unrestricted File Upload Leads to Remote Code Execution CVE-2024-26503 0 3 1 3 8253686263627104484 +github:830068924 2024-07-24 2025-02-13 f https://github.com/vt0x78/CVE-2024-31989 Exploit for CVE-2024-31989. CVE-2024-31989 0 3 1 3 1101356297638361118 +github:1007842102 2025-06-27 2026-05-20 f https://github.com/Vr00mm/CVE-2025-49144 PoC CVE-2025-49144 CVE-2025-49144 0 5 0 5 5319649135441213310 +github:1193047119 2026-07-02 2026-07-02 f https://github.com/erman-bolukbasi/web-penetration-drupal Penetration test of a Drupal web app — CVE-2018-7600 (Drupalgeddon 2) exploited using Nmap, Burp Suite & Metasploit | Internship @ BB CyberSec CVE-2018-7600 0 0 0 0 7410383971903827338 +github:892854194 2024-11-22 2024-11-22 f https://github.com/sagisar1/CVE-2019-25065-exploit A POC for CVE-2019-25065, os command injection in OpenNetAdmin CVE-2019-25065 0 0 1 0 7411738102832293084 +github:619093652 2023-03-26 2023-03-26 f https://github.com/521526/CVE-2019-1006 CVE-2019-1006 0 1 1 1 5026841068723287895 +github:505824609 2022-07-14 2024-08-12 f https://github.com/kuron3k0/Spring-Data-Mongodb-Example CVE-2022-22980环境 CVE-2022-22980 7 14 1 14 392722378483006846 +github:1052421293 2025-09-08 2026-07-08 f https://github.com/mrk336/CVE-2024-10220-Kubernetes-gitRepo-Volume-Vulnerability CVE-2024-10220 reveals a critical flaw in Kubernetes’ deprecated gitRepo volume type, allowing attackers to execute arbitrary commands via malicious .hooks scripts. The article explains how this breaks container isolation and offers exploit code, automation examples, and mitigation guidance CVE-2024-10220 0 0 0 0 6188592086902271304 +github:734028586 2023-12-20 2023-12-20 f https://github.com/That-Guy-Steve/CVE-2018-1133-Exploit CVE-2018-1133 0 0 1 0 353359970840721503 +github:1110656073 2025-12-05 2025-12-05 f https://github.com/RajChowdhury240/React2Shell-CVE-2025-55182 React2Shell | CVE-2025-55182 - React Server Components RCE CVE-2025-55182 0 0 0 0 5146941778531366699 +github:1236831869 2026-06-06 2026-06-29 f https://github.com/tc4dy/CVE-2026-29000-PoC-Exploit CVE-2026-29000 – pac4j-jwt Authentication Bypass (🔥 CVSS 10.0). One-click admin forge via public key JWE wrapping. Leaks configs, users, secrets. Keep-alive, proxy, custom JWKS.⚙️ Educational PoC Exploit tool. CVE-2026-29000 0 3 0 3 5624844616359008373 +github:296434593 2020-12-08 2025-04-10 f https://github.com/refi64/CVE-2020-25265-25266 CVE-2020-25265 1 2 2 2 1309425737688760855 +github:481308105 2022-06-09 2022-06-09 f https://github.com/userxfan/cve-2020-27955 cve-2020-27955 CVE-2020-27955 0 0 1 0 7134925174496181899 +github:992019343 2025-05-28 2025-05-28 f https://github.com/StellarDriftLabs/CVE-2018-8097-PoC POC for CVE-2018-8097 This script exploits CVE-2018-8097 and can retrieve files and contents using a blind RCE method. CVE-2018-8097 0 0 0 0 5993582903078645097 +github:560339513 2022-11-02 2025-12-23 f https://github.com/aqiao-jashell/py-CVE-2021-41773 python编写的apache路径穿越poc&exp CVE-2021-41773 0 7 1 7 8023455163670412336 +github:1241917963 2026-05-18 2026-05-18 f https://github.com/MAFO-sec/mi-laboratorio-log4shell Laboratorio automatizado Plug & Play en Docker para auditar y estudiar la vulnerabilidad Log4Shell (CVE-2021-44228) CVE-2021-44228 0 0 0 0 2748583030695607174 +github:176976251 2019-03-21 2023-02-17 f https://github.com/knqyf263/CVE-2019-5420 CVE-2019-5420 (Ruby on Rails) CVE-2019-5420 0 8 0 8 302266523218333615 +github:262688618 2020-05-10 2024-04-14 f https://github.com/AndreyRainchik/CVE-2020-8816 A Python script to exploit CVE-2020-8816, a remote code execution vulnerability on the Pi-hole CVE-2020-8816 6 10 1 10 5969590396070805636 +github:1272681546 2026-06-17 2026-06-17 f https://github.com/segunakinsoyinu/CVE-2024-42009-roundcube-xss CVE-2024-42009 0 0 0 0 7864321234966607286 +github:214928698 2019-10-14 2019-10-14 f https://github.com/BBB-man/CVE-2019-3778-Spring-Security-OAuth-2.3-Open-Redirection Spring Security OAuth 2.3 Open Redirection 分析复现篇 CVE-2019-3778 0 0 1 0 4511899716477198989 +github:931880257 2025-02-13 2025-10-20 f https://github.com/K9-Modz/CVE-2023-38873-G1 CVE-2023-38873 0 0 1 0 2245428442995239491 +github:844819282 2024-08-20 2026-07-27 f https://github.com/bigb0x/CVE-2024-7928 Will attempt to retrieve DB details for FastAdmin instances CVE-2024-7928 15 68 2 68 1595870987960137594 +github:975240896 2025-04-30 2026-04-03 f https://github.com/absholi7ly/TomcatKiller-CVE-2025-31650 A tool designed to detect the vulnerability **CVE-2025-31650** in Apache Tomcat (versions 10.1.10 to 10.1.39) CVE-2025-31650 3 20 1 20 1187273392348974982 +github:265251143 2024-02-06 2026-02-03 f https://github.com/ShielderSec/CVE-2020-11579 Exploit code for CVE-2020-11579, an arbitrary file disclosure through the MySQL client in PHPKB CVE-2020-11579 6 25 4 25 3827510696900582779 +github:437917354 2021-12-15 2026-01-16 f https://github.com/AlexandreHeroux/Fix-CVE-2021-44228 Apply class remove process from ear/war/jar/zip archive, see https://logging.apache.org/log4j/2.x/ CVE-2021-44228 4 6 1 6 5742345531137468615 +github:540011346 2022-09-25 2025-01-01 f https://github.com/hupe1980/CVE-2022-29464 WSO2 Arbitrary File Upload to Remote Command Execution (RCE) CVE-2022-29464 1 3 1 3 8442615041502649483 +github:1078101180 2025-10-17 2025-10-17 f https://github.com/letsr00t/CVE-2017-1000367 CVE-2017-1000367 CVE-2017-1000367 0 0 0 0 2981384224697369975 +github:346425578 2021-03-18 2021-03-18 f https://github.com/Faisal78123/CVE-2021-21300 CVE-2021-21300 0 0 1 0 6448676296730581493 +github:382309693 2021-07-02 2024-06-07 f https://github.com/Ovi3/CVE_2021_27850_POC Apache Tapestry CVE-2021-27850 PoC CVE-2021-27850 2 2 1 2 7776120984200452427 +github:575523031 2022-12-07 2023-02-09 f https://github.com/RoccoPearce/CVE-2022-30129 CVE-2022-30129 0 2 1 2 9212232382313936233 +github:664029280 2024-01-04 2026-07-08 f https://github.com/S1lkys/CVE-2023-30367-mRemoteNG-password-dumper Original PoC for CVE-2023-30367 CVE-2023-30367 1 16 2 16 2604382999389549646 +github:997026514 2025-06-06 2025-06-10 f https://github.com/rasool13x/exploit-CVE-2025-49113 CVE-2025-49113 2 3 0 3 8345959433999686054 +github:1111165995 2025-12-06 2025-12-07 f https://github.com/zorejt/Rust_CVE-2025-55182 CVE-2025-55182 0 0 0 0 8019797816038502173 +github:1245501728 2026-05-21 2026-05-27 f https://github.com/EQSTLab/CVE-2026-42048 Langflow Arbitrary Directory Deletion CVE-2026-42048 0 2 0 2 2147644184320424436 +github:465652006 2022-03-03 2022-03-03 f https://github.com/scopion/cve-2022-22947 poc for cve-2022-22947 CVE-2022-22947 3 0 0 0 131093926718988062 +github:749635165 2024-01-31 2024-08-16 f https://github.com/viszsec/CVE-2024-23897 Jenkins POC of Arbitrary file read vulnerability through the CLI can lead to RCE CVE-2024-23897 0 5 1 5 9172194032868992857 +github:1047877212 2025-08-31 2025-09-02 f https://github.com/jisi-001/CVE-2024-48307POC jeecg-boot getDictItemsByTable接口存在SQL注入漏洞 CVE-2024-48307 0 1 0 1 4135703961459058124 +github:619494083 2023-04-04 2026-06-29 f https://github.com/AbelChe/evil_minio EXP for CVE-2023-28434 MinIO unauthorized to RCE CVE-2023-28434 39 320 2 320 6056579744390466373 +github:1285175097 2026-06-30 2026-06-30 f https://github.com/rootdirective-sec/CVE-2026-55255-Lab CVE-2026-55255 0 0 0 0 4369106534953757727 +github:852437483 2024-09-12 2025-01-31 f https://github.com/kloutkake/CVE-2017-5638-PoC This repository provides a PoC for CVE-2017-5638, a remote code execution vulnerability in Apache Struts 2, exploitable via a crafted Content-Type HTTP header. CVE-2017-5638 0 1 1 1 5465864433515461257 +github:125206287 2018-03-19 2018-03-28 f https://github.com/Greynad/struts2-jakarta-inject Golang exploit for CVE-2017-5638 CVE-2017-5638 0 2 1 2 6398570619421437219 +github:1122029494 2025-12-24 2025-12-24 f https://github.com/111ddea/goga-cve-2025-8110 验证 Gogs 版本 0.13.2 是否存在 **CVE-2025-8110 (符号链接文件覆盖)** 漏洞。 CVE-2025-8110 0 0 0 0 6558627765572758618 +github:731218902 2024-09-08 2024-10-28 f https://github.com/heapbytes/CVE-2023-26035 POC script for CVE-2023-26035 (zoneminder 1.36.32) CVE-2023-26035 2 7 1 7 8417982513937869122 +github:823665546 2024-07-03 2024-07-03 f https://github.com/t3rry327/cve-2024-6387-poc CVE-2024-6387 0 0 1 0 586276406250719701 +github:955721279 2025-03-27 2025-03-27 f https://github.com/Lusensec/CVE-2025-30208 CVE-2025-30208 检测工具。python script && nuclei template CVE-2025-30208 0 0 0 0 4032293329408821640 +github:1121798216 2025-12-23 2025-12-23 f https://github.com/nehkark/CVE-2025-68613 This repository contains a laboratory-grade analysis and a **safe Proof-of-Concept** for the vulnerability **CVE-2025-68613**, affecting the workflow automation platform **n8n**. CVE-2025-68613 0 0 0 0 1306284284723724086 +github:1017850034 2026-02-16 2025-07-11 f https://github.com/cuijiung/shiro-CVE-2020-11989 CVE-2020-11989 0 0 0 0 8583884765426486590 +github:1121493890 2025-12-23 2025-12-27 f https://github.com/reem-012/poc_CVE-2025-68613 POC for CVE-2025-68613 CVE-2025-68613 0 0 0 0 5253606674373627830 +github:903170019 2024-12-13 2024-12-13 f https://github.com/Shayz614/CVE-2022-22963 CVE to CTF FP CVE-2022-22963 0 0 1 0 6060087432078181613 +github:311900305 2020-12-28 2025-10-22 f https://github.com/Veraxy00/CVE-2020-8840 Jackson-databind远程代码执行漏洞（CVE-2020-8840）分析复现环境代码 CVE-2020-8840 2 4 2 4 8843211519678145719 +github:686165722 2023-09-01 2023-09-01 f https://github.com/BrunoTeixeira1996/CVE-2021-39473 CVE-2021-39473 0 0 1 0 3667071707436745182 +github:454474679 2024-10-26 2026-04-08 f https://github.com/dipakpanchal05/CVE-2022-23808 phpMyAdmin XSS CVE-2022-23808 23 114 2 114 3031636949231792523 +github:1085946855 2025-10-29 2025-10-29 f https://github.com/TranDongA3/Simulation_CVE-2024-46256 CVE-2024-46256 0 0 0 0 8502969329607610886 +github:822579775 2024-07-01 2026-07-08 f https://github.com/acrono/cve-2024-6387-poc 32-bit PoC for CVE-2024-6387 — mirror of the original 7etsuo/cve-2024-6387-poc CVE-2024-6387 85 380 7 380 5240323490932570114 +github:1130945560 2026-01-09 2026-01-09 f https://github.com/joker-xiaoyan/CVE-2025-67303 test CVE-2025-67303 0 0 0 0 5588827387175462365 +github:1164666817 2026-03-05 2026-03-05 f https://github.com/0xBlackash/CVE-2025-14847 CVE-2025-14847 CVE-2025-14847 0 0 0 0 5583687749634159681 +github:571622287 2022-11-28 2022-11-28 f https://github.com/ClemExp/CVE-2022-22965-PoC CVE-2022-22965 0 0 1 0 5378932049817261874 +github:1113406634 2025-12-10 2026-01-22 f https://github.com/Syzygy-K/CVE-2025-65964-Exploit CVE-2025-65964复现 CVE-2025-65964 1 4 0 4 3963500127125610603 +github:1229958575 2026-05-05 2026-05-05 f https://github.com/808rsec/CVE-2022-22963 Simple exploit CVE-2022-22963 0 0 0 0 4382773093564034078 +github:978265945 2025-05-05 2025-12-01 f https://github.com/Praison001/CVE-2025-3248 Scanner and exploit for CVE-2025-3248 CVE-2025-3248 0 1 1 1 5284201473810051156 +github:325865956 2020-12-31 2020-12-31 f https://github.com/Rapidsafeguard/codesnippets_CVE-2020-8417 CVE-2020-8417 1 0 1 0 1923253973732713947 +github:397781159 2021-08-23 2021-08-26 f https://github.com/security-n/CVE-2021-39378 CVE-2021-39378 0 0 1 0 5896519318000372309 +github:880552224 2024-11-01 2026-07-13 f https://github.com/refr4g/CVE-2024-51378 Exploit for CyberPanel Pre-Auth RCE via Command Injection CVE-2024-51378 7 23 1 23 2715701876476990068 +github:1111251466 2025-12-06 2025-12-08 f https://github.com/alessiodos/react2shell-scanner CVE-2025-55182 & CVE-2025-66478 Detection Tool for Next.js RSC RCE CVE-2025-55182 2 1 0 1 5375255325521918049 +github:1265788110 2026-06-11 2026-06-11 f https://github.com/Alejandro609x/JEFAZO-CVE-2025-55182-Checker Escáner pasivo de seguridad para CVE-2025-55182 que identifica indicadores públicos asociados a Next.js y React Server Components. Realiza validaciones seguras, analiza cabeceras y rutas, y proporciona una evaluación de exposición basada en evidencias sin explotación. CVE-2025-55182 1 0 0 0 6276032767426988501 +github:677919510 2023-08-13 2023-08-14 f https://github.com/chairat095/CVE-2022-44268_By_Kyokito CVE-2022-44268_By_Kyokito CVE-2022-44268 0 2 1 2 9114176925733052950 +github:1251467696 2026-05-27 2026-07-13 f https://github.com/portbuster1337/CVE-2026-27771 CVE-2026-27771 - Gitea/Forgejo Container Registry Auth Bypass Exploit PoC - Pull private container images without authentication CVE-2026-27771 6 18 0 18 8960213635786870513 +github:953798267 2025-03-24 2025-04-09 f https://github.com/RoyCampos/CVE-2025-29927 CVE-2025-29927 Exploit Checker CVE-2025-29927 1 4 0 4 7686151589347797117 +github:1115189252 2025-12-12 2025-12-12 f https://github.com/ryanhafid/Scan_CVE-2025-55182 CVE-2025-55182 0 0 0 0 3649078229492694314 +github:350858381 2021-03-23 2021-03-23 f https://github.com/theJuan1112/pentesterlab-cve-2018-6574 solution CVE-2018-6574 0 0 1 0 4844605722666476944 +github:804756776 2024-05-24 2024-05-26 f https://github.com/fadhilthomas/poc-cve-2024-32002 poc of git rce using cve-2024-32002 CVE-2024-32002 0 1 1 1 1521667702351868270 +github:495361196 2022-05-23 2025-08-16 f https://github.com/Snorlyd/https-nj.gov---CVE-2020-11022 Vulnearability Report of the New Jersey official site CVE-2020-11022 0 1 1 1 3283308699817284614 +github:470069674 2022-03-15 2022-03-15 f https://github.com/githublihaha/DirtyPIPE-CVE-2022-0847 CVE-2022-0847 1 0 1 0 5709599089109806534 +github:1246227845 2026-05-22 2026-05-22 f https://github.com/HORKimhab/CVE-2026-3102 CVE-2026-3102 CVE-2026-3102 0 1 0 1 3117334834486797076 +github:745226621 2024-01-20 2024-02-04 f https://github.com/matiasarenhard/rails-cve-2017-17917 CVE-2017-17917 0 1 1 1 3265466490424222908 +github:823236084 2024-07-02 2026-03-11 f https://github.com/MrR0b0t19/CVE-2024-6387-Exploit-POC CVE-2024-6387 2 4 1 4 8043488996870751579 +github:467606236 2023-06-14 2026-07-07 f https://github.com/basharkey/CVE-2022-0847-dirty-pipe-checker Bash script to check for CVE-2022-0847 "Dirty Pipe" CVE-2022-0847 31 70 1 70 1544415491102456183 +github:749248494 2024-04-16 2026-04-25 f https://github.com/Vozec/CVE-2024-23897 This repository presents a proof-of-concept of CVE-2024-23897 CVE-2024-23897 3 17 1 17 3705958333390040651 +github:989760983 2025-05-30 2025-11-27 f https://github.com/DaniTheHack3r/CVE-2024-42009-PoC CVE-2024-42009 Proof of Concept CVE-2024-42009 1 7 0 7 4761688620030185602 +github:438523356 2021-12-15 2021-12-15 f https://github.com/avirahul007/CVE-2021-44228 CVE-2021-44228 0 0 1 0 6776672280697840534 +github:613246581 2024-02-15 2023-08-23 f https://github.com/MrG3P5/CVE-2017-9841 A Tool for scanning CVE-2017-9841 with multithread CVE-2017-9841 0 4 1 4 5393332090857872358 +github:437988861 2021-12-13 2023-05-09 f https://github.com/threatmonit/Log4j-IOCs Public IOCs about log4j CVE-2021-44228 CVE-2021-44228 0 3 1 3 3730331513175092827 +github:804438695 2024-06-07 2024-09-01 f https://github.com/AndreaCicca/Sicurezza-Informatica-Presentazione Presentazione per il corsi di sicurezza Informatica sulla vulnerabilità CVE-2024-3094 CVE-2024-3094 0 0 1 0 4045548695314156522 +github:183322760 2019-05-01 2024-08-12 f https://github.com/1NTheKut/CVE-2019-1003000_RCE-DETECTION A C# module to detect if a Jenkins server is vulnerable to the RCE vulnerability found in CVE-2019-1003000 (chained with CVE-2018-1000861 for pre-auth RCE) CVE-2018-1000861 2 4 0 4 5398803482354912944 +github:867618979 2024-10-04 2024-10-04 f https://github.com/S4MY9/CVE-2023-0297 RCE in pyload prior to 0.5.0b3.dev31. CVE-2023-0297 0 0 1 0 3383579086371380293 +github:395187896 2021-08-12 2021-08-13 f https://github.com/KielVaughn/CVE-2021-38602 CVE-2021-38602 0 1 1 1 4985322573559336077 +github:904960617 2024-12-18 2026-02-24 f https://github.com/mbadanoiu/CVE-2023-50780 CVE-2023-50780: Dangerous MBeans Accessible via Jolokia API in Apache ActiveMQ Artemis CVE-2023-50780 0 1 1 1 1664467770026861695 +github:795435234 2024-05-03 2024-05-03 f https://github.com/RenukaSelvar/expat_CVE-2024-28757 CVE-2024-28757 0 0 1 0 1957460319642113758 +github:1023598862 2025-07-21 2025-07-21 f https://github.com/patrickpichler/grafana-CVE-2024-9264 Grafana image with DuckDB binary present vulnerable to exploit CVE-2024-9264 CVE-2024-9264 0 0 0 0 3955264346770285639 +github:705614213 2023-10-16 2026-04-26 f https://github.com/studiogangster/CVE-2023-44487 A python based exploit to test out rapid reset attack (CVE-2023-44487) CVE-2023-44487 3 21 1 21 4346356081137542175 +github:1206806071 2026-04-11 2026-04-11 f https://github.com/roshanrajbanshi/rocketcat-cve-2021-22911-exploit CVE-2021-22911 Rocket.Chat NoSQL Injection RCE Exploit - Educational Purpose CVE-2021-22911 0 0 0 0 691157417670931305 +github:848586259 2025-05-29 2025-05-29 f https://github.com/arturo-b-cmu/cve-2016-20012 CVE-2016-20012 0 0 1 0 61857677050656964 +github:230212773 2019-12-26 2024-08-12 f https://github.com/masahiro331/CVE-2019-10758 CVE-2019-10758 21 111 1 111 7819904150530500374 +github:736124550 2023-12-27 2023-12-27 f https://github.com/DDayLuong/CVE-2021-3156 CVE-2021-3156 0 0 1 0 4862696491620591431 +github:1169033579 2026-07-01 2026-07-12 f https://github.com/MoXie25/NanoMQ-Memory-Leak-Research Public advisory and technical analysis for CVE-2026-36590, a NanoMQ v0.24.9 denial-of-service vulnerability. CVE-2026-36590 0 0 1 0 6194895531024175514 +github:1295518713 2026-07-09 2026-07-09 f https://github.com/endusdksla/xwiki-cve-2025-24893 CVE-2025-24893 0 0 0 0 5880374118509110826 +github:1247969981 2026-06-27 2026-06-27 f https://github.com/suominen/CVE-2026-9256 Tracking the nginx CVE-2026-9256 rewrite-module heap overflow CVE-2026-9256 0 0 0 0 6398273284690653926 +github:968541107 2025-04-18 2026-05-07 f https://github.com/ruiwenya/CVE-2025-32395 CVE-2025-32395-POC CVE-2025-32395 0 2 1 2 6843671424297505503 +github:326754867 2021-01-06 2021-01-06 f https://github.com/kurenaif/CVE-2020-28052_PoC CVE-2020-28052 0 0 1 0 4269662777176721573 +github:1283978469 2026-06-29 2026-07-26 f https://github.com/xd20111/CVE-2026-55200 CVE-2026-55200 - Critical libssh2 Remote Code Execution Vulnerability CVE-2026-55200 1 3 0 3 6070350346749389580 +github:84602394 2017-03-13 2024-08-12 f https://github.com/immunio/apache-struts2-CVE-2017-5638 Demo Application and Exploit CVE-2017-5638 38 35 1 35 8712665617836233666 +github:199781061 2019-08-01 2026-04-27 f https://github.com/jas502n/CVE-2019-13272 Linux 4.10 < 5.1.17 PTRACE_TRACEME local root CVE-2019-13272 104 332 8 332 6327557108146511059 +github:479029467 2022-04-07 2022-04-07 f https://github.com/Corgizz/SpringCloud Spring Cloud Config CVE-2019-3799|CVE_2020_5410 漏洞检测 CVE-2019-3799 0 0 1 0 8228754471344594414 +github:576453158 2022-12-11 2026-07-11 f https://github.com/yuriisanin/CVE-2022-45025 [PoC] Command injection via PDF import in Markdown Preview Enhanced (VSCode, Atom) CVE-2022-45025 17 88 1 88 720171798113334821 +github:1197321945 2026-05-19 2026-05-19 f https://github.com/DanielTangnes/CVE-2026-3888 CVE-2026-3888 0 0 0 0 4240331766066035413 +github:201878363 2020-07-08 2026-05-23 f https://github.com/1135/solr_exploit Apache Solr远程代码执行漏洞(CVE-2019-0193) Exploit CVE-2019-0193 14 65 3 65 6422565902538738997 +github:825352916 2024-07-07 2024-07-07 f https://github.com/sysonlai/CVE-2024-32002-hook CVE-2024-32002 0 0 1 0 671435371043607807 +github:1270715825 2026-06-16 2026-06-18 f https://github.com/SentinelXofficial/CVE-2025-55182 PoC exploit for CVE-2025-55182 (React2Shell) — Pre-auth RCE in React Server Components | CVSS 10.0 CVE-2025-55182 0 1 0 1 7147204766621092925 +github:1237024116 2026-05-12 2026-05-12 f https://github.com/Caixa-git/tanstack-shield 🛡️ One-command scanner for CVE-2026-45321 — TanStack npm supply-chain attack CVE-2026-45321 0 0 0 0 3107246662831426295 +github:371780179 2021-05-29 2023-02-06 f https://github.com/hexcowboy/CVE-2020-8813 Cacti v1.2.8 Unauthenticated Remote Code Execution CVE-2020-8813 0 1 1 1 3056039483949280198 +github:1190181138 2026-03-24 2026-03-24 f https://github.com/RyosukeDTomita/CVE-2025-55182 CVE-2025-55182 — React2Shell CVE-2025-55182 0 0 0 0 450874591705749773 +github:1081496797 2025-10-22 2025-10-22 f https://github.com/fofovicfof-ai/cve-2023-2745 cve-2023-2745 CVE-2023-2745 0 0 0 0 1162391031884947309 +github:651513086 2023-06-12 2023-06-25 f https://github.com/RandomRobbieBF/CVE-2023-0630 CVE-2023-0630 - Slimstat Analytics < 4.9.3.3 - Subscriber+ SQL Injection CVE-2023-0630 3 2 1 2 4967547786430955423 +github:697793875 2023-09-28 2023-12-18 f https://github.com/knight0x07/CVE-2023-43770-PoC PoC for Stored XSS (CVE-2023-43770) Vulnerability CVE-2023-43770 0 3 1 3 7093505044395885421 +github:543986246 2026-07-06 2026-07-12 f https://github.com/sh4den/CVE-2022-27925 A loader for zimbra 2022 rce (cve-2022-27925) CVE-2022-27925 4 18 1 18 7746027133281529142 +github:379927795 2023-04-18 2026-04-02 f https://github.com/CsEnox/CVE-2021-21425 GravCMS Unauthenticated Arbitrary YAML Write/Update leads to Code Execution (CVE-2021-21425) CVE-2021-21425 3 12 1 12 933379533785156994 +github:863444819 2024-09-26 2026-05-23 f https://github.com/jphetphoumy/traefik-CVE-2024-45410-poc A proof of concept of traefik CVE to understand the impact CVE-2024-45410 1 5 1 5 2418515910796750970 +github:824156825 2024-07-04 2025-04-30 f https://github.com/lala-amber/CVE-2024-6387 CVE-2024-6387 0 4 1 4 3838991328626350767 +github:93312242 2017-06-04 2022-11-09 f https://github.com/homjxi0e/CVE-2017-1000367 CVE-2017-1000367 6 1 0 1 7792341907464358587 +github:212068191 2019-10-03 2020-08-13 f https://github.com/purpleracc00n/CVE-2019-16941 PoC for CVE-2019-16941 CVE-2019-16941 0 4 1 4 3381584596064973586 +github:405007433 2021-09-28 2026-01-13 f https://github.com/donky16/CVE-2021-40346-POC CVE-2021-40346 integer overflow enables http smuggling CVE-2021-40346 7 32 1 32 2436681620766661338 +github:476087252 2022-03-04 2023-07-28 f https://github.com/fbion/CVE-2022-22947 Spring Cloud Gateway Actuator API SpEL Code Injection. CVE-2022-22947 0 0 0 0 1152470923961683313 +github:1046384187 2025-08-28 2025-08-29 f https://github.com/jacobholtz/CVE-2025-48384-submodule CVE-2025-48384 0 0 0 0 4082766623645978212 +github:1164307092 2026-03-01 2026-03-01 f https://github.com/Pegasus0xx/CVE-2023-43208 PoC for Mirth Connect Remote Code Execution (RCE) CVE-2023-43208 0 1 0 1 921339576980362265 +github:967697087 2025-04-16 2025-04-16 f https://github.com/ulricvbs/gibbonlms-filewrite_rce PoC - Arbitrary File Write in Gibbon LMS for RCE (CVE-2023-45878) CVE-2023-45878 0 0 1 0 1964475615512997630 +github:955450936 2025-03-27 2025-04-18 f https://github.com/hi-unc1e/CVE-2025-1974-poc PoC of CVE-2025-1974, modified from the world-first PoC~ CVE-2025-1974 1 4 1 4 1000615063178525269 +github:1178865522 2026-05-12 2026-05-12 f https://github.com/ZaidMkh32/CVE-2025-27136-XXE-LocalS3 Proof of Concept for CVE-2025-27136 (XXE in Local-S3) CVE-2025-27136 0 1 0 1 8215193201668410027 +github:1232311869 2026-05-08 2026-05-26 f https://github.com/Medaz-Sploit/CVE-2025-64714-privatebin-2.0.2-PoC CVE-2025-64714 0 1 0 1 6423133510589113466 +github:438490030 2021-12-15 2021-12-16 f https://github.com/VinniMarcon/Log4j-Updater Log4J Updater Bash Script to automate the framework update process on numerous machines and prevent the CVE-2021-44228 CVE-2021-44228 0 2 1 2 8613256910863732037 +github:1126932976 2026-01-05 2026-01-05 f https://github.com/ElJoamy/MongoBleed-exploit MongoBleed (CVE-2025-14847) Lab & PoC : A complete educational environment to reproduce the critical unauthenticated memory leak in MongoDB. Includes a vulnerable Docker container with multi-database seeding (PII, API keys) and a Python exploit to demonstrate data extraction. Ideal for security research and awareness. 1-day analysis. CVE-2025-14847 0 0 1 0 4097029222123051852 +github:156434987 2018-11-06 2023-10-05 f https://github.com/jasperla/CVE-2017-9101 Exploit for PlaySMS 1.4 authenticated RCE CVE-2017-9101 1 14 1 14 6682496040479668598 +github:1235396229 2026-05-11 2026-05-26 f https://github.com/kikechans/-Linux-PrivEsc-CVE-2024-48990 🔄 Linux PrivEsc via need-restart (CVE-2024-48990). Automatización de adquisición de root. 💀 CVE-2024-48990 0 0 0 0 6904045256392924224 +github:1008110127 2025-07-27 2025-07-27 f https://github.com/ill-deed/Langflow-CVE-2025-3248-Multi-target Langflow versions prior to 1.3.0 are susceptible to code injection in the /api/v1/validate/code endpoint. A remote and unauthenticated attacker can send crafted HTTP requests to execute arbitrary code. CVE-2025-3248 1 0 0 0 1532486419911241003 +github:681788394 2023-08-22 2024-08-12 f https://github.com/RandomRobbieBF/CVE-2019-15896 LifterLMS <= 3.34.5 - Unauthenticated Options Import CVE-2019-15896 1 0 1 0 4405498373885930674 +github:1240505679 2026-07-24 2026-07-24 f https://github.com/fabriziosalmi/tanstack-compromise-checker Shell script to detect TanStack npm supply chain attack indicators (CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx) CVE-2026-45321 1 2 0 2 5689611753450679842 +github:427945657 2022-01-21 2021-11-14 f https://github.com/zodiac12-pub/CVE-2020-7699_reproduce 针对 CVE-2020-7699 的复现，软件安全原理课程大作业 CVE-2020-7699 0 0 2 0 2915314688438165425 +github:782952193 2026-06-12 2026-06-12 f https://github.com/lirantal/safer-eval-cve-CVE-2019-10760 Publicly disclosed Proof-of-Concept (POC) exploit for the safer-eval@1.3.1 version CVE-2019-10760 0 0 1 0 2135271435368382458 +github:322771832 2023-01-24 2023-05-03 f https://github.com/EXP-Docs/CVE-2019-15588 CVE-2019-15588 靶场： RCE 命令注入漏洞 CVE-2019-15588 0 0 0 0 3187218105479420939 +github:411900067 2023-06-22 2022-04-03 f https://github.com/minhnq22/CVE-2021-42171 File upload to Remote Code Execution on Zenario CMS 9.0.54156 CVE-2021-42171 0 0 1 0 1789941027830619522 +github:160322339 2018-07-31 2024-05-13 f https://github.com/pupiles/bof-dnsmasq-cve-2017-14493 dnsmasq rop exploit with NX bypass CVE-2017-14493 0 4 0 4 8049821950341573802 +github:870571270 2024-10-10 2024-10-10 f https://github.com/soltanali0/CVE-2024-4439 aa CVE-2024-4439 0 0 1 0 635240674520189823 +github:1126513945 2026-01-02 2026-01-02 f https://github.com/VilmarTuminskii/cve-2021-3156-sudo-lab Projeto educacional desenvolvido em Python com foco na análise da vulnerabilidade CVE-2021-3156 (Baron Samedit), uma falha crítica no sudo que permitia elevação de privilégio local em sistemas Linux. CVE-2021-3156 0 0 0 0 2848480215404936055 +github:717886733 2024-06-30 2024-06-30 f https://github.com/LucasPDiniz/CVE-2022-22965 Spring4Shell Vulnerability RCE - CVE-2022-22965 CVE-2022-22965 1 0 1 0 8437560018327772465 +github:719369149 2023-11-16 2024-01-24 f https://github.com/LiritoShawshark/CVE-2023-46604_ActiveMQ_RCE_Recurrence CVE-2023-46604环境复现包 CVE-2023-46604 0 2 1 2 1765796538699629196 +github:1281701184 2026-06-26 2026-06-26 f https://github.com/00lucasm/CVE-2025-58434-Flowiseai-Auth-Bypass-PoC Flowiseai Flowise Auth Bypass Vulnerability Proof of Concept CVE-2025-58434 0 0 0 0 6836853603012623094 +github:534698979 2022-09-10 2025-07-04 f https://github.com/izdiwho/CVE-2022-40317 CVE-2022-40317 0 2 1 2 207106492927632714 +github:644829145 2023-05-24 2023-05-24 f https://github.com/mnqazi/CVE-2023-2859 CVE-2023-2859 Medium Blog CVE-2023-2859 2 0 1 0 277511515957145159 +github:1197209697 2026-03-31 2026-03-31 f https://github.com/qucklecrabik/CVE-2024-11680 This repository contains a proof-of-concept (PoC) exploit for CVE-2024-11680, a critical vulnerability in ProjectSend r1605 and earlier versions. The exploit is aimed at incorrect authentication due to problems with incorrect privilege settings and command injection. CVE-2024-11680 0 0 0 0 724033233053565213 +github:567720828 2022-11-21 2026-04-09 f https://github.com/12345qwert123456/CVE-2021-41773 Vulnerable configuration Apache HTTP Server version 2.4.49 CVE-2021-41773 0 0 1 0 1651735392175772058 +github:976802845 2025-05-09 2025-05-09 f https://github.com/toothbrushsoapflannelbiscuits/cve-2017-5638 CVE-2017-5638 0 0 1 0 555635030330048261 +github:215939284 2020-07-23 2025-10-14 f https://github.com/shallvhack/Sudo-Security-Bypass-CVE-2019-14287 Sudo Security Bypass (CVE-2019-14287) CVE-2019-14287 6 3 2 3 623374705579665548 +github:810930308 2024-06-05 2024-06-05 f https://github.com/gloliveira1701/Joomblah CVE-2017-8917 SQL injection Vulnerability in Joomla! 3.7.0 exploit CVE-2017-8917 0 0 1 0 1711826445048492725 +github:966305305 2026-07-10 2026-07-10 f https://github.com/pulentoski/Explotacion-CVE-2023-32315-Openfire CVE-2023-32315 0 0 1 0 6832996116794046673 +github:471037246 2022-03-17 2026-01-12 f https://github.com/Cr4ckC4t/cve-2019-7609 Kibana <6.6.0 RCE written in python3 CVE-2019-7609 1 4 1 4 7444915110480801049 +github:527864103 2022-08-23 2026-04-03 f https://github.com/SiJiDo/CVE-2022-22947 CVE-2022-22947 1 9 1 9 4363302610726066863 +github:1037041908 2025-09-06 2025-09-06 f https://github.com/zs1n/CVE-2024-47533 PoC of CVE-2025-47533 Clobber RCE CVE-2024-47533 0 1 0 1 3566892031785646091 +github:1202642920 2026-04-06 2026-04-06 f https://github.com/amikanev/CVE-2025-23061-LAB CVE-2025-23061 0 0 0 0 7474847777032713321 +github:887792818 2024-11-13 2024-11-13 f https://github.com/Bad3r/CVE-2021-3156-without-ip-command fork of worawit/CVE-2021-3156 exploit_nss.py modified to work with ifconfig instead of the ip command CVE-2021-3156 0 0 1 0 5482890087698093804 +github:1124446036 2025-12-31 2026-01-09 f https://github.com/lincemorado97/CVE-2025-14847 CVE-2025-14847 – MongoDB Unauthenticated Memory‑Leak Exploit CVE-2025-14847 3 1 0 1 2455826062363735585 +github:1141206936 2026-03-16 2026-03-16 f https://github.com/Sudo-WP/sudowp-adminer A secure, zero-trust database management tool for WordPress. Fixes critical SSRF vulnerabilities (CVE-2021-21311) by enforcing local connections only. CVE-2021-21311 0 1 0 1 5159956019419976418 +github:439112800 2021-12-16 2021-12-16 f https://github.com/kannthu/CVE-2021-44228-Apache-Log4j-Rce CVE-2021-44228 3 0 1 0 4126897078460815348 +github:695139320 2023-09-22 2023-09-28 f https://github.com/sromanhu/CVE-2023-43877-RiteCMS-Stored-XSS---Home RiteCMS 3.0 is affected by a Multiple Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload to the Home settings page in the Administration Menu CVE-2023-43877 0 0 1 0 1552961029914295067 +github:1110354410 2025-12-05 2025-12-05 f https://github.com/mantanhacker/CVE-2024-36401-MASS Geoserver RCE CVE-2024-36401 0 0 0 0 8849147825463373467 +github:234714299 2020-01-18 2024-08-12 f https://github.com/thimelp/cve-2020-0601-Perl Perl version of recently published scripts to build ECC certificates with specific parameters re CVE-2020-0601 CVE-2020-0601 1 0 1 0 4543223795909169227 +github:780691332 2024-04-02 2024-04-02 f https://github.com/hackingetico21/revisaxzutils Script en bash para revisar si tienes la vulnerabilidad CVE-2024-3094. CVE-2024-3094 1 0 1 0 8258045742734305980 +github:802731173 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-linux-hulk CVE-2024-32002 0 0 1 0 4060846201096582636 +github:761368362 2024-02-21 2024-02-23 f https://github.com/Nebian/CVE-2024-23897 Scraping tool to ennumerate directories or files with the CVE-2024-23897 vulnerability in Jenkins. CVE-2024-23897 0 1 1 1 144987441106648905 +github:995299992 2025-06-03 2025-06-03 f https://github.com/Apollo-R3bot/django-vulnerability-CVE-2025-32873 Django Security Issue (CVE-2025-32873) CVE-2025-32873 0 0 0 0 6470178477733877056 +github:1276438283 2026-06-22 2026-06-23 f https://github.com/sec0x/CVE-2026-48907 CVE-2026-48907 0 1 0 1 4738486780043323886 +github:1284828504 2026-06-30 2026-06-30 f https://github.com/BiiTts/CVE-2026-56121-Feast-Unauth-RCE CVE-2026-56121 — Feast <0.63.0 unauthenticated RCE via gRPC registry dill.loads of OnDemandFeatureView UDF (pre-auth). Lab + PoC, verified e2e. CVE-2026-56121 0 0 0 0 263798374037419658 +github:241943142 2020-02-20 2026-03-21 f https://github.com/sgdream/CVE-2020-1938 CVE-2020-1938 CVE-2020-1938 89 3 0 3 3450868104719570666 +github:974810730 2025-04-29 2026-06-01 f https://github.com/rubbxalc/CVE-2025-29927 CVE-2025-29927 0 1 1 1 6400467429750108033 +github:1312870026 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66751-Insufficient-Access-Controls-Allow-for-Unauthorized-Room-Deletion-Let-s-Chat- Security Advisory: Insufficient Access Controls Allow for Unauthorized Room Deletion (Let's Chat) CVE-2026-66751 0 0 0 0 6347244363806175661 +github:608470762 2023-03-02 2023-03-02 f https://github.com/mritunjay-k/CVE-2017-5638 An exploit for CVE-2017-5638 CVE-2017-5638 1 0 1 0 9001454793659229514 +github:758722924 2024-02-17 2024-02-16 f https://github.com/ifconfig-me/CVE-2024-23897 Jenkins Arbitrary File Leak Vulnerability [CVE-2024-23897] CVE-2024-23897 0 0 1 0 2719217249854678060 +github:1119840122 2025-12-29 2025-12-29 f https://github.com/MeGaNeKoS/secure-by-default-rce-demo Secure-by-default demo lab showing how container hardening (distroless images, non-root, read-only filesystem, runtime-injected secrets) can neutralize a critical Next.js/React Server Actions RCE (CVE-2025-55182 “React2Shell”), with side-by-side safe vs unsafe deployments and exploit logs CVE-2025-55182 0 0 1 0 5418906708219499452 +github:1251610386 2026-05-27 2026-05-27 f https://github.com/Dungsocool/CVE-2017-11610 Lab 3: Supervisord XML-RPC Remote Code Execution (CVE-2017-11610) - Writeup and Exploit CVE-2017-11610 0 0 0 0 2723908730675453594 +github:437221795 2021-12-11 2023-08-15 f https://github.com/M1ngGod/CVE-2021-44228-Log4j-lookup-Rce CVE-2021-44228 0 4 1 4 2112175156336568291 +github:648990454 2023-07-05 2023-09-10 f https://github.com/axylisdead/CVE-2023-25136_POC CVE-2023-25136 POC written by axylisdead CVE-2023-25136 1 3 1 3 4707432988748422106 +github:1252141448 2026-05-30 2026-06-08 f https://github.com/W5M1n9/NGINX-ngx_http_rewrite_module-heap-buffer-overflow-CVE-2026-9256 CVE-2026-9256 0 1 0 1 3094355583483013602 +github:1015495523 2025-07-08 2025-07-08 f https://github.com/arsalanraja987/java-cve-2021-29425-tika-xxe CVE-2021-29425 0 0 0 0 8975825078045811371 +github:334506851 2021-02-02 2026-07-25 f https://github.com/blasty/CVE-2021-3156 CVE-2021-3156 235 1017 25 1017 5573237964048634168 +github:954499880 2025-03-25 2025-03-25 f https://github.com/0xPb1/Next.js-CVE-2025-29927 CVE-2025-29927 0 0 1 0 6731070067366256623 +github:1239436048 2026-05-15 2026-07-13 f https://github.com/ynsmroztas/nextssrf NextSSRF — CVE-2026-44578 Scanner & Exploit ║ ║ Next.js WebSocket Upgrade Handler SSRF CVE-2026-44578 19 75 0 75 3791067255601305168 +github:346559767 2021-03-11 2023-09-28 f https://github.com/Maskhe/CVE-2021-21300 CVE-2021-21300 3 1 1 1 8992995413829018685 +github:1163873739 2026-02-22 2026-05-27 f https://github.com/kyakei/CVE-2023-43208 CVE-2023-43208: Mirth Connect Pre-Auth RCE PoC CVE-2023-43208 1 3 0 3 856212034107990899 +github:561329535 2022-11-03 2026-05-13 f https://github.com/PhuketIsland/CVE-2021-3156-centos7 利用sudo提权，只针对cnetos7 CVE-2021-3156 2 30 2 30 5689126372610819017 +github:651534472 2023-06-09 2023-06-09 f https://github.com/antisecc/CVE-2018-16763 CVE-2018-16763 1 0 1 0 5606150548015388852 +github:1110164123 2026-01-02 2026-07-06 f https://github.com/nxgn-kd01/react2shell-scanner Detect CVE-2025-55182 (React2Shell) RCE vulnerability in React Server Components. Fast, accurate scanner with zero false positives. CVE-2025-55182 0 3 0 3 3456521842044988713 +github:1042447532 2025-08-22 2025-08-22 f https://github.com/shoucheng3/codehaus-plexus__plexus-utils_CVE-2022-4244_3-0-23 CVE-2022-4244 0 0 0 0 8804186784631259217 +github:608448692 2023-02-28 2023-02-28 f https://github.com/c33dd/CVE-2022-22965 🚀 Exploit for Spring core RCE in C [ wip ] CVE-2022-22965 0 0 0 0 5877708413874081431 +github:1104975747 2025-11-26 2025-11-27 f https://github.com/carlzhang123/Blackash-CVE-2025-58360 CVE-2025-58360 CVE-2025-58360 0 0 0 0 1299021501152031846 +github:680065535 2023-08-18 2023-08-19 f https://github.com/radman404/CVE-2023-34634 Python rewrite of the POC for CVE-2023-34634 CVE-2023-34634 0 2 1 2 5656853326549129464 +github:1042185849 2025-10-21 2026-06-04 f https://github.com/edera-dev/cve-tarmageddon CVE-2025-62518: TARmageddon CVE-2025-62518 4 19 1 19 7232117187261621233 +github:428966283 2021-11-18 2024-05-20 f https://github.com/rabbitsafe/CVE-2021-37580 CVE-2021-37580 3 4 1 4 7185907692159626766 +github:949928006 2025-03-17 2025-03-17 f https://github.com/KillReal01/CVE-2023-4911 CVE-2023-4911 0 0 1 0 935647839267252624 +github:413901787 2021-10-06 2026-01-13 f https://github.com/knqyf263/CVE-2021-41773 Path traversal in Apache HTTP Server 2.4.49 (CVE-2021-41773) CVE-2021-41773 7 9 1 9 6533530414068698192 +github:1299527221 2026-07-13 2026-07-13 f https://github.com/seal-sec-demo-2/Java-Example Seal Security example — vulnerable Maven app (SnakeYAML CVE-2022-1471) remediated to sealed versions; GitHub Actions + Jenkins integration CVE-2022-1471 0 0 0 0 8269023913131465538 +github:1230654503 2026-05-21 2026-05-21 f https://github.com/mawussid/CVE-2026-41651-Python CVE-2026-41651 0 1 0 1 4822929250280081184 +github:1301959411 2026-07-15 2026-07-15 f https://github.com/Ch4120N/CVE-2026-58138 CVE-2026-58138 — Conductor (3.21.21..<3.30.2) unauthenticated RCE via INLINE GraalVM evaluator (HostAccess.ALL). Lab + PoC, verified e2e (root). CVE-2026-58138 0 1 0 1 8842493399717832209 +github:1097743132 2025-11-16 2025-11-16 f https://github.com/mgueye3/Log4Shell This repository contains my work for a cybersecurity assignment where I exploited the real-world Log4Shell (CVE-2021-44228) vulnerability inside a safe, controlled virtual machine. The project followed a Capture-the-Flag format with multiple exploitation tasks to retrieve hidden flags. CVE-2021-44228 0 0 0 0 3936947692424462722 +github:824752906 2024-07-05 2026-05-27 f https://github.com/azurejoga/CVE-2024-6387-how-to-fix Vulnerability remediation and mitigationCVE-2024-6387 CVE-2024-6387 0 5 1 5 5992613293050156183 +github:919718421 2025-02-16 2025-05-11 f https://github.com/godylockz/CVE-2023-40028 POC for CVE-2023-40028: Ghost CMS Arbitrary File Read CVE-2023-40028 0 2 1 2 5360079992604052018 +github:455530268 2022-02-04 2022-02-04 f https://github.com/giardinas-dev/audit-xss-cve-2020-7934 CVE-2020-7934 0 0 1 0 1706141328511531226 +github:484305098 2022-04-28 2025-04-28 f https://github.com/hev0x/CVE-2022-29464 WSO2 RCE (CVE-2022-29464) CVE-2022-29464 1 5 1 5 23168556904239788 +github:471852866 2022-03-20 2022-03-20 f https://github.com/TheJoyOfHacking/saleemrashid-sudo-cve-2019-18634 CVE-2019-18634 0 0 1 0 3957048860626646657 +github:639713771 2023-05-12 2023-05-15 f https://github.com/FAOG99/GrafanaDirectoryScanner Exploit for grafana CVE-2021-43798 CVE-2021-43798 1 1 1 1 6631152278492658475 +github:1133447940 2026-01-14 2026-01-14 f https://github.com/lakshan-sameera/CVE-2025-32462-and-CVE-2025-32463---Critical-Sudo-Vulnerabilities POC for the CVE-2025-32462 and CVE-2025-32463 vulnerabilities CVE-2025-32462 0 0 0 0 4797072645307848172 +github:689120452 2023-09-08 2023-09-08 f https://github.com/Hikikan/CVE-2021-22205 CVE-2021-22205 0 0 1 0 3820017416488289134 +github:1152780753 2026-02-09 2026-05-14 f https://github.com/YoyoChaud/CVE-2025-49132 Exploit for Pterodactyl Panel ≤ 1.11.10 - unauthenticated LFI to RCE. CVE-2025-49132 1 25 0 25 7820945584688783403 +github:132869660 2018-05-10 2018-05-10 f https://github.com/incredible1yu/CVE-2017-7494 CVE-2017-7494 C poc CVE-2017-7494 0 0 0 0 4618584874117913699 +github:480389849 2022-04-11 2024-12-11 f https://github.com/kkx600/Burp_VulPscan burp被动扫描插件，目前只有CVE-2022-22947 CVE-2022-22947 3 2 0 2 4826790076965234405 +github:1271047859 2026-06-16 2026-06-16 f https://github.com/0xdak/CVE-2026-44881_exploit CVE-2026-44881 0 0 0 0 1454296096818313860 +github:584490516 2026-07-06 2026-07-12 f https://github.com/sh4den/CVE-2022-46169 Cacti Unauthenticated Command Injection CVE-2022-46169 2 3 1 3 4462271239451008130 +github:906487773 2024-12-21 2025-12-09 f https://github.com/NingXin2002/Docassemble_poc Docassemble任意文件读取漏洞(CVE-2024-27292) CVE-2024-27292 0 3 1 3 3886508333067925344 +github:924796248 2025-01-30 2025-01-30 f https://github.com/asepsaepdin/CVE-2022-33891 CVE-2022-33891 0 0 1 0 2012392421681212381 +github:826000412 2024-07-24 2024-07-24 f https://github.com/toneemarqus/CVE-2024-39031 Stored Cross-Side Scripting (XSS) leads to privilege escalation in SilverPeas social-networking portal CVE-2024-39031 0 0 1 0 1974447699170737058 +github:1036709890 2026-06-19 2026-06-19 f https://github.com/muhammedkayag/CVE-2018-7600 PoC of CVE-2018-7600 CVE-2018-7600 0 1 0 1 1992610038754184109 +github:311725301 2020-12-30 2026-03-18 f https://github.com/EthicalHCOP/CVE-2020-28413_Mantis2.24.3-SQLi-SOAP Dicha vulnerabilidad se presentaba en la funcionalidad mc_project_get_users, y su detección es tan solo modificando y enviando el parámetro “access” sin ningún valor y cambiando el tipo de valor a String. CVE-2020-28413 0 0 1 0 343830200350712374 +github:1027948392 2025-07-28 2026-04-02 f https://github.com/Shivshantp/CVE-2025-24813 Apache Tomcat PUT JSP RCE - CVE-2025-24813 - Exploit & PoC CVE-2025-24813 0 5 0 5 8456796992612366811 +github:1254282221 2026-06-01 2026-06-01 f https://github.com/jomjosh17/Log4Shell-CVE-2021-44228- CVE-2021-44228 0 0 0 0 4906142531532414347 +github:652218279 2023-06-11 2023-06-11 f https://github.com/andyhsu024/CVE-2022-45025 CVE-2022-45025 0 0 1 0 2205261502920617014 +github:126858445 2018-03-27 2018-03-27 f https://github.com/wizardafric/download (https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11503 CVE-2017-11503 0 0 0 0 7569434890419630384 +github:263900224 2020-05-16 2025-01-27 f https://github.com/Staubgeborener/CVE-2020-11932 Check CVE-2020-11932 (ubuntu server) and test host relating to this vulnerability CVE-2020-11932 2 3 1 3 2997786014624619965 +github:447941021 2022-01-14 2022-01-20 f https://github.com/sukusec301/SeaCMS-v10.1 For code auit and CVE-2020-21378 repetition. Have fun with it! CVE-2020-21378 0 0 1 0 414875507585658894 +github:414991608 2021-10-08 2021-10-08 f https://github.com/ArianeBlow/CVE-2021-27513 ITSM_Broken_control CVE-2021-27513 0 0 1 0 8686532072984375644 +github:441545718 2023-01-20 2022-01-06 f https://github.com/bsigouin/log4shell-vulnerable-app Spring Boot web application vulnerable to CVE-2021-44228, nicknamed Log4Shell. CVE-2021-44228 0 0 0 0 7563540499423640609 +github:956292907 2025-03-28 2025-03-28 f https://github.com/yuzu-juice/CVE-2025-29927_demo This repository is for educational and research purposes. CVE-2025-29927 0 0 1 0 2071901789478005513 +github:954224912 2025-03-24 2026-04-13 f https://github.com/u238/Tomcat-CVE_2025_24813 A playground to test the RCE exploit for tomcat CVE-2025-24813 CVE-2025-24813 0 7 1 7 5596278602678105523 +github:1115104567 2025-12-12 2025-12-12 f https://github.com/oguri-souhei/CVE-2025-55182 CVE-2025-55182 の検証用 CVE-2025-55182 0 0 0 0 2836700295903459504 +github:1120636920 2025-12-21 2025-12-21 f https://github.com/crstaicu/CVE-2019-5413 Fake repo CVE-2019-5413 0 0 0 0 7819831959978748354 +github:506146087 2022-06-22 2025-01-03 f https://github.com/li8u99/Spring-Data-Mongodb-Demo CVE-2022-22980环境 CVE-2022-22980 2 11 1 11 2680702440204811521 +github:938619107 2025-02-26 2026-04-26 f https://github.com/EQSTLab/CVE-2025-1302 JSONPath-plus Remote Code Execution CVE-2025-1302 1 21 1 21 7106125756801903333 +github:1316892352 2026-07-30 2026-07-30 f https://github.com/R3n3r0/cve-2025-5915 CVE-2025-5915 0 0 0 0 4125230667184270056 +github:369313411 2021-05-20 2021-05-20 f https://github.com/jana30116/CVE-2019-13272-Local-Privilege-Escalation Local Privilege Escalation is a way to take advantage of flaws in code or service administration that can manage regular or guest users for particular device activities or transfer root user privileges to master or client. User rights admin. The licenses or privileges may be violated by such undesired amendments, as the system may be disrupted by frequent users unless they have shell or root authorization. So, someone, someone, it may become dangerous and be used to obtain access to a higher level. CVE-2019-13272 0 0 1 0 2766361757790641855 +github:762235697 2024-03-07 2026-04-03 f https://github.com/sharpicx/CVE-2024-1651-PoC Torrentpier v2.4.1. CVE-2024-1651. Remote Code Execution (RCE). Exploit. CVE-2024-1651 2 15 1 15 8635153525501625979 +github:1084952924 2025-10-28 2025-11-09 f https://github.com/FakhriCRD/Apache-CVE-2021-42013-RCE-Exploit A powerful and reliable exploit tool for Apache HTTP Server vulnerabilities CVE-2021-41773 and CVE-2021-42013. This tool provides remote code execution capabilities on vulnerable Apache 2.4.49 and 2.4.50 servers. CVE-2021-42013 0 0 0 0 1901758939675076576 +github:779364261 2024-04-01 2026-06-23 f https://github.com/byinarie/CVE-2024-3094-info Information for CVE-2024-3094 CVE-2024-3094 9 54 1 54 7575767513408109218 +github:1110450305 2025-12-05 2026-07-28 f https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc Original Proof-of-Concepts for React2Shell CVE-2025-55182 CVE-2025-55182 108 1053 25 1053 8028038499670542419 +github:499800049 2022-09-29 2026-03-05 f https://github.com/shadowabi/Laravel-CVE-2021-3129 CVE-2021-3129 POC CVE-2021-3129 0 5 1 5 7292495978200144046 +github:914589028 2025-01-10 2025-01-10 f https://github.com/ZeroEthical/CVE-2022-28108 CVE-2022-28108 0 0 1 0 3722376246213462074 +github:694003937 2023-09-20 2024-11-01 f https://github.com/Limesss/CVE-2023-36109 a poc for cve-2023-36109 CVE-2023-36109 0 2 1 2 1105647644746744794 +github:811564116 2024-06-06 2024-06-06 f https://github.com/DigitalNinja00/CVE-2018-1335 CVE-2018-1335 0 0 1 0 6420824800926510708 +github:836181828 2024-07-31 2024-07-31 f https://github.com/BoB13-Opensource-Contribution-Team9/CVE-2022-22978 CVE-2022-22978's Nuclei-Template CVE-2022-22978 0 0 0 0 3413707269790781695 +github:358421932 2021-04-15 2021-04-15 f https://github.com/MohamedTarekq/test-CVE-2018-11235 CVE-2018-11235 0 0 1 0 2652307167127850609 +github:149421281 2018-09-24 2021-12-03 f https://github.com/Jx0n0/monstra_cms-3.0.4--getshell monstra_cms-3.0.4-上传getshell CVE-2018-17418 CVE-2018-17418 0 1 0 1 5100870839319946544 +github:391601106 2021-08-14 2023-05-31 f https://github.com/aesophor/CVE-2019-18634 My n-day exploit for CVE-2019-18634 (local privilege escalation) CVE-2019-18634 3 5 1 5 4579593051457975992 +github:876527302 2024-10-28 2024-11-13 f https://github.com/Einstein2150/CVE-2022-48565-POC A proof-of-concept for CVE-2022-48565 - python plistlib XML deserialisation attack CVE-2022-48565 0 3 1 3 9222021299552730267 +github:1283694842 2026-06-29 2026-06-29 f https://github.com/yeonchoda/CVE-2024-9264 CVE-2024-9264 0 0 0 0 4042116661843334588 +github:1056002110 2025-11-30 2026-05-08 f https://github.com/Cycloctane/cve-2025-2945-poc Python PoC script for pgAdmin4 Query Tool RCE (CVE-2025-2945) CVE-2025-2945 1 7 1 7 7427931017480960132 +github:1302530090 2026-07-16 2026-07-22 f https://github.com/se1zer/Nextjs_Exploit_Tool Next.js RSC RCE Exploit Tool (CVE-2025-55182) CVE-2025-55182 0 5 0 5 6010029910068358717 +github:812954720 2024-07-23 2026-05-11 f https://github.com/sahar042/CVE-2023-4771 CVE-2023-4771 PoC CKEditor 4 Cross-site scripting (XSS) vulnerability in AJAX sample CVE-2023-4771 0 4 0 4 1992120029085166622 +github:1277629000 2026-06-23 2026-06-23 f https://github.com/dedellix/MUT-BC-SS-01 Mutation testing on X.509 Certificate Validation IN OpenSSL v.1.1.1h, based on CVE-2021-3450. CVE-2021-3450 0 0 0 0 8832029334691964250 +github:1259428883 2026-06-04 2026-06-04 f https://github.com/rootdirective-sec/CVE-2026-34234-Lab CVE-2026-34234 0 0 0 0 1472571193658793204 +github:279086119 2020-07-12 2020-07-12 f https://github.com/xElkomy/CVE-2018-11235 CVE-2018-11235 0 0 0 0 3143722568256095190 +github:714260511 2024-07-07 2026-05-25 f https://github.com/T0X1Cx/CVE-2021-36396-Moodle-Time-Based-SQLi-Exploit This script demonstrates a time-based blind SQL injection on Moodle platforms, exploiting response delays to extract data. CVE-2021-36396 2 22 2 22 7885766420337113813 +github:1127321196 2026-01-03 2026-01-03 f https://github.com/TheInterception/n8n_CVE-2025-68613_exploit_payloads Expression injection payloads for n8n CVE-2025-68613 RCE CVE-2025-68613 0 0 0 0 7122123033905712298 +github:1051445548 2025-09-06 2025-10-02 f https://github.com/casp3r0x0/CVE-2025-58443 FOGProject Authentication bypass CVE-2025-58443 Exploit CVE-2025-58443 0 2 0 2 2533357314978504726 +github:823979710 2024-07-04 2024-07-04 f https://github.com/sms2056/CVE-2024-6387 CVE-2024-6387 0 0 1 0 8066098416601433432 +github:437983994 2021-12-21 2025-12-09 f https://github.com/lfama/log4j_checker Python3 script for scanning CVE-2021-44228 (Log4shell) vulnerable machines. CVE-2021-44228 3 8 2 8 1804389894537989914 +github:410108471 2021-09-24 2022-06-05 f https://github.com/mukkul007/MqttAttack PoC for CVE-2017-7651 CVE-2017-7651 0 0 1 0 1246045420096249991 +github:244244659 2023-03-28 2021-12-22 f https://github.com/Dannners/jackson-deserialization-2017-7525 Jackson Deserialization CVE-2017-7525 PoC CVE-2017-7525 1 1 1 1 9166661438323181885 +github:931686899 2025-04-07 2025-04-07 f https://github.com/mbadanoiu/CVE-2019-12409 CVE-2019-12409: RCE Vulnerability Due to Bad Defalut Config in Apache Solr CVE-2019-12409 0 0 1 0 2824457073569347334 +github:438746535 2021-12-15 2021-12-15 f https://github.com/pravin-pp/log4j2-CVE-2021-45046 CVE-2021-45046 0 0 1 0 2979980997257921600 +github:716779558 2023-11-10 2025-04-14 f https://github.com/asylumdx/Crater-CVE-2023-46865-RCE Crater <=6.0.6, CVE-2023-46865 Post-Auth RCE (Superadmin) CVE-2023-46865 0 4 2 4 8296385052071295827 +github:901717526 2024-12-11 2024-12-11 f https://github.com/jolibb55/donald An example of a repo that would make use of the CVE-2024-32002 CVE-2024-32002 0 0 1 0 3164627146508418311 +github:1292760466 2026-07-07 2026-07-12 f https://github.com/szybnev/cve-2026-20896-gitea-poc CVE-2026-20896 Gitea Docker X-WEBAUTH-USER auth bypass checker CVE-2026-20896 0 9 0 9 3296340572814735502 +github:852871814 2024-09-05 2024-09-05 f https://github.com/phirojshah/CVE-2021-4044 CVE-2021-4044 0 0 1 0 3628131807652499357 +github:841103105 2024-08-11 2024-08-12 f https://github.com/charlesgargasson/CVE-2023-41425 Wonder CMS RCE (XSS) CVE-2023-41425 1 1 1 1 6990938069549709039 +github:1112310183 2025-12-08 2025-12-08 f https://github.com/yaupunal/CVE-2025-55182-scanner CVE-2025-55182-scanner with 2 different method CVE-2025-55182 0 0 0 0 4596666791114145452 +github:534133828 2022-09-08 2024-07-31 f https://github.com/akhilkoradiya/CVE-2021-38314 CVE-2021-38314 Python Exploit CVE-2021-38314 0 4 1 4 8345001168613266625 +github:664412775 2023-07-11 2024-06-21 f https://github.com/joeymeech/CVE-2022-0847-Exploit-Implementation Using CVE-2022-0847, "Dirty Pipe Exploit", to pop a reverse bash shell for arbitrary code execution on a foreign machine. CVE-2022-0847 1 1 1 1 2933349357273468344 +github:854311848 2024-09-08 2024-10-26 f https://github.com/shhrew/CVE-2022-0944 A proof of concept exploit for SQLPad RCE (CVE-2022-0944). CVE-2022-0944 1 7 1 7 7170254912269486094 +github:950967556 2025-03-19 2026-07-03 f https://github.com/Dxsk/CVE-2024-41817-poc CVE-2024-41817 POC ImageMagick <= 7.1.1-35 Arbitrary Code Execution CVE-2024-41817 0 4 1 4 4730155454750887934 +github:888768773 2024-11-23 2024-11-23 f https://github.com/Super-Binary/cve-2021-44228 这是安徽大学 “漏洞分析实验”（大三秋冬）期中作业归档。完整文档位于https://testgames.me/2024/11/10/cve-2021-44228/ CVE-2021-44228 1 0 0 0 8340604342478938769 +github:709989316 2023-11-14 2026-03-23 f https://github.com/roshanshibu/Odysseus A demo of the Log4Shell (CVE-2021-44228) vulnerability. CVE-2021-44228 0 0 1 0 3369835455617164664 +github:1094935578 2025-11-12 2026-01-13 f https://github.com/nekr0ff/needrestart-sudo-escalate-cve-2024-4890 PoC exploit for CVE-2024-4890: Sudo privilege escalation via neecdrestart (>=3.8). Ethical lab-only. Scripts in Python and C. CVE-2024-4890 0 0 0 0 4671786417240390087 +github:1114034783 2025-12-10 2025-12-19 f https://github.com/Gymnott1/CVE-2025-55182 CVE-2025-55182 0 1 0 1 5945433694072609215 +github:1110458055 2025-12-08 2026-06-29 f https://github.com/RuoJi6/CVE-2025-55182-RCE-shell Burp Suite/antsword - Interactive shell (HTTP hijack + POST + AES-256-CBC/BASE64) CVE-2025-55182 4 31 0 31 8796770546321549195 +github:190523226 2019-06-06 2024-08-12 f https://github.com/pcy190/ace-vim-neovim Vim/Neovim Arbitrary Code Execution via Modelines (CVE-2019-12735) CVE-2019-12735 8 9 1 9 5462019892235356785 +github:565617725 2022-11-14 2022-11-14 f https://github.com/GgKendall/secureCodingDemo fall2022 secure coding CVE-2019-13272 : Linux Kernel Improper Privilege Management Vulnerability CVE-2019-13272 0 0 1 0 8564567000773698881 +github:349491080 2021-11-17 2026-07-29 f https://github.com/kal1gh0st/WhatsAppHACK-RCE Whatsapp remote code execution CVE-2019-11932 https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/ CVE-2019-11932 6 27 2 27 4482207471294436554 +github:502506261 2022-07-07 2022-06-12 f https://github.com/T-Guerrero/axios-redos Axios Redos (CVE-2021-3749) proof of concept CVE-2021-3749 1 0 1 0 842815977035437617 +github:1181065861 2026-03-13 2026-07-10 f https://github.com/d3vn0mi/CVE-2025-60787-POC Python PoC for CVE-2025-60787, authenticated OS command injection RCE in motionEye <= 0.43.1b4 via unsanitized image_file_name config CVE-2025-60787 0 0 0 0 794934084113362582 +github:954237333 2025-03-25 2025-09-06 f https://github.com/ricsirigu/CVE-2025-29927 A deliberately Next.js app, vulnerable to CVE-2025-29927, Authorization Bypass CVE-2025-29927 0 1 1 1 1569454212969774692 +github:1255104011 2026-06-03 2026-06-03 f https://github.com/SrGinebras/CVE-2026-23744-RCE-for-MCPjam-inspector-v1.4.2 CVE-2026-23744 0 1 0 1 3892034314518509279 +github:549483301 2022-10-11 2024-05-29 f https://github.com/0nion1/CVE-2021-3129 CVE-2021-3129-Laravel Debug mode CVE-2021-3129 1 6 0 6 8160119311021997825 +github:718233980 2024-06-30 2024-06-30 f https://github.com/LucasPDiniz/CVE-2021-44228 Log4j Vulnerability RCE - CVE-2021-44228 CVE-2021-44228 1 0 1 0 7310925186785247467 +github:468185090 2022-03-10 2026-05-13 f https://github.com/Arrnitage/CVE-2022-22947_exp CVE-2022-22947 Exploit script CVE-2022-22947 4 5 1 5 9019499057828755255 +github:1059753656 2025-09-18 2026-02-07 f https://github.com/byteReaper77/CVE-2025-59342 Exploit Path Traversal in esm-dev CVE-2025-59342 0 1 0 1 2668751749527041524 +github:1306672113 2026-07-20 2026-07-20 f https://github.com/HELLBOY3110/cve-2026-16219-croogo-lab CVE-2026-16219 0 0 0 0 97126160064539431 +github:404010458 2021-09-20 2024-08-12 f https://github.com/alikarimi999/CVE-2021-21315 CVE-2021-21315 2 4 1 4 2298491669234005687 +github:1110336334 2025-12-05 2025-12-05 f https://github.com/selectarget/CVE-2025-55182-Exploit CVE-2025-55182 0 0 0 0 6865748095483675044 +github:166271014 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2018-1273 cve-2018-1273 CVE-2018-1273 0 0 0 0 11577303131711795 +github:1135076575 2026-01-15 2026-02-06 f https://github.com/matesz44/CVE-2025-24367 CVE-2025-24367: Cacti AuthN Graph Template RCE in posix sh CVE-2025-24367 0 1 0 1 2901270393576645455 +github:389077575 2021-07-24 2026-01-29 f https://github.com/Hydragyrum/CVE-2019-20933 CVE-2019-20933 1 2 1 2 6641970087930928188 +github:437034295 2021-12-10 2025-09-06 f https://github.com/1in9e/Apache-Log4j2-RCE Apache Log4j2 RCE( CVE-2021-44228)验证环境 CVE-2021-44228 1 2 1 2 7165935869927784739 +github:536957769 2025-12-11 2022-09-15 f https://github.com/mightysai1997/CVE-2021-41773-i- CVE-2021-41773 0 0 1 0 5078864424562829736 +github:991032075 2025-05-27 2026-04-25 f https://github.com/Vip3rLi0n/CVE-2025-3248 Perform Remote Code Execution using vulnerable API endpoint. CVE-2025-3248 0 1 0 1 5830932434143985538 +github:814000479 2024-07-17 2024-07-17 f https://github.com/raytran54/CVE-2018-7600 CVE-2018-7600 0 0 1 0 6758488238154561517 +github:154951672 2018-10-27 2018-10-27 f https://github.com/TSNGL21/CVE-2016-6801 Cross-site request forgery (CSRF) CVE-2016-6801 0 0 0 0 421466850636616364 +github:904719298 2025-02-13 2025-02-13 f https://github.com/Jflye/CVE-2024-54160-Opensearch-HTML-And-Injection-Stored-XSS CVE-2024-54160 0 0 1 0 6675378788190445653 +github:1195248685 2026-03-29 2026-05-06 f https://github.com/tristanqtn/CVE-2025-54123 CVE-2025-54123 exploit and documentation CVE-2025-54123 0 0 0 0 1602082286579762712 +github:668120487 2023-07-22 2023-07-31 f https://github.com/seanrdev/cve-2023-27163 To assist in enumerating the webserver behind the webserver SSRF CVE-2023-27163 CVE-2023-27163 1 4 1 4 4045204213816169418 +github:56758577 2016-04-23 2023-03-11 f https://github.com/peternguyen93/CVE-2016-3141 CVE-2016-3141 CVE-2016-3141 4 15 2 15 7254492117704322374 +github:166269997 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-7529 cve-2017-7529 CVE-2017-7529 0 0 0 0 5277070861953894759 +github:319993422 2020-12-09 2020-12-09 f https://github.com/WildfootW/CVE-2018-15473_OpenSSH_7.7 CVE-2018-15473 0 0 1 0 5027265037794833971 +github:379594309 2022-04-09 2026-01-14 f https://github.com/B34MR/zeroscan Zeroscan is a Domain Controller vulnerability scanner, that currently includes checks for Zerologon (CVE-2020-1472), MS-PAR/MS-RPRN and SMBv2 Signing. CVE-2020-1472 4 11 1 11 6353853178494716847 +github:269770630 2020-06-05 2026-05-13 f https://github.com/osamahamad/CVE-2020-9484-Mass-Scan CVE-2020-9484 Mass Scanner, Scan a list of urls for Apache Tomcat deserialization (CVE-2020-9484) which could lead to RCE CVE-2020-9484 12 31 1 31 1769060964222781756 +github:780837798 2024-04-02 2024-08-12 f https://github.com/pentestfunctions/CVE-2024-3094 CVE-2024-3094 - Checker (fix for arch etc) CVE-2024-3094 0 3 1 3 1974230699428112827 +github:864444203 2024-09-28 2026-03-05 f https://github.com/p33d/CVE-2024-45519 CVE-2024-45519 17 42 2 42 3596722016392883858 +github:968849513 2025-08-04 2026-06-16 f https://github.com/omer-efe-curkus/CVE-2025-32433-Erlang-OTP-SSH-RCE-PoC The vulnerability allows an attacker with network access to an Erlang/OTP SSH server to execute arbitrary code without prior authentication. CVE-2025-32433 2 16 1 16 3545627974676923465 +github:181706868 2019-04-17 2026-07-03 f https://github.com/jas502n/CVE-2019-0232 Apache Tomcat Remote Code Execution on Windows - CGI-BIN CVE-2019-0232 26 81 2 81 7566148671538840246 +github:500809753 2022-12-11 2026-05-27 f https://github.com/Habib0x0/CVE-2021-41773 CVE-2021-41773 | Apache HTTP Server 2.4.49 is vulnerable to Path Traversal and Remote Code execution attacks CVE-2021-41773 1 3 1 3 2522913627531924203 +github:435840491 2021-12-17 2022-09-22 f https://github.com/ScorpionsMAX/CVE-2021-43798-Grafana-POC CVE-2021-43798 Grafana 任意文件读取漏洞 POC+参数 CVE-2021-43798 4 14 1 14 4521404544556331393 +github:902138431 2024-12-12 2024-12-12 f https://github.com/igorbf495/CVE-2024-42327 writeup cve-2024-42327 CVE-2024-42327 0 0 1 0 1556714640410461420 +github:884177812 2024-11-06 2024-11-06 f https://github.com/RenukaSelvar/lua_CVE-2020-24370 CVE-2020-24370 0 0 1 0 6545511519283601971 +github:489979935 2022-05-08 2024-11-15 f https://github.com/Altelus1/CVE-2022-24734 CVE-2022-24734 PoC CVE-2022-24734 9 48 1 48 8782665124096199183 +github:1305192420 2026-07-18 2026-07-18 f https://github.com/rauljvc8/CVE-2025-68616-Detecting-and-Patching-an-SSRF-in-WeasyPrint-with-Wazuh Hands-on vulnerability management case study: how Wazuh flagged a real SSRF (CVE-2025-68616) in WeasyPrint, and how I reproduced and patched it. CVE-2025-68616 0 0 0 0 4437916676013636932 +github:651640673 2023-09-15 2024-01-03 f https://github.com/Ayantaker/CVE-2023-2986 Proof of Concept for vulnerability CVE-2023-2986 in 'Abandoned Cart Lite for WooCommerce' Plugin in WordPress CVE-2023-2986 3 6 1 6 5390200463117067782 +github:687511506 2026-01-08 2026-06-22 f https://github.com/Chocapikk/CVE-2023-28432 Automated vulnerability scanner for CVE-2023-28432 in Minio deployments, revealing sensitive environment variables. CVE-2023-28432 1 11 2 11 7263126573531228143 +github:106620918 2017-10-16 2018-06-19 f https://github.com/lcfpadilha/mac0352-ep4 Apache HTTP Server 2.4.23 vulnerability study (CVE-2016-8740) CVE-2016-8740 0 1 1 1 253849477279471674 +github:295917979 2021-06-18 2020-09-25 f https://github.com/Fa1c0n35/SecuraBV-CVE-2020-1472 CVE-2020-1472 0 1 1 1 4992755109750346748 +github:360109059 2021-04-21 2026-05-26 f https://github.com/Henry4E36/Solr-SSRF Apache Solr SSRF(CVE-2021-27905) CVE-2021-27905 24 70 1 70 7504122159056941752 +github:968987820 2025-04-21 2025-04-21 f https://github.com/JenmrR/Node.js-CVE-2024-39943 CVE-2024-39943 0 0 1 0 9131275776540046181 +github:100141854 2017-08-26 2017-08-12 f https://github.com/Xhendos/CVE-2017-5638 CVE-2017-5638 0 0 1 0 2066256375014889615 +github:1192688332 2026-07-27 2026-07-27 f https://github.com/tr3m0x/CVE-2019-25065-poc CVE-2019-25065 exploit CVE-2019-25065 0 0 0 0 2954263184712137449 +github:1152398776 2026-02-07 2026-02-07 f https://github.com/dserdyk3-arch/Serdyuk-DO-homework-CVE-2021-41773 PoC скрипт для CVE-2021-41773 - Path Traversal в Apache 2.4.49 CVE-2021-41773 0 0 0 0 8969264491303983837 +github:622192084 2023-04-01 2025-06-02 f https://github.com/0xk4b1r/CVE-2022-3552 BoxBilling<=4.22.1.5 - Remote Code Execution (RCE) CVE-2022-3552 0 8 1 8 1543271218306821271 +github:1062756325 2025-09-23 2025-09-23 f https://github.com/iteride/CVE-2025-1974 CVE-2025-1974 0 0 0 0 6286525171277659646 +github:1040829190 2025-08-20 2025-08-23 f https://github.com/charanvoonna/CVE-2021-41773 CVE-2021-41773 0 1 0 1 1480194860092675070 +github:1095926058 2025-11-13 2026-07-13 f https://github.com/0xDTC/Below-Logger-Symlink-Attack_CVE-2025-27591 A Bash-based privilege escalation exploit targeting the `below` system performance monitoring tool. This refurbished exploit leverages a symlink vulnerability in the logging mechanism to inject a root user into `/etc/passwd`, achieving full root access. CVE-2025-27591 0 2 0 2 5827138713994361640 +github:323609100 2021-01-01 2025-11-06 f https://github.com/n0npax/CVE-2020-35669 CVE-2020-35669 0 1 1 1 3986504840503645002 +github:717712143 2023-11-14 2023-11-14 f https://github.com/martinvks/CVE-2022-45059-demo CVE-2022-45059 0 0 1 0 2236352987865678292 +github:663527364 2023-07-07 2025-12-29 f https://github.com/pitufo1721/CVE-2025-55182-GodzillaMemoryShell CVE-2025-55182 0 0 1 0 9049607118738579777 +github:829189828 2025-02-22 2025-02-22 f https://github.com/dream434/cve-2021-42013-apache On October 4, 2021, Apache HTTP Server Project released Security advisory on a Path traversal and File disclosure vulnerability in Apache HTTP Server 2.4.49 and 2.4.50 tracked as CVE-2021-41773 and CVE-2021-42013. In the advisory, Apache also highlighted “the issue is known to be exploited in the wild” and later it was identified that the vulnerabi CVE-2021-42013 0 0 1 0 6932501131203157665 +github:508501723 2022-06-28 2025-02-18 f https://github.com/Lay0us/CVE-2022-32532 Apache Shiro CVE-2022-32532 CVE-2022-32532 25 13 0 13 3091995048657483449 +github:438853805 2021-12-16 2021-12-17 f https://github.com/dpomnean/log4j_scanner_wrapper log4j vulnerability wrapper scanner for CVE-2021-44228 CVE-2021-44228 0 1 2 1 8867409300905409215 +github:154520949 2018-10-24 2018-10-24 f https://github.com/throwawayaccount12312312/precompiled-CVE-2018-10933 CVE-2018-10933 0 0 0 0 5408633885665614186 +github:614774526 2023-03-16 2023-03-16 f https://github.com/Trinadh465/external_zlib_AOSP10_r33_CVE-2018-25032 CVE-2018-25032 0 0 1 0 6415819453961235626 +github:1185343597 2026-03-18 2026-03-18 f https://github.com/luoluoqingge/CVE-2025-55182 CVE-2025-55182 0 1 0 1 6626270199232983375 +github:265876544 2022-11-16 2024-08-12 f https://github.com/Al1ex/CVE-2020-10673 CVE-2020-10673:jackson-databind RCE CVE-2020-10673 3 5 1 5 4939748411590107864 +github:1203158104 2026-04-06 2026-04-06 f https://github.com/SimoesCTT/CTT-Vsyslog-Vortex-CVE-2023-6246 CVE-2023-6246 glibc __vsyslog_internal() heap buffer overflow exploitation using Convergent Time Theory (α = 0.0302011). 33-layer temporal heap spray + phase-locked trigger for reliable local privilege escalation. CVE-2023-6246 0 0 0 0 1057495990790398025 +github:1019432113 2026-04-30 2026-04-30 f https://github.com/mheranco/CVE-2025-44137 CVE-2025-44137 0 0 0 0 5220602248986493040 +github:337321053 2021-02-09 2021-02-09 f https://github.com/gmldbd94/cve-2021-3156 보안취약점 확인 CVE-2021-3156 0 0 1 0 4232640991006228071 +github:414159388 2021-10-07 2024-08-12 f https://github.com/PentesterGuruji/CVE-2021-41773 Path Traversal vulnerability in Apache 2.4.49 CVE-2021-41773 1 1 1 1 784791683631755429 +github:1276857227 2026-06-22 2026-07-14 f https://github.com/azilRababe/CVE-2026-42945 Technical analysis of CVE-2026-42945 (NGINX Rift), a critical heap buffer overflow in NGINX's rewrite engine caused by a state mismatch between length calculation and copy operations, enabling worker crashes and potential remote code execution. CVE-2026-42945 0 1 0 1 3526787532998670045 +github:1043292630 2025-08-23 2025-10-05 f https://github.com/shoucheng3/x-stream__xstream_CVE-2020-26217_1-4-14-java77 CVE-2020-26217 0 0 0 0 410465566948111426 +github:506149832 2022-06-22 2025-05-17 f https://github.com/jweny/cve-2022-22980 CVE-2022-22980 exp && 靶场 CVE-2022-22980 3 10 2 10 233078122066166815 +github:1081707218 2025-10-26 2025-10-26 f https://github.com/srakkk/cve-2024-32002-demo CVE-2024-32002 0 0 0 0 6637649865787813130 +github:1023987433 2025-07-22 2025-07-22 f https://github.com/KiPhuong/cve-2025-5025 CVE-2025-5025 0 0 0 0 6111482971908349663 +github:779754842 2024-03-31 2025-05-23 f https://github.com/teyhouse/CVE-2024-3094 K8S and Docker Vulnerability Check for CVE-2024-3094 CVE-2024-3094 0 11 1 11 1447745563232477340 +github:397184526 2021-08-17 2021-08-17 f https://github.com/R3dAlch3mist/cve-2018-6574 PTLabs CVE-2018-6574 0 0 1 0 4411879690519141651 +github:437687082 2021-12-14 2023-08-15 f https://github.com/kimobu/cve-2021-44228 Some files for red team/blue team investigations into CVE-2021-44228 CVE-2021-44228 0 1 1 1 6898524509750840925 +github:498169934 2022-06-02 2026-05-23 f https://github.com/DeEpinGh0st/CVE-2022-22978 CVE-2022-22978 Spring-Security bypass Demo CVE-2022-22978 3 15 2 15 8277193581155724829 +github:1110645795 2025-12-05 2026-03-29 f https://github.com/Rat5ak/CVE-2025-55182-React2Shell-RCE-POC This repository documents research into deserialization behavior within Next.js React Server Components (RSC) using the Flight protocol. It focuses on how malformed multipart bodies combined with Server Action request handling can lead to prototype traversal and execution primitives on certain builds. CVE-2025-55182 1 3 0 3 6171116476408856425 +github:1112516492 2025-12-08 2025-12-14 f https://github.com/xiaopeng-ye/react2shell-detector A Chrome extension for detecting React2Shell vulnerabilities (CVE-2025-55182 & CVE-2025-66478) in web applications CVE-2025-55182 1 3 0 3 8308358397986197628 +github:1113390318 2025-12-09 2026-06-01 f https://github.com/dr4xp/react2shell A critical vulnerability in React Server Components affecting React 19 (CVE-2025-55182) and frameworks that use it like Next.js (CVE-2025-66478). CVE-2025-55182 0 2 0 2 8023329069751083350 +github:260622118 2020-05-02 2024-08-12 f https://github.com/sumedhaDharmasena/-Kernel-ptrace-c-mishandles-vulnerability-CVE-2019-13272 CVE-2019-13272 1 0 1 0 4495178897137107902 +github:366703109 2021-05-12 2025-08-29 f https://github.com/s-index/CVE-2020-28502 CVE-2020-28502 node-XMLHttpRequest RCE CVE-2020-28502 2 3 1 3 3997710720668992836 +github:1091243860 2025-11-06 2025-11-18 f https://github.com/0xBS0D27/CVE-2025-56643 Public reference for CVE-2025-56643 – Wiki.js 2.5.307 JWT Session Vulnerability CVE-2025-56643 0 1 0 1 9158718730797697194 +github:1040236175 2025-08-18 2025-08-18 f https://github.com/shoucheng3/apache__mina-sshd_CVE-2023-35887_2-9-2 CVE-2023-35887 0 0 0 0 967419509013204200 +github:823939765 2024-07-04 2024-07-04 f https://github.com/JackSparrowhk/ssh-CVE-2024-6387-poc CVE-2024-6387_Check 是一款轻量级、高效的工具，旨在识别运行易受攻击的 OpenSSH 版本的服务器，专门针对最近发现的regreSSHion漏洞 (CVE-2024-6387)。此脚本有助于快速扫描多个 IP 地址、域名和 CIDR 网络范围，以检测潜在漏洞并确保您的基础设施安全。 CVE-2024-6387 0 0 1 0 6841101431971788243 +github:761826205 2024-02-22 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2022-33891-EXPLOIT A PoC exploit for CVE-2022-33891 - Apache Spark UI Remote Code Execution (RCE) CVE-2022-33891 0 2 1 2 6270897832655216928 +github:885825604 2024-11-09 2024-11-15 f https://github.com/trqt/CVE-2024-48322 CVE-2024-48322 0 1 1 1 1117934535824722675 +github:1006454270 2025-06-22 2025-06-22 f https://github.com/HaiNhat-HUST/CVE-2018-9035 CVE 2018-9035: CSV Injection in Wordpress with plugin Contact Form 7 to Database Extension 2.10.3 CVE-2018-9035 0 0 0 0 6649230935976441568 +github:653894097 2023-06-15 2023-06-15 f https://github.com/funny-kill/CVE-2023-34852 CVE-2023-34852 1 0 1 0 7400915069659805275 +github:1308758348 2026-07-22 2026-07-22 f https://github.com/Preacher98/Report-XZ-Utils-CVE-2024-3094 Hello, CVE-2024-3094 0 0 0 0 5212110805394094716 +github:427005450 2021-11-11 2024-08-12 f https://github.com/pirenga/CVE-2021-41773 Ce programme permet de détecter une faille RCE sur les serveurs Apache 2.4.49 et Apache 2.4.50 CVE-2021-41773 3 0 0 0 6923197276943033386 +github:614770479 2023-09-08 2023-03-16 f https://github.com/Raghvendra1207/CVE-2022-22978 CVE-2022-22978 0 0 1 0 5343318440463673700 +github:1261020599 2026-06-06 2026-06-06 f https://github.com/doany1/CVE-2026-24849 Proof-of-concept exploit for CVE-2026-24849, an authenticated path-traversal / arbitrary file read in OpenEMR's Fax/SMS (EtherFax) module. Any authenticated user regardless of privilege level can read arbitrary files from the server filesystem as the web-server user (database credentials, patient documents/PHI, /etc/passwd, … CVE-2026-24849 0 0 0 0 3443060578431201130 +github:943538578 2025-03-07 2025-03-07 f https://github.com/armaansidana2003/CVE-2025-25621 CVE-2025-25621 0 0 1 0 7761440558453365361 +github:958996271 2025-04-02 2025-04-02 f https://github.com/Naveen-005/Next.Js-middleware-bypass-vulnerability-CVE-2025-29927 A basic proof of concept of the CVE-2025-29927 vulnerability that allows to bypass the middleware scripts. CVE-2025-29927 0 0 1 0 5955621898185655061 +github:973107550 2025-04-26 2025-04-26 f https://github.com/ChoDeokCheol/CVE-2023-39361 CVE-2023-39361 0 0 1 0 3237558835920856985 +github:1240879789 2026-05-16 2026-05-16 f https://github.com/vincent-vbg/CVE-2025-58434-PoC This repository contains a Proof of Concept (PoC) Python script for CVE-2025-58434, which enables attackers to change passwords of other users without authentication process in flowise version 3.0.5 and lower due to token leakage. CVE-2025-58434 0 0 0 0 5419972783439299768 +github:871942214 2024-10-25 2024-10-25 f https://github.com/lemonadern/poc-cve-2019-14287 CVE-2019-14287 1 0 1 0 5993008092195621035 +github:1287932701 2026-07-03 2026-07-03 f https://github.com/BiiTts/CVE-2026-49468-LiteLLM-Auth-Bypass CVE-2026-49468 — LiteLLM (<1.84.0) unauthenticated auth bypass via Host-header route confusion. PoC + docker lab. CVE-2026-49468 0 0 0 0 2224380826351586716 +github:752952146 2024-02-05 2024-02-05 f https://github.com/letsr00t/-2022-LOCALROOT-CVE-2022-2639 CVE-2022-2639 0 0 1 0 8021020584042292733 +github:154534655 2018-10-22 2018-10-24 f https://github.com/reanimat0r/bpnd-libssh Multi-threaded, reliable scanner for CVE-2018-10933. CVE-2018-10933 1 0 1 0 1933369833638610146 +github:641498684 2023-05-16 2026-06-01 f https://github.com/yarocher/lazylist-cve-poc POC for the CVE-2022-36944 vulnerability exploit CVE-2022-36944 1 11 1 11 3487369335374093546 +github:1218609711 2026-04-23 2026-04-23 f https://github.com/w41l3r/jenkins_scan Find jenkins environment and checks for CVE-2024-23897 CVE-2024-23897 0 0 0 0 1906951595570618142 +github:981794829 2025-05-25 2025-05-25 f https://github.com/shpaw415/CVE-2020-24913-exploit automated SQL injection for QCubed profile.php file CVE-2020-24913 0 0 1 0 7349136014313706501 +github:823593765 2024-07-08 2026-01-10 f https://github.com/harshinsecurity/sentinelssh SentinelSSH is an advanced, high-performance SSH vulnerability scanner written in Go. It's specifically designed to detect the CVE-2024-6387 vulnerability in OpenSSH servers across various network environments. CVE-2024-6387 0 4 1 4 7543110050005484978 +github:825724862 2024-08-22 2026-07-30 f https://github.com/Karmakstylez/CVE-2024-6387 Remote Unauthenticated Code Execution Vulnerability in OpenSSH server (CVE-2024-6387) CVE-2024-6387 47 187 5 187 36190805275166035 +github:1039417603 2025-08-17 2025-08-18 f https://github.com/shoucheng3/codecentric__spring-boot-admin_CVE-2022-46166_2-6-9 CVE-2022-46166 0 1 0 1 1806095510433199175 +github:1018315407 2025-07-12 2025-07-12 f https://github.com/sentilaso1/CVE-2025-24813-Apache-Tomcat-RCE-PoC Proof of Concept for CVE-2025-24813, a Remote Code Execution vulnerability in Apache Tomcat. This PoC exploits unsafe deserialization via crafted session files uploaded through HTTP PUT requests, allowing attackers to execute arbitrary code remotely on vulnerable Tomcat servers. CVE-2025-24813 0 0 0 0 9191969941380260958 +github:481902704 2022-04-15 2022-04-15 f https://github.com/tufanturhan/CVE-2022-0847-L-nux-PrivEsc CVE-2022-0847 1 0 1 0 5035080084569270204 +github:476606565 2022-04-08 2024-08-12 f https://github.com/nu0l/CVE-2022-22965 Spring-0day/CVE-2022-22965 CVE-2022-22965 3 4 1 4 6278914553188276175 +github:780105802 2024-03-31 2024-03-31 f https://github.com/spidygal/CVE-2024-3094-Nmap-NSE-script CVE-2024-3094 0 0 1 0 2518125582611945409 +github:210135326 2019-09-22 2024-08-12 f https://github.com/ianxtianxt/CVE-2019-16097 CVE-2019-16097 2 0 1 0 2093184908983104392 +github:327729919 2021-01-08 2023-09-19 f https://github.com/YossiSassi/ZeroLogon-Exploitation-Check quick'n'dirty automated checks for potential exploitation of CVE-2020-1472 (aka ZeroLogon), using leading artifects in determining an actual exploitation of CVE-2020-1472. requires admin access to the DCs CVE-2020-1472 2 7 2 7 8017816781234940184 +github:100926724 2017-08-21 2017-08-21 f https://github.com/chenzhuo0618/test test for CVE-2017-1000117 CVE-2017-1000117 0 0 1 0 3019994560117652638 +github:478073054 2022-04-05 2026-05-13 f https://github.com/aesm1p/CVE-2022-22947-POC-Reproduce CVE-2022-22947 reproduce CVE-2022-22947 0 0 1 0 1537867025009153851 +github:780517704 2024-04-01 2024-04-01 f https://github.com/dah4k/CVE-2024-3094 CVE-2024-3094 0 0 1 0 8235747264519526398 +github:1239807784 2026-05-15 2026-05-15 f https://github.com/HA5ANT/Silverpeas-AuthBypass-CVE-2024-36042 CVE-2024-36042 0 0 0 0 3110765868759770221 +github:704953176 2023-10-14 2023-10-14 f https://github.com/asepsaepdin/CVE-2023-38646 CVE-2023-38646 0 0 1 0 5680142186332949867 +github:972057224 2025-05-20 2025-05-20 f https://github.com/ps-interactive/lab_CVE-2025-32433 CVE lab to accompany CVE course for CVE-2025-32433 CVE-2025-32433 0 0 4 0 8262253669550235307 +github:1014856739 2025-07-09 2025-07-09 f https://github.com/albisorua/PoC-CVE-2019-10743 CVE-2019-10743 0 0 0 0 1318399233151195625 +github:839637099 2024-08-08 2024-08-08 f https://github.com/huynhvanphuc/CVE-2022-3590-WordPress-Vulnerability-Scanner CVE-2022-3590 0 0 1 0 7580741883927386044 +github:640961335 2023-05-15 2023-05-15 f https://github.com/HiImDarwin/NetworkSecurityFinalProject https://nvd.nist.gov/vuln/detail/CVE-2022-39253 CVE-2022-39253 1 0 1 0 7439905860554415539 +github:998128422 2025-10-05 2026-07-23 f https://github.com/BwithE/CVE-2024-51482 CVE-2024-51482 ZoneMinder v1.37.* <= 1.37.64 poc CVE-2024-51482 2 1 0 1 2899980603315787249 +github:1014573339 2025-07-12 2025-07-13 f https://github.com/r0otk3r/CVE-2025-3248 CVE-2025-3248 0 1 0 1 8994816822399212888 +github:1202007889 2026-04-05 2026-04-05 f https://github.com/kaktus5454/CVE-2018-15473 python code for CVE-2018-15473, using paramiko CVE-2018-15473 0 0 0 0 578470479798207884 +github:1024078158 2025-07-29 2025-07-29 f https://github.com/saarcastified/CVE-2023-51385---OpenSSH-ProxyCommand-Injection-PoC This repository contains a proof-of-concept (PoC) for exploiting the OpenSSH ProxyCommand vulnerability — CVE-2025-51385 — affecting OpenSSH servers <9.6 Version CVE-2023-51385 0 0 0 0 7827866689414385232 +github:1167140928 2026-03-11 2026-03-11 f https://github.com/jelee2555/CVE-2022-1471-attacker attacker CVE-2022-1471 0 0 0 0 7420662544789332445 +github:1111207015 2025-12-06 2025-12-06 f https://github.com/yunaranyancat/CVE-2025-55182-NSE Meow CVE-2025-55182 0 0 0 0 3112378540752106240 +github:1148567700 2026-02-03 2026-02-03 f https://github.com/rishavand1/CVE-2025-65791 CVE-2025-65791 — Command Injection in ZoneMinder CVE-2025-65791 0 0 0 0 6663076653067142910 +github:422182981 2021-10-28 2022-05-19 f https://github.com/BabyTeam1024/CVE-2021-40438 CVE-2021-40438 1 2 1 2 6801829844224362941 +github:1230639962 2026-05-06 2026-05-06 f https://github.com/HarisAidhin/Poc_CVE-2025-68645 Zimbra Path Traversal (CVE-2025-68645) - Unauthenticated file read vulnerability in Zimbra Collaboration Suite CVE-2025-68645 0 1 0 1 374117438876181009 +github:505114933 2023-01-23 2026-01-12 f https://github.com/tpt11fb/SpringVulScan burpsuite 的Spring漏洞扫描插件。SpringVulScan：支持检测：路由泄露|CVE-2022-22965|CVE-2022-22963|CVE-2022-22947|CVE-2016-4977 CVE-2016-4977 6 154 2 154 3836823504289122996 +github:1132208262 2026-01-11 2026-01-11 f https://github.com/sahar042/CVE-2025-14847 CVE-2025-14847 0 0 0 0 1352328981232751891 +github:979880057 2025-05-08 2025-05-08 f https://github.com/srcx404/CVE-2024-39719 CVE-2024-39719 0 0 1 0 800289729734304938 +github:1112927206 2025-12-09 2025-12-09 f https://github.com/iamblacksolo2-BugBounty/POC-CVE-2025-55182 CVE-2025-55182 0 0 0 0 4939653335995459271 +github:476384052 2022-04-19 2022-04-24 f https://github.com/GuayoyoCyber/CVE-2022-22965 Vulnerabilidad RCE en Spring Framework vía Data Binding on JDK 9+ (CVE-2022-22965 aka "Spring4Shell") CVE-2022-22965 3 6 2 6 6105870872507911872 +github:543884853 2022-10-01 2022-10-01 f https://github.com/AkashLingayat/WonderCMS-CVE-2020-35314 WonderCMS 3.1.3 - Authenticated Remote Code Execution CVE-2020-35314 0 0 1 0 2215367985876073655 +github:513546145 2022-07-13 2023-11-30 f https://github.com/Vulnmachines/Spring_cve-2022-22980 spring data mongodb remote code execution | cve-2022-22980 poc CVE-2022-22980 1 7 1 7 5055035970780704436 +github:665275498 2023-07-11 2025-02-14 f https://github.com/Kalagious/BadPfs-CVE-2022-4510 Python script that generates pfs payloads to exploit CVE-2022-4510 CVE-2022-4510 1 1 1 1 8914274004125472915 +github:1262208973 2026-06-07 2026-06-07 f https://github.com/jf-gondim/freepbx-endpoint-sqli-rce Unauthenticated SQL injection in FreePBX Endpoint Manager (CVE-2025-57819) that injects a cron-scheduled PHP webshell for remote code execution. CVE-2025-57819 0 0 0 0 8305027346762231139 +github:823636368 2024-07-03 2025-05-14 f https://github.com/sgxgsx/blueborne-CVE-2017-1000251 Linux Kernel < 4.13.1 - BlueTooth Buffer Overflow (PoC) BlueBorne - Proof of Concept - Unarmed/Unweaponized - DoS (Crash) only CVE-2017-1000251 3 6 1 6 2797740413317669700 +github:85341283 2017-04-04 2023-01-10 f https://github.com/falcon-lnhg/StrutsShell Apache Struts (CVE-2017-5638) Shell CVE-2017-5638 1 3 1 3 651492319628331378 +github:92484269 2017-05-26 2024-08-12 f https://github.com/Waffles-2/SambaCry CVE-2017-7494 - Detection Scripts CVE-2017-7494 25 63 10 63 5868398347778524249 +github:126079260 2023-02-24 2026-05-01 f https://github.com/zi0Black/POC-CVE-2018-0114 This repository contains the POC of an exploit for node-jose < 0.11.0 CVE-2018-0114 10 26 2 26 5864621868941056910 +github:992430980 2025-11-03 2025-11-03 f https://github.com/OHnogood/CVE-2025-29632 the information for the vulnerability covered by CVE-2025-29632 CVE-2025-29632 0 0 0 0 365933957464184723 +github:1110251242 2026-03-01 2025-12-08 f https://github.com/clevernyyyy/CVE-2025-55182-Dockerized CVE-2025-55182 0 1 0 1 6542261276723595543 +github:459366538 2022-02-15 2023-01-22 f https://github.com/dnr6419/CVE-2022-23046 SQL Injection Vulnerability on PhpIPAM v1.4.4 CVE-2022-23046 3 4 1 4 5393589083099601258 +github:899369634 2024-12-06 2024-12-19 f https://github.com/hotplugin0x01/CVE-2024-54679 CVE-2024-54679 - CyberPanel (aka Cyber Panel) Denial of Service (https://nvd.nist.gov/vuln/detail/CVE-2024-54679) CVE-2024-54679 0 3 1 3 8588452118184445039 +github:640832616 2023-10-26 2024-06-11 f https://github.com/gozn/detect-CVE-2019-15107-by-pyshark school project CVE-2019-15107 1 0 1 0 2832215736074745256 +github:1029688414 2025-07-31 2025-11-19 f https://github.com/Cythonic1/CVE-2025-27591 a C exploit for CVE-2025-27591, which allow an attacker to escalate privilege to root. CVE-2025-27591 0 3 0 3 4197408220372829937 +github:1282562072 2026-06-28 2026-07-01 f https://github.com/tohib09/CVE-2025-69212-PoC CVE-2025-69212 0 4 0 4 1620145318228777545 +github:437479258 2021-12-12 2021-12-12 f https://github.com/creamIcec/CVE-2021-44228-Apache-Log4j-Rce__review log4j2漏洞复现 CVE-2021-44228 0 0 1 0 3245516123828678676 +github:880757168 2024-11-03 2025-08-22 f https://github.com/gogo2464/CVE-2024-5124 CVE-2024-5124 0 1 1 1 1269579229613839031 +github:1240292298 2026-05-16 2026-05-16 f https://github.com/0xdeadroot/CVE-2026-39987-marimo-rce CVE-2026-39987 CVE-2026-39987 0 0 0 0 6018122825412598733 +github:54332427 2016-03-30 2019-05-15 f https://github.com/ikoz/cert-pinning-flaw-poc Simple script for testing CVE-2016-2402 and similar flaws CVE-2016-2402 5 13 1 13 770172387762575124 +github:968847850 2025-05-06 2025-05-06 f https://github.com/exa-offsec/ssh_erlangotp_rce Exploitation module for CVE-2025-32433 (Erlang/OTP) CVE-2025-32433 1 3 1 3 6735765103795967788 +github:794413658 2024-05-01 2024-05-01 f https://github.com/xsxtw/CVE-2022-0847 CVE-2022-0847 1 0 1 0 6266796902593267393 +github:773284524 2024-03-18 2026-03-06 f https://github.com/jakabakos/CVE-2023-43208-mirth-connect-rce-poc CVE-2023-43208 2 7 1 7 1341402451095463130 +github:242176659 2020-02-21 2025-12-14 f https://github.com/jas502n/jackson-CVE-2020-8840 FasterXML/jackson-databind 远程代码执行漏洞 CVE-2020-8840 16 73 1 73 8244155872548159252 +github:442235397 2021-12-27 2023-01-08 f https://github.com/yesspider-hacker/log4j-payload-generator log4j-paylaod generator : A generic payload generator for Apache log4j RCE CVE-2021-44228 CVE-2021-44228 3 4 1 4 7962130567571851259 +github:888811330 2024-11-15 2024-11-18 f https://github.com/l20170217b/CVE-2024-51747 CVE-2024-51747 0 0 1 0 7634960297769286771 +github:936979586 2025-02-22 2025-02-22 f https://github.com/RoNiXxCybSeC0101/CVE-2025-25460 Cross Site Scripting Vulnerability in Flatpress CMS CVE-2025-25460 0 1 1 1 2085866250315169167 +github:1282965311 2026-06-28 2026-06-29 f https://github.com/pssec-io/CVE-2026-41179 POC for CVE-2026-41179 CVE-2026-41179 0 0 0 0 6190760055986354195 +github:1294536279 2026-07-09 2026-07-09 f https://github.com/TazmiDev/CVE-2026-53571 CVE-2026-53571 `server.fs.deny` bypass on Windows alternate paths PoC. CVE-2026-53571 0 1 0 1 6467677619767257330 +github:1146975584 2026-02-01 2026-04-19 f https://github.com/bluedragonsecurity/Linux-Kernel-Dirty-Pipe-Exploitation-Logic-Bug- Exploiting CVE-2022-0847 - written by : Antonius (w1sdom) CVE-2022-0847 1 3 0 3 8325200127324665327 +github:629041592 2023-04-17 2025-04-26 f https://github.com/randallbanner/Spring-Cloud-Function-Vulnerability-CVE-2022-22963-RCE CVE-2022-22963 0 4 1 4 6197912789069517362 +github:517444481 2022-08-01 2026-05-26 f https://github.com/MathiasReker/blmvuln Major Security Vulnerability on PrestaShop Websites - CVE-2022-31101 CVE-2022-31101 5 42 9 42 8407285274735354670 +github:1046889797 2025-08-29 2025-08-29 f https://github.com/arun1033/CVE-2025-48384 CVE-2025-48384 0 0 0 0 7249522319934133657 +github:1100926168 2025-11-21 2026-05-09 f https://github.com/AN5I/cve-2025-63888-exploit Security research tool for detecting and testing CVE-2025-63888 (ThinkPHP 5.0.24 File Inclusion RCE vulnerability) CVE-2025-63888 4 10 0 10 226595798398274264 +github:1244108480 2026-05-20 2026-05-20 f https://github.com/learner202649/CVE-2026-42271-PoC The code for personally reproducing the corresponding vulnerability CVE-2026-42271 0 0 0 0 7744176716792631744 +github:437588032 2021-12-12 2021-12-12 f https://github.com/Jun-5heng/CVE-2021-36749 Apache Druid LoadData 任意文件读取漏洞 / Code By:Jun_sheng CVE-2021-36749 0 0 1 0 6316177343416770848 +github:1190658408 2026-03-28 2026-04-07 f https://github.com/eagle-nett/React2Shell-PoC-CVE-2025-55182 Khai thác lỗ hổng bảo mật CVE-2025-55182 CVE-2025-55182 0 0 0 0 6311682475957660336 +github:1150872494 2026-02-05 2026-02-05 f https://github.com/agylabs/log4shell-remediation Log4Shell (CVE-2021-44228) security remediation demo - Showcasing Antigravity's ability to identify and fix critical security vulnerabilities in Java applications CVE-2021-44228 0 0 0 0 4737771022268199400 +github:590121307 2023-01-17 2023-01-17 f https://github.com/ionutbaltariu/joomla_CVE-2017-8917 Project for the Cyberspace Security class. CVE-2017-8917 0 0 1 0 1826560433316065104 +github:1095577444 2025-11-24 2026-04-29 f https://github.com/omidsec/CVE-2018-6389 PoC Exploit CVE-2018-6389 CVE-2018-6389 0 6 0 6 1906512297140978177 +github:1259855474 2026-06-07 2026-06-07 f https://github.com/horrister/log4shell-cve-2021-44228 CVE-2021-44228 0 1 0 1 4763383898752176461 +github:715006168 2023-11-06 2023-11-06 f https://github.com/d4rkb0n3/CVE-2022-24715-go CVE-2022-24715 0 0 1 0 6626747859417231296 +github:610523538 2023-03-07 2023-07-18 f https://github.com/Johnermac/CVE-2022-35914 Script in Ruby for the CVE-2022-35914 - RCE in GLPI CVE-2022-35914 0 0 1 0 1723788978232332818 +github:1316441888 2026-07-29 2026-07-29 f https://github.com/shinthink/CVE-2026-58025 CVE-2026-58025 — MediaWiki Deserialization RCE via Log Entry Import. LogEntryBase::extractParams() unserialize() user-controlled log_params. CVSS 9.8 | CWE-502 | MediaWiki < 1.43.9, < 1.44.6, < 1.45.4, < 1.46.0 CVE-2026-58025 0 0 0 0 1829153839723752211 +github:476934750 2022-04-02 2024-08-12 f https://github.com/Wrin9/CVE-2022-22965 CVE-2022-22965 POC CVE-2022-22965 1 7 1 7 3526008481570780725 +github:642682644 2023-05-19 2026-03-01 f https://github.com/adilkhan7/CVE-2023-31664 CVE-2023-31664 WSO2 CVE-2023-31664 3 3 1 3 2535936770537599682 +github:962947655 2025-04-08 2025-04-08 f https://github.com/pickovven/vulnerable-nextjs-14-CVE-2025-29927 CVE-2025-29927 0 0 1 0 4405814649521734659 +github:808796135 2024-05-31 2024-05-31 f https://github.com/epicosy/XStream-1 xstream with CVE-2020-26217 CVE-2020-26217 0 0 1 0 7182515865157132874 +github:369369026 2021-05-21 2024-08-12 f https://github.com/bilkoh/POC-CVE-2021-22204 POC for exiftool vuln (CVE-2021-22204). CVE-2021-22204 3 8 1 8 8410364105263034283 +github:694489315 2023-12-18 2026-07-25 f https://github.com/mistymntncop/CVE-2023-4863 CVE-2023-4863 48 318 12 318 6909141253038183161 +github:971233619 2025-04-23 2025-04-23 f https://github.com/hiteshpatra/CVE-2025-24963 CVE-2025-24963 0 0 1 0 5588137607644165717 +github:476681722 2022-04-01 2023-11-18 f https://github.com/lcarea/CVE-2022-22965 CVE-2022-22965 1 1 1 1 4958156166440423797 +github:786121269 2025-03-03 2026-04-03 f https://github.com/BitWiz4rd/CVE-2023-28432 PoC MinIO vulnerability exploit CVE-2023-28432 0 2 1 2 7731544324466008234 +github:328569446 2021-01-11 2025-05-07 f https://github.com/Al1ex/CVE-2020-36188 CVE-2020-36188 &&Jackson-databind RCE CVE-2020-36188 2 11 1 11 7087058876001849777 +github:422867551 2021-10-30 2025-08-29 f https://github.com/findneo/GitLab-preauth-RCE_CVE-2021-22205 PoC in single line bash CVE-2021-22205 1 2 1 2 7382311968003945981 +github:1179642375 2026-03-15 2026-03-15 f https://github.com/ControlO8/CVE-2024-32002-hook hook repo for cve-2024-32002 CVE-2024-32002 0 0 0 0 2823034707403127534 +github:1123758660 2025-12-27 2026-07-30 f https://github.com/cybertechajju/CVE-2025-14847_Expolit a critical memory disclosure vulnerability in MongoDB's zlib compression handling. This tool allows security researchers to extract sensitive data from vulnerable MongoDB instances. CVE-2025-14847 3 33 0 33 3292619930539438806 +github:969642286 2025-04-20 2025-07-21 f https://github.com/DannyRavi/nmap-scripts nmap scripts for vuln cve-2020-0796 & cve-2019-7238 & cve2019-11580 & cve2017-6327 CVE-2019-7238 0 2 1 2 2367864248828713894 +github:437170557 2021-12-13 2024-08-12 f https://github.com/phoswald/sample-ldap-exploit A short demo of CVE-2021-44228 CVE-2021-44228 2 5 1 5 1859601530312495956 +github:1017722876 2025-07-11 2025-07-11 f https://github.com/guinea-offensive-security/Ofbiz-RCE CVE-2024-32113 & CVE-2024-38856 CVE-2024-32113 0 0 0 0 8154761165447790072 +github:211323513 2019-10-11 2019-10-11 f https://github.com/kkirsche/CVE-2019-16692 Exploit code for CVE-2019-16692 CVE-2019-16692 3 5 1 5 2709999783251125430 +github:437261211 2022-04-07 2026-07-29 f https://github.com/logpresso/CVE-2021-44228-Scanner Vulnerability scanner and mitigation patch for Log4j2 CVE-2021-44228 CVE-2021-44228 169 861 33 861 7107635334061839113 +github:486782625 2022-04-29 2022-04-29 f https://github.com/mwina/CVE-2022-21728-test CVE-2022-21728 0 0 1 0 9153691221132591717 +github:954387825 2025-04-12 2025-04-12 f https://github.com/furmak331/CVE-2025-29927 Critical vulnerability in next.js : Bypass middleware authentication CVE-2025-29927 0 0 1 0 5392188542898908540 +github:972309763 2025-04-24 2025-04-24 f https://github.com/G4sp4rCS/CVE-2021-43857-POC Optimized exploit for CVE-2021-43857 affecting Gerapy < 0.9.8 CVE-2021-43857 0 0 1 0 7528990553360001567 +github:979875144 2025-05-08 2025-05-08 f https://github.com/Fauzan-Aldi/Log4j-_Vulnerability The Web Is Vulnerable to CVE-2021-44228 CVE-2021-44228 0 0 1 0 8656383345112137318 +github:833515840 2024-07-25 2025-04-19 f https://github.com/vvpoglazov/cve-2024-41110-checker CVE-2024-41110 0 6 1 6 1167841209376324183 +github:857109130 2024-09-13 2024-09-13 f https://github.com/btar1gan/exploit_CVE-2023-33831 New exploit for FUXA v1.1.13 - Unauthenticated remote code excecution CVE-2023-33831 0 0 1 0 1763497283701139660 +github:1202640909 2026-04-06 2026-04-06 f https://github.com/zsxen/CVE-2025-1974 CVE-2025-1974 0 0 0 0 482247031342563150 +github:1058622204 2026-01-08 2025-10-02 f https://github.com/wand3rlust/CVE-2025-3248 PoC for achieving RCE in Langflow versions <1.3.0 CVE-2025-3248 0 0 0 0 5055511788648718026 +github:837343866 2024-08-04 2024-08-04 f https://github.com/chrisWalker11/running-CVE-2024-32002-locally-for-tesing adapting CVE-2024-32002 for running offline and locally CVE-2024-32002 0 0 1 0 2654898482032434080 +github:1210306877 2026-04-14 2026-04-14 f https://github.com/PierfrancescoConti/leaflet-cve-2025-69993 CVE-2025-69993 0 0 0 0 4008560419754611859 +github:255032331 2020-04-15 2023-01-31 f https://github.com/rabbitmask/CVE-2018-7600-Drupal7 CVE-2018-7600【Drupal7】批量扫描工具。 CVE-2018-7600 4 8 1 8 5463513722102114320 +github:697473781 2023-09-27 2025-08-10 f https://github.com/yifanzhg/CVE-2020-15778 CVE-2020-15778 0 3 1 3 2312724712569093623 +github:455440993 2025-12-16 2025-12-16 f https://github.com/IAmNewbieZ/CVE-2021-44228 CVE-2021-44228 0 0 1 0 7481458544340390657 +github:280587151 2023-03-27 2026-06-02 f https://github.com/cpandya2909/CVE-2020-15778 CVE-2020-15778 25 141 4 141 1561752464452271014 +github:716296930 2024-01-11 2026-03-02 f https://github.com/ndrscodes/http2-rst-stream-attacker Highly configurable tool to check a server's vulnerability against CVE-2023-44487 by rapidly sending HEADERS and RST_STREAM frames and documenting the server's responses. CVE-2023-44487 2 6 1 6 8198357555968405884 +github:1208064866 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-69214 CVE-2025-69214 - OpenSTAManager has a SQL Injection in ajax_select.php (componenti endpoint) CVE-2025-69214 0 0 0 0 7324281992307638070 +github:1294878423 2026-07-09 2026-07-09 f https://github.com/nk7667/-linx-server-vulnerability-report Public disclosure for CVE-2026-52100 (CSRF) & CVE-2026-52101 (SSRF) in linx-server. MITRE assigned the CVEs; this repo provides a public reference and helps affected users understand the risk. CVE-2026-52100 0 0 0 0 3993395713728580539 +github:1235676212 2026-06-26 2026-07-20 f https://github.com/ret2c/CVE-2026-8023 PoC for CVE-2026-8023: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CVE-2026-8023 0 0 0 0 3632618378280981990 +github:984591029 2025-05-22 2025-06-09 f https://github.com/PenguinCabinet/CVE-2024-4367-hands-on CVE-2024-4367 0 0 1 0 4415797099922521516 +github:1276093018 2026-06-21 2026-06-21 f https://github.com/Fomovet/cve-2025-55182 POC for CVE-2025-55182 CVE-2025-55182 0 0 0 0 3055705940463563348 +github:327314262 2021-01-06 2021-01-06 f https://github.com/shanika04/hibernate-orm CVE-2019-14900 CVE-2019-14900 0 0 1 0 1167695623691259678 +github:437603411 2021-12-17 2026-06-27 f https://github.com/twseptian/spring-boot-log4j-cve-2021-44228-docker-lab Spring Boot Log4j - CVE-2021-44228 Docker Lab CVE-2021-44228 20 27 1 27 1286091592367325582 +github:1111418140 2025-12-06 2025-12-15 f https://github.com/sohaibeb/CVE-2025-55182 CVE-2025-55182 PoC Exploit CVE-2025-55182 0 1 0 1 1559812988638359187 +github:151032211 2018-10-01 2018-10-01 f https://github.com/likekabin/vmacache_CVE-2018-17182 CVE-2018-17182 2 1 2 1 671188977105305144 +github:328321384 2021-01-10 2026-07-01 f https://github.com/Al1ex/CVE-2020-36179 CVE-2020-36179~82 Jackson-databind SSRF&RCE CVE-2020-36179 6 82 2 82 8018913825971700242 +github:1183222316 2026-03-16 2026-03-16 f https://github.com/zubairahm3d/apache-cve-2021-41773-lab Vulnerable Docker lab and exploit for Apache HTTP Server 2.4.49 path traversal vulnerability (CVE‑2021‑41773) CVE-2021-41773 0 0 0 0 4865349014082398353 +github:495754279 2022-05-24 2024-08-12 f https://github.com/li8u99/CVE-2022-1292 CVE-2022-1292 CVE-2022-1292 2 4 1 4 7328967728973829381 +github:468151152 2022-03-10 2022-03-10 f https://github.com/babyshen/CVE-2019-13272 CVE-2019-13272 1 0 1 0 8888297619455936449 +github:1292032040 2026-07-12 2026-07-12 f https://github.com/Park123r/CVE-2021-41773 whs-homework CVE-2021-41773 0 0 0 0 5666665506660378175 +github:539366249 2022-09-21 2022-09-21 f https://github.com/ocastel/log4j-shell-poc A Proof-Of-Concept for the CVE-2021-44228 vulnerability. CVE-2021-44228 0 0 0 0 3078408377318242237 +github:476465221 2022-03-31 2024-02-20 f https://github.com/kh4sh3i/Spring-CVE This includes CVE-2022-22963, a Spring SpEL / Expression Resource Access Vulnerability, as well as CVE-2022-22965, the spring-webmvc/spring-webflux RCE termed "SpringShell". CVE-2022-22963 7 14 1 14 776557862446178563 +github:394568825 2021-08-10 2026-05-05 f https://github.com/murataydemir/CVE-2021-27905 [CVE-2021-27905] Apache Solr ReplicationHandler Server Side Request Forgery (SSRF) CVE-2021-27905 1 6 1 6 6249177527965379902 +github:569477631 2023-01-28 2023-12-11 f https://github.com/alalng/CVE-2022-44789 CVE-2022-44789 1 12 1 12 420034498045860266 +github:626318342 2023-04-09 2023-04-11 f https://github.com/svchost9913/CVE-2022-46169_unauth_remote_code_execution Unauthenticated Remote Code Execution through authentication bypass and command injection in Cacti < 1.2.23 and < 1.3.0 CVE-2022-46169 0 0 0 0 4060814396381609931 +github:823031972 2024-07-02 2025-02-12 f https://github.com/PrincipalAnthony/CVE-2024-6387-Updated-x64bit Private x64 RCE exploit for CVE-2024-6387 [02.07.2024] from exploit.in CVE-2024-6387 0 3 1 3 7946290833519752495 +github:902845679 2024-12-13 2024-12-13 f https://github.com/sudlit/CVE-2023-40028 CVE-2023-40028 0 0 1 0 959492539429854196 +github:1249332472 2026-05-25 2026-05-25 f https://github.com/renewablehacking/CVE-2026-45321-Tanstack CVE-2026-45321 0 0 0 0 1431656615097399573 +github:1177314273 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-baseline CVE-2024-34064 demo - baseline (no sanitisation) CVE-2024-34064 0 0 0 0 8550567315155477448 +github:1050160230 2025-09-04 2025-09-04 f https://github.com/ImBIOS/lab-cve-2025-57819 FreePBX CVE-2025-57819 lab (Docker) + Nuclei POC for unauth SQLi (time-based). CVE-2025-57819 2 1 0 1 1543607155580032753 +github:707634565 2023-10-20 2024-01-12 f https://github.com/yTxZx/CVE-2023-28432 CVE-2023-28432 2 3 1 3 1716503342255933291 +github:530761622 2022-08-30 2024-08-12 f https://github.com/Lay0us/CVE-2022-24637 Unauthenticated RCE in Open Web Analytics (OWA) 1.7.3 CVE-2022-24637 5 5 1 5 7085575202420852082 +github:369939082 2021-05-23 2021-05-23 f https://github.com/nob0dy-3389/CVE-2020-27955 CVE-2020-27955 0 0 1 0 8270636171465627598 +github:1027939821 2025-07-28 2025-08-19 f https://github.com/drackyjr/CVE-2020-15778-SCP-Command-Injection-Check This script is a safe and simple tool that helps system users, students, and administrators check if their SCP (Secure Copy) client is vulnerable to CVE-2020-15778, a command injection vulnerability in OpenSSH SCP (versions ≤ 8.3p1). CVE-2020-15778 0 2 0 2 9133254242097084787 +github:637089393 2023-05-06 2023-05-23 f https://github.com/x-Defender/CVE-2023-29007_win-version CVE-2023-29007 1 2 1 2 6859332013334406607 +github:1020772228 2025-07-16 2025-12-09 f https://github.com/krypton-0x00/CVE-2025-32463-Chwoot-POC CVE-2025-32463 0 1 0 1 2788059718002691880 +github:266052274 2020-05-22 2020-05-22 f https://github.com/fanjq99/CVE-2020-11652 saltstack CVE-2020-11652 CVE-2020-11652 0 0 1 0 4408150668991460734 +github:467788339 2022-03-09 2025-05-02 f https://github.com/Mustafa1986/CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 2 6 1 6 994451218426470422 +github:958797312 2025-04-01 2025-04-01 f https://github.com/JOOJIII/CVE-2025-29927 CVE-2025-29927 0 0 1 0 3139940202453462883 +github:1175655846 2026-03-08 2026-06-11 f https://github.com/gunzf0x/CVE-2025-60787 PoC for CVE-2025-60787 - Authenticated RCE in motionEye for all versions up to 0.43.1b4 (included) CVE-2025-60787 1 10 0 10 5432259964597236110 +github:683311147 2023-08-26 2026-07-20 f https://github.com/Y4Sec-Team/CVE-2023-21939 JDK CVE-2023-21939 CVE-2023-21939 10 93 0 93 5416800874068597611 +github:1304444362 2026-07-17 2026-07-17 f https://github.com/ungabunga-ctf/CVE-2023-26039 CVE-2023-26039 - ZoneMinder. Any authenticated user can construct an api command to execute any shell command as the web user. CVE-2023-26039 0 0 0 0 5617112857046273159 +github:1018876559 2025-07-16 2026-06-19 f https://github.com/BridgerAlderson/CVE-2025-27591-PoC CVE-2025-27591 is a privilege escalation vulnerability that affected the Below service before version 0.9.0 CVE-2025-27591 2 32 0 32 7524428402349589380 +github:437248883 2021-12-13 2021-12-21 f https://github.com/lhotari/log4shell-mitigation-tester Log4Shell CVE-2021-44228 mitigation tester CVE-2021-44228 1 16 1 16 477677333904406004 +github:1276702104 2026-06-22 2026-06-22 f https://github.com/avoidme12/CVE-2025-55182-POC React2Shell POC CVE-2025-55182 0 0 0 0 1754587150735152072 +github:255116667 2020-04-12 2024-08-12 f https://github.com/rabbitmask/CVE-2019-5475-EXP CVE-2019-5475-EXP 【Nexus Repository Manager 2.x远程命令执行漏洞】 CVE-2019-5475 8 4 1 4 574113124283211594 +github:1028528968 2025-07-30 2025-07-30 f https://github.com/ProwlSec/gerapy-cve-2021-43857 Proof of Concept exploit for CVE‑2021‑43857: Authenticated Remote Code Execution in Gerapy (<0.9.8). Updated and automated version of the original Exploit‑DB PoC for educational and authorized testing purposes only. CVE-2021-43857 0 0 0 0 1183137568188893673 +github:1119125931 2025-12-18 2026-05-13 f https://github.com/RavinduRathnayaka/CVE-2025-55182-PoC React2Shell (CVE-2025-66478): A Python-based Proof of Concept for Critical Remote Code Execution (RCE) in Next.js Server Components. Features an interactive CLI, custom payload injection, and cleaner output formatting. For educational research only. CVE-2025-55182 2 4 0 4 7145835175845358910 +github:235000073 2020-01-20 2024-08-12 f https://github.com/Ash112121/CVE-2020-0601 CVE-2020-0601 1 0 1 0 3813984233062423504 +github:979482411 2025-05-07 2025-05-07 f https://github.com/mLniumm/CVE-2025-28074 CVE-2025-28074 0 0 1 0 1036635815741726381 +github:1283792124 2026-06-29 2026-06-29 f https://github.com/w3nch/CVE-2025-69212 CVE-2025-69212 0 1 0 1 5450344454238876006 +github:440009725 2022-12-16 2021-12-24 f https://github.com/TotallyNotAHaxxer/f-for-java a project written in go and java i abandoned for CVE-2021-44228 try to fix it if you can XD CVE-2021-44228 0 0 1 0 1150169371763983774 +github:709775288 2023-10-25 2023-10-25 f https://github.com/ayushx007/CVE-2022-0847-dirty-pipe-checker Bash script to check if kernel is vulnerable CVE-2022-0847 1 0 1 0 3968209264652213001 +github:430821052 2022-07-26 2023-02-22 f https://github.com/Vulnmachines/CVE-2021-22053 CVE-2021-22053: Spring Cloud Netflix Hystrix Dashboard template resolution vulnerability CVE-2021-22053 0 1 1 1 1196079738765313704 +github:1022031654 2025-07-19 2026-05-29 f https://github.com/Maalfer/Sudo-CVE-2021-3156 Exploit para explotar la vulnerabilidad CVE-2025-32463 CVE-2021-3156 2 8 0 8 4010869029090973222 +github:988467996 2025-07-28 2026-07-20 f https://github.com/NightBloodZ/CVE-2025-4123 Script to exploit Grafana CVE-2025-4123: XSS and Full-Read SSRF CVE-2025-4123 10 57 1 57 210142615544114583 +github:1134280948 2026-02-03 2026-02-03 f https://github.com/JSH-data/CVE-2025-55184_CVE-2025-67779 PoC of CVE-2025-55184 and CVE-2025-67779, which are vulnerabilities of React CVE-2025-55184 0 0 0 0 5723110734471176635 +github:668173510 2023-09-10 2023-09-10 f https://github.com/cY83rR0H1t/CVE-2023-20052 CVE-2023-20052 information leak vulnerability in the DMG file parser of ClamAV CVE-2023-20052 1 0 1 0 7376775440764471517 +github:493876946 2022-08-06 2026-05-13 f https://github.com/oK0mo/CVE-2022-24086-RCE-PoC Verifed Proof of Concept on CVE-2022-24086 CVE-2022-24086 1 6 1 6 5406930902433258814 +github:1111337524 2025-12-06 2025-12-06 f https://github.com/0xN7y/CVE-2025-55182 Poc for CVE-2025-55182 CVE-2025-55182 0 0 0 0 462695321513875835 +github:1124567918 2025-12-29 2025-12-29 f https://github.com/amirali-ramezani/react2shell-CVE-2025-55182- CVE-2025-55182 0 0 0 0 6408265475225504011 +github:1103297275 2025-11-24 2025-11-24 f https://github.com/Rivek619/CVE-2025-65670 An (IDOR) in classroomio 0.1.13 allows students to access sensitive admin/teacher endpoints. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-65670 0 0 0 0 6728634373401498888 +github:166266258 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2016-10033 cve-2016-10033 CVE-2016-10033 0 0 0 0 5954987815854601913 +github:425154730 2021-11-06 2021-11-06 f https://github.com/mmeza-developer/CVE-2019-5420-RCE CVE-2019-5420 0 0 1 0 2727359184435091726 +github:744906613 2024-01-19 2024-01-19 f https://github.com/theorzr/ensimag-secu3a-cve-2024-22416 CVE-2024-22416 exploit experiments CVE-2024-22416 0 0 1 0 7942041077884308232 +github:1251186446 2026-05-28 2026-05-28 f https://github.com/thinhap/CVE-2026-9082-PoC CVE-2026-9082 0 0 0 0 8901824417644452482 +github:702914283 2023-10-10 2023-10-10 f https://github.com/CN016/Openfire-RCE-CVE-2023-32315- Openfire未授权到RCE(CVE-2023-32315)复现 CVE-2023-32315 0 0 1 0 9191896466293714738 +github:979800040 2025-05-09 2025-05-09 f https://github.com/djjohnson565/CUPS-Exploit Heap-based buffer overflow example based on CVE-2023-4504 CVE-2023-4504 0 3 1 3 4384139311007351516 +github:1047983368 2025-08-31 2025-08-31 f https://github.com/hackedrishi/CTF_WRITEUPS-TryHackMe-CVE-2021-41773- CTF_WRITEUPS/TryHackMe /CVE-2021-41773/ CVE-2021-41773 0 0 0 0 8929885812667359566 +github:491037235 2022-05-11 2022-05-11 f https://github.com/ShaikUsaf/external_expact_AOSP10_r33_CVE-2022-25314 CVE-2022-25314 1 0 1 0 3783642418744153010 +github:442071358 2021-12-27 2021-12-27 f https://github.com/c3-h2/Log4j_Attacker_IPList CVE-2021-44228 CVE-2021-44228 0 0 1 0 8415869401208780733 +github:1023944519 2025-07-22 2025-07-24 f https://github.com/byteReaper77/CVE-2025-47917 PoC exploit for CVE-2025-47917: Use-After-Free in mbedTLS leading to remote code execution. CVE-2025-47917 0 1 0 1 5557159361354536951 +github:1153512542 2026-03-07 2026-03-07 f https://github.com/mysara2022/CVE-2025-8671-vulnerability-POC- CVE-2025-8671 vulnerability POC CVE-2025-8671 0 0 0 0 1345941272702579420 +github:295480770 2020-09-14 2026-06-28 f https://github.com/cube0x0/CVE-2020-1472 CVE-2020-1472 8 38 1 38 6066416750353749392 +github:927790152 2025-02-05 2025-02-05 f https://github.com/KGorbakon/CVE-2023-41425 CVE-2023-41425 0 0 1 0 1052982286798460858 +github:719245638 2023-11-16 2023-11-15 f https://github.com/vjayant93/CVE-2023-46604-POC POC repo for CVE-2023-46604 CVE-2023-46604 0 0 1 0 3201168898584371615 +github:942668440 2025-03-05 2026-06-29 f https://github.com/4xura/php_filter_chain_oracle_poc PoC scripts to exploit LFR (Local File Read) via PHP filters chain oracle (php://filter), especially for CTF purposes or the exploit of CVE-2023-6199, etc. This's a one-script exploitation PoC modified from https://github.com/synacktiv/php_filter_chains_oracle_exploit CVE-2023-6199 0 2 1 2 6815326551211638941 +github:238321546 2020-02-20 2020-04-14 f https://github.com/GiverOfGifts/CVE-2019-5736-Custom-Runtime CVE-2019-5736 implemented in a self-written container runtime to understand the exploit. CVE-2019-5736 0 1 1 1 3584911217438107425 +github:263456553 2020-05-12 2020-05-12 f https://github.com/th30d00r/Linux-Vulnerability-CVE-2016-0728-and-Exploit Document on Linux Kernal Vulnerability CVE-2016-0728 and Exploitation CVE-2016-0728 0 0 1 0 5959995569919042011 +github:1051654841 2025-09-06 2025-09-06 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10077_2_11_0_M4_fixed CVE-2019-10077 0 0 0 0 4598498588609004488 +github:1022971960 2025-07-20 2025-07-20 f https://github.com/Thewhiteevil/CVE-2025-51400 LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Personal Canned Messages # Date: 09/06/2025 CVE-2025-51400 0 0 0 0 7690047149089269162 +github:813535717 2024-06-11 2025-09-17 f https://github.com/Fehr-GmbH/blackleak CVE-2024-30212 CVE-2024-30212 3 1 1 1 1773284995730622076 +github:90396412 2017-05-05 2017-05-06 f https://github.com/alash3al/wp-allowed-hosts a plugin that protects your wp site from the CVE-2017-8295 vulnerability CVE-2017-8295 1 2 1 2 1642031947171838159 +github:1289909439 2026-07-05 2026-07-05 f https://github.com/BimaBalance/Cve-2026-27944-Tools-Exploit Suka suka lah CVE-2026-27944 0 1 0 1 3299755181299807328 +github:1285403387 2026-06-30 2026-06-30 f https://github.com/BiiTts/CVE-2026-46490-samlify-SAML-Attribute-Injection CVE-2026-46490 — samlify <2.13.0 SAML AttributeValue XML injection -> signed-assertion privilege escalation. Self-contained PoC, verified e2e. CVE-2026-46490 0 0 0 0 8829442488927806068 +github:219141017 2019-11-05 2019-11-05 f https://github.com/ivanitlearning/CVE-2017-11610 Standalone Python ≥3.6 RCE Unauthenticated exploit for Supervisor 3.0a1 to 3.3.2 CVE-2017-11610 0 0 1 0 6886400779111647881 +github:98150795 2017-07-24 2024-08-12 f https://github.com/R4v3nBl4ck/Apache-Struts-2-CVE-2017-5638-Exploit- Exploit created by: R4v3nBl4ck end Pacman CVE-2017-5638 5 3 1 3 8714129770552600205 +github:438032780 2026-05-04 2021-12-14 f https://github.com/Contrast-Security-OSS/CVE-2021-44228 Professional Service scripts to aid in the identification of affected Java applications in TeamServer CVE-2021-44228 2 0 4 0 7996335977299530486 +github:736810389 2024-01-05 2023-12-29 f https://github.com/scabench/jsonorg-fp2 simple application with a (unreachable!) CVE-2022-45688 vulnerability CVE-2022-45688 0 0 1 0 5412181575689018209 +github:1284419696 2026-07-07 2026-07-16 f https://github.com/jarpex/cve-2023-4911-exploit-optimized Pure C exploit for CVE-2023-4911 (Looney Tunables) — x86_64 & aarch64 implementations. Multi-processing brute-forcing, dynamic calibration, integrated ELF parser. CVE-2023-4911 0 2 0 2 4649189079562405846 +github:776463391 2024-03-23 2025-07-11 f https://github.com/0xyassine/CVE-2023-40028 CVE-2023-40028 6 13 1 13 7227744555429119898 +github:1039454184 2025-08-17 2025-08-17 f https://github.com/shoucheng3/joniles__mpxj_CVE-2020-35460_8-3-4 CVE-2020-35460 0 0 0 0 8119859971171850061 +github:864170495 2024-09-27 2024-09-27 f https://github.com/paragbagul111/CVE-2024-25412 A cross-site scripting (XSS) vulnerability in Flatpress v1.3 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the email field CVE-2024-25412 0 0 1 0 730530096043866381 +github:1141531841 2026-01-25 2026-01-25 f https://github.com/hbxxv/CVE-2018-6574 Testing CVE-2018-6574 0 0 0 0 4431464137280209987 +github:1105551911 2025-11-27 2025-11-27 f https://github.com/Bamolitho/adminer_CVE-2021-43008 Environnement de démonstration pour la vulnérabilité CVE-2021-43008 d’Adminer : observer l’impact réel et tester des mesures de mitigation. CVE-2021-43008 1 0 0 0 6291459963689934764 +github:567538645 2022-11-18 2022-11-18 f https://github.com/CAOlvchonger/CVE-2016-10033 wordpress docker CVE-2016-10033 0 0 1 0 4478674324793438022 +github:966209797 2025-04-15 2026-07-18 f https://github.com/UNICORDev/exploit-CVE-2025-29927 Exploit for CVE-2025-29927 (Next.js) - Authorization Bypass CVE-2025-29927 2 12 1 12 5342156632115130849 +github:960189650 2025-04-04 2025-08-17 f https://github.com/Drew-Alleman/CVE-2018-19422 Subrion File Upload Bypass to RCE and Custom File Upload (Authenticated) POC CVE-2018-19422 0 0 1 0 4167248892712268147 +github:230129409 2019-12-25 2023-08-24 f https://github.com/shadow-horse/CVE-2019-17571 Apache Log4j 1.2.X存在反序列化远程代码执行漏洞 CVE-2019-17571 5 78 3 78 833961089488913276 +github:1249743864 2026-05-26 2026-05-26 f https://github.com/Asbawy/GrafTraverse-CVE-2021-43798 CVE-2021-43798 MiNi Exploitation Framework CVE-2021-43798 0 0 0 0 2889140386709141356 +github:441293391 2021-12-23 2022-01-07 f https://github.com/briml3y/loguccino Scan and patch tool for CVE-2021-44228 and related log4j concerns. CVE-2021-44228 4 1 0 1 8476120434058744958 +github:873106151 2024-10-15 2024-11-07 f https://github.com/Mrterrestrial/CVE-2023-50564 This script exploits the file upload feature in Pluck CMS v4.7.18 to upload a malicious PHP file, enabling remote access via a reverse shell. Once uploaded, this backdoor grants the attacker server access with web server permissions, allowing further actions within the system or network. CVE-2023-50564 0 1 1 1 4444316147173592338 +github:439600548 2021-12-18 2024-04-12 f https://github.com/ludy-dev/cve-2021-45046 CVE-2021-45046 0 1 1 1 2521499545601556343 +github:476424726 2022-04-01 2022-04-04 f https://github.com/rwincey/spring4shell-CVE-2022-22965 CVE-2022-22965 1 2 2 2 7148727824826852025 +github:1160747194 2026-02-18 2026-02-21 f https://github.com/Eliasdekiniweek/CVE-2022-22980 Exploitation de CVE-2022-22980 CVE-2022-22980 0 1 0 1 2396974310802445211 +github:646689306 2023-05-29 2023-06-20 f https://github.com/Le1a/CVE-2023-29923 PowerJob V4.3.1 Unauthorized Vulnerability Exploit CVE-2023-29923 0 2 1 2 5739278639383360479 +github:481353213 2022-04-13 2023-05-26 f https://github.com/AkuCyberSec/CVE-2017-8917-Joomla-370-SQL-Injection CVE-2017-8917 0 2 1 2 5412621025937149507 +github:566108053 2022-11-15 2026-04-21 f https://github.com/d3fudd/CVE-2019-9978_Exploit Social WarFare Plugin (<=3.5.2) Remote Code Execution CVE-2019-9978 0 3 1 3 6726156317360531680 +github:834942808 2024-10-28 2024-10-28 f https://github.com/cc3305/CVE-2024-23897 CVE-2024-23897 exploit script CVE-2024-23897 0 0 1 0 1730936923916881601 +github:958172763 2025-03-31 2025-03-31 f https://github.com/B1gN0Se/Tomcat-CVE-2025-24813 CVE-2025-24813 0 0 1 0 824588554950334280 +github:1248148969 2026-05-24 2026-05-26 f https://github.com/kikechans/-Educational-PoC-CVE-2026-23520 🎓 PoC Educativo para CVE-2026-23520. Laboratorio de análisis de vulnerabilidades y mitigación controlada. 🧪 CVE-2026-23520 0 0 0 0 600970762092429726 +github:393142417 2021-08-06 2026-06-16 f https://github.com/0z09e/CVE-2020-35846 Cockpit CMS 0.11.1 NoSQL Injection to Remote Code Execution CVE-2020-35846 0 7 1 7 5334421361228103681 +github:1031292006 2025-08-03 2025-12-26 f https://github.com/hackersonsteroids/cve-2025-24893 Modified exploit for CVE-2025-24893 CVE-2025-24893 0 5 0 5 4398375957291082071 +github:1131274401 2026-01-09 2026-01-09 f https://github.com/YSaxon/pyrocms-ssti-fix A drop-in fix for CVE-2023-29689 - SSTI in PyroCMS, via a custom Twig Sandbox implementation CVE-2023-29689 0 0 0 0 3047130891042018484 +github:1273883249 2026-06-19 2026-06-20 f https://github.com/HORKimhab/CVE-2026-42055 CVE-2026-42055 - Draft CVE-2026-42055 0 0 1 0 1193045769769137602 +github:1265333514 2026-06-11 2026-06-11 f https://github.com/vasilysaint/CVE-2025-24893 OSCP like CVE-2025-24893 exploit for Linux XWiki CVE-2025-24893 0 1 0 1 1763899210172322080 +github:1121096986 2025-12-22 2026-06-28 f https://github.com/BlackTechX011/React2Shell React2Shell: An exploitation framework for CVE-2025-55182 (Next.js/React RCE). CVE-2025-55182 2 11 0 11 7556741260143814143 +github:437963154 2025-11-25 2025-11-25 f https://github.com/corelight/cve-2021-44228 Log4j Exploit Detection Logic for Zeek CVE-2021-44228 9 19 9 19 964708321499872892 +github:926480657 2025-02-03 2025-02-03 f https://github.com/jashan-lefty/Spring4Shell In this challenge, I analyzed the Spring4Shell (CVE-2022-22965) vulnerability, investigated security bypasses, and wrote an Incident Postmortem Report detailing the detection, impact, and resolution of the attack. I also implemented a firewall rule in Python to block malicious requests and prevent future exploitation. CVE-2022-22965 0 0 1 0 5693259665492236184 +github:823118069 2024-07-04 2026-07-28 f https://github.com/AiGptCode/ssh_exploiter_CVE-2024-6387 CVE-2024-6387 with auto ip scanner and auto expliot CVE-2024-6387 3 10 1 10 7258184337473651631 +github:209007546 2019-09-17 2024-08-12 f https://github.com/Fr3d-/moodle-token-stealer CVE-2019-14830 CVE-2019-14830 1 1 1 1 2078491332626565051 +github:968575624 2025-04-19 2026-01-16 f https://github.com/darses/CVE-2025-32433 Security research on Erlang/OTP SSH CVE-2025-32433. CVE-2025-32433 0 3 1 3 8021205202006674040 +github:697095744 2023-09-27 2026-07-04 f https://github.com/overgrowncarrot1/ImageTragick_CVE-2023-34152 CVE-2023-34152 CVE-2023-34152 2 10 1 10 860904007046408568 +github:829775784 2024-07-24 2026-07-22 f https://github.com/ahisec/geoserver- geoserver CVE-2024-36401漏洞利用工具 CVE-2024-36401 8 46 0 46 3429228445011403293 +github:1032661967 2025-08-05 2025-08-05 f https://github.com/painoob/CVE-2025-32463 CVE-2025-32463 1 0 0 0 8199227369274661459 +github:206647936 2019-09-05 2024-08-12 f https://github.com/Chris-dev1/exim.exp CVE-2019-10149 CVE-2019-10149 3 4 1 4 2744168387538343651 +github:262877224 2020-05-11 2020-05-11 f https://github.com/Hansindu-M/CVE-2017-7494_IT19115344 A remote code execution flaw was found in Samba. A malicious authenticated samba client, having write access to the samba share, could use this flaw to execute arbitrary code as root. CVE-2017-7494 0 0 1 0 1822223642505317606 +github:808153966 2024-05-30 2024-05-30 f https://github.com/absolutedesignltd/iconvfix Bash script to patch for CVE-2024-2961 CVE-2024-2961 0 0 3 0 9214910685757315139 +github:1128116273 2026-01-05 2026-01-07 f https://github.com/lucyz1125/CVE-2025-55182-Next.js-RCE Nextjs RCE Exploit CVE-2025-55182 0 2 0 2 5999214256717507007 +github:673613322 2023-08-02 2023-08-02 f https://github.com/overgrowncarrot1/DejaVu-CVE-2021-22205 CVE-2021-22205 1 0 1 0 7423106248328884724 +github:335501856 2021-02-03 2025-12-03 f https://github.com/yaunsky/cve-2021-25646 Apache Druid 远程代码执行;检测脚本 CVE-2021-25646 8 17 1 17 5830874644222606520 +github:616850712 2023-03-21 2023-03-21 f https://github.com/G37SYS73M/CVE-2022-46087 CloudSchool v3.0.1 is vulnerable to Cross Site Scripting (XSS). A normal user can steal session cookies of the admin users through notification received by the admin user. CVE-2022-46087 0 0 1 0 435356821491692344 +github:1122913574 2025-12-25 2026-02-20 f https://github.com/mbanyamer/n8n-Authenticated-Expression-Injection-RCE-CVE-2025-68613 Proof-of-Concept exploit for CVE-2025-68613: Authenticated Remote Code Execution in n8n via Expression Injection CVE-2025-68613 0 1 0 1 718834146261982661 +github:1039033523 2025-08-16 2025-08-16 f https://github.com/shoucheng3/DSpace__DSpace_CVE-2016-10726_4-4 CVE-2016-10726 0 0 0 0 3713198592409058397 +github:362604373 2021-04-29 2023-05-04 f https://github.com/0z09e/CVE-2020-14295 Authenticated SQL injection to command execution on Cacti 1.2.12 CVE-2020-14295 0 2 1 2 8239005675772419376 +github:616157822 2024-03-23 2024-11-27 f https://github.com/goomdan/CVE-2016-6210-exploit Custom exploit written for enumerating usernames as per CVE-2016-6210 CVE-2016-6210 0 1 1 1 66565468253338014 +github:826647567 2024-07-20 2024-07-17 f https://github.com/andria-dev/DolibabyPhp An authenticated RCE exploit for Dolibarr ERP/CRM CVE-2023-30253. CVE-2023-30253 0 1 1 1 4793124455481479301 +github:836386471 2025-06-05 2025-06-05 f https://github.com/h3x0v3rl0rd/CVE-2022-41544 Exploit script for CVE-2022-41544 in GetSimple CMS, with enhanced error handling and detailed usage instructions. CVE-2022-41544 0 0 1 0 5322314025051337116 +github:1014645724 2025-07-06 2025-12-07 f https://github.com/ibrahmsql/CVE-2023-37467 CVE-2023-37467 0 3 0 3 5129170715109243723 +github:1059710664 2025-09-18 2026-06-07 f https://github.com/orange0Mint/CVE-2025-57819_FreePBX This repository includes two PoC scripts for CVE-2025-57819 in FreePBX: one to create a new admin user (poc_admin.py), and another to extract credentials using sqlmap (poc_auto_get_username_pass.py). For educational and authorized use only. CVE-2025-57819 0 2 0 2 372565196133682778 +github:733837034 2023-12-20 2024-01-23 f https://github.com/Thirukrishnan/CVE-2023-50164-Apache-Struts-RCE CVE-2023-50164 0 1 1 1 7614435493389475237 +github:358154501 2023-06-29 2025-12-19 f https://github.com/Al1ex/CVE-2021-27928 CVE-2021-27928 MariaDB/MySQL-'wsrep provider' 命令注入漏洞 CVE-2021-27928 13 63 1 63 5133397995554530200 +github:710123753 2023-10-26 2025-03-31 f https://github.com/intercept6/CVE-2023-45857-Demo CVE-2023-45857の挙動を確認するデモ CVE-2023-45857 1 0 1 0 8403230781926506738 +github:833415966 2024-07-25 2024-08-06 f https://github.com/prelearn-code/CVE-2024-6387 CVE-2024-6387 0 2 1 2 9056485956431067433 +github:521560709 2022-08-05 2022-08-05 f https://github.com/zeeshanbhattined/exploit-CVE-2016-10033 PHPMailer < 5.2.18 Remote Code Execution CVE-2016-10033 1 0 1 0 8316668309546163467 +github:1112153256 2025-12-08 2026-05-16 f https://github.com/open-flaw/CVE-2020-8158 This is a proof-of-concept demonstrating CVE-2020-8158, a critical prototype pollution vulnerability in TypeORM versions < 0.2.25. CVE-2020-8158 0 0 0 0 2248751617955356621 +github:437536404 2021-12-28 2026-04-07 f https://github.com/dtact/divd-2021-00038--log4j-scanner Scan systems and docker images for potential log4j vulnerabilities. Able to patch (remove JndiLookup.class) from layered archives. Will detect in-depth (layered archives jar/zip/tar/war and scans for vulnerable Log4J versions (CVE-2021-44228, CVE-2021-45046 and CVE-2021-45105). Binaries for Windows, Linux and OsX, but can be build on each platform supported by supported Golang. CVE-2021-44228 9 46 5 46 8915747957798050517 +github:875207519 2024-10-19 2026-04-13 f https://github.com/fazilbaig1/CVE-2021-23369 Handlebars CVE-2021-23369 Vulnerability CVE-2021-23369 0 2 1 2 5796860007500327967 +github:80069309 2017-01-25 2017-07-05 f https://github.com/Alejandro-MartinG/rails-PoC-CVE-2016-2098 Proof of concept CVE-2016-2098 CVE-2016-2098 0 1 1 1 5667384061138753349 +github:102917821 2017-11-07 2026-05-13 f https://github.com/mazen160/struts-pwn_CVE-2017-9805 An exploit for Apache Struts CVE-2017-9805 CVE-2017-9805 67 247 15 247 8418155308217088157 +github:130154422 2018-04-19 2025-09-30 f https://github.com/lorddemon/drupalgeddon2 Exploit for CVE-2018-7600.. called drupalgeddon2, CVE-2018-7600 13 11 4 11 6330965524270981517 +github:943535900 2025-03-07 2025-03-07 f https://github.com/armaansidana2003/CVE-2025-25620 CVE-2025-25620 0 0 1 0 9120365359569076755 +github:1093567600 2025-11-11 2026-01-22 f https://github.com/I3r1h0n/pgAdminOpendoor Exploit and test stand for CVE-2025-2945 CVE-2025-2945 0 0 0 0 4510976616600169506 +github:1218283811 2026-04-22 2026-04-29 f https://github.com/JohnPerifanis/cryptpad-cve-2025-51846-advisory Sanitized advisory for CVE-2025-51846 affecting CryptPad WebSocket handling. CVE-2025-51846 0 0 0 0 4141866400860663847 +github:1113786238 2025-12-10 2026-06-03 f https://github.com/Chocapikk/CVE-2025-67494 CVE-2025-67494 0 6 0 6 165429746283934673 +github:363437024 2021-05-01 2024-03-18 f https://github.com/nobodyatall648/CVE-2019-6340 Drupal Drupal 8.6.x RCE Exploit CVE-2019-6340 1 0 1 0 4257307896103596964 +github:943249979 2025-03-07 2026-03-17 f https://github.com/Pixel-DefaultBR/CVE-2023-50164 CVE-2023-50164 0 1 1 1 280471256185262638 +github:906558100 2024-12-21 2024-12-21 f https://github.com/9874621368/FOG-Project FOG Project CVE-2024-39914 命令执行漏洞 CVE-2024-39914 0 0 1 0 1127460352021239031 +github:864641800 2026-02-09 2026-02-09 f https://github.com/aytackalinci/CVE-2024-47176 Vulnerability Scanner for CUPS: CVE-2024-47176 CVE-2024-47176 0 2 1 2 8452950080339941108 +github:1146934228 2026-02-02 2026-02-02 f https://github.com/pescada-dev/CVE-2025-61505 Insecure Deserialization in e107 CMS install.php CVE-2025-61505 0 1 0 1 5381473271923399917 +github:467507788 2022-03-08 2026-07-14 f https://github.com/ahrixia/CVE_2022_0847 CVE-2022-0847: Linux Kernel Privilege Escalation Vulnerability CVE-2022-0847 15 21 1 21 8418440011902088009 +github:1006177112 2025-06-21 2025-06-21 f https://github.com/ldb33/CVE-2023-24249-PoC Proof of concept for HTB easy machine Usage CVE-2023-24249 0 0 0 0 3778097837374754718 +github:1039401039 2025-08-17 2025-08-17 f https://github.com/shoucheng3/yamcs__yamcs_CVE-2023-45277_5-8-6 CVE-2023-45277 0 0 0 0 2971604140932723757 +github:437816961 2021-12-15 2021-12-15 f https://github.com/Camphul/log4shell-spring-framework-research Research into the implications of CVE-2021-44228 in Spring based applications. CVE-2021-44228 0 0 1 0 1216581307577701773 +github:651659590 2023-06-10 2026-02-10 f https://github.com/George0Papasotiriou/CVE-2023-3163-SQL-Injection-Prevention A simple and quick way to check if your SQL Developer by Oracle is vulnerable to SQL Injection (CVE-2023-3163), most commonly occurs when SQL Developer version < 23.1.0. CVE-2023-3163 1 4 1 4 3767840359950005977 +github:954041221 2025-03-25 2026-06-01 f https://github.com/Oyst3r1ng/CVE-2025-29927 Next.js Middleware Auth Bypass CVE-2025-29927 0 2 1 2 2048751513109460486 +github:1123437627 2025-12-26 2026-04-10 f https://github.com/Updatelap/CVE-2025-55182 React2Shell Scanner CVE-2025-55182 1 4 0 4 6423966479764345089 +github:438449548 2021-12-14 2023-08-15 f https://github.com/CrackerCat/CVE-2021-44228-Log4j-Payloads CVE-2021-44228 12 3 0 3 4907332297153280621 +github:161109755 2019-02-26 2021-10-27 f https://github.com/imlzw/Kubernetes-1.12.3-all-auto-install 个人整理的Centos7.x + Kubernetes-1.12.3 + Dashboard-1.8.3 无 CVE-2018-1002105 漏洞的master节点全自动快速一键安装部署文件，适用于测试环境，生产环境的快速安装部署 CVE-2018-1002105 4 4 1 4 9113861048971577603 +github:1047562812 2025-08-30 2025-08-30 f https://github.com/memmas/CVE-2018-6574 CVE-2018-6574 0 0 0 0 7673550105944243720 +github:1272783241 2026-06-17 2026-06-17 f https://github.com/rt1252/CVE-2021-34427 Windows POC for CVE-2021-34427 affecting Birt Viewer CVE-2021-34427 0 0 0 0 7831626500815007728 +github:822404350 2024-07-01 2024-07-01 f https://github.com/cmsec423/CVE-2024-34102 Magento XXE CVE-2024-34102 0 0 1 0 6134021121875128956 +github:1113246427 2025-12-10 2025-12-10 f https://github.com/Yyax13/CVE-2025-55182 RCE exploitation tool targeting CVE-2025-55182, a critical vulnerability in React Server Components (RSC) affecting React 19.0.0 - 19.2.0 and Next.js applications. CVE-2025-55182 0 1 0 1 3998031770506463574 +github:1225115301 2026-04-30 2026-04-30 f https://github.com/B4ntGrim/Vuln_Exploitation_MegaQuagga_Pentest Penetration test report for MegaQuagga Publishing documenting a six-phase engagement that chained CVE-2019-9978 and CVE-2023-4842 to achieve unauthenticated Remote Code Execution and a persistent Meterpreter session. Includes full methodology, exploitation evidence, and prioritized remediation recommendations. CVE-2019-9978 0 0 0 0 6754742097899192309 +github:779823084 2024-03-31 2024-03-31 f https://github.com/hazemkya/CVE-2024-3094-checker CVE-2024-3094 0 0 1 0 3614343414036864441 +github:1043331121 2026-03-06 2026-03-06 f https://github.com/c137req/CVE-2025-6713 craft aggregation pipeline to access data without proper authorisation due to improper handling of $mergeCursors in MongoDB >v8.0 <8.0.7, >v7.0 <7.0.19, >v6.0 <6.0.22 CVE-2025-6713 0 1 0 1 1750349530274070043 +github:345374363 2021-03-07 2025-08-02 f https://github.com/shoamshilo/Fuel-CMS-Remote-Code-Execution-1.4--RCE-- A working PoC to CVE-2018-16763 CVE-2018-16763 0 3 1 3 2823001643775508465 +github:1111237011 2025-12-07 2025-12-11 f https://github.com/rocklambros/React2Shell_Hunter AWS Organization-wide detection toolkit for CVE-2025-55182 & CVE-2025-66478 (React Server Components / Next.js RCE vulnerabilities) CVE-2025-55182 0 1 0 1 4780703559495308639 +github:976374677 2025-05-02 2025-12-03 f https://github.com/bilalz5-github/Erlang-OTP-SSH-CVE-2025-32433 CVE-2025-32433 – Erlang/OTP SSH vulnerability allowing pre-auth RCE CVE-2025-32433 0 1 1 1 519285609508887545 +github:1092194511 2025-11-08 2025-11-08 f https://github.com/l1nuxkid/CVE-2025-32433-exploit CVE-2025-32433 0 0 0 0 3798116076018718188 +github:1135804987 2026-01-16 2026-01-16 f https://github.com/Rivek619/CVE-2025-69581 An issue was discovered in Chamillo LMS 1.11.2. The Social Network /personal_data endpoint exposes full sensitive user information even after logout because proper cache-control is missing. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-69581 0 0 0 0 4814372821424867454 +github:120427992 2018-02-06 2018-12-06 f https://github.com/awidardi/opsxcq-cve-2016-10033 To solve CTFS.me problem CVE-2016-10033 0 1 1 1 7819018813130090984 +github:1014750386 2025-07-06 2025-07-06 f https://github.com/ShadowLance2/Apache-Druid-CVE-2021-25646-Exploit Exploit for Apache Druid Embedded Javascript Remote Code Execution (CVE-2021-25646), Python. CVE-2021-25646 0 0 0 0 1936240241854604614 +github:440311834 2021-12-27 2022-06-29 f https://github.com/parsiya/code-wsl-rce Proof of Concept for CVE-2021-43891 CVE-2021-43891 2 3 1 3 5743657615945961056 +github:1041450986 2025-08-20 2025-08-20 f https://github.com/shoucheng3/xuxueli__xxl-job_CVE-2020-29204_2-2-0 CVE-2020-29204 0 0 0 0 6304339807189259702 +github:413892415 2021-10-05 2026-01-13 f https://github.com/numanturle/CVE-2021-41773 CVE-2021-41773 CVE-2021-41773 4 8 1 8 2031513869969706150 +github:1039034992 2025-08-16 2025-08-16 f https://github.com/shoucheng3/alibaba__nacos_CVE-2021-44667_2-0-3 CVE-2021-44667 0 0 0 0 4532018103747914076 +github:1112141890 2025-12-08 2026-03-02 f https://github.com/Night-have-dreams/CVE-2025-55182-PoC CVE-2025-55182 PoC CVE-2025-55182 0 1 0 1 8943948996264344610 +github:922771086 2025-05-07 2025-06-05 f https://github.com/kyotozx/CVE-2024-2961-Remote-File-Read This script demonstrates a proof-of-concept (PoC) for exploiting a file read vulnerability in the iconv library, as detailed in Ambionics Security's blog https://www.ambionics.io/blog/iconv-cve-2024-2961-p1. CVE-2024-2961 1 5 1 5 5300866482562933345 +github:292413490 2022-03-29 2026-01-02 f https://github.com/Wh1t3Fox/cve-2018-15473 CVE-2018-15473 0 0 1 0 8644085685053896757 +github:335739221 2022-02-13 2026-05-23 f https://github.com/CptGibbon/CVE-2021-3156 Root shell PoC for CVE-2021-3156 CVE-2021-3156 60 158 1 158 6019000043671218080 +github:1308026966 2026-07-21 2026-07-21 f https://github.com/WhatsWrongAndWhy/CVE-2021-3156 CVE-2021-3156 0 0 0 0 2399594458086171846 +github:1162222620 2026-02-20 2026-07-21 f https://github.com/estebanzarate/CVE-2025-4517-Python-tarfile-filter-data-Bypass-PoC Path traversal vulnerability in Python's tarfile. CVE-2025-4517 0 1 0 1 8428048916201073929 +github:808788930 2024-05-31 2024-05-31 f https://github.com/epicosy/Ratpack-1 ratpack with CVE-2019-17513 CVE-2019-17513 0 0 1 0 6913538712741748723 +github:1211570468 2026-04-15 2026-04-15 f https://github.com/Gr4y-r0se/CVE-2022-35650 Exploit for CVE-2022-35650, a Moodle Arbitrary File Read. CVE-2022-35650 0 0 0 0 5837233058014061020 +github:1186276246 2026-03-19 2026-03-19 f https://github.com/Erhui-Li/CVE-2024-51482-ZoneMinder-CCTV-HTB-Reliable-EXP Performing multiple time-based blind injections for the same character and selecting the most frequent result significantly reduces errors and improves reliability, through it is time-consuming. CVE-2024-51482 0 0 0 0 9202137763530746971 +github:1308790189 2026-07-22 2026-07-22 f https://github.com/Kha-Beleh/PoC-CVE-2025-69421 CVE-2025-69421 0 0 0 0 5544108116354791752 +github:581616849 2023-01-04 2022-12-23 f https://github.com/rsalmond/CVE-2021-34824 reproducing an old istio bug CVE-2021-34824 0 0 1 0 7168620098644737384 +github:955815806 2025-04-21 2025-04-28 f https://github.com/Nekicj/CVE-2025-29927-exploit next.js CVE-2025-29927 vulnerability exploit CVE-2025-29927 0 2 1 2 5547374700189794962 +github:1049329573 2025-09-11 2026-01-24 f https://github.com/r4bbit-r4/directus-preso Presentation about CVE-2025-55746 CVE-2025-55746 0 1 0 1 4379494829331479150 +github:751714869 2024-02-02 2024-02-02 f https://github.com/Trinadh465/external_zlib_android-6.0.1_r22_CVE-2022-37434 CVE-2022-37434 0 0 1 0 3817117467121580588 +github:1084611432 2025-10-27 2025-10-27 f https://github.com/the-chivalrousZ/cve-2020-27955 cve-2020-27955 test CVE-2020-27955 0 0 0 0 4908457843677532239 +github:331631898 2021-01-21 2021-01-21 f https://github.com/varandinawer/CVE-2020-28874 CVE-2020-28874 CVE-2020-28874 0 0 1 0 8579135577441977920 +github:1007952692 2025-06-24 2026-02-08 f https://github.com/63square/CVE-2025-49132 PoCs for CVE-2025-49132 CVE-2025-49132 2 5 0 5 3276846097150539421 +github:413972926 2021-10-05 2024-08-12 f https://github.com/TishcaTpx/POC-CVE-2021-41773 Poc.py CVE-2021-41773 3 6 2 6 7707433254587717565 +github:595842528 2023-01-31 2024-07-02 f https://github.com/Halcy0nic/CVE-2022-36752 Proof of concept for CVE-2022-36752 CVE-2022-36752 0 1 1 1 7358583374632431914 +github:1296211274 2026-07-10 2026-07-10 f https://github.com/oscerd/CVE-2026-40858 Reproducer for CVE-2026-40858 — Apache Camel camel-infinispan remote aggregation repository unsafe deserialization (RCE) CVE-2026-40858 0 1 0 1 2045027781170193420 +github:228190849 2019-12-15 2024-08-12 f https://github.com/ianxtianxt/CVE-2019-15107 CVE-2019-15107 1 0 1 0 8664542174428896027 +github:100130122 2017-08-12 2024-08-12 f https://github.com/VulApps/CVE-2017-1000117 CVE-2017-1000117 22 3 1 3 6087137871815642738 +github:209684562 2019-09-21 2024-08-12 f https://github.com/rockmelodies/CVE-2019-16097-batch CVE-2019-16097-batch CVE-2019-16097 3 5 1 5 6213619728491673378 +github:361414198 2021-04-28 2021-04-28 f https://github.com/W2Ning/Solr-SSRF CVE-2021-27905 CVE-2021-27905 1 0 1 0 8301553426138233866 +github:474143968 2022-03-29 2026-05-14 f https://github.com/raesene/CVE-2022-23648-POC POC for CVE-2022-23648 CVE-2022-23648 10 36 2 36 8293544368677756249 +github:696502329 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44764_ConcreteCMS-Stored-XSS---Site_Installation Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the SITE from installation or Settings. CVE-2023-44764 0 0 1 0 7923610736648507258 +github:1129919655 2026-01-07 2026-01-15 f https://github.com/CyrusRazavi/CVE-2019-18634-writeup analysis of the sudo buffer overflow affect sudo version <1.8.26 and how to use GCC to compile publicly availible exploits CVE-2019-18634 0 0 0 0 2902517476771249229 +github:1024913391 2025-07-23 2025-10-13 f https://github.com/demining/Digital-Signature-Forgery-Attack How CVE-2025-29774 Vulnerabilities and the SIGHASH_SINGLE Bug Threaten Multi-Signature Wallet Operational Methods with Fake RawTX CVE-2025-29774 0 4 0 4 6977976667549705012 +github:748125203 2024-01-25 2024-01-25 f https://github.com/shenhav12/CVE-2024-22889-Plone-v6.0.9 CVE-2024-22889 0 0 2 0 5958272066928323687 +github:648069864 2023-06-01 2026-04-29 f https://github.com/SuperZero/CVE-2023-33246 Apache RocketMQ 远程代码执行漏洞(CVE-2023-33246) Exploit CVE-2023-33246 26 114 0 114 1457982265535396040 +github:666400066 2023-07-19 2026-04-29 f https://github.com/Malayke/CVE-2023-37582_EXPLOIT Apache RocketMQ Arbitrary File Write Vulnerability Exploit CVE-2023-37582 10 46 1 46 7367906600340138796 +github:1111658699 2025-12-09 2026-01-09 f https://github.com/1337Skid/CVE-2025-65271 PoC for CVE-2025-65271 | Found by me CVE-2025-65271 0 3 0 3 2360115827700370929 +github:1149115550 2026-02-03 2026-02-03 f https://github.com/thealchimist86/CVE-2023-27163---Maltrail-0.53---RCE Exploit for CVE-2023-27163 - Maltrail(0.53) - RCE CVE-2023-27163 0 0 0 0 8257053744707571420 +github:1040859037 2025-08-19 2025-08-19 f https://github.com/shoucheng3/nahsra__antisamy_CVE-2022-28367_1-6-5 CVE-2022-28367 0 0 0 0 8214716389916331390 +github:667601703 2023-07-18 2024-07-10 f https://github.com/narekkay/auto-cve-2022-44268.sh Automating Exploitation of CVE-2022-44268 ImageMagick Arbitrary File Read CVE-2022-44268 1 2 1 2 7458736280274289324 +github:1114916631 2025-12-12 2025-12-12 f https://github.com/yuta3003/CVE-2025-55182 CVE-2025-55182 0 0 0 0 1440894174972781179 +github:1284833818 2026-07-07 2026-07-07 f https://github.com/xorandd/CVE-2025-69212-PoC CVE-2025-69212 0 0 0 0 2872164391623109150 +github:1313273679 2026-07-27 2026-07-27 f https://github.com/Procjevt/CVE-2026-58138 CVE-2026-58138 0 0 0 0 5288271451446004014 +github:445751273 2025-06-05 2025-06-05 f https://github.com/h3x0v3rl0rd/CVE-2018-16763 CVE-2018-16763 0 2 1 2 538014661358430580 +github:340953590 2021-02-22 2021-02-22 f https://github.com/Nicoslo/Windows-Exploitation-Web-Server-Tomcat-8.5.39-CVE-2019-0232 CVE-2019-0232 0 1 1 1 8905659390347441621 +github:103005989 2017-09-10 2024-08-12 f https://github.com/Lone-Ranger/apache-struts-pwn_CVE-2017-9805 An exploit for Apache Struts CVE-2017-9805 CVE-2017-9805 7 5 2 5 268395029656456107 +github:217356877 2019-03-30 2019-10-24 f https://github.com/melardev/CVE-2019-5418 CVE-2019-5418 1 0 0 0 7913255205096471997 +github:386681813 2025-09-17 2023-07-19 f https://github.com/IBM/PGP-client-checker-CVE-2021-33560 Tool to check whether a PGP client is affected by CVE-2021-33560 CVE-2021-33560 2 1 4 1 5299555255179566953 +github:439433330 2022-01-04 2022-01-04 f https://github.com/lukepasek/log4jjndilookupremove A simple script to remove Log4J JndiLookup.class from jars in a given directory, to temporarily protect from CVE-2021-45046 and CVE-2021-44228. CVE-2021-45046 0 0 1 0 1500506623953163586 +github:1086203692 2025-10-30 2025-10-31 f https://github.com/Mr-DJ/CVE-2024-48990 PoC for CVE-2024-48990 CVE-2024-48990 0 1 0 1 1986022927129350069 +github:1004528391 2025-06-22 2025-06-22 f https://github.com/punitdarji/roundcube-cve-2025-49113 CVE-2025-49113 0 0 0 0 1893500177298480861 +github:694447661 2023-09-21 2023-09-21 f https://github.com/Hamibubu/CVE-2023-27163 Python implementation of CVE-2023-27163 CVE-2023-27163 0 0 1 0 1614853587002434410 +github:236964387 2020-01-29 2020-01-29 f https://github.com/ianxtianxt/CVE-2016-8735 CVE-2016-8735 0 0 2 0 4614860707315185889 +github:481143929 2022-05-27 2022-11-09 f https://github.com/Acceis/exploit-CVE-2022-0482 Easy!Appointments < 1.4.3 - Unauthenticated PII (events) disclosure CVE-2022-0482 3 3 1 3 719136391012900328 +github:1004983535 2025-06-19 2025-07-08 f https://github.com/24Owais/threat-intel-cve-2024-3094 Threat intelligence report analyzing the xz-utils backdoor vulnerability (CVE-2024-3094) CVE-2024-3094 1 1 0 1 2484666329025430553 +github:804311936 2024-05-22 2024-05-22 f https://github.com/bfengj/CVE-2024-32002-hook CVE-2024-32002 0 0 1 0 7095392210593796776 +github:266009300 2022-11-16 2024-08-12 f https://github.com/Al1ex/CVE-2017-17485 CVE-2017-17485:Jackson-databind RCE CVE-2017-17485 3 2 1 2 5043615146762186790 +github:1040906441 2025-08-19 2025-08-19 f https://github.com/shoucheng3/asf__karaf_CVE-2022-22932_4-3-5 CVE-2022-22932 0 0 0 0 1180896385186000864 +github:634655162 2023-04-30 2023-05-24 f https://github.com/zPrototype/CVE-2023-29809 CVE-2023-29809 1 1 1 1 7404675013601746687 +github:1020595732 2025-07-15 2025-07-16 f https://github.com/iQingshan/Blackash-CVE-2025-53833 CVE-2025-53833 CVE-2025-53833 0 0 0 0 6478261722209768363 +github:1203893452 2026-04-07 2026-04-07 f https://github.com/WostGit/cve-2025-15467-crash CVE-2025-15467 0 0 0 0 6380909715241663717 +github:1012476846 2025-07-05 2026-05-09 f https://github.com/pevinkumar10/CVE-2025-32463 Exploit for Local Privilege Escalation in Sudo via Malicious nsswitch.conf with sudo -R. (CVE-2025-32463) CVE-2025-32463 0 3 0 3 8749886884962956768 +github:437840280 2021-12-26 2025-12-03 f https://github.com/0xDexter0us/Log4J-Scanner Burp extension to scan Log4Shell (CVE-2021-44228) vulnerability pre and post auth. CVE-2021-44228 24 102 7 102 3812020762208167697 +github:825400213 2024-07-11 2024-08-16 f https://github.com/charlesgargasson/CVE-2023-4220 RCE Chamilo 1.11.24 CVE-2023-4220 0 1 1 1 971762441877218552 +github:801539871 2024-05-16 2024-05-16 f https://github.com/JoelBts/CVE-2020-0601_PoC Demonstration of CVE-2020-0601 aka curveball. Based on the PoC's available at https://github.com/kudelskisecurity/chainoffools and https://github.com/ly4k/CurveBall CVE-2020-0601 0 0 1 0 7457304874827680086 +github:869025784 2024-10-07 2024-10-21 f https://github.com/geniuszly/CVE-2022-2414 is a PoC script for demonstrating an XML External Entity (XXE) vulnerability exploitation CVE-2022-2414 0 3 1 3 6968882897170732748 +github:1078102975 2025-11-20 2025-11-23 f https://github.com/locus-x64/CVE-2025-61765_PoC Proof of Concept of an unsafe pickle deserialization vulnerability in Socket.IO CVE-2025-61765 0 1 0 1 1511154130140473445 +github:868505012 2024-10-09 2024-12-17 f https://github.com/NikitaPark/CVE-2023-50164-PoC CVE-2023-50164 PoC Application & Exploit script CVE-2023-50164 0 1 1 1 7928598783782661556 +github:977242531 2025-05-03 2025-07-25 f https://github.com/MuhammadWaseem29/Vitejs-exploit Vite Development Server's @fs endpoint (CVE-2025-31125) to access sensitive files like /etc/passwd and /etc/hosts via crafted URLs. CVE-2025-31125 2 0 1 0 7441493881634773502 +github:242054816 2020-02-21 2024-08-12 f https://github.com/h7hac9/CVE-2020-1938 CVE-2020-1938 1 2 1 2 7540340194184496995 +github:327313296 2021-01-06 2021-01-06 f https://github.com/shanika04/dashbuilder CVE-2016-4999 CVE-2016-4999 0 0 1 0 6285966619661879874 +github:432503000 2021-11-27 2022-07-28 f https://github.com/DIVD-NL/GitLab-cve-2021-22205-nse NSE script to fingerprint if GitLab is vulnerable to cve-2021-22205-nse CVE-2021-22205 0 1 3 1 3825588976831979449 +github:493093053 2022-06-02 2024-08-12 f https://github.com/VinuKalana/DirtyPipe-CVE-2022-0847 This repository is developed to analysis and understand DirtyPipe exploit CVE-2022-0847 CVE-2022-0847 2 2 1 2 4974679482190392594 +github:787494467 2024-04-16 2024-04-24 f https://github.com/AsfandAliMemon25/CVE-2023-50164Analysis- CVE-2023-50164 An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution. Users are recommended to upgrade to versions Struts 2.5.33 or Struts 6.3.0.2 or greater to fix this issue. CVE-2023-50164 0 0 1 0 5549485848741618989 +github:1308211212 2026-07-21 2026-07-21 f https://github.com/MehdiChyhab/CVE-2025-64512-exploit CVE-2025-64512 - pdfminer.six Remote Code Execution Exploit CVE-2025-64512 0 0 0 0 4924316302246403825 +github:1253504811 2026-05-29 2026-05-29 f https://github.com/ex-cal1bur/CVE-2026-44595 # CVE-2026-44595 YAMCS Unauthorized User Enumeration via IAM API CVE-2026-44595 0 0 0 0 5533920137043034599 +github:867894040 2025-04-06 2026-06-16 f https://github.com/Chocapikk/CVE-2024-45519 Zimbra - Remote Command Execution (CVE-2024-45519) CVE-2024-45519 24 139 3 139 587959340102755223 +github:685896765 2023-09-01 2023-09-01 f https://github.com/mnqazi/CVE-2023-4696 https://medium.com/@mnqazi/cve-2023-4696-account-takeover-due-to-improper-handling-of-jwt-tokens-in-memos-v0-13-2-13104e1412f3 CVE-2023-4696 0 0 1 0 9005492279422230793 +github:982238076 2025-05-12 2025-05-12 f https://github.com/orgC/CVE-2024-10220-demo CVE-2024-10220 0 0 1 0 713556156910888723 +github:1225232646 2026-04-30 2026-04-30 f https://github.com/Navya240/intel471-threat-hunting-cve-2023-46604 My first hands-on Intel 471 threat hunting workshop experience investigating CVE-2023-46604 using Elastic SIEM, vulnerability intelligence, and post-exploitation detection. CVE-2023-46604 0 0 0 0 1764989077612118068 +github:1158248112 2026-02-15 2026-02-15 f https://github.com/AnimePrincess420/CVE-2025-4517-PoC CVE‑2025‑4517 Proof‑of‑Concept Script CVE-2025-4517 0 2 0 2 6310198895388681955 +github:438417506 2021-12-23 2024-11-12 f https://github.com/xsultan/log4jshield Log4j Shield - fast ⚡, scalable and easy to use Log4j vulnerability CVE-2021-44228 finder and patcher CVE-2021-44228 3 13 1 13 299564664710053378 +github:973445755 2025-04-27 2025-04-27 f https://github.com/MrDreamReal/CVE-2025-32433 CVE-2025-32433 Summary and Attack Overview CVE-2025-32433 2 0 1 0 8353877804911280983 +github:568897117 2025-03-02 2025-03-19 f https://github.com/dream434/CVE-2017-9841 CVE-2017-9841 CVE-2017-9841 0 1 1 1 4782010008218951650 +github:323842467 2020-12-23 2020-12-23 f https://github.com/SaharAttackit/CVE-2020-1472 CVE-2020-1472 0 0 1 0 7084469585209243610 +github:337782636 2021-02-10 2025-11-18 f https://github.com/VICXOR/CVE-2020-9484 POC for CVE-2020-9484 CVE-2020-9484 1 13 1 13 8156137067381844719 +github:462232980 2022-02-22 2022-02-22 f https://github.com/UzJu/CVE-2022-21660 CVE-2022-21660 0 0 1 0 8037763607878253658 +github:1040857548 2025-08-19 2025-08-19 f https://github.com/shoucheng3/codehaus-plexus__plexus-utils_CVE-2017-1000487_3-0-15 CVE-2017-1000487 0 0 0 0 1209340813792937628 +github:715398190 2023-11-07 2023-11-07 f https://github.com/Mrunalkaran/CVE-2023-38646 Metabase Pre-Auth RCE POC CVE-2023-38646 0 0 1 0 6515478894551592249 +github:803132723 2024-05-20 2024-05-20 f https://github.com/CrackerCat/CVE-2024-32002_EXP CVE-2024-32002 0 1 0 1 8014027514897817652 +github:1112270784 2025-12-08 2026-03-26 f https://github.com/HUAHUAI23/CVE-2025-55182-POC CVE-2025-55182 0 1 0 1 5718446942752151779 +github:580199819 2022-12-20 2025-11-11 f https://github.com/BKreisel/CVE-2021-45010 🐍 Python Exploit for CVE-2021-45010 CVE-2021-45010 1 4 1 4 466840295887979777 +github:873364628 2024-12-15 2024-12-15 f https://github.com/cuanh2333/CVE-2023-46604 CVE-2023-46604 0 0 1 0 4292533097075253517 +github:202659145 2019-08-16 2026-05-10 f https://github.com/rek7/Zimbra-RCE Zimbra RCE PoC - CVE-2019-9670 XXE/SSRF CVE-2019-9670 14 27 2 27 2892568975199294010 +github:738344836 2024-01-03 2026-06-21 f https://github.com/Cybernegro/CVE-2020-11023 CVE-2020-11023 PoC for bug bounty. CVE-2020-11023 0 3 1 3 3481503272119365011 +github:802731253 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-linux-submod CVE-2024-32002 0 0 1 0 3750651495732089524 +github:1039614163 2026-05-14 2026-05-14 f https://github.com/s11s11/CVE-2025-29927 Demo of CVE-2025-29927 for secure programming class CVE-2025-29927 0 0 0 0 1181312238474297347 +github:831347071 2024-10-24 2024-10-24 f https://github.com/aratane/CVE-2021-3831 Unauthenticated Sensitive Information Disclosure CVE-2021-3831 0 0 1 0 6758216832271633987 +github:1039402895 2025-08-18 2025-11-09 f https://github.com/00xCanelo/CVE-2025-32778 PoC exploit for CVE-2025-32778: command injection in Web-Check OSINT tool CVE-2025-32778 1 3 0 3 4409709933853683734 +github:905043391 2024-12-19 2025-10-29 f https://github.com/NullByte-7w7/CVE-2024-48990 CVE-2024-48990 0 1 1 1 2408089629124727601 +github:374891682 2021-06-08 2025-04-01 f https://github.com/MyBlackManba/CVE-2021-29505 对CVE-2021-29505进行复现，并分析学了下Xstream反序列化过程 CVE-2021-29505 2 6 2 6 1200848170057472971 +github:640557970 2023-05-14 2023-05-14 f https://github.com/aminetitrofine/CVE-2022-4096 This experiment is destinated to demonstrate how the DNS rebinding attack works on an emulated IoT. In the setup, we have a simulated IoT device, which can be controlled through a web interface (this is typical for many IoT devices). CVE-2022-4096 1 0 1 0 4433356373404656296 +github:437704633 2021-12-13 2025-09-21 f https://github.com/bigsizeme/Log4j-check log4J burp被扫插件、CVE-2021-44228、支持dnclog.cn和burp内置DNS、可配合JNDIExploit生成payload CVE-2021-44228 16 70 1 70 1946115963907607689 +github:637852784 2023-12-24 2025-04-04 f https://github.com/falconkei/snakeyaml_cve_poc SnakeYAML-CVE-2022-1471-POC CVE-2022-1471 4 4 1 4 8153939331982987683 +github:638814149 2023-05-10 2023-05-10 f https://github.com/0xSalle/cve-2018-15133 CVE-2018-15133 1 0 1 0 5715707856469123002 +github:834245223 2024-07-26 2024-07-26 f https://github.com/PauloParoPP/CVE-2024-41110-SCAN CVE-2024-41110 0 0 1 0 4294902805480623464 +github:714682173 2023-11-05 2023-11-05 f https://github.com/ayushx007/CVE-2022-0847-DirtyPipe-Exploits CVE-2022-0847 1 0 1 0 355725249455536386 +github:924632043 2025-01-30 2026-05-01 f https://github.com/lukwagoasuman/CVE-2021-3129---Laravel-RCE ## About The script has been made for exploiting the Laravel RCE (CVE-2021-3129) vulnerability.
This script allows you to write/execute commands on a website running Laravel <= v8.4.2, that has "APP_DEBUG" set to "true" in its ".env" file. CVE-2021-3129 1 1 1 1 4253794551394085607 +github:633268252 2023-08-03 2023-09-28 f https://github.com/Okaytc/Superset_auth_bypass_check Apahce-Superset身份认证绕过漏洞(CVE-2023-27524)检测工具 CVE-2023-27524 5 11 1 11 7147074684756705067 +github:996591373 2025-06-06 2025-06-06 f https://github.com/TopskiyPavelQwertyGang/Review.CVE-2023-5612 Analysis via script CVE-2023-5612 CVE-2023-5612 0 0 0 0 3227384072597541226 +github:1019217909 2026-06-23 2026-07-12 f https://github.com/sh4den/CVE-2025-52488 This exploit targets a vulnerability in DNN (formerly DotNetNuke) versions 6.0.0 to before 10.0.1 that allows attackers to disclose NTLM hashes through Unicode path normalization attacks. CVE-2025-52488 0 2 0 2 4347484823193902066 +github:1242001675 2026-05-18 2026-05-18 f https://github.com/LAT-06/CVE-2026-34197 CVE-2026-34197 0 0 0 0 8656011221597746258 +github:877508313 2024-11-09 2024-11-25 f https://github.com/m3ssap0/wordpress-jetpack-broken-access-control-vulnerable-application WARNING: This is a vulnerable application to test the exploit for the Jetpack < 13.9.1 broken access control (CVE-2024-9926). Run it at your own risk! CVE-2024-9926 0 2 1 2 5549477452697463457 +github:1110299787 2025-12-04 2025-12-05 f https://github.com/huangzccn/CVE-2025-55182 CVE-2025-55182 CVE-2025-55182 0 0 0 0 8831573232323328294 +github:1296225020 2026-07-10 2026-07-10 f https://github.com/0x77FSec/CVE-2026-23744 CVE-2026-23744 0 0 0 0 7369576825663025576 +github:718826402 2023-11-16 2023-11-14 f https://github.com/NataliSemi/-CVE-2022-44268 CVE-2022-44268 0 0 1 0 4311193873060566447 +github:656328794 2023-06-20 2023-06-20 f https://github.com/hacip/CVE-2023-33404 CVE-2023-33404 1 0 1 0 6901880667329098021 +github:1110898421 2026-03-22 2026-07-15 f https://github.com/kOaDT/poc-cve-2025-55182 This repository contains a POC of CVE-2025-55182, a critical (CVSS score 10.0) pre-authentication remote code execution vulnerability affecting React Server Components, also known as React2Shell. CVE-2025-55182 3 15 1 15 6112636297242793700 +github:104686879 2017-09-28 2019-06-11 f https://github.com/invisiblethreat/strutser Check for Struts Vulnerability CVE-2017-5638 CVE-2017-5638 1 0 0 0 8789897938817085881 +github:702119098 2023-10-08 2023-10-10 f https://github.com/alexandre-pecorilla/CVE-2023-38646 CVE-2023-38646 Pre-Auth RCE in Metabase CVE-2023-38646 0 1 1 1 8336006988416843254 +github:603146964 2023-02-18 2025-07-13 f https://github.com/retrymp3/apache2.4.49VulnerableLabSetup CVE-2021-41773 vulnerable apache version 2.4.49 lab set-up. CVE-2021-41773 0 1 1 1 4551340490684955378 +github:1047819654 2025-10-05 2026-07-11 f https://github.com/drcrypterdotru/Apache-GOExploiter Apache (CVE-2025-24813) GOExploiter Checker & Exploiter very Fast CVE-2025-24813 3 20 0 20 2122984258944655166 +github:1055634172 2025-09-23 2025-09-23 f https://github.com/sy460129/CVE-2025-51006 CVE-2025-51006 0 0 0 0 1582699743332873474 +github:1113818054 2025-12-10 2025-12-10 f https://github.com/DanielXavierJob/-CVE-2025-55182 CVE-2025-55182 0 0 0 0 1577047046188561403 +github:92845566 2021-10-31 2025-12-15 f https://github.com/brianwrf/SambaHunter It is a simple script to exploit RCE for Samba (CVE-2017-7494 ). CVE-2017-7494 24 57 4 57 5508230911752447433 +github:509388193 2022-07-05 2024-04-29 f https://github.com/iveresk/CVE-2022-29885 Apache Tomcat DoS (CVE-2022-29885) Exploit CVE-2022-29885 2 4 1 4 6976649916467084771 +github:1112867275 2025-12-09 2026-05-14 f https://github.com/rsch-io/CVE-2025-55182-React2Shell React2Shell (CVE-2025-55182) proof-of-concept (PoC) exploit demonstrating a CRITICAL remote code execution (RCE) vulnerability in modern web frameworks using React Server Components (RSC). CVE-2025-55182 1 1 0 1 5235616991939784624 +github:818584647 2024-06-22 2024-06-24 f https://github.com/NanoWraith/CVE-2024-31982 CVE-2024-31982 0 1 1 1 5402622986709787788 +github:1129401250 2026-01-07 2026-06-05 f https://github.com/CadGoose/MongoBleed-CVE-2025-14847-Fully-Automated-scanner Full automation check for CVE-2025-14847 MonogBleed- Finds origin IP and tests for exploit. CVE-2025-14847 1 1 0 1 5649919189772634889 +github:988856936 2025-05-23 2025-05-23 f https://github.com/x6vrn/CVE-2025-4611-PoC PoC for CVE-2025-4611 CVE-2025-4611 0 0 1 0 1932792019203784511 +github:822233085 2024-07-01 2024-11-30 f https://github.com/0x0d3ad/CVE-2024-34102 CVE-2024-34102 (Magento XXE) CVE-2024-34102 0 2 1 2 483669435157703864 +github:1102256953 2025-11-23 2025-11-23 f https://github.com/rashedhasan090/AegisJava I have created AegisJava, a tool to fix (detect and mitigate) CVE-2025-30749. CVE-2025-30749 0 0 0 0 694007397836867504 +github:260558634 2020-05-03 2020-05-03 f https://github.com/Billith/CVE-2019-5736-PoC CVE-2019-5736 0 0 1 0 7877095075348855172 +github:1180852710 2026-05-11 2026-05-11 f https://github.com/deancooreman/CVE-2024-47176 Automated VirtualBox lab environment to exploit CVE-2024-47176 — an unauthenticated RCE vulnerability in CUPS — using a custom Python exploit and Kali Linux. CVE-2024-47176 0 0 0 0 1946687363509523293 +github:1313902581 2026-07-27 2026-07-27 f https://github.com/tr3m0x/CVE-2021-41773 PoC and analysis of CVE-2021-41773 CVE-2021-41773 0 0 0 0 2127842911089720804 +github:516156505 2026-01-09 2022-09-19 f https://github.com/AkbarTrilaksana/cve-2022-33891 CVE-2022-33891 1 3 1 3 5385891517819023102 +github:1124230281 2025-12-28 2026-03-18 f https://github.com/hariskhalil555000-sketch/What-utility-does-CVE-2024-3094-refer-to- CVE-2024-3094 0 0 0 0 1950029682372678879 +github:647539288 2024-01-21 2026-04-01 f https://github.com/reneoliveirajr/wp_CVE-2020-35489_checker WordPress Sites Vulnerability Checker for CVE-2020-35489 - "Educational Use Only" CVE-2020-35489 4 13 1 13 2441146054522639738 +github:595794114 2023-01-31 2024-08-12 f https://github.com/demining/Log4j-Vulnerability Vulnerability CVE-2021-44228 allows remote code execution without authentication for several versions of Apache Log4j2 (Log4Shell). Attackers can exploit vulnerable servers by connecting over any protocol, such as HTTPS, and sending a specially crafted string. CVE-2021-44228 2 6 1 6 6658189113095145062 +github:1171577658 2026-03-03 2026-03-03 f https://github.com/Clarissss/osTicketFileReadIntoRCE Full-chain exploit combining PHP filter chain injection with CVE-2024-2961 (CNEXT) for unauthenticated Remote Code Execution on vulnerable osTicket installations. CVE-2024-2961 0 0 0 0 6852491796798162226 +github:1298560449 2026-07-12 2026-07-12 f https://github.com/mmoobbeeiidat-design/Hack-The-Box-Enigma-Findings-Report HTB_Enigma Security Assessment – Full pentest completed, chaining NFS disclosure, IMAPS password reuse, and OS Command Injection in OpenSTAManager (CVE-2025-69212) through to root via a misconfigured OliveTin service. Full report and evidence appendix to be published once permitted by HTB's active-machine policy. CVE-2025-69212 0 0 0 0 3263708995097667105 +github:1297455393 2026-07-11 2026-07-12 f https://github.com/dua2z3rr/CVE-2026-29000-PoC CVE-2026-29000 - pac4j-jwt (< 4.5.9 / < 5.7.9 / < 6.3.3) JwtAuthenticator authentication bypass PoC CVE-2026-29000 0 1 0 1 2397786086053202973 +github:255896500 2020-04-15 2024-08-12 f https://github.com/Asgavar/CVE-2020-5260 https://bugs.chromium.org/p/project-zero/issues/detail?id=2021 CVE-2020-5260 1 0 1 0 6682713423192026926 +github:76046382 2017-10-30 2024-08-12 f https://github.com/opsxcq/exploit-CVE-2016-6515 OpenSSH remote DOS exploit and vulnerable container CVE-2016-6515 24 53 2 53 1824650154485570129 +github:422227118 2021-10-28 2026-04-06 f https://github.com/r0eXpeR/CVE-2021-22205 CVE-2021-22205 Unauthorized RCE CVE-2021-22205 27 69 2 69 1667062460504386330 +github:352905168 2021-03-30 2021-03-30 f https://github.com/NeoDarwin/CVE-2020-27955 CVE-2020-27955 Poc CVE-2020-27955 0 0 1 0 7510593117456454223 +github:786321565 2024-04-14 2025-05-26 f https://github.com/lpn/CVE-2024-24576.jl Simple CVE-2024-24576 PoC in Julia CVE-2024-24576 0 2 1 2 9196560780769343110 +github:1094702699 2025-11-13 2026-01-13 f https://github.com/alexan011/CVE-2024-47167-Environment-Setup CVE-2024-47167 0 0 0 0 4658168364465122445 +github:1152816142 2026-02-09 2026-02-09 f https://github.com/kerburenthusiasm/CVE-2025-49132-PoC CVE-2025-49132 0 0 0 0 5616601996955143686 +github:1115368535 2025-12-12 2025-12-12 f https://github.com/Joker-Wiggin/CVE-2025-58360-GeoServer-XXE CVE-2025-58360 0 0 0 0 4178850830899135931 +github:92638419 2018-01-13 2020-08-10 f https://github.com/SpiderMate/Stutsfi An exploit for CVE-2017-5638 Remote Code Execution (RCE) Vulnerability in Apache Struts 2 CVE-2017-5638 2 0 0 0 1399932699429097604 +github:270871313 2025-09-17 2025-09-17 f https://github.com/0xxon/cve-2020-13777 Zeek script to detect servers vulnerable to CVE-2020-13777 CVE-2020-13777 0 4 3 4 6995977158864102186 +github:1243045131 2026-06-30 2026-06-30 f https://github.com/itzSh4dowxZ/CVE-2024-37032-PoC CVE-2024-37032 (Probllama) PoC for Ollama ≤0.1.33: path traversal and arbitrary file write via model digest handling, leading to automated privilege escalation. CVE-2024-37032 0 8 0 8 4686012468196008260 +github:1054826142 2025-09-19 2025-09-19 f https://github.com/kaylertee/Computer-Security-Equifax-2017 A hands-on simulation of CVE-2017-5638 (Apache Struts2 RCE), showcasing exploit reproduction, OS-level command execution, and mitigations such as input sanitization and endpoint monitoring. Built in Python/Flask with Jupyter notebook demos CVE-2017-5638 0 0 0 0 3365933364895087661 +github:351765059 2021-03-26 2021-03-26 f https://github.com/siramk/CVE-2018-1335 CVE-2018-1335 0 0 1 0 4451804543965590985 +github:895315819 2024-11-28 2024-11-28 f https://github.com/sonyavalo/CVE-2019-5736-Dockerattack-and-security-mechanism In this project, we found a recent attack through the malicious container and implemented a security mechanism to stop it. CVE-2019-5736 0 0 1 0 5523724368896637485 +github:1157904248 2026-02-14 2026-02-14 f https://github.com/Mohnad-AL-saif/Gitea-Git-Hooks-RCE-CVE-2020-14144- Gitea versions 1.1.0 → 1.12.5 allow authenticated users with "May create git hooks" permission to inject arbitrary shell commands into post-receive hooks. Pushing a commit triggers the hook and executes the payload on the server. CVE-2020-14144 0 0 0 0 7399372236996907748 +github:1290151635 2026-07-05 2026-07-05 f https://github.com/Eliot-code/CVE-2026-22874-PoC CVE-2026-22874 0 0 0 0 3522540943098180100 +github:1247116207 2026-05-23 2026-06-03 f https://github.com/ridhinva/litellm-sqli-scanner CVE-2026-42208 - LiteLLM SQL Injection vulnerability scanner for BerriAI LiteLLM proxy instances CVE-2026-42208 0 0 0 0 2030442865806460872 +github:508272003 2022-07-08 2022-10-02 f https://github.com/bypazs/CVE-2022-34963 OpenTeknik LLC OSSN OPEN SOURCE SOCIAL NETWORK v6.3 LTS was discovered to contain a stored cross-site scripting (XSS) vulnerability via the News Feed module. CVE-2022-34963 0 0 1 0 7412028099084711422 +github:801751761 2024-05-16 2024-05-16 f https://github.com/epicosy/obridge obride with CVE-2018-25075 CVE-2018-25075 0 0 1 0 6558074492648872878 +github:616913153 2024-12-12 2026-04-20 f https://github.com/404tk/CVE-2022-46463 harbor unauthorized detection CVE-2022-46463 7 57 1 57 7554117887221360232 +github:828468155 2024-07-14 2024-10-08 f https://github.com/Phantom-IN/CVE-2024-34102 CVE-2024-34102 0 1 1 1 3353807363348533362 +github:712387797 2023-10-31 2023-10-31 f https://github.com/4xolotl/CVE-2018-15473 CVE-2018-15473 0 0 1 0 808399132347946901 +github:496760787 2022-06-01 2026-06-22 f https://github.com/Chocapikk/CVE-2022-29464 Python script to exploit CVE-2022-29464 (mass mode) CVE-2022-29464 1 5 2 5 95373016337511838 +github:1122847991 2025-12-25 2025-12-25 f https://github.com/OffSecPlaybook/CVE-2025-32462- CVE-2025-32462 is a local privilege escalation vulnerability in sudo CVE-2025-32462 0 0 0 0 4105083106742315438 +github:286494930 2020-08-10 2024-12-02 f https://github.com/shadofren/CVE-2016-4010 CVE-2016-4010 CVE-2016-4010 0 2 1 2 8428171409621999924 +github:78226814 2024-04-20 2025-11-04 f https://github.com/t0kx/exploit-CVE-2016-9920 Roundcube 1.0.0 <= 1.2.2 Remote Code Execution exploit and vulnerable container CVE-2016-9920 21 48 0 48 4166987656726399484 +github:431676694 2022-02-26 2021-11-25 f https://github.com/Hyperkopite/CVE-2021-44217 CVE-2021-44217 0 0 1 0 5228136390991490960 +github:703323724 2023-10-12 2024-01-18 f https://github.com/Startr4ck/cve-2023-42820 JumpServer CVE-2023-42820 0 2 1 2 979770900750404472 +github:1135888223 2026-06-18 2026-06-18 f https://github.com/iwallplace/CVE-2026-46368-OpenWrt-Exploit Proof of Concept exploit for CVE-2026-46368 — authenticated root command injection in OpenWrt luci-app-https-dns-proxy (EDB-52521) CVE-2026-46368 0 1 0 1 3632100480498128928 +github:133221173 2018-05-16 2021-02-23 f https://github.com/jiazhang0/pop-mov-ss-exploit The exploitation for CVE-2018-8897 CVE-2018-8897 4 4 1 4 7155769955554205437 +github:363093968 2021-04-30 2025-05-22 f https://github.com/DeeLMind/CVE-2020-27955-LFS CVE-2020-27955 11 1 1 1 8521616802456785442 +github:709195408 2023-10-24 2023-10-24 f https://github.com/r10lab/CVE-2022-23131 CVE-2022-23131 0 0 1 0 1897037362198757036 +github:813672523 2024-06-11 2024-06-11 f https://github.com/shefirot/CVE-2024-3094 Basic POC to test CVE-2024-3094 vulnerability inside K8s cluster CVE-2024-3094 0 0 1 0 1730858155247555263 +github:803079258 2024-05-20 2024-06-03 f https://github.com/jweny/CVE-2024-32002_EXP CVE-2024-32002 2 3 1 3 2687289519715744207 +github:1149503700 2026-02-04 2026-02-04 f https://github.com/Ik0nw/CVE-2024-46987 CVE-2024-46987 0 0 0 0 3349788373667566833 +github:1134540334 2026-01-20 2026-01-20 f https://github.com/ValeuDoamne/CVE-2023-22809 Implementation of the CVE-2023-22809 CVE-2023-22809 0 0 0 0 5605625130131309589 +github:1184079691 2026-03-18 2026-03-18 f https://github.com/sangrok-jeon/CVE-2025-29927-Nextjs-Analysis CVE-2025-29927-Nextjs 분석 보고서 CVE-2025-29927 0 0 0 0 2522449351045503745 +github:1268129924 2026-06-13 2026-06-13 f https://github.com/romain-deperne/CVE-2026-48017 Remote Code Execution in DbGate via functionName injection in the loadReader endpoint — CVSS 8.8 CVE-2026-48017 0 0 0 0 5095771682182089829 +github:105433963 2017-10-01 2022-03-03 f https://github.com/own2pwn/blueborne-CVE-2017-1000251-POC CVE-2017-1000251 2 5 2 5 6635030939913749123 +github:530954073 2022-09-02 2026-05-23 f https://github.com/Rvn0xsy/ZeroLogon CVE-2020-1472 C++ CVE-2020-1472 8 84 3 84 7781357052297060483 +github:925972575 2025-03-06 2025-03-06 f https://github.com/dorattias/CVE-2025-26319 CVE-2025-26319 0 0 1 0 7682275853449819566 +github:1121365073 2025-12-23 2026-07-28 f https://github.com/wioui/n8n-CVE-2025-68613-exploit CVE-2025-68613: n8n RCE vulnerability exploit and documentation CVE-2025-68613 22 105 0 105 207793433421629607 +github:1256652731 2026-06-02 2026-06-02 f https://github.com/HORKimhab/CVE-2025-70849 CVE-2025-70849 - Draft CVE-2025-70849 0 0 0 0 4419781940417660545 +github:1108954126 2025-11-15 2025-12-03 f https://github.com/zbyszkok/CVE-2025-49844-RediShell-AI-made-Revshell Untested completition of the Redishell PoC made by AI CVE-2025-49844 0 0 0 0 3705071203536357850 +github:1312870758 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66750-Insufficient-Access-Controls-Allow-for-Unauthorized-File-Downloads-Let-s-Chat- Security Advisory: Insufficient Access Controls Allow for Unauthorized File Downloads (Let's Chat) CVE-2026-66750 0 0 0 0 1401283155445050368 +github:954691216 2025-03-25 2026-01-12 f https://github.com/yoshino-s/CVE-2025-1974 CVE-2025-1974 10 53 2 53 6650369006416074938 +github:162456991 2018-12-19 2023-09-12 f https://github.com/nikhil1232/LibSSH-Authentication-Bypass LibSSH Authentication Bypass CVE-2018-10933 CVE-2018-10933 2 6 0 6 8417503838614432933 +github:1126184779 2026-01-04 2026-05-12 f https://github.com/MaxMnMl/zimbramail-CVE-2025-68645-poc CVE-2025-68645 - A Local File Inclusion (LFI) vulnerability in the Webmail Classic UI of Zimbra Collaboration CVE-2025-68645 0 3 0 3 7882672473159549316 +github:153975086 2018-10-21 2024-08-12 f https://github.com/shifa123/pythonprojects-CVE-2018-10933 CVE-2018-10933 CVE-2018-10933 5 2 1 2 7847170888119319127 +github:1043399904 2025-08-23 2025-08-23 f https://github.com/abiyeenzo/CVE-2025-8671 PoC éducatif pour la vulnérabilité CVE-2025-8671 (DoS HTTP/2 sur lighttpd). À utiliser uniquement en laboratoire local. CVE-2025-8671 0 0 0 0 8708416286878473924 +github:1125269169 2026-07-14 2026-07-14 f https://github.com/j0lt-github/mongobleedburp Burp Suite extension to detect CVE-2025-14847 (MongoBleed) via manual leak tests from a dedicated UI tab. CVE-2025-14847 2 0 0 0 1453011086069898791 +github:1237037761 2026-05-12 2026-05-22 f https://github.com/qi-scape/scan-shai-hulud Detect CVE-2026-45321 Mini Shai-Hulud supply chain compromise — scans for 170 npm + 2 PyPI poisoned packages across TanStack, Mistral AI, UiPath, OpenSearch, Guardrails AI CVE-2026-45321 1 1 0 1 6289673107216185328 +github:462508832 2022-02-22 2022-02-22 f https://github.com/CrackerCat/CVE-2022-24112 Apache APISIX apisix/batch-requests RCE CVE-2022-24112 0 0 0 0 7103333028130880307 +github:920943124 2025-01-30 2026-04-23 f https://github.com/Lercas/CVE-2024-46982 POC CVE-2024-46982 CVE-2024-46982 1 5 1 5 4927570592430758678 +github:1181056864 2026-03-14 2026-03-18 f https://github.com/Cilectiy/CVE-2025-49844 CVE-2025-49844 CVE-2025-49844 0 1 0 1 2780828415089519327 +github:1310305663 2026-07-23 2026-07-23 f https://github.com/s-p4rk/CVE-2018-6574 CVE-2018-6574 0 0 0 0 6223076681901833288 +github:175478558 2019-03-13 2025-10-04 f https://github.com/mpgn/CVE-2019-9580 CVE-2019-9580 - StackStorm: exploiting CORS misconfiguration (null origin) to gain RCE CVE-2019-9580 4 31 1 31 8479193068377263714 +github:780459583 2024-05-05 2024-05-05 f https://github.com/zpxlz/CVE-2024-3094 Obsidian notes about CVE-2024-3094 CVE-2024-3094 0 0 0 0 4364886618350387256 +github:1024961481 2025-07-24 2025-10-09 f https://github.com/xiw1ll/CVE-2024-6387_Checker Nuclei template to detect CVE-2024-6387. All latest patched versions are excluded. CVE-2024-6387 0 1 0 1 4123200789666747024 +github:282880213 2020-07-27 2025-02-04 f https://github.com/DanielHemmati/CVE-2016-2098-my-first-exploit This exploit is remote code execution vulnerability in Ruby-on-Rails when using render on user-supplied data CVE-2016-2098 0 2 1 2 8799087404469257464 +github:1301745093 2026-07-15 2026-07-15 f https://github.com/seqra/cve-2026-58138 CVE-2026-58138 0 0 0 0 6513662609812800075 +github:900230397 2024-12-08 2026-06-25 f https://github.com/D1se0/CVE-2024-23897-Vulnerabilidad-Jenkins CVE-2024-23897 0 4 1 4 4988401266267799842 +github:439430099 2026-04-11 2025-12-20 f https://github.com/nu11secur1ty/CVE-2021-44228-VULN-APP CVE-2021-44228 4 1 0 1 3722879978503614389 +github:130395597 2018-04-20 2018-04-20 f https://github.com/mudhappy/Wordpress-Hack-CVE-2018-6389 CVE-2018-6389 0 0 1 0 6586982242405175004 +github:1020926480 2024-04-25 2025-07-16 f https://github.com/Neo-okami/CVE-2022-35411 rpc.py 0.6.0 - Remote Code Execution (RCE) CVE-2022-35411 0 0 0 0 5364619653279244760 +github:1168657922 2026-03-02 2026-03-02 f https://github.com/JarvisDing-sdu/Yasa-CVE-2023-46229 Python exploit for CVE-2023-46229 with Yasa CVE-2023-46229 1 1 0 1 332240187204704706 +github:613032720 2023-03-17 2024-06-24 f https://github.com/gokul-ramesh/Spring4Shell-PoC-exploit Demonstrable Proof of Concept Exploit for Spring4Shell Vulnerability (CVE-2022-22965) CVE-2022-22965 0 1 1 1 1222673530454922074 +github:809142955 2024-06-05 2024-09-05 f https://github.com/BasyacatX/CVE-2024-32002-PoC_Chinese none CVE-2024-32002 0 2 1 2 7574776254655083372 +github:440555354 2021-12-22 2022-02-24 f https://github.com/mn-io/log4j-spring-vuln-poc POC for CVE-2021-44228 within Springboot CVE-2021-44228 0 1 1 1 4932253357742065551 +github:796592858 2024-05-06 2026-01-10 f https://github.com/MielPopsssssss/CVE-2024-4439 CVE-2024-4439 PoC CVE-2024-4439 0 2 1 2 3126322028522847091 +github:1111654023 2025-12-07 2025-12-08 f https://github.com/hunter24x24/CVE-2025-55182-mass CVE-2025-55182 0 0 0 0 587534199583792759 +github:238993261 2021-09-12 2026-07-29 f https://github.com/saleemrashid/sudo-cve-2019-18634 Proof of Concept for CVE-2019-18634 CVE-2019-18634 49 237 2 237 2322109750684993989 +github:582867088 2023-11-14 2025-10-13 f https://github.com/zangcc/CVE-2022-22965-rexbb CVE-2022-22965\\Spring-Core-RCE核弹级别漏洞的rce图形化GUI一键利用工具，基于JavaFx开发，图形化操作更简单，提高效率。 CVE-2022-22965 15 102 3 102 2745462789308223725 +github:1112390378 2025-12-09 2025-12-09 f https://github.com/lowercasenumbers/CVE-2025-55182 CVE-2025-55182 React2Shell PoC CVE-2025-55182 0 0 0 0 4324079918145293919 +github:295972450 2020-09-16 2020-11-28 f https://github.com/0xcccc666/cve-2020-1472_Tool-collection cve-2020-1472_Tool collection CVE-2020-1472 2 2 1 2 2857513269659346441 +github:471537771 2022-04-05 2026-02-18 f https://github.com/LudovicPatho/CVE-2022-0847_dirty-pipe Hacked up Dirty Pipe (CVE-2022-0847) PoC that hijacks a SUID binary to spawn a root shell. (and attempts to restore the damaged binary as well) CVE-2022-0847 4 10 1 10 8006099837589005871 +github:1257276221 2026-07-18 2026-07-18 f https://github.com/entr0pie/demo-cve-2022-22947 CVE-2022-22947 0 0 0 0 3375258142727780016 +github:1014726969 2025-08-23 2025-08-23 f https://github.com/FreeDurok/CVE-2025-32463-PoC Proof of Concept for CVE-2025-32463 Local privilege escalation exploit targeting sudo -R on vulnerable Linux systems. For educational and authorized security testing only. CVE-2025-32463 0 5 0 5 8056216430625597682 +github:121659152 2018-02-15 2023-08-09 f https://github.com/0x00-0x00/CVE-2017-5638 Struts02 s2-045 exploit program CVE-2017-5638 4 6 0 6 4575088793124039917 +github:253186766 2023-03-08 2025-12-02 f https://github.com/usutani/study-turbolinks-link Known security vulnerabilities detected. CVE-2022-21831 Critical severity CVE-2025-24293 Critical severity CVE-2020-8162 High severity CVE-2024-26144 Moderate severity CVE-2020-8162 0 0 1 0 1208343459245516724 +github:1089318981 2026-03-20 2026-03-20 f https://github.com/havertz2110/CVE-2025-49144-PoC This is my reproduce PoC for CVE-2025-49144 CVE-2025-49144 0 0 0 0 2863543535613926531 +github:1208548123 2026-04-12 2026-04-12 f https://github.com/p1ctur3p3rf3ct/CVE-2025-58434 CVE-2025-58434 PoC CVE-2025-58434 0 0 0 0 8756183965034968667 +github:1285219260 2026-06-30 2026-07-23 f https://github.com/pssec-io/CVE-2026-48907 POC for CVE-2026-48907 CVE-2026-48907 0 1 0 1 8221734990551461529 +github:466595745 2022-03-06 2026-05-10 f https://github.com/faisalfs10x/Webmin-CVE-2022-0824-revshell Webmin <=1.984, CVE-2022-0824 Post-Auth Reverse Shell PoC CVE-2022-0824 33 111 3 111 2518351224942134636 +github:585766378 2023-01-06 2023-01-19 f https://github.com/111ddea/Xstream_cve-2022-41966 CVE-2022-41966 0 3 1 3 7595855280400095536 +github:1186538590 2026-03-19 2026-03-19 f https://github.com/r4vl1t0/CVE-2019-0232 Exploit based in /jaiguptanick/CVE-2019-0232 CVE-2019-0232 0 0 0 0 2719292532690449245 +github:598074036 2023-11-06 2026-07-11 f https://github.com/Sybil-Scan/imagemagick-lfi-poc ImageMagick LFI PoC [CVE-2022-44268] CVE-2022-44268 9 53 0 53 4707601299556295085 +github:982933237 2025-05-13 2026-05-07 f https://github.com/vigilante-1337/CVE-2025-3248 CVE-2025-3248: A critical flaw has been discovered in Langflow that allows malicious actors to execute arbitrary Python code on the target system. This can lead to full remote code execution without authentication, potentially giving attackers control over the server. CVE-2025-3248 0 2 1 2 5258203338007314281 +github:338747744 2021-02-16 2021-02-19 f https://github.com/danielklim/cve-2020-8165-demo CVE-2020-8165 1 1 1 1 838555771531851723 +github:973773497 2025-04-27 2025-12-26 f https://github.com/ajdumanhug/CVE-2022-42092 CVE-2023-46818 Python3 Exploit for Backdrop CMS <= 1.22.0 Authenticated Remote Command Execution (RCE) CVE-2022-42092 1 1 1 1 580336947691092230 +github:893321019 2024-11-24 2024-11-25 f https://github.com/gmikisilva/CVE-2024-33901-ProofOfConcept Short program that demonstrates the vulnerability CVE-2024-33901 in KeePassXC version 2.7.7 CVE-2024-33901 0 2 1 2 7093247975777738858 +github:929099842 2025-02-10 2025-02-10 f https://github.com/morrisel/CVE-2023-26136 This repository contains a solution for the CVE-2023-26136 vulnerability. CVE-2023-26136 0 0 1 0 2780771334815121660 +github:143149359 2018-11-23 2019-04-24 f https://github.com/knqyf263/CVE-2018-11235 CVE-2018-11235 (Git) CVE-2018-11235 0 0 0 0 1940972133633964217 +github:1087071684 2025-10-31 2025-11-06 f https://github.com/adrianmafandy/CVE-2021-41773 CVE-2021-41773 0 1 0 1 1172601114232519827 +github:1273726395 2026-06-18 2026-06-18 f https://github.com/error-inside/CVE-2026-47670 Authenticated Remote Code Execution via loadReader functionName code injection in DbGate CVE-2026-47670 0 0 0 0 5057244066422734897 +github:899289654 2024-12-07 2025-10-05 f https://github.com/ZumiYumi/CVE-2024-50677 This repository presents a proof-of-concept of CVE-2024-50677 CVE-2024-50677 0 1 1 1 537395570511092237 +github:1178375734 2026-03-11 2026-03-20 f https://github.com/sak110/CVE-2025-69219 CVE-2025-69219 3 7 0 7 6396316553685445708 +github:1296297365 2026-07-10 2026-07-10 f https://github.com/oscerd/CVE-2026-40859 Reproducer for CVE-2026-40859 — Apache Camel camel-netty-http / camel-vertx-http producer-side unsafe deserialization of HTTP response bodies (RCE) CVE-2026-40859 0 0 0 0 4540121919689095149 +github:824549009 2024-07-05 2024-07-05 f https://github.com/imv7/CVE-2024-6387 CVE-2024-6387 0 0 1 0 2939520556582680524 +github:375059494 2021-06-08 2022-03-16 f https://github.com/PwCNO-CTO/CVE-2021-21234 Directory traversal vulnerability in the spring-boot-actuator-logview library CVE-2021-21234 0 1 1 1 6877647046901146484 +github:836125410 2024-08-01 2024-08-01 f https://github.com/bananoname/cve-2021-42013 CVE-2021-42013 0 1 1 1 431444227719394272 +github:439151562 2021-12-23 2025-08-27 f https://github.com/suuhm/log4shell4shell Log4shell - Multi-Toolkit. Find, Fix & Test possible CVE-2021-44228 vulneraries - provides a complete LOG4SHELL test/attack environment on shell CVE-2021-44228 0 5 2 5 4896686346579813644 +github:874221105 2024-10-17 2025-08-28 f https://github.com/fazilbaig1/cve_2023_38408_scanner Vulnerability Overview CVE-2023-38408 affects OpenSSH versions < 9.3p2 and stems from improper validation of data when SSH agent forwarding is enabled. When users connect to a remote server with ssh -A, they allow the agent on their local machine to be used for authentication to further systems CVE-2023-38408 0 0 1 0 7747093986965054108 +github:414410579 2021-10-07 2025-08-29 f https://github.com/orangmuda/CVE-2021-41773 Apache HTTPd (2.4.49) – Local File Disclosure (LFI) CVE-2021-41773 2 2 2 2 7358422055316373326 +github:1218652508 2026-04-27 2026-04-29 f https://github.com/klmntbelgium/cve-2021-41773-exploration Recreation and analysis of a curious logic error in Apache 2.4.49 that escalated to remote code execution CVE-2021-41773 0 1 0 1 3458391310297677651 +github:468352446 2022-03-10 2022-03-10 f https://github.com/V0WKeep3r/CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 2 0 1 0 5909060732037735342 +github:797160207 2024-05-07 2025-01-12 f https://github.com/d0rb/CVE-2023-49606 Critical use-after-free vulnerability discovered in Tinyproxy CVE-2023-49606 0 4 2 4 915262651190122550 +github:779793653 2024-03-30 2024-10-01 f https://github.com/Horizon-Software-Development/CVE-2024-3094 CVE-2024-3094 0 2 0 2 1373168439671716108 +github:414592683 2022-11-15 2024-08-12 f https://github.com/noflowpls/CVE-2021-41773 CVE-2021-41773 CVE-2021-41773 1 6 1 6 3596216079574560142 +github:536994874 2022-09-15 2024-11-13 f https://github.com/mightysai1997/cve-2021-42013 CVE-2021-42013 0 0 1 0 3523833813827764524 +github:524526248 2022-08-13 2022-08-15 f https://github.com/DrLinuxOfficial/CVE-2022-33891 CVE-2022-33891 Exploit For Apache Spark CVE-2022-33891 1 1 1 1 6335450027231426711 +github:475918792 2022-04-01 2025-03-09 f https://github.com/Mr-xn/spring-core-rce CVE-2022-22965 : about spring core rce CVE-2022-22965 18 50 1 50 4864921702539778120 +github:744551896 2024-01-29 2024-01-31 f https://github.com/4ARMED/cve-2023-5044 CVE-2023-5044 1 2 0 2 5918538159408626561 +github:1031114894 2025-08-03 2025-08-03 f https://github.com/fluoworite/CVE-2025-48384 PoC for CVE-2025-48384 CVE-2025-48384 0 0 0 0 7961838668032969406 +github:880590271 2024-11-05 2026-03-28 f https://github.com/rohilchaudhry/CVE-2024-48208 This repo contains all the work surrounding the development of the PoC for CVE-2024-48208, and how a simple OOB(Out-of-bound) read can result in jail escapes as well as broken access control. CVE-2024-48208 1 7 1 7 4996986004123474088 +github:846894468 2024-11-05 2026-07-29 f https://github.com/canyie/MagiskEoP Exploit and writeup for installed app to root privilege escalation through CVE-2024-48336 (Magisk Bug #8279), Privileges Escalation / Arbitrary Code Execution Vulnerability CVE-2024-48336 29 201 7 201 5062510090067499602 +github:1044551271 2025-08-25 2025-08-25 f https://github.com/eliox01/CVE-2025-48384 PoC CVE-2025-48384 0 0 0 0 1446454034162432576 +github:748399909 2024-01-25 2024-10-09 f https://github.com/whoami-chmod777/Zerologon-Attack-CVE-2020-1472-POC CVE-2020-1472 0 2 1 2 2704895633601361604 +github:329537345 2021-01-14 2025-12-12 f https://github.com/Maksim-venus/CVE-2021-3019 lanproxy 目录遍历漏洞批量检测用户名密码POC (CVE-2021-3019) CVE-2021-3019 2 3 1 3 3315657260659827016 +github:961480399 2025-05-11 2025-05-11 f https://github.com/Koray123-debug/CVE-2024-34102 CVE-2024-34102 0 0 1 0 5115928291120435635 +github:275351795 2020-06-27 2022-07-02 f https://github.com/ctlyz123/CVE-2020-1948 CVE-2020-1948 7 15 2 15 7324632211973024826 +github:86524301 2017-03-30 2018-03-19 f https://github.com/HaToan/CVE-2016-2173 CVE-2016-2173 3 4 2 4 1871068943835627245 +github:172429144 2019-02-25 2024-08-12 f https://github.com/DevDungeon/CVE-2019-6340-Drupal-8.6.9-REST-Auth-Bypass CVE-2019-6340 Drupal 8.6.9 REST Auth Bypass examples CVE-2019-6340 7 2 1 2 3389120741725396940 +github:1051020962 2025-09-05 2025-09-05 f https://github.com/blackcat4347/CVE-2025-32463_PoC CVE-2025-32463 0 0 0 0 5527357686282407875 +github:1028694417 2025-07-29 2025-07-29 f https://github.com/rockmelodies/bentoml_CVE-2025-54381 Ai相关 CVE-2025-54381 0 0 0 0 2376075146242217944 +github:955519080 2025-03-26 2025-03-26 f https://github.com/aleongx/CVE-2025-29927 Next.js Acceso no autorizado CVE-2025-29927 CVE-2025-29927 0 0 1 0 7452310800670194459 +github:1052814008 2025-09-08 2026-07-13 f https://github.com/watchtowrlabs/watchTowr-vs-FreePBX-CVE-2025-57819 CVE-2025-57819 8 27 0 27 4079457880282367680 +github:955511656 2025-03-26 2026-07-20 f https://github.com/hakaioffsec/IngressNightmare-PoC This is a PoC code to exploit the IngressNightmare vulnerabilities (CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, and CVE-2025-1974). CVE-2025-1097 53 248 3 248 3838069305578920647 +github:325780499 2020-12-31 2020-12-31 f https://github.com/PLP-Orange/cve-2018-6574-exercise CVE-2018-6574 0 0 1 0 4655469828515290370 +github:293086175 2020-09-05 2022-10-13 f https://github.com/anjai94/CVE-2020-9484-exploit CVE-2020-9484 3 6 2 6 264323971278602450 +github:697998333 2023-09-28 2023-10-06 f https://github.com/sromanhu/CVE-2023-44770_ZenarioCMS--Reflected-XSS---Organizer-Alias Zenariocms 9.4.59197 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload to the Spare alias from organizer. CVE-2023-44770 0 0 1 0 7353383256291473717 +github:991746561 2025-05-28 2025-06-30 f https://github.com/SpiralBL0CK/CVE-2024-32462 CVE-2024-32462 code exec sbx escape CVE-2024-32462 0 1 0 1 1882844025458886712 +github:1134153311 2026-01-21 2026-01-21 f https://github.com/maybe-O/CVE-2025-67303 CVE-2025-67303 0 0 0 0 1728302236680316650 +github:829763833 2024-07-17 2024-07-18 f https://github.com/mrtacojr/CVE-2023-38408 Script para eliminar vulnerabilidad de openssh de ubuntu 22.04 LTS CVE-2023-38408 0 1 1 1 6179249160954123509 +github:733839177 2023-12-20 2025-11-20 f https://github.com/Trackflaw/CVE-2023-50164-ApacheStruts2-Docker Vulnerable docker container for Apache Struts 2 RCE CVE-2023-50164 CVE-2023-50164 4 7 1 7 2914907933758819678 +github:366651752 2021-05-12 2025-12-07 f https://github.com/se162xg/CVE-2021-22204 exiftool arbitrary code execution vulnerability CVE-2021-22204 10 12 1 12 8376421655092793473 +github:437244092 2021-12-11 2023-06-20 f https://github.com/byteboycn/CVE-2021-44228-Apache-Log4j-Rce CVE-2021-44228 1 2 1 2 5910008234373271712 +github:582846037 2022-12-27 2023-02-20 f https://github.com/Jajangjaman/CVE-2021-41160 FreeRDP is a free implementation of the Remote Desktop Protocol (RDP), released under the Apache license. In affected versions a malicious server might trigger out of bound writes in a connected client. Connections using GDI or SurfaceCommands to send graphics updates to the client might send `0` width/height or out of CVE project by @Sn0wAlice CVE-2021-41160 4 0 0 0 5738792636604854874 +github:936033062 2025-04-16 2026-06-08 f https://github.com/Sanity-Archive/CVE-2024-23346 PoC of the vulnerability CVE-2024-23346 CVE-2024-23346 0 2 1 2 8312278257260707452 +github:412400011 2021-10-09 2026-01-13 f https://github.com/knqyf263/CVE-2021-3129 PoC for CVE-2021-3129 (Laravel) CVE-2021-3129 3 12 1 12 1559747813325943173 +github:618043888 2023-03-24 2025-04-07 f https://github.com/gobysec/CVE-2023-28432 MiniO verify interface sensitive information disclosure vulnerability (CVE-2023-28432) CVE-2023-28432 0 10 1 10 4511999855567639611 +github:1111755817 2025-12-08 2026-02-27 f https://github.com/Dh4v4l8/CVE-2025-55182-poc-tool CVE-2025-55182 1 3 0 3 635200969543885292 +github:1117306415 2025-12-16 2026-01-14 f https://github.com/cyberleelawat/FreePBX-Multiple-CVEs-2025 This repository documents three security vulnerabilities discovered in FreePBX (CVE-2025-66039, CVE-2025-61678, CVE-2025-61675), including analysis, impact, and proof-of-concept details for security research and awareness purposes. CVE-2025-66039 0 1 0 1 4459673951293408694 +github:1314964913 2026-07-28 2026-07-28 f https://github.com/0xdak/CVE-2025-71389_exploit CVE-2025-71389 0 0 0 0 4943042642005983010 +github:613526720 2023-03-13 2023-03-14 f https://github.com/Syd-SydneyJr/CVE-2021-45010 CVE-2021-45010 0 1 1 1 7030909222859743393 +github:913704023 2025-01-08 2025-01-08 f https://github.com/mithunmadhukuttan/Dirty-Pipe-Exploit The **Dirty Pipe exploit (CVE-2022-0847)** is a Linux kernel vulnerability (v5.8+) allowing unprivileged attackers to overwrite arbitrary files via a flaw in the pipe mechanism. This leads to privilege escalation, granting root access. Similar to Dirty Cow but easier to exploit. Fix: Update to a patched kernel version. CVE-2022-0847 1 0 1 0 8883913069318817651 +github:626193940 2023-04-07 2023-07-25 f https://github.com/cjybao/CVE-2023-1454 jmreport/qurestSql 未授权SQL注入批量扫描poc CVE-2023-1454 0 0 0 0 1563052008276788609 +github:847582059 2024-08-26 2024-08-26 f https://github.com/laxmiyamkolu/SUDO-privilege-escalation Sudo Privilege Escalation: CVE-2023-22809 Simulation This project simulates the Sudo privilege escalation vulnerability (CVE-2023-22809) to demonstrate how unauthorized root access can be gained. It involves identifying and exploiting this vulnerability in a controlled environment using Parrot OS, the Sudo command, and Bash scripting. CVE-2023-22809 2 0 0 0 2926429651523948716 +github:864563382 2024-09-28 2025-08-07 f https://github.com/punitdarji/GeoServer-CVE-2024-36401 GeoServer CVE-2024-36401: Remote Code Execution (RCE) Vulnerability In Evaluating Property Name Expressions CVE-2024-36401 0 1 1 1 8325970748984633963 +github:1158769816 2026-03-14 2026-07-06 f https://github.com/AzureADTrent/CVE-2025-4517-POC Privilege Escalation script for CVE-2025-4517 CVE-2025-4517 0 9 0 9 5775341345253953484 +github:698127324 2023-10-04 2023-09-29 f https://github.com/skulkarni-mv/goIssue_dunfell go CVE-2023-24538 patch issue resolver - Dunfell CVE-2023-24538 0 0 1 0 2031301561807367549 +github:1004146878 2025-06-18 2025-06-18 f https://github.com/uriyahav/tough-cookie-2.5.0-cve-2023-26136-fix ecurity patch for CVE-2023-26136 in tough-cookie 2.5.0 - Prototype pollution vulnerability fix with backward compatibility CVE-2023-26136 0 0 0 0 197025321724988004 +github:1261529108 2026-06-07 2026-06-19 f https://github.com/b4sh2/CVE-2025-57819-poc CVE-2025-57819 -> rce CVE-2025-57819 2 7 0 7 2082193883417797015 +github:1000412976 2025-06-11 2025-06-11 f https://github.com/brunoh6/web-threat-mitigation Hands-on lab on detecting and mitigating web app threats using OWASP ZAP, Burp Suite, and ModSecurity WAF (with OWASP CRS). Case study: Spring4Shell (CVE-2022-22965). Local Docker-based setup. CVE-2022-22965 0 0 0 0 1057238500571315270 +github:627328650 2023-04-13 2023-04-13 f https://github.com/CHINA-china/MinIO_CVE-2023-28432_EXP CVE-2023-28432 0 0 1 0 1542404720317549110 +github:1177314274 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-v1 CVE-2024-34064 demo - v1 genuine fix honest comments CVE-2024-34064 0 0 0 0 2377106670586316459 +github:1281306879 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-33146 A public share looked clean in the page tree, but the search endpoint told a different story. In Docmost, restricted child pages hidden from public share viewers could still leak through public share search results. CVE-2026-33146 0 0 0 0 3990772002212490967 +github:1252559618 2026-07-06 2026-07-13 f https://github.com/portbuster1337/CVE-2026-52806 Gogs RCE via argument injection in git rebase (CWE-88) — Python PoC. CVE-2026-52806 CVE-2026-52806 1 6 0 6 8267425852079512344 +github:780033593 2024-03-31 2024-03-31 f https://github.com/Simplifi-ED/CVE-2024-3094-patcher Ansible playbook for patching CVE-2024-3094 CVE-2024-3094 0 0 1 0 9206461962599759685 +github:369226666 2021-05-20 2021-05-20 f https://github.com/DularaAnushka/Linux-Privilege-Escalation-using-Sudo-Rights CVE-2019-14287 CVE-2019-14287 1 0 1 0 8857842580881230807 +github:1240320933 2026-05-16 2026-06-25 f https://github.com/deaprojects/CVE-2025-70849 CVE-2025-70849: Stored XSS in Podinfo CVE-2025-70849 0 1 0 1 5251591695897649012 +github:1110856080 2025-12-05 2026-05-30 f https://github.com/kindone09/CVE-2025-55182 CVE-2025-55182 0 2 0 2 6650088013727527453 +github:1021005990 2025-07-16 2026-04-28 f https://github.com/Adel2411/cve-2023-38408 An in-depth analysis of CVE 2023 38408, a critical OpenSSH vulnerability, including technical background, exploitation in controlled environments, and mitigation strategies. CVE-2023-38408 0 5 0 5 2871643460658875374 +github:1201414984 2026-04-04 2026-04-04 f https://github.com/ElinaNotElina/cve-2024-3094-analysis CVE-2024-3094 0 0 0 0 8287429276122899117 +github:1186534034 2026-03-20 2026-03-20 f https://github.com/havertz2110/CVE-2024-48510-PoC CVE-2024-48510 0 0 0 0 138124346647448077 +github:235578521 2023-10-13 2023-12-19 f https://github.com/AlterSolutions/PyInstallerPrivEsc Exploit for PyInstaller CVE-2019-16784 CVE-2019-16784 1 1 1 1 3976858812101336501 +github:1292740360 2026-07-10 2026-07-10 f https://github.com/TokyoHunter/CVE-2019-9978-Social-Warfare-WordPress-RCE A complete walkthrough and exploit for CVE-2019-9978 - Unauthenticated Remote Code Execution in Social Warfare WordPress plugin ≤ 3.5.2. Includes vulnerable code analysis and payload examples. CVE-2019-9978 0 0 0 0 433439050839009973 +github:1017245054 2025-07-10 2025-07-10 f https://github.com/testdjshan/CVE-2025-48384 CVE-2025-48384 CVE-2025-48384 0 0 0 0 8440981424758887138 +github:1128894518 2026-01-06 2026-01-06 f https://github.com/MyCompanyOrganization/React2Shell-Kingdom "Once upon a time, the Castle of Reactland trusted all Flight messages... until The Imposter arrived." A storytelling CVE-2025-55182 (React2Shell) demo - Medieval-themed vulnerable React Server Components app for security education. CVE-2025-55182 0 0 0 0 1205793076150178525 +github:438791130 2024-11-29 2026-05-15 f https://github.com/thomaspatzke/Log4Pot A honeypot for the Log4Shell vulnerability (CVE-2021-44228). CVE-2021-44228 30 94 7 94 6271556879397074335 +github:701169649 2026-06-27 2026-06-27 f https://github.com/Tai-e/CVE-2021-44228 Utilize Tai-e to identify the Log4shell (a.k.a. CVE-2021-44228) Vulnerability CVE-2021-44228 1 9 0 9 4100943094020200847 +github:807969410 2024-05-30 2024-06-03 f https://github.com/431m/rcetest CVE-2024-32002 poc test CVE-2024-32002 0 0 1 0 5838509944909809624 +github:817744684 2024-06-20 2025-03-12 f https://github.com/AkashicYiTai/CVE-2019-6250-libzmq CVE-2019-6250 0 1 1 1 8103308495420011957 +github:335050084 2021-02-01 2021-09-28 f https://github.com/SantiagoSerrao/ScannerCVE-2021-3156 CVE-2021-3156 1 1 1 1 6078296531314437308 +github:441453543 2021-12-24 2022-05-09 f https://github.com/Toolsec/log4j-scan CVE-2021-44228 检查工具 CVE-2021-44228 0 0 0 0 7838224314495817025 +github:1177100945 2026-06-23 2026-06-23 f https://github.com/joshualent/django-cve-2025-64459 demo application showing off SQL Injection exploit in django 5.2.7 CVE-2025-64459 0 0 0 0 4000214114261873078 +github:614760486 2023-03-16 2023-08-30 f https://github.com/amr9k8/jwt-spoof-tool Automate JWT Exploit (CVE-2018-0114) CVE-2018-0114 0 0 1 0 2157814695022212396 +github:1291014778 2026-07-06 2026-07-06 f https://github.com/oscerd/CVE-2026-33453 Reproducer for CVE-2026-33453: Apache Camel camel-coap header injection to RCE via camel-exec CVE-2026-33453 0 0 0 0 2357036691749591440 +github:436771097 2023-01-27 2025-07-04 f https://github.com/Glease/Healer Patch up CVE-2021-44228 for minecraft forge 1.7.10 - 1.12.2 CVE-2021-44228 0 19 2 19 4300880510657001612 +github:606665321 2023-02-26 2023-02-26 f https://github.com/orsuprasad/CVE-2022-0847-DirtyPipe-Exploits CVE-2022-0847 1 0 1 0 9145809061503082198 +github:468964454 2022-03-11 2026-02-18 f https://github.com/nanaao/dirtyPipe-automaticRoot CVE-2022-0847 Python exploit to get root or write a no write permission, immutable or read-only mounted file. CVE-2022-0847 5 4 0 4 6703720407611634494 +github:910297086 2024-12-30 2025-01-02 f https://github.com/partywavesec/CVE-2024-54819 CVE-2024-54819 CVE-2024-54819 0 1 1 1 1944087672897952599 +github:1109349830 2025-12-09 2026-07-13 f https://github.com/BankkRoll/Quickcheck-CVE-2025-55182-React-and-CVE-2025-66478-Next.js Script to quick check CVE-2025-55182 (React) and CVE-2025-66478 (Next.js) - Critical unauthenticated RCE vulnerabilities in the React Server Components (RSC) “Flight” protocol. CVE-2025-55182 6 12 1 12 3422064966965321545 +github:1196403524 2026-04-16 2026-04-16 f https://github.com/Astaruf/CVE-2020-13654 CVE-2020-13654 - XWiki Platform < 12.8 - Stored XSS → CSRF → Account Takeover CVE-2020-13654 0 0 0 0 9069960239041650535 +github:1057399420 2025-10-19 2025-10-19 f https://github.com/tcetin704/CVE-2017-12611 CVE-2017-12611 0 0 0 0 5451136009312056777 +github:220178785 2020-03-03 2020-11-23 f https://github.com/phongld97/detect-cve-2018-16858 CVE-2018-16858 1 1 1 1 4633484815952911872 +github:203497733 2019-08-21 2025-03-03 f https://github.com/LeadroyaL/cve-2019-14540-exploit CVE-2019-14540 Exploit CVE-2019-14540 9 21 1 21 4973081883086031577 +github:295716616 2021-04-18 2026-04-20 f https://github.com/NAXG/CVE-2020-1472 CVE-2020-1472复现流程 CVE-2020-1472 1 4 1 4 4749892633736056621 +github:1148221508 2026-02-02 2026-02-02 f https://github.com/alkimcoskun/security-advisories Security advisory for CVE-2025-69848 – Reflected XSS in NetBox ProtectedError handling CVE-2025-69848 0 0 0 0 1689531543289116962 +github:437550473 2021-12-19 2026-07-23 f https://github.com/Malwar3Ninja/Exploitation-of-Log4j2-CVE-2021-44228 IP addresses exploiting recent log4j2 vulnerability CVE-2021-44228 CVE-2021-44228 3 15 3 15 949540710732575924 +github:86415022 2017-03-28 2017-04-14 f https://github.com/opt9/Strutscli Struts2 RCE CVE-2017-5638 CLI shell CVE-2017-5638 0 2 1 2 3464672888801886735 +github:644828521 2023-05-24 2023-05-24 f https://github.com/mnqazi/CVE-2023-2516 Medium Blog CVE-2023-2516 1 0 1 0 8542943093333347057 +github:1113812574 2025-12-10 2025-12-10 f https://github.com/Legus-Yeung/CVE-2025-55182-exploit CVE-2025-55182 0 0 0 0 4353827820178985882 +github:483722584 2022-04-20 2022-04-20 f https://github.com/yavolo/CVE-2018-6574 CVE-2018-6574 0 0 1 0 1094179756348225755 +github:636136004 2023-05-18 2023-05-18 f https://github.com/henry861010/Network_Security_NYCU CVE-2021-21300 CVE-2021-21300 0 0 1 0 2856204982892921750 +github:386012997 2021-07-14 2022-03-04 f https://github.com/simonecris/CVE-2021-42362-PoC Wordpress Most Popular Post plugin vuln CVE-2021-42362 0 0 1 0 9098407399897695030 +github:1112405942 2025-12-08 2025-12-09 f https://github.com/racall/cve-2025-55182-node CVE-2025-55182 Next.js RCE Exploit Tool CVE-2025-55182 0 1 0 1 8694675255028345824 +github:1292063074 2026-07-07 2026-07-07 f https://github.com/RootEvil333/CVE-2022-22965 CVE-2022-22965 CVE-2022-22965 0 0 0 0 9111051788085570222 +github:1256114850 2026-06-08 2026-06-08 f https://github.com/eilam-cell/cve-test-coredns-fork Plan v3 US-6: coredns-style fork fixture for Scanner E2E (CVE-2023-39325) CVE-2023-39325 0 0 0 0 6905946462235135441 +github:989115095 2025-05-24 2025-05-24 f https://github.com/Shuhaib88/Baron-Samedit-Heap-Buffer-Overflow-CVE-2021-3156 CVE-2021-3156 0 0 0 0 3507548788052719646 +github:511264690 2022-07-06 2024-04-16 f https://github.com/PeterThomasAwen/OpenSSLUpgrade1.1.1q-Ubuntu A script to change OpenSSL versions on Ubuntu to 1.1.1q to protect against CVE-2022-2097. CVE-2022-2097 0 0 1 0 5740257048814186677 +github:1036801374 2025-08-13 2025-08-13 f https://github.com/00xCanelo/CVE-2024-47533-PoC CVE-2024-47533 0 1 0 1 2378796180364680359 +github:171668415 2020-06-22 2026-05-04 f https://github.com/twistlock/RunC-CVE-2019-5736 CVE-2019-5736 POCs CVE-2019-5736 34 86 6 86 8168653509957652114 +github:1177612469 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-v6 CVE-2024-34064 demo - v6 sanitisation applied to wrong variable CVE-2024-34064 0 0 0 0 4299557317574658408 +github:1253463410 2026-05-29 2026-05-29 f https://github.com/ex-cal1bur/CVE-2026-44596 YAMCS yamcs-core < 5.12.7 lacks rate limiting on POST /auth/token. An unauthenticated attacker can perform unlimited brute-force attempts against any account. Never returns HTTP 429. Fixed in 5.12.7. CVE-2026-44596 0 0 0 0 7290174995855262257 +github:309601755 2020-11-03 2020-11-03 f https://github.com/ngpentest007/CVE-2019-7356 CVE-2019-7356 0 0 1 0 1491145402472456455 +github:960011728 2025-04-03 2025-04-03 f https://github.com/fahimalshihab/NextBypass Next.js Middleware Authorization Bypass Tool (CVE-2025-29927) CVE-2025-29927 0 0 1 0 5640315891434760709 +github:129910523 2018-06-05 2024-09-26 f https://github.com/wearearima/poc-cve-2018-1273 POC for CVE-2018-1273 CVE-2018-1273 10 24 1 24 3232957438179149356 +github:835505781 2024-07-30 2025-04-03 f https://github.com/A3ST1CODE/CVE_6387 Repository for testing exploiting CVE-2023-6387 using TypeScript and JavaScript. CVE-2023-6387 0 0 1 0 4655747061309752609 +github:846105212 2024-08-23 2024-08-23 f https://github.com/diamorphine666/CVE-2024-7928 CVE-2024-7928 FastAdmin < V1.3.4.20220530 exploit CVE-2024-7928 0 0 1 0 8155004932686219302 +github:536947281 2022-09-15 2022-09-15 f https://github.com/mightysai1997/cve-2021-41773 CVE-2021-41773 0 0 1 0 9207672199954960923 +github:855573158 2024-09-11 2024-09-11 f https://github.com/safeer-accuknox/log4j-shell-poc Log4J exploit CVE-2021-44228 CVE-2021-44228 0 0 1 0 7439111613104020480 +github:723685053 2023-11-26 2023-11-26 f https://github.com/elsvital/cve-2022-33891-fix CVE-2022-33891 0 0 1 0 7760490334359464413 +github:1122744025 2025-12-25 2025-12-26 f https://github.com/AbdulRKB/n8n-RCE Remote Code Execution via n8n Workflows (Based on CVE-2025-68613) CVE-2025-68613 0 0 0 0 8711562056227173220 +github:155115549 2018-11-01 2026-05-09 f https://github.com/Zazzzles/Wordpress-DOS Exploit for vulnerability CVE-2018-6389 on wordpress sites CVE-2018-6389 3 4 1 4 2935527096062225386 +github:323504939 2020-12-22 2020-12-22 f https://github.com/yaunsky/Unomi-CVE-2020-13942 CVE-2020-13942 Apache Unomi 远程代码执行漏洞脚getshell CVE-2020-13942 1 4 1 4 7126781079666835824 +github:784177636 2024-04-09 2024-04-09 f https://github.com/Alexandre-Bartel/CVE-2022-21340 PoC for CVE-2022-21340 CVE-2022-21340 0 0 1 0 3906732146200921811 +github:484091052 2022-04-26 2022-04-25 f https://github.com/mr-r3bot/WSO2-CVE-2022-29464 Pre-auth RCE bug CVE-2022-29464 CVE-2022-29464 1 2 1 2 8600939686249277939 +github:864993211 2024-09-29 2024-09-29 f https://github.com/nma-io/CVE-2024-47176 A simple CVE-2024-47176 (cups_browsed) check tool written in go. CVE-2024-47176 0 0 1 0 6740722409136726253 +github:480771548 2022-04-12 2022-11-09 f https://github.com/Greenwolf/CVE-2022-1175 CVE-2022-1175 1 1 1 1 2901755458282922475 +github:486922280 2022-04-29 2022-04-29 f https://github.com/Enokiy/spring-RCE-CVE-2022-22965 CVE-2022-22965 0 0 1 0 7879848731804720625 +github:199046172 2019-07-28 2025-08-29 f https://github.com/verctor/nexus_rce_CVE-2019-7238 Some debug notes and exploit(not blind) CVE-2019-7238 7 39 1 39 1242362752488032529 +github:776087071 2025-02-13 2025-02-13 f https://github.com/XenoM0rph97/CVE-2024-30896 CVE-2024-30896 1 2 1 2 5684964727282988769 +github:1211181372 2026-04-15 2026-04-18 f https://github.com/maradonam18/-CVE-2025-59528-PoC A simple python script to exploit CVE-2025-59528, this an Authenticated RCE vulnerability in Flowise application, a popular AI tool. That is also used in HTB seasonal challenge. The issue is present in version <= 3.0.5, for more details: https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-3gcm-f6qx-ff7p CVE-2025-59528 0 1 0 1 4626100127152876588 +github:761708390 2024-02-23 2024-02-22 f https://github.com/johnlaurance/CVE-2018-25031-test2 CVE-2018-25031 0 0 1 0 1081492165559696416 +github:622888276 2023-04-03 2023-05-09 f https://github.com/csffs/CVE-2023-24775-and-CVE-2023-24780 my python poc CVE-2023-24774 and CVE-2023-24775 this sqli cve funadmin CVE-2023-24775 2 2 1 2 4574864684728178480 +github:919073460 2025-01-19 2025-01-19 f https://github.com/Youssefdds/CVE-2024-23724 CVE-2024-23724 0 0 1 0 3786291436045067394 +github:98615757 2018-03-28 2018-07-16 f https://github.com/Zer0d0y/Samba-CVE-2017-7494 搭建漏洞利用测试环境 CVE-2017-7494 1 1 1 1 2380307263515206341 +github:221669111 2023-07-28 2024-08-12 f https://github.com/luckybool1020/CVE-2019-16097 Harbor 未授权创建管理员漏洞原理 docker及poc[基于pocsuite框架] CVE-2019-16097 2 2 1 2 3502762881491757157 +github:1048839646 2025-09-02 2025-11-02 f https://github.com/AdnanApriliyansyahh/CVE-2021-41617 CVE-2021-41617 0 2 0 2 1024523110007233947 +github:509190703 2022-12-31 2026-05-01 f https://github.com/efchatz/QUIC-attacks Attacks against QUIC (CVE-2022-30591) CVE-2022-30591 7 27 1 27 3553967343539959613 +github:470128338 2022-03-15 2026-05-13 f https://github.com/MrP1xel/CVE-2022-0847-dirty-pipe-kernel-checker Python script to check if your kernel is vulnerable to Dirty pipe CVE-2022-0847 CVE-2022-0847 1 3 1 3 4640821261411284096 +github:806650830 2024-05-27 2025-10-27 f https://github.com/huyennhat-dev/cve-2023-34040 CVE-2023-34040 0 1 1 1 6042229669557699257 +github:883761601 2025-03-11 2025-03-20 f https://github.com/9carlo6/CVE-2024-23346 This repository contains a Crystallographic Information File (CIF) intended for use on the "Chemistry" machine on Hack The Box (HTB). CVE-2024-23346 1 4 1 4 8199406660865151661 +github:316129966 2020-11-26 2020-11-26 f https://github.com/coollce/CVE-2018-15473_burte openssh<7.7 用户名枚举 CVE-2018-15473 1 0 1 0 6841037549345491040 +github:403614421 2021-09-07 2024-01-14 f https://github.com/j4k0m/CVE-2019-5420 A vulnerability can allow an attacker to guess the automatically generated development mode secret token. CVE-2019-5420 0 5 1 5 7815847693183651234 +github:1155188815 2026-02-14 2026-02-14 f https://github.com/ISabbiI/PoC-Apache-CVE-2021-41773-Infrastructure-LAB CVE-2021-41773 0 0 0 0 918621045591606029 +github:955932927 2026-01-12 2026-01-12 f https://github.com/On1onss/CVE-2025-30208 This exploit is for educational and ethical security testing purposes only. The use of this exploit against targets without prior mutual consent is illegal, and the developer disclaims any liability for misuse or damage caused by this exploit. CVE-2025-30208 0 4 1 4 7646639949789679240 +github:943441763 2025-03-05 2025-03-05 f https://github.com/Fenil2511/CVE-2017-7529-POC POC for CVE-2017-7529 CVE-2017-7529 0 0 1 0 2811048915533116821 +github:882582274 2024-12-07 2025-11-27 f https://github.com/amirzargham/CVE-2024-37383-exploit Roundcube mail server exploit for CVE-2024-37383 (Stored XSS) CVE-2024-37383 1 0 1 0 610715057099419959 +github:1157847378 2026-03-13 2026-06-24 f https://github.com/ANYLNK/STProcessMonitorBYOVD The PoC for CVE-2025-70795 / CVE-2026-0828 and updated driver CVE-2025-70795 8 49 0 49 7751636333569661442 +github:692540184 2023-09-16 2026-03-11 f https://github.com/0xleft/CVE-2019-20372 nginx http request smugling error_page directive CVE-2019-20372 2 6 1 6 1743491731721439170 +github:486401731 2022-04-30 2022-05-09 f https://github.com/YSah44/CVE-2022-28508 CVE-2022-28508 CVE-2022-28508 1 4 1 4 8370649754755631485 +github:1187416198 2026-03-20 2026-03-20 f https://github.com/nebari-playground/langflow-cve-2025-3248 Langflow at pre-CVE-2025-3248 fix commit for variant analysis benchmarking CVE-2025-3248 0 0 0 0 4143064195985203137 +github:596482815 2023-02-02 2023-02-02 f https://github.com/Kimorea/CVE-2020-27955-LFS CVE-2020-27955 0 0 1 0 2787113621783000807 +github:549750916 2022-10-11 2022-10-12 f https://github.com/b4dboy17/Dirty-Pipe-Oneshot Compled version of CVE-2022-0847 aka Dirty Pipe. Just one shot to root them all :D CVE-2022-0847 2 1 1 1 5974541831835350341 +github:825358517 2024-07-27 2025-07-27 f https://github.com/m3m0o/chamilo-lms-unauthenticated-big-upload-rce-poc This is a script written in Python that allows the exploitation of the Chamilo's LMS software security flaw described in CVE-2023-4220 CVE-2023-4220 0 0 1 0 8262243123308008516 +github:825491938 2026-07-15 2026-07-15 f https://github.com/SamJUK/cosmicsting-validator CosmicSting (CVE-2024-34102) POC / Patch Validator CVE-2024-34102 0 0 1 0 7817463983105507727 +github:328567970 2021-01-11 2025-05-07 f https://github.com/Al1ex/CVE-2020-36184 CVE-2020-36184 && Jackson-databind RCE CVE-2020-36184 4 15 1 15 8169713395396582534 +github:1279050103 2026-06-24 2026-06-24 f https://github.com/dfdxarjy/HTB-NanoCorp-CVE-2024-0670 CVE-2024-0670 0 0 0 0 5466764772023951702 +github:283590587 2020-07-29 2022-07-06 f https://github.com/ggolawski/CVE-2020-9495 CVE-2020-9495 1 8 1 8 5687123523379938866 +github:1253936891 2026-06-07 2026-07-18 f https://github.com/calonnuotcabe/CVE-2021-3156 Exploiting heap-based buffer overflow in sudo for privilege escalation CVE-2021-3156 0 2 0 2 1701042088044185697 +github:1283449946 2026-06-29 2026-07-01 f https://github.com/Herick-Costa/CVE-2025-55182-React2Shell-RCE React2Shell (CVE-2025-55182) PoC CVE-2025-55182 0 1 0 1 2474376049788284923 +github:1202156290 2026-04-05 2026-04-05 f https://github.com/rachidafaf/bola-CVE-2023-27524 CVE-2023-27524 0 0 0 0 8698450926534997861 +github:696500172 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44762_ConcreteCMS-Reflected-XSS---Tags Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the Tags from Settings - Tags CVE-2023-44762 0 0 1 0 7006753435316873970 +github:1192491188 2026-03-26 2026-07-01 f https://github.com/zenniskayy2k4/CVE-2024-36039_PoC PoC for CVE-2024-36039: Demonstrating SQL Injection via PyMySQL Object-to-String serialization flaw CVE-2024-36039 0 1 1 1 5387600216785629821 +github:55875332 2016-05-13 2017-04-14 f https://github.com/alexmullins/dsa Analysis of CVE-2016-3959 and a Proof of Concept Attack Against a Go SSH Server. CVE-2016-3959 1 1 1 1 5366750127419488719 +github:1125619355 2025-12-31 2026-02-18 f https://github.com/quyenheu/Bypass-CVE-2025-58360 A new way to exploit CVE-2025-58360 bypass WAF CVE-2025-58360 0 1 0 1 8514917324792398792 +github:668405235 2023-07-21 2023-07-21 f https://github.com/Muhammad-Ali007/Log4j_CVE-2021-44228 CVE-2021-44228 0 0 1 0 5587271719604072578 +github:1027907054 2025-08-24 2025-08-24 f https://github.com/guy2610/tough-cookie-patch-cve-2023-26136 CVE-2023-26136 1 0 0 0 3609944673095233362 +github:780911426 2024-04-02 2024-04-02 f https://github.com/UgOrange/CVE-2022-3172 CVE-2022-3172 0 0 1 0 7576371404531733763 +github:734983177 2023-12-26 2023-12-26 f https://github.com/Mudoleto/Broker_ApacheMQ CVE-2023-46604 - ApacheMQ Version 5.15.5 Vulnerability Machine: Broker CVE-2023-46604 0 0 1 0 1497425014642367571 +github:905333882 2025-12-23 2025-12-23 f https://github.com/mrlihd/CVE-2024-57521-SQL-Injection-PoC CVE-2024-57521 0 0 1 0 1751357196900991439 +github:437560690 2021-12-12 2021-12-12 f https://github.com/lohanichaten/log4j-cve-2021-44228 CVE-2021-44228 0 0 1 0 5364652993690389227 +github:1006983984 2025-06-23 2026-04-11 f https://github.com/dennisec/Mass-CVE-2025-3248 Mass-CVE-2025-3248 CVE-2025-3248 0 3 0 3 4474919561231275344 +github:1261642101 2026-06-07 2026-06-10 f https://github.com/Jeanback1/CVE-2025-57819-exploit FreePBX Pre-Auth SQLi to RCE (CVE-2025-57819) — All-in-One Exploit CVE-2025-57819 0 2 0 2 7722008137156766719 +github:216283040 2019-10-24 2023-05-26 f https://github.com/pquerna/poc-dsa-verify-CVE-2019-17596 Demonstration of Go's dsa.Verify bug (CVE-2019-17596) CVE-2019-17596 0 1 1 1 8451980778363306031 +github:366529600 2021-05-14 2021-12-02 f https://github.com/0xm4ud/Cacti-CVE-2020-8813 CVE-2020-8813 0 1 1 1 412119421733467295 +github:1140502638 2026-01-23 2026-01-23 f https://github.com/nikn0laty/TYPO3-HTML-Sanitizer-XSS-CVE-2023-47125 Stored XSS (exploit) in TYPO3 HTML Sanitizer (CVE-2023-47125). DOM processing instructions are not handled correctly. This allows bypassing the cross-site scripting mechanism of typo3/html-sanitizer. CVE-2023-47125 0 0 0 0 3829771327732661455 +github:1015510123 2025-07-07 2025-07-11 f https://github.com/rvzsec/CVE-2024-9264 Authenticated RCE in Grafana (v11.0) via SQL Expressions - PoC Exploit CVE-2024-9264 0 2 0 2 5339644264527434190 +github:181013087 2025-05-21 2026-04-08 f https://github.com/vulhub/CVE-2017-1000353 jenkins CVE-2017-1000353 POC CVE-2017-1000353 62 57 1 57 3437974370315037 +github:602302259 2023-02-17 2024-01-17 f https://github.com/BKreisel/CVE-2022-41343 🐍 Python Exploit for CVE-2022-23935 CVE-2022-41343 0 3 1 3 1307529256182985532 +github:1192467947 2026-03-27 2026-05-06 f https://github.com/EQSTLab/CVE-2025-24813 Apache Tomcat RCE CVE-2025-24813 0 1 0 1 5888132645850584835 +github:694409949 2023-09-21 2023-09-21 f https://github.com/MateusTesser/CVE-2023-31716 CVE-2023-31716 0 0 1 0 3053889760978717667 +github:1242533759 2026-06-06 2026-06-06 f https://github.com/hnytgl/CVE-2026-42945 这是一个面向防守和内网排查的 CVE-2026-42945 静态检测工具，用于检查 NGINX ngx_http_rewrite_module 相关配置是否存在高风险 rewrite 组合。 CVE-2026-42945 0 1 0 1 478353270495769703 +github:788787763 2024-04-19 2024-04-19 f https://github.com/josemlwdf/CVE-2023-5965 PoC for Espo CRM 7.2.4 CVE-2023-5965 & CVE-2023-5966 CVE-2023-5965 0 0 0 0 3818700817591299323 +github:1110158141 2025-12-04 2025-12-09 f https://github.com/MedusaSH/POC-CVE-2025-55182 PoC CVE-2025-55182 CVE-2025-55182 0 1 0 1 7765289834478188455 +github:1026517643 2025-08-04 2025-08-04 f https://github.com/helloandrewpaul/Session-Fixation-in-Vvveb-CMS-v1.0.6.1 CVE-2025-8517: Session Fixation in Vvveb CMS v1.0.6.1 CVE-2025-8517 0 0 0 0 5961511327480112693 +github:226651675 2019-12-08 2024-08-12 f https://github.com/jra89/CVE-2019-19634 This is a filter bypass exploit that results in arbitrary file upload and remote code execution in class.upload.php <= 2.0.4 CVE-2019-19634 8 36 1 36 7250784237241999334 +github:438032826 2021-12-21 2026-07-21 f https://github.com/back2root/log4shell-rex PCRE RegEx matching Log4Shell CVE-2021-44228 IOC in your logs CVE-2021-44228 30 291 11 291 8804832791244507189 +github:1046083905 2025-08-28 2025-08-28 f https://github.com/zs1n/CVE-2025-29927 PoC | NextJS Middleware 15.2.2 - Authorization Bypass CVE-2025-29927 0 0 0 0 7003678567628655669 +github:821600228 2024-09-05 2025-12-20 f https://github.com/Chocapikk/CVE-2024-34102 CosmicSting (CVE-2024-34102) CVE-2024-34102 9 48 2 48 5131632320659085062 +github:745988276 2024-11-13 2026-03-30 f https://github.com/NishanthAnand21/CVE-2023-4911-PoC Repository containing a Proof of Concept (PoC) demonstrating the impact of CVE-2023-4911, a vulnerability in glibc's ld.so dynamic loader, exposing risks related to Looney Tunables. CVE-2023-4911 1 7 1 7 8618860896122930866 +github:1120921970 2025-12-22 2026-07-13 f https://github.com/rxerium/CVE-2025-68613 Detection for CVE-2025-68613 CVE-2025-68613 3 28 0 28 8882006226766196828 +github:191233980 2019-06-14 2024-08-12 f https://github.com/bananaphones/exim-rce-quickfix quick fix for CVE-2019-10149, works on Debian\\Ubuntu\\Centos CVE-2019-10149 16 22 5 22 6617975824361692892 +github:1109457651 2025-12-03 2025-12-03 f https://github.com/0xDTC/XWiki-Platform-RCE-CVE-2025-24893 CVE-2025-24893 0 0 0 0 6264193600502680459 +github:955984617 2025-03-27 2025-05-05 f https://github.com/nocomp/CVE-2025-29927-scanner python script for evaluate if you are vulnerable or not to next.js CVE-2025-29927 CVE-2025-29927 1 1 1 1 2167383774572383577 +github:876056610 2024-10-21 2024-10-21 f https://github.com/punitdarji/Grafana-CVE-2024-9264 CVE-2024-9264 0 0 1 0 3421911486042159415 +github:955163818 2025-03-24 2025-07-05 f https://github.com/emadshanab/CVE-2025-29927 New nuclei CVE CVE-2025-29927 0 2 0 2 6848376983347349715 +github:838262530 2024-08-05 2025-10-09 f https://github.com/aredspy/CVE-2021-41182-Tester Some test files to make a good nuclei template for a JQuery UI XSS vuln CVE-2021-41182 0 1 1 1 7579742568951705977 +github:647073167 2023-05-30 2025-12-23 f https://github.com/I5N0rth/CVE-2023-33246 CVE-2023-33246 18 62 1 62 2369025289617364679 +github:825723072 2024-07-08 2024-07-08 f https://github.com/unknownzerobit/poc poc for CVE-2024-34102 CVE-2024-34102 0 0 1 0 9076129172228036651 +github:1111107049 2025-12-06 2025-12-06 f https://github.com/KrE80r/CVE-2020-13756-env Vulnerable test environment for CVE-2020-13756 (Sabberworm PHP CSS Parser RCE) CVE-2020-13756 0 0 0 0 14384604306703634 +github:700743029 2023-10-05 2023-10-05 f https://github.com/satyasai1460/CVE-2022-2414 CVE-2022-2414 POC CVE-2022-2414 0 0 1 0 808597575530975466 +github:626287396 2023-04-12 2023-04-11 f https://github.com/leekenghwa/CVE-2023-26852-Textpattern-v4.8.8-and- Textpattern v4.8.8 and Below are vulnerable to Unrestricted File Upload Leading to Remote Code Execution CVE-2023-26852 0 0 1 0 8608019747054668467 +github:998329985 2025-08-05 2025-08-05 f https://github.com/binneko/CVE-2025-46041 CVE-2025-46041 0 0 0 0 3449019911070542659 +github:1110756688 2025-12-05 2025-12-06 f https://github.com/ceortiz33/CVE-2025-55182 Proof of Concept for React2Shell vulnerability CVE-2025-55182 0 1 0 1 5291920184151834332 +github:405715025 2021-09-14 2023-09-08 f https://github.com/j4k0m/CVE-2018-18925 Exploitation of CVE-2018-18925 a Remote Code Execution against the Git self hosted tool: Gogs. CVE-2018-18925 2 7 1 7 7436669553956266444 +github:271655033 2020-06-12 2020-06-12 f https://github.com/it3x55/CVE-2018-6574 Vulnerble-code CVE-2018-6574 0 0 0 0 5863023316089245711 +github:1286536294 2026-07-01 2026-07-01 f https://github.com/m2sousa/CVE-2025-69212 CVE-2025-69212 Proof-of-concept. CVE-2025-69212 0 0 0 0 3924031754534095935 +github:1313499380 2026-07-29 2026-07-29 f https://github.com/KunalKhandelwal-dev/cve-2021-41773-source-code-analysis A Python-based static patch analysis tool for studying the root cause and remediation of CVE-2021-41773 (Apache HTTP Server Path Traversal) by comparing the vulnerable Apache HTTP Server 2.4.49 source code with the patched 2.4.51 implementation. CVE-2021-41773 0 0 0 0 7058934520329615741 +github:564845020 2022-11-11 2026-04-06 f https://github.com/EkamSinghWalia/OpenSSL-Vulnerability-Detection-Script This is an OpenSSL Vulnerability Detection Script for CVE-2022-2274 CVE-2022-2274 0 1 1 1 2717310465505146048 +github:1177314271 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-v4 CVE-2024-34064 demo - v4 subtle vuln good comment CVE-2024-34064 0 0 0 0 8552659350086073103 +github:1251779269 2026-05-27 2026-07-09 f https://github.com/0x00phantom-hat/Hoverfly-1.11.3-RCE-CVE-2025-54123-Exploit CVE-2025-54123 0 1 0 1 6643030173756996607 +github:1102215883 2025-11-24 2026-03-31 f https://github.com/AT190510-Cuong/CVE-2025-65482-XXE- CVE-2025-65482 (XXE) CVE-2025-65482 0 1 0 1 6435145187373918888 +github:972751954 2026-01-08 2025-04-25 f https://github.com/sealldeveloper/CVE-2016-10033-PoC A PoC of CVE-2016-10033 I made for PentesterLab CVE-2016-10033 0 0 1 0 4658482095638220953 +github:341413027 2021-02-23 2024-08-12 f https://github.com/oneoy/CVE-2021-3156 CVE-2021-3156 2 0 1 0 4098690708329957915 +github:170836971 2019-02-15 2024-08-12 f https://github.com/agppp/cve-2019-5736-poc getshell test CVE-2019-5736 6 7 1 7 8032344476612893178 +github:414907601 2021-10-08 2024-08-12 f https://github.com/b1tsec/CVE-2021-41773 A Python script to check if an Apache web server is vulnerable to CVE-2021-41773 CVE-2021-41773 1 0 1 0 3524262600446344391 +github:597257490 2023-12-06 2024-01-14 f https://github.com/jnschaeffer/cve-2022-44268-detector Detect images that likely exploit CVE-2022-44268 CVE-2022-44268 1 5 1 5 3894423141116568044 +github:945180411 2025-03-08 2025-03-08 f https://github.com/sec13b/CVE-2024-45519 Zimbra CVE-2024-45519 CVE-2024-45519 0 0 1 0 6372237332898482094 +github:263372042 2020-05-12 2020-05-12 f https://github.com/Dilshan-Eranda/CVE-2019-10149 SNP Assignment on a Linux vulnerability CVE-2019-10149 0 0 1 0 4257520405793933091 +github:696493859 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44761_ConcreteCMS-Stored-XSS---Forms Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the Form of the Data Objects. CVE-2023-44761 0 0 1 0 5524365542381112225 +github:102714061 2017-09-07 2024-01-11 f https://github.com/hahwul/struts2-rce-cve-2017-9805-ruby cve -2017-9805 CVE-2017-9805 5 3 2 3 5893716226161449543 +github:1086875694 2025-10-31 2025-11-09 f https://github.com/Loaxert/CVE-2024-48990-PoC CVE-2024-48990 0 0 0 0 6141484291572794740 +github:284659197 2019-09-24 2023-01-18 f https://github.com/An0nYm0u5101/enumpossible Checks a list of SSH servers for password-based auth availability and for the existence of SSH user enumeration vulnerability (CVE-2018-15473) in those identified. CVE-2018-15473 0 0 0 0 2367992101762938283 +github:470905781 2022-03-17 2025-03-22 f https://github.com/kavishkagihan/CVE-2022-24112-POC Apache APISIX 2.12.1 Remote Code Execution by IP restriction bypass and using default admin AIP token CVE-2022-24112 0 2 1 2 4627162213602349846 +github:1041514414 2025-08-20 2025-08-20 f https://github.com/shoucheng3/asf__nifi_CVE-2023-36542_1-22-0 CVE-2023-36542 0 0 0 0 8109250777551501302 +github:212626761 2019-10-03 2023-07-02 f https://github.com/MAYASEVEN/CVE-2019-12562 Stored Cross-Site Scripting in DotNetNuke (DNN) Version before 9.4.0 | XSS to RCE CVE-2019-12562 4 8 2 8 2196203050665774230 +github:477136317 2022-04-02 2024-08-12 f https://github.com/Kazaf6s/CVE-2022-23131 CVE-2022-23131漏洞利用工具开箱即用。 CVE-2022-23131 4 11 1 11 7958892997167930953 +github:636441307 2023-05-04 2023-05-04 f https://github.com/BKreisel/CVE-2022-46169 🐍 Python Exploit for CVE-2022-46169 CVE-2022-46169 0 0 1 0 4166020403111837451 +github:930157922 2024-11-22 2025-02-10 f https://github.com/cleanmgr112/cve-2023-38646-poc CVE-2023-38646是Metabase中的一个远程代码执行漏洞。该漏洞源于Metabase在处理未经身份验证的API端点/api/setup/validate时，对JDBC连接字符串的处理存在安全缺陷。攻击者可以通过构造特定的JDBC连接字符串，利用该端点在服务器上执行任意命令，而无需进行身份验证。 CVE-2023-38646 0 0 0 0 3044931139030203661 +github:1035227414 2026-01-26 2026-01-26 f https://github.com/Retro023/CVE-2025-24893-POC A POC for CVE-2025-24893 written in python CVE-2025-24893 0 0 0 0 3527195657368880014 +github:992728004 2026-01-29 2025-05-29 f https://github.com/SugiB3o/vulnerable-nextjs-14-CVE-2025-29927 vulnerable-nextjs-14-CVE-2025-29927 CVE-2025-29927 1 0 0 0 4218053725884680970 +github:1306512592 2026-07-20 2026-07-20 f https://github.com/Dungsocool/CVE-2024-23897 CVE-2024-23897 0 0 0 0 1652083109714350961 +github:423517851 2022-01-23 2022-08-21 f https://github.com/sharkmoos/Baron-Samedit Exploit and Demo system for CVE-2021-3156 CVE-2021-3156 0 0 1 0 3903531687880901887 +github:685257815 2023-08-30 2023-08-30 f https://github.com/necroteddy/CVE-2023-27524 CVE-2023-27524 CVE-2023-27524 0 0 1 0 3173410140193830466 +github:1114940905 2025-12-12 2025-12-12 f https://github.com/rahul-securify/React2Shell-CVE-2025-55182 CVE-2025-55182 0 0 0 0 7997627851706859136 +github:459806805 2023-01-14 2022-02-16 f https://github.com/s-retlaw/l4srs Rust implementation of the Log 4 Shell (log 4 j - CVE-2021-44228) CVE-2021-44228 0 0 2 0 4247013553912525683 +github:1116409915 2025-12-14 2025-12-14 f https://github.com/Loliverte/Log4j-Vulnerability Étude technique et mise en œuvre d'un environnement de test pour la faille Apache Log4j (CVE-2021-44228). Contient un Proof of Concept (PoC) Dockerisé et une proposition de mise à jour de PSSI. Pour un objectif de TP CVE-2021-44228 0 0 0 0 8176947215237792821 +github:845028851 2024-08-20 2024-11-04 f https://github.com/RedTeam-Rediron/CVE-2020-1938 CVE-2020-1938 0 0 1 0 6377598012405922065 +github:374593523 2021-06-07 2024-07-05 f https://github.com/frenzymadness/CVE-2021-3572 A simple repository helping to test CVE-2021-3572 in PyPA/pip CVE-2021-3572 1 2 1 2 6081117563912883572 +github:770828784 2024-03-12 2024-03-12 f https://github.com/kitodd/CVE-2024-0713 CVE-2024-0713 0 0 1 0 1223016661767162604 +github:903920080 2024-12-15 2024-12-16 f https://github.com/L3ster1337/Poc-CVE-2024-21542 CVE-2024-21542 0 1 1 1 7932006509119362728 +github:198939305 2022-11-16 2025-05-07 f https://github.com/MagicZer0/Jackson_RCE-CVE-2019-12384 CVE-2019-12384 漏洞测试环境 CVE-2019-12384 4 21 0 21 5821073194315524094 +github:647628006 2023-06-01 2024-11-16 f https://github.com/4mazing/CVE-2023-33246-Copy CVE-2023-33246 3 2 1 2 5967996845099657585 +github:153681539 2018-10-23 2018-10-23 f https://github.com/cve-2018/cve-2018-10933 CVE-2018-10933 0 0 0 0 630568908980066717 +github:1022893911 2025-07-20 2025-07-20 f https://github.com/Thekin-ctrl/CVE-2025-27591-Below CVE-2025-27591 0 0 0 0 4835140273329255708 +github:1109912949 2025-12-05 2025-12-08 f https://github.com/c0rydoras/CVE-2025-55182 some notes && (somewhat?) poc-adjacent stuff for CVE-2025-55182 CVE-2025-55182 0 4 1 4 5520640239536598604 +github:1126471907 2026-07-27 2026-07-27 f https://github.com/captain4554/CVE-2025-55182-Scanner 🛡️ Scan and assess vulnerabilities in Next.js/Waku with the CVE-2025-55182-Scanner, combining static and dynamic analysis for robust security. CVE-2025-55182 0 1 0 1 1822992167529748771 +github:516065519 2022-07-25 2024-08-12 f https://github.com/keven1z/CVE-2021-22205 CVE-2021-22205 检测脚本,支持getshell和命令执行 CVE-2021-22205 3 12 1 12 5414866060915959550 +github:729969528 2023-12-10 2023-12-10 f https://github.com/qailanet/cve-2022-41352-zimbra-rce CVE-2022-41352 0 0 1 0 4447474358351282517 +github:1309015933 2026-07-22 2026-07-22 f https://github.com/ozcanpng/CVE-2024-9264 CVE-2024-9264 Grafana SQL Expressions DuckDB LFI/RCE PoC CVE-2024-9264 0 0 0 0 1414701256602193699 +github:1109576518 2025-12-04 2026-07-21 f https://github.com/heiheishushu/rsc_detect_CVE-2025-55182 For CVE-2025-55182 and CVE-2025-66478 Security Response CVE-2025-55182 1 8 0 8 3947025533012174991 +github:1284993453 2026-06-30 2026-06-30 f https://github.com/Sadz1d/IS Ovaj sto se skida isto ovaj s metasplotiom kucas msf console pa onda search CVE-2017-7494 pa use exploit/linux/samba/is_known_pipeline pa show options pa set RHOSTS (ip servera) set RPORt 445 (port za tu ranjivist) SET payload linux/x86/meterpreter/reverse_tcp SET LHOST ip kalija SET LORT 4444 pa exploit i ako je ranjiv dobijemo sesiju CVE-2017-7494 0 0 0 0 2583902906511099082 +github:216505019 2019-12-20 2026-07-29 f https://github.com/mpgn/CVE-2019-7609 RCE on Kibana versions before 5.6.15 and 6.6.0 in the Timelion visualizer CVE-2019-7609 12 57 2 57 2228977225645345598 +github:681256401 2023-08-21 2024-08-12 f https://github.com/mateusz834/CVE-2023-29409 CVE-2023-29409 reproducer CVE-2023-29409 1 1 1 1 8839604919451412175 +github:1176497163 2026-03-09 2026-03-09 f https://github.com/Remnant-DB/CVE-2024-6387 OpenSSH regreSSHion (CVE-2024-6387) Lab CVE-2024-6387 0 0 0 0 6088337430511481145 +github:93710291 2017-06-08 2017-06-08 f https://github.com/riyazwalikar/struts-rce-cve-2017-5638 Struts-RCE CVE-2017-5638 CVE-2017-5638 2 1 1 1 8914622413460022834 +github:414402542 2021-10-12 2024-08-12 f https://github.com/jheeree/Simple-CVE-2021-41773-checker Simple script realizado en bash, para revisión de múltiples hosts para CVE-2021-41773 (Apache) CVE-2021-41773 3 2 1 2 633301792448862361 +github:1124580827 2026-01-03 2026-06-08 f https://github.com/Security-Phoenix-demo/mongobleed-exploit-CVE-2025-14847 Exploit lab, docker and code scanner for mongobleed Vulnerability CVE-2025-14847 plus Phoenix Security Sync tools CVE-2025-14847 2 13 0 13 5146180161540696283 +github:234716899 2020-01-18 2020-01-18 f https://github.com/No1zy/CVE-2018-6574-PoC CVE-2018-6574 0 0 1 0 8509844163544628491 +github:929093401 2025-02-07 2026-05-16 f https://github.com/Snizi/Moodle-CVE-2024-43425-Exploit CVE-2024-43425 2 3 1 3 3231727028323711654 +github:1311174228 2026-07-24 2026-07-24 f https://github.com/kos2001/code-shield Evidence-driven C/C++ vulnerability remediation pipeline + http-parser case study (CVE-2024-22019-class). Python core, React 19 console, 17-test verification suite. CVE-2024-22019 0 0 0 0 4444730515298929963 +github:1237366425 2026-05-13 2026-05-13 f https://github.com/panchocosil/verify-ghsa-c4j6-fc7j-m34r OOB verifier for GHSA-c4j6-fc7j-m34r / CVE-2026-44578 (Next.js WebSocket-upgrade SSRF) CVE-2026-44578 0 0 0 0 3517053860484118461 +github:281225112 2020-07-20 2020-07-20 f https://github.com/illnino/CVE-2018-6574 CVE-2018-6574 0 0 1 0 7467453334765583835 +github:949410559 2025-03-16 2026-02-05 f https://github.com/charis3306/CVE-2025-24813 CVE-2025-24813利用工具 CVE-2025-24813 0 16 1 16 3082060483604369656 +github:1115894018 2025-12-14 2025-12-14 f https://github.com/NoSpaceAvailable/CVE-2017-9805_example_build Example web application that run on struts2 REST plugin 2.5.8, for demonstration purpose only CVE-2017-9805 0 0 0 0 2209173236909305601 +github:400256321 2021-08-26 2021-08-26 f https://github.com/jptr218/openssh_dos A proof of concept for CVE-2016-6515 CVE-2016-6515 0 1 1 1 2555825110384366821 +github:186706555 2019-05-14 2019-05-14 f https://github.com/s0/rsyslog-librelp-CVE-2018-1000140-fixed CVE-2018-1000140 0 0 0 0 3541544311388828078 +github:1247126437 2026-05-23 2026-06-03 f https://github.com/ridhinva/npm-tar-path-traversal-scanner CVE-2026-31802 - npm tar path traversal vulnerability scanner CVE-2026-31802 0 0 0 0 9199625444810263820 +github:1192009811 2026-03-25 2026-06-01 f https://github.com/K3rn3l-32/Threaded-CVE-2018-15473 A Python 3 reimplementation of the classic CVE-2018-15473 OpenSSH user enumeration exploit, extended with multi-threading, wordlist support, automatic vulnerability detection, and thread-safe exploit patching. CVE-2018-15473 0 2 0 2 5500262538961711078 +github:123796262 2020-10-01 2026-06-07 f https://github.com/s0md3v/Shiva Improved DOS exploit for wordpress websites (CVE-2018-6389) CVE-2018-6389 63 130 12 130 4760948708750117159 +github:470095423 2022-03-15 2024-08-12 f https://github.com/NHPT/CVE-2022-24086-RCE CVE-2022-24086 2 0 0 0 4278840325146325961 +github:989327326 2025-05-23 2025-05-23 f https://github.com/fatkz/CVE-2022-24112 CVE-2022-24112 0 0 0 0 8585968710769253502 +github:469838090 2022-03-14 2022-03-14 f https://github.com/trickstersec/CVE-2019-5420 Exploit for the Rails CVE-2019-5420 CVE-2019-5420 0 0 1 0 4931842928480034277 +github:319951353 2020-12-09 2021-09-09 f https://github.com/pazeray/CVE-2020-17533 CVE-2020-17533 0 0 0 0 6889549346460951591 +github:1285437099 2026-06-30 2026-07-11 f https://github.com/AlexanderGumeniuk/CVE-2025-32434 CVE-2025-32434 0 1 0 1 4259663451116933024 +github:1283307964 2026-06-28 2026-07-23 f https://github.com/c0gnit00/CVE-2026-69212 Python poc, exploit for CVE-2025-69212 CVE-2025-69212 0 2 0 2 4369559988127879454 +github:1150364522 2026-07-26 2026-06-30 f https://github.com/adibirzu/openclaw-security-monitor Proactive security monitoring for OpenClaw deployments. Detects ClawHavoc, AMOS stealer, CVE-2026-25253, memory poisoning, and supply chain attacks. CVE-2026-25253 5 48 0 48 2945425531823713952 +github:437820134 2021-12-13 2022-09-05 f https://github.com/lov3r/cve-2021-44228-log4j-exploits CVE-2021-4428 复现 CVE-2021-44228 0 0 1 0 6643345445439541183 +github:892084521 2024-11-21 2024-11-21 f https://github.com/w0r1i0g1ht/CVE-2024-4439 CVE-2024-4439 docker and poc CVE-2024-4439 0 0 1 0 3146062675948696989 +github:211268436 2019-09-27 2024-08-12 f https://github.com/ACINQ/detection-tool-cve-2019-13000 A tool that detect if your node has been victim of the invalid funding tx attack. CVE-2019-13000 1 0 2 0 3345821723994312529 +github:1301331457 2026-07-15 2026-07-15 f https://github.com/meng-security/spring4shell-local-verification-lab Spring Framework CVE-2022-22965 本地影响条件验证、版本升级修复与复测项目 CVE-2022-22965 0 0 0 0 6423452724529343716 +github:810236071 2024-06-04 2024-06-04 f https://github.com/junnythemarksman/CVE-2023-30547 CVE-2023-30547 0 0 1 0 3498589555057373697 +github:93424064 2021-03-09 2026-07-29 f https://github.com/joxeankoret/CVE-2017-7494 Remote root exploit for the SAMBA CVE-2017-7494 vulnerability CVE-2017-7494 74 259 1 259 1732463734753132058 +github:608740009 2023-03-02 2024-07-19 f https://github.com/1fabunicorn/SnakeYAML-CVE-2022-1471-POC Code for veracode blog CVE-2022-1471 4 8 1 8 5009851414864555037 +github:1126684791 2026-01-02 2026-01-02 f https://github.com/HackIndex-io/React2Shell-CVE-2025-55182 A HackIndex.io sandbox environment for the React2Shell vulnerability. CVE-2025-55182 0 0 0 0 180880433277513699 +github:1282440666 2026-07-12 2026-07-12 f https://github.com/dddo0/CVE-2018-1000533 CVE-2018-1000533 0 0 0 0 9144268160588585124 +github:133268202 2018-05-18 2026-07-29 f https://github.com/can1357/CVE-2018-8897 Arbitrary code execution with kernel privileges using CVE-2018-8897. CVE-2018-8897 94 422 15 422 8794171136700927327 +github:976937130 2025-05-03 2026-06-13 f https://github.com/ByteMe1001/CVE-2020-13151-POC-Aerospike-Server-Host-Command-Execution-RCE- CVE-2020-13151 0 1 1 1 5293224490539333798 +github:361587735 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32161 Exploiting a Reflected Cross-Site Scripting (XSS) attack to get a Command Injection through the Webmin's File Manager feature CVE-2021-32161 0 0 1 0 4428600157680136457 +github:474547570 2022-06-10 2022-03-27 f https://github.com/warmachine-57/CVE-2021-44117 CVE-2021-44117 0 0 2 0 7674705312783209080 +github:442073643 2022-08-23 2021-12-27 f https://github.com/mazhar-hassan/log4j-vulnerability Log4Shell (CVE-2021-44228) is a zero-day vulnerability in Log4j CVE-2021-44228 0 0 1 0 2397978749544228821 +github:602058639 2023-01-27 2023-02-20 f https://github.com/Lixterclarixe/CVE-2020-11019 In FreeRDP less than or equal to 2.0.0, when running with logger set to "WLOG_TRACE", a possible crash of application could occur due to a read of an invalid array index. Data could be printed as string to local terminal. This has been fixed in 2.1.0. CVE project by @Sn0wAlice CVE-2020-11019 0 0 0 0 4316349952079121083 +github:437562080 2021-12-19 2026-06-18 f https://github.com/authomize/log4j-log4shell-affected Lists of affected components and affected apps/vendors by CVE-2021-44228 (aka Log4shell or Log4j RCE). This list is meant as a resource for security responders to be able to find and address the vulnerability CVE-2021-44228 8 52 22 52 688842750649294941 +github:1111506952 2025-12-07 2025-12-07 f https://github.com/ahmedshamsddin/CVE-2025-55182 CVE-2025-55182 0 0 0 0 4129058152707848797 +github:333316985 2021-01-27 2026-01-23 f https://github.com/crisprss/Laravel_CVE-2021-3129_EXP CVE-2021-3129 7 18 2 18 1076192243519914697 +github:818063757 2024-06-23 2024-11-08 f https://github.com/crumbledwall/CVE-2024-37759_PoC PoC of CVE-2024-37759 CVE-2024-37759 0 5 1 5 3869642112877936170 +github:823340268 2024-07-02 2026-06-22 f https://github.com/grupooruss/CVE-2024-6387 regreSSHion vulnerability in OpenSSH CVE-2024-6387 Testing Script CVE-2024-6387 0 2 1 2 5772794623704955215 +github:1281320537 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-34212 Docmost accepted a javascript: URL inside an attachment node, preserved it through storage and rendering, and turned it back into a clickable anchor in the Docmost origin. CVE-2026-34212 0 0 0 0 2889479939004662531 +github:175109773 2019-03-12 2019-04-15 f https://github.com/josehelps/cve-2019-6340-bits Bits generated while analyzing CVE-2019-6340 Drupal RESTful RCE CVE-2019-6340 0 0 2 0 961117220335152357 +github:1249081612 2026-05-30 2026-07-13 f https://github.com/Jenderal92/CVE-2025-55182-React2shell CVE-2025-55182 Exploit Tool – Python 2.7 exploit for Next.js prototype pollution leading to RCE CVE-2025-55182 1 6 0 6 469330358797209252 +github:1249153133 2026-06-01 2026-06-01 f https://github.com/HAERIN-L/POC_CVE-2026-42880 CVE-2026-42880 0 0 0 0 2094939956939515648 +github:523140464 2022-08-10 2022-08-10 f https://github.com/markisback/CVE-2018-6574 CVE-2018-6574 0 0 1 0 4339891695021406238 +github:680228161 2023-08-18 2023-08-18 f https://github.com/Pandante-Central/CVE-2023-24329-codeql-test CVE-2023-24329 0 0 0 0 725012948636119780 +github:575289853 2022-12-07 2023-03-28 f https://github.com/imjdl/CVE-2022-46169 CVE-2022-46169 CVE-2022-46169 0 0 0 0 8743923109259493136 +github:749172653 2024-03-16 2026-05-23 f https://github.com/wjlin0/CVE-2024-23897 CVE-2024-23897 - Jenkins 任意文件读取 利用工具 CVE-2024-23897 10 86 1 86 1357344740955237567 +github:1119707043 2025-12-20 2025-12-23 f https://github.com/shubham-01-star/OpsGuard-simulation OpsGuard eliminates the "3 AM PagerDuty" nightmare, specifically protecting against threats like the recent CVE-2025-55184 (Next.js DoS) CVE-2025-55184 0 1 0 1 1686275109252921072 +github:891621160 2024-11-22 2025-11-20 f https://github.com/Trackflaw/CVE-2024-10924-Wordpress-Docker Vulnerable docker container for Really Simple Security (Free, Pro, and Pro Multisite) 9.0.0 – 9.1.1.1 – Authentication Bypass CVE-2023-50164 CVE-2023-50164 6 3 1 3 746239571008284758 +github:1103425957 2025-11-24 2025-11-24 f https://github.com/SallyXVIII/Final-Proj In theory, we exploit cve-2025-2598. Hope it works CVE-2025-2598 0 0 0 0 3474008176350614321 +github:1109842202 2025-12-04 2026-05-06 f https://github.com/oways/React2shell-CVE-2025-55182-checker CVE-2025-55182 0 2 0 2 3156161876274575058 +github:124935868 2018-03-12 2019-03-03 f https://github.com/FixYourFace/SpringBreakPoC PoC for SpringBreak (CVE-2017-8046) CVE-2017-8046 0 1 2 1 1124028481569112559 +github:316623697 2020-11-28 2022-06-16 f https://github.com/jongmartinez/-CVE-2017-9805- Exploit script for Apache Struts2 REST Plugin XStream RCE (‎CVE-2017-9805) CVE-2017-9805 0 1 1 1 1437841061648515651 +github:921821737 2025-01-24 2025-01-25 f https://github.com/zora-beep/CVE-2023-4220 Exploit for CVE-2023-4220 CVE-2023-4220 0 1 1 1 692417579605667893 +github:155528435 2018-11-12 2026-07-17 f https://github.com/hikame/CVE-2018-17144_POC Put the *.py files to test/functional folder of bitcoin sourcecode (commit: 4901c00792c1dabae4bb01e6373c9b1ed9ef3008) CVE-2018-17144 6 8 1 8 6810085359531423462 +github:863005801 2024-09-25 2024-09-25 f https://github.com/Disturbante/CVE-2020-9484 Bash POC for CVE-2020-9484 that i used in tryhackme challenge CVE-2020-9484 0 0 1 0 6886207814172755406 +github:1078864349 2025-10-18 2025-10-18 f https://github.com/nyambiblaise/Domain-Controller-DC-Exploitation-with-Metasploit-Impacket End-to-end Domain Controller exploitation using Metasploit and Impacket: discovered DC10, exploited Zerologon (CVE-2020-1472), extracted NTLM hashes, gained SYSTEM shell, and established a Meterpreter session. CVE-2020-1472 0 0 0 0 4648517300752664838 +github:362903981 2021-04-30 2025-09-03 f https://github.com/LioTree/CVE-2021-30128-EXP CVE-2021-30128 12 21 1 21 1758770179372023054 +github:848391001 2024-08-27 2024-08-27 f https://github.com/qrxnz/CVE-2023-4220 CVE-2023-4220 Chamilo Exploit CVE-2023-4220 0 0 1 0 2949699001011215018 +github:975630523 2025-04-30 2025-04-30 f https://github.com/yen5004/CVE-2024-40635_POC Proof of Concept code for proving CVE-2024-40635 vulnerability CVE-2024-40635 0 0 1 0 8381742788667677322 +github:956675040 2025-03-28 2025-05-14 f https://github.com/rjhaikal/POC-IngressNightmare-CVE-2025-1974 POC IngressNightmare (CVE-2025-1974), modified from https://github.com/yoshino-s/CVE-2025-1974 CVE-2025-1974 0 1 1 1 7597227842323812611 +github:313061696 2020-11-15 2020-11-16 f https://github.com/filipsedivy/CVE-2020-15227 CVE-2020-15227 checker CVE-2020-15227 1 1 1 1 1521853668665533240 +github:967547393 2025-04-16 2025-04-16 f https://github.com/zeeshangondal/c-cpp_CVE-2018-17229 CVE-2018-17229 0 0 1 0 8231942677946036197 +github:1310207070 2026-07-23 2026-07-23 f https://github.com/abdullah50i/internal-penetration-testing-project-using-Metasploit Initialized & connected PostgreSQL to Metasploit. Reconnoitered 10.1.16.0/24 with Nmap and imported results. Enumerated hosts/services using SYN, SMB & LDAP scanners. Exploited DC10 via ZeroLogon (CVE-2020-1472), dumped AD NTLM hashes with Impacket, performed Pass-the-Hash, then gained a Meterpreter reverse shell. CVE-2020-1472 0 0 0 0 361136947139357660 +github:414878778 2021-10-28 2021-10-28 f https://github.com/corelight/CVE-2021-41773 A Zeek package which raises notices for Path Traversal/RCE in Apache HTTP Server 2.4.49 (CVE-2021-41773) and 2.4.50 (CVE-2021-42013) CVE-2021-41773 2 1 6 1 2604174741499353845 +github:815463201 2024-06-15 2024-06-15 f https://github.com/MiningBot-eth/CVE-2023-51385-exploit CVE-2023-51385 0 0 1 0 5380944013842385292 +github:845361466 2024-08-21 2024-08-21 f https://github.com/200101WhoAmI/CVE-2024-27088 redos CVE-2024-27088 0 0 1 0 3894690754884893262 +github:1297373740 2026-07-12 2026-07-12 f https://github.com/Lim-ahmin/CVE-2021-43798 CVE-2021-43798 0 0 0 0 8276012556721953208 +github:423893864 2021-11-02 2022-11-09 f https://github.com/mari6274/oauth-client-exploit Applications that reproduce CVE-2021-22119 CVE-2021-22119 2 1 1 1 5355048004638589044 +github:515929949 2022-09-07 2025-10-25 f https://github.com/miko550/CVE-2022-29078 vuln ejs 3.1.6 docker CVE-2022-29078 2 8 1 8 4762262233518485887 +github:881924384 2024-11-09 2024-11-27 f https://github.com/m3ssap0/wordpress-jetpack-broken-access-control-exploit Exploits Jetpack < 13.9.1 broken access control (CVE-2024-9926). CVE-2024-9926 0 3 1 3 5267228360244305685 +github:331887269 2021-01-22 2024-08-12 f https://github.com/Al1ex/CVE-2020-26258 CVE-2020-26258 && XStream SSRF CVE-2020-26258 2 0 1 0 7175706389001464185 +github:476546576 2023-01-31 2022-04-01 f https://github.com/likewhite/CVE-2022-22965 CVE-2022-22965 EXP CVE-2022-22965 0 3 1 3 2068365069523927482 +github:1287737213 2026-07-03 2026-07-03 f https://github.com/qwqqaqqwq00/opensource_defect_repair_cc Redis 7.0.0 核心模块重构与漏洞修复交付（重构 sds/adlist/intset/listpack，相似度≤20%；修复 CVE-2023-25155/28856、CVE-2024-31449、CVE-2022-36021、CVE-2022-31144 等漏洞） CVE-2022-36021 0 0 0 0 316932671624720293 +github:1100213523 2025-11-21 2026-02-13 f https://github.com/drackyjr/cve-2025-3248-exploit A comprehensive Python exploitation framework for testing and demonstrating CVE-2025-3248, a critical unauthenticated remote code execution vulnerability in Langflow versions ≤ 1.3.0. CVE-2025-3248 0 3 0 3 3766164384815888518 +github:1031534389 2025-10-05 2025-10-05 f https://github.com/Sorrence/CVE-2021-44228 A simple Log4j PoC written in Go CVE-2021-44228 0 0 0 0 6979153996612906402 +github:517543911 2022-07-25 2026-07-07 f https://github.com/ly1g3/Joplin-CVE-2022-35131 Joplin CVE-2022-35131, RCE CVE-2022-35131 2 3 1 3 4147999691539745158 +github:1013433316 2025-07-03 2025-07-03 f https://github.com/mylovem313/CVE-2025-32462 CVE-2025-32462 exploit code CVE-2025-32462 1 0 0 0 2791826500704106491 +github:315330199 2020-11-25 2020-11-25 f https://github.com/1stPeak/CVE-2018-15473 CVE-2018-15473 0 0 1 0 8172616493184514306 +github:331896682 2021-01-22 2024-08-12 f https://github.com/Al1ex/CVE-2020-26259 CVE-2020-26259 &&XStream Arbitrary File Delete CVE-2020-26259 1 1 1 1 2463820577156252452 +github:958791847 2025-04-01 2025-04-01 f https://github.com/0xb1lal/CVE-2025-29927 Next.js CVE-2025-29927 güvenlik açığı hakkında CVE-2025-29927 0 0 1 0 4328890103038712607 +github:344944105 2021-03-05 2021-03-05 f https://github.com/z3bd/CVE-2017-9805 struts2-rest-showcase 2.5.10 CVE-2017-9805 0 0 1 0 7714882179587594053 +github:212888337 2023-07-13 2019-10-04 f https://github.com/ztgrace/CVE-2019-5418-Rails3 Rails 3 PoC of CVE-2019-5418 CVE-2019-5418 1 0 1 0 699502391175547559 +github:216602890 2023-08-29 2026-07-29 f https://github.com/LandGrey/CVE-2019-7609 exploit CVE-2019-7609(kibana RCE) on right way by python2 scripts CVE-2019-7609 63 166 6 166 8367082408525026628 +github:630673981 2023-04-21 2023-04-27 f https://github.com/MatanelGordon/docker-cve-2021-41773 A little demonstration of cve-2021-41773 on httpd docker containers CVE-2021-41773 0 0 1 0 5421236307663861216 +github:867190495 2024-10-03 2026-05-18 f https://github.com/l0n3m4n/CVE-2024-47176 Unauthenticated RCE on cups-browsed (exploit and nuclei template) CVE-2024-47176 1 17 2 17 5837496686084464351 +github:1031114965 2025-08-03 2025-08-03 f https://github.com/fluoworite/CVE-2025-48384-sub CVE-2025-48384 0 0 0 0 5453507861319384321 +github:136300278 2018-06-06 2018-06-06 f https://github.com/Kiss-sh0t/CVE-2018-11235-poc for git v2.7.4 CVE-2018-11235 0 0 1 0 7673712681044893437 +github:597160092 2023-02-03 2023-11-07 f https://github.com/agathanon/cve-2022-44268 Payload generator and extractor for CVE-2022-44268 written in Python. CVE-2022-44268 1 4 1 4 2620530167400894803 +github:793734104 2025-01-31 2025-10-01 f https://github.com/Lavender-exe/CVE-2024-29296-PoC User Enumeration through response time difference CVE-2024-29296 0 1 1 1 74487716344381046 +github:1123721341 2025-12-27 2025-12-27 f https://github.com/anonnymous5/1Panel-CVE-2025-54424- CVE-2025-54424 0 0 0 0 6263910442522288508 +github:754493683 2024-02-08 2024-02-08 f https://github.com/user0x1337/CVE-2023-30547 PoC to CVE-2023-30547 (Library vm2) CVE-2023-30547 0 0 1 0 6613302652336917451 +github:959322341 2025-04-02 2025-04-02 f https://github.com/corsisechero/CVE-2020-13942byVulHub CVE-2020-13942 0 0 1 0 231191188110620910 +github:1304475624 2026-07-18 2026-07-18 f https://github.com/arpitgupta369/log4shell-scanner Lightweight scanner that detects vulnerable Log4j versions and Log4Shell (CVE-2021-44228) indicators in a filesystem tree. CVE-2021-44228 0 0 0 0 3414295755406633090 +github:843137855 2024-08-15 2024-08-26 f https://github.com/njmbb8/CVE-2024-42850 An issue in Silverpeas v6.4.2 and lower allows for the bypassing of password complexity requirements. CVE-2024-42850 0 1 1 1 8464695674224806155 +github:1116499042 2025-12-15 2025-12-15 f https://github.com/mivmi/CVE-2025-55182 CVE-2025-55182 0 1 0 1 1517260079013055222 +github:466061651 2022-03-04 2022-03-04 f https://github.com/flying0er/CVE-2022-22947-goby 日常更新一些顺手写的gobypoc，包含高危害EXP CVE-2022-22947 0 0 0 0 3033766053901088461 +github:712774895 2023-11-01 2023-11-01 f https://github.com/Trinadh465/jetty_9.4.31_CVE-2023-26048 CVE-2023-26048 0 0 1 0 5945902213139045447 +github:311923690 2020-11-11 2020-11-11 f https://github.com/azzzzzzzzzzzzzzzzz/CVE-2018-6574 CVE-2018-6574 0 0 1 0 4382907585145378806 +github:463123908 2022-02-24 2024-09-15 f https://github.com/pykiller/CVE-2022-23131 CVE-2022-23131 0 2 1 2 5459254342182731541 +github:835802048 2024-07-30 2026-04-17 f https://github.com/NishanthAnand21/CVE-2024-32002-PoC PoC of CVE-2024-32002 - Remote Code Execution while cloning special-crafted local repositories CVE-2024-32002 2 3 1 3 4902804802031062248 +github:1202979903 2026-04-07 2026-04-07 f https://github.com/zsxen/cve-2025-1974-lab CVE-2025-1974 0 0 0 0 292493087895409917 +github:262294232 2023-12-19 2020-05-08 f https://github.com/Moon1705/easy_security Project with sublist3r, massan, CVE-2018-15473, ssh bruteforce, ftp bruteforce and nikto. CVE-2018-15473 0 0 0 0 8303536564067657440 +github:970095271 2025-04-21 2025-04-21 f https://github.com/custiya/geoserver-CVE-2023-25157 CVE-2023-25157 0 0 1 0 3139753449935640786 +github:1043474621 2026-05-21 2026-06-16 f https://github.com/h-gunp/CVE-2023-25813-TEST Sequelize Sql Injection 취약점 구현 CVE-2023-25813 0 0 0 0 3381378744125547409 +github:1247691170 2026-05-23 2026-05-26 f https://github.com/kikechans/-Limesurvey-RCE-CVE-2021-44967 🔥 Automated RCE Exploit for Limesurvey (CVE-2021-44967). Cadena de explotación optimizada para escalada de privilegios. 🚀 CVE-2021-44967 0 0 0 0 8268318393826656081 +github:1112006891 2025-12-08 2025-12-08 f https://github.com/lalaterry/CVE-2025-55182-React2Shell-lab CVE-2025-55182 0 0 0 0 3283861916355391893 +github:614902442 2023-03-16 2024-11-30 f https://github.com/antisecc/CVE-2022-23935 CVE-2022-23935 0 0 1 0 2228672165121599743 +github:574737413 2024-11-26 2024-11-26 f https://github.com/rvermeulen/codeql-workshop-cve-2021-21380 A CodeQL workshop covering CVE-2021-21380 CVE-2021-21380 5 12 0 12 4152671611205489638 +github:1085237448 2025-10-29 2026-03-09 f https://github.com/Serner77/CVE-2024-48990-Automatic-Exploit Automated local privilege escalation exploit for CVE-2024-48990 (needrestart v3.7), leveraging PYTHONPATH hijacking to gain root access. CVE-2024-48990 0 9 0 9 6245519148469864761 +github:122712148 2018-02-25 2018-05-07 f https://github.com/knqyf263/CVE-2018-1304 CVE-2018-1304 0 3 0 3 1074537229082003955 +github:808376374 2024-05-31 2024-05-31 f https://github.com/epicosy/json-sanitizer json-sanitizer with CVE-2020-13973 CVE-2020-13973 0 0 1 0 6722627017867883927 +github:791393298 2024-05-02 2024-12-12 f https://github.com/julio-cfa/CVE-2024-33438 CubeCart <= 6.5.4 is vulnerable to an arbitrary file upload that leads to remote code execution (RCE). CVE-2024-33438 0 3 1 3 3289570482596308285 +github:436106864 2022-01-27 2023-05-22 f https://github.com/MoCh3n/CVE-2021-43798-grafana_fileread grafana CVE-2021-43798任意文件读取漏洞POC，采用多插件轮训检测的方法，允许指定单URL和从文件中读取URL CVE-2021-43798 1 17 1 17 7098035082936811437 +github:437426359 2021-12-11 2025-05-31 f https://github.com/Jeromeyoung/log4j2burpscanner CVE-2021-44228，log4j2 burp插件 Java版本，dnslog选取了非dnslog.cn域名 CVE-2021-44228 37 32 0 32 966481350853609232 +github:1140087915 2026-01-29 2026-01-31 f https://github.com/Stp1t/CVE-2023-40028 Exploit for CVE-2023-40028 (for educational purposes) CVE-2023-40028 0 1 0 1 4741556142866156870 +github:404721741 2021-11-06 2025-01-03 f https://github.com/fran-CICS/ExploitTensorflowCVE-2021-37678 TP Seguridad Informática UTN FRBA 2021 CVE-2021-37678 0 2 1 2 7929271342623164759 +github:485156953 2022-04-24 2022-04-24 f https://github.com/h3x0v3rl0rd/CVE-2022-29464 CVE-2022-29464 0 0 1 0 5755773913228796304 +github:858185537 2024-09-18 2025-07-17 f https://github.com/s0ck3t-s3c/CVE-2024-32651-changedetection-RCE Server-Side Template Injection Exploit CVE-2024-32651 3 4 1 4 1227536159306874437 +github:601030910 2024-01-19 2025-05-06 f https://github.com/rvzsec/CVE-2022-28368 Dompdf RCE PoC Exploit - CVE-2022-28368 CVE-2022-28368 2 16 1 16 2988535485977017789 +github:997504794 2026-07-27 2026-07-27 f https://github.com/Mayca369/CVE-2025-55182 🚨 Exploit CVE-2025-55182 to demonstrate RCE in React Server Functions, highlighting risks from insecure prototype references in Next.js applications. CVE-2025-55182 1 1 0 1 8112226918330576479 +github:1113195855 2025-12-09 2025-12-09 f https://github.com/eytannatye/R2S_CVE-2025-55182 CVE-2025-55182 0 0 0 0 1435086508440847714 +github:470921945 2022-03-17 2026-05-23 f https://github.com/Wrin9/CVE-2022-22947 CVE-2022-22947_POC_EXP CVE-2022-22947 7 11 1 11 7852628936649142630 +github:714263844 2023-11-06 2026-07-28 f https://github.com/evkl1d/CVE-2023-46604 CVE-2023-46604 12 41 1 41 7072677353599146496 +github:1196952632 2026-03-31 2026-03-31 f https://github.com/davidzzo23/CVE-2025-54123 Hoverfly CVE RCE CVE-2025-54123 0 0 0 0 7252589597781283842 +github:1258657983 2026-06-03 2026-06-03 f https://github.com/melbratic/CVE-2026-2256-Threat-Model----ms-agent-Command-Injection CVE-2026-2256 0 0 0 0 2203271700079270815 +github:245079097 2020-03-05 2020-03-05 f https://github.com/nthuong95/CVE-2018-11235 CVE-2018-11235 0 0 1 0 3254821703920867157 +github:349444222 2021-03-25 2022-03-16 f https://github.com/lmol/CVE-2021-3156 Exploit generator for sudo CVE-2021-3156 CVE-2021-3156 1 4 1 4 5031452174334153005 +github:414574168 2021-10-07 2024-08-21 f https://github.com/Hattan515/POC-CVE-2021-41773 CVE-2021-41773 1 0 1 0 8881243345081154898 +github:853633561 2024-09-07 2024-10-04 f https://github.com/gunzf0x/Grav-CMS-RCE-Authenticated Exploit against Grav CMS (versions below 1.7.45) that allows Remote Code Execution for an authenticated user - CVE-2024-28116 CVE-2024-28116 0 0 1 0 4692737465868190680 +github:882521071 2024-11-03 2024-12-13 f https://github.com/JAckLosingHeart/CVE-2024-36823-POC Ninja Framework sensitive information leak due to weak encryption CVE-2024-36823 0 0 1 0 5756441558195855730 +github:1135299358 2026-01-15 2026-04-30 f https://github.com/demining/Phantom-Signature-Attack Phantom Signature Attack: An Analysis of the Critical Vulnerability CVE-2025-29774 in the Bitcoin Protocol, SIGHASH_SINGLE Implementation Flaws, and the Mathematical Framework for Private Key Recovery in Lost Cryptocurrency Wallets Enabling Unrestricted Control over BTC Assets CVE-2025-29774 0 2 0 2 1986535677702473506 +github:1114966413 2025-12-12 2025-12-12 f https://github.com/rxerium/CVE-2025-58360 Passive detection for CVE-2025-58360 CVE-2025-58360 0 0 0 0 7302047786780584816 +github:887111403 2024-11-12 2024-11-12 f https://github.com/Pazhanivelmani/libexif_Android10_r33_CVE-2016-6328 CVE-2016-6328 1 0 1 0 6814757265704207575 +github:288319334 2020-08-18 2020-08-18 f https://github.com/Logeirs/CVE-2018-0114 CVE-2018-0114 0 0 1 0 1245101981818343385 +github:1016612426 2025-07-09 2025-07-09 f https://github.com/fishyyh/CVE-2025-48384 for CVE-2025-48384 test CVE-2025-48384 2 0 0 0 8556687086709470475 +github:1290296093 2026-07-05 2026-07-06 f https://github.com/K3ysTr0K3R/CVE-2018-10933 CVE-2018-10933 - libssh Authentication Bypass CVE-2018-10933 0 1 0 1 5627991148598523403 +github:1051628257 2025-09-06 2025-09-06 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10078_2_11_0_M4_fixed CVE-2019-10078 0 0 0 0 4249707674306889027 +github:1303049240 2026-07-17 2026-07-17 f https://github.com/Industri4l-H3ll-Xpl0it3rs/CVE-2026-33017-Langflow-RCE CVE-2026-33017 Exploit | by infrar3d CVE-2026-33017 1 1 0 1 2868482179810828742 +github:465838791 2022-03-04 2026-01-12 f https://github.com/crowsec-edtech/CVE-2022-22947 Spring Cloud Gateway < 3.0.7 & < 3.1.1 Code Injection (RCE) CVE-2022-22947 14 38 1 38 1427882768861132487 +github:803348538 2024-05-20 2024-05-20 f https://github.com/Smartkeyss/CVE-2023-38039 For all vicarius.io/vsoviety analysis CVE-2023-38039 0 0 1 0 5796152305725062146 +github:1056659999 2025-09-14 2025-09-14 f https://github.com/MuhammadHuzaifaAsif/security-lab Documented CVE-2021-41773 (Apache HTTP Server path traversal, CVSS 9.8) — produced CVSS breakdown, impact assessment, and a mitigation plan (patch to 2.4.51+, CGI disable, firewall) and published the analysis on GitHub. CVE-2021-41773 0 0 0 0 4911195218315828221 +github:650732350 2023-06-07 2023-06-08 f https://github.com/cybfar/CVE-2023-23488-pmpro-2.8 Paid Memberships Pro v2.9.8 (WordPress Plugin) - Unauthenticated SQL Injection CVE-2023-23488 1 1 1 1 136983012338841983 +github:1109504576 2025-12-03 2025-12-03 f https://github.com/atastycookie/CVE-2025-55182 CVE-2025-55182 - React Server Components RCE Exploit & Scanner Supports external servers and CLI interface CVE-2025-55182 8 0 0 0 4575620725358626376 +github:1065077280 2025-09-27 2025-09-27 f https://github.com/At0mXploit/CVE-2025-59843-CVE-2025-59932 CVE on FlagForge on versions 2.0.0 to 2.3.0. Upgrade to version 2.3.1 to fix the issue. CVE-2025-59843 0 1 0 1 8604521404552240853 +github:524400659 2022-08-13 2022-08-13 f https://github.com/Roboterh/CVE-2021-21300 the payload of CVE-2021-21300 CVE-2021-21300 0 0 1 0 227563857038779484 +github:191190894 2019-06-10 2022-09-06 f https://github.com/GeunSam2/CVE-2017-5487 POC of CVE-2017-5487 + tool CVE-2017-5487 1 2 0 2 7774153184160430952 +github:510379940 2022-07-15 2026-07-06 f https://github.com/Mhackiori/CVE-2021-3156 Visualization, Fuzzing, Exploit and Patch of Baron Samedit Vulnerability CVE-2021-3156 2 5 1 5 2738197510643547979 +github:1141313094 2026-01-24 2026-01-24 f https://github.com/ranasen-rat/cve-2021-42013 CVE-2021-42013 0 0 0 0 6270962542957409473 +github:907385028 2024-12-23 2026-06-16 f https://github.com/NeCr00/CVE-2023-24278 CVE-2023-24278 - Reflected XSS Vulnerabilities in Squidex CVE-2023-24278 2 7 2 7 2525542751470720313 +github:1109886570 2026-02-20 2026-03-06 f https://github.com/Security-Phoenix-demo/react2shell-scanner-rce-react-next-CVE-2025-55182-CVE-2025-66478 Scanner for CVE-2025-55182 (React) and CVE-2025-66478 (Next.js) - Track and remediate a critical React Server Components (RSC) / Flight protocol vulnerability campaign impacting react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack, and RSC-enabled frameworks like Next.js. CVE-2025-55182 3 6 0 6 4019377866977490869 +github:949928493 2025-03-19 2025-03-19 f https://github.com/dgoorden/CVE-2023-45878 CVE-2023-45878 0 0 1 0 622544856287296674 +github:93726308 2017-06-08 2021-01-29 f https://github.com/pucerpocok/sudo_exploit own implementation of the CVE-2017-1000367 sudo privilege escalation vulnerability in python CVE-2017-1000367 1 6 0 6 393272109180235275 +github:200459882 2019-08-04 2024-08-12 f https://github.com/bigbigliang-malwarebenchmark/cve-2019-13272 提权漏洞 CVE-2019-13272 1 1 1 1 700387532706477419 +github:749389006 2024-01-28 2025-10-25 f https://github.com/r0xDB/CVE-2024-23897 Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system. CVE-2024-23897 0 0 1 0 5842729724655032550 +github:848488270 2024-08-28 2025-10-09 f https://github.com/emanueldosreis/CVE-2024-38856 Nuclei template to scan for Apache Ofbiz affecting versions before 18.12.15 CVE-2024-38856 0 1 1 1 6972047196112180485 +github:1127050996 2026-01-03 2026-01-03 f https://github.com/hyunnna/NextChat_SSRF_CVE-2023-49785 CVE-2023-49785 0 0 0 0 6650325926135330733 +github:1183741422 2026-03-16 2026-03-19 f https://github.com/Liquid1998/Variatype.htb-CVE-2025-66034 CVE-2025-66034 0 2 0 2 8134816081584273128 +github:1053243264 2025-09-09 2025-09-09 f https://github.com/bad-c0de/CVE-2018-16763_FuelCMS-1.4.1_RCE FuelCMS 1.4.1 Command Injection/Remote Code Execution. CVE-2018-16763 0 0 0 0 3373230885619067183 +github:1277627922 2026-06-23 2026-06-23 f https://github.com/s1lentf00thold/CVE-2020-11651-Poc CVE-2020-11651 0 0 0 0 8009873167385948129 +github:1169443539 2026-04-09 2026-04-09 f https://github.com/x1o3/CVE-2025-50286 Metasploit exploit for the CVE-2025-50286. CVE-2025-50286 0 0 0 0 5655494483438875401 +github:1110322977 2025-12-05 2026-04-21 f https://github.com/topstar88/CVE-2025-55182 CVE-2025-55182 0 0 0 0 2595279667726823647 +github:1285139601 2026-06-30 2026-07-23 f https://github.com/Ap0dexMe0/CVE-2026-49869 Kestra Auth-Bypass Vulnerability Checker CVE-2026-49869 0 1 0 1 8987986844805973714 +github:1280988807 2026-06-26 2026-07-24 f https://github.com/gagaltotal/CVE-2026-26980-Ghost-CMS-Api CVE-2026-26980 - Ghost CMS Content API SQL Injection CVE-2026-26980 0 10 0 10 5560580853557319184 +github:780990164 2024-07-04 2024-07-04 f https://github.com/YangHyperData/LOGJ4_PocShell_CVE-2021-44228 CVE-2021-44228 0 0 1 0 5311579053353268208 +github:953545645 2025-03-23 2025-03-23 f https://github.com/ticofookfook/poc-nextjs-CVE-2025-29927 CVE-2025-29927 0 0 1 0 3748999424180863352 +github:1286612923 2026-07-02 2026-07-26 f https://github.com/0xEnc0der/CVE-2026-53753 Crawl4AI <= 0.8.6 pre-auth RCE via AST sandbox escape (gi_frame.f_back.f_builtins chain) — CVSS 10.0 CVE-2026-53753 0 0 0 0 5793195718398977238 +github:808380814 2024-05-31 2024-05-31 f https://github.com/pulentoski/CVE-2023-46604 El script explota una vulnerabilidad de deserialización insegura en Apache ActiveMQ (CVE-2023-46604) CVE-2023-46604 1 1 1 1 330423540071140835 +github:695777958 2023-09-24 2023-09-24 f https://github.com/b0marek/CVE-2023-42426 Repository for CVE-2023-42426 vulnerability. CVE-2023-42426 0 0 1 0 5909699961178189447 +github:1251126032 2026-05-27 2026-05-27 f https://github.com/strobelpierre/CVE-2026-9082 Passive checker for CVE-2026-9082 / SA-CORE-2026-004 (Drupal core SQL injection, PostgreSQL) CVE-2026-9082 0 0 0 0 3614828132624013425 +github:144792218 2018-08-15 2023-05-30 f https://github.com/sischkg/cve-2018-5740 CVE-2018-5740 0 3 1 3 2614531371042672724 +github:438773632 2025-08-20 2025-10-01 f https://github.com/michaelsanford/Log4Shell-Honeypot Dockerized honeypot for CVE-2021-44228. CVE-2021-44228 0 4 1 4 1582139632938694692 +github:671394354 2023-07-28 2023-07-28 f https://github.com/ilqarli27/CVE-2023-37474 CVE-2023-37474 0 0 1 0 4953717349142547912 +github:1109709529 2025-12-04 2025-12-04 f https://github.com/jf0x3a/CVE-2025-55182-exploit RCE Auto exploit for CVE-2025-55182 CVE-2025-55182 0 3 0 3 1982759254914158588 +github:612652775 2023-03-11 2024-01-14 f https://github.com/keyuan15/CVE-2021-3129 Laravel RCE CVE-2021-3129 CVE-2021-3129 0 1 1 1 1182187552730564098 +github:1066776919 2025-09-30 2025-09-30 f https://github.com/AC8999/CVE-2025-32463 A Python exploit for CVE-2025-32463, a critical local privilege escalation vulnerability in the Sudo binary on Linux systems. This flaw allows local users to obtain root access by exploiting the --chroot option, which incorrectly uses /etc/nsswitch.conf from a user-controlled directory. CVE-2025-32463 0 0 0 0 6975373556174281533 +github:145296891 2018-10-17 2025-12-09 f https://github.com/gbonacini/opensshenum CVE-2018-15473 - Opensshenum is an user enumerator exploiting an OpenSsh bug CVE-2018-15473 0 3 1 3 3905101416872483874 +github:1110389869 2025-12-05 2026-07-30 f https://github.com/mrknow001/RSC_Detector Supports RSC fingerprinting and exploitation of the React component vulnerability CVE-2025-55182. CVE-2025-55182 85 584 3 584 3479658234143558551 +github:1183977646 2026-03-17 2026-03-17 f https://github.com/monarchfish/cve-2025-55182-poc Proof-of-concept for CVE-2025-55182 (React2Shell): unauthenticated RCE in React Server Components / Next.js via Flight protocol deserialization. CVE-2025-55182 0 0 0 0 3186234195311985056 +github:980244029 2025-05-09 2026-03-08 f https://github.com/tiemio/RCE-PoC-CVE-2021-25646 A proof-of-concept for the CVE-2021-25646, which allows for Command Injection CVE-2021-25646 0 1 1 1 8958367648266948906 +github:360291163 2021-04-24 2022-12-05 f https://github.com/electronicbots/CVE-2021-31761 Exploiting a Reflected Cross-Site Scripting (XSS) attack to get a Remote Command Execution (RCE) through the Webmin's running process feature CVE-2021-31761 5 4 2 4 2726287943897173846 +github:437327955 2021-12-12 2021-12-12 f https://github.com/zhangxvx/Log4j-Rec-CVE-2021-44228 Apache Log4j CVE-2021-44228 漏洞复现 CVE-2021-44228 0 0 1 0 3051543693015651340 +github:1038757717 2025-08-15 2025-12-28 f https://github.com/aaryanbhujang/CVE-2024-3660-PoC A PoC for CVE-2024-3660. Arbitrary Code Execution in Keras. CVE-2024-3660 1 4 0 4 30518694675689413 +github:1195009948 2026-03-29 2026-03-29 f https://github.com/xitexploiter96-dot/CVE-2025-23419 CVE-2025-23419 0 0 0 0 56267979284448170 +github:1253990866 2026-05-30 2026-06-16 f https://github.com/HAERIN-L/POC_CVE-2026-46716 CVE-2026-46716 0 0 0 0 2229100722242151109 +github:430985632 2021-11-24 2021-11-24 f https://github.com/kaizensecurity/CVE-2021-41277 plugin made for LeakiX CVE-2021-41277 1 0 1 0 7620381954581504993 +github:802819222 2024-06-24 2025-11-03 f https://github.com/Cappricio-Securities/CVE-2021-40438 Apache <= 2.4.48 Mod_Proxy - Server-Side Request Forgery CVE-2021-40438 0 1 0 1 6425659268245834391 +github:1138312760 2026-03-12 2026-05-16 f https://github.com/haxorstars/CVE-2025-54068 A tool designed to exploit CVE-2025-54068 and Remote Command Execution of the Livewire project. CVE-2025-54068 1 5 0 5 6820522309585840567 +github:559966352 2023-02-08 2025-11-11 f https://github.com/doyensec/CVE-2022-39299_PoC_Generator A Simple CVE-2022-39299 PoC exploit generator to bypass authentication in SAML SSO Integrations using vulnerable versions of passport-saml CVE-2022-39299 2 19 2 19 7505687486642669649 +github:828170201 2024-07-15 2026-06-21 f https://github.com/bughuntar/CVE-2024-34102 Exploitation CVE-2024-34102 CVE-2024-34102 2 5 1 5 5150470655222856161 +github:1062338605 2025-09-23 2025-11-27 f https://github.com/sermikr0/nextjs-middleware-auth-bypass CVE-2025-29927 CVE-2025-29927 1 1 0 1 1957276415251544823 +github:432133933 2021-11-26 2025-04-05 f https://github.com/hktalent/CVE-2021-40865 CVE-2021-40865 CVE-2021-40865 2 14 1 14 2779511952450196879 +github:649827572 2023-06-17 2023-06-19 f https://github.com/Rubikcuv5/CVE-2023-2825 On May 23, 2023 GitLab released version 16.0.1 which fixed a critical vulnerability, CVE-2023-2825, affecting the Community Edition (CE) and Enterprise Edition (EE) version 16.0.0. The vulnerability allows unauthenticated users to read arbitrary files through a path traversal bug. CVE-2023-2825 1 0 1 0 3486224588458613524 +github:234588471 2020-01-17 2024-08-12 f https://github.com/MarkusZehnle/CVE-2020-0601 CVE-2020-0601 2 0 1 0 505892945908077429 +github:325615976 2020-12-30 2025-03-25 f https://github.com/maarlo/CVE-2020-15999 Repositorio con un script encargado de explotar la vulnerabilidad CVE-2020-15999 CVE-2020-15999 1 1 1 1 6370974329541842013 +github:758374072 2025-11-20 2026-07-02 f https://github.com/godylockz/CVE-2024-23897 POC for CVE-2024-23897 Jenkins File-Read CVE-2024-23897 5 43 1 43 5386410357754838920 +github:1117194482 2025-12-16 2025-12-16 f https://github.com/S-Mughal/NextJS-app-CVE-2025-55182 CVE-2025-55182 0 0 0 0 2391461641509246349 +github:573581894 2022-12-02 2023-02-06 f https://github.com/JoshMorrison99/CVE-2016-3714 CVE-2016-3714 0 1 1 1 9013841845745690045 +github:578580664 2022-12-15 2023-12-18 f https://github.com/Trinadh465/external_expat-2.1.0_CVE-2022-43680 CVE-2022-43680 1 0 1 0 6432601016181447911 +github:131973382 2018-05-03 2018-05-03 f https://github.com/dsfau/CVE-2018-10546 CVE-2018-10546 0 0 0 0 1321216844552506809 +github:683429922 2023-08-27 2025-07-08 f https://github.com/Henryisnotavailable/CVE-2018-16858-Python Python implementation of CVE-2018-16858 CVE-2018-16858 0 1 1 1 8997643555463762603 +github:887494835 2024-11-15 2024-11-16 f https://github.com/pizza-power/CVE-2024-32640 Python POC for CVE-2024-32640 Mura CMS SQLi CVE-2024-32640 0 1 1 1 7342237285522163319 +github:962523684 2025-04-08 2025-04-08 f https://github.com/0xnxt1me/CVE-2025-29927 CVE-2025-29927 0 1 1 1 7260792656518236566 +github:978484424 2025-07-02 2025-07-02 f https://github.com/rai0ffs3c/CVE-2019-16891-Liferay-deserialization-RCE CVE-2019-16891 0 0 1 0 5782176830668529250 +github:436871682 2021-12-16 2026-04-11 f https://github.com/HyCraftHD/Log4J-RCE-Proof-Of-Concept Log4j-RCE (CVE-2021-44228) Proof of Concept with additional information CVE-2021-44228 31 182 5 182 144469987075913173 +github:781135899 2024-04-20 2025-10-04 f https://github.com/przemoc/xz-backdoor-links apocalypxze: xz backdoor (2024) AKA CVE-2024-3094 related links CVE-2024-3094 0 3 1 3 7430477752043835122 +github:351001241 2021-03-24 2022-01-13 f https://github.com/rakjong/CVE-2021-26295-Apache-OFBiz CVE-2021-26295 Apache OFBiz rmi反序列化POC CVE-2021-26295 2 4 2 4 5855220974722054411 +github:1111633346 2025-12-09 2025-12-09 f https://github.com/robbin0919/CVE-2025-55182 CVE-2025-55182 0 0 0 0 2485684018955885655 +github:492894023 2022-05-16 2026-07-27 f https://github.com/0730Nophone/CVE-2022-22947- Spring Cloud Gateway Actuator API SpEL表达式注入命令执行（CVE-2022-22947） 注入哥斯拉内存马 CVE-2022-22947 9 60 1 60 1676943395742303062 +github:495567632 2022-05-23 2022-05-25 f https://github.com/bernauers/CVE-2022-23046 Tinker Script for CVE-2022-23046 CVE-2022-23046 0 1 1 1 9047552016098196285 +github:956132774 2025-03-27 2025-03-27 f https://github.com/tuladhar/ingress-nightmare IngressNightmare (CVE-2025-1974) CVE-2025-1974 0 0 1 0 81718519692757917 +github:1264761492 2026-06-10 2026-06-10 f https://github.com/SwapnilDeshpande/cve-2025-29927-lab Reproduction lab for CVE-2025-29927 — Next.js middleware authorization bypass (CVSS 9.1) CVE-2025-29927 0 0 0 0 5791625332806941114 +github:1166771820 2026-02-25 2026-03-25 f https://github.com/alptexans/RSC-Detect-CVE-2025-55182 RSC Detect CVE 2025 55182 CVE-2025-55182 44 190 21 190 1476338274735234930 +github:197141535 2019-11-01 2024-08-12 f https://github.com/masahiro331/CVE-2019-13574 CVE-2019-13574 1 1 0 1 1198412331538874681 +github:1316536552 2026-07-29 2026-07-29 f https://github.com/sbimoxa/cve-2021-41773-lab CVE-2021-41773 0 0 0 0 3587218573046605043 +github:1252195456 2026-05-28 2026-05-28 f https://github.com/muslimbek-0x/CVE-2026-48030 CVE-2026-48030 0 0 0 0 3752625251161296443 +github:267076701 2026-06-30 2024-08-12 f https://github.com/Al1ex/CVE-2020-14195 This is a simple test for FasterXML jackson-databind CVE-2020-14195 3 1 1 1 5382503522165943899 +github:1030940826 2025-09-13 2025-09-13 f https://github.com/thawphone/CVE-2025-57055 CVE-2025-57055 0 0 0 0 7509024899806326280 +github:1255321766 2026-05-31 2026-05-31 f https://github.com/sbouabid-sec/CVE-2026-23744-POC CVE-2026-23744 — Proof of concept exploit for an unauthenticated Remote Code Execution vulnerability in MCPJam Inspector <= 1.4.2. CVE-2026-23744 0 0 0 0 7086057828533280210 +github:235145190 2020-01-20 2026-07-16 f https://github.com/gentilkiwi/curveball CVE-2020-0601 #curveball - Alternative Key Calculator CVE-2020-0601 14 78 4 78 668911540829869653 +github:1258652617 2026-06-04 2026-06-05 f https://github.com/Shcesama/cve-2023-4863-analysis CVE-2023-4863 0 2 0 2 7985140042687663370 +github:1268878559 2026-06-26 2026-06-26 f https://github.com/rohit-sundar/cve-2026-23744 CVE-2026-23744 0 0 0 0 1540097016701492350 +github:1238689643 2026-05-14 2026-05-14 f https://github.com/realityone/cve-2026-42945-scan Scan your NGINX configuration to determine whether it is affected by CVE-2026-42945. CVE-2026-42945 0 1 1 1 4166628669779731577 +github:1302876342 2026-07-16 2026-07-16 f https://github.com/bibotai/secveri-cve-2026-50011-negative CVE-2026-50011 0 0 0 0 2996942131375783532 +github:323973616 2020-12-23 2020-12-23 f https://github.com/anasbousselham/webminscan Webmin Exploit Scanner CVE-2020-35606 CVE-2019-12840 CVE-2019-12840 0 0 1 0 4477664610799314497 +github:1220508148 2026-04-25 2026-04-25 f https://github.com/aktia1/MegaQuagga_Pentesting_Report Web application penetration testing project targeting a WordPress environment. Includes exploitation of CVE-2019-9978, reverse shell execution, post-exploitation steps, and full pentesting report. CVE-2019-9978 0 0 0 0 3649997177143410064 +github:1158765923 2026-02-17 2026-03-29 f https://github.com/thefizzyfish/CVE-2025-4138_tarfile_filter_bypass CVE-2025-4138 - Python Arbitrary file write outside extraction directory CVE-2025-4138 0 3 0 3 7061515980020888384 +github:439019569 2021-12-16 2021-12-16 f https://github.com/lonecloud/CVE-2021-44228-Apache-Log4j CVE-2021-44228-Apache-Log4j CVE-2021-44228 0 0 1 0 2500198594025068883 +github:1137998915 2026-01-20 2026-01-20 f https://github.com/amnnrth/CVE-2025-14847 This script is used to identify MongoDB services that are network-exposed and allow unauthenticated protocol handshakes. CVE-2025-14847 0 0 0 0 4268081244611285465 +github:245129315 2020-03-05 2024-08-12 f https://github.com/polosec/CVE-2019-13272 CVE-2019-13272 CVE-2019-13272 1 0 1 0 7281550168646425984 +github:657769975 2023-06-23 2026-06-16 f https://github.com/maddsec/CVE-2023-34599 Multiple Cross-Site Scripting (XSS) vulnerabilities have been identified in Gibbon v25.0.0, which enable attackers to execute arbitrary Javascript code. CVE-2023-34599 2 3 1 3 6709373284206965927 +github:1124605756 2025-12-29 2025-12-29 f https://github.com/cv-sai-kamesh/n8n-CVE-2025-68613 CVE-2025-68613 0 0 0 0 1094193835451426382 +github:808895702 2024-07-30 2024-07-30 f https://github.com/Akshay15-png/CVE-2019-7609 Exploit for CVE-2019-7609 in python CVE-2019-7609 0 1 1 1 6279982025526175351 +github:689433745 2023-11-07 2025-10-07 f https://github.com/actuator/com.phlox.tvwebbrowser CVE-2023-43955 CVE-2023-43955 0 1 0 1 4477226512601775990 +github:1296220942 2026-07-10 2026-07-10 f https://github.com/c0gnit00/CVE-2024-51482 CVE-2025-51482 POC, Dump Credentials From zm.Users CVE-2024-51482 0 0 0 0 6386822499375488876 +github:265870392 2020-05-21 2026-07-03 f https://github.com/IdealDreamLast/CVE-2020-9484 用Kali 2.0复现Apache Tomcat Session反序列化代码执行漏洞 CVE-2020-9484 20 52 3 52 3573647171228857544 +github:431203570 2022-07-26 2022-01-10 f https://github.com/Vulnmachines/Metabase_CVE-2021-41277 CVE-2021-41277 1 4 1 4 801721259204604577 +github:807005949 2024-06-06 2026-07-11 f https://github.com/OligoCyberSecurity/CVE-2023-43654 Demo for CVE-2023-43654 - Remote Code Execution in PyTorch TorchServe CVE-2023-43654 0 3 0 3 8224712316859807394 +github:968504602 2025-04-18 2025-04-18 f https://github.com/abbisQQ/CVE-2025-28355 It was identified that the https://github.com/Volmarg/personal-management-system application is vulnerable to CSRF attacks. CVE-2025-28355 0 0 1 0 3464807212225916362 +github:495312154 2022-05-23 2022-05-23 f https://github.com/Snorlyd/https-nj.gov---CVE-2018-14041 Vulnearability Report of the New Jersey official site CVE-2018-14041 0 0 1 0 3850766568841914170 +github:912613572 2025-01-06 2025-01-06 f https://github.com/GroundCTL2MajorTom/CVE-2023-51385P-POC CVE-2023-51385 0 0 1 0 8375752283155334413 +github:903715059 2024-12-15 2024-12-15 f https://github.com/filipzag/CVE-2024-10220 CVE-2024-10220 0 0 1 0 1531902363023453567 +github:982320794 2025-05-12 2025-05-12 f https://github.com/cybsecsid/ThingsBoard-IoT-Platform-CVE-2024-55466 CVE-2024-55466 0 0 1 0 3199231242342950921 +github:306213388 2020-10-22 2020-10-22 f https://github.com/jongmartinez/CVE-2018-6574-POC A simple POC for CVE-2018-6574 CVE-2018-6574 0 0 1 0 5395241581823314653 +github:1069925947 2025-10-10 2025-10-10 f https://github.com/100HnoMeuNome/ZeroLogon-CVE-2020-1472-lab Explicação e demonstração da vulnerabilidade ZeroLogon (CVE-2020-1472) CVE-2020-1472 0 0 0 0 5786639830014188223 +github:868840911 2024-10-07 2026-07-20 f https://github.com/synacktiv/CVE-2024-45409 Ruby-SAML / GitLab Authentication Bypass (CVE-2024-45409) exploit CVE-2024-45409 13 84 1 84 5777605810415925075 +github:1132640536 2026-01-12 2026-04-28 f https://github.com/dhmosfunk/CVE-2025-58098 #exec cmd=... (CVE-2025-58098) argument injection CVE-2025-58098 0 3 0 3 102274775803778735 +github:1257096856 2026-06-11 2026-06-11 f https://github.com/GonSarrabia/Minimus-Junior-Backend-Exercise Junior Backend Candidate Exercise: Packaging the dasel CLI (v3.3.1) with Melange, fixing CVE-2026-33320, and building a minimal container image using Apko. CVE-2026-33320 0 0 0 0 6541144920487409280 +github:906469704 2024-12-21 2026-06-07 f https://github.com/monke443/CVE-2023-40028 Arbitrary file read in Ghost-CMS allows an attacker to upload a malicious ZIP file with a symlink. CVE-2023-40028 0 5 1 5 169431384179611410 +github:1148935087 2026-02-03 2026-02-03 f https://github.com/L1337Xi/CVE-2024-46987 Path Traversal vulnerability CVE-2024-46987 1 0 0 0 6621245207983653534 +github:1042940831 2026-02-09 2026-02-09 f https://github.com/mexeck88/CSRF-via-stored-XSS-for-PrivEsc Chamilo-LMS (v2.0) CVE-2025-26153 CVE-2025-26153 0 0 0 0 2713132717567961457 +github:1276092947 2026-06-21 2026-06-21 f https://github.com/Fomovet/cve-2025-48384 POC for CVE-2025-48384 CVE-2025-48384 0 0 0 0 6443378559870112905 +github:997213344 2025-06-06 2026-07-23 f https://github.com/hakaioffsec/CVE-2025-49113-exploit Proof of Concept demonstrating Remote Code Execution through insecure deserialization in Roundcube (CVE-2025-49113). CVE-2025-49113 17 92 0 92 4809238736715874585 +github:1114910841 2025-12-12 2025-12-14 f https://github.com/williavs/nextjs-security-update Batch upgrade all your Next.js apps to patched versions - fight back against CVE-2025-55183/55184/67779 CVE-2025-55183 0 8 0 8 7647504974106539218 +github:255880212 2020-04-16 2026-05-13 f https://github.com/brompwnie/cve-2020-5260 A HTTP PoC Endpoint for cve-2020-5260 which can be deployed to Heroku CVE-2020-5260 7 37 0 37 7702601042842962249 +github:956416649 2025-04-07 2025-04-07 f https://github.com/brandonhjh/Jenkins-CVE-2024-23897-Exploit-Demo CVE-2024-23897 0 0 1 0 2952457609806556439 +github:673808642 2023-08-03 2025-02-14 f https://github.com/shamo0/CVE-2023-38646-PoC Metabase Pre-auth RCE CVE-2023-38646 1 12 1 12 8257536072517607486 +github:1115839348 2025-12-18 2026-01-13 f https://github.com/KkHackingLearning/CVE-2025-55184_Testing Python script for Testing CVE-2025-55184 CVE-2025-55184 0 2 0 2 2803490070251907783 +github:1040064446 2026-02-07 2025-08-18 f https://github.com/shoucheng3/keycloak__keycloak_CVE-2022-1274_20-0-3 CVE-2022-1274 0 0 0 0 2497271128923869783 +github:475975991 2022-04-04 2026-04-04 f https://github.com/TheGejr/SpringShell Spring4Shell - Spring Core RCE - CVE-2022-22965 CVE-2022-22965 82 131 5 131 5851059444357524255 +github:1287737483 2026-07-03 2026-07-03 f https://github.com/qwqqaqqwq00/opensource_defect_repare_cc Redis 7.0.0 核心模块重构与漏洞修复交付（重构 sds/adlist/intset/listpack，相似度≤20%；修复 CVE-2023-25155/28856、CVE-2024-31449、CVE-2022-36021、CVE-2022-31144 等漏洞） CVE-2022-36021 0 0 0 0 6483964188784174321 +github:542075338 2022-10-31 2022-11-01 f https://github.com/bypazs/CVE-2022-42097 Backdrop CMS version 1.23.0 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the comment. CVE-2022-42097 0 1 1 1 7631895231042345381 +github:703602936 2023-10-11 2026-03-12 f https://github.com/ruycr4ft/CVE-2023-4911 CVE-2023-4911 CVE-2023-4911 2 18 1 18 5167722667989690219 +github:1012210627 2025-07-02 2025-07-08 f https://github.com/SysMancer/CVE-2025-32463 CVE-2025-32463 0 4 0 4 2308049248010339459 +github:996086193 2025-06-04 2026-07-08 f https://github.com/ynsmroztas/CVE-2025-4123-Exploit-Tool-Grafana- CVE-2025-4123 - Grafana Tool CVE-2025-4123 6 32 0 32 4722671704803857599 +github:1293754286 2026-07-08 2026-07-13 f https://github.com/DexSemon/CVE-2026-27495 Proof-of-concept exploit and lab environment for CVE-2026-27495 CVE-2026-27495 0 0 0 0 445502598632754362 +github:683838176 2026-01-16 2026-01-30 f https://github.com/Chocapikk/CVE-2017-9841 PHPUnit RCE CVE-2017-9841 1 7 1 7 2752891924007047393 +github:847507185 2024-08-26 2026-06-12 f https://github.com/Zyx2440/Apache-HTTP-Server-2.4.50-RCE Apache-HTTP-Server-2.4.50-RCE This tool is designed to test Apache servers for the CVE-2021-41773 / CVE-2021-42013 vulnerability. It is intended for educational purposes only and should be used responsibly on systems you have explicit permission to test. CVE-2021-41773 0 2 0 2 5418688744160760137 +github:1114783102 2025-12-11 2025-12-11 f https://github.com/4nuxd/React2Shell R2S is a comprehensive exploitation and post-exploitation framework targeting the Next.js React Server Components vulnerability (CVE-2025-55182). It provides an interactive shell with advanced features for penetration testing, including file transfer, persistence, enumeration, privilege escalation checks, and more. CVE-2025-55182 0 0 0 0 1789712802277829339 +github:1230222763 2026-05-05 2026-05-05 f https://github.com/Mauzy0x00/velociraptor_CVE-2025-6264_PoC CVE-2025-6264 0 0 0 0 8123740795420406284 +github:318241258 2020-12-03 2020-12-03 f https://github.com/diegojuan/CVE-2019-15107 CVE-2019-15107 0 0 1 0 985345074562371369 +github:314181474 2020-12-21 2024-12-18 f https://github.com/eugenebmx/CVE-2020-13942 CVE-2020-13942 unauthenticated RCE POC through MVEL and OGNL injection CVE-2020-13942 9 28 4 28 2246116062787379532 +github:437122153 2021-12-13 2026-01-24 f https://github.com/takito1812/log4j-detect Simple Python 3 script to detect the "Log4j" Java library vulnerability (CVE-2021-44228) for a list of URLs with multithreading CVE-2021-44228 55 195 6 195 7957276894786477962 +github:615366361 2023-03-17 2023-03-17 f https://github.com/h3x0v3rl0rd/CVE-2016-1531 CVE-2016-1531 0 0 1 0 5662773941201083459 +github:483543263 2022-04-22 2022-04-20 f https://github.com/jax7sec/CVE-2017-9841 CVE-2017-9841批量扫描及利用脚本。PHPUnit是其中的一个基于PHP的测试框架。 PHPUnit 4.8.28之前的版本和5.6.3之前的5.x版本中的Util/PHP/eval-stdin.php文件存在安全漏洞。远程攻击者可通过发送以‘= 4.9.7 for CVE-2025-59139). Covers Express middleware leakage, v3-era removed APIs, RPC inference traps, Cloudflare Workers gotchas, security defaults, JSX SSR hardening. CVE-2025-59139 0 0 0 0 4908576989456678731 +github:1197713544 2026-06-07 2026-06-10 f https://github.com/hakaioffsec/CVE-2026-44706 Chatwoot SQL injection in FilterService CVE-2026-44706 0 6 0 6 9165377317245415869 +github:282554130 2021-08-01 2025-05-28 f https://github.com/HoangKien1020/CVE-2020-14321 Course enrolments allowed privilege escalation from teacher role into manager role to RCE CVE-2020-14321 10 44 0 44 6230271269280201178 +github:343973725 2021-03-03 2025-03-26 f https://github.com/HoangKien1020/CVE-2021-23132 com_media allowed paths that are not intended for image uploads to RCE CVE-2021-23132 30 71 2 71 5396667001402768147 +github:1005513209 2025-06-23 2026-06-11 f https://github.com/And-oss/CVE-2025-6019-exploit exploit CVE-2025-6019 3 4 0 4 2520987118441256983 +github:158640611 2018-11-22 2025-11-19 f https://github.com/un4ckn0wl3z/CVE-2017-5638 CVE-2017-5638 1 1 1 1 2862131061711413526 +github:229901564 2019-12-24 2019-12-24 f https://github.com/tarantula-team/CVE-2019-19204 Heap-buffer-overflow in Oniguruma (function fetch_interval_quantifier) CVE-2019-19204 0 0 1 0 8329005407265433973 +github:652635516 2023-07-17 2025-11-12 f https://github.com/omoknooni/CVE-2021-21311 CVE-2021-21311 1 3 1 3 2948537627846857871 +github:622368239 2023-04-13 2023-04-01 f https://github.com/devAL3X/CVE-2022-46169_poc CVE-2022-46169 0 0 1 0 1483469050826944528 +github:887035757 2024-11-12 2024-11-12 f https://github.com/Aashay221999/CVE-2024-49368 Explorations of CVE-2024-49368 + Exploit Development CVE-2024-49368 0 0 1 0 1555081169360941392 +github:636625188 2024-07-12 2024-07-12 f https://github.com/mclbn/docker-cve-2018-15473 CVE-2018-15473 1 1 1 1 3873341913951446519 +github:1245259671 2026-05-21 2026-05-22 f https://github.com/HORKimhab/CVE-2026-9082 CVE-2026-9082 | SA-CORE-2026-004 CVE-2026-9082 0 2 0 2 1428842020061600346 +github:84725982 2017-03-12 2020-03-15 f https://github.com/lolwaleet/ExpStruts A php based exploiter for CVE-2017-5638. CVE-2017-5638 3 2 1 2 8027472857396883306 +github:1169992509 2026-03-01 2026-03-01 f https://github.com/MR-LeonardoGomes/CVE-2017-9841 Laravel-RCE: CVE-2017-9841 CVE-2017-9841 0 0 0 0 221818492280705142 +github:133783468 2018-05-17 2023-03-05 f https://github.com/wb4r/go-get-rce CVE-2018-6574 for pentesterLAB CVE-2018-6574 0 1 1 1 7414427723850251005 +github:799940832 2024-05-13 2024-08-19 f https://github.com/JoeBeeton/CVE-2024-4701-POC POC for CVE-2024-4701 CVE-2024-4701 0 2 1 2 7457510381281437119 +github:930403700 2026-07-13 2026-07-13 f https://github.com/WildWestCyberSecurity/cve-2019-5420-POC cve-2019-5420 POC simple ruby script CVE-2019-5420 0 1 1 1 4349855158359544795 +github:225294211 2022-03-16 2022-03-18 f https://github.com/frozenkp/CVE-2018-6574 CVE-2018-6574 1 2 1 2 2950318889209031488 +github:185125359 2019-05-07 2025-04-07 f https://github.com/KTN1990/CVE-2019-9978 Wordpress Social Warfare Remote Code Execution (AUTO UPLOAD SHELL) CVE-2019-9978 3 6 0 6 6214274881369341510 +github:818721820 2024-06-22 2025-06-04 f https://github.com/th3gokul/CVE-2024-31982 A tool for vulnerability detection and exploitation tool for CVE-2024-31982 CVE-2024-31982 0 0 1 0 4201532836603623926 +github:1173462785 2026-03-05 2026-03-19 f https://github.com/yonathanpy/CVE-2025-32462-CVE-2025-32463-PoC-Lab CVE-2025-32462 1 2 0 2 4649803996059123482 +github:897966381 2025-12-16 2026-07-06 f https://github.com/threatlabindonesia/CVE-2023-44487-HTTP-2-Rapid-Reset-Exploit-PoC CVE-2023-44487 2 9 1 9 1927953426620313960 +github:958594002 2025-04-01 2025-04-01 f https://github.com/harish0x/CVE-2025-29602 CVE-2025-29602 0 0 1 0 8944954873344367790 +github:305977168 2021-06-18 2023-01-10 f https://github.com/puckiestyle/CVE-2020-1472 CVE-2020-1472 0 0 1 0 7951042620290245092 +github:1090854801 2025-11-06 2025-11-06 f https://github.com/rockmelodies/django_sqli_target_CVE-2025-64459 CVE-2025-64459 0 0 0 0 762366964809337409 +github:948358240 2025-03-14 2026-07-28 f https://github.com/absholi7ly/POC-CVE-2025-24813 his repository contains an automated Proof of Concept (PoC) script for exploiting **CVE-2025-24813**, a Remote Code Execution (RCE) vulnerability in Apache Tomcat. The vulnerability allows an attacker to upload a malicious serialized payload to the server, leading to arbitrary code execution via deserialization when specific conditions are met. CVE-2025-24813 43 195 2 195 5005169028514016348 +github:393324498 2022-11-18 2021-08-06 f https://github.com/w33vils/CVE-2020-35847_CVE-2020-35848 CVE-2020-35847, CVE-2020-35848 : Account Takeover CVE-2020-35847 2 0 1 0 7961398181204625959 +github:435810052 2023-02-14 2026-07-19 f https://github.com/jas502n/Grafana-CVE-2021-43798 Grafana Unauthorized arbitrary file reading vulnerability CVE-2021-43798 85 369 6 369 5276467936325263244 +github:1267449244 2026-06-12 2026-07-23 f https://github.com/AmesianX/CVE-2026-53435 An offensive security researcher + an AI vs. a fresh n-day: building the first public PoC for CVE-2026-53435 in one Friday night. Raw 8h20m log inside. CVE-2026-53435 2 10 0 10 6558168835120217638 +github:1011882826 2025-07-01 2025-07-02 f https://github.com/4f-kira/CVE-2025-32463 CVE-2025-32463 2 1 1 1 937490018679975715 +github:1119511009 2025-12-19 2025-12-28 f https://github.com/lamaper/CVE-2025-55182-Toolbox CVE-2025-55182 0 1 0 1 1411223470506958199 +github:604944329 2023-03-21 2024-11-26 f https://github.com/Sumitpathania03/Drupal-cve-2019-6340 CVE-2019-6340 0 0 1 0 5573581519791603405 +github:312934644 2020-11-15 2020-11-15 f https://github.com/jpvispo/RCE-Exploit-Bolt-3.7.0-CVE-2020-4040-4041 CVE-2020-4040 0 0 1 0 3057650514872429339 +github:1105930928 2026-07-27 2026-07-27 f https://github.com/gui-ying233/CVE-2025-61638 CVE-2025-61638 PoC CVE-2025-61638 0 1 1 1 1987926270655464618 +github:854599651 2024-09-09 2024-09-09 f https://github.com/lisu60/cve-2018-6574 CVE-2018-6574 0 0 1 0 8754959925851985905 +github:437848570 2025-03-20 2026-07-08 f https://github.com/0xsyr0/Log4Shell This repository contains all gathered resources we used during our Incident Reponse on CVE-2021-44228 and CVE-2021-45046 aka Log4Shell. CVE-2021-44228 1 6 2 6 3370296007780048556 +github:443794329 2022-01-03 2022-01-03 f https://github.com/scent2d/PoC-CVE-2016-10555 CVE-2016-10555 PoC code CVE-2016-10555 1 0 1 0 4447062913933065658 +github:719336739 2023-11-16 2023-11-16 f https://github.com/LUCASRENAA/CVE-2018-25031 CVE-2018-25031 0 0 1 0 3655537586327061972 +github:1258531944 2026-06-03 2026-06-03 f https://github.com/DanieleGiovanardi2408/cve-2024-36401-geoserver-rce CVE-2024-36401 0 0 0 0 8498052807527009733 +github:706044499 2023-10-18 2026-07-11 f https://github.com/chaudharyarjun/LooneyPwner Exploit tool for CVE-2023-4911, targeting the 'Looney Tunables' glibc vulnerability in various Linux distributions. CVE-2023-4911 9 43 2 43 123602354098352415 +github:934949924 2025-10-14 2026-02-22 f https://github.com/rxerium/CVE-2025-26466 The OpenSSH client and server are vulnerable to a pre-authentication DoS attack between versions 9.5p1 to 9.9p1 (inclusive) that causes memory and CPU consumption CVE-2025-26466 0 5 2 5 5720790724895720435 +github:1111650559 2025-12-07 2026-06-07 f https://github.com/zr0n/react2shell A complete framework for exploiting the vulnerability CVE-2025-55182 CVE-2025-55182 4 9 0 9 2614565151486509190 +github:952014767 2025-10-08 2025-10-08 f https://github.com/barteeees/SwaggerUI-CVE-2016-1000229 CVE-2016-1000229 CVE-2016-1000229 0 0 1 0 1181903985921429433 +github:851266445 2024-09-04 2024-09-04 f https://github.com/m-lito13/SealSecurity_Exam Fix prototype pollution vulnerability (CVE-2023-26136) for tough-cookie package CVE-2023-26136 0 0 1 0 434049892375794496 +github:849537237 2024-08-29 2024-08-29 f https://github.com/r0binak/CVE-2024-7646 PoC CVE-2024-7646 CVE-2024-7646 0 0 1 0 9200222454375277381 +github:1112718085 2025-12-09 2025-12-09 f https://github.com/bohemian-miser/CVE-2025-65018_Exploit_Challenge CVE-2025-65018 0 0 0 0 5773536882801684740 +github:1276878433 2026-06-23 2026-06-23 f https://github.com/InertFluid/sk-cve-2026-26030-lab Ethical, network-isolated Docker lab reproducing CVE-2026-26030 — Semantic Kernel in-memory vector store filter eval() RCE (patched in 1.39.4) CVE-2026-26030 1 1 0 1 2301278310320445279 +github:759317557 2024-02-18 2024-02-18 f https://github.com/132231g/CVE-2018-7602 CVE-2018-7602 0 0 1 0 4131344134519370452 +github:1138088720 2026-01-20 2026-01-20 f https://github.com/GabrielCF10/CVE-2024-25641---Cacti Cacti exploit CVE-2024-25641 0 0 0 0 6027573241257850753 +github:849386236 2024-08-29 2026-03-08 f https://github.com/NasrallahBaadi/CVE-2019-15107 CVE-2019-15107 Webmin unauthenticated RCE CVE-2019-15107 0 3 1 3 8281857758080046928 +github:1199938945 2026-04-02 2026-05-26 f https://github.com/kikechans/-Grafana-LFI-CVE-2021-43798 📂 Grafana LFI Exploit (CVE-2021-43798). Extracción automatizada de credenciales y configuración. 🕵️ CVE-2021-43798 0 0 0 0 1149414220876787653 +github:1167786666 2026-02-26 2026-02-26 f https://github.com/androidteacher/REACT-CVE-2025-55182-Lab Lab with PoC CVE-2025-55182 0 0 0 0 7189075537908105135 +github:471181143 2022-08-19 2022-03-19 f https://github.com/RodricBr/CVE-2021-3156 CVE-2021-3156 CVE-2021-3156 0 1 1 1 3628517415283992701 +github:1130507384 2026-01-08 2026-07-13 f https://github.com/momika233/CVE-2025-55182-bypass CVE-2025-55182-bypass-waf CVE-2025-55182 4 31 0 31 5760218668421770690 +github:779978033 2024-04-07 2026-04-08 f https://github.com/jfrog/cve-2024-3094-tools CVE-2024-3094 8 45 5 45 4199984462176970296 +github:618236086 2023-04-03 2025-04-07 f https://github.com/gobysec/CVE-2023-1454 jeecg-boot unauthorized SQL Injection Vulnerability (CVE-2023-1454) CVE-2023-1454 0 4 1 4 156797884684412074 +github:1237076626 2026-05-12 2026-05-12 f https://github.com/bk-security/auth-header-trust-rules Semgrep rules that flag header-trust auth bypass patterns (CVE-2025-29927 class). Companion to bk-security.github.io. CVE-2025-29927 0 0 0 0 8428537097998247745 +github:441161826 2021-12-23 2021-12-23 f https://github.com/dileepdkumar/https-github.com-dileepdkumar-https-github.com-pravin-pp-log4j2-CVE-2021-45105 CVE-2021-45105 0 0 1 0 1344692930709541894 +github:1110626494 2025-12-06 2026-05-25 f https://github.com/grp-ops/react2shell Lightweight scanner and Nuclei templates for identifying React and Next.js deserialization RCEs (CVE-2025-55182 / CVE-2025-66478). CVE-2025-55182 0 4 0 4 6047968202641881978 +github:1242279173 2026-05-18 2026-05-18 f https://github.com/mgiay/CVE-2026-8053-MongoDB Desc "CVE-2026-8053 CHECKER"-20260518-16h30-GMT+7 CVE-2026-8053 0 0 0 0 4032846568550617778 +github:129800155 2018-04-18 2026-07-29 f https://github.com/firefart/CVE-2018-7600 CVE-2018-7600 - Drupal 7.x RCE CVE-2018-7600 33 71 1 71 4328765344325854065 +github:322992127 2020-12-22 2021-02-23 f https://github.com/twistlock/k8s-cve-2020-8554-mitigations Prisma Cloud Compute Admission rules to mitigate Kubernetes CVE-2020-8554 CVE-2020-8554 1 1 4 1 2103970319621382015 +github:616502386 2023-04-03 2023-06-17 f https://github.com/53buahapel/log4shell-vulnweb this web is vulnerable against CVE-2021-44228 CVE-2021-44228 0 0 1 0 2554734261590970160 +github:1171367991 2026-04-05 2026-04-05 f https://github.com/lucastran05/CVE-2023-48223 CVE-2023-48223 0 0 0 0 8706011216394746886 +github:552810113 2022-10-17 2023-01-13 f https://github.com/kailing0220/CVE-2019-5418 Ruby on Rails是一个 Web 应用程序框架,是一个相对较新的 Web 应用程序框架，构建在 Ruby 语言之上。这个漏洞主要是由于Ruby on Rails使用了指定参数的render file来渲染应用之外的视图，我们可以通过修改访问某控制器的请求包，通过“…/…/…/…/”来达到路径穿越的目的，然后再通过“{{”来进行模板查询路径的闭合，使得所要访问的文件被当做外部模板来解析。 CVE-2019-5418 0 2 1 2 6904181575392664609 +github:338988423 2021-02-21 2021-02-21 f https://github.com/DXY0411/CVE-2020-8637 CVE-2020-8637 1 0 1 0 6611670120166372704 +github:1279612830 2026-07-02 2026-06-24 f https://github.com/test-avm-714877d2df585126/vuln-ejs-critical npm repo with ejs CVE-2022-29078 (CVSS 9.8, EPSS 32%) for Dependabot automerge testing CVE-2022-29078 0 0 0 0 704176751479424636 +github:1149962875 2026-02-04 2026-02-04 f https://github.com/Evillm/CVE-2024-45590-PoC CVE-2024-45590 0 0 0 0 1553496795513360091 +github:190598569 2019-06-06 2023-07-13 f https://github.com/MaxSecurity/CVE-2017-7529-POC CVE-2017-7529 6 4 0 4 8228299376296436872 +github:1232308981 2026-05-07 2026-05-07 f https://github.com/wyllowSec/Magnohost-Vulnerabilities-pentest pentest on MagnoHost hosting provider & MeteorCloud infrastructure with 15+ servers mapped. Findings: MariaDB exposed on 6 servers, OmniDialer default creds → full access (103k CDR records), Wings CVE-2024-27102 (CVSS 9.9), Grafana 13.0.1 exposed, DMARC spoofing. Only curl_cffi + Python. Zero automated scanners. CVE-2024-27102 0 1 0 1 4083857976753275601 +github:895417013 2025-02-07 2026-04-11 f https://github.com/ainrm/Jrohy-trojan-unauth-poc CVE-2024-55215 CVE-2024-55215 2 2 1 2 6079712100765371266 +github:261951068 2020-05-09 2024-08-12 f https://github.com/lovelyjuice/cve-2020-11651-exp-plus CVE-2020-11651 2 5 1 5 1847825506613888768 +github:1248761684 2026-05-25 2026-05-25 f https://github.com/duckpigdog/Tomcat-AJP-CVE-2020-1938 Tomcat AJP文件读取/包含漏洞 CVE-2020-1938 0 0 0 0 211412271476809045 +github:554993751 2022-10-20 2022-11-17 f https://github.com/mileticluka1/eval-stdin Automated Exploit for CVE-2017-9841 (eval-stdin.php vulnerable file) CVE-2017-9841 0 0 1 0 3337433528637486044 +github:1008143364 2025-06-25 2025-06-25 f https://github.com/hdgokani/CVE-2018-1273 CVE-2018-1273 0 0 0 0 928295966034353911 +github:477716252 2022-04-07 2022-11-09 f https://github.com/fracturelabs/spring4shell_victim Intentionally vulnerable Spring app to test CVE-2022-22965 CVE-2022-22965 2 2 0 2 8557132124122369928 +github:531854393 2022-09-02 2022-11-10 f https://github.com/Louzogh/CVE-2021-31800 CVE-2021-31800 POC CVE-2021-31800 0 2 1 2 5420432063942673855 +github:779474128 2024-03-30 2026-07-11 f https://github.com/HackerHermanos/CVE-2024-3094_xz_check This repository contains a Bash script and a one-liner command to verify if a system is running a vulnerable version of the "xz" utility, as specified by CVE-2024-3094. CVE-2024-3094 0 9 0 9 1127922154390259283 +github:437331756 2021-12-22 2022-03-01 f https://github.com/LongWayHomie/CVE-2021-43798 CVE-2021-43798 is a vulnerability marked as High priority (CVSS 7.5) leading to arbitrary file read via installed plugins in Grafana application. CVE-2021-43798 0 1 1 1 4486143953009581269 +github:359666835 2021-04-20 2026-03-26 f https://github.com/gejian-iscas/CVE-2020-14364 CVE-2020-14364 1 3 1 3 7332441952375647262 +github:437579874 2021-12-12 2021-12-12 f https://github.com/gixxyboy/CVE-2021-43798 CVE-2021-43798 0 0 1 0 530481113692303500 +github:955218680 2025-03-26 2025-03-28 f https://github.com/1w4y/IngressNightmare-RCE-POC PoC for CVE-2025-1974: Critical RCE in Ingress-NGINX ( OpenClaw security audit and hardened deployment guide — known vulnerabilities (CVE-2026-25253, malicious skills, credential leakage), architectural mitigations, and a step-by-step VPS deployment plan CVE-2026-25253 0 2 0 2 445727934913633899 +github:853424899 2024-09-06 2024-09-06 f https://github.com/qlusec/CVE-2019-10149 test POC for CVE-2019-10149 CVE-2019-10149 0 0 1 0 997751469697385531 +github:580862925 2022-12-21 2022-12-21 f https://github.com/DataFox/CVE-2022-0847 CVE-2022-0847 CVE-2022-0847 1 0 1 0 1300041460120802032 +github:484263730 2022-04-22 2024-05-31 f https://github.com/Lidong-io/cve-2022-29464 cve-2022-29464 批量脚本 CVE-2022-29464 2 5 1 5 5380337247733637312 +github:998751547 2025-06-09 2025-06-09 f https://github.com/TopskiyPavelQwertyGang/Review.CVE-2021-3156 CVE-2021-3156-Exploit-Demo CVE-2021-3156 0 0 0 0 3212719113819615742 +github:664102574 2023-07-09 2023-07-09 f https://github.com/cxdxnt/CVE-2022-24715 Icinga Web 2 - Authenticated Remote Code Execution <2.8.6, <2.9.6, <2.10 CVE-2022-24715 0 0 1 0 2943570111923774781 +github:1004051602 2025-06-18 2026-07-25 f https://github.com/imbas007/CVE-2025-3248 CVE-2025-3248 0 2 0 2 580668907724157851 +github:1157356491 2026-02-13 2026-02-28 f https://github.com/Wyl-cmd/CVE-2025-55182 针对 Next.js 原型污染漏洞 (CVE-2025-55182) 的高效批量检测工具。 CVE-2025-55182 0 1 0 1 4537723134325519318 +github:835900082 2025-04-06 2026-07-11 f https://github.com/Chocapikk/CVE-2024-36401 GeoServer Remote Code Execution CVE-2024-36401 12 89 1 89 8407596573104548285 +github:1096297669 2025-11-14 2026-02-25 f https://github.com/shinyseam/CVE-2025-64513 PoC for CVE-2025-64513 — Milvus Proxy Authentication Bypass Vulnerability Batch scanner to verify unauthorized access and gather Milvus version, health, and database info. For security research and defensive validation only. CVE-2025-64513 0 1 0 1 3654296866579045305 +github:656753963 2023-06-24 2023-06-23 f https://github.com/sonpt-afk/CVE-2018-11776-FIS CVE-2018-11776 1 0 1 0 6009934430424593051 +github:1252899308 2026-05-29 2026-05-29 f https://github.com/LuizHenz/PoC-CVE-2025-55182 CVE-2025-55182 0 0 0 0 1111632797166694892 +github:323590787 2020-12-23 2026-05-13 f https://github.com/flyniu666/ingress-nginx-0.21-1.19.5 based on nginx 1.19.5 to fix for CVE-2018-16843, CVE-2018-16844, CVE-2019-9511, CVE-2019-9513, and CVE-2019-9516 CVE-2018-16843 1 1 1 1 7493054842834852005 +github:295692006 2020-09-15 2021-05-12 f https://github.com/0xkami/CVE-2020-1472 CVE-2020-1472漏洞复现过程 CVE-2020-1472 2 2 1 2 5721128966678713479 +github:658701464 2023-06-26 2026-01-11 f https://github.com/Lserein/CVE-2023-35844 Lightdash文件读取漏洞（CVE-2023-35844） CVE-2023-35844 2 20 1 20 8884371618753100004 +github:1039900423 2025-10-30 2025-08-18 f https://github.com/shoucheng3/apache__camel_CVE-2018-8041_2-20-3 CVE-2018-8041 0 0 0 0 6816392158330139772 +github:1047451676 2025-08-30 2026-07-08 f https://github.com/drcrypterdotru/PHPUnit-GoScan PHPUnit CVE-2017-9841 Scanner in Go clean and fire. CVE-2017-9841 0 4 0 4 7090622104066436926 +github:234598729 2020-01-20 2024-08-12 f https://github.com/YoannDqr/CVE-2020-0601 CurveBall CVE exploitation CVE-2020-0601 1 2 1 2 4553608373203179645 +github:634732295 2023-06-03 2023-05-01 f https://github.com/Zoo1sondv/CVE-2021-3129 CVE-2021-3129 0 0 1 0 869652028832550325 +github:697994632 2023-09-28 2023-10-06 f https://github.com/sromanhu/CVE-2023-44771_ZenarioCMS--Stored-XSS---Page-Layout Zenariocms 9.4.59197 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload to the Page Layout CVE-2023-44771 0 0 1 0 5695056247011201426 +github:864440771 2024-09-28 2024-09-28 f https://github.com/paragbagul111/CVE-2024-33209 FlatPress 1.3. is vulnerable to Cross Site Scripting (XSS). An attacker can inject malicious JavaScript code into the "Add New Entry" section, which allows them to execute arbitrary code in the context of a victim's web browser. CVE-2024-33209 0 0 1 0 8786500271544234345 +github:1110264856 2025-12-05 2025-12-13 f https://github.com/ZihxS/check-react-rce-cve-2025-55182 Security scanner to detect CVE-2025-55182 & CVE-2025-66478 vulnerabilities in React Server Components (RSC) projects CVE-2025-55182 0 5 0 5 1415949555313465743 +github:548270214 2022-12-26 2022-12-26 f https://github.com/Timon-L/3007Project Secure coding project, research on CVE-2019-17498 and implement a player score function written in C. CVE-2019-17498 0 0 1 0 5401431207543027131 +github:1096962362 2025-11-15 2025-11-15 f https://github.com/zhulin837/checkmk_cve-2024-0670 CVE-2024-0670 0 0 0 0 8492516498003586134 +github:754184572 2024-02-09 2024-11-09 f https://github.com/Praison001/CVE-2024-23897-Jenkins-Arbitrary-Read-File-Vulnerability Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system. CVE-2024-23897 1 3 1 3 572950605935223601 +github:1140756370 2026-01-30 2026-03-12 f https://github.com/Sairbo/Unihackers---CVE-2025-55182- CVE-2025-55182 0 2 0 2 1501643867263080706 +github:656683228 2023-06-21 2023-09-19 f https://github.com/MithatGuner/CVE-2021-46704-POC CVE-2021-46704 GenieACS Command Injection POC CVE-2021-46704 0 2 1 2 818553120514056061 +github:438299030 2021-12-29 2026-04-09 f https://github.com/wortell/log4j Repo containing all info, scripts, etc. related to CVE-2021-44228 CVE-2021-44228 3 9 2 9 4941204153368958721 +github:937303928 2025-02-22 2025-02-22 f https://github.com/HarshRajSinghania/CVE-2023-1545-Exploit Example usage: exploit.sh http://site.com CVE-2023-1545 0 0 1 0 6685590132682859864 +github:164355216 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2018-7600 cve-2018-7600 CVE-2018-7600 0 0 0 0 8729827334113298801 +github:438931405 2021-12-16 2024-12-18 f https://github.com/shamo0/CVE-2021-44228 log4shell (CVE-2021-44228) scanning tool CVE-2021-44228 1 4 2 4 3476603176343716504 +github:598074392 2023-02-06 2025-09-22 f https://github.com/Vulnmachines/imagemagick-CVE-2022-44268 Imagemagick CVE-2022-44268 CVE-2022-44268 1 8 1 8 7358155226625728691 +github:724490342 2023-11-28 2024-09-10 f https://github.com/dr-cable-tv/Geoserver-CVE-2023-25157 Geoserver SQL Injection Exploit CVE-2023-25157 0 2 1 2 4743394150623587647 +github:819728794 2024-06-25 2024-06-25 f https://github.com/bahe-msft/govuln-CVE-2023-47108 CVE-2023-47108 0 0 0 0 5013639577699729077 +github:1150953129 2026-02-13 2026-02-13 f https://github.com/seal-sec-demo-2/yaml-payload SnakeYAML CVE-2022-1471 exploit payload for demo CVE-2022-1471 0 0 0 0 6613352816696825447 +github:818783620 2024-06-22 2026-01-10 f https://github.com/bigb0x/CVE-2024-31982 POC for CVE-2024-31982: XWiki Platform Remote Code Execution > 14.10.20 CVE-2024-31982 3 10 1 10 298103339824610554 +github:821028616 2024-06-27 2024-06-27 f https://github.com/ArturArz1/TestCVE-2024-34102 CVE-2024-34102 0 0 1 0 3390336469375515541 +github:1116149498 2025-12-14 2025-12-14 f https://github.com/ProwlSec/React2Shell An advanced command-line framework for discovery, validation, and exploitation of CVE-2025-55182 and CVE-2025-66478 affecting Next.js applications using React Server Components (RSC). CVE-2025-55182 1 1 0 1 1550152220538290165 +github:201036325 2019-08-08 2024-08-12 f https://github.com/Wocanilo/CVE-2019-14537 CVE-2019-14537 PoC CVE-2019-14537 2 8 1 8 4086818477554556857 +github:1035589306 2025-08-10 2025-08-10 f https://github.com/BiiTts/POC-IngressNightmare-CVE-2025-1974 CVE-2025-1974 0 0 0 0 8133772236744489033 +github:1121635218 2026-07-16 2026-07-14 f https://github.com/synacktiv/Livepyre A tool designed to exploit CVE-2025-54068 and Remote Command Execution if the APP_KEY of the Livewire project is known. CVE-2025-54068 35 148 0 148 8576989406399724902 +github:1265882122 2026-06-11 2026-06-11 f https://github.com/Cyber-DarkNay/CVE-2026-45034 CVE-2026-45034 0 0 0 0 713542675033914475 +github:893822925 2024-11-22 2024-11-25 f https://github.com/nanaao/cve-2021-29442-Nacos-Derby-rce-exp Nacos Derby命令执行漏洞利用脚本 CVE-2021-29442 1 0 0 0 3496543714592986069 +github:401705362 2022-03-24 2022-03-24 f https://github.com/maikroservice/CVE-2021-40373 CVE-2021-40373 - remote code execution CVE-2021-40373 0 1 1 1 8701286687710626884 +github:893761573 2025-02-06 2025-11-09 f https://github.com/wubinworks/magento2-template-filter-patch Magento 2 patch for CVE-2022-24086, CVE-2022-24087. Fix the RCE vulnerability and related bugs by performing deep template variable escaping. If you cannot upgrade Magento or cannot apply the official patches, try this one. CVE-2022-24086 1 0 1 0 2414862722062949235 +github:931220183 2025-02-12 2026-01-13 f https://github.com/0xbassiouny1337/CVE-2024-42009 This script exploits a stored XSS vulnerability (CVE-2024-42009) in Roundcube Webmail version 1.6.7. It injects a malicious payload into the webmail system, which, when triggered, exfiltrates email content from the victim’s inbox. CVE-2024-42009 0 4 1 4 7104130499561594358 +github:964813904 2025-04-24 2025-05-13 f https://github.com/darklotuskdb/nextjs-CVE-2025-29927-hunter Next.js CVE-2025-29927 Hunter CVE-2025-29927 0 0 1 0 6591694522470079274 +github:825170018 2024-08-02 2025-02-20 f https://github.com/N1ghtfallXxX/CVE-2023-4220 Chamilo LMS Unauthenticated Remote Code Execution CVE-2023-4220 0 1 1 1 2338995339411682979 +github:821056402 2025-01-12 2025-07-01 f https://github.com/th3gokul/CVE-2024-34102 CVE-2024-34102: Unauthenticated Magento XXE CVE-2024-34102 1 14 1 14 4348540691830366845 +github:571625311 2022-11-28 2022-11-29 f https://github.com/clemoregan/SSE4-CVE-2022-22965 CVE-2022-22965 proof of concept CVE-2022-22965 0 1 1 1 8189388814149904141 +github:585629170 2023-05-05 2026-01-26 f https://github.com/sAsPeCt488/CVE-2022-46169 PoC for CVE-2022-46169 - Unauthenticated RCE on Cacti <= 1.2.22 CVE-2022-46169 7 29 1 29 271768126556886297 +github:1258822910 2026-06-04 2026-06-04 f https://github.com/SuriyaBoon/HackTheBox-Facts HTB Facts is a Easy Linux box featuring Camaleon CMS and MinIO. Gain admin access via open registration and a mass assignment vulnerability, then extract MinIO credentials from admin settings. Use CVE-2024-46987 path traversal to steal an SSH private key, crack its passphrase, and escalate to root by abusing sudo permissions on facter via GTFOBins. CVE-2024-46987 0 0 0 0 7181160117342234020 +github:1014544544 2025-07-05 2025-07-06 f https://github.com/ruizii/CVE-2024-9264 Grafana RCE CVE-2024-9264 0 0 0 0 2136803720342070382 +github:1281251428 2026-07-02 2026-07-02 f https://github.com/e-corp-demo/CVE-2026-44788 CVE-2026-44788 0 0 0 0 2158141820082915767 +github:346434188 2021-03-10 2021-03-10 f https://github.com/erranfenech/CVE-2021-21300 CVE-2021-21300 1 0 1 0 6001807902515620644 +github:1119682601 2025-12-19 2025-12-19 f https://github.com/mahaveer-choudhary/CVE-2025-55182 A Python-based security scanner for detecting and exploiting **React Server Components (RSC)** vulnerabilities in Next.js applications. This tool performs passive detection, active fingerprinting, and RCE exploitation testing. CVE-2025-55182 1 0 0 0 4955615356387600992 +github:802725660 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-POC CVE-2024-32002 0 0 1 0 1922804821125265057 +github:1308188860 2026-07-21 2026-07-21 f https://github.com/lazarus0x1337/CVE-2026-25632 CVE-2026-25632 — Fix Unsafe JSON Deserialization Leading to Remote Code Execution CVE-2026-25632 0 1 0 1 8478486451376202986 +github:464271089 2024-10-28 2024-10-28 f https://github.com/skentagon/CVE-2021-41773 CVE-2021-41773 0 0 1 0 8344692134456213198 +github:1156337399 2026-04-15 2026-04-15 f https://github.com/boboaung1337/CVE-2025-6019 CVE-2025-6019 0 0 0 0 9097257578476732289 +github:1292003541 2026-07-15 2026-07-28 f https://github.com/IJBaig/CVE-2021-3156 CVE-2021-3156 (Baron Samedit) Report and Research CVE-2021-3156 0 0 0 0 3582827629130726132 +github:825375455 2024-07-07 2025-08-22 f https://github.com/dollarboysushil/Chamilo-LMS-Unauthenticated-File-Upload-CVE-2023-4220 Unrestricted file upload in big file upload functionality in `/main/inc/lib/javascript/bigupload/inc/bigUpload.php` in Chamilo LMS <= v1.11.24 allows unauthenticated attackers to perform stored cross-site scripting attacks and obtain remote code execution via uploading of web shell. CVE-2023-4220 0 1 1 1 1651463739173957528 +github:755475889 2024-02-10 2024-05-22 f https://github.com/afine-com/CVE-2024-24816 CKEditor 4 < 4.24.0-lts - XSS vulnerability in samples that use the "preview" feature. CVE-2024-24816 1 2 0 2 6237712495695912093 +github:1278506779 2026-06-23 2026-06-23 f https://github.com/s1lentf00thold/CVE-2021-21425-RCE CVE-2021-21425 0 0 0 0 6399112296707618521 +github:855575621 2024-09-11 2024-09-11 f https://github.com/kodaichodai/CVE-2024-0588 a PoC for CVE-2024-0588/WP Plugin - Paid Memberships Pro (<= 2.12.7) CVE-2024-0588 0 0 1 0 3885285695217679261 +github:955752404 2025-04-01 2025-04-01 f https://github.com/iSee857/CVE-2025-30208-PoC Vite-CVE-2025-30208动态检测脚本，支持默认路径，自定义路径动态检测 CVE-2025-30208 0 0 1 0 3973709319399918513 +github:959811174 2025-09-08 2026-01-13 f https://github.com/4m3rr0r/CVE-2025-30208-PoC CVE-2025-30208 - Vite Arbitrary File Read PoC CVE-2025-30208 0 7 1 7 188908476429715909 +github:274630432 2020-06-24 2020-06-24 f https://github.com/cyberharsh/Php-unit-CVE-2017-9841 CVE-2017-9841 0 0 1 0 4214870491920111284 +github:230083007 2020-09-20 2024-08-12 f https://github.com/andripwn/django_cve201919844 PoC for CVE-2019-19844 ( https://www.djangoproject.com/weblog/2019/dec/18/security-releases/ ) CVE-2019-19844 2 8 1 8 437316001001368913 +github:1249032554 2026-05-25 2026-05-25 f https://github.com/junn34/POC_CVE-2024-10829 CVE-2024-10829 analysis CVE-2024-10829 0 0 0 0 6016099138685326397 +github:323575291 2020-12-22 2022-03-20 f https://github.com/yaunsky/CVE-2017-11610 Supervisord远程命令执行漏洞脚本 CVE-2017-11610 2 4 1 4 3414820681844268852 +github:821393232 2024-07-01 2026-01-01 f https://github.com/11whoami99/CVE-2024-34102 POC for CVE-2024-34102 : Unauthenticated Magento XXE and bypassing WAF , You will get http connection on ur webhook CVE-2024-34102 0 3 1 3 8752337155180667599 +github:940402282 2025-02-28 2026-06-13 f https://github.com/mallo-m/CVE-2024-47051 Mautic < 5.2.3 Authenticated RCE CVE-2024-47051 0 4 2 4 5088735612123857170 +github:390354257 2021-07-28 2021-12-29 f https://github.com/f4T1H21/dirty_sock Local Privilege Escalation via snapd (CVE-2019-7304) Remastered PoC exploit CVE-2019-7304 0 1 1 1 3363197673591446101 +github:733795826 2023-12-20 2024-01-05 f https://github.com/KharimMchatta/basketcraft this is a script that exploits the CVE-2023-27163 vulnerability which is request-basket SSRF CVE-2023-27163 0 1 1 1 7219115190207314790 +github:971977543 2025-04-24 2026-06-15 f https://github.com/r0ngy40/CVE-2025-30208-Series Analysis of the Reproduction of CVE-2025-30208 Series Vulnerabilities CVE-2025-30208 0 3 1 3 7799163609280846195 +github:1059525422 2025-09-21 2025-09-21 f https://github.com/iteride/CVE-2025-32433 test CVE-2025-32433 0 1 0 1 5259246813515984137 +github:402656166 2021-09-03 2024-08-12 f https://github.com/qiezi-maozi/CVE-2021-3019-Lanproxy CVE-2021-3019 1 0 1 0 3567183467926030408 +github:414013246 2021-10-06 2026-02-28 f https://github.com/lorddemon/CVE-2021-41773-PoC CVE-2021-41773 22 39 1 39 2521524437148370706 +github:1007613332 2025-06-24 2025-06-24 f https://github.com/wooluo/CVE-2022-25581 CVE-2022-25581 1 0 0 0 1885798755200050264 +github:1196731811 2026-03-31 2026-03-31 f https://github.com/wcnmwcis/CVE-2026-22777 ComfyUI-Manager Remote Code Execution exploit. Covers CVE-2025-67303 (config file exposure) and CVE-2026-22777 (CRLF injection). Includes Python script, Nuclei template, and evil git server. CVE-2025-67303 0 0 0 0 9125157305606115318 +github:335868582 2021-09-13 2026-04-03 f https://github.com/somatrasss/weblogic2021 CVE-2021-1994、CVE-2021-2047、CVE-2021-2064、CVE-2021-2108、CVE-2021-2075、CVE-2019-17195、CVE-2020-14756、CVE-2021-2109 CVE-2019-17195 3 12 1 12 6988408716531097918 +github:395682414 2021-10-12 2021-11-18 f https://github.com/0x7183/CVE-2021-3156 Sudo Heap Overflow Baron Samedit CVE-2021-3156 1 1 1 1 2916812663758812183 +github:452904923 2022-01-28 2022-03-11 f https://github.com/lnwza0x0a/CVE-2020-29599 CVE-2020-29599 2 1 1 1 7805756132081774531 +github:1054031934 2025-11-30 2025-11-30 f https://github.com/waleedadam360-web/SyncShield SyncShield - Browser Extension to Detect Unsafe Rsync Commands (CVE-2018-5764) CVE-2018-5764 0 0 0 0 2950505382303477760 +github:418481558 2021-10-18 2025-06-16 f https://github.com/zerodaywolf/CVE-2021-41773_42013 Lab setup for CVE-2021-41773 (Apache httpd 2.4.49) and CVE-2021-42013 (Apache httpd 2.4.50). CVE-2021-41773 2 1 1 1 7455325532733664706 +github:478766830 2022-04-07 2026-07-03 f https://github.com/alt3kx/CVE-2022-22965 Spring Framework RCE (CVE-2022-22965) Nmap (NSE) Checker (Non-Intrusive) CVE-2022-22965 14 99 2 99 6681737155159392900 +github:113078841 2017-12-23 2026-03-29 f https://github.com/chrisjd20/cve-2017-9805.py Better Exploit Code For CVE 2017 9805 apache struts CVE-2017-9805 8 21 1 21 744971701006279206 +github:917513746 2025-01-16 2025-10-09 f https://github.com/mrmtwoj/CVE-2023-25136 This vulnerability is of the "double-free" type, which occurs during the processing of key exchange (KEX) algorithms in OpenSSH. A "double-free" vulnerability happens when memory that has already been freed is freed again. This issue can indirectly lead to remote code execution (RCE) by an attacker. CVE-2023-25136 1 1 1 1 6760384741799343799 +github:1208159714 2026-04-20 2026-07-26 f https://github.com/Ghxstsec/CVE-2025-8110 CVE-2025-8110 3 4 0 4 8998064475244883990 +github:200948343 2019-08-07 2026-01-28 f https://github.com/oneoy/CVE-2019-13272 linux 提权 CVE-2019-13272 9 4 1 4 8138129173956537501 +github:1307210278 2026-07-21 2026-07-21 f https://github.com/DappaNISM/mass_cve-2021-41773 mass_cve-2021-41773 CVE-2021-41773 0 0 0 0 4327364422996645730 +github:632960690 2023-04-26 2023-04-29 f https://github.com/JlSakuya/CVE-2022-0847-container-escape A simple exploit that uses dirtypipe to inject shellcode into runC entrypoint to implement container escapes. CVE-2022-0847 1 2 1 2 7730612992914871562 +github:895756163 2024-11-28 2025-11-23 f https://github.com/mbadanoiu/CVE-2022-41678 CVE-2022-41678: Dangerous MBeans Accessible via Jolokia API in Apache ActiveMQ CVE-2022-41678 0 2 1 2 7918101698460177041 +github:1122309968 2025-12-25 2025-12-25 f https://github.com/intelligent-ears/CVE-2025-68613 CVE-2025-68613 0 0 0 0 277296878162762747 +github:474902004 2022-03-28 2022-03-28 f https://github.com/Tankirat/CVE-2017-5638 CVE-2017-5638 0 0 1 0 3153075332398286272 +github:183349186 2019-04-25 2024-08-12 f https://github.com/knqyf263/CVE-2019-6467 CVE-2019-6467 (BIND nxdomain-redirect) CVE-2019-6467 7 26 1 26 3524579691762174826 +github:611714461 2023-03-09 2023-03-09 f https://github.com/sei-fish/CVE-2021-22205 CVE-2021-22205 0 0 1 0 7084780869989583290 +github:334242353 2021-01-31 2025-05-03 f https://github.com/mbcrump/CVE-2021-3156 Notes regarding CVE-2021-3156: Heap-Based Buffer Overflow in Sudo CVE-2021-3156 4 39 3 39 3893342631767404821 +github:1245490053 2026-05-21 2026-05-21 f https://github.com/r0binak/CVE-2026-46680 CVE-2026-46680 exploit CVE-2026-46680 0 0 0 0 8987080406016940451 +github:450827017 2022-01-24 2022-02-16 f https://github.com/jcarabantes/CVE-2022-23046 CVE-2022-23046 0 1 1 1 973960420031281620 +github:957426617 2025-03-30 2025-09-18 f https://github.com/byt3loss/CVE-2023-45878_to_RCE This script chains and automates Arbitrary File Write to RCE on Gibbon LMS through CVE-2023-45878 exploitation. CVE-2023-45878 0 2 1 2 8892960158877399845 +github:789510981 2024-04-20 2024-04-20 f https://github.com/Gaurav1020/CVE-2024-24576-PoC-Rust CVE-2024-24576 0 0 1 0 5083043111009904167 +github:452082369 2022-01-26 2026-06-26 f https://github.com/numanturle/CVE-2022-0332 CVE-2022-0332 12 46 2 46 173374324630020352 +github:1114803119 2025-12-12 2025-12-13 f https://github.com/Saturate/CVE-2025-55183 A CVE-2025-55183 secret miner CVE-2025-55183 0 2 0 2 2061505163180652880 +github:1164307130 2026-02-22 2026-04-18 f https://github.com/mbanyamer/CVE-2025-67644-LangGraph-3.0.1-SQLite-Checkpoint-SQL-Injection CVE-2025-67644 0 1 0 1 2894623176564901824 +github:1257093441 2026-06-02 2026-06-05 f https://github.com/stealth-engine/resize-image-before-upload-secure Security-hardened fork of the WordPress plugin "Resize Image Before Upload" — removes all ads/promotions and the bundled Swiper 8.2.4 library (CVE-2026-27212, CRITICAL). Core client-side image-resize feature unchanged. GPLv3. CVE-2026-27212 0 1 0 1 1125268077847362906 +github:424762276 2021-11-04 2024-11-16 f https://github.com/Hydragyrum/CVE-2021-41773-Playground Some docker images to play with CVE-2021-41773 and CVE-2021-42013 CVE-2021-41773 1 6 1 6 520276689605009380 +github:650990250 2023-06-08 2023-06-17 f https://github.com/cybfar/cve-2021-42013-httpd CVE: 2021-42013 Tested on: 2.4.49 and 2.4.50 Description: Path Traversal or Remote Code Execution vulnerabilities in Apache 2.4.49 and 2.4.50 CVE-2021-42013 1 1 1 1 1707400278354286272 +github:481674832 2022-04-15 2024-12-03 f https://github.com/h0cksr/Fastjson--CVE-2017-18349- CVE-2017-18349 0 2 1 2 4083759694406887396 +github:436563698 2021-12-09 2023-10-20 f https://github.com/Mo0ns/Grafana_POC-CVE-2021-43798 Grafana-POC任意文件读取漏洞(CVE-2021-43798) CVE-2021-43798 1 9 1 9 8749328239845541940 +github:794376820 2024-05-01 2024-05-01 f https://github.com/xsxtw/SpringFramework_CVE-2022-22965_RCE CVE-2022-22965 0 0 1 0 4519096368141701495 +github:700333818 2023-10-05 2026-01-22 f https://github.com/Green-Avocado/CVE-2023-4911 https://www.qualys.com/2023/10/03/cve-2023-4911/looney-tunables-local-privilege-escalation-glibc-ld-so.txt CVE-2023-4911 3 15 2 15 3954686341219811603 +github:951584504 2025-04-29 2025-04-29 f https://github.com/chessredoffsec/CVE-2024-44313 Estudo de Caso EPSS CVE-2024-44313 0 1 1 1 2052978002237554590 +github:358484211 2021-04-16 2021-04-16 f https://github.com/givemefivw/CVE-2021-21402 CVE-2021-21402 Jellyfin任意文件读取 Wker脚本，可批量。 CVE-2021-21402 0 0 1 0 7448374132829547191 +github:438756678 2021-12-24 2026-01-16 f https://github.com/LiveOverflow/log4shell Small example repo for looking into log4j CVE-2021-44228 CVE-2021-44228 11 72 1 72 6411509661147118648 +github:744835323 2024-12-19 2024-12-19 f https://github.com/yoryio/CVE-2023-7028 Exploit for CVE-2023-7028 - GitLab CE/EE CVE-2023-7028 1 0 1 0 6116943220538250513 +github:1010265228 2025-06-28 2025-06-28 f https://github.com/pS3ud0RAnD0m/cve-2024-4367-poc POC for PDF JS' CVE-2024-4367 vuln CVE-2024-4367 1 1 0 1 9066519989873746077 +github:1041506773 2025-10-27 2025-08-20 f https://github.com/shoucheng3/xwiki__xwiki-commons_CVE-2023-29528_14-9-rc-1 CVE-2023-29528 0 0 0 0 12111286497202832 +github:1160336850 2026-02-17 2026-02-17 f https://github.com/H4R335HR/reactshell Interactive shell client for React Server Components RCE exploitation via __proto__ pollution (CVE-2025-55182) CVE-2025-55182 0 0 0 0 7158195139169115445 +github:367561413 2021-05-18 2025-01-01 f https://github.com/I-Rinka/BIT-EternalBlue-for-macOS_Linux Exploit CVE-2017-7494 for Net Security course final Assignment. This would reveal the vulnerability of services that run in administrative priority on Linux. CVE-2017-7494 1 4 1 4 8371023343905432118 +github:1179147973 2026-03-11 2026-03-11 f https://github.com/michalAshurov/writeup-CVE-2024-3094 CVE-2024-3094 0 0 0 0 1721601149654971988 +github:1039892444 2026-02-07 2025-08-18 f https://github.com/shoucheng3/keycloak__keycloak_CVE-2022-3782_20-0-1 CVE-2022-3782 0 0 0 0 568149312688918322 +github:821684899 2024-06-29 2024-12-01 f https://github.com/PavilionQ/CVE-2023-33246-mitigation CVE-2023-33246 0 1 1 1 5688916417240174084 +github:953629777 2025-03-23 2026-06-25 f https://github.com/websecnl/CVE-2025-29927-PoC-Exploit Proof-of-Concept for Authorization Bypass in Next.js Middleware CVE-2025-29927 4 20 1 20 7512248911603825190 +github:1154791403 2026-02-10 2026-03-07 f https://github.com/matesz44/CVE-2025-49132 CVE-2025-49132: Pterodactyl Panel UnauthN LFI to RCE (w/ pearcmd) in posix sh CVE-2025-49132 0 1 0 1 555801868785297467 +github:1296755817 2026-07-10 2026-07-10 f https://github.com/ozcanpng/CVE-2025-60787 CVE-2025-60787 motionEye authenticated command injection RCE PoC CVE-2025-60787 0 0 0 0 4043391555345899185 +github:441470836 2024-01-04 2026-07-27 f https://github.com/puzzlepeaches/Log4jUnifi Exploiting CVE-2021-44228 in Unifi Network Application for remote code execution and more. CVE-2021-44228 31 170 4 170 2461123428744680613 +github:1100895126 2025-11-20 2025-12-03 f https://github.com/mylo-2001/GhostStrike Fully automated Spring4Shell (CVE-2022-22965) + GitLab RCE framework CVE-2022-22965 0 1 0 1 4085145753167057957 +github:792126842 2024-04-26 2024-04-26 f https://github.com/libertycityhacker/CVE-2023-43364-Exploit-CVE CVE-2023-43364 0 0 1 0 307753700553780772 +github:201508767 2019-08-20 2024-08-12 f https://github.com/mssalvatore/CVE-2019-14751_PoC A Proof of Concept for CVE-2019-14751 CVE-2019-14751 1 4 1 4 4745200976999104880 +github:418598904 2021-10-18 2026-07-08 f https://github.com/S1lkys/CVE-2021-40101 Survey XSS combined with CSRF leads to Admin Account Takeover in Concrete5 8.5.4 CVE-2021-40101 0 0 1 0 2427721870243588010 +github:885354155 2024-11-25 2024-11-25 f https://github.com/BaiHLiu/RuoYI-4.2-Shiro-721-Docker-PoC 若依4.2 (Shiro 1.4.1) Shiro-721 (CVE-2019-12422)漏洞复现环境 CVE-2019-12422 0 1 1 1 3755745534349605716 +github:1283354228 2026-06-29 2026-06-29 f https://github.com/gagaltotal/CVE-2026-23918-Double-free-Apache-httpd-mod_http2 Double-free in Apache httpd mod_http2 stream cleanup leading to pre-auth RCE CVE-2026-23918 0 0 0 0 9153179839175772684 +github:680918858 2024-04-06 2023-08-20 f https://github.com/h8handles/CVE-2019-9978-Python3 python3 version of the CVE-2019-9978 exploit CVE-2019-9978 0 0 1 0 5498674413035941892 +github:261161731 2020-07-10 2026-05-17 f https://github.com/jasperla/CVE-2020-11651-poc PoC exploit of CVE-2020-11651 and CVE-2020-11652 CVE-2020-11651 42 122 1 122 633290411686468652 +github:425818031 2022-09-20 2022-09-21 f https://github.com/Vulnmachines/HAProxy_CVE-2021-40346 HAProxy CVE-2021-40346 CVE-2021-40346 0 5 1 5 6803327978872650616 +github:1029298755 2025-07-30 2025-07-30 f https://github.com/0xsu3ks/CVE-2025-45346 CVE-2025-45346 0 0 0 0 4065410617217219826 +github:1153331643 2026-02-09 2026-02-09 f https://github.com/0x5chltz/CVE-2025-6019 CVE-2025-6019 0 0 0 0 8172656845859919749 +github:85517033 2017-03-20 2024-06-01 f https://github.com/boompig/cve-2016-6662 CVE-2016-6662 1 1 1 1 8485940093025791774 +github:324276134 2020-12-25 2025-03-11 f https://github.com/Al1ex/CVE-2020-11652 CVE-2020-11652 & CVE-2020-11651 CVE-2020-11652 3 6 1 6 876433293787085548 +github:178046482 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2016-9838 cve-2016-9838 CVE-2016-9838 0 0 0 0 6275032085999078720 +github:814724272 2024-06-13 2025-11-05 f https://github.com/Zombie-Kaiser/cve-2024-4367-PoC-fixed PDF.js是由Mozilla维护的基于JavaScript的PDF查看器。此漏洞允许攻击者在打开恶意 PDF 文件后立即执行任意 JavaScript 代码。这会影响所有 Firefox 用户 （<126），因为 Firefox 使用 PDF.js 来显示 PDF 文件，但也严重影响了许多基于 Web 和 Electron 的应用程序，这些应用程序（间接）使用 PDF.js 进行预览功能。 CVE-2024-4367 1 12 1 12 6139206229130583724 +github:1208064819 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-69213 CVE-2025-69213 - OpenSTAManager has a SQL Injection in ajax_complete.php (get_sedi endpoint) CVE-2025-69213 0 0 0 0 4323467064725026977 +github:160109566 2018-12-11 2018-12-11 f https://github.com/sugarvillela/CVE A collection of code pertaining to CVE-2016-0728 (various authors) CVE-2016-0728 2 1 1 1 7959622649260023110 +github:790152234 2024-04-22 2024-05-11 f https://github.com/mija-pilkaite/CVE-2022-0482_exploit A final project for "Network Security" class at NYCU (National Yang Ming Chiao Tung University, Taiwan). Exploiting a CVE in "EasyAppointments" software. CVE-2022-0482 0 1 1 1 7398600394970372615 +github:949778599 2025-08-01 2025-08-01 f https://github.com/Oyst3r1ng/CVE-2025-25763 CRMEB /system/SystemDatabackupServices.php 接口 未授权 SQL 注入漏洞 CVE-2025-25763 0 0 1 0 615744536106189472 +github:151031561 2018-10-01 2018-10-01 f https://github.com/likekabin/CVE-2018-17182 CVE-2018-17182 3 0 2 0 5478342218739811154 +github:981852578 2025-05-12 2025-05-12 f https://github.com/laishouchao/Apache-RocketMQ-RCE-CVE-2023-37582-poc CVE-2023-37582 0 0 1 0 3448944027966795204 +github:735476980 2023-12-25 2023-12-25 f https://github.com/FeatherStark/CVE-2023-51385 CVE-2023-51385 0 0 1 0 983264728932304487 +github:124373835 2018-03-08 2018-03-08 f https://github.com/thariyarox/tomcat_CVE-2018-1304_testing CVE-2018-1304 0 0 0 0 5009214876206396458 +github:1112983681 2025-12-10 2025-12-10 f https://github.com/Anthony558238/CVE-2025-65964-poc CVE-2025-65964-poc CVE-2025-65964 0 0 0 0 7824814822524893371 +github:1191125516 2026-07-28 2026-07-28 f https://github.com/ugurrates/teampcp-supply-chain-attack CVE-2026-33634 (CVSS 9.4) — The most impactful CI/CD supply chain attack of 2026 so far. CVE-2026-33634 3 11 0 11 8293059912896579841 +github:310454719 2020-11-23 2022-11-09 f https://github.com/mcorybillington/SuiteCRM-RCE Writeup on CVE-2020-28328: SuiteCRM Log File Remote Code Execution plus some bonus Cross-Site Scripting CVE-2020-28328 1 2 1 2 8641351301737482924 +github:530559822 2023-01-12 2023-01-12 f https://github.com/davwwwx/CVE-2022-21449 repo showcasing generating "psychic signatures for java" implemented in a nodejs environment 😅 CVE-2022-21449 0 0 1 0 6557268010634598881 +github:732382912 2023-12-21 2023-12-16 f https://github.com/dcm2406/CVE-2023-46604 CVE-2023-46604 0 0 1 0 201013858720670555 +github:514251107 2022-08-17 2024-08-07 f https://github.com/iveresk/cve-2018-19052 PoC for a security: potential path traversal with specific configs, if `mod_dirlisting` were enabled, which is not the default, this would result in listing the contents of the directory above the alias.. CVE-2018-19052 0 1 1 1 2463773217990914686 +github:800580605 2024-06-24 2025-11-03 f https://github.com/Cappricio-Securities/CVE-2020-27838 CVE-2020-27838 - KeyCloak - Information Exposure CVE-2020-27838 0 2 0 2 3281823246446844706 +github:324510428 2019-03-16 2022-11-30 f https://github.com/Feidao-fei/MOODLE-3.X-Remote-Code-Execution cve-2018-1133 moodle athenticated as teacher remote code execution. CVE-2018-1133 0 0 0 0 5507513158207114370 +github:848340676 2024-08-27 2025-11-03 f https://github.com/justin-p/geoexplorer Mass scanner for CVE-2024-36401 CVE-2024-36401 0 4 1 4 1017181961565430958 +github:900099379 2024-12-08 2025-09-11 f https://github.com/watchdog1337/CVE-2024-42327_Zabbix_SQLI POC for CVE-2024-42327, an authenticated SQL Injection in Zabbix through the user.get API Method CVE-2024-42327 0 3 1 3 123582275972618471 +github:401752555 2021-08-31 2026-01-28 f https://github.com/j4k0m/CVE-2016-2098 Remote code execution vulnerability in Ruby-on-Rails when using render on user-supplied data. CVE-2016-2098 0 4 1 4 3505841186097072547 +github:587678390 2026-07-22 2026-07-22 f https://github.com/fastify/send Fork of the send module to deal with CVE-2017-20165 CVE-2017-20165 15 15 9 15 3681813537815169294 +github:691229408 2023-09-13 2023-09-13 f https://github.com/smokeintheshell/CVE-2018-1000861 CVE-2018-1000861 Exploit CVE-2018-1000861 1 0 1 0 3738155997831692135 +github:396128386 2021-08-15 2025-02-16 f https://github.com/Justin-1993/CVE-2021-38699 TastyIgniter 3.0.7 allows XSS via the name field during user-account creation CVE-2021-38699 0 4 1 4 6582656698812424230 +github:414376599 2021-10-20 2026-06-22 f https://github.com/AssassinUKG/CVE-2021-41773 Apache 2.4.49 CVE-2021-41773 1 1 1 1 1451359847737379202 +github:770117095 2024-03-30 2026-06-30 f https://github.com/skyler-ferrante/CVE-2024-28085 WallEscape vulnerability in util-linux CVE-2024-28085 8 56 1 56 2067642260504531679 +github:1245398318 2026-06-04 2026-06-04 f https://github.com/0xBlackash/CVE-2026-9082 CVE-2026-9082 CVE-2026-9082 1 1 0 1 4787049438451654622 +github:129927277 2018-04-26 2026-05-28 f https://github.com/pimps/CVE-2018-7600 Exploit for Drupal 7 <= 7.57 CVE-2018-7600 CVE-2018-7600 62 141 5 141 7437119021665912387 +github:670956112 2023-07-26 2023-07-26 f https://github.com/miko550/CVE-2021-3129 Laravel RCE (CVE-2021-3129) CVE-2021-3129 1 0 1 0 2902152662559549366 +github:524458017 2022-08-14 2025-07-25 f https://github.com/EagleTube/CVE-2022-0847 Modified dirtypipe script into auto root without have to search a file manually to hijack suid binary. CVE-2022-0847 2 3 1 3 1052606834823950561 +github:1062270599 2025-09-23 2025-09-23 f https://github.com/sy460129/CVE-2025-51005 CVE-2025-51005 0 0 0 0 7959132391064227882 +github:1047571967 2025-08-30 2026-01-12 f https://github.com/cybertechajju/cve-2025-57819 Detects vulnerable FreePBX versions affected by CVE-2025-57819. CVE-2025-57819 0 6 0 6 8537446164429794003 +github:1042441688 2025-08-31 2025-08-31 f https://github.com/helloandrewpaul/Reflected-XSS-in-Vvveb-CMS-v1.0.7.2 CVE-2025-9728: Reflected XSS in Login Form (Email & Password Fields) Vvveb CMS v1.0.7.2 CVE-2025-9728 0 0 0 0 8635258322273474713 +github:550148393 2022-10-12 2022-10-12 f https://github.com/r00t4dm/Jenkins-CVE-2016-9299 CVE-2016-9299 0 0 1 0 7968373695068680137 +github:948360065 2025-03-14 2025-04-08 f https://github.com/qzy0x/cve-2025-24813_poc cve-2025-24813验证脚本 CVE-2025-24813 2 11 1 11 1374215604048833265 +github:1041519924 2025-08-20 2025-08-20 f https://github.com/replicatorbot/CVE-2025-48384 CVE-2025-48384 0 0 0 0 2164439745219242104 +github:1041932318 2025-08-21 2025-08-21 f https://github.com/user01-1/CVE-2023-41892_poc Customized this for my own use CVE-2023-41892 0 0 0 0 527219723764295084 +github:165762179 2020-09-02 2023-07-12 f https://github.com/hexrom/ImageMagick-CVE-2017-15277 PoC files for CVE-2017-15277, use with neex/gifoeb CVE-2017-15277 1 5 0 5 2368828247155533438 +github:319567021 2020-12-08 2022-06-08 f https://github.com/novysodope/CVE-2020-26217-XStream-RCE-POC CVE-2020-26217 XStream RCE POC CVE-2020-26217 0 4 1 4 4555603297987326023 +github:1017853570 2025-07-11 2025-07-24 f https://github.com/cuijiung/dubbo-CVE-2023-23638 CVE-2023-23638 0 1 0 1 3276334295382727919 +github:1236245574 2026-05-12 2026-05-12 f https://github.com/Jeanback1/CVE-2023-27163-exploit CVE-2023-27163 0 0 0 0 8926526687890889715 +github:823487291 2024-07-03 2026-07-11 f https://github.com/sxlmnwb/CVE-2024-6387 Targeting a signal handler race condition in OpenSSH's server (sshd) on glibc-based Linux systems. CVE-2024-6387 8 22 1 22 1496891800150112367 +github:1232285724 2026-06-21 2026-06-21 f https://github.com/studiomeyer-io/mcp-stdio-shellguard Defense-in-depth bundle for MCP stdio servers: drop-in guardExec/guardSpawn wrappers, AST audit CLI, reference MCP server. Closes the Ox-Security 200k-server stdio-RCE class (LiteLLM CVE-2025-69256). MIT, TypeScript, Node >= 20. CVE-2025-69256 0 0 0 0 613515181507658957 +github:1054179744 2025-09-10 2025-09-10 f https://github.com/Bishben/xwiki-15.10.8-reverse-shell-cve-2025-24893 CVE-2025-24893 RCE exploit for XWiki with reverse shell capability CVE-2025-24893 0 0 0 0 3647022078161567714 +github:1109726348 2025-12-10 2026-04-28 f https://github.com/harness-security-labs/CVE-2025-55182-checker React/Next.js React4Shell RCE CVE-2025-55182 checker CVE-2025-55182 0 1 0 1 3617086534733802376 +github:1281535388 2026-06-26 2026-06-27 f https://github.com/n0bitaemon/CVE-2026-26980-PoC Ghost CMS Content API Blind SQL Injection CVE-2026-26980 0 1 0 1 3309463844341216911 +github:271868190 2020-06-12 2023-09-04 f https://github.com/freshdemo/ApacheStruts-CVE-2018-11776 CVE-2018-11776 0 0 1 0 7151300947587050383 +github:207866616 2023-01-04 2019-09-11 f https://github.com/ZenyWay/opgp-service-cve-2019-9153 investigate vulnerability of opgp-service to message signature bypass (CVE-2019-9153) of openpgp CVE-2019-9153 0 0 1 0 8616587458852541365 +github:544347009 2022-10-24 2025-02-14 f https://github.com/Boonjune/POC-CVE-2022-30600 A proof of concept for CVE-2022-30600 CVE-2022-30600 1 3 1 3 8320388247374218142 +github:653564138 2023-06-15 2026-07-03 f https://github.com/tangxiaofeng7/CVE-2023-32315-Openfire-Bypass rce CVE-2023-32315 34 142 3 142 4316560145979937770 +github:1034685183 2026-07-02 2026-07-17 f https://github.com/Nowafen/CVE-2025-32463 This CVE addresses a vulnerability in sudo versions 1.9.14 to 1.9.17, enabling unauthorized local privilege escalation to root access. CVE-2025-32463 2 26 0 26 6734970043301275675 +github:845632603 2024-09-01 2024-09-01 f https://github.com/saimahmed/MLflow-Vuln MLflow LFI/RFI Vulnerability -CVE-2023-1177 - Reproduced CVE-2023-1177 0 0 1 0 3083050469231081976 +github:1124631889 2026-01-17 2026-03-13 f https://github.com/AntonieSoga/Erlang-OTP-PoC_CVE-2025-32433 CVE-2025-32433 1 2 0 2 7279511688032195235 +github:586260198 2023-01-07 2024-10-01 f https://github.com/wr0x00/cve-2022-23131 CVE-2022-23131 1 1 1 1 8832004213913797433 +github:1029820533 2025-07-31 2025-07-31 f https://github.com/maxntv/CVE-2023-22894-PoC CVE-2023-22894 0 0 0 0 6111954279299856223 +github:146678844 2018-08-30 2026-05-14 f https://github.com/ItinerisLtd/trellis-cve-2018-6389 Mitigate CVE-2018-6389 WordPress load-scripts / load-styles attacks CVE-2018-6389 0 13 11 13 2519719012450985957 +github:1113532918 2025-12-10 2026-01-08 f https://github.com/xhh1h/CVE-2025-55449 CVE-2025-55449 EXP CVE-2025-55449 0 3 0 3 8277448558673820406 +github:963370983 2025-04-09 2026-06-21 f https://github.com/f8l124/CVE-2025-24813-POC A simple, easy-to-use POC for CVE-2025-42813 (Apache Tomcat versions below 9.0.99). CVE-2025-24813 0 1 1 1 9218433069956750282 +github:655936339 2023-06-19 2023-06-19 f https://github.com/overgrowncarrot1/CVE-2021-22911 CVE-2021-22911 1 0 1 0 417995025243846780 +github:1199381856 2026-04-03 2026-04-03 f https://github.com/hujiaozhuzhu/CVE-2025-29927__Next.js CVE-2025-29927 - Next.js漏洞测试工具 CVE-2025-29927 1 0 0 0 5720287189285256651 +github:1150353076 2026-02-05 2026-02-05 f https://github.com/SpycioKon/CVE-2025-32463 CVE-2025-32463 CVE-2025-32463 0 0 0 0 2213578897575132254 +github:183944666 2019-06-21 2026-05-30 f https://github.com/zann1x/ITS [Course Work] Detailed explanation of CVE-2018-1000224 CVE-2018-1000224 0 0 1 0 7686488625181118386 +github:428672278 2021-11-17 2021-11-17 f https://github.com/CS4239-U6/gitlab-ssrf Demonstration of CVE-2018-19571: GitLab SSRF CVE CVE-2018-19571 1 0 1 0 4420159318114541967 +github:437660117 2021-12-13 2024-08-12 f https://github.com/momos1337/Log4j-RCE Log4j RCE - (CVE-2021-44228) CVE-2021-44228 5 7 1 7 5445644228435938488 +github:467317090 2022-03-08 2022-12-26 f https://github.com/lucksec/CVE-2022-0847 CVE-2022-0847 4 1 1 1 1387127552575871185 +github:846300471 2024-08-22 2024-08-22 f https://github.com/SpycioKon/CVE-2023-41425 Research CVE-2023-41425 0 0 1 0 5421241998010282806 +github:977250087 2025-05-03 2025-05-07 f https://github.com/theGEBIRGE/CVE-2025-32375 This repository includes everything needed to run a PoC exploit for CVE-2025-32375 in a Docker environment. It runs the latest vulnerable version of BentoML (1.4.7). CVE-2025-32375 1 3 1 3 8319755451629395094 +github:725995761 2023-12-01 2023-12-01 f https://github.com/mbadanoiu/CVE-2022-40634 CVE-2022-40634: FreeMarker Server-Side Template Injection in CrafterCMS CVE-2022-40634 0 0 1 0 4125725760460355790 +github:263322619 2020-05-12 2020-05-12 f https://github.com/RashmikaEkanayake/Privilege-Escalation-CVE-2019-13272- CVE-2019-13272 0 0 1 0 3537163438193471028 +github:328521772 2021-01-11 2021-01-11 f https://github.com/purgedemo/CVE-2018-6574 CVE-2018-6574 0 0 1 0 2895663505478751051 +github:438118026 2021-12-15 2021-12-15 f https://github.com/Woahd/log4j-urlscanner Simple Python 3 script to detect the "Log4j" Java library vulnerability (CVE-2021-44228) for a list of URL with multithreading CVE-2021-44228 0 1 1 1 5003490602267644406 +github:501886053 2022-06-10 2022-08-30 f https://github.com/YSah44/CVE-2022-31402 CVE-2022-31402 CVE-2022-31402 0 1 1 1 1510056571431308336 +github:1016015734 2025-07-12 2025-07-12 f https://github.com/r0otk3r/CVE-2024-9014 CVE-2024-9014 0 0 0 0 1770898948931355224 +github:956399187 2025-03-28 2025-04-14 f https://github.com/luq0x/0xMiddleware CVE-2025-29927: Next.js Middleware Exploit CVE-2025-29927 2 3 1 3 2452024739357245862 +github:490330900 2022-05-26 2026-05-23 f https://github.com/r3kind1e/Log4Shell-obfuscated-payloads-generator Generate primary obfuscated or secondary obfuscated CVE-2021-44228 or CVE-2021-45046 payloads to evade WAF detection. CVE-2021-44228 2 25 1 25 4952695853348799030 +github:446296593 2022-01-10 2026-05-23 f https://github.com/UzJu/Gin-Vue-admin-poc-CVE-2022-21660 CVE-2022-21660 CVE-2022-21660 1 28 1 28 2823049077913500727 +github:844114285 2025-03-28 2025-03-28 f https://github.com/Nullx97/CVE-2022-24834- CVE-2022-24834 0 0 1 0 4757427493626279644 +github:848587568 2024-08-28 2025-02-18 f https://github.com/BBD-YZZ/CVE-2024-38856-RCE Apache OFBiz CVE-2024-38856 CVE-2024-38856 0 3 1 3 2498807986461950687 +github:120918253 2018-02-09 2026-01-12 f https://github.com/0x00-0x00/CVE-2016-10033 PHPMailer < 5.2.18 Remote Code Execution Exploit CVE-2016-10033 1 6 0 6 1783234274435653901 +github:1208604579 2026-04-12 2026-04-12 f https://github.com/nonosticisiguzo-command/nmap-scan-results Found 200+ vulnerabilities on scanme.nmap.org including CVE-2023-38408 (9.8 critical) CVE-2023-38408 0 0 0 0 6661416632180228801 +github:902533209 2025-01-07 2026-02-19 f https://github.com/0xDTC/Ghost-5.58-Arbitrary-File-Read-CVE-2023-40028 CVE-2023-40028 affects Ghost, an open source content management system, where versions prior to 5.59.1 allow authenticated users to upload files that are symlinks. This can be exploited to perform an arbitrary file read of any file on the host operating system. CVE-2023-40028 2 13 1 13 6282581886509032214 +github:781132313 2024-04-06 2025-10-06 f https://github.com/r0binak/xzk8s Dockerfile and Kubernetes manifests for reproduce CVE-2024-3094 CVE-2024-3094 3 14 1 14 4683099135072185264 +github:364796273 2021-05-06 2021-05-06 f https://github.com/IanSmith123/CVE-2020-27955 CVE-2020-27955 0 0 1 0 834778490743616770 +github:401673921 2021-10-30 2023-08-10 f https://github.com/DCKento/CVE-2021-40375 Broken Access Control in OpenEyes 3.5.1 CVE-2021-40375 1 2 1 2 7761734539471222502 +github:872147587 2024-10-14 2025-02-09 f https://github.com/toneillcodes/CVE-2022-0944 PoC for RCE in SQLPad (CVE-2022-0944) CVE-2022-0944 0 1 1 1 6628677376617075805 +github:656080043 2023-06-20 2024-09-13 f https://github.com/Sweelg/CVE-2023-1454-Jeecg-Boot-qurestSql-SQLvuln jmreport/qurestSql 未授权SQL注入批量扫描poc Jeecg-Boot是一款基于Spring Boot和Jeecg-Boot-Plus的快速开发平台，最新的jeecg-boot 3.5.0 中被爆出多个SQL注入漏洞。 CVE-2023-1454 5 21 1 21 2191098154701257091 +github:1022474003 2025-07-19 2025-07-19 f https://github.com/Anezatraa/CVE-2025-48384-submodule CVE-2025-48384 0 0 0 0 4428881038239394633 +github:703830211 2023-10-12 2023-10-12 f https://github.com/passwa11/CVE-2023-38646 CVE-2023-38646 0 0 1 0 1796482291555129347 +github:989682547 2025-05-25 2025-10-22 f https://github.com/glynzr/CVE-2023-50564 Pluck v4.7.18 - Remote Code Execution (RCE) CVE-2023-50564 0 0 0 0 5549093920393269513 +github:774682652 2024-04-02 2025-03-18 f https://github.com/david-botelho-mariano/exploit-CVE-2024-25723 CVE-2024-25723 0 4 1 4 4270358529276173765 +github:739960583 2024-01-07 2024-01-07 f https://github.com/logg-1/0logon MS-NRPC (Microsoft NetLogon Remote Protocol)/CVE-2020-1472 CVE-2020-1472 0 0 1 0 3942007115255470648 +github:870632664 2024-10-10 2025-11-28 f https://github.com/huydoppaz/CVE-2024-8698-POC i'm noob with saml and keycloak . J4f CVE-2024-8698 1 6 1 6 7342627696940653747 +github:950631363 2025-03-18 2025-08-28 f https://github.com/shreyas-malhotra/CVE-2025-27410 Updated PoC for CVE-2025-27410, since the one publicly available in the security advisory is prone to failing. CVE-2025-27410 0 0 1 0 4809417923810050313 +github:1111331941 2025-12-18 2026-05-04 f https://github.com/AdityaBhatt3010/React2Shell-CVE-2025-55182-The-Deserialization-Bug-That-Broke-the-Web React2Shell, CVE-2025-55182, RCE Vulnerability: A critical breakdown of the unsafe deserialization flaw in React Server Components that enables unauthenticated remote code execution across default React/Next.js setups. CVE-2025-55182 0 8 0 8 2346176848031653868 +github:1229039107 2026-05-04 2026-05-04 f https://github.com/kaleth4/CVE-2025-68930 CVE-2025-68930 0 0 0 0 3973177185786982367 +github:940892197 2025-03-01 2025-09-15 f https://github.com/math-x-io/CVE-2025-25296-POC Proof of Concept (POC) for the CVE-2025-25296 vulnerability affecting Label Studio versions prior to 1.16.0 CVE-2025-25296 0 2 1 2 5015085699746916612 +github:492434082 2026-07-06 2026-07-14 f https://github.com/sh4den/CVE-2022-29464 A bots loader for CVE-2022-29464 with multithreading CVE-2022-29464 4 11 1 11 2283808641108868844 +github:1311930124 2026-07-25 2026-07-25 f https://github.com/abdugafforov-bobur/CVE-2026-65694-PoC PoC for CVE-2026-65694 — Microweber CMS (<=2.0.20) unauthenticated path traversal → arbitrary file read (.env / secrets) CVE-2026-65694 0 0 0 0 8094868223435886601 +github:228222453 2019-12-15 2020-09-02 f https://github.com/SmoZy92/CVE-2019-11932 CVE-2019-11932 0 6 2 6 7887341252084840227 +github:1297772459 2026-07-12 2026-07-12 f https://github.com/jini135wii/CVE-2019-15107 CVE-2019-15107 0 0 0 0 9205439780382115181 +github:953913507 2025-04-01 2025-04-01 f https://github.com/iSee857/CVE-2025-29927 Next.Js 权限绕过漏洞(CVE-2025-29927) CVE-2025-29927 0 0 1 0 9092566890977229605 +github:569296799 2025-08-22 2026-05-26 f https://github.com/blackn0te/Apache-HTTP-Server-2.4.49-2.4.50-Path-Traversal-Remote-Code-Execution Apache HTTP-Server 2.4.49-2.4.50 Path Traversal & Remote Code Execution PoC (CVE-2021-41773 & CVE-2021-42013) CVE-2021-41773 0 13 2 13 7664583809150586738 +github:371916803 2021-05-29 2022-09-27 f https://github.com/s-index/CVE-2021-20717 CVE-2021-20717-EC-CUBE-XSS CVE-2021-20717 0 1 1 1 5256506655004756134 +github:1288743480 2026-07-03 2026-07-05 f https://github.com/shinthink/solrradar ☄️ Mass reconnaissance & exploitation framework for Apache Solr CVE-2026-44825 — Velocity template injection to RCE CVE-2026-44825 1 5 0 5 1004285037612012830 +github:672017875 2023-07-28 2025-11-12 f https://github.com/convisolabs/CVE-2022-24834 CVE-2022-24834 9 23 3 23 8636729933130095413 +github:113026595 2017-12-13 2026-07-29 f https://github.com/SecureSkyTechnology/study-struts2-s2-054_055-jackson-cve-2017-7525_cve-2017-15095 Struts2の脆弱性S2-045, S2-055 および Jackson の脆弱性 CVE-2017-7525, CVE-2017-15095 の調査報告 CVE-2017-7525 21 106 1 106 8212821158757828809 +github:357764838 2021-04-14 2024-08-12 f https://github.com/givemefivw/CVE-2021-3019 CVE-2021-3019 1 0 0 0 881763210240201047 +github:618239295 2023-03-24 2023-06-28 f https://github.com/Okaytc/minio_unauth_check CVE-2023-28432,minio未授权访问检测工具 CVE-2023-28432 1 7 1 7 7980336544197828837 +github:304764704 2021-07-20 2023-03-07 f https://github.com/CPO-EH/CVE-2020-1472_ZeroLogonChecker C# Vulnerability Checker for CVE-2020-1472 Aka Zerologon CVE-2020-1472 5 5 1 5 2532479417319527670 +github:328546705 2021-03-19 2024-10-07 f https://github.com/0xf4n9x/CVE-2021-3019 CVE-2021-3019 lanproxy目录遍历任意文件读取漏洞探测POC CVE-2021-3019 6 12 1 12 5927311690823779885 +github:823349523 2024-07-03 2024-07-03 f https://github.com/CognisysGroup/CVE-2024-6387-Checker CVE-2024-6387 0 0 1 0 1955450121075976637 +github:460833137 2024-08-11 2026-04-27 f https://github.com/Mr-xn/cve-2022-23131 cve-2022-23131 zabbix-saml-bypass-exp CVE-2022-23131 47 154 1 154 2230531529383342599 +github:245465268 2020-03-06 2020-03-06 f https://github.com/AdriVillaB/CVE-2018-6574 CVE-2018-6574 1 0 1 0 4417862992458285119 +github:239930294 2020-02-12 2020-02-12 f https://github.com/r00t4dm/CVE-2019-17564 CVE-2019-17564 1 0 2 0 7522134221248107852 +github:627599065 2023-04-13 2023-04-13 f https://github.com/BugFor-Pings/CVE-2023-1454 CVE-2023-1454漏洞检测脚本 CVE-2023-1454 1 0 1 0 5049923484878867026 +github:1008548115 2025-06-26 2026-05-04 f https://github.com/berkley4/icu-74-debian Debian build files for icu 74.2 with a patch to fix CVE-2025-5222 CVE-2025-5222 1 2 0 2 6051451336869418 +github:576236390 2023-06-09 2025-04-02 f https://github.com/murataydemir/CVE-2022-41828 [CVE-2022-41828] Amazon AWS Redshift JDBC Driver Remote Code Execution (RCE) CVE-2022-41828 2 4 1 4 2038527584327190166 +github:1243094226 2026-05-19 2026-05-19 f https://github.com/anonmrc/CVE-2026-34486-e-Tomcat-Tribes CVE-2026-34486 0 0 0 0 9198687195267122588 +github:307135452 2020-10-25 2020-10-25 f https://github.com/jongmartinez/CVE-2018-11235-PoC PoC exploit for CVE-2018-11235 allowing RCE on git clone --recurse-submodules CVE-2018-11235 0 0 1 0 5002925791201599275 +github:161712530 2018-12-14 2024-08-12 f https://github.com/alexzorin/poc-cve-2018-16875 CVE-2018-16875 3 9 2 9 3286918240760920120 +github:1023962776 2025-07-22 2025-07-22 f https://github.com/Dre4m017/fuzzy cve-2024-32002 CVE-2024-32002 0 0 0 0 1747226383948429787 +github:176056254 2019-03-17 2025-11-18 f https://github.com/NS-Sp4ce/thinkphp5.XRce thinkphp5.*Rce CVE-2018-20062 CVE-2018-20062 1 6 1 6 655762744607729091 +github:440140065 2021-12-22 2021-12-22 f https://github.com/bumheehan/cve-2021-44228-log4j-test CVE-2021-44228 0 0 1 0 1432467998180053578 +github:1112796859 2025-12-09 2026-02-25 f https://github.com/solidevil14/Suricata-Rule-for-Detecting-CVE-2025-55182 CVE‑2025‑55182 Detection CVE-2025-55182 0 0 0 0 5062638515151060145 +github:653552976 2023-06-14 2023-06-14 f https://github.com/ohnonoyesyes/CVE-2023-32315 CVE-2023-32315 1 0 1 0 7860777022180129488 +github:813864710 2024-06-13 2026-07-01 f https://github.com/OxyDeV2/ClearML-CVE-2024-24590 Proof of concept for CVE-2024-24590 CVE-2024-24590 0 6 1 6 8202539062538212004 +github:1268506254 2026-06-14 2026-06-14 f https://github.com/stevehenderson/lab_xz_backdoor Some labs looking at the xz backdoor vulnerability (CVE-2024-3094) CVE-2024-3094 0 0 0 0 6446974805002643002 +github:1174108553 2026-03-06 2026-03-06 f https://github.com/luoqichen/CVE-2025-55182-POC CVE-2025-55182 0 0 0 0 3304875992447530594 +github:1272138814 2026-06-17 2026-06-17 f https://github.com/Kranti08/CVE-2021-3156-Baron-Samedit Exploitation and mitigation analysis of CVE-2021-3156 heap-based buffer overflow in sudo CVE-2021-3156 0 0 0 0 2640068365154192440 +github:1309782140 2026-07-23 2026-07-26 f https://github.com/gagaltotal/CVE-2021-41773-apache CVE-2021-41773 Apache CVE-2021-41773 0 1 0 1 8868142197998566676 +github:721589713 2023-11-21 2023-11-21 f https://github.com/Iris288/CVE-2021-43798 CVE-2021-43798 0 0 1 0 6408366280243645689 +github:438745261 2021-12-15 2021-12-16 f https://github.com/alenazi90/log4j An automated header extensive scanner for detecting log4j RCE CVE-2021-44228 CVE-2021-44228 0 2 2 2 8881236944008607813 +github:441418197 2021-12-26 2026-04-30 f https://github.com/CaptanMoss/Log4Shell-Sandbox-Signature Log4Shell(CVE-2021-45046) Sandbox Signature CVE-2021-45046 1 1 1 1 203704839850941465 +github:598604286 2023-02-07 2024-10-22 f https://github.com/cowsecurity/CVE-2022-23935 CVE-2022-23935 exploit PoC exiftool version 12.37 written in python CVE-2022-23935 1 8 1 8 3148677631152948297 +github:295917575 2020-09-16 2024-08-12 f https://github.com/Fa1c0n35/CVE-2020-1472 CVE-2020-1472 1 0 1 0 2019965925167006796 +github:828627988 2025-02-22 2025-02-22 f https://github.com/dream434/CVE-2024-6387 OpenSSH a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-6387. Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire CVE-2024-6387 0 0 1 0 5920667848999339846 +github:936547434 2025-02-21 2025-02-21 f https://github.com/dolutech/patch-manual-CVE-2025-26465-e-CVE-2025-26466 Patch Manual para a correção das CVE-2025-26465-e-CVE-2025-26466, para sistemas sem update do OpenSSH CVE-2025-26465 0 1 1 1 5278883314444415065 +github:814936310 2024-06-14 2024-06-14 f https://github.com/qinzhu111/uWSGI-CVE-2018-7490-POC CVE-2018-7490 0 1 1 1 4025779984105738521 +github:324114493 2024-03-26 2026-01-10 f https://github.com/dn9uy3n/Check-WP-CVE-2020-35489 The (WordPress) website test script can be exploited for Unlimited File Upload via CVE-2020-35489 CVE-2020-35489 16 31 1 31 2903510102826656268 +github:1019945722 2025-07-15 2026-06-03 f https://github.com/dollarboysushil/Linux-Privilege-Escalation-CVE-2025-27591 CVE-2025-27591 is a known privilege escalation vulnerability in the Below service (version < v0.9.0) CVE-2025-27591 2 7 0 7 2010868874667850942 +github:1017214628 2025-07-10 2025-07-10 f https://github.com/greatyy/CVE-2025-48384-p CVE-2025-48384 0 0 0 0 2458014434908356415 +github:1297636351 2026-07-11 2026-07-11 f https://github.com/oscerd/CVE-2026-42527 Reproducer for CVE-2026-42527 — Apache Camel permissive default ObjectInputFilter admits java.net.URL, enabling a DNS-based out-of-band side channel CVE-2026-42527 0 0 0 0 8597135189337599580 +github:160238249 2019-05-14 2019-05-14 f https://github.com/ygouzerh/CVE-2018-11235 Proof of Concept - RCE Exploitation : Git submodules' names vulnerability - Ensimag November 2018 CVE-2018-11235 0 1 1 1 2345411140655052435 +github:627335815 2023-04-13 2025-04-13 f https://github.com/icebreack/CVE-2022-46169 Fixed exploit for CVE-2022-46169 (originally from https://www.exploit-db.com/exploits/51166) CVE-2022-46169 0 3 1 3 4651083043627464046 +github:825357927 2024-07-07 2024-07-07 f https://github.com/Havoc10-sw/Detect_polyfill_CVE-2024-38537- Here's a Python script that checks if the polyfill.io domain is present in the Content Security Policy (CSP) header of a given web application. CVE-2024-38537 0 0 1 0 7783699426449882875 +github:242345920 2020-02-24 2024-08-12 f https://github.com/delsadan/CNVD-2020-10487-Bulk-verification CNVD-2020-10487 OR CVE-2020-1938 批量验证脚本，批量验证，并自动截图，方便提交及复核 CVE-2020-1938 5 3 1 3 6868531880159880356 +github:414227353 2021-10-06 2026-04-07 f https://github.com/jbovet/CVE-2021-41773 Path traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49 (CVE-2021-41773) CVE-2021-41773 3 4 1 4 915230026551367816 +github:437381453 2021-12-15 2022-01-03 f https://github.com/chilliwebs/CVE-2021-44228_Example CVE-2021-44228 0 1 1 1 6351839777654414055 +github:735851357 2023-12-27 2023-12-26 f https://github.com/WLaoDuo/CVE-2023-51385_poc-test CVE-2023-51385;OpenSSH ProxyCommand RCE;OpenSSH <9.6 命令注入漏洞poc CVE-2023-51385 10 0 1 0 1727120748067908928 +github:294077686 2023-04-09 2024-01-13 f https://github.com/EXP-Docs/CVE-2020-13933 CVE-2020-13933 靶场： shiro 认证绕过漏洞 CVE-2020-13933 4 14 0 14 2945565161687744675 +github:1170437737 2026-03-02 2026-03-02 f https://github.com/yiliufeng168/CVE-2022-31813 CVE-2022-31813 0 0 0 0 8682618995243773706 +github:891671184 2024-11-20 2026-07-13 f https://github.com/makuga01/CVE-2024-48990-PoC PoC for CVE-2024-48990 CVE-2024-48990 18 104 1 104 1698522229556170991 +github:1240589500 2026-05-16 2026-07-28 f https://github.com/dinosn/CVE-2026-44578 CVE-2026-44578: Next.js WebSocket Upgrade SSRF — pre-auth credential theft via localhost:80. Lab + exploit + audit. CVE-2026-44578 2 9 0 9 1757558910100045229 +github:1115279887 2025-12-12 2025-12-12 f https://github.com/yayateayayatea/cve-2017-8917 python script to exploit Joomla 3.7 CVE-2017-8917 0 0 0 0 2839342780916659862 +github:438248880 2021-12-19 2024-08-12 f https://github.com/34zY/JNDI-Exploit-1.2-log4shell Details : CVE-2021-44228 CVE-2021-44228 2 0 1 0 4318276304231346499 +github:439296638 2021-12-21 2021-12-21 f https://github.com/zaneef/CVE-2021-44228 Log4Shell (CVE-2021-44228): Descrizione, Exploitation e Mitigazione CVE-2021-44228 0 0 1 0 3912012209761990615 +github:158200351 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2017-12624 CVE-2017-12624 0 0 0 0 3772740697813977277 +github:1122350558 2026-07-27 2026-07-27 f https://github.com/Farhan9488/CVE-2025-55182-research 🛡️ Explore CVE-2025-55182, a critical RCE vulnerability in React's Flight Protocol, demonstrating exploitation techniques and mitigation strategies. CVE-2025-55182 0 0 0 0 2577841752562387718 +github:632067353 2023-10-19 2023-09-13 f https://github.com/RubXkuB/PoC-Metabase-CVE-2021-41277 CVE-2021-41277 0 1 1 1 26086275050644327 +github:903400976 2025-05-22 2026-07-11 f https://github.com/wezoomagency/GrafXploit Automated Exploit Tool for Grafana CVE-2021-43798: Scanning common files that contain juicy informations and extracting SSH keys from compromised users. CVE-2021-43798 0 4 1 4 3112664899845879160 +github:835078214 2024-07-29 2024-07-29 f https://github.com/gmh5225/CVE-2023-4220 CVE-2023-4220 POC RCE CVE-2023-4220 0 0 0 0 2759614784780202161 +github:594862535 2023-01-29 2025-04-29 f https://github.com/mhaskar/CVE-2023-0315 The official exploit for Froxlor Remote Code Execution CVE-2023-0315 CVE-2023-0315 3 7 1 7 4577635478802035675 +github:439241226 2022-03-16 2022-03-13 f https://github.com/k3rwin/CVE-2021-43798-Grafana CVE-2021-43798 Grafana任意文件读取 CVE-2021-43798 0 1 1 1 5349161436984460610 +github:812766804 2024-06-09 2024-06-09 f https://github.com/mbadanoiu/CVE-2021-42558 CVE-2021-42558: Multiple Cross-Site Scripting in MITRE Caldera CVE-2021-42558 0 0 1 0 5278024838270711696 +github:779626345 2024-04-01 2026-07-24 f https://github.com/emirkmo/xz-backdoor-github History of commits related to the xz backdoor Discovered On March 29, 2024: CVE-2024-3094. CVE-2024-3094 2 11 1 11 9094775150455709039 +github:1105958870 2025-11-28 2025-11-28 f https://github.com/wasfyelbaz/CVE-2025-66022 FACTION versions before 1.7.1 allowed unauthenticated RCE. A missing auth check on /portal/AppStoreDashboard let attackers upload malicious extensions, which executed system commands through lifecycle hooks. CVE-2025-66022 0 0 0 0 3277971597516001936 +github:235548506 2020-01-22 2024-06-26 f https://github.com/motikan2010/CVE-2017-8809_MediaWiki_RFD CVE-2017-8809 Docker - RFD(Reflected File Download) for MediaWiki CVE-2017-8809 0 5 1 5 7226725885932610249 +github:188323560 2019-06-10 2024-08-12 f https://github.com/MauroEldritch/VanCleef Exploit for CVE-2019-11881 (Rancher 2.1.4 Web Parameter Tampering) CVE-2019-11881 3 3 0 3 7419679705266814185 +github:437687048 2022-01-06 2022-07-21 f https://github.com/atnetws/fail2ban-log4j fail2ban filter that catches attacks againts log4j CVE-2021-44228 CVE-2021-44228 2 8 2 8 8304802955462333378 +github:709722803 2023-10-26 2025-09-10 f https://github.com/ReToCode/golang-CVE-2023-44487 CVE-2023-44487 0 2 1 2 1185159430603635097 +github:1160787758 2026-05-03 2026-05-03 f https://github.com/orgito1015/CVE-2025-55182-Researching-process CVE-2025-55182 0 1 0 1 79307806864120569 +github:194520468 2019-06-30 2025-02-05 f https://github.com/RyanNgWH/CVE-2019-5736-POC Proof of concept code for breaking out of docker via runC CVE-2019-5736 2 0 0 0 7984812171486652646 +github:688367174 2025-01-27 2025-01-27 f https://github.com/7Ragnarok7/CVE-2021-3754 Vulnerability details and exploit for CVE-2021-3754 CVE-2021-3754 0 1 1 1 3846450443178353906 +github:1167767062 2026-02-26 2026-02-26 f https://github.com/MrMahile/MassScanning-CVE-2025-55182 A lightweight orchestrator and worker scanner setup for running large/continuous scans across split input files. This repository contains orchestration scripts, a Docker-based worker image, and helper scripts to run scans repeatedly and collect results. CVE-2025-55182 1 0 0 0 2793205337399542058 +github:1286449078 2026-07-01 2026-07-01 f https://github.com/alaeddine03/CVE-2025-69212-PoC CVE-2025-69212 - OpenSTAManager OS Command Injection PoC CVE-2025-69212 0 0 0 0 1348541741299473179 +github:1211414704 2026-04-23 2026-04-23 f https://github.com/Ava-Vispilio/CVE-2024-3094 CVE-2024-3094 0 0 0 0 7205347958082705761 +github:483632364 2022-04-20 2022-04-22 f https://github.com/jmiettinen/CVE-2022-21449-vuln-test CVE-2022-21449 Vulnerability tester CVE-2022-21449 0 2 1 2 3132707141449639314 +github:681731098 2023-08-22 2025-07-19 f https://github.com/0xRyuk/CVE-2022-24637 Open Web Analytics 1.7.3 - Remote Code Execution Exploit v2 CVE-2022-24637 0 1 1 1 3300462148075947291 +github:564284525 2022-11-10 2017-10-09 f https://github.com/lgtm-migrator/CVE-2017-8046-DEMO SPRING DATA REST CVE-2017-8046 DEMO CVE-2017-8046 0 0 0 0 295336855107351093 +github:1254785876 2026-05-31 2026-05-31 f https://github.com/p1ctur3p3rf3ct/CVE-2026-23744 CVE-2026-23744 PoC CVE-2026-23744 0 0 0 0 8949988877028768592 +github:120386140 2018-02-06 2018-02-08 f https://github.com/yolabingo/wordpress-fix-cve-2018-6389 Apache RewriteRule to mitigate potential DoS attack via Wordpress wp-admin/load-scripts.php file CVE-2018-6389 1 1 1 1 4535435784891635981 +github:931684357 2025-04-07 2025-04-07 f https://github.com/mbadanoiu/CVE-2019-11287 CVE-2019-11287: DoS via Heap Overflow in RabbitMQ Web Management Plugin CVE-2019-11287 0 0 1 0 4899388784944259627 +github:1039011772 2025-08-16 2025-08-16 f https://github.com/shoucheng3/apache__rocketmq_CVE-2019-17572_4-6-0 CVE-2019-17572 0 0 0 0 5257508457087586128 +github:334318140 2022-04-14 2026-07-29 f https://github.com/stong/CVE-2021-3156 PoC for CVE-2021-3156 (sudo heap overflow) CVE-2021-3156 107 429 7 429 1339779035265111719 +github:364492629 2021-05-05 2021-05-05 f https://github.com/ssst0n3/CVE-2021-31856 CVE-2021-31856 0 0 1 0 6357797352244374386 +github:934105690 2025-02-17 2025-02-19 f https://github.com/skrkcb2/CVE-2025-0851 CVE-2025-0851 1 1 1 1 6024595894613319898 +github:1193093110 2026-03-26 2026-03-26 f https://github.com/mathitam/thingsboard-ssrf-cve-2025-34282 PoC exploit for CVE-2025-34282 - ThingsBoard SSRF via SVG Image Upload CVE-2025-34282 0 0 0 0 8150921384240797082 +github:887139437 2024-11-13 2024-11-13 f https://github.com/harshtech123/cve-2020-24881 CVE-2020-24881 0 0 1 0 7563915270003292808 +github:996340058 2025-06-04 2025-06-04 f https://github.com/J0ey17/Automate_Exploit_CVE-2022-44268 An exploit automation script that builds upon the work of Voidzone security. CVE-2022-44268 0 0 0 0 3599686114074747427 +github:896579626 2024-11-30 2024-11-30 f https://github.com/0x0d3ad/CVE-2023-41425 CVE-2023-41425 (XSS to RCE, Wonder CMS 3.2.0 <= 3.4.2) CVE-2023-41425 0 0 1 0 7111767937262172420 +github:186699953 2019-05-14 2019-05-14 f https://github.com/s0/rsyslog-librelp-CVE-2018-1000140 Pinned version of rsyslov vulnerable to CVE-2018-1000140 CVE-2018-1000140 1 0 0 0 2770141118392769928 +github:231926488 2020-01-05 2024-08-12 f https://github.com/lp008/CVE-2019-10758 CVE-2019-10758 CVE-2019-10758 1 5 1 5 7418140693913514362 +github:630962699 2024-12-07 2025-02-14 f https://github.com/brosck/CVE-2022-4944 「💥」CVE-2022-4944: KodExplorer <= 4.49 - CSRF to Arbitrary File Upload CVE-2022-4944 2 2 1 2 3517793134271821984 +github:1011894465 2025-07-01 2026-06-10 f https://github.com/K1tt3h/CVE-2025-32463-POC CVE-2025-32463 Proof of concept CVE-2025-32463 4 29 0 29 9102356664160153735 +github:1036623301 2025-08-12 2025-08-12 f https://github.com/xxxTectationxxx/CVE-2018-7600 Program python untuk melakukan RCE pada drupal versi 7.56 CVE-2018-7600 0 0 0 0 6366536397332197002 +github:413725319 2021-10-05 2021-10-05 f https://github.com/hh-hunter/nacos-cve-2021-29441 CVE-2021-29441 0 0 1 0 7641369693191628524 +github:572958937 2022-12-01 2022-12-16 f https://github.com/Mr-xn/CVE-2022-3328 CVE-2022-3328 with CVE-2022-41974 and CVE-2022-41973 CVE-2022-3328 1 4 1 4 2529365201157723490 +github:1091129302 2025-11-20 2025-11-20 f https://github.com/0xXA/google-poc This repo contains instructions to reproduce CVE-2025-13425: Null Pointer dereference / Array over-indexing vulnerability that I found in Google's OSV-SCALIBR project. CVE-2025-13425 0 0 0 0 5753590873892368963 +github:437968616 2021-12-13 2021-12-13 f https://github.com/yanghaoi/CVE-2021-44228_Log4Shell Log4Shell A test for CVE-2021-44228 CVE-2021-44228 0 0 1 0 184622351209202698 +github:839153746 2024-08-07 2026-05-09 f https://github.com/IDUZZEL/CVE-2023-24249-Exploit Exploit script for CVE-2023-24249 - a vulnerability allowing remote code execution via file upload and command injection. CVE-2023-24249 1 9 1 9 4965440165674988380 +github:995291344 2025-06-04 2026-06-27 f https://github.com/z1ph1us/MilkSad-Mnemonic-Generator This tool generates BIP-39 mnemonic phrases derived from Unix timestamps, exploring the 'Milk Sad' vulnerability's implications (CVE-2023-39910) CVE-2023-39910 7 12 0 12 5477225743826014767 +github:397312292 2021-08-18 2021-08-22 f https://github.com/nikip72/CVE-2021-39273-CVE-2021-39274 Two security issues identified in Sn1per v9.0 free version by XeroSecurity CVE-2021-39273 1 1 1 1 3182642472602237188 +github:1311509215 2026-07-29 2026-07-29 f https://github.com/theopaid/CVE-2026-66748-Camaleon-CMS---Authenticated-RCE-via-select_eval-Custom-Field Security Advisory: Camaleon CMS - Authenticated RCE via `select_eval` Custom Field CVE-2026-66748 0 0 0 0 7887952334800239626 +github:1306633093 2026-07-20 2026-07-20 f https://github.com/berraesen/apache-cve-2021-42013-lab Docker ortamında Apache HTTP Server 2.4.49 (CVE-2021-42013) zafiyetinin gösterildiği laboratuvar çalışması. CVE-2021-42013 0 0 0 0 1021899788596738056 +github:158208279 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-12418 CVE-2018-12418 0 0 0 0 6184089826092543932 +github:234442281 2020-01-21 2024-08-12 f https://github.com/0xxon/cve-2020-0601-utils C++ based utility to check if certificates are trying to exploit CVE-2020-0601 CVE-2020-0601 3 0 1 0 6149888270445675246 +github:325689178 2020-12-31 2025-10-06 f https://github.com/Al1ex/CVE-2020-35728 CVE-2020-35728 & Jackson-databind RCE CVE-2020-35728 7 42 1 42 3186759252078904592 +github:618977251 2023-03-31 2023-04-01 f https://github.com/cowsecurity/CVE-2023-27842 CVE-2023-27842 0 2 1 2 9059314174067316556 +github:1259569257 2026-06-04 2026-06-04 f https://github.com/avivyap/CVE-2026-23744 CVE-2026-23744 CVE-2026-23744 0 0 0 0 6007790813360445514 +github:1040708864 2025-08-19 2025-08-19 f https://github.com/shoucheng3/zeroturnaround__zt-zip_CVE-2018-1002201_1-12 CVE-2018-1002201 0 0 0 0 175750778030896943 +github:145483388 2024-07-12 2026-07-03 f https://github.com/Rhynorater/CVE-2018-15473-Exploit Exploit written in Python for CVE-2018-15473 with threading and export formats CVE-2018-15473 184 534 20 534 4543089091091155761 +github:736807099 2024-01-05 2024-01-08 f https://github.com/scabench/jsonorg-fp1 simple application with a (unreachable!) CVE-2022-45688 vulnerability CVE-2022-45688 0 0 1 0 6383475755324337365 +github:714084454 2024-01-20 2026-06-22 f https://github.com/SaumyajeetDas/CVE-2023-46604-RCE-Reverse-Shell-Apache-ActiveMQ Achieving a Reverse Shell Exploit for Apache ActiveMQ (CVE_2023-46604) CVE-2023-46604 40 126 1 126 6071262418812962602 +github:961419333 2025-04-06 2026-06-26 f https://github.com/BubblyCola/CVE_2024_42007 Python exploit for CVE-2024-42007 — a path traversal vulnerability in php-spx <= 0.4.15 that allows arbitrary file read via SPX_UI_URI parameter. CVE-2024-42007 6 4 1 4 7216587718447607064 +github:1215571918 2026-04-28 2026-04-28 f https://github.com/JKIM72403/CS4277-CVE-Path-Traversal-Apache-HTTP-Server We hope to reproduce CVE-2021-41773 to deepen our understanding of real-world cybersecurity vulnerabilities so that we can be knowledgeable about exploits in industry and academic work. CVE-2021-41773 0 0 0 0 6422483419640010772 +github:1017801097 2025-12-25 2025-07-11 f https://github.com/cuijiung/log4j-CVE-2021-44228 CVE-2021-44228 0 0 0 0 6892496115488959765 +github:1091842269 2025-11-08 2026-06-23 f https://github.com/stefan-500/ktor-cve-2023-45612-poc Ktor XXE Injection Proof-of-Concept (CVE-2023-45612) CVE-2023-45612 0 1 1 1 6554509653311126549 +github:1247634020 2026-05-23 2026-05-23 f https://github.com/webdev75950-ux/nginx-rce-cve-2026-42945 CVE-2026-42945 0 0 0 0 8534035788755680916 +github:1297820803 2026-07-21 2026-07-21 f https://github.com/sn0x-sharma/CVE-2026-57850 Missing validation of signed_id_pk in RustDesk's relay handshake allows relay-position attackers to downgrade sessions to plaintext, intercept LoginRequest, and inject input events (MouseEvent, KeyEvent) post-authentication no password required CVE-2026-57850 0 0 0 0 8126838533520538383 +github:337331342 2021-02-09 2024-08-12 f https://github.com/jm33-m0/CVE-2021-3156 sudo heap overflow to LPE, in Go CVE-2021-3156 2 16 1 16 5096108368997641323 +github:313376422 2020-11-16 2022-11-27 f https://github.com/b1ack0wl/CVE-2020-1472 CVE-2020-1472 0 1 1 1 233374072098578643 +github:482936939 2022-04-18 2022-04-18 f https://github.com/puneetbehl/grails3-cve-2022-27772 CVE-2022-27772 0 0 1 0 8712186487099741048 +github:1158054526 2026-02-14 2026-02-14 f https://github.com/nik123-py/CVE-2025-49132_HTB_SEASON10 CVE-2025-49132 1 0 0 0 7176336662031483559 +github:1109568167 2025-12-03 2025-12-04 f https://github.com/shen771/Blackash-CVE-2025-55182 CVE-2025-55182 CVE-2025-55182 30 0 0 0 5478132417530949938 +github:302388307 2020-10-08 2020-10-08 f https://github.com/glasses618/CVE-2020-15169 CVE-2020-15169 0 0 1 0 9141909114146131208 +github:1097891202 2025-11-17 2025-11-17 f https://github.com/ankitpandey383/roundcube-cve-2025-49113-lab Hands-on exploitation lab for Roundcube Webmail CVE-2025-49113 (authenticated PHP object deserialization → RCE) to read /secret.txt. CVE-2025-49113 0 0 0 0 3472515045864902105 +github:1074770215 2025-10-12 2026-05-28 f https://github.com/roaris/CVE-2024-27304-PoC PoC of "DEF CON 32 - SQL Injection Isn't Dead Smuggling Queries at the Protocol Level - Paul Gerste" CVE-2024-27304 0 1 0 1 3648769583419327748 +github:295515909 2020-10-15 2026-07-29 f https://github.com/risksense/zerologon Exploit for zerologon cve-2020-1472 CVE-2020-1472 146 700 10 700 6830655796999050388 +github:440275278 2021-12-20 2025-12-16 f https://github.com/snapattack/damn-vulnerable-log4j-app Vulnerable web application to test CVE-2021-44228 / log4shell and forensic artifacts from an example attack CVE-2021-44228 2 5 0 5 926287801361336879 +github:730433558 2023-12-11 2023-12-11 f https://github.com/sigridou/CVE-2023-44487- CVE-2023-44487 0 0 1 0 1118877450319487068 +github:222660643 2019-11-19 2021-04-26 f https://github.com/random-robbie/CVE-2019-5418 CVE-2019-5418 1 5 1 5 2269957263253952720 +github:799192194 2024-05-11 2024-06-25 f https://github.com/karthi-the-hacker/CVE-2023-27524 Tool for finding CVE-2023-27524 (Apache Superset - Authentication Bypass) CVE-2023-27524 0 1 1 1 5464023046367448177 +github:1109875047 2025-12-04 2025-12-04 f https://github.com/carlosaruy/CVE-2025-55182 a critical Remote Code Execution (RCE) vulnerability in React Server Components (RSC). It also includes a realistic "Lab Environment" to safely test and understand the vulnerability. CVE-2025-55182 0 0 0 0 7194172335962158639 +github:1110560839 2025-12-05 2026-07-12 f https://github.com/freeqaz/react2shell An analysis of CVE-2025-55182 and CVE-2025-66478 -- the vulnerabilities behind React2Shell. Tools, technical information, etc CVE-2025-55182 18 68 1 68 6411243692406204197 +github:962266756 2025-04-07 2025-04-07 f https://github.com/horsehacks/CVE-2025-24813-checker Hello researchers, I have a checker for the recent vulnerability CVE-2025-24813-checker. CVE-2025-24813 0 0 1 0 4759029203739885250 +github:1064413307 2025-10-02 2025-10-07 f https://github.com/maestro-ant/CrafterCMS-CVE-2025-6384 PoC exploit for an authenticated RCE in CrafterCMS via Groovy sandbox bypass (CVE-2025-6384) CVE-2025-6384 0 0 0 0 5824968505154286739 +github:1241623278 2026-05-17 2026-06-15 f https://github.com/tal7aouy/nginx-cve-2026-42945 🛡️ Script to test for NGINX CVE-2026-42945 CVE-2026-42945 0 3 0 3 5404095138620880904 +github:234190972 2020-02-12 2024-08-12 f https://github.com/0xxon/cve-2020-0601-plugin Zeek package that uses OpenSSL to detect CVE-2020-0601 exploit attempts CVE-2020-0601 3 5 1 5 8369805924444527162 +github:1132611572 2026-01-18 2026-01-18 f https://github.com/termireum/react2shell React2Shell is a high-performance vulnerability scanner written in Go, specifically designed to detect Server-Side Remote Code Execution (RCE) vulnerabilities in Next.js applications (CVE-2025-55182 & CVE-2025-66478). CVE-2025-55182 0 0 0 0 5180818606823781059 +github:1148632046 2026-02-04 2026-02-04 f https://github.com/MaineK00n/vulncheck_CVE-2024-50602 CVE-2024-50602 0 0 0 0 2859719132713860497 +github:594246349 2022-12-29 2025-02-18 f https://github.com/PLSRcoin/CVE-2022-40769 profanity through 1.60 has only four billion possible RNG initializations. Thus, attackers can recover private keys from Ethereum vanity addresses and steal cryptocurrency, as exploited in the wild in June 2022. CVE project by @Sn0wAlice CVE-2022-40769 0 1 0 1 4556992269654706387 +github:1114784521 2026-07-22 2026-07-22 f https://github.com/j0lt-github/react2shell-burp Burp Suite extension for identifying the React Server Components unsafe deserialization vulnerability (React2Shell / CVE-2025-55182). It provides a focused UI tab, context-menu actions, active-scanner integration, and optional Burp Collaborator confirmation. CVE-2025-55182 1 1 0 1 7215328273405047183 +github:219832922 2019-11-05 2024-08-12 f https://github.com/bkaraceylan/CVE-2019-12840_POC PoC for Webmin Package Update Authenticated Remote Command Execution CVE-2019-12840 1 4 1 4 820921523387153559 +github:439614690 2021-12-19 2023-01-18 f https://github.com/cckuailong/Log4j_dos_CVE-2021-45105 Log4j_dos_CVE-2021-45105 CVE-2021-45105 1 13 1 13 8997506353232667565 +github:1260805546 2026-06-05 2026-06-05 f https://github.com/Okymi-X/CVE-2024-34070 CVE-2024-34070 0 0 0 0 8160466199024420230 +github:1203896040 2026-04-07 2026-05-22 f https://github.com/jwsly12/CVE-2025-66034-htb-ctf CVE-2025-66034 0 1 0 1 2038385400276673594 +github:1073069576 2025-10-13 2026-01-25 f https://github.com/luizgaf/CVE-2024-32113-Exploit CVE-2024-32113-Apache-OFBiz<18.12.13-Exploit CVE-2024-32113 0 0 0 0 2539632409333257294 +github:437733080 2022-01-21 2026-06-19 f https://github.com/rubo77/log4j_checker_beta a fast check, if your server could be vulnerable to CVE-2021-44228 CVE-2021-44228 84 247 8 247 2094751202599352887 +github:996202515 2025-06-06 2026-07-17 f https://github.com/fearsoff-org/CVE-2025-49113 CVE-2025-49113 22 108 2 108 4152612310867584352 +github:812797307 2024-06-09 2024-06-09 f https://github.com/mbadanoiu/CVE-2021-42561 CVE-2021-42561: Command Injection via the Human Plugin in MITRE Caldera CVE-2021-42561 0 0 1 0 9177084852758622182 +github:876045350 2024-10-21 2025-03-18 f https://github.com/EQSTLab/CVE-2024-48914 Arbitrary File Read and DoS in vendure-ecommerce exploit CVE-2024-48914 0 5 1 5 60102033598063301 +github:1033306837 2025-08-06 2025-11-11 f https://github.com/570RMBR3AK3R/xwiki-cve-2025-24893-poc PoC for CVE-2025-24893 CVE-2025-24893 1 3 1 3 927329643393341212 +github:636874744 2023-05-15 2023-05-05 f https://github.com/GaboLC98/userenum-CVE-2018-15473 User enumeration for CVE-2018-15473 CVE-2018-15473 1 0 1 0 3133831434415772700 +github:661627757 2024-10-30 2024-10-30 f https://github.com/m3ssap0/cacti-rce-snmp-options-vulnerable-application WARNING: This is a vulnerable application to test the exploit for the Cacti command injection (CVE-2023-39362). Run it at your own risk! CVE-2023-39362 0 0 1 0 6318347505899563696 +github:977905702 2025-05-05 2026-05-02 f https://github.com/ajdumanhug/CVE-2024-21546 This Python exploit script targets a vulnerable Laravel Filemanager created by UniSharp, which allows authenticated users to bypass file restrictions and upload malicious files. This can lead to Remote Code Execution (RCE) when the uploaded payload is triggered. CVE-2024-21546 1 5 1 5 957738033042501804 +github:1001912107 2025-06-14 2025-06-14 f https://github.com/anilpatel199n/CVE-2024-40898 This Python script checks for the presence of CVE-2024-40898, a critical vulnerability in Apache HTTP Server that may allow SSL/TLS certificate verification bypass under certain misconfigurations. It initiates an SSL connection to the target server and sends a HEAD request. CVE-2024-40898 0 1 0 1 209662614094065773 +github:1106751114 2025-12-04 2025-12-21 f https://github.com/Noxurge/CVE-2025-65899 DifuseHQ Kalmia CMS version 0.2.0 is vulnerable to user enumeration through distinguishable error responses in the /kal-api/auth/jwt/create authentication endpoint. CVE-2025-65899 1 1 0 1 3255258201222981726 +github:754001866 2024-04-11 2024-02-07 f https://github.com/superneilcn/SpringExploitGUI 一款Spring综合漏洞的利用工具，工具目前支持Spring Cloud Gateway RCE(CVE-2022-22947)、Spring Framework RCE (CVE-2022-22965) 的检测以及利用 CVE-2022-22947 15 0 0 0 6098211758847369959 +github:882327865 2024-11-09 2024-11-21 f https://github.com/JAckLosingHeart/CVE-2024-51132-POC CVE-2024-51132 1 1 1 1 4580723955057725317 +github:302557281 2022-12-08 2026-02-27 f https://github.com/7Mitu/CVE-2020-25790 Typesetter CMS文件上传漏洞环境 CVE-2020-25790 0 5 1 5 8103396407287697805 +github:780459560 2024-04-03 2026-07-29 f https://github.com/amlweems/xzbot notes, honeypot, and exploit demo for the xz backdoor (CVE-2024-3094) CVE-2024-3094 235 3556 34 3556 8432725977204724022 +github:669618948 2023-08-09 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2021-22873-EXPLOIT A PoC exploit for CVE-2021-22873 - Revive Adserver Open Redirect Vulnerability. CVE-2021-22873 1 2 1 2 829893710176722170 +github:1208065314 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-65094 CVE-2025-65094 - WBCE CMS is Vulnerable to Privilege Escalation via Group ID Manipulation (IDOR) CVE-2025-65094 0 0 0 0 4049957384358604170 +github:448612058 2023-03-17 2022-04-02 f https://github.com/aajuvonen/log4stdin A Java application intentionally vulnerable to CVE-2021-44228 CVE-2021-44228 2 0 0 0 8306178611931576480 +github:1276092688 2026-06-21 2026-06-21 f https://github.com/Fomovet/cve-2025-29927 POC for CVE-2025-29927 CVE-2025-29927 0 0 0 0 8919822682400025221 +github:969537905 2025-04-20 2025-04-20 f https://github.com/Jminis/CVE-2023-50257 This repository is for research purposes (2025 Sejong Univ. Capstone Design) CVE-2023-50257 1 0 1 0 7478537743685145199 +github:1150496331 2026-02-05 2026-02-05 f https://github.com/Rival420/CVE-2024-46987 CVE-2024-46987 - Camaleon CMS LFI Exploit CVE-2024-46987 0 0 0 0 3437348365643784093 +github:1312418074 2026-07-26 2026-07-26 f https://github.com/sfr0435122531-ui/-log4shell-lab Docker-based isolated proof-of-concept lab for analysing CVE-2021-44228 (Log4Shell) for the COMP6441 Security Engineering project. CVE-2021-44228 0 0 0 0 7198576762907269471 +github:625487881 2023-04-09 2025-08-07 f https://github.com/kevin-mizu/Werkzeug-CVE-2022-29361-PoC CVE-2022-29361 0 5 1 5 781453482750021615 +github:699413146 2023-10-02 2023-11-28 f https://github.com/rootd4ddy/CVE-2023-43838 Public disclosure for CVE-2023-31584. CVE-2023-43838 0 1 1 1 6467725190714076986 +github:667208426 2023-07-17 2026-01-12 f https://github.com/d0x-awrqxavc/CVE-2019-7609-KibanaRCE CVE-2019-7609 1 0 1 0 5388503172276769523 +github:328377392 2021-01-10 2023-05-31 f https://github.com/pandaMingx/CVE-2020-5421 Spring 安全漏洞 CVE-2020-5421复现 CVE-2020-5421 0 3 1 3 4374211763878483189 +github:1112981603 2025-12-09 2026-04-24 f https://github.com/alfazhossain/CVE-2025-55182-Exploiter CVE-2025-55182-Exploiter Google Chrome Extension. nextjs vulnerability #nextjscve CVE-2025-55182 0 4 1 4 7242821096480523982 +github:1305625846 2026-07-19 2026-07-26 f https://github.com/CerberusMrXi/Langflow-cve-2026-33017-exploit CVE-2026-33017 exploitation tool for Langflow <1.9.0. Features reverse shells, command execution, file operations, persistence, and automated testing. Validates critical RCE vulnerability impact. For authorized security assessments only. CVE-2026-33017 0 1 0 1 2431148744384573546 +github:1112063421 2025-12-08 2025-12-10 f https://github.com/lincemorado97/CVE-2025-55182_CVE-2025-66478 CVE-2025-55182 + CVE-2025-66478 - Next.js/React Server Components Remote Code Execution CVE-2025-55182 0 0 0 0 9025442683929538036 +github:329132844 2021-05-04 2021-05-04 f https://github.com/Mesh3l911/CVE-2021-3138 Discource POC CVE-2021-3138 0 1 1 1 3046454159632383614 +github:469282891 2022-03-13 2024-08-12 f https://github.com/sa-infinity8888/Dirty-Pipe-CVE-2022-0847 CVE-2022-0847 (Dirty Pipe) is an arbitrary file overwrite vulnerability that allows escalation of privileges by modifying or overwriting arbitrary read-only files e.g. /etc/passwd, /etc/shadow. CVE-2022-0847 1 3 1 3 6989352655806917697 +github:835802970 2024-07-30 2024-07-30 f https://github.com/soulfoodisgood/CVE-2022-40146 Vulnerable svg-to-png service CVE-2022-40146 0 0 1 0 1555747384985940265 +github:620587865 2023-03-29 2024-12-12 f https://github.com/Cuerz/CVE-2023-28432 CVE-2023-28432 MinIO敏感信息泄露检测脚本 CVE-2023-28432 0 10 1 10 2892405216196463956 +github:1239594786 2026-05-15 2026-05-15 f https://github.com/rootdirective-sec/CVE-2026-44338-Lab CVE-2026-44338 0 0 0 0 1560307930029669308 +github:441161964 2021-12-23 2021-12-23 f https://github.com/dileepdkumar/https-github.com-dileepdkumar-https-github.com-pravin-pp-log4j2-CVE-2021-45105-v CVE-2021-45105 0 0 1 0 3248916594461797410 +github:1295803232 2026-07-09 2026-07-09 f https://github.com/BiiTts/CVE-2026-49230-APISIX-jwe-decrypt-Auth-Bypass PoC for CVE-2026-49230: Apache APISIX jwe-decrypt authentication bypass (missing AES-GCM tag validation, CWE-354, CVSS 9.1) CVE-2026-49230 0 0 0 0 8554927705488844045 +github:84705148 2017-03-12 2025-08-21 f https://github.com/ret2jazzy/Struts-Apache-ExploitPack These are just some script which you can use to detect and exploit the Apache Struts Vulnerability (CVE-2017-5638) CVE-2017-5638 13 16 0 16 2090282369193102268 +github:477260087 2022-04-03 2025-11-14 f https://github.com/itsecurityco/CVE-2022-22965 Docker PoC for CVE-2022-22965 with Spring Boot version 2.6.5 CVE-2022-22965 3 16 1 16 1353720485128818842 +github:1183271267 2026-03-16 2026-03-29 f https://github.com/12-test-12/CVE-2025-3248 CVE-2025-3248 0 0 1 0 2617767148881249468 +github:225892994 2020-01-23 2024-02-01 f https://github.com/jra89/CVE-2019-19576 This is a filter bypass exploit that results in arbitrary file upload and remote code execution in class.upload.php <= 2.0.3 CVE-2019-19576 3 12 2 12 7236251322300539377 +github:1040095050 2025-09-15 2025-08-18 f https://github.com/shoucheng3/jstachio__jstachio_CVE-2023-33962_1-0-0 CVE-2023-33962 0 0 0 0 7918560821520389521 +github:1115188034 2025-12-12 2025-12-12 f https://github.com/ryanhafid/PoC_CVE-2025-55182 CVE-2025-55182 0 0 0 0 1556463857907464122 +github:155760240 2018-11-01 2018-11-01 f https://github.com/redirected/cve-2018-6574 CVE-2018-6574 0 0 1 0 1540520996883064879 +github:902723062 2024-12-13 2025-09-19 f https://github.com/JAckLosingHeart/CVE-2024-55875 CVE-2024-55875 | GHSA-7mj5-hjjj-8rgw | http4k first CVE CVE-2024-55875 0 8 1 8 4052958828230831496 +github:763685345 2024-02-26 2024-02-26 f https://github.com/acesoyeo/CVE-2023-41892 A Craft CMS vulnerability that allows Remote Code Execution (RCE). CVE-2023-41892 0 0 1 0 2066163781899605510 +github:693008952 2023-09-21 2023-09-28 f https://github.com/sromanhu/-CVE-2023-43340-Evolution-Reflected-XSS---Installation-Admin-Options Evolution CMS 3.2.3 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload in the installation/options process. CVE-2023-43340 0 0 1 0 7628902128010000441 +github:129319611 2021-01-08 2026-07-21 f https://github.com/dreadlocked/Drupalgeddon2 Exploit for Drupal v7.x + v8.x (Drupalgeddon 2 / CVE-2018-7600 / SA-CORE-2018-002) CVE-2018-7600 170 600 22 600 5627674858721123233 +github:1040627774 2025-10-29 2025-08-19 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10078_2-11-0-M3 CVE-2019-10078 0 0 0 0 7328791192645888646 +github:578921503 2022-12-16 2022-12-16 f https://github.com/z50913/CVE-2020-27955 CVE-2020-27955 0 0 1 0 5822371514692803321 +github:1113306023 2025-12-09 2025-12-09 f https://github.com/Stonelinks/react-cve-2025-55182 malware I found on my server CVE-2025-55182 0 0 0 0 7116643952989457905 +github:1108315899 2025-12-02 2025-12-02 f https://github.com/sudlit/CVE-2017-7494 CVE-2017-7494 0 0 0 0 751034214565266147 +github:290230078 2020-08-25 2020-08-25 f https://github.com/lcartey/proftpd-cve-2019-12815 CVE-2019-12815 0 0 1 0 2038936750130607520 +github:1113734628 2026-05-09 2026-05-12 f https://github.com/rix4uni/CVE-2025-55182 A command-line tool for detecting CVE-2025-55182 and CVE-2025-66478 in Next.js applications using React Server Components. CVE-2025-55182 1 6 0 6 6335871931741730740 +github:93794473 2017-06-08 2017-06-08 f https://github.com/homjxi0e/CVE-2017-5638 CVE-2017-5638 1 0 0 0 217723954453093682 +github:689968197 2023-09-11 2023-09-11 f https://github.com/Trinadh465/openssl-1.1.1g_CVE-2021-23840 CVE-2021-23840 0 0 1 0 8204385719201687588 +github:938818030 2025-02-28 2025-02-28 f https://github.com/szyth/CVE-2024-23346-rust-exploit A Rust exploit for CVE-2024-23346 that functions as a "terminal" (tested on chemistry.htb) CVE-2024-23346 0 0 1 0 3115822737137496648 +github:1247894788 2026-05-23 2026-05-23 f https://github.com/renewablehacking/CVE-2025-55182-React-19.2.0 CVE-2025-55182 0 1 0 1 1221134856051186326 +github:562227251 2022-11-22 2023-03-20 f https://github.com/rami08448/CVE-2021-3656-Demo CVE-2021-3656 0 2 1 2 2259901899613973894 +github:1123164580 2025-12-26 2025-12-26 f https://github.com/thqxploit666/CVE-2025-55182 CVE-2025-55182 0 0 0 0 8123564181674133505 +github:311776413 2025-03-13 2025-03-13 f https://github.com/hannob/CVE-2020-27603-bbb-libreoffice-poc Proof of Concept of Libreoffice file exfiltration vulnerability in Big Blue Button CVE-2020-27603 1 3 1 3 5656711647360573687 +github:361580646 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32159 Exploiting a Cross-site request forgery (CSRF) attack to get a Command Injetion through the Webmin's Upload and Download feature CVE-2021-32159 1 0 1 0 6037291897190558313 +github:1028949060 2025-08-12 2026-02-02 f https://github.com/Spydomain/CVE-2023-22809-automated-python-exploits Automates vulnerability check for sudo versions and privilege escalation via sudoedit if exploitable, helping users test and gain root access. CVE-2023-22809 0 1 0 1 835819502129124514 +github:1260986879 2026-06-06 2026-06-06 f https://github.com/REGGYRAIDER/CVE-2023-46604-RCE CVE-2023-46604-RCE exploit with Linux reverse shell payload CVE-2023-46604 0 0 0 0 5414774519034313037 +github:975139466 2025-05-13 2025-05-13 f https://github.com/ODST-Forge/CVE-2025-32433_PoC This script is a custom security tool designed to test for a critical pre-authentication vulnerability in systems running Erlang-based SSH servers CVE-2025-32433 0 0 0 0 5863588976588701421 +github:1120251288 2026-05-24 2026-07-14 f https://github.com/p3ta00/react2shell-poc CVE-2025-55182 React2Shell PoC - Critical RCE in React Server Components / Next.js. CVSS 10.0. Error-based exfil, reverse shell, interactive mode. CVE-2025-55182 1 9 0 9 1838379432126169850 +github:508934873 2023-11-12 2026-07-17 f https://github.com/M507/CVE-2021-23017-PoC PoC for Nginx 0.6.18 - 1.20.0 Memory Overwrite Vulnerability CVE-2021-23017 CVE-2021-23017 27 134 4 134 4794969255061545917 +github:496459351 2022-05-26 2022-05-26 f https://github.com/q77190858/CVE-2021-3156 sudo提权漏洞CVE-2021-3156复现代码 CVE-2021-3156 1 1 1 1 3268359751119347839 +github:966306701 2025-04-14 2025-04-14 f https://github.com/khaidtraivch/CVE-2021-41773-Apache-2.4.49- Kiểm thử xâm nhập CVE-2021-41773 0 0 1 0 4851363499659489848 +github:438797049 2021-12-15 2024-04-19 f https://github.com/ubitech/cve-2021-44228-rce-poc A Remote Code Execution PoC for Log4Shell (CVE-2021-44228) CVE-2021-44228 2 3 5 3 1433537747263189417 +github:696503465 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44763_ConcreteCMS-Arbitrary-file-upload-Thumbnail ConcreteCMS v.9.2.1 is affected by Arbitrary File Upload vulnerability that allows Cross-Site Scriting (XSS) Stored. CVE-2023-44763 0 0 1 0 9101612665960782603 +github:1153148757 2026-02-09 2026-02-09 f https://github.com/BrianLopezM99/react2shell-CVE-2025-55182 An exploitation tool for the Next.js vulnerability CVE-2025-55182 that allows remote command execution through a poisoning prototype in React Server Components. CVE-2025-55182 0 1 0 1 7814581253301949806 +github:1023122028 2025-07-20 2026-04-03 f https://github.com/daryllundy/CVE-2025-32463 Proof-of-concept and analysis for CVE-2025-32463 CVE-2025-32463 0 0 0 0 7471157953948827992 +github:1247845378 2026-05-23 2026-05-23 f https://github.com/diamorphine666/CVE-2026-0770 Langflow remote code execution exploit CVE-2026-0770 0 0 0 0 4212362643764961128 +github:191192237 2019-06-10 2019-06-10 f https://github.com/GeunSam2/CVE-2018-11564 exploit tool of CVE-2018-11564 CVE-2018-11564 0 1 0 1 1460813582526456739 +github:1056638964 2025-09-14 2025-09-14 f https://github.com/shoucheng3/vert-x3__vertx-web_CVE-2019-17640_3_9_4_fixed CVE-2019-17640 0 0 0 0 2651272144002270215 +github:462124410 2022-02-22 2025-07-18 f https://github.com/TheJoyOfHacking/dirkjanm-CVE-2020-1472 CVE-2020-1472 0 1 1 1 4113492851744922919 +github:1115776167 2025-12-13 2025-12-13 f https://github.com/dhananjayakumarn/CVE-2025-55182-Lab A hands-on lab for understanding and exploiting CVE-2025-55182 (React2Shell) - Remote Code Execution in React Server Components CVE-2025-55182 0 0 0 0 1150275813075583389 +github:434961092 2021-12-04 2026-02-17 f https://github.com/orangmuda/CVE-2021-38314 Unauthenticated Sensitive Information Disclosure (CVE-2021–38314). CVE-2021-38314 5 7 1 7 401021598908395838 +github:1129756602 2026-01-07 2026-01-07 f https://github.com/xiaoLvChen/CVE-2022-0847 CVE-2022-0847（Linux 内核本地提权漏洞） CVE-2022-0847 0 1 0 1 3072486114456514302 +github:959144338 2025-04-10 2025-04-10 f https://github.com/uthrasri/Expat_2.6.2_CVE-2024-8176 CVE-2024-8176 0 0 1 0 1274598385850782244 +github:96565902 2017-07-08 2024-01-09 f https://github.com/dragoneeg/Struts2-048 CVE-2017-9791 CVE-2017-9791 29 27 3 27 3218947105172779546 +github:305243026 2020-12-25 2023-04-17 f https://github.com/datntsec/CVE-2019-13272 CVE-2019-13272 0 0 1 0 8924220713505580936 +github:333492305 2021-01-27 2024-08-12 f https://github.com/unauth401/CVE-2021-3156 CVE-2021-3156 23 1 0 1 3701495020242471745 +github:1006119111 2025-06-21 2025-09-09 f https://github.com/punitdarji/Grafana-cve-2025-4123 CVE-2025-4123 0 2 0 2 2335941431325810809 +github:299733711 2020-10-02 2026-04-24 f https://github.com/Privia-Security/ADZero Zerologon AutoExploit Tool | CVE-2020-1472 CVE-2020-1472 7 22 4 22 8994010818616787667 +github:637333881 2023-05-08 2023-05-07 f https://github.com/BenEdridge/CVE-2021-46703 Simple payload builder CVE-2021-46703 0 0 1 0 8572006257648477381 +github:476714401 2022-04-07 2025-04-28 f https://github.com/zer0yu/CVE-2022-22965 Spring4Shell (CVE-2022-22965) CVE-2022-22965 1 12 1 12 5990529543529888882 +github:1243514498 2026-05-19 2026-05-19 f https://github.com/learner202649/CVE-2026-35030-PoC The code for personally reproducing the corresponding vulnerability CVE-2026-35030 0 0 0 0 449904551082939204 +github:437323801 2021-12-11 2021-12-11 f https://github.com/66quentin/shodan-CVE-2018-15473 Test CVE-2018-15473 exploit on Shodan IP CVE-2018-15473 0 0 1 0 8917806724940330634 +github:373081575 2021-06-02 2021-06-02 f https://github.com/dnr6419/CVE-2018-6905 typo3 install.php XSS CVE-2018-6905 0 0 1 0 4934880246321240353 +github:437797086 2021-12-14 2023-08-15 f https://github.com/ycdxsb/Log4Shell-CVE-2021-44228-ENV Log4Shell Docker Env CVE-2021-44228 1 4 1 4 3405887500929237644 +github:458500087 2023-09-06 2024-04-28 f https://github.com/hotpotcookie/CVE-2021-44228-white-box Log4j vulner testing environment based on CVE-2021-44228. It provide guidance to build the sample infrastructure and the exploit scripts. Supporting cooki3 script as the main exploit tools & integration CVE-2021-44228 1 3 2 3 4703539982107471468 +github:1039111356 2026-02-01 2025-10-16 f https://github.com/shoucheng3/DSpace__DSpace_CVE-2022-31192_5-100 CVE-2022-31192 0 0 0 0 7558060362383627211 +github:826686892 2024-07-10 2024-07-10 f https://github.com/ahboon/CVE-2024-37032-scanner CVE-2024-37032 scanner CVE-2024-37032 0 1 1 1 6966456222245551065 +github:1103284119 2025-11-24 2025-11-24 f https://github.com/Rivek619/CVE-2025-65681 An issue was discoverd in Overhang.IO (tutor-open-edx) (overhangio/tutor) 20.0.2 allowing local unauthorized attackers to gain access to sensitive information due to the absence of proper cache-control HTTP headers and client-side session checks. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-65681 0 0 0 0 3615116554110533994 +github:986972824 2025-05-20 2025-05-20 f https://github.com/laxmikumari615/Linux---Security---Detect-and-Mitigate-CVE-2024-3094 It was determined that malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. # It was determined that only certain operating systems and operating system versions were affected by this vulnerability. CVE-2024-3094 0 0 1 0 176715063142543668 +github:1114014167 2025-12-12 2026-05-31 f https://github.com/yz9yt/React2Shell-CTF A CTF challenge based on CVE-2025-55182 Vulnerability CVE-2025-55182 2 3 0 3 1364516887615985857 +github:458501569 2022-02-12 2023-04-19 f https://github.com/purple-WL/Jenkins_CVE-2019-1003000 CVE-2019-1003000 0 1 1 1 5634891331704238464 +github:1155212613 2026-02-12 2026-04-13 f https://github.com/RevShellXD/LFI-Destruction This program Prompts you for the Local File Inclusion information and will automatically search the /etc/passwd and using the users names found will search for and download any SSH key or variation of keys to the local computer. This program also performs the CVE-2021-41773_ apache2.4.49 and 50 traversal path exploit. In addtion to other LFI Vuln CVE-2021-41773 0 4 0 4 7901873431985650624 +github:942054238 2025-04-03 2025-04-03 f https://github.com/uthrasri/Jetty-v9.4.31_CVE-2023-40167 CVE-2023-40167 0 0 1 0 1984298629193621609 +github:1110495137 2025-12-05 2026-01-04 f https://github.com/Pizz33/CVE-2025-55182-burpscanner 基于 CVE-2025-55182 漏洞检测 burpsuite 被动扫描插件 CVE-2025-55182 0 8 0 8 6092813305093854491 +github:413927232 2021-10-16 2021-10-21 f https://github.com/hacknotes/CVE-2019-15107-Exploit Exploit para CVE-2019-15107 (Webmin 1.890-1.920) sin credenciales RCE escrito en PYTHON. CVE-2019-15107 0 0 1 0 1520811160962411597 +github:1295295416 2026-07-16 2026-07-26 f https://github.com/MoxitPanchal/EverShop-Lab-CVE-2026-25993 CVE-2026-25993 0 1 0 1 6561147274978494125 +github:1114822997 2025-12-12 2026-07-13 f https://github.com/zeropwn/pgadmin4-9.10-CVE-2025-13780 Proof of concept for CVE-2025-13780 CVE-2025-13780 1 14 0 14 6975063993829072333 +github:1118337554 2025-12-17 2025-12-21 f https://github.com/jedisct1/CVE-2025-65945-poc PoC for CVE-2025-65945 (Improper Verification of Cryptographic Signature in node-jws) CVE-2025-65945 1 5 1 5 6960156003818811077 +github:1266110017 2026-07-19 2026-06-11 f https://github.com/byte16384/CVE-2026-49492-PoC CVE-2026-49492 0 0 0 0 3982826478555332173 +github:432042415 2021-11-26 2021-11-26 f https://github.com/vphnguyen/ANM_CVE-2018-7600 Detect with python and tracking IP CVE-2018-7600 0 0 1 0 4427450286856162921 +github:380518926 2021-06-25 2024-08-12 f https://github.com/dorkerdevil/CVE-2021-27850_POC A Proof of concept for CVE-2021-27850 affecting Apache Tapestry and leading to unauthencticated remote code execution. CVE-2021-27850 16 3 0 3 8284695145762005666 +github:335952760 2021-02-05 2021-09-09 f https://github.com/Ormicron/CVE-2021-25646-GUI CSharp CVE-2021-25646-GUI CVE-2021-25646 1 1 1 1 6805341237981175632 +github:803835949 2024-05-23 2024-05-23 f https://github.com/Roronoawjd/git_rce CVE-2024-32002 POC CVE-2024-32002 0 0 1 0 3967868118159090644 +github:196239476 2019-07-10 2023-03-30 f https://github.com/saaph/CVE-2017-3143 Exploit for TSIG bypass vulnerabilities in Bind (CVE-2017-3143) and Knot DNS (CVE-2017-11104) CVE-2017-3143 3 1 0 1 2420859123503789968 +github:215573200 2019-10-16 2024-08-12 f https://github.com/gurneesh/CVE-2019-14287-write-up CVE-2019-14287 1 0 1 0 5188715788942374599 +github:85010282 2017-04-04 2025-11-19 f https://github.com/jrrdev/cve-2017-5638 cve-2017-5638 Vulnerable site sample CVE-2017-5638 13 14 1 14 7052484084097436140 +github:229376107 2019-12-24 2025-12-14 f https://github.com/ryu22e/django_cve_2019_19844_poc PoC for CVE-2019-19844(https://www.djangoproject.com/weblog/2019/dec/18/security-releases/) CVE-2019-19844 12 100 2 100 6014768827718398217 +github:826482682 2024-07-09 2024-11-04 f https://github.com/alperenugurlu/CVE-2024-3596-Detector CVE-2024-3596 2 7 1 7 3448081923465215051 +github:1300657978 2026-07-16 2026-07-16 f https://github.com/AstralJays/TraditionalJay Intentionally vulnerable VM-hosted Java shop — Log4Shell (CVE-2021-44228) workshop lab (EC2 / Azure VM / GCE) CVE-2021-44228 0 0 0 0 2488254383939614599 +github:1013260743 2025-07-03 2025-08-22 f https://github.com/cybersentinelx1/CVE-2025-32462-Exploit CVE-2025-32462 Exploit CVE-2025-32462 0 1 0 1 8192567264124588603 +github:1199198806 2026-04-02 2026-04-02 f https://github.com/JeevanAnand1202/Penetration-Test Full penetration test report against `IP` (Ubuntu VM). Attack chain: directory enumeration → backup file discovery → password cracking → CMS file upload → reverse shell → kernel privilege escalation (Dirty Pipe, CVE-2022-0847). CVE-2022-0847 0 0 0 0 7518919410596773715 +github:1051644826 2025-09-06 2025-09-06 f https://github.com/shoucheng3/hibernate__hibernate-validator_CVE-2019-10219_6_0_18_Final_fixed CVE-2019-10219 0 0 0 0 6110813472805558961 +github:1311018778 2026-07-24 2026-07-24 f https://github.com/sbimoxa/cve-2021-43798-lab CVE-2021-43798 0 0 0 0 3098154318396161453 +github:1240868007 2026-05-16 2026-05-16 f https://github.com/tralsesec/CVE-2023-23946 CVE affecting Git prior to versions 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7, and 2.30.8. CVE-2023-23946 0 0 0 0 1583057707113104058 +github:1021786301 2025-07-18 2025-09-29 f https://github.com/Joelp03/CVE-2025-49113 CVE-2025-49113 1 1 0 1 7513144213701003705 +github:223548534 2019-11-23 2019-11-23 f https://github.com/crispy-peppers/Libssh-server-CVE-2018-10933 CVE-2018-10933 0 0 0 0 2370549854133262204 +github:991698537 2025-05-28 2025-05-28 f https://github.com/AzkOsDev/CVE-2021-41773 CVE-2021-41773 0 0 1 0 3534068743462552210 +github:1014792569 2025-07-06 2025-11-07 f https://github.com/Chocapikk/CVE-2025-32463-lab CVE-2025-32463 1 1 0 1 6662297666701826914 +github:1111648351 2025-12-08 2026-01-29 f https://github.com/AliHzSec/CVE-2025-55182 Critical RCE vulnerability scanner for React Server Components (CVE-2025-55182). Automated exploitation framework with multi-payload support, proxy capabilities, and interactive command execution. CVE-2025-55182 1 15 0 15 828448541542502850 +github:85664016 2018-08-17 2024-12-30 f https://github.com/jas502n/st2-046-poc st2-046-poc CVE-2017-5638 CVE-2017-5638 29 21 1 21 5425100872318413115 +github:1151850960 2026-02-07 2026-02-07 f https://github.com/Zanex360/cdt-samba-deploy CDT Ansible playbook for deploying CVE-2017-7494 aka "SambaCry" to an Ubuntu box CVE-2017-7494 0 0 0 0 1965796682781859570 +github:959980547 2025-04-03 2025-04-03 f https://github.com/Gokul-Krishnan-V-R/CVE-2024-53900 Mongo Vulnub Lab...Try to Hack IT.....! CVE-2024-53900 0 0 1 0 750871678004452193 +github:218523957 2019-10-30 2019-10-30 f https://github.com/3rg1s/CVE-2016-2098 CVE-2016-2098 0 0 0 0 2071328976153598728 +github:425043477 2021-11-05 2025-07-16 f https://github.com/CarlosG13/CVE-2021-33026 Pickle Serialization Remote Code Execution - Memcached Poisoning CVE-2021-33026 1 4 1 4 117723458512114640 +github:467446398 2022-03-08 2026-07-28 f https://github.com/0x7eTeam/CVE-2022-22947 CVE-2022-22947_EXP,CVE-2022-22947_RCE,CVE-2022-22947反弹shell,CVE-2022-22947 getshell CVE-2022-22947 12 35 2 35 3424367009804126905 +github:1010839887 2025-07-01 2025-07-01 f https://github.com/theMcSam/CVE-2024-39930-PoC Exploit Code for CVE-2024-39930 gogs ssh server RCE CVE-2024-39930 0 0 0 0 7392770498949244543 +github:924126046 2025-02-01 2025-02-01 f https://github.com/4wayhandshake/CVE-2024-2961 Uses CVE-2024-2961 to perform an arbitrary file read CVE-2024-2961 0 0 1 0 5736186538556773097 +github:1051682621 2025-09-06 2025-09-06 f https://github.com/shoucheng3/vert-x3__vertx-web_CVE-2018-12542_3_5_4_fixed CVE-2018-12542 0 0 0 0 8519070493016025839 +github:335552799 2021-02-07 2026-05-30 f https://github.com/jweny/shiro-cve-2020-17523 shiro-cve-2020-17523 漏洞的两种绕过姿势分析 以及配套的漏洞环境 CVE-2020-17523 11 118 3 118 7914327320352717596 +github:437883625 2021-12-13 2021-12-13 f https://github.com/flxhaas/Scan-CVE-2021-44228 CVE-2021-44228 0 0 1 0 2641766313759840535 +github:1267207871 2026-06-12 2026-06-25 f https://github.com/7megaumka7/FOSKiller FOSSBilling CVE-2026-53647 & CVE-2026-53646 PoC — Unauthenticated API key disclosure & password reset token reuse CVE-2026-53647 0 1 0 1 5738761639180023462 +github:108805305 2017-11-11 2023-09-18 f https://github.com/donaldashdown/Common-Vulnerability-and-Exploit This is the Apache Struts CVE-2017-5638 struts 2 vulnerability. The same CVE that resulted in the equifax database breach. CVE-2017-5638 1 0 0 0 1405793858368306694 +github:780341040 2024-04-01 2024-04-01 f https://github.com/mesutgungor/xz-backdoor-vulnerability CVE-2024-3094 CVE-2024-3094 0 0 1 0 3823087090752751721 +github:956001488 2025-03-27 2025-03-27 f https://github.com/liemkaka/CVE-2018-9206 CVE-2018-9206 0 0 1 0 371325312889761075 +github:864762865 2024-10-05 2026-04-29 f https://github.com/0x0d3ad/CVE-2021-3129 CVE-2021-3129 (Laravel Ignition RCE Exploit) CVE-2021-3129 1 10 1 10 7947085115648403506 +github:1115590071 2025-12-13 2026-06-13 f https://github.com/wqfh/CVE-2024-27348 CVE-2024-27348 Exploitation Toolkit: Complete RCE exploit for Apache Huge-Graph-Server vulnerability. CVE-2024-27348 0 1 1 1 4636624661703506170 +github:835980205 2024-07-30 2024-07-30 f https://github.com/SpycioKon/CVE-2024-32002 Just small script to exploit CVE-2024-32002 CVE-2024-32002 0 0 1 0 598254782918453643 +github:1111118297 2025-12-08 2026-01-22 f https://github.com/I3r1h0n/React2Shell My research on CVE-2025-55182 CVE-2025-55182 0 0 0 0 8920310407694565922 +github:437582859 2022-01-04 2026-02-04 f https://github.com/nccgroup/log4j-jndi-be-gone A Byte Buddy Java agent-based fix for CVE-2021-44228, the log4j 2.x "JNDI LDAP" vulnerability. CVE-2021-44228 16 72 11 72 6264181913293963033 +github:263397296 2020-05-12 2020-05-12 f https://github.com/janod313/-CVE-2019-14287-SUDO-bypass-vulnerability CVE-2019-14287 0 0 1 0 7729000543231740828 +github:427957296 2021-11-14 2023-08-28 f https://github.com/xMohamed0/CVE-2020-5504-phpMyAdmin CVE-2020-5504 0 1 1 1 7823727587161634087 +github:621271126 2023-03-30 2024-06-17 f https://github.com/drkbcn/lblfixer_cve_2023_28447 Module for PrestaShop 1.7.X to fix CVE-2023-28447 vulnerability (Smarty XSS) CVE-2023-28447 1 2 1 2 7424783263373030985 +github:1237635372 2026-05-13 2026-05-22 f https://github.com/Intrudify/mini-shai-hulud-scanner Scanner for the Mini Shai-Hulud npm/PyPI supply chain worm (NHS CC-4781 · CVE-2026-45321). Detects gh-token-monitor persistence, payload artefacts, and attacker commits. Python, Bash, PowerShell. CVE-2026-45321 0 2 0 2 7077819481024237822 +github:1130669746 2026-01-08 2026-01-08 f https://github.com/baktistr/cve-2021-43798-enum CVE-2021-4379 Enumeration Tools CVE-2021-43798 0 0 0 0 3828699490675219783 +github:330011576 2021-01-15 2021-01-15 f https://github.com/uwueviee/Fu3l-F1lt3r Rust implementation of CVE-2018-16763 with some extra features. CVE-2018-16763 0 0 1 0 3166082744901444985 +github:1040665131 2025-08-22 2025-08-22 f https://github.com/www-spam/CVE-2024-53900 CVE-2024-53900 0 0 0 0 1825300032664271927 +github:1114368043 2026-01-20 2026-01-27 f https://github.com/lem0naids/CVE-2025-66417-POC POC SQLi CVE-2025-66417 CVE-2025-66417 0 4 0 4 8002298879815450718 +github:406110856 2021-09-19 2024-05-13 f https://github.com/dillonkirsch/CVE-2021-41074 CSRF in Qloapps HotelCommerce 1.5.1 CVE-2021-41074 1 0 1 0 5757592745926732167 +github:817383255 2024-07-27 2024-07-27 f https://github.com/cc3305/CVE-2022-22947 CVE-2022-22947 exploit script CVE-2022-22947 0 0 1 0 1744856124851695334 +github:977134432 2025-07-07 2025-07-25 f https://github.com/olimpiofreitas/CVE-2025-29927-scanner CVE-2025-29927 0 1 1 1 939438615152922504 +github:86200933 2017-04-01 2017-03-26 f https://github.com/mcassano/cve-2017-5638 CVE-2017-5638 0 0 1 0 1761142853610612882 +github:909554086 2024-12-29 2026-02-22 f https://github.com/Dharan10/CVE-2019-0232 Hi this is a revised and enhanced code for CVE-2019-0232 CVE-2019-0232 2 2 1 2 5294860859679308852 +github:720937725 2023-11-20 2023-11-21 f https://github.com/minhangxiaohui/ActiveMQ_CVE-2023-46604 PY CVE-2023-46604 0 1 1 1 5293606626140943237 +github:1274723768 2026-06-19 2026-07-10 f https://github.com/0xBlackash/CVE-2026-42530 CVE-2026-42530 CVE-2026-42530 1 2 0 2 4932806232624217050 +github:1063339270 2025-09-24 2025-09-24 f https://github.com/zeynepsilao/CVE-2017-12611_Exploit RCE project CVE-2017-12611 0 0 0 0 8817471773017188768 +github:1051582706 2025-09-06 2025-09-06 f https://github.com/MuhammadAbdullah192/CVE-2017-5638-Remote-Code-Execution-Apache-Struts2-EXPLOITATION CVE-2017-5638 0 0 0 0 9000769188963243102 +github:476271423 2022-03-31 2022-03-31 f https://github.com/puckiestyle/CVE-2022-22963 CVE-2022-22963 1 1 1 1 3140034727352346693 +github:1236461570 2026-05-24 2026-05-24 f https://github.com/ry-allan/tanstack-compromise-checker Detects CVE-2026-45321 (TanStack supply chain compromise) and Mini Shai-Hulud worm artifacts. Scans node_modules, lockfiles, persistence hooks (Claude Code, VS Code, systemd, LaunchAgent), GitHub workflows, git history, C2 domains, and AI tool configs. CVE-2026-45321 0 0 0 0 4189361461062880236 +github:218206529 2019-10-29 2019-10-29 f https://github.com/cchang27/CVE-2018-11235-test CVE-2018-11235 0 0 1 0 3988272337863522007 +github:198579428 2019-07-24 2025-10-02 f https://github.com/jas502n/CVE-2019-12384 Jackson Rce For CVE-2019-12384 CVE-2019-12384 25 102 3 102 6927603787859417855 +github:492581612 2022-05-18 2023-02-10 f https://github.com/lavclash75/mybb-CVE-2022-24734 MyBB 1.8.29 - Remote Code Execution CVE-2022-24734 0 1 1 1 1670443141067892956 +github:1288794919 2026-07-29 2026-07-29 f https://github.com/MalHyuk/CVE-2026-59243 CVE-2026-59243 — Apache Airflow FAB Auth Manager JWT signature bypass (embargoed until Apache advisory) CVE-2026-59243 0 0 0 0 4868222754096839188 +github:909488696 2024-12-28 2025-05-02 f https://github.com/rvzsec/CVE-2023-40028 CVE-2023-40028 PoC Exploit CVE-2023-40028 1 3 1 3 938539491700563265 +github:1184432212 2026-03-17 2026-03-17 f https://github.com/Toddkk02/CVE-2025-29927 CVE-2025-29927 0 0 0 0 3199043186925264816 +github:960892474 2025-04-05 2025-04-05 f https://github.com/ron-imperva/CVE-2025-30065-PoC CVE-2025-30065 PoC CVE-2025-30065 0 0 1 0 3505804108680803792 +github:626855931 2023-04-12 2023-04-12 f https://github.com/NsByte/CVE-2018-6574 CVE-2018-6574 0 0 1 0 7230020721684242909 +github:388931033 2021-07-23 2023-05-23 f https://github.com/k3vinlusec/WhatsApp-Double-Free-Vulnerability_CVE-2019-11932 Exploit Analysis of The WhatsApp Double-Free Vulnerability (CVE-2019-11932) Using the GEF-GDB Debugger CVE-2019-11932 0 0 1 0 4948265529998125480 +github:502589993 2022-06-13 2022-12-11 f https://github.com/ra890927/Log4Shell-CVE-2021-44228-Demo Log4Shell CVE-2021-44228 Demo CVE-2021-44228 0 0 1 0 2670356597295548226 +github:649018116 2023-06-03 2023-06-08 f https://github.com/merbinr/CVE-2023-31606 CVE-2023-31606 1 2 2 2 1380750009904089379 +github:1156176454 2026-02-12 2026-02-19 f https://github.com/thealchimist86/CVE-2025-49132-Pterodactyl-Panel-RCE Exploit CVE-2025-49132 Pterodactyl Panel RCE CVE-2025-49132 0 1 0 1 3809402834226077169 +github:1222893330 2026-07-13 2026-07-13 f https://github.com/studiomeyer-io/mcp-server-attestation Layer-2 supply-chain hardening for MCP servers — Ed25519-signed tool manifests, runtime spawn-attestation, default-deny argument sanitizer. Defends against marketplace-poisoning + CVE-2025-69256 + CVE-2025-61591. CVE-2025-69256 0 0 0 0 1097616959787356471 +github:478399832 2022-04-07 2022-04-26 f https://github.com/datawiza-inc/spring-rec-demo The demo code showing the recent Spring4Shell RCE (CVE-2022-22965) CVE-2022-22965 1 2 0 2 7398760067465567880 +github:972759381 2025-04-25 2025-04-25 f https://github.com/sealldeveloper/CVE-2016-2098-PoC A PoC of CVE-2016-2098 I made for PentesterLab CVE-2016-2098 0 0 1 0 979596908964282905 +github:1153085783 2026-02-08 2026-07-20 f https://github.com/ztrxwzy/joomla.3.7.0exploit Proof of Concept exploit for the Joomla 3.7.0 com_fields SQL injection vulnerability (CVE-2017-8917), demonstrating detection, enumeration, and data extraction in a CTF-friendly workflow. CVE-2017-8917 0 2 0 2 8450570437034041283 +github:933940357 2025-02-17 2026-04-06 f https://github.com/sariamubeen/CVE-2023-7028 CVE-2023-7028 0 3 1 3 275779334217502837 +github:1311477681 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66730-Infinite-Loop-DoS-in-facil.io-MIME-Parser Security Advisory: Infinite Loop DoS in facil.io MIME Parser (Partial Boundary) CVE-2026-66730 0 0 0 0 1788680942811631547 +github:1051368120 2025-09-06 2025-09-06 f https://github.com/Makavellik/POC-CVE-2021-42013-EXPLOIT Una herramienta avanzada de escaneo, explotación e interacción remota diseñada para detectar y aprovechar la vulnerabilidad Apache Path Traversal + RCE (CVE-2021-42013) en servidores mal configurados. CVE-2021-42013 0 0 0 0 4687789885330968454 +github:1264811374 2026-06-10 2026-06-10 f https://github.com/JoakimBulow/CVE-2026-48962 CVE-2026-48962 - IO::Compress - Code Execution CVE-2026-48962 0 0 0 0 1831699301286822705 +github:429731870 2021-11-19 2024-08-12 f https://github.com/Liang2580/CVE-2021-37580 CVE-2021-37580 CVE-2021-37580 4 7 1 7 3712215596915407325 +github:1040307180 2025-12-09 2025-12-24 f https://github.com/moften/CVE-2025-8671-MadeYouReset-HTTP-2-DDoS CVE-2025-25063 MadeYouReset HTTP/2 DDoS CVE-2025-8671 6 6 0 6 7800772279810883716 +github:58041137 2016-05-04 2016-05-04 f https://github.com/tommiionfire/CVE-2016-3714 CVE-2016-3714 1 0 1 0 6391697263780781853 +github:542505822 2022-10-31 2022-11-01 f https://github.com/bypazs/CVE-2022-42098 KLiK-SocialMediaWebsite v1.0.1 has SQL Injection Vulnerabilities at profile.php CVE-2022-42098 0 1 1 1 1393959764384493293 +github:685905090 2023-09-04 2025-08-29 f https://github.com/mnqazi/CVE-2023-4698 CVE-2023-4698 0 0 1 0 8027759220177276005 +github:1111969840 2025-12-08 2026-02-17 f https://github.com/timsonner/React2Shell-CVE-2025-55182 POC and lab setup CVE-2025-55182 2 3 0 3 6563132741877974236 +github:383961985 2021-07-09 2021-07-09 f https://github.com/b510/CVE-2020-1956 CVE-2020-1956 CVE-2020-1956 1 0 1 0 2708878080004586116 +github:465532157 2022-03-03 2026-05-04 f https://github.com/Anonymous-Family/Zero-day-scanning Zero-day-scanning is a Domain Controller vulnerability scanner, that currently includes checks for Zero-day-scanning (CVE-2020-1472), MS-PAR/MS-RPRN and SMBv2 Signing. CVE-2020-1472 1 1 0 1 8897670560530862362 +github:1311229892 2026-07-24 2026-07-24 f https://github.com/Lite-os15/Lab-001-Gitea-CVE-2026-20896- CVE-2026-20896 0 0 0 0 3379813050396521134 +github:1206419643 2026-04-09 2026-07-21 f https://github.com/estebanzarate/CVE-2018-16763-Fuel-CMS-1.4.1-Remote-Code-Execution-PoC Unauthenticated RCE vulnerability in Fuel CMS 1.4.1. CVE-2018-16763 0 1 0 1 8105650169837028435 +github:389496562 2021-07-26 2022-07-12 f https://github.com/bbinfosec43/CVE-2021-33909 Exploit code for CVE-2021-33909,Just a dump of removed https://github.com/AmIAHuman/ repo CVE-2021-33909 8 5 1 5 2333958953085624626 +github:583717581 2022-12-30 2023-07-24 f https://github.com/pmihsan/Dirty-Pipe-CVE-2022-0847 Dirty Pipe Kernel Vulnerability Exploit CVE-2022-0847 1 0 1 0 5608919079486958567 +github:1110654318 2025-12-09 2026-01-07 f https://github.com/imbas007/POC-CVE-2025-55182 CVE-2025-55182 0 1 0 1 4093698977151227352 +github:1246177081 2026-05-22 2026-05-22 f https://github.com/felisha-elmer/Sandbox-Challenge-Spring4Shell-CVE-2022-22965- CVE-2022-22965 0 0 0 0 512946622468117984 +github:1158468109 2026-02-15 2026-02-20 f https://github.com/StealthByte0/CVE-2025-4517-poc CVE-2025-4517 (CVSS 9.4 – Critical) A vulnerability in Python's `tarfile` CVE-2025-4517 1 2 0 2 3587539141041775576 +github:1005740003 2026-03-25 2026-03-25 f https://github.com/typicalsmc/CVE-2025-49132-PoC CVE-2025-49132 0 0 0 0 2273139763565606184 +github:1115537059 2025-12-13 2025-12-13 f https://github.com/h0tak88r/next88 High-performance Go implementation for detecting React Server Components RCE vulnerabilities (CVE-2025-55182 & CVE-2025-66478). CVE-2025-55182 1 0 0 0 7548788367694413481 +github:598309338 2023-02-06 2025-10-25 f https://github.com/electr0sm0g/CVE-2022-4510 Binwalk Remote Command Execution CVE-2022-4510 0 9 1 9 3691853211509591838 +github:1198247870 2026-06-16 2026-04-29 f https://github.com/TLevente20/HTTP-2-RapidReset-CVE-2023-44487-Testlab CVE-2023-44487 0 0 0 0 5390177556804480370 +github:268730987 2020-06-02 2022-06-16 f https://github.com/random-robbie/CVE-2019-7616 POC for CVE-2019-7616 / ESA-2019-09 CVE-2019-7616 3 6 1 6 212365532371862903 +github:1067103629 2025-09-30 2025-09-30 f https://github.com/hexared/CVE-2024-32019_poc This is an alternative poc for the CVE-2024-32019 written in python CVE-2024-32019 0 0 0 0 8858542694847463324 +github:1309065230 2026-07-22 2026-07-22 f https://github.com/0xgh057r3c0n/CVE-2026-58138 CVE-2026-58138 - Conductor (3.21.21..<3.30.2) unauthenticated RCE via INLINE GraalVM evaluator CVE-2026-58138 0 0 0 0 7334111828705802015 +github:355436102 2021-04-07 2021-04-07 f https://github.com/Debalinax64/CVE-2016-2098 CVE-2016-2098 - POC of RCE Ruby on Rails: Improper Input Validation (CVE-2016-2098) in bash. Remote attackers can execute arbitrary Ruby code by leveraging an application's unrestricted use of the render method. CVE-2016-2098 0 0 1 0 5783601908787571290 +github:659564459 2023-06-28 2023-06-28 f https://github.com/theerachaich/lab pentesterlab_CVE-2018-11235: Git Submodule RCE CVE-2018-11235 0 0 1 0 7779069667266786929 +github:1196653332 2026-03-31 2026-03-31 f https://github.com/f4dee-backup/CVE-2025-54123 PoC CVE-2025-54123 - Hoverfly <= 1.11.3 - Authenticated Middleware Command Injection CVE-2025-54123 0 0 0 0 6747608734616187944 +github:730824366 2023-12-12 2023-12-12 f https://github.com/zerbaliy3v/cve-2018-6574-exploit CVE-2018-6574 this vulnerability impacts Golang go get command and allows an attacker to gain code execution on a system by installing a malicious library, this vulnerability was fixed in Go 1.8. 7, 1.9. 4 and 1.10rc2. Golang will build native extensions. CVE-2018-6574 1 0 1 0 159956391580340666 +github:1238367013 2026-05-14 2026-05-14 f https://github.com/imzanggg/CVE-2026-24055-OAuth-Langfuse CVE-2026-24055 0 0 0 0 3698881597280571947 +github:1017260669 2025-07-10 2025-07-10 f https://github.com/LordBheem/CVE-2025-32023 Exploit for CVE-2025-32023 CVE-2025-32023 3 0 0 0 1975949242840885440 +github:1017411579 2025-07-16 2025-07-16 f https://github.com/altm4n/cve-2025-48384-hub CVE-2025-48384 0 0 0 0 7740880251626473570 +github:153643745 2018-10-18 2025-12-09 f https://github.com/marco-lancini/hunt-for-cve-2018-10933 Hunt for and Exploit the libSSH Authentication Bypass (CVE-2018-10933) CVE-2018-10933 4 10 1 10 2077902528790765386 +github:1169947693 2026-03-01 2026-03-01 f https://github.com/khayashi4337/lodash.template-fixed Fork of lodash.template with CVE-2021-23337 fix (command injection via variable option) CVE-2021-23337 0 0 0 0 6242917914998242416 +github:333557918 2021-01-31 2021-01-31 f https://github.com/ymrsmns/CVE-2021-3156 CVE-2021-3156 CVE-2021-3156 1 0 1 0 3531345494633951516 +github:972055475 2025-04-25 2025-08-10 f https://github.com/JIYUN02/cve-2021-41773 CVE-2021-41773 0 0 1 0 7476146374465388159 +github:91805498 2017-05-19 2017-05-19 f https://github.com/Bajunan/CVE-2016-10033 WordPress 4.6 - Remote Code Execution (RCE) PoC Exploit CVE-2016-10033 0 0 0 0 5232329073496915701 +github:844692267 2025-02-22 2025-02-22 f https://github.com/dream434/CVE-2024-34102 adobe commerce CVE-2024-34102 0 0 1 0 3540900407225464899 +github:904005872 2024-12-16 2024-12-16 f https://github.com/redspy-sec/CVE-2021-41773 CVE-2021-41773 0 0 1 0 1218278334313033368 +github:438541504 2022-01-14 2022-03-17 f https://github.com/anuvindhs/how-to-check-patch-secure-log4j-CVE-2021-44228 A one-stop repo/ information hub for all log4j vulnerability-related information. CVE-2021-44228 1 2 1 2 6694443922173195421 +github:622718899 2023-04-04 2023-04-17 f https://github.com/demonrvm/Log4ShellRemediation A vulnerable Spring Boot application that uses log4j and is vulnerable to CVE-2021-44228, CVE-2021-44832, CVE-2021-45046 and CVE-2021-45105 CVE-2021-44228 1 1 1 1 6013955711902671276 +github:563734755 2022-11-09 2026-03-05 f https://github.com/ipsBruno/CVE-2022-1162 A simple tool to enumerate users in gitlab CVE-2022-1162 1 2 1 2 5239737301719866875 +github:215363376 2020-11-16 2024-08-12 f https://github.com/CashWilliams/CVE-2019-14287-demo This is a container built for demonstration purposes that has a version of the sudo command which is vulnerable to CVE-2019-14287 CVE-2019-14287 1 1 1 1 3131949484828539513 +github:852812142 2024-09-05 2024-09-05 f https://github.com/bryanqb07/CVE-2023-32315 CVE-2023-32315 0 0 1 0 1391534223437382933 +github:682287046 2023-08-26 2023-08-23 f https://github.com/afine-com/CVE-2023-39062 Spipu Html2Pdf < 5.2.8 - XSS vulnerabilities in example files CVE-2023-39062 0 0 0 0 8256044024358493847 +github:438148080 2021-12-14 2025-10-10 f https://github.com/toramanemre/apache-solr-log4j-CVE-2021-44228 A Nuclei template for Apache Solr affected by Apache Log4J CVE-2021-44228 CVE-2021-44228 3 4 1 4 8719829931986647347 +github:1115797021 2025-12-13 2026-07-28 f https://github.com/cybertechajju/CVE-2025-55184-POC-Expolit CVE-2025-55184 2 22 0 22 6537890558089313727 +github:248533681 2020-11-05 2020-11-05 f https://github.com/mhamed366/CVE-2018-6574 CVE-2018-6574 0 0 0 0 5952797433793502024 +github:367014200 2021-05-13 2021-05-13 f https://github.com/Arnoldqqq/CVE-2020-27955 CVE-2020-27955 0 0 1 0 8771424160786673958 +github:817432934 2024-06-19 2025-12-12 f https://github.com/surajhacx/CVE-2024-34452 Cross-Site Scripting (XSS) Vulnerability in CMSimple_XH CVE-2024-34452 0 1 1 1 4498967934075235242 +github:91424188 2017-05-24 2017-07-09 f https://github.com/hal0taso/CVE-2016-0728 cve-2016-0728 exploit and summary CVE-2016-0728 1 0 0 0 7352419629273672407 +github:1070364523 2025-10-05 2025-10-05 f https://github.com/Cyberuser-hash/CVE-2018-16763 exploit for CVE-2018-16763 CVE-2018-16763 0 0 0 0 8404727633579097138 +github:1254234157 2026-05-30 2026-05-30 f https://github.com/Dungsocool/CVE-2018-7600 CVE-2018-7600 0 0 0 0 4031226116791288339 +github:856715099 2024-09-13 2024-09-13 f https://github.com/acidburn2049/CVE-2021-3156 CVE-2021-3156 0 0 1 0 8122970253645210129 +github:488989628 2024-04-28 2024-04-28 f https://github.com/0xRaw/CVE-2021-42183 CVE-2021-42183 0 0 1 0 295448600859130986 +github:997262211 2025-06-06 2025-06-06 f https://github.com/HaGsec/CVE-2025-30208 POC CVE-2025-30208 0 0 0 0 5393611731055971318 +github:827395652 2024-07-11 2025-09-23 f https://github.com/Nithylesh/web-application-firewall- This project demonstrates a Web Application Firewall (WAF) simulation using Flask and a vulnerability checker for CVE-2017-5638. The WAF middleware blocks HTTP requests containing specific patterns, and the vulnerability checker tests for and exploits the Apache Struts 2 vulnerability (CVE-2017-5638). CVE-2017-5638 0 3 1 3 5195623715463128955 +github:1311803396 2026-07-25 2026-07-25 f https://github.com/0xDVRK/CVE-2026-41651 CVE-2026-41651 0 0 0 0 733321725324840303 +github:1126222814 2026-01-01 2026-01-26 f https://github.com/z0d131482700x/Livewire2025CVE Fast Python scanner detects vulnerable Laravel Livewire v3 sites (CVE-2025-54068, CVSS 9.2). Separates risky sites into vuln.txt, safe sites into safe.txt. CVE-2025-54068 0 3 0 3 3349021412669290499 +github:1286719648 2026-07-02 2026-07-23 f https://github.com/dinosn/CVE-2026-25243-debugfree CVE-2026-25243 2 2 0 2 5482796725761072869 +github:205600969 2019-08-31 2019-08-31 f https://github.com/UbuntuStrike/struts_rest_rce_fuzz-CVE-2017-9805- Simple python script to fuzz site for CVE-2017-9805 CVE-2017-9805 0 1 1 1 1265256818042495868 +github:170656601 2019-02-14 2019-02-14 f https://github.com/likekabin/cve-2019-5736-poc CVE-2019-5736 0 0 1 0 5248313859410487290 +github:310337744 2020-11-05 2024-02-19 f https://github.com/mingchen-script/CVE-2020-1472-visualizer CVE-2020-1472 0 1 1 1 5151925785448461270 +github:438951347 2022-10-05 2022-03-29 f https://github.com/Joefreedy/Log4j-Windows-Scanner CVE-2021-44228 vulnerability in Apache Log4j library | Log4j vulnerability scanner on Windows machines. CVE-2021-44228 0 3 2 3 4158141549804046250 +github:1054059716 2025-09-22 2025-09-22 f https://github.com/Chinmay1743/ptrace-vuln To check for vulnerability CVE-2019-13272 CVE-2019-13272 1 0 0 0 7917223712409136608 +github:1211869328 2026-04-15 2026-04-15 f https://github.com/Lu3ky13/Alternative-Approach-Reverse-Shell-Callback-Test-InvokeAI-RCE This repository contains alternative payload approaches for the InvokeAI RCE vulnerability (CVE-2024-12029) when SSH key injection fails. The payloads are designed to test if pickle deserialization is actually occurring and provide alternative access methods. CVE-2024-12029 0 0 0 0 3113986075156294059 +github:752985066 2024-02-05 2024-02-05 f https://github.com/trustcves/CVE-2024-24396 CVE-2024-24396 0 0 1 0 6241213495556734831 +github:1085316119 2025-10-28 2025-10-28 f https://github.com/mladicstefan/CVE-2024-48990 Full exploit for needsrestart setuid root shell CVE-2024-48990 0 0 0 0 6559217119298813878 +github:274906170 2020-07-02 2023-04-26 f https://github.com/cyberharsh/DrupalCVE-2018-7602 CVE-2018-7602 1 1 1 1 5544673939074419510 +github:1297819389 2026-07-11 2026-07-11 f https://github.com/cyberbelly/PoC-CVE-2019-1003030 PoC for jenkins 2.63 CVE-2019-1003030 CVE-2019-1003030 0 0 0 0 8616273456309433176 +github:818819540 2024-06-23 2025-07-14 f https://github.com/bigb0x/CVE-2024-21514 SQL Injection POC for CVE-2024-21514: Divido payment extension for OpenCart CVE-2024-21514 2 4 2 4 4700118581981424930 +github:863821082 2024-10-07 2024-10-15 f https://github.com/GO0dspeed/spill POC scanner for CVE-2024-47176 CVE-2024-47176 2 7 1 7 5885703514714571961 +github:822897220 2024-07-02 2024-07-10 f https://github.com/ahlfors/CVE-2024-6387 CVE-2024-6387 0 2 1 2 8005946678613928002 +github:153477523 2018-10-17 2024-08-12 f https://github.com/hook-s3c/CVE-2018-10933 CVE-2018-10933 sshlib user authentication attack - docker lab, test and exploit CVE-2018-10933 1 0 0 0 4093604038868197285 +github:540972496 2022-09-24 2024-08-12 f https://github.com/Malwareman007/CVE-2022-2274 A POC OF CVE-2022-2274 (openssl) CVE-2022-2274 2 16 1 16 5912981015342157938 +github:1243282205 2026-05-19 2026-05-19 f https://github.com/Industri4l-H3ll-Xpl0it3rs/CVE-2025-55182-React2Shell CVE-2025-55182 Exploit | by infrar3d CVE-2025-55182 0 0 0 0 445728296909311813 +github:1091728377 2025-12-02 2026-04-01 f https://github.com/mjuanxd/logrus-dos-poc CVE-2025-65637: Logrus Denial of Service Vulnerability CVE-2025-65637 0 2 1 2 889750687361402453 +github:1293715275 2026-07-13 2026-07-14 f https://github.com/h3ck13r/CVE-2026-35204 CVE-2026-35204 PoC CVE-2026-35204 0 1 0 1 5796833062239907767 +github:1140877636 2026-01-23 2026-01-23 f https://github.com/mcornaglia/CVE-2019-15715 Replica of CVE-2019-15715 in Python3 CVE-2019-15715 0 0 0 0 569187498803465434 +github:949271526 2025-03-17 2026-04-16 f https://github.com/absholi7ly/PoC-for-CVE-2024-7014-Exploit Proof of Concept (PoC) for CVE-2024-7014 (EvilVideo) Exploit CVE-2024-7014 1 12 1 12 2128117519756351595 +github:1127690431 2026-07-13 2026-07-13 f https://github.com/AdityaBhatt3010/React2Shell-CVE-2025-55182 React2Shell CVE-2025-55182: unauthenticated unsafe deserialization in React Server Components leading to reliable remote code execution via the Flight protocol. CVE-2025-55182 0 7 0 7 2817645388438984902 +github:543047050 2022-09-29 2023-09-16 f https://github.com/Trinadh465/external_zlib_4.4_CVE-2018-25032 CVE-2018-25032 0 1 1 1 1508071045212664627 +github:158212154 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-12540 CVE-2018-12540 0 0 0 0 7040984933109562358 +github:262004654 2023-03-21 2024-12-15 f https://github.com/ssrsec/CVE-2020-11651-CVE-2020-11652-EXP CVE-2020-11651&&CVE-2020-11652 EXP CVE-2020-11651 15 24 1 24 2641742502885336659 +github:1161328387 2026-02-19 2026-02-19 f https://github.com/Jimmy01240397/CVE-2025-55752 CVE-2025-55752 0 0 0 0 2276021576474504379 +github:856828078 2024-09-13 2024-12-09 f https://github.com/Robocopsita/CVE-2022-0944_RCE_POC CVE-2022-0944 0 2 1 2 2439757587891714833 +github:959977000 2025-04-03 2026-05-18 f https://github.com/MuhammadWaseem29/CVE-2025-24799 CVE-2025-24799 SQLi Scanner CVE-2025-24799 1 4 1 4 9141960916650211214 +github:338562736 2021-06-10 2024-08-12 f https://github.com/Vulnmachines/Apache-Druid-CVE-2021-25646 CVE-2021-25646 2 3 1 3 6722436135604690414 +github:571582101 2022-12-22 2026-06-17 f https://github.com/0x4ndy/clif clif is a command-line interface (CLI) application fuzzer, pretty much what wfuzz or ffuf are for web. It was inspired by sudo vulnerability CVE-2021-3156 and the fact that for some reasons, Google's afl-fuzz doesn't allow for unlimited argument or option specification. CVE-2021-3156 8 100 2 100 2265578784392530246 +github:286360004 2020-08-13 2025-08-29 f https://github.com/ruthvikvegunta/Drupalgeddon2 CVE-2018-7600 | Drupal < 7.58 / < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' RCE CVE-2018-7600 4 0 1 0 4853195178850790819 +github:418858024 2026-06-24 2026-06-24 f https://github.com/KingBangQ/CVE-2020-13933Project 此项目为复现CVE-2020-13933 shiro漏洞所搭建的简易springboot+shiro项目 CVE-2020-13933 0 0 1 0 8262705549804774526 +github:1141117675 2026-01-24 2026-01-24 f https://github.com/xitexploiter96-dot/CVE-2023-38408 CVE-2023-38408 0 0 0 0 3323722105840723414 +github:819385498 2024-06-24 2025-10-09 f https://github.com/huseyinstif/CVE-2024-32030-Nuclei-Template CVE-2024-32030 0 1 1 1 1707075303822190205 +github:879409340 2025-01-07 2025-01-07 f https://github.com/0xDTC/WonderCMS-4.3.2-XSS-to-RCE-Exploits-CVE-2023-41425 CVE-2023-41425 Refurbish CVE-2023-41425 0 0 1 0 5578598204007826389 +github:437866496 2021-12-13 2023-02-07 f https://github.com/jeffli1024/log4j-rce-test CVE-2021-44228 - Apache log4j RCE quick test CVE-2021-44228 0 2 1 2 7667234719217517831 +github:717490918 2023-11-11 2023-11-11 f https://github.com/LuizGustavoP/EP3_Redes Implementações de servidores HTML em GO para análise da vulnerabilidade CVE-2023-29406. CVE-2023-29406 0 0 1 0 907850499349336379 +github:694922316 2023-09-30 2025-02-14 f https://github.com/himori123/-CVE-2023-30845 Explore CVE 2023-30845 automatically across multiple subdomains CVE-2023-30845 2 16 1 16 7958287691551946753 +github:836527056 2025-02-12 2025-02-12 f https://github.com/HeyMrSalt/AIS3-2024-Project-D5Team Reappear-CVE-2022-21449-TLS-PoC CVE-2022-21449 0 1 1 1 3460751913277104099 +github:1313739803 2026-07-27 2026-07-27 f https://github.com/yuimamur/CVE-2024-4367-hands-on-01 CVE-2024-4367 0 0 0 0 4270316815109331095 +github:1260824054 2026-06-05 2026-06-05 f https://github.com/rvzsec/react2shell react2shell - CVE-2025-55182 (Next.js: CVE-2025-66478) - Unauthenticated RCE in React Server Components (Flight Protocol) - PoC Exploit CVE-2025-55182 0 0 0 0 1874762795755477413 +github:325946157 2021-01-01 2023-03-09 f https://github.com/hmartos/cve-2020-35717 Showcase repository for CVE-2020-35717 CVE-2020-35717 0 1 1 1 442275451910858354 +github:1196573372 2026-05-17 2026-05-17 f https://github.com/SanderSchepers1993/CyberSec2026 CVE-2022-22947 vulnerability task CVE-2022-22947 0 0 0 0 5255002431163869877 +github:798589964 2024-05-10 2024-05-10 f https://github.com/jrbH4CK/CVE-2021-41091 CVE-2021-41091 0 0 1 0 4856403065308271950 +github:423172219 2022-07-04 2024-11-16 f https://github.com/c0okB/CVE-2021-22205 CVE-2021-22205 RCE CVE-2021-22205 7 13 1 13 1279263505171486660 +github:366379721 2021-05-11 2021-05-11 f https://github.com/freeide/CVE-2021-29200 CVE-2021-29200 8 0 0 0 4202920982050574615 +github:437575607 2021-12-12 2025-10-14 f https://github.com/qingtengyun/cve-2021-44228-qingteng-patch CVE-2021-44228 2 9 0 9 988329242441365999 +github:855503144 2024-09-11 2024-09-11 f https://github.com/OtisSymbos/CVE-2021-44228-Log4Shell- CVE-2021-44228 0 0 1 0 6157456719590994645 +github:889242972 2025-02-12 2025-02-12 f https://github.com/omar2535/CVE-2022-39275 CVE-2022-39275 Setup and POC CVE-2022-39275 0 0 1 0 4194650722708070903 +github:146519519 2018-08-29 2025-05-26 f https://github.com/brianwrf/S2-057-CVE-2018-11776 A simple exploit for Apache Struts RCE S2-057 (CVE-2018-11776) CVE-2018-11776 4 16 3 16 3672363029252036480 +github:1083657387 2025-10-30 2025-10-30 f https://github.com/aadi0258/Exploit-CVE-2024-23897 CVE-2024-23897 0 0 0 0 3129489947304874971 +github:1299433546 2026-07-13 2026-07-18 f https://github.com/buzhimingdeaikun/SQL-ThinkPHP-5.0.24-RCE- SQL注入漏洞复现报告——OWASP靶场实战，通过UNION注入提取数据库29条用户凭证 ThinkPHP 5.0.24 RCE漏洞复现报告——CVE-2018-16385，验证代码执行能力 CVE-2018-16385 0 0 0 0 8888413437327874492 +github:246461801 2020-03-31 2020-03-31 f https://github.com/youkergav/CVE-2018-10933 Authentication Bypass in Server Code for LibSSH CVE-2018-10933 0 0 0 0 1106865637945816896 +github:362536494 2022-02-16 2026-05-19 f https://github.com/LorenzoTullini/InfluxDB-Exploit-CVE-2019-20933 InfluxDB CVE-2019-20933 vulnerability exploit CVE-2019-20933 20 43 2 43 2402060340986616677 +github:805294860 2024-05-24 2024-05-24 f https://github.com/fadhilthomas/hook part of poc cve-2024-32002 CVE-2024-32002 0 0 1 0 3522123118877853283 +github:413929777 2021-10-05 2021-10-05 f https://github.com/WizzzStark/CVE-2019-12840.py POC: CVE-2019-12840 (Authenticated RCE - Webmin Package Updates) CVE-2019-12840 1 0 1 0 1426083259387696071 +github:244516769 2020-02-22 2020-03-03 f https://github.com/whatboxapp/GhostCat-LFI-exp CVE-2020-1938 CVE-2020-1938 7 0 0 0 1450360606221189482 +github:482976975 2022-09-20 2023-01-04 f https://github.com/hadrian3689/apache_2.4.50 CVE-2021-42013 - Apache 2.4.50 CVE-2021-42013 0 0 1 0 4725030692036325490 +github:686520503 2023-09-03 2023-09-03 f https://github.com/victorhorowitz/grafana-exploit-CVE-2021-43798 CVE-2021-43798 0 0 1 0 7388677960646608270 +github:1037590728 2025-08-13 2025-08-13 f https://github.com/security-smarttecs/cve-2025-50428 Proof of concept for the vulnerability CVE-2025-50428: Authenticated OS Command Injection in RaspAP CVE-2025-50428 0 0 0 0 5582612917562333420 +github:888639868 2024-11-14 2026-06-10 f https://github.com/Nyamort/CVE-2024-52301 CVE-2024-52301 3 21 1 21 4067366496061601926 +github:875253753 2024-12-16 2026-05-29 f https://github.com/nollium/CVE-2024-9264 Exploit for Grafana arbitrary file-read and RCE (CVE-2024-9264) CVE-2024-9264 16 132 4 132 501495385166612744 +github:1167021413 2026-02-25 2026-02-25 f https://github.com/TeneBrae93/RocketChat-NoSQLi-Chain-CVE-2021-22911 CVE-2021-22911 0 0 0 0 4665189787800227229 +github:1200522046 2026-04-03 2026-05-22 f https://github.com/jwsly12/CVE-2022-46364-htb-ctf Exploit CVE-2022-46363 CVE-2022-46364 0 1 0 1 2998807229273414923 +github:955713682 2025-03-27 2026-07-17 f https://github.com/jmbowes/NextSecureScan Next.js CVE-2025-29927 Vulnerability Scanner CVE-2025-29927 0 2 1 2 1787604715332120490 +github:160085058 2018-12-04 2019-01-30 f https://github.com/mhe18/CVE_Project CVE-2016-1240 exploit and patch CVE-2016-1240 0 0 1 0 6677953787740421526 +github:915363496 2025-01-11 2026-02-08 f https://github.com/0xDTC/Bludit-3.9.2-Auth-Bruteforce-Bypass-CVE-2019-17240 Bludit 3.9.2 - Auth Bruteforce Bypass CVE:2019-17240 Refurbish In bash CVE-2019-17240 1 1 1 1 8818831033313229549 +github:974838179 2025-05-05 2025-05-06 f https://github.com/Thvt0ne/CVE-2025-28062 proof of concept CVE-2025-28062 0 2 1 2 16428589050826270 +github:302162339 2020-10-03 2020-10-07 f https://github.com/m4rm0k/CVE-2019-16113 Bludit 3.9.2 - Remote command execution - CVE-2019-16113 CVE-2019-16113 2 0 0 0 4099697102940919272 +github:187840869 2019-08-19 2026-01-02 f https://github.com/jas502n/CVE-2019-7238 Nexus Repository Manager 3 Remote Code Execution without authentication < 3.15.0 CVE-2019-7238 26 85 1 85 7863776142358885411 +github:295781919 2020-09-15 2026-02-22 f https://github.com/k8gege/CVE-2020-1472-EXP Ladon Moudle CVE-2020-1472 Exploit 域控提权神器 CVE-2020-1472 21 58 2 58 7167423861866782876 +github:172458734 2019-02-25 2025-01-29 f https://github.com/oways/CVE-2019-6340 CVE-2019-6340 POC Drupal rce CVE-2019-6340 8 12 2 12 1982587425844338123 +github:664227496 2023-07-10 2026-04-24 f https://github.com/deeexcee-io/CVE-2021-44731-snap-confine-SUID Local Privilege Escalation Exploit for CVE-2021-44731 CVE-2021-44731 2 4 1 4 6133664469809364320 +github:736534272 2026-06-29 2026-06-29 f https://github.com/xmqaq/CVE-2022-22963 CVE-2022-22963-poc CVE-2022-22963 0 1 1 1 2900924726898609599 +github:556829048 2022-08-03 2026-02-18 f https://github.com/gmh5225/CVE-2022-35737 Stranger strings: CVE-2022-35737 CVE-2022-35737 3 13 0 13 5132562317126265646 +github:1155352296 2026-02-11 2026-03-06 f https://github.com/dollarboysushil/CVE-2025-49132-Pterodactyl-Panel-Unauthenticated-Remote-Code-Execution-RCE- PoC exploit for CVE-2025-49132 (GHSA-24wv-6c99-f843) – Unauthenticated Remote Code Execution in Pterodactyl Panel ≤ 1.11.10 CVE-2025-49132 0 3 0 3 2847631309524288675 +github:107489354 2017-05-28 2020-05-17 f https://github.com/c002/Apache-Struts An exploit for Apache Struts CVE-2017-5638 CVE-2017-5638 0 0 0 0 4879013155240866615 +github:1202616940 2026-04-06 2026-05-16 f https://github.com/open-flaw/CVE-2025-49844 CVE-2025-49844 0 0 0 0 7039299063137051959 +github:1267415213 2026-06-12 2026-06-12 f https://github.com/BlankBire/CVE-2026-24136-Lab CVE-2026-24136 | Lab khai thác lỗ hổng IDOR trên Saleor GraphQL - query order() không kiểm tra xác thực, lộ toàn bộ PII (email, địa chỉ, SĐT) của khách hàng. Bao gồm môi trường Docker, script seed data và PoC. CVSS 4.0: 8.7 HIGH. CVE-2026-24136 0 1 0 1 5420210428630903049 +github:526103436 2022-08-18 2022-08-18 f https://github.com/tharindudh/tharindudh-Log4j-Vulnerability-in-Ghidra-tool-CVE-2021-44228 CVE-2021-44228 0 0 1 0 1813374240068696350 +github:1034112377 2025-08-31 2025-08-31 f https://github.com/mah4nzfr/CVE-2025-24893 Bash POC script for RCE vulnerability in XWiki Platform CVE-2025-24893 0 0 0 0 1406984144497343947 +github:424321579 2021-11-03 2021-11-04 f https://github.com/robotsense1337/CVE-2021-42013 Exploit Apache 2.4.50(CVE-2021-42013) CVE-2021-42013 1 1 1 1 1063814205813161135 +github:1073566243 2025-10-11 2025-10-11 f https://github.com/Noah4Puppy/CVE-2024-21262 THREE different reproduction, WORKDIR, EXEC & RUNC. CVE-2024-21262 0 0 0 0 8548047079498115094 +github:1230905697 2026-05-06 2026-05-10 f https://github.com/darkbytehunter/CVE-2024-22120-RCE-with-gopher Proof-of-concept exploit for CVE-2024-22120 that leverages time-based SQL injection and gopher-based SSRF to achieve remote code execution on vulnerable Zabbix servers for educational security research. CVE-2024-22120 0 1 0 1 6141267358960432127 +github:274778835 2020-06-24 2022-09-07 f https://github.com/LucaReggiannini/Bludit-3-9-2-bb Bludit 3.9.2 - bruteforce bypass - CVE-2019-17240 CVE-2019-17240 0 0 1 0 8600819163735317696 +github:1084396425 2025-10-27 2025-11-17 f https://github.com/Nxvh1337/CVE-2021-44142-vulnerable-lab CVE-2021-44142 vulnerable lab CVE-2021-44142 0 3 0 3 6252341808896225477 +github:239374146 2020-02-09 2024-08-12 f https://github.com/CMNatic/Dockerized-CVE-2019-14287 Containerized and deployable use of the CVE-2019-14287 vuln. View README.md for more. CVE-2019-14287 2 7 1 7 9128462534142187863 +github:480769985 2022-04-12 2022-11-09 f https://github.com/Greenwolf/CVE-2022-1162 CVE-2022-1162 3 4 1 4 4288940548967793005 +github:1105185574 2025-11-29 2025-11-29 f https://github.com/Kairo-one/CVE-2020-14343-PyYAML CVE-2020-14343的payload CVE-2020-14343 0 0 0 0 5137728513971555071 +github:1252909102 2026-05-29 2026-05-29 f https://github.com/Rhyru9/CUPS-CVE-2024-47176 CVE-2024-47176 0 0 0 0 9101523982148484358 +github:469331651 2022-07-13 2026-05-13 f https://github.com/k3rwin/spring-cloud-gateway-rce spring-cloud-gateway-rce CVE-2022-22947 CVE-2022-22947 3 12 1 12 8622045158785999156 +github:1046357774 2025-09-02 2025-09-02 f https://github.com/jacobholtz/CVE-2025-48384-poc PoC for CVE-2025-48384 CVE-2025-48384 0 0 0 0 8255524655947407972 +github:1117279530 2026-01-09 2026-01-09 f https://github.com/itumo-arigatone/study-CVE-2025-55182 試してみるよん CVE-2025-55182 0 0 0 0 7969117708992483358 +github:1304381048 2026-07-17 2026-07-17 f https://github.com/codeb0ssx/CVE-2026-46442-PoC Academic proof-of-concept demonstrating CVE-2026-46442 for authorized security research. CVE-2026-46442 0 0 0 0 8530622709340744125 +github:151394702 2024-04-29 2026-07-24 f https://github.com/epi052/cve-2018-15473 Multi-threaded, IPv6 aware, wordlists/single-user username enumeration via CVE-2018-15473 CVE-2018-15473 31 116 0 116 8544450978252392016 +github:213187543 2019-10-06 2022-06-01 f https://github.com/infiniteLoopers/CVE-2019-11932 CVE-2019-11932 2 4 3 4 742686300391153322 +github:1249009469 2026-05-26 2026-07-03 f https://github.com/nu0l/NGINX-Rift CVE-2026-42945 NGINX 堆溢出漏洞扫描与验证工具 CVE-2026-42945 1 5 0 5 2587294478232613126 +github:961059610 2025-04-05 2025-04-05 f https://github.com/Balajih4kr/cve-2025-29927 CVE-2025-29927 is a critical vulnerability in Next.js, a popular React-based web framework. The flaw exists in how the middleware feature handles certain internal headers — specifically, the x-middleware-subrequest header CVE-2025-29927 0 0 1 0 7505496187201960860 +github:282904807 2022-01-21 2025-08-31 f https://github.com/rusakovichma/tomcat-embed-core-9.0.31-CVE-2020-11996 tomcat-embed-core-9.0.31 CVE-2020-11996 Test PoC CVE-2020-11996 2 5 2 5 4467627603172459261 +github:898539017 2024-12-04 2024-12-04 f https://github.com/wubinworks/magento2-encryption-key-manager-cli A utility for Magento 2 encryption key rotation and management. CVE-2024-34102(aka Cosmic Sting) victims can use it as an aftercare. CVE-2024-34102 1 0 1 0 5992622046362605127 +github:1171855279 2026-03-05 2026-03-05 f https://github.com/0xBlackash/CVE-2025-32463 CVE-2025-32463 CVE-2025-32463 0 0 0 0 8369747628042313800 +github:806127239 2024-05-26 2024-05-26 f https://github.com/sn130hk/CVE-2023-44487 CVE-2023-44487 0 0 1 0 5920728577066495577 +github:944509715 2025-03-07 2025-03-07 f https://github.com/elw0od/PentesterLab OrangeBadge - Exercise CVE-2018-6574: go get RCE CVE-2018-6574 0 0 1 0 1413495996881641019 +github:959207609 2025-04-02 2025-04-02 f https://github.com/G4sp4rCS/htb-sau-automated SSRF CVE-2023-27163 + maltrail vuln RCE CVE-2023-27163 0 0 1 0 6020973752860512877 +github:495329150 2022-05-23 2025-08-29 f https://github.com/Snorlyd/https-nj.gov---CVE-2019-11358 Vulnearability Report of the New Jersey official site CVE-2019-11358 0 0 1 0 2244987957927455931 +github:774948865 2024-08-02 2026-02-14 f https://github.com/michael-david-fry/CVE-2023-22622 Python Script that will DoS a WP server that is utilizing WP-CRON CVE-2023-22622 2 4 1 4 2163098912050616069 +github:1316416327 2026-07-29 2026-07-29 f https://github.com/acidboonrs/cve-2025-26466-openssh-poc CVE-2025-26466 OpenSSH SSH2_MSG_PING DoS PoC CVE-2025-26466 1 0 0 0 3388127669940058428 +github:1111107917 2025-12-07 2026-07-13 f https://github.com/sumanrox/rschunter Mass Hunting & Exploitation PoC for CVE-2025-55182 & CVE-2025-66478 CVE-2025-55182 10 37 0 37 6253408825036565428 +github:1282069953 2026-06-27 2026-06-27 f https://github.com/grayxploit/CVE-2026-48907 CVE-2026-48907 is a CVSS 10.0 pre-auth RCE in Joomla Content Editor affecting all versions ≤ 2.9.99.4. The Grayxploit team breaks down the 3-weakness chain — missing auth, no extension validation, and an unsafe upload flag — that lets attackers pop a shell in 3 HTTP requests. CVE-2026-48907 0 0 0 0 7626620059672484664 +github:960442882 2025-04-04 2025-04-04 f https://github.com/all3njk/NextJS_CVE-2025-29927 CVE-2025-29927 0 0 1 0 4210931625889935967 +github:1038993922 2025-12-01 2025-08-16 f https://github.com/shoucheng3/rhuss__jolokia_CVE-2018-1000129_1-4-0 CVE-2018-1000129 0 0 0 0 7898470889982086277 +github:1226316627 2026-05-16 2026-05-16 f https://github.com/KlaasStessens/CVE-2023-46604 Exploitation of CVE-2023-44604. Using a Kali Linux VM (attacker) and a Debian 11 server VM (victim) CVE-2023-46604 0 0 0 0 2772179508742235465 +github:1107952137 2026-01-21 2026-01-22 f https://github.com/kpatsakis/CVE-2025-67221 A vulnerability in orjson CVE-2025-67221 1 1 0 1 2411670065388529060 +github:898307814 2024-12-04 2024-12-04 f https://github.com/azhao1981/CVE-2021-29441 CVE-2021-29441 0 0 1 0 8987393518009159640 +github:658377223 2023-06-25 2025-02-14 f https://github.com/pashayogi/CVE-2023-22809 CVE-2023-22809 3 0 1 0 1080517683820724050 +github:866576110 2024-10-02 2026-01-19 f https://github.com/duck-sec/CVE-2023-41425 CVE-2023-41425 (Wonder CMS XSS to RCE) exploit which serves required scripts locally. Good if you're lost at sea and have found a problem with your bike. CVE-2023-41425 0 3 2 3 4982675292879899404 +github:1076995585 2025-11-11 2025-11-11 f https://github.com/grimmmbo/ros2_CVE-2024-28231 Demonstrating the usage of Fastrtps-DDS vulnerability CVE-2024-28231 within Ros2 CVE-2024-28231 0 0 0 0 3935399762678818895 +github:178541701 2022-08-22 2026-04-30 f https://github.com/DanielRuf/snyk-js-jquery-174006 patches for SNYK-JS-JQUERY-174006, CVE-2019-11358, CVE-2019-5428 CVE-2019-11358 20 28 1 28 3367555265000337473 +github:544045744 2022-10-01 2024-08-12 f https://github.com/akr3ch/CVE-2022-24086 PoC of CVE-2022-24086 CVE-2022-24086 1 2 1 2 7821812000414320165 +github:1111761743 2025-12-07 2025-12-11 f https://github.com/SainiONHacks/CVE-2025-55182-Scanner A standalone GUI tool to detect and demonstrate the **React Server Components Remote Code Execution (RCE)** vulnerability (CVE-2025-55182) in Next.js applications. CVE-2025-55182 0 2 0 2 6341499836110661996 +github:1087967561 2025-12-28 2025-12-28 f https://github.com/zero-day348/CVE-2025-65442-DOM-based-Cross-Site-Scripting-XSS-Vulnerability-in-novel-V3.5.0-CWE-79- DOM-based Cross-Site Scripting (XSS) Vulnerability in novel V3.5.0 (CWE-79) CVE-2025-65442 0 0 0 0 1599472400679157986 +github:1304042742 2026-07-17 2026-07-17 f https://github.com/Shirouuu/CVE-2025-8110-gogs-poc PoC for CVE-2025-8110 - Gogs arbitrary file write via symlink CVE-2025-8110 0 5 0 5 2949618713512536521 +github:736427980 2024-01-21 2023-12-27 f https://github.com/scabench/jsonorg-tp1 simple application with a CVE-2022-45688 vulnerability CVE-2022-45688 0 0 1 0 3870374147132972414 +github:1094359473 2025-11-11 2026-02-05 f https://github.com/NULL200OK/CVE-2025-41244 CVE-2025-41244 is a critical local privilege escalation vulnerability in VMware Aria Operations and VMware Tools CVE-2025-41244 0 2 0 2 2259153680750478412 +github:1113855041 2025-12-10 2025-12-10 f https://github.com/sponte/nextjs-cve-version-confusion Reproduction for Next.js CVE-2025-55182 version string confusion issue CVE-2025-55182 0 0 0 0 7723083736963485309 +github:1017090527 2025-07-10 2025-07-10 f https://github.com/NigelX/CVE-2025-48384 漏洞测试 CVE-2025-48384 0 0 0 0 1531592656262134018 +github:388477169 2021-07-22 2021-07-22 f https://github.com/KISH84172/CVE-2019-11933 CVE-2019-11933 0 0 2 0 260312669383029553 +github:696220876 2026-01-05 2026-01-05 f https://github.com/bbaranoff/CVE-2023-4863 CVE-2023-4863 2 6 1 6 2438626863031295607 +github:248937199 2020-04-10 2024-08-12 f https://github.com/HoangKien1020/CVE-2020-10239 CVE-2020-10239: Incorrect Access Control in com_fields SQL field-RCE- PoC CVE-2020-10239 2 6 1 6 7444188075075196005 +github:531831189 2022-09-02 2025-03-22 f https://github.com/Acceis/exploit-CVE-2022-24780 iTop < 2.7.6 - (Authenticated) Remote command execution CVE-2022-24780 4 6 1 6 9173595478921417938 +github:765380419 2024-02-29 2024-05-31 f https://github.com/hy011121/CVE-2024-1651-exploit-RCE (Mirorring) CVE-2024-1651 1 3 1 3 8078830022511426613 +github:611804042 2023-03-12 2025-02-04 f https://github.com/sergiovks/SSH-User-Enum-Python3-CVE-2018-15473 SSH User Enumerator in Python3, CVE-2018-15473, I updated the code of this exploit (https://www.exploit-db.com/exploits/45939) to work with python3 instead of python2. CVE-2018-15473 1 4 1 4 355276138352594646 +github:1045462956 2025-08-27 2026-03-11 f https://github.com/Yuy0ung/CVE-2025-32463_chwoot 用于CVE-2025-32463 sudo_chwoot的权限提升POC，适配了有gcc编译环境和无gcc编译环境的两种情况，下载运行即可一把梭哈 CVE-2025-32463 0 3 0 3 4792974554492940351 +github:1306284618 2026-07-20 2026-07-20 f https://github.com/Neobee714/CVE-2025-57819-POC FreePBX 未认证SQL注入导致远程代码执行，FreePBX 15 (低于 15.0.66)、16 (低于 16.0.89)、17 (低于 17.0.3)。该漏洞位于商业化“endpoint”模块中，因对用户输入过滤不严，允许未认证的攻击者绕过管理员权限，执行SQL注入，并最终实现远程代码执行 CVE-2025-57819 0 0 0 0 7327040387113412708 +github:134812138 2018-05-25 2018-05-25 f https://github.com/soch4n/CVE-2018-7600 CVE-2018-7600 0 0 1 0 133917813061462970 +github:605221519 2023-02-22 2026-07-28 f https://github.com/M4fiaB0y/CVE-2023-22809 CVE-2023-22809 1 6 1 6 9086397206127105808 +github:1141021699 2026-01-24 2026-01-24 f https://github.com/k-javaman12/CVE-2022-44268- For HTB practice CVE-2022-44268 0 0 0 0 8055865220973903725 +github:736041344 2023-12-26 2025-09-17 f https://github.com/FredBrave/CVE-2021-32305-websvn-2.6.0 This is a exploit of CVE-2021-32305 a web vulnerability to command injection on search.php path, this exploit allows execute commands. CVE-2021-32305 0 1 1 1 3753749137187430269 +github:1192348885 2026-03-26 2026-03-26 f https://github.com/superjimmygou/CVE-2022-36883 CVE-2022-36883 0 0 0 0 1281283947040068768 +github:751878497 2024-02-02 2024-02-02 f https://github.com/Trinadh465/external_zlib_CVE-2022-37434 CVE-2022-37434 0 0 1 0 5807599405029397995 +github:781709179 2024-04-06 2026-05-05 f https://github.com/iheb2b/CVE-2024-3094-Checker The CVE-2024-3094 Checker is a Bash tool for identifying if Linux systems are at risk from the CVE-2024-3094 flaw in XZ/LZMA utilities. It checks XZ versions, SSHD's LZMA linkage, and scans for specific byte patterns, delivering results in a concise table format. CVE-2024-3094 0 1 1 1 4798078944089240477 +github:467570864 2022-03-08 2022-03-17 f https://github.com/ITMarcin2211/CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 1 1 1 1 2402374417326205257 +github:1254147873 2026-05-30 2026-05-30 f https://github.com/HORKimhab/CVE-2026-39987 CVE-2026-39987 - Draft CVE-2026-39987 0 0 0 0 1348620650369649118 +github:841056629 2024-08-11 2024-08-11 f https://github.com/crazycatMyopic/cve Docker Deskop giving issue CVE-2024-26308 for maven [reproduce] CVE-2024-26308 0 0 1 0 2610999937770978097 +github:716387839 2023-11-09 2023-11-09 f https://github.com/0xMoonrise/cve-2019-9978 cve-2019-9978 PoC CVE-2019-9978 0 0 1 0 6787602716114182098 +github:822879505 2024-07-02 2024-07-02 f https://github.com/muyuanlove/CVE-2024-6387fixshell CVE-2024-6387 0 2 1 2 3470257245709543595 +github:273584617 2020-06-20 2020-06-20 f https://github.com/cyberharsh/Libssh-server-CVE-2018-10933 CVE-2018-10933 0 0 0 0 8646879577217423852 +github:848853200 2024-09-06 2025-10-16 f https://github.com/D0rDa4aN919/CVE-2023-22809-Exploiter CVE-2023-22809 0 2 1 2 1500133184873092189 +github:1007224984 2025-07-06 2025-07-06 f https://github.com/gdesantis01/instructions-summarizing Site containing info useful for demonstrate CVE-2023-37273 CVE-2023-37273 0 0 0 0 6354621149754082506 +github:176323109 2019-03-18 2021-06-23 f https://github.com/omarkurt/CVE-2019-5418 File Content Disclosure on Rails Test Case - CVE-2019-5418 CVE-2019-5418 0 5 0 5 6964661488417337344 +github:1234064646 2026-05-09 2026-05-09 f https://github.com/cyberguardsec101-sketch/ghostcat CVE-2020-1938 Exploit CVE-2020-1938 0 0 0 0 5205085662794928634 +github:803543826 2024-05-20 2024-05-20 f https://github.com/xssor-dz/-CVE-2024-4439 WordPress Core < 6.5.2 - Unauthenticated & Authenticated (Contributor+) Stored Cross-Site Scripting via Avatar Block CVE-2024-4439 0 0 1 0 7759650624097394183 +github:146330536 2018-09-12 2025-03-05 f https://github.com/Ekultek/Strutter Proof of Concept for CVE-2018-11776 CVE-2018-11776 5 21 2 21 2899072234061132299 +github:158189798 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2016-4438 CVE-2016-4438 0 0 0 0 9031766216466262056 +github:1144282514 2026-01-29 2026-01-29 f https://github.com/bohmiiidd/Undocumument_RCE_PLY-yacc-CVE-2025-56005 Clarification Regarding the Rejection Arguments CVE-2025-56005 0 0 0 0 2932549876791304591 +github:147528539 2018-09-05 2018-10-28 f https://github.com/0x00-0x00/CVE-2018-15131 Zimbra Collaboration Suite Username Enumeration CVE-2018-15131 0 1 0 1 7655054181983535211 +github:266165766 2026-06-30 2024-08-12 f https://github.com/Al1ex/CVE-2019-12086 jackson unserialize CVE-2019-12086 3 1 1 1 1372187456586158692 +github:1122493911 2025-12-24 2026-01-04 f https://github.com/ajtazer/CVE-2025-51471-POC This PoC is for educational and authorized security testing purposes only. Do NOT use against systems you don't own. CVE-2025-51471 0 2 0 2 2523539714957665336 +github:1265688310 2026-06-11 2026-06-11 f https://github.com/Alardiians/pocketbase-CVE-2026-44166 Lab + writeup for CVE-2026-44166: PocketBase OAuth2 account pre-hijacking via unvalidated createData.email CVE-2026-44166 1 0 0 0 4494084936122416214 +github:1302684741 2026-07-17 2026-07-29 f https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit 🔐 CVE-2026-57821 - Apache Fineract SQL Injection Toolkit 📚 Two Python scripts for authorized security testing: verifier.py (safe detection, no extraction) and exploit.py (deep analysis). Supports 11 DB types. Perfect for understanding SQL injection vulnerabilities. Only legal tests ⚠️ for educational & research purposes only. CVE-2026-57821 0 3 0 3 3217561664256780132 +github:440221338 2021-12-23 2023-09-18 f https://github.com/chandru-gunasekaran/log4j-fix-CVE-2021-44228 Windows Batch Scrip to Fix the log4j-issue-CVE-2021-44228 CVE-2021-44228 1 2 2 2 5443958153096626864 +github:1110869376 2025-12-05 2026-01-25 f https://github.com/alsaut1/react2shell-lab CVE-2025-55182 React2Shell PoC lab CVE-2025-55182 0 7 0 7 7780815086061605198 +github:1050449820 2025-09-04 2025-09-04 f https://github.com/born0monday/CVE-2025-8067 Proof of Concept for CVE-2025-8067 CVE-2025-8067 0 0 0 0 5402613277033252560 +github:1013001797 2026-05-06 2026-06-30 f https://github.com/CryingN/CVE-2025-32462 A easy sudo poc by cryingn. CVE-2025-32462 4 13 1 13 3734529521133210765 +github:537537002 2022-09-16 2022-09-16 f https://github.com/danbudris/CVE-2022-23773-repro-target CVE-2022-23773 0 0 1 0 7214992937423364244 +github:940810209 2025-02-28 2025-02-28 f https://github.com/AbdrrahimDahmani/php_filter_chains_oracle_exploit_for_CVE-2023-6199 A CLI to exploit parameters vulnerable to PHP filter chain error based oracle, modified to exploit CVE-2023-6199 CVE-2023-6199 1 0 1 0 2787404322763778647 +github:132090592 2018-05-04 2025-04-30 f https://github.com/armaanpathan12345/WP-DOS-Exploit-CVE-2018-6389 WP-DOS-Exploit-CVE-2018-6389 CVE-2018-6389 2 1 1 1 10404483434846003 +github:634694393 2023-04-30 2023-04-30 f https://github.com/jonathanbest7/cve-2022-0847 check cve-2022-0847 CVE-2022-0847 0 0 1 0 371908445222221662 +github:779437270 2024-03-29 2025-08-27 f https://github.com/lypd0/CVE-2024-3094-Vulnerabity-Checker Verify that your XZ Utils version is not vulnerable to CVE-2024-3094 CVE-2024-3094 0 4 1 4 1080452935596808454 +github:1086950090 2026-07-15 2026-07-15 f https://github.com/blackcodersec/exploit-cve CVE-2024-39713 (Rocket.Chat Blind SSRF vulnerability) CVE-2024-39713 1 1 0 1 3482144016657604122 +github:436881928 2022-01-19 2022-11-09 f https://github.com/dbgee/CVE-2021-44228 Apache Log4j 2 a remote code execution vulnerability via the ldap JNDI parser. CVE-2021-44228 0 0 1 0 386163353550068907 +github:84642680 2024-03-29 2024-03-29 f https://github.com/jrrombaldo/CVE-2017-5638 CVE-2017-5638 0 0 1 0 3265986983816403449 +github:317284918 2021-01-04 2023-01-27 f https://github.com/rauc/rauc-1.5-integration integration examples for the CVE-2020-25860 fix CVE-2020-25860 2 1 7 1 353586853044335544 +github:795412184 2024-05-03 2024-08-29 f https://github.com/JAthulya/CVE-2024-23897 Jenkins CVE-2024-23897: Arbitrary File Read Vulnerability CVE-2024-23897 0 1 1 1 5990359669867512426 +github:1255392915 2026-05-31 2026-05-31 f https://github.com/Least-Significant-Bit/CVE-2026-23744 Remote Code Execution in MCPJam 1.4.2 and older. CVE-2026-23744 0 0 0 0 1092252955961630449 +github:781757126 2024-04-04 2024-04-04 f https://github.com/paras98/CVE-2021-38297-Go-wasm-Replication CVE-2021-38297 0 0 1 0 7031191983468021222 +github:146056002 2018-08-26 2026-06-06 f https://github.com/mazen160/struts-pwn_CVE-2018-11776 An exploit for Apache Struts CVE-2018-11776 CVE-2018-11776 92 303 21 303 8251736003208149272 +github:500379970 2022-06-06 2023-02-19 f https://github.com/PenTestical/CVE-2019-5420 Exploit in Rails Development Mode. With some knowledge of a target application it is possible for an attacker to guess the automatically generated development mode secret token. This secret token can be used in combination with other Rails internals to escalate to a remote code execution exploit. CVE-2019-5420 0 0 1 0 2154270481130012351 +github:816264581 2026-07-26 2026-06-02 f https://github.com/snyk-labs/pdfjs-vuln-demo This project is intended to serve as a proof of concept to demonstrate exploiting the vulnerability in the PDF.js (pdfjs-dist) library reported in CVE-2024-4367 CVE-2024-4367 3 10 5 10 3262607229082793980 +github:399335924 2021-08-25 2025-01-09 f https://github.com/dnr6419/CVE-2019-7609 Kibana Prototype Pollution CVE-2019-7609 0 1 1 1 1105719356680204747 +github:1040546572 2025-08-19 2025-08-19 f https://github.com/shoucheng3/DSpace__DSpace_CVE-2022-31194_5-10 CVE-2022-31194 0 0 0 0 45345103861916588 +github:673126374 2025-08-06 2026-07-15 f https://github.com/dhmosfunk/HTTP3ONSTEROIDS HTTP3ONSTEROIDS - A research on CVE-2023-25950 where HAProxy's HTTP/3 implementation fails to block a malformed HTTP header field name. CVE-2023-25950 2 11 1 11 8990643248436977459 +github:1268133171 2026-07-06 2026-07-06 f https://github.com/J1nKsC/CVE-2024-4367_test CVE-2024-4367 0 0 0 0 6954978912301853382 +github:1252910160 2026-05-29 2026-05-29 f https://github.com/hasecto/CVE-2025-24893 Exploit de Execução Remota de Código (RCE) no XWiki CVE-2025-24893 0 0 0 0 1759820315442685134 +github:1017954598 2025-07-11 2025-08-01 f https://github.com/vinieger/vinieger-CVE-2025-48384-Dockerfile PoC dockerfile image for CVE-2025-48384 CVE-2025-48384 0 1 0 1 5088526161040107223 +github:362588615 2021-12-03 2026-03-27 f https://github.com/lanzt/CVE-2020-14321 Python script to exploit CVE-2020-14321 - Moodle 3.9 - Course enrollments allowed privilege escalation from teacher role into manager role to RCE. CVE-2020-14321 3 21 1 21 1625094245042392309 +github:467171493 2022-03-08 2023-06-05 f https://github.com/mrknow001/CVE-2022-22947 Spring Cloud Gateway Actuator API SpEL Code Injection (CVE-2022-22947) CVE-2022-22947 2 7 1 7 7982278058334776437 +github:822620870 2024-07-01 2024-07-01 f https://github.com/FerasAlrimali/CVE-2024-6387-POC SSHd cve-2024-6387-poc CVE-2024-6387 0 0 1 0 6112855412465799134 +github:830533984 2024-07-18 2024-07-18 f https://github.com/xiw1ll/CVE-2022-30780_Checker Lighttpd CVE-2022-30780 checker CVE-2022-30780 0 0 1 0 5748285689281719212 +github:483900368 2022-04-22 2022-04-26 f https://github.com/0xUhaw/CVE-2022-0778 Proof of concept for CVE-2022-0778 in P12 and PEM format CVE-2022-0778 1 2 1 2 8086495371666378244 +github:469198555 2023-05-20 2026-07-28 f https://github.com/AlexisAhmed/CVE-2022-0847-DirtyPipe-Exploits A collection of exploits and documentation that can be used to exploit the Linux Dirty Pipe vulnerability. CVE-2022-0847 160 727 13 727 2465398553695758801 +github:960526489 2025-04-04 2025-08-16 f https://github.com/MuhammadWaseem29/CVE-2025-31131 YesWiki is a wiki system written in PHP. The squelette parameter is vulnerable to path traversal attacks, enabling read access to arbitrary files on the server. CVE-2025-31131 0 1 1 1 8659214829464000291 +github:814871568 2026-04-16 2026-04-16 f https://github.com/rippsec/CVE-2024-24590-ClearML-RCE-Exploit CVE-2024-24590 – ClearML RCE via unsafe pickle artifact deserialization (0.17.0–1.14.2) CVE-2024-24590 2 6 1 6 4799727238187410442 +github:208629466 2019-09-15 2019-09-15 f https://github.com/Rodrigo-D/astDoS Tool to exploit CVE-2018-7284 and CVE-2018-19278 CVE-2018-7284 0 0 1 0 4977801419315289566 +github:155205612 2019-01-14 2021-12-13 f https://github.com/kastellanos/CVE-2018-7602 CVE-2018-7602 0 1 1 1 6371474431822498947 +github:779825169 2024-04-02 2026-05-30 f https://github.com/lockness-Ko/xz-vulnerable-honeypot An ssh honeypot with the XZ backdoor. CVE-2024-3094 CVE-2024-3094 19 147 7 147 3125070461012298914 +github:1269807951 2026-06-15 2026-06-15 f https://github.com/limxuan/ehir-vuln-enterprise-login webapp vulnerable to CVE-2021-44228 CVE-2021-44228 0 0 0 0 6923356992588509089 +github:913197892 2025-01-17 2026-07-03 f https://github.com/whitebear-ch/GeoServerExploit GeoServer（CVE-2024-36401/CVE-2024-36404）漏洞利用工具 CVE-2024-36401 6 122 1 122 316241406031127297 +github:100437171 2017-08-16 2023-10-14 f https://github.com/ieee0824/CVE-2017-1000117 CVE-2017-1000117 0 4 1 4 3592694195647124887 +github:499935826 2022-06-04 2023-09-28 f https://github.com/abbarhissarh/CVE-2022-24124 Dump SQL database version on host running Casdoor < 1.13.1 CVE-2022-24124 1 1 1 1 5962760464634909683 +github:773943544 2024-03-18 2024-03-18 f https://github.com/Matrexdz/CVE-2024-1071-Docker CVE-2024-1071 0 1 1 1 8263426918690386189 +github:1308494455 2026-07-22 2026-07-22 f https://github.com/Kha-Beleh/PoC-CVE-2025-69419 CVE-2025-69419 0 0 0 0 1967341274080111144 +github:231489806 2020-01-25 2022-11-13 f https://github.com/Fysac/CVE-2019-20326 Heap buffer overflow in GNOME gThumb and Linux Mint Pix CVE-2019-20326 0 1 1 1 6968717546450280099 +github:814025007 2024-06-12 2024-06-26 f https://github.com/truonghuuphuc/CVE-2024-3922-Poc Dokan Pro <= 3.10.3 - Unauthenticated SQL Injection CVE-2024-3922 0 1 1 1 6914021794395567912 +github:907282734 2024-12-23 2026-06-20 f https://github.com/CodeSecurityTeam/harbor CVE-2022-46463 harbor公开镜像全自动下载脚本 CVE-2022-46463 2 15 0 15 2291418738151152202 +github:617427518 2024-01-29 2026-02-09 f https://github.com/X1r0z/dubbo-rce PoC of Apache Dubbo CVE-2023-23638 CVE-2023-23638 5 34 1 34 2695114742505661223 +github:1056653315 2025-09-14 2025-09-16 f https://github.com/mad3E7cat/CVE-2023-5612 Nmap NSE to check for CVE-2023-5612 CVE-2023-5612 0 0 0 0 4842475702487948299 +github:955130988 2025-05-06 2026-06-18 f https://github.com/Esonhugh/ingressNightmare-CVE-2025-1974-exps IngressNightmare POC. world first non-blind remote execution exploitation with multi-advanced exploitation methods. allow on disk exploitation. CVE-2025-24514 - auth-url injection, CVE-2025-1097 - auth-tls-match-cn injection, CVE-2025-1098 – mirror UID injection -- all available. CVE-2025-1974 14 97 2 97 1180688273223960744 +github:183995263 2019-04-29 2025-12-08 f https://github.com/jas502n/cve-2018-1273 Spring Data Commons RCE 远程命令执行漏洞 CVE-2018-1273 15 58 1 58 5064153525430681316 +github:879408778 2025-01-11 2025-01-11 f https://github.com/0xDTC/SQLPad-6.10.0-Exploit-CVE-2022-0944 Refurbish CVE-2022-0944 1 0 1 0 2184638154728087308 +github:1283722770 2026-06-29 2026-06-29 f https://github.com/Almavj/Joomla_CVE_2026_48907 cve-2026-48907 scanner CVE-2026-48907 1 0 0 0 3151700125617074240 +github:307620612 2020-10-27 2021-12-15 f https://github.com/0xkami/cve-2020-15148 cve-2020-15148 CVE-2020-15148 3 6 1 6 6679897427623058736 +github:1295303595 2026-07-09 2026-07-09 f https://github.com/johnwickakash12/CVE-2021-41773 CVE-2021-41773 0 0 0 0 337272438815109879 +github:280453007 2020-07-29 2025-07-11 f https://github.com/rhysemmas/martian-packets Crafting raw TCP/IP packets to send to poorly configured Kubernetes servers - CVE-2020-8558 PoC CVE-2020-8558 0 3 1 3 3749455496140662207 +github:779783613 2024-04-07 2026-01-14 f https://github.com/gensecaihq/CVE-2024-3094-Vulnerability-Checker-Fixer Shell scripts to identify and fix installations of xz-utils affected by the CVE-2024-3094 vulnerability. Versions 5.6.0 and 5.6.1 of xz-utils are known to be vulnerable, and this script aids in detecting them and optionally downgrading to a stable, un-compromised version (5.4.6) or upgrading to latest version. Added Ansible Playbook CVE-2024-3094 6 26 4 26 6715626042203354197 +github:1116145683 2025-12-14 2025-12-14 f https://github.com/tinashelorenzi/CVE-2025-55182 CVE-2025-55182 0 0 0 0 7713390860998264119 +github:164356178 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-7494 cve-2017-7494 CVE-2017-7494 1 0 0 0 1116913350928993825 +github:472514562 2022-03-21 2022-03-21 f https://github.com/ghillert/boot-jackson-cve Reproduction of CVE-2020-36518 in Spring Boot 2.5.10 CVE-2020-36518 0 0 1 0 1233005375568167218 +github:710897618 2023-12-29 2026-01-09 f https://github.com/StackOverflowExcept1on/CVE-2021-36393 Error-based blind SQL injection with bit-shifting approach for Moodle 3.10.4 CVE-2021-36393 2 4 1 4 1937766766957810924 +github:811402709 2024-06-06 2024-06-06 f https://github.com/muhammad1596/CVE-2022-0847-DirtyPipe-Exploits CVE-2022-0847 1 0 1 0 299877037690874619 +github:1159386493 2026-02-17 2026-02-17 f https://github.com/localh0ste/CVE-2025-4138 Tarfile module directory traversal vulnerability ( with overflow crossed Directory ) --> Lead to Privilege escalation CVE-2025-4138 0 0 0 0 8630397371086483074 +github:527251116 2022-08-21 2023-04-16 f https://github.com/YounesTasra-R4z3rSw0rd/CVE-2020-1938 This is a modified version of the original GhostCat Exploit CVE-2020-1938 0 3 1 3 1299029598055418719 +github:1029968305 2025-08-01 2026-02-07 f https://github.com/byteReaper77/CVE-2025-54589 PoC for CVE-2025-54589 – a reflected XSS vulnerability in Copyparty ≤ 1.18.6. CVE-2025-54589 0 2 0 2 3615775691001128183 +github:877083916 2024-10-23 2026-02-20 f https://github.com/bueno-armando/CVE-2023-4220-RCE CVE-2023-4220 0 1 1 1 2594880238004620703 +github:943824781 2025-03-06 2025-03-06 f https://github.com/ashutosh0408/Cve-2024-32002-poc This repository contains a PoC for exploiting CVE-2024-32002, a vulnerability in Git that allows RCE during a git clone operation. By crafting repositories with submodules in a specific way, an attacker can exploit symlink handling on case-insensitive filesystems to write files into the .git/ directory, leading to the execution of malicious hooks. CVE-2024-32002 0 0 1 0 7607892172378396175 +github:1116753899 2025-12-15 2025-12-15 f https://github.com/hulh122/CVE-2025-55182 CVE-2025-55182 0 0 0 0 1722327083197374292 +github:270712468 2020-09-25 2022-04-04 f https://github.com/pingport80/CVE-2019-17240 This is the exploit of CVE-2019-17240. CVE-2019-17240 2 3 1 3 1303790126130494899 +github:912195951 2025-01-06 2025-01-06 f https://github.com/lof1sec/CVE-2022-46169 Cacti v1.2.22: Unauthenticated Command Injection Vulnerability (CVE-2022-46169) CVE-2022-46169 0 0 1 0 322647013642931041 +github:484937723 2022-06-26 2022-05-03 f https://github.com/cxosmo/CVE-2021-42697 Proof of concept exploit for CVE-2021-42697: Akka HTTP 10.1.x before 10.1.15 and 10.2.x before 10.2.7 can encounter stack exhaustion while parsing HTTP headers, which allows a remote attacker to conduct a Denial of Service attack by sending a User-Agent header with deeply nested comments. CVE-2021-42697 0 1 1 1 7111596999633937271 +github:165310149 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2016-8870 cve-2016-8870 CVE-2016-8870 0 0 0 0 1341877892914343541 +github:366358015 2022-01-12 2025-02-22 f https://github.com/scumdestroy/CVE-2018-0114 Exploit for Node-jose < 0.11.0 written in Ruby CVE-2018-0114 0 3 1 3 2086305490974836512 +github:712969635 2023-11-01 2023-11-06 f https://github.com/NukingDragons/gitlab-cve-2021-22205 A simple bash script that exploits CVE-2021-22205 against vulnerable instances of gitlab CVE-2021-22205 0 1 1 1 3786510511199423297 +github:1251433152 2026-05-27 2026-05-27 f https://github.com/HORKimhab/CVE-2026-27771 CVE-2026-27771 - Draft CVE-2026-27771 0 0 0 0 3040732347478844814 +github:955787535 2025-03-27 2025-03-27 f https://github.com/aleongx/CVE-2025-29927_Scanner Este script verifica la vulnerabilidad CVE-2025-29927 en servidores Next.js, probando múltiples cargas en la cabecera x-middleware-subrequest para detectar accesos no autorizados. CVE-2025-29927 1 0 1 0 6607291482083367963 +github:1200671498 2026-06-07 2026-06-07 f https://github.com/aliksir/nextjs-security-scanner Bash script to detect CVE-2025-55182 (React2Shell) and credential exposure in Next.js projects. Zero dependencies. CVE-2025-55182 0 1 0 1 88667027502085732 +github:263410855 2020-05-12 2020-05-12 f https://github.com/AvishkaSenadheera/CVE-2017-9805---Documentation---IT19143378 CVE-2017-9805 0 0 1 0 7840013218807259942 +github:437766799 2022-07-06 2024-08-12 f https://github.com/thecyberneh/Log4j-RCE-Exploiter Scanner for Log4j RCE CVE-2021-44228 CVE-2021-44228 5 11 2 11 7279993552744767466 +github:1025909489 2025-07-25 2025-07-25 f https://github.com/elprogramadorgt/CVE-2025-48384 CVE-2025-48384 0 0 0 0 6916145433013046388 +github:1208574630 2026-04-12 2026-04-12 f https://github.com/amusedx/CVE-2022-29078 CVE-2022-29078 0 0 0 0 8732984822927850213 +github:1127702738 2026-01-10 2026-01-12 f https://github.com/RockyDesigne/SSP-Assignment-3-RCEYouLater A PoC for CVE-2023-46604 written as part of SPS class for the Advanced Cyber Security master's at UPB. CVE-2023-46604 0 2 0 2 6559592371428776907 +github:971243288 2025-04-23 2026-04-05 f https://github.com/kh4sh3i/CVE-2025-29927 CVE-2025-29927: Next.js Middleware Bypass Vulnerability CVE-2025-29927 0 2 1 2 8873904160718496857 +github:1062957966 2025-09-24 2025-09-24 f https://github.com/D3ltaFormation/CVE-2025-32463-Sudo-Chroot-Escape This repository contains a Proof of Concept (PoC) for CVE-2025-32463, a vulnerability in sudo allowing a chroot escape to achieve local privilege escalation. CVE-2025-32463 0 0 0 0 5798212329484221463 +github:1181307548 2026-03-14 2026-03-14 f https://github.com/SNISS/CVE-2025-69516 CVE-2025-69516 1 0 0 0 5002369373351927786 +github:496156933 2022-05-25 2023-09-15 f https://github.com/Trinadh465/external_lib_AOSP10_r33_CVE-2021-45960_CVE-2021-46143- CVE-2021-45960 0 0 1 0 2755303881666199854 +github:955546933 2025-03-27 2025-12-07 f https://github.com/marino-admin/Vite-CVE-2025-30208-Scanner CVE-2025-30208-EXP 任意文件读取 CVE-2025-30208 1 10 1 10 9153453264099475832 +github:1256902552 2026-06-02 2026-06-02 f https://github.com/Dhananjayasj/CVE-2026-34156-NocoBase-Sandbox-Escape-via-Workflow-Execution-Vulnerability- CVE-2026-34156 0 0 0 0 715782173537829957 +github:1041450898 2025-08-20 2025-08-20 f https://github.com/shoucheng3/ff4j__ff4j_CVE-2022-44262_1-8-13 CVE-2022-44262 0 0 0 0 1756254994709112909 +github:641563262 2023-07-30 2023-07-30 f https://github.com/mouadk/CVE-2023-34035-Poc CVE-2023-34035 0 0 2 0 8772829676347856189 +github:451013072 2022-01-25 2024-02-05 f https://github.com/glowbase/CVE-2019-19609 Strapi CMS 3.0.0-beta.17.4 - Unauthenticated Remote Code Execution (CVE-2019-18818, CVE-2019-19609) CVE-2019-19609 1 2 1 2 2835508860700853563 +github:419369252 2021-10-23 2021-10-23 f https://github.com/LayarKacaSiber/CVE-2021-41773 CVE-2021-41773 0 0 1 0 7075752084018223779 +github:573925245 2022-12-03 2024-08-15 f https://github.com/Yeyvo/poc-CVE-2021-44521 full PoC of CVE-2021-44521 CVE-2021-44521 1 1 1 1 3627428235186023294 +github:937492959 2025-02-23 2025-02-23 f https://github.com/gl1tch0x1/Ghost-CMS-Exploit Ghost-CMS Exploit is python script. This script first performs brute-force authentication attempts using the provided wordlists. If valid credentials are found, it proceeds to check for CVE-2024-23724 vulnerability and generates an exploit payload if vulnerable. CVE-2024-23724 0 0 2 0 8537545241574526101 +github:791152279 2024-04-24 2024-06-06 f https://github.com/mattaperkins/FIX-CVE-2024-2961 Quick mitigation script CVE-2024-2961 1 2 1 2 6824734499003151547 +github:891891768 2024-11-21 2025-03-13 f https://github.com/TAM-K592/CVE-2024-52317 CVE-2024-52317 - Apache Tomcat HTTP/2 Data Leakage Vulnerability CVE-2024-52317 0 3 1 3 5947662522393602589 +github:1053407556 2025-09-09 2025-09-10 f https://github.com/loic-houchi/Django-faille-CVE-2025-57833_test CVE-2025-57833 0 2 0 2 1590337716902173220 +github:586744953 2023-01-09 2023-01-11 f https://github.com/G01d3nW01f/CVE-2021-43798 CVE-2021-43798 0 0 1 0 7175221236697492808 +github:1122903691 2025-12-25 2025-12-25 f https://github.com/Mr-Alperen/CVE-2025-32463 CVE-2025-32463 0 0 0 0 74982123398049193 +github:1313587591 2026-07-27 2026-07-27 f https://github.com/Phucc29/CVE-2025-55182 CVE-2025-55182 0 0 0 0 7064556335082254374 +github:965263076 2025-04-13 2026-07-09 f https://github.com/Mattb709/CVE-2025-24813-Scanner CVE-2025-24813-Scanner is a Python-based vulnerability scanner that detects Apache Tomcat servers vulnerable to CVE-2025-24813, an arbitrary file upload vulnerability leading to remote code execution (RCE) via insecure PUT method handling and jsessionid exploitation. CVE-2025-24813 0 5 1 5 1128779409728593453 +github:1111339758 2025-12-06 2026-02-25 f https://github.com/MuhammadWaseem29/React2Shell_Rce-cve-2025-55182 React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0, including react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack, contain a remote code execution vulnerability. CVE-2025-55182 2 3 0 3 2663638543356132004 +github:1121093758 2025-12-22 2025-12-22 f https://github.com/knightwolf01/React2Shell React2Shell Critical Vulnerability (CVE-2025-55182) CVE-2025-55182 0 0 0 0 6760091334125126725 +github:424158572 2021-11-03 2021-11-03 f https://github.com/imojne/CVE-2018-6574-POC CVE-2018-6574 0 0 1 0 2928839134533611724 +github:1122489246 2025-12-24 2025-12-27 f https://github.com/guiimoraes/react2shell-evolved A evolved version of assetnote CVE-2025-55182 scanner CVE-2025-55182 1 2 0 2 3496506940237039555 +github:868207969 2024-10-05 2026-06-13 f https://github.com/0xSAZZAD/Grafana-CVE-2021-43798 Python implementation of a tool for decrypting and encrypting sensitive data in Grafana, specifically addressing the vulnerabilities associated with CVE-2021-43798. Grafana encrypts all data source passwords using the AES algorithm with the secret_key found in the defaults.ini configuration file. CVE-2021-43798 0 3 1 3 1403262720857400858 +github:954149549 2025-03-25 2025-03-25 f https://github.com/kuzushiki/CVE-2025-29927-test CVE-2025-29927の検証 CVE-2025-29927 0 1 1 1 5570942029322853113 +github:1236665876 2026-05-13 2026-05-13 f https://github.com/Yomisana/are-you-get-tanstack-attack Are you get Tanstack Supply chain attack attack of 5/11? CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx CVE-2026-45321 0 0 0 0 5048939010702212848 +github:1265078811 2026-06-11 2026-06-11 f https://github.com/nayem-m/drupalgeddon2-cli CLI rewrite of the Drupalgeddon2 (CVE-2018-7600) PoC — for authorised testing/education CVE-2018-7600 0 0 0 0 8739659242505871248 +github:723193114 2023-11-24 2023-12-04 f https://github.com/fuyuooumi1027/CVE-2023-45857-Demo CVE-2023-45857 0 1 1 1 7091413690856656490 +github:1312713796 2026-07-26 2026-07-27 f https://github.com/Hunt-Benito/siyuan-mcp-admin-takeover-cve-2026-66012-missing-authorization CVE-2026-66012 0 1 0 1 8432697769014429074 +github:684184490 2023-08-28 2024-08-12 f https://github.com/samh4cks/CVE-2023-27163-InternalProber A tool to perform port scanning using vulnerable Request-Baskets CVE-2023-27163 2 5 1 5 7509918587482565073 +github:166267853 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-4971 cve-2017-4971 CVE-2017-4971 0 0 0 0 106613673473214775 +github:1227018906 2026-05-02 2026-05-02 f https://github.com/sajanapamuditha/Cyber-Attack-Simulation- Log4Shell (CVE-2021-44228) CVE-2021-44228 0 0 0 0 5860072716280210000 +github:1263913512 2026-06-09 2026-06-09 f https://github.com/hmxh123/Log4Shell-Vulnerability-Replication CVE-2021-44228 漏洞复现完整记录（含环境搭建、触发验证） CVE-2021-44228 0 0 0 0 2462498867727352313 +github:1130065844 2026-07-27 2026-07-27 f https://github.com/Nikopmpm/Fsociety-CVE-2024-0670-CheckMK-LPE 🔍 Exploit CVE-2024-0670 in CheckMK agents for local privilege escalation using a robust C++ tool designed for security professionals. CVE-2024-0670 2 0 0 0 6232625474396531150 +github:824643210 2024-07-05 2025-06-04 f https://github.com/RevoltSecurities/CVE-2024-36401 Exploiter a Vulnerability detection and Exploitation tool for GeoServer Unauthenticated Remote Code Execution CVE-2024-36401. CVE-2024-36401 0 1 0 1 7046474764346619632 +github:895937915 2025-08-25 2025-08-25 f https://github.com/Quantum-Sicarius/CVE-2024-49369 CVE-2024-49369 1 2 1 2 1405135378325342980 +github:271474290 2020-06-11 2026-06-29 f https://github.com/brahmstaedt/libxml2-exploit An example exploit for CVE-2017-7376 CVE-2017-7376 3 3 2 3 7393213687935499832 +github:424839096 2021-11-05 2021-11-05 f https://github.com/hh-hunter/cve-2021-22205 CVE-2021-22205 0 0 1 0 3308866790061874062 +github:457378018 2022-02-10 2022-02-06 f https://github.com/DeveloperOl/CVE-2022-24348-2 Find similar issues like CVE-2022-24348 CVE-2022-24348 1 0 0 0 678116135287741657 +github:1121541915 2025-12-23 2025-12-23 f https://github.com/intbjw/CVE-2025-68613-poc-via-copilot 通过GitHub Copilot 辅助分析CVE-2025-68613漏洞 CVE-2025-68613 0 0 0 0 1928920529256118136 +github:437570654 2021-12-12 2025-04-07 f https://github.com/j2ekim/CVE-2021-25646 Apache Druid remote code execution vulnerability - Apache Druid 远程代码执行漏洞利用 CVE-2021-25646 CVE-2021-25646 3 4 1 4 55035821942398007 +github:963400060 2025-04-10 2025-04-10 f https://github.com/nskath/CVE-2024-21513 PoC for CVE-2024-21513 CVE-2024-21513 0 0 1 0 5573291869132482942 +github:757151446 2024-02-13 2024-02-13 f https://github.com/B4CK4TT4CK/CVE-2024-23897 CVE-2024-23897 CVE-2024-23897 0 0 0 0 4666900013208195378 +github:973813626 2025-04-27 2025-04-27 f https://github.com/suljov/Grafana-LFI-exploit Updated exploit script for the CVE-2021-43798 CVE-2021-43798 0 0 1 0 2682593575554490902 +github:469473653 2022-03-13 2022-03-14 f https://github.com/realbatuhan/dirtypipetester Dirty Pipe (CVE-2022-0847) zafiyeti kontrolü CVE-2022-0847 1 1 1 1 109250739142666212 +github:595824795 2023-01-31 2024-07-02 f https://github.com/Halcy0nic/CVE-2022-34556 Proof of concept for CVE-2022-34556 CVE-2022-34556 0 1 1 1 8050042770205026503 +github:258300786 2026-05-22 2026-05-22 f https://github.com/tchenu/CVE-2020-12112 BigBlueButton versions lower than 2.2.4 have a LFI vulnerability allowing access to sensitive files. 🚨 CVE-2020-12112 0 14 2 14 1510700764840252350 +github:256267905 2020-04-16 2024-08-12 f https://github.com/sv3nbeast/CVE-2020-5260 CVE-2020-5260演示记录 CVE-2020-5260 4 11 1 11 3213793370540334531 +github:1051204068 2025-09-05 2025-09-05 f https://github.com/andwati/CVE-2025-24893 CVE-2025-24893 0 0 0 0 6548426233845651855 +github:110457097 2017-11-12 2019-03-20 f https://github.com/olav-st/CVE-2017-1000250-PoC Proof of concept exploit script for CVE-2017-1000250. Written while researching for the essay in TTM4137 Wireless Security. CVE-2017-1000250 4 5 1 5 7225937151243683477 +github:437128632 2021-12-14 2024-08-12 f https://github.com/Azeemering/CVE-2021-44228-DFIR-Notes CVE-2021-44228 DFIR Notes CVE-2021-44228 2 7 2 7 9134250206056307534 +github:437567489 2022-01-18 2022-01-02 f https://github.com/guardicode/CVE-2021-44228_IoCs Known IoCs for log4j framework vulnerability CVE-2021-44228 3 0 4 0 7000386947574277556 +github:575180100 2024-08-19 2024-08-19 f https://github.com/ps-interactive/lab_security_apache_spark_emulation_detection For CVE-2022-33891 Apache Spark: Emulation and Detection by West Shepherd CVE-2022-33891 0 0 5 0 2860515041493352950 +github:703062371 2024-01-08 2026-07-18 f https://github.com/bcdannyboy/CVE-2023-44487 Basic vulnerability scanning to see if web servers may be vulnerable to CVE-2023-44487 CVE-2023-44487 47 246 5 246 15619010349524362 +github:403984253 2023-10-17 2023-10-17 f https://github.com/Aviksaikat/CVE-2016-0792 Modified Verion of CVE-2016-0792 CVE-2016-0792 1 1 1 1 3398813420598516319 +github:513515771 2022-07-14 2023-11-29 f https://github.com/aeifkz/CVE-2022-22978 CVE-2022-22978 POC Project CVE-2022-22978 2 5 1 5 7230401665831978129 +github:1114738939 2025-12-11 2025-12-11 f https://github.com/abrewer251/CVE-2020-1938_Ghostcat-PoC Apache Tomcat AJP Ghostcat (CVE-2020-1938) exploit tool for file disclosure with multi-target scanning, custom wordlists, and upload point detection capabilities CVE-2020-1938 0 0 0 0 5339431138696617903 +github:668492282 2023-07-20 2023-07-20 f https://github.com/overgrowncarrot1/CVE-2023-27163 CVE-2023-27163 CVE-2023-27163 1 0 1 0 8547032343683405707 +github:664332902 2023-07-09 2024-04-20 f https://github.com/yon3zu/Mass-CVE-2023-3460 Mass CVE-2023-3460. CVE-2023-3460 4 0 1 0 5309576935391149221 +github:1110016297 2025-12-04 2026-05-27 f https://github.com/jctommasi/react2shellVulnApp Deliberately vulnerable banking app for CVE-2025-55182 (React) and CVE-2025-66478 (Next.js) to learn, detect, and safely exercise React2Shell. Runs unpatched React 19.0.0 and Next.js 15.0.3. CVE-2025-55182 2 7 0 7 1901256112233058873 +github:1111956723 2025-12-08 2025-12-08 f https://github.com/DoobTheGoober/CVE-2025-55182-Test-Server Play with react2shell in a safe environment! CVE-2025-55182 0 0 0 0 7817178209938144140 +github:536968315 2022-09-15 2022-09-15 f https://github.com/mightysai1997/CVE-2021-41773-L- CVE-2021-41773 0 0 1 0 6879664005218468528 +github:1254222927 2026-06-06 2026-06-06 f https://github.com/Delt-A/CVE-2024-36401-poc CVE-2024-36401 0 0 0 0 317922858017967995 +github:1022654952 2025-07-19 2025-12-12 f https://github.com/x00byte/PutScanner A tool that identifies writable web directories in Apache Tomcat via HTTP PUT method [CVE-2025-24813] CVE-2025-24813 2 7 0 7 5021021756536652432 +github:1157240243 2026-02-16 2026-02-16 f https://github.com/Ragatzino/test-cve-2016-1000027 validation de l'exploitabilité d'une CVE CVE-2016-1000027 0 0 0 0 8462148144140718075 +github:969458059 2025-04-20 2025-04-20 f https://github.com/skyllpro/CVE-2021-44026-PoC Bug Chain XSS (CVE-2020-35730 and CVE-2023-43770) to SQLi (CVE-2021-44026) CVE-2020-35730 0 0 1 0 2931946437933892865 +github:440220972 2022-06-24 2021-12-23 f https://github.com/intel-xeon/CVE-2021-44228---detection-with-PowerShell CVE-2021-44228 0 0 1 0 1673560850571080845 +github:892345016 2024-11-22 2026-01-04 f https://github.com/ns989/CVE-2024-48990 Exploit for CVE-2024-48990 (Local Privilege Escalation in needrestart < 3.8) CVE-2024-48990 0 5 1 5 6605171077305606158 +github:1014553944 2025-07-06 2026-06-08 f https://github.com/superswan/CVE-2024-55963 CVE-2024-55963, allows unauthenticated remote code execution on Appsmith Enterprise platform due to a misconfigured PostgreSQL database included by default CVE-2024-55963 0 2 0 2 4485645165553080476 +github:268869147 2020-06-02 2020-06-02 f https://github.com/84KaliPleXon3/CVE-2020-12078 CVE-2020-12078 0 0 1 0 5963311866666689773 +github:441540913 2022-09-22 2026-02-02 f https://github.com/marcourbano/CVE-2021-44228 PoC for CVE-2021-44228. CVE-2021-44228 7 7 1 7 4219886587878384761 +github:589360535 2023-01-20 2023-02-13 f https://github.com/Habib0x0/CVE-2022-46169 Cacti: Unauthenticated Remote Code Execution Exploit in Ruby CVE-2022-46169 0 2 1 2 1631236562243952652 +github:1285428398 2026-06-30 2026-06-30 f https://github.com/BiiTts/CVE-2026-58138-Conductor-Unauth-RCE CVE-2026-58138 — Conductor (3.21.21..<3.30.2) unauthenticated RCE via INLINE GraalVM evaluator (HostAccess.ALL). Lab + PoC, verified e2e (root). CVE-2026-58138 0 0 0 0 8518082280067030947 +github:441001904 2021-12-22 2023-04-06 f https://github.com/badb33f/Apache-Log4j-POC Proof of Concept of apache log4j LDAP lookup vulnerability. CVE-2021-44228 CVE-2021-44228 1 3 1 3 4304194143504892158 +github:1197721811 2026-04-02 2026-04-02 f https://github.com/kaleth4/CVE-2024-6387 CVE-2024-6387 0 0 0 0 7501116099239306087 +github:1055396365 2025-09-12 2025-09-12 f https://github.com/ItsNee/Grafana-CVE-2025-4123-POC Grafana CVE-2025-4123-POC CVE-2025-4123 0 0 0 0 1255363276311697549 +github:1055422018 2025-10-02 2025-10-02 f https://github.com/s41r4j/CVE-2025-48384 GIT vulnerability | Carriage Return and RCE on cloning CVE-2025-48384 0 0 0 0 8663774278298028512 +github:1126537633 2026-01-02 2026-01-02 f https://github.com/ghostn4444/CVE-2025-55182 CVE-2025-55182 - Tool React2Shell CVE-2025-55182 0 0 0 0 1385081273300196726 +github:216513053 2023-04-09 2025-11-25 f https://github.com/darsigovrustam/CVE-2019-10149 Instructions for installing a vulnerable version of Exim and its expluatation CVE-2019-10149 3 5 1 5 3058031971193278985 +github:384265226 2025-06-05 2025-06-05 f https://github.com/h3x0v3rl0rd/CVE-2019-5736 CVE-2019-5736 0 0 1 0 4344029215120158132 +github:1224994966 2026-04-29 2026-04-29 f https://github.com/harley-ghostie/CVE-2019-9511_Priority-Churn-Data-Dribble CVE-2019-9511 0 0 0 0 1039850239305096969 +github:934598614 2025-02-18 2025-10-05 f https://github.com/padayali-JD/pollyscan A specialized vulnerability scanner designed to detect CVE-2024-38526, the Polyfill.io Supply Chain Attack, helping organizations identify and mitigate risks associated with compromised third-party dependencies. CVE-2024-38526 1 6 1 6 1858564960252015423 +github:163683497 2019-01-14 2020-09-10 f https://github.com/ensimag-security/CVE-2018-19518 some works on CVE-2018-19518 CVE-2018-19518 1 0 1 0 168075855581340417 +github:323730181 2020-12-22 2020-12-22 f https://github.com/NikolaT3sla/cve-2018-6574 CVE-2018-6574 0 0 1 0 1655484068227945009 +github:510851949 2022-08-15 2022-08-15 f https://github.com/p1ckzi/CVE-2022-35513 CVE-2022-35513 | blink1-pass-decrypt CVE-2022-35513 0 2 1 2 3967495977014514252 +github:1217887614 2026-04-22 2026-04-22 f https://github.com/viglia/cve-2019-15107 CVE-2019-15107 Webmin RCE (unauthenticated) exploit CVE-2019-15107 0 0 0 0 1592307713636882632 +github:354793600 2021-04-06 2021-04-29 f https://github.com/Hackdwerg/CVE-2021-30109 Froala Persistent XSS CVE-2021-30109 0 1 2 1 5201324027996955068 +github:438349219 2021-12-14 2021-12-14 f https://github.com/municipalparkingservices/CVE-2021-44228-Scanner CVE-2021-44228 0 0 6 0 2325311128126998717 +github:361407419 2021-04-25 2022-11-09 f https://github.com/ImHades101/CVE-2021-3291 rebuild cve CVE-2021-3291 1 1 1 1 8469553559677262103 +github:437526871 2021-12-12 2023-01-27 f https://github.com/Crane-Mocker/log4j-poc Poc of log4j2 (CVE-2021-44228) CVE-2021-44228 0 0 1 0 1236681729798270821 +github:537366751 2022-09-16 2022-09-17 f https://github.com/AgainstTheLight/CVE-2022-37209 CVE-2022-37209 POC CVE-2022-37209 0 1 1 1 8309968120901453017 +github:655945165 2023-06-20 2025-08-14 f https://github.com/Chan9Yan9/CVE-2023-22809 Analysis & Exploit CVE-2023-22809 1 2 0 2 97687545924889851 +github:437265792 2021-12-13 2021-12-13 f https://github.com/gauthamg/log4j2021_vul_test Test the CVE https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228 CVE-2021-44228 0 0 1 0 7450276566756341198 +github:1110316340 2025-12-05 2025-12-15 f https://github.com/emadshanab/POC-for-CVE-2025-55182 POC for CVE-2025-55182 CVE-2025-55182 0 1 0 1 3364180560577895341 +github:1134356208 2026-02-15 2026-02-15 f https://github.com/purehate/CVE-2025-64459-hunter CVE-2025-64459-hunter CVE-2025-64459 0 0 0 0 4558064477301021362 +github:1199928155 2026-04-02 2026-05-26 f https://github.com/kikechans/-SSH-Enum-CVE-2018-15473 🛡️ SSH User Enumeration (CVE-2018-15473). Python 3, multihilo y calibración anti-falsos positivos. 🧵 CVE-2018-15473 0 0 0 0 6614797162981581733 +github:172094613 2019-02-24 2026-07-29 f https://github.com/g0rx/Drupal-SA-CORE-2019-003 CVE-2019-6340-Drupal SA-CORE-2019-003 CVE-2019-6340 7 30 4 30 8089723922693798870 +github:1244342979 2026-05-20 2026-05-20 f https://github.com/Kulik-Labs-Development/Ghost-CMS-Code-Injection-Audit-CVE-2026-26980 Outdated Ghost CMS websites that have fallen become compromised from CVE-2026-26980 can suffer from spam code injection to pages. Use this to mass clear and edit code injection fields. CVE-2026-26980 0 0 0 0 8258201790478997560 +github:437323133 2022-02-07 2022-01-08 f https://github.com/LemonCraftRu/JndiRemover Небольшой мод направленный на устранение уязвимости CVE-2021-44228 CVE-2021-44228 0 0 2 0 1041583478220141265 +github:1111435778 2025-12-07 2025-12-07 f https://github.com/vyvivekyadav04/RSC-Infra-Scanner This is a fast, asynchronous Python tool that fingerprints domains for likely Next.js App Router / React Server Components (RSC) infrastructure. (I made it to find the applications possibly vulnerable to CVE-2025-55182 and CVE-2025-66478) CVE-2025-55182 0 0 0 0 7368656631281573116 +github:1237336877 2026-05-15 2026-05-15 f https://github.com/rootdirective-sec/CVE-2026-33626-Lab CVE-2026-33626 0 0 0 0 1139507437966819789 +github:153534574 2018-11-04 2026-06-06 f https://github.com/jobroche/libssh-scanner Script to identify hosts vulnerable to CVE-2018-10933 CVE-2018-10933 53 235 17 235 6850907992867240727 +github:988837646 2025-05-23 2025-05-23 f https://github.com/l8BL/CVE-2025-44998 TinyFileManger XSS Vulnerability CVE-2025-44998 0 0 1 0 6542612630869887299 +github:1240764446 2026-05-17 2026-06-25 f https://github.com/0xBlackash/CVE-2026-44578 CVE-2026-44578 CVE-2026-44578 1 1 0 1 2800275098708976039 +github:860404866 2024-09-20 2024-09-20 f https://github.com/MAHajian/CVE-2019-9978 CVE-2019-9978 0 0 1 0 5752199555063428679 +github:299264416 2020-11-17 2020-11-17 f https://github.com/Whippet0/CVE-2020-1472 CVE-2020-1472 CVE-2020-1472 0 0 1 0 709203292926013978 +github:893793933 2024-12-21 2025-06-28 f https://github.com/griisemine/CVE-2024-56331 CVE-2024-56331 0 1 1 1 4713022450617170256 +github:1110472099 2025-12-08 2026-01-26 f https://github.com/hoosin/CVE-2025-55182 CVE-2025-55182 0 3 0 3 1154484053895149852 +github:196255066 2019-07-15 2022-04-01 f https://github.com/us3r777/CVE-2018-20718 CVE-2018-20718 0 3 0 3 5142406955672050568 +github:179330253 2019-04-03 2024-08-12 f https://github.com/brompwnie/CVE-2019-1002101-Helpers PoC helper scripts and Dockerfile for CVE-2019-1002101 CVE-2019-1002101 6 5 0 5 1290842988062812521 +github:794496797 2024-05-01 2024-05-01 f https://github.com/tronghoang89/cve-2019-16113 CVE-2019-16113 0 0 1 0 8099674930513401347 +github:337169035 2021-12-03 2025-10-16 f https://github.com/0xdevil/CVE-2021-3156 CVE-2021-3156: Sudo heap overflow exploit for Debian 10 CVE-2021-3156 15 51 1 51 2587994918505131937 +github:711317604 2023-10-28 2023-10-28 f https://github.com/BearClaw96/CVE-2022-22963-Poc-Bearcules This is a POC for CVE-2022-22963 CVE-2022-22963 0 0 1 0 7004491349267051836 +github:1031345832 2025-09-02 2025-12-31 f https://github.com/Infinit3i/CVE-2025-24893 PoC exploits CVE-2025-24893 , a remote code execution (RCE) vulnerability in XWiki caused by improper sandboxing in Groovy macros rendered asynchronously. It allows arbitrary command execution through injection into RSS-based SolrSearch endpoints. CVE-2025-24893 1 6 0 6 1372753314676430554 +github:437155858 2022-01-05 2026-02-20 f https://github.com/1lann/log4shelldetect Rapidly scan filesystems for Java programs potentially vulnerable to Log4Shell (CVE-2021-44228) or "that Log4j JNDI exploit" by inspecting the class paths inside files CVE-2021-44228 8 45 6 45 4824841521094756526 +github:550418551 2022-10-12 2022-10-12 f https://github.com/edsonjt81/CVE-2022-0847-DirtyPipe- CVE-2022-0847 1 0 1 0 6376324139116139484 +github:305391186 2022-08-18 2022-12-19 f https://github.com/sonatype-workshops/struts2-rce Exploitable target to CVE-2017-5638 CVE-2017-5638 0 0 0 0 1508331794257904018 +github:137230310 2018-06-13 2023-06-02 f https://github.com/BalvinderSingh23/Cross-Site-Scripting-Reflected-XSS-Vulnerability-in-blackcatcms_v1.3 BlackCat-CMS-Bundle-v1.3 Cross Site Scripting(XSS) Assigned CVE Number: CVE-2018-10821 CVE-2018-10821 0 1 0 1 3350340204894253211 +github:463061723 2022-02-24 2022-02-25 f https://github.com/trganda/CVE-2022-23131 CVE-2022-23131 1 1 1 1 2614599633698945259 +github:647841029 2023-05-31 2023-06-01 f https://github.com/mnqazi/CVE-2023-3009 Stored XSS vulnerability in Teampass < 3.0.9 (Bypass of CVE-2023–2516) — M Nadeem Qazi CVE-2023-3009 3 0 1 0 8114151318828255905 +github:949094558 2025-03-15 2025-11-25 f https://github.com/websecnl/CVE-2024-5535 PoC - OpenSSL NPN Buffer Overread CVE-2024-5535 0 2 1 2 3922130397148441472 +github:958639017 2025-03-23 2025-04-01 f https://github.com/dedibagus/cve-2025-29927-poc Authorization Bypass in Next.js Middleware CVE-2025-29927 3 0 0 0 466548181305711272 +github:1109670650 2025-12-07 2026-05-26 f https://github.com/gensecaihq/react2shell-scanner Security scanner for CVE-2025-55182 - Critical RCE vulnerability in React Server Components. Scan npm/pnpm/yarn lockfiles, Docker images, SBOMs, and live URLs. Auto-fix, SARIF output, GitHub Actions, Vercel integration, and runtime protection middleware. CVE-2025-55182 7 58 4 58 4848091907414447779 +github:644247652 2023-05-23 2024-08-10 f https://github.com/1820112015/CVE-2023-29923 CVE-2023-29922 Batch detection script CVE-2023-29923 2 15 2 15 2687318278644517594 +github:573818685 2022-12-04 2025-02-14 f https://github.com/Acczdy/CVE-2022-24112_POC CVE-2022-24112_POC CVE-2022-24112 1 5 1 5 8174557597130308660 +github:801392594 2024-05-16 2024-05-16 f https://github.com/secunnix/CVE-2024-29895 Cacti CVE-2024-29895 POC CVE-2024-29895 0 1 0 1 7460086742599258831 +github:212541592 2021-03-19 2026-05-13 f https://github.com/dorkerdevil/CVE-2019-11932 double-free bug in WhatsApp exploit poc CVE-2019-11932 72 267 16 267 2745675599618071696 +github:471270998 2022-03-18 2026-05-13 f https://github.com/viemsr/spring_cloud_gateway_memshell CVE-2022-22947 memshell CVE-2022-22947 1 18 1 18 8636803913135124190 +github:847548583 2024-08-26 2024-08-26 f https://github.com/HadesNull123/CVE-2024-6387_Check RCE OpenSSH CVE-2024-6387 Check and Exploit CVE-2024-6387 1 0 1 0 4346592584140232957 +github:779977820 2024-03-31 2024-04-03 f https://github.com/Yuma-Tsushima07/CVE-2024-3094 A script to detect if xz is vulnerable - CVE-2024-3094 CVE-2024-3094 0 4 1 4 7078786546879766527 +github:822953002 2024-07-02 2024-07-05 f https://github.com/R4Tw1z/CVE-2024-6387 This script, created by R4Tw1z, is designed to scan IP addresses to check if they are running a potentially vulnerable version of OpenSSH. The tool leverages multi-threading to optimize scanning performance and handle multiple IP addresses concurrently. CVE-2024-6387 0 1 1 1 6345808212851839916 +github:158188714 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2016-0793 CVE-2016-0793 0 0 0 0 4767188136890781907 +github:899915043 2024-12-07 2024-12-07 f https://github.com/Piyush-Bhor/CVE-2024-11392 Technical Details and Exploit for CVE-2024-11392 CVE-2024-11392 0 0 1 0 859788759396233295 +github:1034685318 2025-08-08 2025-08-08 f https://github.com/alaxar/CVE-2025-24893 XWiki 15.10.11, 16.4.1 and 16.5.0RC1 Unauthenticated Remote code execution POC CVE-2025-24893 0 0 0 0 6881980170688480403 +github:123245165 2019-03-04 2019-03-09 f https://github.com/alessiogilardi/PoC---CVE-2018-6389 CVE-2018-6389 0 0 0 0 8298881321266071812 +github:317609868 2021-12-31 2024-03-12 f https://github.com/rancher/externalip-webhook CVE-2020-8554: Man in the middle using LoadBalancer or ExternalIPs CVE-2020-8554 4 3 22 3 1004577242953105039 +github:1307075552 2026-07-21 2026-07-21 f https://github.com/NicPWNs/CVE-2026-62183 Apache Syncope: User self-service privilege escalation CVE-2026-62183 0 1 0 1 4692345267613524419 +github:1115877231 2025-12-13 2025-12-13 f https://github.com/mounta11n/CHECK-CVE-2025-55182-AND-CVE-2025-66478 Check if your server is affected by CVE-2025-55182 & CVE-2025-66478 CVE-2025-55182 0 1 0 1 7313321395028704662 +github:550259625 2022-10-12 2023-04-10 f https://github.com/0x1nsomnia/CVE-2022-36067-vm2-POC-webapp CVE-2022-36067 0 2 2 2 8995294712997148445 +github:1112217750 2025-12-08 2025-12-17 f https://github.com/Benrich127N/react2shell_analyzer a dart package to analyze CVE-2025-55182 react2shell CVE-2025-55182 0 1 0 1 9047515775734962841 +github:515842699 2022-07-19 2022-07-20 f https://github.com/nanaao/CVE-2022-33891 PoC for CVE-2022-33891 CVE-2022-33891 7 0 0 0 886225152040093676 +github:1111258502 2025-12-06 2025-12-06 f https://github.com/orgito1015/CVE-2025-55182-RCE-Exploit More exploit-focused; great for security research repos. CVE-2025-55182 0 0 0 0 7853756280209825244 +github:1203585110 2026-04-07 2026-05-16 f https://github.com/open-flaw/CVE-2017-11499 CVE-2017-11499 0 0 0 0 2935533542118883270 +github:1188522719 2026-03-22 2026-03-22 f https://github.com/Saru1718/THM---Solar-exploiting-Log-4j This room is based on exploiting the notorious Log4j vulnerability ( CVE-2021-44228), also referred to as the Log4Shell. The weakness enables attackers to execute a remote code via injection of the malicious payloads into the log messages. CVE-2021-44228 0 0 0 0 6049179503255945093 +github:566546536 2022-11-15 2024-08-12 f https://github.com/icebreack/CVE-2022-24637 FIxed exploit for CVE-2022-24637 (original xplt: https://www.exploit-db.com/exploits/51026) CVE-2022-24637 4 4 1 4 1914645756574956484 +github:77596573 2016-12-29 2020-03-26 f https://github.com/Zenexer/safeshell Prevent PHP vulnerabilities similar to CVE-2016-10033 and CVE-2016-10045. CVE-2016-10033 1 8 4 8 3013946275497166640 +github:158225407 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-7489 CVE-2018-7489 0 0 0 0 213529508435918615 +github:1039104893 2025-08-16 2025-08-16 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-0225_2-11-0-M2 CVE-2019-0225 0 0 0 0 3015488859611016453 +github:890535432 2024-11-18 2024-12-30 f https://github.com/partywavesec/CVE-2024-42346 CVE-2024-42346 POC CVE-2024-42346 0 1 1 1 1936884608484199513 +github:1110155760 2025-12-06 2026-02-11 f https://github.com/tobiasGuta/Next.js-RSC-RCE-Scanner-Burp-Suite-Extension Burp Suite extension to detect the Next.js / React Server Components (RSC) Remote Code Execution vulnerability (CVE-2025-55182 & CVE-2025-66478). CVE-2025-55182 3 24 0 24 3754160818556945539 +github:314769989 2022-10-12 2024-08-12 f https://github.com/blackmarketer/CVE-2020-13942 CVE-2020-13942 3 3 1 3 6562764271420317782 +github:500852820 2022-06-08 2022-06-07 f https://github.com/moshuum/tf-log4j-aws-poc This project files demostrate a proof-of-concept of log4j vulnerability (CVE-2021-44228) on AWS using Terraform Infrastructure-as-a-code means. CVE-2021-44228 0 1 1 1 5036684856865244219 +github:949121731 2025-03-16 2025-03-16 f https://github.com/ishwardeepp/CVE-2025-22604-Cacti-RCE CVE-2025-22604 0 0 1 0 1448866886453744779 +github:1182692114 2026-03-15 2026-03-20 f https://github.com/AliElKhatteb/CVE-2025-47273-POC CVE-2025-47273 — setuptools path traversal PoC CVE-2025-47273 0 1 0 1 1883693063666670014 +github:1115126720 2025-12-12 2026-07-23 f https://github.com/xalgord/React2Shell Advanced Exploitation Toolkit for Next.js Server Actions (CVE-2025-55182) CVE-2025-55182 6 50 0 50 7765848640370507818 +github:299708288 2020-10-05 2024-02-28 f https://github.com/WiIs0n/Zerologon_CVE-2020-1472 POC for checking multiple hosts for Zerologon vulnerability CVE-2020-1472 5 11 2 11 4910865088000896725 +github:677914975 2023-08-14 2024-11-19 f https://github.com/thomas-osgood/CVE-2023-27163 Golang PoC for CVE-2023-27163 Mailtrail Exploit CVE-2023-27163 0 2 1 2 3219217150996728171 +github:839216934 2024-08-07 2025-12-12 f https://github.com/YongYe-Security/CVE-2024-32113 CVE-2024-32113 Apache OFBIZ Batch Scanning CVE-2024-32113 0 6 1 6 8166832014056877145 +github:821443628 2024-06-28 2024-06-28 f https://github.com/d0rb/CVE-2024-34102 A PoC demonstration , critical XML entity injection vulnerability in Magento CVE-2024-34102 2 0 1 0 3150131976914362 +github:1130825624 2026-01-09 2026-01-09 f https://github.com/AdolfBharath/mongobleed CVE-2025-14847 explaination and lab CVE-2025-14847 0 1 0 1 4339855168738608091 +github:1063027808 2025-09-30 2025-09-30 f https://github.com/ISH2YU/CVE-2025-55780 Null Pointer Dereference in MuPDF , First CVE discovered by me CVE-2025-55780 0 0 0 0 6050676632132949113 +github:477210316 2022-04-08 2024-08-12 f https://github.com/gpiechnik2/nmap-spring4shell Nmap Spring4Shell NSE script for Spring Boot RCE (CVE-2022-22965) CVE-2022-22965 4 8 1 8 8521223150470144349 +github:655337602 2024-03-07 2026-07-24 f https://github.com/miko550/CVE-2023-32315 Openfire Console Authentication Bypass Vulnerability with RCE plugin CVE-2023-32315 12 59 1 59 7816553918046593190 +github:1214857365 2026-04-19 2026-04-19 f https://github.com/NetVanguard-cmd/CVE-2025-55315 CVE-2025-55315 0 0 0 0 7794631835517696052 +github:329810247 2021-01-15 2021-01-15 f https://github.com/AssassinUKG/CVE-2020-8165 CVE-2020-8165 0 0 1 0 345017200193251975 +github:409358521 2021-09-22 2022-03-15 f https://github.com/j4k0m/CVE-2018-11235 Auto malicious git repository creation to exploit CVE-2018-11235 a Remote Code Execution using Git Sub module. CVE-2018-11235 0 2 1 2 5703331444266589547 +github:286020197 2020-08-12 2025-09-16 f https://github.com/ruthvikvegunta/CVE-2019-15107 Webmin <=1.920 RCE CVE-2019-15107 4 6 1 6 2396144842544827959 +github:262816666 2020-05-10 2025-12-06 f https://github.com/ProjectorBUg/CVE-2020-11932 Double-Free BUG in WhatsApp exploit poc. CVE-2020-11932 35 98 5 98 4904033835669567222 +github:439409726 2021-12-18 2022-12-02 f https://github.com/nikolas-charalambidis/cve-2021-44228 A simple simulation of the infamous CVE-2021-44228 issue. CVE-2021-44228 0 0 1 0 7017778849985223928 +github:1121965861 2026-01-21 2026-01-21 f https://github.com/ReGeLePuMa/HTTP-2-Rapid-Reset-DDos PoC for HTTP/2 Rapid Reset DDoS Vulnerability - CVE-2023-44487 CVE-2023-44487 0 0 0 0 5927082274576105196 +github:1290200697 2026-07-05 2026-07-13 f https://github.com/rz1027/CVE-2026-20896 Public PoC and detector for CVE-2026-20896 ("Gitea Docker: One Header, Any User") CVE-2026-20896 0 6 0 6 1383657436214859980 +github:336995518 2021-02-08 2021-02-08 f https://github.com/xenophil90/edb-49263-fixed Fixed version of the Python script to exploit CVE-2018-19571 and CVE-2018-19585 (GitLab 11.4.7 - Authenticated Remote Code Execution) that is available at https://www.exploit-db.com/exploits/49263 (Python 3.9). CVE-2018-19571 0 0 1 0 196697311161653104 +github:968761666 2025-04-19 2025-12-24 f https://github.com/874anthony/CVE-2024-42327_Zabbix_SQLi This is for educational porpuses only. Please do not use agains unathorized systems. CVE-2024-42327 0 1 1 1 3759208595942855044 +github:868024917 2026-06-15 2026-06-15 f https://github.com/gumerzzzindo/CVE-2024-47176 CVE-2024-47176 0 0 1 0 6111743449427581212 +github:437283982 2021-12-11 2022-03-02 f https://github.com/cado-security/log4shell Content to help the community responding to the Log4j Vulnerability Log4Shell CVE-2021-44228 CVE-2021-44228 1 1 3 1 3431494882193251263 +github:710128947 2023-10-26 2023-10-26 f https://github.com/jeongjunsoo/CVE-2022-0778 CVE-2022-0778 0 0 1 0 3916492001317667332 +github:1034381331 2025-08-08 2025-08-08 f https://github.com/The-Red-Serpent/CVE-2025-24893 POC CVE-2025-24893 0 0 0 0 6780864716683000838 +github:979729066 2025-05-08 2025-05-08 f https://github.com/EarthAngel666/x-middleware-exploit x-middleware exploit for next.js CVE-2023–46298 cache poisoning and CVE-2025-29927 bypass CVE-2025-29927 0 0 1 0 491234749848775568 +github:144760095 2024-03-10 2026-07-29 f https://github.com/kozmic/laravel-poc-CVE-2018-15133 PoC for CVE-2018-15133 (Laravel unserialize vulnerability) CVE-2018-15133 36 258 5 258 3388224316790133138 +github:1181709185 2026-03-14 2026-03-14 f https://github.com/materaj2/cve-2025-15467 Exploit script for cve-2025-15467 CVE-2025-15467 0 0 0 0 5849583787711800176 +github:437501121 2021-12-13 2021-12-13 f https://github.com/uint0/cve-2021-44228-helpers CVE-2021-44228 0 0 1 0 3374223199306795031 +github:466368589 2022-03-05 2022-03-07 f https://github.com/22ke/CVE-2022-22947 CVE-2022-22947 1 2 1 2 184819449358976274 +github:1134017127 2026-07-27 2026-07-27 f https://github.com/pedrocruz2202/mongobleed-scanner 🔍 Scan for MongoDB vulnerabilities with MongoBleed, a high-performance tool for detecting CVE-2025-14847 across large networks quickly and efficiently. CVE-2025-14847 0 0 0 0 3917304712995828348 +github:414425270 2021-10-07 2025-02-22 f https://github.com/HightechSec/scarce-apache2 A framework for bug hunting or pentesting targeting websites that have CVE-2021-41773 Vulnerability in public CVE-2021-41773 18 63 2 63 7908522529990372604 +github:1289557304 2026-07-05 2026-07-05 f https://github.com/bybraveHQ/ip2 Maintained fork of node-ip with the unpatched SSRF advisory (CVE-2024-29415) fixed CVE-2024-29415 0 0 1 0 6923942436878600480 +github:1039514250 2025-08-17 2025-08-17 f https://github.com/shoucheng3/yamcs__yamcs_CVE-2023-45278_5-8-6 CVE-2023-45278 0 0 0 0 2135979571433474537 +github:855577397 2024-09-11 2024-09-11 f https://github.com/kodaichodai/CVE-2024-0624 a PoC for CVE-2024-0624/WP Plugin - Paid Memberships Pro (<= 2.12.7) CVE-2024-0624 0 0 1 0 3556105884966003030 +github:802731336 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-linux-smash CVE-2024-32002 0 0 1 0 4702757137261764278 +github:1250566882 2026-05-26 2026-05-26 f https://github.com/Jeanback1/react-rsc-cve-2025-55182-lab Educational lab demonstrating CVE-2025-55182: Critical RCE in React Server Components via prototype pollution in the Flight protocol CVE-2025-55182 0 0 0 0 3762476576581052888 +github:1042337100 2025-08-21 2025-09-10 f https://github.com/mateusm1403/PoC-CVE-2025-8671-MadeYouReset-HTTP-2 PoC para validar vulnerabilidade MadeYouReset CVE-2025-8671 0 2 0 2 1284498891785198543 +github:757418361 2024-02-14 2024-02-19 f https://github.com/Cur1iosity/CVE-2023-30547 Tool for exploring CVE-2023-30547 CVE-2023-30547 0 1 1 1 8954829773743636507 +github:694410743 2023-09-21 2023-09-21 f https://github.com/MateusTesser/CVE-2023-31718 CVE-2023-31718 0 0 1 0 8037093188824048438 +github:823109994 2024-07-02 2026-07-20 f https://github.com/ACHUX21/checker-CVE-2024-6387 Python scanner that checks hosts for the OpenSSH regreSSHion vulnerability (CVE-2024-6387) CVE-2024-6387 1 2 1 2 8438955691511261649 +github:827444140 2024-07-11 2024-07-29 f https://github.com/redux-sibi-jose/mitigate_ssh OpenSSH vulnerability CVE-2024-6387 CVE-2024-6387 0 1 1 1 786006680315151811 +github:712483356 2024-09-23 2026-06-18 f https://github.com/jammy0903/-jettyCVE-2021-28164- jetty /CVE-2021-28164/분석 및 결과 CVE-2021-28164 0 0 1 0 4727619564922059941 +github:531444886 2022-09-01 2022-09-01 f https://github.com/75ACOL/CVE-2022-22963 CVE-2022-22963 0 0 1 0 6967102273391902696 +github:1165691333 2026-02-24 2026-03-08 f https://github.com/MKIRAHMET/PoC-2023-43208 A proof-of-concept exploit for CVE-2023-43208, a remote code execution vulnerability in Mirth Connect before version 4.4.1. CVE-2023-43208 0 3 0 3 7412608591585454739 +github:377097654 2021-06-15 2021-06-15 f https://github.com/OLAOLAOLA789/CVE-2018-6574 CVE-2018-6574 0 0 1 0 6532586708396162557 +github:1305147071 2026-07-18 2026-07-18 f https://github.com/theNareshofficial/CVE-2021-3129-Lab CVE-2021-3129: Laravel Debug Mode RCE - Complete exploitation lab with Python exploit, Docker container, and security analysis guide. CVE-2021-3129 0 0 0 0 5430041651199930844 +github:657382893 2023-08-14 2024-07-02 f https://github.com/Halcy0nic/CVEs-for-picoc-3.2.2 Reproduction files for CVE-2022-44312 through CVE-2022-44321 CVE-2022-44312 1 1 1 1 895714190446919145 +github:295482050 2020-11-05 2026-07-22 f https://github.com/VoidSec/CVE-2020-1472 Exploit Code for CVE-2020-1472 aka Zerologon CVE-2020-1472 63 396 5 396 2943526120558258453 +github:927144920 2025-02-04 2026-05-05 f https://github.com/suce0155/CVE-2024-2961 CVE-2024-2961 Cnext RCE Exploit with Buddyforms 2.7.7 CVE-2024-2961 0 4 1 4 2051678273620780572 +github:467530713 2022-03-08 2025-05-02 f https://github.com/knqyf263/CVE-2022-0847 The Dirty Pipe Vulnerability CVE-2022-0847 9 46 1 46 7175023126231352325 +github:1093368771 2025-11-10 2025-11-11 f https://github.com/AlphabugX/CVE-2025-64495-POC Open WebUI vulnerable to Stored DOM XSS via prompts when 'Insert Prompt as Rich Text' is enabled resulting in ATO/RCE CVE-2025-64495 0 3 0 3 2907329147631048972 +github:1151071454 2026-02-07 2026-04-22 f https://github.com/HowieHz/CVE-2025-70886 A Proof of Concept (PoC) exploit for CVE-2025-70886, a persistent denial-of-service vulnerability in Halo CMS (v2.22.4 and earlier) that allows remote attackers to crash the admin comment interface by submitting malformed payloads. CVE-2025-70886 0 0 0 0 984500763060970972 +github:1243676586 2026-05-19 2026-05-19 f https://github.com/fkj-src/fix_nginx_cve_2026_42945 NGINX CVE-2026-42945 一键修复脚本 CVE-2026-42945 0 0 0 0 5088462529791864921 +github:414650983 2023-11-14 2026-01-29 f https://github.com/justakazh/mass_cve-2021-41773 MASS CVE-2021-41773 CVE-2021-41773 19 29 2 29 4622952680602415612 +github:510649929 2023-11-29 2025-01-08 f https://github.com/Pasch0/WSO2RCE CVE-2022-29464 Exploit CVE-2022-29464 0 1 1 1 2532912550948086916 +github:1039544284 2025-10-21 2025-08-17 f https://github.com/shoucheng3/codehaus-plexus__plexus-archiver_CVE-2023-37460_4-7-1 CVE-2023-37460 0 0 0 0 3576313833429535595 +github:150419436 2018-09-26 2021-02-01 f https://github.com/cscli/CVE-2017-5223 CVE-2017-5223 0 1 1 1 5538318543549917726 +github:711134863 2023-10-28 2023-10-28 f https://github.com/Saboor-Hakimi-23/CVE-2021-21300 CVE-2021-21300 0 0 1 0 6404228756511727846 +github:643685541 2023-05-21 2023-05-21 f https://github.com/hazeyez/CVE-2023-0297 RCE Unauth in PyLoad <0.5.0b3.dev31 CVE-2023-0297 2 0 0 0 7845847686444306442 +github:648215051 2024-08-12 2024-08-12 f https://github.com/mnqazi/CVE-2023-33977 Read more at Medium CVE-2023-33977 0 0 1 0 2549631551510446304 +github:311562422 2020-11-10 2020-11-10 f https://github.com/ngpentest007/CVE-2019-7357 CVE-2019-7357 0 0 1 0 8596706675256108352 +github:996330511 2025-06-04 2025-06-04 f https://github.com/Sizvy/CVE-2021-21300 CVE-2021-21300 1 0 0 0 8049630378773297401 +github:773845271 2024-03-18 2024-03-18 f https://github.com/0xWhoami35/CloudPanel-CVE-2023-33747 CVE-2023-33747 0 0 1 0 4362071439591579188 +github:703303512 2023-10-13 2026-06-14 f https://github.com/Appsynergy-io/CVE-2023-44487 Proof of concept for DoS exploit CVE-2023-44487 16 56 2 56 6713914362692032277 +github:1054498066 2025-09-11 2026-01-28 f https://github.com/anonymous121029034720384234234/py-network-scanner Advanced network penetration testing toolkit with SSH vulnerability assessment, CVE-2018-15473 exploitation, stealth brute force capabilities, and fail2ban evasion techniques. Professional-grade security testing framework for authorized penetration testing engagements. CVE-2018-15473 0 1 0 1 1809413651512897631 +github:175086551 2019-03-11 2024-08-12 f https://github.com/mpgn/CVE-2018-19276 CVE-2018-19276 - OpenMRS Insecure Object Deserialization RCE CVE-2018-19276 4 16 2 16 2377204420970510801 +github:462326409 2022-02-22 2026-05-13 f https://github.com/Mr-xn/CVE-2022-24112 CVE-2022-24112：Apache APISIX apisix/batch-requests RCE CVE-2022-24112 6 43 2 43 7218459301547806353 +github:785163065 2024-04-11 2024-08-02 f https://github.com/foxoman/CVE-2024-24576-PoC---Nim CVE-2024-24576 PoC for Nim Lang CVE-2024-24576 0 1 1 1 3741989055956151847 +github:1110776981 2025-12-07 2025-12-07 f https://github.com/xkey8/react2shell PoC for React2Shell (CVE-2025-55182) CVE-2025-55182 0 1 0 1 6404898583809239241 +github:1092865738 2025-11-10 2026-07-22 f https://github.com/faccimatteo/CVE-2022-4361 PoC for https://nvd.nist.gov/vuln/detail/CVE-2022-4361 CVE-2022-4361 0 0 0 0 738969977488106637 +github:1114318255 2025-12-11 2026-05-16 f https://github.com/open-flaw/CVE-2025-23061 CVE-2025-23061 - Mongoose Command Injection CVE-2025-23061 0 0 0 0 644111404782603145 +github:616814586 2023-03-21 2023-03-21 f https://github.com/Mustafa1986/CVE-2022-22963 CVE-2022-22963 0 0 1 0 161620771462670451 +github:1110289566 2025-12-05 2025-12-05 f https://github.com/sherlocksecurity/CVE-2025-55182-Exploit-scanner CVE-2025-55182 0 0 0 0 3614899872709020131 +github:1026965302 2025-07-27 2025-07-27 f https://github.com/mind2hex/CVE-2025-6998-CalibreWeb-0.6.24-ReDoS Exploit for the redos for CalibreWeb v0.6.24 CVE-2025-6998 0 0 0 0 1858842427639215882 +github:234220195 2020-02-02 2024-12-20 f https://github.com/RrUZi/Awesome-CVE-2020-0601 😂An awesome curated list of repos for CVE-2020-0601. CVE-2020-0601 2 5 0 5 6295111064672134421 +github:835952440 2024-09-02 2024-09-02 f https://github.com/FlojBoj/CVE-2024-32002 CVE-2024-32002 0 0 1 0 1430242194884736202 +github:1123454788 2025-12-26 2025-12-29 f https://github.com/kanyokoo/React-Server-Components-Remote-Code-Execution-CVE-2025-55182- script to help solve the lab on hackviser covering (CVE-2025-55182) CVE-2025-55182 0 1 0 1 3669405058116474550 +github:955434542 2025-03-26 2025-03-26 f https://github.com/w3shinew/CVE-2025-29927 A touch of security CVE-2025-29927 0 0 1 0 2281356174309010066 +github:531165610 2023-08-15 2024-01-28 f https://github.com/b1gdog/CVE-2022-24124 CVE-2022-24124 exploit CVE-2022-24124 2 2 1 2 8204795278001748394 +github:824185491 2024-07-04 2024-07-04 f https://github.com/4lxprime/regreSSHive rewrited SSH Exploit for CVE-2024-6387 (regreSSHion) CVE-2024-6387 3 0 1 0 1310894567182197863 +github:158209208 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-12537 CVE-2018-12537 0 0 0 0 3152119035411251834 +github:160625335 2018-12-06 2024-04-28 f https://github.com/iSafeBlue/freeswitch_rce freeswitch all version remote command execute (cve-2018-19911) CVE-2018-19911 2 5 0 5 8203122856666981262 +github:869071531 2024-10-07 2024-10-07 f https://github.com/j3r1ch0123/CVE-2024-24590 Created this exploit for the Hack The Box machine, Blurry. CVE-2024-24590 0 0 1 0 5394822815933177875 +github:445474259 2022-07-26 2023-03-31 f https://github.com/Vulnmachines/log4jshell_CVE-2021-44228 Log4jshell - CVE-2021-44228 CVE-2021-44228 1 2 1 2 2119784743730903373 +github:438112808 2021-12-15 2021-12-15 f https://github.com/roticagas/CVE-2021-44228-Demo CVE-2021-44228 0 0 1 0 6537055511975816966 +github:1079197679 2025-10-19 2025-10-19 f https://github.com/NickoPS87/Spring4Shell-Python-Firewall-POC Proof-of-Concept (POC) of a simple firewall in Python designed to mitigate the Spring4Shell (CVE-2022-22965) RCE attack by inspecting and blocking malicious request bodies. CVE-2022-22965 0 0 0 0 8127894578863688904 +github:1117412327 2025-12-17 2025-12-17 f https://github.com/scumfrog/FiberBreak React2Shell Exploitation Tool (CVE-2025-55182) CVE-2025-55182 0 0 0 0 8650845856439674189 +github:529954227 2023-01-19 2026-03-11 f https://github.com/p0dalirius/CVE-2021-31800-Impacket-SMB-Server-Arbitrary-file-read-write A path traversal in smbserver.py allows an attacker to read/write arbitrary files on the server. CVE-2021-31800 1 11 1 11 3156843019224496488 +github:440408111 2021-12-21 2021-12-21 f https://github.com/xx-zhang/apache-log4j2-CVE-2021-44228 相关的复现和文档 CVE-2021-44228 0 0 1 0 1557019873068108361 +github:352232354 2022-11-27 2026-07-12 f https://github.com/Hancheng-Lei/Hacking-Vulnerability-CVE-2020-1938-Ghostcat CVE-2020-1938 13 20 1 20 8481974905190991988 +github:1010588534 2025-06-29 2026-02-08 f https://github.com/neko205-mx/CVE-2025-6019_Exploit CVE-2025-6019 0 3 0 3 752282999054790264 +github:1093473859 2025-11-10 2026-01-13 f https://github.com/iPlayForSG/CVE-2023-51444 CVE-2023-51444 0 1 0 1 3392179489099203416 +github:961573027 2025-04-06 2026-04-02 f https://github.com/La3B0z/CVE-2025-24813-POC CVE-2025-24813-POC JSP Web Shell Uploader CVE-2025-24813 2 2 1 2 8882242791775605517 +github:806630340 2024-05-28 2025-11-13 f https://github.com/nikn0laty/Exploit-for-Dolibarr-17.0.0-CVE-2023-30253 Reverse Shell POC exploit for Dolibarr <= 17.0.0 (CVE-2023-30253), PHP Code Injection CVE-2023-30253 7 41 1 41 573066449370025662 +github:1061433975 2025-09-21 2025-09-21 f https://github.com/nika0x38/CVE-2018-7600 A Rust implementation of the CVE-2018-7600 exploit targeting vulnerable Drupal 7 installations (<= 7.57) CVE-2018-7600 0 0 0 0 613345596838433907 +github:423332466 2021-11-04 2024-09-19 f https://github.com/ZZ-SOCMAP/CVE-2021-22214 Gitlab CI Lint API未授权 SSRF漏洞 CVE-2021-22214 CVE-2021-22214 5 10 1 10 7097683773967236748 +github:309222076 2020-10-12 2025-02-13 f https://github.com/elttam/ko7demo A docker-contained koseven hello world to play with SQL injection CVE-2019-8979 affecting versions < 3.3.10 CVE-2019-8979 0 2 0 2 655648060524258543 +github:437439106 2021-12-15 2026-07-08 f https://github.com/RedDrip7/Log4Shell_CVE-2021-44228_related_attacks_IOCs CVE-2021-44228 7 44 6 44 2790148135647020992 +github:153878160 2018-10-20 2020-05-15 f https://github.com/pghook/CVE-2018-10933_Scanner CVE-2018-10933 3 0 1 0 5426616836298686224 +github:734375970 2023-12-21 2023-12-21 f https://github.com/wagneralves/CVE-2021-43798 Directory Traversal and Arbitrary File Read on Grafana CVE-2021-43798 0 1 1 1 8388317870356884362 +github:847425433 2024-08-25 2025-07-25 f https://github.com/noxlumens/CVE-2022-35914_poc Modified for GLPI Offsec Lab: call_user_func, array_map, passthru CVE-2022-35914 0 2 1 2 365589931158312433 +github:957847911 2025-03-31 2025-03-31 f https://github.com/zulloper/CVE-2025-1974 CVE-2025-1974 PoC 코드 CVE-2025-1974 0 0 1 0 6988653505667328237 +github:1022968122 2025-07-20 2025-07-20 f https://github.com/Thewhiteevil/CVE-2025-51397 LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Operator Surname CVE-2025-51397 0 0 0 0 1845021903766244403 +github:335788904 2021-02-10 2021-02-10 f https://github.com/forse01/CVE-2019-5413-NetBeans CVE-2019-5413 0 0 1 0 557041819448410035 +github:844630300 2024-08-19 2024-08-19 f https://github.com/s1d6point7bugcrowd/CVE-2024-6387-Race-Condition-in-Signal-Handling-for-OpenSSH CVE-2024-6387 1 0 1 0 6605691054643923736 +github:1028537338 2025-08-07 2025-08-07 f https://github.com/b4sh0xf/PoC-CVE-2025-29927 → poc for CVE-2025-29927 CVE-2025-29927 0 0 0 0 8230383197451701881 +github:265557959 2020-05-20 2025-10-22 f https://github.com/knqyf263/CVE-2020-8617 PoC for CVE-2020-8617 (BIND) CVE-2020-8617 11 45 1 45 4385266033492215790 +github:823003815 2025-07-22 2025-11-18 f https://github.com/Sic4rio/Grafana-Decryptor-for-CVE-2021-43798 Grafana Decryptor for CVE-2021-43798 CVE-2021-43798 5 8 1 8 2137238308021034311 +github:671846592 2023-07-28 2026-04-17 f https://github.com/Acceis/exploit-CVE-2023-38490 Kirby < 3.9.6 XML External Entity exploit CVE-2023-38490 2 1 1 1 733039701315188163 +github:1114224952 2025-12-11 2025-12-11 f https://github.com/exrienz/CVE-2025-55182-NextJS-Scanner-React2Shell-PoC CVE-2025-55182 0 0 0 0 5239558764373478129 +github:363165166 2021-04-30 2021-04-30 f https://github.com/HK69s/CVE-2020-27955 CVE-2020-27955 CVE-2020-27955 0 0 1 0 6106319076474505610 +github:437419010 2022-03-10 2026-04-13 f https://github.com/mergebase/log4j-detector A public open sourced tool. Log4J scanner that detects vulnerable Log4J versions (CVE-2021-44228, CVE-2021-45046, etc) on your file-system within any application. It is able to even find Log4J instances that are hidden several layers deep. Works on Linux, Windows, and Mac, and everywhere else Java runs, too! TAG_OS_TOOL, OWNER_KELLY, DC_PUBLIC CVE-2021-44228 96 640 24 640 5925913844018732592 +github:735589944 2024-03-17 2024-04-15 f https://github.com/LtmThink/CVE-2023-51385_test 一个验证对CVE-2023-51385 CVE-2023-51385 17 7 1 7 230682747185318504 +github:1212567067 2026-04-17 2026-04-17 f https://github.com/ZaidArif47/CVE-2024-42009 CVE-2024-42009 0 1 0 1 3273064579887172630 +github:1006766767 2025-09-15 2025-06-29 f https://github.com/pxxdrobits/CVE-2025-49132 Check a list of Pterodactyl panels for vulnerabilities from a file. CVE-2025-49132 0 2 0 2 569475667998778515 +github:296468860 2022-12-03 2024-08-12 f https://github.com/sv3nbeast/CVE-2020-1472 CVE-2020-1472复现时使用的py文件整理打包 CVE-2020-1472 8 10 1 10 3176940363234752558 +github:340848423 2021-10-08 2021-11-01 f https://github.com/ArianeBlow/CVE-2021-27513-CVE-2021-27514 CVE-2021-27513 1 0 1 0 7170236815259141055 +github:1094876763 2025-11-12 2025-12-30 f https://github.com/skynet-f-nvidia/CVE-2025-31133 CVE-2025-31133 PoC CVE-2025-31133 1 2 0 2 2376388152206254246 +github:1045411003 2025-08-27 2026-02-25 f https://github.com/yohannslm/CVE-2025-54939 POC for CVE-2025-54939. ~ forcibly loads 200MiB/s in server's memory CVE-2025-54939 0 1 0 1 7708869856918512077 +github:1114899677 2025-12-12 2025-12-12 f https://github.com/Shadowroot97/React2Shell-CVE-2025-55182 POC React2Shell-CVE-2025-55182 CVE-2025-55182 0 0 0 0 1127209841345833508 +github:182260633 2019-04-19 2019-04-19 f https://github.com/d4rkshell/go-get-rce CVE-2018-6574 CVE-2018-6574 0 0 0 0 5739896596140063622 +github:803451949 2024-05-20 2024-05-20 f https://github.com/agarma/CVE-2020-24913-PoC A Poc for CVE-2020-24913, a SQL injection vulnerability in qcubed (all versions including 3.1.1) in profile.php via the strQuery parameter allows an unauthenticated attacker to access the database by injecting SQL code via a crafted POST request. CVE-2020-24913 0 0 1 0 5731918749097284825 +github:380253996 2023-01-03 2024-09-09 f https://github.com/kahla-sec/CVE-2021-27850_POC A Proof of concept for CVE-2021-27850 affecting Apache Tapestry and leading to unauthencticated remote code execution. CVE-2021-27850 2 5 2 5 1977946618049649231 +github:397817080 2021-08-23 2021-08-26 f https://github.com/security-n/CVE-2021-39379 CVE-2021-39379 0 0 1 0 7752011239833918912 +github:1044227748 2025-11-04 2026-06-28 f https://github.com/Eyodav/CVE-2025-34161 Authenticated low-privileged RCE in Coolify via unsanitized shell commands in the Git Repository field. CVE-2025-34161 1 1 0 1 9083047456671847270 +github:255702097 2022-08-22 2025-09-29 f https://github.com/DanielRuf/snyk-js-jquery-565129 patches for SNYK-JS-JQUERY-565129, SNYK-JS-JQUERY-567880, CVE-2020-1102, CVE-2020-11023, includes the patches for SNYK-JS-JQUERY-174006, CVE-2019-11358, CVE-2019-5428 CVE-2019-11358 10 27 1 27 8313706743933317025 +github:1210431462 2026-06-27 2026-06-27 f https://github.com/Saku0512/CVE-2026-35585-poc CVE-2026-35585 0 0 0 0 2682845705710278152 +github:112913757 2017-12-03 2017-12-03 f https://github.com/chu1337/CVE-2017-1000117 CVE-2017-1000117 0 0 1 0 8560343218853612137 +github:504519500 2022-06-17 2022-06-17 f https://github.com/psw01/CVE-2019-15107_webminRCE unauthorized RcE exploit for webnin < 1.920 CVE-2019-15107 0 0 1 0 1799588933373830348 +github:835173287 2024-07-30 2024-11-16 f https://github.com/charlesgargasson/CVE-2024-32002 GIT RCE CVE-2024-32002 CVE-2024-32002 0 0 1 0 4340655603846019440 +github:981219987 2025-05-10 2025-05-10 f https://github.com/ThHardvester/CVE-2025-24813 Remote Code Execution (RCE) vulnerability in Apache Tomcat. CVE-2025-24813 0 0 1 0 2293408638729825601 +github:319075797 2020-12-06 2022-06-16 f https://github.com/jongmartinez/CVE-2017-5638 PoC for CVE: 2017-5638 - Apache Struts2 S2-045 CVE-2017-5638 0 1 1 1 2756168979232071016 +github:971926750 2025-04-24 2025-07-08 f https://github.com/charis3306/CVE-2023-25157 CVE-2023-25157 exp CVE-2023-25157 0 3 1 3 4556831445514420281 +github:1237076521 2026-05-12 2026-05-13 f https://github.com/rcribelar-nucleus/my-cool-demo-php-code PHP RCE CVE-2024-2961 Nucleus Hackathon Demo CVE-2024-2961 0 0 0 0 1622247947593192686 +github:146091131 2018-08-25 2025-12-05 f https://github.com/moayadalmalat/CVE-2017-12636 CVE-2017-12636 4 3 0 3 6138868277806062035 +github:530196821 2022-08-29 2022-08-29 f https://github.com/Siopy/CVE-2017-8917 CVE-2017-8917 - Joomla 3.7.0 'com_fields' SQL Injection CVE-2017-8917 0 0 1 0 1973798692226543781 +github:1109698083 2025-12-11 2026-07-21 f https://github.com/Rsatan/Next.js-Exploit-Tool Next.js-Exploit-Tool 图形化综合利用工具，基于 Go 开发，一款针对 CVE-2025-55182 的独立安全评估工具。 CVE-2025-55182 12 119 0 119 8274438157543959215 +github:1055054153 2025-09-12 2025-09-12 f https://github.com/Shadow-Spinner/CVE-2022-0847 exploit of CVE-2022-0847 which directly remove password of the root account CVE-2022-0847 1 0 0 0 942772449133478298 +github:943533112 2025-03-07 2025-03-07 f https://github.com/armaansidana2003/CVE-2025-25616 CVE-2025-25616 0 0 1 0 7153039335984687662 +github:439093094 2021-12-16 2021-12-16 f https://github.com/Vulnmachines/log4j-cve-2021-44228 CVE-2021-44228 0 0 1 0 566718320676881804 +github:334617977 2021-02-07 2024-05-09 f https://github.com/MLGRadish/CVE-2021-3345 POC exploit of CVE-2021-3345, a vulnerability in libgcrypt version 1.9.0 CVE-2021-3345 2 9 1 9 3225332341965770493 +github:839988308 2024-08-09 2025-03-18 f https://github.com/i-100-user/CVE-2024-25897 exploit que vulnera Jenkins hecho en Python CVE-2024-25897 0 2 1 2 9079519766507874818 +github:100002532 2017-08-11 2024-08-12 f https://github.com/timwr/CVE-2017-1000117 Proof of concept of CVE-2017-1000117 CVE-2017-1000117 16 7 1 7 6677588410101920852 +github:859400181 2024-09-18 2025-03-11 f https://github.com/fork-bombed/CVE-2022-23131 CVE-2022-23131 Zabbix Server SAML authentication exploit CVE-2022-23131 0 4 1 4 604255652246795328 +github:885336150 2025-04-25 2025-10-29 f https://github.com/Lakshmirnr/CVE-2024-51179 CVE-2024-51179 0 4 1 4 2577963669475617724 +github:948214161 2025-03-13 2025-03-14 f https://github.com/redpack-kr/CVE-2025-26319 CVE-2025-26319 0 0 0 0 8611322039578730320 +github:1017752937 2025-07-18 2025-07-11 f https://github.com/cuijiung/xstream-CVE-2020-26259 CVE-2020-26259 0 0 0 0 6263737171083873347 +github:395458878 2021-08-15 2023-11-13 f https://github.com/HuskyHacks/CVE-2021-38699-Stored-XSS Stored XSS in TastyIgniter v3.0.7 Restaurtant CMS CVE-2021-38699 0 3 1 3 5587886018301069456 +github:537018809 2022-09-15 2022-09-15 f https://github.com/mightysai1997/CVE-2021-41773.git1 CVE-2021-41773 0 0 1 0 9028904840699834241 +github:1310714609 2026-07-24 2026-07-24 f https://github.com/razureink/cve-2024-23897-jenkins_lfi_reproduction Reproduction of cve-2024-23897-jenkins_lfi_reproduction CVE-2024-23897 0 0 0 0 1036386084793730285 +github:613387933 2023-03-14 2023-07-07 f https://github.com/lemmyz4n3771/CVE-2022-22963-PoC CVE-2022-22963 RCE PoC in python CVE-2022-22963 0 4 1 4 8360213821709246330 +github:560108403 2022-11-01 2026-04-23 f https://github.com/eatscrayon/CVE-2022-3602-poc CVE-2022-3602 3 13 1 13 530531350296388616 +github:840181130 2024-08-09 2024-10-21 f https://github.com/jdpsl/CVE-2024-6782 Improper access control in Calibre 6.9.0 ~ 7.14.0 allow unauthenticated attackers to achieve remote code execution. CVE-2024-6782 0 0 1 0 4198761645867575427 +github:1114293013 2025-12-11 2026-05-27 f https://github.com/LC-pro/CVE-2025-55182-EXP CVE-2025-55182 0 2 0 2 3848513935669458794 +github:901021337 2025-06-11 2025-06-11 f https://github.com/MAWK0235/CVE-2024-23346 This is an exploit for CVE-2024-23346 that acts as a "terminal" (tested on chemistry.htb) CVE-2024-23346 1 0 1 0 4577501764208381916 +github:255439864 2020-04-13 2024-08-12 f https://github.com/chaizeg/CSRF-breach Reproduction of CSRF breach CVE-2019-1010054 CVE-2019-1010054 1 1 1 1 6454228781151606425 +github:802464979 2024-05-25 2024-05-25 f https://github.com/jakob-pennington/cve-2024-32002-submodule-rce CVE-2024-32002 1 0 1 0 1094203823221770195 +github:327320676 2021-01-06 2021-01-06 f https://github.com/shanika04/apache_kylin CVE-2020-1937 CVE-2020-1937 0 0 1 0 954918237206617495 +github:378117229 2021-06-18 2023-08-20 f https://github.com/HoangKien1020/CVE-2020-25627 Stored XSS via moodlenetprofile parameter in user profile CVE-2020-25627 0 3 1 3 1536709301984300893 +github:483607069 2022-04-24 2025-11-15 f https://github.com/jfrog/jfrog-CVE-2022-21449 CVE-2022-21449 12 37 3 37 7208276926953630661 +github:1110611089 2025-12-05 2025-12-05 f https://github.com/Arthurabriel/POC-CVE-2025-24813 CVE-2025-24813 0 0 0 0 113088807721128794 +github:956502693 2025-04-12 2026-07-22 f https://github.com/AnonKryptiQuz/NextSploit NextSploit is a command-line tool designed to detect and exploit CVE-2025-29927, a security flaw in Next.js CVE-2025-29927 18 92 1 92 1908092762161353213 +github:1294881298 2026-07-09 2026-07-09 f https://github.com/oscerd/CVE-2026-40473 Reproducer for CVE-2026-40473: Apache Camel camel-mina MinaConverter.toObjectInput unsafe deserialization (RCE over TCP/UDP) CVE-2026-40473 0 0 0 0 3818541505929849196 +github:1039096611 2025-08-16 2025-08-16 f https://github.com/shoucheng3/alibaba__one-java-agent_CVE-2022-25842_0-0-1 CVE-2022-25842 0 0 0 0 2916841670757287338 +github:1258847467 2026-06-04 2026-06-04 f https://github.com/HORKimhab/CVE-2026-23631 CVE-2026-23631-Draft CVE-2026-23631 0 0 0 0 2134898312286644588 +github:1249383915 2026-05-25 2026-06-05 f https://github.com/josephfelix/CVE-2026-42945-nginx-rift Repository for studying the CVE-2026-42945 vulnerability in nginx < 1.30 CVE-2026-42945 0 1 0 1 7759199553803975075 +github:243353551 2020-09-11 2024-08-12 f https://github.com/bsides-rijeka/meetup-2-curveball Materials for the second Rijeka secuity meetup. We will be discussing Microsoft cryptoapi vulnerability dubbed CurveBall (CVE-2020-0601) CVE-2020-0601 1 0 1 0 3905989953271381347 +github:442466781 2021-12-28 2021-12-28 f https://github.com/badboycxcc/CVE-2021-45232-POC CVE-2021-45232 0 0 1 0 4410650139771554101 +github:334565393 2021-01-31 2026-05-13 f https://github.com/teamtopkarl/CVE-2021-3156 CVE-2021-3156 7 7 1 7 245733776391844192 +github:1053283088 2025-09-09 2025-09-09 f https://github.com/prabhatverma47/CVE-2025-58180 In OctoPrint version <=1.11.2, an attacker with file upload access (e.g., valid API key or session) can craft a malicious filename that bypasses sanitization and is later executed by OctoPrint’s event system, leading to remote code execution (RCE) on the host CVE-2025-58180 0 0 0 0 7131189846467420593 +github:50437751 2016-01-26 2025-03-14 f https://github.com/forced-request/rails-rce-cve-2016-0752 CVE-2016-0752 0 10 1 10 6902996801632680386 +github:188168912 2019-05-23 2024-08-12 f https://github.com/cyy95/CVE-2019-0232-EXP CVE-2019-0232 3 3 1 3 4863914601727975967 +github:953177859 2025-03-23 2025-10-04 f https://github.com/Ademking/CVE-2025-29927 Next.js Middleware Authorization Bypass CVE-2025-29927 1 4 1 4 6056013555199959675 +github:1131880981 2026-01-10 2026-01-10 f https://github.com/comerc/CVE-2025-68664 CVE-2025-68664 0 0 0 0 3495458005693714080 +github:1033039208 2025-09-23 2025-09-23 f https://github.com/salo-404/firewall 🔒 Spring4Shell Firewall Defense — Cybersecurity Incident Simulation This project is part of a Cybersecurity Job Simulation I completed in August 2025 through Forage. It focuses on detecting, analyzing, and mitigating a simulated real-world cyberattack involving the Spring4Shell (CVE-2022-22965) vulnerability CVE-2022-22965 0 1 0 1 6011858083884728500 +github:875437112 2024-10-20 2025-05-12 f https://github.com/z3k0sec/File-Read-CVE-2024-9264 File Read Proof of Concept for CVE-2024-9264 CVE-2024-9264 3 7 1 7 973040035744009990 +github:1013786973 2025-07-14 2026-06-08 f https://github.com/zinzloun/CVE-2025-32463 # CVE-2025-32463 – Sudo EoP Exploit (PoC) with precompiled .so CVE-2025-32463 7 15 0 15 1149303831253432594 +github:311473237 2024-06-01 2026-06-27 f https://github.com/MuirlandOracle/CVE-2019-15107 CVE-2019-15107 9 56 1 56 3595892350108445431 +github:1205173859 2026-04-08 2026-05-16 f https://github.com/V0idW1re/HTB-Pterodactyl-Writeup HackTheBox — Pterodactyl (Medium/Linux) walkthrough. CVE-2025-49132 LFI → pearcmd RCE → bcrypt crack → SSH. Privesc via CVE-2025-6018 (PAM pam_environment bypass) + CVE-2025-6019 (udisks2 XFS resize race condition, nosuid bypass) → root. Full notes and steps included. CVE-2025-49132 0 0 0 0 1868384756978454329 +github:424626163 2021-11-04 2022-03-01 f https://github.com/ph-arm/CVE-2021-22204-Gitlab Modification of gitlab exploit anything under 13.10 CVE-2021-22204 0 2 1 2 5488248192961582698 +github:437141974 2021-12-14 2026-07-11 f https://github.com/Adikso/minecraft-log4j-honeypot Minecraft Honeypot for Log4j exploit. CVE-2021-44228 Log4Shell LogJam CVE-2021-44228 20 106 2 106 4732116586981260622 +github:1124927920 2025-12-29 2026-01-01 f https://github.com/joshuavanderpoll/CVE-2025-14847 CVE-2025-14847 (MongoBleed) CVE-2025-14847 0 3 0 3 4880423660747211641 +github:822903933 2024-07-02 2026-03-09 f https://github.com/thegenetic/CVE-2024-6387-exploit CVE-2024-6387 exploit CVE-2024-6387 4 14 1 14 2792458683452222373 +github:1208812451 2026-04-12 2026-04-13 f https://github.com/0dgt/CVE-2025-8110 RCE exploit for Gogs <= 0.13.3 CVE-2025-8110 0 1 0 1 5549673443619178082 +github:132660819 2019-10-18 2021-11-30 f https://github.com/aquasecurity/scan-cve-2018-8115 CVE-2018-8115 3 7 5 7 8275257454792640949 +github:116118639 2018-01-03 2018-01-03 f https://github.com/Xiami2012/CVE-2017-16997-poc A proof-of-concept for CVE-2017-16997 CVE-2017-16997 0 0 1 0 3033162660696690624 +github:263365252 2020-05-12 2020-05-12 f https://github.com/ejlevin99/Sudo-Security-Bypass-Vulnerability This is a brief exploitation of CVE-2019-14287 Sudo Security Bypass Vulnerability. CVE-2019-14287 0 0 1 0 3049133444407410328 +github:959276959 2025-04-07 2025-04-07 f https://github.com/murataydemir/AWS-SAM-CLI-Vulnerabilities Issue with AWS SAM CLI (CVE-2025-3047, CVE-2025-3048) CVE-2025-3047 0 0 1 0 353914839275482476 +github:1109881195 2025-12-04 2026-01-24 f https://github.com/zr0n/CVE-2025-48384-sub CVE-2025-48384 0 1 0 1 6049590619905386613 +github:322948567 2020-12-19 2020-12-19 f https://github.com/madstap/bouncy-castle-generative-test-poc A generative test that would've caught CVE-2020-28052 CVE-2020-28052 0 0 1 0 6670674704528646578 +github:413916846 2021-11-24 2026-05-02 f https://github.com/iilegacyyii/PoC-CVE-2021-41773 CVE-2021-41773 38 52 1 52 500397203011257677 +github:1225460078 2026-04-30 2026-04-30 f https://github.com/vesjolyjd/Kaspersky_CVE-2024-3094 CVE-2024-3094 0 0 0 0 8475361698517728110 +github:832083285 2024-07-22 2024-07-22 f https://github.com/KKkai0315/CVE-2018-17456 a test repository for CVE-2018-17456's PoC CVE-2018-17456 0 0 1 0 2682985990265917803 +github:331862557 2021-01-22 2024-08-12 f https://github.com/Al1ex/CVE-2020-13937 Apache Kylin API Unauthorized Access CVE-2020-13937 2 5 1 5 5319834250548152165 +github:501852714 2022-06-10 2024-02-01 f https://github.com/gassara-kys/CVE-2021-40438 check CVE-2021-40438 CVE-2021-40438 1 1 1 1 9073937254201842542 +github:1040240775 2025-08-18 2025-08-18 f https://github.com/CyberQuestor-infosec/CVE-2025-49113-Roundcube_1.6.10 CVE-2025-49113 0 0 0 0 1894916061820325719 +github:1116107099 2025-12-14 2025-12-25 f https://github.com/BimBoxH4/CVE-2025-66039_CVE-2025-61675_CVE-2025-61678_reePBX This vulnerability allows both authenticated and unauthenticated remote attackers to execute remote code on vulnerable FreePBX instances. These issues have been fixed in FreePBX versions 16.0.42, 16.0.92, 17.0.6, and 17.0.22. It's important to note that this authentication bypass vulnerability is not present in the default FreePBX configuration. CVE-2025-66039 0 1 1 1 4540333589424702381 +github:1263630897 2026-06-09 2026-06-09 f https://github.com/az9713/cve-lite-on-pi Running OWASP cve-lite-cli against the pi monorepo: scan journey and key finding (vitest CVE-2026-47429). CVE-2026-47429 0 0 0 0 546788933856097562 +github:1257543572 2026-06-02 2026-06-02 f https://github.com/Okymi-X/CVE-2021-43798 CVE-2021-43798 0 0 0 0 8323509798282222772 +github:661434094 2023-07-24 2025-04-07 f https://github.com/Ap0dexMe0/CVE-2023-32315 Perform With Massive Openfire Unauthenticated Users CVE-2023-32315 4 6 1 6 7819982154281231013 +github:1122840832 2026-02-14 2026-05-17 f https://github.com/JohannesLks/CVE-2025-68613-Python-Exploit Python Exploit for CVE-2025-68613. CVE-2025-68613 0 1 0 1 6512317574314500739 +github:1098394847 2025-11-17 2025-11-17 f https://github.com/letsr00t/CVE-2019-13272 CVE-2019-13272 0 0 0 0 2515235074935366499 +github:752803918 2024-02-05 2026-05-26 f https://github.com/kaanatmacaa/CVE-2024-23897 Nuclei template for CVE-2024-23897 (Jenkins LFI Vulnerability) CVE-2024-23897 6 22 1 22 8784914886274932921 +github:1224032434 2026-05-09 2026-05-11 f https://github.com/0xDaeras/CVE-2024-51482-POC Time-based SQL injection PoC for CVE-2024-51482 in ZoneMinder, with reproducible Docker lab and automated data extraction. CVE-2024-51482 0 7 0 7 1432859358617949314 +github:1276093253 2026-06-21 2026-06-21 f https://github.com/Fomovet/cve-2026-24688 POC for CVE-2026-24688 CVE-2026-24688 0 0 0 0 8013721940804035612 +github:1115571796 2025-12-13 2025-12-13 f https://github.com/ZakyHermawan/Simple-Sweet32 Simplified Version of Cryptography Attack based on Birthday Paradox: Sweet32 (CVE-2016-2183) CVE-2016-2183 0 0 0 0 5930609444833744678 +github:1122250101 2025-12-24 2025-12-24 f https://github.com/1lkla/POC-exploit-for-Dolibarr POC exploit for Dolibarr <= 17.0.0 (CVE-2023-30253) CVE-2023-30253 0 0 0 0 3847323526646927498 +github:694411040 2023-09-21 2023-09-21 f https://github.com/MateusTesser/CVE-2023-31719 CVE-2023-31719 0 0 1 0 2262206235372742786 +github:154621353 2018-11-28 2023-09-06 f https://github.com/ensimag-security/CVE-2018-10933 CVE-2018-10933 0 0 1 0 3652818155814368827 +github:441255469 2021-12-23 2021-12-23 f https://github.com/dileepdkumar/https-github.com-pravin-pp-log4j2-CVE-2021-45105-1 CVE-2021-45105 0 0 1 0 5468378226167508943 +github:478183839 2022-04-05 2024-03-19 f https://github.com/0xr1l3s/CVE-2022-22965 Spring4Shell is a critical RCE vulnerability in the Java Spring Framework and is one of three related vulnerabilities published on March 30 CVE-2022-22965 0 0 1 0 6877955024180122361 +github:845711489 2024-08-21 2024-08-21 f https://github.com/mqxmm/CVE-2023-43494 Jenkins 2.50 through 2.423 (both inclusive), LTS 2.60.1 through 2.414.1 (both inclusive) File Read CVE-2023-43494 0 0 1 0 5028039723701721449 +github:420164946 2022-11-02 2022-04-18 f https://github.com/pizza-power/motioneye-authenticated-RCE A Python 3 script that uploads a tasks.pickle file that enables RCE in MotionEye. CVE-2021-44255 CVE-2021-44255 2 1 1 1 2546363170301952755 +github:1014791291 2025-07-12 2025-11-17 f https://github.com/kazuya256/next-js-auth-bypass 🔓 Next.js Auth Bypass Demo - Educational application demonstrating CVE-2025-29927 middleware authentication bypass vulnerability . ⚠️ For educational use only.[Made using Ai] CVE-2025-29927 0 1 0 1 6952733694190799135 +github:58022817 2016-05-04 2016-05-04 f https://github.com/jackdpeterson/imagick_secure_puppet a puppet module in response to CVE-2016-3714 CVE-2016-3714 0 0 0 0 6640970504088724336 +github:245932147 2022-11-07 2023-06-21 f https://github.com/dukptkey/CVE-2019-18634 exploit for sudo CVE-2019-18634 CVE-2019-18634 0 1 1 1 4876394582486477756 +github:783337932 2024-04-07 2024-04-28 f https://github.com/BassoNicolas/CVE-2021-42013 CVE-2021-42013 Vulnerability Scanner This Python script checks for the Remote Code Execution (RCE) vulnerability (CVE-2021-42013) in Apache 2.4.50. CVE-2021-42013 0 3 2 3 125153924910282563 +github:785244056 2024-09-08 2025-10-01 f https://github.com/FreySolarEye/Exploit-CVE-2024-31777 Public exploit for CVE-2024-31777 CVE-2024-31777 1 1 1 1 4540493673321926790 +github:822856797 2024-07-02 2026-07-18 f https://github.com/P4x1s/CVE-2024-6387 SSH RCE PoC CVE-2024-6387 CVE-2024-6387 10 10 2 10 1706973413901370920 +github:360400196 2021-04-22 2024-10-13 f https://github.com/X0UCYB3R/Check-WP-CVE-2020-35489 CVE-2020-35489 1 2 1 2 2325292775401759494 +github:476626448 2022-04-01 2026-05-27 f https://github.com/tangxiaofeng7/CVE-2022-22965-Spring-Core-Rce 批量无损检测CVE-2022-22965 CVE-2022-22965 14 39 1 39 3076561070635814327 +github:1002210563 2025-06-15 2025-06-15 f https://github.com/Exerrdev/CVE-2024-9264-Fixed CVE-2024-9264 0 0 0 0 5542478282706221608 +github:1162802650 2026-02-20 2026-02-20 f https://github.com/vpr-labs/CVE-2025-32463 C reimplementation of chwoot PoC CVE-2025-32463 0 0 0 0 8564558334120702137 +github:1025727126 2025-07-24 2025-07-28 f https://github.com/abrewer251/CVE-2025-1302_jsonpath-plus_RCE PoC exploit and vulnerable server demo for CVE-2025-1302 in jsonpath-plus. CVE-2025-1302 0 1 0 1 882350743978877105 +github:1091019247 2025-11-06 2026-01-06 f https://github.com/sahar042/CVE-2025-31133 CVE-2025-31133 0 2 0 2 8053736542469492305 +github:1255970516 2026-06-04 2026-06-04 f https://github.com/lucastran05/CVE-2026-29000 CVE-2026-29000 0 0 0 0 3011915581492538348 +github:315874415 2020-11-25 2020-12-05 f https://github.com/aslanemre/cve-2020-29070 CVE-2020-29070 write-up. CVE-2020-29070 0 2 1 2 5919805092283787415 +github:408041781 2021-07-26 2021-10-27 f https://github.com/SecurityAnalysts/CVE-2021-37152 Exploit Accsess network clients by sending packets in wirless TP-LINK and preparing for a mitm attack CVE-2021-37152 0 0 0 0 2246163722052418376 +github:1279660146 2026-06-25 2026-06-25 f https://github.com/test-avm-714877d2df585126/C-test-2 Dependabot security automerge test - ejs CVE-2022-29078 CVE-2022-29078 0 0 0 0 9066926816293700387 +github:618799139 2023-03-22 2023-03-24 f https://github.com/nimphtix/CVE-2022-24715 Authenticated Remote Code Execution in Icinga Web 2 <2.8.6, <2.9.6, <2.10 CVE-2022-24715 2 0 0 0 7479853086322189618 +github:365685785 2021-06-06 2024-05-07 f https://github.com/s-index/CVE-2020-13957 Apache Solr RCE CVE-2020-13957 CVE-2020-13957 1 1 1 1 8715823352079438281 +github:1060604602 2025-09-22 2025-09-22 f https://github.com/sdrtba/CVE-2025-29927 CVE-2025-29927 0 0 0 0 4419705134013972636 +github:1099937214 2025-11-19 2025-11-21 f https://github.com/drackyjr/CVE-2021-42013 A comprehensive Python-based vulnerability scanner for detecting CVE-2021-41773 and CVE-2021-42013 path traversal and remote code execution vulnerabilities in Apache HTTP Server versions 2.4.49 and 2.4.50. CVE-2021-42013 0 1 0 1 1917470559430868889 +github:680483538 2023-08-19 2026-04-14 f https://github.com/kh4sh3i/CVE-2023-38646 Metabase Pre-auth RCE (CVE-2023-38646) CVE-2023-38646 0 9 1 9 138598849002679328 +github:884449297 2024-11-07 2024-11-07 f https://github.com/pedrochalegre7/CVE-2024-4367-pdf-sample CVE-2024-4367 0 0 1 0 4829309674507808328 +github:764046735 2024-02-27 2026-04-25 f https://github.com/gbrsh/CVE-2024-1071 Ultimate Member Unauthorized Database Access / SQLi CVE-2024-1071 1 8 1 8 8937744939967866727 +github:1118846000 2025-12-18 2025-12-18 f https://github.com/secdongle/POC_CVE-2025-14700 Proof of Concept for Authenticated RCE in Crafty Controller CVE-2025-14700 0 0 0 0 2854267161515942906 +github:1112754895 2026-01-15 2026-01-15 f https://github.com/garux-sec/PoC-react2shell-CVE-2025-55182 PoC-react2shell-CVE-2025-55182 CVE-2025-55182 0 0 0 0 2518133523156934334 +github:822991113 2024-07-02 2024-07-02 f https://github.com/shamo0/CVE-2024-6387_PoC Script for checking CVE-2024-6387 (regreSSHion) CVE-2024-6387 1 1 1 1 8358968465924084848 +github:825339278 2024-07-07 2024-07-07 f https://github.com/iNoSec2/cve-2018-6574 pentesterlab CVE-2018-6574 0 0 1 0 1967244987780150243 +github:1283389959 2026-06-28 2026-07-28 f https://github.com/BridgerAlderson/CVE-2026-24418 OpenSTAManager v2.9.8 and earlier contain a critical Error-Based SQL Injection vulnerability in the bulk operations handler for the Scadenzario (Payment Schedule) module. CVE-2026-24418 0 2 0 2 4739814719621932374 +github:594377929 2023-01-28 2023-01-29 f https://github.com/mauricelambert/LabAutomationCVE-2021-43798 This script implements a lab automation where I exploit CVE-2021-43798 to steal user secrets and then gain privileges on a Linux system. CVE-2021-43798 0 0 1 0 7908259671033866872 +github:1170171529 2026-03-05 2026-03-05 f https://github.com/0xBlackash/CVE-2022-22965 CVE-2022-22965 CVE-2022-22965 1 0 0 0 6959057380113342731 +github:1201142540 2026-04-04 2026-04-04 f https://github.com/shahin-shadow/nextjs-auth-bypass Analysis and exploitation of a Next.js authorization bypass vulnerability (CVE-2025-29927) CVE-2025-29927 0 0 0 0 4206142730118686555 +github:1057815893 2025-09-16 2025-09-16 f https://github.com/shoucheng3/asf__tapestry-5_CVE-2019-0207_5_4_5_fixed CVE-2019-0207 0 0 0 0 5195302620550710356 +github:784438166 2024-04-10 2025-12-01 f https://github.com/frostb1ten/CVE-2024-24576-PoC Example of CVE-2024-24576 use case. CVE-2024-24576 10 59 1 59 3448849975690110350 +github:1016970225 2025-07-09 2025-07-09 f https://github.com/rpgsec/Roundcube-CVE-2024-42008-POC CVE-2024-42008 1 0 0 0 3970053736022533516 +github:830747658 2024-07-18 2024-07-18 f https://github.com/RyanBoomer30/CVE-2021-21239-Exploit Report documentation of this script is below CVE-2021-21239 0 0 1 0 4954334285209180711 +github:1014206773 2025-07-08 2025-11-30 f https://github.com/SpongeBob-369/cve-2025-32462 cve-2025-32462' demo CVE-2025-32462 0 3 0 3 4898760897394222256 +github:1286478238 2026-07-01 2026-07-01 f https://github.com/Its1Zero/cve-2025-57819-exploit CVE-2025-57819 0 0 0 0 211826093511044812 +github:438375603 2021-12-14 2025-11-17 f https://github.com/mufeedvh/log4jail A firewall reverse proxy for preventing Log4J (Log4Shell aka CVE-2021-44228) attacks. CVE-2021-44228 4 23 2 23 3955172577589113476 +github:1067105037 2025-10-14 2025-10-14 f https://github.com/rxerium/CVE-2025-41244 Detection for CVE-2025-41244 CVE-2025-41244 0 1 0 1 8966621814240108967 +github:1208200187 2026-04-12 2026-07-26 f https://github.com/AzureADTrent/CVE-2025-58434-59528 CVE-2025-58434 and CVE-2025-59528 chain POC CVE-2025-58434 0 4 0 4 8072848518428096406 +github:154035813 2018-10-23 2018-10-23 f https://github.com/shpik-kr/CVE-2018-17456 1-day CVE-2018-17456 1 0 1 0 6665359191261013162 +github:1199485987 2026-04-02 2026-04-02 f https://github.com/metasploit403/cve-2025-29927-lab Deliberately vulnerable Next.js application demonstrating CVE-2025-29927 (middleware-based auth bypass) for learning and bug bounty practice. CVE-2025-29927 0 0 0 0 2176128355316258446 +github:969256192 2025-04-21 2025-04-21 f https://github.com/meloppeitreet/CVE-2025-32433-Remote-Shell Go-based exploit for CVE-2025-32433 CVE-2025-32433 0 0 1 0 1093877821624531106 +github:801924792 2024-05-20 2024-05-20 f https://github.com/wan9xx/CVE-2022-22978-demo CVE-2022-22978漏洞实例代码 CVE-2022-22978 0 0 1 0 2378700716127787777 +github:1040893565 2025-08-19 2025-10-05 f https://github.com/shoucheng3/hapifhir__org_hl7_fhir_core_CVE-2023-24057_5-6-911 CVE-2023-24057 0 0 0 0 8806891214869672818 +github:182537771 2019-04-21 2019-10-19 f https://github.com/x7iaob/cve-2017-17485 cve-2017-17485 PoC CVE-2017-17485 0 0 0 0 3071698712308707519 +github:1192591049 2026-06-09 2026-06-09 f https://github.com/PierreAdams/CVE-2020-10567 RCE RESPONSIVE filemanager v.9.14.0 CVE-2020-10567 0 4 0 4 2568571962014555887 +github:953455436 2025-03-23 2026-07-26 f https://github.com/aydinnyunus/CVE-2025-29927 CVE-2025-29927 Proof of Concept CVE-2025-29927 28 100 1 100 3010229522411565659 +github:1209124799 2026-04-13 2026-04-13 f https://github.com/AbdullahMaqbool22/Explosive-As-Hell-MCS-Qualifer-Web-500 [First-Blood-XO] React Server Component endpoint vulnerable to CVE-2025-55182 (RCE) → enumerated SUID binaries → /usr/bin/perl had SUID set → used Perl's POSIX setuid(0) to escalate to root → read /root/flag.txt CVE-2025-55182 0 0 0 0 4533073046389196155 +github:340726659 2021-02-20 2023-02-16 f https://github.com/Nicoslo/Windows-exploitation-Apache-Tomcat-8.5.19-CVE-2019-0232- CVE-2019-0232 0 1 1 1 7160183256931906736 +github:293369835 2020-09-08 2025-01-24 f https://github.com/lukaszstu/pritunl-CVE-2020-25200 pritunl-CVE-2020-25200 CVE-2020-25200 1 4 1 4 25240870642265779 +github:467021913 2022-03-08 2024-08-12 f https://github.com/YutuSec/SpEL Spring Cloud Gateway Actuator API SpEL表达式注入命令执行（CVE-2022-22947）批量检测工具 CVE-2022-22947 4 6 1 6 7968731395611788369 +github:1134065953 2026-03-04 2026-03-04 f https://github.com/Shakur1314/CVE-2022-22965-Spring4Shell-Security-Operations-Analysis A comprehensive Security Operations Centre (SOC) incident response simulation demonstrating threat detection, triage, analysis, and mitigation of the Spring4Shell vulnerability (CVE-2022-22965). CVE-2022-22965 0 0 0 0 5990529491256562017 +github:781477807 2024-04-03 2024-04-16 f https://github.com/Bella-Bc/xz-backdoor-CVE-2024-3094-Check Verify if your installed version of xz-utils is vulnerable to CVE-2024-3094 backdoor CVE-2024-3094 0 2 1 2 4232317252048668644 +github:361589905 2021-04-26 2022-04-09 f https://github.com/Mesh3l911/CVE-2021-32162 Exploiting a Cross-site request forgery (CSRF) attack to get a Command Injection through the Webmin's File Manager feature CVE-2021-32162 1 1 1 1 6902152479533750494 +github:467200755 2022-03-07 2024-02-01 f https://github.com/xndpxs/CVE-2022-0847 Vulnerability in the Linux kernel since 5.8 CVE-2022-0847 7 9 1 9 8198202004910944691 +github:896657083 2024-12-01 2026-07-08 f https://github.com/aramosf/cve-2024-42327 cve-2024-42327 ZBX-25623 CVE-2024-42327 12 37 1 37 7905902488656128414 +github:1015218162 2025-07-07 2025-07-07 f https://github.com/GongWook/CVE-2025-24813 POC CVE-2025-24813 0 0 0 0 1095109160778465475 +github:863082077 2024-09-25 2024-09-25 f https://github.com/D4rkScare/CVE-2019-15107 CVE-2019-15107 webmin 취약점에 대해서 직접 서버를 구축하고 공격 결과를 남긴 정보입니다. CVE-2019-15107 0 0 1 0 8437150498908654524 +github:1042251915 2025-08-21 2025-08-23 f https://github.com/Eternalvalhalla/CVE-2025-55287-POC Authenticated stored XSS priv esc PoC. Affects Genealogy versions prior to 4.4.0 CVE-2025-55287 0 1 0 1 7392469789701825574 +github:54231678 2016-03-21 2016-03-18 f https://github.com/dachidahu/CVE-2016-0752 CVE-2016-0752 0 0 1 0 4633604405481460288 +github:1105604184 2025-11-27 2025-11-27 f https://github.com/0xf3d0rq/CVE-2021-43798 CVE-2021-43798 is a high-severity path traversal vulnerability (CVSS 3.1 score: 7.5) affecting Grafana versions 8.0.0-beta1 through 8.3.0. It allows unauthenticated attackers to read arbitrary files from the server by exploiting improper sanitization in the /public/plugins/:pluginId endpoint CVE-2021-43798 0 0 0 0 8671865068073764274 +github:992833788 2025-06-02 2025-09-28 f https://github.com/spbavarva/CVE-2025-46204 PoC of CVE-2025-46204 CVE-2025-46204 0 1 0 1 4545531231216583033 +github:58151390 2016-05-29 2025-03-10 f https://github.com/jpeanut/ImageTragick-CVE-2016-3714-RShell CVE-2016-3714 13 18 4 18 1930658807821470804 +github:193022908 2019-06-22 2023-06-26 f https://github.com/AnonymKing/CVE-2018-17456 CVE-2018-17456漏洞复现（PoC+Exp） CVE-2018-17456 0 5 0 5 5853078778896255239 +github:786147293 2024-04-13 2024-04-13 f https://github.com/mbadanoiu/CVE-2020-12625 CVE-2020-12625: Cross-Site Scripting via Malicious HTML Attachment in Roundcube Webmail CVE-2020-12625 0 0 1 0 4127717333519669531 +github:697409473 2023-10-02 2026-07-11 f https://github.com/s3cb0y/CVE-2023-43770-POC A Proof-Of-Concept for the CVE-2023-43770 vulnerability. CVE-2023-43770 11 35 3 35 1824658033731808888 +github:1282988237 2026-06-28 2026-06-28 f https://github.com/timgad794/DevHub-HTB-Walkthrough Hack The Box - DevHub Machine Walkthrough (Medium Linux, CVE-2026-23744, Chisel Tunneling, Jupyter, Root Privilege Escalation) CVE-2026-23744 0 0 0 0 917783968969919163 +github:630920117 2023-04-21 2023-04-21 f https://github.com/Anonimo501/ssh_enum_users_CVE-2018-15473 CVE-2018-15473 0 0 1 0 8100354206969085901 +github:953345657 2025-03-23 2025-12-23 f https://github.com/TheN00bBuilder/cve-2022-23134-poc-and-writeup Writeup and POC for CVE-2022-23134 CVE-2022-23134 0 1 1 1 443599075878343141 +github:703424578 2023-10-11 2026-04-02 f https://github.com/UTsweetyfish/CVE-2023-38545 Simple PoC causing overflow CVE-2023-38545 4 20 1 20 5570284638464662150 +github:1297403129 2026-07-11 2026-07-11 f https://github.com/ozcanpng/CVE-2026-23744 CVE-2026-23744 MCPJam Inspector unauthenticated RCE PoC CVE-2026-23744 0 0 0 0 6190330811973159869 +github:1245274124 2026-05-21 2026-05-21 f https://github.com/lysophavin18/cve-2026-9082 cve poc CVE-2026-9082 0 0 0 0 6145397204634865423 +github:269508362 2020-06-05 2023-08-11 f https://github.com/Blyth0He/CVE-2020-8840 jackson jndi injection CVE-2020-8840 0 1 1 1 1322089204737084562 +github:1040193495 2025-08-18 2025-10-05 f https://github.com/shoucheng3/aws__aws-sdk-java_CVE-2022-31159_1-12-2600 CVE-2022-31159 0 0 0 0 7241527195011095826 +github:1046484945 2025-09-23 2025-09-23 f https://github.com/butyraldehyde/CVE-2025-48384-PoC Built to call on CVE-2025-48384-PoC-Part2 for RCE CVE-2025-48384 0 0 0 0 6065242449683414341 +github:100445561 2017-08-16 2017-08-16 f https://github.com/rootclay/CVE-2017-1000117 CVE-2017-1000117 CVE-2017-1000117 2 0 0 0 2127091979080750029 +github:436588547 2021-12-09 2023-03-10 f https://github.com/shamo0/CVE-2021-27928-POC CVE-2021-27928-POC CVE-2021-27928 2 1 1 1 1582827836346543327 +github:605704470 2023-02-23 2025-10-16 f https://github.com/gbrsh/CVE-2023-22974 OpenEMR < 7.0.0 Arbitrary File Read CVE-2023-22974 0 10 1 10 9204710350207760152 +github:1111231786 2025-12-06 2026-07-23 f https://github.com/zack0x01/CVE-2025-55182-advanced-scanner- CVE-2025-55182 48 279 0 279 4087942588336746313 +github:331904602 2021-01-22 2024-08-12 f https://github.com/Al1ex/CVE-2020-26217 CVE-2020-26217 && XStream RCE CVE-2020-26217 3 3 1 3 3428186804687160214 +github:440788757 2021-12-22 2022-10-29 f https://github.com/ossie-git/log4shell_sentinel A Smart Log4Shell/Log4j/CVE-2021-44228 Scanner CVE-2021-44228 1 14 1 14 1556768065070265639 +github:1237509422 2026-05-13 2026-05-13 f https://github.com/Bencodin/CVE-2026-23918-poc CVE-2026-23918 0 0 0 0 3754791991200011733 +github:73386147 2016-11-10 2024-08-12 f https://github.com/rustyJ4ck/JoomlaCVE20168869 Exploit for Joomla 3.4.4 - 3.6.4 (CVE-2016-8869 and CVE-2016-8870) CVE-2016-8869 8 7 1 7 2987076963636631330 +github:536963955 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37208 CVE-2022-37208 CVE-2022-37208 0 0 1 0 8754285893662122613 +github:848156045 2024-12-02 2025-08-06 f https://github.com/oditynet/sleepall trojan CVE-2024-28085 CVE 28085 CVE-2024-28085 0 2 1 2 4960442063276667238 +github:957405701 2025-04-12 2025-12-25 f https://github.com/manjula-aw/CVE-2025-24813 This repository contains a shell script based POC on Apache Tomcat CVE-2025-24813. It allow you to easily test the vulnerability on any version of Apache Tomcat CVE-2025-24813 0 1 1 1 4437107792939019732 +github:232528693 2020-01-08 2021-10-21 f https://github.com/geropl/CVE-2019-5736 CVE-2019-5736 0 0 1 0 8953171836686363251 +github:1133973939 2026-01-14 2026-01-14 f https://github.com/arbaaz29/CVE-2022-3294 Privilege Escalation using nodes/proxy (create action allowed) and nodes/status (update/patch actions allowed) CVE-2022-3294 0 0 0 0 5127064857274933675 +github:114703214 2017-12-18 2024-03-05 f https://github.com/Nazicc/S2-055 CVE-2017-7525 S2-055 Exploit CVE-2017-7525 24 0 1 0 615121403931649731 +github:395445004 2021-08-17 2023-11-13 f https://github.com/HuskyHacks/CVE-2021-38699-Reflected-XSS Multiple Reflected XSS in TastyIgniter v3.0.7 Restaurtant CMS CVE-2021-38699 0 5 1 5 807291711052135897 +github:659342741 2023-06-27 2023-07-07 f https://github.com/Lserein/CVE-2023-35843 NocoDB任意文件读取CVE-2023-35843 CVE-2023-35843 1 2 1 2 5000865567263093428 +github:1000523872 2025-06-12 2026-02-20 f https://github.com/CyberQuestor-infosec/CVE-2021-41773-Apache_2.4.49-Path-traversal-to-RCE CVE-2021-41773 0 2 0 2 2759885740751397367 +github:1279602133 2026-06-24 2026-06-24 f https://github.com/Christbowel/CVE-2026-56111 Proof of concept for CVE-2026-56111, an out-of-bounds write in the M421 G-code handler of Marlin Firmware CVE-2026-56111 0 1 0 1 7173801184149284292 +github:1206632857 2026-04-10 2026-04-10 f https://github.com/joaovicdev/EXPLOIT-CVE-2021-44228 PoC of CVE-2021-44228 CVE-2021-44228 0 0 0 0 593644136760808635 +github:867707278 2025-02-18 2025-04-29 f https://github.com/k7pro/CVE-2021-25646-exp CVE-2021-25646 Apache Druid 远程代码执行 漏洞检测和利用工具 CVE-2021-25646 1 5 1 5 3584089381597877503 +github:501054329 2022-07-07 2023-06-01 f https://github.com/jaehnri/CVE-2021-44228 Proof of concept of the Log4Shell vulnerability (CVE-2021-44228) CVE-2021-44228 0 1 1 1 6280234120326721089 +github:477871854 2022-04-07 2025-04-17 f https://github.com/fracturelabs/go-scan-spring Vulnerability scanner for Spring4Shell (CVE-2022-22965) CVE-2022-22965 2 12 0 12 4860896009576816668 +github:626171379 2023-04-11 2024-02-15 f https://github.com/Albocoder/cve-2022-27666-exploits There are 2 exploitation methods that exploit CVE-2022-27666. For more info on how to use these code bases please check my blog. CVE-2022-27666 1 2 1 2 5012122443436935734 +github:1046352510 2025-08-28 2025-08-28 f https://github.com/Mdusmandasthaheer/CVE-2025-32433 CVE-2025-32433 0 0 0 0 8436028978552495215 +github:418807056 2021-10-19 2026-05-26 f https://github.com/Vulnmachines/drupal-cve-2019-6339 Drupal remote code execution vulnerabilty CVE-2019-6339 5 5 1 5 4778082469648098701 +github:249413535 2020-03-23 2021-04-19 f https://github.com/harry1080/CVE-2020-10673 CVE-2020-10673 CVE-2020-10673 2 0 0 0 2807191949775690932 +github:310061053 2020-11-04 2025-08-25 f https://github.com/ExploitBox/git-lfs-RCE-exploit-CVE-2020-27955-Go CVE-2020-27955 5 15 3 15 1442244457339960763 +github:730370673 2024-05-07 2026-06-19 f https://github.com/rvzsec/CVE-2023-26035 Unauthenticated RCE in ZoneMinder Snapshots - Poc Exploit CVE-2023-26035 2 23 1 23 2670705798067898347 +github:573105772 2022-12-01 2022-12-01 f https://github.com/SilasSpringer/CVE-2018-10933 CVE-2018-10933 0 0 1 0 4303047995995231372 +github:640090227 2023-05-13 2026-05-28 f https://github.com/PurpleOzone/PE_CVE-CVE-2021-3156 Exploit for Ubuntu 20.04 using CVE-2021-3156 enhanced with post-exploitation scripts CVE-2021-3156 1 7 1 7 4514376728134842596 +github:476343941 2022-04-01 2025-12-18 f https://github.com/me2nuk/CVE-2022-22963 Spring Cloud Function Vulnerable Application / CVE-2022-22963 CVE-2022-22963 2 19 1 19 298695851263944257 +github:278242568 2020-07-02 2022-10-01 f https://github.com/M3g4Byt3/cve-2020-1948-poc CVE-2020-1948 3 3 0 3 179358452366677111 +github:1116380610 2025-12-14 2025-12-14 f https://github.com/dantsco/CVE-2025-64720-PoC CVE-2025-64720 2 0 0 0 1893241058950827204 +github:468144774 2023-08-01 2023-01-03 f https://github.com/hadrian3689/strapi_cms_3.0.0-beta.17.7 CVE-2019-18818/19606 Strapi RCE CVE-2019-18818 0 0 1 0 4118269514222474470 +github:891905563 2024-11-21 2024-11-21 f https://github.com/mochizuki875/CVE-2024-10220-githooks CVE-2024-10220 Test repo CVE-2024-10220 1 1 1 1 1001126282289780208 +github:1046187899 2025-10-14 2025-10-14 f https://github.com/rxerium/CVE-2025-57819 Detection for CVE-2025-57819 CVE-2025-57819 1 1 0 1 1422136424141518794 +github:1101523825 2025-11-21 2026-07-08 f https://github.com/richard-natan/PoC-CVE-2025-63406 CVE-2025-63406 0 2 0 2 4937111734757159318 +github:1178225449 2026-03-11 2026-06-18 f https://github.com/joshuavanderpoll/cve-2025-66398 CVE-2025-66398 — Signal K Server ≤ 2.18.0 RCE PoC CVE-2025-66398 0 2 0 2 6359092712665984735 +github:1185796714 2026-03-20 2026-03-20 f https://github.com/InzegoSec/CVE-2024-25081_2025-47273 An exploit for vulnerable versions of fontforge and setuptools plus a practical example. CVE-2024-25081 0 0 0 0 3030383914241848699 +github:822746375 2024-07-01 2024-07-01 f https://github.com/jack0we/CVE-2024-6387 CVE-2024-6387 0 0 1 0 4913533220465242417 +github:414536267 2021-10-07 2021-10-07 f https://github.com/sixpacksecurity/CVE-2021-41773 CVE-2021-41773 exploit PoC with Docker setup. CVE-2021-41773 0 0 1 0 779231903798941640 +github:1109675477 2026-01-09 2026-02-20 f https://github.com/mr7s3d0/CVE-2025-67325 Detail about CVE-2025-67325 CVE-2025-67325 0 1 0 1 2327421621536951899 +github:806611416 2024-06-24 2024-06-24 f https://github.com/Cappricio-Securities/CVE-2018-11784 Apache Tomcat - Open Redirect CVE-2018-11784 1 0 0 0 2788832117422712318 +github:1084386439 2025-10-27 2025-10-27 f https://github.com/Roronoawjd/CVE-2021-22204 CVE-2021-22204 exiftool rce CVE-2021-22204 0 0 0 0 1561419785610570936 +github:1026974538 2025-07-27 2025-07-27 f https://github.com/mind2hex/CVE-2025-7404-CalibreWeb-0.6.24-BlindCommandInjection CVE-2025-7404 exploit. CVE-2025-7404 0 0 0 0 1118269442463712479 +github:325878746 2022-04-16 2026-07-11 f https://github.com/PenTestical/CVE-2020-9484 CVE-2020-9484 9 35 1 35 8544877060658281653 +github:259384943 2020-04-27 2024-08-12 f https://github.com/bukitbarisan/laravel-rce-cve-2018-15133 CVE-2018-15133 (Webased) CVE-2018-15133 1 0 1 0 2276107318570450985 +github:377824354 2025-06-05 2025-06-05 f https://github.com/h3x0v3rl0rd/CVE-2019-14287 CVE-2019-14287 0 0 1 0 5197148517691371597 +github:419229376 2021-10-20 2021-10-20 f https://github.com/halissha/CVE-2021-3156 CVE-2021-3156 exploit CVE-2021-3156 0 0 1 0 3385656186687275950 +github:534637282 2022-09-09 2026-04-17 f https://github.com/irsl/CVE-2022-20128 Android Debug Bridge (adb) was vulnerable to directory traversal attacks that could have been mounted by rogue/compromised adb daemons during an adb pull operation. CVE-2022-20128 4 8 1 8 8793656613353448431 +github:1040893063 2025-08-19 2025-08-19 f https://github.com/shoucheng3/jenkinsci__docker-commons-plugin_CVE-2022-20617_1-17 CVE-2022-20617 0 0 0 0 4279759477083793081 +github:1032673717 2025-08-05 2025-09-09 f https://github.com/juanbelin/CVE-2024-32019-POC Netdata ndsudo local privilage escalation workflow and POC (CVE-2024-32019) CVE-2024-32019 0 0 0 0 5879101334878189124 +github:1140155368 2026-01-22 2026-01-22 f https://github.com/Victorhugofariasvieir66/relatorio-n8n.md Relatório TryHackMe — n8n CVE-2025-68613 (CVSS 9.9) CVE-2025-68613 0 0 0 0 5530364870718005413 +github:284342041 2022-12-08 2026-06-22 f https://github.com/h0ffayyy/CVE-2019-15043 POC scanner for the Grafana vulnerability CVE-2019-15043 CVE-2019-15043 2 8 1 8 1743632317946005919 +github:924816410 2025-01-30 2025-01-30 f https://github.com/asepsaepdin/CVE-2023-32315 CVE-2023-32315 0 0 1 0 6256609097939836763 +github:1021249252 2025-07-17 2025-07-17 f https://github.com/Rajneeshkarya/CVE-2025-32463 This is the exploit for the CVE-2025-32463 CVE-2025-32463 1 0 0 0 1625379254546019282 +github:353086761 2021-09-19 2024-08-12 f https://github.com/zAbuQasem/CVE-2019-12840 CVE-2019-12840 CVE-2019-12840 1 0 1 0 5673311369801716362 +github:990495132 2025-05-26 2025-10-20 f https://github.com/ov3rf1ow/CVE-2025-27363 CVE-2025-27363 1 3 0 3 5187400217426130916 +github:952715489 2025-03-21 2025-03-21 f https://github.com/tibrn/CVE-2025-30144 CVE-2025-30144 0 0 1 0 5962609451542068858 +github:437876264 2021-12-13 2023-08-15 f https://github.com/zsolt-halo/Log4J-Log4Shell-CVE-2021-44228-Spring-Boot-Test-Service CVE-2021-44228 2 13 3 13 4105938126210665085 +github:1023820934 2025-07-21 2025-07-21 f https://github.com/ArcticDU/Exploit-CVE-2024-36401 Python exploit for GeoServer (CVE-2024-36401) with JSP web shell upload CVE-2024-36401 0 0 0 0 5092841894805412860 +github:299216120 2021-06-18 2020-09-28 f https://github.com/Fa1c0n35/CVE-2020-1472-02- CVE-2020-1472 0 0 1 0 5524544514553334863 +github:826508816 2024-07-09 2024-07-11 f https://github.com/kubota/CVE-2024-6387-Vulnerability-Checker This Rust Code is designed to check SSH servers for the CVE-2024-6387 vulnerability CVE-2024-6387 0 0 1 0 4695160499578628995 +github:1145798975 2026-01-30 2026-01-30 f https://github.com/afifudinmtop/CVE-2021-43857-Gerapy-v0.9.7 CVE-2021-43857 0 0 0 0 4704033934276075928 +github:860776626 2024-08-12 2024-09-21 f https://github.com/Twappz/CVE-2023-41425 WonderCMS RCE CVE-2023-41425 CVE-2023-41425 1 0 0 0 7966492257841146475 +github:247628430 2020-03-16 2024-08-12 f https://github.com/lingchuL/CVE_POC_test CVE-2019-13086漏洞的复现以及poc实验代码 CVE-2019-13086 2 0 1 0 7853930692238655110 +github:334802810 2021-02-01 2021-02-03 f https://github.com/acodervic/CVE-2020-1938-MSF-MODULE Modified version of auxiliary/admin/http/tomcat_ghostcat, it can Read any file CVE-2020-1938 0 0 1 0 1641155278581836934 +github:438695688 2024-05-13 2024-05-13 f https://github.com/inettgmbh/checkmk-log4j-scanner Scans for Log4j versions effected by CVE-2021-44228 CVE-2021-44228 1 4 4 4 2735421655482015651 +github:439698618 2021-12-24 2022-01-05 f https://github.com/axelcurmi/log4shell-docker-lab Log4Shell (CVE-2021-44228) docker lab CVE-2021-44228 1 0 1 0 1381971565881504307 +github:970913485 2025-04-22 2025-04-23 f https://github.com/zanks08/cve-2023-44487-demo Demo for detection and mitigation of HTTP/2 Rapid Reset vulnerability (CVE-2023-44487) CVE-2023-44487 1 1 1 1 4011691766399798128 +github:1205334499 2026-04-09 2026-04-20 f https://github.com/vnchk1/sec_review_cve-2024-3094 Security review уязвимости CVE-2024-3094 с открытым исходным кодом CVE-2024-3094 0 0 0 0 7966648325461894996 +github:1036014825 2025-08-11 2025-08-11 f https://github.com/alexander47777/CVE-2016-10033 CVE-2016-10033 0 0 0 0 1434382522128173230 +github:806279478 2024-05-26 2024-10-28 f https://github.com/zcrosman/cve-2024-32651 changedetection rce though ssti CVE-2024-32651 1 1 1 1 6943707615441535772 +github:536957144 2022-09-15 2022-09-15 f https://github.com/mightysai1997/cve-2021-41773-v- CVE-2021-41773 0 0 1 0 8552379343004067722 +github:531290655 2022-08-31 2022-08-31 f https://github.com/notl0cal/dpipe Proof-of-concept exploit for the Dirty Pipe vulnerability (CVE-2022-0847) CVE-2022-0847 1 0 1 0 2950269579724347294 +github:1217970350 2026-04-22 2026-04-22 f https://github.com/TJouleL/WordPress-6.9.1-Blind-SSRF Based on CVE-2022-3590, WordPress <= 6.9.1 - Unauthenticated Blind SSRF via XML-RPC Pingback Discovery proof of concept (PoC) CVE-2022-3590 0 0 0 0 6420263270360011414 +github:660080340 2023-06-29 2024-03-11 f https://github.com/MrHarshvardhan/PY-Log4j-RCE-Scanner Using this tool, you can scan for remote command execution vulnerability CVE-2021-44228 on Apache Log4j at multiple addresses. CVE-2021-44228 1 4 1 4 1919857391213581905 +github:466986315 2022-03-09 2025-11-16 f https://github.com/MoCh3n/CVE-2022-22947-Spring-Cloud-Gateway-SpelRCE Spring Cloud Gateway远程代码执行漏洞POC，基于命令执行的基础上，增加了反弹shell操作 CVE-2022-22947 10 14 1 14 4605062193562170237 +github:831858004 2026-02-09 2026-04-21 f https://github.com/Rai2en/CVE-2023-50564_Pluck-v4.7.18_PoC A Proof of Concept for CVE-2023-50564 vulnerability in Pluck CMS version 4.7.18 CVE-2023-50564 5 18 1 18 646774324114038087 +github:1154041273 2026-02-10 2026-02-10 f https://github.com/George0Papasotiriou/CVE-2025-15556-Notepad-WinGUp-Updater-RCE CVE-2025-15556 0 1 0 1 625585897324170738 +github:1112075616 2025-12-14 2026-03-29 f https://github.com/LucasPDiniz/CVE-2025-55182 React2Shell Vulnerability CVE-2025-55182 0 2 0 2 1559859824818929917 +github:330894535 2021-01-19 2026-07-17 f https://github.com/gemboxteam/exploit-nginx-1.10.3 CVE-2017-7529 | nginx on the range 0.5.6 - 1.13.2 CVE-2017-7529 12 11 1 11 2971641431414925725 +github:1225116084 2026-04-30 2026-04-30 f https://github.com/B4ntGrim/Vuln_Remediation_MegaQuagga Remediation report for MegaQuagga Publishing validating the mitigation of CVE-2019-9978 through progressive defensive layering. Documents reverse proxy insertion, ModSecurity WAF deployment, Graylog SIEM integration, and SSL/TLS enforcement using multi-stage Wireshark PCAP analysis across pfSense WAN and LAN interfaces. CVE-2019-9978 0 0 0 0 4456725724810537432 +github:721311875 2023-11-27 2026-05-11 f https://github.com/BaptisteContreras/CVE-2017-8917-Joomla CVE-2017-8917 SQL injection Vulnerability in Joomla! 3.7.0 exploit CVE-2017-8917 1 2 1 2 3009298374318447332 +github:158194793 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-1259 CVE-2018-1259 0 0 0 0 250643203750361783 +github:305056797 2020-10-19 2020-10-19 f https://github.com/HYWZ36/HYWZ36-CVE-2020-11989-code CVE-2020-11989 0 0 1 0 5475953882271530315 +github:499143889 2022-06-03 2022-06-02 f https://github.com/aabbcc19191/CVE-2020-13935 CVE-2020-13935 0 0 1 0 2349224791569856075 +github:259753033 2024-06-16 2026-05-31 f https://github.com/irsl/CVE-2020-1967 Proof of concept exploit about OpenSSL signature_algorithms_cert DoS flaw (CVE-2020-1967) CVE-2020-1967 5 20 2 20 8176667739354869854 +github:1021106124 2025-07-17 2025-07-17 f https://github.com/alialucas7/CVE-2025-27591_PoC CVE-2025-27591 0 0 0 0 2256225487560287496 +github:1262562060 2026-06-08 2026-06-08 f https://github.com/fantasy-fql/ESAPI-SQLinjection-CVE-2025-5878-Exploit 针对ESAPI 的ESAPI.encoder().encodeForSQL()方法，OracleCodec对象的sql 时间盲注利用 CVE-2025-5878 0 0 0 0 8465036777139740052 +github:407074218 2021-09-16 2021-09-16 f https://github.com/0ahu/CVE-2021-21300 CVE-2021-21300 0 0 1 0 3550148177207313458 +github:824544385 2024-07-06 2026-06-03 f https://github.com/sardine-web/CVE-2024-6387-template Quick regreSSHion checker (based on software version) for nuclei CVE-2024-6387 CVE-2024-6387 0 2 1 2 3786368800228121638 +github:415041820 2021-10-11 2024-08-12 f https://github.com/superzerosec/CVE-2021-41773 POC CVE-2021-41773 1 3 1 3 6782825824075228638 +github:490626611 2022-05-10 2022-05-10 f https://github.com/Satheesh575555/external_expat_AOSP10_r33_CVE-2022-23852 CVE-2022-23852 1 0 1 0 2553038302453638889 +github:927282392 2025-02-04 2025-02-04 f https://github.com/Mr-UN533N/CVE-2024-57610 Lack of Rate Limiting in Sylius v2.0.2 CVE-2024-57610 0 0 1 0 6552074396966389811 +github:670307374 2023-07-24 2024-05-16 f https://github.com/tkomlodi/CVE-2022-23305_POC CVE-2022-23305 Log4J JDBCAppender SQl injection POC CVE-2022-23305 0 1 1 1 5475443133988021200 +github:670638630 2023-10-11 2023-10-16 f https://github.com/battleofthebots/dejavu Challenge based on CVE-2021-22204 where users send a malicious file to a web application to gain RCE CVE-2021-22204 0 0 1 0 1821317445702474737 +github:947101893 2025-03-12 2025-03-12 f https://github.com/gps1949/CVE-2021-25646 Apache Druid 远程代码执行复现（CVE-2021-25646） CVE-2021-25646 0 0 1 0 6124689371179097120 +github:543513500 2022-09-30 2022-09-30 f https://github.com/likeww/MassZeroLogon Tool for mass testing ZeroLogon vulnerability CVE-2020-1472 CVE-2020-1472 0 0 0 0 7118813472812347781 +github:1016251144 2025-07-08 2025-07-11 f https://github.com/abrewer251/CVE-2025-32463_Sudo_PoC PoC for CVE-2025-32463: Local privilege escalation in sudo via --chroot. Exploits NSS module injection through crafted chroot environments. Designed for security researchers and lab-only environments. CVE-2025-32463 2 1 0 1 815593007015966364 +github:1019810128 2025-10-06 2026-04-10 f https://github.com/MohamedKarrab/CVE-2025-32463 Privilege escalation to root using sudo chroot, NO NEED for gcc installed. CVE-2025-32463 10 48 2 48 1965513561749909970 +github:1239539126 2026-05-15 2026-05-28 f https://github.com/iammerrida-source/nginx-rift-detect Behavioral detection script for CVE-2026-42945 (NGINX Rift) — heap overflow in ngx_http_rewrite_module. No RCE, crash-based detection only. CVE-2026-42945 0 3 0 3 6269204852175262843 +github:811342524 2024-06-22 2026-07-21 f https://github.com/tnishiox/cve-2023-4813 CVE-2023-4813 0 2 1 2 7093681143302678922 +github:952207592 2025-03-20 2025-03-20 f https://github.com/n0n-zer0/Spring-Boot-Tomcat-CVE-2025-24813 POC for CVE-2025-24813 using Spring-Boot CVE-2025-24813 1 0 1 0 4953995938555672249 +github:1122424305 2025-12-24 2026-01-09 f https://github.com/manyaigdtuw/CVE-2025-68613_Scanner GUI Shodan-powered scanner to identify n8n instances exposed to CVE-2025-68613 (version range 0.211.0–1.122.0) CVE-2025-68613 0 0 0 0 3527113693321134182 +github:685910808 2023-09-01 2026-06-01 f https://github.com/d0rb/CVE-2023-26469 CVE-2023-26469 REC PoC CVE-2023-26469 0 2 1 2 1933734757053194233 +github:830811519 2024-07-19 2026-07-20 f https://github.com/TAM-K592/CVE-2024-40725-CVE-2024-40898 CVE-2024-40725 and CVE-2024-40898, affecting Apache HTTP Server versions 2.4.0 through 2.4.61. These flaws pose significant risks to web servers worldwide, potentially leading to source code disclosure and server-side request forgery (SSRF) attacks. CVE-2024-40725 22 86 1 86 762935102469822250 +github:466067213 2022-03-04 2022-03-07 f https://github.com/dbgee/CVE-2022-22947 Spring Cloud Gateway Actuator API 远程命令执行 CVE-2022-22947 CVE-2022-22947 0 2 1 2 4448298106814544112 +github:264254588 2020-05-15 2020-05-15 f https://github.com/JoSecMx/CVE-2018-10933_Scanner CVE-2018-10933_Scanner CVE-2018-10933 0 0 0 0 4043847376113999185 +github:1013781214 2025-07-04 2025-07-04 f https://github.com/ill-deed/CVE-2025-32463_illdeed Privilege escalation exploit for CVE-2025-32463 using a malicious NSS module injected via sudo -R. This version creates a stealth payload called illdeed, granting root access through a controlled chroot environment. CVE-2025-32463 0 0 0 0 1879986327946374527 +github:777360363 2024-05-08 2025-08-29 f https://github.com/alexcote1/CVE-2024-23722-poc CVE-2024-23722 1 2 1 2 2035813924087867413 +github:536278901 2022-09-13 2026-04-20 f https://github.com/MaherAzzouzi/CVE-2022-37703 Amanda Information Disclosure bug. CVE-2022-37703 1 4 1 4 1330578333032667583 +github:786312450 2024-04-14 2024-05-19 f https://github.com/Warelock/cve-2020-1938 cve-2020-1938 Tomcat-Ajp-lfi.git脚本 CVE-2020-1938 0 2 1 2 8072413395586466920 +github:490311941 2022-05-09 2025-10-22 f https://github.com/jcarabantes/CVE-2022-28590 CVE-2022-28590 3 6 1 6 4956763259686398577 +github:805740767 2024-05-25 2024-05-25 f https://github.com/jakob-pennington/cve-2024-32002-submodule-aw A submodule to demonstrate CVE-2024-32002. Demonstrates arbitrary write into .git. CVE-2024-32002 0 0 1 0 4903897087450020730 +github:1114044589 2026-03-21 2026-03-21 f https://github.com/J4ck3LSyN-Gen2/CVE-2025-55182 A simple toolkit to validate, exploit & gain an interactive shell via the react2Shell Next.js RCE. CVE-2025-55182 0 0 0 0 7160823237648355838 +github:1014644082 2025-07-06 2025-12-07 f https://github.com/ibrahmsql/CVE-2023-45131 CVE-2023-45131 0 3 0 3 209616436507773354 +github:842879414 2024-08-16 2026-06-07 f https://github.com/LtmThink/CVE-2024-21733 一个验证对CVE-2024-21733 CVE-2024-21733 12 27 1 27 8379243736097103561 +github:1182434081 2026-03-18 2026-06-23 f https://github.com/symphony2colour/varlib-cve-2025-66034 Proof-of-concept exploit for CVE-2025-66034 in the fontTools variable font generation pipeline. A crafted .designspace file allows control of the output path, enabling arbitrary file writes. The script automates payload creation, font generation, and upload to demonstrate the issue. CVE-2025-66034 0 2 0 2 4636849527905425628 +github:1120941159 2025-12-22 2026-05-20 f https://github.com/nhattanhh/CVE-2022-22965 Spring4Shell CVE-2022-22965 0 0 0 0 6405983621508243049 +github:804285979 2024-05-22 2024-05-22 f https://github.com/1mxml/CVE-2024-32002-poc CVE-2024-32002 0 0 1 0 1649151197043631634 +github:136924699 2018-06-06 2024-08-12 f https://github.com/H0K5/clone_and_pwn Exploits CVE-2018-11235 CVE-2018-11235 1 0 1 0 397621121035115933 +github:157386452 2018-11-14 2026-07-29 f https://github.com/JonathanWilbur/CVE-2018-19131 Proof-of-Concept exploit of CVE-2018-19131: Squid Proxy XSS via X.509 Certificate CVE-2018-19131 2 18 3 18 7810550503492382203 +github:211009198 2019-09-26 2025-05-07 f https://github.com/jas502n/CVE-2019-10392 CVE-2019-10392 RCE Jackson with Git Client Plugin 2.8.2 (Authenticated) CVE-2019-10392 5 21 2 21 4380558366211600146 +github:809527050 2024-06-03 2024-06-03 f https://github.com/Maybe4a6f7365/CVE-2021-41773 CVE-2021-41773.py CVE-2021-41773 0 0 0 0 3112950284315631552 +github:683184103 2024-01-15 2026-06-28 f https://github.com/K3ysTr0K3R/CVE-2021-42013-EXPLOIT A PoC exploit for CVE-2021-42013 - Apache 2.4.49 & 2.4.50 Remote Code Execution CVE-2021-42013 0 7 1 7 1548140388588872814 +github:903524337 2025-02-04 2025-02-18 f https://github.com/rhburt/CVE-2025-25062 Backdrop CMS 1.29.2 - Privilege Escalation via Stored XSS + CSRF CVE-2025-25062 0 2 1 2 290800329240969458 +github:312564506 2020-11-13 2020-11-13 f https://github.com/rvermeulen/apache-struts-cve-2017-9805 CVE-2017-9805 0 0 1 0 767399797595517546 +github:1278623099 2026-06-24 2026-06-24 f https://github.com/Joapath/CVE-2021-42013 CVE-2021-42013 0 0 0 0 4877376969034833205 +github:536951837 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37201 CVE-2022-37201 POC CVE-2022-37201 0 0 1 0 5869023298638634878 +github:1019545397 2025-07-14 2025-07-14 f https://github.com/Armand2002/Exploit-CVE-2025-1974-Lab CVE-2025-1974 0 0 0 0 7478657154961482465 +github:1125247161 2025-12-30 2025-12-31 f https://github.com/git0xLai/React2ShellPoC This repository provides a proof-of-concept for CVE-2025-55182 (React2Shell), a remote code execution vulnerability in React Server Components. It demonstrates how the exploit works, including the payload and impact. CVE-2025-55182 0 0 0 0 615818899401268656 +github:1100215145 2025-12-02 2025-12-02 f https://github.com/WxDou/CVE-2025-63914 Public disclosure and patch for CVE-2025-63914: Zip bomb vulnerability in Cinnamon/kotaemon. CVE-2025-63914 0 0 0 0 2000275605177741176 +github:437557116 2021-12-15 2024-05-10 f https://github.com/infiniroot/nginx-mitigate-log4shell Mitigate log4shell (CVE-2021-44228) vulnerability attacks using Nginx LUA script CVE-2021-44228 6 38 14 38 6069485136700883974 +github:589347123 2023-01-22 2023-03-24 f https://github.com/iliass-dahman/CVE-2022-22963-POC CVE-2022-22963 0 4 1 4 4464936754538097187 +github:1133853228 2026-01-13 2026-03-23 f https://github.com/tralsesec/CVE-2024-0670 CheckMK Agent Local Privilege Escalation (PoC) CVE-2024-0670 0 1 0 1 1997958141108558647 +github:1053966464 2025-09-10 2026-03-06 f https://github.com/amalpvatayam67/day01-sessionreaper-lab This is a tiny lab that simulates the core idea reported for CVE-2025-54236 (“SessionReaper”) CVE-2025-54236 0 0 0 0 6538297196790461180 +github:1017747727 2025-07-15 2025-07-11 f https://github.com/cuijiung/xstream-CVE-2021-29505 CVE-2021-29505 0 0 0 0 1234615907571805784 +github:437797971 2022-10-19 2022-01-05 f https://github.com/avwolferen/Sitecore.Solr-log4j-mitigation This repository contains a script that you can run on your (windows) machine to mitigate CVE-2021-44228 CVE-2021-44228 2 2 1 2 7335161750734844645 +github:1133998438 2026-01-14 2026-01-14 f https://github.com/ExploreUnknowed/CVE-2025-68472 CVE-2025-68472 0 0 0 0 2116576251070409912 +github:281581111 2020-07-22 2022-02-02 f https://github.com/tabbysable/POC-2020-8559 Proof of Concept exploit for Kubernetes CVE-2020-8559 CVE-2020-8559 3 20 1 20 8219479244891521412 +github:943984793 2025-03-08 2025-10-13 f https://github.com/hexspectrum1/CVE-2024-7014 CVE-2024-7014 1 3 1 3 6120630251038145256 +github:464909428 2022-03-01 2022-03-13 f https://github.com/twseptian/cve-2018-6574 cve-2018-6574 CVE-2018-6574 0 0 1 0 2212949393365233295 +github:325019967 2020-12-29 2021-03-05 f https://github.com/TheTh1nk3r/cve-2020-27955 cve-2020-27955 CVE-2020-27955 1 1 1 1 2836387705926746096 +github:327564361 2021-01-07 2021-01-15 f https://github.com/knokbak/get-pixels-updated An updated version of get-pixels that patches the CVE-2020-8175 security issue. CVE-2020-8175 0 1 1 1 6432852991550636813 +github:723777809 2023-11-26 2024-09-06 f https://github.com/unam4/CVE-2023-28432-minio_update_rce https://github.com/AbelChe/evil_minio/tree/main 打包留存 CVE-2023-28432 0 1 1 1 4628050104132985032 +github:1003555162 2025-06-17 2025-06-17 f https://github.com/EdouardosStav/CVE-2019-15107-RCE-WebMin CVE-2019-15107 0 0 0 0 6399066672884859513 +github:188896047 2020-06-10 2025-04-30 f https://github.com/jas502n/CVE-2019-6340 Drupal8's REST RCE, SA-CORE-2019-003, CVE-2019-6340 CVE-2019-6340 23 71 2 71 135682329222324664 +github:997627767 2025-06-06 2025-06-06 f https://github.com/davidblakecoe/axios-CVE-2025-27152-PoC Axios CVE-2025-27152 PoC CVE-2025-27152 0 0 0 0 3711270360399867175 +github:1253261009 2026-05-29 2026-05-29 f https://github.com/Dungsocool/CVE-2017-18349 CVE-2017-18349 0 0 0 0 7010933047710613947 +github:676698139 2024-11-09 2026-07-26 f https://github.com/kali-mx/CVE-2023-38408 PoC for the recent critical vuln affecting OpenSSH versions < 9.3p2 CVE-2023-38408 11 53 1 53 8683715789565838836 +github:1126351418 2026-01-01 2026-01-01 f https://github.com/Systemhaus-Schulz/MongoBleed-CVE-2025-14847 MongoBleed CVE-2025-14847 Vulnerability Checker CVE-2025-14847 0 0 0 0 4196129242889979967 +github:439060792 2025-07-02 2025-07-02 f https://github.com/axisops/CVE-2021-44228 log4j mitigation work CVE-2021-44228 0 0 1 0 7395128307872869170 +github:946977506 2025-03-13 2025-03-13 f https://github.com/tpdlshdmlrkfmcla/Log4shell CVE-2021-44228 CVE-2021-44228 0 0 1 0 5562196702343174042 +github:964914758 2025-04-12 2025-04-12 f https://github.com/nicoleman0/CVE-2016-6210-OpenSSHd-7.2p2 CVE-2016-6210 0 0 1 0 1179724796333917237 +github:1099245523 2026-01-04 2026-01-04 f https://github.com/0xr2r/CVE-2025-64095 CVE-2025-64095 0 0 0 0 7509369668064306618 +github:905309278 2024-12-18 2025-07-22 f https://github.com/soltanali0/CVE-2024-40725 exploit CVE-2024-40725 (Apache httpd) with CVE-2024-40725 4 12 1 12 590940054493284874 +github:494117439 2022-05-19 2025-09-11 f https://github.com/anansec/CVE-2022-22947_EXP 一个可单独、批量验证的脚本，也可以反弹shell CVE-2022-22947 1 7 1 7 6443045591156676271 +github:1261276684 2026-06-06 2026-06-06 f https://github.com/TechWithOrgito/CVE-2025-55182-Researching-process CVE-2025-55182 0 0 0 0 2306494388224339087 +github:999775928 2025-07-06 2026-04-08 f https://github.com/K3ysTr0K3R/CVE-2017-9841-EXPLOIT A PoC exploit for CVE-2017-9841 - PHPUnit Remote Code Execution(RCE) CVE-2017-9841 0 6 0 6 2510245133637525129 +github:403360604 2021-09-05 2021-09-05 f https://github.com/Prodrious/CVE-2020-13942 CVE-2020-13942 0 0 1 0 3538469261161214158 +github:475668293 2022-03-30 2022-03-30 f https://github.com/metapox/CVE-2020-25613 CVE-2020-25613 0 0 1 0 8238236696208294793 +github:437215271 2023-06-13 2026-07-20 f https://github.com/f0ng/log4j2burpscanner CVE-2021-44228 Log4j2 BurpSuite Scanner,Customize ceye.io api or other apis,including internal networks CVE-2021-44228 107 841 11 841 997693471183392221 +github:779734707 2024-03-30 2025-08-27 f https://github.com/harekrishnarai/xz-utils-vuln-checker Checker for CVE-2024-3094 where malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. CVE-2024-3094 0 1 1 1 2308628115956355866 +github:1037771504 2026-07-27 2026-07-27 f https://github.com/hophtien/CVE-2025-54424 CVE-2025-54424: 1Panel TLS client cert bypass enables RCE via forged CN 'panel_client' using a bundled scanning and exploitation tool. Affected: <= v2.0.5. 🔐 CVE-2025-54424 1 3 0 3 8874756077703504899 +github:438469082 2022-01-10 2022-01-09 f https://github.com/dbzoo/log4j_scanner Fast filesystem scanner for CVE-2021-44228 CVE-2021-44228 1 4 3 4 6903636553609560145 +github:967940768 2025-04-17 2025-04-17 f https://github.com/youngmin0104/CVE-2017-7529- CVE-2017-7529 0 0 0 0 1022804274608821131 +github:234134766 2020-01-15 2020-01-16 f https://github.com/SherlockSec/CVE-2020-0601 A Windows Crypto Exploit CVE-2020-0601 1 1 1 1 7321726984269460578 +github:414581409 2021-10-10 2024-09-26 f https://github.com/twseptian/cve-2021-41773 CVE-2021-41773: Path Traversal Zero-Day in Apache HTTP Server Exploited CVE-2021-41773 3 4 1 4 2691008029178728424 +github:427956449 2021-11-14 2021-11-14 f https://github.com/xMohamed0/CVE-2021-41773 CVE-2021-41773 0 0 1 0 5038444716236714437 +github:387366849 2021-07-19 2024-12-18 f https://github.com/Neko-chanQwQ/CVE-2020-9483 PoC of SQL Injection vul(CVE-2020-9483,Apache SkyWalking) CVE-2020-9483 5 5 1 5 7275705040507659967 +github:438747026 2021-12-15 2022-01-12 f https://github.com/pmontesd/log4j-cve-2021-44228 Very simple Ansible playbook that scan filesystem for JAR files vulnerable to Log4Shell CVE-2021-44228 1 3 1 3 39471028649741260 +github:992705950 2025-06-02 2025-09-28 f https://github.com/spbavarva/CVE-2025-46203 PoC of CVE-2025-46203 CVE-2025-46203 0 1 0 1 1015349992539837766 +github:1281331442 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-45806 Penpot's remote image import let an authenticated file editor turn a normal media convenience feature into backend-origin SSRF because attacker-controlled URLs crossed into a redirect-following server fetch path without destination filtering. CVE-2026-45806 0 0 0 0 4926927927239542200 +github:249396383 2020-03-23 2024-08-12 f https://github.com/XTeam-Wing/CVE-2017-12636 CVE-2017-12636|exploit Couchdb CVE-2017-12636 2 6 1 6 2355917406243081670 +github:226418974 2019-12-06 2024-08-12 f https://github.com/nevercodecorrect/lede-17.01.3 Version-contains-cve-2019-12272 CVE-2019-12272 1 0 1 0 42479399244582491 +github:1299485558 2026-07-13 2026-07-13 f https://github.com/Giangdurian/CVE-2023-25157-GeoServer-SQLi-Lab CVE-2023-25157 0 0 0 0 8491599988914361267 +github:938579414 2025-04-01 2026-06-22 f https://github.com/iSee857/CVE-2025-24893-PoC XWiki SolrSearchMacros 远程代码执行漏洞PoC（CVE-2025-24893） CVE-2025-24893 2 10 2 10 5640590469019015774 +github:147389150 2018-10-29 2023-12-14 f https://github.com/andypitcher/check_struts Apache Struts version analyzer (Ansible) based on CVE-2017-5638 CVE-2017-5638 0 2 1 2 844118986130641631 +github:687513603 2023-09-05 2023-09-05 f https://github.com/asepsaepdin/CVE-2021-3156 CVE-2021-3156 0 0 1 0 5501116672523784936 +github:414043746 2026-03-23 2026-05-23 f https://github.com/Ls4ss/CVE-2021-41773_CVE-2021-42013 Apache HTTP Server 2.4.49, 2.4.50 - Path Traversal & RCE CVE-2021-41773 7 20 2 20 5295027827720566539 +github:954600589 2025-03-25 2026-04-28 f https://github.com/alihussainzada/CVE-2025-29927-PoC PoC for CVE-2025-29927: Next.js Middleware Bypass Vulnerability. Demonstrates how x-middleware-subrequest can bypass authentication checks. Includes Docker setup for testing. CVE-2025-29927 0 5 1 5 2466966502237177488 +github:1110705797 2025-12-05 2025-12-05 f https://github.com/rl0x01/CVE-2025-55182_PoC Proof-of-Concept RCE pour CVE‑2025‑55182 exploitant le protocole React Flight sur Next.js App Router. CVE-2025-55182 0 1 0 1 8516849172147289759 +github:616715720 2023-03-20 2023-03-20 f https://github.com/diwangs/react16-ssr CVE-2018-6341 CVE-2018-6341 0 0 1 0 6113610634599678310 +github:1023561164 2025-08-13 2025-08-13 f https://github.com/Ch1keen/CVE-2025-50360 Report and PoC of Heap Buffer Overflow in Pepper Language before version 0.1.1, commit 961a5d9988c5986d563310275adad3fd181b2bb7 CVE-2025-50360 0 0 0 0 3698377998466543912 +github:224866950 2019-11-29 2019-11-29 f https://github.com/drset/golang test for CVE-2018-6574: go get RCE pentesterlab CVE-2018-6574 0 0 1 0 6259350050404555572 +github:652314324 2023-06-11 2025-04-02 f https://github.com/murataydemir/CVE-2023-25157-and-CVE-2023-25158 GeoServer & GeoTools SQL Injection (CVE-2023-25157 & CVE-2023-25158) CVE-2023-25157 4 14 2 14 2088356333852136458 +github:1113626222 2025-12-10 2025-12-24 f https://github.com/theman001/CVE-2025-55182_PoC-Test-Server CVE-2025-55182 React RCE Test Server CVE-2025-55182 0 1 0 1 4046349320793064916 +github:245352447 2020-03-05 2020-03-06 f https://github.com/dointisme/CVE-2020-8597 CVE-2020-8597 CVE-2020-8597 22 0 0 0 675807161431973971 +github:992548182 2025-05-29 2025-05-29 f https://github.com/octodi/CVE-2021-22911 Updated exploit for CVE-2021-22911 (Rocket.Chat 3.12.1 - NoSQL Injection to RCE (Unauthenticated)) CVE-2021-22911 1 0 0 0 5955453773805216720 +github:536985771 2025-12-11 2022-09-15 f https://github.com/mightysai1997/CVE-2021-41773-PoC CVE-2021-41773 0 0 1 0 8355987904467953303 +github:1088790881 2025-11-11 2025-11-11 f https://github.com/80Ottanta80/CVE-2025-24893-PoC XWiki Unauthenticated RCE Exploit for Reverse Shell CVE-2025-24893 0 1 0 1 6865368172952210893 +github:968845450 2025-04-19 2025-09-03 f https://github.com/m0usem0use/erl_mouse python script to find vulnerable targets of CVE-2025-32433 CVE-2025-32433 2 5 1 5 5827128075378699358 +github:479702374 2022-06-30 2025-09-07 f https://github.com/p1ckzi/CVE-2017-9841 phpunit-shell | CVE_2017-9841 CVE-2017-9841 1 3 1 3 6753571312369044637 +github:822633624 2024-07-01 2024-07-01 f https://github.com/mbadanoiu/MAL-008 Case Study: SSHtranger Things (CVE-2019-6111, CVE-2019-6110) in Cisco SD-WAN CVE-2019-6111 0 0 1 0 6416782888141123146 +github:563378340 2022-11-08 2023-02-07 f https://github.com/iloveflag/Fast-CVE-2022-22965 CVE-2022-22965图形化检测工具 CVE-2022-22965 0 4 1 4 2763771649869074554 +github:436666301 2023-05-14 2026-07-20 f https://github.com/tangxiaofeng7/CVE-2021-44228-Apache-Log4j-Rce Apache Log4j 远程代码执行 CVE-2021-44228 30 89 2 89 5218394781884628944 +github:1167980268 2026-03-08 2026-05-16 f https://github.com/az4rvs/Mirth-Connect-CVE-2023-43208 Python implementation of CVE-2023-43208 Mirth Connect RCE (Unauth XStream) CVE-2023-43208 0 2 0 2 8667765396163265420 +github:1125285238 2025-12-30 2025-12-30 f https://github.com/YanC1e/CVE-2025-8191 CVE-2025-8191 1 0 0 0 7776204736518667640 +github:1269389657 2026-06-14 2026-06-14 f https://github.com/sec-sys/CVE-2026-42945-Reverse-Shell-POC Python RCE PoC with reverse-shell listener for CVE-2026-42945 (NGINX Rift) CVE-2026-42945 0 0 0 0 6303594671255028427 +github:1313515295 2026-07-27 2026-07-29 f https://github.com/Groppoxx/CVE-2023-52076-PoC PoC exploit for CVE-2023-52076 - zip-slip path traversal in Atril/Xreader (MATE/Cinnamon) enabling arbitrary file write and RCE via crafted EPUB. Authorized security testing only. CVE-2023-52076 0 3 0 3 3855806159925660134 +github:510569312 2022-07-13 2022-07-27 f https://github.com/D1mang/Spring4Shell-CVE-2022-22965 EXP for Spring4Shell(CVE-2022-22965) CVE-2022-22965 1 2 1 2 1679009070535289961 +github:1066327172 2025-09-29 2025-09-29 f https://github.com/hyeonyeonglee/CVE-2024-47051 CVE-2024-47051 CVE-2024-47051 0 0 0 0 7472259452654499620 +github:379816029 2021-06-24 2021-06-24 f https://github.com/Badbird3/CVE-2017-5638 CVE-2017-5638 0 0 1 0 109008157637070691 +github:234944443 2020-01-19 2024-12-30 f https://github.com/IIICTECH/-CVE-2020-0601-ECC---EXPLOIT CurveBall (CVE-2020-0601) - PoC CVE-2020-0601, or commonly referred to as CurveBall, is a vulnerability in which the signature of certificates using elliptic curve cryptography (ECC) is not correctly verified. Attackers can supply hand-rolled generators, bypassing validation, antivirus & all non-protections. CVE-2020-0601 2 3 2 3 2686450792176957939 +github:702912772 2023-10-10 2023-10-10 f https://github.com/CN016/Metabase-H2-CVE-2023-38646- Metabase H2 远程代码执行漏洞(CVE-2023-38646) CVE-2023-38646 1 0 1 0 6039735798582259436 +github:1313006133 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66746-HTTP-Response-Splitting-via-Unvalidated-Response-Header-Values-rouille- Security Advisory: HTTP Response Splitting via Unvalidated Response Header Values (rouille) CVE-2026-66746 0 0 0 0 6380093539799033463 +github:712121031 2023-10-30 2023-10-30 f https://github.com/48484848484848/Jmeter-CVE-2018-1297- CVE-2018-1297 0 0 1 0 2786670224668365394 +github:100374790 2017-08-18 2017-08-17 f https://github.com/Shadow5523/CVE-2017-1000117-test CVE-2017-1000117の検証 CVE-2017-1000117 0 0 0 0 2790512897468756515 +github:979688251 2025-08-18 2025-08-18 f https://github.com/moften/Symfony-CVE-Scanner-PoC- CVE-2021-21424 - CRLF Injection - CVE-2021-41268 - Host Header Injection - CVE-2022-24894 - WebProfiler abierto - CVE-2019-10909 - Directory Traversal CVE-2019-10909 0 0 1 0 3824526787006967429 +github:202038918 2019-08-14 2024-08-12 f https://github.com/Wezery/CVE-2019-14530 OpenEMR security issue CVE-2019-14530 1 0 1 0 1613848067459946017 +github:808784376 2024-06-08 2025-10-04 f https://github.com/Zeyad-Azima/CVE-2024-27348 Apache HugeGraph Server RCE Scanner ( CVE-2024-27348 ) CVE-2024-27348 14 61 1 61 19878651311135709 +github:697093590 2023-09-27 2026-07-11 f https://github.com/PH03N1XSP/CVE-2023-5024 CVE-2023-5024 0 1 1 1 353547456874546296 +github:1109640241 2025-12-05 2026-07-20 f https://github.com/mingyisecurity-lab/CVE-2025-55182-TOOLS A Comprehensive CVE-2025-55182 Detection and Security Assessment Tool CVE-2025-55182 0 2 0 2 3378287802989072515 +github:1302798518 2026-07-16 2026-07-16 f https://github.com/bibotai/secveri-cve-2026-50011-positive CVE-2026-50011 0 0 0 0 3977452144711163976 +github:1024956143 2025-07-23 2026-04-24 f https://github.com/ifconfig-me/Log4Shell-Payloads Log4Shell / Log4J Payload - CVE-2021-45046 and CVE-2022-42889 CVE-2021-45046 6 8 0 8 4035803699360766660 +github:584703298 2023-09-10 2023-09-10 f https://github.com/LalieA/CVE-2021-46398 A Proof of Concept for the CVE-2021-46398 flaw exploitation CVE-2021-46398 0 0 1 0 2433059178813517069 +github:1090318985 2025-11-07 2026-05-09 f https://github.com/cybercrewinc/CVE-2025-63589 CVE-2025-63589 0 0 0 0 8861779951996837803 +github:955317320 2025-03-27 2025-03-27 f https://github.com/oliviaisntcringe/CVE-2025-30216-PoC PoC CVE-2025-30216 0 0 1 0 3255051537474892924 +github:803011028 2024-07-27 2024-07-27 f https://github.com/cc3305/CVE-2021-3129 A exploit script for CVE-2021-3129 CVE-2021-3129 0 0 1 0 6838840706275683843 +github:1124721523 2026-01-02 2025-12-29 f https://github.com/kuyrathdaro/cve-2025-14847 MongoBleed: CVE-2025-14847 Memory Leak Discovery Tool CVE-2025-14847 0 0 0 0 8014032334843964492 +github:680397380 2023-08-25 2023-08-25 f https://github.com/h4ck0rman/CVE-2019-15107 CVE-2019-15107 0 0 1 0 1278336756125624801 +github:819513040 2024-06-24 2024-06-24 f https://github.com/mbadanoiu/CVE-2019-9849 CVE-2019-9849: Remote bullet graphics retrieved in “stealth mode” in LibreOffice CVE-2019-9849 0 0 1 0 6343905225849229804 +github:482317429 2026-05-21 2026-07-21 f https://github.com/joshuavanderpoll/CVE-2021-3129 Laravel RCE Exploit PoC - CVE-2021-3129 (user-friendly with automatic log path detection) CVE-2021-3129 27 148 1 148 415443055844397448 +github:1001524951 2025-06-13 2025-06-13 f https://github.com/assad12341/Dos-exploit- CVE-2025-31650 CVE-2025-31650 0 0 1 0 6901194931620030894 +github:220969745 2019-11-11 2022-03-06 f https://github.com/vineetkia/Wordpress-DOS-Attack-CVE-2018-6389 load-scripts.php file, which purpose is to retrieve several JavaScript packages through one single request. CVE-2018-6389 0 1 1 1 3828210743291854728 +github:877945371 2024-10-24 2024-10-25 f https://github.com/MelkorW/CVE-2024-24725-PoC CVE-2024-24725 0 1 1 1 5793677203206709554 +github:968217543 2025-04-17 2026-07-03 f https://github.com/srcx404/CVE-2024-45436 exploit script for CVE-2024-45436 CVE-2024-45436 0 5 1 5 1390461487047824145 +github:967355790 2025-04-16 2026-04-06 f https://github.com/mhamzakhattak/CVE-2025-29927 CVE-2025-29927 0 1 1 1 2712475198661597136 +github:367884859 2021-07-04 2026-05-13 f https://github.com/faisalfs10x/CVE-2019-14322-scanner PoC of CVE-2019-14322: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CVE-2019-14322 0 1 1 1 2031048262144179104 +github:304359635 2020-10-15 2026-05-13 f https://github.com/squid22/Webmin_CVE-2019-15107 CVE-2019–15107 - Unauthenticated RCE Webmin <=1.920 CVE-2019-15107 0 3 2 3 8898746352286969220 +github:439596852 2021-12-18 2021-12-18 f https://github.com/shivakumarjayaraman/log4jvulnerability-CVE-2021-44228 An attempt to understand the log4j vulnerability by looking through the code CVE-2021-44228 0 0 1 0 6270015959914581626 +github:460689920 2022-02-18 2022-02-18 f https://github.com/qq1549176285/CVE-2022-23131 CVE-2022-23131 0 0 1 0 9134929902611711999 +github:343238036 2021-03-01 2021-11-07 f https://github.com/0ndras3k/CVE-2020-11883 vue-storefront-api vulnerability CVE-2020-11883 0 0 1 0 1095175272572773769 +github:442695651 2021-12-31 2025-09-07 f https://github.com/wuppp/cve-2021-45232-exp CVE-2021-45232 29 78 3 78 5893216452434506697 +github:1049547293 2025-09-03 2026-01-31 f https://github.com/ZzN1NJ4/CVE-2025-22131-PoC PoC for CVE-2025-22131 CVE-2025-22131 0 1 0 1 4758599643401781688 +github:953378403 2025-03-23 2026-05-23 f https://github.com/6mile/nextjs-CVE-2025-29927 A Nuclei template to detect CVE-2025-29927 the Next.js authentication bypass vulnerability CVE-2025-29927 3 19 0 19 2526245385169818171 +github:942946743 2025-03-04 2025-03-04 f https://github.com/xp3s/poc_CVE-2025-1716 CVE-2025-1716 0 0 0 0 4754021594490200158 +github:1294450250 2026-07-09 2026-07-09 f https://github.com/chaitanyagarware/CVE-2026-50131 CVE-2026-50131 / GHSA-xw9q-2mv6-9fr8: Fedify incomplete SSRF mitigation advisory landing page CVE-2026-50131 0 1 0 1 6792743072107754087 +github:162044535 2018-12-16 2018-12-16 f https://github.com/20matan/CVE-2018-6574-POC CVE-2018-6574 0 0 1 0 1009729360369885660 +github:321122801 2020-12-13 2024-11-01 f https://github.com/jas502n/CVE-2020-26259 CVE-2020-26259: XStream is vulnerable to an Arbitrary File Deletion on the local host when unmarshalling as long as the executing process has sufficient rights. CVE-2020-26259 1 25 1 25 3025838905652363591 +github:820848497 2024-06-27 2024-06-27 f https://github.com/Rishabh-Kumar-Cyber-Sec/CVE-2023-27163-ssrf-to-port-scanning It is a simple script to automate internal port scanning dueto SSRF in requests-baskets v 1.2.1. this script can also assisst in solving 'SAU' machine from hackthebox CVE-2023-27163 0 0 1 0 4715689118939219122 +github:1114565321 2025-12-11 2025-12-11 f https://github.com/trilogy-group/react2shell-scan React2Shell (CVE-2025-55182) scanner CVE-2025-55182 0 0 0 0 1633423212454225614 +github:148814288 2018-09-14 2026-07-29 f https://github.com/tna0y/CVE-2018-1000802-PoC Python CVE-2018-1000802 Proof-of-Concept CVE-2018-1000802 0 3 0 3 5288840754717420307 +github:416842203 2021-12-01 2021-12-03 f https://github.com/musergi/CVE-2021-3156 CVE-2021-3156 0 2 1 2 985640631981472214 +github:1006520931 2025-06-22 2026-06-16 f https://github.com/Zen-kun04/CVE-2025-49132 A script that gives you the credentials of a Pterodactyl panel vulnerable to CVE-2025-49132 CVE-2025-49132 4 17 0 17 2900708735552819662 +github:417679926 2022-09-11 2026-04-04 f https://github.com/0xAJ2K/CVE-2020-11022-CVE-2020-11023 Little thing put together quickly to demonstrate this CVE CVE-2020-11022 4 35 1 35 6991172677909219749 +github:358957574 2021-04-17 2024-08-12 f https://github.com/Vulnmachines/CVE-2021-29349 CVE-2021-29349 CSRF to remove all messages in Mahara 20.10 CVE-2021-29349 1 1 1 1 5176995838910549605 +github:476355522 2022-04-06 2024-12-09 f https://github.com/FourCoreLabs/spring4shell-exploit-poc Exploit a vulnerable Spring application with the Spring4Shell (CVE-2022-22965) Vulnerability. CVE-2022-22965 12 44 2 44 5200980508683832674 +github:621992571 2023-03-31 2023-03-31 f https://github.com/g1vi/CVE-2019-15107 webmin <=1.920 - RCE via command injection vulnerability CVE-2019-15107 0 0 1 0 7027927601047054257 +github:1039544757 2025-10-27 2025-08-17 f https://github.com/shoucheng3/xerial__sqlite-jdbc_CVE-2023-32697_3-41-2-1 CVE-2023-32697 0 0 0 0 2957320001162024330 +github:62878044 2016-07-20 2016-07-14 f https://github.com/KosukeShimofuji/CVE-2016-5734 CVE-2016-5734 0 0 1 0 7428421706801962956 +github:110002512 2022-05-25 2018-03-08 f https://github.com/sj/spring-data-rest-CVE-2017-8046 Fork of github.com/spring-projects/spring-data-rest (vulnerable to CVE-2017-8046) CVE-2017-8046 0 1 1 1 7203667502122101870 +github:126690207 2018-03-25 2018-04-10 f https://github.com/tiran/CVE-2018-8970 Demo for https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8970 CVE-2018-8970 0 1 0 1 8237754484619423742 +github:254874176 2020-04-11 2026-07-29 f https://github.com/ggolawski/CVE-2020-1958 CVE-2020-1958 PoC CVE-2020-1958 8 21 1 21 8672817307516523698 +github:809913189 2024-06-07 2025-06-21 f https://github.com/btar1gan/exploit_CVE-2022-24112 New exploit for Apache APISIX v2.12.1 - Remote code execution (RCE) CVE-2022-24112 0 1 1 1 3912195709788466116 +github:437289885 2021-12-11 2024-08-12 f https://github.com/WYSIIWYG/Log4J_0day_RCE Log4j-RCE (CVE-2021-44228) Proof of Concept CVE-2021-44228 1 0 1 0 4221471688974510711 +github:98003871 2017-07-22 2025-11-30 f https://github.com/liusec/WP-CVE-2016-10033 CVE-2016-10033 0 1 1 1 3991873405345393233 +github:1081289552 2025-10-22 2025-10-22 f https://github.com/ThomRgn/xzutils_backdoor_obfuscation Script to obfuscate a payload the same way as it was done by the XZ utils attack (CVE-2024-3094) CVE-2024-3094 0 0 0 0 5683746112295834198 +github:1242659504 2026-05-18 2026-05-18 f https://github.com/ycseo-git/CVE-2025-55182 a.k.a. React2Shell CVE-2025-55182 0 0 0 0 6223399148240733214 +github:1018099412 2025-07-11 2025-07-11 f https://github.com/morgenm/sudo-chroot-CVE-2025-32463 Rust PoC for CVE-2025-32463 (sudo chroot "chwoot" Local PrivEsc) CVE-2025-32463 1 0 0 0 5195444016805025879 +github:1111180741 2025-12-08 2026-07-24 f https://github.com/Archerkong/CVE-2025-55182 CVE-2025-55182 poc CVE-2025-55182 0 1 0 1 3552655847000596136 +github:463454611 2022-02-25 2022-11-09 f https://github.com/MoritzHuppert/CVE-2022-25022 CVE-2022-25022 1 0 1 0 1537965332959139870 +github:1175653767 2026-03-08 2026-07-29 f https://github.com/BridgerAlderson/CVE-2024-51482 ZenoMinder Blind SQL Injection PoC CVE-2024-51482 0 8 0 8 8436521985754368301 +github:976364331 2025-05-02 2025-05-02 f https://github.com/sattarbug/Analysis-of-TomcatKiller---CVE-2025-31650-Exploit-Tool CVE-2025-31650 0 0 1 0 2641405542449047836 +github:993961114 2025-05-31 2026-03-09 f https://github.com/tiemio/RCE-CVE-2025-3248 This Python script exploits CVE-2025-3248 to execute arbitrary commands or spawn a reverse shell on a vulnerable system. Authentication is required to use this exploit. CVE-2025-3248 0 1 0 1 2941774796199797146 +github:1222052314 2026-04-27 2026-04-27 f https://github.com/cyhe50/cve-2022-23636-poc CVE-2022-23636 0 0 0 0 334727731842834094 +github:600124909 2025-03-29 2025-03-29 f https://github.com/gonzxph/CVE-2023-0748 BTCPayServer version 1.7.5 and below is vulnerable for Open Redirection attack. CVE-2023-0748 0 0 1 0 4814374280104122263 +github:544634552 2022-10-03 2025-03-17 f https://github.com/Shakun8/CVE-2017-9805 CVE-2017-9805 POC CVE-2017-9805 0 3 1 3 2079521520028260787 +github:1272001813 2026-07-14 2026-07-14 f https://github.com/Moscvv/thm-cybersec-portfolio Write-ups from completed TryHackMe rooms — Linux privilege escalation, sudo buffer overflow (CVE-2019-18634), and OWASP Top 10 (2025). CVE-2019-18634 0 0 0 0 4677709407247159693 +github:333380316 2021-03-07 2026-04-11 f https://github.com/nth347/CVE-2021-3129_exploit Exploit for CVE-2021-3129 CVE-2021-3129 27 69 3 69 417192769239803686 +github:1247313590 2026-05-23 2026-05-23 f https://github.com/fineman999/POC_CVE-2024-12537 POC_CVE-2024-12537 CVE-2024-12537 0 0 0 0 280725378585998800 +github:1293338448 2026-07-08 2026-07-08 f https://github.com/zero-trace7/CVE-2026-50229 CVE-2026-50229 0 0 0 0 4158734207161104256 +github:713095922 2025-04-11 2025-04-11 f https://github.com/uthrasri/jetty-9.4.31.v20200723_CVE-2023-26049 CVE-2023-26049 0 0 1 0 6314907079138834935 +github:999652783 2025-06-10 2026-01-22 f https://github.com/BiiTts/Roundcube-CVE-2025-49113 Proof-of-concept to CVE-2025-49113 CVE-2025-49113 1 6 0 6 4198280550861651094 +github:1109472359 2025-12-08 2026-07-23 f https://github.com/ejpir/CVE-2025-55182-research CVE-2025-55182 POC CVE-2025-55182 202 796 4 796 845920186584114938 +github:127698499 2018-04-02 2018-04-02 f https://github.com/acole76/cve-2018-6574 CVE-2018-6574 0 0 1 0 3042341375377219455 +github:468214144 2022-03-10 2022-03-10 f https://github.com/PaoPaoLong-lab/Spring-CVE-2022-22947- CVE-2022-22947 0 0 1 0 4082326128135072018 +github:84655941 2017-09-15 2020-04-13 f https://github.com/initconf/CVE-2017-5638_struts detection for Apache Struts recon and compromise CVE-2017-5638 2 8 2 8 8683832148801718575 +github:1034621472 2025-10-29 2025-08-08 f https://github.com/Nick6371/CVE-2025-31722 Used to demo CVE-2025-31722. CVE-2025-31722 0 0 0 0 5729858003988746727 +github:318489452 2020-12-11 2020-12-11 f https://github.com/brahmiboudjema/CVE-2020-25637-libvirt-double-free Double Free CVE-2020-25637 0 0 1 0 3664017038743671113 +github:1245465553 2026-05-21 2026-06-16 f https://github.com/FaLLenSKiLL1/CVE-2024-6678 PoC for CVE-2024-6678 CVE-2024-6678 1 4 0 4 8763658746858902123 +github:708424437 2023-10-22 2023-10-22 f https://github.com/banyaksepuh/Mass-CVE-2021-3129-Scanner CVE-2021-3129 0 0 1 0 1192301409797594397 +github:1282224652 2026-06-27 2026-06-27 f https://github.com/renat0z3r0/prefect-cve-2026-5366 PoC for CVE-2026-5366: git argument injection in Prefect's GitRepository leading to RCE on the worker. CVE-2026-5366 0 0 0 0 7441697186156151447 +github:1109867793 2025-12-08 2026-07-24 f https://github.com/msanft/CVE-2025-55182 Explanation and full RCE PoC for CVE-2025-55182 CVE-2025-55182 198 1428 10 1428 3557373003202895966 +github:583519721 2022-12-30 2026-04-16 f https://github.com/sqsec/log4j2_CVE-2021-44228 CVE-2021-44228 0 0 1 0 5803020782801275734 +github:272513732 2022-02-17 2025-04-12 f https://github.com/martinsohn/CVE-2020-8816 A PoC for CVE-2020-8816 that does not use $PATH but $PWD and globbing CVE-2020-8816 1 1 1 1 2246993519527828867 +github:1271300298 2026-06-16 2026-06-16 f https://github.com/cc3305/CVE-2025-30208 CVE-2025-30208 exploit script CVE-2025-30208 0 0 0 0 759696741331199558 +github:296966855 2020-09-19 2020-09-19 f https://github.com/hectorgie/CVE-2020-1472 CVE-2020-1472 1 0 1 0 3829432583378867396 +github:1028885773 2025-07-30 2025-07-30 f https://github.com/joidiego/Detection-struts-cve-2017-5638-detector Real-time anomaly detection system for Apache Struts CVE-2017-5638 exploit using streaming analytics, 3-gram byte analysis, and Count-Min Sketch. Detects RCE attacks without signatures, with <5ms latency and <0.1% false positives. CVE-2017-5638 0 0 0 0 866097031580023605 +github:442533490 2021-12-28 2021-12-28 f https://github.com/PoneyClairDeLune/LogJackFix A spigot plugin to fix CVE-2021-44228 Log4j remote code execution vulnerability, to protect Minecraft clients. CVE-2021-44228 0 0 0 0 4707878235816619747 +github:349708763 2021-03-23 2022-10-15 f https://github.com/maximilianmarx/atutor-blind-sqli Exploiting CVE-2016-2555 enumerating and dumping the underlying Database. CVE-2016-2555 0 1 1 1 3082434617124383449 +github:154398082 2018-10-24 2024-08-12 f https://github.com/r3dxpl0it/CVE-2018-10933 CVE-2018-10933 POC (LIBSSH) CVE-2018-10933 3 1 0 1 8795323867109719604 +github:429816997 2021-11-19 2021-11-19 f https://github.com/Wing-song/CVE-2021-37580 Apache ShenYu 管理员认证绕过 CVE-2021-37580 0 0 1 0 1120264136448812222 +github:287762650 2020-08-16 2024-08-12 f https://github.com/dwisiswant0/CVE-2020-9496 CVE-2020-9496 3 3 1 3 6737245988998864095 +github:706569939 2023-10-18 2023-10-18 f https://github.com/cli-ish/CVE-2023-5540 CVE-2023-5540 0 0 1 0 5159675364062426115 +github:1043988012 2025-09-20 2025-09-20 f https://github.com/x0da6h/POC-for-CVE-2024-32019 CVE-2024-32019 0 1 0 1 3554616427526344068 +github:856852823 2024-09-26 2025-08-22 f https://github.com/daniellowrie/CVE-2024-36401-PoC Proof-of-Concept Exploit for CVE-2024-36401 GeoServer 2.25.1 CVE-2024-36401 3 3 1 3 1771513112519963899 +github:1092688816 2025-12-06 2025-12-06 f https://github.com/n0m-d/CVE-2021-40438-POC CVE-2021-40438 0 0 0 0 2060395636378904363 +github:438021782 2021-12-14 2021-12-14 f https://github.com/chilit-nl/log4shell-example The goal of this project is to demonstrate the log4j cve-2021-44228 exploit vulnerability in a spring-boot setup, and to show how to fix it. CVE-2021-44228 2 0 1 0 7291892159771184419 +github:1056869023 2025-09-17 2026-07-08 f https://github.com/EQSTLab/CVE-2025-3248 Langflow Remote Code Execution CVE-2025-3248 4 2 0 2 6354778697965912948 +github:122677679 2018-02-23 2018-10-04 f https://github.com/Alyssa-o-Herrera/CVE-2018-7197 CVE-2018-7197 Write up CVE-2018-7197 0 1 0 1 2280639710550610984 +github:1103227171 2025-11-24 2025-11-24 f https://github.com/Rivek619/CVE-2025-65672 Insecure Direct Object Reference (IDOR) in classroomio 0.1.13 allows unauthorized share and invite access to course settings. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-65672 0 0 0 0 8438245407636687879 +github:1115060201 2026-05-31 2026-06-21 f https://github.com/raivenLockdown/WEB-CLI_RCE_React2Shell WEB-CLI_RCE_React2Shell is an educational PoC exploit tool for CVE-2025-55182, a critical Prototype Pollution flaw in Next.js applications using React Server Components. Designed for CTFs and research, it features a single-command mode, an interactive web CLI, and reverse shell capabilities to demonstrate RCE. CVE-2025-55182 0 5 0 5 3092865018982343794 +github:789949659 2023-10-11 2024-04-22 f https://github.com/gmh5225/CVE-2022-24716-2 CVE-2022-24716 (Arbitrary File Disclosure Icingaweb2) CVE-2022-24716 1 0 0 0 7056537346611131263 +github:559712382 2022-11-01 2026-07-28 f https://github.com/colmmacc/CVE-2022-3602 CVE-2022-3602 30 169 4 169 4962312959819170640 +github:972491399 2025-04-25 2025-04-25 f https://github.com/fromitive/cve-2023-30861-poc Flask CVE-2023-30861 Poc 환경구축 CVE-2023-30861 0 0 1 0 451322735244130280 +github:837062013 2024-08-02 2026-03-16 f https://github.com/charchit-subedi/chamilo-lms-unauthenticated-rce-poc This is a script written in Python that allows the exploitation of the Chamilo's LMS software security flaw described in CVE-2023-4220 CVE-2023-4220 0 0 1 0 8993267597502317937 +github:1040293500 2025-09-22 2025-09-22 f https://github.com/Eyodav/CVE-2025-34157 A stored XSS in the project delete flow allows execution of attacker-controlled JavaScript in an administrator’s browser when the admin attempts to delete a project created by a low-privileged user. This can lead to takeover of the Coolify instance (cookies, API tokens, WebSocket/terminal actions) CVE-2025-34157 0 0 0 0 6980558733444808597 +github:1112752489 2025-12-10 2025-12-10 f https://github.com/sun977/CVE-2025-55182 CVE-2025-55182 检测方式和攻击利用 CVE-2025-55182 0 1 0 1 8899973786473655066 +github:227655174 2019-12-12 2022-01-04 f https://github.com/epsteina16/Docker-Escape-Miner Code sample for using exploit CVE-2019-5736 to mine bitcoin with no association to original container or user. CVE-2019-5736 0 3 1 3 8335330540060869448 +github:478371148 2022-04-06 2023-02-11 f https://github.com/irgoncalves/irule-cve-2022-22965 CVE-2022-22965 0 2 1 2 3442691201103993314 +github:953350869 2025-03-23 2025-03-23 f https://github.com/slytechroot/CVE-2024-23897 Jenkins RCE Arbitrary File Read CVE-2024-23897 CVE-2024-23897 0 0 1 0 4886583834921152262 +github:822860717 2024-07-02 2024-12-24 f https://github.com/betancour/OpenSSH-Vulnerability-test OpenSSH CVE-2024-6387 Vulnerability Checker CVE-2024-6387 0 2 1 2 6444514310621021756 +github:1110764889 2025-12-06 2025-12-06 f https://github.com/DrHaitham/Log4Shell-CVE-2021-44228 Hands-on lab for exploiting and understanding Log4Shell (CVE-2021-44228) using Docker, Kali Linux, Burp Suite and log4j-shell-poc. For teaching and defensive training in controlled lab environments only. CVE-2021-44228 0 0 0 0 3825807327977760204 +github:554214326 2022-10-19 2022-10-19 f https://github.com/onlyHerold22/CVE-2022-27925-PoC CVE-2022-27925 1 0 1 0 6758439488868073326 +github:1227033517 2026-06-21 2026-06-21 f https://github.com/Hunt-Benito/cve-2026-41200-stig-manager-oidc-reflected-xss CVE-2026-41200 0 0 0 0 3094202829946821808 +github:179544105 2019-07-21 2024-06-30 f https://github.com/danielthatcher/moodle-login-csrf Scripts for exploiting MSA-18-0020 (CVE-2018-16854) and MSA-19-0004 (CVE-2019-3847) CVE-2018-16854 0 7 1 7 2213650362515064335 +github:212644372 2019-10-03 2024-08-12 f https://github.com/CSSProject/libssh2-Exploit Create an exploit to libssh2 vulnerabulity described in CVE-2019-13115 CVE-2019-13115 1 0 2 0 7840159995720085045 +github:596406519 2023-01-24 2023-02-01 f https://github.com/long-rookie/CVE-2023-23488-PoC Unauthenticated SQL Injection - Paid Memberships Pro < 2.9.8 (WordPress Plugin) CVE-2023-23488 3 0 0 0 2945733488726903564 +github:822546559 2024-07-01 2026-07-27 f https://github.com/zgzhang/cve-2024-6387-poc a signal handler race condition in OpenSSH's server (sshd) CVE-2024-6387 183 494 4 494 8124536445184435793 +github:436590562 2021-12-16 2021-12-16 f https://github.com/fanygit/Grafana-CVE-2021-43798Exp CVE-2021-43798Exp多线程批量验证脚本 CVE-2021-43798 1 2 1 2 4675471744455881719 +github:1097233163 2025-11-15 2025-11-15 f https://github.com/pavanaa4k/CVE-2023-46604-LAB Detection, Exploit and Mitigation for CVE 2023 46604. CVE-2023-46604 0 0 0 0 3791586812515184229 +github:349418378 2021-05-04 2023-12-30 f https://github.com/Nickguitar/Jquery-File-Tree-1.6.6-Path-Traversal Jquery File Tree 1.6.6 Path Traversal exploit (CVE-2017-1000170) CVE-2017-1000170 0 4 1 4 6826810793153047059 +github:1184176726 2026-03-17 2026-03-17 f https://github.com/Glutenfree69/ZigRaceExploit CVE-2021-25741 POC in Zig CVE-2021-25741 0 0 0 0 3917508083563483157 +github:437397347 2021-12-15 2025-10-04 f https://github.com/irgoncalves/f5-waf-enforce-sig-CVE-2021-44228 This enforces signatures for CVE-2021-44228 across all policies on a BIG-IP ASM device CVE-2021-44228 3 6 2 6 2605170538813149230 +github:437919806 2021-12-24 2021-12-24 f https://github.com/kossatzd/log4j-CVE-2021-44228-test demo project to highlight how to execute the log4j (CVE-2021-44228) vulnerability CVE-2021-44228 2 0 1 0 7629932201172789772 +github:726420704 2023-12-09 2023-12-15 f https://github.com/hotblac/cve-2023-34034 Demonstration of CVE-2023-24034 authorization bypass in Spring Security CVE-2023-34034 1 1 1 1 2970297592778491336 +github:244424491 2026-07-15 2026-07-23 f https://github.com/martinclauss/exim-rce-cve-2018-6789 This repository provides a learning environment to understand how an Exim RCE exploit for CVE-2018-6789 works. CVE-2018-6789 7 11 1 11 8660803528358979334 +github:1079148158 2025-10-20 2025-12-04 f https://github.com/Oneton429/CVE-2016-3627 PoC of CVE-2016-3627 CVE-2016-3627 0 1 0 1 3356929621508150470 +github:1206237834 2026-04-14 2026-04-16 f https://github.com/jdormannn/SecureOps-Lab Performed a live cybersecurity assessment on a university Linux server. During analysis, active attack activity was identified, including brute-force authentication attempts and exploitation attempts targeting Log4Shell (CVE-2021-44228). CVE-2021-44228 0 0 0 0 4883107999963694134 +github:360292539 2021-04-24 2021-05-19 f https://github.com/Mesh3l911/CVE-2021-31762 Exploiting a Cross-site request forgery (CSRF) attack to creat a new privileged user through the Webmin's add users feature CVE-2021-31762 0 1 1 1 422768030005337278 +github:537019898 2022-09-15 2022-09-16 f https://github.com/mightysai1997/CVE-2021-41773m CVE-2021-41773 0 1 1 1 4420396667829639181 +github:781230884 2024-04-03 2024-04-03 f https://github.com/david-botelho-mariano/exploit-CVE-2023-27564 CVE-2023-27564 0 0 1 0 3490063930596961858 +github:1004551644 2026-01-26 2026-01-26 f https://github.com/rasinfosec/CVE-2018-25031 CVE-2018-25031 0 0 0 0 2546552485965324710 +github:297260718 2020-09-21 2020-09-21 f https://github.com/t31m0/CVE-2020-1472 CVE-2020-1472 0 0 1 0 2364425094141724107 +github:1235030462 2026-05-11 2026-05-11 f https://github.com/mlbrilliance/aurora-demo-lockfile AURORA demo target — deliberately vulnerable lockfiles (CVE-2019-10744, CVE-2018-18074, CVE-2020-26160) CVE-2018-18074 0 0 0 0 2511766734432619672 +github:1050343736 2025-09-05 2025-09-13 f https://github.com/6lj/EVIL-CVE-2021-23017-Update-2025 vulnerability in NGINX servers (versions 0.6.18–1.20.0). The scripts aim to cause a Denial of Service (DoS) by sending malicious DNS responses, with enhancements to bypass firewalls. CVE-2021-23017 0 1 0 1 235908708501312819 +github:1212010057 2026-04-16 2026-04-16 f https://github.com/rippsec/CVE-2025-27591-Meta-below-LPE CVE-2025-27591 – Meta below symlink following local privilege escalation (HackTheBox CTF) CVE-2025-27591 0 0 0 0 2384447247485265614 +github:574004315 2024-03-26 2022-12-04 f https://github.com/sidrk01/cve-2016-0728 Exploit from perception point CVE-2016-0728 1 0 1 0 3647699441535274690 +github:415761005 2021-10-14 2021-10-14 f https://github.com/ch4os443/CVE-2021-41773 Apache HTTP Server 2.4.49, 2.4.50 - Path Traversal & RCE CVE-2021-41773 0 0 1 0 9183601487225517247 +github:972544311 2025-04-25 2026-04-06 f https://github.com/EQSTLab/CVE-2025-29927 Next.js middleware bypass exploit CVE-2025-29927 0 2 1 2 1133740503013754388 +github:246794448 2020-03-12 2024-08-12 f https://github.com/ShayNehmad/twoplustwo Implementing CVE-2020-0601 CVE-2020-0601 1 0 1 0 7735834301641356821 +github:1251278410 2026-05-27 2026-05-27 f https://github.com/march0n/PoC-CVE-2022-22965-Spring4Shell Description CVE-2022-22965 0 0 0 0 4090546373887541314 +github:804727102 2024-05-23 2024-05-23 f https://github.com/WOOOOONG/CVE-2024-32002 PoC Exploit for CVE-2024-32002 CVE-2024-32002 0 0 1 0 758947411503994137 +github:1111189597 2025-12-06 2025-12-06 f https://github.com/philparzer/nextjs-react2shell-detect chrome extension to detect next.js sites vulnerable to CVE-2025-55182 (react2shell) CVE-2025-55182 0 2 0 2 1284630428317019349 +github:1269848246 2026-06-21 2026-06-21 f https://github.com/AnandJogawade/CVE-2026-48849-Roundcube-Webmail-Stored-XSS This repository documents CVE-2026-48849, a Stored Cross-Site Scripting (XSS), HTML Injection, and CSS Injection vulnerability discovered in Roundcube Webmai CVE-2026-48849 0 1 0 1 6076973991590879804 +github:322199299 2020-12-17 2020-12-17 f https://github.com/shubham0d/CVE-2020-27955 POC for CVE-2020-27955 CVE-2020-27955 0 0 1 0 3802960450611245661 +github:1110069093 2025-12-04 2025-12-04 f https://github.com/im-hanzou/CVE-2025-55182-POC-SCANNER Unified Security Research Tool CVE-2025-55182 0 0 0 0 490727024252886603 +github:1055282090 2025-09-12 2026-07-08 f https://github.com/mrk336/CVE-2024-3094 CVE-2024-3094 exposed a backdoor in the XZ compression library, allowing remote SSH access by bypassing authentication. It’s a major supply chain attack affecting Linux systems, highlighting risks in trusted open-source components. CVE-2024-3094 0 1 0 1 2202044872871960714 +github:458793708 2021-05-27 2022-08-29 f https://github.com/gmohlamo/CVE-2017-8917 Python exploit for CVE-2017-8917 - Joomla 3.7.0 'com_fields' SQL Injection CVE-2017-8917 3 0 0 0 386436048811477143 +github:691019952 2023-09-13 2023-09-13 f https://github.com/Trinadh465/external_tcpdump_CVE-2018-14879 CVE-2018-14879 0 0 1 0 2003607839079142084 +github:361512339 2021-04-25 2021-06-13 f https://github.com/edsonjt81/sudo-cve-2019-18634 CVE-2019-18634 0 0 1 0 8782468609524526297 +github:1029155867 2026-07-27 2026-07-27 f https://github.com/sakthivel10q/CVE-2025-14847 🛠 Exploit the CVE-2025-14847 vulnerability in MongoDB to disclose sensitive heap memory using a Python script that analyzes responses for new leaked data. CVE-2025-14847 1 1 0 1 701697162929550715 +github:1022278439 2025-07-18 2025-07-18 f https://github.com/0xC4J/CVE-Lists CVE-2025-46099 CVE-2025-46099 0 0 0 0 6216243877523819006 +github:1076189202 2025-10-14 2025-11-15 f https://github.com/URJACK2025/CVE-2022-41678 CVE-2022-41678 是 Apache ActiveMQ 中的一个远程代码执行漏洞。该漏洞允许攻击者通过 JMX (Java Management Extensions) 接口修改 Log4j 配置或 JFR (Java Flight Recorder) 配置，从而写入恶意的 JSP webshell 到服务器的 web 目录中，最终实现远程代码执行。 CVE-2022-41678 0 2 0 2 170930593504782419 +github:1116421090 2025-12-15 2025-12-15 f https://github.com/SoftAndoWetto/CVE-2025-24367-PoC-Cacti Authenticated RCE PoC for Cacti (CVE‑2025‑24367). Uses graph template injection to write and execute a payload via the “Unix – Logged in Users” template. Intended for labs and controlled testing only. CVE-2025-24367 1 0 0 0 8364730580572377854 +github:967544693 2025-04-16 2025-04-16 f https://github.com/ZeeshanGondal0007/c-cpp_CVE-2018-17229 CVE-2018-17229 0 0 1 0 2411104399466864760 +github:1170155222 2026-03-01 2026-03-01 f https://github.com/real-tim-johnston/megaquagga-pentest-report Black box penetration test — WordPress exploitation, privilege escalation via CVE-2022-0847 CVE-2022-0847 0 0 0 0 1845545052689823467 +github:391631988 2026-01-09 2026-01-09 f https://github.com/pandatix/CVE-2021-28378 CVE-2021-28378 0 4 1 4 7049483983626637748 +github:1126848779 2026-01-02 2026-06-10 f https://github.com/g0vguy/CVE-2025-61922-PoC A simple, educational proof-of-concept script demonstrating the zero-click account takeover vulnerability in the PrestaShop Checkout module (CVE-2025-61922). CVE-2025-61922 1 11 0 11 5119035138427016678 +github:664381353 2023-07-09 2024-03-08 f https://github.com/AXRoux/Ghost-Path-Traversal-CVE-2023-32235- A Directory Traversal attack (also known as path traversal) aims to access files and directories that are stored outside the intended folder. CVE-2023-32235 1 4 1 4 1371231788479140262 +github:835035053 2024-07-29 2024-09-23 f https://github.com/MXWXZ/CVE-2024-34144 PoC for CVE-2024-34144 CVE-2024-34144 0 2 1 2 2789388532373832018 +github:831572355 2024-07-21 2026-06-26 f https://github.com/bigb0x/CVE-2024-40348 POC for CVE-2024-40348. Will attempt to read /etc/passwd from target CVE-2024-40348 7 31 1 31 7120792905252660168 +github:477788509 2022-04-04 2022-06-03 f https://github.com/twseptian/cve-2022-22965 Spring4Shell - CVE-2022-22965 CVE-2022-22965 0 2 1 2 3172456034872364616 +github:175966226 2021-04-05 2025-11-14 f https://github.com/mpgn/CVE-2019-5418 CVE-2019-5418 - File Content Disclosure on Ruby on Rails CVE-2019-5418 22 201 2 201 7123276514366333022 +github:1182612184 2026-03-15 2026-03-15 f https://github.com/Nanxsec/exploitApache exploit para a CVE-2021-41773:Path Traversal cgi-bin CVE-2021-41773 0 0 0 0 6960053603242904867 +github:581961241 2023-11-14 2022-12-25 f https://github.com/hycheng15/CVE-2021-3156 CVE-2021-3156 0 0 1 0 5039485641585263973 +github:1110103630 2025-12-04 2026-04-15 f https://github.com/MrR0b0t19/CVE-2025-55182-shellinteractive CVE-2025-55182 3 21 0 21 9050137020505930674 +github:176511633 2019-03-19 2019-03-19 f https://github.com/dollyptm/cve-2018-6574 CVE-2018-6574 0 0 1 0 952683349902678436 +github:212954402 2019-10-08 2023-02-03 f https://github.com/TulungagungCyberLink/CVE-2019-11932 Double-Free BUG in WhatsApp exploit poc. CVE-2019-11932 3 4 0 4 6748903907393662317 +github:1310832690 2026-07-24 2026-07-24 f https://github.com/razureink/cve-2021-44228-log4shell_rce_reproduction CVE-2021-44228 Log4Shell - Apache Log4j2 JNDI Injection RCE CVE-2021-44228 0 0 0 0 4579891095178083820 +github:822404987 2024-07-01 2024-07-01 f https://github.com/cmsec423/Magento-XXE-CVE-2024-34102 CVE-2024-34102 0 0 1 0 6047690711572255805 +github:1114193357 2025-12-11 2026-05-16 f https://github.com/open-flaw/CVE-2025-12758 CVE-2025-12758 0 0 0 0 6039854021543285530 +github:533884028 2022-09-07 2022-09-07 f https://github.com/hasharmujahid/CVE-2018-6574-go-get-RCE The issue is due to the fact that when installing a package, Golang will build native extensions. This can be used to pass additional flags to the compiler to gain code execution. For example, CFLAGS can be used. CVE-2018-6574 0 0 1 0 4246409437339972386 +github:767120196 2024-03-04 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2021-43798-EXPLOIT A PoC exploit for CVE-2021-43798 - Grafana Directory Traversal CVE-2021-43798 1 4 1 4 9137088007694045480 +github:947824333 2025-04-02 2026-07-03 f https://github.com/iSee857/CVE-2025-24813-PoC Apache Tomcat 远程代码执行漏洞批量检测脚本(CVE-2025-24813) CVE-2025-24813 28 98 3 98 367359238778200819 +github:1017687828 2026-01-11 2026-01-15 f https://github.com/lukehebe/CVE-2018-1049-POC CVE-2018-1049 0 0 0 0 1305826672564066452 +github:711086468 2023-10-28 2026-01-10 f https://github.com/0xKayala/CVE-2023-33246 CVE-2023-33246 - Apache RocketMQ config RCE CVE-2023-33246 0 2 1 2 6721813015395546835 +github:826590216 2024-07-10 2025-04-06 f https://github.com/krishnan-tech/CVE-2023-4226-POC POC for CVE-2023-4220 - Chamilo LMS Unauthenticated Big Upload File Remote Code Execution CVE-2023-4226 1 1 1 1 6790473124915435799 +github:1056648106 2025-09-24 2025-09-24 f https://github.com/xV4nd3Rx/CVE-2025-57819_FreePBX-PoC Safe, read-only SQL Injection checker for FreePBX (CVE-2025-57819), using error/boolean/time-based techniques with per-parameter verdicts and JSON reporting. CVE-2025-57819 0 1 0 1 483995848099956817 +github:875233508 2024-10-19 2025-10-29 f https://github.com/fazilbaig1/CVE-2021-32708 Affected versions of this package are vulnerable to Race Condition. The whitespace normalisation using in 1.x and 2.x removes any unicode whitespace. Under certain specific conditions this could potentially allow a malicious user to execute code remotely. CVE-2021-32708 0 1 1 1 3548788819114134523 +github:180108074 2022-03-10 2019-04-08 f https://github.com/qweraqq/CVE-2018-6574 A simple POC for CVE-2018-6574 CVE-2018-6574 2 0 1 0 7339999571830719941 +github:435659288 2021-12-08 2021-12-08 f https://github.com/Asaad27/CVE-2021-22204-RSE reverse shell execution exploit of CVE 22204 CVE-2021-22204 0 0 1 0 6000146621679103484 +github:416271934 2022-09-16 2022-01-01 f https://github.com/Edgarloyola/CVE-2021-40905 CVE-2021-40905 0 0 1 0 5105360486057546034 +github:632200273 2023-04-24 2025-10-22 f https://github.com/Saboor-Hakimi/CVE-2023-22894 CVE-2023-22894 CVE-2023-22894 2 13 1 13 6306241594762471670 +github:1225184325 2026-05-12 2026-05-12 f https://github.com/ngtuonghung/CVE-2022-27666 CVE-2022-27666 0 0 0 0 2432879579475187315 +github:1148906717 2026-02-03 2026-02-03 f https://github.com/MuhammadUwais/React2Shell A Firefox extension for detecting React2Shell vulnerabilities (CVE-2025-55182 & CVE-2025-66478) in web applications. CVE-2025-55182 0 2 0 2 8928854723158493784 +github:1272400211 2026-06-17 2026-06-17 f https://github.com/hulina9900-boop/DIY-CVE-2026-42945-POC CVE-2026-42945 0 0 0 0 4033826499393981763 +github:1100070375 2026-06-28 2026-07-13 f https://github.com/0x00Jeff/CVE-2025-27591 self cleaning CVE-2025-27591 Poc that grants a root reverse shell instead of modifying passwd files CVE-2025-27591 1 15 0 15 1469052306792066279 +github:1271556106 2026-06-16 2026-06-16 f https://github.com/sourcecode347/CVE-2026-9082-Mass_Scanner Mass Scanner For Drupal Exploit CVE-2026-9082 CVE-2026-9082 0 1 0 1 948707887817476422 +github:233960159 2022-07-09 2024-08-12 f https://github.com/0xxon/cve-2020-0601 Zeek package to detect CVE-2020-0601 CVE-2020-0601 9 35 4 35 1079223843573627577 +github:995213914 2025-06-03 2025-06-03 f https://github.com/imbas007/CVE-2025-4123-template CVE-2025-4123 0 0 0 0 1462561448179521516 +github:616849946 2023-03-21 2023-03-21 f https://github.com/G37SYS73M/CVE-2022-36193 SQL injection in School Management System 1.0 allows remote attackers to modify or delete data, causing persistent changes to the application's content or behavior by using malicious SQL queries. CVE-2022-36193 0 0 1 0 1132531296437853290 +github:1042597469 2025-08-27 2025-08-27 f https://github.com/Eyodav/CVE-2025-34159 A critical Remote Code Execution (RCE) vulnerability exists in Coolify's application deployment workflow. This flaw allows a low-privileged member to inject arbitrary Docker Compose directives during project creation or updates. By defining a malicious service that mounts the host filesystem an attacker can achieve root-level command execution on CVE-2025-34159 0 0 0 0 7801496426103712143 +github:1058707508 2025-09-17 2025-09-17 f https://github.com/onniio/CVE-2025-49144 CVE-2025-49144 0 0 0 0 9217077757402943967 +github:1252807835 2026-05-28 2026-07-11 f https://github.com/atiilla/Notepad-8.9.6-PoC Proof-of-concept scripts for three vulnerabilities in Notepad++ <= 8.9.6, patched in v8.9.6.1 (2026-05-26) CVE-2026-48770 / CVE-2026-48778 / CVE-2026-48800 CVE-2026-48770 3 6 0 6 4898438903994596675 +github:736614226 2024-01-10 2025-06-17 f https://github.com/MasterCode112/CVE-2023-27163 Proof of Concept for Server Side Request Forgery (SSRF) in request-baskets (V<= v.1.2.1) CVE-2023-27163 0 2 1 2 1458424571013853720 +github:1154039172 2026-02-10 2026-02-10 f https://github.com/George0Papasotiriou/CVE-2025-55182-React2Shell-CVSS-10.0- CVE-2025-55182 0 1 0 1 1565034626443496371 +github:1150092074 2026-02-04 2026-02-10 f https://github.com/cypherdavy/CVE-2025-69906-Monstra-CMS-3.0.4-Arbitrary-File-Upload-to-RCE CVE-2025-69906 1 3 0 3 7282584805488212331 +github:825485916 2024-07-14 2024-07-14 f https://github.com/cscpwn0sec/CVE-2021-20323 Exploitation Scanner Cross Site Scripting vulnerability in Keycloak. CVE-2021-20323 0 0 0 0 1052495762418764324 +github:438541418 2021-12-15 2021-12-16 f https://github.com/rgl/log4j-log4shell-playground A playground for poking at the Log4Shell (CVE-2021-44228) vulnerability mitigations CVE-2021-44228 0 1 1 1 2795536727393457163 +github:1298387699 2026-07-12 2026-07-12 f https://github.com/ninthsgrsj-source/vulhub-apache cve-2021-41773 CVE-2021-41773 0 0 0 0 1275767623860363495 +github:610209003 2023-03-07 2023-03-20 f https://github.com/antoinenguyen-09/CVE-2022-35649 Payload Generator and Detailed Analysis about CVE-2022-35649 CVE-2022-35649 0 0 1 0 9348315993646981 +github:1130112057 2026-01-08 2026-02-10 f https://github.com/flame-11/CVE-2025-54068-livewire CVE-2025-54068 0 1 0 1 3551858110526157225 +github:517981801 2022-07-26 2026-06-20 f https://github.com/st9007a/CVE-2019-12735 A demo for cve-2019-12735 CVE-2019-12735 0 0 1 0 6376034050006857467 +github:966221947 2025-04-14 2025-04-14 f https://github.com/mbadanoiu/CVE-2020-13941 CVE-2020-13941: Abusing UNC Paths in Windows Environments in Apache Solr CVE-2020-13941 0 0 1 0 8700173297894515381 +github:371456128 2020-10-17 2021-05-27 f https://github.com/Alaa-abdulridha/GLiferay-CVE-2020-7961-golang Detect vulns liferay CVE-2020-7961 by Nattroc (EOG Team) CVE-2020-7961 0 0 0 0 6294855826306201823 +github:766195734 2024-03-06 2026-05-15 f https://github.com/elpe-pinillo/CVE-2023-6246 CVE-2023-6246 5 8 1 8 1093456483067615271 +github:1305540366 2026-07-19 2026-07-19 f https://github.com/ChiefYoru/CVE-2026-48907_PoC Unauthenticated Remote Code Execution (RCE) vulnerability in the JCE (Joomla Content Editor) extension for Joomla CVE-2026-48907 0 1 0 1 8682193901224421622 +github:1038979437 2025-08-16 2025-08-16 f https://github.com/shoucheng3/jenkinsci__git-client-plugin_CVE-2019-10392_2-8-4 CVE-2019-10392 0 0 0 0 3794570968134945676 +github:442222189 2021-12-27 2021-12-28 f https://github.com/Ravid-CheckMarx/CVE-2021-44228-Apache-Log4j-Rce-main CVE-2021-44228 0 0 1 0 1713970680765174221 +github:894494079 2024-12-01 2026-01-11 f https://github.com/ph0ebus/CVE-2022-25845-In-Spring exploit by python CVE-2022-25845 0 7 1 7 8516024514194044925 +github:844197058 2024-08-18 2024-08-20 f https://github.com/cyberaz0r/Typecho-Multiple-Vulnerabilities Exploits for Typecho CVE-2024-35538, CVE-2024-35539 and CVE-2024-35540 CVE-2024-35538 0 1 1 1 3033676332867465996 +github:477719633 2023-04-27 2023-11-24 f https://github.com/sunnyvale-it/CVE-2022-22965-PoC CVE-2022-22965 (Spring4Shell) Proof of Concept CVE-2022-22965 3 7 0 7 3643526265760268927 +github:843144280 2024-08-15 2024-08-15 f https://github.com/njmbb8/CVE-2024-42849 An issue in Silverpeas v.6.4.2 and lower allows a remote attacker to cause a denial of service via the password change function. CVE-2024-42849 0 0 1 0 1167268093969040560 +github:1092804362 2026-01-09 2026-01-09 f https://github.com/xvk1t1/Open5GS-CVE-2025-41067-CVE-2025-41068-PoC This repository contains the Proof-of-Concept (PoC) exploit scripts for two vulnerabilities, CVE-2025-41067 and CVE-2025-41068. These vulnerabilities affect the NRF (Network Repository Function) component of Open5GS in versions prior to 2.7.6 and can be triggered by an attacker to cause a Denial of Service (DoS). CVE-2025-41067 0 0 0 0 5862736146983031839 +github:371762513 2021-05-28 2022-11-25 f https://github.com/mrg3ntl3m4n/CVE-2020-14295 Proof of Concept for CVE-2020-14295. CVE-2020-14295 0 0 1 0 2771020245575338240 +github:351367125 2021-03-25 2024-08-12 f https://github.com/dskho/CVE-2021-26295 CVE-2021-26295 EXP 可成功反弹Shell CVE-2021-26295 10 0 0 0 8844076568659484503 +github:1117970784 2025-12-17 2026-07-08 f https://github.com/richard-natan/PoC-CVE-2025-66224 CVE-2025-66224 0 2 0 2 5764263612703598715 +github:153306341 2018-10-16 2024-08-12 f https://github.com/shutingrz/CVE-2017-15120_PoC PowerDNS CVE-2017-15120 / DO NOT ABUSE CVE-2017-15120 3 0 1 0 2739981663818549871 +github:422466104 2021-10-29 2021-10-29 f https://github.com/wolf1892/CVE-2021-41773 Setup vulnerable enviornment CVE-2021-41773 0 0 1 0 7481533536362673870 +github:1039048380 2025-08-16 2025-08-16 f https://github.com/sPhyos/cve-2024-32019-PoC CVE-2024-32019 0 0 1 0 8649734583958186165 +github:1057656462 2025-09-16 2025-09-16 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10076_2_11_0_M4_fixed CVE-2019-10076 0 0 0 0 8894846674900605080 +github:1124270373 2025-12-28 2025-12-28 f https://github.com/JemHadar/MongoBleed-DFIR-Triage-Script-CVE-2025-14847 The script focuses on safe artifact acquisition first, followed by optional on-host analysis, and produces a portable, hashed forensic archive suitable for offline investigation on a forensic workstation. CVE-2025-14847 0 0 0 0 1683637546577483699 +github:972980852 2025-04-26 2025-04-27 f https://github.com/chhhd/CVE-2025-1974 CVE-2025-1974 1 1 1 1 2953592598027139668 +github:528805450 2022-08-29 2026-07-08 f https://github.com/aels/CVE-2022-37042 Zimbra CVE-2022-37042 Nuclei weaponized template CVE-2022-37042 11 18 1 18 1650037657006596877 +github:1291438622 2026-07-07 2026-07-07 f https://github.com/luisdalmolin/recon-test-livewire Test target: fresh Laravel 12 app with Livewire pinned to vulnerable 3.6.3 (CVE-2025-54068) for recon scanning CVE-2025-54068 0 0 0 0 6681006939696489400 +github:215227089 2019-10-15 2024-08-12 f https://github.com/FauxFaux/sudo-cve-2019-14287 CVE-2019-14287 1 1 1 1 5222646902278736268 +github:249670608 2024-02-23 2024-08-12 f https://github.com/rails-lts/json_cve_2020_10663 Workaround for CVE-2020-10663 (vulnerability in json gem) CVE-2020-10663 2 3 2 3 3339836367613378543 +github:1135952705 2026-01-16 2026-01-16 f https://github.com/sudo0xksh/cve-2021-41773-checker A simple Python proof-of-concept tool to check for Apache path traversal vulnerability (CVE-2021-41773). Detects vulnerable server versions and verifies exploitation by probing sensitive files. Built for learning CVE analysis, not mass exploitation. CVE-2021-41773 0 0 0 0 1639417714091986203 +github:1268013266 2026-06-13 2026-07-26 f https://github.com/dinosn/CVE-2026-25243 CVE-2026-25243 — Redis RESTORE zipmap double-free → remote code execution (ASLR on). CVE-2026-25243 0 12 0 12 7014295040525381872 +github:87695524 2018-09-01 2024-08-12 f https://github.com/tahmed11/strutsy Strutsy - Mass exploitation of Apache Struts (CVE-2017-5638) vulnerability CVE-2017-5638 12 10 1 10 477570370230316344 +github:1273293218 2026-06-19 2026-06-19 f https://github.com/InertFluid/cve-2026-54316-lab Reproduction lab for CVE-2026-54316 (Claude Code WebFetch huggingface.co bare-hostname permission bypass / exfiltration) CVE-2026-54316 1 0 0 0 6615653061639799517 +github:707535778 2024-01-29 2026-01-11 f https://github.com/X1r0z/spring-amqp-deserialization PoC of Spring AMQP Deserialization Vulnerability (CVE-2023-34050) CVE-2023-34050 3 13 1 13 6699336105173356471 +github:1301182296 2026-07-15 2026-07-15 f https://github.com/MoTechStore/CVE-2025-27591-PoC # CVE-2025-27591 PoC — Below Local Privilege Escalation This repository contains a Proof of Concept (PoC) demonstrating the local privilege escalation vulnerability identified as **CVE-2025-27591** in **Below**, a Linux system observability tool. CVE-2025-27591 0 0 0 0 5523723485366652846 +github:194002154 2019-06-27 2025-03-08 f https://github.com/AzizMea/CVE-2019-10149-privilege-escalation CVE-2019-10149 privilege escalation CVE-2019-10149 5 9 1 9 6529168915508856670 +github:885154667 2024-11-08 2024-11-20 f https://github.com/nuridincersaygili/CVE-2024-2928 Arbitrary file read exploit for CVE-2024-2928 in mlflow CVE-2024-2928 0 3 1 3 6757102640984768082 +github:1175316221 2026-03-07 2026-06-18 f https://github.com/joshuavanderpoll/cve-2025-32433 Go PoC for CVE-2025-32433 — unauthenticated RCE in Erlang/OTP SSH. CVE-2025-32433 0 2 0 2 3626892003482961469 +github:721014510 2023-11-03 2023-11-20 f https://github.com/CrackerCat/ActiveMQ_RCE_Pro_Max CVE-2023-46604 CVE-2023-46604 1 0 0 0 2990197413627939643 +github:246165139 2020-03-09 2024-08-12 f https://github.com/dpmdpm2/CVE-2020-5254 CVE-2020-5254 1 2 1 2 8135834040126629688 +github:701997863 2023-10-08 2023-10-08 f https://github.com/yxl2001/CVE-2023-38646 CVE-2023-38646 0 0 1 0 1970608602982671827 +github:120927347 2018-02-09 2024-08-12 f https://github.com/0x00-0x00/CVE-2016-2098 Ruby On Rails unrestricted render() exploit CVE-2016-2098 4 16 2 16 2693683611408954659 +github:470075351 2022-03-15 2022-04-04 f https://github.com/bysinks/CVE-2022-22947 CVE-2022-22947 0 1 1 1 1315637744257064173 +github:448138999 2022-02-16 2022-04-19 f https://github.com/TheGetch/CVE-2022-23378 Authenticated reflected XSS in TastyIgniter version v3.2.2. CVE-2022-23378 0 0 1 0 5844098392772444180 +github:839739992 2024-08-08 2026-07-17 f https://github.com/HwMex0/CVE-2024-43044 The script checks Jenkins endpoints for CVE-2024-43044 by retrieving the Jenkins version from the innstance and comparing it against known vulnerable version ranges. CVE-2024-43044 6 22 1 22 6032184288908618033 +github:1112914056 2025-12-09 2026-05-18 f https://github.com/ilixm/PoC-RCE-CVE-2025-55182 CVE-2025-55182 0 0 0 0 5441184870940184660 +github:1133678416 2026-01-13 2026-01-13 f https://github.com/Least-Significant-Bit/CVE-2025-55182 Remote code execution for React Server Components 19.0.0 - 19.2.0 CVE-2025-55182 0 0 0 0 7263698080531936230 +github:1313007844 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66754-Remote-Denial-of-Service-via-Reachable-Assertion-in-URL-Prefix-Handling-rouille- Security Advisory: Remote Denial of Service via Reachable Assertion in URL Prefix Handling (rouille) CVE-2026-66754 0 0 0 0 4664414149577861643 +github:218048404 2019-10-30 2019-10-30 f https://github.com/asavior2/CVE-2018-6574 CVE-2018-6574 go get RCE CVE-2018-6574 0 0 1 0 1359690568538575684 +github:786354163 2024-04-14 2026-04-05 f https://github.com/chanbakjsd/CVE-2019-18634 A reproduction of CVE-2019-18634, sudo privilege escalation with buffer overflow. CVE-2019-18634 1 3 1 3 3429850339525656957 +github:1045366400 2025-08-27 2025-08-27 f https://github.com/slicingmelon/HAProxy-CVE-2023-45539-PoC HAProxy-CVE-2023-45539-PoC CVE-2023-45539 0 0 0 0 5169703777789635941 +github:933867135 2025-02-16 2026-01-31 f https://github.com/czeti/CVE-2024-48990_needrestart Exploit for CVE-2024-48990 - Privilege Escalation in Needrestart 3.7-3. For eductional purposes only CVE-2024-48990 1 5 1 5 8236559485598745358 +github:437031223 2022-01-13 2024-08-24 f https://github.com/lhotari/pulsar-docker-images-patch-CVE-2021-44228 Patch Pulsar Docker images with Log4J 2.17.1 update to mitigate Apache Log4J Security Vulnerabilities including Log4Shell CVE-2021-44228 1 1 1 1 3834355052821144122 +github:1236889263 2026-05-27 2026-05-27 f https://github.com/emanuelepns/immich-exfiltration-demo Cybersecurity demo exploiting CVE-2026-35455 with automatic API key generation and exfiltration CVE-2026-35455 0 0 0 0 3963594234910922001 +github:388209239 2021-07-25 2023-09-08 f https://github.com/baerwolf/cve-2021-33909 This module fixes an issue in the kernels filesystem layer (CVE-2021-33909) by kprobe-replacing vulnerable functions during runtime CVE-2021-33909 4 6 1 6 7520506073413422992 +github:494413902 2022-07-25 2026-07-07 f https://github.com/ly1g3/Mailcow-CVE-2022-31245 CVE-2022-31245: RCE and domain admin privilege escalation for Mailcow CVE-2022-31245 7 12 2 12 6186703705839804998 +github:953117790 2025-06-14 2026-03-07 f https://github.com/serhalp/test-cve-2025-29927 Verify Next.js CVE-2025-29927 on Netlify not vulnerable CVE-2025-29927 0 0 1 0 164723679626699639 +github:437249303 2021-12-11 2025-10-12 f https://github.com/toramanemre/log4j-rce-detect-waf-bypass A Nuclei Template for Apache Log4j RCE (CVE-2021-44228) Detection with WAF Bypass Payloads CVE-2021-44228 9 23 2 23 718321923491128652 +github:929602096 2025-02-11 2025-02-11 f https://github.com/czeti/baron-samedit This repository contains a Proof-of-Concept (PoC) exploit for the Baron Samedit vulnerability (CVE-2021-3156). The exploit demonstrates privilege escalation on Ubuntu 20.04 with sudo version 1.8.31 and glibc version 2.31. It includes an assembly-based exploit, a shared object payload, and a Makefile for automated compilation. CVE-2021-3156 0 0 1 0 5027400698401065886 +github:477360887 2022-04-03 2024-03-19 f https://github.com/0xr1l3s/CVE-2022-0847 Linux “Dirty Pipe” vulnerability gives unprivileged users root access CVE-2022-0847 2 0 1 0 1210855468526884398 +github:682662263 2023-11-28 2025-07-04 f https://github.com/mind2hex/CVE-2022-39986-RaspAP-2.8.0-2.8.7-RCE bash script for automated discovery and exploitation of machines with the CVE-2022-39986 vulnerability CVE-2022-39986 0 0 1 0 3396366979748379982 +github:990088723 2025-05-25 2026-03-05 f https://github.com/mbanyamer/Apache-Tomcat---Remote-Code-Execution-via-Session-Deserialization-CVE-2025-24813- Apache Tomcat - Remote Code Execution via Session Deserialization (CVE-2025-24813) CVE-2025-24813 3 18 0 18 1390693700026044001 +github:334128649 2021-01-29 2021-04-29 f https://github.com/freeFV/CVE-2021-3156 CVE-2021-3156 0 0 0 0 799120349893797624 +github:809872637 2024-06-03 2025-09-25 f https://github.com/Mr-xn/CVE-2024-32113 Apache OFBIZ Path traversal leading to RCE POC[CVE-2024-32113 & CVE-2024-36104] CVE-2024-32113 7 27 1 27 7782722141878888685 +github:1175612324 2026-03-09 2026-06-09 f https://github.com/plur1bu5/CVE-2024-51482-PoC Authenticated time-based blind SQL injection PoC for ZoneMinder CVE-2024-51482 (v1.37.* <= 1.37.64) CVE-2024-51482 0 14 0 14 2276544614654761316 +github:1110431628 2025-12-05 2025-12-05 f https://github.com/younesZdDz/CVE-2025-55182 CVE-2025-55182 0 0 0 0 5101574689423595453 +github:1312164923 2026-07-25 2026-07-25 f https://github.com/joaovicdev/EXPLOIT-CVE-2026-26216 CVE-2026-26216 0 0 0 0 6279434928912540621 +github:271482237 2020-05-17 2021-04-04 f https://github.com/wifido/CVE-2017-9805-Exploit Struts 2.5 - 2.5.12 REST Plugin XStream RCE CVE-2017-9805 0 0 0 0 264562483889906069 +github:296529902 2020-10-04 2020-10-04 f https://github.com/M108Falcon/Sudo-CVE-2019-14287 Scripts to verify and execute CVE-2019-14287 as part of Research CVE-2019-14287 0 0 1 0 6437697035812857342 +github:875929293 2025-03-09 2026-02-13 f https://github.com/pankass/CVE-2024-37032_CVE-2024-45436 CVE-2024-45436 CVE-2024-37032 0 8 1 8 930833964744196539 +github:600164977 2023-02-10 2026-01-20 f https://github.com/BKreisel/CVE-2022-23935 🐍 Python Exploit for CVE-2022-23935 CVE-2022-23935 2 11 1 11 764419747328227708 +github:155380204 2018-11-15 2018-11-15 f https://github.com/matlink/evince-cve-2017-1000083 CVE-2017-1000083 0 0 1 0 3235405128291431642 +github:327091489 2021-01-05 2021-01-05 f https://github.com/dsp-testing/CVE-2018-13797 CVE-2018-13797 0 0 0 0 5853561378104691926 +github:887599149 2024-11-13 2026-07-03 f https://github.com/bluetoothStrawberry/cve-2021-21425 working exploit for the old cve-2021-21425 grav cms 1.7.10 vuln CVE-2021-21425 0 2 1 2 4153549623124221095 +github:437882599 2021-12-13 2021-12-13 f https://github.com/VNYui/CVE-2021-44228 Mass recognition tool for CVE-2021-44228 CVE-2021-44228 0 0 1 0 7397409058751845842 +github:1039406170 2025-10-20 2025-08-17 f https://github.com/shoucheng3/jenkinsci__workflow-cps-plugin_CVE-2022-25173_2646-v6ed3b5b01ff1 CVE-2022-25173 0 0 0 0 1543576662798471865 +github:437583301 2022-01-19 2025-10-14 f https://github.com/qingtengyun/cve-2021-44228-qingteng-online-patch Hot-patch CVE-2021-44228 by exploiting the vulnerability itself. CVE-2021-44228 4 25 1 25 8861545975540860684 +github:651841197 2023-06-10 2025-03-08 f https://github.com/0x2458bughunt/CVE-2023-25157 CVE-2023-25157 1 10 1 10 2171421969187920401 +github:1049718072 2025-09-23 2025-09-23 f https://github.com/harshitvarma05/CVE-2025-6019 CVE-2025-6019 0 0 0 0 5093477874499518639 +github:717339904 2024-06-08 2026-07-28 f https://github.com/huiwen-yayaya/CVE-2023-4863 CVE-2023-4863 1 4 1 4 2742630876116955526 +github:864410545 2024-10-01 2024-10-01 f https://github.com/ooooooo-q/puma_header_normalization-CVE-2024-45614 Puma Header normalization CVE-2024-45614 確認 CVE-2024-45614 0 0 1 0 465975910091616106 +github:954852042 2025-03-26 2025-03-26 f https://github.com/c0dejump/CVE-2025-29927-check script to check cve "CVE-2025-29927" while waiting to add it to HExHTTP CVE-2025-29927 1 3 1 3 8613024168357205229 +github:702854511 2024-04-03 2026-06-12 f https://github.com/C1ph3rX13/CVE-2023-42820 CVE-2023-42820 CVE-2023-42820 9 56 2 56 282739731582331266 +github:706041897 2023-10-20 2023-10-17 f https://github.com/deIndra/CVE-2023-36076 CVE-2023-36076 0 0 1 0 1603765781522959342 +github:1109806025 2025-12-04 2025-12-04 f https://github.com/Chelsea486MHz/CVE-2025-55182-test See if your endpoint could be vulnerable. CVE-2025-55182 0 0 0 0 2663256581618639354 +github:577199183 2022-12-12 2022-12-12 f https://github.com/KaviDk/Heap-Over-Flow-with-CVE-2016-10191 Created Research Report to HeapOver flow that CVE 2016-10191 CVE-2016-10191 0 0 1 0 652784267450037404 +github:1056506869 2025-09-14 2025-09-14 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10089_2_11_0_M5_fixed CVE-2019-10089 0 0 0 0 7394443159871018708 +github:601937653 2023-02-17 2023-03-31 f https://github.com/Small-ears/CVE-2023-0297 poc CVE-2023-0297 1 2 1 2 6348613046313044500 +github:1271924028 2026-06-17 2026-06-17 f https://github.com/HORKimhab/CVE-2026-48907 CVE-2026-48907 CVE-2026-48907 0 0 0 0 6431352808112123876 +github:1225581327 2026-07-02 2026-07-02 f https://github.com/Alisha-chaudhary/ssh-enum This project explores whether modern OpenSSH reveals valid usernames through subtle response or timing differences. CVE-2016-6210 user enumeration investigation ( Welch's t-test, Cohen's d, and detection engineering ) on a controlled lab on Ubuntu 22.04.5 LTS, it also examines the traces such attempts leave behind and how they can be detected.. CVE-2016-6210 0 0 0 0 7294205840362273261 +github:507639325 2022-08-12 2022-07-15 f https://github.com/c0ff33b34n/CVE-2021-38314 Python exploit for CVE-2021-38314 CVE-2021-38314 1 1 1 1 8904719050694162015 +github:594491558 2023-02-21 2024-05-31 f https://github.com/dpbe32/CVE-2022-23935-PoC-Exploit CVE-2022-23935 exploit PoC exiftool version 12.37 CVE-2022-23935 2 1 1 1 2847245139465409513 +github:1111506801 2025-12-07 2025-12-07 f https://github.com/jumodada/react-cve-2025-55182-demo CVE-2025-55182 0 0 0 0 3958032040064050524 +github:137463770 2018-06-15 2023-08-08 f https://github.com/bernard-wagner/vertx-web-xsrf Vert.X CSRF Proof of Concept (CVE-2018-12540) CVE-2018-12540 0 0 1 0 8060036575925270024 +github:1050901709 2025-09-05 2026-02-03 f https://github.com/s0ck37/CVE-2025-22131-POC POC for the vuln CVE-2025-22131 CVE-2025-22131 1 3 0 3 5702744584101662731 +github:164298909 2019-01-06 2026-07-29 f https://github.com/brianwrf/CVE-2018-11788 Apache Karaf XXE Vulnerability (CVE-2018-11788) CVE-2018-11788 6 37 1 37 3769261354257253878 +github:952312386 2025-03-19 2025-03-21 f https://github.com/xsshk/CVE-2024-46981 CVE-2024-46981 1 0 0 0 3024697762092681109 +github:265824943 2020-05-21 2020-05-23 f https://github.com/dentarg/cougar Puma, CVE-2020-11076 and CVE-2020-11077 CVE-2020-11076 0 0 1 0 1894575206168840881 +github:402293370 2021-09-02 2026-05-13 f https://github.com/ChrisTheCoolHut/CVE-2021-33909 CVE-2021-33909 Sequoia CVE-2021-33909 15 44 1 44 327605147650163585 +github:704156567 2023-10-13 2026-02-23 f https://github.com/vanigori/CVE-2023-38545-sample Dockerfile containing all the necessary setup files to demo the exploit CVE-2023-38545 2 3 1 3 269784042314395163 +github:1004772169 2026-04-03 2026-04-03 f https://github.com/bayazid-bit/CVE-2019-15107 Unauthenticated RCE via Webmin Backdoor (CVE-2019–15107) CVE-2019-15107 0 0 0 0 6603639281491687000 +github:778977291 2024-03-28 2025-07-04 f https://github.com/mind2hex/CVE-2019-16113-Bludit-3.9.2-RCE Bludit 3.9.2 Remote Command Execution (RCE) CVE-2019-16113 0 1 1 1 2919657573367795391 +github:1158082886 2026-02-14 2026-02-14 f https://github.com/okni2k/HW-Pyton-10 Домашняя работа по Pyton № 10 CVE-2020-11022 Краткое описание CVE-2020-11022 — уязвимость типа Reflected XSS (межсайтовый скриптинг), связанная с некорректной обработкой пользовательского ввода, который отражается в HTML-ответе без экранирования. Атакующий может внедрить JavaScript-код, который выполнится в браузере пользователя. CVE-2020-11022 0 0 0 0 8439309999092799169 +github:952102742 2025-03-20 2025-03-20 f https://github.com/ashique-thaha/CVE-2021-41773-POC The POC and Lab setup documentation of CVE 2021 41773 CVE-2021-41773 0 0 1 0 1435644060916428274 +github:749788968 2024-01-29 2024-01-29 f https://github.com/jopraveen/CVE-2024-23897 CVE-2024-23897 0 1 1 1 2933505092687583028 +github:1032368039 2025-08-06 2026-04-05 f https://github.com/dollarboysushil/CVE-2024-32019-Netdata-ndsudo-PATH-Vulnerability-Privilege-Escalation CVE-2024-32019 is a high-severity local privilege escalation vulnerability in Netdata (versions >= 1.44.0-60 < 1.45.3), caused by insecure use of the PATH variable in the ndsudo SUID binary, allowing attackers to execute arbitrary commands as root. CVE-2024-32019 1 14 0 14 150349871011310510 +github:1041375087 2025-08-20 2025-08-20 f https://github.com/shoucheng3/spring-projects__spring-framework_CVE-2022-22965_5-2-19-RELEASE CVE-2022-22965 0 0 0 0 8035402887523975830 +github:955380258 2025-04-01 2025-12-24 f https://github.com/zwxxb/CVE-2025-1974 Poc for Ingress RCE CVE-2025-1974 3 7 1 7 2362339525558622904 +github:1039643150 2025-08-17 2025-08-17 f https://github.com/shoucheng3/apache__rocketmq_CVE-2023-33246_5-1-0 CVE-2023-33246 0 0 0 0 1969636502432046264 +github:1102929242 2026-03-08 2026-03-31 f https://github.com/AT190510-Cuong/CVE-2025-64087-SSTI- CVE-2025-64087 (SSTI) CVE-2025-64087 0 1 0 1 2836920542406427015 +github:376590691 2021-06-13 2021-10-22 f https://github.com/exp1orer/CVE-2021-22201 CVE-2021–22201 Arbitrary file read on Gitlab CVE-2021-22201 1 1 1 1 6960184353106101321 +github:786162983 2024-04-13 2024-04-13 f https://github.com/mbadanoiu/MAL-004 MAL-004: Command Injection Bypass for CVE-2020-12641 in Roundcube Webmail CVE-2020-12641 0 0 1 0 4848836384502128187 +github:242038197 2020-02-21 2025-06-09 f https://github.com/laolisafe/CVE-2020-1938 CVE-2020-1938漏洞复现 CVE-2020-1938 10 38 2 38 8066181303510125493 +github:438034703 2024-04-07 2026-06-13 f https://github.com/alexbakker/log4shell-tools Tool that runs a test to check whether one of your applications is affected by the recent vulnerabilities in log4j: CVE-2021-44228 and CVE-2021-45046 CVE-2021-44228 15 86 3 86 3379270120196432707 +github:1154044100 2026-02-10 2026-02-10 f https://github.com/George0Papasotiriou/CVE-2025-8110-Gogs-Remote-Code-Execution CVE-2025-8110 0 1 0 1 5101320771202266172 +github:821333942 2024-06-28 2024-06-28 f https://github.com/Redfox-Security/Hacking-Electron-Apps-CVE-2020-35717- CVE-2020-35717 0 0 1 0 3156657474057491230 +github:1111848847 2025-12-10 2026-04-25 f https://github.com/kavienanj/CVE-2025-55182 Step-by-step walkthrough of CVE-2025-55182 (React2Shell) by tracing React's Flight protocol internals. CVE-2025-55182 1 38 1 38 2134680319880449436 +github:596929868 2024-12-08 2024-12-21 f https://github.com/SpiralBL0CK/CVE-2022-31144 CVE-2022-31144 dos pt redis, not finished yet or too soon, this can be turned into rce but oh well if you smart enough CVE-2022-31144 1 1 1 1 5635944125477076637 +github:1194242008 2026-07-16 2026-07-16 f https://github.com/JFOZ1010/CVE-2026-14871 BOLA/IDOR vulnerability in osTicket ajax.tickets.php | Responsible Disclosure CVE-2026-14871 0 0 0 0 6548480650345285764 +github:187050013 2019-05-18 2019-05-18 f https://github.com/chaosura/CVE-2018-6574 CVE-2018-6574 0 0 1 0 2177187442390248304 +github:348430849 2021-03-24 2021-03-24 f https://github.com/DXY0411/CVE-2019-1020010 CVE-2019-1020010 0 0 1 0 8222579573671888596 +github:401200203 2021-08-30 2021-08-30 f https://github.com/guglia001/CVE-2019-19609 Strapi <= 3.0.0-beta.17.8 authenticated remote code execution CVE-2019-19609 2 0 1 0 6332134507067090964 +github:1114847089 2025-12-12 2025-12-15 f https://github.com/ejpir/CVE-2025-55184 CVE-2025-55184 2 7 0 7 2743952719554641154 +github:579590994 2022-12-18 2026-04-02 f https://github.com/devengpk/CVE-2022-29464 CVE-2022-29464 0 1 1 1 316869926076626640 +github:185264593 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2019-9978 cve-2019-9978 CVE-2019-9978 0 0 0 0 1549300995017914440 +github:329859295 2021-01-15 2024-12-26 f https://github.com/yaunsky/CVE-2020-13937 Apache Kylin API未授权访问漏洞;CVE-2020-13937;Apache Kylin漏洞 CVE-2020-13937 1 9 1 9 8476561731445157484 +github:567841093 2022-11-21 2026-04-09 f https://github.com/12345qwert123456/CVE-2021-42013 Vulnerable configuration Apache HTTP Server version 2.4.49/2.4.50 CVE-2021-42013 0 0 1 0 746221712042391250 +github:995959040 2025-06-04 2025-06-16 f https://github.com/louay-075/CVE-2025-49223-BillboardJS-PoC CVE-2025-49223 - Prototype Pollution in Billboard.js CVE-2025-49223 1 1 0 1 2840151981834379228 +github:146060181 2018-08-25 2025-11-20 f https://github.com/bhdresh/CVE-2018-11776 Vulnerable docker container for CVE-2018-11776 CVE-2018-11776 7 12 2 12 5436743184364898449 +github:495321123 2022-05-23 2022-05-23 f https://github.com/Snorlyd/https-nj.gov---CVE-2018-14042 Vulnearability Report of the New Jersey official site CVE-2018-14042 0 0 1 0 4409792883553258682 +github:329307363 2021-01-29 2026-07-08 f https://github.com/ambionics/laravel-exploits Exploit for CVE-2021-3129 CVE-2021-3129 69 289 12 289 7149764286066713189 +github:622325901 2023-04-03 2023-09-22 f https://github.com/m3ssap0/cacti-rce-cve-2022-46169-vulnerable-application WARNING: This is a vulnerable application to test the exploit for the Cacti command injection (CVE-2022-46169). Run it at your own risk! CVE-2022-46169 2 1 1 1 2598140753870762434 +github:586722779 2023-01-09 2023-02-09 f https://github.com/Arrnitage/CVE-2022-23131_exp zabbix saml bypass CVE-2022-23131 0 0 1 0 7051802102627043122 +github:1263121747 2026-06-08 2026-06-08 f https://github.com/Mr-Whiskerss/SSH-Terrapin-Prefix-Truncation-Weakness-CVE-2023-48795-Checker CVE-2023-48795 0 1 0 1 2098178882597641509 +github:61267937 2016-06-16 2020-06-29 f https://github.com/jason3e7/CVE-2016-4438 CVE-2016-4438 4 1 1 1 1081625777697698591 +github:1110569233 2025-12-05 2025-12-10 f https://github.com/ABCFabian/React2Shell-CVE-2025-55182-Testing-Environment A containerized testing environment for CVE-2025-55182, a critical (10.0 CVSS) Remote Code Execution vulnerability in React Server Components. CVE-2025-55182 0 1 0 1 6432584439182170703 +github:188788797 2019-05-27 2025-05-07 f https://github.com/motoyasu-saburi/CVE-2019-12086-jackson-databind-file-read CVE-2019-12086 21 1 1 1 9032521406331191222 +github:336118303 2021-02-09 2023-03-23 f https://github.com/forse01/CVE-2020-17527-Tomcat CVE-2020-17527 0 2 1 2 1747278964270053007 +github:672501684 2023-12-07 2025-10-31 f https://github.com/securezeron/CVE-2023-38646 POC for CVE-2023-38646 CVE-2023-38646 13 20 0 20 3359120534076131298 +github:417643516 2022-10-26 2025-10-10 f https://github.com/LudovicPatho/CVE-2021-41773 The first vulnerability with the CVE identifier CVE-2021-41773 is a path traversal flaw that exists in Apache HTTP Server 2.4.49. CVE-2021-41773 3 4 2 4 1124470515348372404 +github:382895850 2021-08-10 2026-02-10 f https://github.com/incogbyte/laravel-phpunit-rce-masscaner Masscanner for Laravel phpunit RCE CVE-2017-9841 CVE-2017-9841 7 23 1 23 1340005039732295739 +github:1037730754 2025-12-06 2025-12-06 f https://github.com/n0m-d/CVE-2018-0114-Go CVE-2018-0114 0 0 0 0 6341984171070111107 +github:864586309 2024-09-30 2025-04-20 f https://github.com/mr-r3b00t/CVE-2024-47176 Scanner CVE-2024-47176 6 9 1 9 6188782825567496620 +github:956893496 2025-04-24 2025-09-03 f https://github.com/ferpalma21/Automated-Next.js-Security-Scanner-for-CVE-2025-29927 This script scans a list of URLs to detect if they are using **Next.js** and determines whether they are vulnerable to **CVE-2025-29927**. It optionally attempts exploitation using a wordlist. CVE-2025-29927 0 2 1 2 2636783106389239252 +github:1149959285 2026-02-04 2026-02-04 f https://github.com/Evillm/CVE-2025-55182-PoC CVE-2025-55182 0 0 0 0 9083242359366442724 +github:716551880 2023-11-09 2024-12-04 f https://github.com/h3x3h0g/ActiveMQ-RCE-CVE-2023-46604-Write-up CVE-2023-46604 0 3 1 3 5833486523787466838 +github:1182151958 2026-03-16 2026-03-16 f https://github.com/sangrok-jeon/CVE-2023-46604-Analysis Apache ActiveMQ OpenWire 역직렬화 RCE 취약점 기술 분석 CVE-2023-46604 0 0 0 0 8185220046524569391 +github:1124934441 2025-12-29 2025-12-29 f https://github.com/tunahantekeoglu/MongoDeepDive Context-Aware Memory Leak Scanner & Exploit for CVE-2025-14847. CVE-2025-14847 0 0 0 0 50510806765342261 +github:1296794386 2026-07-21 2026-07-21 f https://github.com/Cobrastrike62/CVE-2026-27626-POC CVE-2026-27626 0 0 0 0 7240974919802326578 +github:1112624381 2025-12-08 2025-12-08 f https://github.com/gladiator-07/CVE-2022-0847 CVE-2022-0847 0 0 0 0 5910229539747547321 +github:1111785341 2025-12-07 2026-07-18 f https://github.com/surajhacx/react2shellpoc react2shell CVE-2025-55182 PoC CVE-2025-55182 8 31 0 31 2695300499789945457 +github:499134320 2022-06-02 2022-06-02 f https://github.com/tjcim/cve-2018-6574 CVE-2018-6574 0 0 1 0 6692292346488652351 +github:990329884 2025-05-26 2025-05-26 f https://github.com/Foxer131/CVE-2024-42008-9-exploit The scripts in this repository are made to abuse CVE-2024-42008 and CVE-2024-42009. Both of these CVEs are vulnerabilities found on Roundcube 1.6.7 CVE-2024-42008 0 0 0 0 764953425311924399 +github:1119983607 2025-12-20 2025-12-20 f https://github.com/tamagorengs/react2shell-poc-CVE-2025-55182 CVE-2025-55182 0 0 0 0 779624362017988263 +github:100069051 2017-08-11 2026-07-29 f https://github.com/Manouchehri/CVE-2017-1000117 CVE-2017-1000117 14 15 1 15 7368141429987053430 +github:659144672 2023-06-27 2024-03-30 f https://github.com/Xh4H/CVE-2023-34840 XSS in angular-ui-notification CVE-2023-34840 2 3 1 3 7814756117873845564 +github:1142706699 2026-01-27 2026-05-15 f https://github.com/DanielHallbro/CVE-2025-29927-Nextjs-Bypass-PoC A Proof of Concept for CVE-2025-29927 demonstrating a middleware bypass in Next.js versions prior to 13.5.9 CVE-2025-29927 0 1 0 1 3925903741261321509 +github:962919916 2025-04-08 2025-04-09 f https://github.com/Mohith-T/CVE-2025-32013 Security Advisory and PoC for CVE-2025-32013 CVE-2025-32013 0 0 1 0 7800770664171148487 +github:132952646 2018-05-10 2026-07-29 f https://github.com/nmulasmajic/CVE-2018-8897 Implements the POP/MOV SS (CVE-2018-8897) vulnerability by bugchecking the machine (local DoS). CVE-2018-8897 24 81 4 81 3958926390640895300 +github:1115826092 2025-12-13 2026-02-21 f https://github.com/sangleshubham/React-Security-CVE-2025-55182-Exploit NodeJS-based exploit script and scanner for the React Server Components "React2Shell" vulnerability (CVE-2025-55182). CVE-2025-55182 0 2 0 2 3651064994082587053 +github:1121291601 2025-12-26 2026-06-25 f https://github.com/TheStingR/CVE-2025-68613-POC Public PoC + Scanner and research for CVE-2025-68613: Critical RCE in n8n Workflow Automation via Expression Injection (CVSS 10.0). Includes detection tools, full exploit, and remediation guidance. CVE-2025-68613 0 26 0 26 2776229880804564421 +github:489552311 2022-05-07 2022-10-02 f https://github.com/LinJacck/CVE-2022-29464 cve-2022-29464 EXP CVE-2022-29464 0 1 1 1 8794319058344402870 +github:1105598216 2025-11-30 2025-11-30 f https://github.com/soltanali0/CVE-2025-32433-Eploit Erlang/OTP SSH Vulnerable to Pre-Authentication RCE CVE-2025-32433 0 0 0 0 6491367123300469909 +github:1159650924 2026-02-17 2026-02-17 f https://github.com/kerburenthusiasm/CVE-2025-4517-PoC PoC and explanation for CVE-2025-4517 used in a CTF I was playing. CVE-2025-4517 0 0 0 0 8500724010396897683 +github:988966550 2025-05-23 2025-05-23 f https://github.com/pouriam23/CVE-2016-5180 CVE-2016-5180 1 0 0 0 8273922003738272075 +github:211651844 2019-10-21 2024-08-12 f https://github.com/ftk-sostupid/CVE-2019-10392_EXP Jenkins Git Client RCE CVE-2019-10392_Exp CVE-2019-10392 1 3 1 3 6471291710532873981 +github:1070829781 2025-10-15 2025-10-15 f https://github.com/hybinn/CVE-2024-23897 CVE-2024-23897 0 0 0 0 4400990401837719852 +github:119782218 2018-02-01 2018-02-02 f https://github.com/huzhenghui/Test-7-2-0-PHP-CVE-2018-5711 CVE-2018-5711 0 2 1 2 5179868964871800622 +github:863663925 2024-09-28 2026-05-05 f https://github.com/suce0155/CVE-2023-47268 PrusaSlicer Arbitrary Code Execution using .3mf CVE-2023-47268 1 5 1 5 494124535139539629 +github:1015604708 2025-07-08 2025-07-08 f https://github.com/arsalanraja987/java-insecure-random-cve-2021-27568 Demo of CVE-2021-27568: Insecure randomness in token generation CVE-2021-27568 0 0 0 0 1905073498915677574 +github:992768940 2025-05-29 2025-07-24 f https://github.com/nkuty/CVE-2025-30208-31125-31486-32395 CVE-2025-30208 0 5 0 5 7510741265915103088 +github:1254946300 2026-05-31 2026-07-22 f https://github.com/thisisish/HTB-DevHub CVE-2026-23744 RCE + Privilege Escalation CVE-2026-23744 0 3 0 3 8248275042257647825 +github:472548304 2022-04-07 2026-04-13 f https://github.com/Enokiy/cve-2022-22947-spring-cloud-gateway CVE-2022-22947 1 18 1 18 7330827448214819715 +github:706677544 2023-10-19 2023-10-18 f https://github.com/valentin-panov/CVE-2023-45857 CVE-2023-45857 0 0 1 0 8687780547767609276 +github:1209624030 2026-04-13 2026-04-13 f https://github.com/HexborneStudio/atlas-tj-actions-poc PoC for CVE-2025-54416 tj-actions/branch-names command injection CVE-2025-54416 0 0 0 0 4280693388587123044 +github:466074286 2022-03-04 2023-01-21 f https://github.com/nu0l/cve-2022-22947 Spring-Cloud-Gateway-CVE-2022-22947 CVE-2022-22947 2 3 1 3 3769696606034180174 +github:214599324 2019-11-16 2019-11-16 f https://github.com/h-wookie/cve-2019-5736-poc CVE-2019-5736 0 0 1 0 7367500303467650529 +github:1121297921 2025-12-22 2025-12-22 f https://github.com/grecosamuel/CVE-2024-48990 PoC about CVE-2024-48990. Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by tricking needrestart into running the Python interpreter with an attacker-controlled PYTHONPATH environment variable. (NIST) CVE-2024-48990 0 0 0 0 3069421011386322436 +github:1039104917 2025-08-16 2025-08-16 f https://github.com/shoucheng3/apache__dolphinscheduler_CVE-2022-26884_2-0-5 CVE-2022-26884 0 0 0 0 4575826523502550290 +github:804608693 2024-11-10 2025-03-17 f https://github.com/clarkio/pdfjs-vuln-demo This project is intended to serve as a proof of concept to demonstrate exploiting the vulnerability in the PDF.js (pdfjs-dist) library reported in CVE-2024-4367 CVE-2024-4367 2 4 1 4 7809190593377743753 +github:263515561 2020-05-13 2020-05-13 f https://github.com/teddy47/CVE-2019-13272---Documentation CVE-2019-13272 0 0 1 0 3010179169572046415 +github:810186958 2024-06-04 2024-06-04 f https://github.com/tnishiox/cve-2024-2961 CVE-2024-2961 0 0 1 0 1069169112994346238 +github:265717610 2021-10-28 2026-04-14 f https://github.com/masahiro331/CVE-2020-9484 CVE-2020-9484 27 126 3 126 51658359600036410 +github:805249288 2024-07-03 2024-07-08 f https://github.com/gmo-ierae/CVE-2024-26144-test CVE-2024-26144 0 0 11 0 8793311226634135994 +github:1051682610 2025-09-06 2025-09-06 f https://github.com/shoucheng3/perwendel__spark_CVE-2018-9159_2_7_2_fixed CVE-2018-9159 0 0 0 0 4314622611819807651 +github:1041374950 2025-10-24 2025-08-20 f https://github.com/shoucheng3/jmrozanec__cron-utils_CVE-2021-41269_9-1-5 CVE-2021-41269 0 0 0 0 3964636293468203026 +github:1029026932 2026-07-14 2026-07-14 f https://github.com/rgvillanueva28/vulnbox-easy-CVE-2025-29927 CVE-2025-29927 0 0 0 0 4488145502203190049 +github:395561420 2021-08-13 2023-01-12 f https://github.com/y-f00l/CVE-2020-14364 CVE-2020-14364 0 1 1 1 7047307035654961616 +github:765419523 2024-02-29 2024-07-01 f https://github.com/SpiralBL0CK/CVE-2021-3345 Actual working exploit for CVE-2021-3345 CVE-2021-3345 2 3 2 3 8263628536816809794 +github:440663893 2022-01-10 2025-01-21 f https://github.com/lucab85/log4j-cve-2021-44228 Ansible detector scanner playbook to verify target Linux hosts using the official Red Hat Log4j detector script RHSB-2021-009 Remote Code Execution - log4j (CVE-2021-44228) CVE-2021-44228 10 57 3 57 6437026037594383289 +github:780504370 2024-04-01 2024-07-21 f https://github.com/zunak/CVE-2024-22641 CVE-2024-22641 0 1 1 1 8150216171151627604 +github:1097134378 2025-11-15 2026-03-17 f https://github.com/mcorybillington/CVE-2025-64328_FreePBX-framework-Command-Injection CVE-2025-64328 FreePBX Authenticated Command Injection in the framework module. CVE-2025-64328 0 1 0 1 6649595614788907132 +github:657763784 2023-06-23 2025-06-08 f https://github.com/maddsec/CVE-2023-34598 Gibbon v25.0.0 is vulnerable to a Local File Inclusion (LFI) vulnerability where it's possible to include the content of several files present in the installation folder in the server's response. CVE-2023-34598 2 3 1 3 3550786669164487879 +github:147602690 2018-09-06 2018-09-06 f https://github.com/snappyJack/CVE-2018-16370 In PESCMS Team 2.2.1, attackers may upload and execute arbitrary PHP code through /Public/?g=Team&m=Setting&a=upgrade by placing a .php file in a ZIP archive. CVE-2018-16370 0 0 1 0 1143060147691906395 +github:1114255791 2025-12-12 2026-01-16 f https://github.com/Sumitshah00/CVE-2025-66628 CVE-2025-66628 0 1 0 1 5171603465742577528 +github:297223360 2020-09-21 2025-03-10 f https://github.com/Maskhe/CVE-2020-15148-bypasses 几条关于CVE-2020-15148（yii2反序列化）的绕过 CVE-2020-15148 9 75 1 75 3602742322775084390 +github:472598995 2022-12-19 2023-01-24 f https://github.com/tmoneypenny/CVE-2022-0847 Dirty Pipe - CVE-2022-0847 CVE-2022-0847 1 2 1 2 7408785672991334328 +github:813427958 2024-06-11 2024-06-11 f https://github.com/Kang3639/CVE-2022-36446 CVE-2022-36446 POC 실습 CVE-2022-36446 0 0 1 0 3296258642120967312 +github:1054178309 2025-09-10 2025-09-15 f https://github.com/amalpvatayam67/day03-jenkins-23897 Jenkins CLI arbitrary file read (CVE-2024-23897) CVE-2024-23897 0 0 0 0 1267194139589972655 +github:630316300 2023-04-22 2025-08-27 f https://github.com/karthi-the-hacker/CVE-2020-17453 CVE-2020-17453 is a powerful scanner for bug bounty hunters and penetration testers to discover vulnerabilities in their web applications. CVE-2020-17453 3 5 1 5 2664100585897662871 +github:1066543959 2025-09-29 2026-04-20 f https://github.com/lggcs/CVE-2016-10708 This proof-of-concept script exploits a vulnerability in OpenSSH versions prior to 7.4 (CVE-2016-10708) by sending unexpected `SSH_MSG_NEWKEYS` packets. CVE-2016-10708 0 1 0 1 209306956897903506 +github:92410132 2017-05-26 2017-05-26 f https://github.com/homjxi0e/CVE-2017-7494 CVE-2017-7494 3 0 0 0 6944851851988816710 +github:1208212186 2026-04-12 2026-04-12 f https://github.com/Kamigold/Flowise-RCE CVE-2025-58434 & CVE-2025-59528 CVE-2025-58434 0 0 0 0 8045618083030070959 +github:1024819506 2026-07-14 2026-07-14 f https://github.com/tin-z/CVE-2025-27363 Integer overflow in FreeType software, which also affects Chrome CVE-2025-27363 11 31 0 31 35779848226557223 +github:705743940 2023-10-16 2026-06-19 f https://github.com/bcdannyboy/CVE-2023-38545 A proof of concept for testing CVE-2023-38545 against local curl CVE-2023-38545 2 4 1 4 3319466262296699669 +github:1304771321 2026-07-18 2026-07-18 f https://github.com/Hunt-Benito/zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uri CVE-2026-10672 0 0 0 0 6116405364812452258 +github:88650555 2017-04-18 2025-10-31 f https://github.com/SECFORCE/CVE-2017-3599 Proof of concept exploit for CVE-2017-3599 CVE-2017-3599 14 23 1 23 3822311028817917545 +github:248716444 2020-03-20 2024-08-12 f https://github.com/Just1ceP4rtn3r/CVE-2020-1938-Tool 批量检测幽灵猫漏洞 CVE-2020-1938 2 3 1 3 2011477321658966608 +github:1272133896 2026-06-17 2026-06-17 f https://github.com/d4ngkh04w/CVE-2020-7961 CVE-2020-7961 0 0 0 0 9102062801236363555 +github:896349551 2024-11-30 2024-11-30 f https://github.com/dagowda/Zabbix-cve-2022-23131-SSO-bypass CVE-2022-23131 0 0 1 0 734819268464285177 +github:291728915 2020-11-07 2020-11-07 f https://github.com/ludy-dev/XworkStruts-RCE (CVE-2017-5638) XworkStruts RCE Vuln test script CVE-2017-5638 0 1 1 1 3862864544131340133 +github:1169235438 2026-02-28 2026-02-28 f https://github.com/7s26simon/CVE-2017-9805-S2-052 CVE-2017-9805 S2-052 PoC CVE-2017-9805 0 0 0 0 3421107811209397776 +github:730563038 2023-12-13 2023-12-13 f https://github.com/ran9ege/CVE-2023-31546 CVE-2023-31546 0 1 1 1 75732018308132195 +github:1110590775 2025-12-05 2026-07-20 f https://github.com/GelukCrab/React-Server-Components-RCE React Server Components 远程代码执行漏洞(CVE-2025-55182) CVE-2025-55182 0 10 0 10 1055530011327192536 +github:328768715 2021-01-11 2021-01-11 f https://github.com/AnasTaoutaou/CVE-2019-5420 CVE-2019-5420 0 0 1 0 7834189578375200863 +github:787933435 2025-02-17 2025-11-04 f https://github.com/vulncheck-oss/cve-2023-46604 A go-exploit for Apache ActiveMQ CVE-2023-46604 CVE-2023-46604 1 4 1 4 8387667025237429857 +github:1014330862 2025-07-05 2025-07-05 f https://github.com/Royall-Researchers/CVE-2024-9264 CVE-2024-9264 0 0 0 0 5247178833572148909 +github:478196909 2023-12-26 2025-04-22 f https://github.com/0xrobiul/CVE-2022-22965 Exploit Of Spring4Shell! CVE-2022-22965 0 3 1 3 6279114228258895685 +github:1144219550 2026-01-28 2026-02-23 f https://github.com/balgan/CVE-2025-15467 Working DoS for CVE-2025-15467 and a docker container to test against CVE-2025-15467 0 8 0 8 1060604657757994020 +github:1114618462 2025-12-14 2026-05-30 f https://github.com/VolksRat71/react2shellexploitvisualized Interactive visualization of the React2Shell (CVE-2025-55182) RCE vulnerability with narrated animations for three audiences: Expert, Practitioner, and Stakeholder. Audio synced via ElevenLabs + Whisper. CVE-2025-55182 0 3 0 3 5813101429427355278 +github:1200411179 2026-04-03 2026-04-03 f https://github.com/pl4tyz/CVE-2025-59059-Misattributed-RCE-in-Apache-Ranger-Static-Analysis-Correction CVE-2025-59059: Misattributed RCE in Apache Ranger Static Analysis Correction CVE-2025-59059 0 0 0 0 7560008754064894296 +github:913550439 2025-01-08 2025-01-08 f https://github.com/acfirthh/CVE-2021-41805 A proof-of-concept for CVE-2021-41805 which is a vulnerability in HashiCorp Consul Enterprise allowing for Remote Code Execution (RCE) with escalated privileges. CVE-2021-41805 0 0 1 0 4884453923317232413 +github:569375358 2022-11-22 2024-12-05 f https://github.com/grails/GSSC-CVE-2022-41923 CVE-2022-41923 0 7 0 7 976723902451321085 +github:1281325254 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-42089 A local package installation helper trusted caller-supplied package names too much. In yeoman-environment, missing generators could be installed without user confirmation, turning attacker-controlled project metadata into a package-install and code-execution path. CVE-2026-42089 0 0 0 0 6811396696400260498 +github:1094128773 2025-11-11 2026-01-13 f https://github.com/raishin1/CVE-2024-31982 Vulnerability for Xwiki CVE-2024-31982 0 0 0 0 7868885375456256076 +github:844643090 2024-08-19 2024-08-21 f https://github.com/sanan2004/CVE-2022-27925 PoC CVE-2022-27925 0 0 1 0 6294168858339161941 +github:1284425403 2026-06-29 2026-07-17 f https://github.com/K3ysTr0K3R/CVE-2026-48907 CVE-2026-48907 – Joomla JCE Unauthenticated Remote Code Execution (RCE) CVE-2026-48907 1 2 0 2 7312013080300029384 +github:381790796 2021-06-30 2022-11-09 f https://github.com/TheFlash2k/CVE-2021-3156 CVE-2021-3156 1 1 1 1 8636666514864820446 +github:790095472 2024-04-22 2024-04-22 f https://github.com/TYuan0816/cve-2023-44487 CVE-2023-44487 0 0 1 0 5941857268194050094 +github:1281754669 2026-06-26 2026-06-28 f https://github.com/0xBlackash/CVE-2026-8932 CVE-2026-8932 CVE-2026-8932 0 1 0 1 341276531704464969 +github:973790605 2025-04-27 2026-06-13 f https://github.com/BakalMode/CVE-2022-3552 CVE-2022-3552 RCE with detailed exploitation steps CVE-2022-3552 0 2 1 2 8062075191082584128 +github:1140939650 2026-01-24 2026-01-24 f https://github.com/Stolichnayer/CVE-2025-70368 Worklenz version 2.1.5 Stored Cross-Site Scripting (XSS) CVE-2025-70368 0 0 0 0 3507619644393877284 +github:381637999 2021-07-08 2024-06-06 f https://github.com/sec-it/exploit-CVE-2019-14530 OpenEMR < 5.0.2 - (Authenticated) Path Traversal - Local File Disclosure CVE-2019-14530 1 4 1 4 6343782692269660292 +github:672405863 2023-07-30 2025-01-27 f https://github.com/Chocapikk/CVE-2023-38646 Remote Code Execution on Metabase CVE-2023-38646 CVE-2023-38646 0 3 1 3 127198953239394614 +github:387988488 2021-07-20 2026-05-13 f https://github.com/Liang2580/CVE-2021-33909 Sequoia exploit (7/20/21) CVE-2021-33909 61 77 1 77 4276748092134731155 +github:199794841 2019-07-31 2024-08-12 f https://github.com/Cyc1eC/CVE-2019-13272 The exploit for CVE-2019-13272 CVE-2019-13272 6 5 2 5 2342243359486251767 +github:284192206 2020-08-01 2020-08-01 f https://github.com/guanjivip/CVE-2017-8046 修改IP地址即可实现命令执行 CVE-2017-8046 0 0 0 0 2565584113821253306 +github:265239613 2020-05-19 2020-05-19 f https://github.com/erik-krogh/egg-scripts-CVE-2018-3786 A fork of an old version of egg-scripts CVE-2018-3786 0 0 1 0 8240861123012439615 +github:1040661572 2025-08-19 2025-08-19 f https://github.com/shoucheng3/asf__cxf_CVE-2019-17573_3-2-11 CVE-2019-17573 0 0 0 0 7053695789408044723 +github:437688500 2021-12-13 2021-12-13 f https://github.com/ph0lk3r/anti-jndi Fun things against the abuse of the recent CVE-2021-44228 (Log4Shell) vulnerability using common web servers. CVE-2021-44228 0 2 2 2 3338811073116651227 +github:691117412 2023-09-13 2023-09-13 f https://github.com/Trinadh465/external_tcpdump_CVE-2018-14880 CVE-2018-14880 0 0 1 0 2614061380382239172 +github:1112395567 2025-12-08 2025-12-16 f https://github.com/AggressiveUser/React2Hell [React2Hell] Next.js/React Server RCE Exploit — CVE-2025-55182 CVE-2025-55182 0 3 0 3 8685354971890211331 +github:967638397 2025-04-16 2025-08-17 f https://github.com/Alainx277/CVE-2025-24797 Meshtastic buffer overflow vulnerability - CVE-2025-24797 CVE-2025-24797 0 2 1 2 4315784809755201655 +github:1302441928 2026-07-28 2026-07-28 f https://github.com/Sana-404/CVE-2026-8838-Mitigation-and-Detection CVE-2026-8838 0 0 0 0 2419115023203890242 +github:986407131 2025-05-19 2025-05-19 f https://github.com/Housma/CVE-2019-9978-Social-Warfare-WordPress-Plugin-RCE The `swp_debug` parameter in `admin-post.php` allows remote attackers to include external files containing malicious PHP code, which are evaluated on the server. By supplying a crafted URL that hosts a reverse shell payload, an attacker can gain command execution. CVE-2019-9978 0 0 1 0 8888155032769230644 +github:636590324 2023-05-08 2023-05-05 f https://github.com/c7w1n/CVE-2023-30185 CVE-2023-30185 2 0 1 0 8436721965768238738 +github:389541328 2021-07-25 2021-10-21 f https://github.com/Exodusro/CVE-2021-3156 CVE-2021-3156 0 0 0 0 6317535691484189903 +github:562153901 2022-12-28 2025-11-24 f https://github.com/prathamhasnotchanged/Exploit-For-CVE-2022-36067 This repo contains payload for the CVE-2022-36067 CVE-2022-36067 1 7 1 7 6423545953424621619 +github:946299247 2025-03-11 2025-03-11 f https://github.com/Sornphut/CVE-2021-3156-Heap-Based-Buffer-Overflow-in-Sudo-Baron-Samedit- CVE-2021-3156 0 0 1 0 7696128437168335828 +github:727231092 2023-12-06 2024-07-09 f https://github.com/CUCUMBERanOrSNCompany/SealSecurityAssignment Researching on the vulnrability CVE-2023-26136 CVE-2023-26136 0 1 1 1 8885353489611928035 +github:1121373831 2025-12-22 2026-01-06 f https://github.com/S3cr3t-SDN/React4Shell Exploit Code for React2Shell RCE vulnerability (CVE-2025-55182) affecting React Server Components 19.0.0-19.2.0. Exploits unsafe deserialization for unauthenticated remote code execution. CVE-2025-55182 0 1 1 1 3351364974890058508 +github:1230131993 2026-05-17 2026-05-17 f https://github.com/aa022/CVE-2026-23918-Passive-Audit Passive HTTP metadata auditor for CVE-2026-23918 exposure triage CVE-2026-23918 0 0 0 0 2449299133079368330 +github:1012385228 2025-07-02 2025-07-02 f https://github.com/neko205-mx/CVE-2025-32463_Exploit CVE-2025-32463 0 0 0 0 1510348675445100871 +github:1245778280 2026-05-21 2026-05-27 f https://github.com/ywh-jfellus/CVE-2026-9082 PoC for CVE-2026-9082 (Drupal SA-CORE-2026-004) Drupal Core SQLi CVE-2026-9082 1 1 0 1 1017304896245440560 +github:1176496540 2026-03-09 2026-03-09 f https://github.com/Remnant-DB/CVE-2018-10933 libssh Authentication Bypass (CVE-2018-10933) Lab CVE-2018-10933 0 0 0 0 849125932212145672 +github:716569237 2023-11-09 2026-02-24 f https://github.com/olingo99/CVE-2019-15107 CVE-2019-15107 0 0 1 0 9010197033586042558 +github:697961473 2023-09-28 2024-05-08 f https://github.com/Songg45/CVE-2023-4683-Test CVE-2023-4683 - Test CVE-2023-4683 1 1 1 1 8091020995623097020 +github:1310252698 2026-07-23 2026-07-23 f https://github.com/ghapvharmo/gha-lab-a815a82f03-1 GitHub Actions workflow sandbox for CVE-2026-45132 reproduction CVE-2026-45132 0 0 0 0 9155914322931271570 +github:1039981770 2025-08-18 2025-08-18 f https://github.com/shoucheng3/apache__jspwiki_CVE-2019-10089_2-11-0-M4 CVE-2019-10089 0 0 0 0 5584187580511731080 +github:483206761 2022-04-19 2023-04-11 f https://github.com/pazhanivel07/openjpeg-2.3.0_CVE-2020-27824 CVE-2020-27824 0 0 1 0 4397753811649436926 +github:1240309510 2026-05-19 2026-05-19 f https://github.com/aaronm-sysdig/log4j-vuln-demo Intentionally vulnerable Log4j 2.14.1 demo for Sysdig CNAPP scanning (CVE-2021-44228) CVE-2021-44228 0 0 0 0 3961414786484065427 +github:267329968 2026-06-30 2024-08-12 f https://github.com/Al1ex/CVE-2020-24750 CVE-2020-24750 CVE-2020-24750 4 1 1 1 169756941506937268 +github:467604662 2022-03-08 2024-02-18 f https://github.com/Mah1ndra/CVE-2022-24112 CVE-2022-24112: Apache APISIX Remote Code Execution Vulnerability CVE-2022-24112 1 7 1 7 4429595097423572874 +github:263022112 2020-05-11 2020-05-11 f https://github.com/Tharana/Exploiting-a-Linux-kernel-vulnerability Local Root vulnerability- CVE-2019-13272 / Security Bypass Vulnerability – CVE-2019-14287 CVE-2019-13272 0 1 1 1 8848807541502716067 +github:1240862791 2026-05-16 2026-05-16 f https://github.com/tralsesec/CVE-2023-20052 CVE affecting ClamAV versions 1.0.0 and earlier, 0.105.1 and earlier, and 0.103.7 and earlier. CVE-2023-20052 0 0 0 0 6184517420279086558 +github:824386148 2024-07-05 2025-03-18 f https://github.com/Niuwoo/CVE-2024-36401 POC CVE-2024-36401 0 4 1 4 8530390776212809719 +github:748577478 2024-01-28 2026-07-17 f https://github.com/h4x0r-dz/CVE-2024-23897 CVE-2024-23897 CVE-2024-23897 35 207 1 207 1512116914610148913 +github:659754746 2026-05-11 2026-05-11 f https://github.com/mathis2001/CVE-2018-25031 CVE-2018-25031 tests CVE-2018-25031 8 3 1 3 721232673075646940 +github:378631477 2021-06-20 2021-06-20 f https://github.com/jaya522/CVE-2018-6574-go-get-RCE go rce CVE-2018-6574 0 0 1 0 145483076806983098 +github:430348963 2021-11-25 2024-08-12 f https://github.com/tahtaciburak/CVE-2021-41277 PoC for CVE-2021-41277 CVE-2021-41277 7 11 1 11 950519030867127653 +github:772721921 2024-03-15 2024-03-15 f https://github.com/KtokKawu/l4s-vulnapp This is a potentially vulnerable Java web application containing Log4j affected by log4shell(CVE-2021-44228). CVE-2021-44228 0 0 1 0 3734072066821713930 +github:1208064495 2026-04-11 2026-06-29 f https://github.com/lukasz-rybak/CVE-2025-69212 CVE-2025-69212 - OpenSTAManager has an OS Command Injection in P7M File Processing CVE-2025-69212 0 4 0 4 3951390649189589650 +github:1253508614 2026-05-29 2026-05-29 f https://github.com/ex-cal1bur/CVE-2026-42568 An LDAP injection vulnerability exists in org.yamcs.security.LdapAuthModule. The username parameter is inserted directly into LDAP search filters without RFC 4515 escaping, allowing authentication bypass. CVE-2026-42568 0 0 0 0 9098481771834948466 +github:961904858 2025-04-07 2025-08-24 f https://github.com/pixilated730/NextJS-Exploit- CVE-2025-29927 CVE-2025-29927 0 1 1 1 2154534237429872980 +github:618327066 2023-03-24 2026-04-03 f https://github.com/acheiii/CVE-2023-28432 CVE-2023-28432 POC CVE-2023-28432 2 15 1 15 3124606394911804130 +github:954471818 2025-03-28 2025-07-12 f https://github.com/phoscoder/ghost-route Ghost Route detects if a Next JS site is vulnerable to the corrupt middleware bypass bug (CVE-2025-29927) CVE-2025-29927 0 9 1 9 5130052322993997283 +github:439447817 2021-12-22 2022-06-30 f https://github.com/immunityinc/Log4j-JNDIServer This project will help to test the Log4j CVE-2021-44228 vulnerability. CVE-2021-44228 2 9 2 9 2630628254237709353 +github:1300846393 2026-07-14 2026-07-14 f https://github.com/Atomics-hub/exposecheck Defensive single-target self-check for Langflow CVE-2025-3248 exposure CVE-2025-3248 0 0 0 0 6952967015507222173 +github:1113000450 2025-12-12 2025-12-12 f https://github.com/byte16384/CVE-2025-55182 proof CVE-2025-55182 0 0 1 0 6354311480404201523 +github:1106818650 2025-12-04 2025-12-04 f https://github.com/Noxurge/CVE-2025-65900 DifuseHQ Kalmia CMS version 0.2.0 contains an Incorrect Access Control vulnerability in the /kal-api/auth/users API endpoint. Due to insufficient permission validation and excessive data exposure in the backend, an authenticated user with basic read permissions can retrieve sensitive information for all platform user. CVE-2025-65900 0 0 0 0 4748234811669841366 +github:645138371 2023-05-25 2023-06-14 f https://github.com/P4x1s/CVE-2023-29923-Scan PowerJob <=4.3.2 未授权访问漏洞检测工具（CVE-2023-29922） CVE-2023-29923 1 3 1 3 1273435542264006222 +github:872538624 2024-10-14 2024-10-14 f https://github.com/kkhackz0013/CVE-2024-36401 CVE-2024-36401 0 0 1 0 4343334863261289253 +github:700394746 2023-10-04 2026-07-23 f https://github.com/leesh3288/CVE-2023-4911 PoC for CVE-2023-4911 CVE-2023-4911 59 392 4 392 1486691951783283864 +github:1022965046 2025-07-20 2026-07-13 f https://github.com/Thewhiteevil/CVE-2025-51396 LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Telegram Bot Username CVE-2025-51396 0 1 0 1 1817231853269995076 +github:859830353 2024-09-19 2024-09-19 f https://github.com/charlesgargasson/CVE-2023-1177 MLFlow Path Traversal CVE-2023-1177 0 0 1 0 7279714921213224309 +github:847872001 2024-10-10 2024-10-10 f https://github.com/h4ckr4v3n/CVE-2024-46209 CVE-2024-46209 0 0 2 0 4555274806051380445 +github:468650717 2022-03-11 2025-09-19 f https://github.com/dskmehra/CVE-2022-0848 CVE-2022-0848 0 2 1 2 953048852083807917 +github:651002237 2023-07-24 2026-07-27 f https://github.com/datackmy/FallingSkies-CVE-2023-35885 Cloudpanel 0-day Exploit CVE-2023-35885 15 55 1 55 1628585490489127938 +github:388370396 2021-07-22 2024-08-12 f https://github.com/idea-oss/laravel-CVE-2021-3129-EXP CVE-2021-3129 2 1 1 1 604246796285541861 +github:1044622182 2025-08-26 2025-08-26 f https://github.com/HackerTyperAbuser/CVE-2025-34030-PoC PoC for CVE-2025-34030 sar2html 'plot' parameter RCE CVE-2025-34030 1 0 0 0 3573043346225301512 +github:1250276657 2026-05-26 2026-05-26 f https://github.com/runt1me/cve-2025-50946 Exploit script for CVE-2025-50946 CVE-2025-50946 0 0 0 0 1869751322372779021 +github:104546702 2023-03-10 2026-05-02 f https://github.com/hayzamjs/Blueborne-CVE-2017-1000251 Blueborne CVE-2017-1000251 PoC for linux machines CVE-2017-1000251 12 18 2 18 8612461738879792585 +github:221657235 2023-07-28 2024-12-17 f https://github.com/luckybool1020/CVE-2018-8045 Joomla内核SQL注入漏洞原理、docker及poc[基于pocsuite框架] CVE-2018-8045 0 4 1 4 144722244845063342 +github:437904012 2022-01-16 2022-01-04 f https://github.com/Koupah/MC-Log4j-Patcher A singular file to protect as many Minecraft servers and clients as possible from the Log4j exploit (CVE-2021-44228). CVE-2021-44228 1 4 1 4 4337556629695990674 +github:823919362 2024-07-04 2024-07-04 f https://github.com/5r1an/CVE-2024-39203 A cross-site scripting (XSS) vulnerability in the Backend Theme. Management module of Z-BlogPHP v1.7.3 allows attackers to execute arbitrary web scripts or HTML via a crafted payload. CVE-2024-39203 0 0 1 0 3448019607043373372 +github:548258836 2022-10-09 2023-07-30 f https://github.com/Lzer0Kx01/CVE-2022-35914 CVE-2022-35914 3 2 1 2 118156096913082696 +github:1182746825 2026-03-16 2026-03-16 f https://github.com/ahmedreda38/CVE-2025-47273-PoC CVE-2025-47273 is a high-severity path traversal vulnerability in the setuptools library ,specifically version 78.1.0 . CVE-2025-47273 0 0 0 0 7200342938874955103 +github:137853310 2020-03-11 2024-08-12 f https://github.com/its-arun/CVE-2016-2098 CVE-2016-2098 simple POC written in bash CVE-2016-2098 2 1 0 1 2478193336268716195 +github:257930681 2020-04-24 2024-08-12 f https://github.com/snappyJack/pdfresurrect_CVE-2019-14267 CVE-2019-14267 2 2 1 2 8994360456645656011 +github:822475682 2024-07-05 2026-01-17 f https://github.com/jakabakos/CVE-2024-34102-CosmicSting-XXE-in-Adobe-Commerce-and-Magento CosmicSting: critical unauthenticated XXE vulnerability in Adobe Commerce and Magento (CVE-2024-34102) CVE-2024-34102 1 9 1 9 1697337881741903249 +github:998473085 2025-06-12 2025-06-12 f https://github.com/CyberQuestor-infosec/CVE-2018-17179-OpenEMR CVE-2018-17179 0 1 0 1 4840413777557778012 +github:801466453 2025-04-30 2026-05-29 f https://github.com/Maalfer/CVE-2024-23897 Poc para explotar la vulnerabilidad CVE-2024-23897 en versiones 2.441 y anteriores de Jenkins, mediante la cual podremos leer archivos internos del sistema sin estar autenticados CVE-2024-23897 4 13 2 13 3975513010004056755 +github:271798069 2020-06-13 2020-06-13 f https://github.com/shigeki/challenge_CVE-2020-13777 Challange CVE-2020-13777 CVE-2020-13777 0 2 1 2 5018691649101589299 +github:478909815 2022-04-08 2022-04-07 f https://github.com/t3amj3ff/Spring4ShellPoC Spring4Shell PoC (CVE-2022-22965) CVE-2022-22965 0 0 1 0 7865200606897764656 +github:1027617939 2025-07-28 2025-10-26 f https://github.com/CSpanias/rpc-rce.py Exploit for CVE-2022-35411 — Unauthenticated RCE in rpc.py (<= 0.6.0) CVE-2022-35411 0 2 0 2 5850270555876213736 +github:1261410583 2026-06-06 2026-06-06 f https://github.com/madhantr0/http2-security-lab HTTP/2 attack simulation & defense lab - Slowloris, Rapid Reset (CVE-2023-44487), HPACK Bomb attacks with 5 layered defenses. Built in pure Python with raw sockets and h2 library. CVE-2023-44487 0 0 0 0 5013184895492012566 +github:1093500335 2025-11-13 2025-11-28 f https://github.com/nunpa/CVE-2025-64459 check if vulnerable python-django version to CVE-2025-64459 bug CVE-2025-64459 0 1 0 1 1017642797599712734 +github:991060283 2025-05-27 2025-05-27 f https://github.com/SerpilRivas/log4shell-homework9 Log4Shell (CVE-2021-44228) exploit demo for SEAS 8405. Includes a vulnerable Spring Boot app, fake LDAP server, Docker setup, MITRE mapping, incident response, and a full screen recording. CVE-2021-44228 0 0 0 0 4999734483043209881 +github:1110744104 2025-12-05 2026-07-16 f https://github.com/f0xyx/CVE-2025-55182-Scanner Security scanner for CVE-2025-55182 - Critical RCE vulnerability in React Server Components CVE-2025-55182 1 0 0 0 6871670442550593512 +github:1308738174 2026-07-22 2026-07-22 f https://github.com/Kha-Beleh/PoC-CVE-2025-69420 CVE-2025-69420 0 0 0 0 7542609993049191795 +github:58125094 2016-05-11 2017-06-09 f https://github.com/chusiang/CVE-2016-3714.ansible.role Fix ImageMagick Command Injection (CVE-2016-3714) with Ansible. CVE-2016-3714 3 1 2 1 8541425801107470012 +github:1008221101 2025-06-25 2025-06-25 f https://github.com/Perimora/cve_2019-5736-PoC C-based PoC for CVE-2019-5736 CVE-2019-5736 0 0 0 0 2935847553792482353 +github:1057141776 2025-09-15 2025-12-13 f https://github.com/tranphuc2005/CVE-2017-9822 CVE-2017-9822 0 0 0 0 4584381569996685020 +github:241831156 2022-12-10 2025-08-09 f https://github.com/Dor-Tumarkin/CVE-2019-17564-FastJson-Gadget Basic code for creating the Alibaba FastJson + Spring gadget chain, as used to exploit Apache Dubbo in CVE-2019-17564 - more information available at https://www.checkmarx.com/blog/apache-dubbo-unauthenticated-remote-code-execution-vulnerability CVE-2019-17564 2 16 1 16 6638892154461541282 +github:1313004543 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-67181-HTTP-Request-Smuggling-via-Transfer-Encoding-Desynchronization-rouille- Security Advisory: HTTP Request Smuggling via Transfer-Encoding Desynchronization (rouille) CVE-2026-67181 0 0 0 0 1257017855954096392 +github:1149075009 2026-02-03 2026-02-03 f https://github.com/aditidutta696-dev/Spring4Shell-CVE-2022-22965-Exploitation-Attempt CVE-2022-22965 0 0 0 0 2076399014750161268 +github:850674192 2024-09-01 2024-09-01 f https://github.com/Abdurahmon3236/-CVE-2024-6095 CVE-2024-6095 0 0 1 0 4001475187260297486 +github:504489103 2026-07-27 2026-07-27 f https://github.com/mayank729/CVE-2025-55182-scanner 🔍 Scan for CVE-2025-55182 risks in React Server Components with this non-intrusive tool that helps detect critical vulnerabilities in your applications. CVE-2025-55182 0 0 1 0 1254808903524430898 +github:1294759111 2026-07-09 2026-07-09 f https://github.com/code-with-amitk/CentOS7_CVE-2021-3712_Remediation Production Ready Steps for Remediating a openssl CVE(https://nvd.nist.gov/vuln/detail/cve-2021-3712) on EOL CentOS7 box CVE-2021-3712 0 0 0 0 1413424479791118111 +github:438469428 2021-12-15 2021-12-15 f https://github.com/jeremyrsellars/CVE-2021-44228_scanner Aims to find JndiLookup.class in nearly any directory or zip, jar, ear, war file, even deeply nested. CVE-2021-44228 0 0 1 0 763282572987168037 +github:750239281 2024-01-30 2024-01-30 f https://github.com/2048JiaLi/CVE-2023-51385 CVE-2023-51385 的exp CVE-2023-51385 1 0 1 0 9118312899787360976 +github:1102896214 2025-11-17 2025-11-24 f https://github.com/djayaGit/Blackash-CVE-2025-12762 CVE-2025-12762 CVE-2025-12762 0 0 0 0 3289237202625442199 +github:370741007 2021-05-25 2021-05-25 f https://github.com/Marsable/CVE-2020-27955-LFS CVE-2020-27955 0 0 1 0 21705261668566758 +github:653318513 2023-06-14 2023-06-13 f https://github.com/Alucard0x1/CVE-2023-2986 Proof of Concept for vulnerability CVE-2023-2986 in 'Abandoned Cart Lite for WooCommerce' Plugin in WordPress in Python Version CVE-2023-2986 2 0 1 0 8239402195536809136 +github:1249390229 2026-05-25 2026-05-25 f https://github.com/portbuster1337/CVE-2026-33712 CVE-2026-33712 - Typebot <= 3.15.2 Unauthenticated SSRF via isolated-vm sandbox fetch CVE-2026-33712 0 0 0 0 6300592761548562763 +github:929971733 2025-02-09 2025-02-09 f https://github.com/RogelioPumajulca/CVE-2022-0847 CVE-2022-0847 1 0 1 0 2093788647085397769 +github:943803081 2025-03-06 2025-03-06 f https://github.com/ashutosh0408/CVE-2024-32002 This repository contains a PoC for exploiting CVE-2024-32002, a vulnerability in Git that allows RCE during a git clone operation. By crafting repositories with submodules in a specific way, an attacker can exploit symlink handling on case-insensitive filesystems to write files into the .git/ directory, leading to the execution of malicious hooks. CVE-2024-32002 0 0 1 0 4560854559713628412 +github:1086936331 2025-11-20 2026-07-12 f https://github.com/saneki/cve-2025-49844 Proof-of-concept for CVE-2025-49844 CVE-2025-49844 6 25 0 25 4161973664004394690 +github:1113309572 2025-12-09 2026-01-12 f https://github.com/ihsansencan/React2Shell-CVE-2025-55182 * React2Shell-CVE-2025-55182 CVE-2025-55182 0 1 0 1 7767615485412118967 +github:1284422140 2026-07-08 2026-07-08 f https://github.com/BiiTts/CVE-2026-53753-Crawl4AI-RCE CVE-2026-53753 — Crawl4AI <0.8.7 unauthenticated RCE (AST sandbox escape via gi_frame.f_back). Lab + PoC, verified e2e. CVE-2026-53753 0 0 0 0 5017271006118698860 +github:1014450053 2025-07-05 2025-12-07 f https://github.com/ibrahmsql/CVE-2021-41163 CVE-2021-41163 0 3 0 3 5027503259847122644 +github:1037628901 2025-08-15 2026-03-12 f https://github.com/CMassa/CVE-2025-24893 PoC exploit for XWiki Remote Code Execution Vulnerability (CVE-2025-24893) CVE-2025-24893 0 0 0 0 1877644611307363999 +github:721121106 2024-11-05 2024-11-05 f https://github.com/nitzanoligo/CVE-2023-46604-demo CVE-2023-46604 0 0 1 0 854311982369305745 +github:838914336 2024-08-06 2026-07-19 f https://github.com/zangjiahe/CVE-2024-6782 Calibre 远程代码执行（CVE-2024-6782）Improper access control in Calibre 6.9.0 ~ 7.14.0 allow unauthenticated attackers to achieve remote code execution. CVE-2024-6782 3 7 1 7 7190724883081581186 +github:330760916 2021-01-18 2025-07-15 f https://github.com/canumay/cve-2018-1335 CENG 325 - Principles of Information Security And Privacy CVE-2018-1335 0 1 1 1 3287139107076317844 +github:145985371 2018-08-25 2026-02-14 f https://github.com/hook-s3c/CVE-2018-11776-Python-PoC Working Python test and PoC for CVE-2018-11776, includes Docker lab CVE-2018-11776 49 123 10 123 7770200940149623964 +github:838500653 2024-08-05 2024-08-29 f https://github.com/OrangeJuiceHU/CVE-2024-41958-PoC This is a small proof of concept for CVE-2024-41958 CVE-2024-41958 0 4 1 4 4364180230712062599 +github:1258372826 2026-06-03 2026-06-03 f https://github.com/bhimsekhar/vulnerable-java-app Spring Boot app with log4j 2.14.1 (CVE-2021-44228) — VulnFix agent test target CVE-2021-44228 0 0 0 0 4409779664007847091 +github:624319568 2023-04-06 2023-04-06 f https://github.com/qaisarafridi/cve-2021-3129 CVE-2021-3129 0 0 1 0 3869642700813757524 +github:420528447 2021-10-23 2021-10-23 f https://github.com/TheLastVvV/CVE-2021-41773 Poc CVE-2021-41773 - Apache 2.4.49 with CGI enabled CVE-2021-41773 0 0 1 0 4006957222224616688 +github:884650375 2024-11-07 2026-03-11 f https://github.com/shellkraft/CVE-2024-50335 A security vulnerability in SuiteCRM that can be exploited to steal CSRF tokens and perform unauthorized actions, such as creating new administrative users without proper authentication. CVE-2024-50335 0 0 1 0 5698409648732528687 +github:72594729 2016-11-02 2024-06-27 f https://github.com/firebroo/CVE-2016-6663 CVE-2016-6663 5 5 1 5 3977916555750252785 +github:365651593 2021-08-27 2026-07-11 f https://github.com/0xm4ud/noSAMBAnoCRY-CVE-2017-7494 CVE-2017-7494 python exploit CVE-2017-7494 1 6 1 6 1135240793599923010 +github:436877979 2021-12-11 2026-07-28 f https://github.com/boundaryx/cloudrasp-log4j2 一个针对防御 log4j2 CVE-2021-44228 漏洞的 RASP 工具。 A Runtime Application Self-Protection module specifically designed for log4j2 RCE (CVE-2021-44228) defense. CVE-2021-44228 20 126 6 126 171209348111755134 +github:1244361129 2026-05-20 2026-06-24 f https://github.com/gagaltotal/CVE-2026-42945-NGINX-Rift-Toolkit CVE-2026-42945 - NGINX Rift Toolkit CVE-2026-42945 1 3 0 3 4606701887486129113 +github:1096274852 2025-11-14 2025-11-14 f https://github.com/xenosf/CS4239-Spring4Shell-POC CVE-2022-22965 proof of concept for CS4239 report CVE-2022-22965 0 0 0 0 1764875642880342436 +github:1219270841 2026-04-23 2026-04-23 f https://github.com/0xBlackash/CVE-2024-3094 CVE-2024-3094 CVE-2024-3094 0 0 0 0 8172332375593806220 +github:135587582 2018-05-31 2018-05-31 f https://github.com/Choihosu/cve-2018-11235 CVE-2018-11235 0 0 1 0 7848093001224740552 +github:469754171 2022-06-20 2024-01-22 f https://github.com/Xn2/GLPwn GLPI automatic exploitation tool for CVE-2020-15175 CVE-2020-15175 2 5 1 5 3506355160263466003 +github:1130742214 2026-02-10 2026-04-08 f https://github.com/Betim-Hodza/CVE-2025-4802-Proof-of-Concept Proof of Concept for a statically compiled setuid binary vulnerable to dlopen with LD_LIBRARY_PATH CVE-2025-4802 0 2 0 2 384913306414138591 +github:399355993 2021-08-25 2025-12-18 f https://github.com/zwjjustdoit/Xstream-1.4.17 XSTREAM<=1.4.17漏洞复现（CVE-2021-39141、CVE-2021-39144、CVE-2021-39150） CVE-2021-39141 9 62 1 62 2821469561830893581 +github:1182124983 2026-03-15 2026-03-15 f https://github.com/Codepumpking/log4shell-poc POC for log4shll Vulnerablity (CVE-2021-44228) CVE-2021-44228 0 0 0 0 5371921907463199896 +github:467662886 2022-03-08 2026-05-02 f https://github.com/4luc4rdr5290/CVE-2022-0847 CVE-2022-0847 CVE-2022-0847 5 6 1 6 2311215713661659977 +github:84693026 2018-05-21 2026-07-29 f https://github.com/mazen160/struts-pwn An exploit for Apache Struts CVE-2017-5638 CVE-2017-5638 132 442 21 442 6612976451336988459 +github:1135066043 2026-01-15 2026-01-15 f https://github.com/BOSE122/CVE-2024-3094 CVE-2024-3094 0 0 0 0 6038083064722076300 +github:803825364 2024-05-21 2024-09-18 f https://github.com/d0rb/CVE-2024-4323 Critical heap buffer overflow vulnerability in the handle_trace_request and parse_trace_request functions of the Fluent Bit HTTP server. CVE-2024-4323 0 1 1 1 6577008663759681456 +github:823159943 2024-07-02 2024-07-02 f https://github.com/particle99/CVE-2024-6387-POC fork for proof of concept of the regresshion vulnerability CVE-2024-6387 0 0 0 0 338387192827731594 +github:1132047688 2026-01-11 2026-01-11 f https://github.com/Faithtiannn/CVE-2025-55182 CVE-2025-55182漏洞检测工具 CVE-2025-55182 0 2 0 2 5527779327555349175 +github:847643436 2024-08-27 2024-08-27 f https://github.com/0xc4t/CVE-2021-41773 POC & Lab For CVE-2021-41773 CVE-2021-41773 0 0 1 0 761549137771265181 +github:539674997 2022-09-29 2022-09-29 f https://github.com/bcdunbar/CVE-2021-44228-poc CVE-2021-44228 POC / Example CVE-2021-44228 0 1 1 1 1795845488226530022 +github:486099149 2022-04-27 2026-03-17 f https://github.com/khidottrivi/CVE-2022-22965 CVE-2022-22965 0 4 1 4 52442555962415449 +github:825678272 2024-07-08 2025-04-09 f https://github.com/Ziad-Sakr/Chamilo-CVE-2023-4220-Exploit This is an Exploit for Unrestricted file upload in big file upload functionality in Chamilo-LMS for this location "/main/inc/lib/javascript/bigupload/inc/bigUpload.php" in Chamilo LMS <= v1.11.24, and Attackers can obtain remote code execution via uploading of web shell. CVE-2023-4220 3 5 1 5 1529847267473585295 +github:1207751524 2026-04-11 2026-04-11 f https://github.com/RewantChaudhari/nextjs-rce-incident-response Real-world incident response for CVE-2025-55182 (React2Shell) — script injection, server remediation, and post-incident report CVE-2025-55182 1 0 0 0 8563801130425626162 +github:1298553102 2026-07-12 2026-07-12 f https://github.com/gunwoo105/Node_CVE-2023-29017 Node.js vm2 CVE-2023-29017 reproduction with Docker Compose and PoC CVE-2023-29017 0 0 0 0 4935362736483285007 +github:799218200 2024-05-11 2024-11-13 f https://github.com/DiabloHTB/CVE-2024-1561 Poc for CVE-2024-1561 affecting Gradio 4.12.0 CVE-2024-1561 0 4 1 4 2628738187695351951 +github:833176749 2024-07-24 2024-08-05 f https://github.com/xiw1ll/CVE-2024-22198_Checker Identify Nginx-ui version and check if it's vulnerable to CVE-2024-22198 CVE-2024-22198 1 0 1 0 7461385591617716668 +github:954301870 2025-04-02 2025-10-31 f https://github.com/sandumjacob/IngressNightmare-POCs CVE-2025-1974 CVE-2025-1974 29 90 4 90 2584027442786640930 +github:976847118 2025-05-02 2025-05-02 f https://github.com/katseyres2/CVE-2022-44268-pilgrimage CVE-2022-44268 0 0 1 0 4424066020645432 +github:749490677 2024-01-28 2024-01-29 f https://github.com/hackeremmen/gitlab-exploit GitLab CVE-2023-7028 CVE-2023-7028 3 1 1 1 4807180184265186347 +github:904610222 2024-12-17 2024-12-17 f https://github.com/candranapits/poc-CVE-2024-10220 CVE-2024-10220 POC CVE-2024-10220 0 0 1 0 4405003665403549759 +github:1274403754 2026-06-28 2026-06-28 f https://github.com/Saku0512/CVE-2026-54761-poc CVE-2026-54761 0 0 0 0 9040366302699907325 +github:643308038 2023-05-20 2023-05-20 f https://github.com/antisecc/CVE-2022-24716 CVE-2022-24716 1 0 1 0 8069199796748205279 +github:780728046 2024-04-02 2025-12-06 f https://github.com/ScrimForever/CVE-2024-3094 Detectar CVE-2024-3094 CVE-2024-3094 1 2 1 2 8576794988434756105 +github:517960755 2022-07-28 2024-11-06 f https://github.com/TheAlpha19/MiniExploit WebMin Versions <= 1.920 [CVE-2019-15107] RCE PoC CVE-2019-15107 0 1 1 1 5862528138268613322 +github:737392401 2025-12-04 2025-08-07 f https://github.com/snyk-labs/CVE-2023-50164-POC CVE-2023-50164 1 6 5 6 5105506701558528320 +github:1034261306 2025-08-08 2025-09-04 f https://github.com/Hex00-0x4/CVE-2025-24893-XWiki-RCE This vulnerability could allow a malicious user to execute remote code by sending appropriately crafted requests to the default search engine SolrSearch CVE-2025-24893 0 6 0 6 3857764815505370905 +github:457656206 2022-02-10 2022-02-10 f https://github.com/wolf1892/CVE-2019-7609 docker lab setup for kibana-7609 CVE-2019-7609 0 0 1 0 7861144105963344171 +github:490045854 2022-05-10 2023-11-15 f https://github.com/isaiahsimeone/COMP3320-VAPT Files required to demonstrate CVE-2022-0847 vulnerability in Linux Kernel v5.8 CVE-2022-0847 1 0 1 0 857174380383885270 +github:806179763 2024-05-26 2026-03-15 f https://github.com/Rubikcuv5/cve-2023-30253 Dolibarr before 17.0.1 allows remote code execution by an authenticated user via an uppercase manipulation: 🔓 Proof-of-Concept for a fictional Next.js middleware bypass (CVE-2025-29927) — craft sub-requests to test protected routes. CVE-2025-29927 0 1 1 1 754568061346224631 +github:1163358593 2026-02-21 2026-02-21 f https://github.com/Crow5-oss/CVE-2025-68645 CVE-2025-68645 0 0 0 0 6939655108584732954 +github:437685288 2021-12-19 2021-12-19 f https://github.com/maxant/log4j2-CVE-2021-44228 CVE-2021-44228 0 0 1 0 3254583517491032931 +github:789035235 2025-10-14 2026-03-23 f https://github.com/karanlvm/DirtyPipe-Exploit Proof of concept for CVE-2022-0847 CVE-2022-0847 1 2 1 2 3847647043915371826 +github:1052204998 2025-09-07 2025-09-10 f https://github.com/dollarboysushil/CVE-2025-32433-Erlang-OTP-SSH-Unauthenticated-RCE PoC showing unauthenticated remote code execution in Erlang/OTP SSH server. By exploiting a flaw in SSH protocol message handling, an attacker can execute arbitrary commands on the target without valid credentials. CVE-2025-32433 0 3 0 3 3945560562313120204 +github:1140000573 2026-01-29 2026-05-10 f https://github.com/MemerGamer/CVE-2025-55182 CVE-2025-55182 CVE-2025-55182 0 2 0 2 8722166540335819010 +github:1257834591 2026-06-03 2026-06-03 f https://github.com/hieuminhnv/CVE-2026-29198-POC Rocket.Chat OAuth2 NoSQL Injection CVE-2026-29198 0 1 0 1 5093076090233809356 +github:138721867 2026-04-15 2026-04-15 f https://github.com/Iletee/struts2-rce Exploitable target to CVE-2017-5638 CVE-2017-5638 155 11 0 11 7811970122904102208 +github:1092408377 2025-11-08 2025-11-08 f https://github.com/captaincookie34/Vulnerability-Playground-CVE-2025-61922 CVE-2025-61922 0 0 0 0 4554380832632873958 +github:402153068 2021-09-01 2021-09-01 f https://github.com/fu2x2000/CVE-2017-7529-Nginx---Remote-Integer-Overflow-Exploit CVE-2017-7529 0 0 1 0 699850540064793959 +github:467552702 2022-03-10 2024-01-20 f https://github.com/puckiestyle/CVE-2022-0847 CVE-2022-0847 2 2 1 2 7718306992380403966 +github:642687141 2026-01-07 2026-01-07 f https://github.com/iSee857/CVE-2023-31634 CVE-2023-31634 1 0 1 0 7018783577062816153 +github:1125104768 2026-03-16 2026-03-16 f https://github.com/Baba01hacker666/cve-2025-54236 cve-2025-54236 poc CVE-2025-54236 0 0 0 0 6140388370841442921 +github:536954849 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37202 CVE-2022-37202 POC CVE-2022-37202 0 0 1 0 5575011086968024129 +github:536033583 2022-09-13 2022-09-13 f https://github.com/freeFV/ApacheSolrRCE ApacheSolrRCE（CVE-2019-0193）一键写shell，原理是通过代码执行的java文件流写的马。 CVE-2019-0193 1 0 0 0 458475035322113767 +github:482761729 2022-04-18 2024-11-20 f https://github.com/jkakavas/CVE-2022-0778-POC CVE-2022-0778 3 11 0 11 7684398103508387011 +github:895464509 2024-11-28 2024-11-28 f https://github.com/Avento/CVE-2023-43208_Detection_PoC Use java.net.InetAddress for detection CVE-2023-43208 0 2 1 2 5261540696719858494 +github:1264009422 2026-06-09 2026-06-09 f https://github.com/kennedy-aikohi/mcpjam-cve-2026-23744-validator CVE-2026-23744 0 0 0 0 5162019530564315325 +github:1261434372 2026-06-06 2026-06-06 f https://github.com/ikarolaborda/CVE2026-42926 Controlled NGINX HTTP/2 frame injection lab for CVE-2026-42926 patch validation and defensive research CVE-2026-42926 0 0 0 0 4062028671585472021 +github:1097541932 2025-11-16 2025-12-20 f https://github.com/magicrc/CVE-2024-0670 PoC for CVE-2024-0670 CVE-2024-0670 0 1 0 1 697178551434874558 +github:1138760910 2026-01-21 2026-01-21 f https://github.com/afifudinmtop/CVE-2021-21425 CVE-2021-21425 0 0 0 0 6836282894135211306 +github:823940931 2024-07-04 2024-07-07 f https://github.com/turbobit/CVE-2024-6387-OpenSSH-Vulnerability-Checker Welcome to the CVE-2024-6387 OpenSSH Vulnerability Checker repository! This project offers multiple scripts to check the installed version of OpenSSH on your system and determine if it is vulnerable to CVE-2024-6387. It supports various environments, including Ubuntu, Mac, and Windows. CVE-2024-6387 1 1 1 1 9007203558250395990 +github:1181208551 2026-03-13 2026-03-13 f https://github.com/h3raklez/CVE-2025-31722 CVE-2025-31722 — Jenkins Templating Engine RCE CVE-2025-31722 0 0 0 0 3944775648831510237 +github:767370814 2024-09-13 2026-06-22 f https://github.com/Arlenhiack/ActiveMQ-RCE-Exploit ActiveMQ RCE (CVE-2023-46604) 回显利用工具 CVE-2023-46604 4 43 1 43 5963810968202809064 +github:1113453822 2025-12-10 2025-12-10 f https://github.com/Geekby/n8n-CVE-2025-65964 CVE-2025-65964 CVE-2025-65964 0 0 0 0 2414343145958319359 +github:1307840308 2026-07-21 2026-07-21 f https://github.com/iqx6889/CVE-2026-52813-Gogs-RCE CVE-2026-52813 (Gogs Path Traversal → Git Hooks RCE) defensive writeup: root-cause & patch analysis, Sigma/SIEM detection rules, IOCs, non-intrusive version scanner. No weaponized PoC. CVE-2026-52813 0 1 0 1 8743972689768639461 +github:437116864 2021-12-10 2021-12-10 f https://github.com/Kadantte/CVE-2021-44228-poc log4shell sample application (CVE-2021-44228) CVE-2021-44228 4 0 0 0 3754670374413513730 +github:210371345 2019-09-26 2024-08-12 f https://github.com/Rayferrufino/Make-and-Break Built a custom Virtual Machine, running Ubuntu 18.04.1 and Webmin 1.810. Using CVE-2019-15107 to exploit a backdoor in the Linux machine CVE-2019-15107 3 1 2 1 6391495089227147538 +github:213952894 2019-10-10 2025-10-14 f https://github.com/synacktiv/Exim-CVE-2019-15846 PoC materials to exploit CVE-2019-15846 CVE-2019-15846 10 30 1 30 6147026483932201985 +github:335558169 2021-03-05 2021-05-05 f https://github.com/DanielAzulayy/CTF-2021 CTF for HDE 64 students at See Security College. Exploit a JWT (web part) & CVE-2021-3156 (LPE part). CVE-2021-3156 0 0 1 0 4290922278191964475 +github:617083370 2023-03-24 2023-06-06 f https://github.com/Skileau/CVE-2022-41876 PoC for CVE-2022-41876 CVE-2022-41876 1 7 2 7 841108482335354185 +github:693884199 2023-09-19 2023-09-28 f https://github.com/sromanhu/CVE-2023-43875-Subrion-CMS-Reflected-XSS---Installation Subrion CMS 4.2.1 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload in the installation process. CVE-2023-43875 0 0 1 0 6809065689901592789 +github:397173185 2021-08-17 2021-10-24 f https://github.com/Tabni/https-github.com-awakened1712-CVE-2019-11932 CVE-2019-11932 CVE-2019-11932 0 1 1 1 1609815162010497443 +github:918268815 2025-01-18 2026-05-18 f https://github.com/Disnaming/CVE-2022-34169 A PoC for CVE-2022-34169, for the SU_PWN challenge from SUCTF 2025 CVE-2022-34169 0 3 1 3 2493463988026748338 +github:1048423509 2025-09-01 2025-09-01 f https://github.com/danil-koltsov/below-log-race-poc PoC for CVE-2025-27591 – Local privilege escalation in the below monitoring tool. By symlinking its log file to /etc/passwd, an attacker can inject a root account and gain full system compromise. CVE-2025-27591 0 1 0 1 3532237609434436758 +github:439330776 2021-12-21 2021-12-21 f https://github.com/metodidavidovic/log4j-quick-scan Scan your IP network and determine hosts with possible CVE-2021-44228 vulnerability in log4j library. CVE-2021-44228 0 0 1 0 270318003458153941 +github:562763927 2022-11-09 2024-08-14 f https://github.com/cybersecurityworks553/CVE-2022-3602-and-CVE-2022-3786 CVE-2022-3602 1 4 1 4 1568838763949883002 +github:1157769063 2026-02-14 2026-02-14 f https://github.com/hyungin0505/CVE-2024-37383_PoC CVE-2024-37383 Proof of Concept CVE-2024-37383 0 0 0 0 8291676844937589058 +github:1121056251 2025-12-22 2026-05-31 f https://github.com/Strikoder-Premium/Grafana-Password-Decryptor Python toolkit for decrypting AES-256 and cracking PBKDF2 passwords from Grafana databases usually paired with (CVE-2021-43798) CVE-2021-43798 0 1 1 1 8256884213823364052 +github:1263536798 2026-06-09 2026-06-09 f https://github.com/HORKimhab/CVE-2026-45067 CVE-2026-45067 - Draft CVE-2026-45067 0 0 0 0 3024245573382016568 +github:1116224509 2025-12-14 2025-12-14 f https://github.com/CyberPrince-hub/React2shell-ultimate-scanner CVE-2025-55182-Advanced-Scanner is an automated security tool designed to detect and validate the CVE-2025-55182 vulnerability efficiently. it helps security researchers and bug bounty hunters quickly identify affected targets with accurate results and minimal false positives. CVE-2025-55182 0 0 0 0 4306810439557627416 +github:1244219527 2026-05-20 2026-05-20 f https://github.com/fineman999/POC_CVE-2026-35037 POC_CVE-2026-35037 CVE-2026-35037 0 0 0 0 8397672406980932250 +github:100264267 2017-08-14 2017-08-14 f https://github.com/sm-paul-schuette/CVE-2017-12426 CVE-2017-12426 3 0 0 0 2319205384626036299 +github:240153600 2020-02-13 2024-08-12 f https://github.com/Jaky5155/CVE-2019-17564 CVE-2019-17564 Apache Dubbo deserialization RCE CVE-2019-17564 1 2 1 2 2508202795342524309 +github:436562240 2021-12-09 2024-08-12 f https://github.com/z3n70/CVE-2021-43798 Simple program for exploit grafana CVE-2021-43798 3 5 1 5 3799471098696681708 +github:895493116 2024-11-23 2024-11-28 f https://github.com/funnyDog896/CVE-2024-36401-WoodpeckerPlugin CVE-2024-36401-GeoServer Property 表达式注入 Rce woodpecker-framework 插件 CVE-2024-36401 1 0 0 0 6290822195385833850 +github:60787819 2016-06-10 2022-07-01 f https://github.com/tmiklas/docker-cve-2016-2107 Docker container implementing tests for CVE-2016-2107 - LuckyNegative20 CVE-2016-2107 0 2 1 2 5702920578612180616 +github:899918238 2024-12-08 2024-12-08 f https://github.com/Piyush-Bhor/CVE-2024-11394 Technical Details and Exploit for CVE-2024-11394 CVE-2024-11394 0 0 1 0 2343684482812677500 +github:964159966 2025-04-16 2026-01-22 f https://github.com/cchopin/CVE-Arsenal-Lab TomcatScanner is a comprehensive security tool designed for detecting and exploiting the CVE-2025-24813 vulnerability in Apache Tomcat servers. CVE-2025-24813 0 4 1 4 3527171725253122299 +github:1231938449 2026-06-02 2026-07-13 f https://github.com/yoyosh/DarkReplica CVE-2026-23631 (DarkReplica) Redis Exploit CVE-2026-23631 6 33 1 33 3863039362416230240 +github:469794565 2022-03-14 2024-08-12 f https://github.com/breachnix/dirty-pipe-poc CVE-2022-0847 POC CVE-2022-0847 4 15 0 15 6264142958172016308 +github:965064880 2025-04-12 2025-04-12 f https://github.com/paultheal1en/CVE-2023-1177-PoC-reproduce PoC of CVE-2023-1177 vulnerability in MLflow (Reproduce) CVE-2023-1177 0 0 1 0 9110290087074399378 +github:1110287680 2025-12-05 2026-03-25 f https://github.com/ZemarKhos/CVE-2025-55182-Exploit-PoC-Scanner CVE-2025-55182 1 2 0 2 1900212911807841386 +github:68688797 2016-09-20 2024-08-12 f https://github.com/Ashrafdev/MySQL-Remote-Root-Code-Execution 0ldSQL_MySQL_RCE_exploit.py (ver. 1.0) (CVE-2016-6662) MySQL Remote Root Code Execution / Privesc PoC Exploit For testing purposes only. Do no harm. CVE-2016-6662 10 9 2 9 5026461799144002291 +github:320642790 2021-02-07 2021-08-14 f https://github.com/jrmurray000/CVE-2020-8554 Mitigate CVE-2020-8554 with Policy Controller in Anthos CVE-2020-8554 1 1 1 1 4179180079780401089 +github:656337742 2023-06-20 2023-06-20 f https://github.com/hacip/CVE-2023-33405 CVE-2023-33405 1 0 1 0 1283862020225440833 +github:905906674 2024-12-19 2025-01-08 f https://github.com/SpiralBL0CK/CVE-2024-35176 CVE-2024-35176 poc full CVE-2024-35176 2 5 1 5 8475831147395338579 +github:1112227260 2025-12-08 2025-12-08 f https://github.com/randarts/react-rce CVE-2025-55182 취약점에 대한 샘플을 AI와 함께 작성 및 테스트 했습니다. CVE-2025-55182 0 0 0 0 4426141082028548575 +github:377948316 2021-06-17 2024-08-12 f https://github.com/FrostsaberX/CVE-2020-27955 Git-LFS RCE Test CVE-2020-27955 1 0 1 0 6188494652671018347 +github:639303406 2023-08-08 2026-06-22 f https://github.com/YYHYlh/Apache-Dubbo-CVE-2023-23638-exp Apache Dubbo (CVE-2023-23638)漏洞利用的工程化实践 CVE-2023-23638 29 230 3 230 5705604456146703023 +github:823323116 2024-07-02 2024-07-31 f https://github.com/BrandonLynch2402/cve-2024-6387-nuclei-template CVE-2024-6387 0 3 1 3 8103163941335054420 +github:1272879324 2026-06-18 2026-06-19 f https://github.com/0xk4rth1/CVE-2025-54123 CVE-2025-54123 Hoverfly Command Injection to RCE PoC CVE-2025-54123 0 2 0 2 5992509253966618469 +github:1309125822 2026-07-22 2026-07-22 f https://github.com/stoic-crawler/CVE-2025-64512 Exploit for CVE-2025-64512 to get a reverse shell. CVE-2025-64512 0 0 0 0 6308279654152911153 +github:673039429 2023-07-31 2024-06-11 f https://github.com/ixSly/CVE-2022-41401 CVE-2022-41401 1 1 1 1 7482526264362393687 +github:837227856 2024-08-02 2024-08-02 f https://github.com/ipuig/CVE-2023-50564 CVE-2023-50564 PoC CVE-2023-50564 0 0 1 0 5017570549108275959 +github:748932948 2024-03-13 2025-11-26 f https://github.com/yoryio/CVE-2024-23897 Scanner for CVE-2024-23897 - Jenkins CVE-2024-23897 0 5 1 5 2570201566235181944 +github:723368358 2023-11-25 2024-06-02 f https://github.com/l3ragio/CVE-2022-29361_Werkzeug_Client-Side-Desync-to-XSS CVE-2022-29361 0 1 1 1 2248811709518301899 +github:1277211875 2026-06-22 2026-06-23 f https://github.com/ethicbrudhack/CVE-2022-40769---Profanity CVE-2022-40769 1 1 0 1 5451670000910922589 +github:1041592283 2025-08-20 2025-08-20 f https://github.com/SyedGhufranRaza/CVE-2018-7600-Remote-Code-Execution This repository showcases a fully self-developed Proof-of-Concept (PoC) for CVE-2018-7600, widely known as Drupalgeddon 2. This critical vulnerability in Drupal 7 and 8 core enables remote code execution (RCE), and the PoC demonstrates its exploitation in a clear and educational manner. CVE-2018-7600 0 0 0 0 643353799387518603 +github:875201006 2024-10-19 2026-06-03 f https://github.com/fazilbaig1/CVE-2019-19919 Handlebars Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') Vulnerability CVE-2019-19919 3 6 1 6 5747214111084273001 +github:355128115 2021-04-06 2023-12-15 f https://github.com/Security-AVS/CVE-2021-30146 Seafile 7.0.5 Persistent XSS CVE-2021-30146 0 2 1 2 522053171553582849 +github:783453075 2024-04-11 2026-07-19 f https://github.com/TechieNeurons/CVE-2024-3116_RCE_in_pgadmin_8.4 Making a lab and testing the CVE-2024-3116, a Remote Code Execution in pgadmin <=8.4 CVE-2024-3116 2 13 1 13 8856256993763008933 +github:1113398834 2025-12-11 2025-12-11 f https://github.com/trax69/cve-2025-55182-poc Proof of Concept for CVE-2025-55182 ("React2Shell"). A fully dockerized environment demonstrating Remote Code Execution (RCE) via insecure deserialization in React Server Components. Includes vulnerable targets for both Vanilla React (Express) and Next.js, along with a custom Python exploit script. CVE-2025-55182 0 0 0 0 95594567526264412 +github:1254143536 2026-05-30 2026-06-29 f https://github.com/c0gnit00/CVE-2026-29000 Python POC, Exploit for CVE-2026-29000 CVE-2026-29000 0 1 0 1 1159531573928207629 +github:1058521940 2025-09-17 2025-09-17 f https://github.com/shoucheng3/perwendel__spark_CVE-2016-9177_2_5_2_fixed CVE-2016-9177 0 0 0 0 8074077550163016439 +github:953100819 2025-03-22 2025-03-23 f https://github.com/tonyarris/CVE-2025-24813-PoC A PoC for CVE-2025-24813 CVE-2025-24813 0 1 1 1 100565415251832647 +github:261160783 2021-07-07 2024-08-12 f https://github.com/0xc0d/CVE-2020-11651 CVE-2020-11651: Proof of Concept CVE-2020-11651 14 40 2 40 9101993734225718729 +github:1099279019 2025-11-19 2026-01-10 f https://github.com/Nxvh1337/CVE-2025-63406-PoC Small PoC to automate exploitation of CVE-2025-63406. CVE-2025-63406 0 4 0 4 1577687976574997450 +github:508307477 2022-07-08 2022-07-08 f https://github.com/bypazs/CVE-2022-34962 OpenTeknik LLC OSSN OPEN SOURCE SOCIAL NETWORK v6.3 LTS was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Group Timeline module. CVE-2022-34962 0 0 1 0 8785311351964951738 +github:802930172 2024-05-19 2024-05-19 f https://github.com/aitorcastel/poc_CVE-2024-32002 CVE-2024-32002 0 0 1 0 3541775526014116214 +github:466102092 2022-03-04 2024-08-12 f https://github.com/nanaao/CVE-2022-22947-POC CVE-2022-22947批量检测脚本，回显命令没进行正则，大佬们先用着，后续再更 CVE-2022-22947 15 0 0 0 3577523053105757500 +github:579086902 2022-12-16 2023-01-05 f https://github.com/taythebot/CVE-2022-46169 CVE-2022-46169 - Cacti Blind Remote Code Execution (Pre-Auth) CVE-2022-46169 2 1 1 1 5545998419416023642 +github:785532678 2024-04-12 2026-03-09 f https://github.com/YongYe-Security/CVE-2024-28255 OpenMetadata_RCE (CVE-2024-28255) Batch scan/exploit CVE-2024-28255 0 5 1 5 3433800364816006719 +github:823284825 2024-07-02 2024-07-02 f https://github.com/n1cks0n/Test_CVE-2024-6387 Test_CVE-2024-6387 is a lightweight, efficient tool designed to identify servers running vulnerable versions of OpenSSH CVE-2024-6387 0 1 1 1 3441219205968678194 +github:1288990150 2026-07-04 2026-07-04 f https://github.com/mcp-guard76/mcp-guard Security scanner for MCP configurations. Detects CVE-2025-68143, CVE-2025-68144, auth gaps, command injection, and credential leakage. CVE-2025-68143 0 0 0 0 1169501298874366920 +github:463472397 2022-09-13 2024-12-30 f https://github.com/Jroo1053/GrafanaDirInclusion Script to demonstrate the Grafana directory traversal exploit (CVE-2021-43798). CVE-2021-43798 3 1 1 1 4297750272506129729 +github:733323140 2023-12-19 2025-08-19 f https://github.com/coolman6942o/-Exploit-CVE-2017-7529 CVE-2017-7529: Nginx versions since 0.5.6 up to and including 1.13.2 are vulnerable to integer overflow vulnerability in nginx range filter module resulting into leak of potentially sensitive information triggered by specially crafted request. CVE-2017-7529 0 1 1 1 7401586861847225586 +github:1039108173 2025-08-16 2025-08-16 f https://github.com/shoucheng3/wildfly__wildfly_CVE-2018-1047_11-0-0-Final CVE-2018-1047 0 0 0 0 2795641448353332618 +github:711672389 2023-10-30 2023-10-30 f https://github.com/h1n4mx0z/Research-CVE-2023-27524 CVE-2023-27524 CVE-2023-27524 0 0 1 0 403113145035763295 +github:776776802 2024-03-24 2026-04-03 f https://github.com/akabe1/Graver Proof of Concept script to exploit the authenticated SSTI+RCE in Grav CMS (CVE-2024-28116) CVE-2024-28116 2 8 1 8 2779721058193623467 +github:691081168 2023-09-13 2023-09-13 f https://github.com/Trinadh465/external_tcpdump_CVE-2018-14469 CVE-2018-14469 0 0 1 0 930796770000311961 +github:944043366 2025-03-06 2025-03-10 f https://github.com/monke443/CVE-2021-43798 Arbitrary file read in Grafana allows an attacker to read server files by abusing a path traversal. CVE-2021-43798 0 2 1 2 1014525241899821965 +github:1123797708 2025-12-27 2025-12-27 f https://github.com/arbaaz29/CVE-2024-44762-webmin-userenum webmin/usermin 2.100 CVE-2024-44762 0 0 0 0 3460730812998593387 +github:1039483774 2025-10-23 2025-08-17 f https://github.com/shoucheng3/apache__jspwiki_CVE-2022-46907_2-11-3 CVE-2022-46907 0 0 0 0 5089619296631898818 +github:84158718 2017-03-07 2026-07-29 f https://github.com/PolarisLab/S2-045 Struts2 S2-045（CVE-2017-5638）Vulnerability environment - http://www.mottoin.com/97954.html CVE-2017-5638 13 23 1 23 1562106965360465048 +github:330379563 2021-03-27 2021-03-27 f https://github.com/okanulkr/CurveBall-CVE-2020-0601-PoC CVE-2020-0601 0 0 1 0 1012592346852249764 +github:786156519 2024-04-13 2024-04-13 f https://github.com/mbadanoiu/CVE-2020-12640 CVE-2020-12640: Local PHP File Inclusion via "Plugin Value" in Roundcube Webmail CVE-2020-12640 0 0 1 0 8551816369611847080 +github:331439225 2022-04-12 2025-05-01 f https://github.com/sho-luv/zerologon Zerologon Check and Exploit - Discovered by Tom Tervoort of Secura and expanded on @Dirkjanm's cve-2020-1472 coded example. This tool will check, exploit and restore password to original state CVE-2020-1472 3 18 1 18 6038273642151904002 +github:257829329 2024-02-05 2024-12-01 f https://github.com/Ingenuity-Fainting-Goats/CVE-2017-7525-Jackson-Deserialization-Lab Insecure Java Deserialization Lab CVE-2017-7525 1 6 1 6 8472020254168905496 +github:778972816 2024-03-28 2025-07-04 f https://github.com/mind2hex/CVE-2022-46169-Cacti-v1.2.22-RCE CVE-2022-46169 0 0 1 0 5071113554089390286 +github:781344373 2025-11-01 2025-11-01 f https://github.com/Security-Phoenix-demo/CVE-2024-3094-fix-exploits Collection of Detection, Fix, and exploit for CVE-2024-3094 CVE-2024-3094 0 2 0 2 7942705897675729691 +github:673733144 2023-08-02 2023-11-10 f https://github.com/OfriOuzan/CVE-2021-41773_CVE-2021-42013_Exploits Exploit CVE-2021-41773 and CVE-2021-42013 CVE-2021-41773 1 4 1 4 8106879792049055771 +github:619455026 2023-03-27 2023-05-17 f https://github.com/steponeerror/Cve-2023-28432- 通过vulhub的复现过程实现了，基本的批量检测。比较垃圾但是勉强能用 CVE-2023-28432 0 2 1 2 1444868245294909735 +github:1026190230 2025-07-25 2026-06-28 f https://github.com/pl4tyz/CVE-2025-53652-Jenkins-Git-Parameter-Analysis CVE-2025-53652: Jenkins Git Parameter Analysis CVE-2025-53652 3 2 0 2 5057986866606853707 +github:1031573022 2025-08-22 2026-06-09 f https://github.com/gunzf0x/CVE-2025-24893 PoC for CVE-2025-24893: XWiki' Remote Code Execution exploit for versions prior to 15.10.11, 16.4.1 and 16.5.0RC1. CVE-2025-24893 3 22 0 22 8607852744534765020 +github:134184478 2018-05-20 2018-05-20 f https://github.com/ahmetmanga/cve-2018-6574 CVE-2018-6574 0 0 0 0 679233286184479955 +github:798066923 2024-05-21 2024-05-21 f https://github.com/shaily29-eng/CyberSecurity_CVE-2021-45046 CVE-2021-45046 0 0 1 0 4918198222890471658 +github:1243618993 2026-05-19 2026-05-19 f https://github.com/learner202649/CVE-2026-35029-PoC The code for personally reproducing the corresponding vulnerability CVE-2026-35029 0 0 0 0 6943173327399309397 +github:329004194 2020-06-10 2022-04-17 f https://github.com/DanQMoo/CVE-2020-9484-Scanner A smol bash script I threw together pretty quickly to scan for vulnerable versions of the Apache Tomcat RCE. I'll give it some love when I have the time. CVE-2020-9484 0 0 0 0 5996743219515466244 +github:861297912 2024-09-22 2026-04-25 f https://github.com/vidura2/CVE-2024-46986 CVE-2024-46986 0 3 1 3 6499710485182984067 +github:295839871 2020-09-15 2020-09-15 f https://github.com/mprunet/owasp-formation-cve-2018-1270 CVE-2018-1270 0 0 1 0 9121730425491722954 +github:415535559 2021-10-10 2021-10-10 f https://github.com/CyberTuz/CVE-2019-15107_detection CVE-2019-15107 0 0 1 0 5941794429660694369 +github:678245397 2023-08-14 2024-07-02 f https://github.com/Halcy0nic/CVE-2023-40296 Proof of Concept for CVE-2023-40296 CVE-2023-40296 0 1 1 1 6197289255686643404 +github:291030387 2020-08-28 2020-08-28 f https://github.com/TakuCoder/CVE-2018-6574 CVE-2018-6574 0 0 1 0 5870516269239922761 +github:657277228 2023-06-22 2023-06-22 f https://github.com/cyberqueenmeg/cve-2022-33082-exploit CVE-2022-33082 1 0 1 0 6479030099602906772 +github:689671335 2023-09-10 2023-09-10 f https://github.com/caopengyan/CVE-2023-2825 CVE-2023-2825 0 0 1 0 1551222437434088843 +github:847072591 2024-10-03 2025-11-30 f https://github.com/thefizzyfish/CVE-2023-50564-pluck CVE-2023-50564 - An arbitrary file upload vulnerability in the component /inc/modules_install.php of Pluck-CMS v4.7.18 allows attackers to execute arbitrary code via uploading a crafted ZIP file. CVE-2023-50564 1 3 1 3 5173127134666608721 +github:1220836697 2026-04-25 2026-04-25 f https://github.com/Cybersecurity-Enthusiasts-CE/CVE-2025-55182-Researching-process CVE-2025-55182 0 0 0 0 4163483755019037325 +github:1259568431 2026-06-04 2026-07-18 f https://github.com/strivepan/ActiveMQ-cve-2026-42588-scanner-gui CVE-2026-42588 0 10 0 10 41824920345546830 +github:716437169 2023-11-09 2023-11-09 f https://github.com/Ashved9/Orange CVE-2018-6574: go get RCE CVE-2018-6574 0 0 1 0 2264533676191630923 +github:1109924534 2025-12-04 2025-12-05 f https://github.com/rain321654/sjtu_CVE-2024-2928 yasa扫描sjtu_CVE-2024-2928漏洞报告 CVE-2024-2928 0 1 0 1 4370688954110451210 +github:957456093 2026-04-30 2026-04-30 f https://github.com/Kamal-418/Vulnerable-Lab-NextJS-CVE-2025-29927 CVE-2025-29927 0 1 1 1 4932486401240957890 +github:402774667 2021-09-04 2025-03-28 f https://github.com/j4k0m/CVE-2018-0114 Exploitation of a vulnerability in Cisco's node-jose, a JavaScript library created to manage JWT. CVE-2018-0114 0 4 1 4 9144507099177995188 +github:535409119 2022-09-26 2022-12-01 f https://github.com/Gustavo-Nogueira/Dirty-Pipe-Exploits CVE-2022-0847(Dirty Pipe) vulnerability exploits. CVE-2022-0847 1 2 1 2 3712369279379687633 +github:1032322932 2025-08-05 2025-08-05 f https://github.com/AshkanRafiee/CVE-2022-4556 📄Official disclosure of CVE-2022-4556 — Stored Cross-Site Scripting (XSS) vulnerability in SOGo Webmail v5.7.1, discovered by Ashkan Rafiee and Mostafa Abbasi. Includes full writeup and reproduction steps. CVE-2022-4556 0 1 0 1 5355453144603893929 +github:202751712 2019-08-16 2025-10-14 f https://github.com/attackgithub/Zimbra-RCE Zimbra RCE CVE-2019-9670 CVE-2019-9670 4 1 0 1 7618665945394493488 +github:1110407962 2025-12-05 2025-12-05 f https://github.com/fanjm2025-jeremy/CVE-2024-12828-PoC Webmin CGI Command Injection Remote Code Execution Vulnerability CVE-2024-12828 0 0 0 0 6381846842403250517 +github:1236103506 2026-05-12 2026-06-05 f https://github.com/vutiendat323/CVE-2021-44228_Log4Shell CVE-2021-44228 0 0 0 0 6149429832230275682 +github:465862037 2022-03-03 2026-05-23 f https://github.com/Tas9er/SpringCloudGatewayRCE SpringCloudGatewayRCE - CVE-2022-22947 / Code By:Tas9er CVE-2022-22947 3 28 2 28 8103838673343004290 +github:206173868 2019-09-04 2024-08-12 f https://github.com/jaychouzzk/CVE-2019-0193-exp CVE-2019-0193 1 1 1 1 9133110905119388385 +github:670819223 2023-07-25 2025-07-16 f https://github.com/H3rm1tR3b0rn/CVE-2020-8644-PlaySMS-1.4 Python script to exploit PlaySMS before 1.4.3 CVE-2020-8644 0 2 1 2 6559855963844912938 +github:937175111 2025-03-19 2026-06-04 f https://github.com/OscarBataille/CVE-2025-26794 CVE-2025-26794: Blind SQL injection in Exim 4.98 (SQLite DBM)- exploit writeup CVE-2025-26794 0 15 1 15 6545445418970918835 +github:1199037535 2026-05-25 2026-05-25 f https://github.com/kx00007/CVE-2026-35196 Second CVE still Remote Code Execution CVE-2026-35196 0 0 0 0 4715620324475261824 +github:468666839 2022-03-23 2026-07-26 f https://github.com/crusoe112/DirtyPipePython A Python-based DirtyPipe (CVE-2022-0847) POC to pop a root shell CVE-2022-0847 8 10 1 10 8437358233171590658 +github:1024336706 2025-08-07 2026-01-23 f https://github.com/m0d0ri205/wargame_Re-LS YISF 2025, CVE-2025-0184 CVE-2025-0184 0 1 0 1 5426636108388776918 +github:1116155780 2025-12-16 2025-12-16 f https://github.com/vignesh21-git/CVE-2025-48384-submodule Test CVE-2025-48384 0 0 0 0 8045344301112964872 +github:1063806397 2025-10-22 2026-01-13 f https://github.com/Malayke/CVE-2025-51591-Pandoc-SSRF-POC CVE-2025-51591 Pandoc SSRF vulnerability Proof of Concept CVE-2025-51591 1 0 0 0 723682199391506545 +github:59642424 2016-05-25 2023-08-10 f https://github.com/brianwrf/Magento-CVE-2016-4010 Magento Unauthorized Remote Code Execution (CVE-2016-4010) CVE-2016-4010 3 6 1 6 5140271513453841898 +github:334697314 2021-05-04 2021-12-15 f https://github.com/kal1gh0st/CVE-2021-3156 Description Sudo before 1.9.5p2 has a Heap-based Buffer Overflow, allowing privilege escalation to root via "sudoedit -s" and a command-line argument that ends with a single backslash character. CVE-2021-3156 1 3 1 3 602364716773880831 +github:685445091 2023-08-31 2025-04-07 f https://github.com/gibran-abdillah/CVE-2023-32315 Tool for CVE-2023-32315 exploitation CVE-2023-32315 2 3 1 3 5284256756008098527 +github:1266267633 2026-06-11 2026-07-05 f https://github.com/ywh-jfellus/CVE-2026-48907 PoC for CVE-2026-48907 - Joomla! JCE extension < 2.9.99.5 unauthenticated RCE CVE-2026-48907 4 15 2 15 7583067362446708118 +github:453592891 2022-08-06 2022-08-05 f https://github.com/glowbase/CVE-2020-35476 A remote code execution vulnerability occurs in OpenTSDB through 2.4.0 via command injection in the yrange parameter. CVE-2020-35476 0 2 1 2 2769813043249036343 +github:436918458 2022-11-10 2025-11-30 f https://github.com/CreeperHost/Log4jPatcher A mitigation for CVE-2021-44228 (log4shell) that works by patching the vulnerability at runtime. (Works with any vulnerable java software, tested with java 6 and newer) CVE-2021-44228 6 49 2 49 2231562660557659035 +github:615687765 2023-03-18 2026-04-23 f https://github.com/J0ey17/CVE-2022-22963_Reverse-Shell-Exploit CVE-2022-22963 is a vulnerability in the Spring Cloud Function Framework for Java that allows remote code execution. This python script will verify if the vulnerability exists, and if it does, will give you a reverse shell. CVE-2022-22963 2 24 1 24 8628425566845987006 +github:495706238 2022-05-24 2023-09-15 f https://github.com/Satheesh575555/external_expat_AOSP10_r33_CVE-2022-25235 CVE-2022-25235 0 0 1 0 4452951620854394621 +github:1284513254 2026-06-30 2026-07-01 f https://github.com/Herick-Costa/CVE-2023-43364-Searchor-RCE-Exploit POC exploit via unsafe `eval()` usage in Searchor (< 2.4.2) CVE-2023-43364 0 1 0 1 3032650223556796864 +github:717901692 2023-11-17 2025-02-14 f https://github.com/BaadMaro/CVE-2023-47119 A POC for CVE-2023-47119 CVE-2023-47119 0 2 1 2 7185835396416024150 +github:751072561 2024-03-27 2024-02-15 f https://github.com/MDS1GNAL/ptrace_scope-CVE-2019-13272-privilege-escalation Es una vulnerabilidad para escalar privilegios en linux. CVE-2019-13272 1 2 1 2 2801718585976204364 +github:1227145574 2026-05-02 2026-05-02 f https://github.com/gaganhm3018-art/CVE-2022-0847-Dirty-Pipe- this is a repo who is facing a escalation issue in their linux system and a news regarding problem of "Dirty pipeline" CVE-2022-0847 0 0 0 0 4681637555305280141 +github:738464216 2024-04-02 2024-11-26 f https://github.com/Sumitpathania03/CVE-2022-22947 CVE-2022-22947 0 0 1 0 7893955116569644390 +github:1307987855 2026-07-21 2026-07-21 f https://github.com/ixZODiAK/CVE-2025-8110 Gogs service Exploit and get the root user CVE-2025-8110 0 0 0 0 5712406733836077386 +github:972969090 2025-04-11 2025-04-26 f https://github.com/ll104567/CVE-2025-31486 CVE-2025-31486 poc CVE-2025-31486 0 0 0 0 8120637012783246933 +github:642286308 2023-07-25 2023-07-27 f https://github.com/CDACesec/CVE-2023-33802 CVE-2023-33802 0 3 1 3 1743843368031967191 +github:547929236 2022-10-08 2023-04-24 f https://github.com/hupe1980/CVE-2021-43798 Grafana - Directory Traversal and Arbitrary File Read CVE-2021-43798 0 3 1 3 8034293532455471533 +github:505817178 2022-06-23 2024-03-05 f https://github.com/trganda/CVE-2022-22980 Poc of CVE-2022-22980 CVE-2022-22980 8 32 1 32 4507273665581609890 +github:1036283236 2025-08-12 2025-08-30 f https://github.com/baph00met/CVE-2024-47533 CVE-2024-47533: Cobbler Authentication Bypass & Code Execution CVE-2024-47533 1 3 0 3 8020551762637031653 +github:953400056 2026-06-14 2026-06-29 f https://github.com/lirantal/vulnerable-nextjs-14-CVE-2025-29927 CVE-2025-29927 8 14 1 14 2603661983498052971 +github:536604298 2022-09-14 2024-09-24 f https://github.com/EgeBalci/CVE-2022-29154 HIP2022 presentation materials. CVE-2022-29154 1 9 1 9 3989464793301383517 +github:960330784 2025-04-04 2025-04-04 f https://github.com/tvasari/CVE-2024-23897 Jenkins CLI arbitrary read (CVE-2024-23897 applies to versions below 2.442 and LTS 2.426.3) CVE-2024-23897 0 0 1 0 3525493694499009435 +github:1273278879 2026-07-23 2026-07-23 f https://github.com/gentleman567/POC Store vulnerability POC files including CVE-2026-42588 Spring RCE xml payload CVE-2026-42588 0 0 0 0 3957438387680446281 +github:620322465 2023-03-28 2025-02-14 f https://github.com/0xsu3ks/CVE-2023-1665 CVE-2023-1665 - Twake App CVE-2023-1665 0 0 1 0 6300350228218952146 +github:1269356827 2026-06-14 2026-06-14 f https://github.com/fxdyx-a/CVE-2021-41773-POC Apache HTTP Server 2.4.49 Path Traversal Vulnerability Reproduction CVE-2021-41773 0 0 0 0 2000134739093804541 +github:1039158488 2025-10-29 2025-08-16 f https://github.com/shoucheng3/asf__cxf_CVE-2016-6812_3-0-11 CVE-2016-6812 0 0 0 0 607477021999666723 +github:244381163 2020-03-02 2025-05-07 f https://github.com/fairyming/CVE-2020-9548 CVE-2020-9548：FasterXML/jackson-databind 远程代码执行漏洞 CVE-2020-9548 12 24 2 24 3837994372324692831 +github:704099223 2023-10-17 2023-12-04 f https://github.com/threatHNTR/CVE-2023-38646 This is a Proof of Concept (PoC) script for exploiting Metabase, an open-source business intelligence and data analytics tool. CVE-2023-38646 1 0 1 0 6910533586450180213 +github:944207553 2025-03-07 2025-03-07 f https://github.com/syogod/CVE-2023-40028 CVE-2023-40028 is a security vulnerability affecting Ghost CMS versions prior to 5.59.1. CVE-2023-40028 0 0 1 0 2915551563600991072 +github:1023498840 2025-08-21 2026-05-19 f https://github.com/Yumeae/Bootstrap-with-XSS A poc for Bootstrap XSS(CVE-2024-6485、CVE-2016-10735、CVE-2019-8331、CVE-2018-14040) CVE-2016-10735 0 4 0 4 1435350733455598302 +github:560986236 2022-11-02 2025-05-17 f https://github.com/rbowes-r7/cve-2022-3602-and-cve-2022-3786-openssl-poc CVE-2022-3602 9 17 2 17 5646735966994138832 +github:850037289 2024-09-08 2024-09-08 f https://github.com/0xbhsu/CVE-2024-45058 PoC for CVE-2024-45058 Broken Access Control, allowing any user with view permission in the user configuration section to become an administrator changing their own user type. CVE-2024-45058 0 0 1 0 8372132097707439872 +github:346654892 2021-03-11 2021-03-11 f https://github.com/Kirill89/CVE-2021-21300 CVE-2021-21300 1 0 1 0 3294624659703585716 +github:550267908 2022-10-12 2023-05-23 f https://github.com/ianyong/cve-2022-32223 CVE-2022-32223 3 3 2 3 3325834701921047327 +github:954329674 2025-03-24 2025-03-24 f https://github.com/elshaheedy/CVE-2025-29927-Sigma-Rule Sigma Rule for CVE-2025–29927 Detection CVE-2025-29927 0 0 1 0 1319247390936779054 +github:1009552920 2025-06-29 2026-04-10 f https://github.com/ThemeHackers/CVE-2025-30208 CVE‑2025‑30208 is a medium-severity arbitrary file read vulnerability in the Vite development server (a popular frontend build tool) CVE-2025-30208 0 10 0 10 6494617341830317646 +github:939735806 2025-02-27 2026-02-27 f https://github.com/skrkcb2/CVE-2023-46604 CVE-2023-46604 0 1 1 1 7079541185048019182 +github:1112034696 2025-12-08 2025-12-08 f https://github.com/arashiyans/CVE-2025-55182-CVE-2025-66478 scanner testing CVE-2025-55182 0 1 0 1 155829884166087255 +github:812783452 2024-06-09 2024-06-09 f https://github.com/mbadanoiu/CVE-2021-42560 CVE-2021-42560: Unsafe XML Parsing in MITRE Caldera CVE-2021-42560 0 0 1 0 3406925160593017638 +github:1049314749 2025-09-02 2025-09-02 f https://github.com/anonaninda/Aninda-security-advisories Security advisories published by Aninda , including CVE-2025-56608 and future findings. CVE-2025-56608 0 0 0 0 817986410499675938 +github:1097739955 2025-11-16 2025-11-16 f https://github.com/honeyvig/CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 0 0 0 0 2159020935758544614 +github:859792463 2024-09-19 2025-07-06 f https://github.com/barttran2k/POC_CVE-2024-46256 POC_CVE-2024-46256 CVE-2024-46256 0 6 1 6 6705644763222329308 +github:1036785585 2025-08-13 2025-08-24 f https://github.com/shinigami-777/PoC_CVE-2025-54887 Proof of Concept for CVE-2025-54887 CVE-2025-54887 0 0 0 0 7488532674185718784 +github:1272043701 2026-06-17 2026-06-17 f https://github.com/DAADAISMYLIFE/log4shell-lab Log4Shell (CVE-2021-44228) 보안 실습 환경 - Log4j 2.14.1 취약 로그 수집 서버 CVE-2021-44228 0 0 0 0 1679100275958249659 +github:497983595 2022-07-20 2025-09-11 f https://github.com/alcaparra/CVE-2022-1292 CVE-2022-1292 OpenSSL c_rehash Vulnerability - POC CVE-2022-1292 8 28 1 28 7635532324584568823 +github:975367374 2025-04-30 2026-05-05 f https://github.com/amoy6228/CVE-2024-36401_Geoserver_RCE_POC 本脚本是针对 GeoServer 的远程代码执行漏洞（CVE-2024-36401）开发的 PoC（Proof of Concept）探测工具。该漏洞允许攻击者通过构造特定请求，在目标服务器上执行任意命令。 CVE-2024-36401 0 2 1 2 1167873533722423148 +github:468143759 2022-03-10 2022-03-10 f https://github.com/babyshen/CVE-2022-0847 A root exploit for CVE-2022-0847 (Dirty Pipe) CVE-2022-0847 1 0 1 0 7660887485602163171 +github:892984776 2024-11-23 2024-12-24 f https://github.com/BohemianHacks/CVE-2024-32002-poc CVE-2024-32002 是 Git 中的一个严重漏洞，允许攻击者在用户执行 git clone 操作时远程执行任意代码（RCE）。 CVE-2024-32002 1 1 0 1 3221548106006556248 +github:1043613788 2025-08-25 2026-07-12 f https://github.com/Zwique/CVE-2025-49113 POC of CVE-2025-49113 CVE-2025-49113 0 5 0 5 431913342363395129 +github:1057654627 2025-09-16 2025-10-01 f https://github.com/shenhui35/RedArrow RedArrow3.2 是一款用于渗透测试ThinkPHP 5.0.23 远程命令执行漏洞(CVE-2018-20062)的图形化工具。 CVE-2018-20062 0 2 0 2 8670142672649780772 +github:198729185 2019-08-06 2024-08-12 f https://github.com/Brets0150/StickyExim Exim Honey Pot for CVE-2019-10149 exploit attempts. CVE-2019-10149 1 3 0 3 1333751267928313606 +github:416655831 2022-07-11 2025-10-04 f https://github.com/ColdFusionX/Keycloak-12.0.1-CVE-2020-10770 Keycloak 12.0.1 - 'request_uri ' Blind Server-Side Request Forgery (SSRF) (Unauthenticated) CVE-2020-10770 4 8 1 8 2126675270911064265 +github:430594863 2021-11-22 2021-11-22 f https://github.com/FDlucifer/CVE-2021-41278 Metabase任意文件读取漏洞批量扫描工具 CVE-2021-41278 0 1 0 1 5378589303491332094 +github:806520189 2024-05-27 2024-06-11 f https://github.com/04Shivam/CVE-2023-30253-Exploit Poc for CVE-2023-30253 CVE-2023-30253 0 0 0 0 7596113499218972964 +github:1133679959 2026-01-13 2026-01-13 f https://github.com/Least-Significant-Bit/CVE-2023-4220 Unauthenticated file upload for Chamilo 1.11.24 and lower CVE-2023-4220 0 0 0 0 7950762478108683604 +github:725175259 2023-12-25 2023-11-29 f https://github.com/mrnazu/CVE-2020-13405 MicroWeber Unauthenticated User Database Disclosure - CVE-2020-13405 CVE-2020-13405 1 1 1 1 4936056200208760639 +github:934810808 2025-02-18 2025-02-18 f https://github.com/Billar42/CVE-2023-4911 CVE-2023-4911-Looney-Tunables CVE-2023-4911 0 0 1 0 2237981390727845741 +github:822993766 2024-07-02 2025-05-25 f https://github.com/paradessia/CVE-2024-6387-nmap CVE-2024-6387-nmap CVE-2024-6387 1 4 1 4 6369094226819592530 +github:1132679303 2026-01-12 2026-07-21 f https://github.com/Mr-In4inci3le/CVE-2025-11953-POC- CVE-2025-11953 is a critical Remote Code Execution (RCE) vulnerability in the React Native CLI's Metro development server CVE-2025-11953 0 0 0 0 9016069074071177408 +github:467753868 2022-03-11 2022-03-09 f https://github.com/Greetdawn/CVE-2022-0847-DirtyPipe CVE-2022-0847 1 0 1 0 8731420682264152391 +github:1231558467 2026-05-27 2026-06-10 f https://github.com/EQSTLab/CVE-2026-40897 Math.js Expression Parser RCE CVE-2026-40897 0 2 0 2 5131529808893907490 +github:719849140 2023-11-17 2023-11-17 f https://github.com/NHPT/CVE-2023-48123 CVE-2023-54436 Exp CVE-2023-48123 0 1 1 1 1159178947458310646 +github:1114532051 2025-12-13 2025-12-13 f https://github.com/robbin0919/CVE-2025-6019 CVE-2025-6019 0 0 0 0 8119324580587266124 +github:1092301563 2025-11-08 2025-11-08 f https://github.com/letsr00t/-CVE-2019-18634-sudo-pwfeedback CVE-2019-18634 0 0 0 0 7812336011068422073 +github:1238390311 2026-05-27 2026-07-13 f https://github.com/friparia/NGINX_RIFT_SCAN_CVE_2026_42945 Nginx Rewrite CVE Scan(CVE-2026-42945 nginx-rift CVE-2026-9256) CVE-2026-42945 8 33 0 33 1510353739435706358 +github:1268335092 2026-06-14 2026-06-14 f https://github.com/fan-67/local-mcp A lightweight stdio-based MCP server for local file system operations — read, write, edit, search, exec for AI assistants. Specially optimized for Chatbox: bat-bypass for exec (CVE-2026-6130), b64 encoding to eliminate escaping issues, and multi-pattern regex for precise code block targeting. CVE-2026-6130 0 0 0 0 6096302789074917440 +github:576503076 2024-03-20 2025-02-07 f https://github.com/MadExploits/Laravel-debug-Checker CVE-2021-3129 Exploit Checker By ./MrMad CVE-2021-3129 1 7 1 7 2703542410144260359 +github:1063112546 2025-09-25 2025-09-25 f https://github.com/mirmeweu/cve-2025-32433 the task from C*****k CVE-2025-32433 0 2 0 2 6102128840490560602 +github:1260039943 2026-06-05 2026-06-05 f https://github.com/Dahalsamir/CVE-2026-23744-MCPJAM-RCE-exploit This Python proof-of-concept targets a vulnerable MCP (Model Context Protocol) service exposed by the target application. The vulnerability allows an attacker to supply arbitrary server configuration parameters through the /api/mcp/connect endpoint. CVE-2026-23744 0 0 0 0 7638402904255107397 +github:430704302 2021-11-22 2021-11-22 f https://github.com/kap1ush0n/CVE-2021-41277 MetaBase 任意文件读取漏洞 fofa批量poc CVE-2021-41277 0 0 1 0 4161740126761481067 +github:629709771 2023-04-21 2025-10-09 f https://github.com/adhikara13/CVE-2023-25136 OpenSSH Pre-Auth Double Free CVE-2023-25136 POC CVE-2023-25136 9 47 1 47 2702432821710375486 +github:720932371 2023-11-23 2024-03-25 f https://github.com/tina94happy/Spring-Web-5xx-Mitigated-version Mitigated version for CVE-2016-1000027 spring web. CVE-2016-1000027 0 2 1 2 7934663875166071891 +github:476289719 2022-03-31 2023-06-19 f https://github.com/scopion/dirty-pipe Exploit for Dirty-Pipe (CVE-2022-0847) CVE-2022-0847 3 1 0 1 250850486890678916 +github:948432592 2025-03-14 2025-03-27 f https://github.com/yksivaihde/discourse-CVE-2023-45806 CVE-2023-45806 0 0 1 0 7800953319428956954 +github:1103217405 2025-11-24 2025-12-03 f https://github.com/InkeyP/CVE-2024-12084 A easy poc for CVE-2024-12084. CVE-2024-12084 0 1 0 1 3268849323317171073 +github:1137755022 2026-01-19 2026-01-19 f https://github.com/sastraadiwiguna-purpleeliteteaming/Holistic-Deconstruction-of-CVE-2019-5736- This repository provides a high-fidelity technical deconstruction and production-ready exploitation suite for CVE-2019-5736. It demonstrates how a root user inside a container can achieve a Host Root Shell by overwriting the host runc binary using an OverlayFS mount and ld.so.preload manipulation. CVE-2019-5736 0 0 0 0 3758635987472184380 +github:733283933 2023-12-20 2026-05-13 f https://github.com/caoweiquan322/NotEnough This tool calculates tricky canonical huffman histogram for CVE-2023-4863. CVE-2023-4863 3 25 1 25 2597079259515507813 +github:438940454 2022-01-26 2024-04-07 f https://github.com/snow0715/log4j-Scan-Burpsuite Log4j漏洞（CVE-2021-44228）的Burpsuite检测插件 CVE-2021-44228 2 13 1 13 2267090036021476655 +github:477004407 2022-04-02 2025-10-08 f https://github.com/wjl110/CVE-2022-22965_Spring_Core_RCE CVE-2022-22965\\Spring-Core-RCE堪比关于 Apache Log4j2核弹级别漏洞exp的rce一键利用 CVE-2022-22965 7 16 2 16 5916623485222240417 +github:1297446494 2026-07-11 2026-07-11 f https://github.com/taka3636/CVE-2022-29078 CVE-2022-29078 0 0 0 0 1630625310293110276 +github:1269323994 2026-06-14 2026-06-14 f https://github.com/shokribardiya/CVE-2025-14847-mongobleed CVE-2025-14847 mongobleed python file CVE-2025-14847 0 0 0 0 1888766948213982063 +github:462095141 2022-02-22 2025-12-30 f https://github.com/L0ading-x/cve-2022-23131 cve-2022-23131 CVE-2022-23131 12 29 1 29 7447801247889049248 +github:851554006 2024-09-03 2025-07-22 f https://github.com/Raffli-Dev/CVE-2023-41425 CVE-2023-41425 0 1 1 1 5730296246465054885 +github:265451005 2023-01-19 2026-04-16 f https://github.com/masahiro331/CVE-2020-8165 CVE-2020-8165 14 42 0 42 2186715540545874444 +github:1055948277 2025-10-02 2025-10-02 f https://github.com/s41r4j/CVE-2025-48384-submodule CVE-2025-48384-submodule CVE-2025-48384 1 0 0 0 3368285649046245006 +github:84481525 2021-08-18 2026-05-29 f https://github.com/jas502n/S2-045-EXP-POC-TOOLS S2-045 漏洞 POC-TOOLS CVE-2017-5638 CVE-2017-5638 19 25 2 25 3110947921029357466 +github:1241989925 2026-05-18 2026-05-18 f https://github.com/Majaktech/apache-struts-cve-2017-5638-project Attack and Defense course project focused on CVE-2017-5638 analysis, exploitation, and mitigation. CVE-2017-5638 0 0 0 0 2636626868554100419 +github:771915684 2024-03-14 2024-03-14 f https://github.com/manrop2702/CVE-2020-7961 CVE-2020-7961 0 0 1 0 5801829152914678645 +github:438689577 2022-08-06 2024-08-12 f https://github.com/isuruwa/Log4j A scanner and a proof of sample exploit for log4j RCE CVE-2021-44228 CVE-2021-44228 2 6 2 6 9156734874664410784 +github:974310155 2025-04-28 2025-10-09 f https://github.com/Sigm0n/CVE-2022-29806 ZoneMinder up to 1.36.12 Language privilege escalation (and RCE) - Poc Exploit CVE-2022-29806 0 3 1 3 1024106520744338106 +github:1043655566 2026-03-14 2026-06-13 f https://github.com/NosrevytsNg/Metabase-Pre-Auth-RCE-POC CVE-2023-38646 CVE-2023-38646 0 0 0 0 405741455775421382 +github:1121912288 2026-01-12 2026-01-12 f https://github.com/PawelMurdzek/CVE-2024-38355-PoC Proof of concept of CVE-2024-47554 CVE-2024-38355 1 0 0 0 4077352894021121756 +github:167137381 2019-01-23 2022-11-09 f https://github.com/LINYIKAI/CVE-2018-15473-exp This is a exp of CVE-2018-15473 CVE-2018-15473 6 1 1 1 4184860476013024431 +github:483062171 2022-04-19 2025-07-18 f https://github.com/j4k0m/loader-CVE-2020-14343 A web application vulnerable to CVE-2020-14343 insecure deserialization leading to command execution in PyYAML package. CVE-2020-14343 0 3 1 3 5772954001910260310 +github:997183221 2025-06-06 2025-07-13 f https://github.com/SyFi/CVE-2025-49113 CVE-2025-49113 exploit CVE-2025-49113 0 2 0 2 1602900581816974277 +github:1016670909 2025-08-13 2025-08-13 f https://github.com/Ch1keen/CVE-2025-50361 Report and PoC of Global Buffer Overflow on SmallBASIC before 02364eff880ba62afac67bcceebafade2b40d21f CVE-2025-50361 0 0 0 0 3108707339873348742 +github:686986253 2024-10-25 2024-07-27 f https://github.com/vulncheck-oss/fetch-broker-conf A go-exploit for fetching the RocketMQ broker configuration in order to discover indicators of compromise for CVE-2023-33246 CVE-2023-33246 1 5 1 5 7470884323838677571 +github:835582804 2024-10-19 2026-06-08 f https://github.com/l-urk/CVE-2024-6387 Proof of concept python script for regreSSHion exploit. CVE-2024-6387 5 12 2 12 5324597926272554424 +github:993769648 2025-05-31 2026-03-18 f https://github.com/fatkz/CVE-2025-27590 CVE-2025-27590 0 1 0 1 8413149623665066897 +github:166270192 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-8046 cve-2017-8046 CVE-2017-8046 0 1 0 1 8081837179546087572 +github:246463480 2020-03-11 2024-08-12 f https://github.com/jas502n/CVE-2020-1947 Apache ShardingSphere UI YAML解析远程代码执行漏洞 CVE-2020-1947 12 31 1 31 8173145288820479414 +github:473487121 2023-10-17 2022-09-05 f https://github.com/RedBinaryRabbit/CVE-2020-8163 This is a exploit code for CVE-2020-8163 CVE-2020-8163 0 1 1 1 3097078521094363904 +github:1209443888 2026-04-13 2026-04-13 f https://github.com/DeDnY/CVE-2025-55182-poc-panel This is a special panel that is used to send POC requests with the output of responses. CVE-2025-55182 0 0 0 0 225948168841692969 +github:507450005 2022-06-26 2022-06-26 f https://github.com/Viniciuspxf/CVE-2019-10742 CVE-2019-10742 0 0 1 0 2200813741209817251 +github:1091456812 2025-11-07 2025-11-07 f https://github.com/Kgan0509/CVE-2025-63441 CVE-2025-63441 0 0 0 0 1880255212921530632 +github:220101094 2022-01-26 2024-08-12 f https://github.com/vesche/CVE-2019-10475 CVE-2019-10475 4 13 1 13 7195755072874064206 +github:439612080 2021-12-18 2021-12-18 f https://github.com/j3kz/CVE-2021-44228-PoC Self-contained lab environment that runs the exploit safely, all from docker compose CVE-2021-44228 0 0 1 0 4394737085623827232 +github:562374810 2022-11-06 2024-11-29 f https://github.com/0xGabe/CVE-2022-35914 Unauthenticated RCE in GLPI 10.0.2 CVE-2022-35914 0 2 1 2 8855867890743886308 +github:1110061848 2025-12-05 2026-07-01 f https://github.com/EynaExp/CVE-2025-55182-POC Poc for CVE-2025-55182 (remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages) CVE-2025-55182 1 6 0 6 7920384527680291992 +github:855111543 2024-09-10 2025-05-22 f https://github.com/0xRoqeeb/sqlpad-rce-exploit-CVE-2022-0944 CVE-2022-0944 2 9 1 9 358334705346651360 +github:632280900 2023-09-09 2026-03-11 f https://github.com/horizon3ai/CVE-2023-27524 Basic PoC for CVE-2023-27524: Insecure Default Configuration in Apache Superset CVE-2023-27524 30 112 4 112 9132746928821377359 +github:416511119 2021-10-12 2023-04-29 f https://github.com/ksanchezcld/httpd-2.4.49 critical: Path Traversal and Remote Code Execution in Apache HTTP Server 2.4.49 and 2.4.50 (incomplete fix of CVE-2021-41773) (CVE-2021-42013) CVE-2021-41773 0 1 1 1 4135823615006991064 +github:649140370 2023-06-03 2023-06-04 f https://github.com/0xGabe/Apache-CVEs Exploit created in python3 to exploit known vulnerabilities in Apache web server (CVE-2021-41773, CVE-2021-42013) CVE-2021-41773 1 0 1 0 6160665746158636763 +github:634006271 2023-04-28 2024-11-07 f https://github.com/nhakobyan685/CVE-2023-25136 OpenSSH 9.1 vulnerability mass scan and exploit CVE-2023-25136 3 8 1 8 8698802367773231787 +github:968191779 2025-04-18 2026-06-16 f https://github.com/lukehebe/CVE-2023-27163-POC CVE-2023-27163 Request-baskets up to v1.2.1 was discovered to contain a Server-Side Request Forgery (SSRF) via the component /api/baskets/{name}. This vulnerability allows attackers to access network resources and sensitive information via a crafted API request. This POC utilizes the SSRF to perfrom RCE. CVE-2023-27163 0 2 1 2 2344421648808039524 +github:871140348 2024-10-11 2024-10-18 f https://github.com/RandomRobbieBF/CVE-2024-7135 Tainacan <= 0.21.7 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Read CVE-2024-7135 0 1 1 1 66252031867701580 +github:1136047669 2026-01-17 2026-01-17 f https://github.com/samuel871211/CVE-2024-46982-Reproduction Reproduction of CVE-2024-46982 CVE-2024-46982 0 0 0 0 9144200604481759866 +github:952695854 2025-03-22 2026-05-11 f https://github.com/Alaatk/CVE-2025-24813-POC CVE-2025-24813 Apache Tomcat RCE Proof of Concept (PoC) CVE-2025-24813 0 4 1 4 2502595754492184200 +github:1111254642 2025-12-06 2025-12-06 f https://github.com/Bashamega/react-CVE-2025-55182-fixer Patches CVE-2025-55182 in your repositories CVE-2025-55182 0 0 0 0 759175016591002971 +github:838261340 2024-08-05 2024-08-05 f https://github.com/aredspy/CVE-2021-41182 CVE-2021-41182 0 0 1 0 7261912033061610641 +github:995428380 2025-06-03 2025-10-16 f https://github.com/J0ey17/Exploit_CVE-2023-27163 Proof of Concept exploit for Server Side Request Forgery vulnerability in Requests Basket v1.2.1 and before. CVE-2023-27163 0 1 0 1 283089292017720902 +github:706569887 2023-10-18 2023-10-18 f https://github.com/cli-ish/CVE-2023-5539 CVE-2023-5539 0 0 1 0 2709762877451768001 +github:804283459 2024-05-22 2024-05-22 f https://github.com/yuansec/CVE-2024-4323-dos_poc CVE-2024-4323 0 0 1 0 5929436363557202075 +github:1040457952 2025-08-19 2026-07-21 f https://github.com/SteamPunk424/CVE-2025-49113-Roundcube-RCE-PHP This is a rewritten exploit to work with php CVE-2025-49113 0 1 0 1 72719015733848259 +github:1025041287 2025-07-23 2025-07-23 f https://github.com/iamarit/CVE-2024-10858 Vulnerable WordPress plugin ( Jetpack ) CVE-2024-10858 0 0 0 0 5336158952444219210 +github:1244946141 2026-05-20 2026-05-20 f https://github.com/ZeroPathAI/autogpt-CVE-2026-30950-poc POC for CVE-2026-30950 which allows session hijacking in AutoGpt CVE-2026-30950 0 0 0 0 4431180395273415415 +github:846844178 2024-09-23 2024-10-21 f https://github.com/VanishedPeople/CVE-2023-4220 CVE-2023-4220 PoC Chamilo RCE CVE-2023-4220 0 0 0 0 4548541978912393014 +github:815490192 2024-06-15 2025-03-18 f https://github.com/diegogarciayala/CVE-2024-24590-ClearML-RCE-CMD-POC CVE-2024-24590 ClearML RCE&CMD POC CVE-2024-24590 1 9 1 9 5871264631134138231 +github:896176114 2024-11-29 2024-11-29 f https://github.com/ii5mai1/CVE-2024-53617 CVE-2024-53617 0 0 1 0 3125018097338281551 +github:413241448 2022-09-07 2022-05-07 f https://github.com/nisdn/CVE-2021-40978 CVE-2021-40978 0 2 1 2 243379485684360717 +github:1282464219 2026-07-19 2026-07-19 f https://github.com/jonathan-corbin/CVE-2025-69212-Authenticated-RCE-PoC Automated PoC for CVE-2025-69212 - OpenSTAManager <=2.9.8 authenticated RCE CVE-2025-69212 0 1 0 1 5731812431921470434 +github:437847140 2022-02-22 2022-08-14 f https://github.com/LutziGoz/Log4J_Exploitation-Vulnerabiliy__CVE-2021-44228 CVE-2021-44228 0 0 1 0 2241249182115137662 +github:221210783 2019-11-12 2024-08-12 f https://github.com/Sindadziy/cve-2019-14287 CVE-2019-14287 1 0 1 0 3473835450391874710 +github:463446054 2022-03-01 2025-08-29 f https://github.com/ColdFusionX/CVE-2022-24124 POC for CVE-2022-24124 CVE-2022-24124 4 8 1 8 2724091254466231030 +github:658828573 2023-06-26 2023-06-27 f https://github.com/Lserein/CVE-2023-34598 Gibbon本地文件包含漏洞（CVE-2023-34598） CVE-2023-34598 1 1 1 1 4816121160778110408 +github:848332085 2024-08-27 2025-12-27 f https://github.com/God4n/nextjs-CVE-2024-34351-_exploit PoC for a full exploitation of NextJS SSRF (CVE-2024-34351) CVE-2024-34351 4 8 1 8 7662074965765645883 +github:696490972 2023-09-25 2023-10-06 f https://github.com/sromanhu/CVE-2023-44765_ConcreteCMS-Stored-XSS---Associations Cross Site Scripting vulnerability in ConcreteCMS v.9.2.1 allows a local attacker to execute arbitrary code via a crafted script to the Plural Handle of the Data Objects from System & Settings CVE-2023-44765 0 0 1 0 6304933655900791277 +github:1123805765 2025-12-27 2025-12-27 f https://github.com/KingHacker353/R2C-CVE-2025-55182-66478 CVE-2025-55182 0 0 0 0 8505480059662146025 +github:1261967973 2026-06-07 2026-06-07 f https://github.com/m0nk3ygod/CVE-2026-34040-PoC CVE-2026-34040 0 0 0 0 2111205184312079382 +github:1250478036 2026-05-27 2026-07-29 f https://github.com/ambionics/cve-2026-9082-drupal-postgresql-rce CVE-2026-9082 0 11 0 11 7213752548444862299 +github:442033629 2022-03-10 2022-06-19 f https://github.com/felipe8398/ModSec-log4j2 Regra ModSec para proteção log4j2 - CVE-2021-44228 CVE-2021-44228 0 0 1 0 5967238118500044027 +github:478291981 2022-04-05 2026-04-23 f https://github.com/LudovicPatho/CVE-2022-22965_Spring4Shell A Spring MVC or Spring WebFlux application running on JDK 9+ may be vulnerable to remote code execution (RCE) via data binding. The specific exploit requires the application to run on Tomcat as a WAR deployment. If the application is deployed as a Spring Boot executable jar, i.e. the default, it is not vulnerable to the exploit. However, the nature of the vulnerability is more general, and there may be other ways to exploit it. CVE-2022-22965 3 2 1 2 1772373397404102576 +github:1251136685 2026-06-14 2026-06-14 f https://github.com/YUTING-HUANG0/Spring4Shell-CTF Spring4Shell (CVE-2022-22965) 漏洞環境搭建與 CTF 題目 CVE-2022-22965 0 0 0 0 5049831709393929165 +github:485645944 2022-04-26 2022-04-26 f https://github.com/lowkey0808/cve-2022-29464 CVE-2022-29464 0 0 1 0 1295175695181301868 +github:1234416664 2026-05-10 2026-05-10 f https://github.com/Johnnyzhou666/langgrinch-cve-2025-68664-analysis Technical analysis of the LangChain serialization injection vulnerability CVE-2025-68664. CVE-2025-68664 0 0 0 0 3924728923414314095 +github:826287983 2024-07-09 2024-07-09 f https://github.com/dgourillon/mitigate-CVE-2024-6387 CVE-2024-6387 0 0 1 0 6301219741068584337 +github:1268317909 2026-06-13 2026-06-13 f https://github.com/87achrafg-stack/CVE-2026-48907 CVE-2026-48907 0 0 0 0 6376012909427584149 +github:1267497859 2026-06-12 2026-06-17 f https://github.com/0xyngtg/FreePBX-CVE-2025-57819-CVE-2025-61678 Chains CVE-2025-57819 (stacked query SQL injection) and CVE-2025-61678 (authenticated file upload in FreePBX Endpoint Manager) to achieve Remote Code Execution (RCE). For educational use only. CVE-2025-57819 0 0 0 0 6273845936762878816 +github:1106040809 2025-11-28 2025-12-01 f https://github.com/Daeda1usUK/CVE-2025-59390- CVE-2025-59390 and ThreadLocalRandom Inverse CVE-2025-59390 0 1 0 1 4909529635691937440 +github:727130787 2023-12-04 2023-12-04 f https://github.com/CygnusX-26/CVE-2022-44268-fixed-PoC CVE-2022-44268 0 0 1 0 1995838981776945673 +github:845349448 2024-08-21 2024-08-21 f https://github.com/200101WhoAmI/CVE-2023-45827 pp CVE-2023-45827 0 0 1 0 5752485563688872312 +github:1095361987 2025-11-13 2026-01-13 f https://github.com/keyuraghao/CVE-2025-20260 CVE-2025-20260 0 0 0 0 743156138732495840 +github:1110523412 2026-04-22 2026-04-22 f https://github.com/Y3B3L4Y3/CVE-2025-55182-test CVE-2025-55182 0 1 0 1 3542696384359808921 +github:650178194 2023-07-14 2026-05-26 f https://github.com/win3zz/CVE-2023-25157 CVE-2023-25157 - GeoServer SQL Injection - PoC CVE-2023-25157 35 170 1 170 4875877678002869080 +github:160079576 2018-12-03 2026-07-29 f https://github.com/r3dxpl0it/Apache-Superset-Remote-Code-Execution-PoC-CVE-2018-8021 CVE-2018-8021 Proof-Of-Concept and Exploit CVE-2018-8021 17 104 3 104 3944096388607364818 +github:1124582553 2025-12-29 2026-05-25 f https://github.com/codeb0ssx/CVE-2025-14847-PoC Academic proof-of-concept demonstrating CVE-2025-14847 for authorized security research. CVE-2025-14847 0 4 0 4 743922216286592502 +github:1307647536 2026-07-21 2026-07-21 f https://github.com/x-cmd-build/xz Vendored xz-utils @ 5.8.3 (post-CVE-2024-3094) — portable binary distribution for x-cmd, musl-static + macOS + Windows MSYS CVE-2024-3094 0 0 0 0 2317056006665335786 +github:424446993 2021-11-09 2021-11-09 f https://github.com/zkhalidul/GrabberWP-CVE-2017-5487 CVE-2017-5487 0 0 1 0 388664107068016775 +github:1115063665 2025-12-12 2025-12-12 f https://github.com/r3vpwnx/CVE-2025-24367 CVE-2025-24367 - Cacti Authenticated Graph Template RCE CVE-2025-24367 0 0 0 0 4772117870211770362 +github:261207548 2020-05-04 2020-05-04 f https://github.com/mkelepce/CVE-2020-12629 osTicket 1.14.1 - Persistent Authenticated Cross-Site Scripting CVE-2020-12629 0 0 1 0 7307740240927814881 +github:417461813 2021-10-16 2026-01-11 f https://github.com/theLSA/apache-httpd-path-traversal-checker apache httpd path traversal checker(CVE-2021-41773 / CVE-2021-42013) CVE-2021-41773 5 9 2 9 5911495323810857048 +github:1212994563 2026-04-17 2026-04-17 f https://github.com/hassan-hamadi/CVE-2025-8110-Silentium-HTB CVE-2025-8110 Specifically for the Silentium box on HTB. CVE-2025-8110 0 0 0 0 6075804102273045091 +github:334947839 2021-02-02 2025-03-05 f https://github.com/oussama-rahali/CVE-2019-8943 Exploit of CVE-2019-8942 and CVE-2019-8943 CVE-2019-8943 5 24 1 24 7567061421487489305 +github:817754834 2024-06-21 2024-10-06 f https://github.com/junnythemarksman/CVE-2024-24590 Deserialization of untrusted data can occur in versions 0.17.0 to 1.14.2 of the client SDK of Allegro AI’s ClearML platform, enabling a maliciously uploaded artifact to run arbitrary code on an end user’s system when interacted with. CVE-2024-24590 1 1 1 1 2303422087950314072 +github:181296970 2019-04-14 2023-12-11 f https://github.com/4nimanegra/libreofficeExploit1 CVE-2018-16858 exploit implementation CVE-2018-16858 1 3 1 3 9219920211198131791 +github:1206194896 2026-04-09 2026-04-09 f https://github.com/kaxm23/-CVE-2023-33177- Xibo CMS CVE-2023-33177 Vulnerability Tester CVE-2023-33177 0 0 0 0 6269253827644335572 +github:127405676 2018-04-18 2025-11-13 f https://github.com/g0rx/CVE-2018-7600-Drupal-RCE CVE-2018-7600 Drupal RCE CVE-2018-7600 48 114 13 114 2237588420954593441 +github:808374483 2024-05-31 2024-05-31 f https://github.com/epicosy/jooby jooby with CVE-2019-15477 CVE-2019-15477 0 0 1 0 2780378726015207348 +github:580408900 2022-12-20 2026-05-06 f https://github.com/pescepilota/CVE-2022-24086 Proof of concept of CVE-2022-24086 CVE-2022-24086 1 6 1 6 3010499826989007947 +github:413969845 2021-10-05 2026-04-02 f https://github.com/j4k0m/CVE-2021-41773 Exploitation of CVE-2021-41773 a Directory Traversal in Apache 2.4.49. CVE-2021-41773 7 13 1 13 8341092519326385330 +github:909882750 2024-12-30 2026-05-15 f https://github.com/math-x-io/CVE-2024-54152-poc CVE-2024-54152 3 12 1 12 67922471835311152 +github:521602618 2022-08-05 2023-03-24 f https://github.com/Satheesh575555/Openssl_1_1_0_CVE-2021-23841 CVE-2021-23841 0 0 1 0 4980838559593716304 +github:1107372077 2025-12-01 2025-12-17 f https://github.com/0xCyberstan/CVE-2025-64459-Poc Vulnerability: SQL Injection via QuerySet and Q() keyword argument unpacking. CVE ID: CVE-2025-64459 Severity: Critical (CVSS 9.1) Affected Versions: Django 5.1 < 5.1.14, 4.2 < 4.2.26, and 5.2 < 5.2.8. Researcher: Cyberstan (University of Warwick) CVE-2025-64459 1 2 0 2 4205203664113708231 +github:355036509 2021-04-07 2024-08-12 f https://github.com/Udyz/Zerologon Exploit Code for CVE-2020-1472 aka Zerologon CVE-2020-1472 2 1 1 1 8602581463715149103 +github:1112182966 2025-12-08 2026-02-04 f https://github.com/Syrins/CVE-2025-55182-React2Shell-RCE A modern, user-friendly GUI application for detecting and exploiting the CVE-2025-55182 vulnerability in React Server Components. Built with Python and Tkinter, featuring a sleek neon-themed interface for scanning targets, executing shell commands, and viewing live console output. CVE-2025-55182 0 3 0 3 363620224687946141 +github:1014450698 2025-07-05 2025-07-21 f https://github.com/ibrahmsql/discourse-CVE-2021-41163 CVE-2021-41163 0 2 0 2 2323662749160855684 +github:714422608 2023-11-04 2023-12-02 f https://github.com/yifanzhg/CVE-2023-45158 CVE-2023-45158 1 4 1 4 6823307443506884481 +github:753010588 2024-02-05 2025-09-15 f https://github.com/hatlesswizard/CVE-2023-6875 CVE-2023-6875 exploit written for Xakep.Ru CVE-2023-6875 0 1 1 1 8150497777385661494 +github:824382817 2024-07-05 2026-04-09 f https://github.com/0x4D31/cve-2024-6387_hassh HASSH fingerprints for identifying OpenSSH servers potentially vulnerable to CVE-2024-6387 (regreSSHion). CVE-2024-6387 1 10 1 10 2022583671801351549 +github:170809838 2019-04-01 2026-07-29 f https://github.com/adamyordan/cve-2019-1003000-jenkins-rce-poc Jenkins RCE Proof-of-Concept: SECURITY-1266 / CVE-2019-1003000 (Script Security), CVE-2019-1003001 (Pipeline: Groovy), CVE-2019-1003002 (Pipeline: Declarative) CVE-2019-1003000 87 316 3 316 127013713601449107 +github:803533618 2024-05-20 2026-07-13 f https://github.com/s4vvysec/CVE-2024-4367-POC CVE-2024-4367 arbitrary js execution in pdf js CVE-2024-4367 10 57 1 57 5076639264132208070 +github:383296400 2021-07-06 2024-12-09 f https://github.com/ruthvikvegunta/openCRX-CVE-2020-7378 Exploits Password Reset Vulnerability in OpenCRX, CVE-2020-7378. Also maintains Stealth by deleting all the password reset mails created by the script CVE-2020-7378 1 5 1 5 2772052798112852266 +github:863460886 2025-01-12 2025-06-12 f https://github.com/EQSTLab/CVE-2024-9014 Pgadmin4 Sensitive Information Exposure CVE-2024-9014 1 8 1 8 3233412001762993032 +github:146373342 2018-08-29 2019-09-24 f https://github.com/tuxotron/cve-2018-11776-docker CVE-2018-11776 0 3 1 3 1925902530503010059 +github:181439043 2019-11-27 2026-07-03 f https://github.com/pyn3rd/CVE-2019-0232 Apache Tomcat Remote Code Execution on Windows CVE-2019-0232 47 190 3 190 7587500954198188278 +github:913181555 2025-01-07 2025-01-07 f https://github.com/Taldrid1/cve-2021-41773 CVE-2021-41773 0 0 1 0 4972607858456535314 +github:867687521 2024-10-04 2024-10-04 f https://github.com/sota70/cve-2023-41564-research CVE-2023-41564 0 0 1 0 4662759453276519735 +github:687084359 2023-09-05 2023-09-04 f https://github.com/asepsaepdin/CVE-2019-13272 CVE-2019-13272 1 0 1 0 5134041659973223708 +github:234317211 2020-02-03 2024-08-12 f https://github.com/BlueTeamSteve/CVE-2020-0601 Curated list of CVE-2020-0601 resources CVE-2020-0601 2 1 1 1 2892738748624819658 +github:1039641710 2025-08-17 2025-08-17 f https://github.com/shoucheng3/testng-team__testng_CVE-2022-4065_7-5 CVE-2022-4065 0 0 0 0 5688726592783375911 +github:1026918916 2026-04-25 2026-04-25 f https://github.com/Paspke/scavenger_scanner Detect CVE-2025-54313 eslint-config-prettier supply chain attack IOCs on Windows CVE-2025-54313 0 0 0 0 7597381235545592943 +github:756481077 2024-02-11 2024-02-12 f https://github.com/metehangelgi/CVE-2020-1472-LAB Lab introduction to ZeroLogon CVE-2020-1472 1 0 0 0 7480517345194640609 +github:636446962 2023-07-24 2024-08-12 f https://github.com/Ap0dexMe0/CVE-2023-27524 Perform With Apache-SuperSet Leaked Token [CSRF] CVE-2023-27524 1 3 1 3 6548676894510433471 +github:345243566 2021-03-07 2024-08-12 f https://github.com/killtr0/POC-CVE-2018-6574 CVE-2018-6574 1 0 1 0 6275508044074923614 +github:393789801 2021-08-07 2021-10-24 f https://github.com/fahmifj/Docker-breakout-runc Modified version of CVE-2019-5736-PoC by Frichetten CVE-2019-5736 0 0 1 0 1885535711475480897 +github:131106110 2018-04-26 2018-04-26 f https://github.com/mechanico/sickrageWTF CVE-2018-9160 CVE-2018-9160 0 0 0 0 3501007617809703044 +github:258976805 2020-04-30 2025-04-07 f https://github.com/patilkr/wp-CVE-2017-5487-exploit WordPress CVE-2017-5487 Exploit in Python CVE-2017-5487 3 2 1 2 8390422814976746658 +github:154564555 2018-10-30 2023-11-28 f https://github.com/Stahlz/JQShell A weaponized version of CVE-2018-9206 CVE-2018-9206 14 62 8 62 151056895894333194 +github:347847778 2021-03-15 2021-03-15 f https://github.com/ETOCheney/cve-2021-21300 CVE-2021-21300 0 0 1 0 6241072613950100464 +github:1110467959 2025-12-05 2025-12-05 f https://github.com/yunus-a1i/CVE-2021-3007-docker-poc CVE-2021-3007 0 0 0 0 423606913345309505 +github:437995131 2021-12-13 2021-12-13 f https://github.com/ben-smash/l4j-info Compiling links of value i find regarding CVE-2021-44228 CVE-2021-44228 0 0 1 0 3033068529699843708 +github:1126145132 2026-01-05 2026-01-07 f https://github.com/xiaoLvChen/CVE-2025-55182 CVE-2025-55182（React Server Components 反序列化远程代码执行漏洞） CVE-2025-55182 0 1 0 1 5646218406479225035 +github:302983632 2021-10-18 2025-09-08 f https://github.com/n3m1sys/CVE-2018-16763-Exploit-Python3 CVE-2018-16763 1 4 1 4 3952310696449065236 +github:727965226 2023-12-06 2025-10-30 f https://github.com/diego-tella/CVE-2023-1326-PoC A proof of concept for CVE-2023–1326 in apport-cli 2.26.0 CVE-2023-1326 3 21 1 21 698409278846224158 +github:935297899 2025-02-19 2025-02-19 f https://github.com/BMG-Black-Magic/CVE-2023-44487 POC for CVE-2023-44487 CVE-2023-44487 0 0 1 0 8495855328822562481 +github:1025137899 2025-07-23 2025-07-23 f https://github.com/Beesco00/CVE-2024-52794-Discourse-Stored-XSS Stored XSS in Discourse via image filename - CVE-2024-52794 CVE-2024-52794 0 0 0 0 1228844504614113943 +github:1057227849 2025-09-15 2025-09-16 f https://github.com/william31212/CVE-Requests-1896609 CVE-2025-59376, CVE-2025-59377 CVE-2025-59376 1 1 0 1 8724470792554602255 +github:1277318976 2026-06-25 2026-06-25 f https://github.com/jchable/miasma-toolkit Detection & remediation toolkit for the Miasma / Shai-Hulud worm and CVE-2026-35603 (AI-agent/IDE config injection) CVE-2026-35603 0 0 0 0 2534942825096532126 +github:1264514263 2026-06-28 2026-06-28 f https://github.com/Saku0512/CVE-2026-48732-poc CVE-2026-48732 0 0 0 0 5249397564207409624 +github:458246235 2022-02-11 2025-04-13 f https://github.com/ColdFusionX/CVE-2020-9484 POC - Apache Tomcat Deserialization Vulnerability (CVE-2020-9484) CVE-2020-9484 2 5 1 5 807995968369764573 +github:466011549 2022-03-04 2026-05-29 f https://github.com/tangxiaofeng7/CVE-2022-22947-Spring-Cloud-Gateway CVE-2022-22947批量 CVE-2022-22947 20 71 1 71 1478679751695129499 +github:804506786 2024-05-27 2026-01-11 f https://github.com/spaceraccoon/detect-cve-2024-4367 YARA detection rule for CVE-2024-4367 arbitrary javascript execution in PDF.js CVE-2024-4367 2 11 1 11 6427828241926836183 +github:1017851881 2025-07-18 2025-07-11 f https://github.com/cuijiung/fastjson-CVE-2022-25845 CVE-2022-25845 0 0 0 0 3336265943060090189 +github:131920571 2018-05-03 2021-01-05 f https://github.com/MrTaherAmine/CVE-2018-10583 An information disclosure vulnerability occurs when LibreOffice 6.0.3 and Apache OpenOffice Writer 4.1.5 automatically process and initiate an SMB connection embedded in a malicious file, as demonstrated by "xlink:href=file://192.168.0.2/test.jpg" within an "office:document-content" element in a ".odt XML document". CVE-2018-10583 0 9 0 9 5775363727989764423 +github:145901668 2019-11-25 2023-03-20 f https://github.com/xfox64x/CVE-2018-11776 Creating a vulnerable environment and the PoC CVE-2018-11776 6 15 3 15 6884627147618356912 +github:222651199 2019-11-19 2026-07-24 f https://github.com/jas502n/CVE-2019-12409 Apache Solr RCE (ENABLE_REMOTE_JMX_OPTS="true") CVE-2019-12409 34 104 4 104 8803348809538154926 +github:1309865298 2026-07-23 2026-07-23 f https://github.com/0xdak/CVE-2026-63766_exploit CVE-2026-63766 0 0 0 0 2801763245620248047 +github:120916403 2018-02-09 2018-12-11 f https://github.com/dsfau/wordpress-CVE-2018-6389 Metasploit module for WordPress DOS load-scripts.php CVE-2018-638 CVE-2018-6389 0 2 0 2 2894230452776131324 +github:1273799155 2026-06-18 2026-07-13 f https://github.com/g0thamRabb1t/CVE-2026-48907-Joomla-JCE-detection Defensive lab validation and SOC detection guidance for CVE-2026-48907 in Joomla JCE <= 2.9.99.4, including Apache/Joomla/auditd telemetry, webshell artifacts, Sigma rules, MITRE ATT&CK mapping and mitigation recommendations. CVE-2026-48907 0 1 0 1 87723473555282759 +github:645337610 2023-05-26 2024-08-10 f https://github.com/paragbagul111/CVE-2023-30145 Camaleon CMS v2.7.0 contain a Server-Side Template Injection (SSTI) vulnerability CVE-2023-30145 2 7 1 7 4758172504531027969 +github:543696649 2024-01-02 2026-06-05 f https://github.com/cosad3s/CVE-2022-35914-poc CVE-2022-35914 11 51 1 51 2692161199184698664 +github:1111408040 2025-12-12 2026-07-28 f https://github.com/ynsmroztas/NextRce React Shell & Next.js RSC Exploit Tool (CVE-2025-55182) CVE-2025-55182 58 255 3 255 1833899404290843952 +github:1207824334 2026-05-24 2026-05-24 f https://github.com/Kouf320/docker-lab-cve-2017-5638-cve-2021-41773 CVE-2017-5638 0 2 0 2 60849399441347217 +github:493274768 2026-06-24 2026-06-24 f https://github.com/phor3nsic/CVE-2021-40822 PoC and Dockerized vulnerable lab for CVE-2021-40822 (SSRF in GeoServer) CVE-2021-40822 3 2 1 2 2753742099799059869 +github:1262563402 2026-06-08 2026-06-08 f https://github.com/SOME-1HING/CVE-2018-16763 Python tool for analyzing CVE-2018-16763 in FUEL CMS with cleaner response parsing and interactive vulnerability checking. CVE-2018-16763 0 0 0 0 8108019147705220974 +github:353653665 2021-06-10 2024-08-12 f https://github.com/Vulnmachines/apache-ofbiz-CVE-2020-9496 CVE-2020-9496 1 1 1 1 352051837289917824 +github:883824974 2024-11-06 2024-11-06 f https://github.com/guigui237/Expoitation-de-la-vuln-rabilit-CVE-2022-22965 CVE-2022-22965 0 0 1 0 8838953410309046170 +github:829031934 2024-07-15 2026-07-27 f https://github.com/Ap0dexMe0/CVE-2024-6387 OpenSSH RCE Massive Vulnerable Scanner CVE-2024-6387 1 3 1 3 5173070486621924965 +github:666508345 2023-07-14 2023-07-14 f https://github.com/Pog-Frog/cve-2022-44268 CVE-2022-44268 1 0 1 0 8471937461839584803 +github:405232580 2021-09-13 2024-08-12 f https://github.com/alikarimi999/CVE-2021-40346 CVE-2021-40346 1 5 1 5 804253227884447116 +github:1247166519 2026-05-23 2026-05-23 f https://github.com/felisha-elmer/Sandbox-Challenge-Log4Shell-CVE-2021-44228- CVE-2021-44228 0 0 0 0 7022271257232566342 +github:441678815 2021-12-27 2021-12-27 f https://github.com/ToxicEnvelope/XSYS-Log4J2Shell-Ex this repository contains a POC of CVE-2021-44228 (log4j2shell) as part of a security research CVE-2021-44228 0 0 1 0 5804537886898031445 +github:961844910 2025-04-07 2025-05-06 f https://github.com/iSee857/CVE-2025-31486-PoC Vite任意文件读取漏洞批量检测脚本CVE-2025-31486 CVE-2025-31486 0 6 1 6 770931775414006563 +github:1265698070 2026-06-11 2026-06-12 f https://github.com/Alardiians/gitea-CVE-2026-28699 Lab + writeup for CVE-2026-28699: Gitea OAuth2 scope enforcement bypass via HTTP Basic auth CVE-2026-28699 0 1 0 1 7333741471983460289 +github:795262800 2024-05-02 2024-05-02 f https://github.com/xsxtw/CVE-2019-0232 CVE-2019-0232 0 0 1 0 3779469214313576240 +github:331342400 2021-01-20 2021-01-20 f https://github.com/Eremiel/CVE-2019-5420 CVE-2019-5420 0 0 1 0 8835893620053063479 +github:671479775 2023-07-27 2023-09-03 f https://github.com/wmasday/CVE-2021-3129 CVE-2021-3129 | Laravel Debug Mode Vulnerability CVE-2021-3129 1 2 1 2 1929305101498769427 +github:1029553078 2025-07-31 2026-03-03 f https://github.com/Kai-One001/Letta-CVE-2025-51482-RCE CVE-2025-51482 0 1 0 1 6941625167801119429 +github:1284457475 2026-06-30 2026-06-30 f https://github.com/BiiTts/CVE-2026-56782-Gorse-Auth-Bypass CVE-2026-56782 — Gorse <0.5.10 unauthenticated DB dump/restore (admin_api_key fail-open). Lab + PoC, verified e2e. CVE-2026-56782 0 0 0 0 4585175547485331325 +github:327169091 2021-01-06 2023-09-24 f https://github.com/ropbear/CVE-2017-16651 Python implementation of Roundcube LFI (CVE-2017-16651) CVE-2017-16651 0 3 1 3 8831334816313765787 +github:791078025 2024-04-24 2024-04-24 f https://github.com/buiduchoang24/CVE-2023-34040 In Spring for Apache Kafka 3.0.9 and earlier and versions 2.9.10 and earlier, a possible deserialization attack vector existed, but only if unusual configuration was applied. An attacker would have to construct a malicious serialized object in one of the deserialization exception record headers. Cre: NVD CVE-2023-34040 0 0 1 0 1314546908523863946 +github:685723092 2023-09-01 2024-01-06 f https://github.com/tagomaru/CVE-2023-36281 PoC of CVE-2023-36281 CVE-2023-36281 0 2 1 2 7161350387269280518 +github:492411370 2023-10-12 2026-06-23 f https://github.com/badkeys/keypairvuln Private keys generated with vulnerable keypair versions (CVE-2021-41117) CVE-2021-41117 1 8 1 8 9025449124186957320 +github:674132744 2023-08-03 2023-08-03 f https://github.com/fidjiw/CVE-2023-38646-POC CVE-2023-38646-POC CVE-2023-38646 2 1 1 1 3320248805164110372 +github:931179912 2025-02-12 2025-02-12 f https://github.com/Alienfader/CVE-2020-29607 CVE-2020-29607 1 0 1 0 8800082548394686991 +github:898590201 2024-12-04 2024-12-04 f https://github.com/Prabesh01/hoh4 Modified version of laravel ignition RCE (CVE-2021-3129) exploit script for Hour of Hack Session-4 CVE-2021-3129 1 0 1 0 8263428675543153150 +github:694154973 2023-09-22 2023-09-20 f https://github.com/Zone1-Z/CVE-2023-40989 SQL injection vulnerbility in jeecgboot jeecg-boot v. allows a remote attacker to execute arbitrary code via a crafted request to the report/jeecgboot/jmreport/queryFieldBySql component. CVE-2023-40989 0 0 1 0 5613643621781393919 +github:633237667 2023-04-27 2023-08-17 f https://github.com/techspence/PyPATHPwner POC Exploit for CVE-2022-26488 - Python for Windows (CPython) escalation of privilege vulnerability, discovered by the Lockheed Martin Red Team. CVE-2022-26488 1 0 1 0 9056055474586300952 +github:1013376984 2025-07-12 2025-07-12 f https://github.com/BwithE/CVE-2024-48061 CVE-2024-48061 Langflow vulnerable to remote code execution. Poc CVE-2024-48061 0 0 0 0 8405870220684250034 +github:368612795 2021-05-18 2023-09-29 f https://github.com/zr0tt/CVE-2020-28018 Exploit for Exim4 4.93 CVE-2020-28018 CVE-2020-28018 0 2 0 2 2537004796738596217 +github:437546559 2021-12-12 2021-12-13 f https://github.com/pravin-pp/log4j2-CVE-2021-44228 CVE-2021-44228 0 1 1 1 7663628243321521928 +github:575588355 2022-12-07 2026-06-29 f https://github.com/ndmalc/CVE-2021-20323 CVE-2021-20323 2 13 1 13 3382302099236815908 +github:732181811 2023-12-15 2024-06-05 f https://github.com/bcdannyboy/CVE-2023-50164 A scanning utility and PoC for CVE-2023-50164 CVE-2023-50164 1 4 1 4 3871893265392062537 +github:824151224 2024-07-04 2024-07-04 f https://github.com/invaderslabs/regreSSHion-CVE-2024-6387- Provides instructions for using the script to check if your OpenSSH installation is vulnerable to CVE-2024-6387 CVE-2024-6387 0 0 1 0 4669209654732444346 +github:440638073 2021-12-21 2021-12-21 f https://github.com/halencarjunior/grafana-CVE-2021-43798 CVE-2021-43798 1 0 1 0 3683631523209554000 +github:135652327 2018-06-07 2022-01-14 f https://github.com/CHYbeta/CVE-2018-11235-DEMO CVE-2018-11235 2 14 1 14 6130988065617151669 +github:913540389 2025-01-07 2025-01-07 f https://github.com/chuckdu21/CVE-2022-29078 PoC for CVE-2022-29078 CVE-2022-29078 0 0 1 0 4140751824903190432 +github:536960585 2022-09-15 2022-09-15 f https://github.com/AgainstTheLight/CVE-2022-37205 CVE-2022-37205 POC CVE-2022-37205 0 0 1 0 5148421807883010037 +github:664513700 2023-07-13 2025-01-05 f https://github.com/asepsaepdin/CVE-2023-22809 CVE-2023-22809 1 6 1 6 8971462109028408886 +github:637572736 2024-01-09 2026-02-25 f https://github.com/K3ysTr0K3R/CVE-2019-15107-EXPLOIT A PoC exploit for CVE-2019-15107 - Webmin Remote Code Execution CVE-2019-15107 2 10 1 10 8562489857256091262 +github:310408864 2023-06-21 2026-04-12 f https://github.com/dukptkey/CVE-2020-9273 Analysis and exploitation of an use-after-free in ProFTPd CVE-2020-9273 4 14 1 14 1330403765165594426 +github:1209121228 2026-04-13 2026-04-13 f https://github.com/popyue/CVE-2025-8110 Gogs Symlink Traversal → RCE CVE-2025-8110 0 0 0 0 5193052017144136672 +github:230847942 2019-12-30 2019-12-30 f https://github.com/john-80/cve-2017-7494 samba 4.5.9 CVE-2017-7494 0 0 1 0 7823289686973640500 +github:201405406 2019-08-12 2026-05-23 f https://github.com/jas502n/CVE-2019-0193 Apache Solr DataImport Handler RCE CVE-2019-0193 49 90 3 90 1812386714978447449 +github:465724885 2022-11-14 2025-09-11 f https://github.com/SecNN/CVE-2022-22947_Rce_Exp Spring Cloud Gateway 远程代码执行漏洞Exp Spring_Cloud_Gateway_RCE_Exp-CVE-2022-22947 CVE-2022-22947 20 77 1 77 2682158095040687401 +github:649060182 2023-06-04 2023-10-12 f https://github.com/BKLockly/CVE-2022-22965 Poc&Exp,支持批量扫描,反弹shell CVE-2022-22965 3 3 1 3 7423805186602088762 +github:735584620 2023-12-26 2024-03-07 f https://github.com/Le1a/CVE-2023-51385 OpenSSH ProxyCommand RCE CVE-2023-51385 9 5 1 5 2320770860208177889 +github:1111038276 2025-12-08 2025-12-08 f https://github.com/fankh/cve-2025-55182-test-lab-windows CVE-2025-55182 0 0 0 0 3306790359864084290 +github:209584763 2019-09-19 2024-08-12 f https://github.com/evilAdan0s/CVE-2019-16097 CVE-2019-16097 PoC CVE-2019-16097 9 23 2 23 6529872457294965016 +github:571969450 2022-11-29 2022-12-08 f https://github.com/mgregus/project_BIT_nmap_script Nmap .nse script to scan for CVE-2022-32073 in wolfssh CVE-2022-32073 0 3 1 3 1890251555141350820 +github:575651169 2022-12-08 2026-02-13 f https://github.com/0xf4n9x/CVE-2022-46169 CVE-2022-46169 Cacti remote_agent.php Unauthenticated Command Injection. CVE-2022-46169 12 47 1 47 2749800444354435395 +github:951891216 2025-03-20 2025-03-21 f https://github.com/PaulDHaes/CVE-2023-45878-POC CVE-2023-45878 poc for gibbon LMS on xampp windows CVE-2023-45878 0 1 1 1 7813804447215590909 +github:599082211 2023-02-08 2024-03-25 f https://github.com/pierpaolosestito-dev/Log4Shell-CVE-2021-44228-PoC CVE 2021-44228 Proof-of-Concept. Log4Shell is an attack against Servers that uses vulnerable versions of Log4J. CVE-2021-44228 0 1 1 1 1450858908132696659 +github:368141608 2021-05-18 2025-02-05 f https://github.com/WickdDavid/CVE-2021-26814 A simple python PoC to exploit CVE-2021-26814 and gain RCE on Wazuh Manager (v.4.0.0-4.0.3) through the API service. CVE-2021-26814 1 4 1 4 8010807324819567412 +github:845856356 2024-08-22 2024-09-06 f https://github.com/0x20c/CVE-2024-38856-EXP CVE-2024-38856 Exploit CVE-2024-38856 1 9 1 9 3821710350387095424 +github:1117206214 2025-12-17 2025-12-17 f https://github.com/x0root/CVE-2025-68116 A Documentation of CVE-2025-68116 CVE-2025-68116 0 0 0 0 7803836529458037230 +github:259204867 2020-04-27 2020-04-27 f https://github.com/wcxxxxx/CVE-2020-7961 CVE-2020-7961 0 1 1 1 206539171727430839 +github:437316134 2021-12-13 2023-10-23 f https://github.com/zzzz0317/log4j2-vulnerable-spring-app CVE-2021-44228 CVE-2021-44228 0 4 1 4 5856356827588515546 +github:851484894 2024-09-04 2024-09-04 f https://github.com/Ant1sec-ops/CVE-2024-33453 Sensitive Data exposure CVE-2024-33453 0 1 1 1 355844950527685373 +github:1309742919 2026-07-23 2026-07-23 f https://github.com/ghostpels/CVE-2026-13001 CVE-2026-13001 0 0 0 0 1885248080694207985 +github:1112108822 2025-12-08 2025-12-08 f https://github.com/TH-SecForge/CVE-2025-55182 CVE-2025-55182 0 0 0 0 5736651560256692927 +github:938286262 2025-02-24 2025-03-01 f https://github.com/zer0-dave/CVE-2023-1545-POC Copy of the POC for CVE-2023-1545 CVE-2023-1545 0 1 1 1 5567664652808011733 +github:949947575 2025-03-20 2025-03-20 f https://github.com/Zer0F8th/CVE-2023-34598 Gibbon v25.0.0 is vulnerable to a Local File Inclusion (LFI) CVE-2023-34598 1 0 1 0 8394699890254006545 +github:647731640 2024-03-19 2024-09-19 f https://github.com/bL34cHig0/Telstra-Cybersecurity-Virtual-Experience- A simple python script for a firewall rule that blocks incoming requests based on the Spring4Shell (CVE-2022-22965) vulnerability CVE-2022-22965 1 2 1 2 1181601271297257606 +github:467602577 2025-07-11 2025-07-15 f https://github.com/mrchucu1/CVE-2022-0847-Docker Docker exploit CVE-2022-0847 2 1 1 1 4444279248447066542 +github:822584501 2024-07-25 2026-07-13 f https://github.com/lflare/cve-2024-6387-poc MIRROR of the original 32-bit PoC for CVE-2024-6387 "regreSSHion" by 7etsuo/cve-2024-6387-poc CVE-2024-6387 40 129 3 129 5425624996410458278 +github:1114752086 2025-12-06 2025-12-11 f https://github.com/aseemyash/krle CVE-2025-55182 & CVE-2025-66478 proof of concepts CVE-2025-55182 0 0 0 0 958735710118950086 +github:295788757 2020-09-15 2020-09-16 f https://github.com/jiushill/CVE-2020-1472 CVE-2020-1472 CVE-2020-1472 1 1 1 1 6470283034411121841 +github:1314835940 2026-07-28 2026-07-29 f https://github.com/dinosn/liferay-ga4-rce-research Security research on Liferay CE 7.0.3 GA4: pre-auth RCE as root (CVE-2020-7961 class) reproduced end-to-end, plus 16 more findings — 8+ with no known CVE. Agentic loop-hunt: 25 generators, 22 judges, 9 live validators on Docker. Evidence trail + one-go checker included. CVE-2020-7961 1 5 0 5 8075938879408270141 +github:263398100 2020-05-12 2020-05-12 f https://github.com/DewmiApsara/CVE-2019-14287 CVE-2019-14287 0 0 1 0 6750468007202804750 +github:439071959 2021-12-16 2021-12-16 f https://github.com/hozyx/log4shell Applications that are vulnerable to the log4j CVE-2021-44228/45046 issue may be detectable by scanning jar, war, ear, zip files to search for the presence of JndiLookup.class. CVE-2021-44228 0 0 1 0 7557967644256042372 +github:1114622976 2026-05-31 2026-05-31 f https://github.com/anuththara2007-W/CVE-2025-55182-Exploit-extension A Chrome extension for detecting React2Shell vulnerabilities (CVE-2025-55182 & CVE-2025-66478) in web applications CVE-2025-55182 1 3 0 3 3784808637375071850 +github:439208776 2021-12-17 2023-07-23 f https://github.com/obscuritylabs/log4shell-poc-lab A lab demonstration of the log4shell vulnerability: CVE-2021-44228 CVE-2021-44228 1 9 4 9 3348423756165078650 +github:440029288 2021-12-20 2021-12-21 f https://github.com/spasam/log4j2-exploit log4j2 Log4Shell CVE-2021-44228 proof of concept CVE-2021-44228 0 2 1 2 1208745312564201425 +github:467741460 2022-03-09 2024-08-12 f https://github.com/dadhee/CVE-2022-0847_DirtyPipeExploit A “Dirty Pipe” vulnerability with CVE-2022-0847 and a CVSS score of 7.8 has been identified, affecting Linux Kernel 5.8 and higher. The vulnerability allows attackers to overwrite data in read-only files. Threat actors can exploit this vulnerability to privilege themselves with code injection. CVE-2022-0847 3 2 1 2 9058346133124189825 +github:414239384 2021-10-08 2024-08-12 f https://github.com/mohwahyudi/cve-2021-41773 CVE-2021-41773 0 0 1 0 7816866166155433415 +github:900584602 2024-12-16 2025-01-13 f https://github.com/JFOZ1010/CVE-2024-24549 Proof of concept of the CVE-2024-24549, Exploit in Python. CVE-2024-24549 3 6 1 6 2753184877559113586 +github:727568274 2023-12-05 2026-01-17 f https://github.com/nuPacaChi/-CVE-2021-44790 Thực nghiệm CVE-2021-44790 CVE-2021-44790 3 4 1 4 3687565667709281046 +github:781846725 2024-04-05 2024-04-05 f https://github.com/felipecosta09/cve-2024-3094 A tutorial on how to detect the CVE 2024-3094 CVE-2024-3094 0 3 1 3 6295006634772752766 +github:569087060 2022-11-25 2022-11-22 f https://github.com/dr4g0n23/CVE-2020-1472 CVE-2020-1472 0 0 1 0 1472128050407498472 +github:1022970446 2025-07-20 2025-07-20 f https://github.com/Thewhiteevil/CVE-2025-51398 LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Facebook Integration Page Name Field CVE-2025-51398 0 0 0 0 6227127740001172062 +github:1289527305 2026-07-04 2026-07-26 f https://github.com/M8seven/cve-2026-22874-gitea-ssrf-allowlist CVE-2026-22874 writeup: incomplete SSRF allow-list in Gitea webhook/migration (IPv6 transition and cloud metadata). Fixed in Gitea 1.26.3. CVE-2026-22874 0 1 0 1 4182317505195727505 +github:887758220 2024-11-13 2024-11-13 f https://github.com/numaan911098/CVE-2023-4220 https://nvd.nist.gov/vuln/detail/CVE-2023-4220 CVE-2023-4220 0 0 1 0 2464371632051715812 +github:421530564 2021-10-26 2025-08-31 f https://github.com/mr-exo/CVE-2021-41773 Remote Code Execution exploit for Apache servers. Affected versions: Apache 2.4.49, Apache 2.4.50 CVE-2021-41773 0 11 1 11 2225395316457125426 +github:1196076906 2026-03-30 2026-03-30 f https://github.com/akelaqe/CVE-2024-27348-HugeGraph-RCE CVE-2024-27348 0 1 0 1 6808668912304360355 +github:1115839779 2025-12-13 2026-04-23 f https://github.com/TrixSec/CVE-2025-55182-Scanner A hybrid security scanner for detecting CVE-2025-55182 in Next.js and Waku applications. Features combined static code analysis and safe dynamic verification for DevSecOps workflows. CVE-2025-55182 0 3 0 3 5712009436218139712 +github:502714109 2022-06-12 2025-03-11 f https://github.com/seymanurmutlu/CVE-2022-24086-CVE-2022-24087 CVE-2022-24086 1 2 1 2 252068419760543743 +github:1123901686 2025-12-28 2026-07-08 f https://github.com/Black1hp/mongobleed-scanner MongoDB CVE-2025-14847 Heap Memory Leak Scanner | OP_COMPRESSED zlib Vulnerability | Bug Bounty & Red Team Tool CVE-2025-14847 5 35 0 35 505053917363954347 +github:1277633344 2026-06-24 2026-06-24 f https://github.com/Joapath/CVE-2021-41773 Prueba de concepto de CVE-2021-41773 CVE-2021-41773 0 0 0 0 6259750759916331713 +github:1098891132 2025-11-18 2025-11-18 f https://github.com/PCMKUIT/CVE-2021-44228---Log4Shell-Analysis Technical deep dive into Apache Log4j2 JNDI injection vulnerability. Features static code analysis, patch comparison, attack vectors (LDAP/RMI/DNS), and enterprise mitigation guidance. CVE-2021-44228 0 0 0 0 2858234875562741734 +github:676501688 2023-08-09 2024-11-02 f https://github.com/rvzsec/CVE-2023-27163 CVE-2023-27163 - Request Baskets SSRF CVE-2023-27163 0 2 1 2 9157541663676432730 +github:802533707 2024-05-18 2026-04-25 f https://github.com/safebuffer/CVE-2024-32002 CVE-2024-32002 RCE PoC CVE-2024-32002 27 109 3 109 1635200231293342941 +github:439071699 2021-12-30 2022-02-25 f https://github.com/kal1gh0st/MyLog4Shell Simple Python 3 script to detect the "Log4j" Java library vulnerability (CVE-2021-44228) for a list of URLs with multithreading CVE-2021-44228 0 1 1 1 467557353446830877 +github:1118237833 2025-12-17 2025-12-17 f https://github.com/elahehasanpour/chatwoot-cve-2025-21628 A technical write-up explaining how improper SQL structure handling led to CVE-2025-21628 in Chatwoot. CVE-2025-21628 0 0 0 0 4497546427800168745 +github:1005715536 2025-08-27 2025-12-29 f https://github.com/hxuu/moodle-cve Web CTF challenge highlighting moodle CVE-2025-26529 (in 2 flavors) CVE-2025-26529 0 3 0 3 1074861884358378973 +github:609599518 2023-03-04 2026-02-02 f https://github.com/ajisai-babu/CVE-2021-3129-exp Laravel Debug mode RCE漏洞（CVE-2021-3129）poc / exp CVE-2021-3129 1 13 1 13 8153435178425258438 +github:502711634 2022-06-12 2022-06-12 f https://github.com/fundaergn/CVE-2022-21449 CVE 2022-21449 CVE-2022-21449 0 0 1 0 2350389489038888528 +github:979211233 2025-05-07 2025-05-07 f https://github.com/srcx404/CVE-2024-39722 CVE-2024-39722 0 0 1 0 8417367241047946793 +github:158224861 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2018-10936 CVE-2018-10936 0 0 0 0 3265476886425637537 +github:875890256 2024-10-21 2026-06-14 f https://github.com/z3k0sec/CVE-2024-9264-RCE-Exploit Grafana RCE exploit (CVE-2024-9264) CVE-2024-9264 5 39 1 39 4865499127495085189 +github:150880187 2018-10-02 2026-05-20 f https://github.com/jas502n/CVE-2018-17182 Linux 内核VMA-UAF 提权漏洞（CVE-2018-17182）,0day CVE-2018-17182 50 130 6 130 841082992243221236 +github:675212080 2023-09-03 2024-08-07 f https://github.com/Toothless5143/CVE-2023-22809 Running this exploit on a vulnerable system allows a local attacker to gain a root shell on the machine. CVE-2023-22809 2 2 1 2 1544911966843578113 +github:673535000 2023-08-04 2023-09-12 f https://github.com/jzheaux/cve-2023-34035-mitigations CVE-2023-34035 1 4 1 4 2286267937765616975 +github:796599635 2024-05-06 2026-07-11 f https://github.com/d0rb/CVE-2024-4439 The provided exploit code leverages a stored Cross-Site Scripting (XSS) vulnerability (CVE-2024-4439) in WordPress Core versions up to 6.5.1. CVE-2024-4439 2 12 3 12 1919774984781315527 +github:379275650 2021-06-22 2024-08-12 f https://github.com/aaminin/CVE-2021-22214 Gitlab CI Lint API未授权 SSRF漏洞 (CVE-2021-22214) CVE-2021-22214 12 1 0 1 7896671740191484228 +github:645500414 2023-05-26 2023-05-25 f https://github.com/nikn0laty/RCE-in-Spring-Cloud-CVE-2022-22963 Exploit for CVE-2022-22963 remote command execution in Spring Cloud Function CVE-2022-22963 1 0 1 0 1048718783073923286 +github:668992083 2023-08-02 2025-02-14 f https://github.com/Halcy0nic/CVE-2023-38632 Proof of concept for CVE-2023-38632 CVE-2023-38632 1 1 1 1 1338150455159701552 +github:245067850 2020-10-22 2024-08-12 f https://github.com/HoangKien1020/CVE-2020-10238 CVE-2020-10238: Incorrect Access Control in com_templates PoC CVE-2020-10238 4 6 1 6 24265741691587782 +github:437142703 2021-12-17 2021-12-17 f https://github.com/TheArqsz/CVE-2021-44228-PoC CVE-2021-44228 0 0 1 0 7912815042490606818 +github:1053763736 2025-09-09 2025-09-09 f https://github.com/Alph4Sec/ssh_enum_py script de enumeración de usuarios SSH basado en diferencias de timing y respuestas de autenticación. Explota el mismo vector que CVE-2018-15473 en versiones vulnerables de OpenSSH (≤ 7.7), aunque también puede revelar patrones en configuraciones modernas. CVE-2018-15473 0 0 0 0 1513137265244844927 +github:898373341 2024-12-04 2024-12-04 f https://github.com/kota-yata/cve-2024-53259 CVE-2024-53259 0 0 1 0 4201505267301506116 +github:1111313296 2025-12-06 2025-12-17 f https://github.com/zamdevio/r2s Advanced security testing tool for CVE-2025-55182 vulnerability assessment in Next.js applications. Features interactive shell, batch scanning, WAF bypass, and comprehensive reporting. CVE-2025-55182 0 2 0 2 3352716952227644374 +github:1220604684 2026-04-25 2026-04-25 f https://github.com/sivaadityacoder/CVE-2025-68621 CVE-2025-68621 0 0 0 0 2238670063058087487 +github:646183182 2023-05-27 2023-08-06 f https://github.com/TaroballzChen/CVE-2023-28432-metasploit-scanner MinIO Information Disclosure Vulnerability scanner by metasploit CVE-2023-28432 2 1 1 1 9092541761592676017 +github:1089713655 2025-11-04 2026-02-09 f https://github.com/SaidBenaissa/cve-2025-11953-vulnerability-demo CVE-2025-11953 demonstration: Critical RCE vulnerability in React Native CLI (CVSS 9.8). Educational security research with proof-of-concept exploits and mitigation strategies. CVE-2025-11953 1 4 0 4 7574154141784974177 +github:955237599 2025-04-13 2026-06-20 f https://github.com/xuemian168/CVE-2025-30208 全网首发 CVE-2025-31125 CVE-2025-30208 CVE-2025-32395 Vite Scanner CVE-2025-30208 0 48 1 48 4988570876530003760 +github:1237161931 2026-05-13 2026-05-18 f https://github.com/shayr1/shai-hulud-scan Claude Code skill to scan machines for Mini Shai-Hulud (CVE-2026-45321) supply chain worm IOCs CVE-2026-45321 0 1 0 1 6873366697013168047 +github:90299927 2017-05-04 2017-05-04 f https://github.com/homjxi0e/CVE-2017-8295-WordPress-4.7.4---Unauthorized-Password-Reset CVE-2017-8295 1 0 0 0 2685179521779158408 +github:96536969 2017-07-07 2017-07-07 f https://github.com/IanSmith123/s2-048 Apache struts struts 2 048, CVE-2017-9791. CVE-2017-9791 0 2 2 2 904414954629388739 +github:1034668849 2025-08-08 2025-08-08 f https://github.com/rajaabdullahnasir/CVE-2018-7600-Remote-Code-Execution This repository contains a completely original and self-developed Proof-of-Concept (PoC) for CVE-2018-7600, also known as Drupalgeddon 2 — a critical remote code execution vulnerability affecting Drupal 7 and 8 core versions. CVE-2018-7600 0 0 0 0 1963377428353125016 +github:245700108 2020-03-07 2020-03-07 f https://github.com/dpmdpm2/CVE-2019-19905 CVE-2019-19905 1 0 1 0 6493511075132597374 +github:426870978 2022-01-16 2026-07-27 f https://github.com/inspiringz/CVE-2021-22205 GitLab CE/EE Preauth RCE using ExifTool CVE-2021-22205 41 237 1 237 9104632747038776921 +github:869658204 2024-10-09 2024-10-09 f https://github.com/bka/magento-cve-2024-34102-exploit-cosmicstring CVE-2024-34102 0 0 1 0 3845391699133691464 +github:1075085168 2025-10-13 2025-10-13 f https://github.com/Tnot123/cve-2024-43425 CVE-2024-43425 0 0 0 0 4809641686870483923 +github:656422987 2023-06-20 2026-05-06 f https://github.com/0xeremus/dirty-pipe-poc POC Exploit to add user to Sudo for CVE-2022-0847 Dirty Pipe Vulnerability CVE-2022-0847 1 2 1 2 1699566419171959264 +github:1090671238 2025-11-06 2025-11-06 f https://github.com/ch4n3-yoon/CVE-2025-64458-Demo A PoC script for demonstrating CVE 2025-64458, found in Django, potential DoS in `HttpResponseRedirect`/`HttpResponsePermanentRedirect` on Windows. CVE-2025-64458 0 0 0 0 6202618309677181129 +github:1151551787 2026-05-23 2026-05-23 f https://github.com/reschjonas/CVE-2026-24135 Arbitrary File Deletion in Gogs via Wiki Path Traversal CVE-2026-24135 0 1 0 1 7619618981628765974 +github:913695968 2025-01-23 2026-07-11 f https://github.com/TrixSec/CVE-2023-48795 A Python-based tool to check for vulnerabilities in OpenSSH installations on local or remote systems by scanning specific IPs. It checks if the OpenSSH version is affected by CVE-2023-48795 CVE-2023-48795 0 13 1 13 1938783420733110256 +github:1212010083 2026-04-16 2026-04-16 f https://github.com/rippsec/CVE-2025-49113-Roundcube-RCE CVE-2025-49113 – Roundcube ≤1.6.10 post-auth RCE via PHP object deserialization (HackTheBox CTF) CVE-2025-49113 0 0 0 0 9045078007232530897 +github:485887908 2022-09-20 2023-01-03 f https://github.com/hadrian3689/phpipam_1.4.4 CVE-2022-23046 phpIPAM 1.4.4 CVE-2022-23046 0 0 1 0 1408355311558565458 +github:721296341 2023-11-20 2023-11-20 f https://github.com/RandomRobbieBF/CVE-2023-40600 EWWW Image Optimizer <= 7.2.0 - Unauthenticated Sensitive Information Exposure via Debug Log CVE-2023-40600 0 0 1 0 3553961559909778489 +github:1300037422 2026-07-14 2026-07-14 f https://github.com/Ricardo354/homelab-CVE-2021-44228 Log4j Vulnerability homelab CVE-2021-44228 0 0 0 0 8105614496996864751 +github:616327483 2023-03-20 2023-03-20 f https://github.com/gmh5225/CVE-2022-24716 Arbitrary File Disclosure Vulnerability in Icinga Web 2 <2.8.6, <2.9.6, <2.10 CVE-2022-24716 1 0 0 0 3561758153450818574 +github:414050354 2021-10-06 2025-08-29 f https://github.com/habibiefaried/CVE-2021-41773-PoC PoC for CVE-2021-41773 with docker to demonstrate CVE-2021-41773 4 3 1 3 1896866666824322201 +github:461681428 2022-02-21 2024-09-02 f https://github.com/zwjjustdoit/cve-2022-23131 poc CVE-2022-23131 4 1 1 1 1194329598878580254 +github:273180012 2020-06-18 2026-07-08 f https://github.com/ynsmroztas/drupalhunter CVE-2018-7600 0-Day Exploit (cyber-warrior.org) CVE-2018-7600 1 0 1 0 2745017827972205057 +github:438409343 2025-12-19 2025-10-04 f https://github.com/stripe/log4j-remediation-tools Tools for remediating the recent log4j2 RCE vulnerability (CVE-2021-44228) CVE-2021-44228 8 40 7 40 8013003230636761420 +github:635201457 2023-05-20 2026-05-02 f https://github.com/UncleJ4ck/CVE-2021-41091 POC for CVE-2021-41091 CVE-2021-41091 6 66 1 66 8943272292928619216 +github:437273514 2026-07-27 2024-04-29 f https://github.com/b-abderrahmane/CVE-2021-44228-playground CVE-2021-44228 2 2 2 2 5492764786305311661 +github:1059915732 2025-09-19 2025-09-19 f https://github.com/l4f2s4/CVE-2025-49113_exploit_cookies CVE-2025-49113 - Roundcube Remote Code Execution CVE-2025-49113 0 1 0 1 3042918747709773065 +github:120128236 2018-02-10 2023-05-25 f https://github.com/amit-raut/CVE-2016-2569 Squid 3.x before 3.5.15 and 4.x before 4.0.7 does not properly append data to String objects, which allows remote servers to cause a denial of service (assertion failure and daemon exit) via a long string, as demonstrated by a crafted HTTP Vary header. CVE-2016-2569 1 6 1 6 475399171410170787 +github:524189931 2022-08-13 2026-05-23 f https://github.com/vnhacker1337/CVE-2022-27925-PoC Zimbra RCE simple poc CVE-2022-27925 21 65 2 65 8464549305576187260 +github:1113210770 2025-12-09 2026-05-23 f https://github.com/shyambhanushali/React2Shell React2Shell is a Python-based proof-of-concept tool designed to exploit CVE-2025-55182 and CVE-2025-66478, both impacting Next.js applications using React Server Components (RSC). CVE-2025-55182 2 13 0 13 164137811589860750 +github:1241686737 2026-05-17 2026-05-20 f https://github.com/Groppoxx/CVE-2023-2825-PoC PoC for CVE-2023-2825: automated GitLab 16.0.0 arbitrary file read via nested public groups, project upload traversal, reusable upload paths, and clean CLI output. CVE-2023-2825 0 4 0 4 1859001228459725536 +github:1248091354 2026-05-24 2026-05-24 f https://github.com/w3nch/CVE-2025-55182-in-go CVE-2025-55182 0 0 0 0 902960592111419143 +github:437771197 2026-07-03 2026-07-02 f https://github.com/sourcegraph/log4j-cve-code-search-resources Using code search to help fix/mitigate log4j CVE-2021-44228 CVE-2021-44228 4 1 31 1 6733162061622263047 +github:635879677 2023-05-04 2023-05-03 f https://github.com/gunzf0x/CVE-2022-22963 Binaries for CVE-2022-22963 CVE-2022-22963 0 0 1 0 2678073339486339521 +github:808411710 2024-09-06 2024-09-06 f https://github.com/AD-Appledog/wakuwaku cve-2024-32002yahhh CVE-2024-32002 0 0 1 0 7489762018708415491 +github:1115129610 2025-12-12 2025-12-12 f https://github.com/bakhod1r/CVE-2025-55184 CVE-2025-55184 0 0 0 0 969962041746538193 +github:1291632499 2026-07-07 2026-07-07 f https://github.com/BiiTts/CVE-2026-54350-Budibase-NoSQL-Injection PoC for CVE-2026-54350 — Budibase unauthenticated NoSQL operator injection (CVSS 10.0). Read/mass-write any document collection via a PUBLIC query. CVE-2026-54350 0 0 0 0 5484326135250803117 +github:1136670100 2026-01-18 2026-01-21 f https://github.com/Rezy-Dev/CVE-2018-11235 exploit poc for CVE-2018-11235 CVE-2018-11235 0 0 0 0 604070065180213076 +github:467818101 2022-03-09 2024-08-12 f https://github.com/nanaao/Dirtypipe-exploit Dirty Pipe (CVE-2022-0847) PoC that hijacks a SUID binary to spawn. a root shell. (and attempts to restore the damaged binary as well) CVE-2022-0847 1 0 0 0 1159656619871250632 +github:751326986 2024-02-23 2024-02-20 f https://github.com/m0b1u3/CVE-2024-25381 CVE-2024-25381 0 0 1 0 4389482365003034216 +github:280048798 2020-10-13 2024-08-12 f https://github.com/Al1ex/CVE-2019-17571 Environment for CVE_2019_17571 CVE-2019-17571 2 1 0 1 7045965551413044900 +github:722884365 2023-11-24 2023-11-26 f https://github.com/0xN7y/CVE-2020-29607 Exploit forCVE-2020-29607 CVE-2020-29607 0 1 1 1 6023906986111708639 +github:1176068152 2026-03-09 2026-03-09 f https://github.com/Saptaktdk/zenml-CVE-2024-2083-POC Dockerized vulnerable lab demonstrating CVE-2024-2083 in ZenML, a path traversal vulnerability in the step logs API allowing arbitrary file read. CVE-2024-2083 0 0 0 0 1732186727822463942 +github:268969538 2026-04-23 2026-07-21 f https://github.com/cloudflare/exim-cve-2019-10149-data Data Collection Related to Exim CVE-2019-10149 CVE-2019-10149 1 3 10 3 2940263050559707558 +github:1158907736 2026-03-07 2026-03-07 f https://github.com/Rohitberiwala/PyPath-Escape-CVE-2025-4517-Exploit-Research A high-performance Python toolkit to automate the CVE-2025-4517 PATH_MAX bypass exploit. Specifically tuned for the WingData HTB challenge to achieve arbitrary file writes and root persistence CVE-2025-4517 0 0 0 0 8359401420463701002 +github:292603208 2020-09-03 2021-02-15 f https://github.com/hikarihacks/CVE-2018-16763-exploit This is an updated version of the CVE-2018-16763 for fuelCMS 1.4.1 CVE-2018-16763 0 2 1 2 2238313512201149706 +github:1152431389 2026-02-08 2026-02-24 f https://github.com/str1keboo/CVE-2025-49132 This repository contains a Proof of Concept (PoC) for CVE-2025-49132, a critical vulnerability in Pterodactyl Panel versions < 1.11.11. CVE-2025-49132 0 3 0 3 7827937688662470982 +github:706044373 2024-08-10 2024-08-10 f https://github.com/birdm4nw/CVE-2023-38646 This script is designed to exploit vulnerable Metabase software versions by providing you as attacker a shell. CVE-2023-38646 0 0 1 0 3839699337558006901 +github:1253833670 2026-06-25 2026-06-25 f https://github.com/0xmrma/CVE-2026-46552 NocoDB Shared-Base Links Could Invite Real Base Members and Survive Share Revocation CVE-2026-46552 0 0 0 0 7723498583021085635 +github:970412748 2026-06-02 2026-06-02 f https://github.com/joelindra/CVE-2017-9841 Tool designed to scan a list of websites for a known vulnerability in the PHPUnit framework, specifically the CVE-2017-9841 vulnerability. CVE-2017-9841 0 1 1 1 6135383454029893470 +github:802138178 2024-05-30 2024-10-28 f https://github.com/markuta/CVE-2024-32002 A proof of concept for the git vulnerability CVE-2024-32002 CVE-2024-32002 1 2 1 2 3570691149453513416 +github:1139656081 2026-01-22 2026-01-22 f https://github.com/ExploreUnknowed/CVE-2025-67303 CVE-2025-67303 0 0 0 0 4805787225838213433 +github:1310235995 2026-07-23 2026-07-26 f https://github.com/CerberusMrXi/Flowise-CVE-2026-58057-exploit Flowise Windows RCE exploit for CVE-2026-58057. Bypasses environment variable validation via case-sensitive flaw. Uses node_options to inject arbitrary code through MCP stdio. Supports reverse shell, persistence, file upload, credential dumping. For authorized security testing only. CVE-2026-58057 0 1 0 1 3247683855753843580 +github:467606604 2026-03-17 2026-06-11 f https://github.com/p0dalirius/CVE-2020-14144-GiTea-git-hooks-rce A script to exploit CVE-2020-14144 - GiTea authenticated Remote Code Execution using git hooks CVE-2020-14144 7 32 1 32 3700582836970820744 +github:1177637639 2026-03-10 2026-03-10 f https://github.com/D1se0/CVE-2024-51428-PoC Wrapper in Python to exploit CVE-2024-51428 in ZoneMinder using Blind SQL Injection using sqlmap, automating enumeration of DBs, tables, and data extraction with clean output. CVE-2024-51428 0 1 0 1 6016274948412015379 +github:1097438598 2025-11-16 2025-11-23 f https://github.com/leorivass/jq-els-backport-cve-2025-48060 Backported the upstream fix for CVE-2025-48060 (heap buffer overflow in jv_string_empty) to jq 1.6. CVE-2025-48060 0 1 0 1 6004836549300518836 +github:1206925150 2026-04-12 2026-04-12 f https://github.com/kaxm23/rust-cve-2025-55182-scanner powerfull rust cve-2025-55182-scanner used for ctf & ethical purpose only CVE-2025-55182 0 0 0 0 5531267138761434342 +github:484342272 2022-04-22 2023-04-10 f https://github.com/Satheesh575555/external_tcpdump_AOSP10_r33_CVE-2019-15166 CVE-2019-15166 0 0 1 0 3929362883519696337 +github:237996900 2021-12-19 2024-08-12 f https://github.com/talbeerysec/CurveBallDetection Resources related to CurveBall (CVE-2020-0601) detection CVE-2020-0601 3 1 1 1 7179371924451300629 +github:1105368645 2025-11-27 2025-11-27 f https://github.com/justjoeyking/CVE-2025-32463 Chroot Privilege Escalation CVE-2025-32463 0 0 0 0 5816894372152375395 +github:429682292 2021-11-22 2023-01-10 f https://github.com/kombat1/CVE-2021-43617 CVE-2021-43617 bypass CRF CVE-2021-43617 2 0 1 0 773423711808617170 +github:437574258 2021-12-13 2021-12-13 f https://github.com/fireflyingup/log4j-poc CVE-2021-44228 test demo CVE-2021-44228 0 0 1 0 4875849763032429978 +github:848016259 2024-08-28 2025-03-18 f https://github.com/leo-mitch/CVE-2024-25641-RCE-Automated-Exploit-Cacti-1.2.26 CVE-2024-25641 - RCE Automated Exploit - Cacti 1.2.26 CVE-2024-25641 1 10 1 10 8589760208979428801 +github:1301295412 2026-07-16 2026-07-16 f https://github.com/dfs333/trivysupplychainanalysis Formally verified, quantitative reconstruction of the Trivy/TeamPCP GitHub Actions supply-chain attack (CVE-2026-33634): a TLA+/TLC incident model, PRISM probabilistic analysis, and a 189-workflow corpus study. CVE-2026-33634 0 0 0 0 3357606884923748519 +github:68352219 2016-09-16 2016-09-16 f https://github.com/KosukeShimofuji/CVE-2016-6662 research CVE-2016-6662 CVE-2016-6662 0 0 1 0 1278726656801131565 +github:292535943 2020-09-07 2021-10-29 f https://github.com/0xkami/cve-2020-24616-poc cve-2020-24616 poc CVE-2020-24616 4 3 2 3 8865590833737767825 +github:197643691 2019-07-18 2025-01-08 f https://github.com/bitnesswise/jquery-prototype-pollution-fix A fix for CVE-2019-11358 (prototype pollution in jquery) CVE-2019-11358 3 6 0 6 6983450797600624552 +github:964194980 2025-04-11 2026-06-03 f https://github.com/Mattb709/CVE-2019-15107-Scanner CVE-2019-15107-Scanner is a Python-based scanner that detects vulnerable Webmin (1.890 - 1.920) servers affected by CVE-2019-15107, an unauthenticated remote code execution (RCE) vulnerability in the /password_change.cgi endpoint. CVE-2019-15107 0 3 1 3 6744347036388856422 +github:1288613223 2026-07-03 2026-07-03 f https://github.com/K3ysTr0K3R/CVE-2024-1561 CVE-2024-1561 - Gradio Arbitrary File Read CVE-2024-1561 0 0 0 0 1129831360944428982 +github:1155189530 2026-02-27 2026-03-26 f https://github.com/Ahmedf000/CVE-2025-49132_HTB_SEASON10 CVE-2025-49132 0 0 0 0 1494868417340077818 +github:677969095 2023-08-13 2023-08-13 f https://github.com/cowsecurity/CVE-2023-27163 CVE-2023-27163 Request-Baskets v1.2.1 - Server-side request forgery (SSRF) CVE-2023-27163 0 0 1 0 949830141262420005 +github:816184138 2024-06-17 2024-06-18 f https://github.com/ggfzx/CVE-2024-36104 CVE-2024-36104 0 2 1 2 9159503534128984068 +github:970084153 2025-04-23 2025-09-24 f https://github.com/pouriam23/Next.js-Middleware-Bypass-CVE-2025-29927- CVE-2025-29927 0 2 1 2 8975268241822370660 +github:1299092844 2026-07-13 2026-07-13 f https://github.com/0xmrma/CVE-2026-34048 Admin-only terminal bootstrap routes checked only for login state, which let a normal team member drive Coolify's realtime terminal backend and execute commands on team servers. CVE-2026-34048 0 0 0 0 1920727769090219062 +github:401719121 2021-08-31 2021-09-07 f https://github.com/j4k0m/CVE-2016-10033 Remote Code Execution vulnerability in PHPMailer. CVE-2016-10033 0 1 1 1 6811671817444712738 +github:826336009 2024-07-09 2024-10-07 f https://github.com/mrmtwoj/CVE-2024-6387 regreSSHion is a security tool designed to test for vulnerabilities related to CVE-2024-6387, specifically focusing on SSH and remote access exploitation. CVE-2024-6387 1 0 1 0 8259303760828594112 +github:144062105 2018-08-08 2026-07-29 f https://github.com/nmulasmajic/syscall_exploit_CVE-2018-8897 Implements the POP/MOV SS (CVE-2018-8897) vulnerability by leveraging SYSCALL to perform a local privilege escalation (LPE). CVE-2018-8897 21 118 3 118 1338523418906973228 +github:269405150 2020-06-05 2025-03-29 f https://github.com/cybervaca/CVE-2019-16113 CVE-2019-16113 - bludit >= 3.9.2 RCE authenticate CVE-2019-16113 5 13 1 13 5806627798220664517 +github:933190067 2025-02-16 2025-02-16 f https://github.com/hopsypopsy8/CVE-2020-1938-Exploitation CVE-2020-1938 0 0 1 0 6192853583807288484 +github:1239368274 2026-05-15 2026-05-15 f https://github.com/ShadowByte1/CVE-2026-42154 # CVE-2026-42154 — Prometheus Remote Read Snappy DoS CVE-2026-42154 0 0 0 0 2535723016887809573 +github:335844306 2021-02-09 2023-04-20 f https://github.com/forse01/CVE-2019-17638-Jetty CVE-2019-17638 1 1 1 1 144606953990811305 +github:515132707 2022-07-18 2023-10-22 f https://github.com/davwwwx/CVE-2022-23614 PoC for CVE-2022-23614 (Twig sort filter code execution/sandbox bypass) CVE-2022-23614 2 4 1 4 8565113030428081826 +github:1077138105 2025-10-15 2025-11-05 f https://github.com/aecelen/ktor-xxe-poc PoC for CVE-2023-45612 CVE-2023-45612 0 1 0 1 346245043893810094 +github:253569462 2021-04-13 2021-04-13 f https://github.com/codingchili/CVE-2020-14368 Interactive RCE exploit demo for Eclipse CHE CVE-2020-14368 0 1 1 1 1539867254527281408 +github:437674999 2021-12-12 2022-11-09 f https://github.com/dotPY-hax/log4py pythonic pure python RCE exploit for CVE-2021-44228 log4shell CVE-2021-44228 3 2 1 2 950943598593252670 +github:440216413 2024-09-03 2026-01-29 f https://github.com/julian911015/Log4j-Scanner-Exploit Script en bash que permite identificar la vulnerabilidad Log4j CVE-2021-44228 de forma remota. CVE-2021-44228 0 2 1 2 4429374830616969223 +github:1243540027 2026-05-19 2026-05-19 f https://github.com/Maxime288/CVE-2026-8838-RCE CVE-2026-8838 0 0 0 0 7312303295789156164 +github:1041918532 2025-08-22 2025-08-22 f https://github.com/my0113/shiro-cve-2022-32532 CVE-2022-32532 0 0 0 0 7722755463127021359 +github:427815832 2021-11-16 2021-11-16 f https://github.com/kubota/POC-CVE-2021-41773 CVE-2021-41773 0 1 1 1 8338040931484529651 +github:843863510 2024-08-17 2024-08-21 f https://github.com/sanan2004/CVE-2024-32002 POC CVE-2024-32002 0 0 1 0 2090603685744951100 +github:1157347362 2026-02-13 2026-02-19 f https://github.com/nmmorette/CVE-2024-34102 CVE-2024-34102 exploit for python3 CVE-2024-34102 0 1 0 1 3273120708916351854 +github:1111759757 2025-12-07 2026-03-08 f https://github.com/M4xSec/CVE-2025-55182-React2Shell-RCE-Shell CVE-2025-55182 – React2Shell: Proof-of-Concept Remote Code Execution (RCE) exploit for Next.js apps. Features an interactive shell prompt to test and demonstrate the vulnerability in real time. Use for security research and authorized penetration-testing only. CVE-2025-55182 1 8 1 8 6061746882376673524 +github:348065462 2022-01-13 2026-07-13 f https://github.com/worawit/CVE-2021-3156 Sudo Baron Samedit Exploit CVE-2021-3156 175 801 10 801 2734077812136273574 +github:333189009 2021-01-26 2023-08-11 f https://github.com/dpredrag/CVE-2020-8840 CVE-2020-8840 0 1 1 1 5114933404751355884 +github:969390496 2025-04-30 2025-04-30 f https://github.com/0xBenCantCode/CVE-2025-43929 High severity vulnerability in KiTTY allowing for local executables to be ran without user confirmation under certain circumstances. CVE-2025-43929 0 0 1 0 3687749122354032673 +github:542635261 2022-09-28 2022-09-29 f https://github.com/whitej3rry/CVE-2022-40490 Tiny File Manager v2.4.7 and below are vulnerable to Cross Site Scripting CVE-2022-40490 1 1 1 1 4925536864185837665 +github:1133908144 2026-01-14 2026-01-14 f https://github.com/encikayelwhitehat-glitch/CVE-2024-3094 CVE-2024-3094 0 0 0 0 4797968387541535769 +github:241072507 2020-02-17 2020-02-17 f https://github.com/Exploit-3389/CVE-2019-17564 CVE-2019-17564 0 0 1 0 42154422103258522 +github:499937180 2022-06-04 2025-12-25 f https://github.com/abbarhissarh/CVE-2020-29607 A file upload restriction bypass vulnerability in Pluck CMS before 4.7.13 allows an admin privileged user to gain access in the host through the "manage files" functionality, which may result in remote code execution. CVE-2020-29607 2 6 1 6 7642917537339679035 +github:1111918962 2025-12-08 2026-06-05 f https://github.com/xcanwin/CVE-2025-55182-React-RCE [漏洞复现] 全球首款基于RSC特性能绕过WAF检测的CVE-2025-55182 React Server RCE 漏洞 EXP。 CVE-2025-55182 0 15 0 15 4396025918316846542 +github:1313001729 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-67182-HTTP-Request-Smuggling-Enables-Front-End-Access-Control-Bypass-rouille- Security Advisory: HTTP Request Smuggling Enables Front-End Access Control Bypass (rouille) CVE-2026-67182 0 0 0 0 3082101624419940682 +github:973654610 2025-04-27 2025-04-27 f https://github.com/portfolio10/nginx cve-2017-7529 CVE-2017-7529 0 0 1 0 214057236525655990 +github:495308692 2022-05-23 2022-05-23 f https://github.com/Snorlyd/https-nj.gov---CVE-2019-8331 Vulnearability Report of the New Jersey official site CVE-2019-8331 0 0 1 0 4126742979447428668 +github:1298034925 2026-07-12 2026-07-12 f https://github.com/luongchivi/Preproduce-CVE-2019-0232 CVE-2019-0232 0 0 0 0 3937302007620667391 +github:853174873 2024-09-06 2025-02-19 f https://github.com/EQSTLab/CVE-2024-25291 deskfiler 1.2.3 Open Redirect exploit CVE-2024-25291 0 0 1 0 5327492411346089769 +github:888675608 2024-11-14 2025-12-31 f https://github.com/fin3ss3g0d/CVE-2024-5764 CVE-2024-5764 exploitation script CVE-2024-5764 3 1 1 1 6417013604880770664 +github:972743993 2026-06-07 2026-06-07 f https://github.com/0x7556/CVE-2025-32433 CVE-2025-32433 Erlang/OTP SSH RCE Exploit SSH远程代码执行漏洞EXP CVE-2025-32433 0 3 1 3 3939527701285953966 +github:1012081918 2025-07-05 2025-07-05 f https://github.com/morgenm/dirtypipe DirtyPipe (CVE-2022-0847) exploit written in Rust CVE-2022-0847 1 0 0 0 3754003470561076777 +github:1089568245 2025-11-04 2025-11-04 f https://github.com/seraphimi/ktor-xxe CVE-2023-45612 POC and vulnerable project. CVE-2023-45612 0 0 0 0 3607661541490730590 +github:594614443 2023-01-29 2023-01-29 f https://github.com/SeasonLeague/CVE-2017-5487 This is a vulnerability in the Linux kernel that was discovered and disclosed in 2017. CVE-2017-5487 0 0 1 0 4851427647889821745 +github:972836911 2025-06-02 2025-06-02 f https://github.com/gunzf0x/CVE-2023-1545 Python Proof of Concept for CVE-2023-1545 (SQL Injection for Teampass versions prior to 3.0.0.23). CVE-2023-1545 0 0 1 0 2007682427351272069 +github:848360316 2024-10-03 2024-11-01 f https://github.com/thefizzyfish/CVE-2023-41425-wonderCMS_RCE CVE-2023-41425 - Cross Site Scripting vulnerability in Wonder CMS v.3.2.0 thru v.3.4.2 allows a remote attacker to execute arbitrary code via a crafted script uploaded to the installModule component. CVE-2023-41425 0 2 1 2 6014213030833067926 +github:1270817997 2026-06-28 2026-06-28 f https://github.com/Saku0512/CVE-2026-54686-poc CVE-2026-54686 0 0 0 0 238704543630119715 +github:368546138 2021-05-18 2021-09-12 f https://github.com/CYS4srl/CVE-2021-26814 PoC of CVE-2021-26814 CVE-2021-26814 0 2 1 2 867145020321555928 +github:723359492 2023-12-01 2026-07-18 f https://github.com/mbadanoiu/CVE-2023-34468 CVE-2023-34468: Remote Code Execution via DB Components in Apache NiFi CVE-2023-34468 1 8 1 8 2883689173622310754 +github:355023650 2021-04-06 2021-04-06 f https://github.com/fengzhouc/CVE-2021-21300 CVE-2021-21300 0 0 1 0 6734266412207827963 +github:616701865 2023-03-21 2025-09-22 f https://github.com/0x0Jackal/CVE-2022-46169 Repo for CVE-2022-46169 CVE-2022-46169 1 1 1 1 2672484025367120899 +github:1214246582 2026-04-18 2026-04-18 f https://github.com/jithinodattu/CVE-2023-24329-lab CVE-2023-24329 0 0 0 0 3874270375128011426 +github:901723317 2025-09-17 2025-09-17 f https://github.com/TranKuBao/CVE-2023-3460_FIX Cái này dựng lên với mục đích cho ae tham khảo, chê thì đừng có xem. :)))) CVE-2023-3460 0 0 1 0 2696084428931400549 +github:884497011 2024-11-08 2026-01-10 f https://github.com/Nyamort/CVE-2024-50340 CVE-2024-50340 0 12 1 12 3315692736073717861 +github:578122944 2022-12-14 2022-12-14 f https://github.com/Satheesh575555/external_zlib-1.2.7_CVE-2018-25032 CVE-2018-25032 0 0 1 0 8953632119132093164 +github:164232365 2019-01-13 2019-01-13 f https://github.com/Villaquiranm/5MMISSI-CVE-2017-1000499 CVE-2017-1000499 0 0 0 0 4161628582526991888 +github:1191785046 2026-03-25 2026-03-25 f https://github.com/qoo7972365/CVE-2022-36883-Poc CVE-2022-36883 0 0 0 0 2375675277326920941 +github:608257297 2023-03-01 2023-03-01 f https://github.com/smash8tap/CVE-2023-22490_PoC CVE-2023-22490 0 0 1 0 4273532332297618739 +github:1153650233 2026-02-20 2026-06-23 f https://github.com/symphony2colour/HTB-Pterodactyl-RCE-CVE-2025-49132 This repo contains RCE exploit for Pterodactyl htb machine CVE-2025-49132 0 1 0 1 1662661738231000819 +github:1260773270 2026-06-05 2026-06-05 f https://github.com/yurahshell/CVE-2025-55182 CVE-2025-55182 0 0 0 0 3569386788308806136 +github:477818601 2022-04-07 2026-05-13 f https://github.com/yywing/cve-2022-0778 CVE-2022-0778 5 9 1 9 3685847668884376512 +github:782827523 2024-04-07 2024-04-06 f https://github.com/Juul/xz-backdoor-scan Scan for files containing the signature from the `xz` backdoor (CVE-2024-3094) CVE-2024-3094 0 0 1 0 6870144625441499819 +github:1239800566 2026-05-15 2026-05-15 f https://github.com/byezero/nginx-cve-2026-42945-check CVE-2026-42945 0 0 0 0 6654911760005684066 +github:639593327 2024-04-10 2024-02-10 f https://github.com/mutur4/CVE-2021-3156 Baron SameEdit Heap Overflow LPE 1-Day Exploit CVE-2021-3156 1 0 1 0 5321398842702177406 +github:700404689 2023-10-08 2026-06-10 f https://github.com/RickdeJager/CVE-2023-4911 CVE-2023-4911 proof of concept CVE-2023-4911 27 167 2 167 6918838344861982736 +github:1202947147 2026-04-06 2026-04-06 f https://github.com/micrictor/parquet-avro-rce PoC: CVE-2025-30065 incomplete fix bypass in Apache Parquet Java 1.15.1 CVE-2025-30065 0 0 0 0 7919146386823026138 +github:359983710 2021-04-24 2021-04-29 f https://github.com/Mesh3l911/CVE-2021-31760 Exploiting a Cross-site request forgery (CSRF) attack to get a Remote Command Execution (RCE) through the Webmin's running process feature CVE-2021-31760 2 2 1 2 308730940226619926 +github:864823983 2024-10-07 2025-04-15 f https://github.com/lkarlslund/jugular Ultrafast CUPS-browsed scanner (CVE-2024-47176) CVE-2024-47176 0 7 1 7 388501057212574831 +github:1196153552 2026-03-30 2026-03-30 f https://github.com/amikanev/CVE-2025-55182-LAB CVE-2025-55182 0 0 0 0 8464887568536811158 +github:475948668 2022-04-15 2026-07-03 f https://github.com/darryk10/CVE-2022-22963 CVE-2022-22963 16 34 2 34 8952321994978737636 +github:852927724 2024-09-05 2025-09-12 f https://github.com/putget/CVE-2024-38526 CVE-2024-38526 - Polyfill Scanner CVE-2024-38526 0 0 1 0 3950298714187587159 +github:153427159 2018-10-23 2025-10-28 f https://github.com/SoledaD208/CVE-2018-10933 CVE-2018-10933 very simple POC CVE-2018-10933 40 126 10 126 5445199518166300226 +github:1179600083 2026-03-15 2026-03-15 f https://github.com/ControlO8/CVE-2024-32002 CVE-2024-32002 Private for Capstone Project CC10 CVE-2024-32002 0 0 0 0 559684889445377786 +github:350761950 2021-04-01 2024-08-12 f https://github.com/yumusb/CVE-2021-26295 CVE-2021-26295 11 23 1 23 3802217634406521656 +github:417233035 2022-02-09 2023-10-18 f https://github.com/twseptian/cve-2021-42013-docker-lab Docker container lab to play/learn with CVE-2021-42013 CVE-2021-42013 6 2 1 2 8578843821585801378 +github:1109574412 2025-12-04 2025-12-04 f https://github.com/Pa2sw0rd/exploit-CVE-2025-55182-poc This POC demonstrates CVE-2025-55182 using actual `react-server-dom-webpack@19.0.0` vulnerable code. CVE-2025-55182 0 1 0 1 9207539461581520091 +github:519281774 2022-07-30 2022-07-29 f https://github.com/Skipper7718/CVE-2022-21449-showcase CVE-2022-21449 0 0 1 0 6330362647201162289 +github:652624585 2023-06-12 2026-05-26 f https://github.com/hxlxmj/CVE-2022-3590-WordPress-Vulnerability-Scanner This repository contains a Python script that checks WordPress websites for the CVE-2022-3590 vulnerability, which exploits an unauthenticated blind Server-Side Request Forgery (SSRF) in the WordPress pingback feature. CVE-2022-3590 4 6 1 6 7627174684051475817 +github:1177314268 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-v3 CVE-2024-34064 demo - v3 subtle vuln no misleading comment CVE-2024-34064 0 0 0 0 2934952091430950153 +github:1103406296 2025-12-25 2025-12-25 f https://github.com/baktistr/cve-2025-62726-poc This is a proof-of-concept demonstration for CVE-2025-62726, created for educational purposes as part of a class project. Part of CMU Course : 18-739 Hacking & Offensive Security in Fall 2025 CVE-2025-62726 1 0 0 0 3812382523931939759 +github:333700525 2021-01-28 2026-01-09 f https://github.com/baka9moe/CVE-2021-3156-Exp CVE-2021-3156 4 4 1 4 1451222978120045879 +github:477654438 2022-04-04 2022-04-06 f https://github.com/daniel0x00/Invoke-CVE-2022-22965-SafeCheck PowerShell port of CVE-2022-22965 vulnerability check by colincowie. CVE-2022-22965 0 1 1 1 8255512274541360455 +github:953698239 2025-03-23 2026-07-19 f https://github.com/zhuowei/CVE-2025-27363-proof-of-concept CVE-2025-27363 6 40 1 40 3280322277903235067 +github:954690188 2025-03-26 2025-03-26 f https://github.com/0xPThree/next.js_cve-2025-29927 CVE-2025-29927 0 0 1 0 2136530549841042730 +github:584911134 2023-04-10 2023-10-30 f https://github.com/not1cyyy/CVE-2018-16763 CVE-2018-16763 FuelCMS 1.4 Remote Code Execution, this version of FuelCMS is still vulnerable until now CVE-2018-16763 0 2 1 2 188698524621553297 +github:440457055 2021-12-23 2021-12-21 f https://github.com/CERT-hr/Log4Shell This repo contains IoCs which are associated with exploitation of CVE-2021-4428. CVE-2021-4428 0 0 1 0 8524917000397771714 +github:617997824 2023-03-23 2026-06-01 f https://github.com/Mr-xn/CVE-2023-28432 CVE-2023-28434 nuclei templates CVE-2023-28432 8 34 1 34 86628916323011364 +github:716411287 2024-06-30 2026-05-26 f https://github.com/LucasPDiniz/CVE-2023-38408 Takeover Account OpenSSH CVE-2023-38408 6 45 2 45 4500728755192511057 +github:417869261 2021-10-17 2024-03-02 f https://github.com/lopqto/CVE-2021-41773_Honeypot Simple honeypot for CVE-2021-41773 vulnerability CVE-2021-41773 1 2 1 2 1500029718855764302 +github:625969417 2023-04-11 2023-05-31 f https://github.com/SourM1lk/CVE-2022-22963-Exploit Rust-based exploit for the CVE-2022-22963 vulnerability CVE-2022-22963 0 1 1 1 9168201970849154836 +github:1111604507 2025-12-07 2025-12-07 f https://github.com/shakilkhatri/scanner-for-CVE-2025-55182-vulnerability CVE-2025-55182 Detector. Find which of your GitHub repositories are exposed to the critical React/Next.js RCE vulnerability and generate a clean Markdown report. CVE-2025-55182 0 0 0 0 8569188572655668478 +github:1157158893 2026-02-13 2026-03-20 f https://github.com/BLUEBERRYP1LL/CVE-2024-48990 needrestart < 3.8 Local Privilege Escalation via PYTHONPATH injection CVE-2024-48990 0 1 0 1 3404276492148232218 +github:643437445 2023-05-21 2023-05-21 f https://github.com/antisecc/CVE-2022-46169 CVE-2022-46169 1 0 1 0 522078299870598548 +github:1111772822 2025-12-07 2026-06-28 f https://github.com/ToritoIO/Torito-R2S Torito React2Shell Scanner & Exploit Tool (CVE-2025-55182 / 66478) CVE-2025-55182 1 4 0 4 3033252689134041980 +github:53915696 2016-03-16 2023-01-10 f https://github.com/bittorrent3389/cve-2016-0728 a exploit for cve-2016-0728 CVE-2016-0728 5 7 1 7 6818547340779877041 +github:263382958 2020-05-12 2020-05-12 f https://github.com/I-Runtime-Error/CVE-2020-1938 This is about CVE-2020-1938 CVE-2020-1938 0 0 1 0 537222880414387729 +github:1208064716 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-69216 CVE-2025-69216 - OpenSTAManager has a SQL Injection in Scadenzario Print Template CVE-2025-69216 0 0 0 0 739912398155233847 +github:232203626 2020-01-10 2020-01-10 f https://github.com/mbrasile/CVE-2017-9841 CVE-2017-9841 detector script CVE-2017-9841 0 0 1 0 7717603158232673955 +github:537739277 2023-03-27 2025-12-02 f https://github.com/W1ngLess/CVE-2021-39172-RCE Cachet 2.4 Code Execution via Laravel Configuration Injection CVE-2021-39172 CVE-2021-39172 0 4 1 4 4912868403139765638 +github:758630242 2024-12-20 2024-12-20 f https://github.com/wxrdnx/CVE-2023-38408 CVE-2023-38408 0 0 1 0 1607663128192199892 +github:1023982853 2026-04-03 2026-04-03 f https://github.com/adhammedhat111/Magento-CVE-2019-7139-SQLi-PoC Proof-of-Concept (PoC) exploit for CVE-2019-7139, an unauthenticated SQL injection vulnerability in Magento (PRODSECBUG-2198). For educational and security research purposes only. Use with explicit permission from system owners. Includes documentation and mitigations. CVE-2019-7139 2 7 0 7 1845618278197024849 +github:1247167031 2026-05-23 2026-05-23 f https://github.com/HORKimhab/CVE-2026-41901 CVE-2026-41901 CVE-2026-41901 0 0 0 0 5855470441816230791 +github:1282029316 2026-06-27 2026-06-27 f https://github.com/Hunt-Benito/traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalization CVE-2026-48020 0 0 0 0 8574449433440437950 +github:463454154 2022-02-25 2022-11-09 f https://github.com/MoritzHuppert/CVE-2022-25020 CVE-2022-25020 1 0 1 0 7764326361735757425 +github:439635017 2021-12-18 2021-12-20 f https://github.com/pravin-pp/log4j2-CVE-2021-45105 CVE-2021-45105 0 0 1 0 7335601224873263115 +github:512699304 2023-02-01 2023-01-09 f https://github.com/CDACesec/CVE-2022-31901 CVE-2022-31901 0 0 3 0 2605227313833623553 +github:624236850 2023-04-06 2026-04-09 f https://github.com/P4x1s/CVE-2023-22809-sudo-POC CVE-2023-22809 Linux Sudo CVE-2023-22809 2 6 1 6 3160883015069913696 +github:1039058773 2025-11-24 2025-08-16 f https://github.com/shoucheng3/xwiki__xwiki-rendering_CVE-2023-32070_14-5 CVE-2023-32070 0 0 0 0 966944253461530757 +github:804616476 2024-05-22 2024-08-27 f https://github.com/YukaFake/CVE-2024-32002 This is the main repository for CVE 2024-32002, and requires recursive cloning because it contains the submodels necessary for execution. CVE-2024-32002 1 0 1 0 9078044680397708116 +github:203029257 2019-08-18 2019-08-18 f https://github.com/Flyy-yu/CVE-2017-16088 Exploit CVE-2017-16088 CVE-2017-16088 0 0 0 0 3719520187735308428 +github:720328032 2023-11-18 2023-11-18 f https://github.com/vert16x/CVE-2023-32571-POC CVE-2023-32571 0 0 0 0 2085910367824127970 +github:892744239 2024-11-22 2024-11-22 f https://github.com/felmoltor/CVE-2024-48990 Qualys needsrestart vulnerability CVE-2024-48990 CVE-2024-48990 0 0 1 0 3372183697099229817 +github:1143220440 2026-01-27 2026-07-27 f https://github.com/AsadAhmad-1337/React-2-Shell This is a security exploit tool targeting CVE-2025-55182. It exploits a Remote Code Execution (RCE) vulnerability in React Server Components CVE-2025-55182 0 5 0 5 3973923507573468337 +github:1099674043 2025-11-19 2025-11-19 f https://github.com/ccordeiro/CVE-2021-22205 CVE-2021-22205& GitLab CE/EE RCE CVE-2021-22205 0 0 0 0 4258571239209914673 +github:724369843 2023-11-28 2025-06-06 f https://github.com/louiselalanne/CVE-2023-49313 A dylib injection vulnerability in XMachOViewer 0.04 allows attackers to compromise integrity. By exploiting this, unauthorized code can be injected into the product's processes, potentially leading to remote control and unauthorized access to sensitive user data. CVE-2023-49313 0 4 1 4 8244231734961672951 +github:465286921 2022-03-03 2026-05-13 f https://github.com/lucksec/Spring-Cloud-Gateway-CVE-2022-22947 CVE-2022-22947 CVE-2022-22947 57 223 1 223 7516692248193367002 +github:1135950681 2026-01-16 2026-03-09 f https://github.com/fevra-dev/ClaimJumper Professional JWT security testing toolkit. Analyze, crack, forge, and exploit JSON Web Tokens with 15+ vulnerability checks, 100k secret wordlist, and CVE-specific attacks (CVE-2022-21449, CVE-2018-0114). CVE-2018-0114 0 1 0 1 3876975995840348645 +github:1029806375 2025-07-31 2025-07-31 f https://github.com/Whit3-d3viL-hacker/CVE-2025-52289 f CVE-2025-52289 0 0 0 0 8980408577593400925 +github:1034345877 2025-08-08 2025-08-08 f https://github.com/skysliently/CVE-2022-22947-pb-ai 一个由AI生成的漏洞验证应用 CVE-2022-22947 0 0 0 0 3597706078000025744 +github:694642627 2023-09-21 2024-02-21 f https://github.com/malvika-thakur/CVE-2023-25136 OpenSSH Pre-Auth Double Free CVE-2023-25136 – Writeup and Proof-of-Concept CVE-2023-25136 0 3 1 3 768376478674373395 +github:1111723749 2025-12-07 2025-12-07 f https://github.com/andressuarezmonk/CVE-2025-55182 CVE-2025-55182 0 0 0 0 4105263369272471298 +github:1179829618 2026-03-12 2026-05-21 f https://github.com/4nuxd/CVE-2023-43208 A PoC exploit for CVE-2023-43208 - Mirth Connect Remote Code Execution (RCE) CVE-2023-43208 1 0 0 0 8275735486595917030 +github:469743112 2022-03-15 2022-03-17 f https://github.com/CYB3RK1D/CVE-2022-0847-POC dirtypipe CVE-2022-0847 2 2 1 2 8329281318364906341 +github:987907541 2025-05-21 2025-09-03 f https://github.com/dodiorne/cve-2022-31813 tester for cve-2022-31813 CVE-2022-31813 1 1 1 1 3515434778735871820 +github:1189052560 2026-03-22 2026-03-22 f https://github.com/Shoxake17/CVE-2021-43798 By PrivacyHunter CVE-2021-43798 0 0 0 0 5616682514548071149 +github:515706046 2022-09-07 2026-02-20 f https://github.com/HuskyHacks/cve-2022-33891 Apache Spark Shell Command Injection Vulnerability CVE-2022-33891 17 89 3 89 8916740860295632972 +github:795453931 2024-05-03 2024-05-03 f https://github.com/saurabh2088/expat_2_1_1_CVE-2024-28757 CVE-2024-28757 0 0 1 0 1412476744156779819 +github:811466494 2024-06-06 2024-06-06 f https://github.com/blackh00d/zerologon-poc A script to exploit CVE-2020-1472 (Zerologon) CVE-2020-1472 0 0 1 0 1425848719700398875 +github:1025405168 2025-07-24 2025-07-24 f https://github.com/Fineken/Jenkins-CVE-2024-23897-Lab CVE-2024-23897 0 2 0 2 6672327330460751944 +github:1110665842 2025-12-05 2025-12-05 f https://github.com/prestonhashworth/cve-2025-55182 CVE-2025-55182 0 0 0 0 2819517831033003968 +github:494256387 2023-12-21 2023-07-01 f https://github.com/cxzero/CVE-2022-22965-spring4shell CVE-2022-22965 Spring4Shell research & PoC CVE-2022-22965 1 1 1 1 7563868722293736302 +github:1202949683 2026-04-06 2026-04-07 f https://github.com/dawnsmithcyber/azure-vulnerability-remediation-project End-to-end vulnerability management lifecycle on Azure Windows Server 2025. Features OS patching and network-level compensating controls (NSG) to mitigate CVE-2025-14847. CVE-2025-14847 0 1 0 1 5431687420904673137 +github:1281323735 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-34207 The SSRF filter checked hostname text, but the actual destination was decided later by DNS. That gap let attacker-controlled Webhook URLs reach loopback, metadata, and private network targets. CVE-2026-34207 0 0 0 0 4240851250236647966 +github:261289637 2020-05-04 2025-01-27 f https://github.com/kevthehermit/CVE-2020-11651 PoC for CVE-2020-11651 CVE-2020-11651 3 6 0 6 3715950694090813057 +github:865507408 2024-11-26 2025-09-19 f https://github.com/verylazytech/CVE-2024-23897 POC - Jenkins File Read Vulnerability - CVE-2024-23897 CVE-2024-23897 7 10 1 10 6521152856715149333 +github:323076010 2020-12-20 2020-12-20 f https://github.com/BadAssAiras/hello https://github.com/awakened1712/CVE-2019-11932://github.com/awakened1712/CVE-2019-11932 CVE-2019-11932 0 0 1 0 9088091708019495037 +github:701947383 2023-10-08 2023-10-08 f https://github.com/xiaoQ1z/CVE-2023-4911 CVE-2023-4911 4 1 1 1 8370265617561846130 +github:1109477572 2025-12-05 2026-07-08 f https://github.com/sickwell/CVE-2025-55182 CVE-2025-55182 - React Server Components RCE Exploit & Scanner Supports external servers and CLI interface CVE-2025-55182 6 13 0 13 4757462660310753774 +github:1209853558 2026-04-13 2026-04-20 f https://github.com/vanhari/CVE-2025-59528 CVE-2025-59528 Proof of Concept CVE-2025-59528 0 1 0 1 4432610931004499789 +github:1284969617 2026-06-30 2026-06-30 f https://github.com/Kuri119/CVE-2022-22965-Spring4Shell CVE-2022-22965 0 0 0 0 3113728931958797979 +github:477858835 2022-04-04 2023-03-04 f https://github.com/netcode/Spring4shell-CVE-2022-22965-POC Another spring4shell (Spring core RCE) POC CVE-2022-22965 3 3 1 3 8500707994883428391 +github:1288827812 2026-07-04 2026-07-04 f https://github.com/bayu06802/CVE-2026-48907 Python & template nuclei CVE-2026-48907 0 0 0 0 7239901748102932100 +github:749052396 2024-01-27 2025-04-22 f https://github.com/P4x1s/CVE-2024-23897 CVE-2024-23897 jenkins-cli CVE-2024-23897 2 15 1 15 880029808792149779 +github:1262801605 2026-06-08 2026-06-08 f https://github.com/willygailo/WG-CVE-2026-1555-Linux CVE-2026-1555 0 0 0 0 8336602300211267887 +github:129605925 2018-04-15 2025-01-29 f https://github.com/sl4cky/CVE-2018-7600 Testing and exploitation tool for Drupalgeddon 2 (CVE-2018-7600) CVE-2018-7600 6 4 1 4 1586846013628061318 +github:1258886645 2026-06-04 2026-06-08 f https://github.com/simota/nginx-rift-scanner Detect-only scanner for CVE-2026-42945 (NGINX Rift), a heap overflow in ngx_http_rewrite_module. Version detection + nginx.conf pattern analysis. Python 3 stdlib-only, no network calls. CVE-2026-42945 0 1 0 1 2048198710840274322 +github:1243544869 2026-05-19 2026-05-19 f https://github.com/RedCrazyGhost/CVE-2026-42945 CVE-2026-42945 0 1 0 1 9173020023683079993 +github:438203240 2022-12-27 2026-06-20 f https://github.com/fox-it/log4j-finder Find vulnerable Log4j2 versions on disk and also inside Java Archive Files (Log4Shell CVE-2021-44228, CVE-2021-45046, CVE-2021-45105) CVE-2021-44228 96 439 18 439 5114414100838853849 +github:979694324 2025-12-22 2025-12-22 f https://github.com/moften/CVE-2022-41741-742-Nginx-Vulnerability-Scanner CVE-2022-41741/742 Nginx Vulnerability Scanner CVE-2022-41741 0 1 1 1 5324443543243341218 +github:1240545513 2026-05-16 2026-05-16 f https://github.com/digi4care/shai-scan Zero-dependency CLI scanner for npm/PyPI supply chain compromises. Detects compromised packages in lockfiles and system-level IOCs from attacks like Mini Shai-Hulud (CVE-2026-45321). CVE-2026-45321 0 0 0 0 4573046703488913178 +github:50156146 2018-12-31 2024-07-27 f https://github.com/nardholio/cve-2016-0728 CVE-2016-0728 11 22 2 22 1436035881828080215 +github:1048559571 2025-09-01 2026-06-07 f https://github.com/blueisbeautiful/CVE-2025-57819 FreePBX SQL Injection Exploit CVE-2025-57819 6 6 0 6 8529751199549020494 +github:1254546324 2026-05-30 2026-06-01 f https://github.com/XK3NF4/CVE-2026-48778 Notepad++ RCE via config.xml commandLineInterpreter CVE-2026-48778 0 7 0 7 5177630485326861259 +github:1039463416 2025-08-17 2025-08-17 f https://github.com/shoucheng3/apache__activemq_CVE-2020-11998_5-15-12 CVE-2020-11998 0 0 0 0 8947049192031695563 +github:556017965 2022-11-02 2022-11-02 f https://github.com/aqeisi/CVE-2022-36663-PoC Internal network scanner through Gluu IAM blind ssrf CVE-2022-36663 0 2 1 2 8587488729014255943 +github:963981735 2025-04-10 2026-05-25 f https://github.com/PuddinCat/CVE-2025-3248-POC POC of CVE-2025-3248, RCE of LangFlow CVE-2025-3248 0 2 1 2 3484386670953656415 +github:50619014 2016-01-29 2023-02-16 f https://github.com/neuschaefer/cve-2016-0728-testbed A testbed for CVE-2016-0728, a refcount leak/overflow bug in Linux CVE-2016-0728 1 5 2 5 4043665861883050164 +github:219658737 2020-05-20 2020-05-20 f https://github.com/NatleoJ/CVE-2019-11933 Heap corruption in WhatsApp's media picker CVE-2019-11933 0 0 1 0 3342937944038319067 +github:441188076 2022-01-10 2023-05-13 f https://github.com/lucab85/ansible-role-log4shell Ansible playbook to verify target Linux hosts using the official Red Hat Log4j detector script RHSB-2021-009 for Log4Shell (CVE-2021-44228). CVE-2021-44228 4 4 1 4 859934687897193884 +github:1046445895 2025-09-23 2025-09-23 f https://github.com/butyraldehyde/CVE-2025-48384-PoC-Part2 RCE hook CVE-2025-48384 0 0 0 0 230933703575313534 +github:672876505 2023-10-08 2024-05-16 f https://github.com/Zenmovie/CVE-2023-38646 Proof of Concept for CVE-2023-38646 CVE-2023-38646 1 1 1 1 4986098424911611905 +github:745408511 2024-01-19 2024-01-19 f https://github.com/tamaloa/avo-CVE-2024-22411 CVE-2024-22411 0 0 1 0 1128701825170866995 +github:439496578 2022-03-29 2026-04-05 f https://github.com/DANSI/PowerShell-Log4J-Scanner can find, analyse and patch Log4J files because of CVE-2021-44228, CVE-2021-45046 CVE-2021-44228 0 0 1 0 2989583439947259532 +github:522841282 2022-08-08 2025-07-06 f https://github.com/Wangyanan131/CVE-2022-31061 PoC for GLPI CVE-2022-31061 CVE-2022-31061 2 4 0 4 7052012121907941263 +github:1153639329 2026-02-14 2026-02-14 f https://github.com/ISabbiI/PoC---CVE-2023-26482-RCE-LAB-Nextcloud CVE-2023-26482 0 0 1 0 2890854590799536633 +github:436919597 2021-12-20 2024-08-12 f https://github.com/DragonSurvivalEU/RCE CVE-2021-44228 fix CVE-2021-44228 3 6 1 6 1154171419360348995 +github:1066563581 2025-09-29 2025-09-29 f https://github.com/maestro-ant/Vvveb-CMS-CVE-2025-8518 This repository contains a Proof of Concept (PoC) demonstrating a critical vulnerability in givanz Vvveb 1.0.5. The vulnerability allows an authenticated user with template editing privileges to write arbitrary PHP code to server files, leading to Remote Code Execution (RCE). CVE-2025-8518 0 0 0 0 5752440116783862887 +github:1017757260 2025-07-17 2025-07-11 f https://github.com/cuijiung/xstream-CVE-2020-26217 CVE-2020-26217 0 0 0 0 2397840059817414737 +github:467569839 2022-03-08 2026-06-09 f https://github.com/0xIronGoat/dirty-pipe Implementation of Max Kellermann's exploit for CVE-2022-0847 CVE-2022-0847 11 14 1 14 7600731355944045222 +github:1109332037 2025-12-03 2025-12-03 f https://github.com/justjoeyking/CVE-2024-32019-ndsudo NDSUDO Vulnerability Exploit CVE-2024-32019 0 0 0 0 5570299306245476819 +github:821130227 2024-06-29 2025-12-20 f https://github.com/bigb0x/CVE-2024-34102 POC for CVE-2024-34102. A pre-authentication XML entity injection issue in Magento / Adobe Commerce. CVE-2024-34102 13 31 2 31 2741045559710788209 +github:437586734 2022-02-22 2022-03-15 f https://github.com/tasooshi/horrors-log4shell A micro lab for CVE-2021-44228 (log4j) CVE-2021-44228 1 2 1 2 4118925892063676393 +github:1113208437 2025-12-09 2025-12-09 f https://github.com/Jaycelation/CVE-2025-55182 PoC, Hunting React2Shell about CVE-2025-55182 CVE-2025-55182 0 0 0 0 1817175709469923617 +github:192739498 2019-06-19 2019-06-19 f https://github.com/trickster1103/- OpenSSH 用户名枚举漏洞（CVE-2018-15473） CVE-2018-15473 2 0 0 0 5186821568537351522 +github:170261590 2019-05-09 2026-07-29 f https://github.com/initstring/dirty_sock Linux privilege escalation exploit via snapd (CVE-2019-7304) CVE-2019-7304 146 681 16 681 4245757447736837015 +github:234146234 2020-01-17 2024-08-12 f https://github.com/JPurrier/CVE-2020-0601 CVE-2020-0601 1 0 1 0 1120818050758780951 +github:604407954 2023-02-21 2023-02-21 f https://github.com/DesmondSanctity/CVE-2022-2274 OpenSSL-src Heap Memory Corruption with RSA Private Key Operation : CVE-2022-2274 CVE-2022-2274 0 1 1 1 7268836958601889168 +github:166267328 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2017-1000117 cve-2017-1000117 CVE-2017-1000117 0 0 0 0 6282377589681786061 +github:364464496 2021-05-05 2021-05-05 f https://github.com/ajtech-hue/CVE-2021-3156-Mitigation-ShellScript-Build CVE-2021-3156 0 0 1 0 2490953692757824594 +github:945019928 2025-03-08 2025-04-09 f https://github.com/tpdlshdmlrkfmcla/cve-2017-5487 cve-2017-5487 wp rest api 취약점 CVE-2017-5487 0 0 1 0 2979574687377235465 +github:563424783 2024-08-22 2024-08-22 f https://github.com/srcporter/CVE-2021-44228 DO NOT USE FOR ANYTHING REAL. Simple springboot sample app with vulnerability CVE-2021-44228 aka "Log4Shell" CVE-2021-44228 1 1 1 1 6444184646468892351 +github:1208022681 2026-04-11 2026-04-11 f https://github.com/0xMOGA/CVE-2023-4911-Lab CVE-2023-4911 0 0 0 0 1328979887131176953 +github:263383108 2020-05-12 2020-05-12 f https://github.com/Dilan-Diaz/Point-to-Point-Protocol-Daemon-RCE-Vulnerability-CVE-2020-8597- CVE-2020-8597 0 0 1 0 8223742722698838545 +github:856641353 2024-09-14 2024-09-14 f https://github.com/pingjuiliao/CVE-2023-28753 pwning netconsd CVE-2023-28753 0 0 1 0 3532469706179223277 +github:702259752 2024-07-07 2026-04-09 f https://github.com/m3m0o/metabase-pre-auth-rce-poc This is a script written in Python that allows the exploitation of the Metabase's software security flaw described in CVE-2023-38646. CVE-2023-38646 1 2 1 2 9045192359868864292 +github:105343958 2017-10-20 2017-11-03 f https://github.com/BT123/numpy-1.13.1 test the CVE-2017-12852 in numpy v1.13.1 and v1.13.3 has fixed the bug CVE-2017-12852 0 0 1 0 7043617042940174711 +github:195171033 2019-07-10 2025-05-05 f https://github.com/HACHp1/LuCI_RCE_exp Exp of cve-2019-12272 CVE-2019-12272 6 20 1 20 2818685777642493745 +github:1194410511 2026-03-28 2026-03-28 f https://github.com/Sleuth-in-town/CVE-2022-25927-test CVE-2022-25927 0 0 0 0 4095840762965195388 +github:464349314 2022-02-26 2024-08-12 f https://github.com/nanaao/CVE-2022-24086-RCE CVE-2022-24086 RCE CVE-2022-24086 2 0 0 0 2115320685102864496 +github:775345934 2024-03-21 2025-04-05 f https://github.com/RubyCat1337/CVE-2023-30943 CVE-2023-30943 (Moodle XSS) CVE-2023-30943 2 2 1 2 5403034719990786646 +github:705088605 2023-10-15 2026-03-08 f https://github.com/Pyr0sec/CVE-2023-38646 Exploit script for Pre-Auth RCE in Metabase (CVE-2023-38646) CVE-2023-38646 2 11 1 11 7307329219291589415 +github:1181168509 2026-03-13 2026-03-13 f https://github.com/Criz117/CVE-2023-43208-PoC Proof‑of‑concept Python script demonstrating CVE‑2023‑43208 in Mirth Connect, allowing version checks and command execution on vulnerable instances. CVE-2023-43208 0 1 0 1 6395308818493488957 +github:872579006 2024-10-14 2024-10-28 f https://github.com/whwhwh96/CVE-2024-35584 OpenSIS SQLi Injection CVE-2024-35584 0 1 1 1 7464048229641754824 +github:85145901 2017-03-16 2021-09-30 f https://github.com/opt9/Strutshock Struts2 RCE CVE-2017-5638 non-intrusive check shell script CVE-2017-5638 1 2 1 2 4750573705812756928 +github:896365830 2024-11-30 2024-11-30 f https://github.com/JAckLosingHeart/GHSA-4cx5-89vm-833x-POC GHSA-4cx5-89vm-833x/CVE-2024-52800 CVE-2024-52800 0 0 1 0 3310967998182080656 +github:1019336759 2025-07-14 2025-07-17 f https://github.com/jiseoung/CVE-2025-27415-PoC Nuxt3 Acceptance of Extraneous Untrusted Data With Trusted Data vulnerability CVE-2025-27415 0 2 0 2 546791629805371470 +github:1125055039 2025-12-30 2025-12-30 f https://github.com/Wenura17125/cve-2025-49131-poc CVE-2025-49131 0 0 0 0 3914437196649984692 +github:965348853 2025-04-13 2025-04-13 f https://github.com/ArtemCyberLab/Project-Exploiting-a-Vulnerability-in-Fuel-CMS-CVE-2018-16763- The goal of this project was to conduct a security audit of a blog recently launched by Ackme Support Incorporated, identifying any critical vulnerabilities before the site goes public. The task involved finding a way to remotely execute code and gain access to the target system. CVE-2018-16763 0 0 1 0 3604380667992395471 +github:822824673 2026-07-20 2025-12-03 f https://github.com/wiggels/regresshion-check CLI Tool to Check SSH Servers for Vulnerability to CVE-2024-6387 CVE-2024-6387 2 6 1 6 2257863355993544765 +github:438026042 2021-12-16 2021-12-21 f https://github.com/Occamsec/log4j-checker Bash and PowerShell scripts to scan a local filesystem for Log4j .jar files which could be vulnerable to CVE-2021-44228 aka Log4Shell. CVE-2021-44228 0 4 1 4 6624447854977104688 +github:786174088 2024-04-13 2024-04-13 f https://github.com/fevar54/Detectar-Backdoor-en-liblzma-de-XZ-utils-CVE-2024-3094- La siguiente regla YARA ayuda a detectar la presencia del backdoor en la librería liblzma comprometida en sistemas que utilizan las versiones 5.6.0 y 5.6.1 de la herramienta de compresión XZ. CVE-2024-3094 0 0 1 0 3883694858849466873 +github:757803327 2024-02-15 2024-02-15 f https://github.com/letsr00t/CVE-2022-0847 CVE-2022-0847 0 0 1 0 7817672834964848468 +github:779717708 2024-03-30 2024-03-30 f https://github.com/ashwani95/CVE-2024-3094 CVE-2024-3094 0 0 1 0 8389891339781596086 +github:975550209 2025-05-23 2025-05-13 f https://github.com/justinas/nosurf-cve-2025-46721 CVE-2025-46721 0 0 1 0 2439495700444855842 +github:299974819 2020-10-02 2021-10-29 f https://github.com/reversebrain/CVE-2018-12421 CVE-2018-12421 0 1 1 1 369968707335391205 +github:672729005 2023-07-31 2023-07-31 f https://github.com/Rubikcuv5/CVE-2023-25157 GeoServer OGC Filter SQL Injection Vulnerabilities CVE-2023-25157 1 0 1 0 2361730133326828120 +github:826318568 2024-07-10 2025-03-12 f https://github.com/swsmith2391/CVE-2024-29510 POC code for CVE-2024-29510 and demo VulnApp CVE-2024-29510 1 1 1 1 8305730764248821057 +github:129384553 2018-11-17 2020-04-04 f https://github.com/knqyf263/CVE-2018-7600 CVE-2018-7600 (Drupal) CVE-2018-7600 3 3 0 3 4798467200847569577 +github:435877595 2021-12-07 2026-05-23 f https://github.com/Mr-xn/CVE-2021-43798 CVE-2021-43798:Grafana 任意文件读取漏洞 CVE-2021-43798 6 24 1 24 937939558756890130 +github:467439184 2022-03-08 2025-11-13 f https://github.com/ZZ-SOCMAP/CVE-2022-0847 Linux Kernel Local Privilege Escalation Vulnerability CVE-2022-0847. CVE-2022-0847 21 58 5 58 4923191906061582944 +github:1170240439 2026-03-06 2026-03-06 f https://github.com/androidteacher/CVE-2025-64424-Coolify- CVE-2025-64424 0 1 0 1 6261652598929046479 +github:668565009 2023-07-20 2023-08-22 f https://github.com/lakshit1212/CVE-2021-23017-PoC CVE-2021-23017 1 1 1 1 6797472135020869043 +github:1071352758 2025-10-07 2025-10-07 f https://github.com/gunzf0x/CVE-2021-41773 Remote Code Execution PoC for Apache 2.4.49 CVE-2021-41773 0 0 0 0 4054976420590606576 +github:1039521250 2025-08-17 2025-08-17 f https://github.com/shoucheng3/apache__sling-org-apache-sling-servlets-resolver_CVE-2024-23673_2-10-0 CVE-2024-23673 0 0 0 0 3894878573885660464 +github:1240552897 2026-05-16 2026-05-16 f https://github.com/sibersan/apache_audit_cve-2026-23918 Python toolkit to audit Apache HTTP Server against CVE-2026-23918 (HTTP/2 double-free RCE) and 4 related CVEs. Passive scanner with ALPN verification + read-only local auditor. No exploits. CVE-2026-23918 1 0 0 0 3945339762442883438 +github:1109980602 2025-12-05 2026-07-20 f https://github.com/acheong08/CVE-2025-55182-poc Actual CVE-2025-55182 detection and exploit. No bullshit LLMs. CVE-2025-55182 1 10 0 10 8653568757047660013 +github:1049236790 2025-10-17 2025-10-17 f https://github.com/drackyjr/CVE-2025-9784 CVE-2025-9784 0 2 1 2 8764791782005055473 +github:799195135 2024-06-24 2025-11-03 f https://github.com/Cappricio-Securities/CVE-2023-27524 Apache Superset - Authentication Bypass CVE-2023-27524 0 2 0 2 5582641735063049442 +github:766707015 2024-03-04 2024-03-04 f https://github.com/killerbees19/CVE-2024-24760 mailcow: Docker Container Exposure to Local Network CVE-2024-24760 0 0 1 0 1040491217678506244 +github:1120370958 2025-12-21 2025-12-27 f https://github.com/sobbing333/CVE-2024-48990-POC Simple poc for CVE-2024-48990 privilege escalation vulnerability with needrestart. CVE-2024-48990 0 1 0 1 5998939457255607919 +github:437838249 2021-12-13 2024-10-08 f https://github.com/sinakeshmiri/log4jScan simple python scanner to check if your network is vulnerable to CVE-2021-44228 CVE-2021-44228 1 4 2 4 9184665437130074224 +github:1239609079 2026-05-15 2026-05-15 f https://github.com/tocong282/CVE-2026-44578-PoC CVE-2026-44578 0 0 0 0 8106025115042027757 +github:165318682 2021-04-15 2023-02-21 f https://github.com/cved-sources/cve-2018-15473 cve-2018-15473 CVE-2018-15473 0 1 0 1 5730534206443863971 +github:558712106 2022-10-28 2022-10-28 f https://github.com/an1p3lg5/CVE-2020-26233 CVE-2020-26233 0 0 1 0 2195547117378573551 +github:656168817 2023-06-21 2024-06-06 f https://github.com/jakabakos/CVE-2022-22965-Spring4Shell PoC and exploit for CVE-2022-22965 Spring4Shell CVE-2022-22965 2 2 1 2 6424183202458005368 +github:431842886 2021-11-25 2022-07-04 f https://github.com/pizza-power/Golang-CVE-2021-22205-POC A CVE-2021-22205 Gitlab RCE POC written in Golang CVE-2021-22205 1 3 1 3 8746220450358206485 +github:822634085 2024-07-01 2024-07-27 f https://github.com/passwa11/cve-2024-6387-poc CVE-2024-6387 2 1 1 1 4656135810364979918 +github:1103290294 2025-11-24 2025-11-24 f https://github.com/IS8123/CVE-2025-54381 CVE-2025-54381 0 0 0 0 6522429724127714649 +github:964263680 2025-05-13 2026-06-03 f https://github.com/Mattb709/CVE-2019-15107-Webmin-RCE-PoC A Python proof-of-concept exploit for CVE-2019-15107 - an unauthenticated remote code execution vulnerability in Webmin versions 1.890 through 1.920. CVE-2019-15107 0 1 1 1 7063732995459352123 +github:233959211 2020-01-14 2024-08-12 f https://github.com/nissan-sudo/CVE-2020-0601 Remote Code Execution Exploit CVE-2020-0601 2 2 1 2 6092735891581335248 +github:736015392 2023-12-26 2025-08-29 f https://github.com/0xfalafel/CraftCMS_CVE-2023-41892 Exploit for CVE-2023-41892 CVE-2023-41892 3 11 1 11 7200017149174689774 +github:1110456553 2025-12-05 2026-02-05 f https://github.com/hualy13/CVE-2025-55182 CVE-2025-55182 0 4 0 4 4545195434610392003 +github:316494980 2020-11-27 2020-11-27 f https://github.com/Dirty-Racoon/CVE-2018-15473-py3 CVE-2018-15473 0 0 1 0 2403424735054683553 +github:172401532 2019-02-25 2025-12-25 f https://github.com/mpgn/CVE-2019-7238 🐱‍💻 Poc of CVE-2019-7238 - Nexus Repository Manager 3 Remote Code Execution 🐱‍💻 CVE-2019-7238 50 153 5 153 5700680517157487035 +github:1110969924 2026-03-06 2026-03-24 f https://github.com/rapticore/ore_react2shell_scanner CVE-2025-55182 (React2Shell) Scanner CVE-2025-55182 0 2 0 2 6006013473962308251 +github:335859079 2021-02-09 2021-02-25 f https://github.com/forse01/CVE-2020-11990-Cordova CVE-2020-11990 0 0 1 0 8063887597508061579 +github:803811564 2024-05-21 2024-05-21 f https://github.com/Roronoawjd/hook CVE-2024-32002 hook POC CVE-2024-32002 0 0 1 0 1756302018290246060 +github:1189037828 2026-03-23 2026-03-23 f https://github.com/dwictor0/PoC-CVE-2025-25200 ReDoS explorando backtracking em regex, resultando em consumo excessivo de CPU e negação de serviço (DoS) em aplicações Node.js. CVE-2025-25200 0 0 0 0 4680035318543156553 +github:236119532 2020-02-19 2024-08-12 f https://github.com/apodlosky/PoC_CurveBall PoC for "CurveBall" CVE-2020-0601 CVE-2020-0601 1 0 1 0 8701423302539096241 +github:217788444 2021-06-04 2026-02-18 f https://github.com/Diefunction/CVE-2019-10149 CVE-2019-10149 : A flaw was found in Exim versions 4.87 to 4.91 (inclusive). Improper validation of recipient address in deliver_message() function in /src/deliver.c may lead to remote command execution. CVE-2019-10149 9 19 2 19 203314390899181821 +github:177221305 2019-03-22 2019-03-22 f https://github.com/colorblindpentester/CVE-2017-5638 CVE-2017-5638 (PoC Exploits) CVE-2017-5638 1 0 0 0 684780766179968663 +github:1115607868 2025-12-17 2026-07-01 f https://github.com/mantvmass/react2shell A CLI tool that exploits vulnerabilities in React Server Components and Server Actions (CVE-2025-55182, CVE-2025-66478) to achieve remote code execution (RCE) on vulnerable servers. CVE-2025-55182 0 2 0 2 5692221547432898751 +github:822532912 2024-07-01 2024-07-01 f https://github.com/Hackhoven/Strapi-RCE Exploit script showcasing a mixture of CVE-2019-18818 and CVE-2019-19609 for unauthenticated remote code execution in Strapi CMS. CVE-2019-18818 0 0 1 0 2618662181429560076 +github:400700031 2021-08-29 2026-04-03 f https://github.com/dinhbaouit/CVE-2021-36394 CVE-2021-36394 2 13 1 13 7409421541068120560 +github:575000962 2025-02-12 2025-10-23 f https://github.com/amitlttwo/CVE-2022-2414-Proof-Of-Concept A flaw was found in pki-core. Access to external entities when parsing XML documents can lead to XML external entity (XXE) attacks. This flaw allows a remote attacker to potentially retrieve the content of arbitrary files by sending specially crafted HTTP requests. CVE-2022-2414 1 10 1 10 3539527379025217199 +github:926120197 2025-02-02 2026-02-04 f https://github.com/rehan6658/CVE-2023-40028 CVE-2023-40028 0 0 1 0 7105415075189219223 +github:1228472022 2026-05-04 2026-05-04 f https://github.com/dinosn/cve-2019-13132-lab CVE-2019-13132 — libzmq CURVE INITIATE stack overflow → RCE. Working exploit + Docker lab. CVE-2019-13132 0 0 0 0 535321294572125045 +github:1219626171 2026-04-24 2026-04-24 f https://github.com/TheWaterbug/alpr-dashboard-patches Runtime patches for algertc/alpr-dashboard: async logger fix and CVE-2025-29927 nginx mitigation CVE-2025-29927 0 0 0 0 420257479992916838 +github:1210185423 2026-04-19 2026-04-19 f https://github.com/honney336/CVE-2025-58434_CVE-2025-59528 CVE-2025-58434 Flowise <= 3.0.5 and earlier allows account takeover via unauthenticated forgot-password token. CVE-2025-59528 lowiseAI Custom MCP Node Remote Code Execution. CVE-2025-58434 0 0 0 0 1002816151795478621 +github:302798857 2020-10-09 2023-05-27 f https://github.com/hu4wufu/CVE-2020-15227 CVE-2020-15227 exploit CVE-2020-15227 5 20 0 20 4034747414013478502 +github:280071236 2020-07-16 2024-08-12 f https://github.com/Al1ex/CVE-2018-1297 EXP for CVE-2018-1297 CVE-2018-1297 1 0 1 0 6372654022180231230 +github:356778327 2021-02-21 2021-04-11 f https://github.com/Y0s9/CVE-2021-3129 CVE-2021-3129-Laravel Debug mode 远程代码执行漏洞 CVE-2021-3129 9 0 0 0 7245512874205582411 +github:444735399 2023-06-24 2024-11-18 f https://github.com/fany0r/CVE-2021-45232-RCE CVE-2021-45232-RCE CVE-2021-45232 1 1 0 1 2379540610770388815 +github:861116698 2024-09-22 2024-09-22 f https://github.com/btar1gan/exploit_CVE-2023-27163 CVE-2023-27163 0 0 1 0 3322418020865766090 +github:1033018870 2025-08-06 2025-08-10 f https://github.com/cyglegit/CVE-2025-24813 Automated scanner + exploit for CVE-2025-24813 CVE-2025-24813 0 1 0 1 4670961691512399470 +github:802186256 2024-05-29 2024-05-29 f https://github.com/Dannners/CVE-2018-6574-go-get-RCE CVE-2018-6574-go-get-RCE CVE-2018-6574 0 0 1 0 5396279829658940272 +github:223278825 2019-11-22 2024-04-17 f https://github.com/ManhNDd/CVE-2019-19203 Heap-buffer-overflow in Oniguruma (function gb18030_mbc_enc_len) CVE-2019-19203 0 3 1 3 2676040162632961610 +github:982008014 2025-05-12 2025-05-12 f https://github.com/batzionb/webpack-cve-2024-43788 CVE-2024-43788 0 0 1 0 3060439827290198277 +github:175869476 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2018-16283 cve-2018-16283 CVE-2018-16283 0 0 0 0 2479158443446244449 +github:294892081 2020-09-12 2020-09-12 f https://github.com/primebeast/CVE-2019-11932 CVE-2019-11932 0 0 1 0 2636708540314744943 +github:385496417 2021-07-13 2026-05-23 f https://github.com/alexzorin/cve-2021-34558 CVE-2021-34558 3 45 1 45 965406233366328684 +github:440156597 2021-12-22 2026-04-22 f https://github.com/lijiejie/log4j2_vul_local_scanner Log4j 漏洞本地检测脚本。 Scan all java processes on your host to check whether it's affected by log4j2 remote code execution vulnerability (CVE-2021-45046) CVE-2021-45046 12 85 4 85 4539310005979059442 +github:695156657 2023-09-22 2023-10-06 f https://github.com/sromanhu/CVE-2023-44767_RiteCMS-File-Upload--XSS---Filemanager RiteCMS 3.0 is affected by File Upload - XSS vulnerability that allows attackers to upload a PDF file with a hidden XSS that when executed will launch the XSS pop-up CVE-2023-44767 0 0 1 0 4965573582802685536 +github:1122382051 2025-12-24 2025-12-24 f https://github.com/bigbluewhale111/CVE-2025-55182-LAB This is a lab for reproducing CVE-2025-55182. CVE-2025-55182 0 0 0 0 6155850464810704822 +github:1270049357 2026-06-15 2026-06-15 f https://github.com/ikarolaborda/CVE-2026-40176 CVE-2026-40176 0 0 0 0 4362763563930323720 +github:1165666577 2026-02-24 2026-02-24 f https://github.com/carlosalbertotuma/CVE-2025-32433 CVE-2025-32433 0 0 0 0 4896223052748129808 +github:1012337321 2025-07-02 2026-07-12 f https://github.com/kh4sh3i/CVE-2025-32463 Local Privilege Escalation to Root via Sudo chroot in Linux CVE-2025-32463 61 469 3 469 4777770286436588833 +github:250481242 2020-03-31 2024-08-12 f https://github.com/doggycheng/CNVD-2020-10487 CVE-2020-1938 / CNVD-2020-1048 Detection Tools CVE-2020-1938 6 8 1 8 8843169520647391540 +github:497029793 2024-03-18 2024-03-18 f https://github.com/jftierno/CVE-2018-6574 CVE-2018-6574 0 0 1 0 3236241863320389106 +github:780359573 2024-04-02 2026-05-04 f https://github.com/jbnetwork-git/CVE-2024-3094-XZ-Utils-Check Herramientas de linux para diferentes funciones. CVE-2024-3094 1 3 2 3 413613620701665929 +github:969179997 2025-04-19 2026-04-21 f https://github.com/0xPThree/cve-2025-32433 CVE-2025-32433 1 6 1 6 133663493124159330 +github:731065261 2025-11-03 2026-02-19 f https://github.com/jakabakos/CVE-2023-50164-Apache-Struts-RCE A critical security vulnerability, identified as CVE-2023-50164 (CVE: 9.8) was found in Apache Struts, allowing attackers to manipulate file upload parameters that can potentially lead to unauthorized path traversal and remote code execution (RCE). CVE-2023-50164 26 86 4 86 5657799705493541861 +github:1013127277 2025-07-03 2025-07-03 f https://github.com/0xAkarii/CVE-2025-32463 CVE-2025-32463 0 0 0 0 6707382340531447443 +github:1116154392 2025-12-16 2025-12-16 f https://github.com/vignesh21-git/CVE-2025-48384 GIT vulnerability | Carriage Return and RCE on cloning CVE-2025-48384 0 0 0 0 8225690536075715580 +github:374143127 2023-06-11 2026-06-27 f https://github.com/CsEnox/CVE-2021-22911 Pre-Auth Blind NoSQL Injection leading to Remote Code Execution in Rocket Chat 3.12.1 CVE-2021-22911 8 60 1 60 7024171280641977671 +github:538798099 2025-12-07 2022-09-20 f https://github.com/dileepdkumar/LayarKacaSiber-CVE-2021-41773 CVE-2021-41773 0 0 1 0 8396500813816796932 +github:443941194 2024-01-13 2024-01-14 f https://github.com/mklinkj/log4j2-test Log4j2 LDAP 취약점 테스트 (CVE-2021-44228) CVE-2021-44228 0 0 1 0 2696977262173972079 +github:177236589 2023-01-19 2026-04-16 f https://github.com/mpgn/Rails-doubletap-RCE RCE on Rails 5.2.2 using a path traversal (CVE-2019-5418) and a deserialization of Ruby objects (CVE-2019-5420) CVE-2019-5418 26 133 5 133 6966187946330355401 +github:1014948637 2025-07-06 2026-07-23 f https://github.com/leesh3288/CVE-2025-32023 PoC & Exploit for CVE-2025-32023 / PlaidCTF 2025 "Zerodeo" CVE-2025-32023 40 216 4 216 6183309804203462888 +github:435955349 2021-12-07 2023-12-27 f https://github.com/kenuosec/grafanaExp 利用grafan CVE-2021-43798任意文件读漏洞，自动探测是否有漏洞、存在的plugin、提取密钥、解密server端db文件，并输出data_sourrce信息。 CVE-2021-43798 0 6 0 6 2246137763703219029 +github:1124295601 2025-12-28 2026-06-03 f https://github.com/BreakingRohit/CVE-2025-24893-PoC Proof of Concept for CVE-2025-24893 demonstrating unauthenticated remote command execution in XWiki through unsafe server-side template evaluation. CVE-2025-24893 0 2 0 2 8873767652128499761 +github:864227050 2024-09-27 2024-09-27 f https://github.com/workabhiwin09/CVE-2024-47176 CUPS Browsd Check_CVE-2024-47176 CVE-2024-47176 0 0 1 0 4010979107111268579 +github:1110078814 2025-12-04 2026-07-08 f https://github.com/Emiyelbarto/CVE-2025-55182-PoC Poc for CVE-2025-55182 CVE-2025-55182 0 1 0 1 1842455081176655840 +github:1115546899 2025-12-24 2026-07-08 f https://github.com/zAbuQasem/gogs-CVE-2025-8110 CVE-2025-8110 PoC CVE-2025-8110 0 28 0 28 7336273292356940151 +github:866035036 2024-10-01 2024-10-01 f https://github.com/paragbagul111/CVE-2024-41290 FlatPress CMS v1.3.1 1.3 was discovered to use insecure methods to > store authentication data CVE-2024-41290 0 0 1 0 756501833465995989 +github:1111411919 2025-12-06 2025-12-06 f https://github.com/shreyas-malhotra/React2Shell-CVE-2025-55182 A minimal RCE PoC for CVE-2025-55182 CVE-2025-55182 0 0 0 0 1403545711625224092 +github:1149103993 2026-02-03 2026-02-03 f https://github.com/thealchimist86/CVE-2023-27163---SSRF-Baskets-Requests Exploit for CVE-2023-27163 - SSRF Baskets Requests CVE-2023-27163 0 0 0 0 5515972335811501962 +github:929612071 2025-02-16 2025-02-16 f https://github.com/skrkcb2/CVE-2024-5452 CVE-2024-5452 0 0 1 0 4582073811993961038 +github:1110076136 2025-12-06 2025-12-06 f https://github.com/klassiker/CVE-2025-55182 CVE-2025-55182 0 0 0 0 2885686699019436318 +github:1128121075 2026-01-05 2026-01-05 f https://github.com/hyan0116/Next.js-RCE-CVE-2025-55182 next.js rce exploit CVE-2025-55182 0 0 0 0 3325583372758367129 +github:424530553 2024-01-20 2021-11-04 f https://github.com/devdanqtuan/CVE-2021-22205 CVE-2021-22205& GitLab CE/EE RCE CVE-2021-22205 1 0 1 0 7287930492484152628 +github:1078704679 2025-12-03 2026-02-18 f https://github.com/initstring/abrt_root Privilege escalation in Fedora Linux via ABRT (Automatic Bug Reporting Tool): CVE-2025-12744 CVE-2025-12744 1 7 0 7 6682986419377035516 +github:1123072156 2025-12-26 2026-03-06 f https://github.com/onewinner/CVE-2025-14847 MongoDB 内存泄露漏洞 (CVE-2025-14847) 检测工具 CVE-2025-14847 2 14 0 14 7359736196919284077 +github:242083141 2020-02-21 2026-07-13 f https://github.com/sv3nbeast/CVE-2020-1938-Tomact-file_include-file_read Tomcat的文件包含及文件读取漏洞利用POC CVE-2020-1938 19 54 3 54 8552751627590652785 +github:748543127 2024-02-01 2026-06-22 f https://github.com/binganao/CVE-2024-23897 CVE-2024-23897 9 99 1 99 3932474304929535456 +github:505899527 2022-09-20 2023-01-03 f https://github.com/hadrian3689/cachet_2.4.0-dev CVE-2021-39174 Cachet 2.4.0-dev CVE-2021-39174 0 0 1 0 8028924685593394914 +github:864938618 2024-09-29 2024-09-29 f https://github.com/mutkus/CVE-2024-47076 Linux ve Unix sistemlerinizin CVE-2024-47076 açığından etkilenip etkilenmediğini bu script ile öğrenebilirsiniz. CVE-2024-47076 0 0 1 0 7421785803384772240 +github:1245106276 2026-05-21 2026-05-21 f https://github.com/prashanthnataraj/mini-shai-hulud-detector One-command scanner for the Mini Shai-Hulud npm supply-chain worm (CVE-2026-45321). Detect before rotating tokens. CVE-2026-45321 0 0 0 0 7100197611506789553 +github:968587200 2025-04-18 2025-04-18 f https://github.com/monke443/CVE-2021-44967 Authenticated (privileged) remote command execution in LimeSurvey Version 5.2.4 via upload and install plugins allows a remote user to upload arbitrary PHP code file. CVE-2021-44967 0 1 1 1 2283380567488661051 +github:1065706961 2026-07-14 2026-07-13 f https://github.com/kuyrathdaro/cve-2025-29927 CVE-2025-29927 0 0 0 0 7153371838379354225 +github:956307775 2025-03-28 2026-03-13 f https://github.com/AzhariRamadhan/CVE-2025-45512 CVE-2025-45512 1 2 1 2 7369283851214247432 +github:774962980 2024-07-06 2024-07-06 f https://github.com/roy-aladin/InfraTest DO NOT FORK, DEPLOY, OR USE FOR ANYTHING BUT LEARNING. These requirements are vulnerable to CVE-2024-39689 CVE-2024-39689 0 0 1 0 7434707911172635447 +github:414804962 2021-11-12 2024-12-04 f https://github.com/shellreaper/CVE-2021-41773 This is a simple POC for Apache/2.4.49 Path Traversal Vulnerability CVE-2021-41773 0 1 1 1 8833788187541633769 +github:889219295 2024-11-15 2025-03-18 f https://github.com/realbatuhan/JWT-Bruteforcer Jwt Bruteforcer with CVE-2018-1000531 Test CVE-2018-1000531 0 1 1 1 3135328244306999018 +github:298771178 2020-09-26 2021-09-01 f https://github.com/striveben/CVE-2020-1472 CVE-2020-1472 0 5 1 5 1861271770558135344 +github:177891884 2019-03-27 2019-03-27 f https://github.com/stillan00b/CVE-2019-5736 CVE-2019-5736 0 0 0 0 4641758903071039610 +github:802083233 2024-05-17 2024-06-01 f https://github.com/0xYumeko/CVE-2024-32640-SQLI-MuraCMS CVE-2024-32640 0 1 1 1 8303751288396143812 +github:1302938895 2026-07-16 2026-07-18 f https://github.com/shinthink/CVE-2026-14894 Super Forms Unauthenticated File Upload RCE | CVSS 9.8 CVE-2026-14894 1 1 0 1 8464250565440974736 +github:1176659401 2026-05-20 2026-05-20 f https://github.com/EQSTLab/CVE-2026-25253 OpenClaw Authentication Token Exfiltration CVE-2026-25253 0 2 0 2 7993546231717886700 +github:429697308 2021-11-19 2021-11-19 f https://github.com/Osyanina/westone-CVE-2021-37580-scanner A vulnerability scanner that detects CVE-2021-37580 vulnerabilities. CVE-2021-37580 0 0 1 0 6436968045644696667 +github:1191179803 2026-03-26 2026-03-26 f https://github.com/pppxo/CVE-2025-49596-PoC PoC for CVE-2025-49596 on linux targets CVE-2025-49596 0 0 0 0 8949917681324249967 +github:602073215 2023-03-29 2023-03-29 f https://github.com/bypazs/CVE-2023-26982 Trudesk v1.2.6 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Add Tags parameter under the Create Ticket function. CVE-2023-26982 0 0 1 0 2151147789778164720 +github:700661789 2023-10-07 2024-02-20 f https://github.com/murphysecurity/libwebp-checker A tool for finding vulnerable libwebp(CVE-2023-4863) CVE-2023-4863 12 21 5 21 3250140655263056423 +github:291044546 2020-08-30 2026-05-01 f https://github.com/murataydemir/CVE-2017-9822 [CVE-2017-9822] DotNetNuke Cookie Deserialization Remote Code Execution (RCE) CVE-2017-9822 4 22 1 22 4901555280959254046 +github:686707778 2023-09-03 2023-09-03 f https://github.com/BurpRoot/CVE-2022-24086 CVE-2022-24086 POC example CVE-2022-24086 0 0 1 0 3701420420990715126 +github:1314682661 2026-07-28 2026-07-28 f https://github.com/ChPratik/NGINX_2026_CVE_Bundle_CTI_Report Covered CVEs: CVE-2026-28755, CVE-2026-42926, CVE-2026-9256, CVE-2026-42055, CVE-2026-42533 CVE-2026-28755 0 0 0 0 88762132722680003 +github:476315234 2022-04-05 2026-06-18 f https://github.com/Kirill89/CVE-2022-22965-PoC CVE-2022-22965 21 32 1 32 275371246382635934 +github:49952630 2016-01-19 2023-03-29 f https://github.com/idl3r/cve-2016-0728 CVE-2016-0728 0 1 1 1 3890875308603725853 +github:873299415 2024-10-16 2024-10-16 f https://github.com/p33d/CVE-2023-25581 CVE-2023-25581 1 0 1 0 2183278089362230417 +github:1010379677 2025-06-29 2026-07-08 f https://github.com/b0ySie7e/Notepad-8.8.1_CVE-2025-49144 Proof of Concept (PoC) that exploits the CVE-2025-49144 vulnerability in the Notepad++ 8.8.1 installer. CVE-2025-49144 1 6 0 6 8141538477784122924 +github:901530255 2024-12-30 2024-12-30 f https://github.com/partywavesec/CVE-2024-55557 CVE-2024-55557 CVE-2024-55557 0 1 2 1 94291240756821130 +github:1113515155 2025-12-10 2026-03-15 f https://github.com/b0ySie7e/CVE-2025-3248-POC CVE-2025-3248 0 1 0 1 6889778938535394046 +github:333569622 2021-01-28 2023-08-28 f https://github.com/elbee-cyber/CVE-2021-3156-PATCHER This simple bash script will patch the recently discovered sudo heap overflow vulnerability. CVE-2021-3156 1 3 1 3 8129091333124768478 +github:435809070 2021-12-07 2024-03-25 f https://github.com/zer0yu/CVE-2021-43798 Grafana Arbitrary File Reading Vulnerability CVE-2021-43798 6 27 1 27 8494558644011793928 +github:664045595 2023-07-08 2023-07-08 f https://github.com/ifyGecko/CVE-2023-30226 rizin denial of service bug CVE-2023-30226 1 0 1 0 3391527980304606469 +github:376896027 2021-06-14 2023-08-09 f https://github.com/CircuitSoul/poc-cve-2016-10555 Change the algorithm RS256(asymmetric) to HS256(symmetric) - POC (CVE-2016-10555) CVE-2016-10555 0 1 1 1 2217374666243891765 +github:298383438 2020-09-24 2024-04-06 f https://github.com/grupooruss/CVE-2020-1472 CVE 2020-1472 Script de validación CVE-2020-1472 0 0 0 0 2075945665944220193 +github:438369987 2021-12-23 2026-01-24 f https://github.com/MalwareTech/Log4jTools Tools for investigating Log4j CVE-2021-44228 CVE-2021-44228 12 94 6 94 4386063071614713404 +github:847006463 2024-10-03 2024-11-09 f https://github.com/thefizzyfish/CVE-2023-4220_Chamilo_RCE Python exploit for Chamilo Unrestricted File Upload Vuln - CVE-2023-4220 CVE-2023-4220 0 1 1 1 719094975851114398 +github:983967305 2025-06-10 2026-02-23 f https://github.com/lstudlo/nextjs-cve-demo 演示 Next.js 中的 Middleware 授權繞過漏洞 (CVE-2025-29927) 允許未經授權的用戶存取受保護的資訊。 CVE-2025-29927 0 2 1 2 2520657622454124996 +github:352007665 2021-03-27 2021-03-27 f https://github.com/code-developers/CVE-2020-11932 CVE-2020-11932 0 1 0 1 8314511701312203308 +github:438504265 2023-01-31 2021-12-22 f https://github.com/bhprin/log4j-vul This project is just to show Apache Log4j2 Vulnerability - aka CVE-2021-44228 CVE-2021-44228 0 0 1 0 862383553518005644 +github:737146570 2023-12-30 2023-12-30 f https://github.com/power1314520/CVE-2023-51385_test 一个验证对CVE-2023-51385 CVE-2023-51385 0 0 1 0 3366941341300796955 +github:485439867 2022-04-25 2022-04-25 f https://github.com/Damok82/SignChecker Test tool to demonstrate the vulnerability of CVE-2022-21449 CVE-2022-21449 0 0 1 0 8748573215096958579 +github:484585504 2022-04-22 2024-08-12 f https://github.com/0xAgun/CVE-2022-29464 CVE-2022-29464 1 1 1 1 7059996348277184987 +github:1292547903 2026-07-07 2026-07-07 f https://github.com/c0gnit00/CVE-2022-46364 Python POC, Exploit for CVE-2022-46364 CVE-2022-46364 0 0 0 0 1441408491177029866 +github:102809812 2017-09-08 2025-05-15 f https://github.com/brianwrf/S2-053-CVE-2017-12611 A simple script for exploit RCE for Struts 2 S2-053(CVE-2017-12611) CVE-2017-12611 25 37 6 37 3250879768070279664 +github:672258181 2023-07-29 2025-04-22 f https://github.com/0xrobiul/CVE-2023-38646 Metabase Pre-auth RCE (CVE-2023-38646)!! CVE-2023-38646 3 15 1 15 3177396443031373517 +github:1069614994 2025-10-04 2026-05-06 f https://github.com/URJACK2025/CVE-2024-36401 An Python Exp For "GeoServer" CVE-2024-36401 0 2 0 2 6232412544790301018 +github:1116209194 2025-12-14 2026-01-06 f https://github.com/VVVI5HNU/CVE-2025-55182 Proof-of-Concept for CVE-2025-55182, a critical unauthenticated RCE in React Server Components. CVE-2025-55182 0 1 0 1 8541516142656144418 +github:1308737607 2026-07-22 2026-07-22 f https://github.com/yeahhbean/CVE-2026-45729 ThorVG NULL pointer dereference via malformed SVG — AFL++ fuzzing writeup CVE-2026-45729 0 0 0 0 5275779530095194223 +github:165309082 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2016-8869 cve-2016-8869 CVE-2016-8869 0 0 0 0 8122118595601059997 +github:439420251 2021-12-20 2021-12-20 f https://github.com/m0rath/detect-log4j-exploitable CVE-2021-44228 CVE-2021-44228 0 0 1 0 6143285110023737430 +github:1261545783 2026-06-06 2026-07-19 f https://github.com/0xEhab/FreePBX-CVE-2025-57819-RCE CVE-2025-57819 0 13 0 13 5565600617510129234 +github:345634228 2024-04-12 2026-07-28 f https://github.com/chrisneagu/FTC-Skystone-Dark-Angels-Romania-2020 NOTICE This repository contains the public FTC SDK for the SKYSTONE (2019-2020) competition season. If you are looking for the current season's FTC SDK software, please visit the new and permanent home of the public FTC SDK: FtcRobotController repository Welcome! This GitHub repository contains the source code that is used to build an Android app to control a FIRST Tech Challenge competition robot. To use this SDK, download/clone the entire project to your local computer. Getting Started If you are new to robotics or new to the FIRST Tech Challenge, then you should consider reviewing the FTC Blocks Tutorial to get familiar with how to use the control system: FTC Blocks Online Tutorial Even if you are an advanced Java programmer, it is helpful to start with the FTC Blocks tutorial, and then migrate to the OnBot Java Tool or to Android Studio afterwards. Downloading the Project If you are an Android Studio programmer, there are several ways to download this repo. Note that if you use the Blocks or OnBot Java Tool to program your robot, then you do not need to download this repository. If you are a git user, you can clone the most current version of the repository: git clone https://github.com/FIRST-Tech-Challenge/SKYSTONE.git Or, if you prefer, you can use the "Download Zip" button available through the main repository page. Downloading the project as a .ZIP file will keep the size of the download manageable. You can also download the project folder (as a .zip or .tar.gz archive file) from the Downloads subsection of the Releases page for this repository. Once you have downloaded and uncompressed (if needed) your folder, you can use Android Studio to import the folder ("Import project (Eclipse ADT, Gradle, etc.)"). Getting Help User Documentation and Tutorials FIRST maintains online documentation with information and tutorials on how to use the FIRST Tech Challenge software and robot control system. You can access this documentation using the following link: SKYSTONE Online Documentation Note that the online documentation is an "evergreen" document that is constantly being updated and edited. It contains the most current information about the FIRST Tech Challenge software and control system. Javadoc Reference Material The Javadoc reference documentation for the FTC SDK is now available online. Click on the following link to view the FTC SDK Javadoc documentation as a live website: FTC Javadoc Documentation Documentation for the FTC SDK is also included with this repository. There is a subfolder called "doc" which contains several subfolders: The folder "apk" contains the .apk files for the FTC Driver Station and FTC Robot Controller apps. The folder "javadoc" contains the JavaDoc user documentation for the FTC SDK. Online User Forum For technical questions regarding the Control System or the FTC SDK, please visit the FTC Technology forum: FTC Technology Forum Release Information Version 5.5 (20200824-090813) Version 5.5 requires Android Studio 4.0 or later. New features Adds support for calling custom Java classes from Blocks OpModes (fixes SkyStone issue #161). Classes must be in the org.firstinspires.ftc.teamcode package. Methods must be public static and have no more than 21 parameters. Parameters declared as OpMode, LinearOpMode, Telemetry, and HardwareMap are supported and the argument is provided automatically, regardless of the order of the parameters. On the block, the sockets for those parameters are automatically filled in. Parameters declared as char or java.lang.Character will accept any block that returns text and will only use the first character in the text. Parameters declared as boolean or java.lang.Boolean will accept any block that returns boolean. Parameters declared as byte, java.lang.Byte, short, java.lang.Short, int, java.lang.Integer, long, or java.lang.Long, will accept any block that returns a number and will round that value to the nearest whole number. Parameters declared as float, java.lang.Float, double, java.lang.Double will accept any block that returns a number. Adds telemetry API method for setting display format Classic Monospace HTML (certain tags only) Adds blocks support for switching cameras. Adds Blocks support for TensorFlow Object Detection with a custom model. Adds support for uploading a custom TensorFlow Object Detection model in the Manage page, which is especially useful for Blocks and OnBotJava users. Shows new Control Hub blink codes when the WiFi band is switched using the Control Hub's button (only possible on Control Hub OS 1.1.2) Adds new warnings which can be disabled in the Advanced RC Settings Mismatched app versions warning Unnecessary 2.4 GHz WiFi usage warning REV Hub is running outdated firmware (older than version 1.8.2) Adds support for Sony PS4 gamepad, and reworks how gamepads work on the Driver Station Removes preference which sets gamepad type based on driver position. Replaced with menu which allows specifying type for gamepads with unknown VID and PID Attempts to auto-detect gamepad type based on USB VID and PID If gamepad VID and PID is not known, use type specified by user for that VID and PID If gamepad VID and PID is not known AND the user has not specified a type for that VID and PID, an educated guess is made about how to map the gamepad Driver Station will now attempt to automatically recover from a gamepad disconnecting, and re-assign it to the position it was assigned to when it dropped If only one gamepad is assigned and it drops: it can be recovered If two gamepads are assigned, and have different VID/PID signatures, and only one drops: it will be recovered If two gamepads are assigned, and have different VID/PID signatures, and BOTH drop: both will be recovered If two gamepads are assigned, and have the same VID/PID signatures, and only one drops: it will be recovered If two gamepads are assigned, and have the same VID/PID signatures, and BOTH drop: neither will be recovered, because of the ambiguity of the gamepads when they re-appear on the USB bus. There is currently one known edge case: if there are two gamepads with the same VID/PID signature plugged in, but only one is assigned, and they BOTH drop, it's a 50-50 chance of which one will be chosen for automatic recovery to the assigned position: it is determined by whichever one is re-enumerated first by the USB bus controller. Adds landscape user interface to Driver Station New feature: practice timer with audio cues New feature (Control Hub only): wireless network connection strength indicator (0-5 bars) New feature (Control Hub only): tapping on the ping/channel display will switch to an alternate display showing radio RX dBm and link speed (tap again to switch back) The layout will NOT autorotate. You can switch the layout from the Driver Station's settings menu. Breaking changes Removes support for Android versions 4.4 through 5.1 (KitKat and Lollipop). The minSdkVersion is now 23. Removes the deprecated LinearOpMode methods waitOneFullHardwareCycle() and waitForNextHardwareCycle() Enhancements Handles RS485 address of Control Hub automatically The Control Hub is automatically given a reserved address Existing configuration files will continue to work All addresses in the range of 1-10 are still available for Expansion Hubs The Control Hub light will now normally be solid green, without blinking to indicate the address The Control Hub will not be shown on the Expansion Hub Address Change settings page Improves REV Hub firmware updater The user can now choose between all available firmware update files Version 1.8.2 of the REV Hub firmware is bundled into the Robot Controller app. Text was added to clarify that Expansion Hubs can only be updated via USB. Firmware update speed was reduced to improve reliability Allows REV Hub firmware to be updated directly from the Manage webpage Improves log viewer on Robot Controller Horizontal scrolling support (no longer word wrapped) Supports pinch-to-zoom Uses a monospaced font Error messages are highlighted New color scheme Attempts to force-stop a runaway/stuck OpMode without restarting the entire app Not all types of runaway conditions are stoppable, but if the user code attempts to talk to hardware during the runaway, the system should be able to capture it. Makes various tweaks to the Self Inspect screen Renames "OS version" entry to "Android version" Renames "WiFi Direct Name" to "WiFi Name" Adds Control Hub OS version, when viewing the report of a Control Hub Hides the airplane mode entry, when viewing the report of a Control Hub Removes check for ZTE Speed Channel Changer Shows firmware version for all Expansion and Control Hubs Reworks network settings portion of Manage page All network settings are now applied with a single click The WiFi Direct channel of phone-based Robot Controllers can now be changed from the Manage page WiFi channels are filtered by band (2.4 vs 5 GHz) and whether they overlap with other channels The current WiFi channel is pre-selected on phone-based Robot Controllers, and Control Hubs running OS 1.1.2 or later. On Control Hubs running OS 1.1.2 or later, you can choose to have the system automatically select a channel on the 5 GHz band Improves OnBotJava New light and dark themes replace the old themes (chaos, github, chrome,...) the new default theme is light and will be used when you first update to this version OnBotJava now has a tabbed editor Read-only offline mode Improves function of "exit" menu item on Robot Controller and Driver Station Now guaranteed to be fully stopped and unloaded from memory Shows a warning message if a LinearOpMode exists prematurely due to failure to monitor for the start condition Improves error message shown when the Driver Station and Robot Controller are incompatible with each other Driver Station OpMode Control Panel now disabled while a Restart Robot is in progress Disables advanced settings related to WiFi direct when the Robot Controller is a Control Hub. Tint phone battery icons on Driver Station when low/critical. Uses names "Control Hub Portal" and "Control Hub" (when appropriate) in new configuration files Improve I2C read performance Very large improvement on Control Hub; up to ~2x faster with small (e.g. 6 byte) reads Not as apparent on Expansion Hubs connected to a phone Update/refresh build infrastructure Update to 'androidx' support library from 'com.android.support:appcompat', which is end-of-life Update targetSdkVersion and compileSdkVersion to 28 Update Android Studio's Android plugin to latest Fix reported build timestamp in 'About' screen Add sample illustrating manual webcam use: ConceptWebcam Bug fixes Fixes SkyStone issue #248 Fixes SkyStone issue #232 and modifies bulk caching semantics to allow for cache-preserving MANUAL/AUTO transitions. Improves performance when REV 2M distance sensor is unplugged Improves readability of Toast messages on certain devices Allows a Driver Station to connect to a Robot Controller after another has disconnected Improves generation of fake serial numbers for UVC cameras which do not provide a real serial number Previously some devices would assign such cameras a serial of 0:0 and fail to open and start streaming Fixes ftc_app issue #638. Fixes a slew of bugs with the Vuforia camera monitor including: Fixes bug where preview could be displayed with a wonky aspect ratio Fixes bug where preview could be cut off in landscape Fixes bug where preview got totally messed up when rotating phone Fixes bug where crosshair could drift off target when using webcams Fixes issue in UVC driver on some devices (ftc_app 681) if streaming was started/stopped multiple times in a row Issue manifested as kernel panic on devices which do not have this kernel patch. On affected devices which do have the patch, the issue was manifest as simply a failure to start streaming. The Tech Team believes that the root cause of the issue is a bug in the Linux kernel XHCI driver. A workaround was implemented in the SDK UVC driver. Fixes bug in UVC driver where often half the frames from the camera would be dropped (e.g. only 15FPS delivered during a streaming session configured for 30FPS). Fixes issue where TensorFlow Object Detection would show results whose confidence was lower than the minimum confidence parameter. Fixes a potential exploitation issue of CVE-2019-11358 in OnBotJava Fixes changing the address of an Expansion Hub with additional Expansion Hubs connected to it Preserves the Control Hub's network connection when "Restart Robot" is selected Fixes issue where device scans would fail while the Robot was restarting Fix RenderScript usage Use androidx.renderscript variant: increased compatibility Use RenderScript in Java mode, not native: simplifies build Fixes webcam-frame-to-bitmap conversion problem: alpha channel wasn't being initialized, only R, G, & B Fixes possible arithmetic overflow in Deadline Fixes deadlock in Vuforia webcam support which could cause 5-second delays when stopping OpMode Version 5.4 (20200108-101156) Fixes SkyStone issue #88 Adds an inspection item that notes when a robot controller (Control Hub) is using the factory default password. Fixes SkyStone issue #61 Fixes SkyStone issue #142 Fixes ftc_app issue #417 by adding more current and voltage monitoring capabilities for REV Hubs. Fixes a crash sometimes caused by OnBotJava activity Improves OnBotJava autosave functionality ftc_app #738 Fixes system responsiveness issue when an Expansion Hub is disconnected Fixes issue where IMU initialization could prevent Op Modes from stopping Fixes issue where AndroidTextToSpeech.speak() would fail if it was called too early Adds telemetry.speak() methods and blocks, which cause the Driver Station (if also updated) to speak text Adds and improves Expansion Hub-related warnings Improves Expansion Hub low battery warning Displays the warning immediately after the hub reports it Specifies whether the condition is current or occurred temporarily during an OpMode run Displays which hubs reported low battery Displays warning when hub loses and regains power during an OpMode run Fixes the hub's LED pattern after this condition Displays warning when Expansion Hub is not responding to commands Specifies whether the condition is current or occurred temporarily during an OpMode run Clarifies warning when Expansion Hub is not present at startup Specifies that this condition requires a Robot Restart before the hub can be used. The hub light will now accurately reflect this state Improves logging and reduces log spam during these conditions Syncs the Control Hub time and timezone to a connected web browser programming the robot, if a Driver Station is not available. Adds bulk read functionality for REV Hubs A bulk caching mode must be set at the Hub level with LynxModule#setBulkCachingMode(). This applies to all relevant SDK hardware classes that reference that Hub. The following following Hub bulk caching modes are available: BulkCachingMode.OFF (default): All hardware calls operate as usual. Bulk data can read through LynxModule#getBulkData() and processed manually. BulkCachingMode.AUTO: Applicable hardware calls are served from a bulk read cache that is cleared/refreshed automatically to ensure identical commands don't hit the same cache. The cache can also be cleared manually with LynxModule#clearBulkCache(), although this is not recommended. (advanced users) BulkCachingMode.MANUAL: Same as BulkCachingMode.AUTO except the cache is never cleared automatically. To avoid getting stale data, the cache must be manually cleared at the beginning of each loop body or as the user deems appropriate. Removes PIDF Annotation values added in Rev 5.3 (to AndyMark, goBILDA and TETRIX motor configurations). The new motor types will still be available but their Default control behavior will revert back to Rev 5.2 Adds new ConceptMotorBulkRead sample Opmode to demonstrate and compare Motor Bulk-Read modes for reducing I/O latencies. Version 5.3 (20191004-112306) Fixes external USB/UVC webcam support Makes various bugfixes and improvements to Blocks page, including but not limited to: Many visual tweaks Browser zoom and window resize behave better Resizing the Java preview pane works better and more consistently across browsers The Java preview pane consistently gets scrollbars when needed The Java preview pane is hidden by default on phones Internet Explorer 11 should work Large dropdown lists display properly on lower res screens Disabled buttons are now visually identifiable as disabled A warning is shown if a user selects a TFOD sample, but their device is not compatible Warning messages in a Blocks op mode are now visible by default. Adds goBILDA 5201 and 5202 motors to Robot Configurator Adds PIDF Annotation values to AndyMark, goBILDA and TETRIX motor configurations. This has the effect of causing the RUN_USING_ENCODERS and RUN_TO_POSITION modes to use PIDF vs PID closed loop control on these motors. This should provide more responsive, yet stable, speed control. PIDF adds Feedforward control to the basic PID control loop. Feedforward is useful when controlling a motor's speed because it "anticipates" how much the control voltage must change to achieve a new speed set-point, rather than requiring the integrated error to change sufficiently. The PIDF values were chosen to provide responsive, yet stable, speed control on a lightly loaded motor. The more heavily a motor is loaded (drag or friction), the more noticable the PIDF improvement will be. Fixes startup crash on Android 10 Fixes ftc_app issue #712 (thanks to FROGbots-4634) Fixes ftc_app issue #542 Allows "A" and lowercase letters when naming device through RC and DS apps. Version 5.2 (20190905-083277) Fixes extra-wide margins on settings activities, and placement of the new configuration button Adds Skystone Vuforia image target data. Includes sample Skystone Vuforia Navigation op modes (Java). Includes sample Skystone Vuforia Navigation op modes (Blocks). Adds TensorFlow inference model (.tflite) for Skystone game elements. Includes sample Skystone TensorFlow op modes (Java). Includes sample Skystone TensorFlow op modes (Blocks). Removes older (season-specific) sample op modes. Includes 64-bit support (to comply with Google Play requirements). Protects against Stuck OpModes when a Restart Robot is requested. (Thanks to FROGbots-4634) (ftc_app issue #709) Blocks related changes: Fixes bug with blocks generated code when hardware device name is a java or javascript reserved word. Shows generated java code for blocks, even when hardware items are missing from the active configuration. Displays warning icon when outdated Vuforia and TensorFlow blocks are used (SkyStone issue #27) Version 5.1 (20190820-222104) Defines default PIDF parameters for the following motors: REV Core Hex Motor REV 20:1 HD Hex Motor REV 40:1 HD Hex Motor Adds back button when running on a device without a system back button (such as a Control Hub) Allows a REV Control Hub to update the firmware on a REV Expansion Hub via USB Fixes SkyStone issue #9 Fixes ftc_app issue #715 Prevents extra DS User clicks by filtering based on current state. Prevents incorrect DS UI state changes when receiving new OpMode list from RC Adds support for REV Color Sensor V3 Adds a manual-refresh DS Camera Stream for remotely viewing RC camera frames. To show the stream on the DS, initialize but do not run a stream-enabled opmode, select the Camera Stream option in the DS menu, and tap the image to refresh. This feature is automatically enabled when using Vuforia or TFOD—no additional RC configuration is required for typical use cases. To hide the stream, select the same menu item again. Note that gamepads are disabled and the selected opmode cannot be started while the stream is open as a safety precaution. To use custom streams, consult the API docs for CameraStreamServer#setSource and CameraStreamSource. Adds many Star Wars sounds to RobotController resources. Added SKYSTONE Sounds Chooser Sample Program. Switches out startup, connect chimes, and error/warning sounds for Star Wars sounds Updates OnBot Java to use a WebSocket for communication with the robot The OnBot Java page no longer has to do a full refresh when a user switches from editing one file to another Known issues: Camera Stream The Vuforia camera stream inherits the issues present in the phone preview (namely ftc_app issue #574). This problem does not affect the TFOD camera stream even though it receives frames from Vuforia. The orientation of the stream frames may not always match the phone preview. For now, these frames may be rotated manually via a custom CameraStreamSource if desired. OnBotJava Browser back button may not always work correctly It's possible for a build to be queued, but not started. The OnBot Java build console will display a warning if this occurs. A user might not realize they are editing a different file if the user inadvertently switches from one file to another since this switch is now seamless. The name of the currently open file is displayed in the browser tab. Version 5.0 (built on 19.06.14) Support for the REV Robotics Control Hub. Adds a Java preview pane to the Blocks editor. Adds a new offline export feature to the Blocks editor. Display wifi channel in Network circle on Driver Station. Adds calibration for Logitech C270 Updates build tooling and target SDK. Compliance with Google's permissions infrastructure (Required after build tooling update). Keep Alives to mitigate the Motorola wifi scanning problem. Telemetry substitute no longer necessary. Improves Vuforia error reporting. Fixes ftctechnh/ftc_app issues 621, 713. Miscellaneous bug fixes and improvements. Version 4.3 (built on 18.10.31) Includes missing TensorFlow-related libraries and files. Version 4.2 (built on 18.10.30) Includes fix to avoid deadlock situation with WatchdogMonitor which could result in USB communication errors. Comm error appeared to require that user disconnect USB cable and restart the Robot Controller app to recover. robotControllerLog.txt would have error messages that included the words "E RobotCore: lynx xmit lock: #### abandoning lock:" Includes fix to correctly list the parent module address for a REV Robotics Expansion Hub in a configuration (.xml) file. Bug in versions 4.0 and 4.1 would incorrect list the address module for a parent REV Robotics device as "1". If the parent module had a higher address value than the daisy-chained module, then this bug would prevent the Robot Controller from communicating with the downstream Expansion Hub. Added requirement for ACCESS_COARSE_LOCATION to allow a Driver Station running Android Oreo to scan for Wi-Fi Direct devices. Added google() repo to build.gradle because aapt2 must be downloaded from the google() repository beginning with version 3.2 of the Android Gradle Plugin. Important Note: Android Studio users will need to be connected to the Internet the first time build the ftc_app project. Internet connectivity is required for the first build so the appropriate files can be downloaded from the Google repository. Users should not need to be connected to the Internet for subsequent builds. This should also fix buid issue where Android Studio would complain that it "Could not find com.android.tools.lint:lint-gradle:26.1.4" (or similar). Added support for REV Spark Mini motor controller as part of the configuration menu for a servo/PWM port on the REV Expansion Hub. Provide examples for playing audio files in an Op Mode. Block Development Tool Changes Includes a fix for a problem with the Velocity blocks that were reported in the FTC Technology forum (Blocks Programming subforum). Change the "Save completed successfully." message to a white color so it will contrast with a green background. Fixed the "Download image" feature so it will work if there are text blocks in the op mode. Introduce support for Google's TensorFlow Lite technology for object detetion for 2018-2019 game. TensorFlow lite can recognize Gold Mineral and Silver Mineral from 2018-2019 game. Example Java and Block op modes are included to show how to determine the relative position of the gold block (left, center, right). Version 4.1 (released on 18.09.24) Changes include: Fix to prevent crash when deprecated configuration annotations are used. Change to allow FTC Robot Controller APK to be auto-updated using FIRST Global Control Hub update scripts. Removed samples for non supported / non legal hardware. Improvements to Telemetry.addData block with "text" socket. Updated Blocks sample op mode list to include Rover Ruckus Vuforia example. Update SDK library version number. Version 4.0 (released on 18.09.12) Changes include: Initial support for UVC compatible cameras If UVC camera has a unique serial number, RC will detect and enumerate by serial number. If UVC camera lacks a unique serial number, RC will only support one camera of that type connected. Calibration settings for a few cameras are included (see TeamCode/src/main/res/xml/teamwebcamcalibrations.xml for details). User can upload calibration files from Program and Manage web interface. UVC cameras seem to draw a fair amount of electrical current from the USB bus. This does not appear to present any problems for the REV Robotics Control Hub. This does seem to create stability problems when using some cameras with an Android phone-based Robot Controller. FTC Tech Team is investigating options to mitigate this issue with the phone-based Robot Controllers. Updated sample Vuforia Navigation and VuMark Op Modes to demonstrate how to use an internal phone-based camera and an external UVC webcam. Support for improved motor control. REV Robotics Expansion Hub firmware 1.8 and greater will support a feed forward mechanism for closed loop motor control. FTC SDK has been modified to support PIDF coefficients (proportional, integral, derivative, and feed forward). FTC Blocks development tool modified to include PIDF programming blocks. Deprecated older PID-related methods and variables. REV's 1.8.x PIDF-related changes provide a more linear and accurate way to control a motor. Wireless Added 5GHz support for wireless channel changing for those devices that support it. Tested with Moto G5 and E4 phones. Also tested with other (currently non-approved) phones such as Samsung Galaxy S8. Improved Expansion Hub firmware update support in Robot Controller app Changes to make the system more robust during the firmware update process (when performed through Robot Controller app). User no longer has to disconnect a downstream daisy-chained Expansion Hub when updating an Expansion Hub's firmware. If user is updating an Expansion Hub's firmware through a USB connection, he/she does not have to disconnect RS485 connection to other Expansion Hubs. The user still must use a USB connection to update an Expansion Hub's firmware. The user cannot update the Expansion Hub firmware for a downstream device that is daisy chained through an RS485 connection. If an Expansion Hub accidentally gets "bricked" the Robot Controller app is now more likely to recognize the Hub when it scans the USB bus. Robot Controller app should be able to detect an Expansion Hub, even if it accidentally was bricked in a previous update attempt. Robot Controller app should be able to install the firmware onto the Hub, even if if accidentally was bricked in a previous update attempt. Resiliency FTC software can detect and enable an FTDI reset feature that is available with REV Robotics v1.8 Expansion Hub firmware and greater. When enabled, the Expansion Hub can detect if it hasn't communicated with the Robot Controller over the FTDI (USB) connection. If the Hub hasn't heard from the Robot Controller in a while, it will reset the FTDI connection. This action helps system recover from some ESD-induced disruptions. Various fixes to improve reliability of FTC software. Blocks Fixed errors with string and list indices in blocks export to java. Support for USB connected UVC webcams. Refactored optimized Blocks Vuforia code to support Rover Ruckus image targets. Added programming blocks to support PIDF (proportional, integral, derivative and feed forward) motor control. Added formatting options (under Telemetry and Miscellaneous categories) so user can set how many decimal places to display a numerical value. Support to play audio files (which are uploaded through Blocks web interface) on Driver Station in addition to the Robot Controller. Fixed bug with Download Image of Blocks feature. Support for REV Robotics Blinkin LED Controller. Support for REV Robotics 2m Distance Sensor. Added support for a REV Touch Sensor (no longer have to configure as a generic digital device). Added blocks for DcMotorEx methods. These are enhanced methods that you can use when supported by the motor controller hardware. The REV Robotics Expansion Hub supports these enhanced methods. Enhanced methods include methods to get/set motor velocity (in encoder pulses per second), get/set PIDF coefficients, etc.. Modest Improvements in Logging Decrease frequency of battery checker voltage statements. Removed non-FTC related log statements (wherever possible). Introduced a "Match Logging" feature. Under "Settings" a user can enable/disable this feature (it's disabled by default). If enabled, user provides a "Match Number" through the Driver Station user interface (top of the screen). The Match Number is used to create a log file specifically with log statements from that particular Op Mode run. Match log files are stored in /sdcard/FIRST/matlogs on the Robot Controller. Once an op mode run is complete, the Match Number is cleared. This is a convenient way to create a separate match log with statements only related to a specific op mode run. New Devices Support for REV Robotics Blinkin LED Controller. Support for REV Robotics 2m Distance Sensor. Added configuration option for REV 20:1 HD Hex Motor. Added support for a REV Touch Sensor (no longer have to configure as a generic digital device). Miscellaneous Fixed some errors in the definitions for acceleration and velocity in our javadoc documentation. Added ability to play audio files on Driver Station When user is configuring an Expansion Hub, the LED on the Expansion Hub will change blink pattern (purple-cyan) to indicate which Hub is currently being configured. Renamed I2cSensorType to I2cDeviceType. Added an external sample Op Mode that demonstrates localization using 2018-2019 (Rover Ruckus presented by QualComm) Vuforia targets. Added an external sample Op Mode that demonstrates how to use the REV Robotics 2m Laser Distance Sensor. Added an external sample Op Mode that demonstrates how to use the REV Robotics Blinkin LED Controller. Re-categorized external Java sample Op Modes to "TeleOp" instead of "Autonomous". Known issues: Initial support for UVC compatible cameras UVC cameras seem to draw significant amount of current from the USB bus. This does not appear to present any problems for the REV Robotics Control Hub. This does seem to create stability problems when using some cameras with an Android phone-based Robot Controller. FTC Tech Team is investigating options to mitigate this issue with the phone-based Robot Controllers. There might be a possible deadlock which causes the RC to become unresponsive when using a UVC webcam with a Nougat Android Robot Controller. Wireless When user selects a wireless channel, this channel does not necessarily persist if the phone is power cycled. Tech Team is hoping to eventually address this issue in a future release. Issue has been present since apps were introduced (i.e., it is not new with the v4.0 release). Wireless channel is not currently displayed for WiFi Direct connections. Miscellaneous The blink indication feature that shows which Expansion Hub is currently being configured does not work for a newly created configuration file. User has to first save a newly created configuration file and then close and re-edit the file in order for blink indicator to work. Version 3.6 (built on 17.12.18) Changes include: Blocks Changes Uses updated Google Blockly software to allow users to edit their op modes on Apple iOS devices (including iPad and iPhone). Improvement in Blocks tool to handle corrupt op mode files. Autonomous op modes should no longer get switched back to tele-op after re-opening them to be edited. The system can now detect type mismatches during runtime and alert the user with a message on the Driver Station. Updated javadoc documentation for setPower() method to reflect correct range of values (-1 to +1). Modified VuforiaLocalizerImpl to allow for user rendering of frames Added a user-overrideable onRenderFrame() method which gets called by the class's renderFrame() method. Version 3.5 (built on 17.10.30) Changes with version 3.5 include: Introduced a fix to prevent random op mode stops, which can occur after the Robot Controller app has been paused and then resumed (for example, when a user temporarily turns off the display of the Robot Controller phone, and then turns the screen back on). Introduced a fix to prevent random op mode stops, which were previously caused by random peer disconnect events on the Driver Station. Fixes issue where log files would be closed on pause of the RC or DS, but not re-opened upon resume. Fixes issue with battery handler (voltage) start/stop race. Fixes issue where Android Studio generated op modes would disappear from available list in certain situations. Fixes problem where OnBot Java would not build on REV Robotics Control Hub. Fixes problem where OnBot Java would not build if the date and time on the Robot Controller device was "rewound" (set to an earlier date/time). Improved error message on OnBot Java that occurs when renaming a file fails. Removed unneeded resources from android.jar binaries used by OnBot Java to reduce final size of Robot Controller app. Added MR_ANALOG_TOUCH_SENSOR block to Blocks Programming Tool. Version 3.4 (built on 17.09.06) Changes with version 3.4 include: Added telemetry.update() statement for BlankLinearOpMode template. Renamed sample Block op modes to be more consistent with Java samples. Added some additional sample Block op modes. Reworded OnBot Java readme slightly. Version 3.3 (built on 17.09.04) This version of the software includes improves for the FTC Blocks Programming Tool and the OnBot Java Programming Tool. Changes with verion 3.3 include: Android Studio ftc_app project has been updated to use Gradle Plugin 2.3.3. Android Studio ftc_app project is already using gradle 3.5 distribution. Robot Controller log has been renamed to /sdcard/RobotControllerLog.txt (note that this change was actually introduced w/ v3.2). Improvements in I2C reliability. Optimized I2C read for REV Expansion Hub, with v1.7 firmware or greater. Updated all external/samples (available through OnBot and in Android project folder). Vuforia Added support for VuMarks that will be used for the 2017-2018 season game. Blocks Update to latest Google Blockly release. Sample op modes can be selected as a template when creating new op mode. Fixed bug where the blocks would disappear temporarily when mouse button is held down. Added blocks for Range.clip and Range.scale. User can now disable/enable Block op modes. Fix to prevent occasional Blocks deadlock. OnBot Java Significant improvements with autocomplete function for OnBot Java editor. Sample op modes can be selected as a template when creating new op mode. Fixes and changes to complete hardware setup feature. Updated (and more useful) onBot welcome message. Known issues: Android Studio After updating to the new v3.3 Android Studio project folder, if you get error messages indicating "InvalidVirtualFileAccessException" then you might need to do a File->Invalidate Caches / Restart to clear the error. OnBot Java Sometimes when you push the build button to build all op modes, the RC returns an error message that the build failed. If you press the build button a second time, the build typically suceeds. Version 3.2 (built on 17.08.02) This version of the software introduces the "OnBot Java" Development Tool. Similar to the FTC Blocks Development Tool, the FTC OnBot Java Development Tool allows a user to create, edit and build op modes dynamically using only a Javascript-enabled web browser. The OnBot Java Development Tool is an integrated development environment (IDE) that is served up by the Robot Controller. Op modes are created and edited using a Javascript-enabled browser (Google Chromse is recommended). Op modes are saved on the Robot Controller Android device directly. The OnBot Java Development Tool provides a Java programming environment that does NOT need Android Studio. Changes with version 3.2 include: Enhanced web-based development tools Introduction of OnBot Java Development Tool. Web-based programming and management features are "always on" (user no longer needs to put Robot Controller into programming mode). Web-based management interface (where user can change Robot Controller name and also easily download Robot Controller log file). OnBot Java, Blocks and Management features available from web based interface. Blocks Programming Development Tool: Changed "LynxI2cColorRangeSensor" block to "REV Color/range sensor" block. Fixed tooltip for ColorSensor.isLightOn block. Added blocks for ColorSensor.getNormalizedColors and LynxI2cColorRangeSensor.getNormalizedColors. Added example op modes for digital touch sensor and REV Robotics Color Distance sensor. User selectable color themes. Includes many minor enhancements and fixes (too numerous to list). Known issues: Auto complete function is incomplete and does not support the following (for now): Access via this keyword Access via super keyword Members of the super cloass, not overridden by the class Any methods provided in the current class Inner classes Can't handle casted objects Any objects coming from an parenthetically enclosed expression Version 3.10 (built on 17.05.09) This version of the software provides support for the REV Robotics Expansion Hub. This version also includes improvements in the USB communication layer in an effort to enhance system resiliency. If you were using a 2.x version of the software previously, updating to version 3.1 requires that you also update your Driver Station software in addition to updating the Robot Controller software. Also note that in version 3.10 software, the setMaxSpeed and getMaxSpeed methods are no longer available (not deprecated, they have been removed from the SDK). Also note that the the new 3.x software incorporates motor profiles that a user can select as he/she configures the robot. Changes include: Blocks changes Added VuforiaTrackableDefaultListener.getPose and Vuforia.trackPose blocks. Added optimized blocks support for Vuforia extended tracking. Added atan2 block to the math category. Added useCompetitionFieldTargetLocations parameter to Vuforia.initialize block. If set to false, the target locations are placed at (0,0,0) with target orientation as specified in https://github.com/gearsincorg/FTCVuforiaDemo/blob/master/Robot_Navigation.java tutorial op mode. Incorporates additional improvements to USB comm layer to improve system resiliency (to recover from a greater number of communication disruptions). Additional Notes Regarding Version 3.00 (built on 17.04.13) In addition to the release changes listed below (see section labeled "Version 3.00 (built on 17.04.013)"), version 3.00 has the following important changes: Version 3.00 software uses a new version of the FTC Robocol (robot protocol). If you upgrade to v3.0 on the Robot Controller and/or Android Studio side, you must also upgrade the Driver Station software to match the new Robocol. Version 3.00 software removes the setMaxSpeed and getMaxSpeed methods from the DcMotor class. If you have an op mode that formerly used these methods, you will need to remove the references/calls to these methods. Instead, v3.0 provides the max speed information through the use of motor profiles that are selected by the user during robot configuration. Version 3.00 software currently does not have a mechanism to disable extra i2c sensors. We hope to re-introduce this function with a release in the near future. Version 3.00 (built on 17.04.13) *** Use this version of the software at YOUR OWN RISK!!! *** This software is being released as an "alpha" version. Use this version at your own risk! This pre-release software contains SIGNIFICANT changes, including changes to the Wi-Fi Direct pairing mechanism, rewrites of the I2C sensor classes, changes to the USB/FTDI layer, and the introduction of support for the REV Robotics Expansion Hub and the REV Robotics color-range-light sensor. These changes were implemented to improve the reliability and resiliency of the FTC control system. Please note, however, that version 3.00 is considered "alpha" code. This code is being released so that the FIRST community will have an opportunity to test the new REV Expansion Hub electronics module when it becomes available in May. The developers do not recommend using this code for critical applications (i.e., competition use). *** Use this version of the software at YOUR OWN RISK!!! *** Changes include: Major rework of sensor-related infrastructure. Includes rewriting sensor classes to implement synchronous I2C communication. Fix to reset Autonomous timer back to 30 seconds. Implementation of specific motor profiles for approved 12V motors (includes Tetrix, AndyMark, Matrix and REV models). Modest improvements to enhance Wi-Fi P2P pairing. Fixes telemetry log addition race. Publishes all the sources (not just a select few). Includes Block programming improvements Addition of optimized Vuforia blocks. Auto scrollbar to projects and sounds pages. Fixed blocks paste bug. Blocks execute after while-opModeIsActive loop (to allow for cleanup before exiting op mode). Added gyro integratedZValue block. Fixes bug with projects page for Firefox browser. Added IsSpeaking block to AndroidTextToSpeech. Implements support for the REV Robotics Expansion Hub Implements support for integral REV IMU (physically installed on I2C bus 0, uses same Bosch BNO055 9 axis absolute orientation sensor as Adafruit 9DOF abs orientation sensor). - Implements support for REV color/range/light sensor. Provides support to update Expansion Hub firmware through FTC SDK. Detects REV firmware version and records in log file. Includes support for REV Control Hub (note that the REV Control Hub is not yet approved for FTC use). Implements FTC Blocks programming support for REV Expansion Hub and sensor hardware. Detects and alerts when I2C device disconnect. Version 2.62 (built on 17.01.07) Added null pointer check before calling modeToByte() in finishModeSwitchIfNecessary method for ModernRoboticsUsbDcMotorController class. Changes to enhance Modern Robotics USB protocol robustness. Version 2.61 (released on 16.12.19) Blocks Programming mode changes: Fix to correct issue when an exception was thrown because an OpticalDistanceSensor object appears twice in the hardware map (the second time as a LightSensor). Version 2.6 (released on 16.12.16) Fixes for Gyro class: Improve (decrease) sensor refresh latency. fix isCalibrating issues. Blocks Programming mode changes: Blocks now ignores a device in the configuration xml if the name is empty. Other devices work in configuration work fine. Version 2.5 (internal release on released on 16.12.13) Blocks Programming mode changes: Added blocks support for AdafruitBNO055IMU. Added Download Op Mode button to FtcBocks.html. Added support for copying blocks in one OpMode and pasting them in an other OpMode. The clipboard content is stored on the phone, so the programming mode server must be running. Modified Utilities section of the toolbox. In Programming Mode, display information about the active connections. Fixed paste location when workspace has been scrolled. Added blocks support for the android Accelerometer. Fixed issue where Blocks Upload Op Mode truncated name at first dot. Added blocks support for Android SoundPool. Added type safety to blocks for Acceleration. Added type safety to blocks for AdafruitBNO055IMU.Parameters. Added type safety to blocks for AnalogInput. Added type safety to blocks for AngularVelocity. Added type safety to blocks for Color. Added type safety to blocks for ColorSensor. Added type safety to blocks for CompassSensor. Added type safety to blocks for CRServo. Added type safety to blocks for DigitalChannel. Added type safety to blocks for ElapsedTime. Added type safety to blocks for Gamepad. Added type safety to blocks for GyroSensor. Added type safety to blocks for IrSeekerSensor. Added type safety to blocks for LED. Added type safety to blocks for LightSensor. Added type safety to blocks for LinearOpMode. Added type safety to blocks for MagneticFlux. Added type safety to blocks for MatrixF. Added type safety to blocks for MrI2cCompassSensor. Added type safety to blocks for MrI2cRangeSensor. Added type safety to blocks for OpticalDistanceSensor. Added type safety to blocks for Orientation. Added type safety to blocks for Position. Added type safety to blocks for Quaternion. Added type safety to blocks for Servo. Added type safety to blocks for ServoController. Added type safety to blocks for Telemetry. Added type safety to blocks for Temperature. Added type safety to blocks for TouchSensor. Added type safety to blocks for UltrasonicSensor. Added type safety to blocks for VectorF. Added type safety to blocks for Velocity. Added type safety to blocks for VoltageSensor. Added type safety to blocks for VuforiaLocalizer.Parameters. Added type safety to blocks for VuforiaTrackable. Added type safety to blocks for VuforiaTrackables. Added type safety to blocks for enums in AdafruitBNO055IMU.Parameters. Added type safety to blocks for AndroidAccelerometer, AndroidGyroscope, AndroidOrientation, and AndroidTextToSpeech. Version 2.4 (released on 16.11.13) Fix to avoid crashing for nonexistent resources. Blocks Programming mode changes: Added blocks to support OpenGLMatrix, MatrixF, and VectorF. Added blocks to support AngleUnit, AxesOrder, AxesReference, CameraDirection, CameraMonitorFeedback, DistanceUnit, and TempUnit. Added blocks to support Acceleration. Added blocks to support LinearOpMode.getRuntime. Added blocks to support MagneticFlux and Position. Fixed typos. Made blocks for ElapsedTime more consistent with other objects. Added blocks to support Quaternion, Velocity, Orientation, AngularVelocity. Added blocks to support VuforiaTrackables, VuforiaTrackable, VuforiaLocalizer, VuforiaTrackableDefaultListener. Fixed a few blocks. Added type checking to new blocks. Updated to latest blockly. Added default variable blocks to navigation and matrix blocks. Fixed toolbox entry for openGLMatrix_rotation_withAxesArgs. When user downloads Blocks-generated op mode, only the .blk file is downloaded. When user uploads Blocks-generated op mode (.blk file), Javascript code is auto generated. Added DbgLog support. Added logging when a blocks file is read/written. Fixed bug to properly render blocks even if missing devices from configuration file. Added support for additional characters (not just alphanumeric) for the block file names (for download and upload). Added support for OpMode flavor (“Autonomous” or “TeleOp”) and group. Changes to Samples to prevent tutorial issues. Incorporated suggested changes from public pull 216 (“Replace .. paths”). Remove Servo Glitches when robot stopped. if user hits “Cancels” when editing a configuration file, clears the unsaved changes and reverts to original unmodified configuration. Added log info to help diagnose why the Robot Controller app was terminated (for example, by watch dog function). Added ability to transfer log from the controller. Fixed inconsistency for AngularVelocity Limit unbounded growth of data for telemetry. If user does not call telemetry.update() for LinearOpMode in a timely manner, data added for telemetry might get lost if size limit is exceeded. Version 2.35 (released on 16.10.06) Blockly programming mode - Removed unnecesary idle() call from blocks for new project. Version 2.30 (released on 16.10.05) Blockly programming mode: Mechanism added to save Blockly op modes from Programming Mode Server onto local device To avoid clutter, blocks are displayed in categorized folders Added support for DigitalChannel Added support for ModernRoboticsI2cCompassSensor Added support for ModernRoboticsI2cRangeSensor Added support for VoltageSensor Added support for AnalogInput Added support for AnalogOutput Fix for CompassSensor setMode block Vuforia Fix deadlock / make camera data available while Vuforia is running. Update to Vuforia 6.0.117 (recommended by Vuforia and Google to close security loophole). Fix for autonomous 30 second timer bug (where timer was in effect, even though it appeared to have timed out). opModeIsActive changes to allow cleanup after op mode is stopped (with enforced 2 second safety timeout). Fix to avoid reading i2c twice. Updated sample Op Modes. Improved logging and fixed intermittent freezing. Added digital I/O sample. Cleaned up device names in sample op modes to be consistent with Pushbot guide. Fix to allow use of IrSeekerSensorV3. Version 2.20 (released on 16.09.08) Support for Modern Robotics Compass Sensor. Support for Modern Robotics Range Sensor. Revise device names for Pushbot templates to match the names used in Pushbot guide. Fixed bug so that IrSeekerSensorV3 device is accessible as IrSeekerSensor in hardwareMap. Modified computer vision code to require an individual Vuforia license (per legal requirement from PTC). Minor fixes. Blockly enhancements: Support for Voltage Sensor. Support for Analog Input. Support for Analog Output. Support for Light Sensor. Support for Servo Controller. Version 2.10 (released on 16.09.03) Support for Adafruit IMU. Improvements to ModernRoboticsI2cGyro class Block on reset of z axis. isCalibrating() returns true while gyro is calibration. Updated sample gyro program. Blockly enhancements support for android.graphics.Color. added support for ElapsedTime. improved look and legibility of blocks. support for compass sensor. support for ultrasonic sensor. support for IrSeeker. support for LED. support for color sensor. support for CRServo prompt user to configure robot before using programming mode. Provides ability to disable audio cues. various bug fixes and improvements. Version 2.00 (released on 16.08.19) This is the new release for the upcoming 2016-2017 FIRST Tech Challenge Season. Channel change is enabled in the FTC Robot Controller app for Moto G 2nd and 3rd Gen phones. Users can now use annotations to register/disable their Op Modes. Changes in the Android SDK, JDK and build tool requirements (minsdk=19, java 1.7, build tools 23.0.3). Standardized units in analog input. Cleaned up code for existing analog sensor classes. setChannelMode and getChannelMode were REMOVED from the DcMotorController class. This is important - we no longer set the motor modes through the motor controller. setMode and getMode were added to the DcMotor class. ContinuousRotationServo class has been added to the FTC SDK. Range.clip() method has been overloaded so it can support this operation for int, short and byte integers. Some changes have been made (new methods added) on how a user can access items from the hardware map. Users can now set the zero power behavior for a DC motor so that the motor will brake or float when power is zero. Prototype Blockly Programming Mode has been added to FTC Robot Controller. Users can place the Robot Controller into this mode, and then use a device (such as a laptop) that has a Javascript enabled browser to write Blockly-based Op Modes directly onto the Robot Controller. Users can now configure the robot remotely through the FTC Driver Station app. Android Studio project supports Android Studio 2.1.x and compile SDK Version 23 (Marshmallow). Vuforia Computer Vision SDK integrated into FTC SDK. Users can use sample vision targets to get localization information on a standard FTC field. Project structure has been reorganized so that there is now a TeamCode package that users can use to place their local/custom Op Modes into this package. Inspection function has been integrated into the FTC Robot Controller and Driver Station Apps (Thanks Team HazMat… 9277 & 10650!). Audio cues have been incorporated into FTC SDK. Swap mechanism added to FTC Robot Controller configuration activity. For example, if you have two motor controllers on a robot, and you misidentified them in your configuration file, you can use the Swap button to swap the devices within the configuration file (so you do not have to manually re-enter in the configuration info for the two devices). Fix mechanism added to all user to replace an electronic module easily. For example, suppose a servo controller dies on your robot. You replace the broken module with a new module, which has a different serial number from the original servo controller. You can use the Fix button to automatically reconfigure your configuration file to use the serial number of the new module. Improvements made to fix resiliency and responsiveness of the system. For LinearOpMode the user now must for a telemetry.update() to update the telemetry data on the driver station. This update() mechanism ensures that the driver station gets the updated data properly and at the same time. The Auto Configure function of the Robot Controller is now template based. If there is a commonly used robot configuration, a template can be created so that the Auto Configure mechanism can be used to quickly configure a robot of this type. The logic to detect a runaway op mode (both in the LinearOpMode and OpMode types) and to abort the run, then auto recover has been improved/implemented. Fix has been incorporated so that Logitech F310 gamepad mappings will be correct for Marshmallow users. Release 16.07.08 For the ftc_app project, the gradle files have been modified to support Android Studio 2.1.x. Release 16.03.30 For the MIT App Inventor, the design blocks have new icons that better represent the function of each design component. Some changes were made to the shutdown logic to ensure the robust shutdown of some of our USB services. A change was made to LinearOpMode so as to allow a given instance to be executed more than once, which is required for the App Inventor. Javadoc improved/updated. Release 16.03.09 Changes made to make the FTC SDK synchronous (significant change!) waitOneFullHardwareCycle() and waitForNextHardwareCycle() are no longer needed and have been deprecated. runOpMode() (for a LinearOpMode) is now decoupled from the system's hardware read/write thread. loop() (for an OpMode) is now decoupled from the system's hardware read/write thread. Methods are synchronous. For example, if you call setMode(DcMotorController.RunMode.RESET_ENCODERS) for a motor, the encoder is guaranteed to be reset when the method call is complete. For legacy module (NXT compatible), user no longer has to toggle between read and write modes when reading from or writing to a legacy device. Changes made to enhance reliability/robustness during ESD event. Changes made to make code thread safe. Debug keystore added so that user-generated robot controller APKs will all use the same signed key (to avoid conflicts if a team has multiple developer laptops for example). Firmware version information for Modern Robotics modules are now logged. Changes made to improve USB comm reliability and robustness. Added support for voltage indicator for legacy (NXT-compatible) motor controllers. Changes made to provide auto stop capabilities for op modes. A LinearOpMode class will stop when the statements in runOpMode() are complete. User does not have to push the stop button on the driver station. If an op mode is stopped by the driver station, but there is a run away/uninterruptible thread persisting, the app will log an error message then force itself to crash to stop the runaway thread. Driver Station UI modified to display lowest measured voltage below current voltage (12V battery). Driver Station UI modified to have color background for current voltage (green=good, yellow=caution, red=danger, extremely low voltage). javadoc improved (edits and additional classes). Added app build time to About activity for driver station and robot controller apps. Display local IP addresses on Driver Station About activity. Added I2cDeviceSynchImpl. Added I2cDeviceSync interface. Added seconds() and milliseconds() to ElapsedTime for clarity. Added getCallbackCount() to I2cDevice. Added missing clearI2cPortActionFlag. Added code to create log messages while waiting for LinearOpMode shutdown. Fix so Wifi Direct Config activity will no longer launch multiple times. Added the ability to specify an alternate i2c address in software for the Modern Robotics gyro. Release 16.02.09 Improved battery checker feature so that voltage values get refreshed regularly (every 250 msec) on Driver Station (DS) user interface. Improved software so that Robot Controller (RC) is much more resilient and “self-healing” to USB disconnects: If user attempts to start/restart RC with one or more module missing, it will display a warning but still start up. When running an op mode, if one or more modules gets disconnected, the RC & DS will display warnings,and robot will keep on working in spite of the missing module(s). If a disconnected module gets physically reconnected the RC will auto detect the module and the user will regain control of the recently connected module. Warning messages are more helpful (identifies the type of module that’s missing plus its USB serial number). Code changes to fix the null gamepad reference when users try to reference the gamepads in the init() portion of their op mode. NXT light sensor output is now properly scaled. Note that teams might have to readjust their light threshold values in their op modes. On DS user interface, gamepad icon for a driver will disappear if the matching gamepad is disconnected or if that gamepad gets designated as a different driver. Robot Protocol (ROBOCOL) version number info is displayed in About screen on RC and DS apps. Incorporated a display filter on pairing screen to filter out devices that don’t use the “-“ format. This filter can be turned off to show all WiFi Direct devices. Updated text in License file. Fixed formatting error in OpticalDistanceSensor.toString(). Fixed issue on with a blank (“”) device name that would disrupt WiFi Direct Pairing. Made a change so that the WiFi info and battery info can be displayed more quickly on the DS upon connecting to RC. Improved javadoc generation. Modified code to make it easier to support language localization in the future. Release 16.01.04 Updated compileSdkVersion for apps Prevent Wifi from entering power saving mode removed unused import from driver station Corrrected "Dead zone" joystick code. LED.getDeviceName and .getConnectionInfo() return null apps check for ROBOCOL_VERSION mismatch Fix for Telemetry also has off-by-one errors in its data string sizing / short size limitations error User telemetry output is sorted. added formatting variants to DbgLog and RobotLog APIs code modified to allow for a long list of op mode names. changes to improve thread safety of RobocolDatagramSocket Fix for "missing hardware leaves robot controller disconnected from driver station" error fix for "fast tapping of Init/Start causes problems" (toast is now only instantiated on UI thread). added some log statements for thread life cycle. moved gamepad reset logic inside of initActiveOpMode() for robustness changes made to mitigate risk of race conditions on public methods. changes to try and flag when WiFi Direct name contains non-printable characters. fix to correct race condition between .run() and .close() in ReadWriteRunnableStandard. updated FTDI driver made ReadWriteRunnableStanard interface public. fixed off-by-one errors in Command constructor moved specific hardware implmentations into their own package. moved specific gamepad implemnatations to the hardware library. changed LICENSE file to new BSD version. fixed race condition when shutting down Modern Robotics USB devices. methods in the ColorSensor classes have been synchronized. corrected isBusy() status to reflect end of motion. corrected "back" button keycode. the notSupported() method of the GyroSensor class was changed to protected (it should not be public). Release 15.11.04.001 Added Support for Modern Robotics Gyro. The GyroSensor class now supports the MR Gyro Sensor. Users can access heading data (about Z axis) Users can also access raw gyro data (X, Y, & Z axes). Example MRGyroTest.java op mode included. Improved error messages More descriptive error messages for exceptions in user code. Updated DcMotor API Enable read mode on new address in setI2cAddress Fix so that driver station app resets the gamepads when switching op modes. USB-related code changes to make USB comm more responsive and to display more explicit error messages. Fix so that USB will recover properly if the USB bus returns garbage data. Fix USB initializtion race condition. Better error reporting during FTDI open. More explicit messages during USB failures. Fixed bug so that USB device is closed if event loop teardown method was not called. Fixed timer UI issue Fixed duplicate name UI bug (Legacy Module configuration). Fixed race condition in EventLoopManager. Fix to keep references stable when updating gamepad. For legacy Matrix motor/servo controllers removed necessity of appending "Motor" and "Servo" to controller names. Updated HT color sensor driver to use constants from ModernRoboticsUsbLegacyModule class. Updated MR color sensor driver to use constants from ModernRoboticsUsbDeviceInterfaceModule class. Correctly handle I2C Address change in all color sensors Updated/cleaned up op modes. Updated comments in LinearI2cAddressChange.java example op mode. Replaced the calls to "setChannelMode" with "setMode" (to match the new of the DcMotor method). Removed K9AutoTime.java op mode. Added MRGyroTest.java op mode (demonstrates how to use MR Gyro Sensor). Added MRRGBExample.java op mode (demonstrates how to use MR Color Sensor). Added HTRGBExample.java op mode (demonstrates how to use HT legacy color sensor). Added MatrixControllerDemo.java (demonstrates how to use legacy Matrix controller). Updated javadoc documentation. Updated release .apk files for Robot Controller and Driver Station apps. Release 15.10.06.002 Added support for Legacy Matrix 9.6V motor/servo controller. Cleaned up build.gradle file. Minor UI and bug fixes for driver station and robot controller apps. Throws error if Ultrasonic sensor (NXT) is not configured for legacy module port 4 or 5. Release 15.08.03.001 New user interfaces for FTC Driver Station and FTC Robot Controller apps. An init() method is added to the OpMode class. For this release, init() is triggered right before the start() method. Eventually, the init() method will be triggered when the user presses an "INIT" button on driver station. The init() and loop() methods are now required (i.e., need to be overridden in the user's op mode). The start() and stop() methods are optional. A new LinearOpMode class is introduced. Teams can use the LinearOpMode mode to create a linear (not event driven) program model. Teams can use blocking statements like Thread.sleep() within a linear op mode. The API for the Legacy Module and Core Device Interface Module have been updated. Support for encoders with the Legacy Module is now working. The hardware loop has been updated for better performance. CVE-2019-11358 89 296 15 296 8885530503685504976 +github:1116322655 2025-12-14 2025-12-14 f https://github.com/phamdinhquy2512/CVE-2025-6019-Exploitation CVE-2025-6019 0 0 0 0 6882722943188523764 +github:530137358 2022-08-30 2022-08-31 f https://github.com/Vulnmachines/Apache-spark-CVE-2022-33891 Apache Spark RCE - CVE-2022-33891 CVE-2022-33891 0 1 1 1 5899931730374892584 +github:100739963 2017-09-11 2017-09-11 f https://github.com/homjxi0e/CVE-2017-9779 Automatic execution Payload From Windows By Path Users All Exploit Via File bashrc CVE-2017-9779 1 0 0 0 3462015272401793544 +github:482377691 2025-01-14 2026-07-23 f https://github.com/UNICORDev/exploit-CVE-2021-22204 Exploit for CVE-2021-22204 (ExifTool) - Arbitrary Code Execution CVE-2021-22204 6 53 2 53 4494984295790251685 +github:437965181 2021-12-23 2021-12-23 f https://github.com/rodfer0x80/log4j2-prosecutor CVE-2021-44228 CVE-2021-44228 0 0 1 0 4224163252070736738 +github:1117655742 2025-12-16 2025-12-16 f https://github.com/Mustafa1p/Next.js-RCE-Scanner---CVE-2025-55182-CVE-2025-66478 An advanced vulnerability scanner for detecting **CVE-2025-55182** and **CVE-2025-66478** - critical Remote Code Execution (RCE) vulnerabilities in Next.js applications using React Server Components (RSC). CVE-2025-55182 0 0 0 0 6192004612917851512 +github:637610342 2023-05-24 2025-08-14 f https://github.com/ssst0n3/kata-cve-2020-2023-poc CVE-2020-2023 2 3 1 3 9215336396852503664 +github:1151852494 2026-02-07 2026-07-06 f https://github.com/sho-luv/MongoBleed CVE-2025-14847 (MongoBleed) scanner and exploit tool. Unauthenticated MongoDB heap memory leak via zlib decompression. Detection, memory extraction, credential parsing, CIDR/batch scanning, Nuclei templates, and CTF lab included CVE-2025-14847 0 2 0 2 3437527383652496514 +github:998082155 2025-06-08 2025-06-08 f https://github.com/haxerr9/CVE-2017-5638 CVE-2017-5638 Exploit Rewritten In Python By haxerr9 CVE-2017-5638 1 1 0 1 8955798484516552379 +github:536322502 2022-12-09 2026-02-20 f https://github.com/und3sc0n0c1d0/CVE-2022-1292 Automation to validate the impact of the vulnerability CVE-2022-1292 on a specific system. CVE-2022-1292 0 7 1 7 5139658468166908668 +github:522902710 2022-08-09 2025-01-03 f https://github.com/karthikuj/CVE-2022-31101 Exploit for PrestaShop bockwishlist module 2.1.0 SQLi (CVE-2022-31101) CVE-2022-31101 13 25 2 25 2464110332823150810 +github:1005905577 2025-06-21 2026-03-25 f https://github.com/samaellovecraft/CVE-2020-21365 CVE-2020-21365 0 1 0 1 6759198485723562604 +github:746077851 2024-01-21 2024-01-21 f https://github.com/scabench/jsonorg-fn1 simple application with a CVE-2022-45688 vulnerability CVE-2022-45688 0 1 2 1 127707917358610894 +github:1053557793 2025-09-09 2025-09-09 f https://github.com/moften/Log4Shell Log4Shell CVE-2021-44228 PoC CVE-2021-44228 1 0 0 0 3000373946982501379 +github:579853949 2022-12-19 2022-12-19 f https://github.com/nidhihcl/external_expat_2.1.0_CVE-2022-43680 CVE-2022-43680 1 0 1 0 285266128044908459 +github:155380798 2018-10-30 2018-10-30 f https://github.com/matlink/cve-2017-1000083-atril-nautilus CVE-2017-1000083 0 0 1 0 5286320138747843209 +github:104967629 2024-05-21 2026-06-30 f https://github.com/brokensound77/OptionsBleed-POC-Scanner OptionsBleed (CVE-2017-9798) PoC / Scanner CVE-2017-9798 4 19 1 19 7549427697571680387 +github:671018679 2023-07-26 2025-02-14 f https://github.com/ThickCoco/CVE-2023-27163-POC Poc of SSRF for Request-Baskets (CVE-2023-27163) CVE-2023-27163 1 1 1 1 5184476832640578018 +github:780441896 2024-04-10 2024-08-30 f https://github.com/HSw109/CVE-2018-10933 Education purpose for CVE-2018-10933 CVE-2018-10933 0 4 1 4 531805245702491379 +github:438335194 2021-12-15 2024-05-15 f https://github.com/Ryze-T/CVE-2021-43798 Grafana8.x 任意文件读取 CVE-2021-43798 1 2 1 2 4086273215296112938 +github:440842354 2021-12-21 2021-12-22 f https://github.com/ssl-user-en/Log4j-Scanner-Exploit Script en bash que permite identificar la vulnerabilidad Log4j CVE-2021-44228 de forma remota. CVE-2021-44228 4 0 0 0 87749415190130868 +github:1252488892 2026-05-28 2026-05-31 f https://github.com/3nou9h/CVE-2026-9256-Poc CVE-2026-9256 1 2 0 2 8520094074929196147 +github:689195418 2023-09-11 2023-09-09 f https://github.com/Thampakon/CVE-2019-8331 ช่องโหว่ CVE-2019-8331 CVE-2019-8331 0 0 1 0 2273731750909575785 +github:491043801 2022-05-11 2022-05-11 f https://github.com/ShaikUsaf/external_expact_AOSP10_r33_CVE-2022-25315 CVE-2022-25315 0 0 1 0 6629480194913338815 +github:285586960 2020-08-06 2020-08-12 f https://github.com/team0se7en/CVE-2020-8816 Pi-hole ( <= 4.3.2) authenticated remote code execution. CVE-2020-8816 0 6 1 6 4147383323567655688 +github:1065559135 2025-09-28 2025-09-28 f https://github.com/ethan-repo-lab4b6/CVE-2022-36537 CVE-2022-36537 0 0 0 0 2231879171011342409 +github:894667013 2024-11-26 2026-01-27 f https://github.com/JayRyz/CVE-2023-38646-PoC-Metabase Proof-of-Concept script for exploiting CVE-2023-38646. Intended for educational and research purposes only. CVE-2023-38646 0 2 1 2 7669854502587901079 +github:1303394239 2026-07-17 2026-07-17 f https://github.com/Ch4120N/CVE-2026-55579 CVE-2026-55579 – Unauthenticated RCE in Pheditor via hardcoded default password "admin". Full Python exploit with file upload & terminal execution. No dependencies. CVE-2026-55579 0 1 0 1 5260692437311418671 +github:1176189572 2026-03-08 2026-03-08 f https://github.com/Ravi-lk/CVE-2024-51482-ZoneMinder-v1.37.-1.37.64-SQL-Injection-POC ZoneMinder Time-Based SQL Injection (CVE-2024-51482) Exploit POC CVE-2024-51482 0 0 0 0 6472556342322806583 +github:1208141629 2026-04-11 2026-04-11 f https://github.com/mooder1/CVE-2025-49113 Roundcube Webmail post-auth RCE via PHP object deserialization (CVE-2025-49113) CVE-2025-49113 0 0 0 0 1243757708042533253 +github:1186457890 2026-07-02 2026-07-02 f https://github.com/alexb616/SessionReaper-CVE-2025-54236 PoC Magento Session Reaper - CVE-2025-54236 CVE-2025-54236 0 1 0 1 5899400058417633995 +github:414514606 2021-10-08 2024-08-12 f https://github.com/vinhjaxt/CVE-2021-41773-exploit CVE-2021-41773, poc, exploit CVE-2021-41773 1 1 1 1 4447268323592594584 +github:975468052 2025-04-30 2025-05-01 f https://github.com/tunahantekeoglu/CVE-2025-31650 CVE-2025-31650 PoC CVE-2025-31650 1 2 1 2 8549885687059391160 +github:124410900 2018-10-08 2025-05-30 f https://github.com/m3ssap0/SpringBreakVulnerableApp WARNING: This is a vulnerable application to test the exploit for the Spring Break vulnerability (CVE-2017-8046). Run it at your own risk! CVE-2017-8046 10 14 2 14 6376453214039882845 +github:437526168 2022-02-23 2026-06-04 f https://github.com/CodeShield-Security/Log4JShell-Bytecode-Detector Local Bytecode Scanner for the Log4JShell Vulnerability (CVE-2021-44228) CVE-2021-44228 9 49 8 49 3118349750348228694 +github:954800415 2025-03-27 2025-08-27 f https://github.com/elamani-drawing/CVE-2024-4367-POC-PDFJS PoC (Proof of Concept) de la CVE-2024-4367 - Vulnérabilité RCE dans libwebp. Démonstration complète incluant : création de payloads, scénarios d'attaque, analyse des risques et serveur Express.js de test. CVE-2024-4367 0 1 1 1 3806098648188374580 +github:710370837 2023-10-28 2023-11-13 f https://github.com/windecks/CVE-2023-46404 PoC and Writeup for CVE-2023-46404. CVE-2023-46404 0 3 1 3 1147337683868517428 +github:1031406725 2025-08-03 2025-08-03 f https://github.com/gmh5225/CVE-2025-24893-RCE-PoC This is a small script for the rce vulnerability for CVE-2025-24893. It supports basic input/output CVE-2025-24893 0 0 0 0 7885439189691884472 +github:1112422942 2025-12-08 2025-12-08 f https://github.com/LQTjim/next-bug-CVE-2025-55182 CVE-2025-55182 0 0 0 0 3859746732303438400 +github:1313876501 2026-07-27 2026-07-28 f https://github.com/zer0dayf/CVE-2026-65008 CVE-2026-65008 CVE-2026-65008 0 0 0 0 5565930113153401519 +github:1180102730 2026-03-12 2026-03-12 f https://github.com/LunaLynx12/cve-2023-43208-poc CVE-2023-43208 0 0 0 0 7851200529600539458 +github:326508613 2021-01-03 2024-02-12 f https://github.com/hybryx/CVE-2020-8165 CVE-2020-8165 0 4 1 4 1794736441819096045 +github:676573097 2023-08-11 2026-06-30 f https://github.com/robotmikhro/CVE-2023-38646 Automatic Tools For Metabase Exploit Known As CVE-2023-38646 CVE-2023-38646 6 27 1 27 828472387328678827 +github:1110251699 2025-12-05 2026-01-16 f https://github.com/Cillian-Collins/CVE-2025-55182 A proof of concept exploit script for CVE-2025-55182 CVE-2025-55182 1 3 0 3 301426597107679287 +github:1307938825 2026-07-21 2026-07-21 f https://github.com/6t2kydmp8k-jpg/CVE-2025-55182-Vulnerability-Proof-of-Concept-Group-Project- CVE-2025-55182 0 0 0 0 3691756143584855745 +github:111325445 2017-11-19 2025-05-17 f https://github.com/pedro823/cve-2016-10033-45 Exploits CVE-2016-10033 and CVE-2016-10045 CVE-2016-10033 0 2 1 2 1365572002076208363 +github:829299358 2024-07-16 2025-02-20 f https://github.com/piperpwn/CVE-2021-3129-piperpwn Laravel Debug Mode and Payload CVE-2021-3129 0 0 1 0 1366076172046154486 +github:467872655 2022-03-09 2022-03-10 f https://github.com/AyoubNajim/cve-2022-0847dirtypipe-exploit CVE-2022-0847 2 0 1 0 6301541263263991658 +github:509694771 2022-07-12 2024-04-10 f https://github.com/safe3s/CVE-2022-2185-poc CVE-2022-2185 poc CVE-2022-2185 4 13 5 13 5018208775891313342 +github:784425919 2024-12-18 2026-01-07 f https://github.com/ThaySolis/CVE-2024-29296 CVE-2024-29296 - User enumeration on Portainer CE - 2.19.4 CVE-2024-29296 0 4 1 4 207859843002064582 +github:810040956 2024-06-04 2024-06-04 f https://github.com/exfil0/test_iconv This repository contains a C program to test for CVE-2024-2961, a buffer overflow vulnerability in the iconv() function of glibc. CVE-2024-2961 0 0 1 0 5057479868112829153 +github:439085356 2021-12-30 2025-01-21 f https://github.com/mergebase/log4j-samples Public testing data. Samples of log4j library versions to help log4j scanners / detectors improve their accuracy for detecting CVE-2021-45046 and CVE-2021-44228. TAG_TESTING, OWNER_KEN, DC_PUBLIC CVE-2021-45046 1 14 4 14 717462073333977730 +github:1038051307 2025-08-18 2025-08-18 f https://github.com/solovvway/CVE-2018-6574 POC of CVE-2018-6574 to solve Pentestlab challenge CVE-2018-6574 0 0 0 0 6425919673764967938 +github:442699680 2021-12-29 2022-02-11 f https://github.com/cckuailong/log4j_RCE_CVE-2021-44832 CVE-2021-44832 1 4 1 4 1371096728034744974 +github:1130725770 2026-01-08 2026-01-28 f https://github.com/12nio/CVE-2025-68428_PoC CVE-2025-68428 Proof of Concept CVE-2025-68428 6 24 0 24 2556613363556523623 +github:438615335 2025-01-22 2026-07-10 f https://github.com/redhuntlabs/Log4JHunt An automated, reliable scanner for the Log4Shell (CVE-2021-44228) vulnerability. CVE-2021-44228 8 47 3 47 3995822856163130049 +github:1191048895 2026-04-09 2026-07-02 f https://github.com/RandyNin/CVE-2023-4220 CVE-2023-4220 0 0 0 0 5929368176835002206 +github:391625076 2021-08-01 2021-08-01 f https://github.com/ErnestZiemkowski/cve-2018-6574 CVE-2018-6574 0 0 1 0 7590069709329304487 +github:1208386289 2026-06-23 2026-06-23 f https://github.com/HackinKraken/Security-Research-and-CVE Security research and CVE write-ups by Steven Amador (HackinKraken) - CVE-2022-2650, CVE-2026-39338 CVE-2022-2650 0 0 0 0 2510906392117316485 +github:735320790 2023-12-24 2026-06-09 f https://github.com/Yuma-Tsushima07/CVE-2023-26035 ZoneMinder Snapshots - Unauthenticated CVE-2023-26035 1 2 1 2 7333784315333376078 +github:632970924 2023-04-26 2026-07-27 f https://github.com/ethiack/CVE-2023-29007 PoC repository for CVE-2023-29007 CVE-2023-29007 14 36 2 36 6348171245624550804 +github:1124377233 2026-02-20 2026-02-28 f https://github.com/franksec42/mongobleed-exploit-CVE-2025-14847 Explot, Lab, Scanner - external and docker container, for SMongobleed-CVE-2025-14847 plus phoenix security uploader CVE-2025-14847 1 3 0 3 3484900868779113539 +github:490781035 2022-05-10 2022-05-11 f https://github.com/sprushed/CVE-2022-30292 CVE-2022-30292 0 2 3 2 8909567162911984998 +github:806731455 2024-05-27 2024-05-27 f https://github.com/c0deur/CVE-2023-51385 CVE-2023-51385 0 0 1 0 6220400362404780649 +github:889610570 2024-11-16 2025-03-18 f https://github.com/OHDUDEOKNICE/CVE-2024-49379 CVE-2024-49379 PoC CVE-2024-49379 0 1 1 1 7601310556935887226 +github:1157535660 2026-04-16 2026-04-16 f https://github.com/seal-sec-demo-2/npm-demo Browser demo: EJS template injection (CVE-2022-29078) with Seal Security remediation CVE-2022-29078 2 0 0 0 3477260849227688623 +github:1198274298 2026-04-01 2026-04-01 f https://github.com/kavin71725/CVE-2025-12543-Fix-for-Wildfly CVE-2025-12543 0 0 0 0 8309978423479101985 +github:1108263489 2025-12-02 2025-12-02 f https://github.com/poblaguev-tot/CVE-2025-63499 POC for CVE-2025-63499 CVE-2025-63499 1 1 0 1 636768152197324645 +github:1091454948 2025-11-07 2025-11-07 f https://github.com/Kgan0509/CVE-2025-63585 CVE-2025-63585 0 0 0 0 4248808189065277552 +github:1237797464 2026-06-29 2026-06-29 f https://github.com/daehyuh/CVE-2026-41729 CVE-2026-41729 PoC CVE-2026-41729 0 0 0 0 1758320488957559286 +github:1126439888 2026-02-12 2026-02-12 f https://github.com/spanwich/sel4-ics-gateway-demo Defensive security demo: seL4 microkernel gateway protecting vulnerable ICS from CVE-2019-14462 CVE-2019-14462 0 0 0 0 93358860157718373 +github:437026730 2021-12-10 2022-11-09 f https://github.com/nkoneko/VictimApp Vulnerable to CVE-2021-44228. trustURLCodebase is not required. CVE-2021-44228 2 4 1 4 3077193359229895120 +github:1112981900 2025-12-09 2025-12-09 f https://github.com/keshavyaduvans/cve-2025-55182 CVE-2025-55182 0 1 0 1 5118027228788649864 +github:540989582 2022-09-25 2025-03-17 f https://github.com/Shakun8/CVE-2016-2098 CVE-2016-2098 POC CVE-2016-2098 0 2 1 2 3613976066490002712 +github:437214791 2021-12-11 2023-06-19 f https://github.com/saharNooby/log4j-vulnerability-patcher-agent Fixes CVE-2021-44228 in log4j by patching JndiLookup class CVE-2021-44228 2 3 1 3 3322318550264515033 +github:1206810311 2026-07-16 2026-07-16 f https://github.com/Sch8ill/CVE-2026-31309 Improper Access Control in Mysterium Node before v1.36.0 CVE-2026-31309 0 0 0 0 7412526834131985837 +github:977846192 2025-05-05 2025-08-04 f https://github.com/Artemir7/CVE-2025-24893-EXP CVE-2025-24893 0 2 1 2 5295317655784150610 +github:789840283 2025-05-11 2025-05-11 f https://github.com/bde574786/Sequelize-1day-CVE-2023-25813 CVE-2023-25813 0 0 1 0 1439573706168004306 +github:1253704043 2026-05-29 2026-05-29 f https://github.com/portbuster1337/CVE-2026-46376 CVE-2026-46376 - FreePBX Unauthenticated UCP Access via Hard-Coded Credentials CVE-2026-46376 0 0 0 0 6582384626668941020 +github:1039124650 2025-10-20 2025-08-16 f https://github.com/shoucheng3/xwiki__xwiki-commons_CVE-2023-36471_14-10-5 CVE-2023-36471 0 0 0 0 772438520771101358 +github:877680662 2024-10-24 2025-12-05 f https://github.com/bartfroklage/CVE-2024-37383-POC Proof of concept for CVE-2024-37383 CVE-2024-37383 1 5 1 5 999875155769031935 +github:993920679 2025-06-05 2025-06-27 f https://github.com/Cythonic1/CVE-2024-9264 A go implementation for CVE-2024-9264 which effect grafana versions 11.0.x, 11.1.x, and 11.2.x. CVE-2024-9264 0 3 0 3 9197494796951578283 +github:437664611 2021-12-12 2025-12-05 f https://github.com/corneacristian/Log4J-CVE-2021-44228-RCE Log4J (CVE-2021-44228) Exploit with Remote Command Execution (RCE) CVE-2021-44228 2 4 1 4 1067450966043615700 +github:438028657 2021-12-13 2021-12-13 f https://github.com/snatalius/log4j2-CVE-2021-44228-poc-local Just a personal proof of concept of CVE-2021-44228 on log4j2 CVE-2021-44228 0 0 1 0 8605790608010346800 +github:929938400 2025-02-09 2025-12-29 f https://github.com/OmarV4066/SSHEnumKL SSHEnum es una herramienta de enumeración de usuarios SSH basada en CVE-2018-15473. Permite detectar usuarios válidos aprovechando respuestas diferenciadas del servidor. Es rápida, compatible con Python 3.12 y soporta wordlists. Uso exclusivo para auditoría y pruebas de seguridad autorizadas. CVE-2018-15473 0 1 1 1 9134418218744210556 +github:166368513 2019-01-19 2023-01-10 f https://github.com/praveensutar/CVE-2019-6263-Joomla-POC CVE-2019-6263 0 6 1 6 7741251592916180240 +github:1305263802 2026-07-18 2026-07-18 f https://github.com/Jvr2022/CVE-2026-46420 PoC for CVE-2026-46420, command injection in shivammathur/setup-php via repository-controlled PHP version resolution. CVE-2026-46420 0 1 0 1 5165992561201673003 +github:647150606 2023-05-30 2023-05-30 f https://github.com/Tornad0007/CVE-2023-2825-Gitlab the proof of concept written in Python for an unauthenticated malicious user can use a path traversal vulnerability to read arbitrary files on the server when an attachment exists in a public project nested within at least five groups. This is a critical severity issue CVE-2023-2825 1 0 1 0 6647697572513199178 +github:1177612463 2026-03-10 2026-03-10 f https://github.com/SandBlastx/flask-vuln-v5 CVE-2024-34064 demo - v5 regex missing end anchor CVE-2024-34064 0 0 0 0 1157725633316895546 +github:1208717371 2026-04-12 2026-04-12 f https://github.com/kartik2005221/CVE-2025-58434-poc CVE-2025-58434 0 1 0 1 4930088670227500242 +github:368556385 2021-05-18 2024-08-12 f https://github.com/Vulnmachines/ZF3_CVE-2021-3007 ZendFramework_CVE-2021-3007 PoC CVE-2021-3007 1 1 1 1 8244807265217216279 +github:633935909 2023-04-28 2023-08-28 f https://github.com/jmrcsnchz/CVE-2023-30854 CVE-2023-30854 1 1 1 1 3041025888809754040 +github:131232015 2018-04-26 2024-08-12 f https://github.com/1337g/Drupalgedon3 POC to test/exploit drupal vulnerability SA-CORE-2018-004 / CVE-2018-7602 CVE-2018-7602 2 6 0 6 3782606417938341522 +github:1144245863 2026-01-28 2026-01-28 f https://github.com/stfnw/reproducer-poc-CVE-2022-0847 Very rough PoC for detecting/reproducing CVE-2022-0847 (dirty pipe) through random generation of syscalls and differential fuzzing against a model. CVE-2022-0847 0 0 0 0 1470257603618305723 +github:1208064767 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-69215 CVE-2025-69215 - OpenSTAManager has an SQL Injection in the Stampe Module CVE-2025-69215 0 0 0 0 2049867106566288852 +github:981056220 2025-05-10 2025-12-08 f https://github.com/ReaJason/CVE-2024-28752 Apache CXF SSRF CVE-2024-28752 CVE-2024-28752 1 1 1 1 8262207618704741532 +github:1121504703 2025-12-23 2025-12-23 f https://github.com/ckex/test-vuln a controlled environment to test CVE-2025-55182. CVE-2025-55182 0 0 0 0 3111578041091252759 +github:496741511 2025-09-15 2025-09-15 f https://github.com/afine-com/CVE-2018-25031 .json and .yaml files used to exploit CVE-2018-25031 CVE-2018-25031 11 2 0 2 5392014509162505574 +github:1172884080 2026-03-04 2026-07-21 f https://github.com/Faridi-m/CVE-2021-22911-RocketChat CVE-2021-22911 0 2 0 2 8063111268043455088 +github:873286914 2024-10-15 2024-10-15 f https://github.com/SpiralBL0CK/CVE-2024-24684 Crash File ( Poc for CVE-2024-24684) CVE-2024-24684 1 0 1 0 2463338427994179555 +github:452770723 2022-01-27 2022-01-27 f https://github.com/BrunoPincho/cve-2018-16763-rust CVE-2018-16763 0 0 1 0 8982303710129111227 +github:422768409 2021-10-30 2026-02-03 f https://github.com/whwlsfb/CVE-2021-22205 CVE-2021-22205 Gitlab 未授权远程代码执行漏洞 EXP, 移除了对djvumake & djvulibre的依赖，可在win平台使用 CVE-2021-22205 13 23 2 23 2638569296243795192 +github:1293914065 2026-07-08 2026-07-13 f https://github.com/gagaltotal/CVE-2026-44825-Apache-Solr-Scanner Apache Solr instances that may be affected by CVE-2026-44825, related to Velocity Template Remote Code Execution (RCE) conditions. CVE-2026-44825 1 11 0 11 5311613585790169999 +github:534876346 2022-09-10 2022-09-26 f https://github.com/miko550/CVE-2016-5734-docker PhpMyAdmin 4.0.x—4.6.2 Remote Code Execution Vulnerability (CVE-2016-5734) CVE-2016-5734 0 1 1 1 8690862201657262523 +github:468567023 2022-03-11 2022-03-11 f https://github.com/hh-hunter/cve-2022-22947-docker cve-2022-22947-docker CVE-2022-22947 0 0 1 0 8351783610566251711 +github:1230617667 2026-05-06 2026-05-06 f https://github.com/aidilzlkfli/Scanning Analysis of network scan results, service vulnerabilities, OS fingerprinting, and critical Nessus findings including Ghostcat (CVE-2020-1938). CVE-2020-1938 0 0 0 0 2406230684221192033 +github:395855471 2021-11-03 2021-11-03 f https://github.com/dnr6419/CVE-2021-32644 Ampache XSS CVE-2021-32644 0 0 1 0 3288631894646552374 +github:537536294 2022-09-16 2022-09-17 f https://github.com/danbudris/CVE-2022-23773-repro PoC repro of CVE-2022-23773 in Go CVE-2022-23773 0 1 1 1 5253478043038297668 +github:489594510 2022-05-07 2026-02-27 f https://github.com/muzalam/FFMPEG-exploit FFMPEG heap overflow exploit CVE-2016-10190 CVE-2016-10190 0 3 1 3 3658838743302178466 +github:711577493 2023-12-02 2023-10-29 f https://github.com/hotblac/cve-2022-31692 Demonstration of CVE-2022-31692 authorization bypass in Spring Security CVE-2022-31692 0 0 1 0 8417541561452408586 +github:89426502 2026-03-13 2026-06-14 f https://github.com/wetw0rk/Exploit-Development CVE-2020-8012, CVE-2016-10709, CVE-2017-17099, CVE-2017-18047, CVE-2019-1003000, CVE-2018-1999002 CVE-2016-10709 32 83 5 83 7376776446948529128 +github:717720175 2024-01-24 2026-07-28 f https://github.com/duck-sec/CVE-2023-46604-ActiveMQ-RCE-pseudoshell This script leverages CVE-2023046604 (Apache ActiveMQ) to generate a pseudo shell. The vulnerability allows for remote code execution due to unsafe deserialization within the OpenWire protocol. CVE-2023-46604 6 19 1 19 7818635568579427003 +github:893279532 2024-11-24 2025-07-08 f https://github.com/Cyb3rFr0g/CVE-2024-48990-PoC My take on the needrestart Python CVE-2024-48990 CVE-2024-48990 0 2 1 2 2563684108019461014 +github:1011295040 2025-06-30 2026-07-09 f https://github.com/ForceEA001/CVE-2024-40898-SSL-Bypass-Detection This Python script is a Proof-of-Concept (PoC) scanner for detecting the vulnerability CVE-2024-40898, which affects Apache HTTP Server’s SSL certificate validation. CVE-2024-40898 1 2 1 2 7858186402930019530 +github:1118411585 2025-12-17 2026-06-25 f https://github.com/ceh-aditya-raj/CVE-2025-55182 Proof-of-concept research tool for CVE-2025-55182, a critical unauthenticated RCE in Next.js App Router caused by server-side object injection in React Server Components and Server Actions, including UTF-16LE WAF evasion techniques. CVE-2025-55182 0 2 0 2 3928510860950645822 +github:1060896534 2025-10-27 2026-06-03 f https://github.com/RelicHunt3r/swagger-ui Swagger UI (CVE-2018-25031) POC, [HTMLi, XSS]. CVE-2018-25031 0 0 0 0 8809261232125746913 +github:1110658984 2025-12-05 2026-05-20 f https://github.com/nehkark/CVE-2025-55182 PoC: CVE-2025-55182 (React) and CVE-2025-66478 (Next.js) CVE-2025-55182 1 7 0 7 4593683277318644351 +github:1251612535 2026-05-27 2026-05-27 f https://github.com/Robblackcatchai/porfolio-Baron-Samedit this is a study about CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) CVE-2021-3156 0 0 0 0 7184200566035942149 +github:1204536231 2026-04-08 2026-04-08 f https://github.com/doaso/CVE-2023-42115 CVE-2023-42115 0 0 0 0 5536546332617591216 +github:563855794 2022-11-24 2022-11-10 f https://github.com/bantu2301/CVE-2018-16858 CVE-2018-16858 0 1 1 1 6140662208115061167 +github:1114348950 2025-12-11 2026-05-07 f https://github.com/Tiger-Foxx/exploit-react-CVE-2025-55182 This tool is a Proof of Concept (PoC) intended for security research and educational purposes only. Using this tool on systems without explicit permission is illegal and punishable by law. The author (Tiger-Foxx) assumes no responsibility for misuse. CVE-2025-55182 0 5 0 5 4798193679322830413 +github:1123455008 2025-12-26 2026-01-09 f https://github.com/LingerANR/n8n-CVE-2025-68613 This laboratory provides a controlled environment to analyze and reproduce CVE-2025-68613 in a vulnerable n8n instance. CVE-2025-68613 0 7 0 7 3677510214898862820 +github:463203318 2022-02-25 2022-02-26 f https://github.com/hamm0nz/CVE-2020-18324 Exploit PoC for CVE-2020-18324 CVE-2020-18324 0 1 1 1 2137764394550546109 +github:521908781 2022-12-18 2026-07-19 f https://github.com/efchatz/HTTP3-attacks HTTP3-attacks (CVE-2022-30592) CVE-2022-30592 17 81 4 81 8598466609869855411 +github:641402117 2023-05-16 2025-04-01 f https://github.com/itlabbet/CVE-2023-32309 Example project illustrating CVE-2023-32309 vulnerability CVE-2023-32309 0 0 1 0 6389680262379595004 +github:988126407 2025-05-22 2025-05-22 f https://github.com/harish0x/CVE-2025-44108-SXSS CVE-2025-44108 0 0 1 0 5583118661247040551 +github:1261202872 2026-06-19 2026-06-19 f https://github.com/daytriftnewgen/CVE-2026-21876 CVE-2026-21876 PoC: WAF charset bypass (Flask, ASP.NET and Spring Boot stands) CVE-2026-21876 0 0 1 0 8952684591083792232 +github:927069429 2025-02-05 2025-02-26 f https://github.com/dani33339/Tough-Cookie-v2.5.0-Patched CVE-2023-26136 vulnerability research CVE-2023-26136 0 0 1 0 8373152082719844646 +github:779944558 2026-02-18 2026-02-18 f https://github.com/hapa3/CVE-2024-31666 CVE-2024-31666 0 1 1 1 4487731749325031842 +github:1121437809 2025-12-24 2026-02-12 f https://github.com/0xrakan/coolify-cve-2025-66209-66213 Public security advisory for CVE-2025-66209, CVE-2025-66210, CVE-2025-66211, CVE-2025-66212, and CVE-2025-66213 CVE-2025-66209 0 1 0 1 5812880912520747932 +github:494965568 2022-05-26 2026-05-13 f https://github.com/wuhan005/CVE-2022-30781 🍵 Gitea repository migration remote command execution exploit. CVE-2022-30781 15 85 1 85 6417815519483033680 +github:97992350 2017-07-22 2026-04-25 f https://github.com/gteissier/CVE-2016-6271 Proof of concept for ZRTP man-in-the-middle CVE-2016-6271 4 5 1 5 2941923695129730768 +github:852845799 2024-09-05 2024-09-05 f https://github.com/faqihudin13/CVE-2018-6574 CVE-2018-6574: go get CVE-2018-6574 0 0 1 0 8060612551669080154 +github:709447716 2023-11-30 2023-10-24 f https://github.com/TrevorGKann/CVE-2023-37478_npm_vs_pnpm CVE-2023-37478 showcases how a difference in npm and pnpm install packages that could be exploited by a well crafted tar.gz packge. This repo shows a demo. CVE-2023-37478 0 0 1 0 7178394216762296207 +github:1312869433 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66749-Unchecked-Room-Lookup-Leads-to-Server-Crash-Let-s-Chat- Security Advisory: Unchecked Room Lookup Leads to Server Crash (Let's Chat) CVE-2026-66749 0 0 0 0 5482012503549044987 +github:295481822 2020-11-03 2026-07-29 f https://github.com/dirkjanm/CVE-2020-1472 PoC for Zerologon - all research credits go to Tom Tervoort of Secura CVE-2020-1472 281 1312 33 1312 8921002381528231636 +github:1050587655 2025-09-13 2025-09-13 f https://github.com/neverhavenamee/CVE-2020-7961 CVE-2020-7961 0 0 0 0 5313574017994711996 +github:437310436 2021-12-17 2024-08-12 f https://github.com/Sh0ckFR/log4j-CVE-2021-44228-Public-IoCs Public IoCs about log4j CVE-2021-44228 CVE-2021-44228 1 9 1 9 236041953909643801 +github:526332797 2022-08-18 2025-01-08 f https://github.com/GreyNoise-Intelligence/Zimbra_CVE-2022-37042-_CVE-2022-27925 CVE-2022-37042 6 7 15 7 7128204560268854065 +github:1031348216 2025-08-03 2025-08-27 f https://github.com/AzureADTrent/CVE-2025-24893-Reverse-Shell Reverse Shell Payload for CVE-2025-24893 CVE-2025-24893 0 0 0 0 1841570713929645352 +github:1010275175 2025-06-28 2025-06-28 f https://github.com/obscura-cert/CVE-2025-31650 CVE-2025-31650 0 0 0 0 5107083184035663099 +github:1162202818 2026-02-20 2026-02-20 f https://github.com/soufiane-benchahyd/vulhub-struts2 A practical lab demonstrating the exploitation of a critical Remote Code Execution (RCE) vulnerability in Apache Struts2 (CVE-2017-5638) using Vulhub Docker environments. Includes setup instructions and commands to run the vulnerable container. CVE-2017-5638 0 0 0 0 8506362490464508347 +github:589524043 2023-01-17 2023-10-08 f https://github.com/N1arut/CVE-2022-46169_POC RCE POC for CVE-2022-46169 CVE-2022-46169 0 3 1 3 8038555644543216448 +github:773956574 2024-03-18 2024-03-18 f https://github.com/jftierno/-CVE-2018-6574 CVE-2018-6574 0 0 1 0 7232629062652260583 +github:437319619 2022-01-04 2021-12-11 f https://github.com/datadavev/test-44228 Simple demo of CVE-2021-44228 CVE-2021-44228 0 0 1 0 5039352963519278635 +github:242373353 2020-02-22 2026-04-27 f https://github.com/mhaskar/CVE-2020-8813 The official exploit for Cacti v1.2.8 Remote Code Execution CVE-2020-8813 CVE-2020-8813 20 67 1 67 8552912163069701504 +github:731386499 2024-02-10 2026-03-28 f https://github.com/thehunt1s0n/Exihibitor-RCE Exihibitor Web Ui 1.7.1 RCE, CVE-2019-5029 CVE-2019-5029 0 5 1 5 6595236571045410715 +github:261217390 2020-05-04 2026-01-12 f https://github.com/bravery9/SaltStack-Exp CVE-2020-11651&&CVE-2020-11652 EXP CVE-2020-11651 8 5 0 5 8453507188077009474 +github:965466942 2025-04-13 2025-04-13 f https://github.com/ethanol1310/POC-CVE-2025-29927- POC CVE-2025-29927 CVE-2025-29927 0 0 1 0 3349747073282845798 +github:1028252912 2025-08-01 2025-09-27 f https://github.com/KaiHT-Ladiant/CVE-2025-32463 CVE-2025-32463 - Sudo Chroot Privilege Escalation Exploit CVE-2025-32463 0 2 0 2 333261875905310372 +github:636271031 2023-05-04 2023-05-04 f https://github.com/MaanVader/CVE-2023-27524-POC A POC for the all new CVE-2023-27524 which allows for authentication bypass and gaining access to the admin dashboard. CVE-2023-27524 0 0 1 0 5827045886273502494 +github:370544854 2021-05-26 2024-05-06 f https://github.com/mlr0p/CVE-2021-33564 Argument Injection in Dragonfly Ruby Gem CVE-2021-33564 2 16 1 16 7750112938031058451 +github:966309154 2025-04-14 2025-04-14 f https://github.com/khaidtraivch/CVE-2021-44228-Log4Shell- Kiểm thử xâm nhập CVE-2021-44228 0 0 1 0 8569402584761169745 +github:151199861 2019-10-17 2023-07-12 f https://github.com/shellord/CVE-2018-7600-Drupal-RCE MASS Exploiter CVE-2018-7600 1 4 1 4 1937666600859608901 +github:934037658 2025-02-17 2025-02-17 f https://github.com/yadavmukesh/Log4Shell-vulnerability-CVE-2021-44228- This repository provides an in-depth analysis of the Log4Shell vulnerability (CVE-2021-44228) and implements a machine learning-based approach to detect exploitation attempts in log data. CVE-2021-44228 0 0 1 0 5620654492515259566 +github:1304777057 2026-07-18 2026-07-18 f https://github.com/tahaXafous/CVE-2023-44487-dos PoC for CVE-2023-44487 ( HTTP/2 Rapid Reset Attack ) Concept CVE-2023-44487 0 1 0 1 7677883957676943878 +github:1071765805 2025-10-07 2026-01-31 f https://github.com/HeavyGhost-le/POC_SQL_injection_in_Parse_Server_prior_6.5.7_-_7.1.0 Advanced PostgreSQL database enumeration tool exploiting CVE-2024-39309 in Parse Server - Comprehensive SQL injection exploitation for security research CVE-2024-39309 0 1 0 1 5439124755632533112 +github:1124455361 2025-12-29 2025-12-29 f https://github.com/flame-11/CVE-2018-15133-laravel-framework Reproducible Docker lab for CVE-2018-15133 (Laravel Framework token unserialize RCE) CVE-2018-15133 0 0 0 0 2820044131028553238 +github:686301684 2023-09-02 2023-09-02 f https://github.com/sohamsharma966/Spring4Shell-CVE-2022-22965 CVE-2022-22965 0 0 1 0 8029403242393301952 +github:925444983 2025-03-17 2025-03-17 f https://github.com/Allevon412/CVE-2024-54951 I contacted the monica development team via email on 11/20/2024. I also contacted them via LinkedIn, and other platforms in the weeks that followed. Publishing here since there was no response. CVE-2024-54951 0 0 1 0 3815784064102142041 +github:645357440 2023-06-02 2026-01-26 f https://github.com/Occamsec/CVE-2023-2825 GitLab CVE-2023-2825 PoC. This PoC leverages a path traversal vulnerability to retrieve the /etc/passwd file from a system running GitLab 16.0.0. CVE-2023-2825 31 140 2 140 2520952114500146688 +github:1006864786 2025-06-23 2025-06-25 f https://github.com/nankuo/CVE-2025-48976_CVE-2025-48988 CVE-2025-48976_CVE-2025-48988 CVE-2025-48976 0 2 0 2 3383942636880266722 +github:743409236 2024-01-15 2024-09-05 f https://github.com/Axianke/CVE-2021-3129 CVE-2021-3129 CVE-2021-3129 0 5 1 5 429146352438038265 +github:919782397 2025-01-21 2025-06-18 f https://github.com/themirze/cve-2024-12084 CVE-2024-12084 3 4 1 4 694432158302017713 +github:1039964482 2025-08-18 2025-10-05 f https://github.com/shoucheng3/apache__camel_CVE-2019-0194_2-21-44 CVE-2019-0194 0 0 0 0 672101799898473055 +github:1111479808 2025-12-07 2026-01-10 f https://github.com/DelvyGonzalez/react2shell-security-toolkit Security toolkit to detect CVE-2025-55182 (React2Shell) vulnerability CVE-2025-55182 0 1 0 1 2233564121702773388 +github:980091326 2025-05-08 2025-05-08 f https://github.com/Be-Innova/CVE-2021-42392-exploit-lab CVE-2021-42392 0 0 0 0 8348313748004930130 +github:1034568450 2025-08-08 2025-08-08 f https://github.com/Admin9961/CVE-2025-24354-PoC SSRF in ImgProxy (only for educational purpose) CVE-2025-24354 0 0 0 0 5976444875558145967 +github:951482716 2025-03-19 2025-03-19 f https://github.com/javaamo/CVE-2021-41773 CVE-2021-41773 CVE-2021-41773 0 0 1 0 481083189967842762 +github:366451599 2021-05-15 2021-09-01 f https://github.com/fu2x2000/CVE-2017-17058-woo_exploit CVE-2017-17058 0 0 1 0 8090885400553074783 +github:276879560 2026-02-22 2020-07-15 f https://github.com/andsnw/sockjs-dos-py CVE-2020-7693: SockJS 0.3.19 Denial of Service POC CVE-2020-7693 2 1 1 1 1463969267710008797 +github:437440782 2021-12-12 2024-08-12 f https://github.com/mzlogin/CVE-2021-44228-Demo Apache Log4j2 CVE-2021-44228 RCE Demo with RMI and LDAP CVE-2021-44228 3 2 1 2 7189176849132871510 +github:1177290253 2026-03-09 2026-03-09 f https://github.com/Rk-000/Pixel-Flood-Attack PoC for CVE-2024-22393: Pixel Flood DoS in Apache Answer ≤1.2.1. Upload crafted 5KB image with fake 64Kx64K dimensions. Server allocates memory for 4B+ pixels and crashes. Find targets via "Powered by Apache Answer." Check bounty program rules before testing—DoS testing is often prohibited. CVE-2024-22393 0 1 0 1 7794287586278170317 +github:463920955 2022-02-26 2022-02-26 f https://github.com/hamm0nz/CVE-2020-18326 Exploit PoC for CVE-2020-18326 CVE-2020-18326 0 0 1 0 5707184827058887832 +github:334914030 2021-02-01 2021-02-01 f https://github.com/Ashish-dawani/CVE-2021-3156-Patch Patch Script for CVE-2021-3156 Heap Overflow CVE-2021-3156 0 0 0 0 5862822436394102180 +github:628224297 2023-04-15 2024-12-07 f https://github.com/houqe/EXP_CVE-2018-19518 CVE-2018-19518 0 4 1 4 4411467230453436414 +github:837496814 2024-08-03 2024-08-03 f https://github.com/Abdurahmon3236/CVE-2024-36539 CVE-2024-36539 0 0 1 0 3390861476199812028 +github:84639178 2017-03-11 2019-07-15 f https://github.com/aljazceru/CVE-2017-5638-Apache-Struts2 Tweaking original PoC (https://github.com/rapid7/metasploit-framework/issues/8064) to work on self-signed certificates CVE-2017-5638 0 2 1 2 1403291574224766687 +github:652662180 2024-02-02 2023-09-02 f https://github.com/7imbitz/CVE-2023-25157-checker A script, written in golang. POC for CVE-2023-25157 CVE-2023-25157 1 3 1 3 4959868602277151504 +github:1166261282 2026-02-25 2026-02-25 f https://github.com/D3m0nicw0lf/CVE-2023-43208 mirth-connect-rce-poc CVE-2023-43208 0 0 0 0 2561633427027256026 +github:152145946 2021-04-06 2022-11-09 f https://github.com/pyperanger/CVE-2018-15473_exploit OpenSSH < 7.7 User Enumeration CVE-2018-15473 Exploit CVE-2018-15473 1 0 1 0 391829212231529606 +github:1000452564 2025-06-23 2025-06-23 f https://github.com/KimJuhyeong95/cve-2025-24514 CVE-2025-24514 0 0 0 0 8878338057925518211 +github:423355188 2021-11-01 2021-11-03 f https://github.com/shang159/CVE-2021-22205-getshell CVE-2021-22205-getshell CVE-2021-22205 0 3 1 3 4579480795889191247 +github:414646379 2021-10-15 2026-05-14 f https://github.com/shiomiyan/CVE-2021-41773 CVE-2021-41773 0 0 1 0 659952655223106680 +github:415357102 2021-10-09 2024-08-12 f https://github.com/EagleTube/CVE-2021-41773 Apache 2.4.49 Path Traversal Vulnerability Checker CVE-2021-41773 1 1 1 1 799722022002416618 +github:263409584 2020-05-12 2026-01-26 f https://github.com/53n7hu/SNP CVE-2019-6111 vulnerability exploitation CVE-2019-6111 0 4 2 4 2202825483243612252 +github:311800203 2020-12-04 2020-12-04 f https://github.com/JayP232/The_big_Zero The following is the outcome of playing with CVE-2020-1472 and attempting to automate the process of gaining a shell on the DC CVE-2020-1472 0 0 1 0 2780019487948247057 +github:848546482 2024-08-28 2024-08-28 f https://github.com/jkska23/Additive-Vulnerability-Analysis-CVE-2021-41773 Apache: a Mainstream Web Service Turned a Vector of Attack for Remote Code Execution CVE-2021-41773 0 0 1 0 4406823058447911203 +github:273980806 2020-06-21 2021-06-13 f https://github.com/Malone5923/CVE-2018-6574-go-get-RCE CVE-2018-6574: go get RCE solution for pentesterlab challenge CVE-2018-6574 1 1 1 1 2615479483039676955 +github:1282909149 2026-06-28 2026-06-28 f https://github.com/dead-lamer/CVE-2026-27654 Обзор n-day уязвимости на русском языке. CVE-2026-27654 0 0 0 0 3472921484235874349 +github:1277195686 2026-06-22 2026-06-22 f https://github.com/ethicbrudhack/CVE-2023-31290-Scanner- CVE-2023-31290 Scanner CVE-2023-31290 1 0 0 0 7137869866635214449 +github:175778651 2021-02-24 2021-02-24 f https://github.com/madneal/codeql-scanner The exploit python script for CVE-2018-7600 CVE-2018-7600 0 0 1 0 4784373215542138231 +github:472038804 2022-03-20 2024-12-19 f https://github.com/twseptian/cve-2022-24112 Apache APISIX < 2.12.1 Remote Code Execution and Docker Lab CVE-2022-24112 11 9 1 9 3216257732989239697 +github:812794551 2024-06-09 2024-06-09 f https://github.com/J4F9S5D2Q7/CVE-2023-43208-MIRTHCONNECT CVE-2023-43208 0 0 1 0 7567722546876235864 +github:934328342 2025-02-17 2025-02-20 f https://github.com/kabiri-labs/CVE-2024-4367-PoC This Proof of Concept (PoC) demonstrates the exploitation of the CVE-2024-4367 vulnerability, which involves Cross-Site Scripting (XSS) attacks. CVE-2024-4367 1 1 1 1 4632857249790841776 +github:1257434663 2026-06-02 2026-06-02 f https://github.com/lorenzocamilli/CVE-2026-45332-PoC CVE-2026-45332 0 0 0 0 8276238487779963684 +github:265741960 2020-05-21 2022-03-23 f https://github.com/seanachao/CVE-2020-9484 利用ceye批量检测CVE-2020-9484 CVE-2020-9484 0 0 0 0 5463828092891972406 +github:893690392 2023-10-15 2024-11-25 f https://github.com/aswanepo/DirtyPipe Working Dirty Pipe (CVE-2022-0847) exploit tool with root access and file overwrites. CVE-2022-0847 1 0 0 0 7369730280436268319 +github:477155956 2022-04-02 2022-10-15 f https://github.com/mwojterski/cve-2022-22965 CVE-2022-22965 0 0 0 0 2564375019715583246 +github:1061369465 2025-09-21 2025-09-21 f https://github.com/melmathari/CVE-2024-46982-NUCLEI CVE-2024-46982 0 0 0 0 716578535639576855 +github:1057965567 2025-09-16 2025-09-16 f https://github.com/airbus-cert/CVE-2025-24799-scanner Scanner for GLPI CVE-2025-24799 vulnerability CVE-2025-24799 0 0 0 0 6214894249719633494 +github:1290686195 2026-07-06 2026-07-06 f https://github.com/LSP1025923/cve-2023-51385 春秋云镜 CVE-2023-51385 0 0 0 0 6106935943142943911 +github:414082287 2022-12-28 2024-08-12 f https://github.com/creadpag/CVE-2021-41773-POC CVE-2021-41773 CVE-2021-41773 5 8 1 8 6874183704520460719 +github:972136102 2025-04-24 2025-07-21 f https://github.com/theMcSam/CVE-2024-12905-PoC tar-fs file write/overwrite vulnerability CVE-2024-12905 0 1 1 1 5171862549410163320 +github:1307487661 2026-07-21 2026-07-21 f https://github.com/qianlijaingshan/n8n-cve-2026-21858 CVE-2026-21858 + CVE-2025-68613 — n8n unauthenticated file read to RCE exploit CVE-2025-68613 0 0 0 0 8557207274901125999 +github:719240166 2023-11-16 2023-11-22 f https://github.com/herombey/CVE-2023-47437 Vulnerability Disclosure CVE-2023-47437 0 0 1 0 663678086335323720 +github:633389042 2023-04-28 2023-04-28 f https://github.com/drkbcn/lblfixer_cve_2023_30839 PrestaShop <1.7.8.9 Fix for CVE-2023-30839 and CVE-2023-30545 CVE-2023-30839 0 0 1 0 9073540299969303671 +github:1265034311 2026-06-10 2026-06-10 f https://github.com/Dhananjayasj/CVE-2025-24813-Apache-Tomcat-Partial-PUT-Deserialization-RCE- CVE-2025-24813 0 0 0 0 1982175138696874167 +github:869211393 2024-10-07 2025-03-18 f https://github.com/p33d/CVE-2024-43363 CVE-2024-43363 0 4 1 4 5685229340911356792 +github:1163950879 2026-02-22 2026-07-10 f https://github.com/d3vn0mi/CVE-2025-4138-POC Python PoC for CVE-2025-4138, a path traversal in Python's tarfile module abusing symlink chains to bypass PATH_MAX for arbitrary file write CVE-2025-4138 0 0 0 0 8490263675298401903 +github:305984745 2020-10-24 2024-10-24 f https://github.com/ColdFusionX/CVE-2019-17240_Bludit-BF-Bypass Bludit <= 3.9.2 - Authentication Bruteforce Mitigation Bypass Exploit/PoC CVE-2019-17240 3 2 1 2 4457992770961683389 +github:438664340 2022-12-01 2021-12-16 f https://github.com/MeterianHQ/log4j-vuln-coverage-check A simple project to check coverage of Log4J vuln CVE-2021-44228 (and related) CVE-2021-44228 1 0 1 0 3479912160553071090 +github:401973989 2021-09-01 2025-11-19 f https://github.com/allenenosh/CVE-2021-40352 CVE-2021-40352 0 3 1 3 3821253227540365900 +github:442317732 2022-01-24 2026-05-23 f https://github.com/NS-Sp4ce/Vm4J A tool for detect&exploit vmware product log4j(cve-2021-44228) vulnerability.Support VMware HCX/vCenter/NSX/Horizon/vRealize Operations Manager CVE-2021-44228 39 209 4 209 5233509518990557322 +github:757892016 2024-02-15 2024-02-15 f https://github.com/FixedOctocat/CVE-2024-25466 Description for CVE-2024-25466 CVE-2024-25466 0 0 1 0 1769133810272160623 +github:493607609 2022-05-18 2026-02-10 f https://github.com/jakabakos/CVE-2017-9096-iText-XXE CVE-2017-9096 3 13 2 13 3227902722431086704 +github:467367761 2022-03-08 2022-03-08 f https://github.com/si1ent-le/CVE-2022-0847 CVE-2022-0487 CVE-2022-0847 3 0 1 0 1635574910691307193 +github:246566519 2020-03-11 2024-08-12 f https://github.com/wsfengfan/CVE-2020-1947 CVE-2020-1947 Python POC CVE-2020-1947 2 4 1 4 4800114110903713437 +github:1049144897 2025-09-02 2026-06-22 f https://github.com/roj1py/CVE-2024-47875-PhpSpreadsheet-XSS-PoC This is a PoC/Exploit for the CVE-2024-47875 PhpSpreadsheet XSS Vuln CVE-2024-47875 0 1 0 1 1593560606674710903 +github:1031621759 2025-08-04 2025-08-04 f https://github.com/beishanxueyuan/CVE-2025-48384-test CVE-2025-48384 0 1 0 1 7453548610657078505 +github:748414452 2024-01-25 2024-01-25 f https://github.com/Pol-Ruiz/PoC-CVE-2019-12840 Esto es una prueba de concepto propia i basica de la vulneravilidad CVE-2019-12840 la qual te da un RCE en root CVE-2019-12840 0 0 1 0 6556915611931555223 +github:120533146 2018-02-07 2023-01-28 f https://github.com/rastating/modsecurity-cve-2018-6389 A ModSecurity ruleset for detecting potential attacks using CVE-2018-6389 CVE-2018-6389 0 0 1 0 4899174666960761476 +github:1016359529 2026-03-13 2026-03-13 f https://github.com/0xtensho/CVE-2025-49132-poc CVE-2025-49132 0 3 0 3 7906334069764716965 +github:1163940419 2026-02-22 2026-02-22 f https://github.com/tiemio/CVE-2025-50738-PoC Stored Cross-Site Scripting in "usememos" via SVG CVE-2025-50738 0 0 0 0 6897062460024027306 +github:356101270 2021-01-03 2026-01-29 f https://github.com/CrackerCat/CVE-2020-7961-Mass CVE-2020–7961 Mass exploit for Script Kiddies CVE-2020-7961 5 2 0 2 6212662450725016155 +github:422090493 2021-10-28 2024-12-14 f https://github.com/XTeam-Wing/CVE-2021-22205 Pocsuite3 For CVE-2021-22205 CVE-2021-22205 26 86 1 86 6267926853425434492 +github:439771479 2021-12-19 2022-05-11 f https://github.com/trickyearlobe/inspec-log4j An Inspec profile to check for Log4j CVE-2021-44228 and CVE-2021-45046 CVE-2021-44228 1 1 1 1 7063540641996115987 +github:444603389 2022-07-10 2022-01-09 f https://github.com/alexpena5635/CVE-2021-44228_scanner-main-Modified- CVE-2021-44228 0 0 1 0 6562852903982023 +github:485106940 2023-05-23 2026-05-05 f https://github.com/0xdsm/WSOB 😭 WSOB is a python tool created to exploit the new vulnerability on WSO2 assigned as CVE-2022-29464. CVE-2022-29464 10 28 1 28 7874037504727910719 +github:508171687 2022-06-22 2026-01-29 f https://github.com/hxlxmj/Mass-exploit-CVE-2022-29464 Mass Exploit for CVE 2022-29464 on Carbon CVE-2022-29464 7 1 0 1 8752807470716341 +github:392774963 2021-08-20 2021-08-20 f https://github.com/jptr218/struts_hack An implementation of CVE-2017-5638 CVE-2017-5638 0 1 1 1 3715258246408733550 +github:1110916791 2026-04-21 2026-05-26 f https://github.com/yanoshercohen/React2Shell_CVE-2025-55182 React2Shell (CVE-2025-55182) Exploit CVE-2025-55182 0 4 0 4 8545396224840305509 +github:1280054270 2026-06-25 2026-06-25 f https://github.com/7whyex/CVE-2026-45321-Tanstack CVE-2026-45321 0 0 0 0 2116169509797586104 +github:303623611 2020-10-13 2020-10-13 f https://github.com/pswalia2u/CVE-2018-6574 CVE-2018-6574 0 0 1 0 1632383155460443683 +github:1041256332 2025-08-20 2025-08-20 f https://github.com/shoucheng3/vert-x3__vertx-web_CVE-2019-17640_3-9-3 CVE-2019-17640 0 0 0 0 7997859955221761364 +github:687169714 2023-09-08 2023-10-21 f https://github.com/Business1sg00d/CVE-2023-25136 Looking into the memory when sshd 9.1p1 aborts due to a double free bug. CVE-2023-25136 0 1 1 1 3461381069536667725 +github:782029434 2025-08-20 2025-08-20 f https://github.com/dead1nfluence/Leantime-POC CVE-2024-27474, CVE-2024-27476, CVE-2024-27477 CVE-2024-27474 0 0 1 0 1004821072981630857 +github:440732240 2021-12-22 2024-06-06 f https://github.com/w0x68y/Gitlab-CVE-2021-22205 CVE-2021-22205 的批量检测脚本 CVE-2021-22205 1 1 1 1 7396067321309625057 +github:216841467 2019-10-22 2026-07-29 f https://github.com/pr0tean/CVE-2019-13051 CVE-2019-13051 3 20 1 20 3044523409624777548 +github:818857788 2024-06-29 2025-11-26 f https://github.com/aleister1102/kibana-prototype-pollusion PoC and analysis for Kibana Prototype Pollution RCE (CVE-2019-7609). CVE-2019-7609 0 0 1 0 3412567599303029756 +github:649645452 2023-05-03 2023-06-05 f https://github.com/nou-man/CVE-2022-46169 Proof of concept / CTF script for exploiting CVE-2022-46169 in Cacti, versions >=1.2.22 CVE-2022-46169 0 0 0 0 6239365139898981520 +github:678908060 2023-08-15 2023-08-15 f https://github.com/DiMarcoSK/CVE-2023-3460_POC GitHub repository for CVE-2023-3460 POC CVE-2023-3460 0 0 1 0 3019918183333306637 +github:763046588 2024-02-25 2024-02-25 f https://github.com/shenhav12/CVE-2024-25169-Mezzanine-v6.0.0 CVE-2024-25169 0 0 1 0 6513861640343562449 +github:803075707 2024-05-20 2024-05-20 f https://github.com/10cks/hook CVE-2024-32002-hook CVE-2024-32002 3 1 1 1 3282660306436513418 +github:1039446042 2025-08-17 2025-08-17 f https://github.com/shoucheng3/SpringSource__spring-security-oauth_CVE-2018-1260_2-3-2-RELEASE CVE-2018-1260 0 0 0 0 6161477822944944045 +github:325937253 2021-01-03 2026-03-26 f https://github.com/wrathfulDiety/zerologon zerologon script to exploit CVE-2020-1472 CVSS 10/10 CVE-2020-1472 0 2 1 2 3866679280491211517 +github:624975184 2023-04-07 2025-06-23 f https://github.com/timb-machine-mirrors/seongil-wi-CVE-2023-29017 Clone from gist CVE-2023-29017 2 2 1 2 4130353855953738182 +github:672496252 2023-07-30 2023-08-22 f https://github.com/Xuxfff/CVE-2023-38646-Poc CVE-2023-38646 1 2 1 2 1471177508561157370 +github:1215836104 2026-04-20 2026-07-21 f https://github.com/SteamPunk424/CVE-2025-58434-Unauthenticated-Password-Reset-Flowwise The forgot-password endpoint in Flowise returns sensitive information including a valid password reset tempToken without authentication or verification. This enables any attacker to generate a reset token for arbitrary users and directly reset their password, leading to a complete account takeover (ATO). CVE-2025-58434 0 1 0 1 8837569233647836403 +github:1290430927 2026-07-06 2026-07-06 f https://github.com/Dx3iZ/CVE-2025-54236 Adobe Magento SessionReaper LFI Vulnerability CVE-2025-54236 0 0 0 0 3664500238746916860 +github:1316565861 2026-07-29 2026-07-29 f https://github.com/GabrielHA12/Termix-research CVE-2026-45746, CVE-2026-45750, CVE-2026-53547 — three critical vulnerabilities in Termix: cross-tenant session hijacking, OS command injection, and account takeover CVE-2026-45746 0 0 0 0 4147152545370060085 +github:254069736 2020-04-08 2020-04-08 f https://github.com/Eugene24/CVE-2018-6574 CVE-2018-6574 0 0 1 0 8836403772475447886 +github:901596404 2025-06-04 2025-06-04 f https://github.com/itform-fr/Zabbix---CVE-2024-42327 CVE-2024-42327 0 0 1 0 8737680855325361224 +github:1023408297 2025-07-21 2025-07-21 f https://github.com/nurarifin05/POC-CVE-2024-8118 Berikut untuk POC grafana CVE-2024-8118 CVE-2024-8118 0 0 0 0 5791610640832381526 +github:152480350 2018-10-10 2018-10-16 f https://github.com/iioch/ban-exploitable-bitcoin-nodes Ban all denial-of-service vulnerability exploitable nodes from your node CVE-2018-17144 CVE-2018-17144 1 2 1 2 8061285357761734366 +github:183417425 2019-04-25 2024-08-12 f https://github.com/mhaskar/CVE-2018-20434 The official exploit code for LibreNMS v1.46 Remote Code Execution CVE-2018-20434 CVE-2018-20434 5 9 3 9 1619272325899613898 +github:181238407 2019-04-14 2021-11-25 f https://github.com/milloni/cve-2019-5736-exp Exploit for the CVE-2019-5736 runc vulnerability CVE-2019-5736 4 1 1 1 4407817550799134399 +github:600342998 2023-07-04 2023-02-11 f https://github.com/Athishpranav2003/CVE-2022-44118-Exploit PoC Exploit for RCE vulnerability in DedeCMS v6.1.9 CVE-2022-44118 0 0 1 0 9200142057836389721 +github:1019059484 2025-07-13 2025-07-13 f https://github.com/harshgupptaa/Path-Transversal-CVE-2025-31125- Vite is a frontend tooling framework for javascript. Vite exposes content of non-allowed files using ?inline&import or ?raw?import. Only apps explicitly exposing the Vite dev server to the network (using --host or server.host config option) are affected. This vulnerability is fixed in 6.2.4, 6.1.3, 6.0.13, 5.4.16, and 4.5.11. CVE-2025-31125 0 0 0 0 7297080598288206346 +github:593089784 2023-01-25 2023-01-25 f https://github.com/seoqqq/CVE-2018-6574 Remote command execution in Golang go get command allows an attacker to gain code execution on a system by installing a malicious library. CVE-2018-6574 2 0 0 0 5885936796921174483 +github:614031542 2023-03-14 2026-04-10 f https://github.com/Sma-Das/Log4j-PoC An educational Proof of Concept for the Log4j Vulnerability (CVE-2021-44228) in Minecraft CVE-2021-44228 0 3 1 3 2183526767381524411 +github:551104266 2022-11-02 2023-06-19 f https://github.com/dbyio/cve-2022-37298 CVE-2022-37298 Shinken Monitoring CVE-2022-37298 0 3 1 3 3887192559224477901 +github:488057677 2022-05-15 2022-05-03 f https://github.com/MidwintersTomb/CVE-2018-17553 CVE-2018-17553 PoC CVE-2018-17553 0 0 1 0 4046234021228272911 +github:1201618549 2026-04-04 2026-04-04 f https://github.com/porsellaj/cve-2025-55182-react2shell-analysis Technical analysis of CVE-2025-55182 (React2Shell RCE vulnerability) CVE-2025-55182 0 0 0 0 8690045490738670222 +github:1114149370 2025-12-11 2025-12-11 f https://github.com/min8282/CVE-2025-55182 CVE-2025-55182 0 0 0 0 5251106547738324100 +github:1179675786 2026-04-05 2026-04-05 f https://github.com/Meraj1312/cve-2018-7600-drupalgeddon2-lab Educational lab demonstrating CVE-2018-7600 (Drupalgeddon2) Remote Code Execution using a Docker-based vulnerable Drupal 7.56 environment. CVE-2018-7600 1 1 0 1 6901627516923245070 +github:1112189673 2026-02-03 2026-02-18 f https://github.com/0xsj/CVE-2025-55182 CVE-2025-55182 0 1 0 1 5638981405867464521 +github:1196701934 2026-03-31 2026-03-31 f https://github.com/wtbacon/cve-2018-15473 CVE-2018-15473 0 0 0 0 2441923978489294383 +github:1171721952 2026-03-03 2026-03-03 f https://github.com/h3raklez/CVE-2025-68613 CVE-2025-68613 — n8n RCE via Expression Injection CVE-2025-68613 0 0 0 0 6791707707273148722 +github:667158382 2023-07-16 2023-07-16 f https://github.com/VitoBonetti/CVE-2018-16763 Fuel CMS 1.4.1 - Remote Code Execution - Python 3.x CVE-2018-16763 1 0 1 0 1277065401898336370 +github:170398859 2019-02-20 2026-07-21 f https://github.com/q3k/cve-2019-5736-poc Unweaponized Proof of Concept for CVE-2019-5736 (Docker escape) CVE-2019-5736 66 210 8 210 6529038361815407719 +github:438739105 2022-01-04 2022-01-01 f https://github.com/VerveIndustrialProtection/CVE-2021-44228-Log4j CVE-2021-44228 3 1 3 1 4831811808281935477 +github:1278150187 2026-06-23 2026-06-23 f https://github.com/M8seven/cve-2026-11837-ansible-posix-authorized-key CVE-2026-11837: local privilege escalation in the ansible.posix authorized_key module via symlink-following chown. Technical writeup; sibling of CVE-2024-9902. CVE-2024-9902 0 1 0 1 7768416067609758963 +github:1122934190 2025-12-25 2025-12-25 f https://github.com/Jakelife/HACKVISER-CVE-2025-55182-LAB CVE-2025-55182 0 0 0 0 9098495728387517399 +github:186728497 2019-05-15 2024-08-12 f https://github.com/RayScri/CVE-2019-6446 Numpy deserialization command execution CVE-2019-6446 3 3 0 3 2696770982234529428 +github:1208065421 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-67875 CVE-2025-67875 - ChurchCRM has stored XSS via Person Property Assignment Leading to Admin Session Hijacking CVE-2025-67875 0 0 0 0 205573378781878169 +github:158524069 2018-11-21 2018-11-21 f https://github.com/sambiyal/CVE-2018-10933-POC libSSH bypass CVE-2018-10933 0 0 0 0 7084897304005374188 +github:517886166 2022-07-26 2022-07-26 f https://github.com/ExploitCN/CVE-2018-11321 CVE-2018-11321 0 0 1 0 8785690502074164643 +github:454504034 2022-02-01 2025-04-05 f https://github.com/f0ns1/CVE-2020-14321-modified-exploit Modified Moodle exploit for privilege escalation (Dorvack) CVE-2020-14321 0 2 1 2 597468328533715891 +github:529025141 2024-03-12 2022-08-25 f https://github.com/eurogig/jankybank Simple Java Front and Back end with bad log4j version featuring CVE-2021-44228 CVE-2021-44228 2 0 1 0 5848175090173841897 +github:516692900 2022-07-22 2022-07-22 f https://github.com/keyboardancer/CVE-2022-0666 CVE-2022-0666 0 0 1 0 2008129334453378967 +github:1041361325 2025-08-20 2025-08-20 f https://github.com/shoucheng3/jlangch__venice_CVE-2022-36007_1-10-16 CVE-2022-36007 0 0 0 0 901691054557487545 +github:1015017138 2025-07-06 2026-06-17 f https://github.com/K3ysTr0K3R/CVE-2025-32463-EXPLOIT A PoC exploit for CVE-2025-32463 - Sudo Privilege Escalation CVE-2025-32463 2 9 0 9 1958873695377850019 +github:1208495399 2026-07-13 2026-07-13 f https://github.com/Rat5ak/CVE-2026-3805-curl-SMB-UAF CVE-2026-3805: Use-After-Free in curl SMB connection reuse - heap info disclosure CVE-2026-3805 1 0 0 0 5315305145105243590 +github:1238969868 2026-05-14 2026-05-25 f https://github.com/0xBlackash/CVE-2026-42945 CVE-2026-42945 CVE-2026-42945 1 2 0 2 7062564986299998789 +github:960328746 2026-07-08 2026-07-08 f https://github.com/h3st4k3r/CVE-2025-30065 This PoC targets CVE-2025-30065, an RCE vulnerability in Apache Parquet via Avro schema deserialization. It abuses the getDefaultValue() mechanism to instantiate arbitrary record types during parsing, enabling code execution when untrusted data is processed without proper controls. CVE-2025-30065 2 7 1 7 4400638948174470366 +github:185226722 2023-02-22 2026-05-10 f https://github.com/k8gege/ZimbraExploit Zimbra邮件系统漏洞 XXE/RCE/SSRF/Upload GetShell Exploit 1. (CVE-2019-9621 Zimbra<8.8.11 XXE GetShell Exploit) CVE-2019-9621 42 79 2 79 5698997472968769396 +github:951420554 2025-03-26 2025-03-26 f https://github.com/nrazv/CVE-2023-45878 CVE-2023-45878 easy exploit | revers sehell CVE-2023-45878 0 0 1 0 4358558454988150148 +github:802872644 2024-05-20 2024-05-20 f https://github.com/Wadewfsssss/CVE-2024-32004 CVE-2024-32004 0 0 1 0 4365920889761957841 +github:954039309 2025-03-24 2025-04-26 f https://github.com/arvion-agent/next-CVE-2025-29927 CVE-2025-29927 Authorization Bypass in Next.js Middleware CVE-2025-29927 0 2 1 2 203745098805016364 +github:956834324 2025-03-29 2025-03-29 f https://github.com/Sornphut/CVE-2023-7028-GitLab CVE-2023-7028 0 0 1 0 1659301713275307735 +github:1262732203 2026-06-08 2026-06-08 f https://github.com/chuzouX/CVE-2025-32433-Exploit-edited Based on the original version:https://github.com/vulhub/vulhub/blob/master/erlang/CVE-2025-32433/exploit.py Replace Unicode checkmark with ASCII character for Windows compatibility CVE-2025-32433 0 0 0 0 6815003643560666613 +github:1274736245 2026-06-19 2026-06-23 f https://github.com/5170Temp/CVE-2026-25212 POC for CVE-2026-25212 CVE-2026-25212 1 2 0 2 7969522724040531659 +github:1296313451 2026-07-10 2026-07-10 f https://github.com/oscerd/CVE-2026-40860 Reproducer for CVE-2026-40860 — Apache Camel camel-jms/sjms/amqp JMS ObjectMessage unsafe deserialization (RCE) CVE-2026-40860 0 0 0 0 7835265174871233137 +github:328714228 2021-01-12 2021-01-12 f https://github.com/dev-team-12x/apche_unomi_rce Apache Unomi CVE-2020-13942: RCE Vulnerabilities CVE-2020-13942 0 0 1 0 3985707936375545569 +github:476399976 2022-05-27 2024-08-12 f https://github.com/colincowie/Safer_PoC_CVE-2022-22965 A Safer PoC for CVE-2022-22965 (Spring4Shell) CVE-2022-22965 7 44 1 44 3799754225345112528 +github:963771697 2025-04-10 2026-06-05 f https://github.com/Rubby2001/CVE-2025-1974-go Exploit CVE-2025-1974 with a single file. CVE-2025-1974 0 1 1 1 1560504051927050909 +github:1039062878 2025-08-16 2025-08-16 f https://github.com/shoucheng3/jenkinsci__perfecto-plugin_CVE-2020-2261_1-17 CVE-2020-2261 0 0 0 0 8720021332961454390 +github:1192683895 2026-03-26 2026-03-26 f https://github.com/anonymousAIware2026/MicroserviceCVE-2021-39156 CVE-2021-39156 0 0 0 0 5163796502691525986 +github:500224436 2022-06-05 2022-06-05 f https://github.com/JPeisach/CVE-2022-24713-POC Proof of Concept/Test for CVE-2022-24713 on Ubuntu CVE-2022-24713 0 0 1 0 3507713573833699398 +github:542070850 2022-09-27 2022-11-23 f https://github.com/bypazs/CVE-2022-42095 Backdrop CMS version 1.23.0 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Page content. CVE-2022-42095 0 0 1 0 603347163825565116 +github:165045501 2019-01-11 2019-01-11 f https://github.com/veter069/go-get-rce CVE-2018-6574 CVE-2018-6574 0 0 1 0 8478039424153927154 +github:1208065360 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-67876 CVE-2025-67876 - ChurchCRM has Stored XSS in Group Role Name Leading to Admin Session Hijacking CVE-2025-67876 0 0 0 0 2344371370908785974 +github:428556171 2021-11-16 2024-09-04 f https://github.com/nth347/CVE-2018-20148_exploit Exploit for CVE-2018-20148 - WordPress PHAR deserialization via XMLRPC CVE-2018-20148 2 4 1 4 9200465423724890182 +github:924624980 2025-01-30 2025-01-30 f https://github.com/lukwagoasuman/-home-lukewago-Downloads-CVE-2021-23017-Nginx-1.14 CVE-2021-23017 0 0 1 0 6049730364647063083 +github:437602257 2021-12-12 2024-08-12 f https://github.com/Hydragyrum/evil-rmi-server An evil RMI server that can launch an arbitrary command. May be useful for CVE-2021-44228 CVE-2021-44228 3 12 1 12 3929922804387755820 +github:1300056931 2026-07-14 2026-07-14 f https://github.com/Samik-Parajuli/htb-connected-writeup Writeup for HackTheBox Connected — FreePBX CVE-2025-57819 SQLi + incron privesc CVE-2025-57819 0 0 0 0 5173304843706588681 +github:993181182 2025-05-30 2025-08-17 f https://github.com/makmour/open-ssh-user-enumeration This script checks for the OpenSSH 7.7 (and prior) username enumeration vulnerability (CVE-2018-15473). It sends a malformed authentication packet and interprets the SSH server’s response to identify valid usernames. CVE-2018-15473 0 0 0 0 1630541780461734091 +github:260370661 2021-08-24 2024-08-12 f https://github.com/chef-cft/salt-vulnerabilities Checks for CVE-2020-11651 and CVE-2020-11652 CVE-2020-11651 1 6 5 6 3420398007040673575 +github:1172332731 2026-05-10 2026-05-10 f https://github.com/HazaVVIP/CVE-2025-30208 CVE-2025-30208 0 0 0 0 3754270328760966575 +github:1012768193 2025-07-02 2025-07-02 f https://github.com/blu3ming/PoC-CVE-2021-41773 Python exploit for CVE-2021-41773 - Apache HTTP Server 2.4.49 Path Traversal vulnerability CVE-2021-41773 0 0 0 0 8956445362829435378 +github:465954802 2022-03-04 2024-12-17 f https://github.com/Greetdawn/CVE-2022-22947 CVE-2022-22947 3 5 1 5 4449448222754678505 +github:1055371768 2025-09-17 2025-11-03 f https://github.com/JinhyukKo/CVE-2024-4701-POC CVE-2024-4701 0 1 0 1 5028240428957749153 +github:954555389 2025-03-25 2025-03-25 f https://github.com/jeymo092/cve-2025-29927 CVE-2025-29927 1 0 1 0 4343631020832242633 +github:1123575284 2025-12-27 2026-05-18 f https://github.com/Ak-cybe/CVE-2025-68664-LangGrinch-PoC A testing framework to identify and demonstrate deserialization vulnerabilities in LangChain Core (<0.3.81). Educational use only CVE-2025-68664 2 3 0 3 4753954211205196154 +github:103955890 2017-09-18 2023-01-28 f https://github.com/nitrado/CVE-2017-9798 Checks a shared hosting environment for CVE-2017-9798 CVE-2017-9798 2 3 1 3 3568036791704159715 +github:560281575 2025-08-15 2025-12-23 f https://github.com/aqiao-jashell/CVE-2021-41773 apache路径穿越漏洞poc&exp CVE-2021-41773 1 9 1 9 4068541324231150155 +github:1308061011 2026-07-21 2026-07-21 f https://github.com/0xdak/CVE-2026-53595_exploit CVE-2026-53595 0 0 0 0 186277314485295729 +github:263365629 2021-08-08 2021-08-08 f https://github.com/shen54/IT19172088 CVE-2019-5736 CVE-2019-5736 0 0 1 0 3304471105563247436 +github:519637095 2022-08-01 2026-02-12 f https://github.com/AmoloHT/CVE-2022-33891 「💥」CVE-2022-33891 - Apache Spark Command Injection CVE-2022-33891 5 25 1 25 1070174234927124900 +github:796819002 2024-05-07 2024-05-07 f https://github.com/ronmadar/Open-Source-Seal-Security Fix open source package uses tough-cookie 2.5.0 - CVE-2023-26136, CVE-2023-26136 0 0 1 0 7988189945212639084 +github:437525803 2021-12-12 2026-01-05 f https://github.com/future-client/CVE-2021-44228 Abuse Log4J CVE-2021-44228 to patch CVE-2021-44228 in vulnerable Minecraft game sessions to prevent exploitation in the session :) CVE-2021-44228 3 66 1 66 181422239033656843 +github:531935227 2022-09-02 2025-11-29 f https://github.com/Vulnmachines/Zabbix-CVE-2022-23131 Zabbix-SAML-Bypass: CVE-2022-23131 CVE-2022-23131 1 2 1 2 8819865166416449802 +github:643535502 2023-05-22 2025-11-01 f https://github.com/Ickarah/CVE-2019-25137-Version-Research A writeup investigating the full extent of CVE-2019-25137 CVE-2019-25137 1 1 1 1 6463282756289984771 +github:1252668113 2026-05-28 2026-07-01 f https://github.com/edgecases-PurpleHax/cve-images Intentionally-vulnerable nginx 1.30.0 CVE lab images (CVE-2026-40701/42934/42945/42946) for isolated security research. Lab use only. CVE-2026-40701 0 1 0 1 3653200684578173383 +github:744326789 2024-01-17 2025-04-21 f https://github.com/limon768/CVE-2020-11652-POC This is a fix POC CVE-2020-11651 & CVE-2020-11651 CVE-2020-11652 0 4 1 4 8687637896492038034 +github:524824097 2022-08-14 2022-08-14 f https://github.com/huahuatzt/CVE-2022-27925 CVE-2022-27925 16 0 0 0 1300286645673406426 +github:803221600 2024-06-07 2026-07-22 f https://github.com/LOURC0D3/CVE-2024-4367-PoC CVE-2024-4367 & CVE-2024-34342 Proof of Concept CVE-2024-4367 28 203 2 203 957313823110423430 +github:1189872847 2026-03-23 2026-03-23 f https://github.com/ColdFusionX/CVE-2024-46879-TikiCMS-XSS CVE-2024-46879 - Tiki CMS Reflected Cross-Site Scripting (XSS) Vulnerability CVE-2024-46879 0 0 0 0 1291899530029966316 +github:92562840 2017-06-01 2017-05-27 f https://github.com/Aasron/Struts2-045-Exp CVE-2017-5638 CVE-2017-5638 0 0 1 0 8073578216263878818 +github:986178073 2025-05-19 2025-05-28 f https://github.com/abuyazeen/CVE-2021-43798-Grafana-path-traversal-tester Automated path traversal testing tool for Grafana plugin endpoints using curl and Bash. CVE-2021-43798 0 0 1 0 7147223750995275185 +github:1227613057 2026-05-02 2026-05-02 f https://github.com/dantedansh/CVE-2025-24367-Cacti-Exploit Script hecho para obtener una webshell gracias a la vulnerabilidad de cacti CVE-2025-24367 en su versión 1.2.28. CVE-2025-24367 0 0 0 0 994164842085570704 +github:845351915 2024-08-21 2024-08-21 f https://github.com/200101WhoAmI/CVE-2023-50245 exr viewer CVE-2023-50245 0 0 1 0 6197946608048243639 +github:1112166218 2025-12-08 2025-12-08 f https://github.com/thekamran/CVE-2025-55182-Proof-of-Concept CVE-2025-55182 0 0 0 0 5243886943388390811 +github:1301285761 2026-07-16 2026-07-16 f https://github.com/nabhan-mohy/cve-2026-27483-lab A containerized enterprise-style lab for researching and defending against CVE-2026-27483. CVE-2026-27483 0 0 0 0 881159263995793386 +github:243072477 2019-05-17 2024-08-12 f https://github.com/Bilelxdz/Laravel-CVE-2018-15133 Cette exploit en python va vous permettre de créer des listes de sites et les exploiter rapidement. CVE-2018-15133 1 0 0 0 8274086143585093921 +github:437438829 2021-12-16 2026-03-06 f https://github.com/alexandre-lavoie/python-log4rce An All-In-One Pure Python PoC for CVE-2021-44228 CVE-2021-44228 29 178 9 178 6081414372373000781 +github:438432868 2022-03-23 2026-07-08 f https://github.com/CERTCC/CVE-2021-44228_scanner Scanners for Jar files that may be vulnerable to CVE-2021-44228 CVE-2021-44228 85 350 2 350 802970016109562561 +github:489225532 2022-05-06 2022-05-06 f https://github.com/Satheesh575555/external_expat_AOSP10_r33_CVE-2022-25236 CVE-2022-25236 0 0 1 0 3031235825196578219 +github:360429516 2021-04-23 2025-05-25 f https://github.com/darryk10/CVE-2021-25735 Exploit CVE-2021-25735: Kubernetes Validating Admission Webhook Bypass CVE-2021-25735 5 17 1 17 9195958072199190228 +github:561105525 2022-11-17 2022-12-29 f https://github.com/pdelteil/CVE-2021-27905.POC POC for LFI related to CVE-2021-27905 CVE-2021-27905 1 3 1 3 8513757901101817998 +github:602954265 2023-02-17 2023-02-17 f https://github.com/LycsHub/CVE-2020-5245 CVE-2020-5245 0 0 1 0 4736795421093226812 +github:354924420 2021-04-05 2021-04-05 f https://github.com/capturingcats/CVE-2021-3156 CVE-2021-3156 0 0 1 0 5312951344212691424 +github:1180153516 2026-03-12 2026-03-15 f https://github.com/zeynepglygt/apache-cve-2021-42013-rce Apache HTTP Server (2.4.49) üzerinde CVE-2021-42013 zafiyetini (Path Traversal & RCE) simüle eden Docker tabanlı sızma testi laboratuvarı. CVE-2021-42013 0 0 0 0 4613745964153917775 +github:557306150 2022-10-25 2022-11-11 f https://github.com/EkamSinghWalia/Detection-and-Mitigation-for-CVE-2022-2639 CVE-2022-2639 0 0 1 0 4418603199962942082 +github:1030106448 2025-08-01 2025-08-01 f https://github.com/f1shh/CVE-2025-48384 test for CVE-2025-48384 CVE-2025-48384 0 0 0 0 7477824655152456927 +github:1110618703 2025-12-05 2025-12-05 f https://github.com/Golden-Secure/CVE-2025-55182 Interactive RCE Web Shell (CVE-2025-55182) BY Golden-Security CVE-2025-55182 0 0 0 0 9039315187250462730 +github:1110916043 2025-12-07 2026-01-29 f https://github.com/StealthMoud/CVE-2025-55182-Scanner CVE-2025-55182 0 8 0 8 8705269252708843283 +github:495315723 2022-05-23 2024-09-19 f https://github.com/Snorlyd/https-nj.gov---CVE-2018-14040 Vulnearability Report of the New Jersey official site CVE-2018-14040 0 1 1 1 4628146868556849788 +github:547835773 2022-10-09 2026-03-05 f https://github.com/CsEnox/CVE-2022-2992 Authenticated Remote Command Execution in Gitlab via GitHub import CVE-2022-2992 36 224 3 224 7736405108057798882 +github:1111891259 2025-12-07 2025-12-07 f https://github.com/satriarizka/CVE-2025-55182-Simple-Scanner High-fidelity RCE scanner for CVE-2025-55182 affecting Next.js RSC. Supports mass scanning, command execution, and automated recon pipelines. Built for pentesters, researchers, and bounty hunters. CVE-2025-55182 0 0 0 0 3310206141969906291 +github:1114223611 2025-12-22 2026-01-18 f https://github.com/Machine-farmer/PunchingBag-for-React2Shell Intentionally vulnerable Next.js app for CVE-2025-55182 security research and CTF challenges CVE-2025-55182 1 1 0 1 1155484484074730540 +github:969166261 2025-04-19 2025-06-10 f https://github.com/byteReaper77/Dirty-Pipe Simple Exploit for Dirty Pipe Vulnerability (CVE-2022-0847) This repository contains a simple proof of concept (PoC) for the Dirty Pipe vulnerability (CVE-2022-0847), which affects Linux kernel versions 5.8 to 5.16. This exploit demonstrates local privilege escalation by leveraging improper handling of pipe buffers in the kernel. CVE-2022-0847 1 2 1 2 103048464467089636 +github:475850261 2022-03-30 2024-11-29 f https://github.com/RanDengShiFu/CVE-2022-22963 CVE-2022-22963 Spring-Cloud-Function-SpEL_RCE_exploit CVE-2022-22963 7 15 1 15 4341364305086489057 +github:710257770 2024-06-04 2024-06-04 f https://github.com/junnythemarksman/CVE-2023-38646 Metabase open source before 0.46.6.1 and Metabase Enterprise before 1.46.6.1 allow attackers to execute arbitrary commands on the server, at the server's privilege level. Authentication is not required for exploitation. The other fixed versions are 0.45.4.1, 1.45.4.1, 0.44.7.1, 1.44.7.1, 0.43.7.2, and 1.43.7.2. CVE-2023-38646 0 0 1 0 6707424441251826885 +github:1110810049 2025-12-05 2025-12-05 f https://github.com/mxm0z/r2s A web-based vulnerability scanner for CVE-2025-55182, a critical Remote Code Execution (RCE) vulnerability in React Server Components. CVE-2025-55182 0 0 0 0 3823590398639523141 +github:634597926 2023-04-30 2023-05-05 f https://github.com/Akash7350/CVE-2020-1472 CVE-2020-1472 0 2 1 2 4525106938032639547 +github:463453899 2022-02-25 2023-10-10 f https://github.com/MoritzHuppert/CVE-2022-25018 CVE-2022-25018 1 1 1 1 3880767791818425181 +github:1297757519 2026-07-11 2026-07-11 f https://github.com/nephila016/CVE-2025-55319-PoC PoC for CVE-2025-55319 CVE-2025-55319 0 0 0 0 512571100851516982 +github:731288552 2024-01-03 2023-12-13 f https://github.com/hev0x/CVE-2018-25031-PoC PoC of CVE-2018-25031 CVE-2018-25031 0 0 1 0 7476572833689112197 +github:797293097 2024-05-08 2024-05-08 f https://github.com/ohexa/py_trustwallet_wasm (CVE-2023-31290) Trust Wallet Core before 3.1.1, as used in the Trust Wallet browser extension before 0.0.183, allows theft of funds because the entropy is 32 bits, as exploited in the wild in December 2022 and March 2023. CVE-2023-31290 2 0 1 0 4991070237295537655 +github:797182683 2024-05-07 2025-04-02 f https://github.com/murataydemir/CVE-2024-23897 [CVE-2024-23897] Jenkins CI Authenticated Arbitrary File Read Through the CLI Leads to Remote Code Execution (RCE) CVE-2024-23897 2 0 1 0 3295636149265356349 +github:1024643157 2025-07-23 2025-07-23 f https://github.com/wyyazjjl/CVE-2024-45195 CVE-2024-45195 1 0 0 0 3606017645087325993 +github:860618453 2024-09-20 2024-09-20 f https://github.com/btar1gan/exploit_CVE-2022-35914 CVE-2022-35914 0 0 1 0 8640889670830894249 +github:975086958 2025-05-13 2026-07-26 f https://github.com/abrewer251/CVE-2025-32433_Erlang-OTP_PoC This script is a custom security tool designed to test for a critical pre-authentication vulnerability in systems running Erlang-based SSH servers CVE-2025-32433 2 1 1 1 5636840013302452262 +github:295915198 2020-09-16 2026-05-13 f https://github.com/mstxq17/cve-2020-1472 cve-2020-1472 复现利用及其exp CVE-2020-1472 24 112 2 112 2755705662480531770 +github:439273557 2021-12-17 2021-12-17 f https://github.com/RenYuH/log4j-lookups-vulnerability Log4j2 Vulnerability (CVE-2021-44228) CVE-2021-44228 0 0 1 0 5750592612092827964 +github:948316463 2025-03-14 2025-04-10 f https://github.com/gregk4sec/CVE-2025-24813 Security Researcher CVE-2025-24813 0 1 1 1 5436087093608731644 +github:581263876 2022-12-26 2026-03-05 f https://github.com/m3ssap0/gitlab_rce_cve-2022-2884 Exploits GitLab authenticated RCE vulnerability known as CVE-2022-2884. CVE-2022-2884 6 26 1 26 2503662841556270417 +github:958005522 2025-04-10 2025-05-15 f https://github.com/jackieya/ViteVulScan 针对CVE-2025-30208和CVE-2025-31125的漏洞利用 CVE-2025-30208 0 7 1 7 6344422240085729447 +github:1021982841 2025-07-18 2025-07-18 f https://github.com/MGunturG/CVE-2025-32463 Local Privilege Escalation to Root via Sudo chroot in Linux CVE-2025-32463 0 0 0 0 6181695372058376350 +github:102318198 2017-09-04 2017-09-04 f https://github.com/siling2017/CVE-2017-1000117 CVE-2017-1000117 0 0 0 0 1015973831728413954 +github:1296809589 2026-07-18 2026-07-18 f https://github.com/h3ck13r/CVE-2021-28235 CVE-2021-28235 PoC CVE-2021-28235 0 0 0 0 2624761472090489630 +github:959356446 2025-04-02 2025-04-03 f https://github.com/Gokul-Krishnan-V-R/cve-2025-29927 Next.js and the corrupt middleware...TRY TO HACK IT..! CVE-2025-29927 0 0 1 0 4861982310757340399 +github:1109554901 2025-12-04 2026-04-05 f https://github.com/xkillbit/cve-2025-55182-scanner CVE-2025-55182 0 4 0 4 8012906474292019397 +github:1110890167 2025-12-05 2026-06-25 f https://github.com/pax-k/react2shell-CVE-2025-55182-full-rce-script React2Shell vulnerability (CVE-2025-55182 / CVE-2025-66478) CVE-2025-55182 4 6 0 6 8993990353371838771 +github:323457742 2022-03-22 2026-03-10 f https://github.com/pwnedshell/Larascript Laravel RCE exploit. CVE-2018-15133 CVE-2018-15133 12 35 1 35 2708249540578278804 +github:438595299 2021-12-15 2025-07-31 f https://github.com/kubearmor/log4j-CVE-2021-44228 Apache Log4j Zero Day Vulnerability aka Log4Shell aka CVE-2021-44228 CVE-2021-44228 6 9 5 9 7928648966698661512 +github:1164025873 2026-02-22 2026-02-22 f https://github.com/BLUEBERRYP1LL/CVE-2024-46987 PoC exploit for CVE-2024-46987 — Camaleon CMS arbitrary path traversal (file read) CVE-2024-46987 0 0 0 0 8920913232412564711 +github:1310985747 2026-07-24 2026-07-24 f https://github.com/swornim619/CVE-2026-65650 PoC for CVE-2026-65650 - Elgg avatar upload DoS CVE-2026-65650 0 0 0 0 2094254560368784596 +github:278287440 2020-07-22 2026-01-05 f https://github.com/tabbysable/POC-2020-8558 Information about Kubernetes CVE-2020-8558, including proof of concept exploit. CVE-2020-8558 7 43 4 43 8732838815004477019 +github:1022813825 2025-07-23 2025-11-19 f https://github.com/00xCanelo/CVE-2025-27591 🔥 Local Privilege Escalation Exploit for CVE-2025-27591 | Abuses world-writable log dir in Below to gain root via /etc/passwd injection CVE-2025-27591 0 2 0 2 4422327334175472523 +github:354456108 2021-04-04 2024-08-12 f https://github.com/0xd3vil/CVE-2017-9805-Exploit CVE-2017-9805-Exploit CVE-2017-9805 1 1 1 1 202941247997426328 +github:526972804 2022-08-27 2026-02-13 f https://github.com/Josexv1/CVE-2022-27925 Zimbra CVE-2022-27925 PoC CVE-2022-27925 19 43 2 43 2315262518062940032 +github:1028946296 2025-08-19 2026-01-11 f https://github.com/y4ney/CVE-2025-32463-lab 本项目基于 Docker 搭建了一个用于复现和测试 sudo 本地权限提升漏洞 CVE-2025-32463 的实验环境。 CVE-2025-32463 0 4 0 4 4899627052900670482 +github:1292469075 2026-07-07 2026-07-07 f https://github.com/rafaelchriss/RedTeamBrasil-CVE-2025-64459 NEO-SQLi — exploit Django _connector SQL Injection (CVE-2025-64459) | canal RedTeam Brasil CVE-2025-64459 0 0 0 0 6090490689199721961 +github:732950140 2023-12-18 2024-01-13 f https://github.com/helsecert/cve-2023-50164 CVE-2023-50164 0 1 6 1 1851860331448354707 +github:963904467 2025-04-10 2026-07-26 f https://github.com/xuemian168/CVE-2025-3248 A vulnerability scanner for CVE-2025-3248 in Langflow applications. 用于扫描 Langflow 应用中 CVE-2025-3248 漏洞的工具。 CVE-2025-3248 2 10 1 10 7270646413663881355 +github:1244350875 2026-05-20 2026-05-20 f https://github.com/Lutfifakee-Project/CVE-2026-41651 Exploit for CVE-2026-41651 - PackageKit TOCTOU Local Privilege Escalation (Pack2TheRoot) CVE-2026-41651 0 0 0 0 715611409358959529 +github:1149964708 2026-02-04 2026-02-04 f https://github.com/Evillm/CVE-2020-11981-PoC CVE-2020-11981 0 0 0 0 4136001039479317250 +github:268974025 2020-06-03 2020-06-03 f https://github.com/dead5nd/config-demo CVE-2020-5410 CVE-2020-5410 1 0 1 0 7155952277172238567 +github:417190090 2021-10-14 2022-02-20 f https://github.com/ProfessionallyEvil/CVE-2021-38295-PoC A simple Python proof of concept for CVE-2021-38295. CVE-2021-38295 3 3 5 3 4552541268817882714 +github:864144112 2024-09-27 2024-09-27 f https://github.com/paragbagul111/CVE-2024-31835 Cross Site Scripting vulnerability in flatpress CMS Flatpress v1.3 allows a remote attacker to execute arbitrary code via a craftedpayload to the file name parameter. CVE-2024-31835 0 0 1 0 869623200999116377 +github:1073363952 2025-10-10 2025-11-15 f https://github.com/Hex00-0x4/CVE-2024-38856-Apache-OFBiz CVE-2024-38856: Apache OFBiz remote code execution Scanner & Exploit CVE-2024-38856 0 3 0 3 1636276579809020852 +github:1020554039 2025-07-17 2025-07-17 f https://github.com/nguyentranbaotran/cve-2025-48384-poc CVE-2025-48384 0 0 0 0 5838969972868395345 +github:1094817220 2026-02-17 2026-03-10 f https://github.com/ArdNoir/CVE-2025-64516-POC POC for Unauthorized access to documents. CVE-2025-64516 CVE-2025-64516 0 2 1 2 3015246082258372379 +github:1271462738 2026-06-16 2026-06-16 f https://github.com/vimmwy/CVE-2025-49132 A script that gives you the credentials of a Pterodactyl panel vulnerable to CVE-2025-49132 CVE-2025-49132 0 1 0 1 810652726545344922 +github:1250944834 2026-05-27 2026-05-27 f https://github.com/lottiedeyan/CVE20264893poc Generate the poc for CVE-2026-4893: broken EDNS Client Subnet validation. CVE-2026-4893 0 0 0 0 8329178725325150295 +github:780214985 2024-04-01 2024-04-01 f https://github.com/MrBUGLF/XZ-Utils_CVE-2024-3094 XZ-Utils工具库恶意后门植入漏洞(CVE-2024-3094) CVE-2024-3094 0 0 1 0 282461303912201905 +github:1264270231 2026-06-09 2026-06-09 f https://github.com/RichJJ98/analise-vulnerabilidades-zabbix-notebooklm Caderno Temático NotebookLM: análise de vulnerabilidades SQL Injection (CVE-2024-42327, CVE-2026-23921) no Zabbix, com engenharia de prompts, cadeia de ataque até RCE e miniguia de hardening CVE-2024-42327 0 0 0 0 274342691522504574 +github:1211173645 2026-04-15 2026-04-15 f https://github.com/opsecramdan/react2shell-cve-2025-55182 CVE-2025-55182 0 0 0 0 8764779990572845821 +github:1181601333 2026-03-14 2026-03-14 f https://github.com/agent-skywalker/CVE-2025-60787 MotionEye v0.43.1b4 OS Command Injection CVE-2025-60787 1 0 0 0 2573015836897711926 +github:1249970196 2026-05-26 2026-05-26 f https://github.com/nayakchinmohan/CVE-2026-45401 Working exploit for ssrf issue reported in CVE-2026–45401 CVE-2026-45401 0 1 0 1 6362717666822701163 +github:234739158 2021-09-22 2025-11-14 f https://github.com/0xsha/CVE_2019_19844 CVE-2019-19844 Docker Edition CVE-2019-19844 3 4 1 4 1790637247495714058 +github:645770114 2023-05-27 2023-06-02 f https://github.com/Le1a/CVE-2022-22947 Spring Cloud Gateway Actuator API SpEL表达式注入命令执行Exp CVE-2022-22947 2 2 1 2 2302847963419790462 +github:883535763 2024-11-08 2025-09-11 f https://github.com/l0n3m4n/CVE-2022-29078 Serverside Template Injection (SSTI) RCE - THM challenge "whiterose" CVE-2022-29078 0 3 2 3 4833737465546354446 +github:1218015634 2026-04-22 2026-04-22 f https://github.com/joaoreis13/flight-risk Security toolkit for CVE-2025-55182 (React2Shell) — scan, detect, correlate, and test React Server Components RCE vulnerability CVE-2025-55182 0 0 0 0 4268956613183468981 +github:476084548 2022-03-30 2022-03-31 f https://github.com/sagaryadav8742/springcloudRCE Spring Cloud Gateway RCE - CVE-2022-22947 CVE-2022-22947 1 4 1 4 2554539147339980595 +github:1112900908 2025-12-09 2025-12-09 f https://github.com/Muzyli/cve-2025-62726-malicious-repo cve-2025-62726-malicious-repo CVE-2025-62726 0 0 0 0 330301399490095604 +github:550531926 2022-10-12 2022-10-15 f https://github.com/MariliaMeira/CVE-2019-14287 CVE-2019-14287 0 1 1 1 2506287963422410884 +github:1112302625 2025-12-08 2025-12-09 f https://github.com/cahyod/react2shell Alat ini mendeteksi potensi kerentanan React2Shell (CVE-2025-55182) dalam proyek React dengan memeriksa: - File `package.json` dan file lock untuk paket rentan - Direktori `node_modules` untuk dependensi yang terpengaruh - URL secara pasif untuk deteksi jarak jauh CVE-2025-55182 1 1 0 1 4527993610125815143 +github:965467013 2025-05-10 2026-05-11 f https://github.com/Can0I0Ever0Enter/CVE-2023-45878 CVE-2023-45878 0 3 1 3 3536646626166921710 +github:440523001 2021-12-23 2023-04-04 f https://github.com/asaotomo/CVE-2016-10140-Zoneminder-Poc Zoneminder 未授权访问批量检测工具：ZoneMinder v1.30和v1.29捆绑的Apache HTTP Server配置中存在信息泄露和认证绕过漏洞，允许远程未认证攻击者浏览web根目录下的所有目录。 CVE-2016-10140 1 8 1 8 5573186677644947137 +github:608016738 2023-03-01 2023-03-17 f https://github.com/umakant76705/CVE-2022-22978 CVE-2022-22978 0 2 1 2 2494280558719194550 +github:955629429 2025-04-15 2025-10-26 f https://github.com/timothyjxhn/DeliberatelyVulnerableWebApp A Deliberately Vulnerable Web Application built on Struts 2 (CVE-2017-5638) and Log4J (CVE-2021-44228) for testing and demonstration of OWASP Top 10 Web Application Security Risks: A06:2021-Vulnerable and Outdated Components. CVE-2017-5638 0 0 1 0 3087797642083759109 +github:526901190 2022-08-20 2022-08-20 f https://github.com/navokus/CVE-2022-27925 CVE-2022-27925 1 0 0 0 7117099570005935546 +github:428884974 2021-11-17 2021-11-17 f https://github.com/ybdegit2020/wonderplugin cve-2020-35314,一个带phpcode的zip文件 CVE-2020-35314 0 0 1 0 617517154412534089 +github:1120646101 2026-03-14 2026-03-14 f https://github.com/BoianEduard/CVE-2021-40346 HTTP Request Smuggling CVE-2021-40346 0 0 0 0 5319844446751082848 +github:815018186 2024-06-14 2024-06-14 f https://github.com/cve-2024/CVE-2023-1326-PoC CVE-2023-1326 0 0 1 0 3819066610934931768 +github:1175114004 2026-03-12 2026-03-16 f https://github.com/Rohitberiwala/CVE-2025-60787-MotionEye-RCE Professional PoC for CVE-2025-60787: Remote Code Execution in MotionEye (<= 0.43.1b4). This exploit demonstrates an OS Command Injection vulnerability through client-side validation bypass, allowing attackers to execute arbitrary commands via configuration files. CVE-2025-60787 0 1 0 1 155887844313552997 +github:105091487 2017-09-28 2017-09-28 f https://github.com/tlatkdgus1/blueborne-CVE-2017-1000251 clone CVE-2017-1000251 1 0 1 0 8969756496867508896 +github:263100309 2020-05-11 2020-05-11 f https://github.com/sachinthadesilva/Exploit-CVE-2019-14287 Documentation for Sudo Security Bypass - CVE 2019-14287 CVE-2019-14287 0 0 1 0 1408864464168344882 +github:712094141 2023-10-30 2023-11-06 f https://github.com/andreysanyuk/CVE-2023-42284 Proof of concept for CVE-2023-42284 in Tyk Gateway CVE-2023-42284 0 0 1 0 8652702930859579146 +github:1016124877 2025-07-08 2026-07-21 f https://github.com/bloodcode-spasov/ble-cve2025-attack-new-version # android-ble-cve-2025-4866 🔐 **PoC za CVE-2025-4866 — Android BLE ranjivost (javna verzija)** 📡 Iskorišćavanje slabosti u BLE autorizaciji na Android uređajima (public PoC only). 👨💻 Razvijeno od strane BloodCode Labs — 2025. CVE-2025-4866 1 5 0 5 7645798010387378998 +github:951061774 2025-03-19 2025-03-19 f https://github.com/tpdlshdmlrkfmcla/CVE-2018-7600. CVE-2018-7600. CVE-2018-7600 0 0 1 0 5811013582299863082 +github:821134638 2024-07-28 2024-07-28 f https://github.com/3v1lC0d3/RCE-QloApps-CVE-2024-40318 Remote code execution Vulnerability in QloApps  (version 1.6.0.0) CVE-2024-40318 0 0 1 0 3464158602665086088 +github:608248647 2023-03-01 2023-12-11 f https://github.com/nerowander/CVE-2022-25845-exploit CVE-2022-25845 1 1 1 1 2708546502715928385 +github:1111295386 2025-12-06 2025-12-06 f https://github.com/aastikgakhar/CVE-2025-55182-react2shell Detects exposed React Server Components vulnerable to CVE-2025-55182 via RSC negotiation. CVE-2025-55182 0 0 0 0 5544041594935370180 +github:565892834 2023-04-17 2026-03-10 f https://github.com/d3fudd/CVE-2020-9484_Exploit Exploit for Apache Tomcat deserialization (CVE-2020-9484) which could lead to RCE CVE-2020-9484 1 17 1 17 1279523190395943963 +github:473832086 2022-03-25 2022-03-25 f https://github.com/spasm5/CVE-2018-12326 CVE-2018-12326 0 0 1 0 1594804822030468839 +github:1152284017 2026-02-07 2026-02-09 f https://github.com/demining/RAMnesia-Attack RAMnesia Attack: A Scientific Investigation of WireTap Threats to Bitcoin Infrastructure, Hardware Vulnerabilities (CVE-2025-6202, CVE-2023-39910), and Cryptanalytic Methods for ECDSA Key Recovery CVE-2023-39910 0 1 0 1 2522215441971010837 +github:1109700440 2025-12-07 2026-07-28 f https://github.com/assetnote/react2shell-scanner High Fidelity Detection Mechanism for RSC/Next.js RCE (CVE-2025-55182 & CVE-2025-66478) CVE-2025-55182 271 2453 11 2453 8099833812338878886 +github:229576729 2019-12-22 2024-08-12 f https://github.com/ianxtianxt/CVE-2018-6389 CVE-2018-6389: WordPress <= 4.9.x 拒绝服务(DOS)漏洞 CVE-2018-6389 1 3 1 3 5970311879796464902 +github:467753881 2022-03-09 2026-07-09 f https://github.com/Al1ex/CVE-2022-0847 CVE-2022-0847 CVE-2022-0847 16 91 3 91 6843898844700606653 +github:154178141 2018-10-22 2024-08-12 f https://github.com/Den1al/CVE-2018-9206 A Python PoC for CVE-2018-9206 CVE-2018-9206 13 13 2 13 469548273041911302 +github:1123106678 2025-12-26 2026-06-28 f https://github.com/ProbiusOfficial/CVE-2025-14847 poc for CVE-2025-14847 CVE-2025-14847 6 26 0 26 8656637842492358523 +github:1038994350 2025-08-16 2025-08-16 f https://github.com/shoucheng3/asf__tapestry-5_CVE-2019-0207_5-4-4 CVE-2019-0207 0 0 0 0 298809011645884423 +github:212845397 2019-10-04 2025-10-26 f https://github.com/JasonJerry/WhatsRCE This is a Automated Generate Payload for CVE-2019-11932 (WhatsApp Remote Code Execution) CVE-2019-11932 27 4 1 4 8943614751125468523 +github:987698830 2025-05-21 2025-05-21 f https://github.com/RdBBB3/SHELL-POC-CVE-2022-46169 CVE-2022-46169 0 0 1 0 6990261333336238054 +github:966840347 2025-04-15 2025-04-21 f https://github.com/Anton-ai111/CVE-2024-52550 CVE-2024-52550 CVE-2024-52550 0 1 1 1 322277077939686677 +github:1022976286 2025-07-20 2025-07-20 f https://github.com/Thewhiteevil/CVE-2025-51403 LiveHelperChat <=4.61 - Stored Cross Site Scripting (XSS) via Department Assignment Alias Nick Field CVE-2025-51403 0 0 0 0 8640036781651873063 +github:465956696 2022-03-04 2022-03-04 f https://github.com/Summer177/Spring-Cloud-Gateway-CVE-2022-22947 Spring Cloud Gateway远程代码执行漏洞 CVE-2022-22947 1 0 1 0 2927329917186427216 +github:835137529 2024-07-31 2024-08-01 f https://github.com/LOURC0D3/CVE-2024-39700-PoC CVE-2024-39700 Proof of Concept CVE-2024-39700 0 1 1 1 4626806810445943320 +github:801275554 2024-05-16 2024-05-16 f https://github.com/geozin/POC-CVE-2018-25031 A simple POC (CVE-2018-25031 CVE-2018-25031 1 0 1 0 9084338284259990717 +github:826392009 2024-07-09 2024-07-10 f https://github.com/HO4XXX/cve-2023-4220-poc PoC for CVE-2023-4220 - Chamilo LMS - Unauthenticated File Upload in BigUpload CVE-2023-4220 0 0 1 0 2626818952970688352 +github:1141995048 2026-01-27 2026-01-28 f https://github.com/yup-Ivan/CVE-2019-9978 POC (RCE) -> CVE-2019-9978 CVE-2019-9978 0 4 0 4 3822410174782708572 +github:782282800 2024-04-05 2026-05-07 f https://github.com/badsectorlabs/ludus_xz_backdoor An Ansible Role that installs the xz backdoor (CVE-2024-3094) on a Debian host and optionally installs the xzbot tool. CVE-2024-3094 1 6 1 6 4300950639873207256 +github:1133106003 2026-01-13 2026-02-25 f https://github.com/peakcyber-security/CVE-2025-14847 CVE-2025-14847 | MongoBleed vulnerability proof of concept project CVE-2025-14847 0 2 0 2 7309046404280277116 +github:764081614 2024-02-27 2024-02-27 f https://github.com/SpiralBL0CK/dpx_work_CVE-2017-2903 dpx file format parser + mallicous crafter for CVE-2017-2903 CVE-2017-2903 0 0 1 0 112985252242988818 +github:956534447 2025-03-28 2025-07-05 f https://github.com/keklick1337/CVE-2025-30208-ViteVulnScanner CVE-2025-30208 ViteVulnScanner CVE-2025-30208 0 1 1 1 1486847603438174506 +github:1260132319 2026-06-05 2026-06-05 f https://github.com/keeieb79/CVE-2026-23744-poc cve-2026-23744 python exploit CVE-2026-23744 0 0 0 0 4417965341942540126 +github:1297272808 2026-07-11 2026-07-11 f https://github.com/gkdgkd123/CVE-2026-29145-Everything CVE-2026-29145 0 1 0 1 4491334011224752508 +github:439129728 2022-04-21 2023-08-15 f https://github.com/Kr0ff/CVE-2021-44228 Log4Shell Proof of Concept (CVE-2021-44228) CVE-2021-44228 0 4 1 4 1944075093796706361 +github:950684513 2025-03-19 2026-06-30 f https://github.com/Checkmarx/Checkmarx-CVE-2025-30066-Detection-Tool CVE-2025-30066 0 1 1 1 5199385006114253401 +github:1258633601 2026-06-03 2026-06-03 f https://github.com/lowilol/CVE-2026-42945-NGINX-Rift-Check-Script CVE-2026-42945 0 0 0 0 5104062967399623816 +github:1041420685 2025-08-20 2025-08-20 f https://github.com/shoucheng3/perwendel__spark_CVE-2018-9159_2-7-1 CVE-2018-9159 0 0 0 0 1721966144049501989 +github:1209389591 2026-04-13 2026-04-23 f https://github.com/UsifAraby/CVE-2025-59528-POC CVE-2025-59528 - FlowiseAI CustomMCP Remote Code Execution CVE-2025-59528 0 1 0 1 6987960978859245400 +github:120617956 2018-02-13 2018-12-02 f https://github.com/JulienGadanho/cve-2018-6389-php-patcher Patch Wordpress DOS breach (CVE-2018-6389) in PHP CVE-2018-6389 2 1 2 1 1681591001631087489 +github:654170026 2023-06-15 2026-07-24 f https://github.com/overgrowncarrot1/CVE-2023-0297 CVE-2023-0297 1 1 1 1 1290375192984743851 +github:100544749 2017-08-17 2017-08-17 f https://github.com/ikmski/CVE-2017-1000117 CVE-2017-1000117 0 0 0 0 8477714754173301815 +github:566244243 2022-11-15 2022-11-16 f https://github.com/qq87234770/CVE-2022-22947 CVE-2022-22947 0 1 1 1 2979945838461263028 +github:730727782 2024-07-07 2025-07-27 f https://github.com/m3m0o/zoneminder-snapshots-rce-poc This is a script written in Python that allows the exploitation of the Zoneminder's security flaw described in CVE-2023-26035. CVE-2023-26035 0 0 1 0 4262997539072087460 +github:1078228811 2026-04-23 2026-04-23 f https://github.com/secvulnhub/CVE-2025-32463-EXPLOIT CVE-2025-32463 0 1 0 1 6471963454725196913 +github:1112516415 2025-12-08 2025-12-08 f https://github.com/Ngagne-Demba-Dia/CVE-2024-6387-corrigee CVE-2024-6387 0 0 0 0 2676456626621785196 +github:1311475694 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66729-Out-of-Bounds-Read-in-facil.io-MIME-Parser-leads-to-Server-Crash Security Advisory: Out-of-Bounds Read in facil.io MIME Parser leads to Server crash CVE-2026-66729 0 0 0 0 4078062212948339571 +github:696506973 2023-09-25 2025-11-30 f https://github.com/talbeerysec/BAD-WEBP-CVE-2023-4863 BAD-WEBP-CVE-2023-4863 CVE-2023-4863 0 3 1 3 3340201578852008290 +github:1016608388 2025-07-09 2025-11-13 f https://github.com/DVKunion/CVE-2025-53547-POC CVE-2025-53547 one of poc code CVE-2025-53547 0 9 0 9 2541977667166542024 +github:1206893862 2026-04-11 2026-04-11 f https://github.com/kaxm23/CVE-2025-55182-Auto-Scanner CVE-2025-55182 Auto Scanner - Improved Version For authorized CTF/testing purposes only CVE-2025-55182 0 0 0 0 4985556593183668171 +github:730658177 2023-12-12 2026-07-14 f https://github.com/sergiovks/CVE-2021-40438-Apache-2.4.48-SSRF-exploit CVE-2021-40438 Apache <= 2.4.48 SSRF exploit CVE-2021-40438 1 10 1 10 2876851637863102440 +github:1061375097 2025-09-23 2025-09-30 f https://github.com/iteride/CVE-2025-29927 CVE-2025-29927 0 1 0 1 912504082020052379 +github:474212748 2023-03-05 2026-05-13 f https://github.com/hktalent/spring-spel-0day-poc spring-cloud / spring-cloud-function,spring.cloud.function.routing-expression,RCE,0day,0-day,POC,EXP,CVE-2022-22963 CVE-2022-22963 77 355 9 355 9188560912308913820 +github:624418578 2023-04-06 2023-08-23 f https://github.com/LHXHL/Minio-CVE-2023-28432 CVE-2023-28432 0 1 1 1 5314368535941837212 +github:844807994 2024-08-20 2024-08-20 f https://github.com/Featherw1t/CVE-2023-51385_test CVE-2023-51385 0 0 1 0 8002496174393990413 +github:765626764 2024-03-01 2025-08-31 f https://github.com/abian2/CVE-2024-23652 CVE-2024-23652 0 2 1 2 6244344009809253850 +github:494319745 2022-05-20 2025-02-27 f https://github.com/sadshade/CVE-2022-24706-CouchDB-Exploit Apache CouchDB 3.2.1 - Remote Code Execution (RCE) CVE-2022-24706 7 29 1 29 5094336345434562319 +github:996275018 2025-06-04 2026-06-09 f https://github.com/Guilhem7/CVE-2025-46816 POC for exploit of goshs CVE-2025-46816 1 4 0 4 5043087364972354778 +github:1138073546 2026-01-29 2026-02-06 f https://github.com/BBD-YZZ/CVE-2025-55182 CVE-2025-55182(命令执行、反弹shell、注入内存马) CVE-2025-55182 0 0 0 0 2520904623446462932 +github:488850414 2022-05-05 2022-05-07 f https://github.com/axin2019/CVE-2022-29464 1 CVE-2022-29464 1 1 1 1 2110204164206612162 +github:703927800 2023-10-15 2025-02-14 f https://github.com/fatmo666/CVE-2023-38545-libcurl-SOCKS5-heap-buffer-overflow Simple PoC causing overflow CVE-2023-38545 3 6 1 6 4727403553607727932 +github:437774679 2022-01-03 2022-10-26 f https://github.com/thedevappsecguy/Log4J-Mitigation-CVE-2021-44228--CVE-2021-45046--CVE-2021-45105--CVE-2021-44832 Log4J CVE-2021-44228 : Mitigation Cheat Sheet CVE-2021-44228 2 2 1 2 3471433612450810969 +github:547156570 2022-10-08 2025-06-16 f https://github.com/silnex/CVE-2022-31629-poc CVE-2022-31629 POC CVE-2022-31629 1 3 1 3 5103900120212747434 +github:737375747 2025-01-21 2025-01-21 f https://github.com/tomasmussi/activemq-cve-2023-46604 Repository to exploit CVE-2023-46604 reported for ActiveMQ CVE-2023-46604 0 0 0 0 3976314411774099491 +github:1273812859 2026-06-18 2026-06-23 f https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root Full-chain CVE-2025-57819 PoC for FreePBX 15, 16, and 17: unauthenticated SQLi to RCE and root takeover. CVE-2025-57819 0 1 0 1 3095530345173117332 +github:335788673 2021-02-09 2021-02-09 f https://github.com/forse01/CVE-2018-1000542-NetBeans CVE-2018-1000542 0 0 1 0 8987009118861206941 +github:605992634 2023-02-27 2026-07-04 f https://github.com/dpgg101/CVE-2019-10945 Joomla! Core 1.5.0 - 3.9.4 - Directory Traversal / Authenticated Arbitrary File Deletion in Python3 CVE-2019-10945 4 31 1 31 7473060000006035456 +github:542072961 2022-10-31 2022-11-01 f https://github.com/bypazs/CVE-2022-42096 Backdrop CMS version 1.23.0 was discovered to contain a stored cross-site scripting (XSS) vulnerability via the Post content. CVE-2022-42096 0 1 1 1 4913141353217027722 +github:203123412 2019-09-02 2026-07-17 f https://github.com/jas502n/CVE-2019-15107 CVE-2019-15107 Webmin RCE (unauthorized) CVE-2019-15107 22 66 3 66 7758492450232359506 +github:1254998365 2026-06-21 2026-06-21 f https://github.com/Hunt-Benito/lwip-snmpv3-stack-overflow-cve-2026-8836-critical-embedded-rce CVE-2026-8836 — lwIP SNMPv3 stack-based buffer overflow PoC (CVSS 9.8) CVE-2026-8836 0 0 0 0 7862425350715652428 +github:108858920 2017-10-30 2020-07-25 f https://github.com/skyformat99/dnsmasq-2.4.1-fix-CVE-2017-14491 CVE-2017-14491 2 0 0 0 7216748860560811115 +github:1025740776 2025-07-26 2025-12-25 f https://github.com/DAVIDAROCA27/CVE-2024-23346-exploit This is a exploit for the known Remote Code Execution (RCE) vulnerability in the `pymatgen` (CVE-2024-23346) Python library by uploading a malicious `CIF` file to the hosted `CIF Analyzer` website on the target running on the Chemistry machine from Hack the Box. CVE-2024-23346 0 4 0 4 5651014094070455617 +github:1127674580 2026-01-22 2026-07-28 f https://github.com/keraattin/Mongobleed-Detector-CVE-2025-14847 Mongobleed Detector CVE-2025-14847 CVE-2025-14847 0 1 0 1 1885805042456790422 +github:1237473549 2026-05-13 2026-05-26 f https://github.com/kikechans/-Netdata-PrivEsc-CVE-2024-32019 🔓 Local Privilege Escalation (ndsudo) en Netdata CVE-2024-32019. Explotación de configuraciones débiles. 🛡️ CVE-2024-32019 0 0 0 0 6032435031508230074 +github:373082045 2021-06-02 2021-06-02 f https://github.com/dnr6419/CVE-2018-16167 LogonTracer v1.2.0 RCE CVE-2018-16167 0 0 1 0 2621634313853783753 +github:241940286 2020-03-02 2025-02-22 f https://github.com/xindongzhuaizhuai/CVE-2020-1938 CVE-2020-1938 38 45 1 45 8564226328719392941 +github:309938736 2020-11-03 2026-04-02 f https://github.com/oxfemale/CVE-2020-15999 CVE-2020-15999 CVE-2020-15999 10 3 0 3 4461279160208779290 +github:733255762 2024-05-13 2026-07-14 f https://github.com/LiveOverflow/webp-CVE-2023-4863 CVE-2023-4863 9 56 3 56 4977282610174908671 +github:888883677 2024-11-15 2024-11-15 f https://github.com/RandomRobbieBF/CVE-2024-2242 Contact Form 7 <= 5.9 - Reflected Cross-Site Scripting CVE-2024-2242 0 0 1 0 44362194734028362 +github:687632513 2023-09-05 2025-11-29 f https://github.com/atici/Exploit-for-ImageMagick-CVE-2022-44268 A bash script for easyly exploiting ImageMagick Arbitrary File Read Vulnerability CVE-2022-44268 CVE-2022-44268 0 0 1 0 5961603246047702239 +github:814126257 2024-08-29 2025-01-08 f https://github.com/shodanwashere/boatcrash Exploit for CVE-2019-19030 that affects Harbor versions <1.10.3 and <2.0.1. Can also be used to enumerate and pull public projects from higher versions. CVE-2019-19030 0 1 1 1 2057454664732161936 +github:709928112 2023-10-26 2025-02-10 f https://github.com/Red4mber/CVE-2023-38646 Python script to exploit CVE-2023-38646 Metabase Pre-Auth RCE via SQL injection CVE-2023-38646 0 2 1 2 1799544617768109299 +github:1171796190 2026-03-03 2026-03-03 f https://github.com/vmc8ll/poc-CVE-2024-23897 CVE-2024-23897: Jenkins Arbitrary File Read Lead to RCE CVE-2024-23897 0 0 0 0 3755954183478566759 +github:942658038 2025-03-04 2025-03-04 f https://github.com/SavageSanta11/Reproduce-CVE-2024-21513 CVE-2024-21513 0 0 1 0 9119452523937681994 +github:1110935853 2025-12-06 2026-07-24 f https://github.com/emredavut/CVE-2025-55182 RSC/Next.js RCE Vulnerability Detector & PoC Chrome Extension – CVE-2025-55182 & CVE-2025-66478 CVE-2025-55182 57 313 5 313 7657938650620963431 +github:437781188 2022-01-04 2021-12-19 f https://github.com/helsecert/CVE-2021-44228 CVE-2021-44228 1 1 6 1 7813781772532693176 +github:1182727555 2026-03-16 2026-03-16 f https://github.com/ahmedreda38/CVE-2025-15276-poc Proof of concept for CVE-2025-15276 - FontForge SFD File Parsing Deserialization of Untrusted Data Remote Code Execution Vulnerability CVE-2025-15276 0 2 0 2 4597293697504074590 +github:1156686804 2026-02-12 2026-04-10 f https://github.com/rippsec/CVE-2025-49132-PHP-PEAR CVE-2025-49132_PHP_PEAR_METHOD CVE-2025-49132 1 3 0 3 6933196301952388223 +github:1122304139 2025-12-25 2025-12-25 f https://github.com/r4j3sh-com/CVE-2025-68613-n8n-lab Analysis of CVE-2025-68613 CVE-2025-68613 0 0 0 0 1263562445551573387 +github:1313898055 2026-07-27 2026-07-27 f https://github.com/riddhimaan-sth404/CVE-2026-57973 CVE-2026-57973 is a medium-severity (CVSS 6.3) TOCTOU race condition flaw in Windows Subsystem for Linux (WSL2). It allows a local, low-privileged attacker to bypass security boundaries and perform unauthorized kernel-level tampering on the host machine without user interaction. CVE-2026-57973 0 0 0 0 2976733730359681391 +github:111928630 2020-11-26 2025-11-24 f https://github.com/0x00-0x00/-CVE-2017-9805 Exploit script for Apache Struts2 REST Plugin XStream RCE (‎CVE-2017-9805) CVE-2017-9805 13 15 1 15 3466585966088789811 +github:435936211 2021-12-07 2022-12-15 f https://github.com/phrantom/cve-2021-38314 CVE-2021-38314 4 6 1 6 7344356079913039606 +github:468416712 2022-03-10 2022-03-10 f https://github.com/osungjinwoo/CVE-2022-0847-Dirty-Pipe CVE-2022-0847 0 0 1 0 7552172194895519787 +github:335065219 2021-03-05 2025-02-18 f https://github.com/artem-smotrakov/cve-2016-1000027-poc PoC for CVE-2016-1000027 CVE-2016-1000027 8 12 1 12 5195567402351811286 +github:1005965210 2025-06-21 2025-06-21 f https://github.com/x1ongsec/CVE-2021-44228-Log4j-JNDI CVE-2021-44228 Vulnerability Reproduction Environment CVE-2021-44228 漏洞复现环境 CVE-2021-44228 0 0 0 0 57923562233907357 +github:1260976509 2026-06-06 2026-06-06 f https://github.com/oryk0/CVE-2026-23744 CVE-2026-23744 Reverse shell CVE-2026-23744 0 0 0 0 5200088533020986247 +github:321055902 2020-12-13 2020-12-13 f https://github.com/shanika04/cp30_XXE_partial_fix version between CVE-2018-20433 and CVE-2019-5427 CVE-2018-20433 1 0 1 0 7301066926616156400 +github:1049015520 2025-09-02 2025-09-02 f https://github.com/amhar-hckr/Webapp_Pentast CVE-2022-31147 is a path traversal flaw in matthiasmullie/minify. This guide helps security teams test for arbitrary file read on Linux and Windows using Python and curl. It covers automated payload generation, manual validation, and safe practices for vulnerability assessment. CVE-2022-31147 0 0 0 0 6508052081064869409 +github:1283577586 2026-06-29 2026-06-29 f https://github.com/HutTwoThreeFour/CVE-2026-5562-Exploit CVE-2026-5562 0 0 0 0 379118424097905461 +github:1109026977 2025-12-03 2026-06-01 f https://github.com/Kairo-one/CVE-2023-26469-Jorani CVE-2023-26469 0 1 0 1 1775681765500162989 +github:1112263562 2025-12-08 2025-12-08 f https://github.com/Macaroniwdcheese/CVE-2025-55182-Lab CVE-2025-55182 0 0 0 0 1884115522293107963 +github:780339519 2024-04-01 2024-04-01 f https://github.com/mightysai1997/CVE-2024-3094-info CVE-2024-3094 0 0 1 0 6903390819907200983 +github:1039105072 2025-08-16 2025-08-16 f https://github.com/shoucheng3/asf__commons-io_CVE-2021-29425_2-6 CVE-2021-29425 0 0 0 0 5128223985302321797 +github:812777593 2024-06-09 2024-06-09 f https://github.com/mbadanoiu/CVE-2021-42559 CVE-2021-42559: Command Injection via Configurations in MITRE Caldera CVE-2021-42559 0 0 1 0 2966932846934096024 +github:563421791 2022-11-18 2022-12-12 f https://github.com/gokul-ramesh/WebminRCE-exploit CVE-2022-0824, CVE-2022-0829, File Manger privilege exploit CVE-2022-0824 0 0 1 0 1214505572061376750 +github:438697866 2021-12-16 2021-12-16 f https://github.com/tejas-nagchandi/CVE-2021-45046 Replicating CVE-2021-45046 CVE-2021-45046 0 0 1 0 3266657509487458945 +github:1280021451 2026-06-25 2026-06-25 f https://github.com/veronimo669/pdf.js-CVE-2024-4367 SCAN END POC THE CVE-2024-4367 CVE-2024-4367 0 1 0 1 1364883045690437483 +github:675030174 2023-08-05 2026-01-31 f https://github.com/isacaya/CVE-2019-11358 CVE-2019-11358 0 1 1 1 3471680951968961945 +github:352824386 2021-03-30 2025-12-31 f https://github.com/boku7/CVE-2020-23839 Public PoC Disclosure for CVE-2020-23839 - GetSimple CMS v3.3.16 suffers from a Reflected XSS on the Admin Login Portal CVE-2020-23839 4 11 1 11 289848813362730123 +github:437525445 2021-12-12 2021-12-12 f https://github.com/RrUZi/Awesome-CVE-2021-44228 An awesome curated list of repos for CVE-2021-44228. ``Apache Log4j 2`` CVE-2021-44228 0 1 1 1 2237977157711316037 +github:857035292 2024-09-13 2024-09-17 f https://github.com/merbinr/CVE-2024-44623 Details about the Blind RCE issue(SPX-GC) in SPX-GC CVE-2024-44623 0 0 1 0 4741373297204401211 +github:299110384 2020-09-27 2020-09-27 f https://github.com/lsnakazone/cve-2018-6574 CVE-2018-6574 0 0 1 0 1962318234852151122 +github:1133544252 2026-01-13 2026-01-13 f https://github.com/thewindghost/CVE-2020-7693 POC For CVE-2020-7693 (Testing on Version sockjs@0.3.18) CVE-2020-7693 0 0 0 0 7381728026297133599 +github:437097787 2021-12-10 2021-12-10 f https://github.com/wheezysec/CVE-2021-44228-kusto CVE-2021-44228 0 0 1 0 32208742137879277 +github:978874642 2025-05-06 2025-05-06 f https://github.com/moften/CVE-2021-23017 NGINX DNS Overflow Vulnerability Check - CVE-2021-23017 PoC CVE-2021-23017 0 0 1 0 4310847687263610664 +github:457181667 2022-02-09 2022-02-09 f https://github.com/nanaao/csv-plus_vulnerability 👻 [PoC] CSV+ 0.8.0 - Arbitrary Code Execution (CVE-2022-21241) CVE-2022-21241 5 0 0 0 7358187949067086467 +github:1024476370 2026-01-13 2026-01-13 f https://github.com/0xCZR1/cve-2025-49144 Notepad++ Privilege Escalation CVE-2025-49144 0 0 0 0 5795521745773708976 +github:899056725 2026-06-25 2026-07-03 f https://github.com/kabiri-labs/sshfinder Fast, parallel SSH discovery and security auditing across hosts and CIDR ranges: identifies SSH on any port in real time, then flags auth methods, weak crypto, Terrapin (CVE-2023-48795), and reused host keys. CVE-2023-48795 0 2 1 2 357506239471510650 +github:272001877 2020-06-18 2020-06-18 f https://github.com/cyberk1w1/CVE-2017-7529 Exploit for NGiX 1.6.2 Remote Integer Overflow Vulnerability CVE-2017-7529 CVE-2017-7529 1 0 1 0 2611977667039243179 +github:1142522116 2026-01-26 2026-07-15 f https://github.com/nohack1212/CVE-2025-24893- CVE-2025-24893 | Vulnérabilité d'exécution de code à distance sur la plateforme XWiki (preuve de concept) CVE-2025-24893 0 1 0 1 8520889058806613702 +github:1305246778 2026-07-18 2026-07-18 f https://github.com/ChiefYoru/CVE-2026-21628_PoC Unauthenticated Remote Code Execution in Astroid Framework 2.0.0 - 3.3.10 for Joomla CVE-2026-21628 0 0 0 0 7305393543733616246 +github:604397718 2023-02-21 2023-02-21 f https://github.com/nfm/heroku-CVE-2022-44268-reproduction CVE-2022-44268 0 0 1 0 2387932009403044169 +github:1041332463 2025-12-16 2025-08-20 f https://github.com/shoucheng3/Graylog2__graylog2-server_CVE-2023-41044_5-1-2 CVE-2023-41044 0 0 0 0 1427137749399964254 +github:1071915165 2025-11-30 2025-11-30 f https://github.com/Bongni/CVE-2025-29927 Reproduction and fix of the CVE-2025-29927 vulnerability. CVE-2025-29927 0 1 0 1 3839997573464458934 +github:912115404 2025-01-04 2025-01-04 f https://github.com/oalieno/CVE-2022-41924 CVE-2022-41924 0 0 1 0 6020626285905609447 +github:384786682 2021-07-15 2021-07-15 f https://github.com/AndrewIjano/CVE-2020-8277 CVE-2020-8277 0 0 1 0 2956885916548517806 +github:468068745 2022-04-20 2026-03-04 f https://github.com/DataDog/dirtypipe-container-breakout-poc Container Excape PoC for CVE-2022-0847 "DirtyPipe" CVE-2022-0847 12 77 3 77 4754498990799840805 +github:510629189 2022-07-05 2026-02-12 f https://github.com/airbus-cert/dirtypipe-ebpf_detection An eBPF detection program for CVE-2022-0847 CVE-2022-0847 4 29 7 29 8626441569827301032 +github:1032760081 2025-09-22 2026-02-07 f https://github.com/byteReaper77/CVE-2025-8550 XSS exploit for CVE-2025-8550 in atjiu pybbs ≤6.0.0 CVE-2025-8550 1 3 0 3 2476986236916889120 +github:437649883 2022-01-14 2024-04-28 f https://github.com/Panyaprach/Prove-CVE-2021-44228 CVE-2021-44228 0 1 1 1 371052483352387943 +github:1275983705 2026-06-21 2026-06-21 f https://github.com/Perufitlife/directus-security Keyless active-probe security auditor for Directus: proves public-role data exposure, user enumeration, unauth version/schema leaks (CVE-2025-53887), GraphQL introspection & search-param field enumeration (CVE-2025-30352) with live anonymous probes. Zero deps. CVE-2025-53887 0 0 0 0 4446699637345397820 +github:1086824247 2025-10-31 2025-10-31 f https://github.com/Mahfujurjust/CVE-2021-41773 CVE-2021-41773 0 0 0 0 6171250608017820747 +github:1113758984 2025-12-10 2026-06-22 f https://github.com/BeichenDream/CVE-2025-55182-GodzillaMemoryShell CVE-2025-55182 11 108 0 108 364237803272842752 +github:1158014908 2026-02-14 2026-02-14 f https://github.com/MOHITSINGHPAPOLA/CVE-2023-20052 CVE-2023-20052 0 0 0 0 7569756489688252627 +github:209576898 2019-09-19 2019-09-19 f https://github.com/InfoSecJack/CVE-2018-6574 CVE-2018-6574 0 0 1 0 1507026132178791918 +github:358086744 2021-04-15 2021-04-15 f https://github.com/MohamedTarekq/test-CVE-2018-6574- CVE-2018-6574 0 0 1 0 7833294630649166247 +github:191845568 2019-06-18 2024-08-12 f https://github.com/MNEMO-CERT/PoC--CVE-2019-10149_Exim PoC for CVE-2019-10149, this vulnerability could be xploited betwen 4-87 to 4.91 version of Exim server. CVE-2019-10149 5 14 3 14 6746189865587491790 +github:1175920636 2026-03-08 2026-03-08 f https://github.com/Soildworks/Agentic-CLIP-Benchmark An automated, high-precision zero-shot evaluation pipeline for OpenAI's CLIP model on CIFAR-10. Features 88.80% accuracy, Safetensors security mitigation (CVE-2025-32434), and AI Native (Trae) workflow. CVE-2025-32434 0 0 0 0 3373969440444916826 +github:121303569 2018-02-13 2019-01-03 f https://github.com/rarar0/KDE_Vuln CVE-2018-6791 Troubleshooting CVE-2018-6791 0 1 0 1 5476148317222637834 +github:843762610 2024-10-14 2024-10-14 f https://github.com/rwexecute/CVE-2023-50564 Python Script to exploit CVE-2023-50564 CVE-2023-50564 0 0 1 0 5434758826880159304 +github:770100852 2024-03-10 2024-05-12 f https://github.com/TronciuVlad/CVE-2024-26475 An issue in radareorg radare2 v.0.9.7 through v.5.8.6 and fixed in v.5.8.8 allows a local attacker to cause a denial of service via the grub_sfs_read_extent function. CVE-2024-26475 0 1 0 1 2366055599558484722 +github:962480318 2025-04-08 2025-04-08 f https://github.com/ValGrace/middleware-auth-bypass CVE-2025-29927 ~ a poc of the next.js middleware authentication bypass CVE-2025-29927 0 0 1 0 8316111883504456794 +github:1164864390 2026-04-16 2026-04-16 f https://github.com/sassoftware/jackson This repository provides a comprehensive security remediation of denial-of-service and allocation of resources without limits or throttling security vulnerabilities reported in CVE-2025-52999, GHSA-2m67-wjpj-xhg9 and sonatype-2022-6438 while maintaining full compatibility with jackson‑core 2.13.5. CVE-2025-52999 0 1 0 1 9081293336009801124 +github:363054000 2021-04-30 2024-02-20 f https://github.com/g33xter/CVE-2020-9496 Apache OFBiz unsafe deserialization of XMLRPC arguments CVE-2020-9496 0 7 1 7 4504993691694411226 +github:986004018 2025-05-19 2025-05-19 f https://github.com/Loucy1231/Nexus-Repository-Manager3-EL-CVE-2018-16621-https-www.cve.org-CVERecord-id-CVE-2018-16621- CVE-2018-16621 0 0 1 0 7494833417616482422 +github:635123796 2023-05-02 2024-10-31 f https://github.com/r1nzleer/RCE-Cacti-1.2.22 Este es un código del exploit CVE-2022-46169, que recree utilizando Python3! Si por ahí estás haciendo una máquina de HTB, esto te puede ser útil... 🤞✨ CVE-2022-46169 0 0 1 0 2264989506716012793 +github:634566047 2023-04-30 2023-07-01 f https://github.com/fivex3/CVE-2023-27035 CVE-2023-27035 0 1 1 1 4819150291558624892 +github:1050061236 2025-09-03 2025-10-04 f https://github.com/b0ySie7e/CVE-2025-24893 CVE-2025-24893 3 11 0 11 1454366372502471417 +github:1111276958 2025-12-08 2026-04-17 f https://github.com/rubensuxo-eh/react2shell-exploit React2Shell-Exploit — Complete exploitation framework for CVE-2025-55182, including Python exploit, Docker vulnerable lab, Burp Suite manual and automated exploitation, Nuclei detection template, and validated testing workflow. Developed for penetration testing and educational research. CVE-2025-55182 1 4 0 4 5722087558154531682 +github:234433419 2026-04-11 2026-04-21 f https://github.com/saleemrashid/badecparams Proof of Concept for CVE-2020-0601 CVE-2020-0601 14 66 4 66 5569714820679294634 +github:981990225 2025-05-12 2025-05-12 f https://github.com/shishirpandey18/CVE-2021-3156 CVE-2021-3156 0 0 1 0 3668715510148525345 +github:664152781 2023-07-10 2024-04-20 f https://github.com/b3nguang/CVE-2023-35843 CVE-2023-35843 NocoDB 任意文件读取漏洞 CVE-2023-35843 1 0 1 0 3009823933984029686 +github:100280254 2017-08-16 2023-01-31 f https://github.com/greymd/CVE-2017-1000117 Check Git's vulnerability CVE-2017-1000117 CVE-2017-1000117 27 136 2 136 3988326706467677185 +github:824152890 2024-07-04 2026-05-30 f https://github.com/bigb0x/CVE-2024-36401 POC for CVE-2024-36401. This POC will attempt to establish a reverse shell from the vlun targets. CVE-2024-36401 15 34 1 34 4764198506685182783 +github:1314207652 2026-07-27 2026-07-27 f https://github.com/saadhassan77/CVE-2025-64512---pdfminer.six-Remote-Code-Execution-RCE- CVE-2025-64512 0 0 0 0 6337095379798693140 +github:834651199 2024-07-27 2024-07-27 f https://github.com/blackninja23/CVE-2024-32002 CVE-2024-32002 0 0 1 0 867397085886752283 +github:429055913 2023-06-18 2025-04-10 f https://github.com/fengwenhua/CVE-2021-37580 CVE-2021-37580的poc CVE-2021-37580 11 38 1 38 8424189039298174941 +github:1126472834 2026-02-21 2026-02-21 f https://github.com/captain4554/captain4554.github.io 🔍 Scan for CVE-2025-55182 vulnerabilities with a hybrid tool that combines static and dynamic analysis for improved security assessments. CVE-2025-55182 0 1 0 1 4830525420121733698 +github:1191372560 2026-05-06 2026-05-06 f https://github.com/NeoArtemis37/OverlayFS-PrivEsc-CVE-2022-0944 CVE-2022-0944 0 0 0 0 5856956961516019373 +github:598386749 2023-06-21 2025-05-19 f https://github.com/Zh0um1/CVE-2022-22947 CVE-2022-22947注入哥斯拉内存马 CVE-2022-22947 1 28 1 28 8150943949702052534 +github:1125895436 2025-12-31 2025-12-31 f https://github.com/Rishi-kaul/CVE-2025-14847-MongoBleed CVE-2025-14847 0 0 0 0 8515905368343052407 +github:1023724044 2025-07-21 2026-02-28 f https://github.com/AdityaBhatt3010/Sudo-Privilege-Escalation-Linux-CVE-2025-32463-and-CVE-2025-32462 A deep dive into two critical Sudo vulnerabilities (CVE‑2025‑32463 & CVE‑2025‑32462) that enable local privilege escalation across major Linux distributions. CVE-2025-32463 0 11 0 11 276262601729318761 +github:516684881 2022-07-22 2022-07-22 f https://github.com/EkamSinghWalia/Mitigation-Apache-CVE-2021-41773- Mitigation/fix of CVE-2021-41773 A Path Traversal And File Disclosure Vulnerability In Apache CVE-2021-41773 0 0 1 0 8289936384326687624 +github:135556339 2018-05-31 2018-05-31 f https://github.com/vmotos/CVE-2018-11235 RCE vulnerability to exec "git clone --recurse-submodule" (CVE-2018-11235) CVE-2018-11235 1 0 0 0 4435114344272223326 +github:624820197 2023-04-07 2023-04-07 f https://github.com/jedai47/cve-2018-17182 CVE-2018-17182 0 0 1 0 3132096295047253594 +github:1184336949 2026-03-17 2026-03-17 f https://github.com/wmohamed2033/wmohamed2033.github.io CVE-2021-44228 Log4Shell — Penetration Test Writeup CVE-2021-44228 0 0 0 0 4157603215147550878 +github:1268454969 2026-06-16 2026-06-16 f https://github.com/HeshamASH/CVE-2026-11417-AWS-CDK-RCE Technical writeup and Proof of Concept (PoC) for CVE-2026-11417: OS Command Injection / Remote Code Execution (RCE) in AWS CDK's NodejsFunction. CVE-2026-11417 0 0 0 0 3614044997059237680 +github:230738228 2019-12-29 2024-08-12 f https://github.com/ch4ko/webmin_CVE-2019-15107 webmin_CVE-2019-15107 CVE-2019-15107 1 0 1 0 5092377292341068730 +github:437630669 2021-12-20 2023-06-25 f https://github.com/OlafHaalstra/log4jcheck Check list of URLs against Log4j vulnerability CVE-2021-44228 CVE-2021-44228 1 5 1 5 149674403088831881 +github:331843308 2021-01-24 2026-07-28 f https://github.com/SNCKER/CVE-2021-3129 Laravel debug rce CVE-2021-3129 50 135 3 135 4251319734091705991 +github:1093383942 2025-11-10 2025-11-10 f https://github.com/labeebSabbah/CVE-2018-25031 CVE-2018-25031 0 0 0 0 2587505396908239778 +github:288889170 2020-08-20 2020-08-20 f https://github.com/starling021/CVE-2019-11932-SupportApp CVE-2019-11932 0 0 1 0 7857221020510634702 +github:631830330 2023-04-24 2023-04-24 f https://github.com/Trinadh465/Openssl_1.1.1g_CVE-2023-0464 CVE-2023-0464 0 0 1 0 7324705826697711692 +github:845013815 2024-08-20 2026-02-15 f https://github.com/gh-ost00/CVE-2024-7928 CVE-2024-7928 fastadmin vulnerability POC & Scanning CVE-2024-7928 0 9 1 9 5895804494602225562 +github:689301182 2023-09-26 2023-09-26 f https://github.com/tyj956413282/curveball-plus simulation experiment of Curveball (CVE-2020-0601) attacks under ECQV implicit certificates with Windows-like verifiers CVE-2020-0601 0 0 1 0 3825156486104177286 +github:1220745319 2026-07-15 2026-07-15 f https://github.com/im2sinister/CVE-2021-41773 CVE-2021-41773 0 1 0 1 8758063034752115845 +github:476597168 2022-04-13 2022-04-01 f https://github.com/snicoll-scratches/spring-boot-cve-2022-22965 Showcase of overridding the Spring Framework version in older Spring Boot versions CVE-2022-22965 0 0 0 0 6437521697998872684 +github:604796426 2023-02-21 2023-03-09 f https://github.com/rvermeulen/codeql-cve-2022-35737 A CodeQL query to find CVE 2022-35737 CVE-2022-35737 0 1 1 1 3781286348256229357 +github:849191274 2024-09-03 2024-12-08 f https://github.com/StopThatTalace/CVE-2024-25641-CACTI-RCE-1.2.26 Fully automated PoC - CVE-2024-25641 - RCE - Cacti < v1.2.26 🌵 CVE-2024-25641 1 7 1 7 1005940937463286860 +github:954113310 2025-03-24 2025-09-02 f https://github.com/lem0n817/CVE-2025-29927 Next.js 中间件授权绕过漏洞测试环境 (CVE-2025-29927) CVE-2025-29927 0 2 1 2 8450400985235691572 +github:1109868511 2025-12-04 2025-12-04 f https://github.com/ivaavimusic/React19-fix-vibecoders CVE-2025-55182 Fix for Vibe Coders CVE-2025-55182 0 1 0 1 667866288002910493 +github:703845749 2023-10-12 2023-10-12 f https://github.com/ByteHackr/CVE-2023-44487 Test Script for CVE-2023-44487 CVE-2023-44487 0 0 1 0 7240476256948404347 +github:438353510 2021-12-20 2026-07-08 f https://github.com/BinaryDefense/log4j-honeypot-flask Internal network honeypot for detecting if an attacker or insider threat scans your network for log4j CVE-2021-44228 CVE-2021-44228 25 149 4 149 3703391072839797974 +github:253916583 2022-09-06 2020-04-07 f https://github.com/michelleamesquita/CVE-2018-16890 CVE-2018-16890 CVE-2018-16890 0 0 0 0 5452612374601051842 +github:1031116514 2025-08-04 2026-04-03 f https://github.com/GrantBirki/redash-vulnerable A Dockerized Redash instance that is vulnerable to CVE-2021-21239 CVE-2021-21239 0 0 0 0 504884051189940696 +github:681930748 2023-08-23 2023-08-23 f https://github.com/krillingws/LAB-CVE-2023-25725 Lab environment to test CVE-2023-25725 CVE-2023-25725 0 0 1 0 6014140113124559774 +github:693001684 2023-09-21 2023-09-28 f https://github.com/sromanhu/CVE-2023-43341-Evolution-Reflected-XSS---Installation-Connection- Evolution CMS 3.2.3 is affected by a Cross-Site Scripting (XSS) vulnerability that allows attackers to execute arbitrary code via a crafted payload in the installation/connection process. CVE-2023-43341 0 0 1 0 3237469655927531906 +github:1117460843 2025-12-16 2025-12-16 f https://github.com/d0cnull/nextjs-CVE-2025-55182 CVE-2025-55182 0 0 0 0 4075866641094368772 +github:1302885743 2026-07-16 2026-07-26 f https://github.com/K3ysTr0K3R/CVE-2026-34197 CVE-2026-34197 - Apache ActiveMQ Jolokia Remote Code Execution (RCE) CVE-2026-34197 0 3 0 3 8493728813645774818 +github:1125003047 2025-12-30 2025-12-30 f https://github.com/vfa-tuannt/CVE-2025-14847 Remake of CVE-2025-14847 MongoDB vulnerability demonstration CVE-2025-14847 0 0 0 0 7891942861885309238 +github:1148838322 2026-02-03 2026-02-03 f https://github.com/mr-r3b00t/CVE-2025-15467 discovery tool (powershell) CVE-2025-15467 1 1 0 1 2058789082817540536 +github:950269837 2025-03-17 2025-10-10 f https://github.com/imbas007/CVE-2025-24813-apache-tomcat Nuclei Template CVE-2025–24813 CVE-2025-24813 1 3 1 3 5352251918773301485 +github:151734933 2018-10-05 2023-09-14 f https://github.com/webr0ck/poc-cve-2018-1273 CVE-2018-1273 3 2 0 2 5316389655948134512 +github:486893955 2022-04-30 2022-05-12 f https://github.com/superzerosec/CVE-2022-29464 CVE-2022-29464 POC exploit CVE-2022-29464 2 2 1 2 1393138252098149136 +github:706569827 2023-10-18 2023-10-18 f https://github.com/cli-ish/CVE-2023-28330 CVE-2023-28330 0 0 1 0 600228540642708219 +github:1123780213 2025-12-27 2025-12-27 f https://github.com/KingHacker353/CVE-2025-14847_Expolit CVE-2025-14847 0 0 0 0 442724923480403622 +github:1309782000 2026-07-23 2026-07-23 f https://github.com/0xdak/CVE-2026-56121_exploit CVE-2026-56121 0 0 0 0 6615291206408267687 +github:873290083 2024-10-15 2024-10-15 f https://github.com/SpiralBL0CK/CVE-2024-24685 Crash File ( Poc for CVE-2024-24685) CVE-2024-24685 1 0 1 0 8362633173876346959 +github:1018728419 2025-11-16 2025-11-22 f https://github.com/rvzsec/CVE-2025-27591 Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit CVE-2025-27591 2 3 0 3 3438102323254904073 +github:955942159 2025-04-09 2026-07-04 f https://github.com/4xura/CVE-2025-30208 A PoC of the exploit script for the Arbitrary File Read vulnerability of Vite /@fs/ Path Traversal in the transformMiddleware (CVE-2025-30208). CVE-2025-30208 5 10 1 10 1927639132793582007 +github:689539220 2023-09-10 2023-09-10 f https://github.com/0xZon/CVE-2022-46169-Exploit CVE-2022-46169 0 0 1 0 1462012879518767781 +github:863849901 2024-09-27 2024-09-27 f https://github.com/Masamuneee/CVE-2024-32002-POC This is a demo for CVE-2024-32002 POC CVE-2024-32002 0 0 1 0 7878099702253886037 +github:1195167319 2026-03-29 2026-03-29 f https://github.com/0x0asif/CVE-2025-55182 CVE-2025-55182 0 0 0 0 337888894197278696 +github:1122957924 2025-12-26 2025-12-27 f https://github.com/releaseown/analysis-and-poc-n8n-CVE-2025-68613 Technical study of the CVE-2025-68613 vulnerability in n8n, covering affected versions, laboratory exploration scenario, offensive and defensive analysis, and mitigation strategies. CVE-2025-68613 0 1 0 1 2362739136107001975 +github:172766416 2021-04-15 2024-08-12 f https://github.com/cved-sources/cve-2019-6340 cve-2019-6340 CVE-2019-6340 1 0 0 0 1476705504052712263 +github:361281776 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32160 Exploiting a Reflected Cross-Site Scripting (XSS) attack to create a privileged user through the Webmin's add users feature then getting a reverse shell through the Webmin's running process feature CVE-2021-32160 0 0 1 0 3161012934973692570 +github:1011987383 2025-07-01 2025-07-01 f https://github.com/Hacksparo/CVE-2025-32462 POC script for CVE-2025-32462 a vulnerability in sudo CVE-2025-32462 0 0 0 0 6265737871750419272 +github:160451056 2018-12-13 2026-07-29 f https://github.com/gravitational/cve-2018-1002105 Test utility for cve-2018-1002105 CVE-2018-1002105 25 191 9 191 3506079505492913222 +github:1015443296 2026-01-05 2026-01-05 f https://github.com/bidaoui4905/CVE-2018-10933 LibSSH authentification bypass CVE-2018-10933 0 0 0 0 8073051388118710753 +github:669795717 2023-07-23 2023-08-02 f https://github.com/Phamchie/CVE-2023-37786 CVE-2023-37786 2 1 1 1 1364981519737017374 +github:1203065092 2026-06-30 2026-07-29 f https://github.com/JohannesLks/CVE-2026-27654 NGINX `ngx_http_dav_module` Heap Buffer Overflow via `size_t` Underflow (Remote DoS / Potential RCE) CVE-2026-27654 0 8 0 8 152025832057301226 +github:466164154 2022-03-04 2024-08-12 f https://github.com/hunzi0/CVE-2022-22947-Rce_POC 批量url检测Spring-Cloud-Gateway-CVE-2022-22947 CVE-2022-22947 3 7 1 7 2753873763046841451 +github:438683307 2021-12-17 2026-04-11 f https://github.com/mitiga/log4shell-cloud-scanner we are providing DevOps and security teams script to identify cloud workloads that may be vulnerable to the Log4j vulnerability(CVE-2021-44228) in their AWS account. The script enables security teams to identify external-facing AWS assets by running the exploit on them, and thus be able to map them and quickly patch them CVE-2021-44228 1 14 4 14 3331330135243021587 +github:477067906 2022-04-02 2024-08-12 f https://github.com/drapl0n/dirtypipe DirtyPipe: Exploit for a new Linux vulnerability known as 'Dirty Pipe(CVE-2022-0847)' allows local users to gain root privileges. The vulnerability is tracked as CVE-2022-0847 and allows a non-privileged user to inject and overwrite data in read-only files, including SUID processes that run as root. CVE-2022-0847 2 7 1 7 469833945872927176 +github:580210985 2022-12-20 2023-01-31 f https://github.com/anldori/CVE-2021-21809 CVE-2021-21809 POC CVE-2021-21809 0 1 1 1 7033947365204354641 +github:779492951 2024-03-30 2024-03-30 f https://github.com/ltranquility/CVE-2024-21644-Poc CVE-2024-21644 0 1 1 1 6563892725205981519 +github:1123925616 2025-12-27 2025-12-29 f https://github.com/nma-io/mongobleed golang test tool for mongobleed (cve-2025-14847) CVE-2025-14847 0 2 0 2 4283249832142488242 +github:350235820 2021-03-22 2021-03-22 f https://github.com/Aoyuh/cve-2021-3019 lanproxy(CVE-2021-3019)目录遍历 CVE-2021-3019 0 0 1 0 4508303339493066366 +github:383196095 2021-07-08 2022-10-29 f https://github.com/sec-it/exploit-CVE-2018-15139 OpenEMR < 5.0.1.4 - (Authenticated) File upload - Remote command execution CVE-2018-15139 2 2 1 2 5699613258895663298 +github:339316905 2021-02-16 2021-02-16 f https://github.com/forse01/CVE-2019-5413-NetBeans-NoJson CVE-2019-5413 0 0 1 0 1977560804271841974 +github:1209401513 2026-04-13 2026-04-13 f https://github.com/Backline-playground/gogs Fork of gogs/gogs for reachability benchmark testing (CVE-2024-45337) CVE-2024-45337 0 0 0 0 252975376551858148 +github:954996803 2026-03-22 2026-07-15 f https://github.com/kOaDT/poc-cve-2025-29927 This repository contains a proof of concept (POC) and an exploit script for CVE-2025-29927, a critical vulnerability in Next.js that allows attackers to bypass authorization checks implemented in middleware. CVE-2025-29927 3 8 1 8 3949488109237972641 +github:165325751 2021-04-15 2021-04-15 f https://github.com/cved-sources/cve-2018-9207 cve-2018-9207 CVE-2018-9207 0 0 0 0 340395664772777523 +github:796053569 2024-05-04 2024-05-05 f https://github.com/h3x0v3rl0rd/CVE-2023-1326 CVE-2023-1326 0 1 1 1 6041824391908625978 +github:938316547 2025-02-25 2025-06-07 f https://github.com/numanturle/CVE-2025-25279 CVE-2025-25279 2 4 1 4 5231641149853901994 +github:1097220099 2026-01-03 2026-01-03 f https://github.com/cristibtz/CVE-2025-62369 This script exploits CVE-2025-62369 in Xibo CMS to execute a reverse shell command. CVE-2025-62369 0 0 0 0 7928193654420238549 +github:1194338461 2026-03-28 2026-03-28 f https://github.com/4nuxd/CVE-2025-66034 CVE-2025-66034 - fontTools varLib Arbitrary File Write → RCE PoC exploit for an Arbitrary File Write + XML Injection vulnerability in fontTools.varLib. CVE-2025-66034 0 0 0 0 8096331550955502653 +github:92862379 2017-06-05 2025-06-18 f https://github.com/c0d3z3r0/sudo-CVE-2017-1000367 CVE-2017-1000367 37 113 10 113 88506161096435220 +github:418585239 2021-10-19 2026-07-08 f https://github.com/S1lkys/CVE-2021-24884 If an authenticated user who is able to edit Wordpress PHP code in any kind, clicks a malicious link, PHP code can be edited through XSS in Formidable Forms 4.09.04. CVE-2021-24884 0 1 1 1 6361362849064342074 +github:503274605 2022-06-14 2024-08-22 f https://github.com/ahmetsabrimert/Apache-CouchDB-CVE-2022-24706-RCE-Exploits-Blog-post- I wrote a blog post about Apache CouchDB CVE-2022-24706 RCE Exploits CVE-2022-24706 0 1 1 1 2811036603453418984 +github:780056999 2024-03-31 2025-03-18 f https://github.com/T0X1Cx/CVE-2024-28247-Pi-hole-Arbitrary-File-Read This repository provides an exploit for CVE-2024-28247, highlighting a vulnerability that permits a remote attacker to read arbitrary files on the system. CVE-2024-28247 0 3 1 3 2772221967290363768 +github:957316110 2025-03-30 2025-03-30 f https://github.com/ayato-shitomi/WebLab_CVE-2025-29927 Next.js Auth Bypass Lab ‐ CVE-2025-29927 CVE-2025-29927 0 0 1 0 5249482187904152930 +github:1040128538 2025-08-18 2025-08-18 f https://github.com/chan-068/CVE-2024-0520_try CVE-2024-0520 0 0 0 0 8225033745436062183 +github:1245565238 2026-05-21 2026-07-29 f https://github.com/7h30th3r0n3/CVE-2026-9082-Drupal-PoC Drupal Core PostgreSQL SQL Injection PoC - CVE-2026-9082. Ethical PoC for the Drupal vulnerability allowing anonymous SQL injection through the JSON:API module on PostgreSQL-backed sites. CVE-2026-9082 4 23 0 23 8716467158535966792 +github:972818938 2026-02-11 2025-04-25 f https://github.com/sealldeveloper/CVE-2019-5420-PoC A PoC of CVE-2019-5420 I made for PentesterLab CVE-2019-5420 0 0 1 0 8416223379105458417 +github:849418620 2024-08-29 2024-09-04 f https://github.com/identity-threat-labs/Article-RegreSSHion-CVE-2024-6387 In an era where digital security is crucial, a new vulnerability in OpenSSH, identified as CVE-2024-6387, has drawn the attention of system administrators and security professionals worldwide. Named "regreSSHion," this severe security flaw allows remote code execution (RCE) and could significant threat to the integrity of vulnerable systems. CVE-2024-6387 0 1 0 1 8039152349795118791 +github:978060786 2025-05-08 2025-05-08 f https://github.com/Abdullah4eb/CVE-2025-29448 unauthenticated booking logic flaw in Easy!Appointments v1.5.1 causing denial of service. CVE-2025-29448 0 0 1 0 6817045692267788224 +github:955007037 2025-03-26 2026-05-17 f https://github.com/yugo-eliatrope/test-cve-2025-29927 CVE-2025-29927 1 1 1 1 3783800730413074647 +github:1105231001 2025-11-27 2026-05-17 f https://github.com/Gayang2902/CVE-2025-57833 CVE-2025-57833 PoC (취약한 도서 검색 서비스) CVE-2025-57833 0 1 0 1 3111795083336998486 +github:379986673 2021-06-24 2021-06-24 f https://github.com/noobTest1122/CVE-2018-6574 CVE-2018-6574 0 0 1 0 1854354716941264563 +github:133253539 2018-05-13 2025-07-08 f https://github.com/win3zz/CVE-2017-5638 Apache Struts 2.3.5 < 2.3.31 / 2.5 < 2.5.10 - Remote Code Execution - Shell Script CVE-2017-5638 3 16 1 16 8763412331813482627 +github:438635569 2021-12-18 2023-02-28 f https://github.com/mss/log4shell-hotfix-side-effect Test case to check if the Log4Shell/CVE-2021-44228 hotfix will raise any unexpected exceptions CVE-2021-44228 1 3 1 3 4846233928339282753 +github:823184811 2024-07-02 2026-05-22 f https://github.com/xonoxitron/regreSSHion CVE-2024-6387 (regreSSHion) Exploit (PoC), a vulnerability in OpenSSH's server (sshd) on glibc-based Linux systems. CVE-2024-6387 12 66 2 66 8641317620294170166 +github:955859197 2025-04-07 2025-04-07 f https://github.com/Heimd411/CVE-2025-29927-PoC CVE-2025-29927 0 0 1 0 2943189036558570024 +github:1240971798 2026-05-19 2026-06-14 f https://github.com/BarAppTeam/nginx-cve-fix Source-built nginx 1.25.5 container with backported CVE-2026-42945 fix, OpenSSL bump, full provenance chain, and VEX attestation. CVE-2026-42945 0 0 0 0 4179805939483082002 +github:884862453 2024-11-10 2024-11-10 f https://github.com/numbbvi/CVE-2023-25813 CVE-2023-25813 Vulnerability Reproduction - SQL Injection in Sequelize CVE-2023-25813 0 0 1 0 7649932278027380667 +github:1167840013 2026-02-26 2026-02-26 f https://github.com/Crims-on/CVE-2021-21239 A script to exploit a vulnerability in xmlsec1 where xmlsec ignores loaded public keys CVE-2021-21239 0 0 0 0 3778040422725866031 +github:834840343 2024-08-02 2024-08-02 f https://github.com/daemon-reconfig/CVE-2024-32002 A Reverse shell generator for gitlab-shell vulnerability cve 2024-32002 CVE-2024-32002 0 0 1 0 7020879785762929626 +github:187589348 2019-05-20 2023-10-14 f https://github.com/leezp/CVE-2017-1000117 CVE-2017-1000117 0 1 1 1 4323928701664235272 +github:1094430358 2025-11-13 2026-05-13 f https://github.com/jq6l43d1/proxmox-lxc-docker-fix Workaround for CVE-2025-52881: Fixes Docker/Podman breakage in Proxmox LXC containers caused by AppArmor incompatibility with runc 1.2.7+. Universal wrapper for community-scripts with automatic AppArmor configuration. CVE-2025-52881 2 15 1 15 2187850918229493964 +github:359757450 2021-04-20 2021-04-20 f https://github.com/mi-hood/CVE-2018-9206 jquery file upload poc CVE-2018-9206 1 0 1 0 159997897042784842 +github:1267334630 2026-06-12 2026-07-15 f https://github.com/olezhaku/react2shell-toolkit Toolkit for CVE-2025-55182, also known as React2Shell. CVE-2025-55182 0 4 0 4 4837996255955124069 +github:261982321 2020-05-07 2022-12-18 f https://github.com/Snowming04/CVE-2018-18649 CVE-2018-18649 EXP CVE-2018-18649 2 4 2 4 4595528799400348083 +github:293756101 2025-06-27 2026-07-30 f https://github.com/bvcyber/CVE-2020-1472 Test tool for CVE-2020-1472 CVE-2020-1472 358 1823 84 1823 5337592368268436369 +github:620449786 2023-03-28 2023-03-28 f https://github.com/mha98/CVE-2022-45004 CVE-2022-45004 0 0 1 0 828848440027423832 +github:786159976 2024-04-13 2024-04-13 f https://github.com/mbadanoiu/CVE-2020-13965 CVE-2020-13965: Cross-Site Scripting via Malicious XML Attachment in Roundcube Webmail CVE-2020-13965 0 0 1 0 9065218257067077812 +github:154390432 2018-10-23 2018-10-23 f https://github.com/Bifrozt/CVE-2018-10933 CVE-2018-10933 CVE-2018-10933 0 0 1 0 246456026241083198 +github:437139341 2024-02-12 2026-07-29 f https://github.com/kozmer/log4j-shell-poc A Proof-Of-Concept for the CVE-2021-44228 vulnerability. CVE-2021-44228 541 1851 0 1851 4469124996721566179 +github:597824177 2025-03-24 2026-07-11 f https://github.com/voidz0r/CVE-2022-44268 A PoC for the CVE-2022-44268 - ImageMagick arbitrary file read CVE-2022-44268 25 219 1 219 1765158390188756983 +github:1127887040 2026-02-19 2026-02-19 f https://github.com/gahoole77/gahoole77.github.io 🔍 Discover and scan vulnerable Next.js instances to protect your infrastructure from critical RCE vulnerabilities like CVE-2025-55182. CVE-2025-55182 0 0 0 0 9124889481180160741 +github:261315627 2022-12-12 2021-01-06 f https://github.com/0-9194/node-poc-http-smuggling PoC of Backend HTTP Socket Poisoning, via HTTP Smuggling, presented in CVE-2019-15605 CVE-2019-15605 1 0 1 0 598558132711871601 +github:1239227912 2026-05-14 2026-05-14 f https://github.com/Super-Vulnerable-Org/compromised-action Test repo: simulates CVE-2025-30066 style compromised GitHub Action (for security research/testing chainradar) CVE-2025-30066 0 0 0 0 4689887577283787080 +github:1313012007 2026-07-28 2026-07-28 f https://github.com/theopaid/CVE-2026-66752-HTTP-Request-Smuggling-via-Unparsed-Transfer-Encoding-Values-tiny_http- Security Advisory: HTTP Request Smuggling via Unparsed Transfer-Encoding Values (tiny_http) CVE-2026-66752 0 0 0 0 7665495382262958011 +github:308459174 2020-10-29 2025-06-18 f https://github.com/RepublicR0K/CVE-2019-10779 GCHQ Stroom is vulnerable to Cross-Site Scripting due to the ability to load the Stroom dashboard on another site and insufficient protection against window event origins. CVE-2019-10779 1 2 0 2 3822354433194060822 +github:1113710843 2025-12-10 2025-12-10 f https://github.com/Sotatek-KhaiNguyen3/CVE-2025-55182 CVE-2025-55182 0 0 0 0 7701487638357376105 +github:1240545802 2026-05-16 2026-05-16 f https://github.com/sibersan/web-server-audit_CVE-2026-42945 Trigger-aware web server CVE audit for nginx and Apache. Goes beyond version matching by checking whether the vulnerable code path is actually reachable in your configuration. Classifies findings as Active / Latent / Unverified. Single-file Python 3.5+, no dependencies. CVE-2026-42945 0 0 0 0 169576752533991876 +github:476016878 2022-03-30 2023-04-18 f https://github.com/stevemats/Spring0DayCoreExploit { Spring Core 0day CVE-2022-22963 } CVE-2022-22963 9 3 1 3 4101379184270414196 +github:1168678660 2026-03-05 2026-03-05 f https://github.com/malvector/CVE-2025-70341 CVE-2025-70341: Local Privilege Escalation via TOCTOU in App-Auto-Patch CVE-2025-70341 0 0 0 0 149354949731266898 +github:968363953 2025-04-18 2025-04-18 f https://github.com/Grand-Moomin/Vuln-Next.js-CVE-2025-29927 CVE-2025-29927 0 0 1 0 957917516482028697 +github:996479829 2025-06-12 2025-06-12 f https://github.com/CyberQuestor-infosec/CVE-2022-46604-Responsive-File-Manager CVE-2022-46604 0 1 1 1 4745798936766508819 +github:779576477 2024-03-30 2024-04-07 f https://github.com/wgetnz/CVE-2024-3094-check CVE-2024-3094 1 5 1 5 4965726754753304949 +github:990080617 2025-05-25 2026-03-02 f https://github.com/aidana-gift/CVE-2025-0868 CVE-2025-0868 1 1 0 1 3282854662654686988 +github:1211478971 2026-04-15 2026-04-22 f https://github.com/r3nsi15/Flowise-CVE-2025-58434-PasswordReset Unauthenticated password reset exploit for Flowise AI ≤ 3.0.5. Abuses the /api/v1/account/forgot-password endpoint to change any user's password without prior authentication. Includes a proof-of-concept script and mitigation guidelines. CVE-2025-58434 0 1 0 1 8819484144362766568 +github:651208036 2023-06-08 2023-06-08 f https://github.com/hello4r1end/patch_CVE-2023-22809 CVE-2023-22809 1 0 1 0 1056690352677203118 +github:1289137451 2026-07-04 2026-07-04 f https://github.com/yayip/CVE-2026-33017 PoC of Langflow CVE-2026-33017 CVE-2026-33017 0 0 0 0 4076091967772047930 +github:1151864542 2026-02-07 2026-02-07 f https://github.com/Zanex360/cdt-vulnsamba-deploy CDT Ansible playbook for deploying CVE-2017-7494 aka "SambaCry" to an Ubuntu box CVE-2017-7494 0 0 0 0 8280357982756105579 +github:501191165 2022-06-09 2025-12-12 f https://github.com/stayfoolish777/CVE-2022-22947-POC 批量检测Spring Cloud Gateway 远程代码执行漏洞 Spring_Cloud_Gateway_RCE_POC-CVE-2022-22947 CVE-2022-22947 2 3 1 3 8690904010301361441 +github:595851923 2023-02-01 2024-07-02 f https://github.com/Halcy0nic/CVE-2022-44311 Proof of concept for CVE-2022-44311 CVE-2022-44311 0 1 1 1 6332077574089892497 +github:844959580 2024-08-20 2024-08-20 f https://github.com/almogopp/OpenSSH-CVE-2024-6387-Fix A Bash script to mitigate the CVE-2024-6387 vulnerability in OpenSSH by providing an option to upgrade to a secure version or apply a temporary workaround. This repository helps secure systems against potential remote code execution risks associated with affected OpenSSH versions. CVE-2024-6387 0 0 1 0 7179090527886211529 +github:1116378047 2025-12-14 2025-12-18 f https://github.com/KingHacker353/CVE-2025-55184 CVE-2025-55184 1 1 0 1 7193624383799922509 +github:557919955 2022-10-26 2024-05-03 f https://github.com/affix/CVE-2022-36231 pdf_info <= 0.5.3 OS Command Injection CVE-2022-36231 3 5 1 5 8038516902067653307 +github:1232970301 2026-05-13 2026-07-07 f https://github.com/577Industries/aegisgraph AegisGraph: graph-based application-layer assessment evidence platform for Secure Messaging Applications (SMAs). DARPA ASEMA HR0011SB20254-12 Tier 3 research. ReproChain CVE-2023-4863 reachability + PolyDiff differential parser fuzzing + claim-state governance + reproducible benchmark surface. CVE-2023-4863 0 0 0 0 3240005469915688814 +github:1110742735 2025-12-05 2025-12-13 f https://github.com/subzer0x0/React2Shell React2Shell (CVE-2025-55182) – An intentionally vulnerable Next.js application created for educational and research purposes. CVE-2025-55182 0 1 0 1 7296900406346442834 +github:267064351 2020-05-22 2020-05-26 f https://github.com/gothburz/cve-2020-8617 CVE-2020-8617 0 0 0 0 8752131184814489222 +github:1268287448 2026-06-13 2026-06-15 f https://github.com/d4ytox/CVE-2021-21425 CVE-2021-21425 - GravCMS 1.10.7 Unauthenticated RCE via Scheduler. Improved exploit with CLI args and auto base64 encoding. CVE-2021-21425 0 1 0 1 676460280171833341 +github:1030060886 2026-04-03 2026-04-03 f https://github.com/Landw-hub/CVE-2025-46206 CVE-2025-46206 0 0 0 0 3254468563709195589 +github:1111211649 2025-12-06 2026-06-05 f https://github.com/fullhunt/react2shell-test-server A test server for demonstrating and testing React2Shell (CVE-2025-55182) vulnerability CVE-2025-55182 2 2 0 2 6683843077921411364 +github:913589801 2025-01-08 2026-05-06 f https://github.com/altsun/CVE-2018-16763-FuelCMS-1.4.1-RCE Fuel CMS 1.4.1 - Remote Code Execution CVE-2018-16763 0 5 1 5 5333386164383180469 +github:1001524483 2025-06-13 2025-06-13 f https://github.com/assad12341/DOS-exploit CVE-2025-31650 CVE-2025-31650 0 0 0 0 8893235881214547268 +github:835307900 2024-08-01 2026-01-29 f https://github.com/michael-david-fry/CVE-2024-39929 POC to test CVE-2024-39929 against EXIM mail servers CVE-2024-39929 0 5 1 5 4827454301062168152 +github:1208065643 2026-04-11 2026-04-11 f https://github.com/lukasz-rybak/CVE-2025-66024 CVE-2025-66024 - XWiki Blog Application home page vulnerable to Stored XSS via Post Title CVE-2025-66024 0 0 0 0 6921828076554966120 +github:1248492916 2026-07-19 2026-07-19 f https://github.com/M3PH1569/CVE-2026-39987-POC CVE-2026-39987 Exploitation Tool - Marimo < 0.23.0 Pre-Auth RCE (WebSocket) CVE-2026-39987 0 1 0 1 8007039868391884245 +github:641008000 2023-05-15 2024-01-12 f https://github.com/yosef0x01/CVE-2022-41544 Exploit script for CVE-2022-41544 - RCE in get-simple CMS CVE-2022-41544 1 1 1 1 6570685623495189893 +github:998160735 2025-06-08 2025-06-09 f https://github.com/theopaid/CVE-2023-27163-Request-Baskets-Local-Ports-Bruteforcer PoC and internal port brute-forcer for CVE-2023-27163 CVE-2023-27163 0 1 0 1 1300751694681437039 +github:437795998 2021-12-13 2023-08-15 f https://github.com/JiuBanSec/Log4j-CVE-2021-44228 Log4j Remote Code Injection (Apache Log4j 2.x < 2.15.0-rc2) CVE-2021-44228 0 1 1 1 1760760037866866185 +github:910351207 2024-12-31 2026-07-10 f https://github.com/3dluvr/New-lib3mf.dll-for-MeshMixer Precompiled lib3mf.dll for MeshMixer which includes a backported patch for CVE-2021-21772 and zlib 1.3.1 CVE-2021-21772 0 1 1 1 6005108584776713459 +github:438250402 2021-12-14 2021-12-14 f https://github.com/didoatanasov/cve-2021-44228 CVE-2021-44228 0 0 1 0 5683082512557822117 +github:1227035026 2026-05-02 2026-05-02 f https://github.com/neilc1964techned/craready-test-java-vulns CRAReady SBOM test fixture — Java/Maven app with Log4Shell (CVE-2021-44228), Spring4Shell, Text4Shell, and other critical CVEs CVE-2021-44228 0 0 0 0 3239174942911147779 +github:967434378 2025-04-16 2025-04-16 f https://github.com/been22426/CVE-2024-3094 CVE-2024-3094 실습 환경 구축 및 보고 CVE-2024-3094 0 0 1 0 2580081430078061992 +github:927554798 2025-02-05 2025-02-05 f https://github.com/daikinitanda/-CVE-2024-47875- CVE-2024-47875 0 0 1 0 1766799291261560239 +github:919381259 2025-01-20 2025-05-20 f https://github.com/kinu404/CVE-2024-6387 This is an altered PoC for d0rb/CVE-2024-6387. This takes glibc addresses and trys to exploit the CVE through them. CVE-2024-6387 1 4 1 4 4292000656531272904 +github:361284441 2021-04-26 2022-04-06 f https://github.com/Mesh3l911/CVE-2021-32156 Exploiting a Cross-site request forgery (CSRF) attack to get a Remote Command Execution (RCE) through the Webmin's Scheduled Cron Jobs feature CVE-2021-32156 0 0 1 0 2539204324238537920 +github:747359905 2024-02-20 2026-01-08 f https://github.com/jenkinsci-cert/SECURITY-3314-3315 Workaround for disabling the CLI to mitigate SECURITY-3314/CVE-2024-23897 and SECURITY-3315/CVE-2024-23898 CVE-2024-23897 2 7 2 7 5530809976730566356 +github:973668309 2025-04-27 2025-04-27 f https://github.com/daeseong1209/CVE-2024-31449 CVE-2024-31449 0 0 1 0 5113809809797788056 +github:476522206 2022-04-01 2024-04-22 f https://github.com/mebibite/springhound Created after the disclosure of CVE-2022-22965 and CVE-2022-22963. Bash script that detects Spring Framework occurrences in your projects and systems, allowing you to get insight on versions used. Unpacks JARs and analyses their Manifest files. CVE-2022-22965 0 0 1 0 5989303744605011950 +github:702908363 2023-10-10 2023-10-10 f https://github.com/CN016/Powerjob-CVE-2023-29922- Powerjob 未授权访问漏洞(CVE-2023-29922) CVE-2023-29922 0 0 1 0 159207441627959999 +github:804928080 2024-05-23 2025-06-11 f https://github.com/Meirelez/SSR-DNSSEC In this repository you can find the files used to try to produce a POC for the CVE-2023-50387 CVE-2023-50387 1 0 1 0 5839401923827240067 +github:748203643 2024-01-25 2024-01-25 f https://github.com/giovannipajeu1/CVE-2024-23741 CVE-2024-23741 CVE-2024-23741 0 0 1 0 5811030025454491611 +github:1304355424 2026-07-18 2026-07-18 f https://github.com/seal-sean-org/seans-surf-and-skate Sean's Surf & Skate Co. — Spring Boot storefront with a vulnerable SnakeYAML dep (CVE-2022-1471) for Seal Security demos CVE-2022-1471 0 0 0 0 2846489434023791996 +github:841578878 2024-08-12 2024-08-12 f https://github.com/wdahlenburg/CVE-2022-38725 Proof of Concept for CVE-2022-38725 against syslog-ng CVE-2022-38725 0 0 1 0 3146059681275909973 +github:1247916897 2026-05-24 2026-06-24 f https://github.com/SpeatX/React2Shell-CVE-2025-55182 CVE-2025-55182 — Unauthenticated RCE in React Server Components (React2Shell). CVSS 10.0 exploit tool for authorized penetration testing. CVE-2025-55182 0 1 0 1 284746383342011274 +github:237977846 2021-04-08 2024-08-12 f https://github.com/yanghaoi/CVE-2020-0601 PoC for CVE-2020-0601- Windows CryptoAPI (Crypt32.dll) POC: https://github.com/ollypwn/CurveBall CVE-2020-0601 2 1 1 1 2494531176783222327 +github:1004680206 2025-06-19 2026-06-07 f https://github.com/guinea-offensive-security/CVE-2025-6019 CVE-2025-6019 16 71 1 71 4023147566962589254 +github:1194933269 2026-03-29 2026-03-30 f https://github.com/cybermaksx/CVE-2022-46364-Proof-of-the-concept This vulnerability allows an attacker to perform SSRF (Server-Side Request Forgery) attacks on Apache CXF webservices that accept MTOM/XOP requests. The issue exists in how the href attribute of xop:Include is parsed, allowing arbitrary URLs to be requested by the server. CVE-2022-46364 0 2 0 2 4405289003184772259 +github:434114286 2021-12-02 2021-12-03 f https://github.com/AK-blank/CVE-2021-42325- CVE-2021-42325 POC CVE-2021-42325 0 1 1 1 4811263259123972248 +github:1138914236 2026-02-12 2026-02-12 f https://github.com/InfoSecAntara/CVE-2025-14847-MongoDB CVE-2025-14847 0 1 1 1 7816918502290059557 +github:868366417 2024-10-06 2025-04-07 f https://github.com/savsch/PoC_CVE-2020-9484 PoC exploit for CVE-2020-9484, and a vulnerable web application for its demonstration CVE-2020-9484 0 1 1 1 6179444592078419590 +github:1256370562 2026-06-04 2026-07-13 f https://github.com/ayushghatkar8080/MadeYouReset_Tester A Python script that checks if a web server is vulnerable to MadeYouReset (CVE-2025-8671) — an HTTP/2 DoS attack that bypasses Rapid Reset mitigations by tricking the server into resetting its own streams. It probes the target by sending a malformed WINDOW_UPDATE frame and inspects whether the server responds. CVE-2025-8671 0 4 1 4 4011697245920972129 +github:266381565 2020-04-03 2024-11-12 f https://github.com/thelostworldFree/CVE-2020-7961-payloads Deserialization of Untrusted Data in Liferay Portal prior to 7.2.1 CE GA2 allows remote attackers to execute arbitrary code via JSON web services (JSONWS) CVE-2020-7961 0 5 1 5 257815019361075848 +github:170656576 2019-02-14 2022-09-26 f https://github.com/likekabin/CVE-2019-5736 CVE-2019-5736 1 1 1 1 7751818417735051208 +github:990191055 2025-05-25 2025-05-26 f https://github.com/SpiralBL0CK/PoC-crash-CVE-2020-13398- CVE-2020-13398 PoC CVE-2020-13398 0 1 0 1 1759784970180999946 +github:154500673 2018-10-24 2019-02-24 f https://github.com/ivanacostarubio/libssh-scanner A libssh CVE-2018-10933 scanner written in rust CVE-2018-10933 1 1 1 1 2155193169904155706 +github:707080239 2023-10-19 2023-10-19 f https://github.com/cdxiaodong/CVE-2021-25741 fork on Betep0k/CVE-2021-25741/fork whose images is useless and test on metarget CVE-2021-25741 0 0 1 0 5414043370624367702 +github:1188826409 2026-03-22 2026-04-03 f https://github.com/lathika-3006/Solar-exploiting-log-4j This repository presents a comprehensive walkthrough of the Solar Exploiting Log4j room on TryHackMe, with a focus on understanding and exploiting the critical Log4Shell vulnerability (CVE-2021-44228).The process of triggering the exploit and gaining a reverse shell is explained in a practical and easy-to-follow manner. CVE-2021-44228 1 2 0 2 5026546865037488320 +github:439595430 2021-12-18 2024-11-09 f https://github.com/suniastar/scan-log4shell A scanning suite to find servers affected by the log4shell flaw (CVE-2021-44228) with example to test it CVE-2021-44228 0 0 1 0 8834027008135101593 +github:1275576647 2026-06-20 2026-06-20 f https://github.com/aelshimony-cloud/OpenWire-CVE-2023-46604-Investigation CVE-2023-46604 0 0 0 0 5617342275576608990 +github:752995551 2024-02-05 2025-02-14 f https://github.com/trustcves/CVE-2024-24397 CVE-2024-24397 0 0 1 0 7593170654285694323 +github:1260923195 2026-06-18 2026-07-21 f https://github.com/RajSidwadkar/UAP-protocol A unified, security-first wire protocol for tool access and agent coordination. UAP eliminates CVE-2025-49596 and MCP tool-poisoning vulnerabilities using Ed25519-signed CapabilityCards, mandatory mTLS, Keycloak IdP authentication, and per-call ephemeral Docker sandboxing. CVE-2025-49596 0 1 1 1 2023567170590781336 +github:1154536101 2026-02-10 2026-02-10 f https://github.com/atiilla/CVE-2025-55182 RCE on Next 16.0.6 CVE-2025-55182 0 0 0 0 2000131504012829115 +github:140663638 2018-07-17 2018-07-17 f https://github.com/happynote3966/CVE-2018-7602 CVE-2018-7602 1 0 0 0 2451770254944749105 +github:804523151 2024-05-22 2024-05-22 f https://github.com/vincepsh/CVE-2024-32002 Repo for testing CVE-2024-32002 CVE-2024-32002 0 0 1 0 1618609307474030184 +github:404793285 2021-09-09 2021-09-09 f https://github.com/darrenmartyn/CVE-2019-15107 Something I wrote for CVE-2019-15107, a Webmin backdoor CVE-2019-15107 1 0 1 0 4157967991083261693 +github:1287804253 2026-07-03 2026-07-04 f https://github.com/Cyber-note/CVE-2026-34835-Black-box-Analysis A black-box (DAST) security analysis of CVE-2026-34835 focusing on external validation methodology, observable behavior, security impact, and defensive recommendations. CVE-2026-34835 0 4 0 4 2002863490105147547 +github:1015596397 2025-07-07 2025-07-07 f https://github.com/arsalanraja987/java-log4j-cve-2020-9488 Demo of CVE-2020-9488: Unsafe logging with Log4j and remediation CVE-2020-9488 0 0 0 0 5385308319859198869 +github:1276385226 2026-06-21 2026-07-24 f https://github.com/0xBlackash/CVE-2026-47729 CVE-2026-47729 CVE-2026-47729 0 5 0 5 2078163534563371863 +github:560793497 2022-11-02 2024-08-12 f https://github.com/alicangnll/SpookySSL-Scanner SpookySSL CVE-2022-3602 SSLv3 Scanner for Windows, Linux, macOS CVE-2022-3602 1 1 1 1 950027903129400280 +github:1110674647 2025-12-05 2025-12-05 f https://github.com/nomorebreach/POC-CVE-2025-55182 POC for CVE-2025-55182 React2Shell CVE-2025-55182 0 0 0 0 2610050701836748146 +github:1228400768 2026-05-04 2026-05-04 f https://github.com/kaleth4/CVE-2025-69985 CVE-2025-69985 0 0 0 0 7831723975938847428 +github:587877422 2023-01-11 2025-10-07 f https://github.com/WhatTheFuzz/openssl-fuzz Finding CVE-2022-3786 (openssl) with Mayhem CVE-2022-3786 0 5 1 5 3070613187886583295 +github:1286608034 2026-07-03 2026-07-06 f https://github.com/kaleth4/CVE-2026-20896 CVE-2026-20896 0 1 0 1 7698478422960060868 +github:311275268 2020-12-05 2020-12-05 f https://github.com/AlienX2001/better-poc-for-CVE-2018-15133 An automated PoC for CVE 2018-15133 CVE-2018-15133 0 0 1 0 3151308395310914395 +github:1128276126 2026-01-05 2026-06-02 f https://github.com/DakerQirszh/cve-2021-3156 fixed version CVE-2021-3156 0 0 0 0 3164695067022849302 +github:360288017 2021-04-24 2022-11-11 f https://github.com/Mesh3l911/CVE-2021-31761 Exploiting a Reflected Cross-Site Scripting (XSS) attack to get a Remote Command Execution (RCE) through the Webmin's running process feature CVE-2021-31761 3 5 3 5 1560980959951425845 +github:615996454 2023-05-31 2023-05-31 f https://github.com/YouShengLiu/CVE-2022-23773-Reproduce CVE-2022-23773 0 0 1 0 5293058805228638326 +github:705589874 2023-10-16 2023-12-03 f https://github.com/dbrugman/CVE-2023-38545-POC CVE-2023-38545 POC for the curl command line tool CVE-2023-38545 0 2 1 2 7225782643738008535 +github:1110686688 2025-12-08 2025-12-08 f https://github.com/nerium-security/CVE-2025-55182 Host-based detection rules for the RCE vulnerability in the React JavaScript framework. CVE-2025-55182 0 0 0 0 4156739522890778566 +github:177681155 2019-05-09 2026-07-29 f https://github.com/mpgn/CVE-2019-9978 CVE-2019-9978 - RCE on a Wordpress plugin: Social Warfare < 3.5.3 CVE-2019-9978 2 9 1 9 8999164924628817711 +github:1199384093 2026-04-02 2026-04-02 f https://github.com/hujiaozhuzhu/CVE-2025-55182_liyon CVE-2025-55182 CVE-2025-55182 0 0 0 0 8771721608450716659 +github:244585713 2021-03-14 2024-08-12 f https://github.com/exploitblizzard/CVE-2020-0601-spoofkey CVE-2020-0601 1 0 1 0 6524173970218615461 +github:1307547618 2026-07-21 2026-07-26 f https://github.com/BardLaudian/CVE-2025-64512 CLI wrapper around the official PoC for CVE-2025-64512 — pdfminer.six insecure pickle deserialization via crafted PDF (RCE) CVE-2025-64512 0 1 0 1 2307554593320427858 +github:448017630 2026-05-12 2026-05-12 f https://github.com/sanupl/CVE-2021-45744 CVE-2021-45744 - A Stored Cross Site Scripting (XSS) vulnerability exists in bludit 3.13.1 via the TAGS section in login panel. Application stores attacker injected dangerous JavaScript in to the database and executes without validating. CVE-2021-45744 0 1 1 1 2901588816452367179 +github:990324822 2025-05-26 2025-05-26 f https://github.com/SpiralBL0CK/CVE-2020-11097-POC POC TO CRASH FREERDP USING CVE-2020-11097 CVE-2020-11097 0 0 0 0 3399453999030412490 +github:596935402 2023-04-09 2026-05-16 f https://github.com/galoget/ResponsiveFileManager-CVE-2022-46604 Responsive FileManager v.9.9.5 vulnerable to CVE-2022-46604. CVE-2022-46604 0 7 1 7 8578038834183303390 +github:258967892 2019-12-04 2021-04-14 f https://github.com/axax002/sudo-vulnerability-CVE-2019-14287 Sudo Vulnerability CVE-2019-14287 CVE-2019-14287 0 0 0 0 6010269523071276746 +github:217217171 2019-11-01 2024-08-12 f https://github.com/AleWong/WebminRCE-EXP-CVE-2019-15107- Remote Code Execution Vulnerability in Webmin CVE-2019-15107 5 3 2 3 2877738441499228973 +github:1279663512 2026-06-24 2026-06-24 f https://github.com/K3ysTr0K3R/CVE-2021-22205 CVE-2021-22205 - GitLab Unauthenticated Remote Code Execution CVE-2021-22205 0 0 0 0 4548670715911427678 +github:716960166 2023-11-10 2026-06-25 f https://github.com/nxenon/cve-2023-44487 Examples for Implementing cve-2023-44487 ( HTTP/2 Rapid Reset Attack ) Concept CVE-2023-44487 1 16 1 16 3781953863039170497 +github:1016348740 2025-07-08 2026-07-29 f https://github.com/acheong08/CVE-2025-48384 Breaking git with a carriage return and cloning RCE CVE-2025-48384 27 53 0 53 5268567496991457603 +github:1122044728 2025-12-24 2025-12-24 f https://github.com/tovd-go/CVE-2025-8110 CVE-2025-8110 0 0 0 0 5484339727512994669 +github:1185561462 2026-03-18 2026-06-16 f https://github.com/abds059/APACHE-PATH-TRAVERSAL-RCE-CVE-2021-41773- A comprehensive analysis of CVE-2021-41773 (Apache HTTP Server 2.4.49), featuring vulnerability research, controlled lab-based exploitation, Proof-of-Concept development, root cause analysis, and mitigation strategies for educational and defensive security purposes. CVE-2021-41773 0 0 0 0 832725993156644872 +github:1247078811 2026-05-22 2026-05-22 f https://github.com/r3nsi15/CVE-2026-33017-langflow-rce CVE-2026-33017 0 0 0 0 1804682526324824318 +github:1039072684 2026-02-07 2025-08-16 f https://github.com/shoucheng3/keycloak__keycloak_CVE-2022-4361_21-1-1 CVE-2022-4361 0 0 0 0 617975202598927959 +github:884065369 2024-11-07 2024-11-07 f https://github.com/pbj2647/CVE-2023-25813 CVE-2023-25813 0 0 1 0 1113980713710127971 +github:694410371 2023-09-21 2023-09-21 f https://github.com/MateusTesser/CVE-2023-31717 CVE-2023-31717 0 0 1 0 7626336382976429271 +github:257045918 2020-04-19 2020-04-19 f https://github.com/kristyna-mlcakova/CVE-2018-10933 CVE-2018-10933 0 0 0 0 7779036851079173583 +github:1113538088 2025-12-10 2025-12-10 f https://github.com/iamblacksolo2-BugBounty/POC2-CVE-2025-55182 CVE-2025-55182 0 0 0 0 5601289274283261484 +github:392282260 2021-08-20 2021-08-20 f https://github.com/jptr218/apachedos An implementation of CVE-2016-8740 CVE-2016-8740 0 1 1 1 5784365823837099507 +github:671189433 2023-07-26 2023-07-26 f https://github.com/shurochka1396/expluatation_CVE-2022-29078 CVE-2022-29078 1 0 1 0 3439169645774051671 +github:1168913894 2026-02-28 2026-03-07 f https://github.com/estebanzarate/CVE-2020-29607-Pluck-CMS-4.7.13-Authenticated-File-Upload-RCE-PoC Authenticated remote code execution in Pluck CMS before 4.7.13. CVE-2020-29607 0 1 0 1 5088993496795975620 +github:831603638 2024-07-21 2025-03-18 f https://github.com/sviim/ClearML-CVE-2024-24590-RCE With this script you can exploit the CVE-2024-24590 CVE-2024-24590 1 4 1 4 4320199060834333691 +github:656394946 2023-06-22 2023-11-22 f https://github.com/vudala/CVE-2021-42013 Exploring CVE-2021-42013, using Suricata and OpenVAS to gather info CVE-2021-42013 0 1 1 1 2144716505164900316 +github:813643412 2024-07-01 2025-02-15 f https://github.com/avergnaud/Next.js_exploit_CVE-2024-34351 CVE-2024-34351 0 1 1 1 3254728115284979624 +github:543363896 2022-09-30 2025-12-31 f https://github.com/guglia001/MassZeroLogon Tool for mass testing ZeroLogon vulnerability CVE-2020-1472 CVE-2020-1472 1 3 1 3 4225269929287494651 +github:441210162 2021-12-24 2025-10-05 f https://github.com/asaotomo/CVE-2021-42013-Apache-RCE-Poc-Exp Apache 远程代码执行 （CVE-2021-42013）批量检测工具：Apache HTTP Server是美国阿帕奇（Apache）基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点，发现 Apache HTTP Server 2.4.50 中针对 CVE-2021-41773 的修复不够充分。攻击者可以使用路径遍历攻击将 URL 映射到由类似别名的指令配置的目录之外的文件。如果这些目录之外的文件不受通常的默认配置“要求全部拒绝”的保护，则这些请求可能会成功。如果还为这些别名路径启用了 CGI 脚本，则这可能允许远程代码执行。此问题仅影响 Apache 2.4.49 和 Apache 2.4.50，而不影响更早版本。 CVE-2021-42013 2 10 1 10 7181058743358263896 +github:353469792 2021-03-31 2021-05-22 f https://github.com/0xBaz/CVE-2021-29349 CVE-2021-29349 0 1 1 1 1212874334634154283 +github:1284020812 2026-06-29 2026-06-29 f https://github.com/rootkiTED/graylog-cve-2024-24824-exploit Proof-of-concept exploit for CVE-2024-24824 demonstrating how an arbitrary class loading primitive can be transformed into remote code execution on vulnerable Graylog deployments. CVE-2024-24824 0 0 0 0 6870989830514045713 +github:1188836264 2026-03-22 2026-03-22 f https://github.com/Lavanya2085/solar-exploiting-log4j This repository provides a detailed walkthrough of the *Solar Exploiting Log4j room* on TryHackMe, focusing on exploiting the critical Log4Shell vulnerability (CVE-2021-44228). The project demonstrates how attackers can leverage insecure logging mechanisms in Java applications to achieve remote code execution. CVE-2021-44228 0 0 0 0 5520984081606805954 +github:215379835 2019-10-15 2026-05-01 f https://github.com/n0w4n/CVE-2019-14287 Sudo exploit CVE-2019-14287 12 13 1 13 8926526804507724964 +github:611785897 2023-03-10 2023-05-25 f https://github.com/wenruoya/CVE-2019-15107 CVE-2019-15107 图形化测试程序 CVE-2019-15107 0 2 1 2 9014161919607066477 +github:822912763 2024-07-02 2025-06-04 f https://github.com/th3gokul/CVE-2024-27292 CVE-2024-27292 : Docassemble V1.4.96 Unauthenticated Path Traversal CVE-2024-27292 0 7 1 7 1502950865874427829 +github:212683464 2019-12-09 2019-12-09 f https://github.com/hpcprofessional/remediate_cesa_2019_2091 Remediation task for CVE-2018-15686, CVE-2018-16866, and CVE-2018-16888 affecting SystemD in EL7 CVE-2018-15686 0 0 1 0 1871088866194512989 +github:317171675 2020-11-30 2026-01-21 f https://github.com/appcheck-ng/salt-rce-scanner-CVE-2020-11651-CVE-2020-11652 Scanning tool to test for SaltStack vulnerabilities CVE-2020-11651 & CVE-2020-11652. CVE-2020-11651 0 1 1 1 4190140471424395501 +github:329711989 2021-01-15 2025-07-28 f https://github.com/ShutdownRepo/CVE-2020-7961 Exploit script for CVE-2020-7961 CVE-2020-7961 7 18 1 18 2712193110706232315 +github:1039111102 2025-08-16 2025-08-16 f https://github.com/shoucheng3/ESAPI__esapi-java-legacy_CVE-2022-23457_2-2-3-1 CVE-2022-23457 0 0 0 0 7597787118966290066 +github:1113285492 2025-12-13 2025-12-13 f https://github.com/Ankitspandey07/React2Shell CVE-2025-55182-advanced-scanner CVE-2025-55182 0 0 0 0 3764550085102739044 +github:1203582248 2026-04-07 2026-04-07 f https://github.com/e1st/CVE-2025-56015 CVE-2025-56015 0 0 0 0 1044184217239599593 +github:1281321750 2026-06-26 2026-06-26 f https://github.com/0xmrma/CVE-2026-34213 A low-privileged Docmost user could supply a victim attachmentId to the generic upload endpoint and overwrite another page's stored attachment inside the same workspace. CVE-2026-34213 0 0 0 0 5367945893937502854 +github:401107727 2021-08-30 2024-01-04 f https://github.com/diego-tella/CVE-2019-19609-EXPLOIT Exploit for CVE-2019-19609 in Strapi (Remote Code Execution) CVE-2019-19609 3 9 1 9 9196584120409052176 +github:951344048 2025-03-19 2025-03-19 f https://github.com/michael-david-fry/Apache-Tomcat-Vulnerability-POC-CVE-2025-24813 Apache Tomcat Vulnerability POC (CVE-2025-24813) CVE-2025-24813 0 0 1 0 3137301121067706049 +github:1045612324 2026-07-15 2026-07-15 f https://github.com/te0rwx/CVE-2025-32433-Detection CVE-2025-32433 0 0 0 0 8309936529897622596 +github:1119098023 2025-12-18 2025-12-18 f https://github.com/degenwithheart/React2Shell-Vulnerability-Verification-Script React2Shell Vulnerability Verification Script (React2Shell also known as CVE-2025-55182). CVE-2025-55182 0 0 0 0 2295632461632929170 +github:1035891158 2025-08-11 2026-07-13 f https://github.com/hunters-sec/CVE-2025-55188-7z-exploit 7z exploit POC versions prior to 25.01 CVE-2025-55188 7 32 0 32 2933624672630340810 +github:1291415138 2026-07-06 2026-07-07 f https://github.com/jstjep00/CVE-2023-22496-PoC PoC for CVE-2023-22496: Netdata Agent <1.37 OS Command Injection via registry_hostname CVE-2023-22496 0 1 0 1 1831392844493790465 +github:1055631213 2025-09-12 2025-09-12 f https://github.com/chimdi2700/CVE-2025-8571 CVE-2025-8571 CVE-2025-8571 0 0 0 0 2041460135293359768 +github:1191314137 2026-07-28 2026-07-28 f https://github.com/abhinavagarwal07/abhinavagarwal07.github.io RingWraith: CVE-2026-33150 and CVE-2026-33179 — Use-After-Free and NULL Dereference in libfuse io_uring CVE-2026-33150 0 0 0 0 7031600528926183549 +github:1112782080 2025-12-09 2025-12-09 f https://github.com/MoisesTapia/http-react2shell Detection of the React Server Actions Exploit vector – CVE-2025-55182 / CVE-2025-66478 CVE-2025-55182 0 0 0 0 2868843176211864214 +github:1127251686 2026-01-03 2026-01-05 f https://github.com/m3ngx1ng/CVE-2025-55182-GUI CVE-2025-55182 漏洞检测与利用工具（GUI版） CVE-2025-55182 0 1 0 1 2650105498269059237 +github:376057593 2023-08-31 2026-03-02 f https://github.com/0xdreadnaught/cve-2020-11060-poc Python3 POC for CVE 2020-11060 CVE-2020-11060 1 8 1 8 6363455514842932992 +github:1284574532 2026-06-30 2026-06-30 f https://github.com/BiiTts/CVE-2026-44789-n8n-PrototypePollution-RCE CVE-2026-44789 — n8n <1.123.43 HTTP Request pagination prototype pollution to RCE (NODE_OPTIONS runner-spawn gadget). Lab + automated PoC, verified e2e. CVE-2026-44789 0 0 0 0 7726802631024417334 +github:1123135851 2025-12-26 2025-12-26 f https://github.com/Dlanang/homelab-CVE-2025-68613 CVE-2025-68613 0 0 0 0 9053264459968953920 +github:900870658 2024-12-09 2024-12-09 f https://github.com/Proklinius897/CVE-2018-25031-tests Testing for exploitation CVE-2018-25031 0 0 1 0 6809670317307312087 +github:1076415041 2025-11-05 2025-11-05 f https://github.com/kimtangker/CVE-2025-24893 CVE-2025-24893 tool CVE-2025-24893 0 0 0 0 900923724118061430 +github:1271307203 2026-06-16 2026-06-19 f https://github.com/spikeyjr/CVE-2023-34468-PoC Educational proof-of-concept for CVE-2023-34468 affecting Apache NiFi. Demonstrates H2 JDBC URL abuse leading to authenticated RCE in vulnerable NiFi versions. CVE-2023-34468 0 0 0 0 5592538092799475458 +github:230108996 2019-12-25 2024-08-12 f https://github.com/hannob/webminex poc exploit for webmin backdoor (CVE-2019-15107 and CVE-2019-15231) CVE-2019-15107 2 8 2 8 3840915318114829358 +github:392061786 2021-10-26 2026-05-13 f https://github.com/AssassinUKG/CVE-2021-22204 CVE-2021-22204 9 27 2 27 6826644027545857977 +github:1182228440 2026-03-15 2026-03-15 f https://github.com/sumaiyafathima-code/CVE-2023-27524 CVE-2023-27524 0 0 0 0 1626588816954226965 +github:779897643 2024-03-31 2024-03-31 f https://github.com/isuruwa/CVE-2024-3094 CVE-2024-3094 CVE-2024-3094 0 0 1 0 3500401106140744276 +github:1087902006 2025-11-10 2025-11-10 f https://github.com/80Ottanta80/CVE-2024-32019-PoC Bash script for Privilege Escalation via "ndsudo" (Netdata Local Exploit) CVE-2024-32019 0 0 0 0 55015159918521854 +github:825734560 2024-07-08 2024-07-08 f https://github.com/vkaushik-chef/regreSSHion Chef Inspec profile for checking regreSSHion vulnerability CVE-2024-6387 CVE-2024-6387 0 0 1 0 3592623575464593899 +github:1109609433 2025-12-04 2025-12-04 f https://github.com/joshterrill/CVE-2025-55182-realistic-poc a realistic POC demonstrating the missing `hasOwnProperty` check in react-server-dom-webpack@19.0.0 CVE-2025-55182 1 0 0 0 5668568603911449317 +github:959526692 2023-12-22 2025-04-02 f https://github.com/shanglyu/roundcube-cve-2021-44026 A demo exploit for CVE-2021-44026, a SQL injection in Roundcube CVE-2021-44026 0 0 0 0 771793763144228430 +github:538240496 2024-03-01 2026-01-31 f https://github.com/markuta/bw-dump A proof-of-concept for (CVE-2023-38840) that extracts plaintext master passwords from a locked Bitwarden vault. CVE-2023-38840 2 42 1 42 5123164507552129410 +github:868786835 2024-10-07 2026-01-24 f https://github.com/MalwareTech/CVE-2024-47176-Scanner A simple scanner for identifying vulnerable cups-browsed instances on your network CVE-2024-47176 13 66 1 66 2802300210904581579 +github:1111752774 2025-12-08 2026-05-11 f https://github.com/cybertechajju/R2C-CVE-2025-55182-66478 🔥 React2Shell Toolkit - CVE-2025-55182 & CVE-2025-66478 CVE-2025-55182 0 24 0 24 7834043105911592656 +github:822883843 2024-07-02 2026-05-22 f https://github.com/TAM-K592/CVE-2024-6387 Recently, the OpenSSH maintainers released security updates to fix a critical vulnerability that could lead to unauthenticated remote code execution (RCE) with root privileges. This vulnerability, identified as CVE-2024-6387, resides in the OpenSSH server component (sshd), which is designed to listen for connections from client applications. CVE-2024-6387 2 14 1 14 7199143266179026656 +github:823199757 2024-07-02 2024-07-02 f https://github.com/no-one-sec/CVE-2024-6387 开箱即用的AK47 CVE-2024-6387 0 0 1 0 7436426309869901328 +github:472123951 2022-03-21 2022-10-17 f https://github.com/DanaEpp/pwncat_dirtypipe pwncat module that automatically exploits CVE-2022-0847 (dirtypipe) CVE-2022-0847 3 4 1 4 5898362084478111870 +github:1018706662 2025-07-12 2025-10-07 f https://github.com/obamalaolu/CVE-2025-27591 CVE-2025-27591 CVE-2025-27591 1 13 0 13 1212579167302710092 +github:1110157628 2025-12-04 2025-12-04 f https://github.com/aquinn-r7/CVE-2025-55182-VulnCheckPOC Functional Python POC to test if servers are vulnerable to CVE-2025-55182 CVE-2025-55182 0 0 0 0 7825199448686324006 +github:354303685 2021-04-03 2021-04-12 f https://github.com/ydycjz6j/CVE-2020-17453-PoC PoC (Proof of Concept) - CVE-2020-17453 CVE-2020-17453 1 2 1 2 1419277029625845827 +github:273586045 2022-12-14 2025-03-10 f https://github.com/lucasamorimca/CVE-2020-8163 CVE-2020-8163 - Remote code execution of user-provided local names in Rails CVE-2020-8163 12 61 2 61 2798432492558456113 +github:1211485042 2026-04-15 2026-05-30 f https://github.com/r3nsi15/Flowise-RCE-CVE-2025-59528 Authenticated Remote Code Execution (RCE) exploit for Flowise AI versions ≤ 3.0.4. Leverages a vulnerability in the /api/v1/node-load-method/customMCP endpoint to execute arbitrary system commands via Node.js child_process.execSync(). Includes full PoC script and remediation steps. CVE-2025-59528 0 1 0 1 4699366829354674055 +github:239721705 2020-02-11 2020-02-11 f https://github.com/N0b1e6/CVE-2018-1335-Python3 CVE-2018-1335 0 0 1 0 2636023365753786775 +github:591388946 2023-02-03 2026-02-23 f https://github.com/grimlockx/CVE-2019-9978 Remote Code Execution in Social Warfare Plugin before 3.5.3 for Wordpress. CVE-2019-9978 3 4 1 4 5129512625448528554 +github:658471431 2023-06-26 2023-06-27 f https://github.com/adhikara13/CVE-2022-44268-MagiLeak Tools for working with ImageMagick to handle arbitrary file read vulnerabilities. Generate, read, and apply profile information to PNG files using a command-line interface. CVE-2022-44268 1 2 1 2 4702454776217903635 +github:376344697 2021-06-12 2024-06-21 f https://github.com/Abady0x1/CVE-2021-32819 SquirrellyJS mixes pure template data with engine configuration options through the Express render API. By overwriting internal configuration options, remote code execution may be triggered in downstream applications. CVE-2021-32819 1 10 1 10 6959642465697601429 +github:1049825603 2025-09-03 2025-09-04 f https://github.com/VisaiCyber/CVE-2025-27591-below- Local Privilege Escalation vai `below` (CVE-2025-27591) - PoC Exploit CVE-2025-27591 0 2 0 2 8234779880561957588 +github:814326255 2024-06-12 2024-06-12 f https://github.com/endasugrue/CVE-2023-51385_poc CVE-2023-51385 0 0 1 0 6266342444388999198 +github:802726432 2024-05-19 2024-05-19 f https://github.com/10cks/CVE-2024-32002-smash CVE-2024-32002 0 0 1 0 8097151997653813594 +github:1296625330 2026-07-10 2026-07-10 f https://github.com/Stickxx00/Cups-RCE-Exploit C++ exploit for unauthenticated remote code execution on CUPS via CVE-2024-47176 chain. CVE-2024-47176 0 0 0 0 2486063808157240749 +github:284946538 2020-08-05 2025-06-30 f https://github.com/cybervaca/CVE-2020-8816 Pi-hole Remote Code Execution authenticated Version >= 4.3.2 CVE-2020-8816 2 11 1 11 9117438480526522065 +github:91819199 2017-05-19 2023-11-03 f https://github.com/brianwrf/Joomla3.7-SQLi-CVE-2017-8917 Joomla 3.7 SQL injection (CVE-2017-8917) CVE-2017-8917 3 7 2 7 8319203922725172241 +github:1052999217 2025-09-08 2025-09-09 f https://github.com/vaishnavucv/Project-Vuln-Detection-N-Mitigation_101 Vulnerability Detection and Mitigation Apache ActiveMQ | Security Architectures and Systems Administration - on - Apache ActiveMQ Deserialization Remote Code Execution (RCE) – CVE-2023-46604 CVE-2023-46604 1 1 0 1 7861279514517894699 +github:158195318 2018-11-19 2018-11-19 f https://github.com/tafamace/CVE-2017-17485 CVE-2017-17485 0 0 0 0 8713122672208999104 +github:634502064 2023-04-30 2023-04-30 f https://github.com/yassinebk/CVE-2022-46169 CVE-2022-46169 CVE-2022-46169 0 0 1 0 9058337599722169091 +github:1156586254 2026-02-12 2026-02-12 f https://github.com/Sn0wBaall/CVE-2023-4220-PoC CVE-2023-4220 0 0 0 0 5123288268145949625 +github:430853881 2021-11-22 2025-08-28 f https://github.com/xvnpw/k8s-CVE-2021-43557-poc PoC for CVE-2021-43557 CVE-2021-43557 3 22 1 22 1679987678521567011 +github:725731160 2024-07-15 2024-07-15 f https://github.com/ShlomiRex/log4shell_lab CVE-2021-44228 CVE-2021-44228 0 0 1 0 3067456411147628496 +github:1199641361 2026-07-15 2026-07-15 f https://github.com/webshellseo8/CVE-2026-21628-POC CVE-2026-21628 0 0 0 0 115620289552141 +github:437327995 2021-12-18 2026-07-24 f https://github.com/darkarnium/Log4j-CVE-Detect Detections for CVE-2021-44228 inside of nested binaries CVE-2021-44228 7 35 2 35 6693526777283214599 +github:439930586 2026-05-12 2026-05-12 f https://github.com/sanupl/Bludit-3.13.1-TAGS-Field-Stored-Cross-Site-Scripting-XSS CVE-2021-45744 - A Stored Cross Site Scripting (XSS) vulnerability exists in bludit 3.13.1 via the TAGS section in login panel. Application stores attacker injected dangerous JavaScript in to the database and executes without validating. CVE-2021-45744 1 0 1 0 8084149813741624437 +github:968588957 2025-04-18 2025-10-09 f https://github.com/Erosion2020/CVE-2025-24813-vulhub CVE-2025-24813的vulhub环境的POC脚本 CVE-2025-24813 0 5 1 5 6747116153990114790 +github:212837105 2019-11-30 2026-02-12 f https://github.com/awakened1712/CVE-2019-11932 Simple POC for exploiting WhatsApp double-free bug in DDGifSlurp in decoding.c in libpl_droidsonroids_gif CVE-2019-11932 101 208 11 208 8195609928933854106 +github:414082633 2021-10-06 2021-11-26 f https://github.com/TAI-REx/cve-2021-41773-nse CVE-2021-41773.nse CVE-2021-41773 0 0 0 0 3531970715656631453 +github:696679641 2023-10-10 2025-02-14 f https://github.com/b0marek/CVE-2023-43263 Repository for CVE-2023-43263 vulnerability. CVE-2023-43263 0 0 1 0 1125448455787869623 +github:424157746 2021-11-03 2025-08-04 f https://github.com/ColdFusionX/CVE-2021-34429 POC for CVE-2021-34429 - Eclipse Jetty 11.0.5 Sensitive File Disclosure CVE-2021-34429 2 6 1 6 4525372107922434997 +github:497460990 2022-05-29 2023-02-08 f https://github.com/Wrong-pixel/CVE-2022-22947-exp CVE-2022-22947 1 1 1 1 1798099154064667105 +github:573197022 2023-03-11 2023-06-04 f https://github.com/gregscharf/CVE-2022-31007-Python-POC elabFTW < 4.1.0 - account lockout bypass and login brute force CVE-2022-31007 0 2 1 2 5996585565110530464 +github:1308609783 2026-07-22 2026-07-22 f https://github.com/Cosm3No1de/Bedside.htb_solved Writeup educativo de la máquina Bedside (Medium) de Hack The Box. Cubre: reconocimiento, explotación de deserialización insegura en pdfminer.six (CVE-2025-64512), path traversal en Vite dev server, y escalada de privilegios mediante abuso de torch.load()/pickle. Fines educativos únicamente. CVE-2025-64512 0 0 0 0 5811208092457436975 +github:1194521973 2026-05-15 2026-05-15 f https://github.com/dinhvaren/cve-2021-23369 CVE-2021-23369 0 0 0 0 7835512133199534983 +github:725270431 2024-02-21 2026-06-24 f https://github.com/TLWebdesign/Joomla-3.10.12-languagehelper-hotfix Plugin to fix security vulnerability CVE-2023-40626 in Joomla 3.10.12 CVE-2023-40626 2 8 1 8 6581698707776188071 +github:922510483 2025-01-26 2026-03-18 f https://github.com/HussainFathy/CVE-2016-2555 CVE-2016-2555 Exploit CVE-2016-2555 0 1 1 1 7583880032104021360 +github:436150384 2021-12-09 2022-09-22 f https://github.com/lfz97/CVE-2021-43798-Grafana-File-Read CVE-2021-43798-Grafana任意文件读取漏洞 CVE-2021-43798 1 1 1 1 3484358007961150021 +github:336220602 2021-02-05 2021-02-05 f https://github.com/perlun/sudo-1.8.3p1-patched Custom version of sudo 1.8.3p1 with CVE-2021-3156 patches applied CVE-2021-3156 0 0 1 0 5197904839231239309 +github:1025414527 2025-07-24 2025-11-19 f https://github.com/Otsutez/cve-2024-12085 Exploit for CVE-2024-12085 Infoleak CVE-2024-12085 0 0 0 0 668814111299411898 +github:803077786 2024-05-20 2024-05-22 f https://github.com/jweny/CVE-2024-32002_HOOK CVE-2024-32002 2 3 1 3 2420737011559458554 +github:436798675 2021-12-15 2023-08-17 f https://github.com/jacobtread/L4J-Vuln-Patch This tool patches the CVE-2021-44228 Log4J vulnerability present in all minecraft versions NOTE THIS TOOL MUST BE RE-RUN after downloading or updating versions of minecraft as its not a perminent patch CVE-2021-44228 2 5 0 5 7348433193812641355 +github:424093201 2021-11-13 2024-06-12 f https://github.com/padsalatushal/CVE-2018-16763 Fuel CMS 1.4.1 - Remote Code Execution CVE-2018-16763 0 5 1 5 7445763739613048230 +github:1196034627 2026-03-30 2026-06-30 f https://github.com/Doux-x/CVE-2024-6387-analysis CVE-2024-6387 OpenSSH 信号竞争漏洞（regreSSHion）分析报告及检测脚本 CVE-2024-6387 0 0 0 0 1097774406629489456 +github:979057440 2025-05-06 2025-05-06 f https://github.com/abrewer251/CVE-2025-1974_IngressNightmare_PoC CVE-2025-1974 1 0 1 0 8155600656658632841 +github:514188117 2022-07-15 2023-07-06 f https://github.com/Lay0us/CVE-2022-0848-RCE CVE-2022-0848 0 1 0 1 4413705258182932987 +github:1123398814 2025-12-26 2026-01-13 f https://github.com/Ak-cybe/CVE-2025-68613-n8n-rce-analysis CVE-2025-68613 (n8n) Critical RCE analysis + defensive recommendations (patch validation, detection ideas, and hardening tips) CVE-2025-68613 0 1 0 1 1041261703624237311 +github:89910004 2017-07-22 2025-10-10 f https://github.com/MAYASEVEN/CVE-2016-6662 From SQL injection to root shell with CVE-2016-6662 by MaYaSeVeN CVE-2016-6662 8 29 2 29 7074428507283321857 +github:499883723 2022-06-04 2026-05-18 f https://github.com/jimidk/Better-CVE-2022-29464 CVE-2022-29464 PoC for WSO2 products CVE-2022-29464 2 5 1 5 8680618437133157070 +github:823053102 2024-07-02 2024-07-02 f https://github.com/daniel-odrinski/CVE-2024-6387-Mitigation-Ansible-Playbook An Ansible Playbook to mitigate the risk of RCE (CVE-2024-6387) until platforms update OpenSSH to a non-vulnerable version. CVE-2024-6387 0 0 1 0 2670001685803721527 +github:1159206767 2026-02-16 2026-05-17 f https://github.com/popyue/CVE-2025-49132 CVE For Pterodactyl (For Study and Education) CVE-2025-49132 0 4 0 4 1943821753762679267 +github:84520231 2017-03-10 2017-03-10 f https://github.com/btamburi/strutszeiro Telegram Bot to manage botnets created with struts vulnerability(CVE-2017-5638) CVE-2017-5638 20 0 1 0 8790881351117478193 +github:791130439 2024-10-17 2026-04-04 f https://github.com/senderend/CVE-2022-35914 PoC exploit for GLPI - Command injection using a third-party library script CVE-2022-35914 3 4 2 4 8621252371288406257 +github:414887591 2021-10-08 2024-08-12 f https://github.com/zeronine9/CVE-2021-41773 Fast python tool to test apache path traversal CVE-2021-41773 in a List of url CVE-2021-41773 7 11 1 11 6506203426103779322 +github:1245631636 2026-05-20 2026-05-21 f https://github.com/a24ac1/CVE-2021-41773-PoC 「🪶」PoC (Proof of concept) of Path traversal + RCE in Apache HTTP Server 2.4.49 CVE-2021-41773 0 0 0 0 443242054187044719 +github:123348547 2018-03-10 2018-03-17 f https://github.com/m3ssap0/struts2_cve-2017-5638 This is a sort of Java porting of the Python exploit at: https://www.exploit-db.com/exploits/41570/. CVE-2017-5638 0 1 1 1 8586360377965989207 +github:1021305950 2025-07-17 2025-07-17 f https://github.com/KiPhuong/cve-2016-6210 PoC of cve-2016-6210 CVE-2016-6210 0 0 0 0 4225074174973060636 +github:158910292 2020-05-12 2022-05-03 f https://github.com/MauroEldritch/lempo LEMPO (Ldap Exposure on POrtainer) is an exploit for CVE-2018-19466 (LDAP Credentials Disclosure on Portainer). Featured @ DevFest Siberia 2018 CVE-2018-19466 3 11 0 11 7470597860229426463 +github:297823317 2020-09-23 2020-12-14 f https://github.com/0xkami/cve-2020-13933 cve-2020-13933 apache shiro权限绕过漏洞 CVE-2020-13933 1 2 1 2 2292127185227188698 +github:996076945 2025-06-04 2025-06-04 f https://github.com/Superliverbun/cve-2021-3156- CVE-2021-3156 1 0 0 0 6388922881265349814 +github:591689085 2026-01-20 2026-01-20 f https://github.com/0xless/CVE-2022-44900-demo-lab Demo webapp vulnerable to CVE-2022-44900 CVE-2022-44900 0 1 1 1 1403912792996510333 +github:1040451694 2026-02-19 2025-08-19 f https://github.com/shoucheng3/jenkinsci__script-security-plugin_CVE-2023-24422_1228.vd93135a_2fb_25 CVE-2023-24422 0 0 0 0 6068024828878704517 +github:1208740931 2026-04-12 2026-04-12 f https://github.com/Jinlei-Chen-UWO/cve-2024-34351-demo CVE-2024-34351 0 0 0 0 2315833384656924868 +github:1032635338 2025-08-05 2025-08-05 f https://github.com/aldoClau98/CVE-2025-32463 Questo script è un proof of concept (PoC) che dimostra una tecnica di privilege escalation (Elevazione di privilegi) sfruttando una vulnerabilità teorica di sudo (es. CVE-2025-32463). Il PoC forza sudo a caricare una libreria .so manipolata sfruttando la funzionalità -R (chroot) e la configurazione personalizzata di NSS (nsswitch.conf). CVE-2025-32463 0 0 0 0 953969443196389513 +github:94987347 2017-06-21 2020-07-17 f https://github.com/faizzaidi/Blackcat-cms-v1.2-xss-POC-by-Provensec-llc BlackCat-CMS-Bundle-v1.2 Cross Site Scripting(XSS) Assigned CVE Number: CVE-2017-9609 CVE-2017-9609 0 2 1 2 4723555004842082176 +github:541779412 2022-01-29 2022-07-23 f https://github.com/Pandora-research/CVE-2018-0114-Exploit CVE-2018-0114 0 0 0 0 3708859413827035942 +github:442254323 2021-12-27 2022-11-09 f https://github.com/manuelz120/CVE-2021-45041 PoC for CVE-2021-45041 CVE-2021-45041 3 0 1 0 6998234201336943626 +github:1113670998 2025-12-10 2025-12-10 f https://github.com/gunyakit/CVE-2025-24813-PoC-exploit Apache Tomcat Deserialization RCE CVE-2025-24813 0 0 0 0 9188297100576655752 +github:754703174 2024-02-11 2024-02-08 f https://github.com/yihtserns/spring-web-without-remoting Spring Web 5.x with `org.springframework.remoting` package removed, to fix CVE-2016-1000027. CVE-2016-1000027 0 0 1 0 1526369207953658378 +github:153598283 2018-10-18 2024-08-12 f https://github.com/likekabin/CVE-2018-10933-libSSH-Authentication-Bypass CVE-2018-10933 1 1 1 1 5494666758858979493 +github:539045907 2022-09-20 2025-04-15 f https://github.com/hadrian3689/wordpress_cropimage CVE-2019-8943 WordPress Crop-Image CVE-2019-8943 1 3 1 3 2545246671475482505 +github:735514578 2023-12-27 2023-12-25 f https://github.com/watarium/poc-cve-2023-51385 CVE-2023-51385 0 0 1 0 2922088311682777195 +github:962107136 2025-04-07 2025-04-07 f https://github.com/daehyeok0618/CVE-2019-5418 WHS 3기 장대혁 취약한(CVE) Docker 환경 구성 과제입니다. CVE-2019-5418 0 0 1 0 1135913567544000789 +github:413916578 2025-12-07 2025-12-07 f https://github.com/ZephrFish/CVE-2021-41773-PoC CVE-2021-41773 11 17 2 17 7522441567351250797 +github:920562790 2025-01-21 2025-04-09 f https://github.com/yakir2b/check-point-gateways-rce Check Point Security Gateways RCE via CVE-2021-40438 CVE-2021-40438 0 0 0 0 1660637840850969866 +github:1098225952 2025-11-17 2025-11-17 f https://github.com/complexusprada/Xibo-CMS-Zip-Slip-RCE-Exploit-CVE-2023-33177 This exploit demonstrates a **path traversal vulnerability** in Xibo CMS (CVE-2023-33177) that allows remote code execution through malicious layout imports. CVE-2023-33177 0 0 1 0 6678136257417837266 +github:1044171181 2025-08-25 2025-09-17 f https://github.com/1337rokudenashi/Odoo_PDFjs_CVE-2024-4367.pdf Odoo ≤17 is vulnerable to CVE-2024-4367, allowing arbitrary JavaScript execution via PDF.js. CVE-2024-4367 1 2 0 2 2297621540498330665 +github:464117448 2022-02-27 2023-12-08 f https://github.com/Fa1c0n35/zabbix-cve-2022-23131 CVE-2022-23131 0 1 1 1 5823796838592474925 +github:441536293 2021-12-24 2023-07-29 f https://github.com/many-fac3d-g0d/apache-tomcat-log4j Log4j2 CVE-2021-44228 Vulnerability POC in Apache Tomcat CVE-2021-44228 0 5 1 5 1984737165110706766 +github:1289532430 2026-07-04 2026-07-04 f https://github.com/diamorphine666/CVE-2026-33017-Exploit Unauthenticated RCE in Langflow <1.9.0 (CVE-2026-33017) Exploit CVE-2026-33017 0 0 0 0 8813667796617567307 +github:467490371 2022-03-08 2025-10-07 f https://github.com/febinrev/dirtypipez-exploit CVE-2022-0847 DirtyPipe Exploit. CVE-2022-0847 23 49 2 49 763212115472944736 +github:497645433 2022-05-08 2023-05-17 f https://github.com/00mjk/exploit-CVE-2017-7494 SambaCry exploit (CVE-2017-7494) CVE-2017-7494 0 1 0 1 364594166848707632 +github:315498736 2020-11-24 2025-03-04 f https://github.com/r00t4dm/CVE-2020-27955 CVE-2020-27955 6 17 1 17 6970262446444155618 +github:860627688 2024-09-20 2024-09-20 f https://github.com/bluetoothStrawberry/CVE-2023-30253 Dolibarr 17.0.0 PHP Code Injection Exploit CVE-2023-30253 0 0 1 0 4073215924992484168 +github:895213731 2024-11-30 2024-11-30 f https://github.com/0x0d3ad/CVE-2024-36401 CVE-2024-36401 (GeoServer Remote Code Execution) CVE-2024-36401 0 2 1 2 3692202568148463212 +github:1135591058 2026-01-16 2026-01-16 f https://github.com/faisha1311/React2Shell-CVE-2025-55182-TryHackMe CVE-2025-55182 0 0 0 0 2624381112651833606 +github:241412565 2020-02-19 2025-10-14 f https://github.com/gremwell/cve-2020-0601_poc CVE-2020-0601 proof of concept CVE-2020-0601 2 2 1 2 3770865797161506087 +github:810324570 2024-06-04 2024-06-04 f https://github.com/muhammad1596/CVE-2022-0847-dirty-pipe-checker CVE-2022-0847 2 1 1 1 2808493556328445876 +github:953872810 2025-03-24 2025-06-11 f https://github.com/fourcube/nextjs-middleware-bypass-demo Demo for Next.js middleware bypass - CVE-2025-29927 CVE-2025-29927 0 5 1 5 5383724257953172456 +github:171499608 2019-02-19 2019-06-04 f https://github.com/b3d3c/poc-cve-2019-5736 CVE-2019-5736 0 1 0 1 9049362469844726365 +github:728954859 2023-12-15 2023-12-08 f https://github.com/GhostBalladw/wuhaozhe-s-CVE CVE-2023-41623 CVE-2023-41623 0 0 1 0 4467121522690676709 +github:1051631956 2025-11-21 2025-09-06 f https://github.com/shoucheng3/kubernetes-client__java_CVE-2020-8570_client-java-parent-9_0_2_fixed CVE-2020-8570 0 0 0 0 5769003580465943711 +github:1047240711 2025-08-30 2025-08-30 f https://github.com/LeakForge/CVE-2025-49113 Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization CVE-2025-49113 0 0 0 0 5501359622239852949 +github:316481683 2020-11-27 2024-12-27 f https://github.com/0x240x23elu/CVE-2020-28948-and-CVE-2020-28949 CVE-2020-28948 4 6 1 6 7239806341807056686 +github:622123920 2023-04-13 2024-06-20 f https://github.com/LouisLiuNova/CVE-2022-1227_Exploit A script for exploiting CVE-2022-1227 CVE-2022-1227 0 1 1 1 6780858064234857022 +github:650918802 2023-06-08 2023-06-08 f https://github.com/P4x1s/CVE-2023-23638-Tools CVE-2023-23638 1 0 1 0 9014090303563266159 +github:729610758 2024-02-24 2025-11-26 f https://github.com/mrpentst/CVE-2023-46604 Exploit for CVE-2023-46604 CVE-2023-46604 2 2 1 2 7907660831582453349 +github:1127671356 2026-01-04 2026-01-11 f https://github.com/Eyodav/CVE-2025-34171 CasaOS expose multiple unauthenticated API endpoints that allow remote disclosure of sensitive configuration files and system debug information CVE-2025-34171 0 0 0 0 7286755161880524104 +github:1022220503 2025-10-31 2026-07-29 f https://github.com/benweissmann/CVE-2025-7783-poc POC of CVE-2025-7783 CVE-2025-7783 5 31 0 31 5600032655402734612 +github:1043296304 2025-08-23 2025-08-23 f https://github.com/shoucheng3/x-stream__xstream_CVE-2021-21345_1-4-15 CVE-2021-21345 0 0 0 0 6028195919672252158 +github:476300392 2022-04-22 2025-01-04 f https://github.com/k3rwin/spring-core-rce spring框架RCE漏洞 CVE-2022-22965 CVE-2022-22965 11 28 1 28 7438288706940451089 +github:242193832 2020-02-25 2026-05-06 f https://github.com/fatal0/tomcat-cve-2020-1938-check CVE-2020-1938 4 7 1 7 7035611239115496959 +github:884191203 2024-11-06 2024-11-06 f https://github.com/RenukaSelvar/lua_CVE-2020-24370_AfterPatch CVE-2020-24370 0 0 1 0 7908015952511874992 +github:437937629 2022-02-21 2021-12-21 f https://github.com/tobiasoed/log4j-CVE-2021-44228 CVE-2021-44228 0 0 1 0 4252195418144777935 +github:1029792135 2025-07-31 2025-07-31 f https://github.com/mouftan/CVE-2022-44268 CVE-2022-44268 1 0 0 0 5911732375876324391 +github:911267135 2025-01-08 2025-01-08 f https://github.com/alej6/MassCyberCenter-Mentorship-Project- Exploiting CVE-2023-2825 on a VM CVE-2023-2825 0 0 1 0 9130877717017592672 +github:1253663270 2026-06-03 2026-06-03 f https://github.com/ciri3/spring-cloud-gateway-cve-2022-22947-report Technical report about CVE-2022-22947 in Spring Cloud Gateway and its exploitation through exposed Actuator endpoints. CVE-2022-22947 0 0 0 0 8991578707879007353 +github:200632359 2019-08-05 2019-08-05 f https://github.com/Lee-SungYoung/cve-2019-5736-study CVE-2019-5736 0 0 1 0 1706824162680563145 +github:735911775 2023-12-29 2023-12-27 f https://github.com/MkJos/CVE-2023-33246_RocketMQ_RCE_EXP CVE-2023-33246 0 1 1 1 6221322212212939028 +github:839823974 2024-08-12 2025-03-30 f https://github.com/jenkinsci-cert/SECURITY-3430 This repository provides a workaround preventing exploitation of SECURITY-3430 / CVE-2024-43044 CVE-2024-43044 1 2 3 2 7922727906649801119 +github:167577440 2019-01-25 2024-08-12 f https://github.com/shutingrz/CVE-2018-10920_PoC Knot Resolver CVE-2018-10920 / DO NOT ABUSE CVE-2018-10920 1 0 1 0 5832386488496816047 +github:362764893 2021-04-29 2025-05-04 f https://github.com/farisv/Moodle-CVE-2019-3810 Moodle (< 3.6.2, < 3.5.4, < 3.4.7, < 3.1.16) XSS PoC for Privilege Escalation (Student to Admin) CVE-2019-3810 2 17 1 17 4489811908342355530 +github:711816998 2023-10-30 2024-06-05 f https://github.com/halkichi0308/CVE-2021-22880 CVE-2021-22880 0 1 1 1 7375042455413972026 +github:918322526 2025-01-17 2025-01-17 f https://github.com/c1ph3rbyt3/CVE-2022-29464 CVE-2022-29464 0 0 1 0 31557915719770134 +github:846570899 2024-12-20 2025-01-20 f https://github.com/partywavesec/invesalius3_vulnerabilities InVesalius discovered CVE. CVE-2024-42845, CVE-2024-44825 CVE-2024-42845 1 3 1 3 531943814641311150 +github:1112220143 2025-12-08 2026-05-16 f https://github.com/open-flaw/CVE-2022-33171 CVE-2022-33171: TypeORM SQL Injection Vulnerability CVE-2022-33171 0 0 0 0 1656864926131487022 +github:1272133438 2026-06-17 2026-06-17 f https://github.com/d4ngkh04w/CVE-2019-16891 CVE-2019-16891 0 0 0 0 5975938226122963746 +github:627221018 2024-01-10 2023-04-13 f https://github.com/hh-hunter/ml-CVE-2023-1177 CVE-2023-1177 0 0 1 0 5459377666762292693 +github:401087194 2021-08-29 2025-04-17 f https://github.com/ebadfd/CVE-2019-19609 Strapi Framework Vulnerable to Remote Code Execution CVE-2019-19609 1 7 1 7 7275690344828829354 +github:637435384 2023-05-07 2023-05-07 f https://github.com/Henryisnotavailable/Dompdf-Exploit-RCE An exploit script for CVE-2022-28368 designed to make exploitation less annoying, made for a HTB machine CVE-2022-28368 1 0 1 0 5021074971635046447 +github:864262917 2024-09-27 2024-09-27 f https://github.com/tonyarris/CVE-2024-47176-Scanner Scanner for the CUPS vulnerability CVE-2024-47176 CVE-2024-47176 1 0 1 0 4895490517969325619 +github:238621679 2020-02-06 2024-08-12 f https://github.com/motikan2010/CVE-2020-5236 Waitress 1.4.2 ReDoS - CVE-2020-5236 (Blog Sample Code) CVE-2020-5236 2 4 1 4 6526419024333678698 +github:414715774 2021-10-08 2022-09-21 f https://github.com/andrea-mattioli/apache-exploit-CVE-2021-42013 Exploit with integrated shodan search CVE-2021-42013 5 9 1 9 4332359385393668558 +github:653887200 2023-06-15 2023-06-15 f https://github.com/IgorDuino/CVE-2022-44136-exploit Exploit for CVE-2022-44136 for chcking security of your site CVE-2022-44136 0 0 1 0 5253423784973577611 +github:1315963838 2026-07-29 2026-07-29 f https://github.com/HORKimhab/CVE-2026-33718 CVE-2026-33718 CVE-2026-33718 0 0 0 0 1841831832257759999 +github:1312271219 2026-07-25 2026-07-25 f https://github.com/joaovicdev/EXPLOIT-CVE-2026-40901 CVE-2026-40901 0 1 0 1 4910330817102166676 +github:470280427 2022-07-13 2026-05-23 f https://github.com/W0rty/CVE-2021-39165 Github repository which contains a functional exploit for CVE-2021-39165 CVE-2021-39165 6 21 1 21 3392929021224970497 +github:438193673 2021-12-14 2021-12-14 f https://github.com/dark-ninja10/Log4j-CVE-2021-44228 On Thursday (December 9th), a 0-day exploit in the popular Java logging library log4j (version 2) was discovered that results in Remote Code Execution (RCE) by logging a certain string. Given how ubiquitous this library is, the impact of the exploit (full server control), and how easy it is to exploit, the impact of this vulnerability is quite severe. We're calling it "Log4Shell" for short. CVE-2021-44228 2 0 1 0 3700049635378530566 +github:1154344253 2026-02-21 2026-03-02 f https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image Script-only privilege escalation chain using CVE-2025-6019 and UDisks2 (no filesystem image included). CVE-2025-6019 1 1 0 1 7726484338218389848 +github:1072091252 2026-02-21 2026-02-21 f https://github.com/thawphone/CVE-2025-61183 CVE-2025-61183 0 0 0 0 3453331049841563724 +github:130792609 2022-01-14 2023-08-07 f https://github.com/neargle/Go-Get-RCE-CVE-2018-6574-POC CVE-2018-6574 POC : golang 'go get' remote command execution during source code build CVE-2018-6574 14 24 2 24 5914618940915400394 +github:380136612 2021-06-25 2021-06-25 f https://github.com/donghyunlee00/CVE-2021-3156 CVE-2021-3156 0 1 1 1 8912364389592540583 +github:1104276960 2025-11-26 2025-11-26 f https://github.com/Delfaster/CVE-2025-32421---Race-Condition-Vulnerability---Next.js PoC Lab for CVE-2025-32421 – Next.js Race Condition Cache Poisoning Simulation CVE-2025-32421 0 2 0 2 6468262380824598723 +github:1099071660 2025-11-18 2025-11-18 f https://github.com/Lane0218/CVE-2023-25136-PoC CVE-2023-25136 0 0 0 0 1952503658349840680 +github:1127512626 2026-04-05 2026-04-05 f https://github.com/joaovicdev/EXPLOIT-CVE-2025-55182 CVE-2025-55182 0 0 0 0 1597555927099927722 +github:1105132165 2025-12-08 2026-05-22 f https://github.com/quyenheu/CVE-2025-58360 XXE through a specific endpoint /geoserver/wms operation GetMap - Geoserver CVE-2025-58360 0 6 0 6 6659351638090520660 +github:926244798 2026-01-02 2026-01-02 f https://github.com/impulsiveness/CVE-2018-18820 CVE-2018-18820 checker for Icecast servers CVE-2018-18820 0 2 1 2 8439762123400191002 +github:1123904360 2025-12-27 2025-12-27 f https://github.com/fufu-byte/CVE-2024-46506 This is a standalone Python implementation for CVE-2024-46506. I created this script because I could only find the Metasploit module and needed a lightweight, portable version that doesn't require the full Metasploit Framework. CVE-2024-46506 0 0 0 0 4972417267103816564 +github:1064582655 2025-09-24 2025-09-29 f https://github.com/OHHDamnBRO/Noregressh CVE-2024-6387 and more Checker and Exploiter - Reverse/Bind-Shell Support. CVE-2024-6387 2 2 1 2 7006098511918522369 +github:1027471547 2025-07-28 2025-10-31 f https://github.com/j3r1ch0123/CVE-2025-32462 The vulnerability was found by Rich Mirch. More details on it here: https://cxsecurity.com/issue/WLB-2025070022 CVE-2025-32462 1 1 0 1 4942991545250004438 +github:1016854521 2025-07-09 2026-07-08 f https://github.com/liamg/CVE-2025-48384 PoC for CVE-2025-48384 CVE-2025-48384 20 20 0 20 9151738511411773498 +github:1313405387 2026-07-29 2026-07-29 f https://github.com/s-vx/CVE-2026-41179 RCE in rclone CVE-2026-41179 1 0 0 0 5143998066703385657 +github:97701175 2017-07-21 2023-05-22 f https://github.com/liusec/CVE-2017-7529 CVE-2017-7529 8 16 1 16 7637324732145976689 +github:997296517 2025-06-06 2025-08-20 f https://github.com/TimTrademark/CVE-2025-52122 Arbitrary code injection in CraftCMS Freeform 5.0.0 < 5.10.16 CVE-2025-52122 0 0 0 0 1074782260254423554 +github:95874930 2017-06-30 2026-05-06 f https://github.com/sUbc0ol/Apache-Struts2-RCE-Exploit-v2-CVE-2017-5638 CVE-2017-5638 8 13 0 13 9069999188502139866 +github:470511443 2022-03-16 2022-03-16 f https://github.com/si1ent-le/CVE-2019-5736 CVE-2019-5736 0 0 1 0 4180504607702616096 +github:741418632 2024-02-20 2024-07-31 f https://github.com/oscerd/CVE-2024-22369 CVE-2024-22369 Reproducer CVE-2024-22369 1 4 1 4 8291302066925830775 +github:1220211775 2026-04-24 2026-04-29 f https://github.com/shibaaa204/React2Shell Poc for React2Shell CVE-2025-55182 CVE-2025-55182 0 0 0 0 7477668269526120575 +github:416654145 2021-10-13 2021-10-13 f https://github.com/Hasintha-98/Sudo-Vulnerability-Exploit-CVE-2019-14287 CVE-2019-14287 0 0 1 0 3847029444753378249 +github:295956141 2020-09-16 2024-08-12 f https://github.com/CanciuCostin/CVE-2020-1472 CVE-2020-1472 - Zero Logon vulnerability Python implementation CVE-2020-1472 3 2 1 2 5411404612325583661 +github:1011960984 2025-07-20 2026-04-19 f https://github.com/IC3-512/linux-root-kit End-to-end simulation of a Python dependency confusion attack, sudo privilege escalation (CVE-2025-32463), and rootkit-based persistence - with full memory and network forensic analysis. CVE-2025-32463 1 10 0 10 8793306063570649746 +github:674737715 2023-09-07 2025-06-03 f https://github.com/lucas-cauhe/cargo-perm Cargo exploit from CVE-2023-38497 CVE-2023-38497 1 1 1 1 7180138248476696051 +github:703324516 2023-10-11 2026-05-30 f https://github.com/Boogipop/MetabaseRceTools CVE-2023-38646 Metabase RCE CVE-2023-38646 5 54 2 54 7773287874543137422 +github:415789019 2021-10-11 2021-10-11 f https://github.com/rasyidfox/CVE-2019-18818 CVE-2019-18818 1 0 1 0 4363528597839862890 +github:1041450955 2025-08-20 2025-08-20 f https://github.com/shoucheng3/spring-cloud__spring-cloud-gateway_CVE-2022-22947_3-0-6 CVE-2022-22947 0 0 0 0 7170541997625309434 +github:681157074 2023-08-21 2023-08-21 f https://github.com/obelia01/CVE-2023-5546 CVE-2023-5546 0 0 2 0 1921299488059950917 +github:846465649 2024-08-23 2026-02-05 f https://github.com/RedTeamPentesting/moodle-rce-calculatedquestions Scripts for Analysis of a RCE in Moodle Calculated Questions (CVE-2024-43425) CVE-2024-43425 5 19 0 19 3567457266929432253 +github:252699702 2020-04-03 2020-11-04 f https://github.com/rhbb/CVE-2019-7609 CVE-2019-7609 0 1 1 1 1752378371177301480 +github:776289709 2024-11-06 2024-11-06 f https://github.com/sec13b/CVE-2021-44228-POC exploit CVE-2021-44228 CVE-2021-44228 5 1 1 1 2476528701517703396 +github:1049411921 2025-09-17 2025-09-17 f https://github.com/min8282/CVE-2025-3248 CVE-2025-3248 CVE-2025-3248 0 0 0 0 7376570454972734176 +github:1210928315 2026-04-14 2026-04-14 f https://github.com/canpilayda/n8n-RCE-CVE-2025-68613 CVE-2025-68613 0 0 0 0 8958953332024285817 +github:729751099 2023-12-14 2026-07-27 f https://github.com/rvzsec/CVE-2023-30547 PoC Exploit for VM2 Sandbox Escape Vulnerability CVE-2023-30547 8 45 1 45 5771704508417117033 +github:485650447 2022-04-26 2026-07-27 f https://github.com/whwlsfb/cve-2022-22947-godzilla-memshell CVE-2022-22947 注入Godzilla内存马 CVE-2022-22947 27 210 4 210 2674948760407264893 +github:786060686 2024-04-13 2024-04-13 f https://github.com/andreassundstrom/cve-2020-11023-demonstration Demonstration of CVE-2020-11023 CVE-2020-11023 0 0 1 0 2588189311022138167 +github:644287374 2023-05-23 2023-05-26 f https://github.com/jet-pentest/CVE-2023-31779 CVE-2023-31779 2 1 1 1 5539881574145618733 +github:903002855 2024-12-13 2024-12-13 f https://github.com/tlavi00/CVE-2018-7750 CVE-2018-7750 0 0 1 0 7806655227205767271 +github:1252501618 2026-05-28 2026-05-28 f https://github.com/Dungsocool/CVE-2019-20933 Lab 5: InfluxDB Authentication Bypass (CVE-2019-20933) - Writeup and Exploit CVE-2019-20933 0 0 0 0 4478886663437555916 +github:718117758 2023-11-13 2024-01-23 f https://github.com/Cyber-Wo0dy/CVE-2023-47129 Statamic CMS versions <4.33.0 vulnerable to "Remote Code Execution" CVE-2023-47129 0 3 1 3 615993019888197136 +github:1094048173 2025-11-11 2026-03-19 f https://github.com/ZemarKhos/CVE-2025-55315-PoC-Exploit CVE-2025-55315 PoC Exploit CVE-2025-55315 5 8 0 8 4418436069583918109 +github:1038858658 2025-08-16 2025-08-16 f https://github.com/ArtemCyberLab/Project-Exploitation-of-Webmin-Authentication-Vulnerability Research Objective: To conduct a comprehensive analysis and successful exploitation of a Remote Code Execution (RCE) vulnerability in Webmin version 1.890 (CVE-2019-15107), ultimately gaining full control over the target system. CVE-2019-15107 0 0 0 0 357701333418396148 +github:438135281 2021-12-14 2023-03-08 f https://github.com/gcmurphy/chk_log4j Some siimple checks to see if JAR file is vulnerable to CVE-2021-44228 CVE-2021-44228 1 1 1 1 4839961354146708657 +github:484939365 2022-06-26 2026-05-23 f https://github.com/cxosmo/CVE-2022-29548 Proof of concept exploit for CVE-2022-29548: A reflected XSS issue exists in the Management Console of several WSO2 products. This affects API Manager 2.2.0, 2.5.0, 2.6.0, 3.0.0, 3.1.0, 3.2.0, and 4.0.0; API Manager Analytics 2.2.0, 2.5.0, and 2.6.0; API Microgateway 2.2.0; Data Analytics Server 3.2.0; Enterprise Integrator 6.2.0, 6.3.0, 6.4.0, 6.5.0, and 6.6.0; IS as Key Manager 5.5.0, 5.6.0, 5.7.0, 5.9.0, and 5.10.0; Identity Server 5.5.0, 5.6.0, 5.7.0, 5.9.0, 5.10.0, and 5.11.0; Identity Server Analytics 5.5.0 and 5.6.0; and WSO2 Micro Integrator 1.0.0. CVE-2022-29548 2 5 1 5 2902583221574701550 +github:218899327 2019-11-01 2019-11-01 f https://github.com/evilangelplus/CVE-2019-10086 wait for exp. CVE-2019-10086 0 0 1 0 7448795946843855251 +github:1018018485 2025-07-24 2025-07-24 f https://github.com/hackmelocal/CVE-2025-49113-Simulation CVE-2025-49113 0 0 0 0 2522157101933854733 +github:1260909019 2026-06-06 2026-06-06 f https://github.com/t1ckprivate/CVE-2022-0847-Dirty-Pipe CVE-2022-0847 0 0 0 0 2312435766346823779 +github:990526211 2025-05-26 2025-05-26 f https://github.com/sagsooz/CVE-2025-29927 🔐 Python-based smart scanner for CVE-2025-29927 — Next.js middleware authentication bypass vulnerability. Detects meta refresh, keyword-based redirects, and more. CVE-2025-29927 0 0 0 0 1485682388148540010 +github:1115665956 2026-01-02 2026-01-06 f https://github.com/Ya0h4cker/CVE-2025-55182 Analysis, Validation Environment, and POC for CVE-225-55182 Vulnerability. CVE-2025-55182 1 0 0 0 1100108407588904512 +github:728564712 2024-03-20 2024-12-27 f https://github.com/dcm2406/CVE-Lab Instructions for exploiting vulnerabilities CVE-2021-44228 and CVE-2023-46604 CVE-2021-44228 0 2 1 2 6506087929513636048 +github:295517706 2023-03-02 2026-03-22 f https://github.com/bb00/zer0dump Abuse CVE-2020-1472 (Zerologon) to take over a domain and then repair the local stored machine account password. CVE-2020-1472 37 180 6 180 6249172266046961847 +github:439989822 2021-12-20 2021-12-19 f https://github.com/tejas-nagchandi/CVE-2021-45105 Replicating CVE-2021-45105 CVE-2021-45105 0 0 1 0 8759512469039842084 +github:1227512123 2026-05-02 2026-05-26 f https://github.com/serexp/poc-CVE20166210 CVE-2016-6210/Openssh 7.2p2 side channel info disclosure POC CVE-2016-6210 0 2 0 2 7113568332472369076 +github:333714882 2021-01-28 2021-01-29 f https://github.com/ph4ntonn/CVE-2021-3156 CVE-2021-3156 CVE-2021-3156 0 3 3 3 6651825551878393919 +github:210601259 2019-11-16 2024-08-12 f https://github.com/h3llraiser/CVE-2019-15120 Exploit for XSS via BBCode on Kunena extension before 5.1.14 for Joomla! CVE-2019-15120 1 1 1 1 7955035566423960522 +github:1009609943 2025-06-27 2025-06-27 f https://github.com/loganpkinfosec/CVE-2020-7378 CVE-2020-7378 0 0 0 0 5113961548288735491 +github:404512556 2021-09-08 2025-08-29 f https://github.com/knqyf263/CVE-2021-40346 CVE-2021-40346 PoC (HAProxy HTTP Smuggling) CVE-2021-40346 15 41 2 41 8683676562785882277 +github:362151453 2021-04-27 2021-04-27 f https://github.com/streghstreek/CVE-2020-1938 CVE-2020-1938 0 1 0 1 5125951220231598652 +github:560247956 2022-11-01 2026-02-27 f https://github.com/cckuailong/CVE-2022-40146_Exploit_Jar CVE-2022-40146 6 31 1 31 2851151913728843799 +github:1257689021 2026-06-03 2026-06-03 f https://github.com/MrR0b0t19/CVE-2026-23744-PoC CVE-2026-23744 0 0 0 0 6817518636148988203 +github:476094464 2022-08-04 2026-05-23 f https://github.com/reznok/Spring4Shell-POC Dockerized Spring4Shell (CVE-2022-22965) PoC application and exploit CVE-2022-22965 239 324 9 324 7567216792988311793 +github:1134018282 2026-01-15 2026-01-15 f https://github.com/pedrocruz2202/pedrocruz2202.github.io 🛡️ Detect vulnerable MongoDB instances with the high-performance MongoBleed scanner for CVE-2025-14847, ensuring network security and data protection. CVE-2025-14847 0 0 0 0 6593309053677813535 +github:964401580 2025-04-12 2025-04-12 f https://github.com/ngyinkit/cve-2019-18634 CVE-2019-18634 0 0 1 0 8883873773603459142 +github:436070129 2021-12-08 2024-08-12 f https://github.com/scopion/CVE-2021-43799 Python Exploit Code CVE-2021-43799 2 1 0 1 5283643790725789489 +github:965808811 2025-06-28 2025-06-28 f https://github.com/Bhavyakcwestern/Hacking-pdf.js-vulnerability CVE-2024-4367 CVE-2024-4367 0 0 1 0 7795916441881983897 +github:1293518534 2026-07-08 2026-07-08 f https://github.com/pssec-io/CVE-2026-34197 Poc for CVE-2026-34197 CVE-2026-34197 0 0 0 0 4111389515940340800 +github:271585011 2020-06-11 2024-08-12 f https://github.com/knqyf263/CVE-2020-10749 CVE-2020-10749 PoC (Kubernetes MitM attacks via IPv6 rogue router advertisements) CVE-2020-10749 14 25 2 25 1934224041692849889 +github:1299527319 2026-07-13 2026-07-13 f https://github.com/seal-sec-demo-2/Python-Example Seal Security example — vulnerable pip app (PyYAML CVE-2020-14343) remediated to sealed versions; GitHub Actions + Jenkins integration CVE-2020-14343 0 0 0 0 3577325485582940112 +github:1266885496 2026-06-12 2026-06-12 f https://github.com/rootdirective-sec/CVE-2026-46645-Analysis-Lab CVE-2026-46645 0 0 0 0 2102932866137646382 +github:1152101172 2026-02-07 2026-02-07 f https://github.com/SimoesCTT/Chrono-Drip-Temporal-Viscosity-Exploitation-Framework-CVE-2022-0847 This tool demonstrates the application of fundamental physics discoveries to cybersecurity. CVE-2022-0847 0 0 0 0 3970772584759620543 +github:1083223147 2025-11-05 2025-11-05 f https://github.com/Theethat-Thamwasin/CVE-2025-63307 An authenticated Stored Cross-site Scripting (XSS) vulnerability in laravel-file-manager v3.3.1 and below allows attackers with access to the file manager interface to inject and persist arbitrary JavaScript code in uploaded or created files. CVE-2025-63307 0 1 0 1 3932721122840347934 +github:121122391 2018-04-08 2018-04-15 f https://github.com/pradeepjairamani/WolfCMS-XSS-POC WolfCMS-v0.8.3.1 Cross Site Scripting(XSS) Assigned CVE Number: CVE-2018-6890 CVE-2018-6890 1 2 0 2 4955317003236769857 +github:729907332 2023-12-10 2023-12-10 f https://github.com/snurkeburk/Looney-Tunables PoC of CVE-2023-4911 CVE-2023-4911 0 0 1 0 7645870301284016895 +github:550150215 2022-10-12 2023-07-17 f https://github.com/r00t4dm/Jenkins-CVE-2017-1000353 CVE-2017-1000353 0 3 1 3 6125585990083074322 +github:438692384 2021-12-16 2022-10-14 f https://github.com/honeynet/log4shell-data Data we are receiving from our honeypots about CVE-2021-44228 CVE-2021-44228 0 0 3 0 5932350343889280436 +github:807502120 2024-10-10 2025-06-02 f https://github.com/NikitaPark/Log4Shell-PoC-Application Log4Shell (CVE-2021-44228) PoC Application CVE-2021-44228 0 0 1 0 8488630903133376650 +github:315527204 2020-12-01 2024-04-03 f https://github.com/1135/unomi_exploit CVE-2020-11975 CVE-2020-13942 CVE-2020-11975 2 6 1 6 9142386766427518306 +github:1111859482 2025-12-29 2026-05-18 f https://github.com/websecuritylabs/React2Shell-Library A curated list of resources regarding CVE-2025-55182, the critical Remote Code Execution (RCE) vulnerability in React Server Components known as "React2Shell". CVE-2025-55182 2 7 0 7 2053989185725942895 +github:1206259526 2026-04-09 2026-04-09 f https://github.com/h3raklez/CVE-2024-3094 CVE-2024-3094 - XZ Utils Backdoor CVE-2024-3094 0 0 0 0 6383972151026050334 +github:1307657196 2026-07-25 2026-07-29 f https://github.com/Debajyoti0-0/CVE-2026-27654-PoC Proof-of-Concept and technical analysis for CVE-2026-27654, a heap-based buffer overflow vulnerability in the NGINX HTTP WebDAV module, including root cause analysis, reproduction, and mitigation. CVE-2026-27654 0 1 0 1 8576172788968007552 +github:1130066481 2026-01-09 2026-01-09 f https://github.com/Nikopmpm/nikopmpm.github.io 🚀 Utilize this C++ tool for local privilege escalation on CheckMK agents, addressing the CVE-2024-0670 vulnerability effectively. CVE-2024-0670 0 0 0 0 2478817267055361005 +github:1268296776 2026-06-13 2026-06-13 f https://github.com/d4ytox/CVE-2021-22204 ExifTool RCE exploit (CVE-2021-22204) - improved version, no exiftool dependency CVE-2021-22204 0 0 0 0 7530685589682404822 +github:842565397 2024-08-15 2026-01-08 f https://github.com/g4nkd/CVE-2024-22120-RCE-with-gopher This exploit was created to exploit an XXE (XML External Entity). Through it, I read the backend code of the web service and found an endpoint where I could use gopher to make internal requests on Zabbix vulnerable to RCE. CVE-2024-22120 1 3 1 3 5546622984122711485 +github:703037275 2023-10-10 2023-10-10 f https://github.com/silent6trinity/looney-tuneables CVE-2023-4911 CVE-2023-4911 1 0 1 0 5427491598012955055 +github:1128995055 2026-05-19 2026-05-19 f https://github.com/yannisduvignau/react2shell-exploit CVE-2025-55182, also known as React2Shell, is a critical vulnerability affecting Next.js applications using React Server Components (RSC) and Server Actions. CVE-2025-55182 0 0 0 0 5625545371382546106 +github:84620334 2017-03-13 2017-04-11 f https://github.com/Masahiro-Yamada/OgnlContentTypeRejectorValve This is Valve for Tomcat7 to block Struts 2 Remote Code Execution vulnerability (CVE-2017-5638) CVE-2017-5638 0 1 1 1 4574404055944651420 +github:804771060 2024-05-23 2026-07-23 f https://github.com/SudoIndividual/CVE-2023-34152 POC for ImageMagick 6.9.6-4. This is a POC which was inspired by fullwaywang discovery of CVE-2023-34152. CVE-2023-34152 0 5 1 5 2132726625946748384 +github:734620925 2023-12-22 2026-01-31 f https://github.com/febinrev/deepin-linux_reader_RCE-exploit CVE-2023-50254: PoC Exploit for Deepin-reader RCE that affects unpatched Deepin Linux Desktops. Deepin Linux's default document reader "deepin-reader" software suffers from a serious vulnerability due to a design flaw that leads to Remote Command Execution via crafted docx document. CVE-2023-50254 3 16 4 16 5705876134280501981 +github:841861554 2025-01-12 2026-04-17 f https://github.com/EQSTLab/CVE-2024-34102 Adobe Commerce XXE exploit CVE-2024-34102 0 4 1 4 2225301526375032591 +github:61809606 2016-06-28 2023-06-06 f https://github.com/bunseokbot/CVE-2016-5699-poc PoC code of CVE-2016-5699 Vulnerability CVE-2016-5699 7 4 1 4 1238941285261561259 +github:437265194 2022-02-16 2024-08-12 f https://github.com/vorburger/Log4j_CVE-2021-44228 CVE-2021-44228 1 3 1 3 191811876795086408 +github:824794128 2024-07-06 2026-05-19 f https://github.com/Mr-xn/CVE-2024-36401 Remote Code Execution (RCE) Vulnerability In Evaluating Property Name Expressions with multies ways to exploit CVE-2024-36401 6 56 1 56 6192423495370964165 +github:499769031 2026-05-07 2026-05-28 f https://github.com/greenhandatsjtu/CVE-2022-0847-Container-Escape CVE-2022-0847 used to achieve container escape 利用CVE-2022-0847 (Dirty Pipe) 实现容器逃逸 CVE-2022-0847 6 37 1 37 8491625522298368223 +github:1278407882 2026-06-23 2026-06-29 f https://github.com/cybertechajju/CVE-2026-45156-POC This repository contains the Proof of Concept (PoC) exploit script for CVE-2026-45156 CVE-2026-45156 0 2 0 2 4115394771372115162 +github:965330726 2025-04-13 2026-07-23 f https://github.com/Astroo18/PoC-CVE-2025-26529 SSRF to XSS - XSS to RCE Moodle CVE-2025-26529 6 27 1 27 6010260848753830568 +github:1297973243 2026-07-12 2026-07-12 f https://github.com/baeseungwon1010/CVE-2023-4911 CVE-2023-4911 (Looney Tunables) analysis report and Docker reproduction lab CVE-2023-4911 0 0 0 0 5430013620596524460 +github:1103262442 2025-11-24 2025-11-24 f https://github.com/Rivek619/CVE-2025-65675 Stored Cross site scripting (XSS) vulnerability in Classroomio LMS 0.1.13 allows authenticated attackers to execute arbitrary code via crafted SVG profile pictures. Discovered by - Rivek Raj Tamang (RivuDon), Sikkim, India. CVE-2025-65675 0 0 0 0 1183393889962248296 +github:1170491500 2026-03-02 2026-03-02 f https://github.com/Aryan20057/CVE-2023-4911 CVE-2023-4911 0 0 0 0 2967523617694295046 +github:1040068920 2025-08-18 2026-06-02 f https://github.com/GRodolphe/CVE-2025-49132_poc This is an improved version of the CVE-2025-49132 proof of concept exploit. CVE-2025-49132 0 3 0 3 115178873378758921 +github:1039108403 2025-08-16 2025-08-16 f https://github.com/shoucheng3/OWASP__json-sanitizer_CVE-2020-13973_1-2-0 CVE-2020-13973 0 0 0 0 5347042000514162603 +github:648255517 2023-06-07 2025-11-14 f https://github.com/Malayke/CVE-2023-33246_RocketMQ_RCE_EXPLOIT CVE-2023-33246 RocketMQ RCE Detect By Version and Exploit CVE-2023-33246 20 104 2 104 6771679093742960242 +github:203752840 2019-08-22 2025-10-27 f https://github.com/HACHp1/webmin_docker_and_exp Dockerfiles for CVE-2019-15107(webmin RCE) recurrence including v1.890 and v1.920 with Exp for each version. CVE-2019-15107 2 2 0 2 6451830424388788776 +github:438003225 2021-12-13 2021-12-13 f https://github.com/strawhatasif/log4j-test Demonstration of CVE-2021-44228 with a possible strategic fix. CVE-2021-44228 0 0 1 0 2473476269629597636 +github:968024590 2025-04-17 2025-04-17 f https://github.com/Cybervixy/Vulnerability-Management NGINX Security Hardening & Vulnerability Remediation Analysis of critical CVEs (CVE-2021-23017, HTTP/2 DoS flaws) in outdated NGINX versions, with actionable steps for mitigation: upgrades, HTTP/2 hardening, and patch automation. Includes Nessus scan validation and proactive monitoring strategies. CVE-2021-23017 0 0 1 0 5413422625241986709 +github:740220878 2024-01-07 2026-06-30 f https://github.com/0x33c0unt/CVE-2024-21633 MobSF Remote code execution (via CVE-2024-21633) CVE-2024-21633 5 79 1 79 6770822761051008909 +github:1288953273 2026-07-04 2026-07-27 f https://github.com/dinosn/apache-activemq-rce-research Apache ActiveMQ Classic RCE research: CVE-2026-34197 / CVE-2026-42588 bypass chain + hardened-6.2.6 audit findings + Crowdfense comparison CVE-2026-34197 4 8 0 8 8201543746524539184 +github:683435690 2023-08-31 2026-04-19 f https://github.com/shiomiyan/CVE-2023-41080 CVE-2023-41080 3 11 1 11 6034607784258541383 +github:806456046 2024-09-30 2026-07-22 f https://github.com/ambionics/cnext-exploits Exploits for CNEXT (CVE-2024-2961), a buffer overflow in the glibc's iconv() CVE-2024-2961 62 504 9 504 2490402550737679218 +github:801707781 2024-05-16 2024-05-16 f https://github.com/ElnurBDa/CVE-2016-10033 CVE-2016-10033 Wordpress 4.6 Exploit CVE-2016-10033 0 0 1 0 7912245468013191715 +github:1121637493 2026-01-05 2026-06-02 f https://github.com/jensnesten/React2Shell-PoC RCE exploit PoC for CVE-2025-55182 and CVE-2025-66478 in Next.js and React Server Components with scanner and exploitation tools. CVE-2025-55182 2 6 0 6 5428062451328318893 +github:296388474 2023-05-01 2026-07-29 f https://github.com/zeronetworks/zerologon Test script for CVE-2020-1472 for both RPC/TCP and RPC/SMB CVE-2020-1472 13 61 7 61 7126386665968353757 +github:944238092 2025-03-07 2025-03-07 f https://github.com/PakwanSK/Simulating-and-preventing-Zerologon-CVE-2020-1472-vulnerability-attacks. Simulation of the Zerologon (CVE-2020-1472) vulnerability attack in Active Directory on Windows Server 2016 and the use of the Trend Micro Deep Security solution to prevent such attacks. CVE-2020-1472 0 0 1 0 2660172089011991089 +github:814037616 2024-06-12 2025-09-17 f https://github.com/jakabakos/CVE-2024-27348-Apache-HugeGraph-RCE CVE-2024-27348 3 4 1 4 693875450331995683 +github:688790510 2023-09-08 2025-06-16 f https://github.com/webraybtl/CVE-2023-40031 notepad++堆缓冲区溢出漏洞CVE-2023-40031 分析与复现 CVE-2023-40031 5 15 1 15 105554227228435589 +github:280717749 2022-12-14 2025-06-30 f https://github.com/h4ms1k/CVE-2020-8163 Enviroment and exploit to rce test CVE-2020-8163 3 4 1 4 4022568899102971852 +github:1102649350 2025-11-23 2025-11-23 f https://github.com/saleha-muzammil/cve-2024-10220-git-on-git CVE-2024-10220 0 0 0 0 8643116692624437169 +github:1128428060 2026-01-05 2026-01-06 f https://github.com/Arcueld/CVE-2025-68926 CVE-2025-68926 POC CVE-2025-68926 0 1 0 1 7603255578779399315 +github:746480394 2024-01-22 2024-01-22 f https://github.com/wurwur/CVE-2021-3156 Different files for computer security coursework CVE-2021-3156 0 0 1 0 8585308666602293024 +github:437278973 2021-12-12 2024-08-12 f https://github.com/leetxyz/CVE-2021-44228-Advisories List of company advisories log4j CVE-2021-44228 1 0 1 0 4650591559855573949 +github:829004547 2024-07-16 2024-07-15 f https://github.com/KKkai0315/CVE-2024-35242 A test repository for the vulnerability CVE-2024-35242's PoC CVE-2024-35242 0 0 1 0 5469058512376120973 +github:722756127 2023-11-23 2024-12-20 f https://github.com/mbadanoiu/CVE-2023-26269 CVE-2023-26269: Misconfigured JMX in Apache James CVE-2023-26269 0 2 1 2 7183677591194442443 +github:1032212350 2025-08-05 2026-03-25 f https://github.com/binneko/CVE-2025-50286 CVE-2025-50286 1 2 0 2 1973227639123146634 +github:1208103350 2026-04-11 2026-04-18 f https://github.com/3jee/CVE-2025-8110 CVE-2025-8110 — Gogs <= 0.13.3 Arbitrary File Write via Symlink Traversal in PutContents API CVE-2025-8110 0 2 0 2 864725772772062093 +github:100080640 2017-09-01 2017-09-01 f https://github.com/thelastbyte/CVE-2017-1000117 CVE-2017-1000117 1 0 1 0 7019397606699500588 +github:279463521 2025-03-17 2025-10-06 f https://github.com/0xl0ki/Dubbo-deserialization [CVE-2020-1948] Apache Dubbo Provider default deserialization cause RCE CVE-2020-1948 5 18 0 18 1884643955797728244 +github:692738777 2023-09-17 2024-07-16 f https://github.com/pashayogi/DirtyPipe CVE: CVE-2022-0847 CVE-2022-0847 2 1 1 1 4803194852722561659 +github:551659117 2022-10-14 2026-01-23 f https://github.com/Malwareman007/CVE-2022-2992 Authenticated Remote Command Execution in Gitlab via GitHub import. CVE-2022-2992 1 8 1 8 7631404422250774299 +github:862891732 2024-09-25 2024-09-25 f https://github.com/dovics/cve-2024-7646 PoC CVE-2024-7646 CVE-2024-7646 0 1 1 1 6040817448198176644 +github:107232715 2017-07-18 2024-08-12 f https://github.com/heikipikker/exploit-CVE-2016-10034 PHPMailer < 5.2.18 Remote Code Execution CVE-2016-10034 1 0 1 0 1610656621982984388 +github:1094250131 2025-11-11 2026-05-15 f https://github.com/Marven11/CVE-2025-55449-AstrBot-RCE AstrBot老版本RCE CVE-2025-55449 3 2 0 2 222206313013017365 +github:818090111 2024-06-21 2024-09-18 f https://github.com/Alchemist3dot14/CVE-2024-30270-PoC The script exploits Mailcow vulnerabilities via XSS and RCE, emphasizing the need for robust security measures and responsible usage to enhance web application security. CVE-2024-30270 3 4 1 4 4700712741583309593 +github:823067387 2024-07-02 2026-07-16 f https://github.com/zenzue/CVE-2024-6387-Mitigation Mitigation Guide for CVE-2024-6387 in OpenSSH CVE-2024-6387 0 0 1 0 8755469410274326663 +github:1090787168 2025-11-07 2025-11-12 f https://github.com/TERESH1/CVE-2025-12748 Proof of concept & details for CVE-2025-12748 CVE-2025-12748 0 0 0 0 8388242660581966729 +github:1046001981 2026-05-04 2026-05-26 f https://github.com/lunbun/CVE-2025-55188 Proof-of-concept of CVE-2025-55188: 7-Zip arbitrary file write CVE-2025-55188 1 8 0 8 6078500433017542789 +github:421659872 2021-10-27 2021-10-27 f https://github.com/RB4C/drupalgeddon2-CVE-2018-7600 CVE-2018-7600 0 0 1 0 1227853760868364355 +github:94180453 2017-06-13 2017-06-13 f https://github.com/eeehit/CVE-2017-5638 CVE-2017-5638 Test environment CVE-2017-5638 0 0 0 0 4170503832233937959 +github:244931041 2020-03-04 2020-03-04 f https://github.com/nthuong95/CVE-2018-6574 CVE-2018-6574 0 0 1 0 8733446527180549886 +github:437131550 2022-01-15 2026-07-24 f https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words 🐱‍💻 ✂️ 🤬 CVE-2021-44228 - LOG4J Java exploit - WAF bypass tricks CVE-2021-44228 134 950 22 950 2018574117976796116 +github:468151065 2022-03-10 2026-07-14 f https://github.com/chenaotian/CVE-2022-0847 CVE-2022-0847 POC and Docker and Analysis write up CVE-2022-0847 7 25 1 25 2098101106645657798 +github:853172003 2024-09-06 2024-09-06 f https://github.com/EQSTLab/CVE-2024-23997 PoC for CVE-2024-23997 CVE-2024-23997 0 0 1 0 9112275470026635156 +github:948271266 2025-03-15 2025-03-27 f https://github.com/N0c1or/CVE-2025-24813_POC CVE-2025-24813_POC CVE-2025-24813 0 3 1 3 4787127890764029187 +github:1021152983 2025-07-17 2025-07-17 f https://github.com/admin-ping/CVE-2025-48384-RCE CVE-2025-48384 0 0 0 0 8954215148706053079 +github:1124626579 2025-12-29 2025-12-29 f https://github.com/14mb1v45h/CYBERDUDEBIVASH-MONGODB-DETECTOR-v2026 Detect exposed MongoDB instances and CVE-2025-14847 "MongoBleed" risks — Zero-Trust Python scanner CVE-2025-14847 0 0 0 0 4908529196010929376 +github:1114732179 2025-12-18 2026-03-13 f https://github.com/Nkwenti-Severian-Ndongtsop/POC_react2shell_CVE-2025-55182 CVE-2025-55182 0 2 0 2 3777212992580315790 +github:199983488 2019-08-01 2024-08-12 f https://github.com/jas502n/CVE-2019-14439 Jackson-databind RCE CVE-2019-14439 2 5 2 5 7700314706904430521 +github:131665156 2018-05-03 2019-02-28 f https://github.com/Damian972/drupalgeddon-2 Vuln checker for Drupal v7.x + v8.x (CVE-2018-7600 / SA-CORE-2018-002) CVE-2018-7600 0 1 0 1 305324945745292366 +github:273583832 2020-08-17 2021-12-24 f https://github.com/cyberharsh/Apache-couchdb-CVE-2017-12635 CVE-2017-12635 1 1 1 1 1105550321549169486 +github:242093081 2020-02-21 2025-04-27 f https://github.com/fairyming/CVE-2020-1938 在一定条件下可执行命令 CVE-2020-1938 11 11 2 11 3291862208819085223 +github:721284951 2023-11-20 2023-11-20 f https://github.com/SpycioKon/CVE-2023-1177-rebuild Learn more things, not suck all things CVE-2023-1177 0 0 1 0 9205482043929211197 +github:967470704 2025-04-16 2025-12-23 f https://github.com/verylazytech/CVE-2025-3248 CVE-2025-3248 1 10 1 10 4131033391380305682 +github:465383137 2022-03-02 2022-03-13 f https://github.com/twseptian/cve-2018-11235-git-submodule-ce-and-docker-ngrok-configuration CVE-2018-11235-Git-Submodule-CE + Docker Ngrok Configuration CVE-2018-11235 0 0 1 0 2359632850733093038 +github:486245191 2023-05-22 2026-03-05 f https://github.com/wangfly-me/Apache_Penetration_Tool CVE-2021-41773&CVE-2021-42013图形化漏洞检测利用工具 CVE-2021-41773 0 14 1 14 7616399007684764392 +github:1097573214 2025-11-16 2026-03-23 f https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit This repository contains an exploit demonstration for CVE-2024-0670, a local privilege escalation vulnerability affecting the CheckMK Agent for Windows. The vulnerability allows a low-privileged user to obtain SYSTEM privileges by abusing writable file paths processed by the MSI repair mechanism. CVE-2024-0670 0 3 0 3 5843737986868163991 +github:1077744601 2026-01-12 2026-05-21 f https://github.com/sirredbeard/CVE-2025-55315-repro Tool that reproduces CVE-2025-55315 in ASP.NET Core. CVE-2025-55315 6 47 0 47 5147113449984079333 +github:496978854 2022-05-31 2022-05-27 f https://github.com/jiahuiLeee/test CVE-2018-17456复现 CVE-2018-17456 0 0 1 0 4463273168926290228 +github:514743200 2022-08-06 2023-06-14 f https://github.com/ooooooo-q/cve-2022-32224-rails CVE-2022-32224 1 2 1 2 1562793325272588645 +github:1150404791 2026-02-05 2026-02-05 f https://github.com/sparrowhawk1113/Exploit-for-CVE-2024-46987 Exploit for CVE-2024-46987 CVE-2024-46987 0 0 0 0 2638893239862103727 +github:438971911 2021-12-24 2022-09-22 f https://github.com/Nanitor/log4fix Detect and fix log4j log4shell vulnerability (CVE-2021-44228) CVE-2021-44228 2 12 5 12 319968289015271872 +github:1147650218 2026-02-02 2026-07-17 f https://github.com/blackcat4347/CVE-2025-32433-available-for-windows CVE-2025-32433-available-for-windows-victims CVE-2025-32433 0 0 0 0 372382184531229564 +github:202619396 2022-04-22 2019-09-07 f https://github.com/injcristianrojas/cve-2017-5638 Demo app of THAT data broker's security breach CVE-2017-5638 1 0 1 0 5282460713009451744 +github:470139953 2022-04-20 2026-06-03 f https://github.com/jpts/CVE-2022-0847-DirtyPipe-Container-Breakout PoC Container Breakout for DirtyPipe Vulnerability CVE-2022-0847 CVE-2022-0847 2 2 2 2 6088026060622156581 +github:259165580 2026-01-17 2024-08-12 f https://github.com/waleweewe12/CVE-2020-8417 CVE-2020-8417 1 1 1 1 1232497746437360692 +github:467411192 2022-03-08 2023-11-18 f https://github.com/bohr777/cve-2022-0847dirtypipe-exploit CVE-2022-0847 5 0 0 0 7623887133587231242 +github:864442880 2024-09-28 2024-09-28 f https://github.com/paragbagul111/CVE-2024-33210 A cross-site scripting (XSS) vulnerability has been identified in Flatpress 1.3. This vulnerability allows an attacker to inject malicious scripts into web pages viewed by other users. CVE-2024-33210 0 0 1 0 2936950566346336879 +github:1018834784 2025-07-09 2025-07-13 f https://github.com/44528zja/Blackash-CVE-2025-32023 CVE-2025-32023 CVE-2025-32023 0 0 0 0 2630310136053921096 +github:516626302 2022-07-22 2024-01-02 f https://github.com/SCAMagic/CVE-2022-23131poc-exp-zabbix- CVE-2022-23131漏洞批量检测与利用脚本 CVE-2022-23131 3 8 1 8 8148196129240892689 +github:685095951 2023-08-30 2023-11-09 f https://github.com/a1665454764/CVE-2022-46169 CVE-2022-46169 CVE-2022-46169 0 0 1 0 2922239606594463351 +github:1019422498 2026-04-30 2026-04-30 f https://github.com/mheranco/CVE-2025-44136 CVE-2025-44136 0 0 0 0 6386308208396185637 +github:396745831 2021-08-16 2021-08-16 f https://github.com/jptr218/mysql_dos A tool to crash MySQL servers with CVE-2017-3599 CVE-2017-3599 0 1 1 1 5721169313980159458 +github:968453187 2025-04-21 2025-04-21 f https://github.com/nigartest/CVE-2018-25031 CVE-2018-25031 CVE-2018-25031 0 0 1 0 6349568005230834470 +github:439931620 2026-05-12 2026-05-12 f https://github.com/sanupl/Bludit-3.13.1-About-Plugin-Stored-Cross-Site-Scripting-XSS CVE-2021-45745 - A Stored Cross Site Scripting (XSS) vulnerability exists in Bludit 3.13.1 via the About Plugin in login panel. Application stores attacker injected dangerous JavaScript in to the database and executes without validating. CVE-2021-45745 0 0 1 0 1290477152760743990 +github:1109587217 2025-12-04 2026-01-15 f https://github.com/M0onPu15e/next.js-scanner 检测针对 CVE-2025-55182（React 服务器组件远程代码执行漏洞）的扫描器 CVE-2025-55182 1 3 0 3 1145252110214491322 +github:473383769 2022-03-28 2026-05-17 f https://github.com/plummm/CVE-2022-27666 Exploit for CVE-2022-27666 CVE-2022-27666 40 207 6 207 2064166741775898239 +github:1024069285 2025-07-22 2025-07-22 f https://github.com/ChetanKomal/sudo_exploit CVE-2025-32463 CVE-2025-32463 0 0 0 0 6338882459021969402 +github:633796587 2023-04-28 2023-04-28 f https://github.com/That-Guy-Steve/CVE-2022-28368-handler This repository contains a python script that will handle the majority of the dompdf cached font exploit (CVE-2022-28368), all you need to do is create the request CVE-2022-28368 0 0 1 0 2993016052863269510 +github:966422202 2025-11-06 2026-06-07 f https://github.com/moften/CVE-2023-44487-HTTP-2-Rapid-Reset-Attack HTTP/2 Rapid Reset Exploit PoC CVE-2023-44487 1 2 1 2 1978124212608047599 +github:422441947 2022-11-16 2026-07-24 f https://github.com/Al1ex/CVE-2021-22205 CVE-2021-22205& GitLab CE/EE RCE CVE-2021-22205 99 285 2 285 4763221205614526351 +github:800600797 2024-05-14 2026-04-30 f https://github.com/lypd0/CVE-2021-3156-checker Checker for CVE-2021-3156 with static version check CVE-2021-3156 0 2 1 2 3905475656913845284 +github:823151186 2024-07-02 2025-05-25 f https://github.com/xristos8574/regreSSHion-nmap-scanner A bash script for nmap to scan for vulnerable machines in regards to the latest CVE-2024-6387 CVE-2024-6387 0 1 1 1 2252311833712057593 +github:438291572 2021-12-14 2021-12-14 f https://github.com/ShaneKingBlog/org.shaneking.demo.cve.y2021.s44228 CVE-2021-44228 CVE-2021-44228 0 0 1 0 1201996265832588316 +github:848825194 2024-08-29 2024-10-31 f https://github.com/identity-threat-labs/CVE-2024-6387-Vulnerability-Checker This Python script checks for the CVE-2024-6387 vulnerability in OpenSSH servers. It supports multiple IP addresses, URLs, CIDR ranges, and ports. The script can also read addresses from a file. CVE-2024-6387 0 2 0 2 8401370312640904447 +github:219609133 2019-11-04 2024-08-12 f https://github.com/xooxo/CVE-2019-14745 weaponized radare2 vulnerability found by @CaptnBanana and blenk92 CVE-2019-14745 2 2 1 2 2767861745360990350 +github:1220412106 2026-04-24 2026-06-17 f https://github.com/0xBlackash/CVE-2025-68645 CVE-2025-68645 CVE-2025-68645 1 2 0 2 6735501100827368533 +github:1129380065 2026-01-07 2026-01-08 f https://github.com/secdongle/POC_CVE-2025-69194 PoC for CVE-2025-69194, a Path Traversal vulnerability in GNU Wget2 <= 2.2.0. This vulnerability allows attackers to achieve arbitrary file write or overwrite on the victim's filesystem by providing a malicious Metalink file with manipulated file name attributes. CVE-2025-69194 1 1 0 1 6547723531264730866 +github:495368631 2022-05-23 2024-03-22 f https://github.com/Snorlyd/https-nj.gov---CVE-2020-11023 Vulnearability Report of the New Jersey official site CVE-2020-11023 0 1 1 1 1000756173897815430 +github:427958357 2021-11-14 2021-11-14 f https://github.com/xMohamed0/CVE-2021-42013-ApacheRCE CVE-2021-42013 1 0 1 0 8898011254667007354 +github:497629346 2022-07-24 2023-03-19 f https://github.com/bypazs/CVE-2022-32114 An unrestricted file upload vulnerability in the Add New Assets function of Strapi v4.1.12 allows attackers to execute arbitrary code via a crafted file. CVE-2022-32114 1 1 1 1 1125964587525658960 +github:1141099735 2026-01-24 2026-01-24 f https://github.com/materaj2/exploit_cve_2025_67303 Create PoC for CVE-2025-67303 CVE-2025-67303 0 0 0 0 1799908408647582716 +github:90453472 2019-10-22 2024-08-12 f https://github.com/cyberheartmi9/CVE-2017-8295 CVE-2017-8295 15 20 2 20 1605734655547078762 +github:414248192 2022-06-11 2024-08-12 f https://github.com/ranggaggngntt/CVE-2021-41773 CVE-2021-41773 2 0 1 0 4505869109487653098 +github:439712818 2022-01-22 2022-01-22 f https://github.com/otaviokr/log4j-2021-vulnerability-study This is a showcase how the Log4J vulnerability (CVE-2021-44228) could be explored. This code is safe to run, but understand what it does and how it works! CVE-2021-44228 0 0 1 0 7987849462076282728 +github:469930369 2022-03-14 2024-08-12 f https://github.com/Shotokhan/cve_2022_0847_shellcode Implementation of CVE-2022-0847 as a shellcode CVE-2022-0847 2 3 1 3 5753020473656048794 +github:512647523 2022-07-25 2026-07-07 f https://github.com/ly1g3/Mailcow-CVE-2022-31138 Mailcow CVE-2022-31138 RCE CVE-2022-31138 0 2 1 2 1502430682245375254 +github:1135332558 2026-01-16 2026-01-16 f https://github.com/honeyvig/CVE-2020-1971 CVE-2020-1971 0 0 0 0 7324520363255833710 +github:658104709 2023-06-25 2023-06-24 f https://github.com/HerrLeStrate/CVE-2022-44276-PoC PoC for Responsive Filemanager < 9.12.0 bypass upload restrictions lead to RCE CVE-2022-44276 1 0 1 0 6245494932155402519 +github:882333805 2024-11-02 2024-11-02 f https://github.com/H4cking4All/CVE-2023-4220 CVE-2023-4220 Chamilo Exploit CVE-2023-4220 0 0 1 0 1249804858378445733 +github:441362156 2023-05-24 2023-05-24 f https://github.com/adindrabkin/llama_facts Web application vulnerable to Python3 Flask SSTI (CVE-2019-8341) CVE-2019-8341 0 0 1 0 5141158976306994478 +github:775297856 2024-03-21 2024-03-21 f https://github.com/JolynNgSC/Zerologon_CVE-2020-1472 CVE-2020-1472 0 0 1 0 3907755803000942859 +github:415177333 2021-10-12 2026-07-14 f https://github.com/im-hanzou/apachrot Apache (Linux) CVE-2021-41773/2021-42013 Mass Vulnerability Checker CVE-2021-41773 6 23 1 23 7560552710355697825 +github:1047154262 2025-08-29 2025-08-29 f https://github.com/AC8999/CVE-2025-49113 Python Script for CVE-2025-49113. Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization. CVE-2025-49113 0 0 0 0 5444920260040474523 +github:478490703 2026-07-27 2026-07-27 f https://github.com/Zain3311/CVE-2025-49844 🚨 Exploit the CVE-2025-49844 Redis Lua interpreter UAF vulnerability to execute arbitrary shellcode and gain persistent backdoor access. CVE-2025-49844 0 3 1 3 531344337493068515 +github:491006401 2022-05-11 2022-05-11 f https://github.com/ShaikUsaf/external_expact_AOSP10_r33_CVE-2022-25313 CVE-2022-25313 0 0 1 0 7641720304266760336 +github:603184920 2023-02-17 2024-08-28 f https://github.com/and0x00/CVE-2021-32789 💣 Wordpress WooCommerce users dump exploit. CVE-2021-32789 0 1 1 1 5250159075634882776 +github:1294630559 2026-07-22 2026-07-22 f https://github.com/straightSang/H2-database-CVE-2022-23221 vulhub/H2-database/CVE-2022-23221 CVE-2022-23221 0 0 0 0 5069822292206958514 +github:1109941407 2025-12-05 2025-12-05 f https://github.com/0xPThree/cve-2025-55182 CVE-2025-55182 0 0 0 0 6766275234539282135 +github:1116564882 2025-12-16 2026-01-06 f https://github.com/ACharaf06/CVE-2017-5638-Attack-and-Defense CVE-2017-5638 0 1 0 1 561636146299835697 +github:1250427614 2026-05-26 2026-05-26 f https://github.com/Dungsocool/CVE-2017-5638 CVE-2017-5638 0 0 0 0 1017795768620077442 +github:128482458 2018-04-12 2025-03-30 f https://github.com/CaledoniaProject/CVE-2018-1270 Spring messaging STOMP protocol RCE CVE-2018-1270 18 113 1 113 1275051885188898062 +github:1252219868 2026-05-29 2026-07-09 f https://github.com/Bhanunamikaze/BadHost-CVE-2026-48710-Exploit Detection scanner for CVE-2026-48710 - Host-header auth bypass in Starlette/FastAPI CVE-2026-48710 0 1 0 1 8879868135659853857 +github:257814956 2023-06-01 2026-07-29 f https://github.com/HoangKien1020/CVE-2020-11890 CVE-2020-11890: Improper input validations in the usergroup table class could lead to a broken ACL configuration to RCE CVE-2020-11890 12 62 2 62 2614040745620892895 +github:683888560 2023-08-26 2023-08-28 f https://github.com/NET-Flowers/CVE-2023-28432 CVE-2023-28432检测工具 CVE-2023-28432 0 0 0 0 6507820959778531498 +github:1268401679 2026-06-21 2026-06-21 f https://github.com/webshellseo8/CVE-2026-1555-POC CVE-2026-1555 0 0 0 0 1975277160102324775 +github:430263283 2021-11-21 2021-12-02 f https://github.com/zwlsix/apache_druid_CVE-2021-36749 CVE-2021-36749 Docker 漏洞复现 CVE-2021-36749 0 1 1 1 7798837210651154446 +github:553631586 2022-10-18 2022-10-19 f https://github.com/kailing0220/CVE-2020-13937 Apache Kylin有一个restful api会在没有任何认证的情况下暴露配置信息 CVE-2020-13937 0 1 1 1 1856105911864734721 +github:885806935 2024-11-09 2024-11-09 f https://github.com/sea-middle/cve-2023-25813 CVE-2023-25813 0 0 1 0 1709401398989335861 +github:1119109555 2025-12-18 2025-12-18 f https://github.com/rashedhasan090/cve-2025-55182-mitigator CVE-2025-55182 0 0 0 0 2427020026931979296 +github:1098709449 2025-11-21 2025-11-21 f https://github.com/coderMohammed1/CVE-2025-63848 swish-prolog cve CVE-2025-63848 0 0 0 0 3765143474658412194 +github:1157091865 2026-02-13 2026-02-13 f https://github.com/BIG02-bot/React2Shell-CVE-2025-55182-An-lise-T-cnica CVE-2025-55182 0 0 0 0 861868664031491266 +github:606815438 2023-03-29 2023-03-29 f https://github.com/bypazs/CVE-2023-26984 An issue in the password reset function of Peppermint v0.2.4 allows attackers to access the emails and passwords of the Tickets page via a crafted request. CVE-2023-26984 0 0 1 0 6552429715155375646 +github:1207985602 2026-04-11 2026-04-11 f https://github.com/adampawelczyk/cve-2019-15107 Proof-of-concept exploit for CVE-2019-15107 (Webmin <= 1.920) enabling unauthenticated RCE via command injection. CVE-2019-15107 0 0 0 0 5767663873795241706 +github:888975074 2024-11-15 2024-11-15 f https://github.com/KonEch0/CVE-2018-25031-SG CVE-2018-25031-SG CVE-2018-25031 0 0 1 0 5988744146494421 +github:648442574 2023-06-02 2025-10-17 f https://github.com/P4x1s/CVE-2023-33246 CVE-2023-33246：Apache RocketMQ 远程命令执行漏洞检测工具 CVE-2023-33246 1 3 1 3 2539747573887724905 +github:707752489 2023-10-27 2023-10-20 f https://github.com/AnvithLobo/CVE-2023-38646 RCE Exploit for CVE-2023-38646 CVE-2023-38646 0 0 1 0 6160767050207370308 +github:1023097167 2025-07-21 2025-08-28 f https://github.com/IK-20211125/CVE-2025-48384 CVE-2025-48384 PoC CVE-2025-48384 0 1 0 1 4156947827136083710 +github:1168679289 2026-03-05 2026-03-05 f https://github.com/malvector/CVE-2025-70342 CVE-2025-70342: Credential Interception via Named Pipe in erase-install CVE-2025-70342 0 0 0 0 9139923708463780621 +github:1145113719 2026-01-29 2026-01-29 f https://github.com/sijie52/yasa-cve-2020-14343 CVE-2020-14343 0 0 0 0 1321456996275028888 +github:478060944 2022-04-05 2023-05-01 f https://github.com/Snip3R69/spring-shell-vuln Spring has Confirmed the RCE in Spring Framework. The team has just published the statement along with the mitigation guides for the issue. Now, this vulnerability can be tracked as CVE-2022-22965. CVE-2022-22965 0 1 1 1 5617858028260693623 +github:1288879729 2026-07-04 2026-07-04 f https://github.com/darnabin/CVE-2022-36446-Webmin-RCE Script de python para Webmin 1.996 CVE-2022-36446 0 0 0 0 1625385652733390798 +github:374151679 2021-11-02 2026-05-23 f https://github.com/mr-r3bot/Gitlab-CVE-2021-22205 CVE-2021-22205 42 181 2 181 7839658409481103099 +github:1042530894 2025-09-20 2025-09-20 f https://github.com/x0da6h/POC-for-CVE-2025-24893 Some poorly crafted exploit scripts CVE-2025-24893 0 1 0 1 1068821644567492433 +github:1113972670 2026-07-04 2026-07-16 f https://github.com/CerberusMrXi/Cerberus-React2Shell-Scanner-Exploit Elite exploitation toolkit for CVE-2025-55182 (React Server Components RCE). Async polymorphic payloads, advanced WAF/CDN bypass, proxy rotation, Shodan/Censys mass scan, auto-pwn + reverse shells, Nuclei templates, K8s lab & C2 dashboard. Authored by Sudeepa Wanigarathna – strictly for authorized red team and penetration testing. CVE-2025-55182 1 2 0 2 7155257565452176782 +github:502183724 2022-06-10 2023-03-30 f https://github.com/ethomson/cve-2022-41032 Reproduction / example repository for CVE 2022-41032. CVE-2022-41032 0 1 1 1 1587915186111477716 +github:1244630597 2026-05-20 2026-05-20 f https://github.com/mananispiwpiw/CVE-2025-8110-PoC CVE-2025-8110 Proof of Concept CVE-2025-8110 0 0 0 0 8983777236029588994 +github:1066448369 2025-09-29 2026-07-01 f https://github.com/arabindadora/log4shell Log4Shell (CVE-2021-44228) PoC CVE-2021-44228 0 0 0 0 204466231286887378 +github:262714185 2020-05-14 2020-05-14 f https://github.com/BBRathnayaka/POC-CVE-2019-5736 CVE-2019-5736 1 0 1 0 8691801500524294104 +github:1112040472 2025-12-08 2026-05-03 f https://github.com/muthaiyanmani/react2shell-checker A security vulnerability scanner for detecting the React2Shell vulnerability (CVE-2025-55182) in Next.js and React applications. CVE-2025-55182 0 0 0 0 7848035751872641822 +github:351562625 2021-09-04 2026-07-03 f https://github.com/jaiguptanick/CVE-2019-0232 Vulnerability analysis and PoC for the Apache Tomcat - CGIServlet enableCmdLineArguments Remote Code Execution (RCE) CVE-2019-0232 11 30 1 30 3341213297801480824 +github:878669450 2025-08-16 2025-08-16 f https://github.com/LipeOzyy/SQLPad-RCE-Exploit-CVE-2022-0944 CVE-2022-0944 Remote Code Execution Exploit CVE-2022-0944 0 1 1 1 6411985074048578764 +github:1114845817 2025-12-12 2026-06-13 f https://github.com/hans362/CVE-2025-55184-poc CVE-2025-55184 4 3 0 3 7572405456633122866 +github:917568707 2025-01-16 2025-01-16 f https://github.com/yZee00/CVE-2019-5029 This is a Python script PoC for CVE-2019-5029 CVE-2019-5029 0 0 1 0 4064605296826053082 +github:95639951 2017-06-28 2017-06-28 f https://github.com/qwertyuiop12138/CVE-2016-10033 CVE-2016-10033 0 0 0 0 6110888995587333824 +github:1042699335 2025-08-22 2025-08-22 f https://github.com/pandatix/CVE-2025-53632 An exploit of CVE-2025-53632 to confirm exploitability CVE-2025-53632 0 0 0 0 1150367275164046711 +github:1275817954 2026-06-21 2026-06-21 f https://github.com/Hunt-Benito/ash-authentication-oauth2-oidc-account-takeover-cve-2026-49757-email-based-user-matching CVE-2026-49757 0 0 0 0 1587233223858353670 +github:604134446 2023-02-20 2023-06-08 f https://github.com/spwpun/CVE-2022-37032 PoC for CVE-2022-37032，tested on frr-8.3。 CVE-2022-37032 0 3 1 3 2065903058167646530 +github:1276353931 2026-06-21 2026-06-21 f https://github.com/azilRababe/CVE-2025-68613 Technical analysis of CVE-2025-68613, a critical Expression Injection vulnerability in n8n that allows authenticated attackers to achieve Remote Code Execution (RCE) CVE-2025-68613 0 0 0 0 3797479539534023780 +github:480323110 2023-03-12 2023-03-26 f https://github.com/G01d3nW01f/CVE-2022-22963 CVE-2022-22963 0 0 1 0 5177572227090140822 +github:1041379225 2025-08-20 2025-08-20 f https://github.com/shoucheng3/jeremylong__DependencyCheck_CVE-2018-12036_3-1-2 CVE-2018-12036 0 0 0 0 7362225638050621691 +github:240249499 2021-08-11 2021-08-11 f https://github.com/N1et/CVE-2019-18634 An Python Exploit for Sudo vulnerability CVE-2019-18634 CVE-2019-18634 0 2 1 2 7201930948069505795 +github:1288972192 2026-07-04 2026-07-04 f https://github.com/shaheryar773/mitigate-cve-2026-23869-react-server-component-loops Technical troubleshooting repository for fixing infinite rendering vulnerability loops and resource exhaustion threats under CVE-2026-23869 cleanly. CVE-2026-23869 0 0 0 0 2772258780634259356 +github:969288759 2025-04-19 2026-06-01 f https://github.com/TX-One/CVE-2023-38408 CVE-2023-38408 SSH Vulnerability Scanner & PoC CVE-2023-38408 0 7 1 7 371772364171710049 +github:698469496 2023-10-01 2026-07-11 f https://github.com/GTGalaxi/ElectronVulnerableVersion Find Electron Apps Vulnerable to CVE-2023-4863 / CVE-2023-5129 CVE-2023-4863 0 7 1 7 8675419885564199832 +\. + + +ALTER TABLE public.exploits ENABLE TRIGGER ALL; + +-- +-- Data for Name: external_references; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.external_references DISABLE TRIGGER ALL; + +COPY public.external_references (asset_id, url, type, error) FROM stdin; +\. + + +ALTER TABLE public.external_references ENABLE TRIGGER ALL; + +-- +-- Data for Name: external_users; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.external_users DISABLE TRIGGER ALL; + +COPY public.external_users (id, username, avatar_url) FROM stdin; +\. + + +ALTER TABLE public.external_users ENABLE TRIGGER ALL; + +-- +-- Data for Name: external_user_orgs; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.external_user_orgs DISABLE TRIGGER ALL; + +COPY public.external_user_orgs (external_user_id, org_id) FROM stdin; +\. + + +ALTER TABLE public.external_user_orgs ENABLE TRIGGER ALL; + +-- +-- Data for Name: first_party_vulnerabilities; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.first_party_vulnerabilities DISABLE TRIGGER ALL; + +COPY public.first_party_vulnerabilities (asset_version_name, asset_id, message, scanner_ids, state, last_detected, ticket_id, ticket_url, manual_ticket_creation, created_at, updated_at, deleted_at, rule_id, rule_name, rule_description, rule_help, rule_help_uri, rule_properties, uri, start_line, start_column, end_line, end_column, snippet, commit, email, author, date, snippet_contents, fingerprint, id) FROM stdin; +\. + + +ALTER TABLE public.first_party_vulnerabilities ENABLE TRIGGER ALL; + +-- +-- Data for Name: github_app_installations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.github_app_installations DISABLE TRIGGER ALL; + +COPY public.github_app_installations (installation_id, org_id, installation_created_webhook_received_time, settings_url, target_type, target_login, target_avatar_url) FROM stdin; +\. + + +ALTER TABLE public.github_app_installations ENABLE TRIGGER ALL; + +-- +-- Data for Name: gitlab_integrations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.gitlab_integrations DISABLE TRIGGER ALL; + +COPY public.gitlab_integrations (id, created_at, updated_at, name, access_token, gitlab_url, org_id) FROM stdin; +\. + + +ALTER TABLE public.gitlab_integrations ENABLE TRIGGER ALL; + +-- +-- Data for Name: gitlab_oauth2_tokens; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.gitlab_oauth2_tokens DISABLE TRIGGER ALL; + +COPY public.gitlab_oauth2_tokens (id, access_token, refresh_token, expires_at, scopes, user_id, gitlab_user_id, expiry, verifier, base_url, created_at, updated_at, provider_id) FROM stdin; +\. + + +ALTER TABLE public.gitlab_oauth2_tokens ENABLE TRIGGER ALL; + +-- +-- Data for Name: in_toto_links; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.in_toto_links DISABLE TRIGGER ALL; + +COPY public.in_toto_links (supply_chain_id, step, filename, payload, asset_version_name, asset_id, pat_id, created_at) FROM stdin; +\. + + +ALTER TABLE public.in_toto_links ENABLE TRIGGER ALL; + +-- +-- Data for Name: invitations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.invitations DISABLE TRIGGER ALL; + +COPY public.invitations (id, created_at, updated_at, code, organization_id, email) FROM stdin; +\. + + +ALTER TABLE public.invitations ENABLE TRIGGER ALL; + +-- +-- Data for Name: jira_integrations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.jira_integrations DISABLE TRIGGER ALL; + +COPY public.jira_integrations (id, created_at, updated_at, name, org_id, access_token, url, user_email, account_id) FROM stdin; +\. + + +ALTER TABLE public.jira_integrations ENABLE TRIGGER ALL; + +-- +-- Data for Name: license_overwrite; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.license_overwrite DISABLE TRIGGER ALL; + +COPY public.license_overwrite (license_id, organization_id, component_purl, justification) FROM stdin; +\. + + +ALTER TABLE public.license_overwrite ENABLE TRIGGER ALL; + +-- +-- Data for Name: mapped_controls; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.mapped_controls DISABLE TRIGGER ALL; + +COPY public.mapped_controls (framework_control_id, related_framework, related_control_id) FROM stdin; +SCF:GOV-01 nist-csf-function-grouping govern +SCF:GOV-01 cobit-2019 edm01.02 +SCF:GOV-01 cobit-2019 apo01.09 +SCF:GOV-01 cobit-2019 apo04.01 +SCF:GOV-01 cobit-2019 apo13.01 +SCF:GOV-01 cobit-2019 apo13.03 +SCF:GOV-01 coso-2013 _2 +SCF:GOV-01 coso-2013 _12 +SCF:GOV-01 csa-ccm-4.1.0 grc-01 +SCF:GOV-01 csa-ccm-4.1.0 grc-05 +SCF:GOV-01 csa-iot-scf-2 gvn-01 +SCF:GOV-01 csa-iot-scf-2 gvn-02 +SCF:GOV-01 iec-62443-2-1-2024 org-1.1 +SCF:GOV-01 iso-27001-2022 _4.4 +SCF:GOV-01 iso-27001-2022 _5.1 +SCF:GOV-01 iso-27001-2022 _5.1-a +SCF:GOV-01 iso-27001-2022 _5.1-b +SCF:GOV-01 iso-27001-2022 _5.1-c +SCF:GOV-01 iso-27001-2022 _5.1-d +SCF:GOV-01 iso-27001-2022 _5.1-e +SCF:GOV-01 iso-27001-2022 _5.1-f +SCF:GOV-01 iso-27001-2022 _5.1-g +SCF:GOV-01 iso-27001-2022 _5.1-h +SCF:GOV-01 iso-27001-2022 _6.1.1 +SCF:GOV-01 iso-27001-2022 _6.1.1-a +SCF:GOV-01 iso-27001-2022 _6.1.1-b +SCF:GOV-01 iso-27001-2022 _6.1.1-c +SCF:GOV-01 iso-27001-2022 _6.1.1-d +SCF:GOV-01 iso-27001-2022 _6.1.1-e-1 +SCF:GOV-01 iso-27001-2022 _6.1.1-e-2 +SCF:GOV-01 iso-27001-2022 _8.1 +SCF:GOV-01 iso-27001-2022 _10.1 +SCF:GOV-01 iso-27002-2022 _5.1 +SCF:GOV-01 iso-27002-2022 _5.4 +SCF:GOV-01 iso-27002-2022 _5.37 +SCF:GOV-01 iso-27017-2015 _5.1 +SCF:GOV-01 iso-27017-2015 _5.1.1 +SCF:GOV-01 iso-27017-2015 _7.2.1 +SCF:GOV-01 iso-27017-2015 _12.1.1 +SCF:GOV-01 iso-27018-2025 _5.1 +SCF:GOV-01 iso-27018-2025 _5.4 +SCF:GOV-01 iso-27018-2025 _5.37 +SCF:GOV-01 iso-27701-2025 _5.1 +SCF:GOV-01 iso-27701-2025 _6.1.3-c +SCF:GOV-01 iso-27701-2025 _7.5.1 +SCF:GOV-01 iso-31000-2018 _5.1 +SCF:GOV-01 iso-31000-2018 _5.3 +SCF:GOV-01 iso-42001-2023 _7.5.1 +SCF:GOV-01 iso-42001-2023 _7.5.1-a +SCF:GOV-01 iso-42001-2023 _7.5.1-b +SCF:GOV-01 iso-42001-2023 _7.5.2 +SCF:GOV-01 iso-42001-2023 _7.5.3 +SCF:GOV-01 iso-42001-2023 _7.5.3-a +SCF:GOV-01 iso-42001-2023 _7.5.3-b +SCF:GOV-01 nist-ai-600-1 govern-1.1 +SCF:GOV-01 nist-ai-600-1 govern-1.2 +SCF:GOV-01 nist-ai-600-1 gv-1.2-002 +SCF:GOV-01 nist-ai-600-1 gv-1.4-001 +SCF:GOV-01 nist-ai-600-1 gv-1.4-002 +SCF:GOV-01 nist-ai-600-1 govern-4.1 +SCF:GOV-01 nist-privacy-framework-1.0 id-p +SCF:GOV-01 nist-privacy-framework-1.0 id.be-p +SCF:GOV-01 nist-privacy-framework-1.0 gv-p +SCF:GOV-01 nist-privacy-framework-1.0 gv.po-p1 +SCF:GOV-01 nist-privacy-framework-1.0 gv.po-p6 +SCF:GOV-01 nist-privacy-framework-1.0 cm-p +SCF:GOV-01 nist-privacy-framework-1.0 cm.po-p +SCF:GOV-01 nist-privacy-framework-1.0 pr-p +SCF:GOV-01 nist-privacy-framework-1.0 pr.pt-p +SCF:GOV-01 nist-800-53-r4 pm-1 +SCF:GOV-01 nist-800-53-r5 pm-01 +SCF:GOV-01 nist-800-53b-r5-privacy pm-01 +SCF:GOV-01 nist-sp-800-66-r2 _164.316-a +SCF:GOV-01 nist-800-82-r3 pm-01 +SCF:GOV-01 nist-800-82-r3-low-ot-overlay pm-01 +SCF:GOV-01 nist-800-82-r3-moderate-ot-overlay pm-01 +SCF:GOV-01 nist-800-82-r3-high-ot-overlay pm-01 +SCF:GOV-01 nist-800-171-r3 _03.15.01.a +SCF:GOV-01 nist-csf-2.0 gv +SCF:GOV-01 nist-csf-2.0 gv.rm-01 +SCF:GOV-01 nist-csf-2.0 gv.rm-03 +SCF:GOV-01 nist-csf-2.0 gv.rr-01 +SCF:GOV-01 nist-csf-2.0 gv.sc +SCF:GOV-01 nist-csf-2.0 gv.sc-01 +SCF:GOV-01 nist-csf-2.0 gv.sc-03 +SCF:GOV-01 nist-csf-2.0 gv.sc-09 +SCF:GOV-01 nist-csf-2.0 id.ra +SCF:GOV-01 nist-csf-2.0 pr +SCF:GOV-01 nist-csf-2.0 pr.ir +SCF:GOV-01 pci-dss-4.0.1 _12.4 +SCF:GOV-01 pci-dss-4.0.1 a3.1.2 +SCF:GOV-01.1 nist-csf-function-grouping govern +SCF:GOV-01.1 cobit-2019 apo14.01 +SCF:GOV-01.1 cobit-2019 dss06.01 +SCF:GOV-01.1 cobit-2019 mea01.04 +SCF:GOV-01.1 cobit-2019 mea03.02 +SCF:GOV-01.1 cobit-2019 mea04.03 +SCF:GOV-01.1 coso-2013 _1 +SCF:GOV-01.1 coso-2013 _2 +SCF:GOV-01.1 iso-22301-2019 _5.1 +SCF:GOV-01.1 iso-22301-2019 _5.1-a +SCF:GOV-01.1 iso-22301-2019 _5.1-b +SCF:GOV-01.1 iso-22301-2019 _5.1-c +SCF:GOV-01.1 iso-22301-2019 _5.1-d +SCF:GOV-01.1 iso-22301-2019 _5.1-e +SCF:GOV-01.1 iso-22301-2019 _5.1-f +SCF:GOV-01.1 iso-22301-2019 _5.1-g +SCF:GOV-01.1 iso-22301-2019 _5.1-h +SCF:GOV-01.1 iso-22301-2019 _9.3.1 +SCF:GOV-01.1 iso-22301-2019 _9.3.2 +SCF:GOV-01.1 iso-22301-2019 _9.3.2-a +SCF:GOV-01.1 iso-22301-2019 _9.3.2-b +SCF:GOV-01.1 iso-22301-2019 _9.3.2-c +SCF:GOV-01.1 iso-22301-2019 _9.3.2-c-1 +SCF:GOV-01.1 iso-22301-2019 _9.3.2-c-2 +SCF:GOV-01.1 iso-22301-2019 _9.3.2-c-3 +SCF:GOV-01.1 iso-22301-2019 _9.3.2-d +SCF:GOV-01.1 iso-22301-2019 _9.3.2-e +SCF:GOV-01.1 iso-22301-2019 _9.3.2-f +SCF:GOV-01.1 iso-22301-2019 _9.3.2-g +SCF:GOV-01.1 iso-22301-2019 _9.3.2-h +SCF:GOV-01.1 iso-22301-2019 _9.3.2-i +SCF:GOV-01.1 iso-22301-2019 _9.3.2-j +SCF:GOV-01.1 iso-22301-2019 _9.3.2-k +SCF:GOV-01.1 iso-22301-2019 _9.3.3.1 +SCF:GOV-01.1 iso-22301-2019 _9.3.3.1-a +SCF:GOV-01.1 iso-22301-2019 _9.3.3.1-b +SCF:GOV-01.1 iso-22301-2019 _9.3.3.1-c +SCF:GOV-01.1 iso-22301-2019 _9.3.3.1-d +SCF:GOV-01.1 iso-22301-2019 _9.3.3.2 +SCF:GOV-01.1 iso-22301-2019 _9.3.3.2-a +SCF:GOV-01.1 iso-22301-2019 _9.3.3.2-b +SCF:GOV-01.1 iso-27001-2022 _4.4 +SCF:GOV-01.1 iso-27001-2022 _5.1 +SCF:GOV-01.1 iso-27001-2022 _5.3 +SCF:GOV-01.1 iso-27001-2022 _5.3-a +SCF:GOV-01.1 iso-27001-2022 _5.3-b +SCF:GOV-01.1 iso-27001-2022 _9.3.1 +SCF:GOV-01.1 iso-27001-2022 _9.3.2-a +SCF:GOV-01.1 iso-27001-2022 _9.3.2-b +SCF:GOV-01.1 iso-27001-2022 _9.3.2-c +SCF:GOV-01.1 iso-27001-2022 _9.3.2-d +SCF:GOV-01.1 iso-27001-2022 _9.3.2-d-1 +SCF:GOV-01.1 iso-27001-2022 _9.3.2-d-2 +SCF:GOV-01.1 iso-27001-2022 _9.3.2-d-3 +SCF:GOV-01.1 iso-27001-2022 _9.3.2-d-4 +SCF:GOV-01.1 iso-27001-2022 _9.3.2-e +SCF:GOV-01.1 iso-27001-2022 _9.3.2-f +SCF:GOV-01.1 iso-27001-2022 _9.3.2-g +SCF:GOV-01.1 iso-27001-2022 _9.3.3 +SCF:GOV-01.1 iso-27001-2022 _10.1 +SCF:GOV-01.1 iso-27017-2015 _5.1 +SCF:GOV-01.1 iso-27017-2015 _7.2.1 +SCF:GOV-01.1 iso-27018-2025 _5.4 +SCF:GOV-01.1 iso-27701-2025 _5.1 +SCF:GOV-01.1 iso-27701-2025 _9.3.1 +SCF:GOV-01.1 iso-27701-2025 _9.3.2 +SCF:GOV-01.1 iso-27701-2025 _9.3.2-a +SCF:GOV-01.1 iso-27701-2025 _9.3.2-b +SCF:GOV-01.1 iso-27701-2025 _9.3.2-c +SCF:GOV-01.1 iso-27701-2025 _9.3.2-d +SCF:GOV-01.1 iso-27701-2025 _9.3.2-e +SCF:GOV-01.1 iso-27701-2025 _9.3.3 +SCF:GOV-01.1 iso-31000-2018 _5.2 +SCF:GOV-01.1 iso-31000-2018 _5.4.2 +SCF:GOV-01.1 iso-31000-2018 _5.4.3 +SCF:GOV-01.1 iso-42001-2023 _9.2.2-c +SCF:GOV-01.1 iso-42001-2023 _9.3.1 +SCF:GOV-01.1 iso-42001-2023 _9.3.2 +SCF:GOV-01.1 iso-42001-2023 _9.3.2-a +SCF:GOV-01.1 iso-42001-2023 _9.3.2-b +SCF:GOV-01.1 iso-42001-2023 _9.3.2-c +SCF:GOV-01.1 iso-42001-2023 _9.3.2-d +SCF:GOV-01.1 iso-42001-2023 _9.3.2-d-1 +SCF:GOV-01.1 iso-42001-2023 _9.3.2-d-2 +SCF:GOV-01.1 iso-42001-2023 _9.3.2-d-3 +SCF:GOV-01.1 iso-42001-2023 _9.3.2-e +SCF:GOV-01.1 nist-ai-100-1-ai-rmf-1.0 govern-2.3 +SCF:GOV-01.1 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:GOV-01.1 nist-ai-100-1-ai-rmf-1.0 map-5.2 +SCF:GOV-01.1 nist-ai-600-1 gv-1.3-004 +SCF:GOV-01.1 nist-800-171-r3 _03.12.03 +SCF:GOV-01.1 nist-csf-2.0 gv.rm-01 +SCF:GOV-01.1 nist-csf-2.0 gv.rm-03 +SCF:GOV-01.1 nist-csf-2.0 gv.rr-01 +SCF:GOV-01.1 nist-csf-2.0 gv.ov +SCF:GOV-01.1 nist-csf-2.0 gv.ov-01 +SCF:GOV-01.1 nist-csf-2.0 gv.ov-02 +SCF:GOV-01.1 nist-csf-2.0 gv.ov-03 +SCF:GOV-01.1 nist-csf-2.0 gv.sc +SCF:GOV-01.1 nist-csf-2.0 gv.sc-01 +SCF:GOV-01.1 nist-csf-2.0 gv.sc-03 +SCF:GOV-01.1 nist-csf-2.0 gv.sc-09 +SCF:GOV-01.1 nist-csf-2.0 id +SCF:GOV-01.1 nist-csf-2.0 id.ra +SCF:GOV-01.1 nist-csf-2.0 pr +SCF:GOV-01.1 nist-csf-2.0 pr.ir +SCF:GOV-01.2 nist-csf-function-grouping govern +SCF:GOV-01.2 cobit-2019 bai01.06 +SCF:GOV-01.2 coso-2013 _2 +SCF:GOV-01.2 iso-27001-2022 _7.4 +SCF:GOV-01.2 iso-27001-2022 _7.4-a +SCF:GOV-01.2 iso-27001-2022 _7.4-b +SCF:GOV-01.2 iso-27001-2022 _7.4-c +SCF:GOV-01.2 iso-27001-2022 _7.4-d +SCF:GOV-01.2 iso-27001-2022 _9.1 +SCF:GOV-01.2 iso-27001-2022 _9.1-a +SCF:GOV-01.2 iso-27001-2022 _9.1-b +SCF:GOV-01.2 iso-27001-2022 _9.1-c +SCF:GOV-01.2 iso-27001-2022 _9.1-d +SCF:GOV-01.2 iso-27001-2022 _9.1-e +SCF:GOV-01.2 iso-27001-2022 _9.1-f +SCF:GOV-01.2 iso-27001-2022 _9.3.1 +SCF:GOV-01.2 iso-27001-2022 _9.3.2-a +SCF:GOV-01.2 iso-27001-2022 _9.3.2-b +SCF:GOV-01.2 iso-27001-2022 _9.3.2-c +SCF:GOV-01.2 iso-27001-2022 _9.3.2-d +SCF:GOV-01.2 iso-27001-2022 _9.3.2-d-1 +SCF:GOV-01.2 iso-27001-2022 _9.3.2-d-2 +SCF:GOV-01.2 iso-27001-2022 _9.3.2-d-3 +SCF:GOV-01.2 iso-27001-2022 _9.3.2-d-4 +SCF:GOV-01.2 iso-27001-2022 _9.3.2-e +SCF:GOV-01.2 iso-27001-2022 _9.3.2-f +SCF:GOV-01.2 iso-27001-2022 _9.3.2-g +SCF:GOV-01.2 iso-27001-2022 _9.3.3 +SCF:GOV-01.2 iso-27701-2025 _5.1 +SCF:GOV-01.2 iso-27701-2025 _5.3-b +SCF:GOV-01.2 iso-27701-2025 _9.3.1 +SCF:GOV-01.2 iso-31000-2018 _5.2 +SCF:GOV-01.2 iso-31000-2018 _6.6 +SCF:GOV-01.2 iso-42001-2023 _5.1 +SCF:GOV-01.2 iso-42001-2023 _9.3.3 +SCF:GOV-01.2 nist-ai-100-1-ai-rmf-1.0 govern-2.3 +SCF:GOV-01.2 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:GOV-01.2 nist-privacy-framework-1.0 pr.po-p6 +SCF:GOV-01.2 nist-800-171-r3 _03.12.03 +SCF:GOV-01.2 nist-csf-2.0 gv.ov +SCF:GOV-01.2 nist-csf-2.0 gv.ov-01 +SCF:GOV-01.2 nist-csf-2.0 gv.ov-03 +SCF:GOV-01.2 nist-csf-2.0 gv.sc +SCF:GOV-01.2 nist-csf-2.0 gv.sc-09 +SCF:GOV-01.2 nist-csf-2.0 id +SCF:GOV-01.3 nist-csf-function-grouping govern +SCF:GOV-01.3 cobit-2019 apo14.01 +SCF:GOV-01.3 coso-2013 _2 +SCF:GOV-01.3 iso-sae-21434-2021 rq-05-08 +SCF:GOV-01.3 iso-27017-2015 _5.1 +SCF:GOV-01.3 iso-27017-2015 _7.2.1 +SCF:GOV-01.3 iso-27018-2025 _5.4 +SCF:GOV-01.3 iso-27701-2025 _5.1 +SCF:GOV-01.3 iso-27701-2025 _9.3.3 +SCF:GOV-01.3 iso-27701-2025 _10.1 +SCF:GOV-01.3 iso-31000-2018 _5.2 +SCF:GOV-01.3 nist-privacy-framework-1.0 pr.po-p5 +SCF:GOV-02 nist-csf-function-grouping govern +SCF:GOV-02 cobit-2019 apo01.09 +SCF:GOV-02 coso-2013 _12 +SCF:GOV-02 csa-ccm-4.1.0 a-a-01 +SCF:GOV-02 csa-ccm-4.1.0 ais-01 +SCF:GOV-02 csa-ccm-4.1.0 bcr-01 +SCF:GOV-02 csa-ccm-4.1.0 ccc-01 +SCF:GOV-02 csa-ccm-4.1.0 cek-01 +SCF:GOV-02 csa-ccm-4.1.0 dcs-01 +SCF:GOV-02 csa-ccm-4.1.0 dsp-01 +SCF:GOV-02 csa-ccm-4.1.0 grc-01 +SCF:GOV-02 csa-ccm-4.1.0 iam-01 +SCF:GOV-02 csa-ccm-4.1.0 iam-02 +SCF:GOV-02 csa-ccm-4.1.0 ipy-01 +SCF:GOV-02 csa-ccm-4.1.0 i-s-01 +SCF:GOV-02 csa-ccm-4.1.0 log-01 +SCF:GOV-02 csa-ccm-4.1.0 sef-01 +SCF:GOV-02 csa-ccm-4.1.0 sef-02 +SCF:GOV-02 csa-ccm-4.1.0 sta-01 +SCF:GOV-02 csa-ccm-4.1.0 tvm-01 +SCF:GOV-02 csa-ccm-4.1.0 tvm-02 +SCF:GOV-02 csa-ccm-4.1.0 tvm-04 +SCF:GOV-02 csa-ccm-4.1.0 uem-01 +SCF:GOV-02 csa-iot-scf-2 gvn-01 +SCF:GOV-02 csa-iot-scf-2 gvn-02 +SCF:GOV-02 csa-iot-scf-2 pol-03 +SCF:GOV-02 iso-sae-21434-2021 rq-05-01 +SCF:GOV-02 iso-sae-21434-2021 rq-05-01-a +SCF:GOV-02 iso-sae-21434-2021 rq-05-01-b +SCF:GOV-02 iso-sae-21434-2021 rq-05-02 +SCF:GOV-02 iso-sae-21434-2021 rq-05-02-a +SCF:GOV-02 iso-sae-21434-2021 rq-05-02-b +SCF:GOV-02 iso-sae-21434-2021 rq-05-03 +SCF:GOV-02 iso-sae-21434-2021 rq-05-04 +SCF:GOV-02 iso-sae-21434-2021 rq-05-05 +SCF:GOV-02 iso-sae-21434-2021 rq-05-05-a +SCF:GOV-02 iso-sae-21434-2021 rq-05-05-b +SCF:GOV-02 iso-22301-2019 _5.2.1 +SCF:GOV-02 iso-22301-2019 _5.2.1-a +SCF:GOV-02 iso-22301-2019 _5.2.1-b +SCF:GOV-02 iso-22301-2019 _5.2.1-c +SCF:GOV-02 iso-22301-2019 _5.2.1-d +SCF:GOV-02 iso-22301-2019 _5.2.2 +SCF:GOV-02 iso-22301-2019 _5.2.2-a +SCF:GOV-02 iso-22301-2019 _5.2.2-b +SCF:GOV-02 iso-22301-2019 _5.2.2-c +SCF:GOV-02 iso-27001-2022 _5.1-a +SCF:GOV-02 iso-27001-2022 _5.2 +SCF:GOV-02 iso-27001-2022 _5.2-a +SCF:GOV-02 iso-27001-2022 _5.2-b +SCF:GOV-02 iso-27001-2022 _5.2-c +SCF:GOV-02 iso-27001-2022 _5.2-d +SCF:GOV-02 iso-27001-2022 _5.2-e +SCF:GOV-02 iso-27001-2022 _5.2-f +SCF:GOV-02 iso-27001-2022 _5.2-g +SCF:GOV-02 iso-27001-2022 _7.5.1 +SCF:GOV-02 iso-27001-2022 _7.5.1-a +SCF:GOV-02 iso-27001-2022 _7.5.1-b +SCF:GOV-02 iso-27001-2022 _7.5.2 +SCF:GOV-02 iso-27001-2022 _7.5.2-a +SCF:GOV-02 iso-27001-2022 _7.5.2-b +SCF:GOV-02 iso-27001-2022 _7.5.2-c +SCF:GOV-02 iso-27001-2022 _7.5.3 +SCF:GOV-02 iso-27001-2022 _7.5.3-a +SCF:GOV-02 iso-27001-2022 _7.5.3-b +SCF:GOV-02 iso-27001-2022 _7.5.3-c +SCF:GOV-02 iso-27001-2022 _7.5.3-d +SCF:GOV-02 iso-27001-2022 _7.5.3-e +SCF:GOV-02 iso-27001-2022 _7.5.3-f +SCF:GOV-02 iso-27002-2022 _5.1 +SCF:GOV-02 iso-27002-2022 _5.37 +SCF:GOV-02 iso-27017-2015 _5.1.1 +SCF:GOV-02 iso-27017-2015 _12.1.1 +SCF:GOV-02 iso-27018-2025 _5.1 +SCF:GOV-02 iso-27018-2025 _5.37 +SCF:GOV-02 iso-27701-2025 _5.1 +SCF:GOV-02 iso-27701-2025 _5.2 +SCF:GOV-02 iso-27701-2025 _5.2-a +SCF:GOV-02 iso-27701-2025 _5.2-b +SCF:GOV-02 iso-27701-2025 _5.2-c +SCF:GOV-02 iso-27701-2025 _5.2-d +SCF:GOV-02 iso-27701-2025 _6.1.3-c +SCF:GOV-02 iso-27701-2025 _7.5.1-b +SCF:GOV-02 iso-27701-2025 _7.5.2 +SCF:GOV-02 iso-27701-2025 _7.5.3 +SCF:GOV-02 iso-31000-2018 _5.4.5 +SCF:GOV-02 iso-31000-2018 _6.2 +SCF:GOV-02 iso-31010-2009 _4.3.2 +SCF:GOV-02 iso-42001-2023 _5.1 +SCF:GOV-02 iso-42001-2023 _5.2 +SCF:GOV-02 iso-42001-2023 _5.2-a +SCF:GOV-02 iso-42001-2023 _5.2-b +SCF:GOV-02 iso-42001-2023 _5.2-c +SCF:GOV-02 iso-42001-2023 _5.2-d +SCF:GOV-02 iso-42001-2023 _7.5.1 +SCF:GOV-02 iso-42001-2023 _7.5.1-a +SCF:GOV-02 iso-42001-2023 _7.5.1-b +SCF:GOV-02 iso-42001-2023 _7.5.2 +SCF:GOV-02 iso-42001-2023 _7.5.3 +SCF:GOV-02 iso-42001-2023 _7.5.3-a +SCF:GOV-02 iso-42001-2023 _7.5.3-b +SCF:GOV-02 iso-42001-2023 a.2 +SCF:GOV-02 iso-42001-2023 a.2.2 +SCF:GOV-02 iso-42001-2023 a.2.3 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-1.0 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-3.2 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-5.1 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-6.0 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 govern-6.1 +SCF:GOV-02 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:GOV-02 nist-ai-600-1 gv-1.5-002 +SCF:GOV-02 nist-privacy-framework-1.0 id.de-p1 +SCF:GOV-02 nist-privacy-framework-1.0 gv.po-p +SCF:GOV-02 nist-privacy-framework-1.0 gv.po-p1 +SCF:GOV-02 nist-privacy-framework-1.0 gv.po-p6 +SCF:GOV-02 nist-privacy-framework-1.0 gv.mt-p +SCF:GOV-02 nist-privacy-framework-1.0 gv.mt-p4 +SCF:GOV-02 nist-privacy-framework-1.0 gv.mt-p5 +SCF:GOV-02 nist-privacy-framework-1.0 gv.mt-p6 +SCF:GOV-02 nist-privacy-framework-1.0 gv.mt-p7 +SCF:GOV-02 nist-privacy-framework-1.0 ct.po-p +SCF:GOV-02 nist-privacy-framework-1.0 ct.po-p1 +SCF:GOV-02 nist-privacy-framework-1.0 ct.po-p2 +SCF:GOV-02 nist-privacy-framework-1.0 ct.po-p3 +SCF:GOV-02 nist-privacy-framework-1.0 cm.po-p1 +SCF:GOV-02 nist-privacy-framework-1.0 pr.po-p +SCF:GOV-02 nist-privacy-framework-1.0 pr.po-p4 +SCF:GOV-02 nist-800-37-r2 task-p-5 +SCF:GOV-02 nist-800-53-r4 pm-1 +SCF:GOV-02 nist-800-53-r5 ac-01 +SCF:GOV-02 nist-800-53-r5 at-01 +SCF:GOV-02 nist-800-53-r5 au-01 +SCF:GOV-02 nist-800-53-r5 ca-01 +SCF:GOV-02 nist-800-53-r5 cm-01 +SCF:GOV-02 nist-800-53-r5 cp-01 +SCF:GOV-02 nist-800-53-r5 ia-01 +SCF:GOV-02 nist-800-53-r5 ir-01 +SCF:GOV-02 nist-800-53-r5 ma-01 +SCF:GOV-02 nist-800-53-r5 mp-01 +SCF:GOV-02 nist-800-53-r5 pe-01 +SCF:GOV-02 nist-800-53-r5 pl-01 +SCF:GOV-02 nist-800-53-r5 pm-01 +SCF:GOV-02 nist-800-53-r5 ps-01 +SCF:GOV-02 nist-800-53-r5 pt-01 +SCF:GOV-02 nist-800-53-r5 ra-01 +SCF:GOV-02 nist-800-53-r5 sa-01 +SCF:GOV-02 nist-800-53-r5 sc-01 +SCF:GOV-02 nist-800-53-r5 si-01 +SCF:GOV-02 nist-800-53-r5 sr-01 +SCF:GOV-02 nist-800-53b-r5-privacy ac-01 +SCF:GOV-02 nist-800-53b-r5-privacy at-01 +SCF:GOV-02 nist-800-53b-r5-privacy au-01 +SCF:GOV-02 nist-800-53b-r5-privacy ca-01 +SCF:GOV-02 nist-800-53b-r5-privacy cm-01 +SCF:GOV-02 nist-800-53b-r5-privacy cp-01 +SCF:GOV-02 nist-800-53b-r5-privacy ia-01 +SCF:GOV-02 nist-800-53b-r5-privacy ir-01 +SCF:GOV-02 nist-800-53b-r5-privacy ma-01 +SCF:GOV-02 nist-800-53b-r5-privacy mp-01 +SCF:GOV-02 nist-800-53b-r5-privacy pe-01 +SCF:GOV-02 nist-800-53b-r5-privacy pl-01 +SCF:GOV-02 nist-800-53b-r5-privacy pm-01 +SCF:GOV-02 nist-800-53b-r5-privacy ps-01 +SCF:GOV-02 nist-800-53b-r5-privacy pt-01 +SCF:GOV-02 nist-800-53b-r5-privacy ra-01 +SCF:GOV-02 nist-800-53b-r5-privacy sa-01 +SCF:GOV-02 nist-800-53b-r5-privacy sc-01 +SCF:GOV-02 nist-800-53b-r5-privacy si-01 +SCF:GOV-02 nist-800-53b-r5-privacy sr-01 +SCF:GOV-02 nist-800-53b-r5-low ac-01 +SCF:GOV-02 nist-800-53b-r5-low at-01 +SCF:GOV-02 nist-800-53b-r5-low au-01 +SCF:GOV-02 nist-800-53b-r5-low ca-01 +SCF:GOV-02 nist-800-53b-r5-low cm-01 +SCF:GOV-02 nist-800-53b-r5-low cp-01 +SCF:GOV-02 nist-800-53b-r5-low ia-01 +SCF:GOV-02 nist-800-53b-r5-low ir-01 +SCF:GOV-02 nist-800-53b-r5-low ma-01 +SCF:GOV-02 nist-800-53b-r5-low mp-01 +SCF:GOV-02 nist-800-53b-r5-low pe-01 +SCF:GOV-02 nist-800-53b-r5-low pl-01 +SCF:GOV-02 nist-800-53b-r5-low ps-01 +SCF:GOV-02 nist-800-53b-r5-low ra-01 +SCF:GOV-02 nist-800-53b-r5-low sa-01 +SCF:GOV-02 nist-800-53b-r5-low sc-01 +SCF:GOV-02 nist-800-53b-r5-low si-01 +SCF:GOV-02 nist-800-53b-r5-low sr-01 +SCF:GOV-02 nist-sp-800-66-r2 _164.308-a-1 +SCF:GOV-02 nist-sp-800-66-r2 _164.308-a-3 +SCF:GOV-02 nist-sp-800-66-r2 _164.308-a-4 +SCF:GOV-02 nist-sp-800-66-r2 _164.308-a-6 +SCF:GOV-02 nist-sp-800-66-r2 _164.308-a-7 +SCF:GOV-02 nist-sp-800-66-r2 _164.310-a +SCF:GOV-02 nist-sp-800-66-r2 _164.310-b +SCF:GOV-02 nist-sp-800-66-r2 _164.310-d +SCF:GOV-02 nist-sp-800-66-r2 _164.312-a +SCF:GOV-02 nist-sp-800-66-r2 _164.312-c +SCF:GOV-02 nist-sp-800-66-r2 _164.316-a +SCF:GOV-02 nist-sp-800-66-r2 _164.316-b +SCF:GOV-02 nist-800-82-r3 ac-01 +SCF:GOV-02 nist-800-82-r3 at-01 +SCF:GOV-02 nist-800-82-r3 au-01 +SCF:GOV-02 nist-800-82-r3 ca-01 +SCF:GOV-02 nist-800-82-r3 cm-01 +SCF:GOV-02 nist-800-82-r3 cp-01 +SCF:GOV-02 nist-800-82-r3 ia-01 +SCF:GOV-02 nist-800-82-r3 ir-01 +SCF:GOV-02 nist-800-82-r3 ma-01 +SCF:GOV-02 nist-800-82-r3 mp-01 +SCF:GOV-02 nist-800-82-r3 pe-01 +SCF:GOV-02 nist-800-82-r3 pl-01 +SCF:GOV-02 nist-800-82-r3 pm-01 +SCF:GOV-02 nist-800-82-r3 ps-01 +SCF:GOV-02 nist-800-82-r3 pt-01 +SCF:GOV-02 nist-800-82-r3 ra-01 +SCF:GOV-02 nist-800-82-r3 sa-01 +SCF:GOV-02 nist-800-82-r3 sc-01 +SCF:GOV-02 nist-800-82-r3 si-01 +SCF:GOV-02 nist-800-82-r3 sr-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ac-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay at-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay au-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ca-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay cm-01 +SCF:GOV-02 nist-800-161-r1-level-2 cp-1 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay cp-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ia-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ir-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ma-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay mp-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay pe-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay pl-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay pm-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ps-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay ra-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay sa-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay sc-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay si-01 +SCF:GOV-02 nist-800-82-r3-low-ot-overlay sr-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ac-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay at-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay au-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ca-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay cm-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay cp-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ia-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ir-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ma-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay mp-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay pe-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay pl-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay pm-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ps-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay ra-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay sa-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay sc-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay si-01 +SCF:GOV-02 nist-800-82-r3-moderate-ot-overlay sr-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ac-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay at-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay au-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ca-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay cm-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay cp-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ia-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ir-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ma-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay mp-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay pe-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay pl-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay pm-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ps-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay ra-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay sa-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay sc-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay si-01 +SCF:GOV-02 nist-800-82-r3-high-ot-overlay sr-01 +SCF:GOV-02 nist-800-161-r1 ac-1 +SCF:GOV-02 nist-800-161-r1 at-1 +SCF:GOV-02 nist-800-161-r1 au-1 +SCF:GOV-02 nist-800-161-r1 ca-1 +SCF:GOV-02 nist-800-161-r1 cm-1 +SCF:GOV-02 nist-800-161-r1 cp-1 +SCF:GOV-02 nist-800-161-r1 ia-1 +SCF:GOV-02 nist-800-161-r1 ir-1 +SCF:GOV-02 nist-800-161-r1 ma-1 +SCF:GOV-02 nist-800-161-r1 mp-1 +SCF:GOV-02 nist-800-161-r1 pe-1 +SCF:GOV-02 nist-800-161-r1 pl-1 +SCF:GOV-02 nist-800-161-r1 ps-1 +SCF:GOV-02 nist-800-161-r1 ra-1 +SCF:GOV-02 nist-800-161-r1 sc-1 +SCF:GOV-02 nist-800-161-r1 si-1 +SCF:GOV-02 nist-800-161-r1 sr-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ac-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline at-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline au-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ca-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline cm-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline cp-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ia-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ir-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ma-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline mp-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline pe-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline pl-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ps-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline ra-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline sc-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline si-1 +SCF:GOV-02 nist-800-161-r1-c-scrm-baseline sr-1 +SCF:GOV-02 nist-800-161-r1-flow-down ac-1 +SCF:GOV-02 nist-800-161-r1-flow-down ir-1 +SCF:GOV-02 nist-800-161-r1-flow-down ma-1 +SCF:GOV-02 nist-800-161-r1-flow-down ps-1 +SCF:GOV-02 nist-800-161-r1-level-1 ac-1 +SCF:GOV-02 nist-800-161-r1-level-1 at-1 +SCF:GOV-02 nist-800-161-r1-level-1 au-1 +SCF:GOV-02 nist-800-161-r1-level-1 ca-1 +SCF:GOV-02 nist-800-161-r1-level-1 cm-1 +SCF:GOV-02 nist-800-161-r1-level-1 cp-1 +SCF:GOV-02 nist-800-161-r1-level-1 ia-1 +SCF:GOV-02 nist-800-161-r1-level-1 ir-1 +SCF:GOV-02 nist-800-161-r1-level-1 ma-1 +SCF:GOV-02 nist-800-161-r1-level-1 mp-1 +SCF:GOV-02 nist-800-161-r1-level-1 pe-1 +SCF:GOV-02 nist-800-161-r1-level-1 ps-1 +SCF:GOV-02 nist-800-161-r1-level-1 ra-1 +SCF:GOV-02 nist-800-161-r1-level-1 sc-1 +SCF:GOV-02 nist-800-161-r1-level-1 si-1 +SCF:GOV-02 nist-800-161-r1-level-1 sr-1 +SCF:GOV-02 nist-800-161-r1-level-2 ac-1 +SCF:GOV-02 nist-800-161-r1-level-2 at-1 +SCF:GOV-02 nist-800-161-r1-level-2 au-1 +SCF:GOV-02 nist-800-161-r1-level-2 ca-1 +SCF:GOV-02 nist-800-161-r1-level-2 cm-1 +SCF:GOV-02 nist-800-161-r1-level-2 ia-1 +SCF:GOV-02 nist-800-161-r1-level-2 ir-1 +SCF:GOV-02 nist-800-161-r1-level-2 ma-1 +SCF:GOV-02 nist-800-161-r1-level-2 mp-1 +SCF:GOV-02 nist-800-161-r1-level-2 pe-1 +SCF:GOV-02 nist-800-161-r1-level-2 pl-1 +SCF:GOV-02 nist-800-161-r1-level-2 ps-1 +SCF:GOV-02 nist-800-161-r1-level-2 ra-1 +SCF:GOV-02 nist-800-161-r1-level-2 sc-1 +SCF:GOV-02 nist-800-161-r1-level-2 si-1 +SCF:GOV-02 nist-800-161-r1-level-2 sr-1 +SCF:GOV-02 nist-800-161-r1-level-3 ac-1 +SCF:GOV-02 nist-800-161-r1-level-3 au-1 +SCF:GOV-02 nist-800-161-r1-level-3 ca-1 +SCF:GOV-02 nist-800-161-r1-level-3 cm-1 +SCF:GOV-02 nist-800-161-r1-level-3 cp-1 +SCF:GOV-02 nist-800-161-r1-level-3 ia-1 +SCF:GOV-02 nist-800-161-r1-level-3 ir-1 +SCF:GOV-02 nist-800-161-r1-level-3 ma-1 +SCF:GOV-02 nist-800-161-r1-level-3 pe-1 +SCF:GOV-02 nist-800-161-r1-level-3 ps-1 +SCF:GOV-02 nist-800-161-r1-level-3 ra-1 +SCF:GOV-02 nist-800-161-r1-level-3 sc-1 +SCF:GOV-02 nist-800-161-r1-level-3 si-1 +SCF:GOV-02 nist-800-161-r1-level-3 sr-1 +SCF:GOV-02 nist-800-171-r3 _03.15.01.a +SCF:GOV-02 nist-800-171a _3.4.9-a +SCF:GOV-02 nist-800-171a _3.9.2-a +SCF:GOV-02 nist-800-171a-r3 a.03.15.01.a-01 +SCF:GOV-02 nist-800-171a-r3 a.03.15.01.a-02 +SCF:GOV-02 nist-800-171a-r3 a.03.15.01.a-03 +SCF:GOV-02 nist-800-171a-r3 a.03.15.01.a-04 +SCF:GOV-02 nist-csf-2.0 gv.po +SCF:GOV-02 nist-csf-2.0 gv.po-01 +SCF:GOV-02 nist-csf-2.0 gv.sc-01 +SCF:GOV-02 nist-csf-2.0 gv.sc-03 +SCF:GOV-02 nist-csf-2.0 id.ra +SCF:GOV-02 pci-dss-4.0.1 _1.1.1 +SCF:GOV-02 pci-dss-4.0.1 _2.1.1 +SCF:GOV-02 pci-dss-4.0.1 _3.1.1 +SCF:GOV-02 pci-dss-4.0.1 _3.7.1 +SCF:GOV-02 pci-dss-4.0.1 _3.7.2 +SCF:GOV-02 pci-dss-4.0.1 _3.7.3 +SCF:GOV-02 pci-dss-4.0.1 _3.7.5 +SCF:GOV-02 pci-dss-4.0.1 _3.7.6 +SCF:GOV-02 pci-dss-4.0.1 _3.7.7 +SCF:GOV-02 pci-dss-4.0.1 _3.7.8 +SCF:GOV-02 pci-dss-4.0.1 _4.1.1 +SCF:GOV-02 pci-dss-4.0.1 _5.1.1 +SCF:GOV-02 pci-dss-4.0.1 _6.1.1 +SCF:GOV-02 pci-dss-4.0.1 _7.1.1 +SCF:GOV-02 pci-dss-4.0.1 _8.1.1 +SCF:GOV-02 pci-dss-4.0.1 _8.3.8 +SCF:GOV-02 pci-dss-4.0.1 _9.1.1 +SCF:GOV-02 pci-dss-4.0.1 _10.1.1 +SCF:GOV-02 pci-dss-4.0.1 _11.1.1 +SCF:GOV-02 pci-dss-4.0.1 _12.1 +SCF:GOV-02 pci-dss-4.0.1 _12.1.1 +SCF:GOV-02 pci-dss-4.0.1 _12.1.2 +SCF:GOV-02 pci-dss-4.0.1 _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-a _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _1.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _2.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _4.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _5.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _6.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-b _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-b _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-c _2.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _5.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _8.3.8 +SCF:GOV-02 pci-dss-4.0.1-saq-c _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _10.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-c _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _2.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-c-vt _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _1.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _2.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.2 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.3 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.5 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.6 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.7 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _3.7.8 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _4.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _5.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _6.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _7.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _10.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _11.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _1.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _2.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.2 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.3 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.5 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.6 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.7 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _3.7.8 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _4.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _5.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _6.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _7.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _8.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _10.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _11.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:GOV-02 pci-dss-4.0.1-saq-p2pe _3.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-p2pe _9.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-p2pe _12.1.1 +SCF:GOV-02 pci-dss-4.0.1-saq-p2pe _12.1.2 +SCF:GOV-02 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:GOV-02.1 nist-csf-function-grouping govern +SCF:GOV-02.1 cobit-2019 dss06.04 +SCF:GOV-02.1 csa-ccm-4.1.0 ccc-08 +SCF:GOV-02.1 csa-ccm-4.1.0 grc-04 +SCF:GOV-02.1 nist-csf-2.0 id.ra-07 +SCF:GOV-03 nist-csf-function-grouping govern +SCF:GOV-03 cobit-2019 edm01.01 +SCF:GOV-03 cobit-2019 edm01.03 +SCF:GOV-03 cobit-2019 edm05.01 +SCF:GOV-03 cobit-2019 apo02.02 +SCF:GOV-03 cobit-2019 apo14.01 +SCF:GOV-03 cobit-2019 mea03.02 +SCF:GOV-03 coso-2013 _12 +SCF:GOV-03 csa-ccm-4.1.0 a-a-01 +SCF:GOV-03 csa-ccm-4.1.0 ais-01 +SCF:GOV-03 csa-ccm-4.1.0 bcr-01 +SCF:GOV-03 csa-ccm-4.1.0 ccc-01 +SCF:GOV-03 csa-ccm-4.1.0 cek-01 +SCF:GOV-03 csa-ccm-4.1.0 dcs-01 +SCF:GOV-03 csa-ccm-4.1.0 grc-03 +SCF:GOV-03 csa-ccm-4.1.0 iam-01 +SCF:GOV-03 csa-ccm-4.1.0 iam-02 +SCF:GOV-03 csa-ccm-4.1.0 ipy-01 +SCF:GOV-03 csa-ccm-4.1.0 i-s-01 +SCF:GOV-03 csa-ccm-4.1.0 log-01 +SCF:GOV-03 csa-ccm-4.1.0 sef-01 +SCF:GOV-03 csa-ccm-4.1.0 sef-02 +SCF:GOV-03 csa-ccm-4.1.0 sta-01 +SCF:GOV-03 csa-ccm-4.1.0 tvm-01 +SCF:GOV-03 csa-ccm-4.1.0 tvm-02 +SCF:GOV-03 csa-ccm-4.1.0 tvm-04 +SCF:GOV-03 csa-ccm-4.1.0 uem-01 +SCF:GOV-03 iso-27001-2022 _7.5.2 +SCF:GOV-03 iso-27001-2022 _7.5.2-a +SCF:GOV-03 iso-27001-2022 _7.5.2-b +SCF:GOV-03 iso-27001-2022 _7.5.2-c +SCF:GOV-03 iso-27002-2022 _5.1 +SCF:GOV-03 iso-27002-2022 _5.37 +SCF:GOV-03 iso-27017-2015 _5.1.1 +SCF:GOV-03 iso-27017-2015 _5.1.2 +SCF:GOV-03 iso-27017-2015 _12.1.1 +SCF:GOV-03 iso-27018-2025 _5.1 +SCF:GOV-03 iso-27018-2025 _5.37 +SCF:GOV-03 iso-42001-2023 _7.5.2 +SCF:GOV-03 iso-42001-2023 a.2.4 +SCF:GOV-03 nist-privacy-framework-1.0 gv.mt-p2 +SCF:GOV-03 nist-800-53-r4 pm-1 +SCF:GOV-03 nist-800-53-r5 ac-01 +SCF:GOV-03 nist-800-53-r5 at-01 +SCF:GOV-03 nist-800-53-r5 au-01 +SCF:GOV-03 nist-800-53-r5 ca-01 +SCF:GOV-03 nist-800-53-r5 cm-01 +SCF:GOV-03 nist-800-53-r5 cp-01 +SCF:GOV-03 nist-800-53-r5 ia-01 +SCF:GOV-03 nist-800-53-r5 ir-01 +SCF:GOV-03 nist-800-53-r5 ma-01 +SCF:GOV-03 nist-800-53-r5 mp-01 +SCF:GOV-03 nist-800-53-r5 pe-01 +SCF:GOV-03 nist-800-53-r5 pl-01 +SCF:GOV-03 nist-800-53-r5 pm-01 +SCF:GOV-03 nist-800-53-r5 ps-01 +SCF:GOV-03 nist-800-53-r5 pt-01 +SCF:GOV-03 nist-800-53-r5 ra-01 +SCF:GOV-03 nist-800-53-r5 sa-01 +SCF:GOV-03 nist-800-53-r5 sc-01 +SCF:GOV-03 nist-800-53-r5 si-01 +SCF:GOV-03 nist-800-53-r5 sr-01 +SCF:GOV-03 nist-800-53b-r5-privacy ac-01 +SCF:GOV-03 nist-800-53b-r5-privacy at-01 +SCF:GOV-03 nist-800-53b-r5-privacy au-01 +SCF:GOV-03 nist-800-53b-r5-privacy ca-01 +SCF:GOV-03 nist-800-53b-r5-privacy cm-01 +SCF:GOV-03 nist-800-53b-r5-privacy cp-01 +SCF:GOV-03 nist-800-53b-r5-privacy ia-01 +SCF:GOV-03 nist-800-53b-r5-privacy ir-01 +SCF:GOV-03 nist-800-53b-r5-privacy ma-01 +SCF:GOV-03 nist-800-53b-r5-privacy mp-01 +SCF:GOV-03 nist-800-53b-r5-privacy pe-01 +SCF:GOV-03 nist-800-53b-r5-privacy pl-01 +SCF:GOV-03 nist-800-53b-r5-privacy pm-01 +SCF:GOV-03 nist-800-53b-r5-privacy ps-01 +SCF:GOV-03 nist-800-53b-r5-privacy pt-01 +SCF:GOV-03 nist-800-53b-r5-privacy ra-01 +SCF:GOV-03 nist-800-53b-r5-privacy sa-01 +SCF:GOV-03 nist-800-53b-r5-privacy sc-01 +SCF:GOV-03 nist-800-53b-r5-privacy si-01 +SCF:GOV-03 nist-800-53b-r5-privacy sr-01 +SCF:GOV-03 nist-800-53b-r5-low ac-01 +SCF:GOV-03 nist-800-53b-r5-low at-01 +SCF:GOV-03 nist-800-53b-r5-low au-01 +SCF:GOV-03 nist-800-53b-r5-low ca-01 +SCF:GOV-03 nist-800-53b-r5-low cm-01 +SCF:GOV-03 nist-800-53b-r5-low cp-01 +SCF:GOV-03 nist-800-53b-r5-low ia-01 +SCF:GOV-03 nist-800-53b-r5-low ir-01 +SCF:GOV-03 nist-800-53b-r5-low ma-01 +SCF:GOV-03 nist-800-53b-r5-low mp-01 +SCF:GOV-03 nist-800-53b-r5-low pe-01 +SCF:GOV-03 nist-800-53b-r5-low pl-01 +SCF:GOV-03 nist-800-53b-r5-low ps-01 +SCF:GOV-03 nist-800-53b-r5-low ra-01 +SCF:GOV-03 nist-800-53b-r5-low sa-01 +SCF:GOV-03 nist-800-53b-r5-low sc-01 +SCF:GOV-03 nist-800-53b-r5-low si-01 +SCF:GOV-03 nist-800-53b-r5-low sr-01 +SCF:GOV-03 nist-sp-800-66-r2 _164.316-b +SCF:GOV-03 nist-800-82-r3 ac-01 +SCF:GOV-03 nist-800-82-r3 at-01 +SCF:GOV-03 nist-800-82-r3 au-01 +SCF:GOV-03 nist-800-82-r3 ca-01 +SCF:GOV-03 nist-800-82-r3 cm-01 +SCF:GOV-03 nist-800-82-r3 cp-01 +SCF:GOV-03 nist-800-82-r3 ia-01 +SCF:GOV-03 nist-800-82-r3 ir-01 +SCF:GOV-03 nist-800-82-r3 ma-01 +SCF:GOV-03 nist-800-82-r3 mp-01 +SCF:GOV-03 nist-800-82-r3 pe-01 +SCF:GOV-03 nist-800-82-r3 pl-01 +SCF:GOV-03 nist-800-82-r3 pm-01 +SCF:GOV-03 nist-800-82-r3 ps-01 +SCF:GOV-03 nist-800-82-r3 pt-01 +SCF:GOV-03 nist-800-82-r3 ra-01 +SCF:GOV-03 nist-800-82-r3 sa-01 +SCF:GOV-03 nist-800-82-r3 sc-01 +SCF:GOV-03 nist-800-82-r3 si-01 +SCF:GOV-03 nist-800-82-r3 sr-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ac-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay au-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ca-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay cm-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay cp-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ia-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ir-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ma-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay mp-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay pe-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay pl-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay pm-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ps-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay ra-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay sa-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay sc-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay si-01 +SCF:GOV-03 nist-800-82-r3-low-ot-overlay sr-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ac-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay au-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ca-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay cm-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay cp-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ia-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ir-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ma-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay mp-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay pe-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay pl-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay pm-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ps-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay ra-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay sa-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay sc-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay si-01 +SCF:GOV-03 nist-800-82-r3-moderate-ot-overlay sr-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ac-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay au-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ca-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay cm-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay cp-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ia-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ir-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ma-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay mp-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay pe-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay pl-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay pm-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ps-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay ra-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay sa-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay sc-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay si-01 +SCF:GOV-03 nist-800-82-r3-high-ot-overlay sr-01 +SCF:GOV-03 nist-800-161-r1 ac-1 +SCF:GOV-03 nist-800-161-r1 at-1 +SCF:GOV-03 nist-800-161-r1 au-1 +SCF:GOV-03 nist-800-161-r1 ca-1 +SCF:GOV-03 nist-800-161-r1 cm-1 +SCF:GOV-03 nist-800-161-r1 cp-1 +SCF:GOV-03 nist-800-161-r1 ia-1 +SCF:GOV-03 nist-800-161-r1 ir-1 +SCF:GOV-03 nist-800-161-r1 ma-1 +SCF:GOV-03 nist-800-161-r1 mp-1 +SCF:GOV-03 nist-800-161-r1 pe-1 +SCF:GOV-03 nist-800-161-r1 pl-1 +SCF:GOV-03 nist-800-161-r1 ps-1 +SCF:GOV-03 nist-800-161-r1 pt-1 +SCF:GOV-03 nist-800-161-r1 ra-1 +SCF:GOV-03 nist-800-161-r1 sa-1 +SCF:GOV-03 nist-800-161-r1 sc-1 +SCF:GOV-03 nist-800-161-r1 si-1 +SCF:GOV-03 nist-800-161-r1 sr-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ac-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline at-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline au-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ca-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline cm-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline cp-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ia-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ir-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ma-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline mp-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline pe-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline pl-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ps-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline ra-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline sa-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline sc-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline si-1 +SCF:GOV-03 nist-800-161-r1-c-scrm-baseline sr-1 +SCF:GOV-03 nist-800-161-r1-flow-down ac-1 +SCF:GOV-03 nist-800-161-r1-flow-down ir-1 +SCF:GOV-03 nist-800-161-r1-flow-down ma-1 +SCF:GOV-03 nist-800-161-r1-flow-down ps-1 +SCF:GOV-03 nist-800-161-r1-flow-down pt-1 +SCF:GOV-03 nist-800-161-r1-level-1 ac-1 +SCF:GOV-03 nist-800-161-r1-level-1 at-1 +SCF:GOV-03 nist-800-161-r1-level-1 au-1 +SCF:GOV-03 nist-800-161-r1-level-1 ca-1 +SCF:GOV-03 nist-800-161-r1-level-1 cm-1 +SCF:GOV-03 nist-800-161-r1-level-1 cp-1 +SCF:GOV-03 nist-800-161-r1-level-1 ia-1 +SCF:GOV-03 nist-800-161-r1-level-1 ir-1 +SCF:GOV-03 nist-800-161-r1-level-1 ma-1 +SCF:GOV-03 nist-800-161-r1-level-1 mp-1 +SCF:GOV-03 nist-800-161-r1-level-1 pe-1 +SCF:GOV-03 nist-800-161-r1-level-1 ps-1 +SCF:GOV-03 nist-800-161-r1-level-1 pt-1 +SCF:GOV-03 nist-800-161-r1-level-1 ra-1 +SCF:GOV-03 nist-800-161-r1-level-1 sa-1 +SCF:GOV-03 nist-800-161-r1-level-1 sc-1 +SCF:GOV-03 nist-800-161-r1-level-1 si-1 +SCF:GOV-03 nist-800-161-r1-level-1 sr-1 +SCF:GOV-03 nist-800-161-r1-level-2 ac-1 +SCF:GOV-03 nist-800-161-r1-level-2 at-1 +SCF:GOV-03 nist-800-161-r1-level-2 au-1 +SCF:GOV-03 nist-800-161-r1-level-2 ca-1 +SCF:GOV-03 nist-800-161-r1-level-2 cm-1 +SCF:GOV-03 nist-800-161-r1-level-2 cp-1 +SCF:GOV-03 nist-800-161-r1-level-2 ia-1 +SCF:GOV-03 nist-800-161-r1-level-2 ir-1 +SCF:GOV-03 nist-800-161-r1-level-2 ma-1 +SCF:GOV-03 nist-800-161-r1-level-2 mp-1 +SCF:GOV-03 nist-800-161-r1-level-2 pe-1 +SCF:GOV-03 nist-800-161-r1-level-2 pl-1 +SCF:GOV-03 nist-800-161-r1-level-2 ps-1 +SCF:GOV-03 nist-800-161-r1-level-2 pt-1 +SCF:GOV-03 nist-800-161-r1-level-2 ra-1 +SCF:GOV-03 nist-800-161-r1-level-2 sa-1 +SCF:GOV-03 nist-800-161-r1-level-2 sc-1 +SCF:GOV-03 nist-800-161-r1-level-2 si-1 +SCF:GOV-03 nist-800-161-r1-level-2 sr-1 +SCF:GOV-03 nist-800-161-r1-level-3 ac-1 +SCF:GOV-03 nist-800-161-r1-level-3 au-1 +SCF:GOV-03 nist-800-161-r1-level-3 ca-1 +SCF:GOV-03 nist-800-161-r1-level-3 cm-1 +SCF:GOV-03 nist-800-161-r1-level-3 cp-1 +SCF:GOV-03 nist-800-161-r1-level-3 ia-1 +SCF:GOV-03 nist-800-161-r1-level-3 ir-1 +SCF:GOV-03 nist-800-161-r1-level-3 ma-1 +SCF:GOV-03 nist-800-161-r1-level-3 pe-1 +SCF:GOV-03 nist-800-161-r1-level-3 ps-1 +SCF:GOV-03 nist-800-161-r1-level-3 pt-1 +SCF:GOV-03 nist-800-161-r1-level-3 ra-1 +SCF:GOV-03 nist-800-161-r1-level-3 sa-1 +SCF:GOV-03 nist-800-161-r1-level-3 sc-1 +SCF:GOV-03 nist-800-161-r1-level-3 si-1 +SCF:GOV-03 nist-800-161-r1-level-3 sr-1 +SCF:GOV-03 nist-800-171-r3 _03.15.01.b +SCF:GOV-03 nist-800-171-r3 _03.15.03.d +SCF:GOV-03 nist-800-171a-r3 a.03.15.01.odp-01 +SCF:GOV-03 nist-800-171a-r3 a.03.15.01.b-01 +SCF:GOV-03 nist-800-171a-r3 a.03.15.01.b-02 +SCF:GOV-03 nist-csf-2.0 gv.po-02 +SCF:GOV-03 nist-csf-2.0 gv.ov +SCF:GOV-03 nist-csf-2.0 gv.ov-01 +SCF:GOV-03 nist-csf-2.0 gv.ov-02 +SCF:GOV-03 pci-dss-4.0.1 _1.1.1 +SCF:GOV-03 pci-dss-4.0.1 _2.1.1 +SCF:GOV-03 pci-dss-4.0.1 _3.1.1 +SCF:GOV-03 pci-dss-4.0.1 _4.1.1 +SCF:GOV-03 pci-dss-4.0.1 _5.1.1 +SCF:GOV-03 pci-dss-4.0.1 _6.1.1 +SCF:GOV-03 pci-dss-4.0.1 _7.1.1 +SCF:GOV-03 pci-dss-4.0.1 _8.1.1 +SCF:GOV-03 pci-dss-4.0.1 _9.1.1 +SCF:GOV-03 pci-dss-4.0.1 _10.1.1 +SCF:GOV-03 pci-dss-4.0.1 _11.1.1 +SCF:GOV-03 pci-dss-4.0.1 _12.1 +SCF:GOV-03 pci-dss-4.0.1 _12.1.1 +SCF:GOV-03 pci-dss-4.0.1 _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-a _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _1.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _2.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _4.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _5.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _6.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-a-ep _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-b _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-b-ip _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b-ip _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b-ip _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b-ip _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-b-ip _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-c _2.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _5.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _10.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _2.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-c-vt _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _1.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _2.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _4.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _5.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _6.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _7.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _10.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _11.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-merchant _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _1.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _2.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _4.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _5.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _6.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _7.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _8.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _10.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _11.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-d-service-provider _12.1.2 +SCF:GOV-03 pci-dss-4.0.1-saq-p2pe _3.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-p2pe _9.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-p2pe _12.1.1 +SCF:GOV-03 pci-dss-4.0.1-saq-p2pe _12.1.2 +SCF:GOV-04 nist-csf-function-grouping govern +SCF:GOV-04 cobit-2019 apo01.05 +SCF:GOV-04 coso-2013 _1 +SCF:GOV-04 coso-2013 _3 +SCF:GOV-04 coso-2013 _5 +SCF:GOV-04 csa-ccm-4.1.0 grc-06 +SCF:GOV-04 csa-iot-scf-2 gvn-01 +SCF:GOV-04 iso-22301-2019 _5.3 +SCF:GOV-04 iso-27001-2022 _5.1-f +SCF:GOV-04 iso-27001-2022 _5.1-h +SCF:GOV-04 iso-27001-2022 _5.3 +SCF:GOV-04 iso-27001-2022 _5.3-a +SCF:GOV-04 iso-27001-2022 _5.3-b +SCF:GOV-04 iso-27002-2022 _5.2 +SCF:GOV-04 iso-27017-2015 _5.1 +SCF:GOV-04 iso-27017-2015 _6.1 +SCF:GOV-04 iso-27017-2015 _6.1.1 +SCF:GOV-04 iso-27017-2015 _7.2.1 +SCF:GOV-04 iso-27018-2025 _5.2 +SCF:GOV-04 iso-27018-2025 _5.4 +SCF:GOV-04 iso-27701-2025 _5.1 +SCF:GOV-04 iso-27701-2025 _5.3 +SCF:GOV-04 iso-27701-2025 _5.3-a +SCF:GOV-04 iso-31000-2018 _5.2 +SCF:GOV-04 iso-31000-2018 _5.4.3 +SCF:GOV-04 iso-42001-2023 _5.3 +SCF:GOV-04 iso-42001-2023 _5.3-a +SCF:GOV-04 iso-42001-2023 _5.3-b +SCF:GOV-04 iso-42001-2023 a.3.2 +SCF:GOV-04 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:GOV-04 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:GOV-04 nist-ai-100-1-ai-rmf-1.0 govern-2.3 +SCF:GOV-04 nist-ai-100-1-ai-rmf-1.0 govern-5.0 +SCF:GOV-04 nist-privacy-framework-1.0 gv.po-p3 +SCF:GOV-04 nist-privacy-framework-1.0 cm.po-p2 +SCF:GOV-04 nist-800-37-r2 task-p-1 +SCF:GOV-04 nist-800-53-r4 pl-9 +SCF:GOV-04 nist-800-53-r4 pm-2 +SCF:GOV-04 nist-800-53-r4 pm-6 +SCF:GOV-04 nist-800-53-r5 pl-09 +SCF:GOV-04 nist-800-53-r5 pm-02 +SCF:GOV-04 nist-800-53-r5 pm-06 +SCF:GOV-04 nist-800-53-r5 pm-29 +SCF:GOV-04 nist-800-53b-r5-privacy pl-09 +SCF:GOV-04 nist-800-53b-r5-privacy pm-06 +SCF:GOV-04 nist-800-53b-r5-privacy pm-29 +SCF:GOV-04 nist-sp-800-66-r2 _164.308-a-2 +SCF:GOV-04 nist-800-82-r3 pl-09 +SCF:GOV-04 nist-800-82-r3 pm-02 +SCF:GOV-04 nist-800-82-r3 pm-06 +SCF:GOV-04 nist-800-82-r3 pm-29 +SCF:GOV-04 nist-800-82-r3-low-ot-overlay pm-02 +SCF:GOV-04 nist-800-82-r3-low-ot-overlay pm-06 +SCF:GOV-04 nist-800-82-r3-low-ot-overlay pm-29 +SCF:GOV-04 nist-800-82-r3-moderate-ot-overlay pm-02 +SCF:GOV-04 nist-800-82-r3-moderate-ot-overlay pm-06 +SCF:GOV-04 nist-800-82-r3-moderate-ot-overlay pm-29 +SCF:GOV-04 nist-800-82-r3-high-ot-overlay pm-02 +SCF:GOV-04 nist-800-82-r3-high-ot-overlay pm-06 +SCF:GOV-04 nist-800-82-r3-high-ot-overlay pm-29 +SCF:GOV-04 nist-800-161-r1 pl-9 +SCF:GOV-04 nist-800-161-r1 pm-2 +SCF:GOV-04 nist-800-161-r1 pm-6 +SCF:GOV-04 nist-800-161-r1 pm-29 +SCF:GOV-04 nist-800-161-r1-level-1 pl-9 +SCF:GOV-04 nist-800-161-r1-level-1 pm-2 +SCF:GOV-04 nist-800-161-r1-level-1 pm-6 +SCF:GOV-04 nist-800-161-r1-level-1 pm-29 +SCF:GOV-04 nist-800-161-r1-level-2 pl-9 +SCF:GOV-04 nist-800-161-r1-level-2 pm-2 +SCF:GOV-04 nist-800-161-r1-level-2 pm-6 +SCF:GOV-04 nist-800-218 po.2.3 +SCF:GOV-04 nist-csf-2.0 gv.rm +SCF:GOV-04 nist-csf-2.0 gv.rm-05 +SCF:GOV-04 nist-csf-2.0 gv.rr-01 +SCF:GOV-04 nist-csf-2.0 gv.rr-02 +SCF:GOV-04 pci-dss-4.0.1 _1.1.2 +SCF:GOV-04 pci-dss-4.0.1 _2.1.2 +SCF:GOV-04 pci-dss-4.0.1 _3.1.2 +SCF:GOV-04 pci-dss-4.0.1 _4.1.2 +SCF:GOV-04 pci-dss-4.0.1 _5.1.2 +SCF:GOV-04 pci-dss-4.0.1 _6.1.2 +SCF:GOV-04 pci-dss-4.0.1 _7.1.2 +SCF:GOV-04 pci-dss-4.0.1 _8.1.2 +SCF:GOV-04 pci-dss-4.0.1 _9.1.2 +SCF:GOV-04 pci-dss-4.0.1 _10.1.2 +SCF:GOV-04 pci-dss-4.0.1 _11.1.2 +SCF:GOV-04 pci-dss-4.0.1 _12.1.3 +SCF:GOV-04 pci-dss-4.0.1 _12.1.4 +SCF:GOV-04 pci-dss-4.0.1 _12.4 +SCF:GOV-04 pci-dss-4.0.1 a3.1.1 +SCF:GOV-04 pci-dss-4.0.1 a3.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-a-ep _12.1.4 +SCF:GOV-04 pci-dss-4.0.1-saq-b _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-c _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _1.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _2.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _3.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _4.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _5.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _6.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _7.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _8.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _9.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _10.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _11.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-d-merchant _12.1.4 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _1.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _2.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _3.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _5.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _6.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _7.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _8.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _9.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _10.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _11.1.2 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:GOV-04 pci-dss-4.0.1-saq-d-service-provider _12.1.4 +SCF:GOV-04 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:GOV-04.1 nist-csf-function-grouping govern +SCF:GOV-04.1 cobit-2019 bai01.03 +SCF:GOV-04.1 coso-2013 _3 +SCF:GOV-04.1 coso-2013 _5 +SCF:GOV-04.1 csa-ccm-4.1.0 grc-06 +SCF:GOV-04.1 csa-iot-scf-2 gvn-01 +SCF:GOV-04.1 iso-22301-2019 _5.3 +SCF:GOV-04.1 iso-22301-2019 _5.3-a +SCF:GOV-04.1 iso-22301-2019 _5.3-b +SCF:GOV-04.1 iso-22301-2019 _8.4.2.1 +SCF:GOV-04.1 iso-27017-2015 _5.1 +SCF:GOV-04.1 iso-27017-2015 _7.2.1 +SCF:GOV-04.1 iso-27018-2025 _5.4 +SCF:GOV-04.1 iso-27701-2025 _5.1 +SCF:GOV-04.1 iso-27701-2025 _5.3-a +SCF:GOV-04.1 iso-31000-2018 _5.2 +SCF:GOV-04.1 iso-31000-2018 _5.4.2 +SCF:GOV-04.1 iso-31000-2018 _5.4.3 +SCF:GOV-04.1 iso-42001-2023 _5.1 +SCF:GOV-04.1 iso-42001-2023 a.3 +SCF:GOV-04.1 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:GOV-04.1 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:GOV-04.1 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:GOV-04.1 nist-ai-100-1-ai-rmf-1.0 govern-5.0 +SCF:GOV-04.1 nist-ai-100-1-ai-rmf-1.0 manage-2.4 +SCF:GOV-04.1 nist-800-37-r2 task-p-9 +SCF:GOV-04.1 nist-800-218 po.2.3 +SCF:GOV-04.1 nist-csf-2.0 gv.rm-05 +SCF:GOV-04.1 nist-csf-2.0 gv.rr-01 +SCF:GOV-04.2 nist-csf-function-grouping govern +SCF:GOV-04.2 coso-2013 _3 +SCF:GOV-04.2 coso-2013 _5 +SCF:GOV-04.2 csa-ccm-4.1.0 grc-06 +SCF:GOV-04.2 iso-22301-2019 _5.3 +SCF:GOV-04.2 iso-27017-2015 _5.1 +SCF:GOV-04.2 iso-27017-2015 _7.2.1 +SCF:GOV-04.2 iso-27018-2025 _5.4 +SCF:GOV-04.2 iso-31000-2018 _5.2 +SCF:GOV-04.2 iso-31000-2018 _5.4.2 +SCF:GOV-04.2 iso-31000-2018 _5.4.3 +SCF:GOV-04.2 iso-42001-2023 _5.1 +SCF:GOV-04.2 iso-42001-2023 a.3 +SCF:GOV-04.2 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:GOV-04.2 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:GOV-05 nist-csf-function-grouping govern +SCF:GOV-05 cobit-2019 edm01.03 +SCF:GOV-05 cobit-2019 edm05.01 +SCF:GOV-05 cobit-2019 edm05.03 +SCF:GOV-05 cobit-2019 apo02.02 +SCF:GOV-05 cobit-2019 dss06.01 +SCF:GOV-05 cobit-2019 mea01.02 +SCF:GOV-05 cobit-2019 mea01.03 +SCF:GOV-05 coso-2013 _2 +SCF:GOV-05 coso-2013 _5 +SCF:GOV-05 coso-2013 _14 +SCF:GOV-05 coso-2013 _16 +SCF:GOV-05 csa-ccm-4.1.0 ais-03 +SCF:GOV-05 csa-ccm-4.1.0 dcs-17 +SCF:GOV-05 csa-ccm-4.1.0 sef-05 +SCF:GOV-05 csa-ccm-4.1.0 tvm-12 +SCF:GOV-05 iso-22301-2019 _9.1 +SCF:GOV-05 iso-22301-2019 _9.1-a +SCF:GOV-05 iso-22301-2019 _9.1-b +SCF:GOV-05 iso-22301-2019 _9.1-c +SCF:GOV-05 iso-22301-2019 _9.1-d +SCF:GOV-05 iso-27001-2022 _9.1 +SCF:GOV-05 iso-27001-2022 _9.1-a +SCF:GOV-05 iso-27001-2022 _9.1-b +SCF:GOV-05 iso-27001-2022 _9.1-c +SCF:GOV-05 iso-27001-2022 _9.1-d +SCF:GOV-05 iso-27001-2022 _9.1-e +SCF:GOV-05 iso-27001-2022 _9.1-f +SCF:GOV-05 iso-27701-2025 _9.1 +SCF:GOV-05 iso-31000-2018 _5.2 +SCF:GOV-05 iso-31000-2018 _5.4.2 +SCF:GOV-05 iso-31000-2018 _6.6 +SCF:GOV-05 iso-42001-2023 _5.1 +SCF:GOV-05 iso-42001-2023 _9.3.2-d +SCF:GOV-05 iso-42001-2023 _9.3.2-d-1 +SCF:GOV-05 iso-42001-2023 _9.3.2-d-2 +SCF:GOV-05 iso-42001-2023 _9.3.2-d-3 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 map-5.2 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 measure-1.0 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 measure-1.1 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 measure-1.2 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 measure-4.0 +SCF:GOV-05 nist-ai-100-1-ai-rmf-1.0 measure-4.3 +SCF:GOV-05 nist-ai-600-1 gv-1.3-002 +SCF:GOV-05 nist-ai-600-1 ms-2.7-004 +SCF:GOV-05 nist-privacy-framework-1.0 gv.mt-p4 +SCF:GOV-05 nist-privacy-framework-1.0 pr.po-p5 +SCF:GOV-05 nist-privacy-framework-1.0 pr.po-p6 +SCF:GOV-05 nist-800-53-r4 pm-6 +SCF:GOV-05 nist-800-53-r5 pm-06 +SCF:GOV-05 nist-800-53b-r5-privacy pm-06 +SCF:GOV-05 nist-800-82-r3 pm-06 +SCF:GOV-05 nist-800-82-r3-low-ot-overlay pm-06 +SCF:GOV-05 nist-800-82-r3-moderate-ot-overlay pm-06 +SCF:GOV-05 nist-800-82-r3-high-ot-overlay pm-06 +SCF:GOV-05 nist-800-161-r1 pm-6 +SCF:GOV-05 nist-800-161-r1-level-1 pm-6 +SCF:GOV-05 nist-800-161-r1-level-2 pm-6 +SCF:GOV-05 nist-800-171-r3 _03.12.03 +SCF:GOV-05 nist-800-207 nist-tenet-7 +SCF:GOV-05 nist-csf-2.0 gv +SCF:GOV-05 nist-csf-2.0 gv.ov +SCF:GOV-05 nist-csf-2.0 gv.ov-01 +SCF:GOV-05 nist-csf-2.0 gv.ov-03 +SCF:GOV-05 nist-csf-2.0 gv.sc +SCF:GOV-05 nist-csf-2.0 gv.sc-09 +SCF:GOV-05 nist-csf-2.0 id.im-03 +SCF:GOV-05.1 nist-csf-function-grouping govern +SCF:GOV-05.1 cobit-2019 apo02.02 +SCF:GOV-05.1 coso-2013 _2 +SCF:GOV-05.1 coso-2013 _5 +SCF:GOV-05.1 coso-2013 _14 +SCF:GOV-05.1 coso-2013 _16 +SCF:GOV-05.1 iso-31000-2018 _5.2 +SCF:GOV-05.1 nist-ai-100-1-ai-rmf-1.0 measure-4.1 +SCF:GOV-05.1 nist-ai-100-1-ai-rmf-1.0 measure-4.3 +SCF:GOV-05.1 nist-ai-600-1 gv-1.3-002 +SCF:GOV-05.2 nist-csf-function-grouping govern +SCF:GOV-05.2 cobit-2019 apo02.02 +SCF:GOV-05.2 coso-2013 _2 +SCF:GOV-05.2 coso-2013 _5 +SCF:GOV-05.2 coso-2013 _14 +SCF:GOV-05.2 coso-2013 _16 +SCF:GOV-05.2 iso-31000-2018 _5.2 +SCF:GOV-05.2 nist-ai-100-1-ai-rmf-1.0 measure-4.1 +SCF:GOV-05.2 nist-ai-100-1-ai-rmf-1.0 measure-4.3 +SCF:GOV-05.2 nist-csf-2.0 gv.rm-01 +SCF:GOV-06 nist-csf-function-grouping govern +SCF:GOV-06 coso-2013 _15 +SCF:GOV-06 iso-27002-2022 _5.5 +SCF:GOV-06 iso-27017-2015 _6.1.3 +SCF:GOV-06 iso-27018-2025 _5.5 +SCF:GOV-06 nist-ai-600-1 gv-2.1-004 +SCF:GOV-06 nist-800-53-r4 ir-6 +SCF:GOV-06 nist-800-53-r5 ir-06 +SCF:GOV-06 nist-800-53b-r5-privacy ir-06 +SCF:GOV-06 nist-800-53b-r5-low ir-06 +SCF:GOV-06 nist-800-82-r3 ir-06 +SCF:GOV-06 nist-800-82-r3-low-ot-overlay ir-06 +SCF:GOV-06 nist-800-82-r3-moderate-ot-overlay ir-06 +SCF:GOV-06 nist-800-82-r3-high-ot-overlay ir-06 +SCF:GOV-06 nist-800-161-r1 ir-6 +SCF:GOV-07 nist-csf-function-grouping govern +SCF:GOV-07 csa-ccm-4.1.0 grc-08 +SCF:GOV-07 iec-62443-2-1-2024 event-1.3 +SCF:GOV-07 iso-27002-2022 _5.6 +SCF:GOV-07 iso-27017-2015 _6.1.4 +SCF:GOV-07 iso-27018-2025 _5.6 +SCF:GOV-07 nist-800-53-r4 pm-15 +SCF:GOV-07 nist-800-53-r5 pm-15 +SCF:GOV-07 nist-800-53b-r5-privacy pm-15 +SCF:GOV-07 nist-800-82-r3 pm-15 +SCF:GOV-07 nist-800-82-r3-low-ot-overlay pm-15 +SCF:GOV-07 nist-800-82-r3-moderate-ot-overlay pm-15 +SCF:GOV-07 nist-800-82-r3-high-ot-overlay pm-15 +SCF:GOV-07 nist-800-161-r1 pm-15 +SCF:GOV-07 nist-800-161-r1-level-1 pm-15 +SCF:GOV-07 nist-800-161-r1-level-2 pm-15 +SCF:GOV-07 nist-csf-2.0 id.ra-02 +SCF:GOV-07 pci-dss-4.0.1 _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-a _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-c _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:GOV-07 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:GOV-08 nist-csf-function-grouping govern +SCF:GOV-08 cobit-2019 edm05.01 +SCF:GOV-08 cobit-2019 edm05.02 +SCF:GOV-08 cobit-2019 edm05.03 +SCF:GOV-08 cobit-2019 apo01.01 +SCF:GOV-08 cobit-2019 apo01.02 +SCF:GOV-08 cobit-2019 apo01.03 +SCF:GOV-08 cobit-2019 apo01.04 +SCF:GOV-08 cobit-2019 apo01.06 +SCF:GOV-08 cobit-2019 apo02.01 +SCF:GOV-08 cobit-2019 apo02.05 +SCF:GOV-08 cobit-2019 apo08.01 +SCF:GOV-08 cobit-2019 apo08.02 +SCF:GOV-08 cobit-2019 apo08.03 +SCF:GOV-08 cobit-2019 apo08.04 +SCF:GOV-08 coso-2013 _6 +SCF:GOV-08 coso-2013 _10 +SCF:GOV-08 iso-22301-2019 _4.1 +SCF:GOV-08 iso-22301-2019 _4.2.1 +SCF:GOV-08 iso-22301-2019 _4.2.1-a +SCF:GOV-08 iso-22301-2019 _4.2.1-b +SCF:GOV-08 iso-27001-2022 _4.1 +SCF:GOV-08 iso-27001-2022 _4.2-a +SCF:GOV-08 iso-27001-2022 _4.3 +SCF:GOV-08 iso-27001-2022 _5.1 +SCF:GOV-08 iso-27701-2025 _4.1 +SCF:GOV-08 iso-27701-2025 _6.1.1 +SCF:GOV-08 iso-31000-2018 _5.4.1 +SCF:GOV-08 iso-42001-2023 _6.2 +SCF:GOV-08 nist-ai-100-1-ai-rmf-1.0 map-1.3 +SCF:GOV-08 nist-privacy-framework-1.0 id.im-p5 +SCF:GOV-08 nist-privacy-framework-1.0 id.be-p1 +SCF:GOV-08 nist-privacy-framework-1.0 id.be-p2 +SCF:GOV-08 nist-privacy-framework-1.0 gv.rm-p3 +SCF:GOV-08 nist-csf-2.0 gv.oc +SCF:GOV-08 nist-csf-2.0 gv.oc-01 +SCF:GOV-08 nist-csf-2.0 gv.oc-04 +SCF:GOV-08 nist-csf-2.0 gv.ov-01 +SCF:GOV-08 nist-csf-2.0 gv.sc-03 +SCF:GOV-09 nist-csf-function-grouping govern +SCF:GOV-09 cobit-2019 apo01.04 +SCF:GOV-09 coso-2013 _6 +SCF:GOV-09 coso-2013 _10 +SCF:GOV-09 iso-27001-2022 _4.1 +SCF:GOV-09 iso-27001-2022 _4.2 +SCF:GOV-09 iso-27001-2022 _4.2-b +SCF:GOV-09 iso-27001-2022 _4.2-c +SCF:GOV-09 iso-27001-2022 _5.2-b +SCF:GOV-09 iso-27001-2022 _6.2 +SCF:GOV-09 iso-27001-2022 _6.2-a +SCF:GOV-09 iso-27001-2022 _6.2-b +SCF:GOV-09 iso-27001-2022 _6.2-c +SCF:GOV-09 iso-27001-2022 _6.2-d +SCF:GOV-09 iso-27001-2022 _6.2-e +SCF:GOV-09 iso-27001-2022 _6.2-f +SCF:GOV-09 iso-27001-2022 _6.2-g +SCF:GOV-09 iso-27001-2022 _6.2-h +SCF:GOV-09 iso-27001-2022 _6.2-i +SCF:GOV-09 iso-27001-2022 _6.2-j +SCF:GOV-09 iso-27001-2022 _6.2-k +SCF:GOV-09 iso-27001-2022 _6.2-l +SCF:GOV-09 iso-27701-2025 _6.1.3-d +SCF:GOV-09 iso-31000-2018 _5.4.1 +SCF:GOV-09 iso-42001-2023 _5.1 +SCF:GOV-09 iso-42001-2023 _6.2 +SCF:GOV-09 iso-42001-2023 _8.1 +SCF:GOV-09 nist-sp-800-66-r2 _164.308-a-1 +SCF:GOV-09 nist-csf-2.0 gv.sc-03 +SCF:GOV-10 nist-csf-function-grouping govern +SCF:GOV-10 iso-27002-2022 _5.12 +SCF:GOV-10 iso-27017-2015 _8.2.1 +SCF:GOV-10 iso-27018-2025 _5.12 +SCF:GOV-10 nist-800-53-r5 pm-23 +SCF:GOV-10 nist-800-53-r5 pm-24 +SCF:GOV-10 nist-800-53b-r5-privacy pm-23 +SCF:GOV-10 nist-800-53b-r5-privacy pm-24 +SCF:GOV-10 nist-800-82-r3 pm-23 +SCF:GOV-10 nist-800-82-r3 pm-24 +SCF:GOV-10 nist-800-82-r3-low-ot-overlay pm-23 +SCF:GOV-10 nist-800-82-r3-low-ot-overlay pm-24 +SCF:GOV-10 nist-800-82-r3-moderate-ot-overlay pm-23 +SCF:GOV-10 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:GOV-10 nist-800-82-r3-high-ot-overlay pm-23 +SCF:GOV-10 nist-800-82-r3-high-ot-overlay pm-24 +SCF:GOV-10 nist-800-161-r1 pm-23 +SCF:GOV-10 nist-800-161-r1-level-1 pm-23 +SCF:GOV-10 pci-dss-4.0.1 a3.2.5 +SCF:GOV-11 nist-csf-function-grouping govern +SCF:GOV-11 iso-42001-2023 _6.2 +SCF:GOV-11 nist-800-53-r5 pm-32 +SCF:GOV-11 nist-800-82-r3 pm-32 +SCF:GOV-11 nist-800-82-r3-low-ot-overlay pm-32 +SCF:GOV-11 nist-800-82-r3-moderate-ot-overlay pm-32 +SCF:GOV-11 nist-800-82-r3-high-ot-overlay pm-32 +SCF:GOV-11 nist-800-160-vol2-r1 pm-32 +SCF:GOV-11 nist-800-161-r1 pm-32 +SCF:GOV-11 nist-800-161-r1-level-2 pm-32 +SCF:GOV-11 nist-800-161-r1-level-3 pm-32 +SCF:GOV-12 nist-csf-function-grouping govern +SCF:GOV-13 nist-csf-function-grouping govern +SCF:GOV-14 nist-csf-function-grouping govern +SCF:GOV-14 iso-sae-21434-2021 rq-05-06 +SCF:GOV-14 iso-27701-2025 _5.1 +SCF:GOV-14 iso-31000-2018 _5.2 +SCF:GOV-14 iso-31010-2009 _4.3.2 +SCF:GOV-14 iso-42001-2023 _5.1 +SCF:GOV-14 nist-ai-100-1-ai-rmf-1.0 govern-4.0 +SCF:GOV-14 nist-privacy-framework-1.0 gv.po-p2 +SCF:GOV-14 pci-dss-4.0.1 a3.3 +SCF:GOV-14 pci-dss-4.0.1 a3.3.3 +SCF:GOV-15 nist-csf-function-grouping govern +SCF:GOV-15 iec-tr-60601-4-5-2021 _4.1 +SCF:GOV-15 iec-tr-60601-4-5-2021 _4.6.1 +SCF:GOV-15 iec-tr-60601-4-5-2021 _5.1 +SCF:GOV-15 iso-22301-2019 _8.1 +SCF:GOV-15 iso-22301-2019 _8.1-a +SCF:GOV-15 iso-22301-2019 _8.1-b +SCF:GOV-15 iso-22301-2019 _8.1-c +SCF:GOV-15 iso-27017-2015 _5.1 +SCF:GOV-15 iso-27017-2015 _7.2.1 +SCF:GOV-15 iso-27018-2025 _5.4 +SCF:GOV-15 iso-27701-2025 _5.1 +SCF:GOV-15 iso-29100-2024 _6.12 +SCF:GOV-15 iso-31000-2018 _5.2 +SCF:GOV-15 iso-31010-2009 _4.3.2 +SCF:GOV-15 iso-42001-2023 _5.1 +SCF:GOV-15 iso-42001-2023 _8.1 +SCF:GOV-15 nist-ai-100-1-ai-rmf-1.0 govern-4.0 +SCF:GOV-15 nist-privacy-framework-1.0 gv.po-p2 +SCF:GOV-15 nist-800-37-r2 task-p-17 +SCF:GOV-15 nist-800-171-r3 _03.15.01.a +SCF:GOV-15 nist-800-171-r3 _03.17.01.a +SCF:GOV-15 nist-800-171a-r3 a.03.16.01 +SCF:GOV-15.1 nist-csf-function-grouping govern +SCF:GOV-15.1 iec-tr-60601-4-5-2021 _4.1 +SCF:GOV-15.1 iec-tr-60601-4-5-2021 _4.6.1 +SCF:GOV-15.1 iso-22301-2019 _8.1 +SCF:GOV-15.1 iso-29100-2024 _6.12 +SCF:GOV-15.1 iso-31000-2018 _5.2 +SCF:GOV-15.1 iso-42001-2023 _8.1 +SCF:GOV-15.1 nist-800-37-r2 task-p-5 +SCF:GOV-15.1 nist-800-37-r2 task-s-1 +SCF:GOV-15.1 nist-800-171-r3 _03.15.01.a +SCF:GOV-15.1 nist-800-171-r3 _03.17.01.a +SCF:GOV-15.2 nist-csf-function-grouping govern +SCF:GOV-15.2 iec-tr-60601-4-5-2021 _4.1 +SCF:GOV-15.2 iec-tr-60601-4-5-2021 _4.6.1 +SCF:GOV-15.2 iec-tr-60601-4-5-2021 _5.1 +SCF:GOV-15.2 iso-22301-2019 _8.1 +SCF:GOV-15.2 iso-29100-2024 _6.12 +SCF:GOV-15.2 iso-31000-2018 _5.2 +SCF:GOV-15.2 iso-42001-2023 _8.1 +SCF:GOV-15.2 nist-800-37-r2 task-p-17 +SCF:GOV-15.2 nist-800-37-r2 task-s-3 +SCF:GOV-15.2 nist-800-37-r2 task-i-1 +SCF:GOV-15.2 nist-sp-800-66-r2 _164.308-a-1 +SCF:GOV-15.2 nist-800-171-r3 _03.15.01.a +SCF:GOV-15.2 nist-800-171-r3 _03.17.01.a +SCF:GOV-15.3 nist-csf-function-grouping govern +SCF:GOV-15.3 iso-22301-2019 _8.1 +SCF:GOV-15.3 iso-29100-2024 _6.12 +SCF:GOV-15.3 iso-31000-2018 _5.2 +SCF:GOV-15.3 iso-42001-2023 _8.1 +SCF:GOV-15.3 nist-800-37-r2 task-a-3 +SCF:GOV-15.3 nist-800-37-r2 task-m-2 +SCF:GOV-15.3 nist-800-171-r3 _03.15.01.a +SCF:GOV-15.3 nist-800-171-r3 _03.17.01.a +SCF:GOV-15.4 nist-csf-function-grouping govern +SCF:GOV-15.4 iso-22301-2019 _8.1 +SCF:GOV-15.4 iso-29100-2024 _6.12 +SCF:GOV-15.4 iso-31000-2018 _5.2 +SCF:GOV-15.4 nist-800-37-r2 task-r-4 +SCF:GOV-15.4 nist-800-171-r3 _03.15.01.a +SCF:GOV-15.4 nist-800-171-r3 _03.17.01.a +SCF:GOV-15.5 nist-csf-function-grouping govern +SCF:GOV-15.5 iso-27001-2022 _9.2.2 +SCF:GOV-15.5 iso-29100-2024 _6.12 +SCF:GOV-15.5 iso-31000-2018 _5.2 +SCF:GOV-15.5 iso-42001-2023 _8.1 +SCF:GOV-15.5 nist-800-37-r2 task-m-1 +SCF:GOV-15.5 nist-800-171-r3 _03.15.01.a +SCF:GOV-15.5 nist-800-171-r3 _03.17.01.a +SCF:GOV-16 nist-csf-function-grouping govern +SCF:GOV-16 iso-31000-2018 _5.4.2 +SCF:GOV-16 nist-csf-2.0 de.ae-04 +SCF:GOV-16.1 nist-csf-function-grouping govern +SCF:GOV-16.1 csa-iot-scf-2 rsm-01 +SCF:GOV-16.1 iso-31000-2018 _5.4.2 +SCF:GOV-16.1 iso-42001-2023 _6.1.2-c +SCF:GOV-16.1 iso-42001-2023 _6.1.2-d +SCF:GOV-16.1 iso-42001-2023 _6.1.2-d-1 +SCF:GOV-16.1 iso-42001-2023 _6.1.2-d-2 +SCF:GOV-16.1 iso-42001-2023 _6.1.2-d-3 +SCF:GOV-16.1 iso-42001-2023 _6.1.2-e +SCF:GOV-16.1 iso-42001-2023 _6.1.2-e-1 +SCF:GOV-16.1 iso-42001-2023 _6.1.2-e-2 +SCF:GOV-16.2 nist-csf-function-grouping govern +SCF:GOV-16.2 csa-iot-scf-2 rsm-01 +SCF:GOV-16.2 iso-31000-2018 _5.4.2 +SCF:GOV-17 nist-csf-function-grouping govern +SCF:GOV-18 nist-csf-function-grouping govern +SCF:GOV-18 cobit-2019 apo11.01 +SCF:GOV-18 cobit-2019 apo14.04 +SCF:GOV-18 cobit-2019 bai01.07 +SCF:GOV-18 iso-sae-21434-2021 rq-05-11 +SCF:GOV-18 iso-sae-21434-2021 rq-05-11-a +SCF:GOV-18 iso-sae-21434-2021 rq-05-11-b +SCF:GOV-18 iso-sae-21434-2021 rq-05-11-c +SCF:GOV-18 iso-sae-21434-2021 rq-05-11-d +SCF:GOV-19 nist-csf-function-grouping govern +SCF:GOV-19.1 nist-csf-function-grouping govern +SCF:GOV-19.2 nist-csf-function-grouping govern +SCF:GOV-20 nist-csf-function-grouping govern +SCF:GOV-20.1 nist-csf-function-grouping govern +SCF:AAT-01 nist-csf-function-grouping govern +SCF:AAT-01 csa-iot-scf-2 sap-10 +SCF:AAT-01 iso-42001-2023 _4.1 +SCF:AAT-01 iso-42001-2023 _4.2 +SCF:AAT-01 iso-42001-2023 _4.4 +SCF:AAT-01 iso-42001-2023 _5.1 +SCF:AAT-01 iso-42001-2023 _7.4 +SCF:AAT-01 iso-42001-2023 _8.1 +SCF:AAT-01 iso-42001-2023 _8.2 +SCF:AAT-01 iso-42001-2023 a.2.2 +SCF:AAT-01 iso-42001-2023 a.4 +SCF:AAT-01 iso-42001-2023 a.6.2.2 +SCF:AAT-01 nist-ai-100-1-ai-rmf-1.0 govern-1.0 +SCF:AAT-01 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:AAT-01 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:AAT-01 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:AAT-01 nist-ai-100-1-ai-rmf-1.0 map-5.2 +SCF:AAT-01 nist-ai-600-1 govern-1.2 +SCF:AAT-01 nist-ai-600-1 gv-1.2-001 +SCF:AAT-01 nist-ai-600-1 gv-1.2-002 +SCF:AAT-01 nist-ai-600-1 gv-1.3-005 +SCF:AAT-01 nist-ai-600-1 gv-1.5-002 +SCF:AAT-01 nist-ai-600-1 gv-1.5-003 +SCF:AAT-01 nist-ai-600-1 govern-1.7 +SCF:AAT-01 nist-ai-600-1 gv-1.7-001 +SCF:AAT-01 nist-ai-600-1 gv-2.1-001 +SCF:AAT-01 nist-ai-600-1 gv-2.1-002 +SCF:AAT-01 nist-ai-600-1 gv-2.1-004 +SCF:AAT-01 nist-ai-600-1 gv-3.2-001 +SCF:AAT-01 nist-ai-600-1 gv-3.2-003 +SCF:AAT-01 nist-ai-600-1 gv-3.2-004 +SCF:AAT-01 nist-ai-600-1 govern-4.1 +SCF:AAT-01 nist-ai-600-1 gv-4.1-001 +SCF:AAT-01 nist-ai-600-1 gv-4.1-002 +SCF:AAT-01 nist-ai-600-1 gv-4.1-003 +SCF:AAT-01 nist-ai-600-1 gv-4.3-002 +SCF:AAT-01 nist-ai-600-1 govern-6.1 +SCF:AAT-01 nist-ai-600-1 gv-6.1-009 +SCF:AAT-01 nist-ai-600-1 govern-6.2 +SCF:AAT-01 nist-ai-600-1 gv-6.2-005 +SCF:AAT-01 nist-ai-600-1 mp-3.4-003 +SCF:AAT-01 nist-ai-600-1 map-4.1 +SCF:AAT-01 nist-ai-600-1 mp-4.1-003 +SCF:AAT-01 nist-ai-600-1 mp-4.1-005 +SCF:AAT-01 nist-ai-600-1 ms-2.5-006 +SCF:AAT-01 nist-ai-600-1 mg-2.3-001 +SCF:AAT-01 nist-ai-600-1 mg-4.1-003 +SCF:AAT-01.1 nist-csf-function-grouping govern +SCF:AAT-01.1 iso-42001-2023 _4.1 +SCF:AAT-01.1 iso-42001-2023 _4.2 +SCF:AAT-01.1 iso-42001-2023 _8.1 +SCF:AAT-01.1 iso-42001-2023 a.5 +SCF:AAT-01.1 iso-42001-2023 a.5.3 +SCF:AAT-01.1 iso-42001-2023 a.5.4 +SCF:AAT-01.1 iso-42001-2023 a.5.5 +SCF:AAT-01.1 iso-42001-2023 a.10.4 +SCF:AAT-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.1 +SCF:AAT-01.1 nist-ai-600-1 ms-2.9-002 +SCF:AAT-01.2 nist-csf-function-grouping protect +SCF:AAT-01.2 iso-42001-2023 _7.1 +SCF:AAT-01.2 iso-42001-2023 a.4 +SCF:AAT-01.2 iso-42001-2023 a.6.1.2 +SCF:AAT-01.2 iso-42001-2023 a.7 +SCF:AAT-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:AAT-01.2 nist-ai-100-1-ai-rmf-1.0 measure-2.5 +SCF:AAT-01.3 nist-csf-function-grouping identify +SCF:AAT-01.3 iso-42001-2023 _4.1 +SCF:AAT-01.3 nist-ai-100-1-ai-rmf-1.0 manage-2.2 +SCF:AAT-01.3 nist-ai-600-1 manage-2.2 +SCF:AAT-01.4 nist-csf-function-grouping identify +SCF:AAT-02 nist-csf-function-grouping identify +SCF:AAT-02 iso-42001-2023 _8.2 +SCF:AAT-02 iso-42001-2023 a.4.4 +SCF:AAT-02 iso-42001-2023 a.4.5 +SCF:AAT-02 nist-ai-100-1-ai-rmf-1.0 govern-1.6 +SCF:AAT-02 nist-ai-600-1 govern-1.6 +SCF:AAT-02 nist-ai-600-1 gv-1.6-001 +SCF:AAT-02 nist-ai-600-1 gv-1.6-002 +SCF:AAT-02 nist-ai-600-1 manage-3.1 +SCF:AAT-02.1 nist-csf-function-grouping identify +SCF:AAT-02.1 iso-42001-2023 _6.1.1 +SCF:AAT-02.1 iso-42001-2023 _8.2 +SCF:AAT-02.1 iso-42001-2023 a.5.3 +SCF:AAT-02.1 iso-42001-2023 a.5.4 +SCF:AAT-02.1 iso-42001-2023 a.5.5 +SCF:AAT-02.1 nist-ai-100-1-ai-rmf-1.0 map-4.1 +SCF:AAT-02.1 nist-ai-600-1 gv-1.3-005 +SCF:AAT-02.1 nist-ai-600-1 gv-4.1-002 +SCF:AAT-02.1 nist-ai-600-1 gv-4.2-002 +SCF:AAT-02.1 nist-ai-600-1 mp-1.1-004 +SCF:AAT-02.1 nist-ai-600-1 map-4.1 +SCF:AAT-02.2 nist-csf-function-grouping identify +SCF:AAT-02.2 iso-42001-2023 _5.1 +SCF:AAT-02.2 iso-42001-2023 _8.1 +SCF:AAT-02.2 iso-42001-2023 a.6.2.2 +SCF:AAT-02.2 nist-ai-100-1-ai-rmf-1.0 map-4.2 +SCF:AAT-02.3 nist-csf-function-grouping govern +SCF:AAT-02.3 nist-ai-600-1 mg-3.1-001 +SCF:AAT-02.4 nist-csf-function-grouping govern +SCF:AAT-03 nist-csf-function-grouping identify +SCF:AAT-03 iso-42001-2023 _4.1 +SCF:AAT-03 iso-42001-2023 a.10.4 +SCF:AAT-03 nist-ai-100-1-ai-rmf-1.0 map-1.0 +SCF:AAT-03 nist-ai-100-1-ai-rmf-1.0 map-1.1 +SCF:AAT-03 nist-ai-100-1-ai-rmf-1.0 map-1.4 +SCF:AAT-03 nist-ai-100-1-ai-rmf-1.0 map-3.0 +SCF:AAT-03 nist-ai-600-1 map-1.1 +SCF:AAT-03 nist-ai-600-1 mp-1.1-001 +SCF:AAT-03 nist-ai-600-1 mp-1.1-002 +SCF:AAT-03.1 nist-csf-function-grouping identify +SCF:AAT-03.1 iso-42001-2023 _4.1 +SCF:AAT-03.1 iso-42001-2023 _4.2 +SCF:AAT-03.1 iso-42001-2023 a.6.2.3 +SCF:AAT-03.1 nist-ai-100-1-ai-rmf-1.0 map-1.3 +SCF:AAT-03.1 nist-ai-100-1-ai-rmf-1.0 map-1.4 +SCF:AAT-03.1 nist-ai-100-1-ai-rmf-1.0 map-3.0 +SCF:AAT-03.2 nist-csf-function-grouping govern +SCF:AAT-04 nist-csf-function-grouping identify +SCF:AAT-04 iso-42001-2023 _5.1 +SCF:AAT-04 iso-42001-2023 _6.2 +SCF:AAT-04 iso-42001-2023 _6.2-a +SCF:AAT-04 iso-42001-2023 _6.2-b +SCF:AAT-04 iso-42001-2023 _6.2-c +SCF:AAT-04 iso-42001-2023 _6.2-d +SCF:AAT-04 iso-42001-2023 _6.2-e +SCF:AAT-04 iso-42001-2023 _6.2-f +SCF:AAT-04 iso-42001-2023 _6.2-g +SCF:AAT-04 iso-42001-2023 a.6.2.3 +SCF:AAT-04 iso-42001-2023 a.9 +SCF:AAT-04 iso-42001-2023 a.9.2 +SCF:AAT-04 iso-42001-2023 a.9.3 +SCF:AAT-04 iso-42001-2023 a.9.4 +SCF:AAT-04 iso-42001-2023 a.10.4 +SCF:AAT-04 nist-ai-100-1-ai-rmf-1.0 map-1.1 +SCF:AAT-04 nist-ai-100-1-ai-rmf-1.0 map-3.0 +SCF:AAT-04 nist-ai-100-1-ai-rmf-1.0 map-3.1 +SCF:AAT-04 nist-ai-100-1-ai-rmf-1.0 map-3.2 +SCF:AAT-04.1 nist-csf-function-grouping identify +SCF:AAT-04.1 nist-ai-100-1-ai-rmf-1.0 map-3.1 +SCF:AAT-04.1 nist-ai-600-1 ms-2.9-002 +SCF:AAT-04.2 nist-csf-function-grouping identify +SCF:AAT-04.2 iso-42001-2023 a.5.3 +SCF:AAT-04.2 iso-42001-2023 a.5.4 +SCF:AAT-04.2 iso-42001-2023 a.5.5 +SCF:AAT-04.2 nist-ai-100-1-ai-rmf-1.0 map-3.2 +SCF:AAT-04.3 nist-csf-function-grouping identify +SCF:AAT-04.3 iso-42001-2023 _4.3 +SCF:AAT-04.3 iso-42001-2023 _9.2.2-a +SCF:AAT-04.3 iso-42001-2023 a.4.4 +SCF:AAT-04.3 iso-42001-2023 a.4.5 +SCF:AAT-04.3 nist-ai-100-1-ai-rmf-1.0 map-3.3 +SCF:AAT-04.4 nist-csf-function-grouping identify +SCF:AAT-04.4 nist-ai-100-1-ai-rmf-1.0 map-4.0 +SCF:AAT-04.4 nist-ai-600-1 manage-3.1 +SCF:AAT-05 nist-csf-function-grouping identify +SCF:AAT-05 iso-42001-2023 _7.2 +SCF:AAT-05 nist-ai-600-1 gv-2.1-003 +SCF:AAT-05 nist-ai-600-1 ms-3.3-004 +SCF:AAT-06 nist-csf-function-grouping identify +SCF:AAT-06 nist-ai-100-1-ai-rmf-1.0 govern-3.0 +SCF:AAT-06 nist-ai-600-1 ms-2.2-001 +SCF:AAT-06 nist-ai-600-1 ms-2.11-001 +SCF:AAT-06 nist-ai-600-1 ms-3.3-003 +SCF:AAT-07 nist-csf-function-grouping identify +SCF:AAT-07 iso-42001-2023 _6.1.1 +SCF:AAT-07 iso-42001-2023 _6.1.2 +SCF:AAT-07 iso-42001-2023 _6.1.2-a +SCF:AAT-07 iso-42001-2023 _6.1.2-b +SCF:AAT-07 iso-42001-2023 _6.1.2-c +SCF:AAT-07 iso-42001-2023 _6.1.2-d +SCF:AAT-07 iso-42001-2023 _6.1.2-d-1 +SCF:AAT-07 iso-42001-2023 _6.1.2-d-2 +SCF:AAT-07 iso-42001-2023 _6.1.2-d-3 +SCF:AAT-07 iso-42001-2023 _6.1.2-e +SCF:AAT-07 iso-42001-2023 _6.1.2-e-1 +SCF:AAT-07 iso-42001-2023 _6.1.2-e-2 +SCF:AAT-07 iso-42001-2023 _6.1.3 +SCF:AAT-07 iso-42001-2023 _6.1.3-a +SCF:AAT-07 iso-42001-2023 _6.1.3-b +SCF:AAT-07 iso-42001-2023 _6.1.3-c +SCF:AAT-07 iso-42001-2023 _6.1.3-d +SCF:AAT-07 iso-42001-2023 _6.1.3-e +SCF:AAT-07 iso-42001-2023 _6.1.3-f +SCF:AAT-07 iso-42001-2023 _6.1.3-g +SCF:AAT-07 iso-42001-2023 _6.1.4 +SCF:AAT-07 iso-42001-2023 _8.2 +SCF:AAT-07 nist-ai-100-1-ai-rmf-1.0 govern-3.1 +SCF:AAT-07 nist-ai-600-1 govern-1.4 +SCF:AAT-07 nist-ai-600-1 mp-1.1-003 +SCF:AAT-07 nist-ai-600-1 map-1.2 +SCF:AAT-07 nist-ai-600-1 mp-1.2-001 +SCF:AAT-07 nist-ai-600-1 mp-5.1-002 +SCF:AAT-07 nist-ai-600-1 measure-1.1 +SCF:AAT-07 nist-ai-600-1 ms-2.8-001 +SCF:AAT-07 nist-ai-600-1 ms-2.11-003 +SCF:AAT-07 nist-ai-600-1 measure-3.2 +SCF:AAT-07 nist-ai-600-1 ms-3.2-001 +SCF:AAT-07 nist-ai-600-1 manage-1.3 +SCF:AAT-07.1 nist-csf-function-grouping identify +SCF:AAT-07.1 iso-42001-2023 _8.4 +SCF:AAT-07.1 iso-42001-2023 a.5.3 +SCF:AAT-07.1 iso-42001-2023 a.5.4 +SCF:AAT-07.1 iso-42001-2023 a.5.5 +SCF:AAT-07.1 nist-ai-100-1-ai-rmf-1.0 map-5.0 +SCF:AAT-07.1 nist-ai-600-1 gv-4.2-003 +SCF:AAT-07.1 nist-ai-600-1 map-5.1 +SCF:AAT-07.1 nist-ai-600-1 mp-5.2-001 +SCF:AAT-07.1 nist-ai-600-1 mp-5.2-002 +SCF:AAT-07.1 nist-ai-600-1 ms-1.3-002 +SCF:AAT-07.1 nist-ai-600-1 ms-3.3-001 +SCF:AAT-07.2 nist-csf-function-grouping identify +SCF:AAT-07.2 iso-42001-2023 _6.1.2 +SCF:AAT-07.2 iso-42001-2023 _6.1.2-a +SCF:AAT-07.2 iso-42001-2023 _6.1.2-b +SCF:AAT-07.2 iso-42001-2023 _6.1.2-c +SCF:AAT-07.2 iso-42001-2023 _6.1.2-d +SCF:AAT-07.2 iso-42001-2023 _6.1.2-d-1 +SCF:AAT-07.2 iso-42001-2023 _6.1.2-d-2 +SCF:AAT-07.2 iso-42001-2023 _6.1.2-d-3 +SCF:AAT-07.2 iso-42001-2023 _6.1.2-e +SCF:AAT-07.2 iso-42001-2023 _6.1.2-e-1 +SCF:AAT-07.2 iso-42001-2023 _6.1.2-e-2 +SCF:AAT-07.2 iso-42001-2023 _8.2 +SCF:AAT-07.2 nist-ai-100-1-ai-rmf-1.0 map-5.1 +SCF:AAT-07.2 nist-ai-600-1 gv-4.1-002 +SCF:AAT-07.2 nist-ai-600-1 govern-4.2 +SCF:AAT-07.2 nist-ai-600-1 gv-5.1-002 +SCF:AAT-07.2 nist-ai-600-1 mp-1.1-002 +SCF:AAT-07.2 nist-ai-600-1 mp-4.1-008 +SCF:AAT-07.2 nist-ai-600-1 map-5.1 +SCF:AAT-07.2 nist-ai-600-1 mp-5.1-002 +SCF:AAT-07.2 nist-ai-600-1 mp-5.1-006 +SCF:AAT-07.2 nist-ai-600-1 mp-5.2-001 +SCF:AAT-07.3 nist-csf-function-grouping identify +SCF:AAT-07.3 iso-42001-2023 _5.2-d +SCF:AAT-07.3 iso-42001-2023 _9.3.2-e +SCF:AAT-07.3 iso-42001-2023 _10.1 +SCF:AAT-07.3 iso-42001-2023 a.3.3 +SCF:AAT-07.3 nist-ai-100-1-ai-rmf-1.0 manage-2.0 +SCF:AAT-07.3 nist-ai-600-1 manage-4.2 +SCF:AAT-07.3 nist-ai-600-1 mg-4.2-001 +SCF:AAT-08 nist-csf-function-grouping identify +SCF:AAT-08 iso-42001-2023 _5.3 +SCF:AAT-08 iso-42001-2023 _5.3-a +SCF:AAT-08 iso-42001-2023 _5.3-b +SCF:AAT-08 iso-42001-2023 a.3.2 +SCF:AAT-08 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:AAT-08 nist-ai-100-1-ai-rmf-1.0 govern-3.2 +SCF:AAT-08 nist-ai-100-1-ai-rmf-1.0 map-1.2 +SCF:AAT-08 nist-ai-600-1 govern-1.5 +SCF:AAT-08 nist-ai-600-1 gv-1.5-001 +SCF:AAT-08 nist-ai-600-1 govern-2.1 +SCF:AAT-08 nist-ai-600-1 gv-2.1-001 +SCF:AAT-08 nist-ai-600-1 gv-2.1-002 +SCF:AAT-08 nist-ai-600-1 govern-3.2 +SCF:AAT-08 nist-ai-600-1 mp-3.4-005 +SCF:AAT-09 nist-csf-function-grouping identify +SCF:AAT-09 iso-42001-2023 _6.1.1 +SCF:AAT-09 iso-42001-2023 _6.1.2 +SCF:AAT-09 iso-42001-2023 _6.1.4 +SCF:AAT-09 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:AAT-09 nist-ai-600-1 govern-4.2 +SCF:AAT-09 nist-ai-600-1 gv-4.2-002 +SCF:AAT-09 nist-ai-600-1 gv-6.2-005 +SCF:AAT-09 nist-ai-600-1 mp-1.1-003 +SCF:AAT-09 nist-ai-600-1 mp-1.1-004 +SCF:AAT-09 nist-ai-600-1 manage-1.3 +SCF:AAT-09.1 nist-csf-function-grouping identify +SCF:AAT-09.1 nist-ai-600-1 gv-2.1-004 +SCF:AAT-10 nist-csf-function-grouping detect +SCF:AAT-10 iso-42001-2023 _9.1 +SCF:AAT-10 iso-42001-2023 a.6.1.3 +SCF:AAT-10 iso-42001-2023 a.6.2.3 +SCF:AAT-10 iso-42001-2023 a.6.2.4 +SCF:AAT-10 iso-42001-2023 a.6.2.5 +SCF:AAT-10 nist-ai-100-1-ai-rmf-1.0 govern-4.3 +SCF:AAT-10 nist-ai-100-1-ai-rmf-1.0 measure-2.2 +SCF:AAT-10 nist-ai-600-1 gv-1.3-003 +SCF:AAT-10 nist-ai-600-1 gv-1.5-003 +SCF:AAT-10 nist-ai-600-1 govern-4.3 +SCF:AAT-10 nist-ai-600-1 gv-4.3-003 +SCF:AAT-10 nist-ai-600-1 govern-6.2 +SCF:AAT-10 nist-ai-600-1 map-2.3 +SCF:AAT-10 nist-ai-600-1 mp-2.3-005 +SCF:AAT-10 nist-ai-600-1 mp-4.1-007 +SCF:AAT-10 nist-ai-600-1 mp-4.1-008 +SCF:AAT-10 nist-ai-600-1 mp-5.1-001 +SCF:AAT-10 nist-ai-600-1 ms-1.3-002 +SCF:AAT-10 nist-ai-600-1 ms-2.6-003 +SCF:AAT-10 nist-ai-600-1 measure-2.9 +SCF:AAT-10 nist-ai-600-1 ms-2.9-002 +SCF:AAT-10 nist-ai-600-1 measure-2.13 +SCF:AAT-10 nist-ai-600-1 ms-4.2-001 +SCF:AAT-10 nist-ai-600-1 mg-2.2-007 +SCF:AAT-10 nist-ai-600-1 mg-3.1-002 +SCF:AAT-10 nist-ai-600-1 mg-4.1-003 +SCF:AAT-10.1 nist-csf-function-grouping detect +SCF:AAT-10.1 iso-42001-2023 _9.2.1 +SCF:AAT-10.1 iso-42001-2023 _9.2.1-a +SCF:AAT-10.1 iso-42001-2023 _9.2.1-a-1 +SCF:AAT-10.1 iso-42001-2023 _9.2.1-a-2 +SCF:AAT-10.1 iso-42001-2023 _9.2.1-b +SCF:AAT-10.1 iso-42001-2023 a.6.2.4 +SCF:AAT-10.1 nist-ai-100-1-ai-rmf-1.0 measure-2.0 +SCF:AAT-10.1 nist-ai-600-1 map-3.4 +SCF:AAT-10.1 nist-ai-600-1 measure-4.2 +SCF:AAT-10.1 nist-ai-600-1 mg-3.1-003 +SCF:AAT-10.1 nist-ai-600-1 manage-4.1 +SCF:AAT-10.2 nist-csf-function-grouping detect +SCF:AAT-10.2 nist-ai-100-1-ai-rmf-1.0 map-2.3 +SCF:AAT-10.2 nist-ai-100-1-ai-rmf-1.0 measure-2.1 +SCF:AAT-10.2 nist-ai-600-1 ms-1.1-003 +SCF:AAT-10.3 nist-csf-function-grouping detect +SCF:AAT-10.3 nist-ai-100-1-ai-rmf-1.0 measure-2.0 +SCF:AAT-10.3 nist-ai-600-1 measure-2.5 +SCF:AAT-10.4 nist-csf-function-grouping detect +SCF:AAT-10.4 nist-ai-100-1-ai-rmf-1.0 measure-2.6 +SCF:AAT-10.4 nist-ai-600-1 gv-1.3-006 +SCF:AAT-10.4 nist-ai-600-1 mg-1.3-001 +SCF:AAT-10.4 nist-ai-600-1 mg-2.2-001 +SCF:AAT-10.4 nist-ai-600-1 mg-3.2-009 +SCF:AAT-10.5 nist-csf-function-grouping detect +SCF:AAT-10.5 nist-ai-100-1-ai-rmf-1.0 measure-2.7 +SCF:AAT-10.5 nist-ai-600-1 measure-2.7 +SCF:AAT-10.5 nist-ai-600-1 ms-2.7-001 +SCF:AAT-10.6 nist-csf-function-grouping detect +SCF:AAT-10.6 nist-ai-100-1-ai-rmf-1.0 measure-2.8 +SCF:AAT-10.6 nist-ai-600-1 measure-2.8 +SCF:AAT-10.6 nist-ai-600-1 mg-4.1-005 +SCF:AAT-10.7 nist-csf-function-grouping detect +SCF:AAT-10.7 nist-ai-100-1-ai-rmf-1.0 measure-2.10 +SCF:AAT-10.7 nist-ai-600-1 measure-2.10 +SCF:AAT-10.8 nist-csf-function-grouping detect +SCF:AAT-10.8 nist-ai-100-1-ai-rmf-1.0 measure-2.11 +SCF:AAT-10.8 nist-ai-600-1 mp-4.1-005 +SCF:AAT-10.8 nist-ai-600-1 ms-2.2-001 +SCF:AAT-10.8 nist-ai-600-1 measure-2.11 +SCF:AAT-10.8 nist-ai-600-1 ms-2.11-001 +SCF:AAT-10.8 nist-ai-600-1 ms-2.11-002 +SCF:AAT-10.8 nist-ai-600-1 ms-2.11-004 +SCF:AAT-10.8 nist-ai-600-1 ms-3.3-005 +SCF:AAT-10.8 nist-ai-600-1 mg-2.2-004 +SCF:AAT-10.8 nist-ai-600-1 mg-3.2-003 +SCF:AAT-10.9 nist-csf-function-grouping detect +SCF:AAT-10.9 iso-42001-2023 a.6.2.4 +SCF:AAT-10.9 nist-ai-100-1-ai-rmf-1.0 measure-2.5 +SCF:AAT-10.9 nist-ai-100-1-ai-rmf-1.0 measure-2.9 +SCF:AAT-10.10 nist-csf-function-grouping detect +SCF:AAT-10.10 nist-ai-100-1-ai-rmf-1.0 measure-2.13 +SCF:AAT-10.10 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:AAT-10.10 nist-ai-600-1 ms-2.6-003 +SCF:AAT-10.11 nist-csf-function-grouping detect +SCF:AAT-10.11 nist-ai-100-1-ai-rmf-1.0 measure-2.13 +SCF:AAT-10.11 nist-ai-600-1 mg-4.1-002 +SCF:AAT-10.12 nist-csf-function-grouping identify +SCF:AAT-10.12 nist-ai-100-1-ai-rmf-1.0 measure-2.3 +SCF:AAT-10.13 nist-csf-function-grouping detect +SCF:AAT-10.13 iso-42001-2023 a.6.2.6 +SCF:AAT-10.13 iso-42001-2023 a.9.4 +SCF:AAT-10.13 nist-ai-100-1-ai-rmf-1.0 measure-2.4 +SCF:AAT-10.13 nist-ai-100-1-ai-rmf-1.0 measure-2.6 +SCF:AAT-10.13 nist-ai-100-1-ai-rmf-1.0 manage-4.1 +SCF:AAT-10.13 nist-ai-600-1 mp-2.3-002 +SCF:AAT-10.13 nist-ai-600-1 mp-4.1-001 +SCF:AAT-10.13 nist-ai-600-1 ms-1.1-006 +SCF:AAT-10.13 nist-ai-600-1 manage-3.2 +SCF:AAT-10.13 nist-ai-600-1 mg-4.1-007 +SCF:AAT-10.14 nist-csf-function-grouping identify +SCF:AAT-10.14 iso-42001-2023 _5.2-d +SCF:AAT-10.14 iso-42001-2023 _6.1.1 +SCF:AAT-10.14 iso-42001-2023 _7.1 +SCF:AAT-10.14 iso-42001-2023 _9.3.2-e +SCF:AAT-10.14 nist-ai-100-1-ai-rmf-1.0 manage-4.2 +SCF:AAT-10.15 nist-csf-function-grouping protect +SCF:AAT-10.15 nist-ai-600-1 ms-2.3-003 +SCF:AAT-10.16 nist-csf-function-grouping protect +SCF:AAT-10.16 nist-ai-600-1 ms-2.3-002 +SCF:AAT-10.16 nist-ai-600-1 ms-2.5-001 +SCF:AAT-10.17 nist-csf-function-grouping protect +SCF:AAT-10.17 nist-ai-600-1 gv-6.1-003 +SCF:AAT-10.17 nist-ai-600-1 mp-5.1-002 +SCF:AAT-10.17 nist-ai-600-1 ms-1.1-002 +SCF:AAT-10.17 nist-ai-600-1 ms-2.7-002 +SCF:AAT-10.17 nist-ai-600-1 ms-2.7-005 +SCF:AAT-10.18 nist-csf-function-grouping protect +SCF:AAT-10.18 nist-ai-600-1 ms-2.10-003 +SCF:AAT-10.18 nist-ai-600-1 ms-2.11-005 +SCF:AAT-10.19 nist-csf-function-grouping identify +SCF:AAT-11 nist-csf-function-grouping protect +SCF:AAT-11 iso-42001-2023 _5.1 +SCF:AAT-11 iso-42001-2023 _7.4 +SCF:AAT-11 iso-42001-2023 _9.3.1 +SCF:AAT-11 iso-42001-2023 _9.3.2 +SCF:AAT-11 iso-42001-2023 _9.3.2-a +SCF:AAT-11 iso-42001-2023 _9.3.2-b +SCF:AAT-11 iso-42001-2023 _9.3.2-c +SCF:AAT-11 iso-42001-2023 _9.3.2-d +SCF:AAT-11 iso-42001-2023 _9.3.2-d-1 +SCF:AAT-11 iso-42001-2023 _9.3.2-d-2 +SCF:AAT-11 iso-42001-2023 _9.3.2-d-3 +SCF:AAT-11 iso-42001-2023 _9.3.2-e +SCF:AAT-11 iso-42001-2023 a.3.3 +SCF:AAT-11 iso-42001-2023 a.8 +SCF:AAT-11 iso-42001-2023 a.8.2 +SCF:AAT-11 iso-42001-2023 a.8.3 +SCF:AAT-11 iso-42001-2023 a.8.4 +SCF:AAT-11 iso-42001-2023 a.8.5 +SCF:AAT-11 nist-ai-100-1-ai-rmf-1.0 govern-5.0 +SCF:AAT-11 nist-ai-100-1-ai-rmf-1.0 map-5.2 +SCF:AAT-11 nist-ai-600-1 gv-4.1-003 +SCF:AAT-11 nist-ai-600-1 gv-4.2-001 +SCF:AAT-11 nist-ai-600-1 gv-4.2-002 +SCF:AAT-11 nist-ai-600-1 gv-4.3-003 +SCF:AAT-11 nist-ai-600-1 govern-5.1 +SCF:AAT-11 nist-ai-600-1 gv-5.1-001 +SCF:AAT-11 nist-ai-600-1 mp-5.1-004 +SCF:AAT-11 nist-ai-600-1 map-5.2 +SCF:AAT-11 nist-ai-600-1 mp-5.2-002 +SCF:AAT-11 nist-ai-600-1 ms-1.1-006 +SCF:AAT-11 nist-ai-600-1 ms-1.1-007 +SCF:AAT-11 nist-ai-600-1 ms-1.1-008 +SCF:AAT-11 nist-ai-600-1 ms-1.3-001 +SCF:AAT-11 nist-ai-600-1 ms-1.3-002 +SCF:AAT-11 nist-ai-600-1 ms-3.3-005 +SCF:AAT-11 nist-ai-600-1 mg-2.4-001 +SCF:AAT-11.1 nist-csf-function-grouping protect +SCF:AAT-11.1 iso-42001-2023 _9.3.2-c +SCF:AAT-11.1 iso-42001-2023 a.3.3 +SCF:AAT-11.1 nist-ai-100-1-ai-rmf-1.0 govern-5.1 +SCF:AAT-11.1 nist-ai-100-1-ai-rmf-1.0 govern-5.2 +SCF:AAT-11.1 nist-ai-100-1-ai-rmf-1.0 manage-4.1 +SCF:AAT-11.1 nist-ai-600-1 gv-5.1-001 +SCF:AAT-11.1 nist-ai-600-1 mp-1.2-002 +SCF:AAT-11.1 nist-ai-600-1 measure-1.3 +SCF:AAT-11.1 nist-ai-600-1 ms-2.10-002 +SCF:AAT-11.1 nist-ai-600-1 ms-4.2-005 +SCF:AAT-11.1 nist-ai-600-1 mg-2.2-006 +SCF:AAT-11.1 nist-ai-600-1 mg-3.2-007 +SCF:AAT-11.2 nist-csf-function-grouping protect +SCF:AAT-11.2 iso-42001-2023 _5.1 +SCF:AAT-11.2 iso-42001-2023 _9.2.1 +SCF:AAT-11.2 iso-42001-2023 _9.2.1-a +SCF:AAT-11.2 iso-42001-2023 _9.2.1-a-1 +SCF:AAT-11.2 iso-42001-2023 _9.2.1-a-2 +SCF:AAT-11.2 iso-42001-2023 _9.2.1-b +SCF:AAT-11.2 iso-42001-2023 a.3.3 +SCF:AAT-11.2 nist-ai-100-1-ai-rmf-1.0 measure-1.3 +SCF:AAT-11.2 nist-ai-100-1-ai-rmf-1.0 measure-2.6 +SCF:AAT-11.2 nist-ai-100-1-ai-rmf-1.0 manage-4.1 +SCF:AAT-11.2 nist-ai-600-1 ms-2.7-009 +SCF:AAT-11.2 nist-ai-600-1 mg-3.1-003 +SCF:AAT-11.3 nist-csf-function-grouping protect +SCF:AAT-11.3 iso-42001-2023 a.3.3 +SCF:AAT-11.3 nist-ai-100-1-ai-rmf-1.0 measure-3.3 +SCF:AAT-11.3 nist-ai-100-1-ai-rmf-1.0 manage-4.1 +SCF:AAT-11.3 nist-ai-600-1 gv-3.2-004 +SCF:AAT-11.3 nist-ai-600-1 gv-4.2-002 +SCF:AAT-11.3 nist-ai-600-1 gv-5.1-001 +SCF:AAT-11.3 nist-ai-600-1 mp-1.2-002 +SCF:AAT-11.3 nist-ai-600-1 mp-5.1-004 +SCF:AAT-11.3 nist-ai-600-1 ms-1.1-004 +SCF:AAT-11.3 nist-ai-600-1 ms-2.7-003 +SCF:AAT-11.3 nist-ai-600-1 ms-2.10-002 +SCF:AAT-11.3 nist-ai-600-1 measure-3.3 +SCF:AAT-11.3 nist-ai-600-1 ms-4.2-005 +SCF:AAT-11.3 nist-ai-600-1 mg-2.2-006 +SCF:AAT-11.3 nist-ai-600-1 mg-2.2-008 +SCF:AAT-11.3 nist-ai-600-1 mg-3.2-004 +SCF:AAT-11.4 nist-csf-function-grouping protect +SCF:AAT-11.4 iso-42001-2023 a.8.3 +SCF:AAT-11.4 iso-42001-2023 a.8.4 +SCF:AAT-11.4 nist-ai-100-1-ai-rmf-1.0 manage-4.3 +SCF:AAT-11.4 nist-ai-600-1 govern-6.2 +SCF:AAT-11.4 nist-ai-600-1 manage-4.3 +SCF:AAT-12 nist-csf-function-grouping protect +SCF:AAT-12 iso-42001-2023 a.6.1.3 +SCF:AAT-12 iso-42001-2023 a.6.2.3 +SCF:AAT-12 nist-ai-100-1-ai-rmf-1.0 govern-6.1 +SCF:AAT-12 nist-ai-600-1 govern-6.1 +SCF:AAT-12 nist-ai-600-1 gv-6.1-001 +SCF:AAT-12 nist-ai-600-1 mp-4.1-002 +SCF:AAT-12 nist-ai-600-1 mp-4.1-006 +SCF:AAT-12 nist-ai-600-1 mp-4.1-010 +SCF:AAT-12 nist-ai-600-1 ms-2.6-002 +SCF:AAT-12 nist-ai-600-1 ms-2.8-001 +SCF:AAT-12 nist-ai-600-1 mg-3.1-004 +SCF:AAT-12.1 nist-csf-function-grouping govern +SCF:AAT-12.1 iso-42001-2023 a.4.3 +SCF:AAT-12.1 iso-42001-2023 a.6.1.3 +SCF:AAT-12.1 iso-42001-2023 a.6.2.3 +SCF:AAT-12.1 iso-42001-2023 a.7 +SCF:AAT-12.1 iso-42001-2023 a.7.2 +SCF:AAT-12.1 iso-42001-2023 a.7.3 +SCF:AAT-12.1 iso-42001-2023 a.7.4 +SCF:AAT-12.1 iso-42001-2023 a.7.5 +SCF:AAT-12.1 iso-42001-2023 a.7.6 +SCF:AAT-12.1 nist-ai-600-1 gv-1.5-001 +SCF:AAT-12.1 nist-ai-600-1 gv-6.1-001 +SCF:AAT-12.1 nist-ai-600-1 gv-6.1-003 +SCF:AAT-12.1 nist-ai-600-1 gv-6.1-004 +SCF:AAT-12.1 nist-ai-600-1 gv-6.1-008 +SCF:AAT-12.1 nist-ai-600-1 mp-2.1-001 +SCF:AAT-12.1 nist-ai-600-1 mp-2.1-002 +SCF:AAT-12.1 nist-ai-600-1 mp-2.2-001 +SCF:AAT-12.1 nist-ai-600-1 mp-5.1-002 +SCF:AAT-12.1 nist-ai-600-1 ms-2.2-001 +SCF:AAT-12.1 nist-ai-600-1 ms-2.2-002 +SCF:AAT-12.1 nist-ai-600-1 ms-2.5-003 +SCF:AAT-12.1 nist-ai-600-1 ms-2.5-005 +SCF:AAT-12.1 nist-ai-600-1 ms-2.10-003 +SCF:AAT-12.1 nist-ai-600-1 mg-2.2-002 +SCF:AAT-12.1 nist-ai-600-1 mg-2.2-003 +SCF:AAT-12.1 nist-ai-600-1 mg-4.1-006 +SCF:AAT-12.2 nist-csf-function-grouping protect +SCF:AAT-12.2 nist-ai-600-1 mp-2.1-002 +SCF:AAT-12.2 nist-ai-600-1 map-2.3 +SCF:AAT-12.2 nist-ai-600-1 mp-4.1-006 +SCF:AAT-12.2 nist-ai-600-1 ms-1.1-007 +SCF:AAT-12.2 nist-ai-600-1 ms-2.7-005 +SCF:AAT-12.2 nist-ai-600-1 ms-2.7-007 +SCF:AAT-12.2 nist-ai-600-1 mg-2.2-002 +SCF:AAT-12.2 nist-ai-600-1 mg-2.2-003 +SCF:AAT-12.2 nist-ai-600-1 mg-4.1-006 +SCF:AAT-12.3 nist-csf-function-grouping protect +SCF:AAT-12.3 nist-ai-600-1 mp-2.1-001 +SCF:AAT-12.3 nist-ai-600-1 mp-3.4-001 +SCF:AAT-12.3 nist-ai-600-1 mp-5.1-002 +SCF:AAT-12.4 nist-csf-function-grouping protect +SCF:AAT-12.4 nist-ai-600-1 gv-6.1-008 +SCF:AAT-12.4 nist-ai-600-1 ms-1.1-001 +SCF:AAT-13 nist-csf-function-grouping identify +SCF:AAT-13 iso-42001-2023 a.4.6 +SCF:AAT-13 nist-ai-100-1-ai-rmf-1.0 map-1.2 +SCF:AAT-13.1 nist-csf-function-grouping govern +SCF:AAT-13.1 iso-42001-2023 _5.1 +SCF:AAT-13.1 iso-42001-2023 _7.2 +SCF:AAT-13.1 iso-42001-2023 a.4.6 +SCF:AAT-13.1 nist-ai-100-1-ai-rmf-1.0 map-3.4 +SCF:AAT-14 nist-csf-function-grouping govern +SCF:AAT-14 iso-42001-2023 _4.1 +SCF:AAT-14 iso-42001-2023 _5.1 +SCF:AAT-14 iso-42001-2023 a.5.4 +SCF:AAT-14 iso-42001-2023 a.5.5 +SCF:AAT-14 iso-42001-2023 a.6.2.2 +SCF:AAT-14 iso-42001-2023 a.6.2.3 +SCF:AAT-14 nist-ai-100-1-ai-rmf-1.0 map-1.6 +SCF:AAT-14.1 nist-csf-function-grouping govern +SCF:AAT-14.1 iso-42001-2023 a.6.1.3 +SCF:AAT-14.1 iso-42001-2023 a.6.2.3 +SCF:AAT-14.1 iso-42001-2023 a.6.2.5 +SCF:AAT-14.1 nist-ai-100-1-ai-rmf-1.0 map-2.1 +SCF:AAT-14.1 nist-ai-600-1 map-2.1 +SCF:AAT-14.2 nist-csf-function-grouping identify +SCF:AAT-14.2 iso-42001-2023 a.6.1.3 +SCF:AAT-14.2 iso-42001-2023 a.6.2.3 +SCF:AAT-14.2 nist-ai-100-1-ai-rmf-1.0 map-2.2 +SCF:AAT-14.2 nist-ai-600-1 map-2.2 +SCF:AAT-15 nist-csf-function-grouping protect +SCF:AAT-15 iso-42001-2023 _5.1 +SCF:AAT-15 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:AAT-15 nist-ai-600-1 gv-4.1-002 +SCF:AAT-15.1 nist-csf-function-grouping protect +SCF:AAT-15.1 iso-42001-2023 _6.1.2-c +SCF:AAT-15.1 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:AAT-15.1 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:AAT-15.1 nist-ai-100-1-ai-rmf-1.0 manage-1.4 +SCF:AAT-15.1 nist-ai-600-1 mg-1.3-001 +SCF:AAT-15.2 nist-csf-function-grouping protect +SCF:AAT-15.2 iso-42001-2023 _5.3 +SCF:AAT-15.2 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:AAT-15.2 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:AAT-15.2 nist-ai-100-1-ai-rmf-1.0 manage-2.4 +SCF:AAT-15.2 nist-ai-600-1 gv-4.1-002 +SCF:AAT-15.2 nist-ai-600-1 ms-4.2-004 +SCF:AAT-15.2 nist-ai-600-1 manage-2.4 +SCF:AAT-15.2 nist-ai-600-1 mg-2.4-002 +SCF:AAT-15.2 nist-ai-600-1 mg-2.4-004 +SCF:AAT-16 nist-csf-function-grouping detect +SCF:AAT-16 csa-iot-scf-2 sap-10 +SCF:AAT-16 iso-42001-2023 a.6.2.6 +SCF:AAT-16 nist-ai-100-1-ai-rmf-1.0 measure-2.4 +SCF:AAT-16 nist-ai-600-1 measure-2.6 +SCF:AAT-16.1 nist-csf-function-grouping detect +SCF:AAT-16.1 nist-ai-100-1-ai-rmf-1.0 measure-4.1 +SCF:AAT-16.2 nist-csf-function-grouping detect +SCF:AAT-16.2 nist-ai-100-1-ai-rmf-1.0 measure-1.0 +SCF:AAT-16.2 nist-ai-100-1-ai-rmf-1.0 measure-1.1 +SCF:AAT-16.2 nist-ai-100-1-ai-rmf-1.0 measure-1.2 +SCF:AAT-16.2 nist-ai-100-1-ai-rmf-1.0 measure-3.0 +SCF:AAT-16.2 nist-ai-600-1 gv4.3-001 +SCF:AAT-16.2 nist-ai-600-1 mg-1.3-002 +SCF:AAT-16.3 nist-csf-function-grouping detect +SCF:AAT-16.3 iso-42001-2023 _6.1.2-c +SCF:AAT-16.3 nist-ai-100-1-ai-rmf-1.0 measure-1.1 +SCF:AAT-16.3 nist-ai-600-1 ms-1.1-009 +SCF:AAT-16.4 nist-csf-function-grouping govern +SCF:AAT-16.4 nist-ai-100-1-ai-rmf-1.0 measure-4.0 +SCF:AAT-16.4 nist-ai-600-1 measure-1.1 +SCF:AAT-16.4 nist-ai-600-1 mg-2.2-003 +SCF:AAT-16.5 nist-csf-function-grouping govern +SCF:AAT-16.5 nist-ai-100-1-ai-rmf-1.0 measure-4.2 +SCF:AAT-16.5 nist-ai-600-1 mp-2.3-001 +SCF:AAT-16.5 nist-ai-600-1 manage-4.1 +SCF:AAT-16.5 nist-ai-600-1 mg-4.1-001 +SCF:AAT-16.6 nist-csf-function-grouping govern +SCF:AAT-16.6 nist-ai-100-1-ai-rmf-1.0 measure-4.3 +SCF:AAT-16.7 nist-csf-function-grouping protect +SCF:AAT-16.7 nist-ai-100-1-ai-rmf-1.0 manage-3.2 +SCF:AAT-16.7 nist-ai-600-1 mp-4.1-004 +SCF:AAT-16.8 nist-csf-function-grouping protect +SCF:AAT-16.8 nist-ai-600-1 gv-4.3-002 +SCF:AAT-16.8 nist-ai-600-1 manage-4.1 +SCF:AAT-16.9 nist-csf-function-grouping protect +SCF:AAT-16.9 nist-ai-600-1 gv-2.1-004 +SCF:AAT-16.9 nist-ai-600-1 gv-4.3-002 +SCF:AAT-16.10 nist-csf-function-grouping protect +SCF:AAT-16.11 nist-csf-function-grouping protect +SCF:AAT-16.11 csa-iot-scf-2 sap-10 +SCF:AAT-16.12 nist-csf-function-grouping protect +SCF:AAT-16.13 nist-csf-function-grouping protect +SCF:AAT-16.14 nist-csf-function-grouping protect +SCF:AAT-17 nist-csf-function-grouping protect +SCF:AAT-17 nist-ai-100-1-ai-rmf-1.0 measure-2.2 +SCF:AAT-17 nist-ai-100-1-ai-rmf-1.0 measure-3.1 +SCF:AAT-17 nist-ai-600-1 ms-2.12-001 +SCF:AAT-17 nist-ai-600-1 mg-4.3-002 +SCF:AAT-17.1 nist-csf-function-grouping protect +SCF:AAT-17.1 nist-ai-100-1-ai-rmf-1.0 measure-2.2 +SCF:AAT-17.1 nist-ai-600-1 measure-2.2 +SCF:AAT-17.1 nist-ai-600-1 ms-2.6-001 +SCF:AAT-17.1 nist-ai-600-1 ms-2.6-002 +SCF:AAT-17.1 nist-ai-600-1 ms-2.8-004 +SCF:AAT-17.1 nist-ai-600-1 ms-2.12-001 +SCF:AAT-17.2 nist-csf-function-grouping govern +SCF:AAT-17.2 iso-42001-2023 _4.1 +SCF:AAT-17.2 nist-ai-100-1-ai-rmf-1.0 measure-2.12 +SCF:AAT-17.2 nist-ai-600-1 ms-2.6-002 +SCF:AAT-17.2 nist-ai-600-1 measure-2.12 +SCF:AAT-17.2 nist-ai-600-1 ms-2.12-002 +SCF:AAT-17.2 nist-ai-600-1 ms-2.12-003 +SCF:AAT-17.2 nist-ai-600-1 ms-2.12-004 +SCF:AAT-17.3 nist-csf-function-grouping govern +SCF:AAT-17.3 iso-42001-2023 _6.1.2-c +SCF:AAT-17.3 iso-42001-2023 _10.2 +SCF:AAT-17.3 iso-42001-2023 _10.2-a +SCF:AAT-17.3 iso-42001-2023 _10.2-a-1 +SCF:AAT-17.3 iso-42001-2023 _10.2-a-2 +SCF:AAT-17.3 iso-42001-2023 _10.2-b +SCF:AAT-17.3 iso-42001-2023 _10.2-b-1 +SCF:AAT-17.3 iso-42001-2023 _10.2-b-2 +SCF:AAT-17.3 iso-42001-2023 _10.2-b-3 +SCF:AAT-17.3 iso-42001-2023 _10.2-c +SCF:AAT-17.3 iso-42001-2023 _10.2-d +SCF:AAT-17.3 iso-42001-2023 _10.2-e +SCF:AAT-17.3 nist-ai-100-1-ai-rmf-1.0 manage-2.3 +SCF:AAT-17.3 nist-ai-600-1 manage-2.3 +SCF:AAT-17.4 nist-csf-function-grouping protect +SCF:AAT-17.4 nist-ai-600-1 ms-1.1-005 +SCF:AAT-17.5 nist-csf-function-grouping protect +SCF:AAT-17.5 nist-ai-600-1 ms-2.7-008 +SCF:AAT-18 nist-csf-function-grouping govern +SCF:AAT-18 nist-ai-100-1-ai-rmf-1.0 measure-3.2 +SCF:AAT-18 nist-ai-600-1 mp-5.2-001 +SCF:AAT-18.1 nist-csf-function-grouping govern +SCF:AAT-18.1 iso-42001-2023 _10.2 +SCF:AAT-18.1 iso-42001-2023 _10.2-a +SCF:AAT-18.1 iso-42001-2023 _10.2-a-1 +SCF:AAT-18.1 iso-42001-2023 _10.2-a-2 +SCF:AAT-18.1 iso-42001-2023 _10.2-b +SCF:AAT-18.1 iso-42001-2023 _10.2-b-1 +SCF:AAT-18.1 iso-42001-2023 _10.2-b-2 +SCF:AAT-18.1 iso-42001-2023 _10.2-b-3 +SCF:AAT-18.1 iso-42001-2023 _10.2-c +SCF:AAT-18.1 iso-42001-2023 _10.2-d +SCF:AAT-18.1 iso-42001-2023 _10.2-e +SCF:AAT-18.1 nist-ai-100-1-ai-rmf-1.0 manage-1.0 +SCF:AAT-18.1 nist-ai-600-1 gv-1.3-007 +SCF:AAT-18.1 nist-ai-600-1 mg-2.4-003 +SCF:AAT-19 nist-csf-function-grouping protect +SCF:AAT-19 nist-ai-600-1 ms-2.6-005 +SCF:AAT-19 nist-ai-600-1 ms-2.10-001 +SCF:AAT-19.1 nist-csf-function-grouping protect +SCF:AAT-19.2 nist-csf-function-grouping protect +SCF:AAT-19.3 nist-csf-function-grouping protect +SCF:AAT-19.4 nist-csf-function-grouping protect +SCF:AAT-19.5 nist-csf-function-grouping protect +SCF:AAT-19.6 nist-csf-function-grouping protect +SCF:AAT-19.7 nist-csf-function-grouping protect +SCF:AAT-19.8 nist-csf-function-grouping protect +SCF:AAT-19.8 nist-ai-600-1 ms-2.10-001 +SCF:AAT-20 nist-csf-function-grouping protect +SCF:AAT-20.1 nist-csf-function-grouping protect +SCF:AAT-20.1 nist-ai-600-1 mp-2.2-002 +SCF:AAT-20.1 nist-ai-600-1 ms-2.8-003 +SCF:AAT-20.1 nist-ai-600-1 measure-2.9 +SCF:AAT-20.1 nist-ai-600-1 ms-4.2-003 +SCF:AAT-20.1 nist-ai-600-1 mg-3.1-005 +SCF:AAT-20.2 nist-csf-function-grouping protect +SCF:AAT-20.2 nist-ai-600-1 measure-2.3 +SCF:AAT-20.2 nist-ai-600-1 ms-2.9-002 +SCF:AAT-20.3 nist-csf-function-grouping protect +SCF:AAT-20.3 nist-ai-600-1 ms-2.5-002 +SCF:AAT-21 nist-csf-function-grouping protect +SCF:AAT-22 nist-csf-function-grouping protect +SCF:AAT-22.1 nist-csf-function-grouping protect +SCF:AAT-22.2 nist-csf-function-grouping protect +SCF:AAT-22.3 nist-csf-function-grouping protect +SCF:AAT-22.4 nist-csf-function-grouping protect +SCF:AAT-22.5 nist-csf-function-grouping protect +SCF:AAT-22.6 nist-csf-function-grouping protect +SCF:AAT-22.7 nist-csf-function-grouping protect +SCF:AAT-22.7 nist-ai-600-1 mp-5.1-003 +SCF:AAT-22.8 nist-csf-function-grouping protect +SCF:AAT-22.8 nist-ai-600-1 mp-5.1-003 +SCF:AAT-23 nist-csf-function-grouping protect +SCF:AAT-23 nist-ai-600-1 mp-4.1-009 +SCF:AAT-24 nist-csf-function-grouping protect +SCF:AAT-25 nist-csf-function-grouping protect +SCF:AAT-25 nist-ai-600-1 gv-6.2-001 +SCF:AAT-25 nist-ai-600-1 ms-4.2-002 +SCF:AAT-25.1 nist-csf-function-grouping protect +SCF:AAT-25.1 nist-ai-600-1 gv-6.2-001 +SCF:AAT-25.1 nist-ai-600-1 gv-6.2-006 +SCF:AAT-26 nist-csf-function-grouping protect +SCF:AAT-26 nist-ai-600-1 mp-2.3-003 +SCF:AAT-26 nist-ai-600-1 ms-1.1-002 +SCF:AAT-26 nist-ai-600-1 ms-2.2-002 +SCF:AAT-26 nist-ai-600-1 ms-2.5-003 +SCF:AAT-26 nist-ai-600-1 ms-2.6-004 +SCF:AAT-26 nist-ai-600-1 ms-2.9-001 +SCF:AAT-26 nist-ai-600-1 ms-2.11-001 +SCF:AAT-26 nist-ai-600-1 ms-4.2-001 +SCF:AAT-26 nist-ai-600-1 mg-3.1-004 +SCF:AAT-26.1 nist-csf-function-grouping protect +SCF:AAT-26.1 nist-ai-600-1 mp-2.3-004 +SCF:AAT-26.1 nist-ai-600-1 ms-2.5-004 +SCF:AAT-26.1 nist-ai-600-1 ms-2.8-003 +SCF:AAT-26.2 nist-csf-function-grouping protect +SCF:AAT-26.2 nist-ai-600-1 mp-3.4-004 +SCF:AAT-26.3 nist-csf-function-grouping protect +SCF:AAT-26.3 nist-ai-600-1 mp-3.4-006 +SCF:AAT-26.3 nist-ai-600-1 ms-1.1-008 +SCF:AAT-26.4 nist-csf-function-grouping protect +SCF:AAT-26.4 nist-ai-600-1 ms-2.8-002 +SCF:AAT-27 nist-csf-function-grouping protect +SCF:AAT-27 nist-ai-600-1 mp-1.1-004 +SCF:AAT-27 nist-ai-600-1 mp-4.1-009 +SCF:AAT-27 nist-ai-600-1 mg-2.2-005 +SCF:AAT-27 nist-ai-600-1 mg-3.2-005 +SCF:AAT-27.1 nist-csf-function-grouping protect +SCF:AAT-27.1 nist-ai-600-1 mg-3.2-008 +SCF:AAT-28 nist-csf-function-grouping protect +SCF:AAT-28.1 nist-csf-function-grouping protect +SCF:AAT-28.2 nist-csf-function-grouping protect +SCF:AAT-28.3 nist-csf-function-grouping protect +SCF:AAT-29 nist-csf-function-grouping protect +SCF:AAT-29.1 nist-csf-function-grouping protect +SCF:AAT-29.2 nist-csf-function-grouping protect +SCF:AAT-29.3 nist-csf-function-grouping protect +SCF:AAT-29.4 nist-csf-function-grouping protect +SCF:AAT-29.5 nist-csf-function-grouping protect +SCF:AAT-29.6 nist-csf-function-grouping protect +SCF:AAT-29.7 nist-csf-function-grouping protect +SCF:AAT-29.8 nist-csf-function-grouping protect +SCF:AAT-29.9 nist-csf-function-grouping protect +SCF:AAT-29.10 nist-csf-function-grouping protect +SCF:AAT-29.11 nist-csf-function-grouping protect +SCF:AAT-29.12 nist-csf-function-grouping protect +SCF:AAT-29.13 nist-csf-function-grouping protect +SCF:AAT-29.14 nist-csf-function-grouping protect +SCF:AAT-29.15 nist-csf-function-grouping protect +SCF:AAT-29.16 nist-csf-function-grouping protect +SCF:AAT-29.17 nist-csf-function-grouping protect +SCF:AAT-29.18 nist-csf-function-grouping protect +SCF:AAT-29.19 nist-csf-function-grouping protect +SCF:AAT-29.20 nist-csf-function-grouping protect +SCF:AAT-29.21 nist-csf-function-grouping protect +SCF:AAT-29.22 nist-csf-function-grouping protect +SCF:AAT-29.23 nist-csf-function-grouping protect +SCF:AAT-30 nist-csf-function-grouping protect +SCF:AAT-30.1 nist-csf-function-grouping protect +SCF:AAT-30.2 nist-csf-function-grouping protect +SCF:AAT-31 nist-csf-function-grouping protect +SCF:AAT-32 nist-csf-function-grouping protect +SCF:AAT-32.1 nist-csf-function-grouping protect +SCF:AST-01 nist-csf-function-grouping govern +SCF:AST-01 cis-csc-8.1 _1.0 +SCF:AST-01 cis-csc-8.1 _2.0 +SCF:AST-01 cis-csc-8.1 _2.1 +SCF:AST-01 cis-csc-8.1 _2.2 +SCF:AST-01 cis-csc-8.1-ig1 _2.1 +SCF:AST-01 cis-csc-8.1-ig1 _2.2 +SCF:AST-01 cis-csc-8.1-ig2 _2.1 +SCF:AST-01 cis-csc-8.1-ig2 _2.2 +SCF:AST-01 cis-csc-8.1-ig3 _2.1 +SCF:AST-01 cis-csc-8.1-ig3 _2.2 +SCF:AST-01 cobit-2019 bai09.04 +SCF:AST-01 cobit-2019 bai09.05 +SCF:AST-01 csa-iot-scf-2 asm-02 +SCF:AST-01 iso-27002-2022 _5.3 +SCF:AST-01 iso-27002-2022 _5.31 +SCF:AST-01 iso-27002-2022 _7.9 +SCF:AST-01 iso-27017-2015 _11.2.6 +SCF:AST-01 iso-27018-2025 _5.30 +SCF:AST-01 iso-27018-2025 _5.31 +SCF:AST-01 iso-27018-2025 _7.9 +SCF:AST-01 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:AST-01 nist-privacy-framework-1.0 id.im-p +SCF:AST-01 nist-privacy-framework-1.0 pr.ds-p3 +SCF:AST-01 nist-800-37-r2 task-p-18 +SCF:AST-01 nist-800-53-r4 pm-5 +SCF:AST-01 nist-800-53-r5 pm-05 +SCF:AST-01 nist-800-53b-r5-privacy pm-05 +SCF:AST-01 nist-sp-800-66-r2 _164.308-a-7 +SCF:AST-01 nist-sp-800-66-r2 _164.310-d +SCF:AST-01 nist-800-82-r3 pm-05 +SCF:AST-01 nist-800-82-r3-low-ot-overlay pm-05 +SCF:AST-01 nist-800-82-r3-moderate-ot-overlay pm-05 +SCF:AST-01 nist-800-82-r3-high-ot-overlay pm-05 +SCF:AST-01 nist-800-161-r1 pm-5 +SCF:AST-01 nist-800-161-r1-flow-down pm-5 +SCF:AST-01 nist-800-161-r1-level-2 pm-5 +SCF:AST-01 nist-800-161-r1-level-3 pm-5 +SCF:AST-01 nist-800-171-r2 _3.4.1 +SCF:AST-01 nist-800-171-r2 _3.8.3 +SCF:AST-01 nist-800-171-r3 _03.01.03 +SCF:AST-01 nist-800-171-r3 _03.01.18.a +SCF:AST-01 nist-800-171-r3 _03.04.11.a +SCF:AST-01 nist-800-171-r3 _03.07.04.a +SCF:AST-01 nist-800-207 nist-tenet-1 +SCF:AST-01 nist-800-207 nist-tenet-5 +SCF:AST-01 nist-csf-2.0 gv.sc-04 +SCF:AST-01 nist-csf-2.0 id.am +SCF:AST-01 nist-csf-2.0 id.am-08 +SCF:AST-01 pci-dss-4.0.1 _6.3.2 +SCF:AST-01 pci-dss-4.0.1 _9.5.1 +SCF:AST-01 pci-dss-4.0.1 _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1 _11.2 +SCF:AST-01 pci-dss-4.0.1 _11.2.2 +SCF:AST-01 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:AST-01 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-b _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-b-ip _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-c _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1-saq-c _11.2.2 +SCF:AST-01 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:AST-01 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-d-merchant _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1-saq-d-merchant _11.2.2 +SCF:AST-01 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:AST-01 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-d-service-provider _9.5.1.1 +SCF:AST-01 pci-dss-4.0.1-saq-d-service-provider _11.2.2 +SCF:AST-01 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-01 pci-dss-4.0.1-saq-p2pe _9.5.1.1 +SCF:AST-01.1 nist-csf-function-grouping identify +SCF:AST-01.1 cobit-2019 apo09.01 +SCF:AST-01.1 cobit-2019 bai04.02 +SCF:AST-01.1 cobit-2019 bai09.02 +SCF:AST-01.1 iso-27002-2022 _5.9 +SCF:AST-01.1 iso-27002-2022 _5.3 +SCF:AST-01.1 iso-27017-2015 _8.1.1 +SCF:AST-01.1 iso-27018-2025 _5.9 +SCF:AST-01.1 iso-27018-2025 _5.30 +SCF:AST-01.1 nist-privacy-framework-1.0 id.im-p8 +SCF:AST-01.1 nist-sp-800-66-r2 _164.308-a-7 +SCF:AST-01.1 nist-800-171-r3 _03.01.03 +SCF:AST-01.1 nist-800-207 nist-tenet-1 +SCF:AST-01.1 nist-csf-2.0 gv.oc +SCF:AST-01.1 nist-csf-2.0 gv.sc-04 +SCF:AST-01.1 nist-csf-2.0 id.am +SCF:AST-01.2 nist-csf-function-grouping identify +SCF:AST-01.2 cobit-2019 edm05.01 +SCF:AST-01.2 cobit-2019 edm05.02 +SCF:AST-01.2 cobit-2019 edm05.03 +SCF:AST-01.2 cobit-2019 bai01.03 +SCF:AST-01.2 iso-27001-2022 _4.2 +SCF:AST-01.2 iso-27001-2022 _4.2-a +SCF:AST-01.2 iso-27002-2022 _5.9 +SCF:AST-01.2 iso-27017-2015 _8.1.1 +SCF:AST-01.2 iso-27018-2025 _5.9 +SCF:AST-01.2 iso-27701-2025 _4.2 +SCF:AST-01.2 iso-42001-2023 _9.3.2-c +SCF:AST-01.2 iso-42001-2023 a.4.6 +SCF:AST-01.2 iso-42001-2023 a.8 +SCF:AST-01.2 iso-42001-2023 a.8.2 +SCF:AST-01.2 iso-42001-2023 a.8.3 +SCF:AST-01.2 iso-42001-2023 a.8.4 +SCF:AST-01.2 iso-42001-2023 a.8.5 +SCF:AST-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.1 +SCF:AST-01.2 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:AST-01.2 nist-ai-100-1-ai-rmf-1.0 govern-5.0 +SCF:AST-01.2 nist-privacy-framework-1.0 id.im-p8 +SCF:AST-01.2 nist-800-37-r2 task-p-9 +SCF:AST-01.2 nist-csf-2.0 gv.oc +SCF:AST-01.2 nist-csf-2.0 gv.oc-02 +SCF:AST-01.2 nist-csf-2.0 id.am +SCF:AST-01.2 nist-csf-2.0 id.am-08 +SCF:AST-01.3 nist-csf-function-grouping identify +SCF:AST-01.3 csa-ccm-4.1.0 dcs-09 +SCF:AST-01.3 csa-iot-scf-2 asm-04 +SCF:AST-01.4 nist-csf-function-grouping identify +SCF:AST-01.4 nist-800-171a-r3 a.03.04.08.c +SCF:AST-01.5 nist-csf-function-grouping identify +SCF:AST-02 nist-csf-function-grouping identify +SCF:AST-02 cis-csc-8.1 _1.0 +SCF:AST-02 cis-csc-8.1 _1.1 +SCF:AST-02 cis-csc-8.1 _2.0 +SCF:AST-02 cis-csc-8.1 _2.1 +SCF:AST-02 cis-csc-8.1 _2.2 +SCF:AST-02 cis-csc-8.1 _2.4 +SCF:AST-02 cis-csc-8.1 _6.6 +SCF:AST-02 cis-csc-8.1-ig1 _1.1 +SCF:AST-02 cis-csc-8.1-ig1 _2.1 +SCF:AST-02 cis-csc-8.1-ig1 _2.2 +SCF:AST-02 cis-csc-8.1-ig2 _1.1 +SCF:AST-02 cis-csc-8.1-ig2 _2.1 +SCF:AST-02 cis-csc-8.1-ig2 _2.2 +SCF:AST-02 cis-csc-8.1-ig2 _2.4 +SCF:AST-02 cis-csc-8.1-ig2 _6.6 +SCF:AST-02 cis-csc-8.1-ig3 _1.1 +SCF:AST-02 cis-csc-8.1-ig3 _2.1 +SCF:AST-02 cis-csc-8.1-ig3 _2.2 +SCF:AST-02 cis-csc-8.1-ig3 _2.4 +SCF:AST-02 cis-csc-8.1-ig3 _6.6 +SCF:AST-02 cobit-2019 apo14.08 +SCF:AST-02 cobit-2019 bai09.01 +SCF:AST-02 cobit-2019 bai09.05 +SCF:AST-02 csa-ccm-4.1.0 dcs-07 +SCF:AST-02 csa-ccm-4.1.0 dsp-03 +SCF:AST-02 csa-ccm-4.1.0 uem-04 +SCF:AST-02 csa-iot-scf-2 asm-01 +SCF:AST-02 csa-iot-scf-2 snt-04 +SCF:AST-02 iec-62443-2-1-2024 cm-1.1 +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-a +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-b +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-c +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-d +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-e +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-f +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-g +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-h +SCF:AST-02 iec-62443-2-1-2024 cm-1.1-i +SCF:AST-02 iec-62443-3-3-2013 sr-7.8 +SCF:AST-02 iec-62443-4-2-2019 cr-7.8 +SCF:AST-02 iso-27002-2022 _5.9 +SCF:AST-02 iso-27017-2015 _8.1.1 +SCF:AST-02 iso-27018-2025 _5.9 +SCF:AST-02 nist-ai-100-1-ai-rmf-1.0 govern-1.6 +SCF:AST-02 nist-ai-600-1 govern-1.6 +SCF:AST-02 nist-ai-600-1 gv-1.6-001 +SCF:AST-02 nist-ai-600-1 gv-1.6-002 +SCF:AST-02 nist-privacy-framework-1.0 id.im-p1 +SCF:AST-02 nist-800-37-r2 task-p-10 +SCF:AST-02 nist-800-53-r4 cm-8 +SCF:AST-02 nist-800-53-r4 pm-5 +SCF:AST-02 nist-800-53-r5 cm-08 +SCF:AST-02 nist-800-53-r5 pm-05 +SCF:AST-02 nist-800-53b-r5-privacy cm-08 +SCF:AST-02 nist-800-53b-r5-privacy pm-05 +SCF:AST-02 nist-800-53b-r5-low cm-08 +SCF:AST-02 nist-sp-800-66-r2 _164.310-d +SCF:AST-02 nist-800-82-r3 cm-08 +SCF:AST-02 nist-800-82-r3 pm-05 +SCF:AST-02 nist-800-82-r3-low-ot-overlay cm-08 +SCF:AST-02 nist-800-82-r3-low-ot-overlay pm-05 +SCF:AST-02 nist-800-82-r3-moderate-ot-overlay cm-08 +SCF:AST-02 nist-800-82-r3-moderate-ot-overlay pm-05 +SCF:AST-02 nist-800-82-r3-high-ot-overlay cm-08 +SCF:AST-02 nist-800-82-r3-high-ot-overlay pm-05 +SCF:AST-02 nist-800-161-r1 cm-8 +SCF:AST-02 nist-800-161-r1 pm-5 +SCF:AST-02 nist-800-161-r1-c-scrm-baseline cm-8 +SCF:AST-02 nist-800-161-r1-flow-down cm-8 +SCF:AST-02 nist-800-161-r1-flow-down pm-5 +SCF:AST-02 nist-800-161-r1-level-2 cm-8 +SCF:AST-02 nist-800-161-r1-level-2 pm-5 +SCF:AST-02 nist-800-161-r1-level-3 cm-8 +SCF:AST-02 nist-800-161-r1-level-3 pm-5 +SCF:AST-02 nist-800-171-r2 _3.4.1 +SCF:AST-02 nist-800-171-r3 _03.04.08.a +SCF:AST-02 nist-800-171-r3 _03.04.08.c +SCF:AST-02 nist-800-171-r3 _03.04.10.a +SCF:AST-02 nist-800-171-r3 _03.04.10.b +SCF:AST-02 nist-800-171-r3 _03.04.11.a +SCF:AST-02 nist-800-171a _3.4.1-d +SCF:AST-02 nist-800-171a _3.4.1-e +SCF:AST-02 nist-800-171a _3.4.1-f +SCF:AST-02 nist-800-171a-r3 a.03.04.10.odp-01 +SCF:AST-02 nist-800-171a-r3 a.03.04.10.a +SCF:AST-02 nist-800-171a-r3 a.03.04.10.b-01 +SCF:AST-02 nist-800-171a-r3 a.03.04.10.b-02 +SCF:AST-02 nist-800-172 _3.1.2e +SCF:AST-02 nist-800-207 nist-tenet-1 +SCF:AST-02 nist-csf-2.0 id.am +SCF:AST-02 nist-csf-2.0 id.am-01 +SCF:AST-02 nist-csf-2.0 id.am-02 +SCF:AST-02 pci-dss-4.0.1 _6.3.2 +SCF:AST-02 pci-dss-4.0.1 _9.5.1 +SCF:AST-02 pci-dss-4.0.1 _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1 _11.2 +SCF:AST-02 pci-dss-4.0.1 _11.2.2 +SCF:AST-02 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:AST-02 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-b _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-b-ip _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-c _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1-saq-c _11.2.2 +SCF:AST-02 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:AST-02 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-d-merchant _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1-saq-d-merchant _11.2.2 +SCF:AST-02 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:AST-02 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-d-service-provider _9.5.1.1 +SCF:AST-02 pci-dss-4.0.1-saq-d-service-provider _11.2.2 +SCF:AST-02 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-02 pci-dss-4.0.1-saq-p2pe _9.5.1.1 +SCF:AST-02.1 nist-csf-function-grouping identify +SCF:AST-02.1 nist-800-53-r4 cm-8-1 +SCF:AST-02.1 nist-800-53-r5 cm-08-01 +SCF:AST-02.1 nist-800-53b-r5-moderate cm-08-01 +SCF:AST-02.1 nist-sp-800-66-r2 _164.310-d +SCF:AST-02.1 nist-800-82-r3 cm-08-01 +SCF:AST-02.1 nist-800-82-r3-moderate-ot-overlay cm-08-01 +SCF:AST-02.1 nist-800-82-r3-high-ot-overlay cm-08-01 +SCF:AST-02.1 nist-800-161-r1 cm-8-1 +SCF:AST-02.1 nist-800-161-r1-level-3 cm-8-1 +SCF:AST-02.1 nist-800-171-r3 _03.04.10.a +SCF:AST-02.1 nist-800-171-r3 _03.04.10.b +SCF:AST-02.1 nist-800-171-r3 _03.04.10.c +SCF:AST-02.1 nist-800-171a _3.4.1-f +SCF:AST-02.1 nist-800-171a-r3 a.03.04.10.c-01 +SCF:AST-02.1 nist-800-171a-r3 a.03.04.10.c-02 +SCF:AST-02.1 nist-800-171a-r3 a.03.04.10.c-03 +SCF:AST-02.2 nist-csf-function-grouping detect +SCF:AST-02.2 cis-csc-8.1 _1.2 +SCF:AST-02.2 cis-csc-8.1 _1.3 +SCF:AST-02.2 cis-csc-8.1 _1.5 +SCF:AST-02.2 cis-csc-8.1 _2.3 +SCF:AST-02.2 cis-csc-8.1 _2.4 +SCF:AST-02.2 cis-csc-8.1-ig1 _1.2 +SCF:AST-02.2 cis-csc-8.1-ig1 _2.3 +SCF:AST-02.2 cis-csc-8.1-ig2 _1.2 +SCF:AST-02.2 cis-csc-8.1-ig2 _1.3 +SCF:AST-02.2 cis-csc-8.1-ig2 _2.3 +SCF:AST-02.2 cis-csc-8.1-ig2 _2.4 +SCF:AST-02.2 cis-csc-8.1-ig3 _1.2 +SCF:AST-02.2 cis-csc-8.1-ig3 _1.3 +SCF:AST-02.2 cis-csc-8.1-ig3 _1.5 +SCF:AST-02.2 cis-csc-8.1-ig3 _2.3 +SCF:AST-02.2 cis-csc-8.1-ig3 _2.4 +SCF:AST-02.2 csa-iot-scf-2 snt-04 +SCF:AST-02.2 iec-62443-2-1-2024 org-2.2-a +SCF:AST-02.2 nist-800-53-r4 cm-8-3 +SCF:AST-02.2 nist-800-53-r5 cm-08-03 +SCF:AST-02.2 nist-800-53b-r5-privacy cm-08-03 +SCF:AST-02.2 nist-800-53b-r5-moderate cm-08-03 +SCF:AST-02.2 nist-800-82-r3 cm-08-03 +SCF:AST-02.2 nist-800-82-r3-moderate-ot-overlay cm-08-03 +SCF:AST-02.2 nist-800-82-r3-high-ot-overlay cm-08-03 +SCF:AST-02.2 nist-800-160-vol2-r1 cm-08-03 +SCF:AST-02.2 nist-800-207 nist-tenet-5 +SCF:AST-02.2 nist-800-207 nist-tenet-6 +SCF:AST-02.3 nist-csf-function-grouping identify +SCF:AST-02.3 cis-csc-8.1 _1.3 +SCF:AST-02.3 cis-csc-8.1-ig2 _1.3 +SCF:AST-02.3 cis-csc-8.1-ig3 _1.3 +SCF:AST-02.3 nist-800-53-r4 cm-8-5 +SCF:AST-02.3 nist-800-53-r5 cm-08 +SCF:AST-02.3 nist-800-53b-r5-privacy cm-08 +SCF:AST-02.3 nist-800-53b-r5-low cm-08 +SCF:AST-02.3 nist-800-82-r3 cm-08 +SCF:AST-02.3 nist-800-82-r3-low-ot-overlay cm-08 +SCF:AST-02.3 nist-800-82-r3-moderate-ot-overlay cm-08 +SCF:AST-02.3 nist-800-82-r3-high-ot-overlay cm-08 +SCF:AST-02.3 nist-800-161-r1 cm-8 +SCF:AST-02.3 nist-800-161-r1-c-scrm-baseline cm-8 +SCF:AST-02.3 nist-800-161-r1-flow-down cm-8 +SCF:AST-02.3 nist-800-161-r1-level-2 cm-8 +SCF:AST-02.3 nist-800-161-r1-level-3 cm-8 +SCF:AST-02.3 nist-800-171-r2 nfo-cm-8-5 +SCF:AST-02.3 nist-800-207 nist-tenet-1 +SCF:AST-02.4 nist-csf-function-grouping identify +SCF:AST-02.4 iec-tr-60601-4-5-2021 _5.2 +SCF:AST-02.4 nist-800-53-r4 cm-8-6 +SCF:AST-02.4 nist-800-53-r5 cm-08-06 +SCF:AST-02.4 nist-800-82-r3 cm-08-06 +SCF:AST-02.4 nist-800-161-r1 cm-8-6 +SCF:AST-02.4 nist-800-161-r1-level-3 cm-8-6 +SCF:AST-02.4 nist-800-171-r3 _03.04.02.b +SCF:AST-02.4 nist-800-171-r3 _03.04.06.a +SCF:AST-02.5 nist-csf-function-grouping protect +SCF:AST-02.5 cis-csc-8.1 _13.9 +SCF:AST-02.5 cis-csc-8.1-ig3 _13.9 +SCF:AST-02.5 nist-800-53-r4 ia-3-4 +SCF:AST-02.5 nist-800-53-r5 ia-03-03 +SCF:AST-02.5 nist-800-53-r5 sc-07-19 +SCF:AST-02.5 nist-800-82-r3 ia-03-03 +SCF:AST-02.5 nist-800-82-r3 sc-07-19 +SCF:AST-02.5 nist-800-161-r1 sc-7-19 +SCF:AST-02.5 nist-800-161-r1-level-3 sc-7-19 +SCF:AST-02.5 nist-800-172 _3.5.3e +SCF:AST-02.5 nist-800-207 nist-tenet-6 +SCF:AST-02.6 nist-csf-function-grouping identify +SCF:AST-02.6 cis-csc-8.1 _1.4 +SCF:AST-02.6 cis-csc-8.1 _1.5 +SCF:AST-02.6 cis-csc-8.1-ig2 _1.4 +SCF:AST-02.6 cis-csc-8.1-ig3 _1.4 +SCF:AST-02.6 cis-csc-8.1-ig3 _1.5 +SCF:AST-02.6 nist-800-207 nist-tenet-7 +SCF:AST-02.7 nist-csf-function-grouping identify +SCF:AST-02.7 cis-csc-8.1 _2.2 +SCF:AST-02.7 cis-csc-8.1-ig1 _2.2 +SCF:AST-02.7 cis-csc-8.1-ig2 _2.2 +SCF:AST-02.7 cis-csc-8.1-ig3 _2.2 +SCF:AST-02.7 cobit-2019 bai09.05 +SCF:AST-02.7 iso-27002-2022 _5.32 +SCF:AST-02.7 iso-27017-2015 _18.1.2 +SCF:AST-02.7 iso-27018-2025 _5.32 +SCF:AST-02.7 nist-800-53-r4 sc-18-2 +SCF:AST-02.7 nist-800-53-r5 sc-18-02 +SCF:AST-02.7 nist-800-53b-r5-privacy sc-18-02 +SCF:AST-02.7 nist-800-82-r3 sc-18-02 +SCF:AST-02.7 nist-800-161-r1 sc-18-2 +SCF:AST-02.7 nist-800-161-r1-level-3 sc-18-2 +SCF:AST-02.8 nist-csf-function-grouping identify +SCF:AST-02.8 iso-27002-2022 _5.9 +SCF:AST-02.8 iso-27017-2015 _8.1.1 +SCF:AST-02.8 iso-27018-2025 _5.9 +SCF:AST-02.8 nist-privacy-framework-1.0 id.im-p4 +SCF:AST-02.8 nist-privacy-framework-1.0 id.im-p5 +SCF:AST-02.8 nist-privacy-framework-1.0 id.im-p6 +SCF:AST-02.8 nist-privacy-framework-1.0 id.im-p8 +SCF:AST-02.8 nist-800-53-r5 cm-13 +SCF:AST-02.8 nist-800-82-r3 cm-13 +SCF:AST-02.8 nist-800-161-r1 cm-13 +SCF:AST-02.8 nist-800-161-r1-level-2 cm-13 +SCF:AST-02.8 nist-800-161-r1-level-3 cm-13 +SCF:AST-02.8 nist-800-171-r3 _03.04.11.a +SCF:AST-02.8 nist-800-171-r3 _03.04.11.b +SCF:AST-02.8 nist-800-171a-r3 a.03.04.11.a-01 +SCF:AST-02.8 nist-800-171a-r3 a.03.04.11.a-02 +SCF:AST-02.8 nist-800-171a-r3 a.03.04.11.a-03 +SCF:AST-02.8 nist-800-171a-r3 a.03.04.11.b-01 +SCF:AST-02.8 nist-800-171a-r3 a.03.04.11.b-02 +SCF:AST-02.8 nist-800-172 _3.1.3e +SCF:AST-02.8 nist-800-207 nist-tenet-1 +SCF:AST-02.8 nist-800-207 nist-tenet-7 +SCF:AST-02.9 nist-csf-function-grouping identify +SCF:AST-02.9 cis-csc-8.1 _2.1 +SCF:AST-02.9 cis-csc-8.1 _2.4 +SCF:AST-02.9 cis-csc-8.1-ig1 _2.1 +SCF:AST-02.9 cis-csc-8.1-ig2 _2.1 +SCF:AST-02.9 cis-csc-8.1-ig2 _2.4 +SCF:AST-02.9 cis-csc-8.1-ig3 _2.1 +SCF:AST-02.9 cis-csc-8.1-ig3 _2.4 +SCF:AST-02.9 cobit-2019 edm05.01 +SCF:AST-02.9 cobit-2019 edm05.02 +SCF:AST-02.9 cobit-2019 edm05.03 +SCF:AST-02.9 cobit-2019 apo01.06 +SCF:AST-02.9 cobit-2019 bai10.02 +SCF:AST-02.9 cobit-2019 bai10.03 +SCF:AST-02.9 csa-iot-scf-2 snt-04 +SCF:AST-02.9 iso-27002-2022 _8.9 +SCF:AST-02.9 iso-27018-2025 _8.9 +SCF:AST-02.9 nist-800-53-r4 cm-8-2 +SCF:AST-02.9 nist-800-53-r5 cm-08-02 +SCF:AST-02.9 nist-800-53-r5 cm-08-07 +SCF:AST-02.9 nist-800-53b-r5-high cm-08-02 +SCF:AST-02.9 nist-sp-800-66-r2 _164.310-d +SCF:AST-02.9 nist-800-82-r3 cm-08-02 +SCF:AST-02.9 nist-800-82-r3 cm-08-07 +SCF:AST-02.9 nist-800-82-r3-high-ot-overlay cm-08-02 +SCF:AST-02.9 nist-800-161-r1 cm-8-2 +SCF:AST-02.9 nist-800-161-r1 cm-8-7 +SCF:AST-02.9 nist-800-161-r1-level-3 cm-8-2 +SCF:AST-02.9 nist-800-161-r1-level-3 cm-8-7 +SCF:AST-02.9 nist-800-171-r3 _03.04.08.a +SCF:AST-02.9 nist-800-171-r3 _03.04.10.a +SCF:AST-02.9 nist-800-171-r3 _03.04.10.b +SCF:AST-02.9 nist-800-171-r3 _03.04.10.c +SCF:AST-02.9 nist-800-172 _3.4.1e +SCF:AST-02.9 nist-800-172 _3.4.3e +SCF:AST-02.9 nist-800-207 nist-tenet-1 +SCF:AST-02.9 nist-800-207 nist-tenet-6 +SCF:AST-02.9 nist-800-207 nist-tenet-7 +SCF:AST-02.10 nist-csf-function-grouping identify +SCF:AST-02.10 nist-800-53-r5 cm-08-08 +SCF:AST-02.10 nist-800-82-r3 cm-08-08 +SCF:AST-02.10 nist-800-161-r1 cm-8-8 +SCF:AST-02.10 nist-800-161-r1-level-2 cm-8-8 +SCF:AST-02.10 nist-800-161-r1-level-3 cm-8-8 +SCF:AST-02.11 nist-csf-function-grouping identify +SCF:AST-02.11 nist-800-53-r5 cm-08-09 +SCF:AST-02.11 nist-800-82-r3 cm-08-09 +SCF:AST-02.11 nist-800-161-r1 cm-8-9 +SCF:AST-02.11 nist-800-161-r1-level-3 cm-8-9 +SCF:AST-03 nist-csf-function-grouping identify +SCF:AST-03 cobit-2019 apo01.06 +SCF:AST-03 cobit-2019 apo01.07 +SCF:AST-03 iso-27002-2022 _5.9 +SCF:AST-03 iso-27017-2015 _8.1.1 +SCF:AST-03 iso-27017-2015 _8.1.2 +SCF:AST-03 iso-27018-2025 _5.9 +SCF:AST-03 nist-privacy-framework-1.0 id.im-p2 +SCF:AST-03 nist-800-53-r5 sa-04-12 +SCF:AST-03 nist-800-53b-r5-privacy sa-04-12 +SCF:AST-03 nist-sp-800-66-r2 _164.310-d +SCF:AST-03 nist-800-82-r3 sa-04-12 +SCF:AST-03 nist-800-82-r3-low-ot-overlay sa-04-12 +SCF:AST-03 nist-800-82-r3-moderate-ot-overlay sa-04-12 +SCF:AST-03 nist-800-82-r3-high-ot-overlay sa-04-12 +SCF:AST-03 nist-800-171-r3 _03.09.02.a.03 +SCF:AST-03 nist-csf-2.0 id.am +SCF:AST-03 pci-dss-4.0.1 _2.2.2 +SCF:AST-03 pci-dss-4.0.1 _2.2.4 +SCF:AST-03 pci-dss-4.0.1 _2.2.5 +SCF:AST-03 pci-dss-4.0.1 _6.5.2 +SCF:AST-03 pci-dss-4.0.1-saq-a _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-a-ep _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-a-ep _2.2.4 +SCF:AST-03 pci-dss-4.0.1-saq-a-ep _2.2.5 +SCF:AST-03 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:AST-03 pci-dss-4.0.1-saq-b-ip _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-c _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-c _2.2.4 +SCF:AST-03 pci-dss-4.0.1-saq-c _2.2.5 +SCF:AST-03 pci-dss-4.0.1-saq-c _6.5.2 +SCF:AST-03 pci-dss-4.0.1-saq-c-vt _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-c-vt _2.2.4 +SCF:AST-03 pci-dss-4.0.1-saq-c-vt _2.2.5 +SCF:AST-03 pci-dss-4.0.1-saq-d-merchant _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-d-merchant _2.2.4 +SCF:AST-03 pci-dss-4.0.1-saq-d-merchant _2.2.5 +SCF:AST-03 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:AST-03 pci-dss-4.0.1-saq-d-service-provider _2.2.2 +SCF:AST-03 pci-dss-4.0.1-saq-d-service-provider _2.2.4 +SCF:AST-03 pci-dss-4.0.1-saq-d-service-provider _2.2.5 +SCF:AST-03 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:AST-03.1 nist-csf-function-grouping identify +SCF:AST-03.1 cobit-2019 edm05.01 +SCF:AST-03.1 cobit-2019 edm05.02 +SCF:AST-03.1 cobit-2019 edm05.03 +SCF:AST-03.1 cobit-2019 apo01.06 +SCF:AST-03.1 iso-27002-2022 _5.9 +SCF:AST-03.1 iso-27017-2015 _8.1.1 +SCF:AST-03.1 iso-27018-2025 _5.9 +SCF:AST-03.1 nist-privacy-framework-1.0 id.im-p2 +SCF:AST-03.1 nist-800-53-r4 cm-8-4 +SCF:AST-03.1 nist-800-53-r5 cm-08-04 +SCF:AST-03.1 nist-800-53b-r5-high cm-08-04 +SCF:AST-03.1 nist-sp-800-66-r2 _164.310-d +SCF:AST-03.1 nist-800-82-r3 cm-08-04 +SCF:AST-03.1 nist-800-82-r3-high-ot-overlay cm-08-04 +SCF:AST-03.1 nist-800-161-r1 cm-8-4 +SCF:AST-03.1 nist-800-161-r1-level-3 cm-8-4 +SCF:AST-03.1 nist-800-171-r3 _03.09.02.a.03 +SCF:AST-03.1 nist-csf-2.0 id.am +SCF:AST-03.2 nist-csf-function-grouping identify +SCF:AST-03.2 cis-csc-8.1 _16.5 +SCF:AST-03.2 cis-csc-8.1-ig2 _16.5 +SCF:AST-03.2 cis-csc-8.1-ig3 _16.5 +SCF:AST-03.2 csa-iot-scf-2 dat-03 +SCF:AST-03.2 iso-27002-2022 _5.21 +SCF:AST-03.2 iso-27018-2025 _5.21 +SCF:AST-03.2 iso-42001-2023 a.7.5 +SCF:AST-03.2 nist-800-53-r5 sr-04 +SCF:AST-03.2 nist-800-53-r5 sr-04-01 +SCF:AST-03.2 nist-800-53-r5 sr-04-02 +SCF:AST-03.2 nist-800-82-r3 sr-04 +SCF:AST-03.2 nist-800-82-r3 sr-04-01 +SCF:AST-03.2 nist-800-82-r3 sr-04-02 +SCF:AST-03.2 nist-800-160-vol2-r1 sr-04 +SCF:AST-03.2 nist-800-160-vol2-r1 sr-04-01 +SCF:AST-03.2 nist-800-160-vol2-r1 sr-04-02 +SCF:AST-03.2 nist-800-161-r1 sr-4 +SCF:AST-03.2 nist-800-161-r1-level-2 sr-4 +SCF:AST-03.2 nist-800-161-r1-level-3 sr-4 +SCF:AST-04 nist-csf-function-grouping identify +SCF:AST-04 cis-csc-8.1 _3.8 +SCF:AST-04 cis-csc-8.1 _12.4 +SCF:AST-04 cis-csc-8.1-ig2 _3.8 +SCF:AST-04 cis-csc-8.1-ig2 _12.4 +SCF:AST-04 cis-csc-8.1-ig3 _3.8 +SCF:AST-04 cis-csc-8.1-ig3 _12.4 +SCF:AST-04 cobit-2019 apo14.08 +SCF:AST-04 coso-2013 _13 +SCF:AST-04 csa-ccm-4.1.0 dsp-05 +SCF:AST-04 csa-ccm-4.1.0 i-s-08 +SCF:AST-04 csa-iot-scf-2 dat-03 +SCF:AST-04 iec-62443-2-1-2024 cm-1.2 +SCF:AST-04 iso-27002-2022 _5.9 +SCF:AST-04 iso-27002-2022 _8.2 +SCF:AST-04 iso-27017-2015 _8.1.1 +SCF:AST-04 iso-27018-2025 _5.9 +SCF:AST-04 iso-27018-2025 _8.20 +SCF:AST-04 nist-privacy-framework-1.0 id.im-p7 +SCF:AST-04 nist-privacy-framework-1.0 id.im-p8 +SCF:AST-04 nist-800-37-r2 task-p-11 +SCF:AST-04 nist-800-53-r4 pl-2 +SCF:AST-04 nist-800-53-r4 sa-5-1 +SCF:AST-04 nist-800-53-r4 sa-5-2 +SCF:AST-04 nist-800-53-r4 sa-5-3 +SCF:AST-04 nist-800-53-r4 sa-5-4 +SCF:AST-04 nist-800-53-r5 pl-02 +SCF:AST-04 nist-800-53-r5 sa-04-01 +SCF:AST-04 nist-800-53-r5 sa-04-02 +SCF:AST-04 nist-800-53b-r5-privacy pl-02 +SCF:AST-04 nist-800-53b-r5-privacy sa-04-01 +SCF:AST-04 nist-800-53b-r5-privacy sa-04-02 +SCF:AST-04 nist-800-53b-r5-low pl-02 +SCF:AST-04 nist-800-53b-r5-moderate sa-04-01 +SCF:AST-04 nist-800-53b-r5-moderate sa-04-02 +SCF:AST-04 nist-800-82-r3 pl-02 +SCF:AST-04 nist-800-82-r3 sa-04-01 +SCF:AST-04 nist-800-82-r3 sa-04-02 +SCF:AST-04 nist-800-82-r3-low-ot-overlay pl-02 +SCF:AST-04 nist-800-82-r3-moderate-ot-overlay pl-02 +SCF:AST-04 nist-800-82-r3-moderate-ot-overlay sa-04-01 +SCF:AST-04 nist-800-82-r3-moderate-ot-overlay sa-04-02 +SCF:AST-04 nist-800-82-r3-high-ot-overlay pl-02 +SCF:AST-04 nist-800-82-r3-high-ot-overlay sa-04-01 +SCF:AST-04 nist-800-82-r3-high-ot-overlay sa-04-02 +SCF:AST-04 nist-800-161-r1 pl-2 +SCF:AST-04 nist-800-161-r1-c-scrm-baseline pl-2 +SCF:AST-04 nist-800-161-r1-flow-down pl-2 +SCF:AST-04 nist-800-161-r1-level-3 pl-2 +SCF:AST-04 nist-800-171-r3 _03.01.03 +SCF:AST-04 nist-800-171-r3 _03.04.11.a +SCF:AST-04 nist-800-171-r3 _03.04.11.b +SCF:AST-04 nist-800-172 _3.1.3e +SCF:AST-04 nist-800-207 nist-tenet-1 +SCF:AST-04 nist-csf-2.0 id.am-03 +SCF:AST-04 pci-dss-4.0.1 _1.2.3 +SCF:AST-04 pci-dss-4.0.1 _1.2.4 +SCF:AST-04 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:AST-04 pci-dss-4.0.1-saq-a-ep _1.2.4 +SCF:AST-04 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:AST-04 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:AST-04 pci-dss-4.0.1-saq-d-merchant _1.2.4 +SCF:AST-04 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:AST-04 pci-dss-4.0.1-saq-d-service-provider _1.2.4 +SCF:AST-04.1 nist-csf-function-grouping identify +SCF:AST-04.1 cobit-2019 apo14.05 +SCF:AST-04.1 csa-ccm-4.1.0 log-07 +SCF:AST-04.1 iec-tr-60601-4-5-2021 _4.1 +SCF:AST-04.1 iec-62443-4-1-2018 sm-3 +SCF:AST-04.1 iso-27001-2022 _4.3 +SCF:AST-04.1 iso-27002-2022 _5.12 +SCF:AST-04.1 iso-27017-2015 _8.2.1 +SCF:AST-04.1 iso-27018-2025 _5.12 +SCF:AST-04.1 iso-42001-2023 _4.3 +SCF:AST-04.1 nist-800-53-r5 pe-22 +SCF:AST-04.1 nist-800-53-r5 sa-05 +SCF:AST-04.1 nist-800-53b-r5-privacy pe-22 +SCF:AST-04.1 nist-800-53b-r5-privacy sa-05 +SCF:AST-04.1 nist-800-53b-r5-low sa-05 +SCF:AST-04.1 nist-800-82-r3 pe-22 +SCF:AST-04.1 nist-800-82-r3 sa-05 +SCF:AST-04.1 nist-800-82-r3-low-ot-overlay sa-05 +SCF:AST-04.1 nist-800-82-r3-moderate-ot-overlay pe-22 +SCF:AST-04.1 nist-800-82-r3-moderate-ot-overlay sa-05 +SCF:AST-04.1 nist-800-82-r3-high-ot-overlay pe-22 +SCF:AST-04.1 nist-800-82-r3-high-ot-overlay sa-05 +SCF:AST-04.1 nist-800-161-r1 sa-5 +SCF:AST-04.1 nist-800-161-r1-c-scrm-baseline sa-5 +SCF:AST-04.1 nist-800-161-r1-level-3 sa-5 +SCF:AST-04.1 nist-800-171-r3 _03.04.11.a +SCF:AST-04.1 nist-800-171-r3 _03.04.11.b +SCF:AST-04.1 nist-800-172 _3.14.3e +SCF:AST-04.1 nist-800-207 nist-tenet-1 +SCF:AST-04.1 nist-csf-2.0 id.am-05 +SCF:AST-04.1 pci-dss-4.0.1 a3.2.5 +SCF:AST-04.2 nist-csf-function-grouping identify +SCF:AST-04.2 nist-800-171-r3 _03.04.11.a +SCF:AST-04.2 nist-800-171-r3 _03.04.11.b +SCF:AST-04.2 nist-800-171-r3 _03.15.02.a.04 +SCF:AST-04.2 nist-csf-2.0 id.am-03 +SCF:AST-04.2 pci-dss-4.0.1 _1.2.3 +SCF:AST-04.2 pci-dss-4.0.1 _12.5.2.1 +SCF:AST-04.2 pci-dss-4.0.1 a3.2.5 +SCF:AST-04.2 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:AST-04.2 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:AST-04.2 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:AST-04.2 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:AST-04.2 pci-dss-4.0.1-saq-d-service-provider _12.5.2.1 +SCF:AST-04.3 nist-csf-function-grouping identify +SCF:AST-04.3 nist-800-171-r3 _03.01.03 +SCF:AST-04.3 pci-dss-4.0.1 _6.3.2 +SCF:AST-04.3 pci-dss-4.0.1 _12.5.1 +SCF:AST-04.3 pci-dss-4.0.1 _12.5.2.1 +SCF:AST-04.3 pci-dss-4.0.1 a3.2.5 +SCF:AST-04.3 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:AST-04.3 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:AST-04.3 pci-dss-4.0.1-saq-d-merchant _12.5.1 +SCF:AST-04.3 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:AST-04.3 pci-dss-4.0.1-saq-d-service-provider _12.5.1 +SCF:AST-04.3 pci-dss-4.0.1-saq-d-service-provider _12.5.2.1 +SCF:AST-05 nist-csf-function-grouping identify +SCF:AST-05 csa-ccm-4.1.0 dcs-03 +SCF:AST-05 iso-27002-2022 _7.9 +SCF:AST-05 iso-27017-2015 _11.2.6 +SCF:AST-05 iso-27018-2025 _7.9 +SCF:AST-05 nist-800-171-r2 nfo-mp-1 +SCF:AST-05 nist-800-171-r3 _03.07.04.a +SCF:AST-05 pci-dss-4.0.1 _9.4 +SCF:AST-05 pci-dss-4.0.1 _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-a _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-a-ep _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-b _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-b-ip _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-c _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-c-vt _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-d-merchant _9.4.4 +SCF:AST-05 pci-dss-4.0.1-saq-d-service-provider _9.4.4 +SCF:AST-05.1 nist-csf-function-grouping protect +SCF:AST-05.1 csa-ccm-4.1.0 dcs-03 +SCF:AST-05.1 pci-dss-4.0.1 _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-a _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-a-ep _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-b _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-b-ip _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-c _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-c-vt _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-d-merchant _9.4.4 +SCF:AST-05.1 pci-dss-4.0.1-saq-d-service-provider _9.4.4 +SCF:AST-06 nist-csf-function-grouping protect +SCF:AST-06 iso-sae-21434-2021 rq-05-12 +SCF:AST-06 iso-27002-2022 _7.7 +SCF:AST-06 iso-27002-2022 _7.9 +SCF:AST-06 iso-27002-2022 _8.1 +SCF:AST-06 iso-27017-2015 _11.2.6 +SCF:AST-06 iso-27017-2015 _11.2.8 +SCF:AST-06 iso-27017-2015 _11.2.9 +SCF:AST-06 iso-27018-2025 _7.7 +SCF:AST-06 iso-27018-2025 _7.9 +SCF:AST-06 iso-27018-2025 _8.1 +SCF:AST-06 pci-dss-4.0.1 _9.5 +SCF:AST-06 pci-dss-4.0.1 _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-06 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-06.1 nist-csf-function-grouping protect +SCF:AST-07 nist-csf-function-grouping protect +SCF:AST-07 csa-iot-scf-2 phy-01 +SCF:AST-07 iso-27002-2022 _8.1 +SCF:AST-07 iso-27018-2025 _8.1 +SCF:AST-07 pci-dss-4.0.1 _9.5 +SCF:AST-07 pci-dss-4.0.1 _9.5.1 +SCF:AST-07 pci-dss-4.0.1 _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1 _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-b _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-b _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-b-ip _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-b-ip _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-c _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-c _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-d-merchant _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-d-merchant _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-d-service-provider _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-d-service-provider _9.5.1.2 +SCF:AST-07 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-07 pci-dss-4.0.1-saq-p2pe _9.5.1.1 +SCF:AST-07 pci-dss-4.0.1-saq-p2pe _9.5.1.2 +SCF:AST-08 nist-csf-function-grouping detect +SCF:AST-08 csa-iot-scf-2 phy-01 +SCF:AST-08 iec-62443-4-2-2019 cr-3.11 +SCF:AST-08 iec-62443-4-2-2019 edr-3.11 +SCF:AST-08 iec-62443-4-2-2019 hdr-3.11 +SCF:AST-08 iec-62443-4-2-2019 ndr-3.11 +SCF:AST-08 iso-27002-2022 _7.9 +SCF:AST-08 iso-27017-2015 _11.2.6 +SCF:AST-08 iso-27018-2025 _7.9 +SCF:AST-08 pci-dss-4.0.1 _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1 _9.5.1.2.1 +SCF:AST-08 pci-dss-4.0.1-saq-b _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1-saq-b-ip _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1-saq-c _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1-saq-d-merchant _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1-saq-d-merchant _9.5.1.2.1 +SCF:AST-08 pci-dss-4.0.1-saq-d-service-provider _9.5.1.2 +SCF:AST-08 pci-dss-4.0.1-saq-d-service-provider _9.5.1.2.1 +SCF:AST-08 pci-dss-4.0.1-saq-p2pe _9.5.1.2 +SCF:AST-09 nist-csf-function-grouping identify +SCF:AST-09 cis-csc-8.1 _3.5 +SCF:AST-09 cis-csc-8.1-ig1 _3.5 +SCF:AST-09 cis-csc-8.1-ig2 _3.5 +SCF:AST-09 cis-csc-8.1-ig3 _3.5 +SCF:AST-09 csa-ccm-4.1.0 dcs-02 +SCF:AST-09 csa-ccm-4.1.0 dsp-02 +SCF:AST-09 csa-iot-scf-2 pol-04 +SCF:AST-09 iso-27002-2022 _7.14 +SCF:AST-09 iso-27002-2022 _8.1 +SCF:AST-09 iso-27017-2015 _11.2.7 +SCF:AST-09 iso-27018-2025 _7.14 +SCF:AST-09 iso-27018-2025 _7.14-a +SCF:AST-09 iso-27018-2025 _8.10 +SCF:AST-09 nist-ai-100-1-ai-rmf-1.0 govern-1.7 +SCF:AST-09 nist-800-37-r2 task-m-7 +SCF:AST-09 nist-800-53-r4 sa-19-3 +SCF:AST-09 nist-800-53-r5 sr-12 +SCF:AST-09 nist-800-53b-r5-privacy sr-12 +SCF:AST-09 nist-800-53b-r5-low sr-12 +SCF:AST-09 nist-sp-800-66-r2 _164.310-d +SCF:AST-09 nist-800-82-r3 sr-12 +SCF:AST-09 nist-800-82-r3-low-ot-overlay sr-12 +SCF:AST-09 nist-800-82-r3-moderate-ot-overlay sr-12 +SCF:AST-09 nist-800-82-r3-high-ot-overlay sr-12 +SCF:AST-09 nist-800-161-r1 sr-12 +SCF:AST-09 nist-800-161-r1-c-scrm-baseline sr-12 +SCF:AST-09 nist-800-161-r1-level-2 sr-12 +SCF:AST-09 nist-800-161-r1-level-3 sr-12 +SCF:AST-09 nist-800-171-r2 _3.8.3 +SCF:AST-09 nist-800-171-r3 _03.07.04.c +SCF:AST-09 nist-800-171-r3 _03.08.03 +SCF:AST-09 pci-dss-4.0.1 _9.4.7 +SCF:AST-09 pci-dss-4.0.1-saq-d-merchant _9.4.7 +SCF:AST-09 pci-dss-4.0.1-saq-d-service-provider _9.4.7 +SCF:AST-10 nist-csf-function-grouping protect +SCF:AST-10 csa-ccm-4.1.0 hrs-05 +SCF:AST-10 iso-27002-2022 _5.11 +SCF:AST-10 iso-27017-2015 _8.1.3 +SCF:AST-10 iso-27017-2015 _8.1.4 +SCF:AST-10 iso-27018-2025 _5.11 +SCF:AST-10 nist-800-171-r3 _03.09.02.a.03 +SCF:AST-10 nist-800-171a-r3 a.03.09.02.a.03 +SCF:AST-11 nist-csf-function-grouping protect +SCF:AST-11 iso-27002-2022 _7.1 +SCF:AST-11 iso-27017-2015 _11.2.5 +SCF:AST-11 iso-27018-2025 _7.10 +SCF:AST-11 nist-sp-800-66-r2 _164.310-d +SCF:AST-12 nist-csf-function-grouping protect +SCF:AST-12 iso-27002-2022 _7.1 +SCF:AST-12 iso-27002-2022 _8.1 +SCF:AST-12 iso-27018-2025 _7.10 +SCF:AST-12 iso-27018-2025 _8.1 +SCF:AST-12 nist-800-171-r3 _03.01.18.a +SCF:AST-13 nist-csf-function-grouping protect +SCF:AST-13 nist-800-171-r3 _03.01.18.a +SCF:AST-14 nist-csf-function-grouping identify +SCF:AST-14 nist-800-53-r4 sc-43 +SCF:AST-14 nist-800-53-r5 sc-43 +SCF:AST-14 nist-800-82-r3 sc-43 +SCF:AST-14 nist-800-171-r3 _03.01.18.a +SCF:AST-14.1 nist-csf-function-grouping protect +SCF:AST-14.1 csa-iot-scf-2 sws-01 +SCF:AST-14.1 csa-iot-scf-2 sws-03 +SCF:AST-14.2 nist-csf-function-grouping protect +SCF:AST-15 nist-csf-function-grouping protect +SCF:AST-15 csa-iot-scf-2 iot-05 +SCF:AST-15 iso-27002-2022 _7.9 +SCF:AST-15 iso-27017-2015 _11.2.6 +SCF:AST-15 iso-27018-2025 _7.9 +SCF:AST-15 nist-800-53-r4 sa-18 +SCF:AST-15 nist-800-53-r5 sr-09 +SCF:AST-15 nist-800-53-r5 sr-09-01 +SCF:AST-15 nist-800-53b-r5-high sr-09 +SCF:AST-15 nist-800-53b-r5-high sr-09-01 +SCF:AST-15 nist-800-82-r3 sr-09 +SCF:AST-15 nist-800-82-r3 sr-09-01 +SCF:AST-15 nist-800-82-r3-high-ot-overlay sr-09 +SCF:AST-15 nist-800-82-r3-high-ot-overlay sr-09-01 +SCF:AST-15 nist-800-160-vol2-r1 sr-09 +SCF:AST-15 nist-800-160-vol2-r1 sr-09-01 +SCF:AST-15 nist-800-161-r1 sr-9 +SCF:AST-15 nist-800-161-r1-level-2 sr-9 +SCF:AST-15 nist-800-161-r1-level-3 sr-9 +SCF:AST-15 nist-csf-2.0 id.ra-09 +SCF:AST-15 pci-dss-4.0.1 _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-15 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-15.1 nist-csf-function-grouping detect +SCF:AST-15.1 nist-800-53-r4 sa-18-2 +SCF:AST-15.1 nist-800-53-r5 sr-10 +SCF:AST-15.1 nist-800-53b-r5-privacy sr-10 +SCF:AST-15.1 nist-800-53b-r5-low sr-10 +SCF:AST-15.1 nist-800-82-r3 sr-10 +SCF:AST-15.1 nist-800-82-r3-low-ot-overlay sr-10 +SCF:AST-15.1 nist-800-82-r3-moderate-ot-overlay sr-10 +SCF:AST-15.1 nist-800-82-r3-high-ot-overlay sr-10 +SCF:AST-15.1 nist-800-160-vol2-r1 sr-10 +SCF:AST-15.1 nist-800-161-r1 sr-10 +SCF:AST-15.1 nist-800-161-r1-c-scrm-baseline sr-10 +SCF:AST-15.1 nist-800-161-r1-flow-down sr-10 +SCF:AST-15.1 nist-800-161-r1-level-2 sr-10 +SCF:AST-15.1 nist-800-161-r1-level-3 sr-10 +SCF:AST-15.1 pci-dss-4.0.1 _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1 _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-b _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-b _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-b-ip _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-c _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-c _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-d-merchant _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-d-service-provider _9.5.1.2 +SCF:AST-15.1 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:AST-15.1 pci-dss-4.0.1-saq-p2pe _9.5.1.2 +SCF:AST-16 nist-csf-function-grouping identify +SCF:AST-16 cis-csc-8.1 _4.11 +SCF:AST-16 cis-csc-8.1-ig2 _4.11 +SCF:AST-16 cis-csc-8.1-ig3 _4.11 +SCF:AST-16 nist-800-171-r3 _03.01.18.a +SCF:AST-17 nist-csf-function-grouping protect +SCF:AST-17 nist-800-171-r3 _03.11.01.a +SCF:AST-17 nist-800-171-r3 _03.16.01 +SCF:AST-18 nist-csf-function-grouping protect +SCF:AST-18 csa-iot-scf-2 iot-09 +SCF:AST-18 iec-62443-4-2-2019 edr-3.12 +SCF:AST-18 iec-62443-4-2-2019 edr-3.13-a +SCF:AST-18 iec-62443-4-2-2019 edr-3.13-b +SCF:AST-18 iec-62443-4-2-2019 hdr-3.12 +SCF:AST-18 iec-62443-4-2-2019 hdr-3.13-a +SCF:AST-18 iec-62443-4-2-2019 ndr-3.12 +SCF:AST-18 iec-62443-4-2-2019 ndr-3.13-a +SCF:AST-18 iec-62443-4-2-2019 ndr-3.13-b +SCF:AST-18 nist-800-172 _3.14.1e +SCF:AST-18 nist-csf-2.0 id.ra-09 +SCF:AST-19 nist-csf-function-grouping protect +SCF:AST-20 nist-csf-function-grouping protect +SCF:AST-21 nist-csf-function-grouping protect +SCF:AST-22 nist-csf-function-grouping protect +SCF:AST-23 nist-csf-function-grouping protect +SCF:AST-24 nist-csf-function-grouping protect +SCF:AST-24 nist-800-171-r3 _03.04.12.a +SCF:AST-24 nist-800-171-r3 _03.04.12.b +SCF:AST-24 nist-800-171a-r3 a.03.04.12.a +SCF:AST-25 nist-csf-function-grouping protect +SCF:AST-25 nist-800-171-r3 _03.04.12.b +SCF:AST-25 nist-800-171a-r3 a.03.04.12.b +SCF:AST-26 nist-csf-function-grouping identify +SCF:AST-27 nist-csf-function-grouping protect +SCF:AST-27 nist-800-171-r3 _03.01.12.a +SCF:AST-27 nist-800-171-r3 _03.01.12.c +SCF:AST-28 nist-csf-function-grouping identify +SCF:AST-28.1 nist-csf-function-grouping protect +SCF:AST-29 nist-csf-function-grouping protect +SCF:AST-29.1 nist-csf-function-grouping protect +SCF:AST-30 nist-csf-function-grouping protect +SCF:AST-30 nist-ai-100-1-ai-rmf-1.0 govern-1.7 +SCF:AST-30 nist-ai-600-1 govern-1.7 +SCF:AST-31 nist-csf-function-grouping identify +SCF:AST-31 nist-ai-100-1-ai-rmf-1.0 map-2.0 +SCF:AST-31 nist-800-171-r3 _03.01.03 +SCF:AST-31.1 nist-csf-function-grouping identify +SCF:AST-31.1 nist-ai-100-1-ai-rmf-1.0 map-2.0 +SCF:AST-31.2 nist-csf-function-grouping protect +SCF:AST-31.2 csa-ccm-4.1.0 i-s-08 +SCF:AST-31.3 nist-csf-function-grouping protect +SCF:AST-32 nist-csf-function-grouping protect +SCF:BCD-01 nist-csf-function-grouping govern +SCF:BCD-01 cis-csc-8.1 _11.0 +SCF:BCD-01 cis-csc-8.1 _11.1 +SCF:BCD-01 cis-csc-8.1-ig1 _11.1 +SCF:BCD-01 cis-csc-8.1-ig2 _11.1 +SCF:BCD-01 cis-csc-8.1-ig3 _11.1 +SCF:BCD-01 cobit-2019 apo14.10 +SCF:BCD-01 cobit-2019 dss04.01 +SCF:BCD-01 cobit-2019 dss04.02 +SCF:BCD-01 cobit-2019 dss04.03 +SCF:BCD-01 cobit-2019 dss04.07 +SCF:BCD-01 csa-ccm-4.1.0 bcr-01 +SCF:BCD-01 csa-ccm-4.1.0 bcr-02 +SCF:BCD-01 csa-ccm-4.1.0 bcr-03 +SCF:BCD-01 csa-ccm-4.1.0 bcr-05 +SCF:BCD-01 csa-ccm-4.1.0 bcr-09 +SCF:BCD-01 csa-iot-scf-2 gvn-03 +SCF:BCD-01 iec-62443-2-1-2024 avail-1.1 +SCF:BCD-01 iec-62443-4-2-2019 cr-2.10-a +SCF:BCD-01 iso-22301-2019 _4.4 +SCF:BCD-01 iso-22301-2019 _6.1.1 +SCF:BCD-01 iso-22301-2019 _6.1.1-a +SCF:BCD-01 iso-22301-2019 _6.1.1-b +SCF:BCD-01 iso-22301-2019 _6.1.1-c +SCF:BCD-01 iso-22301-2019 _6.1.2 +SCF:BCD-01 iso-22301-2019 _6.1.2-a +SCF:BCD-01 iso-22301-2019 _6.1.2-b +SCF:BCD-01 iso-22301-2019 _6.1.2-b-1 +SCF:BCD-01 iso-22301-2019 _6.1.2-b-2 +SCF:BCD-01 iso-22301-2019 _6.2.1 +SCF:BCD-01 iso-22301-2019 _6.2.1-a +SCF:BCD-01 iso-22301-2019 _6.2.1-b +SCF:BCD-01 iso-22301-2019 _6.2.1-c +SCF:BCD-01 iso-22301-2019 _6.2.1-d +SCF:BCD-01 iso-22301-2019 _6.2.1-e +SCF:BCD-01 iso-22301-2019 _6.2.1-f +SCF:BCD-01 iso-22301-2019 _6.2.2 +SCF:BCD-01 iso-22301-2019 _6.2.2-a +SCF:BCD-01 iso-22301-2019 _6.2.2-b +SCF:BCD-01 iso-22301-2019 _6.2.2-c +SCF:BCD-01 iso-22301-2019 _6.2.2-d +SCF:BCD-01 iso-22301-2019 _6.2.2-e +SCF:BCD-01 iso-22301-2019 _7.4 +SCF:BCD-01 iso-22301-2019 _7.5.1 +SCF:BCD-01 iso-22301-2019 _7.5.1-a +SCF:BCD-01 iso-22301-2019 _7.5.1-b +SCF:BCD-01 iso-22301-2019 _7.5.2 +SCF:BCD-01 iso-22301-2019 _7.5.2-a +SCF:BCD-01 iso-22301-2019 _7.5.2-b +SCF:BCD-01 iso-22301-2019 _7.5.2-c +SCF:BCD-01 iso-22301-2019 _8.3.1 +SCF:BCD-01 iso-22301-2019 _8.3.2 +SCF:BCD-01 iso-22301-2019 _8.3.2-a +SCF:BCD-01 iso-22301-2019 _8.3.2-b +SCF:BCD-01 iso-22301-2019 _8.3.2-c +SCF:BCD-01 iso-22301-2019 _8.3.2-d +SCF:BCD-01 iso-22301-2019 _8.3.2-e +SCF:BCD-01 iso-22301-2019 _8.3.2-f +SCF:BCD-01 iso-22301-2019 _8.3.3 +SCF:BCD-01 iso-22301-2019 _8.3.3-a +SCF:BCD-01 iso-22301-2019 _8.3.3-b +SCF:BCD-01 iso-22301-2019 _8.3.3-c +SCF:BCD-01 iso-22301-2019 _8.3.5 +SCF:BCD-01 iso-22301-2019 _8.4.1 +SCF:BCD-01 iso-22301-2019 _8.4.1-a +SCF:BCD-01 iso-22301-2019 _8.4.1-b +SCF:BCD-01 iso-22301-2019 _8.4.1-c +SCF:BCD-01 iso-22301-2019 _8.4.1-d +SCF:BCD-01 iso-22301-2019 _8.4.1-e +SCF:BCD-01 iso-22301-2019 _8.4.3 +SCF:BCD-01 iso-22301-2019 _8.4.3.1 +SCF:BCD-01 iso-22301-2019 _8.4.3.1-a +SCF:BCD-01 iso-22301-2019 _8.4.3.1-b +SCF:BCD-01 iso-22301-2019 _8.4.3.1-c +SCF:BCD-01 iso-22301-2019 _8.4.3.1-d +SCF:BCD-01 iso-22301-2019 _8.4.3.1-e +SCF:BCD-01 iso-22301-2019 _8.4.3.1-f +SCF:BCD-01 iso-22301-2019 _8.4.3.2 +SCF:BCD-01 iso-22301-2019 _8.4.3.2-a +SCF:BCD-01 iso-22301-2019 _8.4.3.2-b +SCF:BCD-01 iso-22301-2019 _8.4.4.1 +SCF:BCD-01 iso-22301-2019 _8.4.4.2 +SCF:BCD-01 iso-22301-2019 _8.4.4.2-a +SCF:BCD-01 iso-22301-2019 _8.4.4.2-a-1 +SCF:BCD-01 iso-22301-2019 _8.4.4.2-a-2 +SCF:BCD-01 iso-22301-2019 _8.4.4.2-b +SCF:BCD-01 iso-22301-2019 _8.4.4.2-c +SCF:BCD-01 iso-22301-2019 _8.4.4.2-d +SCF:BCD-01 iso-22301-2019 _8.4.4.2-d-1 +SCF:BCD-01 iso-22301-2019 _8.4.4.2-d-2 +SCF:BCD-01 iso-22301-2019 _8.4.4.2-d-3 +SCF:BCD-01 iso-22301-2019 _8.4.4.3 +SCF:BCD-01 iso-22301-2019 _8.4.4.3-a +SCF:BCD-01 iso-22301-2019 _8.4.4.3-b +SCF:BCD-01 iso-22301-2019 _8.4.4.3-c +SCF:BCD-01 iso-22301-2019 _8.4.4.3-d +SCF:BCD-01 iso-22301-2019 _8.4.4.3-e +SCF:BCD-01 iso-22301-2019 _8.4.4.3-f +SCF:BCD-01 iso-22301-2019 _8.4.4.3-g +SCF:BCD-01 iso-22301-2019 _8.4.4.3-h +SCF:BCD-01 iso-27002-2022 _5.29 +SCF:BCD-01 iso-27002-2022 _5.3 +SCF:BCD-01 iso-27017-2015 _17.1.1 +SCF:BCD-01 iso-27017-2015 _17.1.2 +SCF:BCD-01 iso-27018-2025 _5.29 +SCF:BCD-01 iso-27018-2025 _5.30 +SCF:BCD-01 iso-27018-2025 _8.13-a +SCF:BCD-01 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:BCD-01 nist-ai-600-1 mg-2.3-001 +SCF:BCD-01 nist-privacy-framework-1.0 pr.po-p7 +SCF:BCD-01 nist-800-53-r4 cp-1 +SCF:BCD-01 nist-800-53-r4 cp-2 +SCF:BCD-01 nist-800-53-r4 ir-4-3 +SCF:BCD-01 nist-800-53-r4 pm-8 +SCF:BCD-01 nist-800-53-r4 cp-10 +SCF:BCD-01 nist-800-53-r5 cp-01 +SCF:BCD-01 nist-800-53-r5 cp-02 +SCF:BCD-01 nist-800-53-r5 cp-10 +SCF:BCD-01 nist-800-53-r5 ir-04-03 +SCF:BCD-01 nist-800-53-r5 pm-08 +SCF:BCD-01 nist-800-53b-r5-privacy cp-01 +SCF:BCD-01 nist-800-53b-r5-privacy cp-02 +SCF:BCD-01 nist-800-53b-r5-privacy cp-10 +SCF:BCD-01 nist-800-53b-r5-privacy ir-04-03 +SCF:BCD-01 nist-800-53b-r5-privacy pm-08 +SCF:BCD-01 nist-800-53b-r5-low cp-01 +SCF:BCD-01 nist-800-53b-r5-low cp-02 +SCF:BCD-01 nist-800-53b-r5-low cp-10 +SCF:BCD-01 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-01 nist-800-82-r3 cp-01 +SCF:BCD-01 nist-800-82-r3 cp-02 +SCF:BCD-01 nist-800-82-r3 cp-10 +SCF:BCD-01 nist-800-82-r3 ir-04-03 +SCF:BCD-01 nist-800-82-r3 pm-08 +SCF:BCD-01 nist-800-82-r3-low-ot-overlay cp-01 +SCF:BCD-01 nist-800-82-r3-low-ot-overlay cp-02 +SCF:BCD-01 nist-800-82-r3-low-ot-overlay cp-10 +SCF:BCD-01 nist-800-82-r3-low-ot-overlay pm-08 +SCF:BCD-01 nist-800-82-r3-moderate-ot-overlay cp-01 +SCF:BCD-01 nist-800-82-r3-moderate-ot-overlay cp-02 +SCF:BCD-01 nist-800-82-r3-moderate-ot-overlay cp-10 +SCF:BCD-01 nist-800-82-r3-moderate-ot-overlay pm-08 +SCF:BCD-01 nist-800-82-r3-high-ot-overlay cp-01 +SCF:BCD-01 nist-800-82-r3-high-ot-overlay cp-02 +SCF:BCD-01 nist-800-82-r3-high-ot-overlay cp-10 +SCF:BCD-01 nist-800-82-r3-high-ot-overlay pm-08 +SCF:BCD-01 nist-800-160-vol2-r1 ir-04-03 +SCF:BCD-01 nist-800-161-r1 cp-1 +SCF:BCD-01 nist-800-161-r1 cp-2 +SCF:BCD-01 nist-800-161-r1 pm-8 +SCF:BCD-01 nist-800-161-r1-c-scrm-baseline cp-1 +SCF:BCD-01 nist-800-161-r1-c-scrm-baseline cp-2 +SCF:BCD-01 nist-800-161-r1-level-1 cp-1 +SCF:BCD-01 nist-800-161-r1-level-1 pm-8 +SCF:BCD-01 nist-800-161-r1-level-2 cp-1 +SCF:BCD-01 nist-800-161-r1-level-2 cp-2 +SCF:BCD-01 nist-800-161-r1-level-3 cp-1 +SCF:BCD-01 nist-800-161-r1-level-3 cp-2 +SCF:BCD-01 nist-csf-2.0 gv.sc-08 +SCF:BCD-01 nist-csf-2.0 id.im-04 +SCF:BCD-01 nist-csf-2.0 pr.ir-02 +SCF:BCD-01 nist-csf-2.0 pr.ir-03 +SCF:BCD-01 nist-csf-2.0 rs.ma-05 +SCF:BCD-01 nist-csf-2.0 rc +SCF:BCD-01 nist-csf-2.0 rc.rp +SCF:BCD-01 nist-csf-2.0 rc.rp-02 +SCF:BCD-01 nist-csf-2.0 rc.rp-04 +SCF:BCD-01.1 nist-csf-function-grouping recover +SCF:BCD-01.1 csa-ccm-4.1.0 bcr-06 +SCF:BCD-01.1 iso-27002-2022 _5.29 +SCF:BCD-01.1 iso-27002-2022 _5.3 +SCF:BCD-01.1 iso-27018-2025 _5.29 +SCF:BCD-01.1 iso-27018-2025 _5.30 +SCF:BCD-01.1 nist-800-53-r4 cp-2-1 +SCF:BCD-01.1 nist-800-53-r5 cp-02-01 +SCF:BCD-01.1 nist-800-53b-r5-moderate cp-02-01 +SCF:BCD-01.1 nist-800-82-r3 cp-02-01 +SCF:BCD-01.1 nist-800-82-r3-moderate-ot-overlay cp-02-01 +SCF:BCD-01.1 nist-800-82-r3-high-ot-overlay cp-02-01 +SCF:BCD-01.1 nist-800-160-vol2-r1 cp-02-01 +SCF:BCD-01.1 nist-800-161-r1 cp-2-1 +SCF:BCD-01.1 nist-800-161-r1-level-2 cp-2-1 +SCF:BCD-01.1 nist-800-161-r1-level-3 cp-2-1 +SCF:BCD-01.1 nist-csf-2.0 rc.co +SCF:BCD-01.2 nist-csf-function-grouping recover +SCF:BCD-01.2 csa-ccm-4.1.0 bcr-06 +SCF:BCD-01.2 csa-iot-scf-2 opa-05 +SCF:BCD-01.2 iso-27002-2022 _5.29 +SCF:BCD-01.2 iso-27002-2022 _5.3 +SCF:BCD-01.2 iso-27018-2025 _5.29 +SCF:BCD-01.2 iso-27018-2025 _5.30 +SCF:BCD-01.2 nist-800-53-r4 cp-2-7 +SCF:BCD-01.2 nist-800-53-r5 cp-02-07 +SCF:BCD-01.2 nist-800-82-r3 cp-02-07 +SCF:BCD-01.2 nist-800-161-r1 cp-2-7 +SCF:BCD-01.2 nist-800-161-r1-flow-down cp-2-7 +SCF:BCD-01.2 nist-800-161-r1-level-3 cp-2-7 +SCF:BCD-01.2 nist-csf-2.0 gv.sc-08 +SCF:BCD-01.2 nist-csf-2.0 rc.co +SCF:BCD-01.3 nist-csf-function-grouping recover +SCF:BCD-01.3 nist-800-53-r4 cp-2-6 +SCF:BCD-01.3 nist-800-53-r5 cp-02-06 +SCF:BCD-01.3 nist-800-82-r3 cp-02-06 +SCF:BCD-01.4 nist-csf-function-grouping recover +SCF:BCD-01.4 csa-ccm-4.1.0 bcr-03 +SCF:BCD-01.4 iso-22301-2019 _8.4.5 +SCF:BCD-01.4 nist-800-53-r4 cp-6-2 +SCF:BCD-01.4 nist-800-53-r4 cp-10 +SCF:BCD-01.4 nist-800-53-r5 cp-06-02 +SCF:BCD-01.4 nist-800-53-r5 cp-10 +SCF:BCD-01.4 nist-800-53b-r5-privacy cp-10 +SCF:BCD-01.4 nist-800-53b-r5-low cp-10 +SCF:BCD-01.4 nist-800-53b-r5-high cp-06-02 +SCF:BCD-01.4 nist-800-82-r3 cp-06-02 +SCF:BCD-01.4 nist-800-82-r3 cp-10 +SCF:BCD-01.4 nist-800-82-r3-low-ot-overlay cp-10 +SCF:BCD-01.4 nist-800-82-r3-moderate-ot-overlay cp-10 +SCF:BCD-01.4 nist-800-82-r3-high-ot-overlay cp-06-02 +SCF:BCD-01.4 nist-800-82-r3-high-ot-overlay cp-10 +SCF:BCD-01.4 nist-csf-2.0 rc.rp +SCF:BCD-01.4 nist-csf-2.0 rc.rp-02 +SCF:BCD-01.4 nist-csf-2.0 rc.rp-04 +SCF:BCD-01.5 nist-csf-function-grouping govern +SCF:BCD-01.5 csa-ccm-4.1.0 bcr-03 +SCF:BCD-01.5 nist-csf-2.0 rs.ma-05 +SCF:BCD-01.5 nist-csf-2.0 rc.rp-01 +SCF:BCD-01.6 nist-csf-function-grouping govern +SCF:BCD-01.6 csa-ccm-4.1.0 bcr-07 +SCF:BCD-01.6 nist-csf-2.0 rc.co-03 +SCF:BCD-01.7 nist-csf-function-grouping protect +SCF:BCD-02 nist-csf-function-grouping recover +SCF:BCD-02 cobit-2019 apo09.01 +SCF:BCD-02 cobit-2019 bai04.02 +SCF:BCD-02 cobit-2019 bai09.02 +SCF:BCD-02 csa-ccm-4.1.0 bcr-02 +SCF:BCD-02 iso-sae-21434-2021 rq-15-02 +SCF:BCD-02 iso-22301-2019 _6.1.1 +SCF:BCD-02 nist-ai-100-1-ai-rmf-1.0 govern-1.6 +SCF:BCD-02 nist-privacy-framework-1.0 id.be-p3 +SCF:BCD-02 nist-800-37-r2 task-p-6 +SCF:BCD-02 nist-800-37-r2 task-p-8 +SCF:BCD-02 nist-800-53-r4 cp-2-8 +SCF:BCD-02 nist-800-53-r5 cp-02-08 +SCF:BCD-02 nist-800-53b-r5-moderate cp-02-08 +SCF:BCD-02 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-02 nist-800-82-r3 cp-02-08 +SCF:BCD-02 nist-800-82-r3-moderate-ot-overlay cp-02-08 +SCF:BCD-02 nist-800-82-r3-high-ot-overlay cp-02-08 +SCF:BCD-02 nist-800-160-vol2-r1 cp-02-08 +SCF:BCD-02 nist-800-161-r1 cp-2-8 +SCF:BCD-02 nist-800-161-r1-level-3 cp-2-8 +SCF:BCD-02 nist-csf-2.0 gv.oc-04 +SCF:BCD-02 nist-csf-2.0 gv.oc-05 +SCF:BCD-02 nist-csf-2.0 id.am-05 +SCF:BCD-02 nist-csf-2.0 rc.rp +SCF:BCD-02 nist-csf-2.0 rc.rp-02 +SCF:BCD-02 nist-csf-2.0 rc.rp-04 +SCF:BCD-02.1 nist-csf-function-grouping recover +SCF:BCD-02.1 csa-ccm-4.1.0 bcr-03 +SCF:BCD-02.1 nist-800-53-r4 cp-2-4 +SCF:BCD-02.1 nist-800-53-r5 cp-02-03 +SCF:BCD-02.1 nist-800-53b-r5-privacy cp-02-03 +SCF:BCD-02.1 nist-800-53b-r5-moderate cp-02-03 +SCF:BCD-02.1 nist-800-82-r3 cp-02-03 +SCF:BCD-02.1 nist-800-82-r3-moderate-ot-overlay cp-02-03 +SCF:BCD-02.1 nist-800-82-r3-high-ot-overlay cp-02-03 +SCF:BCD-02.1 nist-csf-2.0 rc.rp +SCF:BCD-02.1 nist-csf-2.0 rc.rp-02 +SCF:BCD-02.1 nist-csf-2.0 rc.rp-04 +SCF:BCD-02.2 nist-csf-function-grouping recover +SCF:BCD-02.2 csa-ccm-4.1.0 bcr-03 +SCF:BCD-02.2 csa-iot-scf-2 opa-05 +SCF:BCD-02.2 nist-800-53-r4 cp-2-5 +SCF:BCD-02.2 nist-800-53-r5 cp-02-05 +SCF:BCD-02.2 nist-800-53b-r5-high cp-02-05 +SCF:BCD-02.2 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-02.2 nist-800-82-r3 cp-02-05 +SCF:BCD-02.2 nist-800-82-r3-high-ot-overlay cp-02-05 +SCF:BCD-02.2 nist-800-160-vol2-r1 cp-02-05 +SCF:BCD-02.3 nist-csf-function-grouping recover +SCF:BCD-02.3 csa-ccm-4.1.0 bcr-03 +SCF:BCD-02.3 nist-800-53-r4 cp-2-3 +SCF:BCD-02.3 nist-800-53-r5 cp-02-03 +SCF:BCD-02.3 nist-800-53b-r5-privacy cp-02-03 +SCF:BCD-02.3 nist-800-53b-r5-moderate cp-02-03 +SCF:BCD-02.3 nist-800-82-r3 cp-02-03 +SCF:BCD-02.3 nist-800-82-r3-moderate-ot-overlay cp-02-03 +SCF:BCD-02.3 nist-800-82-r3-high-ot-overlay cp-02-03 +SCF:BCD-02.4 nist-csf-function-grouping recover +SCF:BCD-02.4 nist-800-172 _3.14.5e +SCF:BCD-02.4 pci-dss-4.0.1 _9.4.1.2 +SCF:BCD-02.4 pci-dss-4.0.1-saq-d-merchant _9.4.1.2 +SCF:BCD-02.4 pci-dss-4.0.1-saq-d-service-provider _9.4.1.2 +SCF:BCD-03 nist-csf-function-grouping recover +SCF:BCD-03 cobit-2019 dss04.06 +SCF:BCD-03 nist-800-53-r4 cp-3 +SCF:BCD-03 nist-800-53-r5 cp-03 +SCF:BCD-03 nist-800-53b-r5-low cp-03 +SCF:BCD-03 nist-800-82-r3 cp-03 +SCF:BCD-03 nist-800-82-r3-low-ot-overlay cp-03 +SCF:BCD-03 nist-800-82-r3-moderate-ot-overlay cp-03 +SCF:BCD-03 nist-800-82-r3-high-ot-overlay cp-03 +SCF:BCD-03 nist-800-161-r1 cp-3 +SCF:BCD-03 nist-800-161-r1-c-scrm-baseline cp-3 +SCF:BCD-03 nist-800-161-r1-flow-down cp-3 +SCF:BCD-03 nist-800-161-r1-level-2 cp-3 +SCF:BCD-03 nist-800-161-r1-level-3 cp-3 +SCF:BCD-03.1 nist-csf-function-grouping recover +SCF:BCD-03.1 nist-800-53-r4 cp-3-1 +SCF:BCD-03.1 nist-800-53-r5 cp-03-01 +SCF:BCD-03.1 nist-800-53b-r5-high cp-03-01 +SCF:BCD-03.1 nist-800-82-r3 cp-03-01 +SCF:BCD-03.1 nist-800-82-r3-high-ot-overlay cp-03-01 +SCF:BCD-03.1 nist-800-161-r1 cp-3-1 +SCF:BCD-03.1 nist-800-161-r1-level-2 cp-3-1 +SCF:BCD-03.1 nist-800-161-r1-level-3 cp-3-1 +SCF:BCD-03.2 nist-csf-function-grouping recover +SCF:BCD-03.2 nist-800-53-r4 cp-3-2 +SCF:BCD-03.2 nist-800-53-r5 cp-03-02 +SCF:BCD-03.2 nist-800-82-r3 cp-03-02 +SCF:BCD-04 nist-csf-function-grouping recover +SCF:BCD-04 cobit-2019 dss04.04 +SCF:BCD-04 csa-ccm-4.1.0 bcr-06 +SCF:BCD-04 csa-ccm-4.1.0 bcr-10 +SCF:BCD-04 csa-ccm-4.1.0 dcs-15 +SCF:BCD-04 csa-iot-scf-2 opa-03 +SCF:BCD-04 csa-iot-scf-2 opa-06 +SCF:BCD-04 iso-22301-2019 _8.5 +SCF:BCD-04 iso-22301-2019 _8.5-a +SCF:BCD-04 iso-22301-2019 _8.5-b +SCF:BCD-04 iso-22301-2019 _8.5-c +SCF:BCD-04 iso-22301-2019 _8.5-d +SCF:BCD-04 iso-22301-2019 _8.5-e +SCF:BCD-04 iso-22301-2019 _8.5-f +SCF:BCD-04 iso-22301-2019 _8.5-g +SCF:BCD-04 iso-27002-2022 _5.29 +SCF:BCD-04 iso-27002-2022 _5.3 +SCF:BCD-04 iso-27017-2015 _17.1.3 +SCF:BCD-04 iso-27018-2025 _5.29 +SCF:BCD-04 iso-27018-2025 _5.30 +SCF:BCD-04 nist-privacy-framework-1.0 pr.po-p8 +SCF:BCD-04 nist-800-53-r4 cp-4 +SCF:BCD-04 nist-800-53-r5 cp-04 +SCF:BCD-04 nist-800-53b-r5-privacy cp-04 +SCF:BCD-04 nist-800-53b-r5-low cp-04 +SCF:BCD-04 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-04 nist-800-82-r3 cp-04 +SCF:BCD-04 nist-800-82-r3-low-ot-overlay cp-04 +SCF:BCD-04 nist-800-82-r3-moderate-ot-overlay cp-04 +SCF:BCD-04 nist-800-82-r3-high-ot-overlay cp-04 +SCF:BCD-04 nist-800-161-r1 cp-4 +SCF:BCD-04 nist-800-161-r1-c-scrm-baseline cp-4 +SCF:BCD-04 nist-800-161-r1-level-2 cp-4 +SCF:BCD-04 nist-800-161-r1-level-3 cp-4 +SCF:BCD-04.1 nist-csf-function-grouping recover +SCF:BCD-04.1 nist-800-53-r4 cp-4-1 +SCF:BCD-04.1 nist-800-53-r5 cp-04-01 +SCF:BCD-04.1 nist-800-53b-r5-moderate cp-04-01 +SCF:BCD-04.1 nist-800-82-r3 cp-04-01 +SCF:BCD-04.1 nist-800-82-r3-moderate-ot-overlay cp-04-01 +SCF:BCD-04.1 nist-800-82-r3-high-ot-overlay cp-04-01 +SCF:BCD-04.2 nist-csf-function-grouping recover +SCF:BCD-04.2 nist-800-53-r4 cp-4-2 +SCF:BCD-04.2 nist-800-53-r5 cp-04-02 +SCF:BCD-04.2 nist-800-53b-r5-high cp-04-02 +SCF:BCD-04.2 nist-800-82-r3 cp-04-02 +SCF:BCD-04.2 nist-800-82-r3-high-ot-overlay cp-04-02 +SCF:BCD-05 nist-csf-function-grouping detect +SCF:BCD-05 cobit-2019 dss04.08 +SCF:BCD-05 nist-800-53-r4 cp-4 +SCF:BCD-05 nist-800-53-r5 cp-04 +SCF:BCD-05 nist-800-53b-r5-privacy cp-04 +SCF:BCD-05 nist-800-53b-r5-low cp-04 +SCF:BCD-05 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-05 nist-800-82-r3 cp-04 +SCF:BCD-05 nist-800-82-r3-low-ot-overlay cp-04 +SCF:BCD-05 nist-800-82-r3-moderate-ot-overlay cp-04 +SCF:BCD-05 nist-800-82-r3-high-ot-overlay cp-04 +SCF:BCD-05 nist-800-161-r1 cp-4 +SCF:BCD-05 nist-800-161-r1-c-scrm-baseline cp-4 +SCF:BCD-05 nist-800-161-r1-level-2 cp-4 +SCF:BCD-05 nist-800-161-r1-level-3 cp-4 +SCF:BCD-05 nist-csf-2.0 id.im-02 +SCF:BCD-05 nist-csf-2.0 id.im-03 +SCF:BCD-06 nist-csf-function-grouping recover +SCF:BCD-06 cobit-2019 dss04.05 +SCF:BCD-06 csa-ccm-4.1.0 bcr-04 +SCF:BCD-06 csa-ccm-4.1.0 bcr-09 +SCF:BCD-06 iso-22301-2019 _6.3 +SCF:BCD-06 iso-22301-2019 _6.3-a +SCF:BCD-06 iso-22301-2019 _6.3-b +SCF:BCD-06 iso-22301-2019 _8.6 +SCF:BCD-06 iso-22301-2019 _8.6-a +SCF:BCD-06 iso-22301-2019 _8.6-b +SCF:BCD-06 iso-22301-2019 _8.6-c +SCF:BCD-06 iso-22301-2019 _8.6-d +SCF:BCD-06 iso-22301-2019 _8.6-e +SCF:BCD-06 iso-22301-2019 _10.2 +SCF:BCD-06 nist-800-53-r4 cp-2 +SCF:BCD-06 nist-800-53-r5 cp-02 +SCF:BCD-06 nist-800-53b-r5-privacy cp-02 +SCF:BCD-06 nist-800-53b-r5-low cp-02 +SCF:BCD-06 nist-800-82-r3 cp-02 +SCF:BCD-06 nist-800-82-r3-low-ot-overlay cp-02 +SCF:BCD-06 nist-800-82-r3-moderate-ot-overlay cp-02 +SCF:BCD-06 nist-800-82-r3-high-ot-overlay cp-02 +SCF:BCD-06 nist-800-161-r1 cp-2 +SCF:BCD-06 nist-800-161-r1-c-scrm-baseline cp-2 +SCF:BCD-06 nist-800-161-r1-level-2 cp-2 +SCF:BCD-06 nist-800-161-r1-level-3 cp-2 +SCF:BCD-06 nist-csf-2.0 id.im-04 +SCF:BCD-06.1 nist-csf-function-grouping recover +SCF:BCD-06.1 cobit-2019 dss04.05 +SCF:BCD-06.1 csa-ccm-4.1.0 bcr-04 +SCF:BCD-06.1 csa-ccm-4.1.0 bcr-09 +SCF:BCD-06.2 nist-csf-function-grouping recover +SCF:BCD-06.2 csa-ccm-4.1.0 bcr-09 +SCF:BCD-07 nist-csf-function-grouping protect +SCF:BCD-07 nist-800-53-r4 cp-13 +SCF:BCD-07 nist-800-53-r5 cp-13 +SCF:BCD-07 nist-800-82-r3 cp-13 +SCF:BCD-07 nist-800-160-vol2-r1 cp-13 +SCF:BCD-08 nist-csf-function-grouping protect +SCF:BCD-08 iso-27002-2022 _8.14 +SCF:BCD-08 iso-27017-2015 _17.2.1 +SCF:BCD-08 iso-27018-2025 _8.14 +SCF:BCD-08 nist-800-53-r4 cp-6 +SCF:BCD-08 nist-800-53-r5 cp-06 +SCF:BCD-08 nist-800-53-r5 pe-23 +SCF:BCD-08 nist-800-53b-r5-privacy pe-23 +SCF:BCD-08 nist-800-53b-r5-moderate cp-06 +SCF:BCD-08 nist-800-82-r3 cp-06 +SCF:BCD-08 nist-800-82-r3 pe-23 +SCF:BCD-08 nist-800-82-r3-moderate-ot-overlay cp-06 +SCF:BCD-08 nist-800-82-r3-high-ot-overlay cp-06 +SCF:BCD-08 nist-800-161-r1 cp-6 +SCF:BCD-08 nist-800-161-r1 pe-23 +SCF:BCD-08 nist-800-161-r1-flow-down pe-23 +SCF:BCD-08 nist-800-161-r1-level-2 cp-6 +SCF:BCD-08 nist-800-161-r1-level-2 pe-23 +SCF:BCD-08 nist-800-161-r1-level-3 cp-6 +SCF:BCD-08 nist-800-161-r1-level-3 pe-23 +SCF:BCD-08.1 nist-csf-function-grouping protect +SCF:BCD-08.1 nist-800-53-r4 cp-6-1 +SCF:BCD-08.1 nist-800-53-r5 cp-06-01 +SCF:BCD-08.1 nist-800-53b-r5-moderate cp-06-01 +SCF:BCD-08.1 nist-800-82-r3 cp-06-01 +SCF:BCD-08.1 nist-800-82-r3-moderate-ot-overlay cp-06-01 +SCF:BCD-08.1 nist-800-82-r3-high-ot-overlay cp-06-01 +SCF:BCD-08.1 nist-800-161-r1 cp-6-1 +SCF:BCD-08.1 nist-800-161-r1-level-2 cp-6-1 +SCF:BCD-08.1 nist-800-161-r1-level-3 cp-6-1 +SCF:BCD-08.2 nist-csf-function-grouping protect +SCF:BCD-08.2 nist-800-53-r4 cp-6-3 +SCF:BCD-08.2 nist-800-53-r5 cp-06-03 +SCF:BCD-08.2 nist-800-53b-r5-moderate cp-06-03 +SCF:BCD-08.2 nist-800-82-r3 cp-06-03 +SCF:BCD-08.2 nist-800-82-r3-moderate-ot-overlay cp-06-03 +SCF:BCD-08.2 nist-800-82-r3-high-ot-overlay cp-06-03 +SCF:BCD-09 nist-csf-function-grouping protect +SCF:BCD-09 iso-27002-2022 _8.14 +SCF:BCD-09 iso-27017-2015 _17.2.1 +SCF:BCD-09 iso-27018-2025 _8.14 +SCF:BCD-09 nist-800-53-r4 cp-7 +SCF:BCD-09 nist-800-53-r5 cp-07 +SCF:BCD-09 nist-800-53-r5 pe-23 +SCF:BCD-09 nist-800-53b-r5-privacy pe-23 +SCF:BCD-09 nist-800-53b-r5-moderate cp-07 +SCF:BCD-09 nist-800-82-r3 cp-07 +SCF:BCD-09 nist-800-82-r3 pe-23 +SCF:BCD-09 nist-800-82-r3-moderate-ot-overlay cp-07 +SCF:BCD-09 nist-800-82-r3-high-ot-overlay cp-07 +SCF:BCD-09 nist-800-161-r1 cp-7 +SCF:BCD-09 nist-800-161-r1 pe-23 +SCF:BCD-09 nist-800-161-r1-flow-down pe-23 +SCF:BCD-09 nist-800-161-r1-level-2 cp-7 +SCF:BCD-09 nist-800-161-r1-level-2 pe-23 +SCF:BCD-09 nist-800-161-r1-level-3 cp-7 +SCF:BCD-09 nist-800-161-r1-level-3 pe-23 +SCF:BCD-09.1 nist-csf-function-grouping protect +SCF:BCD-09.1 nist-800-53-r4 cp-7-1 +SCF:BCD-09.1 nist-800-53-r5 cp-07-01 +SCF:BCD-09.1 nist-800-53b-r5-moderate cp-07-01 +SCF:BCD-09.1 nist-800-82-r3 cp-07-01 +SCF:BCD-09.1 nist-800-82-r3-moderate-ot-overlay cp-07-01 +SCF:BCD-09.1 nist-800-82-r3-high-ot-overlay cp-07-01 +SCF:BCD-09.2 nist-csf-function-grouping recover +SCF:BCD-09.2 nist-800-53-r4 cp-7-2 +SCF:BCD-09.2 nist-800-53-r5 cp-07-02 +SCF:BCD-09.2 nist-800-53b-r5-moderate cp-07-02 +SCF:BCD-09.2 nist-sp-800-66-r2 _164.310-a +SCF:BCD-09.2 nist-800-82-r3 cp-07-02 +SCF:BCD-09.2 nist-800-82-r3-moderate-ot-overlay cp-07-02 +SCF:BCD-09.2 nist-800-82-r3-high-ot-overlay cp-07-02 +SCF:BCD-09.3 nist-csf-function-grouping recover +SCF:BCD-09.3 nist-800-53-r4 cp-7-3 +SCF:BCD-09.3 nist-800-53-r5 cp-07-03 +SCF:BCD-09.3 nist-800-53b-r5-moderate cp-07-03 +SCF:BCD-09.3 nist-800-82-r3 cp-07-03 +SCF:BCD-09.3 nist-800-82-r3-moderate-ot-overlay cp-07-03 +SCF:BCD-09.3 nist-800-82-r3-high-ot-overlay cp-07-03 +SCF:BCD-09.4 nist-csf-function-grouping protect +SCF:BCD-09.4 nist-800-53-r4 cp-7-4 +SCF:BCD-09.4 nist-800-53-r5 cp-07-04 +SCF:BCD-09.4 nist-800-53b-r5-high cp-07-04 +SCF:BCD-09.4 nist-800-82-r3 cp-07-04 +SCF:BCD-09.4 nist-800-82-r3-high-ot-overlay cp-07-04 +SCF:BCD-09.5 nist-csf-function-grouping protect +SCF:BCD-09.5 nist-800-53-r4 cp-7-6 +SCF:BCD-09.5 nist-800-53-r5 cp-07-06 +SCF:BCD-09.5 nist-800-82-r3 cp-07-06 +SCF:BCD-10 nist-csf-function-grouping recover +SCF:BCD-10 nist-800-53-r4 cp-8 +SCF:BCD-10 nist-800-53-r4 cp-8-2 +SCF:BCD-10 nist-800-53-r4 cp-11 +SCF:BCD-10 nist-800-53-r5 cp-08 +SCF:BCD-10 nist-800-53-r5 cp-08-02 +SCF:BCD-10 nist-800-53-r5 cp-11 +SCF:BCD-10 nist-800-53b-r5-moderate cp-08 +SCF:BCD-10 nist-800-53b-r5-moderate cp-08-02 +SCF:BCD-10 nist-800-82-r3 cp-08 +SCF:BCD-10 nist-800-82-r3 cp-08-02 +SCF:BCD-10 nist-800-82-r3 cp-11 +SCF:BCD-10 nist-800-82-r3-moderate-ot-overlay cp-08 +SCF:BCD-10 nist-800-82-r3-moderate-ot-overlay cp-08-02 +SCF:BCD-10 nist-800-82-r3-high-ot-overlay cp-08 +SCF:BCD-10 nist-800-82-r3-high-ot-overlay cp-08-02 +SCF:BCD-10 nist-800-160-vol2-r1 cp-11 +SCF:BCD-10 nist-800-161-r1 cp-8 +SCF:BCD-10 nist-800-161-r1 cp-11 +SCF:BCD-10 nist-800-161-r1-level-2 cp-8 +SCF:BCD-10 nist-800-161-r1-level-2 cp-11 +SCF:BCD-10 nist-800-161-r1-level-3 cp-8 +SCF:BCD-10 nist-800-161-r1-level-3 cp-11 +SCF:BCD-10.1 nist-csf-function-grouping recover +SCF:BCD-10.1 nist-800-53-r4 cp-8-1 +SCF:BCD-10.1 nist-800-53-r5 cp-08-01 +SCF:BCD-10.1 nist-800-53b-r5-moderate cp-08-01 +SCF:BCD-10.1 nist-800-82-r3 cp-08-01 +SCF:BCD-10.1 nist-800-82-r3-moderate-ot-overlay cp-08-01 +SCF:BCD-10.1 nist-800-82-r3-high-ot-overlay cp-08-01 +SCF:BCD-10.2 nist-csf-function-grouping protect +SCF:BCD-10.2 nist-800-53-r4 cp-8-3 +SCF:BCD-10.2 nist-800-53-r5 cp-08-03 +SCF:BCD-10.2 nist-800-53b-r5-high cp-08-03 +SCF:BCD-10.2 nist-800-82-r3 cp-08-03 +SCF:BCD-10.2 nist-800-82-r3-high-ot-overlay cp-08-03 +SCF:BCD-10.2 nist-800-160-vol2-r1 cp-08-03 +SCF:BCD-10.2 nist-800-161-r1 cp-8-3 +SCF:BCD-10.2 nist-800-161-r1-level-2 cp-8-3 +SCF:BCD-10.2 nist-800-161-r1-level-3 cp-8-3 +SCF:BCD-10.3 nist-csf-function-grouping protect +SCF:BCD-10.3 csa-ccm-4.1.0 bcr-03 +SCF:BCD-10.3 nist-800-53-r4 cp-8-4 +SCF:BCD-10.3 nist-800-53-r5 cp-08-04 +SCF:BCD-10.3 nist-800-53b-r5-high cp-08-04 +SCF:BCD-10.3 nist-800-82-r3 cp-08-04 +SCF:BCD-10.3 nist-800-82-r3-high-ot-overlay cp-08-04 +SCF:BCD-10.3 nist-800-161-r1 cp-8-4 +SCF:BCD-10.3 nist-800-161-r1-level-2 cp-8-4 +SCF:BCD-10.3 nist-800-161-r1-level-3 cp-8-4 +SCF:BCD-10.4 nist-csf-function-grouping protect +SCF:BCD-10.4 nist-800-53-r5 sc-47 +SCF:BCD-10.4 nist-800-82-r3 sc-47 +SCF:BCD-10.4 nist-800-82-r3-high-ot-overlay sc-47 +SCF:BCD-10.4 nist-800-160-vol2-r1 sc-47 +SCF:BCD-10.4 nist-800-161-r1 sc-47 +SCF:BCD-10.4 nist-800-161-r1-level-1 sc-47 +SCF:BCD-10.4 nist-800-161-r1-level-2 sc-47 +SCF:BCD-10.4 nist-800-161-r1-level-3 sc-47 +SCF:BCD-11 nist-csf-function-grouping protect +SCF:BCD-11 cis-csc-8.1 _11.2 +SCF:BCD-11 cis-csc-8.1-ig1 _11.2 +SCF:BCD-11 cis-csc-8.1-ig2 _11.2 +SCF:BCD-11 cis-csc-8.1-ig3 _11.2 +SCF:BCD-11 cobit-2019 apo14.10 +SCF:BCD-11 cobit-2019 dss04.07 +SCF:BCD-11 csa-ccm-4.1.0 bcr-08 +SCF:BCD-11 iec-62443-2-1-2024 avail-2.1 +SCF:BCD-11 iec-62443-2-1-2024 avail-2.2 +SCF:BCD-11 iec-62443-3-3-2013 sr-7.3-re-2 +SCF:BCD-11 iec-62443-4-2-2019 cr-7.3 +SCF:BCD-11 iso-27002-2022 _8.13 +SCF:BCD-11 iso-27017-2015 _12.3.1 +SCF:BCD-11 iso-27018-2025 _8.13 +SCF:BCD-11 nist-privacy-framework-1.0 pr.po-p3 +SCF:BCD-11 nist-800-53-r4 cp-9 +SCF:BCD-11 nist-800-53-r4 sc-28-2 +SCF:BCD-11 nist-800-53-r5 cp-09 +SCF:BCD-11 nist-800-53-r5 sc-28-02 +SCF:BCD-11 nist-800-53b-r5-privacy sc-28-02 +SCF:BCD-11 nist-800-53b-r5-low cp-09 +SCF:BCD-11 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-11 nist-sp-800-66-r2 _164.310-d +SCF:BCD-11 nist-800-82-r3 cp-09 +SCF:BCD-11 nist-800-82-r3 sc-28-02 +SCF:BCD-11 nist-800-82-r3-low-ot-overlay cp-09 +SCF:BCD-11 nist-800-82-r3-moderate-ot-overlay cp-09 +SCF:BCD-11 nist-800-82-r3-high-ot-overlay cp-09 +SCF:BCD-11 nist-800-160-vol2-r1 cp-09 +SCF:BCD-11 nist-800-171-r2 _3.8.9 +SCF:BCD-11 nist-800-171-r3 _03.08.09.a +SCF:BCD-11 nist-800-171a _3.8.9 +SCF:BCD-11 nist-csf-2.0 pr.ds-11 +SCF:BCD-11 pci-dss-4.0.1 _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1 _9.4.1.2 +SCF:BCD-11 pci-dss-4.0.1 _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-a _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-a _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-a-ep _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-a-ep _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-b _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-b _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-b-ip _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-b-ip _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-c _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-c _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-c-vt _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-c-vt _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-d-merchant _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-d-merchant _9.4.1.2 +SCF:BCD-11 pci-dss-4.0.1-saq-d-merchant _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-d-service-provider _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-d-service-provider _9.4.1.2 +SCF:BCD-11 pci-dss-4.0.1-saq-d-service-provider _12.10.1 +SCF:BCD-11 pci-dss-4.0.1-saq-p2pe _9.4.1.1 +SCF:BCD-11 pci-dss-4.0.1-saq-p2pe _12.10.1 +SCF:BCD-11.1 nist-csf-function-grouping recover +SCF:BCD-11.1 cis-csc-8.1 _11.3 +SCF:BCD-11.1 cis-csc-8.1 _11.5 +SCF:BCD-11.1 cis-csc-8.1-ig1 _11.3 +SCF:BCD-11.1 cis-csc-8.1-ig2 _11.3 +SCF:BCD-11.1 cis-csc-8.1-ig2 _11.5 +SCF:BCD-11.1 cis-csc-8.1-ig3 _11.3 +SCF:BCD-11.1 cis-csc-8.1-ig3 _11.5 +SCF:BCD-11.1 csa-ccm-4.1.0 bcr-08 +SCF:BCD-11.1 iec-62443-4-2-2019 cr-7.3-1 +SCF:BCD-11.1 iso-27002-2022 _8.13 +SCF:BCD-11.1 iso-27017-2015 _12.3.1 +SCF:BCD-11.1 iso-27018-2025 _8.13 +SCF:BCD-11.1 nist-800-53-r4 cp-9-1 +SCF:BCD-11.1 nist-800-53-r5 cp-09-01 +SCF:BCD-11.1 nist-800-53b-r5-moderate cp-09-01 +SCF:BCD-11.1 nist-800-82-r3 cp-09-01 +SCF:BCD-11.1 nist-800-82-r3-moderate-ot-overlay cp-09-01 +SCF:BCD-11.1 nist-800-82-r3-high-ot-overlay cp-09-01 +SCF:BCD-11.1 nist-800-160-vol2-r1 cp-09-01 +SCF:BCD-11.1 nist-csf-2.0 pr.ds-11 +SCF:BCD-11.2 nist-csf-function-grouping protect +SCF:BCD-11.2 iec-62443-2-1-2024 avail-2.4 +SCF:BCD-11.2 iec-62443-3-3-2013 sr-7.3 +SCF:BCD-11.2 iso-27002-2022 _8.13 +SCF:BCD-11.2 iso-27017-2015 _12.3.1 +SCF:BCD-11.2 iso-27018-2025 _8.13 +SCF:BCD-11.2 nist-800-53-r4 cp-9-3 +SCF:BCD-11.2 nist-800-53-r5 cp-09-03 +SCF:BCD-11.2 nist-800-53b-r5-high cp-09-03 +SCF:BCD-11.2 nist-800-82-r3 cp-09-03 +SCF:BCD-11.2 nist-800-82-r3-high-ot-overlay cp-09-03 +SCF:BCD-11.2 pci-dss-4.0.1 _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-a _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-a-ep _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-b _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-b-ip _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-c _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-c-vt _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-d-merchant _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-d-service-provider _9.4.1.1 +SCF:BCD-11.2 pci-dss-4.0.1-saq-p2pe _9.4.1.1 +SCF:BCD-11.3 nist-csf-function-grouping recover +SCF:BCD-11.4 nist-csf-function-grouping protect +SCF:BCD-11.4 cis-csc-8.1 _11.3 +SCF:BCD-11.4 cis-csc-8.1-ig1 _11.3 +SCF:BCD-11.4 cis-csc-8.1-ig2 _11.3 +SCF:BCD-11.4 cis-csc-8.1-ig3 _11.3 +SCF:BCD-11.4 csa-ccm-4.1.0 bcr-08 +SCF:BCD-11.4 iec-62443-2-1-2024 avail-2.4 +SCF:BCD-11.4 iso-27002-2022 _8.13 +SCF:BCD-11.4 iso-27017-2015 _12.3.1 +SCF:BCD-11.4 iso-27018-2025 _8.13 +SCF:BCD-11.4 nist-800-53-r5 cp-09-08 +SCF:BCD-11.4 nist-800-53-r5 sc-28-01 +SCF:BCD-11.4 nist-800-53b-r5-privacy sc-28-01 +SCF:BCD-11.4 nist-800-53b-r5-moderate cp-09-08 +SCF:BCD-11.4 nist-800-53b-r5-moderate sc-28-01 +SCF:BCD-11.4 nist-800-82-r3 cp-09-08 +SCF:BCD-11.4 nist-800-82-r3 sc-28-01 +SCF:BCD-11.4 nist-800-82-r3-moderate-ot-overlay cp-09-08 +SCF:BCD-11.4 nist-800-82-r3-moderate-ot-overlay sc-28-01 +SCF:BCD-11.4 nist-800-82-r3-high-ot-overlay cp-09-08 +SCF:BCD-11.4 nist-800-82-r3-high-ot-overlay sc-28-01 +SCF:BCD-11.4 nist-800-160-vol2-r1 cp-09-08 +SCF:BCD-11.4 nist-800-160-vol2-r1 sc-28-01 +SCF:BCD-11.4 nist-800-171-r2 _3.8.9 +SCF:BCD-11.4 nist-800-171-r3 _03.08.09.a +SCF:BCD-11.4 nist-800-171-r3 _03.08.09.b +SCF:BCD-11.4 nist-800-171a _3.8.9 +SCF:BCD-11.4 nist-800-171a-r3 a.03.08.09.a +SCF:BCD-11.4 nist-800-171a-r3 a.03.08.09.b +SCF:BCD-11.5 nist-csf-function-grouping protect +SCF:BCD-11.5 cis-csc-8.1 _11.5 +SCF:BCD-11.5 cis-csc-8.1-ig2 _11.5 +SCF:BCD-11.5 cis-csc-8.1-ig3 _11.5 +SCF:BCD-11.5 csa-ccm-4.1.0 bcr-06 +SCF:BCD-11.5 csa-ccm-4.1.0 bcr-08 +SCF:BCD-11.5 iec-62443-2-1-2024 avail-2.3 +SCF:BCD-11.5 iec-62443-3-3-2013 sr-7.3-re-1 +SCF:BCD-11.5 nist-800-53-r4 cp-9-2 +SCF:BCD-11.5 nist-800-53-r5 cp-09-02 +SCF:BCD-11.5 nist-800-53b-r5-high cp-09-02 +SCF:BCD-11.5 nist-800-82-r3 cp-09-02 +SCF:BCD-11.5 nist-800-82-r3-high-ot-overlay cp-09-02 +SCF:BCD-11.5 nist-csf-2.0 pr.ds-11 +SCF:BCD-11.6 nist-csf-function-grouping protect +SCF:BCD-11.6 csa-ccm-4.1.0 dcs-03 +SCF:BCD-11.6 nist-800-53-r4 cp-9-5 +SCF:BCD-11.6 nist-800-53-r5 cp-09-05 +SCF:BCD-11.6 nist-800-53b-r5-high cp-09-05 +SCF:BCD-11.6 nist-800-82-r3 cp-09-05 +SCF:BCD-11.6 nist-800-82-r3-high-ot-overlay cp-09-05 +SCF:BCD-11.6 nist-csf-2.0 pr.ds-11 +SCF:BCD-11.7 nist-csf-function-grouping protect +SCF:BCD-11.7 csa-ccm-4.1.0 bcr-03 +SCF:BCD-11.7 csa-ccm-4.1.0 bcr-11 +SCF:BCD-11.7 iso-27002-2022 _8.14 +SCF:BCD-11.7 iso-27017-2015 _17.2.1 +SCF:BCD-11.7 iso-27018-2025 _8.14 +SCF:BCD-11.7 nist-800-53-r4 cp-9-6 +SCF:BCD-11.7 nist-800-53-r5 cp-09-06 +SCF:BCD-11.7 nist-800-82-r3 cp-09-06 +SCF:BCD-11.7 nist-800-160-vol2-r1 cp-09-06 +SCF:BCD-11.8 nist-csf-function-grouping protect +SCF:BCD-11.8 nist-800-53-r4 cp-9-7 +SCF:BCD-11.8 nist-800-53-r5 cp-09-07 +SCF:BCD-11.8 nist-800-82-r3 cp-09-07 +SCF:BCD-11.8 nist-800-160-vol2-r1 cp-09-07 +SCF:BCD-11.9 nist-csf-function-grouping protect +SCF:BCD-11.10 nist-csf-function-grouping protect +SCF:BCD-12 nist-csf-function-grouping protect +SCF:BCD-12 cis-csc-8.1 _11.3 +SCF:BCD-12 cis-csc-8.1-ig1 _11.3 +SCF:BCD-12 cis-csc-8.1-ig2 _11.3 +SCF:BCD-12 cis-csc-8.1-ig3 _11.3 +SCF:BCD-12 cobit-2019 apo14.10 +SCF:BCD-12 cobit-2019 dss04.07 +SCF:BCD-12 csa-iot-scf-2 opa-06 +SCF:BCD-12 iec-62443-2-1-2024 avail-1.3 +SCF:BCD-12 iec-62443-2-1-2024 avail-2.5 +SCF:BCD-12 iec-62443-3-3-2013 sr-7.4 +SCF:BCD-12 iec-62443-4-2-2019 cr-7.4 +SCF:BCD-12 nist-800-53-r4 cp-10 +SCF:BCD-12 nist-800-53-r5 cp-10 +SCF:BCD-12 nist-800-53b-r5-privacy cp-10 +SCF:BCD-12 nist-800-53b-r5-low cp-10 +SCF:BCD-12 nist-sp-800-66-r2 _164.308-a-7 +SCF:BCD-12 nist-800-82-r3 cp-10 +SCF:BCD-12 nist-800-82-r3-low-ot-overlay cp-10 +SCF:BCD-12 nist-800-82-r3-moderate-ot-overlay cp-10 +SCF:BCD-12 nist-800-82-r3-high-ot-overlay cp-10 +SCF:BCD-12 nist-csf-2.0 rc +SCF:BCD-12 nist-csf-2.0 rc.rp-01 +SCF:BCD-12 nist-csf-2.0 rc.rp-05 +SCF:BCD-12.1 nist-csf-function-grouping recover +SCF:BCD-12.1 nist-800-53-r4 cp-10-2 +SCF:BCD-12.1 nist-800-53-r5 cp-10-02 +SCF:BCD-12.1 nist-800-53b-r5-moderate cp-10-02 +SCF:BCD-12.1 nist-800-82-r3 cp-10-02 +SCF:BCD-12.1 nist-800-82-r3-moderate-ot-overlay cp-10-02 +SCF:BCD-12.1 nist-800-82-r3-high-ot-overlay cp-10-02 +SCF:BCD-12.2 nist-csf-function-grouping recover +SCF:BCD-12.2 csa-ccm-4.1.0 bcr-03 +SCF:BCD-12.2 csa-ccm-4.1.0 bcr-11 +SCF:BCD-12.2 csa-iot-scf-2 opa-03 +SCF:BCD-12.2 csa-iot-scf-2 opa-06 +SCF:BCD-12.2 iec-62443-4-2-2019 cr-2.10-b +SCF:BCD-12.2 iec-62443-4-2-2019 cr-7.1 +SCF:BCD-12.2 nist-privacy-framework-1.0 pr.pt-p4 +SCF:BCD-12.2 nist-800-53-r4 cp-10-5 +SCF:BCD-12.2 nist-800-53-r5 si-13 +SCF:BCD-12.2 nist-800-53b-r5-privacy si-13 +SCF:BCD-12.2 nist-800-82-r3 si-13 +SCF:BCD-12.2 nist-800-82-r3-high-ot-overlay si-13 +SCF:BCD-12.3 nist-csf-function-grouping respond +SCF:BCD-12.4 nist-csf-function-grouping respond +SCF:BCD-12.4 csa-ccm-4.1.0 bcr-03 +SCF:BCD-12.4 iec-62443-2-1-2024 avail-1.3 +SCF:BCD-12.4 nist-800-53-r4 cp-10-4 +SCF:BCD-12.4 nist-800-53-r5 cp-10-04 +SCF:BCD-12.4 nist-800-53b-r5-high cp-10-04 +SCF:BCD-12.4 nist-800-82-r3 cp-10-04 +SCF:BCD-12.4 nist-800-82-r3-high-ot-overlay cp-10-04 +SCF:BCD-13 nist-csf-function-grouping protect +SCF:BCD-13 cis-csc-8.1 _11.3 +SCF:BCD-13 cis-csc-8.1-ig1 _11.3 +SCF:BCD-13 cis-csc-8.1-ig2 _11.3 +SCF:BCD-13 cis-csc-8.1-ig3 _11.3 +SCF:BCD-13 nist-800-53-r4 cp-10-6 +SCF:BCD-13 nist-800-53-r5 cp-10-06 +SCF:BCD-13 nist-800-82-r3 cp-10-06 +SCF:BCD-13 nist-800-82-r3-moderate-ot-overlay cp-10-06 +SCF:BCD-13 nist-800-82-r3-high-ot-overlay cp-10-06 +SCF:BCD-13 nist-csf-2.0 rc.rp-03 +SCF:BCD-13.1 nist-csf-function-grouping govern +SCF:BCD-13.1 nist-csf-2.0 rc.rp-03 +SCF:BCD-14 nist-csf-function-grouping recover +SCF:BCD-14 cis-csc-8.1 _11.4 +SCF:BCD-14 cis-csc-8.1-ig1 _11.4 +SCF:BCD-14 cis-csc-8.1-ig2 _11.4 +SCF:BCD-14 cis-csc-8.1-ig3 _11.4 +SCF:BCD-15 nist-csf-function-grouping recover +SCF:BCD-16 nist-csf-function-grouping respond +SCF:BCD-16 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:CAP-01 nist-csf-function-grouping govern +SCF:CAP-01 cobit-2019 bai04.04 +SCF:CAP-01 cobit-2019 bai04.05 +SCF:CAP-01 csa-ccm-4.1.0 i-s-02 +SCF:CAP-01 csa-iot-scf-2 snt-03 +SCF:CAP-01 iec-62443-2-1-2024 avail-1.2 +SCF:CAP-01 iec-62443-3-3-2013 sr-7.2 +SCF:CAP-01 iec-62443-4-2-2019 cr-7.2 +SCF:CAP-01 iso-27002-2022 _8.6 +SCF:CAP-01 iso-27017-2015 _12.1.3 +SCF:CAP-01 iso-27018-2025 _8.6 +SCF:CAP-01 nist-privacy-framework-1.0 pr.ds-p4 +SCF:CAP-01 nist-800-53-r4 sc-5 +SCF:CAP-01 nist-800-53-r4 sc-5-3 +SCF:CAP-01 nist-800-53-r5 sc-05 +SCF:CAP-01 nist-800-53-r5 sc-05-03 +SCF:CAP-01 nist-800-53b-r5-privacy sc-05 +SCF:CAP-01 nist-800-53b-r5-low sc-05 +SCF:CAP-01 nist-800-82-r3 sc-05 +SCF:CAP-01 nist-800-82-r3 sc-05-03 +SCF:CAP-01 nist-800-82-r3-low-ot-overlay sc-05 +SCF:CAP-01 nist-800-82-r3-moderate-ot-overlay sc-05 +SCF:CAP-01 nist-800-82-r3-high-ot-overlay sc-05 +SCF:CAP-01 nist-800-160-vol2-r1 sc-05-03 +SCF:CAP-01 nist-csf-2.0 pr.ir-04 +SCF:CAP-02 nist-csf-function-grouping protect +SCF:CAP-02 csa-iot-scf-2 opa-08 +SCF:CAP-02 csa-iot-scf-2 opa-09 +SCF:CAP-02 nist-800-53-r4 sc-5 +SCF:CAP-02 nist-800-53-r4 sc-5-1 +SCF:CAP-02 nist-800-53-r4 sc-5-2 +SCF:CAP-02 nist-800-53-r4 sc-6 +SCF:CAP-02 nist-800-53-r5 sc-05 +SCF:CAP-02 nist-800-53-r5 sc-05-01 +SCF:CAP-02 nist-800-53-r5 sc-05-02 +SCF:CAP-02 nist-800-53-r5 sc-06 +SCF:CAP-02 nist-800-53b-r5-privacy sc-05 +SCF:CAP-02 nist-800-53b-r5-privacy sc-05-02 +SCF:CAP-02 nist-800-53b-r5-low sc-05 +SCF:CAP-02 nist-800-82-r3 sc-05 +SCF:CAP-02 nist-800-82-r3 sc-05-01 +SCF:CAP-02 nist-800-82-r3 sc-05-02 +SCF:CAP-02 nist-800-82-r3 sc-06 +SCF:CAP-02 nist-800-82-r3-low-ot-overlay sc-05 +SCF:CAP-02 nist-800-82-r3-moderate-ot-overlay sc-05 +SCF:CAP-02 nist-800-82-r3-high-ot-overlay sc-05 +SCF:CAP-02 nist-800-160-vol2-r1 sc-05-02 +SCF:CAP-02 nist-800-161-r1 sc-5 +SCF:CAP-02 nist-800-161-r1 sc-5-2 +SCF:CAP-02 nist-800-161-r1-level-2 sc-5-2 +SCF:CAP-02 nist-csf-2.0 pr.ir-04 +SCF:CAP-03 nist-csf-function-grouping protect +SCF:CAP-03 csa-ccm-4.1.0 i-s-02 +SCF:CAP-03 iso-27002-2022 _8.6 +SCF:CAP-03 iso-27017-2015 _12.1.3 +SCF:CAP-03 iso-27018-2025 _8.6 +SCF:CAP-03 nist-privacy-framework-1.0 pr.ds-p4 +SCF:CAP-03 nist-800-53-r4 sc-5 +SCF:CAP-03 nist-800-53-r4 sc-5-2 +SCF:CAP-03 nist-800-53-r4 cp-2-2 +SCF:CAP-03 nist-800-53-r5 cp-02-02 +SCF:CAP-03 nist-800-53-r5 sc-05 +SCF:CAP-03 nist-800-53-r5 sc-05-02 +SCF:CAP-03 nist-800-53b-r5-privacy sc-05 +SCF:CAP-03 nist-800-53b-r5-privacy sc-05-02 +SCF:CAP-03 nist-800-53b-r5-low sc-05 +SCF:CAP-03 nist-800-53b-r5-high cp-02-02 +SCF:CAP-03 nist-800-82-r3 cp-02-02 +SCF:CAP-03 nist-800-82-r3 sc-05 +SCF:CAP-03 nist-800-82-r3 sc-05-02 +SCF:CAP-03 nist-800-82-r3-low-ot-overlay sc-05 +SCF:CAP-03 nist-800-82-r3-moderate-ot-overlay sc-05 +SCF:CAP-03 nist-800-82-r3-high-ot-overlay cp-02-02 +SCF:CAP-03 nist-800-82-r3-high-ot-overlay sc-05 +SCF:CAP-03 nist-800-160-vol2-r1 sc-05-02 +SCF:CAP-03 nist-800-161-r1 cp-2-2 +SCF:CAP-03 nist-800-161-r1 sc-5-2 +SCF:CAP-03 nist-800-161-r1-level-2 cp-2-2 +SCF:CAP-03 nist-800-161-r1-level-2 sc-5-2 +SCF:CAP-03 nist-800-161-r1-level-3 cp-2-2 +SCF:CAP-03 nist-csf-2.0 pr.ir-04 +SCF:CAP-04 nist-csf-function-grouping detect +SCF:CAP-04 csa-iot-scf-2 snt-03 +SCF:CAP-04 nist-csf-2.0 pr.ir-04 +SCF:CAP-05 nist-csf-function-grouping govern +SCF:CAP-05 nist-csf-2.0 pr.ir-04 +SCF:CAP-06 nist-csf-function-grouping govern +SCF:CAP-06 csa-iot-scf-2 opa-03 +SCF:CHG-01 nist-csf-function-grouping protect +SCF:CHG-01 cobit-2019 bai06.03 +SCF:CHG-01 coso-2013 _9 +SCF:CHG-01 csa-ccm-4.1.0 ccc-01 +SCF:CHG-01 csa-ccm-4.1.0 ccc-03 +SCF:CHG-01 csa-ccm-4.1.0 cek-06 +SCF:CHG-01 csa-iot-scf-2 ccm-02 +SCF:CHG-01 csa-iot-scf-2 ccm-08 +SCF:CHG-01 csa-iot-scf-2 dat-04 +SCF:CHG-01 csa-iot-scf-2 iam-22 +SCF:CHG-01 iec-62443-2-1-2024 cm-1.4 +SCF:CHG-01 iso-27001-2022 _6.3 +SCF:CHG-01 iso-27002-2022 _8.19 +SCF:CHG-01 iso-27002-2022 _8.32 +SCF:CHG-01 iso-27017-2015 _12.1.2 +SCF:CHG-01 iso-27018-2025 _8.19 +SCF:CHG-01 iso-27018-2025 _8.32 +SCF:CHG-01 iso-42001-2023 _6.3 +SCF:CHG-01 nist-privacy-framework-1.0 pr.po-p2 +SCF:CHG-01 nist-800-53-r4 cm-3 +SCF:CHG-01 nist-800-53-r5 cm-03 +SCF:CHG-01 nist-800-53b-r5-privacy cm-03 +SCF:CHG-01 nist-800-53b-r5-moderate cm-03 +SCF:CHG-01 nist-sp-800-66-r2 _164.308-a-1 +SCF:CHG-01 nist-800-82-r3 cm-03 +SCF:CHG-01 nist-800-82-r3-moderate-ot-overlay cm-03 +SCF:CHG-01 nist-800-82-r3-high-ot-overlay cm-03 +SCF:CHG-01 nist-800-161-r1 cm-3 +SCF:CHG-01 nist-800-161-r1-flow-down cm-3 +SCF:CHG-01 nist-800-161-r1-level-2 cm-3 +SCF:CHG-01 nist-800-161-r1-level-3 cm-3 +SCF:CHG-01 nist-800-171-r2 _3.4.3 +SCF:CHG-01 nist-800-171-r3 _03.04.02.b +SCF:CHG-01 nist-800-171-r3 _03.04.03.a +SCF:CHG-01 nist-800-171a-r3 a.03.04.03.d-01 +SCF:CHG-01 nist-800-171a-r3 a.03.04.03.d-02 +SCF:CHG-01 nist-800-172 _3.13.2e +SCF:CHG-01 nist-800-207 nist-tenet-5 +SCF:CHG-01 nist-csf-2.0 id.ra-07 +SCF:CHG-01 pci-dss-4.0.1 _1.2.2 +SCF:CHG-01 pci-dss-4.0.1 _6.5 +SCF:CHG-01 pci-dss-4.0.1 _6.5.1 +SCF:CHG-01 pci-dss-4.0.1 _6.5.2 +SCF:CHG-01 pci-dss-4.0.1 _6.5.3 +SCF:CHG-01 pci-dss-4.0.1 _12.4.2 +SCF:CHG-01 pci-dss-4.0.1-saq-a-ep _1.2.2 +SCF:CHG-01 pci-dss-4.0.1-saq-a-ep _6.5.1 +SCF:CHG-01 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:CHG-01 pci-dss-4.0.1-saq-c _6.5.1 +SCF:CHG-01 pci-dss-4.0.1-saq-c _6.5.2 +SCF:CHG-01 pci-dss-4.0.1-saq-d-merchant _1.2.2 +SCF:CHG-01 pci-dss-4.0.1-saq-d-merchant _6.5.1 +SCF:CHG-01 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:CHG-01 pci-dss-4.0.1-saq-d-merchant _6.5.3 +SCF:CHG-01 pci-dss-4.0.1-saq-d-service-provider _1.2.2 +SCF:CHG-01 pci-dss-4.0.1-saq-d-service-provider _6.5.1 +SCF:CHG-01 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:CHG-01 pci-dss-4.0.1-saq-d-service-provider _6.5.3 +SCF:CHG-01 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CHG-02 nist-csf-function-grouping protect +SCF:CHG-02 cobit-2019 bai06.03 +SCF:CHG-02 cobit-2019 bai06.04 +SCF:CHG-02 cobit-2019 bai07.01 +SCF:CHG-02 cobit-2019 bai07.02 +SCF:CHG-02 cobit-2019 bai07.06 +SCF:CHG-02 coso-2013 _9 +SCF:CHG-02 csa-ccm-4.1.0 ccc-02 +SCF:CHG-02 csa-ccm-4.1.0 ccc-03 +SCF:CHG-02 csa-ccm-4.1.0 ccc-05 +SCF:CHG-02 csa-ccm-4.1.0 ccc-09 +SCF:CHG-02 csa-ccm-4.1.0 cek-05 +SCF:CHG-02 csa-iot-scf-2 ccm-02 +SCF:CHG-02 csa-iot-scf-2 ccm-08 +SCF:CHG-02 csa-iot-scf-2 gvn-05 +SCF:CHG-02 csa-iot-scf-2 iam-22 +SCF:CHG-02 iec-62443-2-1-2024 cm-1.4 +SCF:CHG-02 iec-62443-2-1-2024 data-1.3-a +SCF:CHG-02 iec-62443-2-1-2024 data-1.3-b +SCF:CHG-02 iso-27002-2022 _8.19 +SCF:CHG-02 iso-27002-2022 _8.32 +SCF:CHG-02 iso-27017-2015 _12.1.2 +SCF:CHG-02 iso-27017-2015 _14.2.2 +SCF:CHG-02 iso-27018-2025 _8.19 +SCF:CHG-02 iso-27018-2025 _8.32 +SCF:CHG-02 iso-42001-2023 _6.3 +SCF:CHG-02 nist-privacy-framework-1.0 pr.po-p2 +SCF:CHG-02 nist-800-53-r4 cm-3 +SCF:CHG-02 nist-800-53-r5 cm-03 +SCF:CHG-02 nist-800-53-r5 sa-08-31 +SCF:CHG-02 nist-800-53b-r5-privacy cm-03 +SCF:CHG-02 nist-800-53b-r5-privacy sa-08-31 +SCF:CHG-02 nist-800-53b-r5-moderate cm-03 +SCF:CHG-02 nist-800-82-r3 cm-03 +SCF:CHG-02 nist-800-82-r3 sa-08-31 +SCF:CHG-02 nist-800-82-r3-moderate-ot-overlay cm-03 +SCF:CHG-02 nist-800-82-r3-high-ot-overlay cm-03 +SCF:CHG-02 nist-800-160-vol2-r1 sa-08-31 +SCF:CHG-02 nist-800-161-r1 cm-3 +SCF:CHG-02 nist-800-161-r1-flow-down cm-3 +SCF:CHG-02 nist-800-161-r1-level-2 cm-3 +SCF:CHG-02 nist-800-161-r1-level-3 cm-3 +SCF:CHG-02 nist-800-171-r2 _3.4.3 +SCF:CHG-02 nist-800-171-r3 _03.04.02.b +SCF:CHG-02 nist-800-171-r3 _03.04.03.a +SCF:CHG-02 nist-800-171-r3 _03.04.03.b +SCF:CHG-02 nist-800-171-r3 _03.04.03.c +SCF:CHG-02 nist-800-171a _3.4.3-a +SCF:CHG-02 nist-800-171a _3.4.3-b +SCF:CHG-02 nist-800-171a _3.4.3-c +SCF:CHG-02 nist-800-171a _3.4.3-d +SCF:CHG-02 nist-800-171a-r3 a.03.04.03.a +SCF:CHG-02 nist-800-171a-r3 a.03.04.03.c-01 +SCF:CHG-02 nist-800-207 nist-tenet-5 +SCF:CHG-02 nist-csf-2.0 id.ra-07 +SCF:CHG-02 pci-dss-4.0.1 _1.2.2 +SCF:CHG-02 pci-dss-4.0.1 _6.5 +SCF:CHG-02 pci-dss-4.0.1 _6.5.1 +SCF:CHG-02 pci-dss-4.0.1 _6.5.6 +SCF:CHG-02 pci-dss-4.0.1 _12.4.2 +SCF:CHG-02 pci-dss-4.0.1-saq-a-ep _1.2.2 +SCF:CHG-02 pci-dss-4.0.1-saq-a-ep _6.5.1 +SCF:CHG-02 pci-dss-4.0.1-saq-c _6.5.1 +SCF:CHG-02 pci-dss-4.0.1-saq-d-merchant _1.2.2 +SCF:CHG-02 pci-dss-4.0.1-saq-d-merchant _6.5.1 +SCF:CHG-02 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:CHG-02 pci-dss-4.0.1-saq-d-service-provider _1.2.2 +SCF:CHG-02 pci-dss-4.0.1-saq-d-service-provider _6.5.1 +SCF:CHG-02 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:CHG-02 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CHG-02.1 nist-csf-function-grouping protect +SCF:CHG-02.1 csa-ccm-4.1.0 ccc-03 +SCF:CHG-02.1 csa-ccm-4.1.0 ccc-04 +SCF:CHG-02.1 csa-iot-scf-2 gvn-05 +SCF:CHG-02.1 iso-42001-2023 _6.3 +SCF:CHG-02.1 nist-800-53-r4 cm-3-1 +SCF:CHG-02.1 nist-800-53-r5 cm-03-01 +SCF:CHG-02.1 nist-800-53b-r5-high cm-03-01 +SCF:CHG-02.1 nist-800-82-r3 cm-03-01 +SCF:CHG-02.1 nist-800-82-r3-high-ot-overlay cm-03-01 +SCF:CHG-02.1 nist-800-161-r1 cm-3-1 +SCF:CHG-02.1 nist-800-161-r1-level-2 cm-3-1 +SCF:CHG-02.1 nist-800-161-r1-level-3 cm-3-1 +SCF:CHG-02.1 nist-800-171-r3 _03.04.02.b +SCF:CHG-02.1 nist-800-171-r3 _03.04.03.a +SCF:CHG-02.1 nist-800-171a-r3 a.03.04.03.b-02 +SCF:CHG-02.1 nist-800-171a-r3 a.03.04.05-05 +SCF:CHG-02.1 nist-800-207 nist-tenet-5 +SCF:CHG-02.1 nist-csf-2.0 id.ra-07 +SCF:CHG-02.1 pci-dss-4.0.1 _1.2.2 +SCF:CHG-02.1 pci-dss-4.0.1 _6.5 +SCF:CHG-02.1 pci-dss-4.0.1 _6.5.1 +SCF:CHG-02.1 pci-dss-4.0.1-saq-a-ep _1.2.2 +SCF:CHG-02.1 pci-dss-4.0.1-saq-a-ep _6.5.1 +SCF:CHG-02.1 pci-dss-4.0.1-saq-c _6.5.1 +SCF:CHG-02.1 pci-dss-4.0.1-saq-d-merchant _1.2.2 +SCF:CHG-02.1 pci-dss-4.0.1-saq-d-merchant _6.5.1 +SCF:CHG-02.1 pci-dss-4.0.1-saq-d-service-provider _1.2.2 +SCF:CHG-02.1 pci-dss-4.0.1-saq-d-service-provider _6.5.1 +SCF:CHG-02.2 nist-csf-function-grouping protect +SCF:CHG-02.2 cobit-2019 bai07.05 +SCF:CHG-02.2 coso-2013 _9 +SCF:CHG-02.2 csa-ccm-4.1.0 ccc-02 +SCF:CHG-02.2 csa-iot-scf-2 ccm-08 +SCF:CHG-02.2 iec-62443-2-1-2024 comp-3.4 +SCF:CHG-02.2 iec-62443-3-3-2013 sr-3.3 +SCF:CHG-02.2 iso-27002-2022 _8.19 +SCF:CHG-02.2 iso-27002-2022 _8.32 +SCF:CHG-02.2 iso-27017-2015 _12.1.2 +SCF:CHG-02.2 iso-27017-2015 _14.2.3 +SCF:CHG-02.2 iso-27018-2025 _8.19 +SCF:CHG-02.2 iso-27018-2025 _8.32 +SCF:CHG-02.2 nist-800-53-r4 cm-3-2 +SCF:CHG-02.2 nist-800-53-r4 cm-5-2 +SCF:CHG-02.2 nist-800-53-r5 cm-03-02 +SCF:CHG-02.2 nist-800-53-r5 cm-03-07 +SCF:CHG-02.2 nist-800-53-r5 sa-08-31 +SCF:CHG-02.2 nist-800-53b-r5-privacy cm-03-02 +SCF:CHG-02.2 nist-800-53b-r5-privacy sa-08-31 +SCF:CHG-02.2 nist-800-53b-r5-moderate cm-03-02 +SCF:CHG-02.2 nist-800-82-r3 cm-03-02 +SCF:CHG-02.2 nist-800-82-r3 cm-03-07 +SCF:CHG-02.2 nist-800-82-r3 sa-08-31 +SCF:CHG-02.2 nist-800-160-vol2-r1 sa-08-31 +SCF:CHG-02.2 nist-800-161-r1 cm-3-2 +SCF:CHG-02.2 nist-800-161-r1-level-2 cm-3-2 +SCF:CHG-02.2 nist-800-161-r1-level-3 cm-3-2 +SCF:CHG-02.2 nist-800-171-r2 nfo-cm-3-2 +SCF:CHG-02.2 nist-800-171-r3 _03.04.03.b +SCF:CHG-02.2 nist-800-171-r3 _03.04.03.c +SCF:CHG-02.2 nist-800-171-r3 _03.04.04.a +SCF:CHG-02.2 nist-800-171-r3 _03.04.11.b +SCF:CHG-02.2 nist-800-171a-r3 a.03.04.03.c-02 +SCF:CHG-02.2 nist-csf-2.0 id.ra-07 +SCF:CHG-02.2 pci-dss-4.0.1 _6.5 +SCF:CHG-02.2 pci-dss-4.0.1 _6.5.1 +SCF:CHG-02.2 pci-dss-4.0.1 _6.5.2 +SCF:CHG-02.2 pci-dss-4.0.1 a3.2.2.1 +SCF:CHG-02.2 pci-dss-4.0.1-saq-a-ep _6.5.1 +SCF:CHG-02.2 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:CHG-02.2 pci-dss-4.0.1-saq-c _6.5.1 +SCF:CHG-02.2 pci-dss-4.0.1-saq-c _6.5.2 +SCF:CHG-02.2 pci-dss-4.0.1-saq-d-merchant _6.5.1 +SCF:CHG-02.2 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:CHG-02.2 pci-dss-4.0.1-saq-d-service-provider _6.5.1 +SCF:CHG-02.2 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:CHG-02.3 nist-csf-function-grouping protect +SCF:CHG-02.3 coso-2013 _9 +SCF:CHG-02.3 csa-iot-scf-2 ccm-08 +SCF:CHG-02.3 nist-800-53-r4 cm-3-4 +SCF:CHG-02.3 nist-800-53-r5 cm-03-04 +SCF:CHG-02.3 nist-800-53b-r5-moderate cm-03-04 +SCF:CHG-02.3 nist-800-82-r3 cm-03-04 +SCF:CHG-02.3 nist-800-82-r3-moderate-ot-overlay cm-03-04 +SCF:CHG-02.3 nist-800-82-r3-high-ot-overlay cm-03-04 +SCF:CHG-02.3 nist-800-161-r1 cm-3-4 +SCF:CHG-02.3 nist-800-161-r1-level-2 cm-3-4 +SCF:CHG-02.3 nist-800-161-r1-level-3 cm-3-4 +SCF:CHG-02.3 nist-800-171-r3 _03.04.04.a +SCF:CHG-02.4 nist-csf-function-grouping protect +SCF:CHG-02.4 csa-ccm-4.1.0 ccc-04 +SCF:CHG-02.4 csa-ccm-4.1.0 ccc-06 +SCF:CHG-02.4 csa-ccm-4.1.0 ccc-09 +SCF:CHG-02.4 csa-iot-scf-2 gvn-05 +SCF:CHG-02.4 nist-800-53-r4 cm-3-5 +SCF:CHG-02.4 nist-800-53-r5 cm-03-05 +SCF:CHG-02.4 nist-800-82-r3 cm-03-05 +SCF:CHG-02.4 nist-800-207 nist-tenet-5 +SCF:CHG-02.4 pci-dss-4.0.1 _10.7 +SCF:CHG-02.5 nist-csf-function-grouping protect +SCF:CHG-02.5 nist-800-53-r4 cm-3-6 +SCF:CHG-02.5 nist-800-53-r5 cm-03-06 +SCF:CHG-02.5 nist-800-53b-r5-high cm-03-06 +SCF:CHG-02.5 nist-800-82-r3 cm-03-06 +SCF:CHG-02.5 nist-800-82-r3-high-ot-overlay cm-03-06 +SCF:CHG-03 nist-csf-function-grouping protect +SCF:CHG-03 coso-2013 _9 +SCF:CHG-03 csa-ccm-4.1.0 ccc-03 +SCF:CHG-03 csa-ccm-4.1.0 ccc-05 +SCF:CHG-03 iso-42001-2023 a.5.2 +SCF:CHG-03 iso-42001-2023 a.5.3 +SCF:CHG-03 nist-800-53-r4 cm-4 +SCF:CHG-03 nist-800-53-r5 cm-04 +SCF:CHG-03 nist-800-53b-r5-privacy cm-04 +SCF:CHG-03 nist-800-53b-r5-low cm-04 +SCF:CHG-03 nist-800-82-r3 cm-04 +SCF:CHG-03 nist-800-82-r3-low-ot-overlay cm-04 +SCF:CHG-03 nist-800-82-r3-moderate-ot-overlay cm-04 +SCF:CHG-03 nist-800-82-r3-high-ot-overlay cm-04 +SCF:CHG-03 nist-800-161-r1 cm-4 +SCF:CHG-03 nist-800-161-r1-c-scrm-baseline cm-4 +SCF:CHG-03 nist-800-161-r1-level-3 cm-4 +SCF:CHG-03 nist-800-171-r2 _3.4.4 +SCF:CHG-03 nist-800-171-r3 _03.04.03.b +SCF:CHG-03 nist-800-171-r3 _03.04.04.a +SCF:CHG-03 nist-800-171-r3 _03.04.11.b +SCF:CHG-03 nist-800-171a _3.4.4 +SCF:CHG-03 nist-800-171a-r3 a.03.04.03.b-01 +SCF:CHG-03 nist-800-171a-r3 a.03.04.04.a +SCF:CHG-03 nist-csf-2.0 id.ra-07 +SCF:CHG-03 pci-dss-4.0.1 _6.5.2 +SCF:CHG-03 pci-dss-4.0.1 _6.5.6 +SCF:CHG-03 pci-dss-4.0.1 a3.2.2 +SCF:CHG-03 pci-dss-4.0.1 a3.2.3 +SCF:CHG-03 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:CHG-03 pci-dss-4.0.1-saq-c _6.5.2 +SCF:CHG-03 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:CHG-03 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:CHG-03 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:CHG-03 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:CHG-04 nist-csf-function-grouping protect +SCF:CHG-04 csa-ccm-4.1.0 ccc-04 +SCF:CHG-04 nist-800-53-r4 cm-5 +SCF:CHG-04 nist-800-53-r5 cm-05 +SCF:CHG-04 nist-800-53b-r5-privacy cm-05 +SCF:CHG-04 nist-800-53b-r5-low cm-05 +SCF:CHG-04 nist-800-82-r3 cm-05 +SCF:CHG-04 nist-800-82-r3-low-ot-overlay cm-05 +SCF:CHG-04 nist-800-82-r3-moderate-ot-overlay cm-05 +SCF:CHG-04 nist-800-82-r3-high-ot-overlay cm-05 +SCF:CHG-04 nist-800-161-r1 cm-5 +SCF:CHG-04 nist-800-161-r1-c-scrm-baseline cm-5 +SCF:CHG-04 nist-800-161-r1-level-2 cm-5 +SCF:CHG-04 nist-800-161-r1-level-3 cm-5 +SCF:CHG-04 nist-800-171-r2 _3.4.5 +SCF:CHG-04 nist-800-171-r3 _03.04.02.b +SCF:CHG-04 nist-800-171-r3 _03.04.05 +SCF:CHG-04 nist-800-171a _3.4.5-a +SCF:CHG-04 nist-800-171a _3.4.5-b +SCF:CHG-04 nist-800-171a _3.4.5-c +SCF:CHG-04 nist-800-171a _3.4.5-d +SCF:CHG-04 nist-800-171a _3.4.5-e +SCF:CHG-04 nist-800-171a _3.4.5-f +SCF:CHG-04 nist-800-171a _3.4.5-g +SCF:CHG-04 nist-800-171a _3.4.5-h +SCF:CHG-04 nist-800-218 ps.1 +SCF:CHG-04 nist-csf-2.0 id.ra-07 +SCF:CHG-04 pci-dss-4.0.1 _1.2.8 +SCF:CHG-04 pci-dss-4.0.1-saq-a-ep _1.2.8 +SCF:CHG-04 pci-dss-4.0.1-saq-d-merchant _1.2.8 +SCF:CHG-04 pci-dss-4.0.1-saq-d-service-provider _1.2.8 +SCF:CHG-04.1 nist-csf-function-grouping detect +SCF:CHG-04.1 csa-ccm-4.1.0 ccc-04 +SCF:CHG-04.1 csa-ccm-4.1.0 ccc-09 +SCF:CHG-04.1 nist-800-53-r4 cm-5-1 +SCF:CHG-04.1 nist-800-53-r5 cm-05-01 +SCF:CHG-04.1 nist-800-53b-r5-high cm-05-01 +SCF:CHG-04.1 nist-800-82-r3 cm-05-01 +SCF:CHG-04.1 nist-800-82-r3-high-ot-overlay cm-05-01 +SCF:CHG-04.1 nist-800-161-r1 cm-5-1 +SCF:CHG-04.1 nist-800-161-r1-level-3 cm-5-1 +SCF:CHG-04.2 nist-csf-function-grouping protect +SCF:CHG-04.2 iec-62443-4-2-2019 cr-3.4-1 +SCF:CHG-04.2 iec-62443-4-2-2019 edr-2.4-1 +SCF:CHG-04.2 iec-62443-4-2-2019 hdr-3.10-1 +SCF:CHG-04.2 iec-62443-4-2-2019 ndr-3.10-1 +SCF:CHG-04.2 nist-800-53-r4 cm-5-3 +SCF:CHG-04.2 nist-800-53-r5 cm-14 +SCF:CHG-04.2 nist-800-53-r5 si-07-15 +SCF:CHG-04.2 nist-800-53b-r5-high si-07-15 +SCF:CHG-04.2 nist-800-82-r3 cm-14 +SCF:CHG-04.2 nist-800-82-r3 si-07-15 +SCF:CHG-04.2 nist-800-82-r3-high-ot-overlay si-07-15 +SCF:CHG-04.2 nist-800-160-vol2-r1 cm-14 +SCF:CHG-04.2 nist-800-160-vol2-r1 si-07-15 +SCF:CHG-04.2 nist-800-161-r1 cm-14 +SCF:CHG-04.2 nist-800-161-r1 si-7-15 +SCF:CHG-04.2 nist-800-161-r1-level-3 cm-14 +SCF:CHG-04.2 nist-800-161-r1-level-3 si-7-15 +SCF:CHG-04.3 nist-csf-function-grouping protect +SCF:CHG-04.3 iec-62443-2-1-2024 user-2.3 +SCF:CHG-04.3 nist-800-53-r4 ac-5 +SCF:CHG-04.3 nist-800-53-r4 cm-5-4 +SCF:CHG-04.3 nist-800-53-r5 ac-05 +SCF:CHG-04.3 nist-800-53-r5 cm-05-04 +SCF:CHG-04.3 nist-800-53b-r5-privacy ac-05 +SCF:CHG-04.3 nist-800-53b-r5-moderate ac-05 +SCF:CHG-04.3 nist-800-82-r3 ac-05 +SCF:CHG-04.3 nist-800-82-r3 cm-05-04 +SCF:CHG-04.3 nist-800-82-r3-moderate-ot-overlay ac-05 +SCF:CHG-04.3 nist-800-82-r3-high-ot-overlay ac-05 +SCF:CHG-04.3 nist-800-160-vol2-r1 cm-05-04 +SCF:CHG-04.3 nist-800-161-r1 ac-5 +SCF:CHG-04.3 nist-800-161-r1-flow-down ac-5 +SCF:CHG-04.3 nist-800-161-r1-level-2 ac-5 +SCF:CHG-04.3 nist-800-161-r1-level-3 ac-5 +SCF:CHG-04.4 nist-csf-function-grouping protect +SCF:CHG-04.4 cobit-2019 dss06.03 +SCF:CHG-04.4 csa-ccm-4.1.0 ccc-04 +SCF:CHG-04.4 nist-800-53-r4 cm-5-5 +SCF:CHG-04.4 nist-800-53-r5 cm-05-05 +SCF:CHG-04.4 nist-800-82-r3 cm-05-05 +SCF:CHG-04.4 nist-800-160-vol2-r1 cm-05-05 +SCF:CHG-04.4 nist-800-171-r3 _03.04.05 +SCF:CHG-04.4 nist-800-171a-r3 a.03.04.05-06 +SCF:CHG-04.5 nist-csf-function-grouping protect +SCF:CHG-04.5 nist-800-53-r4 cm-5-6 +SCF:CHG-04.5 nist-800-53-r5 cm-05-06 +SCF:CHG-04.5 nist-800-82-r3 cm-05-06 +SCF:CHG-04.5 nist-800-160-vol2-r1 cm-05-06 +SCF:CHG-04.5 nist-800-161-r1 cm-5-6 +SCF:CHG-04.5 nist-800-161-r1-level-3 cm-5-6 +SCF:CHG-04.5 nist-800-218 ps.1 +SCF:CHG-05 nist-csf-function-grouping protect +SCF:CHG-05 cobit-2019 edm05.01 +SCF:CHG-05 cobit-2019 edm05.02 +SCF:CHG-05 cobit-2019 edm05.03 +SCF:CHG-05 cobit-2019 apo14.01 +SCF:CHG-05 csa-ccm-4.1.0 ccc-05 +SCF:CHG-05 csa-ccm-4.1.0 cek-06 +SCF:CHG-05 iso-42001-2023 a.5.2 +SCF:CHG-05 iso-42001-2023 a.5.3 +SCF:CHG-05 nist-ai-100-1-ai-rmf-1.0 govern-5.0 +SCF:CHG-05 nist-800-53-r4 cm-9 +SCF:CHG-05 nist-800-53-r5 cm-09 +SCF:CHG-05 nist-800-53b-r5-privacy cm-09 +SCF:CHG-05 nist-800-53b-r5-moderate cm-09 +SCF:CHG-05 nist-800-82-r3 cm-09 +SCF:CHG-05 nist-800-82-r3-moderate-ot-overlay cm-09 +SCF:CHG-05 nist-800-82-r3-high-ot-overlay cm-09 +SCF:CHG-05 nist-800-161-r1 cm-9 +SCF:CHG-05 nist-800-161-r1-flow-down cm-9 +SCF:CHG-05 nist-800-161-r1-level-2 cm-9 +SCF:CHG-05 nist-800-161-r1-level-3 cm-9 +SCF:CHG-05 nist-800-171-r2 nfo-cm-9 +SCF:CHG-05 nist-800-171-r3 _03.04.11.b +SCF:CHG-05 nist-800-171a-r3 a.03.04.11.b-01 +SCF:CHG-05 nist-800-171a-r3 a.03.04.11.b-02 +SCF:CHG-06 nist-csf-function-grouping protect +SCF:CHG-06 cis-csc-8.1 _18.4 +SCF:CHG-06 cis-csc-8.1-ig3 _18.4 +SCF:CHG-06 cobit-2019 bai07.08 +SCF:CHG-06 iec-62443-3-3-2013 sr-3.3 +SCF:CHG-06 iec-62443-4-2-2019 cr-3.3 +SCF:CHG-06 iec-62443-4-2-2019 cr-3.3-1 +SCF:CHG-06 nist-800-53-r4 cm-3-2 +SCF:CHG-06 nist-800-53-r4 si-6 +SCF:CHG-06 nist-800-53-r5 cm-03-02 +SCF:CHG-06 nist-800-53-r5 sa-08-31 +SCF:CHG-06 nist-800-53-r5 si-06 +SCF:CHG-06 nist-800-53b-r5-privacy cm-03-02 +SCF:CHG-06 nist-800-53b-r5-privacy sa-08-31 +SCF:CHG-06 nist-800-53b-r5-moderate cm-03-02 +SCF:CHG-06 nist-800-53b-r5-high si-06 +SCF:CHG-06 nist-800-82-r3 cm-03-02 +SCF:CHG-06 nist-800-82-r3 sa-08-31 +SCF:CHG-06 nist-800-82-r3 si-06 +SCF:CHG-06 nist-800-82-r3-moderate-ot-overlay cm-03-02 +SCF:CHG-06 nist-800-82-r3-high-ot-overlay cm-03-02 +SCF:CHG-06 nist-800-82-r3-high-ot-overlay si-06 +SCF:CHG-06 nist-800-160-vol2-r1 sa-08-31 +SCF:CHG-06 nist-800-160-vol2-r1 si-06 +SCF:CHG-06 nist-800-161-r1 cm-3-2 +SCF:CHG-06 nist-800-161-r1-level-2 cm-3-2 +SCF:CHG-06 nist-800-161-r1-level-3 cm-3-2 +SCF:CHG-06 nist-800-171-r3 _03.04.04.b +SCF:CHG-06 nist-800-171a-r3 a.03.04.04.b +SCF:CHG-06 pci-dss-4.0.1 _6.5.2 +SCF:CHG-06 pci-dss-4.0.1 _10.7.3 +SCF:CHG-06 pci-dss-4.0.1 a3.2.2.1 +SCF:CHG-06 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:CHG-06 pci-dss-4.0.1-saq-c _6.5.2 +SCF:CHG-06 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:CHG-06 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:CHG-06 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:CHG-06 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:CHG-06.1 nist-csf-function-grouping identify +SCF:CHG-06.1 nist-800-53-r5 si-06-03 +SCF:CHG-06.1 nist-800-82-r3 si-06-03 +SCF:CHG-06.1 pci-dss-4.0.1 _6.5.2 +SCF:CHG-06.1 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:CHG-06.1 pci-dss-4.0.1-saq-c _6.5.2 +SCF:CHG-06.1 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:CHG-06.1 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:CHG-07 nist-csf-function-grouping protect +SCF:CHG-07 cobit-2019 bai06.02 +SCF:CHG-07.1 nist-csf-function-grouping protect +SCF:CHG-08 nist-csf-function-grouping protect +SCF:CHG-08 iec-62443-4-2-2019 cr-2.1-4 +SCF:EMB-01 nist-csf-function-grouping protect +SCF:EMB-01 csa-iot-scf-2 gvn-01 +SCF:EMB-01 csa-iot-scf-2 gvn-02 +SCF:EMB-01 csa-iot-scf-2 pol-03 +SCF:EMB-01 csa-iot-scf-2 vln-04 +SCF:EMB-01 owasp-top-10-2025 a01-2025 +SCF:EMB-01 owasp-top-10-2025 a02-2025 +SCF:EMB-01 owasp-top-10-2025 a05-2025 +SCF:EMB-01 owasp-top-10-2025 a09-2025 +SCF:EMB-01 owasp-top-10-2025 a10-2025 +SCF:EMB-02 nist-csf-function-grouping protect +SCF:EMB-03 nist-csf-function-grouping protect +SCF:EMB-04 nist-csf-function-grouping protect +SCF:EMB-04 csa-iot-scf-2 iot-05 +SCF:EMB-04 csa-iot-scf-2 phy-01 +SCF:EMB-05 nist-csf-function-grouping detect +SCF:EMB-05 csa-iot-scf-2 ccm-03 +SCF:EMB-05 csa-iot-scf-2 gvn-05 +SCF:EMB-05 csa-iot-scf-2 phy-01 +SCF:EMB-05 csa-iot-scf-2 snt-03 +SCF:EMB-05 iec-62443-4-2-2019 edr-3.11-1 +SCF:EMB-05 owasp-top-10-2025 a05-2025 +SCF:EMB-06 nist-csf-function-grouping protect +SCF:EMB-06 csa-iot-scf-2 iot-05 +SCF:EMB-06 iec-62443-4-2-2019 edr-3.2 +SCF:EMB-06 owasp-top-10-2025 a05-2025 +SCF:EMB-07 nist-csf-function-grouping protect +SCF:EMB-08 nist-csf-function-grouping protect +SCF:EMB-08 csa-iot-scf-2 sap-03 +SCF:EMB-09 nist-csf-function-grouping detect +SCF:EMB-09 csa-iot-scf-2 asm-03 +SCF:EMB-10 nist-csf-function-grouping identify +SCF:EMB-10 csa-iot-scf-2 ccm-01 +SCF:EMB-10 csa-iot-scf-2 iot-08 +SCF:EMB-11 nist-csf-function-grouping protect +SCF:EMB-11 csa-iot-scf-2 com-01 +SCF:EMB-11 csa-iot-scf-2 com-07 +SCF:EMB-12 nist-csf-function-grouping protect +SCF:EMB-12 csa-iot-scf-2 cls-08 +SCF:EMB-12 csa-iot-scf-2 com-10 +SCF:EMB-13 nist-csf-function-grouping protect +SCF:EMB-13 csa-iot-scf-2 cls-08 +SCF:EMB-13 csa-iot-scf-2 com-11 +SCF:EMB-13 csa-iot-scf-2 snt-04 +SCF:EMB-14 nist-csf-function-grouping identify +SCF:EMB-14 csa-iot-scf-2 gvn-09 +SCF:EMB-14 csa-iot-scf-2 iot-07 +SCF:EMB-14 csa-iot-scf-2 iot-08 +SCF:EMB-14 csa-iot-scf-2 lgl-01 +SCF:EMB-14 csa-iot-scf-2 rsm-03 +SCF:EMB-15 nist-csf-function-grouping identify +SCF:EMB-15 csa-iot-scf-2 gvn-09 +SCF:EMB-15 csa-iot-scf-2 gvn-10 +SCF:EMB-15 csa-iot-scf-2 lgl-01 +SCF:EMB-15 iec-62443-2-1-2024 data-1.3 +SCF:EMB-15 nist-ai-600-1 ms-2.12-001 +SCF:EMB-16 nist-csf-function-grouping protect +SCF:EMB-16 csa-iot-scf-2 cls-08 +SCF:EMB-16 csa-iot-scf-2 iam-03 +SCF:EMB-16 iec-62443-4-2-2019 edr-3.10-1 +SCF:EMB-16 iec-62443-4-2-2019 hdr-2.4-1 +SCF:EMB-17 nist-csf-function-grouping protect +SCF:EMB-17 csa-iot-scf-2 cls-08 +SCF:EMB-17 csa-iot-scf-2 iot-04 +SCF:EMB-18 nist-csf-function-grouping protect +SCF:EMB-18 csa-iot-scf-2 iot-06 +SCF:EMB-18 csa-iot-scf-2 iot-07 +SCF:EMB-18 csa-iot-scf-2 iot-09 +SCF:EMB-19 nist-csf-function-grouping protect +SCF:EMB-19 csa-iot-scf-2 sap-02 +SCF:EMB-19 csa-iot-scf-2 sap-09 +SCF:CLD-01 nist-csf-function-grouping govern +SCF:CLD-01 csa-ccm-4.1.0 ipy-01 +SCF:CLD-01 csa-ccm-4.1.0 ipy-04 +SCF:CLD-01 csa-iot-scf-2 cls-01 +SCF:CLD-01 csa-iot-scf-2 cls-05 +SCF:CLD-01 iso-27002-2022 _5.23 +SCF:CLD-01 iso-27018-2025 _5.23 +SCF:CLD-01 nist-800-171-r2 _3.1.22 +SCF:CLD-01 nist-800-171-r2 nfo-pl-8 +SCF:CLD-01 nist-800-207 nist-tenet-1 +SCF:CLD-01 pci-dss-4.0.1 _1.2.1 +SCF:CLD-01 pci-dss-4.0.1 _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-a _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:CLD-01 pci-dss-4.0.1-saq-a-ep _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-b _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-b-ip _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-c _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-c-vt _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:CLD-01 pci-dss-4.0.1-saq-d-merchant _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:CLD-01 pci-dss-4.0.1-saq-d-service-provider _12.8.1 +SCF:CLD-01 pci-dss-4.0.1-saq-p2pe _12.8.1 +SCF:CLD-01.1 nist-csf-function-grouping protect +SCF:CLD-01.2 nist-csf-function-grouping protect +SCF:CLD-02 nist-csf-function-grouping protect +SCF:CLD-02 csa-iot-scf-2 cls-01 +SCF:CLD-02 csa-iot-scf-2 cls-05 +SCF:CLD-02 iso-27002-2022 _5.23 +SCF:CLD-02 iso-27017-2015 _4.1 +SCF:CLD-02 iso-27017-2015 _4.4 +SCF:CLD-02 iso-27018-2025 _5.23 +SCF:CLD-02 nist-800-171-r2 _3.1.22 +SCF:CLD-02 nist-800-171-r2 nfo-pl-8 +SCF:CLD-03 nist-csf-function-grouping protect +SCF:CLD-03 nist-800-53-r5 sc-07-29 +SCF:CLD-03 nist-800-53b-r5-privacy sc-07-29 +SCF:CLD-03 nist-800-82-r3 sc-07-29 +SCF:CLD-03 nist-800-82-r3-low-ot-overlay sc-07-29 +SCF:CLD-03 nist-800-82-r3-moderate-ot-overlay sc-07-29 +SCF:CLD-03 nist-800-82-r3-high-ot-overlay sc-07-29 +SCF:CLD-03 nist-800-160-vol2-r1 sc-07-29 +SCF:CLD-03 nist-800-171-r2 _3.13.2 +SCF:CLD-03 nist-800-171-r2 nfo-pl-8 +SCF:CLD-04 nist-csf-function-grouping protect +SCF:CLD-04 csa-ccm-4.1.0 ais-08 +SCF:CLD-04 csa-ccm-4.1.0 ipy-02 +SCF:CLD-04 csa-ccm-4.1.0 ipy-03 +SCF:CLD-04 csa-iot-scf-2 cls-07 +SCF:CLD-04 csa-iot-scf-2 cls-12 +SCF:CLD-04 csa-iot-scf-2 cls-13 +SCF:CLD-04 iso-27002-2022 _5.23 +SCF:CLD-04 iso-27002-2022 _8.26 +SCF:CLD-04 iso-27018-2025 _5.23 +SCF:CLD-04 iso-27018-2025 _8.26 +SCF:CLD-04.1 nist-csf-function-grouping protect +SCF:CLD-05 nist-csf-function-grouping protect +SCF:CLD-06 nist-csf-function-grouping protect +SCF:CLD-06 iso-27002-2022 _5.23 +SCF:CLD-06 iso-27018-2025 _5.23 +SCF:CLD-06 nist-800-171-r2 _3.1.22 +SCF:CLD-06 nist-800-171a _3.1.22-a +SCF:CLD-06 nist-800-171a _3.1.22-b +SCF:CLD-06 nist-800-171a _3.1.22-c +SCF:CLD-06 nist-800-171a _3.1.22-d +SCF:CLD-06 nist-800-171a _3.1.22-e +SCF:CLD-06 pci-dss-4.0.1 a1.1 +SCF:CLD-06 pci-dss-4.0.1 a1.1.1 +SCF:CLD-06 pci-dss-4.0.1 a1.1.2 +SCF:CLD-06 pci-dss-4.0.1 a1.1.3 +SCF:CLD-06 pci-dss-4.0.1 a1.1.4 +SCF:CLD-06 pci-dss-4.0.1-saq-d-service-provider a1.1.1 +SCF:CLD-06 pci-dss-4.0.1-saq-d-service-provider a1.1.2 +SCF:CLD-06 pci-dss-4.0.1-saq-d-service-provider a1.1.3 +SCF:CLD-06 pci-dss-4.0.1-saq-d-service-provider a1.1.4 +SCF:CLD-06.1 nist-csf-function-grouping identify +SCF:CLD-06.1 iso-27001-2022 _4.3-c +SCF:CLD-06.1 iso-27002-2022 _5.23 +SCF:CLD-06.1 iso-27018-2025 _5.23 +SCF:CLD-06.1 pci-dss-4.0.1 _12.4.1 +SCF:CLD-06.1 pci-dss-4.0.1-saq-d-service-provider _12.4.1 +SCF:CLD-06.2 nist-csf-function-grouping identify +SCF:CLD-06.2 pci-dss-4.0.1 a1.2 +SCF:CLD-06.2 pci-dss-4.0.1 a1.2.1 +SCF:CLD-06.2 pci-dss-4.0.1-saq-d-service-provider a1.2.1 +SCF:CLD-06.3 nist-csf-function-grouping identify +SCF:CLD-06.3 pci-dss-4.0.1 a1.2 +SCF:CLD-06.3 pci-dss-4.0.1 a1.2.2 +SCF:CLD-06.3 pci-dss-4.0.1-saq-d-service-provider a1.2.2 +SCF:CLD-06.4 nist-csf-function-grouping identify +SCF:CLD-06.4 pci-dss-4.0.1 a1.2 +SCF:CLD-06.4 pci-dss-4.0.1 a1.2.3 +SCF:CLD-06.4 pci-dss-4.0.1-saq-d-service-provider a1.2.3 +SCF:CLD-07 nist-csf-function-grouping protect +SCF:CLD-07 csa-ccm-4.1.0 ipy-03 +SCF:CLD-08 nist-csf-function-grouping protect +SCF:CLD-09 nist-csf-function-grouping protect +SCF:CLD-09 csa-ccm-4.1.0 dsp-19 +SCF:CLD-09 iso-27002-2022 _5.23 +SCF:CLD-09 iso-27018-2025 _5.23 +SCF:CLD-09 nist-800-53-r4 sa-9-5 +SCF:CLD-09 nist-800-53-r5 sa-09-05 +SCF:CLD-09 nist-800-53-r5 sa-09-08 +SCF:CLD-09 nist-800-53b-r5-privacy sa-09-05 +SCF:CLD-09 nist-800-53b-r5-privacy sa-09-08 +SCF:CLD-09 nist-800-82-r3 sa-09-05 +SCF:CLD-09 nist-800-82-r3 sa-09-08 +SCF:CLD-09 nist-800-161-r1 sa-9-5 +SCF:CLD-09 nist-800-161-r1-level-3 sa-9-5 +SCF:CLD-10 nist-csf-function-grouping protect +SCF:CLD-10 csa-ccm-4.1.0 dsp-17 +SCF:CLD-10 nist-800-171-r2 _3.1.22 +SCF:CLD-10 nist-800-171a _3.1.22-a +SCF:CLD-10 nist-800-171a _3.1.22-b +SCF:CLD-10 nist-800-171a _3.1.22-c +SCF:CLD-10 nist-800-171a _3.1.22-d +SCF:CLD-10 nist-800-171a _3.1.22-e +SCF:CLD-11 nist-csf-function-grouping protect +SCF:CLD-11 csa-iot-scf-2 cls-12 +SCF:CLD-12 nist-csf-function-grouping protect +SCF:CLD-12 csa-iot-scf-2 cls-02 +SCF:CLD-12 csa-iot-scf-2 cls-12 +SCF:CLD-12 pci-dss-4.0.1 _12.4.2 +SCF:CLD-12 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CLD-13 nist-csf-function-grouping protect +SCF:CLD-13 nist-800-207 nist-tenet-1 +SCF:CLD-13.1 nist-csf-function-grouping protect +SCF:CLD-13.2 nist-csf-function-grouping protect +SCF:CLD-14 nist-csf-function-grouping protect +SCF:CLD-15 nist-csf-function-grouping protect +SCF:CPL-01 nist-csf-function-grouping govern +SCF:CPL-01 cobit-2019 mea03.01 +SCF:CPL-01 coso-2013 _14 +SCF:CPL-01 coso-2013 _15 +SCF:CPL-01 csa-ccm-4.1.0 a-a-04 +SCF:CPL-01 csa-ccm-4.1.0 grc-07 +SCF:CPL-01 csa-iot-scf-2 cls-04 +SCF:CPL-01 csa-iot-scf-2 gvn-02 +SCF:CPL-01 csa-iot-scf-2 gvn-04 +SCF:CPL-01 csa-iot-scf-2 lgl-01 +SCF:CPL-01 csa-iot-scf-2 lgl-03 +SCF:CPL-01 csa-iot-scf-2 lgl-04 +SCF:CPL-01 csa-iot-scf-2 lgl-05 +SCF:CPL-01 csa-iot-scf-2 lgl-06 +SCF:CPL-01 csa-iot-scf-2 lgl-07 +SCF:CPL-01 csa-iot-scf-2 lgl-08 +SCF:CPL-01 csa-iot-scf-2 opa-05 +SCF:CPL-01 iso-22301-2019 _4.2.2-a +SCF:CPL-01 iso-22301-2019 _4.2.2-b +SCF:CPL-01 iso-22301-2019 _4.2.2-c +SCF:CPL-01 iso-27001-2022 _4.1 +SCF:CPL-01 iso-27001-2022 _9.1 +SCF:CPL-01 iso-27001-2022 _9.2.1 +SCF:CPL-01 iso-27001-2022 _9.2.2 +SCF:CPL-01 iso-27002-2022 _5.31 +SCF:CPL-01 iso-27002-2022 _8.34 +SCF:CPL-01 iso-27017-2015 _18.1.1 +SCF:CPL-01 iso-27018-2025 _5.1-b +SCF:CPL-01 iso-27018-2025 _5.31 +SCF:CPL-01 iso-27018-2025 _6.3-b +SCF:CPL-01 iso-27018-2025 _8.34 +SCF:CPL-01 iso-27701-2025 _4.1 +SCF:CPL-01 iso-27701-2025 _4.2-a +SCF:CPL-01 iso-27701-2025 _4.2-b +SCF:CPL-01 iso-27701-2025 _4.2-c +SCF:CPL-01 iso-29100-2024 _6.12 +SCF:CPL-01 iso-42001-2023 _4.1 +SCF:CPL-01 nist-ai-100-1-ai-rmf-1.0 govern-1.1 +SCF:CPL-01 nist-ai-600-1 govern-1.1 +SCF:CPL-01 nist-ai-600-1 gv-1.1-001 +SCF:CPL-01 nist-ai-600-1 mg-4.3-003 +SCF:CPL-01 nist-privacy-framework-1.0 gv.po-p5 +SCF:CPL-01 nist-800-53-r4 pl-1 +SCF:CPL-01 nist-800-53-r4 pm-8 +SCF:CPL-01 nist-800-53-r5 pl-01 +SCF:CPL-01 nist-800-53-r5 pm-08 +SCF:CPL-01 nist-800-53b-r5-privacy pl-01 +SCF:CPL-01 nist-800-53b-r5-privacy pm-08 +SCF:CPL-01 nist-800-53b-r5-low pl-01 +SCF:CPL-01 nist-sp-800-66-r2 _164.314-a +SCF:CPL-01 nist-800-82-r3 pl-01 +SCF:CPL-01 nist-800-82-r3 pm-08 +SCF:CPL-01 nist-800-82-r3-low-ot-overlay pl-01 +SCF:CPL-01 nist-800-82-r3-low-ot-overlay pm-08 +SCF:CPL-01 nist-800-82-r3-moderate-ot-overlay pl-01 +SCF:CPL-01 nist-800-82-r3-moderate-ot-overlay pm-08 +SCF:CPL-01 nist-800-82-r3-high-ot-overlay pl-01 +SCF:CPL-01 nist-800-82-r3-high-ot-overlay pm-08 +SCF:CPL-01 nist-800-161-r1 pl-1 +SCF:CPL-01 nist-800-161-r1 pm-8 +SCF:CPL-01 nist-800-161-r1-c-scrm-baseline pl-1 +SCF:CPL-01 nist-800-161-r1-level-1 pm-8 +SCF:CPL-01 nist-800-161-r1-level-2 pl-1 +SCF:CPL-01 nist-800-171-r2 nfo-pl-1 +SCF:CPL-01 nist-800-171-r3 _03.04.11.a +SCF:CPL-01 nist-800-171-r3 _03.12.01 +SCF:CPL-01 nist-800-218 po.1 +SCF:CPL-01 nist-800-218 po.1.2 +SCF:CPL-01 nist-csf-2.0 gv.oc +SCF:CPL-01 nist-csf-2.0 gv.oc-03 +SCF:CPL-01 nist-csf-2.0 gv.sc-05 +SCF:CPL-01 nist-csf-2.0 pr +SCF:CPL-01 pci-dss-4.0.1 _12.4 +SCF:CPL-01 pci-dss-4.0.1 _12.4.2 +SCF:CPL-01 pci-dss-4.0.1 a3.1 +SCF:CPL-01 pci-dss-4.0.1 a3.1.1 +SCF:CPL-01 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CPL-01.1 nist-csf-function-grouping respond +SCF:CPL-01.1 cobit-2019 mea01.02 +SCF:CPL-01.1 cobit-2019 mea01.05 +SCF:CPL-01.1 cobit-2019 mea02.04 +SCF:CPL-01.1 coso-2013 _17 +SCF:CPL-01.1 csa-ccm-4.1.0 a-a-05 +SCF:CPL-01.1 csa-ccm-4.1.0 a-a-06 +SCF:CPL-01.1 csa-iot-scf-2 gvn-04 +SCF:CPL-01.1 iso-22301-2019 _10.1.1 +SCF:CPL-01.1 iso-22301-2019 _10.1.2 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-a +SCF:CPL-01.1 iso-22301-2019 _10.1.2-a-1 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-a-2 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-b +SCF:CPL-01.1 iso-22301-2019 _10.1.2-b-1 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-b-2 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-b-3 +SCF:CPL-01.1 iso-22301-2019 _10.1.2-c +SCF:CPL-01.1 iso-22301-2019 _10.1.2-d +SCF:CPL-01.1 iso-22301-2019 _10.1.2-e +SCF:CPL-01.1 iso-22301-2019 _10.1.3 +SCF:CPL-01.1 iso-22301-2019 _10.1.3-a +SCF:CPL-01.1 iso-22301-2019 _10.1.3-b +SCF:CPL-01.1 iso-27001-2022 _9.1 +SCF:CPL-01.1 iso-27001-2022 _9.1-a +SCF:CPL-01.1 iso-27001-2022 _9.1-b +SCF:CPL-01.1 iso-27001-2022 _9.1-c +SCF:CPL-01.1 iso-27001-2022 _9.1-d +SCF:CPL-01.1 iso-27001-2022 _9.1-e +SCF:CPL-01.1 iso-27001-2022 _9.1-f +SCF:CPL-01.1 iso-27001-2022 _10.2 +SCF:CPL-01.1 iso-27001-2022 _10.2-a +SCF:CPL-01.1 iso-27001-2022 _10.2-a-1 +SCF:CPL-01.1 iso-27001-2022 _10.2-a-2 +SCF:CPL-01.1 iso-27001-2022 _10.2-b +SCF:CPL-01.1 iso-27001-2022 _10.2-b-1 +SCF:CPL-01.1 iso-27001-2022 _10.2-b-2 +SCF:CPL-01.1 iso-27001-2022 _10.2-b-3 +SCF:CPL-01.1 iso-27001-2022 _10.2-c +SCF:CPL-01.1 iso-27001-2022 _10.2-d +SCF:CPL-01.1 iso-27001-2022 _10.2-e +SCF:CPL-01.1 iso-27001-2022 _10.2-f +SCF:CPL-01.1 iso-27001-2022 _10.2-g +SCF:CPL-01.1 iso-27701-2025 _10.2 +SCF:CPL-01.1 iso-27701-2025 _10.2-a +SCF:CPL-01.1 iso-27701-2025 _10.2-b +SCF:CPL-01.1 iso-27701-2025 _10.2-c +SCF:CPL-01.1 iso-27701-2025 _10.2-d +SCF:CPL-01.1 iso-27701-2025 _10.2-e +SCF:CPL-01.1 iso-29100-2024 _6.12 +SCF:CPL-01.1 iso-31010-2009 _4.3.6 +SCF:CPL-01.1 iso-31010-2009 _5.6 +SCF:CPL-01.1 nist-800-171-r3 _03.12.02.a.01 +SCF:CPL-01.1 pci-dss-4.0.1 _12.4.2 +SCF:CPL-01.1 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CPL-01.2 nist-csf-function-grouping identify +SCF:CPL-01.2 cobit-2019 mea04.04 +SCF:CPL-01.2 csa-ccm-4.1.0 grc-07 +SCF:CPL-01.2 csa-ccm-4.1.0 log-07 +SCF:CPL-01.2 iec-tr-60601-4-5-2021 _4.1 +SCF:CPL-01.2 iec-62443-4-1-2018 sm-5 +SCF:CPL-01.2 iso-22301-2019 _4.3.1 +SCF:CPL-01.2 iso-22301-2019 _4.3.1-a +SCF:CPL-01.2 iso-22301-2019 _4.3.1-b +SCF:CPL-01.2 iso-22301-2019 _4.3.1-c +SCF:CPL-01.2 iso-22301-2019 _4.3.2 +SCF:CPL-01.2 iso-22301-2019 _4.3.2-a +SCF:CPL-01.2 iso-27001-2022 _4.3 +SCF:CPL-01.2 iso-27001-2022 _4.3-a +SCF:CPL-01.2 iso-27001-2022 _4.3-b +SCF:CPL-01.2 iso-27001-2022 _4.3-c +SCF:CPL-01.2 iso-27001-2022 _9.1 +SCF:CPL-01.2 iso-27701-2025 _4.3 +SCF:CPL-01.2 iso-29100-2024 _6.12 +SCF:CPL-01.2 iso-42001-2023 _4.3 +SCF:CPL-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.1 +SCF:CPL-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:CPL-01.2 nist-ai-100-1-ai-rmf-1.0 map-3.3 +SCF:CPL-01.2 nist-800-37-r2 task-p-11 +SCF:CPL-01.2 nist-800-171-r3 _03.04.11.a +SCF:CPL-01.2 nist-800-171-r3 _03.15.02.a.04 +SCF:CPL-01.2 nist-800-172 _3.11.5e +SCF:CPL-01.2 nist-800-172 _3.14.3e +SCF:CPL-01.2 nist-800-218 po.1 +SCF:CPL-01.2 nist-csf-2.0 gv.sc-05 +SCF:CPL-01.2 pci-dss-4.0.1 _12.5 +SCF:CPL-01.2 pci-dss-4.0.1 _12.5.1 +SCF:CPL-01.2 pci-dss-4.0.1 _12.5.2 +SCF:CPL-01.2 pci-dss-4.0.1 a3.2 +SCF:CPL-01.2 pci-dss-4.0.1 a3.2.1 +SCF:CPL-01.2 pci-dss-4.0.1 a3.2.3 +SCF:CPL-01.2 pci-dss-4.0.1-saq-d-merchant _12.5.1 +SCF:CPL-01.2 pci-dss-4.0.1-saq-d-merchant _12.5.2 +SCF:CPL-01.2 pci-dss-4.0.1-saq-d-service-provider _12.5.1 +SCF:CPL-01.2 pci-dss-4.0.1-saq-d-service-provider _12.5.2 +SCF:CPL-01.3 nist-csf-function-grouping protect +SCF:CPL-01.3 cobit-2019 mea01.02 +SCF:CPL-01.3 cobit-2019 mea03.03 +SCF:CPL-01.3 iso-sae-21434-2021 rc-05-16 +SCF:CPL-01.3 iso-29100-2024 _6.12 +SCF:CPL-01.4 nist-csf-function-grouping govern +SCF:CPL-01.4 cobit-2019 mea02.03 +SCF:CPL-01.4 cobit-2019 mea03.04 +SCF:CPL-01.4 iso-27017-2015 _18.2.3 +SCF:CPL-01.4 iso-29100-2024 _6.12 +SCF:CPL-01.4 nist-ai-600-1 mp-3.4-003 +SCF:CPL-01.5 nist-csf-function-grouping govern +SCF:CPL-01.5 cobit-2019 mea03.04 +SCF:CPL-01.6 nist-csf-function-grouping protect +SCF:CPL-01.7 nist-csf-function-grouping identify +SCF:CPL-01.8 nist-csf-function-grouping identify +SCF:CPL-02 nist-csf-function-grouping detect +SCF:CPL-02 cobit-2019 mea02.01 +SCF:CPL-02 cobit-2019 mea02.02 +SCF:CPL-02 cobit-2019 mea04.02 +SCF:CPL-02 coso-2013 _1 +SCF:CPL-02 coso-2013 _14 +SCF:CPL-02 coso-2013 _15 +SCF:CPL-02 csa-ccm-4.1.0 a-a-02 +SCF:CPL-02 csa-ccm-4.1.0 a-a-05 +SCF:CPL-02 csa-ccm-4.1.0 cek-09 +SCF:CPL-02 csa-iot-scf-2 gvn-04 +SCF:CPL-02 csa-iot-scf-2 lgl-03 +SCF:CPL-02 iso-sae-21434-2021 rq-05-17 +SCF:CPL-02 iso-27001-2022 _8.1 +SCF:CPL-02 iso-27001-2022 _10.1 +SCF:CPL-02 iso-27002-2022 _5.31 +SCF:CPL-02 iso-27002-2022 _5.36 +SCF:CPL-02 iso-27002-2022 _6.8 +SCF:CPL-02 iso-27002-2022 _8.8 +SCF:CPL-02 iso-27002-2022 _8.34 +SCF:CPL-02 iso-27017-2015 _12.7.1 +SCF:CPL-02 iso-27017-2015 _18.2.2 +SCF:CPL-02 iso-27018-2025 _5.31 +SCF:CPL-02 iso-27018-2025 _5.36 +SCF:CPL-02 iso-27018-2025 _6.8 +SCF:CPL-02 iso-27018-2025 _8.8 +SCF:CPL-02 iso-27018-2025 _8.34 +SCF:CPL-02 iso-27701-2025 _9.2.2 +SCF:CPL-02 iso-27701-2025 _9.2.2-a +SCF:CPL-02 iso-27701-2025 _9.2.2-b +SCF:CPL-02 iso-27701-2025 _9.2.2-c +SCF:CPL-02 iso-29100-2024 _6.12 +SCF:CPL-02 iso-31000-2018 _6.6 +SCF:CPL-02 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:CPL-02 nist-privacy-framework-1.0 gv.mt-p4 +SCF:CPL-02 nist-privacy-framework-1.0 pr.po-p5 +SCF:CPL-02 nist-800-37-r2 task-p-7 +SCF:CPL-02 nist-800-39 task-4-2 +SCF:CPL-02 nist-800-53-r4 ca-7 +SCF:CPL-02 nist-800-53-r4 ca-7-1 +SCF:CPL-02 nist-800-53-r4 pm-14 +SCF:CPL-02 nist-800-53-r5 ca-07 +SCF:CPL-02 nist-800-53-r5 ca-07-01 +SCF:CPL-02 nist-800-53-r5 pm-14 +SCF:CPL-02 nist-800-53b-r5-privacy ca-07 +SCF:CPL-02 nist-800-53b-r5-privacy ca-07-01 +SCF:CPL-02 nist-800-53b-r5-privacy pm-14 +SCF:CPL-02 nist-800-53b-r5-low ca-07 +SCF:CPL-02 nist-800-53b-r5-moderate ca-07-01 +SCF:CPL-02 nist-sp-800-66-r2 _164.316-b +SCF:CPL-02 nist-800-82-r3 ca-07 +SCF:CPL-02 nist-800-82-r3 ca-07-01 +SCF:CPL-02 nist-800-82-r3 pm-14 +SCF:CPL-02 nist-800-82-r3-low-ot-overlay ca-07 +SCF:CPL-02 nist-800-82-r3-low-ot-overlay pm-14 +SCF:CPL-02 nist-800-82-r3-moderate-ot-overlay ca-07 +SCF:CPL-02 nist-800-82-r3-moderate-ot-overlay pm-14 +SCF:CPL-02 nist-800-82-r3-high-ot-overlay ca-07 +SCF:CPL-02 nist-800-82-r3-high-ot-overlay pm-14 +SCF:CPL-02 nist-800-161-r1 ca-7 +SCF:CPL-02 nist-800-161-r1 pm-14 +SCF:CPL-02 nist-800-161-r1-level-1 pm-14 +SCF:CPL-02 nist-800-161-r1-level-2 pm-14 +SCF:CPL-02 nist-800-171-r2 _3.12.1 +SCF:CPL-02 nist-800-171-r2 _3.12.3 +SCF:CPL-02 nist-800-171-r3 _03.12.01 +SCF:CPL-02 nist-800-171-r3 _03.12.03 +SCF:CPL-02 nist-800-171a _3.12.1-a +SCF:CPL-02 nist-800-171a _3.12.1-b +SCF:CPL-02 nist-800-171a _3.12.3 +SCF:CPL-02 nist-800-171a-r3 a.03.12.03-01 +SCF:CPL-02 nist-800-171a-r3 a.03.12.03-03 +SCF:CPL-02 nist-800-171a-r3 a.03.12.03-04 +SCF:CPL-02 nist-csf-2.0 gv.oc-03 +SCF:CPL-02 pci-dss-4.0.1 _10.7 +SCF:CPL-02 pci-dss-4.0.1 _10.7.1 +SCF:CPL-02 pci-dss-4.0.1 _10.7.2 +SCF:CPL-02 pci-dss-4.0.1 _10.7.3 +SCF:CPL-02 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:CPL-02 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:CPL-02 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:CPL-02 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:CPL-02 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:CPL-02.1 nist-csf-function-grouping detect +SCF:CPL-02.1 cobit-2019 apo02.04 +SCF:CPL-02.1 cobit-2019 mea02.01 +SCF:CPL-02.1 cobit-2019 mea02.02 +SCF:CPL-02.1 cobit-2019 mea04.02 +SCF:CPL-02.1 csa-ccm-4.1.0 a-a-05 +SCF:CPL-02.1 csa-ccm-4.1.0 cek-09 +SCF:CPL-02.1 csa-iot-scf-2 gvn-04 +SCF:CPL-02.1 iso-22301-2019 _9.2.1 +SCF:CPL-02.1 iso-22301-2019 _9.2.1-a +SCF:CPL-02.1 iso-22301-2019 _9.2.1-a-1 +SCF:CPL-02.1 iso-22301-2019 _9.2.1-a-2 +SCF:CPL-02.1 iso-22301-2019 _9.2.1-b +SCF:CPL-02.1 iso-22301-2019 _9.2.2 +SCF:CPL-02.1 iso-22301-2019 _9.2.2-a +SCF:CPL-02.1 iso-22301-2019 _9.2.2-b +SCF:CPL-02.1 iso-22301-2019 _9.2.2-c +SCF:CPL-02.1 iso-22301-2019 _9.2.2-d +SCF:CPL-02.1 iso-22301-2019 _9.2.2-e +SCF:CPL-02.1 iso-22301-2019 _9.2.2-f +SCF:CPL-02.1 iso-22301-2019 _9.2.2-g +SCF:CPL-02.1 iso-27001-2022 _9.2.1 +SCF:CPL-02.1 iso-27001-2022 _9.2.1-a-1 +SCF:CPL-02.1 iso-27001-2022 _9.2.1-a-2 +SCF:CPL-02.1 iso-27001-2022 _9.2.1-b +SCF:CPL-02.1 iso-27001-2022 _9.2.2 +SCF:CPL-02.1 iso-27001-2022 _9.2.2-a +SCF:CPL-02.1 iso-27001-2022 _9.2.2-b +SCF:CPL-02.1 iso-27001-2022 _9.2.2-c +SCF:CPL-02.1 iso-27002-2022 _5.35 +SCF:CPL-02.1 iso-27002-2022 _8.34 +SCF:CPL-02.1 iso-27017-2015 _12.7.1 +SCF:CPL-02.1 iso-27017-2015 _18.2.1 +SCF:CPL-02.1 iso-27018-2025 _5.35 +SCF:CPL-02.1 iso-27018-2025 _8.34 +SCF:CPL-02.1 iso-27701-2025 _9.2.1 +SCF:CPL-02.1 iso-27701-2025 _9.2.1-a +SCF:CPL-02.1 iso-27701-2025 _9.2.1-b +SCF:CPL-02.1 iso-29100-2024 _6.12 +SCF:CPL-02.1 iso-42001-2023 _9.2.1 +SCF:CPL-02.1 iso-42001-2023 _9.2.1-a +SCF:CPL-02.1 iso-42001-2023 _9.2.1-a-1 +SCF:CPL-02.1 iso-42001-2023 _9.2.1-a-2 +SCF:CPL-02.1 iso-42001-2023 _9.2.1-b +SCF:CPL-02.1 iso-42001-2023 _9.2.2 +SCF:CPL-02.1 iso-42001-2023 _9.2.2-a +SCF:CPL-02.1 iso-42001-2023 _9.2.2-b +SCF:CPL-02.1 iso-42001-2023 _9.2.2-c +SCF:CPL-02.1 nist-800-171-r2 _3.12.1 +SCF:CPL-02.1 nist-800-171-r3 _03.12.01 +SCF:CPL-02.1 nist-800-171a-r3 a.03.12.01.odp-01 +SCF:CPL-02.2 nist-csf-function-grouping detect +SCF:CPL-02.2 cobit-2019 mea02.04 +SCF:CPL-02.2 csa-ccm-4.1.0 a-a-02 +SCF:CPL-02.2 iso-sae-21434-2021 rq-05-17 +SCF:CPL-02.2 iso-27701-2025 _9.2.2 +SCF:CPL-02.2 iso-29100-2024 _6.12 +SCF:CPL-02.3 nist-csf-function-grouping govern +SCF:CPL-02.3 iso-29100-2024 _6.12 +SCF:CPL-03 nist-csf-function-grouping detect +SCF:CPL-03 cobit-2019 mea02.01 +SCF:CPL-03 cobit-2019 mea02.02 +SCF:CPL-03 coso-2013 _16 +SCF:CPL-03 csa-ccm-4.1.0 a-a-02 +SCF:CPL-03 csa-ccm-4.1.0 a-a-03 +SCF:CPL-03 csa-ccm-4.1.0 a-a-05 +SCF:CPL-03 csa-ccm-4.1.0 cek-09 +SCF:CPL-03 csa-iot-scf-2 gvn-04 +SCF:CPL-03 iso-27001-2022 _8.1 +SCF:CPL-03 iso-27001-2022 _9.1 +SCF:CPL-03 iso-27001-2022 _9.1-a +SCF:CPL-03 iso-27001-2022 _9.1-b +SCF:CPL-03 iso-27001-2022 _9.1-c +SCF:CPL-03 iso-27001-2022 _9.1-d +SCF:CPL-03 iso-27001-2022 _9.1-e +SCF:CPL-03 iso-27001-2022 _9.1-f +SCF:CPL-03 iso-27002-2022 _5.35 +SCF:CPL-03 iso-27002-2022 _5.36 +SCF:CPL-03 iso-27002-2022 _8.34 +SCF:CPL-03 iso-27017-2015 _18.2.1 +SCF:CPL-03 iso-27017-2015 _18.2.2 +SCF:CPL-03 iso-27018-2025 _5.35 +SCF:CPL-03 iso-27018-2025 _5.35-a +SCF:CPL-03 iso-27018-2025 _5.36 +SCF:CPL-03 iso-27018-2025 _8.34 +SCF:CPL-03 iso-31010-2009 _5.3.2 +SCF:CPL-03 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:CPL-03 nist-privacy-framework-1.0 id.de-p5 +SCF:CPL-03 nist-privacy-framework-1.0 ct.dm-p9 +SCF:CPL-03 nist-800-53-r4 ca-2 +SCF:CPL-03 nist-800-53-r5 ca-02 +SCF:CPL-03 nist-800-53b-r5-privacy ca-02 +SCF:CPL-03 nist-800-53b-r5-low ca-02 +SCF:CPL-03 nist-sp-800-66-r2 _164.316-b +SCF:CPL-03 nist-800-82-r3 ca-02 +SCF:CPL-03 nist-800-82-r3-low-ot-overlay ca-02 +SCF:CPL-03 nist-800-82-r3-moderate-ot-overlay ca-02 +SCF:CPL-03 nist-800-82-r3-high-ot-overlay ca-02 +SCF:CPL-03 nist-800-161-r1 ca-2 +SCF:CPL-03 nist-800-161-r1-c-scrm-baseline ca-2 +SCF:CPL-03 nist-800-161-r1-level-2 ca-2 +SCF:CPL-03 nist-800-161-r1-level-3 ca-2 +SCF:CPL-03 nist-800-171-r2 _3.12.1 +SCF:CPL-03 nist-800-171-r3 _03.12.01 +SCF:CPL-03 nist-800-171-r3 _03.12.03 +SCF:CPL-03 nist-800-171a-r3 a.03.12.01 +SCF:CPL-03 nist-800-172 _3.11.5e +SCF:CPL-03 nist-csf-2.0 id.im-01 +SCF:CPL-03 nist-csf-2.0 id.im-02 +SCF:CPL-03 pci-dss-4.0.1 _10.7 +SCF:CPL-03 pci-dss-4.0.1 _10.7.1 +SCF:CPL-03 pci-dss-4.0.1 _10.7.2 +SCF:CPL-03 pci-dss-4.0.1 _10.7.3 +SCF:CPL-03 pci-dss-4.0.1 _11.1 +SCF:CPL-03 pci-dss-4.0.1 _12.4.2 +SCF:CPL-03 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:CPL-03 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:CPL-03 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:CPL-03 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:CPL-03 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:CPL-03 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CPL-03.1 nist-csf-function-grouping detect +SCF:CPL-03.1 cobit-2019 mea04.01 +SCF:CPL-03.1 csa-ccm-4.1.0 a-a-02 +SCF:CPL-03.1 csa-ccm-4.1.0 a-a-05 +SCF:CPL-03.1 csa-ccm-4.1.0 cek-09 +SCF:CPL-03.1 iso-27002-2022 _5.35 +SCF:CPL-03.1 iso-27017-2015 _18.2.1 +SCF:CPL-03.1 iso-27018-2025 _5.35 +SCF:CPL-03.1 iso-42001-2023 _9.2.2-b +SCF:CPL-03.1 nist-800-53-r4 ca-7-1 +SCF:CPL-03.1 nist-800-53-r5 ca-07-01 +SCF:CPL-03.1 nist-800-53b-r5-privacy ca-07-01 +SCF:CPL-03.1 nist-800-53b-r5-moderate ca-07-01 +SCF:CPL-03.1 nist-800-82-r3 ca-07-01 +SCF:CPL-03.1 nist-800-82-r3-moderate-ot-overlay ca-07-01 +SCF:CPL-03.1 nist-800-82-r3-high-ot-overlay ca-07-01 +SCF:CPL-03.1 nist-800-171-r2 nfo-ca-7-1 +SCF:CPL-03.2 nist-csf-function-grouping detect +SCF:CPL-03.2 cobit-2019 mea02.01 +SCF:CPL-03.2 cobit-2019 mea02.02 +SCF:CPL-03.2 coso-2013 _16 +SCF:CPL-03.2 csa-ccm-4.1.0 a-a-05 +SCF:CPL-03.2 csa-ccm-4.1.0 cek-09 +SCF:CPL-03.2 csa-iot-scf-2 gvn-04 +SCF:CPL-03.2 iso-27002-2022 _5.35 +SCF:CPL-03.2 iso-27002-2022 _5.36 +SCF:CPL-03.2 iso-27002-2022 _8.8 +SCF:CPL-03.2 iso-27017-2015 _18.2.1 +SCF:CPL-03.2 iso-27017-2015 _18.2.2 +SCF:CPL-03.2 iso-27017-2015 _18.2.3 +SCF:CPL-03.2 iso-27018-2025 _5.35 +SCF:CPL-03.2 iso-27018-2025 _5.36 +SCF:CPL-03.2 iso-27018-2025 _8.8 +SCF:CPL-03.2 iso-31010-2009 _5.3.2 +SCF:CPL-03.2 nist-privacy-framework-1.0 ct.dm-p9 +SCF:CPL-03.2 nist-800-53-r4 ca-2 +SCF:CPL-03.2 nist-800-53-r4 ra-3 +SCF:CPL-03.2 nist-800-53-r5 ca-02 +SCF:CPL-03.2 nist-800-53-r5 ra-03 +SCF:CPL-03.2 nist-800-53b-r5-privacy ca-02 +SCF:CPL-03.2 nist-800-53b-r5-privacy ra-03 +SCF:CPL-03.2 nist-800-53b-r5-low ca-02 +SCF:CPL-03.2 nist-800-53b-r5-low ra-03 +SCF:CPL-03.2 nist-sp-800-66-r2 _164.308-a-8 +SCF:CPL-03.2 nist-800-82-r3 ca-02 +SCF:CPL-03.2 nist-800-82-r3 ra-03 +SCF:CPL-03.2 nist-800-82-r3-low-ot-overlay ca-02 +SCF:CPL-03.2 nist-800-82-r3-low-ot-overlay ra-03 +SCF:CPL-03.2 nist-800-82-r3-moderate-ot-overlay ca-02 +SCF:CPL-03.2 nist-800-82-r3-moderate-ot-overlay ra-03 +SCF:CPL-03.2 nist-800-82-r3-high-ot-overlay ca-02 +SCF:CPL-03.2 nist-800-82-r3-high-ot-overlay ra-03 +SCF:CPL-03.2 nist-800-161-r1 ca-2 +SCF:CPL-03.2 nist-800-161-r1 ra-3 +SCF:CPL-03.2 nist-800-161-r1-c-scrm-baseline ca-2 +SCF:CPL-03.2 nist-800-161-r1-c-scrm-baseline ra-3 +SCF:CPL-03.2 nist-800-161-r1-level-1 ra-3 +SCF:CPL-03.2 nist-800-161-r1-level-2 ca-2 +SCF:CPL-03.2 nist-800-161-r1-level-2 ra-3 +SCF:CPL-03.2 nist-800-161-r1-level-3 ca-2 +SCF:CPL-03.2 nist-800-161-r1-level-3 ra-3 +SCF:CPL-03.2 nist-800-171-r3 _03.04.08.c +SCF:CPL-03.2 nist-800-171-r3 _03.12.03 +SCF:CPL-03.2 nist-800-171a-r3 a.03.12.03-02 +SCF:CPL-03.2 nist-csf-2.0 id.im-01 +SCF:CPL-03.2 nist-csf-2.0 id.im-02 +SCF:CPL-03.2 pci-dss-4.0.1 _1.2.7 +SCF:CPL-03.2 pci-dss-4.0.1 _10.7 +SCF:CPL-03.2 pci-dss-4.0.1 _10.7.1 +SCF:CPL-03.2 pci-dss-4.0.1 _10.7.2 +SCF:CPL-03.2 pci-dss-4.0.1 _10.7.3 +SCF:CPL-03.2 pci-dss-4.0.1 _11.1 +SCF:CPL-03.2 pci-dss-4.0.1 _12.4.2 +SCF:CPL-03.2 pci-dss-4.0.1-saq-a-ep _1.2.7 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-merchant _1.2.7 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-service-provider _1.2.7 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:CPL-03.2 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CPL-03.3 nist-csf-function-grouping govern +SCF:CPL-03.4 nist-csf-function-grouping govern +SCF:CPL-03.5 nist-csf-function-grouping govern +SCF:CPL-03.6 nist-csf-function-grouping govern +SCF:CPL-03.7 nist-csf-function-grouping govern +SCF:CPL-04 nist-csf-function-grouping identify +SCF:CPL-04 coso-2013 _16 +SCF:CPL-04 csa-ccm-4.1.0 a-a-05 +SCF:CPL-04 iso-27002-2022 _5.35 +SCF:CPL-04 iso-27002-2022 _8.34 +SCF:CPL-04 iso-27017-2015 _12.7.1 +SCF:CPL-04 iso-27017-2015 _18.2.1 +SCF:CPL-04 iso-27018-2025 _5.35 +SCF:CPL-04 iso-27018-2025 _8.34 +SCF:CPL-04 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:CPL-05 nist-csf-function-grouping respond +SCF:CPL-05 csa-ccm-4.1.0 dsp-18 +SCF:CPL-05.1 nist-csf-function-grouping respond +SCF:CPL-05.1 csa-ccm-4.1.0 dsp-18 +SCF:CPL-05.2 nist-csf-function-grouping protect +SCF:CPL-05.2 csa-ccm-4.1.0 dsp-18 +SCF:CPL-06 nist-csf-function-grouping protect +SCF:CPL-07 nist-csf-function-grouping respond +SCF:CPL-07.1 nist-csf-function-grouping respond +SCF:CPL-08 nist-csf-function-grouping govern +SCF:CPL-08.1 nist-csf-function-grouping govern +SCF:CPL-09 nist-csf-function-grouping govern +SCF:CPL-10 nist-csf-function-grouping govern +SCF:CPL-11 nist-csf-function-grouping govern +SCF:CPL-11.1 nist-csf-function-grouping govern +SCF:CPL-11.2 nist-csf-function-grouping govern +SCF:CPL-11.3 nist-csf-function-grouping govern +SCF:CPL-12 nist-csf-function-grouping protect +SCF:CPL-12 iso-27701-2025 _6.1.3-e +SCF:CPL-13 nist-csf-function-grouping protect +SCF:CPL-13 iso-sae-21434-2021 rc-05-16 +SCF:CPL-13 iso-sae-21434-2021 rq-06-09 +SCF:CPL-13 iso-sae-21434-2021 rq-06-12 +SCF:CPL-13 iso-sae-21434-2021 rq-06-18 +SCF:CPL-13 iso-sae-21434-2021 rq-06-23 +SCF:CPL-13.1 nist-csf-function-grouping protect +SCF:CPL-13.2 nist-csf-function-grouping protect +SCF:CFG-01 nist-csf-function-grouping govern +SCF:CFG-01 cis-csc-8.1 _2.0 +SCF:CFG-01 cis-csc-8.1 _4.0 +SCF:CFG-01 cis-csc-8.1 _4.1 +SCF:CFG-01 cis-csc-8.1 _4.2 +SCF:CFG-01 cis-csc-8.1-ig1 _4.1 +SCF:CFG-01 cis-csc-8.1-ig1 _4.2 +SCF:CFG-01 cis-csc-8.1-ig2 _4.1 +SCF:CFG-01 cis-csc-8.1-ig2 _4.2 +SCF:CFG-01 cis-csc-8.1-ig3 _4.1 +SCF:CFG-01 cis-csc-8.1-ig3 _4.2 +SCF:CFG-01 cobit-2019 bai10.01 +SCF:CFG-01 csa-ccm-4.1.0 uem-03 +SCF:CFG-01 csa-ccm-4.1.0 uem-07 +SCF:CFG-01 csa-iot-scf-2 ccm-02 +SCF:CFG-01 csa-iot-scf-2 ccm-08 +SCF:CFG-01 iec-tr-60601-4-5-2021 _4.2 +SCF:CFG-01 iec-tr-60601-4-5-2021 _5.1 +SCF:CFG-01 iso-27002-2022 _8.3 +SCF:CFG-01 iso-27002-2022 _8.9 +SCF:CFG-01 iso-27002-2022 _8.12 +SCF:CFG-01 iso-27017-2015 _9.4.1 +SCF:CFG-01 iso-27018-2025 _8.9 +SCF:CFG-01 iso-27018-2025 _8.12 +SCF:CFG-01 nist-privacy-framework-1.0 pr.po-p1 +SCF:CFG-01 nist-800-53-r4 cm-1 +SCF:CFG-01 nist-800-53-r4 cm-9 +SCF:CFG-01 nist-800-53-r5 cm-01 +SCF:CFG-01 nist-800-53-r5 cm-09 +SCF:CFG-01 nist-800-53b-r5-privacy cm-01 +SCF:CFG-01 nist-800-53b-r5-privacy cm-09 +SCF:CFG-01 nist-800-53b-r5-low cm-01 +SCF:CFG-01 nist-800-53b-r5-moderate cm-09 +SCF:CFG-01 nist-sp-800-66-r2 _164.308-a-1 +SCF:CFG-01 nist-800-82-r3 cm-01 +SCF:CFG-01 nist-800-82-r3 cm-09 +SCF:CFG-01 nist-800-82-r3-low-ot-overlay cm-01 +SCF:CFG-01 nist-800-82-r3-moderate-ot-overlay cm-01 +SCF:CFG-01 nist-800-82-r3-moderate-ot-overlay cm-09 +SCF:CFG-01 nist-800-82-r3-high-ot-overlay cm-01 +SCF:CFG-01 nist-800-82-r3-high-ot-overlay cm-09 +SCF:CFG-01 nist-800-161-r1 cm-1 +SCF:CFG-01 nist-800-161-r1 cm-9 +SCF:CFG-01 nist-800-161-r1-c-scrm-baseline cm-1 +SCF:CFG-01 nist-800-161-r1-flow-down cm-9 +SCF:CFG-01 nist-800-161-r1-level-1 cm-1 +SCF:CFG-01 nist-800-161-r1-level-2 cm-1 +SCF:CFG-01 nist-800-161-r1-level-2 cm-9 +SCF:CFG-01 nist-800-161-r1-level-3 cm-1 +SCF:CFG-01 nist-800-161-r1-level-3 cm-9 +SCF:CFG-01 nist-800-171-r2 nfo-cm-1 +SCF:CFG-01 nist-800-171-r2 nfo-cm-9 +SCF:CFG-01 nist-800-171-r3 _03.04.01.a +SCF:CFG-01 nist-800-171a-r3 a.03.04.03.a +SCF:CFG-01 nist-800-207 nist-tenet-5 +SCF:CFG-01 nist-csf-2.0 pr.ps +SCF:CFG-01 nist-csf-2.0 pr.ps-01 +SCF:CFG-01 nist-csf-2.0 pr.ps-05 +SCF:CFG-01 owasp-top-10-2025 a05-2025 +SCF:CFG-01 pci-dss-4.0.1 _2.1 +SCF:CFG-01 pci-dss-4.0.1 _2.2 +SCF:CFG-01 pci-dss-4.0.1 _8.5 +SCF:CFG-01.1 nist-csf-function-grouping identify +SCF:CFG-01.1 iso-27002-2022 _8.9 +SCF:CFG-01.1 iso-27018-2025 _8.9 +SCF:CFG-01.1 nist-800-53-r4 cm-9-1 +SCF:CFG-01.1 nist-800-53-r5 cm-09-01 +SCF:CFG-01.1 nist-800-82-r3 cm-09-01 +SCF:CFG-01.1 nist-800-161-r1 cm-9-1 +SCF:CFG-01.1 nist-800-161-r1-level-2 cm-9-1 +SCF:CFG-01.1 nist-800-161-r1-level-3 cm-9-1 +SCF:CFG-01.1 pci-dss-4.0.1 _2.1 +SCF:CFG-02 nist-csf-function-grouping protect +SCF:CFG-02 cis-csc-8.1 _4.1 +SCF:CFG-02 cis-csc-8.1 _4.2 +SCF:CFG-02 cis-csc-8.1 _4.3 +SCF:CFG-02 cis-csc-8.1 _4.4 +SCF:CFG-02 cis-csc-8.1 _4.5 +SCF:CFG-02 cis-csc-8.1 _4.6 +SCF:CFG-02 cis-csc-8.1 _4.7 +SCF:CFG-02 cis-csc-8.1 _4.8 +SCF:CFG-02 cis-csc-8.1 _10.3 +SCF:CFG-02 cis-csc-8.1 _10.4 +SCF:CFG-02 cis-csc-8.1 _10.5 +SCF:CFG-02 cis-csc-8.1 _16.7 +SCF:CFG-02 cis-csc-8.1-ig1 _4.1 +SCF:CFG-02 cis-csc-8.1-ig1 _4.2 +SCF:CFG-02 cis-csc-8.1-ig1 _4.3 +SCF:CFG-02 cis-csc-8.1-ig1 _4.4 +SCF:CFG-02 cis-csc-8.1-ig1 _4.5 +SCF:CFG-02 cis-csc-8.1-ig1 _4.6 +SCF:CFG-02 cis-csc-8.1-ig1 _4.7 +SCF:CFG-02 cis-csc-8.1-ig1 _10.3 +SCF:CFG-02 cis-csc-8.1-ig2 _4.1 +SCF:CFG-02 cis-csc-8.1-ig2 _4.2 +SCF:CFG-02 cis-csc-8.1-ig2 _4.3 +SCF:CFG-02 cis-csc-8.1-ig2 _4.4 +SCF:CFG-02 cis-csc-8.1-ig2 _4.5 +SCF:CFG-02 cis-csc-8.1-ig2 _4.6 +SCF:CFG-02 cis-csc-8.1-ig2 _4.7 +SCF:CFG-02 cis-csc-8.1-ig2 _4.8 +SCF:CFG-02 cis-csc-8.1-ig2 _10.3 +SCF:CFG-02 cis-csc-8.1-ig2 _10.4 +SCF:CFG-02 cis-csc-8.1-ig2 _10.5 +SCF:CFG-02 cis-csc-8.1-ig2 _16.7 +SCF:CFG-02 cis-csc-8.1-ig3 _4.1 +SCF:CFG-02 cis-csc-8.1-ig3 _4.2 +SCF:CFG-02 cis-csc-8.1-ig3 _4.3 +SCF:CFG-02 cis-csc-8.1-ig3 _4.4 +SCF:CFG-02 cis-csc-8.1-ig3 _4.5 +SCF:CFG-02 cis-csc-8.1-ig3 _4.6 +SCF:CFG-02 cis-csc-8.1-ig3 _4.7 +SCF:CFG-02 cis-csc-8.1-ig3 _4.8 +SCF:CFG-02 cis-csc-8.1-ig3 _10.3 +SCF:CFG-02 cis-csc-8.1-ig3 _10.4 +SCF:CFG-02 cis-csc-8.1-ig3 _10.5 +SCF:CFG-02 cis-csc-8.1-ig3 _16.7 +SCF:CFG-02 cobit-2019 bai10.02 +SCF:CFG-02 csa-ccm-4.1.0 ais-02 +SCF:CFG-02 csa-ccm-4.1.0 ccc-06 +SCF:CFG-02 csa-ccm-4.1.0 i-s-04 +SCF:CFG-02 csa-ccm-4.1.0 uem-07 +SCF:CFG-02 csa-iot-scf-2 cls-05 +SCF:CFG-02 csa-iot-scf-2 iot-02 +SCF:CFG-02 csa-iot-scf-2 iot-03 +SCF:CFG-02 csa-iot-scf-2 iot-07 +SCF:CFG-02 csa-iot-scf-2 snt-01 +SCF:CFG-02 csa-iot-scf-2 sws-01 +SCF:CFG-02 csa-iot-scf-2 sws-08 +SCF:CFG-02 iec-tr-60601-4-5-2021 _4.2 +SCF:CFG-02 iec-tr-60601-4-5-2021 _5.1 +SCF:CFG-02 iec-62443-2-1-2024 cm-1.3 +SCF:CFG-02 iec-62443-2-1-2024 net-2.1-a +SCF:CFG-02 iec-62443-2-1-2024 net-2.1-c +SCF:CFG-02 iec-62443-2-1-2024 net-2.3 +SCF:CFG-02 iec-62443-2-1-2024 net-3.3 +SCF:CFG-02 iec-62443-2-1-2024 comp-1.1 +SCF:CFG-02 iec-62443-2-1-2024 user-1.7 +SCF:CFG-02 iec-62443-2-1-2024 user-1.8 +SCF:CFG-02 iec-62443-3-3-2013 sr-2.2 +SCF:CFG-02 iec-62443-3-3-2013 sr-7.6 +SCF:CFG-02 iec-62443-4-2-2019 cr-2.2 +SCF:CFG-02 iec-62443-4-2-2019 cr-7.6 +SCF:CFG-02 iso-27002-2022 _8.3 +SCF:CFG-02 iso-27002-2022 _8.5 +SCF:CFG-02 iso-27002-2022 _8.9 +SCF:CFG-02 iso-27002-2022 _8.12 +SCF:CFG-02 iso-27002-2022 _8.25 +SCF:CFG-02 iso-27002-2022 _8.26 +SCF:CFG-02 iso-27017-2015 _9.4.1 +SCF:CFG-02 iso-27017-2015 _9.4.2 +SCF:CFG-02 iso-27017-2015 _14.1.1 +SCF:CFG-02 iso-27018-2025 _8.5 +SCF:CFG-02 iso-27018-2025 _8.9 +SCF:CFG-02 iso-27018-2025 _8.12 +SCF:CFG-02 iso-27018-2025 _8.25 +SCF:CFG-02 iso-27018-2025 _8.26 +SCF:CFG-02 nist-ai-600-1 ms-2.3-001 +SCF:CFG-02 nist-privacy-framework-1.0 ct.dp-p4 +SCF:CFG-02 nist-privacy-framework-1.0 pr.po-p1 +SCF:CFG-02 nist-privacy-framework-1.0 pr.pt-p2 +SCF:CFG-02 nist-800-53-r4 cm-2 +SCF:CFG-02 nist-800-53-r4 cm-2-3 +SCF:CFG-02 nist-800-53-r4 cm-6 +SCF:CFG-02 nist-800-53-r4 sa-8 +SCF:CFG-02 nist-800-53-r5 cm-02 +SCF:CFG-02 nist-800-53-r5 cm-06 +SCF:CFG-02 nist-800-53-r5 pl-10 +SCF:CFG-02 nist-800-53-r5 sa-08 +SCF:CFG-02 nist-800-53-r5 sa-15-05 +SCF:CFG-02 nist-800-53b-r5-privacy cm-02 +SCF:CFG-02 nist-800-53b-r5-privacy cm-06 +SCF:CFG-02 nist-800-53b-r5-privacy sa-08 +SCF:CFG-02 nist-800-53b-r5-privacy sa-15-05 +SCF:CFG-02 nist-800-53b-r5-low cm-02 +SCF:CFG-02 nist-800-53b-r5-low cm-06 +SCF:CFG-02 nist-800-53b-r5-low pl-10 +SCF:CFG-02 nist-800-53b-r5-low sa-08 +SCF:CFG-02 nist-sp-800-66-r2 _164.312-a +SCF:CFG-02 nist-sp-800-66-r2 _164.312-e-1 +SCF:CFG-02 nist-800-82-r3 cm-02 +SCF:CFG-02 nist-800-82-r3 cm-06 +SCF:CFG-02 nist-800-82-r3 pl-10 +SCF:CFG-02 nist-800-82-r3 sa-08 +SCF:CFG-02 nist-800-82-r3 sa-15-05 +SCF:CFG-02 nist-800-82-r3-low-ot-overlay cm-02 +SCF:CFG-02 nist-800-82-r3-low-ot-overlay cm-06 +SCF:CFG-02 nist-800-82-r3-low-ot-overlay pl-10 +SCF:CFG-02 nist-800-82-r3-low-ot-overlay sa-08 +SCF:CFG-02 nist-800-82-r3-moderate-ot-overlay cm-02 +SCF:CFG-02 nist-800-82-r3-moderate-ot-overlay cm-06 +SCF:CFG-02 nist-800-82-r3-moderate-ot-overlay pl-10 +SCF:CFG-02 nist-800-82-r3-moderate-ot-overlay sa-08 +SCF:CFG-02 nist-800-82-r3-high-ot-overlay cm-02 +SCF:CFG-02 nist-800-82-r3-high-ot-overlay cm-06 +SCF:CFG-02 nist-800-82-r3-high-ot-overlay pl-10 +SCF:CFG-02 nist-800-82-r3-high-ot-overlay sa-08 +SCF:CFG-02 nist-800-160-vol2-r1 sa-15-05 +SCF:CFG-02 nist-800-161-r1 cm-2 +SCF:CFG-02 nist-800-161-r1 cm-6 +SCF:CFG-02 nist-800-161-r1 pl-10 +SCF:CFG-02 nist-800-161-r1 sa-8 +SCF:CFG-02 nist-800-161-r1-c-scrm-baseline cm-2 +SCF:CFG-02 nist-800-161-r1-c-scrm-baseline cm-6 +SCF:CFG-02 nist-800-161-r1-c-scrm-baseline pl-10 +SCF:CFG-02 nist-800-161-r1-c-scrm-baseline sa-8 +SCF:CFG-02 nist-800-161-r1-flow-down cm-2 +SCF:CFG-02 nist-800-161-r1-flow-down cm-6 +SCF:CFG-02 nist-800-161-r1-level-1 sa-8 +SCF:CFG-02 nist-800-161-r1-level-2 cm-2 +SCF:CFG-02 nist-800-161-r1-level-2 cm-6 +SCF:CFG-02 nist-800-161-r1-level-2 pl-10 +SCF:CFG-02 nist-800-161-r1-level-2 sa-8 +SCF:CFG-02 nist-800-161-r1-level-3 cm-2 +SCF:CFG-02 nist-800-161-r1-level-3 cm-6 +SCF:CFG-02 nist-800-161-r1-level-3 pl-10 +SCF:CFG-02 nist-800-161-r1-level-3 sa-8 +SCF:CFG-02 nist-800-171-r2 _3.3.3 +SCF:CFG-02 nist-800-171-r2 _3.4.1 +SCF:CFG-02 nist-800-171-r2 _3.4.2 +SCF:CFG-02 nist-800-171-r3 _03.01.01.h +SCF:CFG-02 nist-800-171-r3 _03.01.08.a +SCF:CFG-02 nist-800-171-r3 _03.01.08.b +SCF:CFG-02 nist-800-171-r3 _03.01.09 +SCF:CFG-02 nist-800-171-r3 _03.01.10.a +SCF:CFG-02 nist-800-171-r3 _03.01.10.b +SCF:CFG-02 nist-800-171-r3 _03.01.10.c +SCF:CFG-02 nist-800-171-r3 _03.01.11 +SCF:CFG-02 nist-800-171-r3 _03.01.12.a +SCF:CFG-02 nist-800-171-r3 _03.01.16.a +SCF:CFG-02 nist-800-171-r3 _03.01.18.a +SCF:CFG-02 nist-800-171-r3 _03.04.01.a +SCF:CFG-02 nist-800-171-r3 _03.04.02.a +SCF:CFG-02 nist-800-171-r3 _03.04.06.a +SCF:CFG-02 nist-800-171-r3 _03.04.06.b +SCF:CFG-02 nist-800-171-r3 _03.04.06.d +SCF:CFG-02 nist-800-171-r3 _03.05.07.d +SCF:CFG-02 nist-800-171-r3 _03.05.07.e +SCF:CFG-02 nist-800-171-r3 _03.05.07.f +SCF:CFG-02 nist-800-171-r3 _03.05.12.d +SCF:CFG-02 nist-800-171-r3 _03.08.07.a +SCF:CFG-02 nist-800-171-r3 _03.13.12.b +SCF:CFG-02 nist-800-171a _3.4.1-a +SCF:CFG-02 nist-800-171a _3.4.1-b +SCF:CFG-02 nist-800-171a _3.4.1-c +SCF:CFG-02 nist-800-171a _3.4.2-a +SCF:CFG-02 nist-800-171a _3.4.2-b +SCF:CFG-02 nist-800-171a-r3 a.03.01.03-01 +SCF:CFG-02 nist-800-171a-r3 a.03.01.16.a-03 +SCF:CFG-02 nist-800-171a-r3 a.03.01.16.c +SCF:CFG-02 nist-800-171a-r3 a.03.01.18.a-02 +SCF:CFG-02 nist-800-171a-r3 a.03.03.08.a-02 +SCF:CFG-02 nist-800-171a-r3 a.03.04.01.a-01 +SCF:CFG-02 nist-800-171a-r3 a.03.04.01.a-02 +SCF:CFG-02 nist-800-171a-r3 a.03.04.02.a-01 +SCF:CFG-02 nist-800-171a-r3 a.03.04.02.a-02 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.odp-01 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.odp-02 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.odp-03 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.odp-04 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.odp-05 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.b-01 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.b-02 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.b-03 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.b-04 +SCF:CFG-02 nist-800-171a-r3 a.03.04.06.b-05 +SCF:CFG-02 nist-800-171a-r3 a.03.05.04-01 +SCF:CFG-02 nist-800-171a-r3 a.03.05.04-02 +SCF:CFG-02 nist-800-171a-r3 a.03.05.07.c +SCF:CFG-02 nist-800-171a-r3 a.03.05.07.d +SCF:CFG-02 nist-800-171a-r3 a.03.05.07.e +SCF:CFG-02 nist-800-171a-r3 a.03.05.07.f +SCF:CFG-02 nist-800-171a-r3 a.03.07.05.b-02 +SCF:CFG-02 nist-800-207 nist-tenet-5 +SCF:CFG-02 nist-800-218 po.5.2 +SCF:CFG-02 nist-800-218 pw.9.1 +SCF:CFG-02 nist-csf-2.0 pr.ds-10 +SCF:CFG-02 nist-csf-2.0 pr.ps +SCF:CFG-02 nist-csf-2.0 pr.ps-05 +SCF:CFG-02 owasp-top-10-2025 a01-2025 +SCF:CFG-02 owasp-top-10-2025 a02-2025 +SCF:CFG-02 owasp-top-10-2025 a04-2025 +SCF:CFG-02 owasp-top-10-2025 a05-2025 +SCF:CFG-02 owasp-top-10-2025 a06-2025 +SCF:CFG-02 owasp-top-10-2025 a09-2025 +SCF:CFG-02 owasp-top-10-2025 a10-2025 +SCF:CFG-02 pci-dss-4.0.1 _1.1 +SCF:CFG-02 pci-dss-4.0.1 _1.2.1 +SCF:CFG-02 pci-dss-4.0.1 _1.2.6 +SCF:CFG-02 pci-dss-4.0.1 _2.2 +SCF:CFG-02 pci-dss-4.0.1 _2.2.1 +SCF:CFG-02 pci-dss-4.0.1 _8.3.2 +SCF:CFG-02 pci-dss-4.0.1 _8.5 +SCF:CFG-02 pci-dss-4.0.1 _10.2 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.1 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.2 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.3 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.4 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.5 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.6 +SCF:CFG-02 pci-dss-4.0.1 _10.2.1.7 +SCF:CFG-02 pci-dss-4.0.1 _10.2.2 +SCF:CFG-02 pci-dss-4.0.1 _10.6 +SCF:CFG-02 pci-dss-4.0.1 _10.6.1 +SCF:CFG-02 pci-dss-4.0.1 _10.6.2 +SCF:CFG-02 pci-dss-4.0.1 _10.6.3 +SCF:CFG-02 pci-dss-4.0.1 _11.2 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _2.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _8.3.2 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.1 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.3 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.4 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.5 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.6 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.1.7 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.2.2 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:CFG-02 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:CFG-02 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:CFG-02 pci-dss-4.0.1-saq-c _2.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-c _8.3.2 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.2.1.4 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.2.1.5 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.2.2 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.6.1 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.6.2 +SCF:CFG-02 pci-dss-4.0.1-saq-c _10.6.3 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _2.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _8.3.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.3 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.4 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.5 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.6 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.1.7 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.2.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _2.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _8.3.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.3 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.4 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.5 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.6 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.1.7 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.2.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:CFG-02 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:CFG-02.1 nist-csf-function-grouping detect +SCF:CFG-02.1 cis-csc-8.1 _4.1 +SCF:CFG-02.1 cis-csc-8.1-ig1 _4.1 +SCF:CFG-02.1 cis-csc-8.1-ig2 _4.1 +SCF:CFG-02.1 cis-csc-8.1-ig3 _4.1 +SCF:CFG-02.1 cobit-2019 bai10.05 +SCF:CFG-02.1 csa-ccm-4.1.0 ccc-06 +SCF:CFG-02.1 iso-27002-2022 _8.9 +SCF:CFG-02.1 iso-27018-2025 _8.9 +SCF:CFG-02.1 nist-800-53-r4 cm-2-1 +SCF:CFG-02.1 nist-800-53-r4 cm-2-3 +SCF:CFG-02.1 nist-800-53-r5 cm-02 +SCF:CFG-02.1 nist-800-53b-r5-privacy cm-02 +SCF:CFG-02.1 nist-800-53b-r5-low cm-02 +SCF:CFG-02.1 nist-800-82-r3 cm-02 +SCF:CFG-02.1 nist-800-82-r3-low-ot-overlay cm-02 +SCF:CFG-02.1 nist-800-82-r3-moderate-ot-overlay cm-02 +SCF:CFG-02.1 nist-800-82-r3-high-ot-overlay cm-02 +SCF:CFG-02.1 nist-800-161-r1 cm-2 +SCF:CFG-02.1 nist-800-161-r1-c-scrm-baseline cm-2 +SCF:CFG-02.1 nist-800-161-r1-flow-down cm-2 +SCF:CFG-02.1 nist-800-161-r1-level-2 cm-2 +SCF:CFG-02.1 nist-800-161-r1-level-3 cm-2 +SCF:CFG-02.1 nist-800-171-r2 _3.3.3 +SCF:CFG-02.1 nist-800-171-r2 nfo-cm-2-1 +SCF:CFG-02.1 nist-800-171-r3 _03.04.01.b +SCF:CFG-02.1 nist-800-171-r3 _03.04.02.b +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.01.odp-01 +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.01.b-01 +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.01.b-02 +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.01.b-03 +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.01.b-04 +SCF:CFG-02.1 nist-800-171a-r3 a.03.04.06.c +SCF:CFG-02.1 nist-800-207 nist-tenet-5 +SCF:CFG-02.1 nist-csf-2.0 pr.ps +SCF:CFG-02.1 pci-dss-4.0.1 _12.4.2 +SCF:CFG-02.1 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CFG-02.2 nist-csf-function-grouping detect +SCF:CFG-02.2 cobit-2019 bai10.02 +SCF:CFG-02.2 cobit-2019 bai10.04 +SCF:CFG-02.2 cobit-2019 bai10.05 +SCF:CFG-02.2 csa-ccm-4.1.0 ccc-06 +SCF:CFG-02.2 csa-ccm-4.1.0 ccc-07 +SCF:CFG-02.2 csa-ccm-4.1.0 ccc-08 +SCF:CFG-02.2 csa-iot-scf-2 ccm-03 +SCF:CFG-02.2 csa-iot-scf-2 sws-02 +SCF:CFG-02.2 iec-62443-2-1-2024 cm-1.3 +SCF:CFG-02.2 iec-62443-3-3-2013 sr-3.3-re-1 +SCF:CFG-02.2 iec-62443-3-3-2013 sr-3.3-re-2 +SCF:CFG-02.2 iec-62443-3-3-2013 sr-7.6-re-1 +SCF:CFG-02.2 iec-62443-4-2-2019 cr-7.6-1 +SCF:CFG-02.2 nist-800-53-r4 cm-2-2 +SCF:CFG-02.2 nist-800-53-r4 cm-6-1 +SCF:CFG-02.2 nist-800-53-r5 cm-02-02 +SCF:CFG-02.2 nist-800-53-r5 cm-06-01 +SCF:CFG-02.2 nist-800-53b-r5-moderate cm-02-02 +SCF:CFG-02.2 nist-800-53b-r5-high cm-06-01 +SCF:CFG-02.2 nist-800-82-r3 cm-02-02 +SCF:CFG-02.2 nist-800-82-r3 cm-06-01 +SCF:CFG-02.2 nist-800-82-r3-moderate-ot-overlay cm-02-02 +SCF:CFG-02.2 nist-800-82-r3-high-ot-overlay cm-02-02 +SCF:CFG-02.2 nist-800-82-r3-high-ot-overlay cm-06-01 +SCF:CFG-02.2 nist-800-161-r1 cm-6-1 +SCF:CFG-02.2 nist-800-161-r1-level-3 cm-6-1 +SCF:CFG-02.2 nist-800-171-r3 _03.04.02.b +SCF:CFG-02.2 nist-800-171-r3 _03.04.03.d +SCF:CFG-02.2 nist-800-171a-r3 a.03.04.03.d-01 +SCF:CFG-02.2 nist-800-171a-r3 a.03.04.03.d-02 +SCF:CFG-02.2 nist-800-172 _3.4.2e +SCF:CFG-02.2 nist-800-207 nist-tenet-5 +SCF:CFG-02.3 nist-csf-function-grouping identify +SCF:CFG-02.3 nist-800-53-r4 cm-2-3 +SCF:CFG-02.3 nist-800-53-r5 cm-02-03 +SCF:CFG-02.3 nist-800-53b-r5-moderate cm-02-03 +SCF:CFG-02.3 nist-800-82-r3 cm-02-03 +SCF:CFG-02.3 nist-800-82-r3-moderate-ot-overlay cm-02-03 +SCF:CFG-02.3 nist-800-82-r3-high-ot-overlay cm-02-03 +SCF:CFG-02.4 nist-csf-function-grouping protect +SCF:CFG-02.4 csa-ccm-4.1.0 ais-02 +SCF:CFG-02.4 iso-27002-2022 _8.25 +SCF:CFG-02.4 iso-27018-2025 _8.25 +SCF:CFG-02.4 nist-800-53-r4 cm-2-6 +SCF:CFG-02.4 nist-800-53-r5 cm-02-06 +SCF:CFG-02.4 nist-800-82-r3 cm-02-06 +SCF:CFG-02.4 nist-800-161-r1 cm-2-6 +SCF:CFG-02.4 nist-800-161-r1-level-2 cm-2-6 +SCF:CFG-02.4 nist-800-161-r1-level-3 cm-2-6 +SCF:CFG-02.4 nist-800-218 po.5 +SCF:CFG-02.4 nist-800-218 po.5.2 +SCF:CFG-02.4 pci-dss-4.0.1 _6.5.6 +SCF:CFG-02.4 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:CFG-02.4 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:CFG-02.5 nist-csf-function-grouping protect +SCF:CFG-02.5 cis-csc-8.1 _16.7 +SCF:CFG-02.5 cis-csc-8.1-ig2 _16.7 +SCF:CFG-02.5 cis-csc-8.1-ig3 _16.7 +SCF:CFG-02.5 csa-ccm-4.1.0 ais-02 +SCF:CFG-02.5 csa-iot-scf-2 cls-05 +SCF:CFG-02.5 csa-iot-scf-2 iot-02 +SCF:CFG-02.5 csa-iot-scf-2 sap-09 +SCF:CFG-02.5 csa-iot-scf-2 sws-03 +SCF:CFG-02.5 iso-sae-21434-2021 rq-05-12 +SCF:CFG-02.5 iso-27002-2022 _8.12 +SCF:CFG-02.5 iso-27018-2025 _8.12 +SCF:CFG-02.5 nist-800-37-r2 task-p-6 +SCF:CFG-02.5 nist-800-53-r4 cm-2-7 +SCF:CFG-02.5 nist-800-53-r5 cm-02-07 +SCF:CFG-02.5 nist-800-53-r5 cm-07-06 +SCF:CFG-02.5 nist-800-53-r5 cm-07-07 +SCF:CFG-02.5 nist-800-53-r5 cm-07-09 +SCF:CFG-02.5 nist-800-53b-r5-moderate cm-02-07 +SCF:CFG-02.5 nist-800-82-r3 cm-02-07 +SCF:CFG-02.5 nist-800-82-r3 cm-07-06 +SCF:CFG-02.5 nist-800-82-r3 cm-07-07 +SCF:CFG-02.5 nist-800-82-r3 cm-07-09 +SCF:CFG-02.5 nist-800-82-r3-moderate-ot-overlay cm-02-07 +SCF:CFG-02.5 nist-800-82-r3-high-ot-overlay cm-02-07 +SCF:CFG-02.5 nist-800-160-vol2-r1 cm-02-07 +SCF:CFG-02.5 nist-800-160-vol2-r1 cm-07-06 +SCF:CFG-02.5 nist-800-160-vol2-r1 cm-07-07 +SCF:CFG-02.5 nist-800-161-r1 cm-7-6 +SCF:CFG-02.5 nist-800-161-r1 cm-7-7 +SCF:CFG-02.5 nist-800-161-r1 cm-7-9 +SCF:CFG-02.5 nist-800-161-r1-level-2 cm-7-6 +SCF:CFG-02.5 nist-800-161-r1-level-2 cm-7-9 +SCF:CFG-02.5 nist-800-161-r1-level-3 cm-7-6 +SCF:CFG-02.5 nist-800-161-r1-level-3 cm-7-7 +SCF:CFG-02.5 nist-800-161-r1-level-3 cm-7-9 +SCF:CFG-02.5 nist-800-171-r2 nfo-cm-2-7 +SCF:CFG-02.5 nist-800-171-r3 _03.04.01.a +SCF:CFG-02.5 nist-800-171-r3 _03.04.02.a +SCF:CFG-02.5 nist-800-171-r3 _03.04.06.a +SCF:CFG-02.5 nist-800-171-r3 _03.04.06.b +SCF:CFG-02.5 nist-800-171-r3 _03.04.06.d +SCF:CFG-02.5 nist-800-171-r3 _03.04.12.a +SCF:CFG-02.5 nist-800-171a-r3 a.03.04.12.odp-01 +SCF:CFG-02.5 nist-800-171a-r3 a.03.04.12.odp-02 +SCF:CFG-02.5 nist-800-218 po.5.2 +SCF:CFG-02.5 nist-csf-2.0 pr.ps +SCF:CFG-02.5 pci-dss-4.0.1 _1.2.1 +SCF:CFG-02.5 pci-dss-4.0.1 _1.5 +SCF:CFG-02.5 pci-dss-4.0.1 _1.5.1 +SCF:CFG-02.5 pci-dss-4.0.1 _8.5 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.1 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.2 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.3 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.4 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.5 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.6 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.1.7 +SCF:CFG-02.5 pci-dss-4.0.1 _10.2.2 +SCF:CFG-02.5 pci-dss-4.0.1 _10.6 +SCF:CFG-02.5 pci-dss-4.0.1 _10.6.1 +SCF:CFG-02.5 pci-dss-4.0.1 _10.6.2 +SCF:CFG-02.5 pci-dss-4.0.1 _10.6.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.4 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.5 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.6 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.1.7 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.2.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.2.1.4 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.2.1.5 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.2.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.6.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.6.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c _10.6.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.4 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.5 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.6 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.1.7 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.2.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.3 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.4 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.5 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.6 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.1.7 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.2.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:CFG-02.5 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:CFG-02.6 nist-csf-function-grouping protect +SCF:CFG-02.6 pci-dss-4.0.1 _1.2.8 +SCF:CFG-02.6 pci-dss-4.0.1-saq-a-ep _1.2.8 +SCF:CFG-02.6 pci-dss-4.0.1-saq-d-merchant _1.2.8 +SCF:CFG-02.6 pci-dss-4.0.1-saq-d-service-provider _1.2.8 +SCF:CFG-02.7 nist-csf-function-grouping protect +SCF:CFG-02.7 csa-ccm-4.1.0 ais-02 +SCF:CFG-02.7 csa-ccm-4.1.0 ccc-08 +SCF:CFG-02.7 nist-800-53-r4 cm-6 +SCF:CFG-02.7 nist-800-53-r5 cm-06 +SCF:CFG-02.7 nist-800-53b-r5-privacy cm-06 +SCF:CFG-02.7 nist-800-53b-r5-low cm-06 +SCF:CFG-02.7 nist-800-82-r3 cm-06 +SCF:CFG-02.7 nist-800-82-r3-low-ot-overlay cm-06 +SCF:CFG-02.7 nist-800-82-r3-moderate-ot-overlay cm-06 +SCF:CFG-02.7 nist-800-82-r3-high-ot-overlay cm-06 +SCF:CFG-02.7 nist-800-161-r1 cm-6 +SCF:CFG-02.7 nist-800-161-r1-c-scrm-baseline cm-6 +SCF:CFG-02.7 nist-800-161-r1-flow-down cm-6 +SCF:CFG-02.7 nist-800-161-r1-level-2 cm-6 +SCF:CFG-02.7 nist-800-161-r1-level-3 cm-6 +SCF:CFG-02.7 nist-800-171-r3 _03.04.01.a +SCF:CFG-02.7 nist-800-171-r3 _03.04.02.b +SCF:CFG-02.7 nist-800-171a-r3 a.03.04.02.b-01 +SCF:CFG-02.7 nist-800-171a-r3 a.03.04.02.b-02 +SCF:CFG-02.7 nist-800-172 _3.5.2e +SCF:CFG-02.7 nist-800-207 nist-tenet-5 +SCF:CFG-02.8 nist-csf-function-grouping respond +SCF:CFG-02.8 cis-csc-8.1 _2.3 +SCF:CFG-02.8 cis-csc-8.1-ig1 _2.3 +SCF:CFG-02.8 cis-csc-8.1-ig2 _2.3 +SCF:CFG-02.8 cis-csc-8.1-ig3 _2.3 +SCF:CFG-02.8 csa-ccm-4.1.0 ccc-09 +SCF:CFG-02.8 nist-800-53-r4 cm-6-2 +SCF:CFG-02.8 nist-800-53-r5 cm-06-02 +SCF:CFG-02.8 nist-800-53b-r5-high cm-06-02 +SCF:CFG-02.8 nist-800-82-r3 cm-06-02 +SCF:CFG-02.8 nist-800-82-r3-high-ot-overlay cm-06-02 +SCF:CFG-02.8 nist-800-161-r1 cm-6-2 +SCF:CFG-02.8 nist-800-161-r1-level-3 cm-6-2 +SCF:CFG-02.8 nist-800-172 _3.4.2e +SCF:CFG-02.8 nist-800-207 nist-tenet-5 +SCF:CFG-02.8 pci-dss-4.0.1 _10.7 +SCF:CFG-02.8 pci-dss-4.0.1 _10.7.1 +SCF:CFG-02.8 pci-dss-4.0.1 _10.7.2 +SCF:CFG-02.8 pci-dss-4.0.1 _10.7.3 +SCF:CFG-02.8 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:CFG-02.8 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:CFG-02.8 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:CFG-02.8 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:CFG-02.8 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:CFG-02.9 nist-csf-function-grouping protect +SCF:CFG-02.9 csa-ccm-4.1.0 ais-02 +SCF:CFG-02.9 iso-sae-21434-2021 pm-06-13 +SCF:CFG-02.9 iso-sae-21434-2021 pm-06-14 +SCF:CFG-02.9 nist-800-37-r2 task-p-4 +SCF:CFG-02.9 nist-800-37-r2 task-s-2 +SCF:CFG-02.9 nist-800-53-r5 pl-11 +SCF:CFG-02.9 nist-800-53b-r5-low pl-11 +SCF:CFG-02.9 nist-800-82-r3 pl-11 +SCF:CFG-02.9 nist-800-82-r3-low-ot-overlay pl-11 +SCF:CFG-02.9 nist-800-82-r3-moderate-ot-overlay pl-11 +SCF:CFG-02.9 nist-800-82-r3-high-ot-overlay pl-11 +SCF:CFG-02.9 nist-800-171-r2 _3.3.3 +SCF:CFG-02.9 nist-800-171-r3 _03.03.02.b +SCF:CFG-02.9 nist-800-171-r3 _03.04.01.a +SCF:CFG-02.9 nist-800-171-r3 _03.04.02.a +SCF:CFG-02.9 nist-800-171-r3 _03.04.02.b +SCF:CFG-02.9 nist-800-171-r3 _03.04.06.a +SCF:CFG-02.9 nist-800-171-r3 _03.04.08.a +SCF:CFG-02.9 nist-800-171-r3 _03.04.12.a +SCF:CFG-02.9 nist-800-171-r3 _03.13.11 +SCF:CFG-02.9 nist-800-171a-r3 a.03.03.02.b +SCF:CFG-03 nist-csf-function-grouping protect +SCF:CFG-03 cis-csc-8.1 _4.0 +SCF:CFG-03 cis-csc-8.1 _4.6 +SCF:CFG-03 cis-csc-8.1 _4.8 +SCF:CFG-03 cis-csc-8.1-ig1 _4.6 +SCF:CFG-03 cis-csc-8.1-ig2 _4.6 +SCF:CFG-03 cis-csc-8.1-ig2 _4.8 +SCF:CFG-03 cis-csc-8.1-ig3 _4.6 +SCF:CFG-03 cis-csc-8.1-ig3 _4.8 +SCF:CFG-03 csa-ccm-4.1.0 ais-02 +SCF:CFG-03 iec-62443-3-3-2013 sr-7.7 +SCF:CFG-03 iec-62443-4-2-2019 cr-2.2 +SCF:CFG-03 iec-62443-4-2-2019 cr-7.7 +SCF:CFG-03 iso-27002-2022 _8.3 +SCF:CFG-03 iso-27002-2022 _8.9 +SCF:CFG-03 iso-27002-2022 _8.12 +SCF:CFG-03 iso-27017-2015 _9.4.1 +SCF:CFG-03 iso-27018-2025 _8.9 +SCF:CFG-03 iso-27018-2025 _8.12 +SCF:CFG-03 nist-privacy-framework-1.0 pr.pt-p2 +SCF:CFG-03 nist-800-53-r4 cm-7 +SCF:CFG-03 nist-800-53-r5 cm-07 +SCF:CFG-03 nist-800-53b-r5-low cm-07 +SCF:CFG-03 nist-800-82-r3 cm-07 +SCF:CFG-03 nist-800-82-r3-low-ot-overlay cm-07 +SCF:CFG-03 nist-800-82-r3-moderate-ot-overlay cm-07 +SCF:CFG-03 nist-800-82-r3-high-ot-overlay cm-07 +SCF:CFG-03 nist-800-161-r1 cm-7 +SCF:CFG-03 nist-800-161-r1-c-scrm-baseline cm-7 +SCF:CFG-03 nist-800-161-r1-flow-down cm-7 +SCF:CFG-03 nist-800-161-r1-level-3 cm-7 +SCF:CFG-03 nist-800-171-r2 _3.4.6 +SCF:CFG-03 nist-800-171-r3 _03.04.02.a +SCF:CFG-03 nist-800-171-r3 _03.04.06.a +SCF:CFG-03 nist-800-171-r3 _03.04.06.b +SCF:CFG-03 nist-800-171-r3 _03.04.06.d +SCF:CFG-03 nist-800-171-r3 _03.04.08.a +SCF:CFG-03 nist-800-171a _3.4.6-a +SCF:CFG-03 nist-800-171a _3.4.6-b +SCF:CFG-03 nist-800-171a-r3 a.03.04.02.odp-01 +SCF:CFG-03 nist-800-171a-r3 a.03.04.06.d +SCF:CFG-03 nist-csf-2.0 pr.ps-05 +SCF:CFG-03 owasp-top-10-2025 a05-2025 +SCF:CFG-03 pci-dss-4.0.1 _1.2.5 +SCF:CFG-03 pci-dss-4.0.1 _1.2.6 +SCF:CFG-03 pci-dss-4.0.1 _1.4 +SCF:CFG-03 pci-dss-4.0.1 _1.4.1 +SCF:CFG-03 pci-dss-4.0.1 _1.4.2 +SCF:CFG-03 pci-dss-4.0.1 _2.2.4 +SCF:CFG-03 pci-dss-4.0.1-saq-a-ep _1.2.5 +SCF:CFG-03 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:CFG-03 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:CFG-03 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:CFG-03 pci-dss-4.0.1-saq-a-ep _2.2.4 +SCF:CFG-03 pci-dss-4.0.1-saq-b-ip _1.2.5 +SCF:CFG-03 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:CFG-03 pci-dss-4.0.1-saq-b-ip _1.4.2 +SCF:CFG-03 pci-dss-4.0.1-saq-c _2.2.4 +SCF:CFG-03 pci-dss-4.0.1-saq-c-vt _2.2.4 +SCF:CFG-03 pci-dss-4.0.1-saq-d-merchant _1.2.5 +SCF:CFG-03 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:CFG-03 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:CFG-03 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:CFG-03 pci-dss-4.0.1-saq-d-merchant _2.2.4 +SCF:CFG-03 pci-dss-4.0.1-saq-d-service-provider _1.2.5 +SCF:CFG-03 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:CFG-03 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:CFG-03 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:CFG-03 pci-dss-4.0.1-saq-d-service-provider _2.2.4 +SCF:CFG-03.1 nist-csf-function-grouping detect +SCF:CFG-03.1 csa-ccm-4.1.0 ais-02 +SCF:CFG-03.1 iso-27002-2022 _8.8 +SCF:CFG-03.1 iso-27002-2022 _8.27 +SCF:CFG-03.1 iso-27017-2015 _9.2.5 +SCF:CFG-03.1 iso-27017-2015 _9.2.6 +SCF:CFG-03.1 iso-27017-2015 _12.6.1 +SCF:CFG-03.1 iso-27018-2025 _8.8 +SCF:CFG-03.1 iso-27018-2025 _8.27 +SCF:CFG-03.1 nist-800-53-r4 cm-7-1 +SCF:CFG-03.1 nist-800-53-r5 cm-07-01 +SCF:CFG-03.1 nist-800-53b-r5-moderate cm-07-01 +SCF:CFG-03.1 nist-800-82-r3 cm-07-01 +SCF:CFG-03.1 nist-800-82-r3-moderate-ot-overlay cm-07-01 +SCF:CFG-03.1 nist-800-82-r3-high-ot-overlay cm-07-01 +SCF:CFG-03.1 nist-800-161-r1 cm-7-1 +SCF:CFG-03.1 nist-800-161-r1-level-2 cm-7-1 +SCF:CFG-03.1 nist-800-161-r1-level-3 cm-7-1 +SCF:CFG-03.1 nist-800-171-r2 _3.4.7 +SCF:CFG-03.1 nist-800-171-r3 _03.04.06.c +SCF:CFG-03.1 nist-800-171-r3 _03.04.08.c +SCF:CFG-03.1 nist-800-171a _3.4.7-a +SCF:CFG-03.1 nist-800-171a _3.4.7-b +SCF:CFG-03.1 nist-800-171a _3.4.7-c +SCF:CFG-03.1 nist-800-171a _3.4.7-d +SCF:CFG-03.1 nist-800-171a _3.4.7-e +SCF:CFG-03.1 nist-800-171a _3.4.7-f +SCF:CFG-03.1 nist-800-171a _3.4.7-g +SCF:CFG-03.1 nist-800-171a _3.4.7-h +SCF:CFG-03.1 nist-800-171a _3.4.7-i +SCF:CFG-03.1 nist-800-171a _3.4.7-j +SCF:CFG-03.1 nist-800-171a _3.4.7-k +SCF:CFG-03.1 nist-800-171a _3.4.7-l +SCF:CFG-03.1 nist-800-171a _3.4.7-m +SCF:CFG-03.1 nist-800-171a _3.4.7-n +SCF:CFG-03.1 nist-800-171a _3.4.7-o +SCF:CFG-03.1 nist-800-171a-r3 a.03.04.06.odp-06 +SCF:CFG-03.1 pci-dss-4.0.1 _1.2.7 +SCF:CFG-03.1 pci-dss-4.0.1 _11.6.1 +SCF:CFG-03.1 pci-dss-4.0.1 _12.3.1 +SCF:CFG-03.1 pci-dss-4.0.1 _12.3.4 +SCF:CFG-03.1 pci-dss-4.0.1 _12.4.2 +SCF:CFG-03.1 pci-dss-4.0.1 _12.5.2 +SCF:CFG-03.1 pci-dss-4.0.1 _12.5.2.1 +SCF:CFG-03.1 pci-dss-4.0.1 _12.6.2 +SCF:CFG-03.1 pci-dss-4.0.1 _12.6.3 +SCF:CFG-03.1 pci-dss-4.0.1-saq-a _11.6.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-a-ep _1.2.7 +SCF:CFG-03.1 pci-dss-4.0.1-saq-a-ep _11.6.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-c _12.3.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _1.2.7 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _11.6.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _12.3.4 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _12.5.2 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _12.6.2 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _1.2.7 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _11.6.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.3.4 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.5.2 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.5.2.1 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.6.2 +SCF:CFG-03.1 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:CFG-03.2 nist-csf-function-grouping protect +SCF:CFG-03.2 cis-csc-8.1 _2.5 +SCF:CFG-03.2 cis-csc-8.1-ig2 _2.5 +SCF:CFG-03.2 cis-csc-8.1-ig3 _2.5 +SCF:CFG-03.2 nist-800-53-r4 cm-7-2 +SCF:CFG-03.2 nist-800-53-r5 cm-07-02 +SCF:CFG-03.2 nist-800-53b-r5-privacy cm-07-02 +SCF:CFG-03.2 nist-800-53b-r5-moderate cm-07-02 +SCF:CFG-03.2 nist-800-82-r3 cm-07-02 +SCF:CFG-03.2 nist-800-160-vol2-r1 cm-07-02 +SCF:CFG-03.2 nist-800-171-r2 _3.4.7 +SCF:CFG-03.2 nist-800-171-r3 _03.04.08.b +SCF:CFG-03.2 nist-csf-2.0 pr.ps-05 +SCF:CFG-03.3 nist-csf-function-grouping protect +SCF:CFG-03.3 cis-csc-8.1 _2.3 +SCF:CFG-03.3 cis-csc-8.1 _2.5 +SCF:CFG-03.3 cis-csc-8.1 _2.6 +SCF:CFG-03.3 cis-csc-8.1 _2.7 +SCF:CFG-03.3 cis-csc-8.1-ig1 _2.3 +SCF:CFG-03.3 cis-csc-8.1-ig2 _2.3 +SCF:CFG-03.3 cis-csc-8.1-ig2 _2.5 +SCF:CFG-03.3 cis-csc-8.1-ig2 _2.6 +SCF:CFG-03.3 cis-csc-8.1-ig3 _2.3 +SCF:CFG-03.3 cis-csc-8.1-ig3 _2.5 +SCF:CFG-03.3 cis-csc-8.1-ig3 _2.6 +SCF:CFG-03.3 cis-csc-8.1-ig3 _2.7 +SCF:CFG-03.3 csa-ccm-4.1.0 uem-02 +SCF:CFG-03.3 csa-iot-scf-2 cls-02 +SCF:CFG-03.3 nist-800-53-r4 cm-7-4 +SCF:CFG-03.3 nist-800-53-r4 cm-7-5 +SCF:CFG-03.3 nist-800-53-r4 sc-18-4 +SCF:CFG-03.3 nist-800-53-r5 cm-07-04 +SCF:CFG-03.3 nist-800-53-r5 cm-07-05 +SCF:CFG-03.3 nist-800-53-r5 sc-18-04 +SCF:CFG-03.3 nist-800-53b-r5-privacy sc-18-04 +SCF:CFG-03.3 nist-800-53b-r5-moderate cm-07-05 +SCF:CFG-03.3 nist-800-82-r3 cm-07-04 +SCF:CFG-03.3 nist-800-82-r3 cm-07-05 +SCF:CFG-03.3 nist-800-82-r3 sc-18-04 +SCF:CFG-03.3 nist-800-82-r3-moderate-ot-overlay cm-07-05 +SCF:CFG-03.3 nist-800-82-r3-high-ot-overlay cm-07-05 +SCF:CFG-03.3 nist-800-160-vol2-r1 cm-07-04 +SCF:CFG-03.3 nist-800-160-vol2-r1 cm-07-05 +SCF:CFG-03.3 nist-800-161-r1 cm-7-4 +SCF:CFG-03.3 nist-800-161-r1 cm-7-5 +SCF:CFG-03.3 nist-800-161-r1-level-2 cm-7-4 +SCF:CFG-03.3 nist-800-161-r1-level-3 cm-7-4 +SCF:CFG-03.3 nist-800-161-r1-level-3 cm-7-5 +SCF:CFG-03.3 nist-800-171-r2 _3.4.8 +SCF:CFG-03.3 nist-800-171-r3 _03.04.08.a +SCF:CFG-03.3 nist-800-171-r3 _03.04.08.b +SCF:CFG-03.3 nist-800-171-r3 _03.13.13.a +SCF:CFG-03.3 nist-800-171-r3 _03.13.13.b +SCF:CFG-03.3 nist-800-171a _3.4.8-a +SCF:CFG-03.3 nist-800-171a _3.4.8-b +SCF:CFG-03.3 nist-800-171a _3.4.8-c +SCF:CFG-03.3 nist-800-171a-r3 a.03.04.08.odp-01 +SCF:CFG-03.3 nist-800-171a-r3 a.03.04.08.a +SCF:CFG-03.3 nist-800-171a-r3 a.03.04.08.b +SCF:CFG-03.3 nist-800-171a-r3 a.03.13.13.b-03 +SCF:CFG-03.4 nist-csf-function-grouping protect +SCF:CFG-03.4 nist-800-53-r4 sc-7-7 +SCF:CFG-03.4 nist-800-53-r5 sc-07-07 +SCF:CFG-03.4 nist-800-53b-r5-moderate sc-07-07 +SCF:CFG-03.4 nist-800-82-r3 sc-07-07 +SCF:CFG-03.4 nist-800-82-r3-moderate-ot-overlay sc-07-07 +SCF:CFG-03.4 nist-800-82-r3-high-ot-overlay sc-07-07 +SCF:CFG-03.4 nist-800-171-r2 _3.13.7 +SCF:CFG-03.4 nist-800-171a _3.13.7 +SCF:CFG-03.4 pci-dss-4.0.1 _1.5.1 +SCF:CFG-03.4 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:CFG-03.4 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:CFG-03.4 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:CFG-03.4 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:CFG-04 nist-csf-function-grouping protect +SCF:CFG-04 nist-800-53-r4 cm-10 +SCF:CFG-04 nist-800-53-r5 cm-10 +SCF:CFG-04 nist-800-53b-r5-low cm-10 +SCF:CFG-04 nist-800-82-r3 cm-10 +SCF:CFG-04 nist-800-82-r3-low-ot-overlay cm-10 +SCF:CFG-04 nist-800-82-r3-moderate-ot-overlay cm-10 +SCF:CFG-04 nist-800-82-r3-high-ot-overlay cm-10 +SCF:CFG-04 nist-800-161-r1 cm-10 +SCF:CFG-04 nist-800-161-r1-c-scrm-baseline cm-10 +SCF:CFG-04 nist-800-161-r1-level-2 cm-10 +SCF:CFG-04 nist-800-161-r1-level-3 cm-10 +SCF:CFG-04 nist-800-171-r3 _03.13.13.b +SCF:CFG-04.1 nist-csf-function-grouping protect +SCF:CFG-04.1 nist-ai-600-1 gv-6.2-002 +SCF:CFG-04.1 nist-800-53-r4 cm-10-1 +SCF:CFG-04.1 nist-800-53-r5 cm-10-01 +SCF:CFG-04.1 nist-800-82-r3 cm-10-01 +SCF:CFG-04.1 nist-800-161-r1 cm-8-10 +SCF:CFG-04.1 nist-800-161-r1 cm-10-1 +SCF:CFG-04.1 nist-800-161-r1-level-2 cm-10-1 +SCF:CFG-04.1 nist-800-161-r1-level-3 cm-8-10 +SCF:CFG-04.1 nist-800-161-r1-level-3 cm-10-1 +SCF:CFG-04.1 nist-800-171-r3 _03.13.13.b +SCF:CFG-04.2 nist-csf-function-grouping protect +SCF:CFG-04.2 cis-csc-8.1 _9.0 +SCF:CFG-04.2 cis-csc-8.1 _9.1 +SCF:CFG-04.2 cis-csc-8.1 _9.4 +SCF:CFG-04.2 cis-csc-8.1-ig1 _9.1 +SCF:CFG-04.2 cis-csc-8.1-ig2 _9.1 +SCF:CFG-04.2 cis-csc-8.1-ig2 _9.4 +SCF:CFG-04.2 cis-csc-8.1-ig3 _9.1 +SCF:CFG-04.2 cis-csc-8.1-ig3 _9.4 +SCF:CFG-05 nist-csf-function-grouping protect +SCF:CFG-05 nist-800-53-r4 cm-11 +SCF:CFG-05 nist-800-53-r5 cm-11 +SCF:CFG-05 nist-800-53-r5 cm-11-02 +SCF:CFG-05 nist-800-53b-r5-privacy cm-11 +SCF:CFG-05 nist-800-53b-r5-privacy cm-11-02 +SCF:CFG-05 nist-800-53b-r5-low cm-11 +SCF:CFG-05 nist-800-82-r3 cm-11 +SCF:CFG-05 nist-800-82-r3 cm-11-02 +SCF:CFG-05 nist-800-82-r3-low-ot-overlay cm-11 +SCF:CFG-05 nist-800-82-r3-moderate-ot-overlay cm-11 +SCF:CFG-05 nist-800-82-r3-high-ot-overlay cm-11 +SCF:CFG-05 nist-800-161-r1 cm-11 +SCF:CFG-05 nist-800-161-r1-c-scrm-baseline cm-11 +SCF:CFG-05 nist-800-161-r1-level-2 cm-11 +SCF:CFG-05 nist-800-161-r1-level-3 cm-11 +SCF:CFG-05 nist-800-171-r2 _3.4.9 +SCF:CFG-05 nist-800-171-r3 _03.13.13.b +SCF:CFG-05 nist-800-171a _3.4.9-b +SCF:CFG-05 nist-800-171a _3.4.9-c +SCF:CFG-05 nist-csf-2.0 pr.ps-05 +SCF:CFG-05.1 nist-csf-function-grouping detect +SCF:CFG-05.1 cis-csc-8.1 _2.3 +SCF:CFG-05.1 cis-csc-8.1-ig1 _2.3 +SCF:CFG-05.1 cis-csc-8.1-ig2 _2.3 +SCF:CFG-05.1 cis-csc-8.1-ig3 _2.3 +SCF:CFG-05.1 nist-800-53-r4 cm-11-1 +SCF:CFG-05.1 nist-800-53-r5 cm-08-03 +SCF:CFG-05.1 nist-800-53-r5 cm-11-03 +SCF:CFG-05.1 nist-800-53b-r5-privacy cm-08-03 +SCF:CFG-05.1 nist-800-53b-r5-privacy cm-11-03 +SCF:CFG-05.1 nist-800-53b-r5-moderate cm-08-03 +SCF:CFG-05.1 nist-800-82-r3 cm-08-03 +SCF:CFG-05.1 nist-800-82-r3 cm-11-03 +SCF:CFG-05.1 nist-800-82-r3-moderate-ot-overlay cm-08-03 +SCF:CFG-05.1 nist-800-82-r3-high-ot-overlay cm-08-03 +SCF:CFG-05.1 nist-800-160-vol2-r1 cm-08-03 +SCF:MON-02 nist-800-53b-r5-low au-02 +SCF:CFG-05.2 nist-csf-function-grouping protect +SCF:CFG-05.2 cis-csc-8.1 _9.1 +SCF:CFG-05.2 cis-csc-8.1 _9.4 +SCF:CFG-05.2 cis-csc-8.1-ig1 _9.1 +SCF:CFG-05.2 cis-csc-8.1-ig2 _9.1 +SCF:CFG-05.2 cis-csc-8.1-ig2 _9.4 +SCF:CFG-05.2 cis-csc-8.1-ig3 _9.1 +SCF:CFG-05.2 cis-csc-8.1-ig3 _9.4 +SCF:CFG-05.2 csa-ccm-4.1.0 iam-09 +SCF:CFG-05.2 nist-800-53-r4 cm-11-2 +SCF:CFG-05.2 nist-800-53-r5 cm-11-02 +SCF:CFG-05.2 nist-800-53b-r5-privacy cm-11-02 +SCF:CFG-05.2 nist-800-82-r3 cm-11-02 +SCF:CFG-06 nist-csf-function-grouping protect +SCF:CFG-06 csa-iot-scf-2 ccm-03 +SCF:CFG-06 nist-800-53-r5 cm-03-08 +SCF:CFG-06 nist-800-53-r5 cm-11-03 +SCF:CFG-06 nist-800-53b-r5-privacy cm-11-03 +SCF:CFG-06 nist-800-82-r3 cm-03-08 +SCF:CFG-06 nist-800-82-r3 cm-11-03 +SCF:CFG-06 nist-800-161-r1 cm-3-8 +SCF:CFG-06 nist-800-161-r1-level-2 cm-3-8 +SCF:CFG-06 nist-800-161-r1-level-3 cm-3-8 +SCF:CFG-06 nist-800-171-r3 _03.04.02.a +SCF:CFG-06 nist-800-171-r3 _03.04.02.b +SCF:CFG-06 nist-800-171-r3 _03.04.03.a +SCF:CFG-06 nist-800-172 _3.4.2e +SCF:CFG-06 nist-800-207 nist-tenet-5 +SCF:CFG-06.1 nist-csf-function-grouping protect +SCF:CFG-06.1 cis-csc-8.1 _2.3 +SCF:CFG-06.1 cis-csc-8.1 _2.4 +SCF:CFG-06.1 cis-csc-8.1-ig1 _2.3 +SCF:CFG-06.1 cis-csc-8.1-ig2 _2.3 +SCF:CFG-06.1 cis-csc-8.1-ig2 _2.4 +SCF:CFG-06.1 cis-csc-8.1-ig3 _2.3 +SCF:CFG-06.1 cis-csc-8.1-ig3 _2.4 +SCF:CFG-06.1 iec-62443-4-2-2019 hdr-3.11-1 +SCF:CFG-06.1 iec-62443-4-2-2019 ndr-3.11-1 +SCF:CFG-06.1 nist-800-53-r5 cm-03-08 +SCF:CFG-06.1 nist-800-53-r5 cm-11-03 +SCF:CFG-06.1 nist-800-53b-r5-privacy cm-11-03 +SCF:CFG-06.1 nist-800-82-r3 cm-03-08 +SCF:CFG-06.1 nist-800-82-r3 cm-11-03 +SCF:CFG-06.1 nist-800-172 _3.4.2e +SCF:CFG-06.1 nist-800-172 _3.14.7e +SCF:CFG-06.1 nist-800-207 nist-tenet-5 +SCF:CFG-07 nist-csf-function-grouping protect +SCF:CFG-07 csa-iot-scf-2 iam-07 +SCF:CFG-07 iec-62443-4-2-2019 hdr-3.13-b +SCF:CFG-08 nist-csf-function-grouping protect +SCF:CFG-08 nist-800-53-r5 ac-03-11 +SCF:CFG-08 nist-sp-800-66-r2 _164.308-a-3 +SCF:CFG-08 nist-sp-800-66-r2 _164.312-c +SCF:CFG-08 nist-800-82-r3 ac-03-11 +SCF:CFG-08 nist-800-82-r3-high-ot-overlay ac-03-11 +SCF:CFG-08 nist-800-160-vol2-r1 ac-03-11 +SCF:CFG-08 nist-800-171-r3 _03.01.02 +SCF:CFG-08 nist-800-171a-r3 a.03.01.02-01 +SCF:CFG-08 nist-800-207 nist-tenet-4 +SCF:CFG-08.1 nist-csf-function-grouping protect +SCF:CFG-08.1 nist-800-53-r4 dm-2-1 +SCF:CFG-08.1 nist-sp-800-66-r2 _164.312-c +SCF:MON-01 nist-csf-function-grouping govern +SCF:MON-01 cis-csc-8.1 _8.0 +SCF:MON-01 cis-csc-8.1 _8.2 +SCF:MON-01 cis-csc-8.1 _13.0 +SCF:MON-01 cis-csc-8.1 _13.6 +SCF:MON-01 cis-csc-8.1-ig1 _8.2 +SCF:MON-01 cis-csc-8.1-ig2 _8.2 +SCF:MON-01 cis-csc-8.1-ig2 _13.6 +SCF:MON-01 cis-csc-8.1-ig3 _8.2 +SCF:MON-01 cis-csc-8.1-ig3 _13.6 +SCF:MON-01 cobit-2019 dss01.03 +SCF:MON-01 cobit-2019 dss05.07 +SCF:MON-01 cobit-2019 mea01.01 +SCF:MON-01 csa-ccm-4.1.0 log-01 +SCF:MON-01 csa-iot-scf-2 mon-01 +SCF:MON-01 csa-iot-scf-2 mon-03 +SCF:MON-01 csa-iot-scf-2 mon-05 +SCF:MON-01 csa-iot-scf-2 mon-07 +SCF:MON-01 csa-iot-scf-2 snt-03 +SCF:MON-01 iec-62443-3-3-2013 sr-6.2 +SCF:MON-01 iec-62443-4-2-2019 cr-6.2 +SCF:MON-01 iso-27002-2022 _8.15 +SCF:MON-01 iso-27002-2022 _8.16 +SCF:MON-01 iso-27017-2015 _12.4.1 +SCF:MON-01 iso-27018-2025 _8.15 +SCF:MON-01 iso-27018-2025 _8.16 +SCF:MON-01 nist-ai-600-1 gv-4.3-002 +SCF:MON-01 nist-ai-600-1 gv-6.2-004 +SCF:MON-01 nist-privacy-framework-1.0 ct.dm-p8 +SCF:MON-01 nist-800-37-r2 task-p-7 +SCF:MON-01 nist-800-53-r4 au-1 +SCF:MON-01 nist-800-53-r4 si-4 +SCF:MON-01 nist-800-53-r5 au-01 +SCF:MON-01 nist-800-53-r5 pm-31 +SCF:MON-01 nist-800-53-r5 si-04 +SCF:MON-01 nist-800-53b-r5-privacy au-01 +SCF:MON-01 nist-800-53b-r5-privacy pm-31 +SCF:MON-01 nist-800-53b-r5-privacy si-04 +SCF:MON-01 nist-800-53b-r5-low au-01 +SCF:MON-01 nist-800-53b-r5-low si-04 +SCF:MON-01 nist-sp-800-66-r2 _164.308-a-1 +SCF:MON-01 nist-sp-800-66-r2 _164.312-b +SCF:MON-01 nist-800-82-r3 au-01 +SCF:MON-01 nist-800-82-r3 pm-31 +SCF:MON-01 nist-800-82-r3 si-04 +SCF:MON-01 nist-800-82-r3-low-ot-overlay au-01 +SCF:MON-01 nist-800-82-r3-low-ot-overlay pm-31 +SCF:MON-01 nist-800-82-r3-low-ot-overlay si-04 +SCF:MON-01 nist-800-82-r3-moderate-ot-overlay au-01 +SCF:MON-01 nist-800-82-r3-moderate-ot-overlay pm-31 +SCF:MON-01 nist-800-82-r3-moderate-ot-overlay si-04 +SCF:MON-01 nist-800-82-r3-high-ot-overlay au-01 +SCF:MON-01 nist-800-82-r3-high-ot-overlay pm-31 +SCF:MON-01 nist-800-82-r3-high-ot-overlay si-04 +SCF:MON-01 nist-800-160-vol2-r1 pm-31 +SCF:MON-01 nist-800-161-r1 au-1 +SCF:MON-01 nist-800-161-r1 pm-31 +SCF:MON-01 nist-800-161-r1 si-4 +SCF:MON-01 nist-800-161-r1-c-scrm-baseline au-1 +SCF:MON-01 nist-800-161-r1-c-scrm-baseline si-4 +SCF:MON-01 nist-800-161-r1-flow-down si-4 +SCF:MON-01 nist-800-161-r1-level-1 au-1 +SCF:MON-01 nist-800-161-r1-level-1 pm-31 +SCF:MON-01 nist-800-161-r1-level-1 si-4 +SCF:MON-01 nist-800-161-r1-level-2 au-1 +SCF:MON-01 nist-800-161-r1-level-2 pm-31 +SCF:MON-01 nist-800-161-r1-level-2 si-4 +SCF:MON-01 nist-800-161-r1-level-3 au-1 +SCF:MON-01 nist-800-161-r1-level-3 pm-31 +SCF:MON-01 nist-800-161-r1-level-3 si-4 +SCF:MON-01 nist-800-171-r2 _3.3.3 +SCF:MON-01 nist-800-171-r2 _3.14.6 +SCF:MON-01 nist-800-171-r2 nfo-au-1 +SCF:MON-01 nist-800-171-r3 _03.03.01.a +SCF:MON-01 nist-800-171-r3 _03.12.03 +SCF:MON-01 nist-800-171-r3 _03.14.06.a +SCF:MON-01 nist-800-171a-r3 a.03.14.06.a.01-01 +SCF:MON-01 nist-800-171a-r3 a.03.14.06.a.01-02 +SCF:MON-01 nist-800-171a-r3 a.03.14.06.a.02 +SCF:MON-01 nist-800-172 _3.14.2e +SCF:MON-01 nist-800-207 nist-tenet-5 +SCF:MON-01 nist-800-207 nist-tenet-6 +SCF:MON-01 nist-800-207 nist-tenet-7 +SCF:MON-01 nist-csf-2.0 pr.ps-04 +SCF:MON-01 nist-csf-2.0 de.cm-01 +SCF:MON-01 nist-csf-2.0 de.cm-03 +SCF:MON-01 nist-csf-2.0 de.cm-06 +SCF:MON-01 nist-csf-2.0 de.cm-09 +SCF:MON-01 nist-csf-2.0 de.ae +SCF:MON-01 owasp-top-10-2025 a01-2025 +SCF:MON-01 owasp-top-10-2025 a09-2025 +SCF:MON-01 pci-dss-4.0.1 _10.1 +SCF:MON-01 pci-dss-4.0.1 _10.4.3 +SCF:MON-01 pci-dss-4.0.1 _10.7 +SCF:MON-01 pci-dss-4.0.1 _10.7.1 +SCF:MON-01 pci-dss-4.0.1 _10.7.2 +SCF:MON-01 pci-dss-4.0.1 _10.7.3 +SCF:MON-01 pci-dss-4.0.1 a3.3.1 +SCF:MON-01 pci-dss-4.0.1 a3.5 +SCF:MON-01 pci-dss-4.0.1-saq-a-ep _10.4.3 +SCF:MON-01 pci-dss-4.0.1-saq-c _10.4.3 +SCF:MON-01 pci-dss-4.0.1-saq-d-merchant _10.4.3 +SCF:MON-01 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:MON-01 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:MON-01 pci-dss-4.0.1-saq-d-service-provider _10.4.3 +SCF:MON-01 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:MON-01 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:MON-01 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:MON-01.1 nist-csf-function-grouping detect +SCF:MON-01.1 cobit-2019 dss05.07 +SCF:MON-01.1 csa-iot-scf-2 opa-04 +SCF:MON-01.1 iso-27002-2022 _8.16 +SCF:MON-01.1 iso-27018-2025 _8.16 +SCF:MON-01.1 nist-800-53-r4 si-4-1 +SCF:MON-01.1 nist-800-53-r5 si-04-01 +SCF:MON-01.1 nist-800-53-r5 si-04-25 +SCF:MON-01.1 nist-800-53b-r5-privacy si-04-25 +SCF:MON-01.1 nist-800-82-r3 si-04-01 +SCF:MON-01.1 nist-800-82-r3 si-04-25 +SCF:MON-01.1 nist-800-160-vol2-r1 si-04-01 +SCF:MON-01.1 nist-800-160-vol2-r1 si-04-25 +SCF:MON-01.1 nist-800-171-r3 _03.13.01.a +SCF:MON-01.1 nist-800-172 _3.14.6e +SCF:MON-01.1 nist-csf-2.0 de.cm-01 +SCF:MON-01.1 owasp-top-10-2025 a01-2025 +SCF:MON-01.1 owasp-top-10-2025 a09-2025 +SCF:MON-01.1 pci-dss-4.0.1 _1.4.3 +SCF:MON-01.1 pci-dss-4.0.1 _11.5 +SCF:MON-01.1 pci-dss-4.0.1 _11.5.1 +SCF:MON-01.1 pci-dss-4.0.1 _11.5.1.1 +SCF:MON-01.1 pci-dss-4.0.1-saq-a-ep _1.4.3 +SCF:MON-01.1 pci-dss-4.0.1-saq-a-ep _11.5.1 +SCF:MON-01.1 pci-dss-4.0.1-saq-b-ip _1.4.3 +SCF:MON-01.1 pci-dss-4.0.1-saq-d-merchant _1.4.3 +SCF:MON-01.1 pci-dss-4.0.1-saq-d-merchant _11.5.1 +SCF:MON-01.1 pci-dss-4.0.1-saq-d-service-provider _1.4.3 +SCF:MON-01.1 pci-dss-4.0.1-saq-d-service-provider _11.5.1 +SCF:MON-01.1 pci-dss-4.0.1-saq-d-service-provider _11.5.1.1 +SCF:MON-01.2 nist-csf-function-grouping detect +SCF:MON-01.2 csa-ccm-4.1.0 log-03 +SCF:MON-01.2 csa-iot-scf-2 mon-03 +SCF:MON-01.2 csa-iot-scf-2 opa-04 +SCF:MON-01.2 iso-27002-2022 _8.16 +SCF:MON-01.2 iso-27018-2025 _8.16 +SCF:MON-01.2 nist-ai-600-1 mg-3.2-006 +SCF:MON-01.2 nist-800-53-r4 si-4-2 +SCF:MON-01.2 nist-800-53-r5 sc-48 +SCF:MON-01.2 nist-800-53-r5 si-04-02 +SCF:MON-01.2 nist-800-53b-r5-privacy sc-48 +SCF:MON-01.2 nist-800-53b-r5-moderate si-04-02 +SCF:MON-01.2 nist-800-82-r3 sc-48 +SCF:MON-01.2 nist-800-82-r3 si-04-02 +SCF:MON-01.2 nist-800-82-r3-moderate-ot-overlay si-04-02 +SCF:MON-01.2 nist-800-82-r3-high-ot-overlay si-04-02 +SCF:MON-01.2 nist-800-160-vol2-r1 sc-48 +SCF:MON-01.2 nist-800-160-vol2-r1 si-04-02 +SCF:MON-01.2 nist-800-207 nist-tenet-5 +SCF:MON-01.2 nist-800-207 nist-tenet-7 +SCF:MON-01.2 owasp-top-10-2025 a01-2025 +SCF:MON-01.2 owasp-top-10-2025 a09-2025 +SCF:MON-01.2 pci-dss-4.0.1 _10.4 +SCF:MON-01.2 pci-dss-4.0.1 _10.4.1 +SCF:MON-01.2 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-a-ep _10.4.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-c _10.4.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-d-merchant _10.4.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-d-service-provider _10.4.1 +SCF:MON-01.2 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-01.3 nist-csf-function-grouping detect +SCF:MON-01.3 csa-iot-scf-2 cls-07 +SCF:MON-01.3 csa-iot-scf-2 opa-04 +SCF:MON-01.3 csa-iot-scf-2 opa-08 +SCF:MON-01.3 iec-62443-2-1-2024 org-2.2-b +SCF:MON-01.3 iso-27002-2022 _8.16 +SCF:MON-01.3 iso-27018-2025 _8.16 +SCF:MON-01.3 nist-800-53-r4 si-4-4 +SCF:MON-01.3 nist-800-53-r5 si-04-04 +SCF:MON-01.3 nist-800-53b-r5-moderate si-04-04 +SCF:MON-01.3 nist-800-82-r3 si-04-04 +SCF:MON-01.3 nist-800-82-r3-moderate-ot-overlay si-04-04 +SCF:MON-01.3 nist-800-82-r3-high-ot-overlay si-04-04 +SCF:MON-01.3 nist-800-160-vol2-r1 si-04-04 +SCF:MON-01.3 nist-800-171-r2 _3.14.6 +SCF:MON-01.3 nist-800-171-r3 _03.13.01.a +SCF:MON-01.3 nist-800-171-r3 _03.14.06.c +SCF:MON-01.3 nist-800-171a _3.14.6-a +SCF:MON-01.3 nist-800-171a _3.14.6-b +SCF:MON-01.3 nist-800-171a _3.14.6-c +SCF:MON-01.3 nist-800-171a-r3 a.03.13.01.a-01 +SCF:MON-01.3 nist-800-171a-r3 a.03.13.01.a-03 +SCF:MON-01.3 nist-800-171a-r3 a.03.14.06.c-01 +SCF:MON-01.3 nist-800-171a-r3 a.03.14.06.c-02 +SCF:MON-01.3 nist-csf-2.0 de.cm-01 +SCF:MON-01.3 owasp-top-10-2025 a01-2025 +SCF:MON-01.3 owasp-top-10-2025 a09-2025 +SCF:MON-01.4 nist-csf-function-grouping detect +SCF:MON-01.4 cis-csc-8.1 _8.2 +SCF:MON-01.4 cis-csc-8.1-ig1 _8.2 +SCF:MON-01.4 cis-csc-8.1-ig2 _8.2 +SCF:MON-01.4 cis-csc-8.1-ig3 _8.2 +SCF:MON-01.4 cobit-2019 dss06.05 +SCF:MON-01.4 csa-ccm-4.1.0 log-03 +SCF:MON-01.4 csa-iot-scf-2 cls-08 +SCF:MON-01.4 csa-iot-scf-2 mon-03 +SCF:MON-01.4 iec-62443-2-1-2024 event-1.4 +SCF:MON-01.4 iec-62443-3-3-2013 sr-2.8 +SCF:MON-01.4 iec-62443-4-2-2019 cr-2.8 +SCF:MON-01.4 iso-27002-2022 _8.15 +SCF:MON-01.4 iso-27017-2015 _12.4.1 +SCF:MON-01.4 iso-27018-2025 _8.15 +SCF:MON-01.4 nist-800-53-r4 si-4-5 +SCF:MON-01.4 nist-800-53-r5 si-04-05 +SCF:MON-01.4 nist-800-53b-r5-moderate si-04-05 +SCF:MON-01.4 nist-sp-800-66-r2 _164.312-b +SCF:MON-01.4 nist-800-82-r3 si-04-05 +SCF:MON-01.4 nist-800-82-r3-moderate-ot-overlay si-04-05 +SCF:MON-01.4 nist-800-82-r3-high-ot-overlay si-04-05 +SCF:MON-01.4 nist-800-171-r2 nfo-si-4-5 +SCF:MON-01.4 nist-800-171-r3 _03.03.01.a +SCF:MON-01.4 nist-800-171-r3 _03.03.03.a +SCF:MON-01.4 nist-800-171-r3 _03.14.06.a.01 +SCF:MON-01.4 nist-800-171-r3 _03.14.06.b +SCF:MON-01.4 nist-800-171-r3 _03.14.06.c +SCF:MON-01.4 nist-800-171a-r3 a.03.03.02.a.01 +SCF:MON-01.4 nist-800-171a-r3 a.03.03.03.a +SCF:MON-01.4 nist-800-207 nist-tenet-7 +SCF:MON-01.4 nist-csf-2.0 pr.ps-04 +SCF:MON-01.4 nist-csf-2.0 de.cm-01 +SCF:MON-01.4 owasp-top-10-2025 a01-2025 +SCF:MON-01.4 owasp-top-10-2025 a09-2025 +SCF:MON-01.4 pci-dss-4.0.1 _10.2 +SCF:MON-01.4 pci-dss-4.0.1 _10.4 +SCF:MON-01.4 pci-dss-4.0.1 _10.4.1 +SCF:MON-01.4 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-01.4 pci-dss-4.0.1 _10.4.3 +SCF:MON-01.4 pci-dss-4.0.1 _10.7 +SCF:MON-01.4 pci-dss-4.0.1 _10.7.1 +SCF:MON-01.4 pci-dss-4.0.1 _10.7.2 +SCF:MON-01.4 pci-dss-4.0.1 _10.7.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-a-ep _10.4.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-a-ep _10.4.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-c _10.4.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-c _10.4.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-merchant _10.4.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-merchant _10.4.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.4.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.4.3 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:MON-01.4 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:MON-01.5 nist-csf-function-grouping detect +SCF:MON-01.5 csa-iot-scf-2 mon-08 +SCF:MON-01.5 iec-62443-3-3-2013 sr-2.2-re-1 +SCF:MON-01.5 nist-800-53-r4 si-4-14 +SCF:MON-01.5 nist-800-53-r4 si-4-15 +SCF:MON-01.5 nist-800-53-r5 si-04-14 +SCF:MON-01.5 nist-800-53b-r5-high si-04-14 +SCF:MON-01.5 nist-800-82-r3 si-04-14 +SCF:MON-01.5 nist-800-82-r3-high-ot-overlay si-04-14 +SCF:MON-01.5 pci-dss-4.0.1 _11.2 +SCF:MON-01.6 nist-csf-function-grouping detect +SCF:MON-01.6 nist-800-53-r4 si-4-23 +SCF:MON-01.6 nist-800-53-r5 si-04-23 +SCF:MON-01.6 nist-800-82-r3 si-04-23 +SCF:MON-01.7 nist-csf-function-grouping detect +SCF:MON-01.7 csa-iot-scf-2 sap-06 +SCF:MON-01.7 iec-62443-2-1-2024 data-1.7 +SCF:MON-01.7 iec-62443-3-3-2013 sr-3.4 +SCF:MON-01.7 iec-62443-3-3-2013 sr-3.4-re-1 +SCF:MON-01.7 iec-62443-4-2-2019 cr-3.4-2 +SCF:MON-01.7 nist-privacy-framework-1.0 pr.ds-p6 +SCF:MON-01.7 nist-800-53-r5 si-04-24 +SCF:MON-01.7 nist-800-53b-r5-privacy si-04-24 +SCF:MON-01.7 nist-sp-800-66-r2 _164.312-c +SCF:MON-01.7 nist-800-82-r3 si-04-24 +SCF:MON-01.7 nist-800-160-vol2-r1 si-04-24 +SCF:MON-01.7 nist-csf-2.0 de.cm-09 +SCF:MON-01.7 owasp-top-10-2025 a01-2025 +SCF:MON-01.7 owasp-top-10-2025 a02-2025 +SCF:MON-01.7 owasp-top-10-2025 a05-2025 +SCF:MON-01.7 owasp-top-10-2025 a09-2025 +SCF:MON-01.7 pci-dss-4.0.1 _10.3.4 +SCF:MON-01.7 pci-dss-4.0.1 _10.4 +SCF:MON-01.7 pci-dss-4.0.1 _11.5 +SCF:MON-01.7 pci-dss-4.0.1 _11.5.2 +SCF:MON-01.7 pci-dss-4.0.1 _11.6.1 +SCF:MON-01.7 pci-dss-4.0.1-saq-a _11.6.1 +SCF:MON-01.7 pci-dss-4.0.1-saq-a-ep _10.3.4 +SCF:MON-01.7 pci-dss-4.0.1-saq-a-ep _11.5.2 +SCF:MON-01.7 pci-dss-4.0.1-saq-a-ep _11.6.1 +SCF:MON-01.7 pci-dss-4.0.1-saq-c _10.3.4 +SCF:MON-01.7 pci-dss-4.0.1-saq-c _11.5.2 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-merchant _10.3.4 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-merchant _11.5.2 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-merchant _11.6.1 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-service-provider _10.3.4 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-service-provider _11.5.2 +SCF:MON-01.7 pci-dss-4.0.1-saq-d-service-provider _11.6.1 +SCF:MON-01.8 nist-csf-function-grouping detect +SCF:MON-01.8 cis-csc-8.1 _8.1 +SCF:MON-01.8 cis-csc-8.1-ig1 _8.1 +SCF:MON-01.8 cis-csc-8.1-ig2 _8.1 +SCF:MON-01.8 cis-csc-8.1-ig3 _8.1 +SCF:MON-01.8 csa-ccm-4.1.0 log-03 +SCF:MON-01.8 csa-ccm-4.1.0 log-05 +SCF:MON-01.8 csa-iot-scf-2 cls-08 +SCF:MON-01.8 iec-62443-2-1-2024 event-1.2 +SCF:MON-01.8 iec-62443-2-1-2024 event-1.7 +SCF:MON-01.8 iso-sae-21434-2021 rq-08-01 +SCF:MON-01.8 iso-sae-21434-2021 rq-08-02 +SCF:MON-01.8 iso-sae-21434-2021 rq-08-03 +SCF:MON-01.8 iso-sae-21434-2021 rq-08-04 +SCF:MON-01.8 iso-27002-2022 _8.16 +SCF:MON-01.8 iso-27018-2025 _8.15-a +SCF:MON-01.8 iso-27018-2025 _8.16 +SCF:MON-01.8 nist-800-53-r4 au-2-3 +SCF:MON-01.8 nist-800-53-r5 au-02 +SCF:MON-01.8 nist-800-53b-r5-privacy au-02 +SCF:MON-01.8 nist-800-53b-r5-low au-02 +SCF:MON-01.8 nist-sp-800-66-r2 _164.308-a-1 +SCF:MON-01.8 nist-sp-800-66-r2 _164.312-b +SCF:MON-01.8 nist-800-82-r3 au-02 +SCF:MON-01.8 nist-800-82-r3-low-ot-overlay au-02 +SCF:MON-01.8 nist-800-82-r3-moderate-ot-overlay au-02 +SCF:MON-01.8 nist-800-82-r3-high-ot-overlay au-02 +SCF:MON-01.8 nist-800-161-r1 au-2 +SCF:MON-01.8 nist-800-161-r1-c-scrm-baseline au-2 +SCF:MON-01.8 nist-800-161-r1-flow-down au-2 +SCF:MON-01.8 nist-800-161-r1-level-1 au-2 +SCF:MON-01.8 nist-800-161-r1-level-2 au-2 +SCF:MON-01.8 nist-800-161-r1-level-3 au-2 +SCF:MON-01.8 nist-800-171-r2 _3.3.3 +SCF:MON-01.8 nist-800-171-r2 _3.14.3 +SCF:MON-01.8 nist-800-171-r3 _03.03.01.b +SCF:MON-01.8 nist-800-171-r3 _03.03.05.a +SCF:MON-01.8 nist-800-171a _3.3.3-a +SCF:MON-01.8 nist-800-171a _3.3.3-b +SCF:MON-01.8 nist-800-171a _3.3.3-c +SCF:MON-01.8 nist-800-171a _3.14.3-a +SCF:MON-01.8 nist-800-171a _3.14.3-b +SCF:MON-01.8 nist-800-171a _3.14.3-c +SCF:MON-01.8 nist-800-171a-r3 a.03.03.01.odp-02 +SCF:MON-01.8 nist-800-171a-r3 a.03.03.01.b-01 +SCF:MON-01.8 nist-800-171a-r3 a.03.03.05.odp-01 +SCF:MON-01.8 nist-800-171a-r3 a.03.03.05.a +SCF:MON-01.8 nist-csf-2.0 de.cm-01 +SCF:MON-01.8 nist-csf-2.0 de.ae +SCF:MON-01.8 nist-csf-2.0 de.ae-06 +SCF:MON-01.8 owasp-top-10-2025 a01-2025 +SCF:MON-01.8 owasp-top-10-2025 a09-2025 +SCF:MON-01.8 pci-dss-4.0.1 _10.4 +SCF:MON-01.8 pci-dss-4.0.1 _10.4.1 +SCF:MON-01.8 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-01.8 pci-dss-4.0.1 _10.4.2 +SCF:MON-01.8 pci-dss-4.0.1 _10.4.2.1 +SCF:MON-01.8 pci-dss-4.0.1 _10.4.3 +SCF:MON-01.8 pci-dss-4.0.1 _12.4.2 +SCF:MON-01.8 pci-dss-4.0.1-saq-a-ep _10.4.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-a-ep _10.4.2 +SCF:MON-01.8 pci-dss-4.0.1-saq-a-ep _10.4.2.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-a-ep _10.4.3 +SCF:MON-01.8 pci-dss-4.0.1-saq-c _10.4.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-c _10.4.2 +SCF:MON-01.8 pci-dss-4.0.1-saq-c _10.4.2.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-c _10.4.3 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-merchant _10.4.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-merchant _10.4.2 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-merchant _10.4.2.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-merchant _10.4.3 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _10.4.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _10.4.2 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _10.4.2.1 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _10.4.3 +SCF:MON-01.8 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:MON-01.9 nist-csf-function-grouping detect +SCF:MON-01.10 nist-csf-function-grouping detect +SCF:MON-01.10 owasp-top-10-2025 a09-2025 +SCF:MON-01.10 pci-dss-4.0.1 _3.1 +SCF:MON-01.11 nist-csf-function-grouping detect +SCF:MON-01.11 nist-800-53-r4 si-4-7 +SCF:MON-01.11 nist-800-53-r5 ir-04-05 +SCF:MON-01.11 nist-800-53-r5 si-04-07 +SCF:MON-01.11 nist-800-53b-r5-privacy ir-04-05 +SCF:MON-01.11 nist-800-53b-r5-privacy si-04-07 +SCF:MON-01.11 nist-800-82-r3 ir-04-05 +SCF:MON-01.11 nist-800-82-r3 si-04-07 +SCF:MON-01.11 nist-800-160-vol2-r1 si-04-07 +SCF:MON-01.11 pci-dss-4.0.1 a3.2.6.1 +SCF:MON-01.11 pci-dss-4.0.1 a3.5 +SCF:MON-01.12 nist-csf-function-grouping detect +SCF:MON-01.12 csa-iot-scf-2 mon-03 +SCF:MON-01.12 nist-800-53-r4 si-4-12 +SCF:MON-01.12 nist-800-53-r5 si-04-12 +SCF:MON-01.12 nist-800-53b-r5-privacy si-04-12 +SCF:MON-01.12 nist-800-53b-r5-high si-04-12 +SCF:MON-01.12 nist-800-82-r3 si-04-12 +SCF:MON-01.12 nist-800-82-r3-high-ot-overlay si-04-12 +SCF:MON-01.12 nist-800-171-r3 _03.03.04.a +SCF:MON-01.12 nist-800-171-r3 _03.03.05.b +SCF:MON-01.12 nist-800-171a-r3 a.03.03.05.b +SCF:MON-01.12 nist-csf-2.0 de.ae +SCF:MON-01.12 nist-csf-2.0 de.ae-06 +SCF:MON-01.12 pci-dss-4.0.1 a3.2.6.1 +SCF:MON-01.13 nist-csf-function-grouping detect +SCF:MON-01.13 cis-csc-8.1 _13.6 +SCF:MON-01.13 cis-csc-8.1 _13.11 +SCF:MON-01.13 cis-csc-8.1-ig2 _13.6 +SCF:MON-01.13 cis-csc-8.1-ig3 _13.6 +SCF:MON-01.13 cis-csc-8.1-ig3 _13.11 +SCF:MON-01.13 csa-iot-scf-2 opa-04 +SCF:MON-01.13 nist-800-53-r4 si-4-13 +SCF:MON-01.13 nist-800-53-r5 si-04-13 +SCF:MON-01.13 nist-800-82-r3 si-04-13 +SCF:MON-01.13 nist-800-160-vol2-r1 si-04-13 +SCF:MON-01.14 nist-csf-function-grouping detect +SCF:MON-01.14 nist-800-53-r4 si-4-19 +SCF:MON-01.14 nist-800-53-r5 si-04-19 +SCF:MON-01.14 nist-800-82-r3 si-04-19 +SCF:MON-01.14 nist-800-161-r1 si-4-19 +SCF:MON-01.14 nist-800-161-r1-level-2 si-4-19 +SCF:MON-01.14 nist-800-161-r1-level-3 si-4-19 +SCF:MON-01.15 nist-csf-function-grouping detect +SCF:MON-01.15 cis-csc-8.1 _3.14 +SCF:MON-01.15 cis-csc-8.1-ig3 _3.14 +SCF:MON-01.15 csa-ccm-4.1.0 iam-09 +SCF:MON-01.15 csa-ccm-4.1.0 iam-10 +SCF:MON-01.15 csa-ccm-4.1.0 iam-11 +SCF:MON-01.15 nist-800-53-r4 si-4-20 +SCF:MON-01.15 nist-800-53-r5 si-04-20 +SCF:MON-01.15 nist-800-53b-r5-high si-04-20 +SCF:MON-01.15 nist-sp-800-66-r2 _164.312-c +SCF:MON-01.15 nist-800-82-r3 si-04-20 +SCF:MON-01.15 nist-800-82-r3-high-ot-overlay si-04-20 +SCF:MON-01.15 nist-800-171-r3 _03.01.07.b +SCF:MON-01.16 nist-csf-function-grouping detect +SCF:MON-01.16 csa-iot-scf-2 cls-07 +SCF:MON-01.16 nist-sp-800-66-r2 _164.312-b +SCF:MON-01.16 nist-800-171-r2 _3.3.3 +SCF:MON-01.16 owasp-top-10-2025 a01-2025 +SCF:MON-01.16 owasp-top-10-2025 a09-2025 +SCF:MON-01.17 nist-csf-function-grouping detect +SCF:MON-01.17 nist-800-53-r5 au-14-03 +SCF:MON-01.17 nist-800-82-r3 au-14-03 +SCF:MON-02 nist-csf-function-grouping detect +SCF:MON-02 cis-csc-8.1 _3.14 +SCF:MON-02 cis-csc-8.1 _8.1 +SCF:MON-02 cis-csc-8.1 _8.2 +SCF:MON-02 cis-csc-8.1 _8.3 +SCF:MON-02 cis-csc-8.1 _8.4 +SCF:MON-02 cis-csc-8.1 _8.5 +SCF:MON-02 cis-csc-8.1 _8.6 +SCF:MON-02 cis-csc-8.1 _8.7 +SCF:MON-02 cis-csc-8.1 _8.8 +SCF:MON-02 cis-csc-8.1 _8.9 +SCF:MON-02 cis-csc-8.1 _8.12 +SCF:MON-02 cis-csc-8.1 _13.1 +SCF:MON-02 cis-csc-8.1-ig1 _8.1 +SCF:MON-02 cis-csc-8.1-ig1 _8.2 +SCF:MON-02 cis-csc-8.1-ig1 _8.3 +SCF:MON-02 cis-csc-8.1-ig2 _8.1 +SCF:MON-02 cis-csc-8.1-ig2 _8.2 +SCF:MON-02 cis-csc-8.1-ig2 _8.3 +SCF:MON-02 cis-csc-8.1-ig2 _8.4 +SCF:MON-02 cis-csc-8.1-ig2 _8.5 +SCF:MON-02 cis-csc-8.1-ig2 _8.6 +SCF:MON-02 cis-csc-8.1-ig2 _8.7 +SCF:MON-02 cis-csc-8.1-ig2 _8.8 +SCF:MON-02 cis-csc-8.1-ig2 _8.9 +SCF:MON-02 cis-csc-8.1-ig2 _13.1 +SCF:MON-02 cis-csc-8.1-ig3 _3.14 +SCF:MON-02 cis-csc-8.1-ig3 _8.1 +SCF:MON-02 cis-csc-8.1-ig3 _8.2 +SCF:MON-02 cis-csc-8.1-ig3 _8.3 +SCF:MON-02 cis-csc-8.1-ig3 _8.4 +SCF:MON-02 cis-csc-8.1-ig3 _8.5 +SCF:MON-02 cis-csc-8.1-ig3 _8.6 +SCF:MON-02 cis-csc-8.1-ig3 _8.7 +SCF:MON-02 cis-csc-8.1-ig3 _8.8 +SCF:MON-02 cis-csc-8.1-ig3 _8.9 +SCF:MON-02 cis-csc-8.1-ig3 _8.12 +SCF:MON-02 cis-csc-8.1-ig3 _13.1 +SCF:MON-02 csa-iot-scf-2 mon-07 +SCF:MON-02 iec-62443-3-3-2013 sr-2.8-re-1 +SCF:MON-02 iso-27002-2022 _8.15 +SCF:MON-02 iso-27017-2015 _12.4.1 +SCF:MON-02 iso-27018-2025 _8.15 +SCF:MON-02 nist-800-53-r4 au-2 +SCF:MON-02 nist-800-53-r4 au-2-3 +SCF:MON-02 nist-800-53-r4 au-6 +SCF:MON-02 nist-800-53-r4 ir-4-4 +SCF:MON-02 nist-800-53-r4 si-4 +SCF:MON-02 nist-800-53-r5 au-02 +SCF:MON-02 nist-800-53-r5 au-06 +SCF:MON-02 nist-800-53-r5 ir-04-04 +SCF:MON-02 nist-800-53-r5 si-04 +SCF:MON-02 nist-800-53b-r5-privacy au-02 +SCF:MON-02 nist-800-53b-r5-privacy au-06 +SCF:MON-02 nist-800-53b-r5-privacy ir-04-04 +SCF:MON-02 nist-800-53b-r5-privacy si-04 +SCF:MON-02 nist-800-53b-r5-low au-06 +SCF:MON-02 nist-800-53b-r5-low si-04 +SCF:MON-02 nist-800-53b-r5-high ir-04-04 +SCF:MON-02 nist-800-82-r3 au-02 +SCF:MON-02 nist-800-82-r3 au-06 +SCF:MON-02 nist-800-82-r3 ir-04-04 +SCF:MON-02 nist-800-82-r3 si-04 +SCF:MON-02 nist-800-82-r3-low-ot-overlay au-02 +SCF:MON-02 nist-800-82-r3-low-ot-overlay au-06 +SCF:MON-02 nist-800-82-r3-low-ot-overlay si-04 +SCF:MON-02 nist-800-82-r3-moderate-ot-overlay au-02 +SCF:MON-02 nist-800-82-r3-moderate-ot-overlay au-06 +SCF:MON-02 nist-800-82-r3-moderate-ot-overlay si-04 +SCF:MON-02 nist-800-82-r3-high-ot-overlay au-02 +SCF:MON-02 nist-800-82-r3-high-ot-overlay au-06 +SCF:MON-02 nist-800-82-r3-high-ot-overlay ir-04-04 +SCF:MON-02 nist-800-82-r3-high-ot-overlay si-04 +SCF:MON-02 nist-800-160-vol2-r1 au-06 +SCF:MON-02 nist-800-160-vol2-r1 ir-04-04 +SCF:MON-02 nist-800-161-r1 au-2 +SCF:MON-02 nist-800-161-r1 au-6 +SCF:MON-02 nist-800-161-r1 si-4 +SCF:MON-02 nist-800-161-r1-c-scrm-baseline au-2 +SCF:MON-02 nist-800-161-r1-c-scrm-baseline au-6 +SCF:MON-02 nist-800-161-r1-c-scrm-baseline si-4 +SCF:MON-02 nist-800-161-r1-flow-down au-2 +SCF:MON-02 nist-800-161-r1-flow-down si-4 +SCF:MON-02 nist-800-161-r1-level-1 au-2 +SCF:MON-02 nist-800-161-r1-level-1 si-4 +SCF:MON-02 nist-800-161-r1-level-2 au-2 +SCF:MON-02 nist-800-161-r1-level-2 au-6 +SCF:MON-02 nist-800-161-r1-level-2 si-4 +SCF:MON-02 nist-800-161-r1-level-3 au-2 +SCF:MON-02 nist-800-161-r1-level-3 au-6 +SCF:MON-02 nist-800-161-r1-level-3 si-4 +SCF:MON-02 nist-800-171-r2 _3.3.1 +SCF:MON-02 nist-800-171-r2 _3.3.3 +SCF:MON-02 nist-800-171-r2 _3.3.5 +SCF:MON-02 nist-800-171-r2 _3.3.6 +SCF:MON-02 nist-800-171-r2 _3.3.8 +SCF:MON-02 nist-800-171-r2 _3.3.9 +SCF:MON-02 nist-800-171-r3 _03.03.05.a +SCF:MON-02 nist-800-171-r3 _03.03.05.c +SCF:MON-02 nist-800-171a-r3 a.03.03.05.odp-01 +SCF:MON-02 nist-800-171a-r3 a.03.03.05.a +SCF:MON-02 nist-800-171a-r3 a.03.03.05.c-01 +SCF:MON-02 nist-800-207 nist-tenet-5 +SCF:MON-02 nist-800-207 nist-tenet-7 +SCF:MON-02 nist-csf-2.0 de.ae-03 +SCF:MON-02 nist-csf-2.0 de.ae-06 +SCF:MON-02 owasp-top-10-2025 a09-2025 +SCF:MON-02 pci-dss-4.0.1 _10.3.3 +SCF:MON-02 pci-dss-4.0.1 _10.4 +SCF:MON-02 pci-dss-4.0.1 _10.4.1 +SCF:MON-02 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-02 pci-dss-4.0.1-saq-a-ep _10.3.3 +SCF:MON-02 pci-dss-4.0.1-saq-a-ep _10.4.1 +SCF:MON-02 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-02 pci-dss-4.0.1-saq-c _10.3.3 +SCF:MON-02 pci-dss-4.0.1-saq-c _10.4.1 +SCF:MON-02 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-02 pci-dss-4.0.1-saq-d-merchant _10.3.3 +SCF:MON-02 pci-dss-4.0.1-saq-d-merchant _10.4.1 +SCF:MON-02 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-02 pci-dss-4.0.1-saq-d-service-provider _10.3.3 +SCF:MON-02 pci-dss-4.0.1-saq-d-service-provider _10.4.1 +SCF:MON-02 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-02.1 nist-csf-function-grouping detect +SCF:MON-02.1 cis-csc-8.1 _3.14 +SCF:MON-02.1 cis-csc-8.1 _8.12 +SCF:MON-02.1 cis-csc-8.1 _13.6 +SCF:MON-02.1 cis-csc-8.1-ig2 _13.6 +SCF:MON-02.1 cis-csc-8.1-ig3 _3.14 +SCF:MON-02.1 cis-csc-8.1-ig3 _8.12 +SCF:MON-02.1 cis-csc-8.1-ig3 _13.6 +SCF:MON-02.1 iso-27002-2022 _8.15 +SCF:MON-02.1 iso-27017-2015 _12.4.1 +SCF:MON-02.1 iso-27018-2025 _8.15 +SCF:MON-02.1 nist-800-53-r4 au-6-3 +SCF:MON-02.1 nist-800-53-r4 ir-4-4 +SCF:MON-02.1 nist-800-53-r4 si-4-16 +SCF:MON-02.1 nist-800-53-r5 au-06-03 +SCF:MON-02.1 nist-800-53-r5 au-06-09 +SCF:MON-02.1 nist-800-53-r5 ir-04-04 +SCF:MON-02.1 nist-800-53-r5 si-04-16 +SCF:MON-02.1 nist-800-53b-r5-privacy ir-04-04 +SCF:MON-02.1 nist-800-53b-r5-moderate au-06-03 +SCF:MON-02.1 nist-800-53b-r5-high ir-04-04 +SCF:MON-02.1 nist-800-82-r3 au-06-03 +SCF:MON-02.1 nist-800-82-r3 au-06-09 +SCF:MON-02.1 nist-800-82-r3 ir-04-04 +SCF:MON-02.1 nist-800-82-r3 si-04-16 +SCF:MON-02.1 nist-800-82-r3-moderate-ot-overlay au-06-03 +SCF:MON-02.1 nist-800-82-r3-high-ot-overlay au-06-03 +SCF:MON-02.1 nist-800-82-r3-high-ot-overlay ir-04-04 +SCF:MON-02.1 nist-800-160-vol2-r1 au-06-03 +SCF:MON-02.1 nist-800-160-vol2-r1 au-06-09 +SCF:MON-02.1 nist-800-160-vol2-r1 ir-04-04 +SCF:MON-02.1 nist-800-160-vol2-r1 si-04-16 +SCF:MON-02.1 nist-800-161-r1 au-6-9 +SCF:MON-02.1 nist-800-161-r1-level-3 au-6-9 +SCF:MON-02.1 nist-800-171-r2 _3.3.5 +SCF:MON-02.1 nist-800-171-r2 _3.14.7 +SCF:MON-02.1 nist-800-171-r3 _03.03.05.a +SCF:MON-02.1 nist-800-171-r3 _03.03.05.c +SCF:MON-02.1 nist-800-171a _3.3.5-a +SCF:MON-02.1 nist-800-171a _3.3.5-b +SCF:MON-02.1 nist-800-171a _3.14.7-a +SCF:MON-02.1 nist-800-171a _3.14.7-b +SCF:MON-02.1 nist-800-171a-r3 a.03.03.05.c-02 +SCF:MON-02.1 nist-800-207 nist-tenet-5 +SCF:MON-02.1 nist-800-207 nist-tenet-7 +SCF:MON-02.1 nist-csf-2.0 de.ae-03 +SCF:MON-02.1 nist-csf-2.0 de.ae-06 +SCF:MON-02.1 owasp-top-10-2025 a09-2025 +SCF:MON-02.1 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-02.1 pci-dss-4.0.1 _12.10.5 +SCF:MON-02.1 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-02.1 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-02.1 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-02.1 pci-dss-4.0.1-saq-d-merchant _12.10.5 +SCF:MON-02.1 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-02.1 pci-dss-4.0.1-saq-d-service-provider _12.10.5 +SCF:MON-02.2 nist-csf-function-grouping detect +SCF:MON-02.2 cis-csc-8.1 _8.11 +SCF:MON-02.2 cis-csc-8.1-ig2 _8.11 +SCF:MON-02.2 cis-csc-8.1-ig3 _8.11 +SCF:MON-02.2 csa-iot-scf-2 mon-07 +SCF:MON-02.2 iec-62443-3-3-2013 sr-2.8-re-1 +SCF:MON-02.2 iso-27002-2022 _6.8 +SCF:MON-02.2 iso-27002-2022 _8.15 +SCF:MON-02.2 iso-27002-2022 _8.16 +SCF:MON-02.2 iso-27017-2015 _12.4.1 +SCF:MON-02.2 iso-27018-2025 _6.8 +SCF:MON-02.2 iso-27018-2025 _8.15 +SCF:MON-02.2 iso-27018-2025 _8.16 +SCF:MON-02.2 nist-privacy-framework-1.0 ct.dm-p8 +SCF:MON-02.2 nist-800-53-r4 au-6-4 +SCF:MON-02.2 nist-800-53-r5 au-06-04 +SCF:MON-02.2 nist-800-82-r3 au-06-04 +SCF:MON-02.2 nist-800-171-r3 _03.03.01.b +SCF:MON-02.2 nist-800-171-r3 _03.03.05.a +SCF:MON-02.2 nist-800-171-r3 _03.03.05.c +SCF:MON-02.2 nist-800-207 nist-tenet-5 +SCF:MON-02.2 nist-800-207 nist-tenet-7 +SCF:MON-02.2 pci-dss-4.0.1 _10.3.3 +SCF:MON-02.2 pci-dss-4.0.1 _10.4 +SCF:MON-02.2 pci-dss-4.0.1 _10.4.1 +SCF:MON-02.2 pci-dss-4.0.1 _10.4.1.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-a-ep _10.3.3 +SCF:MON-02.2 pci-dss-4.0.1-saq-a-ep _10.4.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-a-ep _10.4.1.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-c _10.3.3 +SCF:MON-02.2 pci-dss-4.0.1-saq-c _10.4.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-c _10.4.1.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-merchant _10.3.3 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-merchant _10.4.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-merchant _10.4.1.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-service-provider _10.3.3 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-service-provider _10.4.1 +SCF:MON-02.2 pci-dss-4.0.1-saq-d-service-provider _10.4.1.1 +SCF:MON-02.3 nist-csf-function-grouping detect +SCF:MON-02.3 cis-csc-8.1 _3.14 +SCF:MON-02.3 cis-csc-8.1 _8.6 +SCF:MON-02.3 cis-csc-8.1 _8.7 +SCF:MON-02.3 cis-csc-8.1 _8.12 +SCF:MON-02.3 cis-csc-8.1 _13.6 +SCF:MON-02.3 cis-csc-8.1-ig2 _8.6 +SCF:MON-02.3 cis-csc-8.1-ig2 _8.7 +SCF:MON-02.3 cis-csc-8.1-ig2 _13.6 +SCF:MON-02.3 cis-csc-8.1-ig3 _3.14 +SCF:MON-02.3 cis-csc-8.1-ig3 _8.6 +SCF:MON-02.3 cis-csc-8.1-ig3 _8.7 +SCF:MON-02.3 cis-csc-8.1-ig3 _8.12 +SCF:MON-02.3 cis-csc-8.1-ig3 _13.6 +SCF:MON-02.3 nist-800-53-r4 au-6-5 +SCF:MON-02.3 nist-800-53-r5 au-06-05 +SCF:MON-02.3 nist-800-53-r5 si-04-17 +SCF:MON-02.3 nist-800-53b-r5-high au-06-05 +SCF:MON-02.3 nist-800-82-r3 au-06-05 +SCF:MON-02.3 nist-800-82-r3 si-04-17 +SCF:MON-02.3 nist-800-82-r3-high-ot-overlay au-06-05 +SCF:MON-02.3 nist-800-160-vol2-r1 au-06-05 +SCF:MON-02.3 nist-800-160-vol2-r1 si-04-17 +SCF:MON-02.3 nist-800-161-r1 si-4-17 +SCF:MON-02.3 nist-800-161-r1-level-2 si-4-17 +SCF:MON-02.3 nist-800-161-r1-level-3 si-4-17 +SCF:MON-02.3 nist-800-171-r3 _03.03.05.c +SCF:MON-02.3 nist-800-207 nist-tenet-4 +SCF:MON-02.3 nist-800-207 nist-tenet-5 +SCF:MON-02.3 nist-800-207 nist-tenet-7 +SCF:MON-02.4 nist-csf-function-grouping detect +SCF:MON-02.4 nist-800-53-r4 au-6-6 +SCF:MON-02.4 nist-800-53-r5 au-06-06 +SCF:MON-02.4 nist-800-53b-r5-high au-06-06 +SCF:MON-02.4 nist-800-82-r3 au-06-06 +SCF:MON-02.4 nist-800-82-r3-high-ot-overlay au-06-06 +SCF:MON-02.4 nist-800-160-vol2-r1 au-06-06 +SCF:MON-02.4 nist-800-207 nist-tenet-4 +SCF:MON-02.5 nist-csf-function-grouping protect +SCF:MON-02.5 nist-800-53-r4 au-6-7 +SCF:MON-02.5 nist-800-53-r5 au-06-07 +SCF:MON-02.5 nist-800-82-r3 au-06-07 +SCF:MON-02.6 nist-csf-function-grouping detect +SCF:MON-02.6 nist-800-53-r4 au-6-10 +SCF:MON-02.6 nist-800-53-r5 au-06 +SCF:MON-02.6 nist-800-53b-r5-privacy au-06 +SCF:MON-02.6 nist-800-53b-r5-low au-06 +SCF:MON-02.6 nist-800-82-r3 au-06 +SCF:MON-02.6 nist-800-82-r3-low-ot-overlay au-06 +SCF:MON-02.6 nist-800-82-r3-moderate-ot-overlay au-06 +SCF:MON-02.6 nist-800-82-r3-high-ot-overlay au-06 +SCF:MON-02.6 nist-800-160-vol2-r1 au-06 +SCF:MON-02.6 nist-800-161-r1 au-6 +SCF:MON-02.6 nist-800-161-r1-c-scrm-baseline au-6 +SCF:MON-02.6 nist-800-161-r1-level-2 au-6 +SCF:MON-02.6 nist-800-161-r1-level-3 au-6 +SCF:MON-02.7 nist-csf-function-grouping detect +SCF:MON-02.7 cis-csc-8.1 _8.2 +SCF:MON-02.7 cis-csc-8.1-ig1 _8.2 +SCF:MON-02.7 cis-csc-8.1-ig2 _8.2 +SCF:MON-02.7 cis-csc-8.1-ig3 _8.2 +SCF:MON-02.7 csa-iot-scf-2 mon-07 +SCF:MON-02.7 nist-800-53-r4 au-12-1 +SCF:MON-02.7 nist-800-53-r5 au-12-01 +SCF:MON-02.7 nist-800-53b-r5-high au-12-01 +SCF:MON-02.7 nist-800-82-r3 au-12-01 +SCF:MON-02.7 nist-800-82-r3-high-ot-overlay au-12-01 +SCF:MON-02.7 nist-800-171-r3 _03.03.01.a +SCF:MON-02.7 pci-dss-4.0.1 _10.6 +SCF:MON-02.7 pci-dss-4.0.1 _10.6.1 +SCF:MON-02.7 pci-dss-4.0.1 _10.6.2 +SCF:MON-02.7 pci-dss-4.0.1 _10.6.3 +SCF:MON-02.7 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:MON-02.7 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:MON-02.7 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:MON-02.7 pci-dss-4.0.1-saq-c _10.6.1 +SCF:MON-02.7 pci-dss-4.0.1-saq-c _10.6.2 +SCF:MON-02.7 pci-dss-4.0.1-saq-c _10.6.3 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:MON-02.7 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:MON-02.8 nist-csf-function-grouping detect +SCF:MON-02.8 nist-800-53-r4 au-12-3 +SCF:MON-02.8 nist-800-53-r5 au-12-03 +SCF:MON-02.8 nist-800-53b-r5-high au-12-03 +SCF:MON-02.8 nist-800-82-r3 au-12-03 +SCF:MON-02.8 nist-800-82-r3-high-ot-overlay au-12-03 +SCF:MON-02.9 nist-csf-function-grouping identify +SCF:MON-03 nist-csf-function-grouping detect +SCF:MON-03 cis-csc-8.1 _3.14 +SCF:MON-03 cis-csc-8.1 _8.2 +SCF:MON-03 cis-csc-8.1 _8.5 +SCF:MON-03 cis-csc-8.1-ig1 _8.2 +SCF:MON-03 cis-csc-8.1-ig2 _8.2 +SCF:MON-03 cis-csc-8.1-ig2 _8.5 +SCF:MON-03 cis-csc-8.1-ig3 _3.14 +SCF:MON-03 cis-csc-8.1-ig3 _8.2 +SCF:MON-03 cis-csc-8.1-ig3 _8.5 +SCF:MON-03 cobit-2019 dss06.05 +SCF:MON-03 csa-ccm-4.1.0 log-09 +SCF:MON-03 csa-ccm-4.1.0 log-12 +SCF:MON-03 csa-iot-scf-2 mon-03 +SCF:MON-03 csa-iot-scf-2 mon-06 +SCF:MON-03 iec-62443-2-1-2024 event-1.5 +SCF:MON-03 iec-62443-4-2-2019 cr-2.8 +SCF:MON-03 iso-27002-2022 _8.15 +SCF:MON-03 iso-27017-2015 _12.4.1 +SCF:MON-03 iso-27018-2025 _8.15 +SCF:MON-03 nist-800-53-r4 au-3 +SCF:MON-03 nist-800-53-r4 dm-2-1 +SCF:MON-03 nist-800-53-r5 au-03 +SCF:MON-03 nist-800-53b-r5-low au-03 +SCF:MON-03 nist-sp-800-66-r2 _164.312-b +SCF:MON-03 nist-800-82-r3 au-03 +SCF:MON-03 nist-800-82-r3-low-ot-overlay au-03 +SCF:MON-03 nist-800-82-r3-moderate-ot-overlay au-03 +SCF:MON-03 nist-800-82-r3-high-ot-overlay au-03 +SCF:MON-03 nist-800-161-r1 au-3 +SCF:MON-03 nist-800-161-r1-c-scrm-baseline au-3 +SCF:MON-03 nist-800-161-r1-flow-down au-3 +SCF:MON-03 nist-800-161-r1-level-1 au-3 +SCF:MON-03 nist-800-161-r1-level-2 au-3 +SCF:MON-03 nist-800-161-r1-level-3 au-3 +SCF:MON-03 nist-800-171-r2 _3.3.2 +SCF:MON-03 nist-800-171-r3 _03.03.01.a +SCF:MON-03 nist-800-171-r3 _03.03.02.a +SCF:MON-03 nist-800-171-r3 _03.03.02.a.01 +SCF:MON-03 nist-800-171-r3 _03.03.02.a.02 +SCF:MON-03 nist-800-171-r3 _03.03.02.a.03 +SCF:MON-03 nist-800-171-r3 _03.03.02.a.04 +SCF:MON-03 nist-800-171-r3 _03.03.02.a.05 +SCF:MON-03 nist-800-171-r3 _03.03.02.a.06 +SCF:MON-03 nist-800-171-r3 _03.03.02.b +SCF:MON-03 nist-800-171a _3.3.1-a +SCF:MON-03 nist-800-171a _3.3.1-b +SCF:MON-03 nist-800-171a _3.3.1-d +SCF:MON-03 nist-800-171a _3.3.2-a +SCF:MON-03 nist-800-171a _3.3.2-b +SCF:MON-03 nist-800-171a-r3 a.03.03.01.odp-01 +SCF:MON-03 nist-800-171a-r3 a.03.03.01.a +SCF:MON-03 nist-800-171a-r3 a.03.03.01.b-02 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.a.02 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.a.03 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.a.04 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.a.05 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.a.06 +SCF:MON-03 nist-800-171a-r3 a.03.03.02.b +SCF:MON-03 nist-csf-2.0 pr.ps-04 +SCF:MON-03 owasp-top-10-2025 a09-2025 +SCF:MON-03 pci-dss-4.0.1 _6.4.2 +SCF:MON-03 pci-dss-4.0.1 _10.2 +SCF:MON-03 pci-dss-4.0.1 _10.2.1 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.1 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.2 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.3 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.4 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.5 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.6 +SCF:MON-03 pci-dss-4.0.1 _10.2.1.7 +SCF:MON-03 pci-dss-4.0.1 _10.2.2 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.1 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.3 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.4 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.5 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.6 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.1.7 +SCF:MON-03 pci-dss-4.0.1-saq-a-ep _10.2.2 +SCF:MON-03 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:MON-03 pci-dss-4.0.1-saq-c _10.2.1.4 +SCF:MON-03 pci-dss-4.0.1-saq-c _10.2.1.5 +SCF:MON-03 pci-dss-4.0.1-saq-c _10.2.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.1 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.3 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.4 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.5 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.6 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.1.7 +SCF:MON-03 pci-dss-4.0.1-saq-d-merchant _10.2.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.1 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.3 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.4 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.5 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.6 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.1.7 +SCF:MON-03 pci-dss-4.0.1-saq-d-service-provider _10.2.2 +SCF:MON-03.1 nist-csf-function-grouping detect +SCF:MON-03.1 cis-csc-8.1 _3.14 +SCF:MON-03.1 cis-csc-8.1-ig3 _3.14 +SCF:MON-03.1 nist-800-53-r4 au-3-1 +SCF:MON-03.1 nist-800-53-r4 au-6-1 +SCF:MON-03.1 nist-800-53-r5 au-03-01 +SCF:MON-03.1 nist-800-53-r5 au-06-01 +SCF:MON-03.1 nist-800-53b-r5-moderate au-03-01 +SCF:MON-03.1 nist-800-53b-r5-moderate au-06-01 +SCF:MON-03.1 nist-800-82-r3 au-03-01 +SCF:MON-03.1 nist-800-82-r3 au-06-01 +SCF:MON-03.1 nist-800-82-r3-moderate-ot-overlay au-03-01 +SCF:MON-03.1 nist-800-82-r3-moderate-ot-overlay au-06-01 +SCF:MON-03.1 nist-800-82-r3-high-ot-overlay au-03-01 +SCF:MON-03.1 nist-800-82-r3-high-ot-overlay au-06-01 +SCF:MON-03.1 nist-800-171-r2 _3.3.8 +SCF:MON-03.2 nist-csf-function-grouping detect +SCF:MON-03.2 nist-sp-800-66-r2 _164.312-b +SCF:MON-03.2 nist-800-171-r3 _03.03.01.a +SCF:MON-03.2 nist-800-171a _3.3.1-c +SCF:MON-03.2 nist-800-171a _3.3.2-a +SCF:MON-03.2 owasp-top-10-2025 a09-2025 +SCF:MON-03.2 pci-dss-4.0.1 _10.2 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.1 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.2 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.3 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.4 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.5 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.6 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.1.7 +SCF:MON-03.2 pci-dss-4.0.1 _10.2.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.3 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.4 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.5 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.6 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.1.7 +SCF:MON-03.2 pci-dss-4.0.1-saq-a-ep _10.2.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-c _10.2.1.4 +SCF:MON-03.2 pci-dss-4.0.1-saq-c _10.2.1.5 +SCF:MON-03.2 pci-dss-4.0.1-saq-c _10.2.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.3 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.4 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.5 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.6 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.1.7 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-merchant _10.2.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.1 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.3 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.4 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.5 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.6 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.1.7 +SCF:MON-03.2 pci-dss-4.0.1-saq-d-service-provider _10.2.2 +SCF:MON-03.3 nist-csf-function-grouping detect +SCF:MON-03.3 cis-csc-8.1 _8.8 +SCF:MON-03.3 cis-csc-8.1-ig2 _8.8 +SCF:MON-03.3 cis-csc-8.1-ig3 _8.8 +SCF:MON-03.3 csa-ccm-4.1.0 iam-09 +SCF:MON-03.3 csa-ccm-4.1.0 iam-10 +SCF:MON-03.3 csa-ccm-4.1.0 iam-11 +SCF:MON-03.3 iso-27002-2022 _8.15 +SCF:MON-03.3 iso-27017-2015 _12.4.1 +SCF:MON-03.3 iso-27017-2015 _12.4.3 +SCF:MON-03.3 iso-27018-2025 _8.15 +SCF:MON-03.3 nist-800-53-r4 au-6-8 +SCF:MON-03.3 nist-800-53-r5 au-06-08 +SCF:MON-03.3 nist-800-82-r3 au-06-08 +SCF:MON-03.3 nist-800-160-vol2-r1 au-06-08 +SCF:MON-03.3 nist-800-171-r3 _03.01.07.b +SCF:MON-03.3 nist-800-171a-r3 a.03.01.07.b +SCF:MON-03.3 owasp-top-10-2025 a09-2025 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.1 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.2 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.3 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.4 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.5 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.6 +SCF:MON-03.3 pci-dss-4.0.1 _10.2.1.7 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.1 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.3 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.4 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.5 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.6 +SCF:MON-03.3 pci-dss-4.0.1-saq-a-ep _10.2.1.7 +SCF:MON-03.3 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:MON-03.3 pci-dss-4.0.1-saq-c _10.2.1.4 +SCF:MON-03.3 pci-dss-4.0.1-saq-c _10.2.1.5 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.1 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.3 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.4 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.5 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.6 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-merchant _10.2.1.7 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.1 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.3 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.4 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.5 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.6 +SCF:MON-03.3 pci-dss-4.0.1-saq-d-service-provider _10.2.1.7 +SCF:MON-03.4 nist-csf-function-grouping detect +SCF:MON-03.4 owasp-top-10-2025 a09-2025 +SCF:MON-03.5 nist-csf-function-grouping detect +SCF:MON-03.5 nist-800-53-r5 au-03-03 +SCF:MON-03.5 nist-800-53b-r5-privacy au-03-03 +SCF:MON-03.5 nist-800-82-r3 au-03-03 +SCF:MON-03.6 nist-csf-function-grouping detect +SCF:MON-03.6 nist-800-53-r4 au-3-2 +SCF:MON-03.6 nist-800-53-r5 pl-09 +SCF:MON-03.6 nist-800-53b-r5-privacy pl-09 +SCF:MON-03.6 nist-800-82-r3 pl-09 +SCF:MON-03.6 nist-800-161-r1 pl-9 +SCF:MON-03.6 nist-800-161-r1-level-1 pl-9 +SCF:MON-03.6 nist-800-161-r1-level-2 pl-9 +SCF:MON-03.7 nist-csf-function-grouping detect +SCF:MON-03.7 nist-800-171a _3.3.2-a +SCF:MON-03.7 pci-dss-4.0.1 _7.2.6 +SCF:MON-03.7 pci-dss-4.0.1-saq-d-merchant _7.2.6 +SCF:MON-03.7 pci-dss-4.0.1-saq-d-service-provider _7.2.6 +SCF:MON-04 nist-csf-function-grouping detect +SCF:MON-04 cis-csc-8.1 _8.3 +SCF:MON-04 cis-csc-8.1 _8.1 +SCF:MON-04 cis-csc-8.1-ig1 _8.3 +SCF:MON-04 cis-csc-8.1-ig2 _8.3 +SCF:MON-04 cis-csc-8.1-ig2 _8.1 +SCF:MON-04 cis-csc-8.1-ig3 _8.3 +SCF:MON-04 cis-csc-8.1-ig3 _8.1 +SCF:MON-04 iec-62443-3-3-2013 sr-2.9 +SCF:MON-04 iec-62443-4-2-2019 cr-2.9-a +SCF:MON-04 iec-62443-4-2-2019 cr-2.9-b +SCF:MON-04 nist-800-53-r4 au-4 +SCF:MON-04 nist-800-53-r5 au-04 +SCF:MON-04 nist-800-53b-r5-low au-04 +SCF:MON-04 nist-800-82-r3 au-04 +SCF:MON-04 nist-800-82-r3-low-ot-overlay au-04 +SCF:MON-04 nist-800-82-r3-moderate-ot-overlay au-04 +SCF:MON-04 nist-800-82-r3-high-ot-overlay au-04 +SCF:MON-05 nist-csf-function-grouping detect +SCF:MON-05 iec-62443-3-3-2013 sr-2.10 +SCF:MON-05 nist-800-53-r4 au-5 +SCF:MON-05 nist-800-53-r5 au-05 +SCF:MON-05 nist-800-53b-r5-low au-05 +SCF:MON-05 nist-800-82-r3 au-05 +SCF:MON-05 nist-800-82-r3-low-ot-overlay au-05 +SCF:MON-05 nist-800-82-r3-moderate-ot-overlay au-05 +SCF:MON-05 nist-800-82-r3-high-ot-overlay au-05 +SCF:MON-05 nist-800-171-r2 _3.3.4 +SCF:MON-05 nist-800-171-r3 _03.03.04.b +SCF:MON-05 nist-800-171a _3.3.4-a +SCF:MON-05 nist-800-171a _3.3.4-b +SCF:MON-05 nist-800-171a _3.3.4-c +SCF:MON-05 nist-800-171a-r3 a.03.03.04.odp-01 +SCF:MON-05 nist-800-171a-r3 a.03.03.04.odp-02 +SCF:MON-05 nist-800-171a-r3 a.03.03.04.a +SCF:MON-05 nist-800-171a-r3 a.03.03.04.b +SCF:MON-05 owasp-top-10-2025 a09-2025 +SCF:MON-05 pci-dss-4.0.1 a3.3.1 +SCF:MON-05.1 nist-csf-function-grouping detect +SCF:MON-05.1 nist-ai-600-1 mg-3.2-006 +SCF:MON-05.1 nist-800-53-r4 au-5-2 +SCF:MON-05.1 nist-800-53-r4 si-4-12 +SCF:MON-05.1 nist-800-53-r5 au-05-02 +SCF:MON-05.1 nist-800-53-r5 si-04-12 +SCF:MON-05.1 nist-800-53b-r5-privacy si-04-12 +SCF:MON-05.1 nist-800-53b-r5-high au-05-02 +SCF:MON-05.1 nist-800-53b-r5-high si-04-12 +SCF:MON-05.1 nist-800-82-r3 au-05-02 +SCF:MON-05.1 nist-800-82-r3 si-04-12 +SCF:MON-05.1 nist-800-82-r3-high-ot-overlay au-05-02 +SCF:MON-05.2 nist-csf-function-grouping detect +SCF:MON-05.2 iec-62443-3-3-2013 sr-2.9-re-1 +SCF:MON-05.2 iec-62443-4-2-2019 cr-2.9-1 +SCF:MON-05.2 nist-800-53-r4 au-5-1 +SCF:MON-05.2 nist-800-53-r5 au-05-01 +SCF:MON-05.2 nist-800-53b-r5-high au-05-01 +SCF:MON-05.2 nist-800-82-r3 au-05-01 +SCF:MON-05.2 nist-800-82-r3-high-ot-overlay au-05-01 +SCF:MON-06 nist-csf-function-grouping detect +SCF:MON-06 iso-27002-2022 _6.8 +SCF:MON-06 iso-27002-2022 _8.15 +SCF:MON-06 iso-27017-2015 _12.4.1 +SCF:MON-06 iso-27018-2025 _6.8 +SCF:MON-06 iso-27018-2025 _8.15 +SCF:MON-06 nist-800-53-r4 au-7 +SCF:MON-06 nist-800-53-r4 au-7-1 +SCF:MON-06 nist-800-53-r4 au-12 +SCF:MON-06 nist-800-53-r5 au-07 +SCF:MON-06 nist-800-53-r5 au-07-01 +SCF:MON-06 nist-800-53-r5 au-12 +SCF:MON-06 nist-800-53b-r5-low au-12 +SCF:MON-06 nist-800-53b-r5-moderate au-07 +SCF:MON-06 nist-800-53b-r5-moderate au-07-01 +SCF:MON-06 nist-800-82-r3 au-07 +SCF:MON-06 nist-800-82-r3 au-07-01 +SCF:MON-06 nist-800-82-r3 au-12 +SCF:MON-06 nist-800-82-r3-low-ot-overlay au-12 +SCF:MON-06 nist-800-82-r3-moderate-ot-overlay au-07 +SCF:MON-06 nist-800-82-r3-moderate-ot-overlay au-07-01 +SCF:MON-06 nist-800-82-r3-moderate-ot-overlay au-12 +SCF:MON-06 nist-800-82-r3-high-ot-overlay au-07 +SCF:MON-06 nist-800-82-r3-high-ot-overlay au-07-01 +SCF:MON-06 nist-800-82-r3-high-ot-overlay au-12 +SCF:MON-06 nist-800-161-r1 au-12 +SCF:MON-06 nist-800-161-r1-c-scrm-baseline au-12 +SCF:MON-06 nist-800-161-r1-flow-down au-12 +SCF:MON-06 nist-800-161-r1-level-2 au-12 +SCF:MON-06 nist-800-161-r1-level-3 au-12 +SCF:MON-06 nist-800-171-r2 _3.3.6 +SCF:MON-06 nist-800-171-r3 _03.03.05.b +SCF:MON-06 nist-800-171-r3 _03.03.06.a +SCF:MON-06 nist-800-171a _3.3.6-a +SCF:MON-06 nist-800-171a _3.3.6-b +SCF:MON-06 nist-800-171a-r3 a.03.03.05.b +SCF:MON-06 nist-800-171a-r3 a.03.03.06.a-01 +SCF:MON-06 nist-800-171a-r3 a.03.03.06.a-02 +SCF:MON-06 nist-800-171a-r3 a.03.03.06.a-03 +SCF:MON-06 nist-800-171a-r3 a.03.03.06.a-04 +SCF:MON-06.1 nist-csf-function-grouping detect +SCF:MON-06.1 nist-800-53-r5 au-12-04 +SCF:MON-06.1 nist-800-82-r3 au-12-04 +SCF:MON-06.1 owasp-top-10-2025 a09-2025 +SCF:MON-06.2 nist-csf-function-grouping detect +SCF:MON-06.2 nist-800-53-r4 ca-7-3 +SCF:MON-06.2 nist-800-53-r5 ca-07-03 +SCF:MON-06.2 nist-800-82-r3 ca-07-03 +SCF:MON-06.2 nist-800-160-vol2-r1 ca-07-03 +SCF:MON-06.2 nist-800-161-r1 ca-7-3 +SCF:MON-06.2 nist-800-161-r1-level-3 ca-7-3 +SCF:MON-07 nist-csf-function-grouping detect +SCF:MON-07 iec-62443-3-3-2013 sr-2.11 +SCF:MON-07 iec-62443-4-2-2019 cr-2.11 +SCF:MON-07 nist-800-53-r4 au-8 +SCF:MON-07 nist-800-53-r5 au-08 +SCF:MON-07 nist-800-53b-r5-privacy au-08 +SCF:MON-07 nist-800-53b-r5-low au-08 +SCF:MON-07 nist-800-82-r3 au-08 +SCF:MON-07 nist-800-82-r3-low-ot-overlay au-08 +SCF:MON-07 nist-800-82-r3-moderate-ot-overlay au-08 +SCF:MON-07 nist-800-82-r3-high-ot-overlay au-08 +SCF:MON-07 nist-800-171-r3 _03.03.02.a.02 +SCF:MON-07 nist-800-171-r3 _03.03.07.a +SCF:MON-07 nist-800-171a _3.3.7-a +SCF:MON-07 nist-800-171a _3.3.7-b +SCF:MON-07 nist-800-171a-r3 a.03.03.07.odp-01 +SCF:MON-07 nist-800-171a-r3 a.03.03.07.a +SCF:MON-07 nist-800-171a-r3 a.03.03.07.b-01 +SCF:MON-07 owasp-top-10-2025 a09-2025 +SCF:MON-07 pci-dss-4.0.1 _10.2 +SCF:MON-07 pci-dss-4.0.1 _10.6 +SCF:MON-07 pci-dss-4.0.1 _10.6.1 +SCF:MON-07 pci-dss-4.0.1 _10.6.2 +SCF:MON-07 pci-dss-4.0.1 _10.6.3 +SCF:MON-07 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:MON-07 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:MON-07 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:MON-07 pci-dss-4.0.1-saq-c _10.6.1 +SCF:MON-07 pci-dss-4.0.1-saq-c _10.6.2 +SCF:MON-07 pci-dss-4.0.1-saq-c _10.6.3 +SCF:MON-07 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:MON-07 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:MON-07 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:MON-07 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:MON-07 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:MON-07 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:MON-07.1 nist-csf-function-grouping detect +SCF:MON-07.1 cis-csc-8.1 _8.4 +SCF:MON-07.1 cis-csc-8.1-ig2 _8.4 +SCF:MON-07.1 cis-csc-8.1-ig3 _8.4 +SCF:MON-07.1 iec-62443-4-2-2019 cr-2.11-1 +SCF:MON-07.1 nist-800-53-r4 au-8-1 +SCF:MON-07.1 nist-800-53-r5 sc-45 +SCF:MON-07.1 nist-800-53-r5 sc-45-01 +SCF:MON-07.1 nist-800-82-r3 sc-45 +SCF:MON-07.1 nist-800-82-r3 sc-45-01 +SCF:MON-07.1 nist-800-82-r3-low-ot-overlay sc-45 +SCF:MON-07.1 nist-800-82-r3-moderate-ot-overlay sc-45 +SCF:MON-07.1 nist-800-82-r3-high-ot-overlay sc-45 +SCF:MON-07.1 nist-800-171-r2 _3.3.7 +SCF:MON-07.1 nist-800-171-r3 _03.03.07.b +SCF:MON-07.1 nist-800-171a _3.3.7-b +SCF:MON-07.1 nist-800-171a _3.3.7-c +SCF:MON-07.1 nist-800-171a-r3 a.03.03.07.b-02 +SCF:MON-07.1 owasp-top-10-2025 a09-2025 +SCF:MON-07.1 pci-dss-4.0.1 _10.6 +SCF:MON-07.1 pci-dss-4.0.1 _10.6.1 +SCF:MON-07.1 pci-dss-4.0.1 _10.6.2 +SCF:MON-07.1 pci-dss-4.0.1 _10.6.3 +SCF:MON-07.1 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:MON-07.1 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:MON-07.1 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:MON-07.1 pci-dss-4.0.1-saq-c _10.6.1 +SCF:MON-07.1 pci-dss-4.0.1-saq-c _10.6.2 +SCF:MON-07.1 pci-dss-4.0.1-saq-c _10.6.3 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:MON-07.1 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:MON-08 nist-csf-function-grouping detect +SCF:MON-08 csa-ccm-4.1.0 log-02 +SCF:MON-08 csa-ccm-4.1.0 log-10 +SCF:MON-08 csa-iot-scf-2 mon-04 +SCF:MON-08 csa-iot-scf-2 mon-05 +SCF:MON-08 iec-62443-2-1-2024 event-1.6 +SCF:MON-08 iec-62443-3-3-2013 sr-3.9 +SCF:MON-08 iec-62443-3-3-2013 sr-6.1-re-1 +SCF:MON-08 iec-62443-4-2-2019 cr-3.9 +SCF:MON-08 iec-62443-4-2-2019 cr-6.1 +SCF:MON-08 iec-62443-4-2-2019 cr-6.1-1 +SCF:MON-08 iso-27002-2022 _8.15 +SCF:MON-08 iso-27017-2015 _12.4.2 +SCF:MON-08 iso-27018-2025 _8.15 +SCF:MON-08 nist-800-53-r4 au-9 +SCF:MON-08 nist-800-53-r5 au-09 +SCF:MON-08 nist-800-53b-r5-low au-09 +SCF:MON-08 nist-800-82-r3 au-09 +SCF:MON-08 nist-800-82-r3-low-ot-overlay au-09 +SCF:MON-08 nist-800-82-r3-moderate-ot-overlay au-09 +SCF:MON-08 nist-800-82-r3-high-ot-overlay au-09 +SCF:MON-08 nist-800-171-r2 _3.3.8 +SCF:MON-08 nist-800-171-r3 _03.03.03.b +SCF:MON-08 nist-800-171-r3 _03.03.06.b +SCF:MON-08 nist-800-171-r3 _03.03.08.a +SCF:MON-08 nist-800-171a _3.3.8-a +SCF:MON-08 nist-800-171a _3.3.8-b +SCF:MON-08 nist-800-171a _3.3.8-c +SCF:MON-08 nist-800-171a _3.3.8-d +SCF:MON-08 nist-800-171a _3.3.8-e +SCF:MON-08 nist-800-171a _3.3.8-f +SCF:MON-08 nist-800-171a-r3 a.03.03.03.b +SCF:MON-08 nist-800-171a-r3 a.03.03.06.b-01 +SCF:MON-08 nist-800-171a-r3 a.03.03.06.b-02 +SCF:MON-08 nist-800-171a-r3 a.03.03.08.a-01 +SCF:MON-08 nist-800-171a-r3 a.03.03.08.b +SCF:MON-08 owasp-top-10-2025 a01-2025 +SCF:MON-08 owasp-top-10-2025 a09-2025 +SCF:MON-08 pci-dss-4.0.1 _10.3 +SCF:MON-08 pci-dss-4.0.1 _10.3.1 +SCF:MON-08 pci-dss-4.0.1 _10.3.2 +SCF:MON-08 pci-dss-4.0.1-saq-a-ep _10.3.1 +SCF:MON-08 pci-dss-4.0.1-saq-a-ep _10.3.2 +SCF:MON-08 pci-dss-4.0.1-saq-c _10.3.1 +SCF:MON-08 pci-dss-4.0.1-saq-c _10.3.2 +SCF:MON-08 pci-dss-4.0.1-saq-d-merchant _10.3.1 +SCF:MON-08 pci-dss-4.0.1-saq-d-merchant _10.3.2 +SCF:MON-08 pci-dss-4.0.1-saq-d-service-provider _10.3.1 +SCF:MON-08 pci-dss-4.0.1-saq-d-service-provider _10.3.2 +SCF:MON-08.1 nist-csf-function-grouping detect +SCF:MON-08.1 csa-iot-scf-2 mon-05 +SCF:MON-08.1 csa-iot-scf-2 mon-06 +SCF:MON-08.1 nist-800-53-r4 au-4-1 +SCF:MON-08.1 nist-800-53-r4 au-9-2 +SCF:MON-08.1 nist-800-53-r5 au-04-01 +SCF:MON-08.1 nist-800-53-r5 au-09-02 +SCF:MON-08.1 nist-800-53b-r5-high au-09-02 +SCF:MON-08.1 nist-800-82-r3 au-04-01 +SCF:MON-08.1 nist-800-82-r3 au-09-02 +SCF:MON-08.1 nist-800-82-r3-low-ot-overlay au-04-01 +SCF:MON-08.1 nist-800-82-r3-moderate-ot-overlay au-04-01 +SCF:MON-08.1 nist-800-82-r3-high-ot-overlay au-04-01 +SCF:MON-08.1 nist-800-82-r3-high-ot-overlay au-09-02 +SCF:MON-08.1 nist-800-160-vol2-r1 au-09-02 +SCF:MON-08.1 nist-800-171-r3 _03.03.08.a +SCF:MON-08.1 owasp-top-10-2025 a09-2025 +SCF:MON-08.1 pci-dss-4.0.1 _10.3.3 +SCF:MON-08.1 pci-dss-4.0.1-saq-a-ep _10.3.3 +SCF:MON-08.1 pci-dss-4.0.1-saq-c _10.3.3 +SCF:MON-08.1 pci-dss-4.0.1-saq-d-merchant _10.3.3 +SCF:MON-08.1 pci-dss-4.0.1-saq-d-service-provider _10.3.3 +SCF:MON-08.2 nist-csf-function-grouping detect +SCF:MON-08.2 csa-ccm-4.1.0 log-04 +SCF:MON-08.2 csa-iot-scf-2 mon-04 +SCF:MON-08.2 csa-iot-scf-2 mon-05 +SCF:MON-08.2 iec-62443-3-3-2013 sr-6.1 +SCF:MON-08.2 iec-62443-4-2-2019 cr-6.1 +SCF:MON-08.2 nist-800-53-r4 au-9-4 +SCF:MON-08.2 nist-800-53-r5 au-09-04 +SCF:MON-08.2 nist-800-53b-r5-moderate au-09-04 +SCF:MON-08.2 nist-800-82-r3 au-09-04 +SCF:MON-08.2 nist-800-82-r3-moderate-ot-overlay au-09-04 +SCF:MON-08.2 nist-800-82-r3-high-ot-overlay au-09-04 +SCF:MON-08.2 nist-800-171-r2 _3.3.9 +SCF:MON-08.2 nist-800-171-r3 _03.03.08.a +SCF:MON-08.2 nist-800-171-r3 _03.03.08.b +SCF:MON-08.2 nist-800-171a _3.3.9-a +SCF:MON-08.2 nist-800-171a _3.3.9-b +SCF:MON-08.2 nist-800-171a-r3 a.03.03.08.b +SCF:MON-08.2 owasp-top-10-2025 a09-2025 +SCF:MON-08.2 pci-dss-4.0.1 _10.3 +SCF:MON-08.2 pci-dss-4.0.1 _10.3.1 +SCF:MON-08.2 pci-dss-4.0.1 _10.3.2 +SCF:MON-08.2 pci-dss-4.0.1-saq-a-ep _10.3.1 +SCF:MON-08.2 pci-dss-4.0.1-saq-a-ep _10.3.2 +SCF:MON-08.2 pci-dss-4.0.1-saq-c _10.3.1 +SCF:MON-08.2 pci-dss-4.0.1-saq-c _10.3.2 +SCF:MON-08.2 pci-dss-4.0.1-saq-d-merchant _10.3.1 +SCF:MON-08.2 pci-dss-4.0.1-saq-d-merchant _10.3.2 +SCF:MON-08.2 pci-dss-4.0.1-saq-d-service-provider _10.3.1 +SCF:MON-08.2 pci-dss-4.0.1-saq-d-service-provider _10.3.2 +SCF:MON-08.3 nist-csf-function-grouping protect +SCF:MON-08.3 csa-iot-scf-2 mon-05 +SCF:MON-08.3 nist-800-53-r4 au-9-3 +SCF:MON-08.3 nist-800-53-r5 au-09-03 +SCF:MON-08.3 nist-800-53b-r5-high au-09-03 +SCF:MON-08.3 nist-800-82-r3 au-09-03 +SCF:MON-08.3 nist-800-82-r3-high-ot-overlay au-09-03 +SCF:MON-08.3 nist-800-160-vol2-r1 au-09-03 +SCF:MON-08.3 nist-800-171-r3 _03.03.08.a +SCF:MON-08.4 nist-csf-function-grouping protect +SCF:MON-08.4 nist-800-53-r4 au-9-5 +SCF:MON-08.4 nist-800-53-r5 au-09-05 +SCF:MON-08.4 nist-800-82-r3 au-09-05 +SCF:MON-08.4 nist-800-160-vol2-r1 au-09-05 +SCF:MON-09 nist-csf-function-grouping protect +SCF:MON-09 iec-62443-3-3-2013 sr-2.12 +SCF:MON-09 iec-62443-3-3-2013 sr-2.12-re-1 +SCF:MON-09 iec-62443-4-2-2019 cr-2.12 +SCF:MON-09 iec-62443-4-2-2019 cr-2.12-1 +SCF:MON-09 nist-800-53-r4 au-10 +SCF:MON-09 nist-800-53-r5 au-10 +SCF:MON-09 nist-800-53b-r5-high au-10 +SCF:MON-09 nist-800-82-r3 au-10 +SCF:MON-09 nist-800-82-r3-high-ot-overlay au-10 +SCF:MON-09 nist-800-161-r1 au-10 +SCF:MON-09 nist-800-161-r1-level-3 au-10 +SCF:MON-09.1 nist-csf-function-grouping protect +SCF:MON-09.1 nist-800-53-r5 au-10-01 +SCF:MON-09.1 nist-800-53-r5 au-10-02 +SCF:MON-09.1 nist-800-82-r3 au-10-01 +SCF:MON-09.1 nist-800-82-r3 au-10-02 +SCF:MON-09.1 nist-800-160-vol2-r1 au-10-02 +SCF:MON-09.1 nist-800-161-r1 au-10-1 +SCF:MON-09.1 nist-800-161-r1 au-10-2 +SCF:MON-09.1 nist-800-161-r1-level-2 au-10-1 +SCF:MON-09.1 nist-800-161-r1-level-2 au-10-2 +SCF:MON-09.1 nist-800-161-r1-level-3 au-10-2 +SCF:MON-10 nist-csf-function-grouping detect +SCF:MON-10 cis-csc-8.1 _8.1 +SCF:MON-10 cis-csc-8.1-ig2 _8.1 +SCF:MON-10 cis-csc-8.1-ig3 _8.1 +SCF:MON-10 csa-ccm-4.1.0 log-04 +SCF:MON-10 iec-62443-2-1-2024 event-1.4 +SCF:MON-10 nist-800-53-r4 au-11 +SCF:MON-10 nist-800-53-r5 au-11 +SCF:MON-10 nist-800-53b-r5-privacy au-11 +SCF:MON-10 nist-800-53b-r5-low au-11 +SCF:MON-10 nist-800-82-r3 au-11 +SCF:MON-10 nist-800-82-r3-low-ot-overlay au-11 +SCF:MON-10 nist-800-82-r3-moderate-ot-overlay au-11 +SCF:MON-10 nist-800-82-r3-high-ot-overlay au-11 +SCF:MON-10 nist-800-171-r2 _3.3.1 +SCF:MON-10 nist-800-171-r3 _03.03.03.b +SCF:MON-10 nist-800-171a _3.3.1-e +SCF:MON-10 nist-800-171a _3.3.1-f +SCF:MON-10 nist-800-171a-r3 a.03.03.03.b +SCF:MON-10 owasp-top-10-2025 a09-2025 +SCF:MON-10 pci-dss-4.0.1 _10.5 +SCF:MON-10 pci-dss-4.0.1 _10.5.1 +SCF:MON-10 pci-dss-4.0.1-saq-a-ep _10.5.1 +SCF:MON-10 pci-dss-4.0.1-saq-c _10.5.1 +SCF:MON-10 pci-dss-4.0.1-saq-d-merchant _10.5.1 +SCF:MON-10 pci-dss-4.0.1-saq-d-service-provider _10.5.1 +SCF:MON-11 nist-csf-function-grouping detect +SCF:MON-11 iso-27002-2022 _5.7 +SCF:MON-11 iso-27018-2025 _5.7 +SCF:MON-11 nist-800-53-r4 au-13 +SCF:MON-11 nist-800-53-r5 au-13 +SCF:MON-11 nist-800-82-r3 au-13 +SCF:MON-11 nist-800-160-vol2-r1 au-13 +SCF:MON-11 nist-800-161-r1 au-13 +SCF:MON-11 nist-800-161-r1-flow-down au-13 +SCF:MON-11 nist-800-161-r1-level-2 au-13 +SCF:MON-11 nist-800-161-r1-level-3 au-13 +SCF:MON-11 nist-800-171-r3 _03.01.22.b +SCF:MON-11.1 nist-csf-function-grouping detect +SCF:MON-11.1 nist-800-53-r4 si-4-18 +SCF:MON-11.1 nist-800-53-r5 si-04-18 +SCF:MON-11.1 nist-800-53b-r5-privacy si-04-18 +SCF:MON-11.1 nist-800-82-r3 si-04-18 +SCF:MON-11.1 nist-800-160-vol2-r1 si-04-18 +SCF:MON-11.1 pci-dss-4.0.1 _11.5.1.1 +SCF:MON-11.1 pci-dss-4.0.1-saq-d-service-provider _11.5.1.1 +SCF:MON-11.2 nist-csf-function-grouping detect +SCF:MON-11.2 iec-62443-2-1-2024 org-2.2-b +SCF:MON-11.2 nist-800-53-r4 si-4-22 +SCF:MON-11.2 nist-800-53-r5 si-04-22 +SCF:MON-11.2 nist-800-53b-r5-high si-04-22 +SCF:MON-11.2 nist-800-82-r3 si-04-22 +SCF:MON-11.2 nist-800-82-r3-high-ot-overlay si-04-22 +SCF:MON-11.3 nist-csf-function-grouping detect +SCF:MON-11.3 csa-ccm-4.1.0 log-14 +SCF:MON-11.3 csa-iot-scf-2 iam-08 +SCF:MON-11.3 csa-iot-scf-2 mon-01 +SCF:MON-11.3 csa-iot-scf-2 mon-09 +SCF:MON-11.3 csa-iot-scf-2 mon-11 +SCF:MON-11.3 iso-27002-2022 _5.7 +SCF:MON-11.3 iso-27018-2025 _5.7 +SCF:MON-11.3 nist-800-53-r4 si-4-24 +SCF:MON-11.3 nist-800-53-r5 si-04-24 +SCF:MON-11.3 nist-800-53b-r5-privacy si-04-24 +SCF:MON-11.3 nist-800-82-r3 si-04-24 +SCF:MON-11.3 nist-800-160-vol2-r1 si-04-24 +SCF:MON-11.3 nist-800-171-r2 _3.14.7 +SCF:MON-11.3 nist-800-171-r3 _03.14.06.a.01 +SCF:MON-11.3 nist-800-171-r3 _03.14.06.a.02 +SCF:MON-11.3 nist-800-171-r3 _03.14.06.b +SCF:MON-11.3 nist-800-171-r3 _03.14.06.c +SCF:MON-11.3 nist-800-172 _3.11.2e +SCF:MON-11.3 nist-csf-2.0 de.cm +SCF:MON-12 nist-csf-function-grouping detect +SCF:MON-12 nist-800-53-r4 au-14 +SCF:MON-12 nist-800-53-r5 au-14 +SCF:MON-12 nist-800-82-r3 au-14 +SCF:MON-12 nist-800-161-r1 au-14 +SCF:MON-12 nist-800-161-r1-flow-down au-14 +SCF:MON-12 nist-800-161-r1-level-2 au-14 +SCF:MON-12 nist-800-161-r1-level-3 au-14 +SCF:MON-13 nist-csf-function-grouping detect +SCF:MON-13 nist-800-53-r4 au-15 +SCF:MON-13 nist-800-53-r5 au-05-05 +SCF:MON-13 nist-800-82-r3 au-05-05 +SCF:MON-14 nist-csf-function-grouping detect +SCF:MON-14 nist-800-53-r4 au-16 +SCF:MON-14 nist-800-53-r4 au-16-1 +SCF:MON-14 nist-800-53-r5 au-16 +SCF:MON-14 nist-800-53-r5 au-16-01 +SCF:MON-14 nist-800-82-r3 au-16 +SCF:MON-14 nist-800-82-r3 au-16-01 +SCF:MON-14 nist-800-161-r1 au-16 +SCF:MON-14 nist-800-161-r1-level-2 au-16 +SCF:MON-14 nist-800-161-r1-level-3 au-16 +SCF:MON-14.1 nist-csf-function-grouping detect +SCF:MON-14.1 nist-800-53-r4 au-16-2 +SCF:MON-14.1 nist-800-53-r5 au-16-02 +SCF:MON-14.1 nist-800-82-r3 au-16-02 +SCF:MON-14.1 nist-800-161-r1 au-16-2 +SCF:MON-14.1 nist-800-161-r1-flow-down au-16-2 +SCF:MON-14.1 nist-800-161-r1-level-2 au-16-2 +SCF:MON-14.1 nist-800-161-r1-level-3 au-16-2 +SCF:MON-15 nist-csf-function-grouping detect +SCF:MON-15 nist-800-53-r4 sc-31 +SCF:MON-15 nist-800-53-r5 sc-31 +SCF:MON-15 nist-800-82-r3 sc-31 +SCF:MON-15 pci-dss-4.0.1 _11.5.1.1 +SCF:MON-15 pci-dss-4.0.1-saq-d-service-provider _11.5.1.1 +SCF:MON-16 nist-csf-function-grouping detect +SCF:MON-16 csa-ccm-4.1.0 log-14 +SCF:MON-16 csa-iot-scf-2 iam-08 +SCF:MON-16 csa-iot-scf-2 mon-01 +SCF:MON-16 csa-iot-scf-2 mon-10 +SCF:MON-16 csa-iot-scf-2 sap-06 +SCF:MON-16 iec-62443-2-1-2024 org-2.2-d +SCF:MON-16 nist-ai-600-1 ms-1.1-002 +SCF:MON-16 nist-800-53-r4 ac-2-12 +SCF:MON-16 nist-800-53-r4 si-4-11 +SCF:MON-16 nist-800-53-r5 ac-02-12 +SCF:MON-16 nist-800-53-r5 ir-04-13 +SCF:MON-16 nist-800-53-r5 si-04-11 +SCF:MON-16 nist-800-53b-r5-privacy ir-04-13 +SCF:MON-16 nist-800-53b-r5-high ac-02-12 +SCF:MON-16 nist-sp-800-66-r2 _164.312-b +SCF:MON-16 nist-sp-800-66-r2 _164.312-c +SCF:MON-16 nist-800-82-r3 ac-02-12 +SCF:MON-16 nist-800-82-r3 ir-04-13 +SCF:MON-16 nist-800-82-r3 si-04-11 +SCF:MON-16 nist-800-82-r3-high-ot-overlay ac-02-12 +SCF:MON-16 nist-800-160-vol2-r1 ac-02-12 +SCF:MON-16 nist-800-160-vol2-r1 ir-04-13 +SCF:MON-16 nist-800-160-vol2-r1 si-04-11 +SCF:MON-16 nist-800-171-r2 _3.14.7 +SCF:MON-16 nist-800-171-r3 _03.01.01.e +SCF:MON-16 nist-800-171-r3 _03.03.05.a +SCF:MON-16 nist-800-171-r3 _03.14.06.a.01 +SCF:MON-16 nist-800-171-r3 _03.14.06.a.02 +SCF:MON-16 nist-800-171-r3 _03.14.06.b +SCF:MON-16 nist-800-171-r3 _03.14.06.c +SCF:MON-16 nist-800-171a-r3 a.03.14.06.b +SCF:MON-16 nist-800-172 _3.14.2e +SCF:MON-16 nist-800-207 nist-tenet-4 +SCF:MON-16 nist-csf-2.0 de.cm +SCF:MON-16 nist-csf-2.0 de.cm-03 +SCF:MON-16 pci-dss-4.0.1 _3.1 +SCF:MON-16 pci-dss-4.0.1 a3.2.6.1 +SCF:MON-16.1 nist-csf-function-grouping detect +SCF:MON-16.1 nist-csf-2.0 de.cm-03 +SCF:MON-16.1 pci-dss-4.0.1 a3.2.6.1 +SCF:MON-16.2 nist-csf-function-grouping detect +SCF:MON-16.2 nist-csf-2.0 de.cm-06 +SCF:MON-16.3 nist-csf-function-grouping detect +SCF:MON-16.3 cis-csc-8.1 _2.3 +SCF:MON-16.3 cis-csc-8.1-ig1 _2.3 +SCF:MON-16.3 cis-csc-8.1-ig2 _2.3 +SCF:MON-16.3 cis-csc-8.1-ig3 _2.3 +SCF:MON-16.3 nist-csf-2.0 de.cm-03 +SCF:MON-16.3 pci-dss-4.0.1 a3.2.6.1 +SCF:MON-16.4 nist-csf-function-grouping detect +SCF:MON-16.4 nist-csf-2.0 de.cm-06 +SCF:MON-17 nist-csf-function-grouping detect +SCF:MON-17 iec-62443-2-1-2024 event-1.1 +SCF:MON-17.1 nist-csf-function-grouping detect +SCF:MON-18 nist-csf-function-grouping detect +SCF:MON-19 nist-csf-function-grouping identify +SCF:MON-19 iec-62443-3-3-2013 sr-3.9-re-1 +SCF:MON-19 iec-62443-4-2-2019 cr-3.9-1 +SCF:CRY-01 nist-csf-function-grouping govern +SCF:CRY-01 cis-csc-8.1 _3.6 +SCF:CRY-01 cis-csc-8.1 _3.9 +SCF:CRY-01 cis-csc-8.1 _3.1 +SCF:CRY-01 cis-csc-8.1 _3.11 +SCF:CRY-01 cis-csc-8.1-ig1 _3.6 +SCF:CRY-01 cis-csc-8.1-ig2 _3.6 +SCF:CRY-01 cis-csc-8.1-ig2 _3.9 +SCF:CRY-01 cis-csc-8.1-ig2 _3.1 +SCF:CRY-01 cis-csc-8.1-ig2 _3.11 +SCF:CRY-01 cis-csc-8.1-ig3 _3.6 +SCF:CRY-01 cis-csc-8.1-ig3 _3.9 +SCF:CRY-01 cis-csc-8.1-ig3 _3.1 +SCF:CRY-01 cis-csc-8.1-ig3 _3.11 +SCF:CRY-01 csa-ccm-4.1.0 cek-01 +SCF:CRY-01 csa-ccm-4.1.0 cek-02 +SCF:CRY-01 csa-ccm-4.1.0 cek-03 +SCF:CRY-01 csa-ccm-4.1.0 cek-04 +SCF:CRY-01 csa-ccm-4.1.0 dsp-10 +SCF:CRY-01 csa-ccm-4.1.0 log-11 +SCF:CRY-01 csa-iot-scf-2 cls-01 +SCF:CRY-01 csa-iot-scf-2 com-07 +SCF:CRY-01 csa-iot-scf-2 com-08 +SCF:CRY-01 csa-iot-scf-2 com-09 +SCF:CRY-01 csa-iot-scf-2 iot-10 +SCF:CRY-01 csa-iot-scf-2 sap-07 +SCF:CRY-01 iec-62443-2-1-2024 data-1.5 +SCF:CRY-01 iec-62443-3-3-2013 sr-4.1 +SCF:CRY-01 iec-62443-3-3-2013 sr-4.1-re-1 +SCF:CRY-01 iec-62443-3-3-2013 sr-4.3 +SCF:CRY-01 iec-62443-4-2-2019 cr-4.3 +SCF:CRY-01 iso-27002-2022 _8.24 +SCF:CRY-01 iso-27002-2022 _8.26 +SCF:CRY-01 iso-27017-2015 _10.1.1 +SCF:CRY-01 iso-27017-2015 _14.1.2 +SCF:CRY-01 iso-27018-2025 _8.24 +SCF:CRY-01 iso-27018-2025 _8.26 +SCF:CRY-01 nist-800-53-r4 sc-8-1 +SCF:CRY-01 nist-800-53-r4 sc-8-2 +SCF:CRY-01 nist-800-53-r4 sc-13 +SCF:CRY-01 nist-800-53-r4 sc-13-1 +SCF:CRY-01 nist-800-53-r4 si-7-6 +SCF:CRY-01 nist-800-53-r5 sc-08-01 +SCF:CRY-01 nist-800-53-r5 sc-08-02 +SCF:CRY-01 nist-800-53-r5 sc-13 +SCF:CRY-01 nist-800-53-r5 si-07-06 +SCF:CRY-01 nist-800-53b-r5-privacy sc-08-01 +SCF:CRY-01 nist-800-53b-r5-privacy sc-08-02 +SCF:CRY-01 nist-800-53b-r5-privacy sc-13 +SCF:CRY-01 nist-800-53b-r5-low sc-13 +SCF:CRY-01 nist-800-53b-r5-moderate sc-08-01 +SCF:CRY-01 nist-sp-800-66-r2 _164.312-a +SCF:CRY-01 nist-800-82-r3 sc-08-01 +SCF:CRY-01 nist-800-82-r3 sc-08-02 +SCF:CRY-01 nist-800-82-r3 sc-13 +SCF:CRY-01 nist-800-82-r3 si-07-06 +SCF:CRY-01 nist-800-82-r3-low-ot-overlay sc-13 +SCF:CRY-01 nist-800-82-r3-moderate-ot-overlay sc-08-01 +SCF:CRY-01 nist-800-82-r3-moderate-ot-overlay sc-13 +SCF:CRY-01 nist-800-82-r3-high-ot-overlay sc-08-01 +SCF:CRY-01 nist-800-82-r3-high-ot-overlay sc-13 +SCF:CRY-01 nist-800-160-vol2-r1 sc-08-01 +SCF:CRY-01 nist-800-160-vol2-r1 si-07-06 +SCF:CRY-01 nist-800-171-r2 _3.13.11 +SCF:CRY-01 nist-800-171-r3 _03.13.08 +SCF:CRY-01 nist-800-171-r3 _03.13.11 +SCF:CRY-01 nist-800-171a _3.13.8-a +SCF:CRY-01 nist-800-171a _3.13.11 +SCF:CRY-01 nist-800-171a-r3 a.03.13.08-01 +SCF:CRY-01 nist-800-171a-r3 a.03.13.08-02 +SCF:CRY-01 nist-800-171a-r3 a.03.13.11.odp-01 +SCF:CRY-01 nist-800-171a-r3 a.03.13.11 +SCF:CRY-01 nist-800-207 nist-tenet-2 +SCF:CRY-01 nist-csf-2.0 pr.ds-01 +SCF:CRY-01 nist-csf-2.0 pr.ds-02 +SCF:CRY-01 nist-csf-2.0 pr.ds-10 +SCF:CRY-01 owasp-top-10-2025 a02-2025 +SCF:CRY-01 owasp-top-10-2025 a04-2025 +SCF:CRY-01 pci-dss-4.0.1 _2.2.7 +SCF:CRY-01 pci-dss-4.0.1 _3.3.2 +SCF:CRY-01 pci-dss-4.0.1 _8.3.2 +SCF:CRY-01 pci-dss-4.0.1 _12.3.3 +SCF:CRY-01 pci-dss-4.0.1-saq-a-ep _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-a-ep _8.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-b-ip _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-c _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-c _8.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-c-vt _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-d-merchant _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-d-merchant _3.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-d-merchant _8.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-d-merchant _12.3.3 +SCF:CRY-01 pci-dss-4.0.1-saq-d-service-provider _2.2.7 +SCF:CRY-01 pci-dss-4.0.1-saq-d-service-provider _3.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-d-service-provider _8.3.2 +SCF:CRY-01 pci-dss-4.0.1-saq-d-service-provider _12.3.3 +SCF:CRY-01.1 nist-csf-function-grouping protect +SCF:CRY-01.1 nist-800-53-r4 sc-8-1 +SCF:CRY-01.1 nist-800-53-r5 sc-08-01 +SCF:CRY-01.1 nist-800-53b-r5-privacy sc-08-01 +SCF:CRY-01.1 nist-800-53b-r5-moderate sc-08-01 +SCF:CRY-01.1 nist-800-82-r3 sc-08-01 +SCF:CRY-01.1 nist-800-82-r3-moderate-ot-overlay sc-08-01 +SCF:CRY-01.1 nist-800-82-r3-high-ot-overlay sc-08-01 +SCF:CRY-01.1 nist-800-160-vol2-r1 sc-08-01 +SCF:CRY-01.1 nist-800-171-r2 _3.8.6 +SCF:CRY-01.1 nist-800-171-r2 _3.13.8 +SCF:CRY-01.1 nist-800-171-r3 _03.13.08 +SCF:CRY-01.1 nist-800-171a _3.13.8-b +SCF:CRY-01.1 nist-800-171a _3.13.8-c +SCF:CRY-01.1 nist-csf-2.0 pr.ds-01 +SCF:CRY-01.2 nist-csf-function-grouping protect +SCF:CRY-01.2 iso-27002-2022 _5.31 +SCF:CRY-01.2 iso-27017-2015 _18.1.5 +SCF:CRY-01.2 iso-27018-2025 _5.31 +SCF:CRY-01.2 nist-800-53-r4 sc-13 +SCF:CRY-01.2 nist-800-53-r5 sc-13 +SCF:CRY-01.2 nist-800-53b-r5-privacy sc-13 +SCF:CRY-01.2 nist-800-53b-r5-low sc-13 +SCF:CRY-01.2 nist-800-82-r3 sc-13 +SCF:CRY-01.2 nist-800-82-r3-low-ot-overlay sc-13 +SCF:CRY-01.2 nist-800-82-r3-moderate-ot-overlay sc-13 +SCF:CRY-01.2 nist-800-82-r3-high-ot-overlay sc-13 +SCF:CRY-01.3 nist-csf-function-grouping protect +SCF:CRY-01.3 nist-800-53-r4 sc-8-2 +SCF:CRY-01.3 nist-800-53-r5 sc-08-02 +SCF:CRY-01.3 nist-800-53b-r5-privacy sc-08-02 +SCF:CRY-01.3 nist-800-82-r3 sc-08-02 +SCF:CRY-01.4 nist-csf-function-grouping protect +SCF:CRY-01.4 nist-800-53-r4 sc-8-4 +SCF:CRY-01.4 nist-800-53-r5 sc-08-04 +SCF:CRY-01.4 nist-800-82-r3 sc-08-04 +SCF:CRY-01.4 nist-800-160-vol2-r1 sc-08-04 +SCF:CRY-01.5 nist-csf-function-grouping protect +SCF:CRY-01.5 nist-800-171-r3 _03.13.11 +SCF:CRY-01.5 pci-dss-4.0.1 _12.3.3 +SCF:CRY-01.5 pci-dss-4.0.1-saq-d-merchant _12.3.3 +SCF:CRY-01.5 pci-dss-4.0.1-saq-d-service-provider _12.3.3 +SCF:CRY-02 nist-csf-function-grouping protect +SCF:CRY-02 nist-800-53-r4 ia-7 +SCF:CRY-02 nist-800-53-r5 ia-07 +SCF:CRY-02 nist-800-53b-r5-privacy ia-07 +SCF:CRY-02 nist-800-53b-r5-low ia-07 +SCF:CRY-02 nist-800-82-r3 ia-07 +SCF:CRY-02 nist-800-82-r3-low-ot-overlay ia-07 +SCF:CRY-02 nist-800-82-r3-moderate-ot-overlay ia-07 +SCF:CRY-02 nist-800-82-r3-high-ot-overlay ia-07 +SCF:CRY-02 pci-dss-4.0.1 _2.2.7 +SCF:CRY-02 pci-dss-4.0.1 _3.6.1.1 +SCF:CRY-02 pci-dss-4.0.1 _3.6.1.2 +SCF:CRY-02 pci-dss-4.0.1-saq-a-ep _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-b-ip _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-c _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-c-vt _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-d-merchant _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-d-merchant _3.6.1.2 +SCF:CRY-02 pci-dss-4.0.1-saq-d-service-provider _2.2.7 +SCF:CRY-02 pci-dss-4.0.1-saq-d-service-provider _3.6.1.1 +SCF:CRY-02 pci-dss-4.0.1-saq-d-service-provider _3.6.1.2 +SCF:CRY-03 nist-csf-function-grouping protect +SCF:CRY-03 cis-csc-8.1 _3.1 +SCF:CRY-03 cis-csc-8.1-ig2 _3.1 +SCF:CRY-03 cis-csc-8.1-ig3 _3.1 +SCF:CRY-03 csa-ccm-4.1.0 cek-03 +SCF:CRY-03 csa-ccm-4.1.0 dsp-10 +SCF:CRY-03 csa-iot-scf-2 com-07 +SCF:CRY-03 csa-iot-scf-2 com-08 +SCF:CRY-03 csa-iot-scf-2 com-09 +SCF:CRY-03 csa-iot-scf-2 iot-10 +SCF:CRY-03 csa-iot-scf-2 sap-07 +SCF:CRY-03 csa-iot-scf-2 sws-11 +SCF:CRY-03 iec-62443-3-3-2013 sr-4.1-re-2 +SCF:CRY-03 iec-62443-4-2-2019 cr-4.1-b +SCF:CRY-03 iso-27002-2022 _5.14 +SCF:CRY-03 iso-27002-2022 _8.24 +SCF:CRY-03 iso-27002-2022 _8.26 +SCF:CRY-03 iso-27017-2015 _10.1.1 +SCF:CRY-03 iso-27017-2015 _13.2.1 +SCF:CRY-03 iso-27017-2015 _13.2.3 +SCF:CRY-03 iso-27017-2015 _14.1.2 +SCF:CRY-03 iso-27017-2015 _14.1.3 +SCF:CRY-03 iso-27018-2025 _5.14 +SCF:CRY-03 iso-27018-2025 _8.24 +SCF:CRY-03 iso-27018-2025 _8.26 +SCF:CRY-03 nist-privacy-framework-1.0 pr.ds-p2 +SCF:CRY-03 nist-800-53-r4 sc-8 +SCF:CRY-03 nist-800-53-r4 sc-8-1 +SCF:CRY-03 nist-800-53-r5 sc-08 +SCF:CRY-03 nist-800-53-r5 sc-08-01 +SCF:CRY-03 nist-800-53b-r5-privacy sc-08 +SCF:CRY-03 nist-800-53b-r5-privacy sc-08-01 +SCF:CRY-03 nist-800-53b-r5-moderate sc-08 +SCF:CRY-03 nist-800-53b-r5-moderate sc-08-01 +SCF:CRY-03 nist-sp-800-66-r2 _164.312-e-1 +SCF:CRY-03 nist-800-82-r3 sc-08 +SCF:CRY-03 nist-800-82-r3 sc-08-01 +SCF:CRY-03 nist-800-82-r3-moderate-ot-overlay sc-08 +SCF:CRY-03 nist-800-82-r3-moderate-ot-overlay sc-08-01 +SCF:CRY-03 nist-800-82-r3-high-ot-overlay sc-08 +SCF:CRY-03 nist-800-82-r3-high-ot-overlay sc-08-01 +SCF:CRY-03 nist-800-160-vol2-r1 sc-08-01 +SCF:CRY-03 nist-800-161-r1 sc-8 +SCF:CRY-03 nist-800-161-r1-flow-down sc-8 +SCF:CRY-03 nist-800-161-r1-level-2 sc-8 +SCF:CRY-03 nist-800-161-r1-level-3 sc-8 +SCF:CRY-03 nist-800-171-r2 _3.13.8 +SCF:CRY-03 nist-800-171-r3 _03.13.08 +SCF:CRY-03 nist-800-171a _3.13.8-a +SCF:CRY-03 nist-800-171a _3.13.11 +SCF:CRY-03 nist-800-171a-r3 a.03.13.08-01 +SCF:CRY-03 nist-800-171a-r3 a.03.13.11.odp-01 +SCF:CRY-03 nist-800-171a-r3 a.03.13.11 +SCF:CRY-03 nist-800-207 nist-tenet-2 +SCF:CRY-03 nist-csf-2.0 pr.ds-02 +SCF:CRY-03 owasp-top-10-2025 a04-2025 +SCF:CRY-03 pci-dss-4.0.1 _4.2 +SCF:CRY-03 pci-dss-4.0.1 _4.2.1 +SCF:CRY-03 pci-dss-4.0.1 _4.2.1.2 +SCF:CRY-03 pci-dss-4.0.1 _8.3.2 +SCF:CRY-03 pci-dss-4.0.1 a2.1 +SCF:CRY-03 pci-dss-4.0.1 a2.1.1 +SCF:CRY-03 pci-dss-4.0.1 a2.1.2 +SCF:CRY-03 pci-dss-4.0.1-saq-a-ep _4.2.1 +SCF:CRY-03 pci-dss-4.0.1-saq-a-ep _8.3.2 +SCF:CRY-03 pci-dss-4.0.1-saq-b-ip a2.1.1 +SCF:CRY-03 pci-dss-4.0.1-saq-c _4.2.1 +SCF:CRY-03 pci-dss-4.0.1-saq-c _4.2.1.2 +SCF:CRY-03 pci-dss-4.0.1-saq-c _8.3.2 +SCF:CRY-03 pci-dss-4.0.1-saq-c a2.1.1 +SCF:CRY-03 pci-dss-4.0.1-saq-c-vt _4.2.1.2 +SCF:CRY-03 pci-dss-4.0.1-saq-d-merchant _4.2.1 +SCF:CRY-03 pci-dss-4.0.1-saq-d-merchant _4.2.1.2 +SCF:CRY-03 pci-dss-4.0.1-saq-d-merchant _8.3.2 +SCF:CRY-03 pci-dss-4.0.1-saq-d-merchant a2.1.1 +SCF:CRY-03 pci-dss-4.0.1-saq-d-service-provider _4.2.1 +SCF:CRY-03 pci-dss-4.0.1-saq-d-service-provider _4.2.1.2 +SCF:CRY-03 pci-dss-4.0.1-saq-d-service-provider _8.3.2 +SCF:CRY-03 pci-dss-4.0.1-saq-d-service-provider a2.1.1 +SCF:CRY-03 pci-dss-4.0.1-saq-d-service-provider a2.1.2 +SCF:CRY-04 nist-csf-function-grouping protect +SCF:CRY-04 csa-iot-scf-2 sap-07 +SCF:CRY-04 iec-62443-2-1-2024 data-1.7 +SCF:CRY-04 iec-62443-3-3-2013 sr-3.1 +SCF:CRY-04 iec-62443-3-3-2013 sr-3.1-re-1 +SCF:CRY-04 iec-62443-4-2-2019 cr-3.1 +SCF:CRY-04 iec-62443-4-2-2019 cr-3.1-1 +SCF:CRY-04 iso-27002-2022 _8.24 +SCF:CRY-04 iso-27002-2022 _8.26 +SCF:CRY-04 iso-27017-2015 _10.1.1 +SCF:CRY-04 iso-27017-2015 _14.1.3 +SCF:CRY-04 iso-27018-2025 _8.24 +SCF:CRY-04 iso-27018-2025 _8.26 +SCF:CRY-04 nist-privacy-framework-1.0 pr.ac-p5 +SCF:CRY-04 nist-800-53-r4 sc-8 +SCF:CRY-04 nist-800-53-r4 sc-16-1 +SCF:CRY-04 nist-800-53-r4 sc-28-1 +SCF:CRY-04 nist-800-53-r5 sc-08 +SCF:CRY-04 nist-800-53-r5 sc-16-01 +SCF:CRY-04 nist-800-53-r5 sc-28-01 +SCF:CRY-04 nist-800-53b-r5-privacy sc-08 +SCF:CRY-04 nist-800-53b-r5-privacy sc-16-01 +SCF:CRY-04 nist-800-53b-r5-privacy sc-28-01 +SCF:CRY-04 nist-800-53b-r5-moderate sc-08 +SCF:CRY-04 nist-800-53b-r5-moderate sc-28-01 +SCF:CRY-04 nist-800-82-r3 sc-08 +SCF:CRY-04 nist-800-82-r3 sc-16-01 +SCF:CRY-04 nist-800-82-r3 sc-28-01 +SCF:CRY-04 nist-800-82-r3-moderate-ot-overlay sc-08 +SCF:CRY-04 nist-800-82-r3-moderate-ot-overlay sc-28-01 +SCF:CRY-04 nist-800-82-r3-high-ot-overlay sc-08 +SCF:CRY-04 nist-800-82-r3-high-ot-overlay sc-28-01 +SCF:CRY-04 nist-800-160-vol2-r1 sc-16-01 +SCF:CRY-04 nist-800-160-vol2-r1 sc-28-01 +SCF:CRY-04 nist-800-161-r1 sc-8 +SCF:CRY-04 nist-800-161-r1-flow-down sc-8 +SCF:CRY-04 nist-800-161-r1-level-2 sc-8 +SCF:CRY-04 nist-800-161-r1-level-3 sc-8 +SCF:CRY-04 nist-800-171-r2 nfo-si-1 +SCF:CRY-04 nist-800-207 nist-tenet-2 +SCF:CRY-04 nist-csf-2.0 pr.ds-02 +SCF:CRY-04 owasp-top-10-2025 a04-2025 +SCF:CRY-04 pci-dss-4.0.1 _3.7.5 +SCF:CRY-04 pci-dss-4.0.1-saq-d-merchant _3.7.5 +SCF:CRY-04 pci-dss-4.0.1-saq-d-service-provider _3.7.5 +SCF:CRY-05 nist-csf-function-grouping protect +SCF:CRY-05 cis-csc-8.1 _3.6 +SCF:CRY-05 cis-csc-8.1 _3.9 +SCF:CRY-05 cis-csc-8.1 _3.11 +SCF:CRY-05 cis-csc-8.1-ig1 _3.6 +SCF:CRY-05 cis-csc-8.1-ig2 _3.6 +SCF:CRY-05 cis-csc-8.1-ig2 _3.9 +SCF:CRY-05 cis-csc-8.1-ig2 _3.11 +SCF:CRY-05 cis-csc-8.1-ig3 _3.6 +SCF:CRY-05 cis-csc-8.1-ig3 _3.9 +SCF:CRY-05 cis-csc-8.1-ig3 _3.11 +SCF:CRY-05 csa-ccm-4.1.0 cek-03 +SCF:CRY-05 csa-ccm-4.1.0 uem-08 +SCF:CRY-05 csa-iot-scf-2 dat-04 +SCF:CRY-05 iec-62443-4-2-2019 cr-4.1-a +SCF:CRY-05 iso-27002-2022 _8.24 +SCF:CRY-05 iso-27017-2015 _10.1.1 +SCF:CRY-05 iso-27018-2025 _8.24 +SCF:CRY-05 nist-privacy-framework-1.0 pr.ds-p1 +SCF:CRY-05 nist-800-53-r4 sc-13 +SCF:CRY-05 nist-800-53-r4 sc-28 +SCF:CRY-05 nist-800-53-r4 sc-28-1 +SCF:CRY-05 nist-800-53-r5 sc-13 +SCF:CRY-05 nist-800-53-r5 sc-28 +SCF:CRY-05 nist-800-53-r5 sc-28-01 +SCF:CRY-05 nist-800-53b-r5-privacy sc-13 +SCF:CRY-05 nist-800-53b-r5-privacy sc-28 +SCF:CRY-05 nist-800-53b-r5-privacy sc-28-01 +SCF:CRY-05 nist-800-53b-r5-low sc-13 +SCF:CRY-05 nist-800-53b-r5-moderate sc-28 +SCF:CRY-05 nist-800-53b-r5-moderate sc-28-01 +SCF:CRY-05 nist-800-82-r3 sc-13 +SCF:CRY-05 nist-800-82-r3 sc-28 +SCF:CRY-05 nist-800-82-r3 sc-28-01 +SCF:CRY-05 nist-800-82-r3-low-ot-overlay sc-13 +SCF:CRY-05 nist-800-82-r3-moderate-ot-overlay sc-13 +SCF:CRY-05 nist-800-82-r3-moderate-ot-overlay sc-28 +SCF:CRY-05 nist-800-82-r3-moderate-ot-overlay sc-28-01 +SCF:CRY-05 nist-800-82-r3-high-ot-overlay sc-13 +SCF:CRY-05 nist-800-82-r3-high-ot-overlay sc-28 +SCF:CRY-05 nist-800-82-r3-high-ot-overlay sc-28-01 +SCF:CRY-05 nist-800-160-vol2-r1 sc-28-01 +SCF:CRY-05 nist-800-161-r1 sc-28 +SCF:CRY-05 nist-800-161-r1-flow-down sc-28 +SCF:CRY-05 nist-800-161-r1-level-2 sc-28 +SCF:CRY-05 nist-800-161-r1-level-3 sc-28 +SCF:CRY-05 nist-800-171-r2 _3.8.6 +SCF:CRY-05 nist-800-171-r2 _3.13.16 +SCF:CRY-05 nist-800-171-r3 _03.13.08 +SCF:CRY-05 nist-800-171a _3.8.6 +SCF:CRY-05 nist-800-171a-r3 a.03.13.08-02 +SCF:CRY-05 nist-800-171a-r3 a.03.13.11.odp-01 +SCF:CRY-05 nist-800-171a-r3 a.03.13.11 +SCF:CRY-05 nist-csf-2.0 pr.ds-01 +SCF:CRY-05 owasp-top-10-2025 a04-2025 +SCF:CRY-05 pci-dss-4.0.1 _3.3.2 +SCF:CRY-05 pci-dss-4.0.1 _3.5 +SCF:CRY-05 pci-dss-4.0.1 _3.5.1.2 +SCF:CRY-05 pci-dss-4.0.1 _3.5.1.3 +SCF:CRY-05 pci-dss-4.0.1 _8.3.2 +SCF:CRY-05 pci-dss-4.0.1 _9.4 +SCF:CRY-05 pci-dss-4.0.1-saq-a-ep _8.3.2 +SCF:CRY-05 pci-dss-4.0.1-saq-c _8.3.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-merchant _3.3.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-merchant _3.5.1.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-merchant _3.5.1.3 +SCF:CRY-05 pci-dss-4.0.1-saq-d-merchant _8.3.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-service-provider _3.3.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-service-provider _3.5.1.2 +SCF:CRY-05 pci-dss-4.0.1-saq-d-service-provider _3.5.1.3 +SCF:CRY-05 pci-dss-4.0.1-saq-d-service-provider _8.3.2 +SCF:CRY-05.1 nist-csf-function-grouping protect +SCF:CRY-05.1 cis-csc-8.1 _3.9 +SCF:CRY-05.1 cis-csc-8.1-ig2 _3.9 +SCF:CRY-05.1 cis-csc-8.1-ig3 _3.9 +SCF:CRY-05.1 csa-ccm-4.1.0 uem-08 +SCF:CRY-05.1 nist-800-171-r3 _03.13.08 +SCF:CRY-05.1 pci-dss-4.0.1 _9.4 +SCF:CRY-05.2 nist-csf-function-grouping protect +SCF:CRY-05.2 nist-800-53-r4 sc-28-2 +SCF:CRY-05.2 nist-800-53-r5 sc-28-02 +SCF:CRY-05.2 nist-800-53b-r5-privacy sc-28-02 +SCF:CRY-05.2 nist-800-82-r3 sc-28-02 +SCF:CRY-05.3 nist-csf-function-grouping protect +SCF:CRY-06 nist-csf-function-grouping protect +SCF:CRY-06 cis-csc-8.1 _4.6 +SCF:CRY-06 cis-csc-8.1 _12.3 +SCF:CRY-06 cis-csc-8.1-ig1 _4.6 +SCF:CRY-06 cis-csc-8.1-ig2 _4.6 +SCF:CRY-06 cis-csc-8.1-ig2 _12.3 +SCF:CRY-06 cis-csc-8.1-ig3 _4.6 +SCF:CRY-06 cis-csc-8.1-ig3 _12.3 +SCF:CRY-06 pci-dss-4.0.1 _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-a-ep _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-b-ip _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-c _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-c-vt _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-d-merchant _2.2.7 +SCF:CRY-06 pci-dss-4.0.1-saq-d-service-provider _2.2.7 +SCF:CRY-07 nist-csf-function-grouping protect +SCF:CRY-07 csa-iot-scf-2 sws-07 +SCF:CRY-07 iec-62443-3-3-2013 sr-1.6 +SCF:CRY-07 iec-62443-4-2-2019 cr-1.6 +SCF:CRY-07 nist-800-53-r4 ac-18 +SCF:CRY-07 nist-800-53-r4 sc-40 +SCF:CRY-07 nist-800-53-r5 ac-18 +SCF:CRY-07 nist-800-53-r5 sc-40 +SCF:CRY-07 nist-800-53b-r5-privacy ac-18 +SCF:CRY-07 nist-800-53b-r5-privacy sc-40 +SCF:CRY-07 nist-800-53b-r5-low ac-18 +SCF:CRY-07 nist-800-82-r3 ac-18 +SCF:CRY-07 nist-800-82-r3 sc-40 +SCF:CRY-07 nist-800-82-r3-low-ot-overlay ac-18 +SCF:CRY-07 nist-800-82-r3-moderate-ot-overlay ac-18 +SCF:CRY-07 nist-800-82-r3-high-ot-overlay ac-18 +SCF:CRY-07 nist-800-161-r1 ac-18 +SCF:CRY-07 nist-800-161-r1-c-scrm-baseline ac-18 +SCF:CRY-07 nist-800-161-r1-level-1 ac-18 +SCF:CRY-07 nist-800-161-r1-level-2 ac-18 +SCF:CRY-07 nist-800-161-r1-level-3 ac-18 +SCF:CRY-07 nist-800-171-r3 _03.01.16.a +SCF:CRY-07 nist-800-207 nist-tenet-2 +SCF:CRY-07 pci-dss-4.0.1 _2.3.1 +SCF:CRY-07 pci-dss-4.0.1 _2.3.2 +SCF:CRY-07 pci-dss-4.0.1 _4.2.1.2 +SCF:CRY-07 pci-dss-4.0.1-saq-b-ip _2.3.1 +SCF:CRY-07 pci-dss-4.0.1-saq-b-ip _2.3.2 +SCF:CRY-07 pci-dss-4.0.1-saq-c _2.3.1 +SCF:CRY-07 pci-dss-4.0.1-saq-c _2.3.2 +SCF:CRY-07 pci-dss-4.0.1-saq-c _4.2.1.2 +SCF:CRY-07 pci-dss-4.0.1-saq-c-vt _2.3.1 +SCF:CRY-07 pci-dss-4.0.1-saq-c-vt _2.3.2 +SCF:CRY-07 pci-dss-4.0.1-saq-c-vt _4.2.1.2 +SCF:CRY-07 pci-dss-4.0.1-saq-d-merchant _2.3.1 +SCF:CRY-07 pci-dss-4.0.1-saq-d-merchant _2.3.2 +SCF:CRY-07 pci-dss-4.0.1-saq-d-merchant _4.2.1.2 +SCF:CRY-07 pci-dss-4.0.1-saq-d-service-provider _2.3.1 +SCF:CRY-07 pci-dss-4.0.1-saq-d-service-provider _2.3.2 +SCF:CRY-07 pci-dss-4.0.1-saq-d-service-provider _4.2.1.2 +SCF:CRY-08 nist-csf-function-grouping protect +SCF:CRY-08 csa-ccm-4.1.0 cek-08 +SCF:CRY-08 csa-ccm-4.1.0 log-11 +SCF:CRY-08 csa-iot-scf-2 cls-01 +SCF:CRY-08 csa-iot-scf-2 iam-10 +SCF:CRY-08 csa-iot-scf-2 sdv-01 +SCF:CRY-08 iec-62443-4-2-2019 cr-1.8 +SCF:CRY-08 nist-800-53-r4 sc-12 +SCF:CRY-08 nist-800-53-r4 sc-12-4 +SCF:CRY-08 nist-800-53-r4 sc-12-5 +SCF:CRY-08 nist-800-53-r4 sc-17 +SCF:CRY-08 nist-800-53-r5 sc-12 +SCF:CRY-08 nist-800-53-r5 sc-17 +SCF:CRY-08 nist-800-53b-r5-low sc-12 +SCF:CRY-08 nist-800-53b-r5-moderate sc-17 +SCF:CRY-08 nist-800-82-r3 sc-12 +SCF:CRY-08 nist-800-82-r3 sc-17 +SCF:CRY-08 nist-800-82-r3-low-ot-overlay sc-12 +SCF:CRY-08 nist-800-82-r3-moderate-ot-overlay sc-12 +SCF:CRY-08 nist-800-82-r3-moderate-ot-overlay sc-17 +SCF:CRY-08 nist-800-82-r3-high-ot-overlay sc-12 +SCF:CRY-08 nist-800-82-r3-high-ot-overlay sc-17 +SCF:CRY-08 nist-800-171-r2 _3.13.10 +SCF:CRY-08 nist-800-171-r3 _03.13.10 +SCF:CRY-08 nist-800-171a _3.13.10-a +SCF:CRY-08 nist-800-171a _3.13.10-b +SCF:CRY-08 nist-800-207 nist-tenet-2 +SCF:CRY-08 owasp-top-10-2025 a04-2025 +SCF:CRY-08.1 nist-csf-function-grouping recover +SCF:CRY-08.1 pci-dss-4.0.1 _3.6.1 +SCF:CRY-08.1 pci-dss-4.0.1-saq-d-merchant _3.6.1 +SCF:CRY-08.1 pci-dss-4.0.1-saq-d-service-provider _3.6.1 +SCF:CRY-09 nist-csf-function-grouping protect +SCF:CRY-09 csa-ccm-4.1.0 cek-08 +SCF:CRY-09 csa-ccm-4.1.0 cek-10 +SCF:CRY-09 csa-ccm-4.1.0 cek-11 +SCF:CRY-09 csa-ccm-4.1.0 cek-12 +SCF:CRY-09 csa-ccm-4.1.0 cek-13 +SCF:CRY-09 csa-ccm-4.1.0 cek-14 +SCF:CRY-09 csa-ccm-4.1.0 cek-15 +SCF:CRY-09 csa-ccm-4.1.0 cek-16 +SCF:CRY-09 csa-ccm-4.1.0 cek-17 +SCF:CRY-09 csa-ccm-4.1.0 cek-18 +SCF:CRY-09 csa-ccm-4.1.0 cek-19 +SCF:CRY-09 csa-ccm-4.1.0 cek-20 +SCF:CRY-09 csa-ccm-4.1.0 cek-21 +SCF:CRY-09 csa-ccm-4.1.0 log-11 +SCF:CRY-09 csa-iot-scf-2 cls-01 +SCF:CRY-09 csa-iot-scf-2 iam-08 +SCF:CRY-09 csa-iot-scf-2 iam-10 +SCF:CRY-09 csa-iot-scf-2 iam-11 +SCF:CRY-09 csa-iot-scf-2 iam-12 +SCF:CRY-09 csa-iot-scf-2 iam-13 +SCF:CRY-09 csa-iot-scf-2 iam-14 +SCF:CRY-09 csa-iot-scf-2 iam-15 +SCF:CRY-09 csa-iot-scf-2 iam-16 +SCF:CRY-09 csa-iot-scf-2 sdv-01 +SCF:CRY-09 csa-iot-scf-2 sws-10 +SCF:CRY-09 iec-62443-2-1-2024 data-1.6 +SCF:CRY-09 iec-62443-4-2-2019 cr-1.9-d +SCF:CRY-09 iec-62443-4-2-2019 cr-1.9-e +SCF:CRY-09 iec-62443-4-2-2019 cr-1.9-f +SCF:CRY-09 iso-27002-2022 _8.24 +SCF:CRY-09 iso-27017-2015 _10.1.2 +SCF:CRY-09 iso-27018-2025 _8.24 +SCF:CRY-09 iso-27018-2025 _8.24-a +SCF:CRY-09 nist-800-53-r5 sc-28-03 +SCF:CRY-09 nist-800-82-r3 sc-28-03 +SCF:CRY-09 nist-800-171-r2 _3.13.10 +SCF:CRY-09 nist-800-171-r3 _03.13.10 +SCF:CRY-09 nist-800-171a _3.13.10-a +SCF:CRY-09 nist-800-171a _3.13.10-b +SCF:CRY-09 nist-800-171a-r3 a.03.13.10.odp-01 +SCF:CRY-09 nist-800-171a-r3 a.03.13.10-01 +SCF:CRY-09 nist-800-171a-r3 a.03.13.10-02 +SCF:CRY-09 owasp-top-10-2025 a04-2025 +SCF:CRY-09 pci-dss-4.0.1 _3.5.1.1 +SCF:CRY-09 pci-dss-4.0.1 _3.6 +SCF:CRY-09 pci-dss-4.0.1 _3.6.1 +SCF:CRY-09 pci-dss-4.0.1 _3.6.1.1 +SCF:CRY-09 pci-dss-4.0.1 _3.6.1.2 +SCF:CRY-09 pci-dss-4.0.1 _3.6.1.3 +SCF:CRY-09 pci-dss-4.0.1 _3.6.1.4 +SCF:CRY-09 pci-dss-4.0.1 _3.7 +SCF:CRY-09 pci-dss-4.0.1 _3.7.1 +SCF:CRY-09 pci-dss-4.0.1 _3.7.2 +SCF:CRY-09 pci-dss-4.0.1 _3.7.3 +SCF:CRY-09 pci-dss-4.0.1 _3.7.4 +SCF:CRY-09 pci-dss-4.0.1 _3.7.5 +SCF:CRY-09 pci-dss-4.0.1 _3.7.6 +SCF:CRY-09 pci-dss-4.0.1 _3.7.7 +SCF:CRY-09 pci-dss-4.0.1 _4.2.1.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.5.1.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.6.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.6.1.2 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.6.1.3 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.6.1.4 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.2 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.3 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.4 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.5 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.6 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _3.7.7 +SCF:CRY-09 pci-dss-4.0.1-saq-d-merchant _4.2.1.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.5.1.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.6.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.6.1.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.6.1.2 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.6.1.3 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.6.1.4 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.1 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.2 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.3 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.4 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.5 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.6 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _3.7.7 +SCF:CRY-09 pci-dss-4.0.1-saq-d-service-provider _4.2.1.1 +SCF:CRY-09.1 nist-csf-function-grouping protect +SCF:CRY-09.1 iec-62443-4-2-2019 cr-1.14 +SCF:CRY-09.1 iec-62443-4-2-2019 cr-1.14-a +SCF:CRY-09.1 iec-62443-4-2-2019 cr-1.14-b +SCF:CRY-09.1 iec-62443-4-2-2019 cr-1.14-c +SCF:CRY-09.1 iec-62443-4-2-2019 cr-1.14-d +SCF:CRY-09.1 nist-800-53-r4 sc-12-2 +SCF:CRY-09.1 nist-800-53-r5 sc-12-02 +SCF:CRY-09.1 nist-800-82-r3 sc-12-02 +SCF:CRY-09.2 nist-csf-function-grouping protect +SCF:CRY-09.2 nist-800-53-r4 sc-12-3 +SCF:CRY-09.2 nist-800-53-r5 sc-12-03 +SCF:CRY-09.2 nist-800-82-r3 sc-12-03 +SCF:CRY-09.3 nist-csf-function-grouping protect +SCF:CRY-09.3 csa-ccm-4.1.0 cek-12 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-13 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-14 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-15 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-16 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-17 +SCF:CRY-09.3 csa-ccm-4.1.0 cek-19 +SCF:CRY-09.3 csa-iot-scf-2 iam-10 +SCF:CRY-09.3 csa-iot-scf-2 iam-11 +SCF:CRY-09.3 csa-iot-scf-2 iam-13 +SCF:CRY-09.3 iso-27002-2022 _8.24 +SCF:CRY-09.3 iso-27017-2015 _10.1.2 +SCF:CRY-09.3 iso-27018-2025 _8.24 +SCF:CRY-09.3 nist-800-53-r4 sc-12-1 +SCF:CRY-09.3 nist-800-53-r5 sc-12-01 +SCF:CRY-09.3 nist-800-53b-r5-high sc-12-01 +SCF:CRY-09.3 nist-800-82-r3 sc-12-01 +SCF:CRY-09.3 nist-800-82-r3-high-ot-overlay sc-12-01 +SCF:CRY-09.3 nist-800-171-r3 _03.13.10 +SCF:CRY-09.3 pci-dss-4.0.1 _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1 _3.6.1 +SCF:CRY-09.3 pci-dss-4.0.1 _3.7.5 +SCF:CRY-09.3 pci-dss-4.0.1-saq-b-ip _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1-saq-c _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1-saq-c-vt _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-merchant _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-merchant _3.6.1 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-merchant _3.7.5 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-service-provider _2.3.2 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-service-provider _3.6.1 +SCF:CRY-09.3 pci-dss-4.0.1-saq-d-service-provider _3.7.5 +SCF:CRY-09.4 nist-csf-function-grouping protect +SCF:CRY-09.4 csa-ccm-4.1.0 cek-10 +SCF:CRY-09.4 csa-ccm-4.1.0 cek-11 +SCF:CRY-09.4 csa-ccm-4.1.0 cek-12 +SCF:CRY-09.4 csa-ccm-4.1.0 cek-15 +SCF:CRY-09.4 iso-27002-2022 _8.24 +SCF:CRY-09.4 iso-27017-2015 _10.1.2 +SCF:CRY-09.4 iso-27018-2025 _8.24 +SCF:CRY-09.4 nist-800-171-r3 _03.13.10 +SCF:CRY-09.4 pci-dss-4.0.1 _3.6.1 +SCF:CRY-09.4 pci-dss-4.0.1-saq-d-merchant _3.6.1 +SCF:CRY-09.4 pci-dss-4.0.1-saq-d-service-provider _3.6.1 +SCF:CRY-09.5 nist-csf-function-grouping protect +SCF:CRY-09.6 nist-csf-function-grouping protect +SCF:CRY-09.6 pci-dss-4.0.1 _3.7.9 +SCF:CRY-09.6 pci-dss-4.0.1-saq-d-service-provider _3.7.9 +SCF:CRY-09.7 nist-csf-function-grouping protect +SCF:CRY-09.7 nist-800-53-r5 sa-09-06 +SCF:CRY-09.7 nist-800-82-r3 sa-09-06 +SCF:CRY-10 nist-csf-function-grouping protect +SCF:CRY-10 nist-800-53-r4 sc-16 +SCF:CRY-10 nist-800-53-r4 sc-16-1 +SCF:CRY-10 nist-800-53-r5 sc-16 +SCF:CRY-10 nist-800-53-r5 sc-16-01 +SCF:CRY-10 nist-800-53b-r5-privacy sc-16-01 +SCF:CRY-10 nist-800-82-r3 sc-16 +SCF:CRY-10 nist-800-82-r3 sc-16-01 +SCF:CRY-10 nist-800-160-vol2-r1 sc-16-01 +SCF:CRY-11 nist-csf-function-grouping protect +SCF:CRY-11 nist-800-53-r4 sc-23-5 +SCF:CRY-11 nist-800-53-r5 sc-23-05 +SCF:CRY-11 nist-800-82-r3 sc-23-05 +SCF:CRY-12 nist-csf-function-grouping protect +SCF:CRY-13 nist-csf-function-grouping protect +SCF:CRY-13 nist-800-172 _3.14.1e +SCF:DCH-01 nist-csf-function-grouping govern +SCF:DCH-01 cis-csc-8.1 _3.0 +SCF:DCH-01 cis-csc-8.1 _3.1 +SCF:DCH-01 cis-csc-8.1 _3.3 +SCF:DCH-01 cis-csc-8.1 _11.0 +SCF:DCH-01 cis-csc-8.1 _11.3 +SCF:DCH-01 cis-csc-8.1-ig1 _3.1 +SCF:DCH-01 cis-csc-8.1-ig1 _3.3 +SCF:DCH-01 cis-csc-8.1-ig1 _11.3 +SCF:DCH-01 cis-csc-8.1-ig2 _3.1 +SCF:DCH-01 cis-csc-8.1-ig2 _3.3 +SCF:DCH-01 cis-csc-8.1-ig2 _11.3 +SCF:DCH-01 cis-csc-8.1-ig3 _3.1 +SCF:DCH-01 cis-csc-8.1-ig3 _3.3 +SCF:DCH-01 cis-csc-8.1-ig3 _11.3 +SCF:DCH-01 cobit-2019 apo14.01 +SCF:DCH-01 cobit-2019 apo14.03 +SCF:DCH-01 cobit-2019 apo14.08 +SCF:DCH-01 cobit-2019 apo14.09 +SCF:DCH-01 cobit-2019 dss06.02 +SCF:DCH-01 cobit-2019 dss06.06 +SCF:DCH-01 coso-2013 _13 +SCF:DCH-01 csa-ccm-4.1.0 cek-04 +SCF:DCH-01 csa-ccm-4.1.0 dsp-10 +SCF:DCH-01 csa-ccm-4.1.0 dsp-17 +SCF:DCH-01 csa-iot-scf-2 lgl-08 +SCF:DCH-01 iec-62443-2-1-2024 data-1.2 +SCF:DCH-01 iso-27002-2022 _5.9 +SCF:DCH-01 iso-27002-2022 _5.1 +SCF:DCH-01 iso-27002-2022 _5.12 +SCF:DCH-01 iso-27002-2022 _5.33 +SCF:DCH-01 iso-27002-2022 _7.1 +SCF:DCH-01 iso-27002-2022 _8.12 +SCF:DCH-01 iso-27017-2015 _8.1.1 +SCF:DCH-01 iso-27017-2015 _8.1.3 +SCF:DCH-01 iso-27017-2015 _8.2.1 +SCF:DCH-01 iso-27017-2015 _8.2.3 +SCF:DCH-01 iso-27018-2025 _5.9 +SCF:DCH-01 iso-27018-2025 _5.10 +SCF:DCH-01 iso-27018-2025 _5.12 +SCF:DCH-01 iso-27018-2025 _5.33 +SCF:DCH-01 iso-27018-2025 _7.10 +SCF:DCH-01 iso-27018-2025 _8.12 +SCF:DCH-01 iso-27701-2025 _7.5.3-b +SCF:DCH-01 iso-42001-2023 _7.5.3 +SCF:DCH-01 iso-42001-2023 _7.5.3-a +SCF:DCH-01 iso-42001-2023 _7.5.3-b +SCF:DCH-01 nist-privacy-framework-1.0 id.im-p +SCF:DCH-01 nist-privacy-framework-1.0 gv.po-p1 +SCF:DCH-01 nist-privacy-framework-1.0 ct.dm-p1 +SCF:DCH-01 nist-privacy-framework-1.0 ct.dm-p2 +SCF:DCH-01 nist-privacy-framework-1.0 ct.dm-p3 +SCF:DCH-01 nist-privacy-framework-1.0 ct.dm-p4 +SCF:DCH-01 nist-privacy-framework-1.0 pr.ds-p +SCF:DCH-01 nist-800-53-r4 mp-1 +SCF:DCH-01 nist-800-53-r5 mp-01 +SCF:DCH-01 nist-800-53b-r5-privacy mp-01 +SCF:DCH-01 nist-800-53b-r5-low mp-01 +SCF:DCH-01 nist-sp-800-66-r2 _164.310-d +SCF:DCH-01 nist-sp-800-66-r2 _164.312-c +SCF:DCH-01 nist-800-82-r3 mp-01 +SCF:DCH-01 nist-800-82-r3-low-ot-overlay mp-01 +SCF:DCH-01 nist-800-82-r3-moderate-ot-overlay mp-01 +SCF:DCH-01 nist-800-82-r3-high-ot-overlay mp-01 +SCF:DCH-01 nist-800-161-r1 mp-1 +SCF:DCH-01 nist-800-161-r1-c-scrm-baseline mp-1 +SCF:DCH-01 nist-800-161-r1-level-1 mp-1 +SCF:DCH-01 nist-800-161-r1-level-2 mp-1 +SCF:DCH-01 nist-800-171-r2 _3.8.1 +SCF:DCH-01 nist-800-171-r2 _3.8.3 +SCF:DCH-01 nist-800-171-r2 nfo-mp-1 +SCF:DCH-01 nist-800-171-r3 _03.01.01.d.01 +SCF:DCH-01 nist-800-171-r3 _03.01.01.d.02 +SCF:DCH-01 nist-800-171-r3 _03.08.01 +SCF:DCH-01 nist-800-171a _3.8.1-a +SCF:DCH-01 nist-800-171a _3.8.1-b +SCF:DCH-01 nist-800-171a _3.8.1-c +SCF:DCH-01 nist-800-171a _3.8.1-d +SCF:DCH-01 nist-800-207 nist-tenet-1 +SCF:DCH-01 nist-csf-2.0 id.am-08 +SCF:DCH-01 nist-csf-2.0 pr.ds +SCF:DCH-01 nist-csf-2.0 pr.ds-01 +SCF:DCH-01 nist-csf-2.0 pr.ds-02 +SCF:DCH-01 nist-csf-2.0 pr.ds-10 +SCF:DCH-01 pci-dss-4.0.1 _9.4 +SCF:DCH-01 pci-dss-4.0.1 _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-a _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-a-ep _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-b _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-b-ip _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-c _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-c-vt _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-d-merchant _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-d-service-provider _9.4.1 +SCF:DCH-01 pci-dss-4.0.1-saq-p2pe _9.4.1 +SCF:DCH-01.1 nist-csf-function-grouping protect +SCF:DCH-01.1 cis-csc-8.1 _3.1 +SCF:DCH-01.1 cis-csc-8.1-ig1 _3.1 +SCF:DCH-01.1 cis-csc-8.1-ig2 _3.1 +SCF:DCH-01.1 cis-csc-8.1-ig3 _3.1 +SCF:DCH-01.1 coso-2013 _13 +SCF:DCH-01.1 csa-ccm-4.1.0 dsp-06 +SCF:DCH-01.1 nist-800-53-r5 sa-04-12 +SCF:DCH-01.1 nist-800-53b-r5-privacy sa-04-12 +SCF:DCH-01.1 nist-800-82-r3 sa-04-12 +SCF:DCH-01.1 nist-800-82-r3-low-ot-overlay sa-04-12 +SCF:DCH-01.1 nist-800-82-r3-moderate-ot-overlay sa-04-12 +SCF:DCH-01.1 nist-800-82-r3-high-ot-overlay sa-04-12 +SCF:DCH-01.1 nist-800-171-r3 _03.08.01 +SCF:DCH-01.1 nist-800-171-r3 _03.08.05.a +SCF:DCH-01.1 nist-csf-2.0 id.am-08 +SCF:DCH-01.1 nist-csf-2.0 pr.ds +SCF:DCH-01.1 pci-dss-4.0.1 _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-a _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-a-ep _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-b _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-b-ip _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-c _9.4.1 +SCF:DCH-02.1 csa-iot-scf-2 gvn-06 +SCF:DCH-01.1 pci-dss-4.0.1-saq-c-vt _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-d-merchant _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-d-service-provider _9.4.1 +SCF:DCH-01.1 pci-dss-4.0.1-saq-p2pe _9.4.1 +SCF:DCH-01.2 nist-csf-function-grouping protect +SCF:DCH-01.2 cis-csc-8.1 _3.1 +SCF:DCH-01.2 cis-csc-8.1-ig1 _3.1 +SCF:DCH-01.2 cis-csc-8.1-ig2 _3.1 +SCF:DCH-01.2 cis-csc-8.1-ig3 _3.1 +SCF:DCH-01.2 cobit-2019 dss06.02 +SCF:DCH-01.2 cobit-2019 dss06.06 +SCF:DCH-01.2 iec-62443-2-1-2024 data-1.2 +SCF:DCH-01.2 iso-27701-2025 _7.5.3-b +SCF:DCH-01.2 iso-42001-2023 _7.5.3 +SCF:DCH-01.2 iso-42001-2023 _7.5.3-a +SCF:DCH-01.2 iso-42001-2023 _7.5.3-b +SCF:DCH-01.2 nist-privacy-framework-1.0 ct.dm-p1 +SCF:DCH-01.2 nist-privacy-framework-1.0 ct.dm-p2 +SCF:DCH-01.2 nist-sp-800-66-r2 _164.312-c +SCF:DCH-01.2 nist-800-171-r2 _3.10.6 +SCF:DCH-01.2 nist-800-171-r3 _03.01.01.d.01 +SCF:DCH-01.2 nist-800-171-r3 _03.01.01.d.02 +SCF:DCH-01.2 nist-800-171-r3 _03.01.02 +SCF:DCH-01.2 nist-800-171-r3 _03.01.20.a +SCF:DCH-01.2 nist-800-171-r3 _03.01.20.b +SCF:DCH-01.2 nist-800-171-r3 _03.01.20.c.01 +SCF:DCH-01.2 nist-800-171-r3 _03.01.20.d +SCF:DCH-01.2 nist-800-171-r3 _03.06.05.d +SCF:DCH-01.2 nist-800-171-r3 _03.08.01 +SCF:DCH-01.2 nist-800-171-r3 _03.08.02 +SCF:DCH-01.2 nist-800-171-r3 _03.08.05.a +SCF:DCH-01.2 nist-800-171-r3 _03.17.01.c +SCF:DCH-01.2 nist-800-172 _3.14.5e +SCF:DCH-01.2 nist-800-207 nist-tenet-4 +SCF:DCH-01.2 nist-csf-2.0 pr.ds +SCF:DCH-01.2 pci-dss-4.0.1 _3.5 +SCF:DCH-01.2 pci-dss-4.0.1 _3.5.1 +SCF:DCH-01.2 pci-dss-4.0.1-saq-d-merchant _3.5.1 +SCF:DCH-01.2 pci-dss-4.0.1-saq-d-service-provider _3.5.1 +SCF:DCH-01.3 nist-csf-function-grouping protect +SCF:DCH-01.3 nist-800-171-r3 _03.08.05.c +SCF:DCH-01.3 nist-csf-2.0 pr.ds +SCF:DCH-01.4 nist-csf-function-grouping protect +SCF:DCH-01.4 cis-csc-8.1 _3.1 +SCF:DCH-01.4 cis-csc-8.1 _3.3 +SCF:DCH-01.4 cis-csc-8.1-ig1 _3.1 +SCF:DCH-01.4 cis-csc-8.1-ig1 _3.3 +SCF:DCH-01.4 cis-csc-8.1-ig2 _3.1 +SCF:DCH-01.4 cis-csc-8.1-ig2 _3.3 +SCF:DCH-01.4 cis-csc-8.1-ig3 _3.1 +SCF:DCH-01.4 cis-csc-8.1-ig3 _3.3 +SCF:DCH-01.4 cobit-2019 dss06.02 +SCF:DCH-01.4 cobit-2019 dss06.06 +SCF:DCH-01.4 csa-ccm-4.1.0 bcr-05 +SCF:DCH-01.4 iso-42001-2023 _7.5.3 +SCF:DCH-01.4 iso-42001-2023 _7.5.3-a +SCF:DCH-01.4 iso-42001-2023 _7.5.3-b +SCF:DCH-01.4 nist-800-171-r3 _03.01.02 +SCF:DCH-01.4 nist-800-171-r3 _03.01.03 +SCF:DCH-01.4 nist-800-171-r3 _03.01.04.b +SCF:DCH-01.4 nist-800-171-r3 _03.08.01 +SCF:DCH-01.4 nist-800-171-r3 _03.08.02 +SCF:DCH-01.4 nist-800-171-r3 _03.10.01.a +SCF:DCH-01.4 nist-800-171-r3 _03.15.02.c +SCF:DCH-01.4 nist-800-171-r3 _03.17.01.c +SCF:DCH-01.4 nist-800-171a-r3 a.03.15.02.c +SCF:DCH-01.4 nist-800-171a-r3 a.03.17.01.c +SCF:DCH-01.4 nist-800-207 nist-tenet-3 +SCF:DCH-01.4 nist-800-207 nist-tenet-4 +SCF:DCH-01.4 nist-csf-2.0 pr.ds +SCF:DCH-02 nist-csf-function-grouping identify +SCF:DCH-02 cis-csc-8.1 _3.1 +SCF:DCH-02 cis-csc-8.1 _3.7 +SCF:DCH-02 cis-csc-8.1-ig1 _3.1 +SCF:DCH-02 cis-csc-8.1-ig2 _3.1 +SCF:DCH-02 cis-csc-8.1-ig2 _3.7 +SCF:DCH-02 cis-csc-8.1-ig3 _3.1 +SCF:DCH-02 cis-csc-8.1-ig3 _3.7 +SCF:DCH-02 cobit-2019 apo14.05 +SCF:DCH-02 coso-2013 _13 +SCF:DCH-02 csa-ccm-4.1.0 dcs-06 +SCF:DCH-02 csa-ccm-4.1.0 dsp-04 +SCF:DCH-02 csa-iot-scf-2 dat-01 +SCF:DCH-02 csa-iot-scf-2 gvn-06 +SCF:DCH-02 iec-62443-2-1-2024 data-1.1 +SCF:DCH-02 iec-62443-2-1-2024 data-1.2 +SCF:DCH-02 iso-27002-2022 _5.9 +SCF:DCH-02 iso-27002-2022 _5.12 +SCF:DCH-02 iso-27017-2015 _8.1.1 +SCF:DCH-02 iso-27017-2015 _8.2.1 +SCF:DCH-02 iso-27018-2025 _5.9 +SCF:DCH-02 iso-27018-2025 _5.12 +SCF:DCH-02 nist-ai-100-1-ai-rmf-1.0 govern-1.6 +SCF:DCH-02 nist-800-37-r2 task-p-12 +SCF:DCH-02 nist-800-37-r2 task-c-2 +SCF:DCH-02 nist-800-171-r3 _03.04.11.a +SCF:DCH-02 nist-800-171-r3 _03.08.01 +SCF:DCH-02 nist-800-171-r3 _03.08.04 +SCF:DCH-02 nist-800-207 nist-tenet-1 +SCF:DCH-02 nist-csf-2.0 id.am-05 +SCF:DCH-02 nist-csf-2.0 pr.ds +SCF:DCH-02 pci-dss-4.0.1 _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-a _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-a-ep _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-b _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-b-ip _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-c _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-c-vt _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-d-merchant _9.4.2 +SCF:DCH-02 pci-dss-4.0.1-saq-d-service-provider _9.4.2 +SCF:DCH-02.1 nist-csf-function-grouping protect +SCF:DCH-02.1 cis-csc-8.1 _3.7 +SCF:DCH-02.1 cis-csc-8.1 _3.12 +SCF:DCH-02.1 cis-csc-8.1-ig2 _3.7 +SCF:DCH-02.1 cis-csc-8.1-ig2 _3.12 +SCF:DCH-02.1 cis-csc-8.1-ig3 _3.7 +SCF:DCH-02.1 cis-csc-8.1-ig3 _3.12 +SCF:DCH-02.1 csa-ccm-4.1.0 dsp-17 +SCF:DCH-03 nist-csf-function-grouping protect +SCF:DCH-03 cis-csc-8.1 _3.1 +SCF:DCH-03 cis-csc-8.1 _3.3 +SCF:DCH-03 cis-csc-8.1-ig1 _3.1 +SCF:DCH-03 cis-csc-8.1-ig1 _3.3 +SCF:DCH-03 cis-csc-8.1-ig2 _3.1 +SCF:DCH-03 cis-csc-8.1-ig2 _3.3 +SCF:DCH-03 cis-csc-8.1-ig3 _3.1 +SCF:DCH-03 cis-csc-8.1-ig3 _3.3 +SCF:DCH-03 iso-27002-2022 _7.1 +SCF:DCH-03 iso-27018-2025 _7.10 +SCF:DCH-03 nist-800-53-r4 mp-2 +SCF:DCH-03 nist-800-53-r5 mp-02 +SCF:DCH-03 nist-800-53b-r5-privacy mp-02 +SCF:DCH-03 nist-800-53b-r5-low mp-02 +SCF:DCH-03 nist-sp-800-66-r2 _164.310-d +SCF:DCH-03 nist-800-82-r3 mp-02 +SCF:DCH-03 nist-800-82-r3-low-ot-overlay mp-02 +SCF:DCH-03 nist-800-82-r3-moderate-ot-overlay mp-02 +SCF:DCH-03 nist-800-82-r3-high-ot-overlay mp-02 +SCF:DCH-03 nist-800-171-r2 _3.1.3 +SCF:DCH-03 nist-800-171-r2 _3.8.2 +SCF:DCH-03 nist-800-171-r3 _03.01.03 +SCF:DCH-03 nist-800-171-r3 _03.08.01 +SCF:DCH-03 nist-800-171-r3 _03.08.02 +SCF:DCH-03 nist-800-171a _3.1.3-c +SCF:DCH-03 nist-800-171a _3.8.2 +SCF:DCH-03 nist-800-171a-r3 a.03.08.02 +SCF:DCH-03 nist-csf-2.0 pr.ds +SCF:DCH-03.1 nist-csf-function-grouping protect +SCF:DCH-03.1 cis-csc-8.1 _3.1 +SCF:DCH-03.1 cis-csc-8.1 _3.3 +SCF:DCH-03.1 cis-csc-8.1-ig1 _3.1 +SCF:DCH-03.1 cis-csc-8.1-ig1 _3.3 +SCF:DCH-03.1 cis-csc-8.1-ig2 _3.1 +SCF:DCH-03.1 cis-csc-8.1-ig2 _3.3 +SCF:DCH-03.1 cis-csc-8.1-ig3 _3.1 +SCF:DCH-03.1 cis-csc-8.1-ig3 _3.3 +SCF:DCH-03.1 csa-ccm-4.1.0 bcr-05 +SCF:DCH-03.1 csa-ccm-4.1.0 dsp-18 +SCF:DCH-03.1 iso-22301-2019 _7.4-a +SCF:DCH-03.1 iso-22301-2019 _7.4-b +SCF:DCH-03.1 iso-22301-2019 _7.4-c +SCF:DCH-03.1 iso-22301-2019 _7.4-d +SCF:DCH-03.1 iso-22301-2019 _7.4-e +SCF:DCH-03.1 iso-22301-2019 _7.5.3.1 +SCF:DCH-03.1 iso-22301-2019 _7.5.3.1-a +SCF:DCH-03.1 iso-22301-2019 _7.5.3.2 +SCF:DCH-03.1 iso-22301-2019 _7.5.3.2-a +SCF:DCH-03.1 iso-22301-2019 _7.5.3.2-b +SCF:DCH-03.1 iso-22301-2019 _7.5.3.2-c +SCF:DCH-03.1 iso-22301-2019 _7.5.3.2-d +SCF:DCH-03.1 iso-42001-2023 _7.5.3 +SCF:DCH-03.1 iso-42001-2023 _7.5.3-a +SCF:DCH-03.1 iso-42001-2023 _7.5.3-b +SCF:DCH-03.1 nist-800-171-r3 _03.01.22.a +SCF:DCH-03.1 nist-800-171-r3 _03.15.02.c +SCF:DCH-03.1 nist-800-171-r3 _03.17.01.c +SCF:DCH-03.1 nist-800-171a-r3 a.03.15.02.c +SCF:DCH-03.1 nist-800-171a-r3 a.03.17.01.c +SCF:DCH-03.1 pci-dss-4.0.1 _7.1 +SCF:DCH-03.2 nist-csf-function-grouping protect +SCF:DCH-03.2 iso-27002-2022 _8.11 +SCF:DCH-03.2 iso-27018-2025 _8.11 +SCF:DCH-03.2 pci-dss-4.0.1 _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-b _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-b-ip _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-c _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-c-vt _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-d-merchant _3.4.1 +SCF:DCH-03.2 pci-dss-4.0.1-saq-d-service-provider _3.4.1 +SCF:DCH-03.3 nist-csf-function-grouping protect +SCF:DCH-03.3 nist-800-53-r4 ac-3-9 +SCF:DCH-03.3 nist-800-53-r5 ac-03-09 +SCF:DCH-03.3 nist-800-82-r3 ac-03-09 +SCF:DCH-03.3 nist-800-161-r1 ac-3-9 +SCF:DCH-03.3 nist-800-161-r1-level-2 ac-3-9 +SCF:DCH-03.3 nist-800-161-r1-level-3 ac-3-9 +SCF:DCH-04 nist-csf-function-grouping protect +SCF:DCH-04 iso-27002-2022 _5.1 +SCF:DCH-04 iso-27002-2022 _5.13 +SCF:DCH-04 iso-27017-2015 _8.1.3 +SCF:DCH-04 iso-27017-2015 _8.2.2 +SCF:DCH-04 iso-27018-2025 _5.10 +SCF:DCH-04 iso-27018-2025 _5.13 +SCF:DCH-04 nist-800-53-r4 mp-3 +SCF:DCH-04 nist-800-53-r5 mp-03 +SCF:DCH-04 nist-800-53b-r5-privacy mp-03 +SCF:DCH-04 nist-800-53b-r5-moderate mp-03 +SCF:DCH-04 nist-800-82-r3 mp-03 +SCF:DCH-04 nist-800-82-r3-moderate-ot-overlay mp-03 +SCF:DCH-04 nist-800-82-r3-high-ot-overlay mp-03 +SCF:DCH-04 nist-800-171-r2 _3.8.4 +SCF:DCH-04 nist-800-171-r3 _03.08.04 +SCF:DCH-04 nist-800-171a _3.8.4-a +SCF:DCH-04 nist-800-171a _3.8.4-b +SCF:DCH-04 nist-800-171a-r3 a.03.08.04-01 +SCF:DCH-04 nist-800-171a-r3 a.03.08.04-02 +SCF:DCH-04 nist-800-171a-r3 a.03.08.04-03 +SCF:DCH-04.1 nist-csf-function-grouping protect +SCF:DCH-04.1 csa-ccm-4.1.0 uem-11 +SCF:DCH-04.1 nist-800-53-r5 mp-03 +SCF:DCH-04.1 nist-800-53b-r5-privacy mp-03 +SCF:DCH-04.1 nist-800-53b-r5-moderate mp-03 +SCF:DCH-04.1 nist-800-82-r3 mp-03 +SCF:DCH-04.1 nist-800-82-r3-moderate-ot-overlay mp-03 +SCF:DCH-04.1 nist-800-82-r3-high-ot-overlay mp-03 +SCF:DCH-05 nist-csf-function-grouping protect +SCF:DCH-05 csa-iot-scf-2 dat-01 +SCF:DCH-05 nist-privacy-framework-1.0 ct.dm-p7 +SCF:DCH-05 nist-800-53-r4 ac-16 +SCF:DCH-05 nist-800-53-r5 ac-16 +SCF:DCH-05 nist-800-82-r3 ac-16 +SCF:DCH-05.1 nist-csf-function-grouping protect +SCF:DCH-05.1 nist-800-53-r5 ac-16-01 +SCF:DCH-05.1 nist-800-82-r3 ac-16-01 +SCF:DCH-05.2 nist-csf-function-grouping protect +SCF:DCH-05.2 nist-800-53-r5 ac-16-02 +SCF:DCH-05.2 nist-800-82-r3 ac-16-02 +SCF:DCH-05.3 nist-csf-function-grouping protect +SCF:DCH-05.3 nist-800-53-r5 ac-16-03 +SCF:DCH-05.3 nist-800-82-r3 ac-16-03 +SCF:DCH-05.4 nist-csf-function-grouping protect +SCF:DCH-05.4 nist-800-53-r5 ac-16-04 +SCF:DCH-05.4 nist-800-82-r3 ac-16-04 +SCF:DCH-05.5 nist-csf-function-grouping protect +SCF:DCH-05.5 nist-800-53-r5 ac-16-05 +SCF:DCH-05.5 nist-800-82-r3 ac-16-05 +SCF:DCH-05.6 nist-csf-function-grouping protect +SCF:DCH-05.6 nist-800-53-r5 ac-16-06 +SCF:DCH-05.6 nist-800-82-r3 ac-16-06 +SCF:DCH-05.7 nist-csf-function-grouping protect +SCF:DCH-05.7 nist-800-53-r5 ac-16-07 +SCF:DCH-05.7 nist-800-82-r3 ac-16-07 +SCF:DCH-05.8 nist-csf-function-grouping protect +SCF:DCH-05.8 nist-800-53-r5 ac-16-08 +SCF:DCH-05.8 nist-800-82-r3 ac-16-08 +SCF:DCH-05.9 nist-csf-function-grouping protect +SCF:DCH-05.9 nist-800-53-r5 ac-16-09 +SCF:DCH-05.9 nist-800-82-r3 ac-16-09 +SCF:DCH-05.10 nist-csf-function-grouping protect +SCF:DCH-05.10 nist-800-53-r5 ac-16-10 +SCF:DCH-05.10 nist-800-82-r3 ac-16-10 +SCF:DCH-05.11 nist-csf-function-grouping detect +SCF:DCH-06 nist-csf-function-grouping protect +SCF:DCH-06 iso-27002-2022 _7.1 +SCF:DCH-06 iso-27018-2025 _7.10 +SCF:DCH-06 nist-800-53-r4 mp-4 +SCF:DCH-06 nist-800-53-r5 mp-04 +SCF:DCH-06 nist-800-53b-r5-moderate mp-04 +SCF:DCH-06 nist-800-82-r3 mp-04 +SCF:DCH-06 nist-800-82-r3-moderate-ot-overlay mp-04 +SCF:DCH-06 nist-800-82-r3-high-ot-overlay mp-04 +SCF:DCH-06 nist-800-161-r1 mp-4 +SCF:DCH-06 nist-800-161-r1-flow-down mp-4 +SCF:DCH-06 nist-800-161-r1-level-1 mp-4 +SCF:DCH-06 nist-800-161-r1-level-2 mp-4 +SCF:DCH-06 nist-800-171-r2 _3.8.1 +SCF:DCH-06 nist-800-171-r3 _03.08.01 +SCF:DCH-06 nist-800-171a-r3 a.03.08.01-01 +SCF:DCH-06 nist-800-171a-r3 a.03.08.01-02 +SCF:DCH-06 nist-csf-2.0 id.am-07 +SCF:DCH-06 pci-dss-4.0.1 _9.1 +SCF:DCH-06 pci-dss-4.0.1 _9.4 +SCF:DCH-06 pci-dss-4.0.1 _9.4.1 +SCF:DCH-06 pci-dss-4.0.1 _9.4.1.2 +SCF:DCH-06 pci-dss-4.0.1-saq-a _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-a-ep _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-b _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-b-ip _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-c _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-c-vt _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-d-merchant _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-d-merchant _9.4.1.2 +SCF:DCH-06 pci-dss-4.0.1-saq-d-service-provider _9.4.1 +SCF:DCH-06 pci-dss-4.0.1-saq-d-service-provider _9.4.1.2 +SCF:DCH-06 pci-dss-4.0.1-saq-p2pe _9.4.1 +SCF:DCH-06.1 nist-csf-function-grouping protect +SCF:DCH-06.1 nist-800-171-r3 _03.08.01 +SCF:DCH-06.1 pci-dss-4.0.1 _9.1 +SCF:DCH-06.1 pci-dss-4.0.1 _9.4 +SCF:DCH-06.1 pci-dss-4.0.1 _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1 _9.4.1.2 +SCF:DCH-06.1 pci-dss-4.0.1-saq-a _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-a-ep _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-b _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-b-ip _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-c _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-c-vt _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-d-merchant _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-d-merchant _9.4.1.2 +SCF:DCH-06.1 pci-dss-4.0.1-saq-d-service-provider _9.4.1 +SCF:DCH-06.1 pci-dss-4.0.1-saq-d-service-provider _9.4.1.2 +SCF:DCH-06.1 pci-dss-4.0.1-saq-p2pe _9.4.1 +SCF:DCH-06.2 nist-csf-function-grouping detect +SCF:DCH-06.2 cis-csc-8.1 _3.2 +SCF:DCH-06.2 cis-csc-8.1-ig1 _3.2 +SCF:DCH-06.2 cis-csc-8.1-ig2 _3.2 +SCF:DCH-06.2 cis-csc-8.1-ig3 _3.2 +SCF:DCH-06.2 cobit-2019 dss06.02 +SCF:DCH-06.2 csa-ccm-4.1.0 dsp-17 +SCF:DCH-06.2 nist-privacy-framework-1.0 id.im-p3 +SCF:DCH-06.2 nist-800-171-r3 _03.04.11.a +SCF:DCH-06.2 nist-800-171-r3 _03.04.11.b +SCF:DCH-06.2 nist-800-172 _3.1.2e +SCF:DCH-06.2 nist-800-207 nist-tenet-1 +SCF:DCH-06.2 nist-csf-2.0 id.am-07 +SCF:DCH-06.2 pci-dss-4.0.1 _9.4.1.2 +SCF:DCH-06.2 pci-dss-4.0.1 _9.4.5 +SCF:DCH-06.2 pci-dss-4.0.1 _9.4.5.1 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-merchant _9.4.1.2 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-merchant _9.4.5 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-merchant _9.4.5.1 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-service-provider _9.4.1.2 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-service-provider _9.4.5 +SCF:DCH-06.2 pci-dss-4.0.1-saq-d-service-provider _9.4.5.1 +SCF:DCH-06.3 nist-csf-function-grouping detect +SCF:DCH-06.3 cis-csc-8.1 _3.2 +SCF:DCH-06.3 cis-csc-8.1-ig1 _3.2 +SCF:DCH-06.3 cis-csc-8.1-ig2 _3.2 +SCF:DCH-06.3 cis-csc-8.1-ig3 _3.2 +SCF:DCH-06.3 nist-csf-2.0 id.am-07 +SCF:DCH-06.3 pci-dss-4.0.1 a3.2.5 +SCF:DCH-06.3 pci-dss-4.0.1 a3.2.5.1 +SCF:DCH-06.4 nist-csf-function-grouping protect +SCF:DCH-06.4 csa-ccm-4.1.0 dsp-17 +SCF:DCH-06.4 nist-800-171-r3 _03.08.01 +SCF:DCH-06.4 pci-dss-4.0.1 _9.4 +SCF:DCH-06.5 nist-csf-function-grouping protect +SCF:DCH-06.5 pci-dss-4.0.1 _3.3 +SCF:DCH-06.5 pci-dss-4.0.1 _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1 _3.3.1.1 +SCF:DCH-06.5 pci-dss-4.0.1 _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1 _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1 _3.3.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-a-ep _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-a-ep _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-a-ep _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b _3.3.1.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b-ip _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b-ip _3.3.1.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b-ip _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-b-ip _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-c _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-c _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-c _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-c-vt _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-c-vt _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-merchant _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-merchant _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-merchant _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-service-provider _3.3.1 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-service-provider _3.3.1.2 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-service-provider _3.3.1.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-d-service-provider _3.3.3 +SCF:DCH-06.5 pci-dss-4.0.1-saq-p2pe _3.3.1.2 +SCF:DCH-07 nist-csf-function-grouping protect +SCF:DCH-07 csa-ccm-4.1.0 dcs-05 +SCF:DCH-07 iso-27002-2022 _5.14 +SCF:DCH-07 iso-27002-2022 _7.1 +SCF:DCH-07 iso-27017-2015 _8.3.3 +SCF:DCH-07 iso-27017-2015 _13.2.1 +SCF:DCH-07 iso-27018-2025 _5.14 +SCF:DCH-07 iso-27018-2025 _5.14-a +SCF:DCH-07 iso-27018-2025 _7.10 +SCF:DCH-07 nist-800-53-r4 mp-5 +SCF:DCH-07 nist-800-53-r5 mp-05 +SCF:DCH-07 nist-800-53b-r5-moderate mp-05 +SCF:DCH-07 nist-sp-800-66-r2 _164.310-d +SCF:DCH-07 nist-800-82-r3 mp-05 +SCF:DCH-07 nist-800-82-r3-moderate-ot-overlay mp-05 +SCF:DCH-07 nist-800-82-r3-high-ot-overlay mp-05 +SCF:DCH-07 nist-800-161-r1 mp-5 +SCF:DCH-07 nist-800-161-r1-level-1 mp-5 +SCF:DCH-07 nist-800-161-r1-level-2 mp-5 +SCF:DCH-07 nist-800-171-r2 _3.8.5 +SCF:DCH-07 nist-800-171-r3 _03.08.05.a +SCF:DCH-07 nist-800-171-r3 _03.08.05.b +SCF:DCH-07 nist-800-171a _3.8.5-a +SCF:DCH-07 nist-800-171a _3.8.5-b +SCF:DCH-07 nist-800-171a-r3 a.03.08.05.a-01 +SCF:DCH-07 nist-800-171a-r3 a.03.08.05.a-02 +SCF:DCH-07 nist-800-171a-r3 a.03.08.05.b +SCF:DCH-07 nist-800-171a-r3 a.03.08.05.c +SCF:DCH-07 pci-dss-4.0.1 _9.4 +SCF:DCH-07 pci-dss-4.0.1 _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-a _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-a-ep _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-b _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-b-ip _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-c _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-c-vt _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-d-merchant _9.4.3 +SCF:DCH-07 pci-dss-4.0.1-saq-d-service-provider _9.4.3 +SCF:DCH-07.1 nist-csf-function-grouping protect +SCF:DCH-07.1 csa-ccm-4.1.0 dcs-05 +SCF:DCH-07.1 iso-27002-2022 _5.1 +SCF:DCH-07.1 iso-27002-2022 _5.14 +SCF:DCH-07.1 iso-27017-2015 _8.1.3 +SCF:DCH-07.1 iso-27017-2015 _8.2.3 +SCF:DCH-07.1 iso-27017-2015 _13.2.1 +SCF:DCH-07.1 iso-27018-2025 _5.10 +SCF:DCH-07.1 iso-27018-2025 _5.14 +SCF:DCH-07.1 nist-800-53-r4 mp-5-3 +SCF:DCH-07.1 nist-800-53-r5 mp-05-03 +SCF:DCH-07.1 nist-sp-800-66-r2 _164.310-d +SCF:DCH-07.1 nist-800-82-r3 mp-05-03 +SCF:DCH-07.1 nist-800-171-r3 _03.08.05.a +SCF:DCH-07.1 nist-800-171-r3 _03.08.05.b +SCF:DCH-07.1 pci-dss-4.0.1 _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-a _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-a-ep _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-b _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-b-ip _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-c _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-c-vt _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-d-merchant _9.4.3 +SCF:DCH-07.1 pci-dss-4.0.1-saq-d-service-provider _9.4.3 +SCF:DCH-07.2 nist-csf-function-grouping protect +SCF:DCH-07.2 csa-ccm-4.1.0 dcs-05 +SCF:DCH-07.2 iso-27002-2022 _7.1 +SCF:DCH-07.2 iso-27018-2025 _7.10 +SCF:DCH-07.2 nist-800-53-r4 mp-5-4 +SCF:DCH-07.2 nist-800-53-r5 sc-28-01 +SCF:DCH-07.2 nist-800-53b-r5-privacy sc-28-01 +SCF:DCH-07.2 nist-800-53b-r5-moderate sc-28-01 +SCF:DCH-07.2 nist-800-82-r3 sc-28-01 +SCF:DCH-07.2 nist-800-82-r3-moderate-ot-overlay sc-28-01 +SCF:DCH-07.2 nist-800-82-r3-high-ot-overlay sc-28-01 +SCF:DCH-07.2 nist-800-160-vol2-r1 sc-28-01 +SCF:DCH-07.2 nist-800-171-r3 _03.08.05.a +SCF:DCH-08 nist-csf-function-grouping protect +SCF:DCH-08 cis-csc-8.1 _3.1 +SCF:DCH-08 cis-csc-8.1 _3.5 +SCF:DCH-08 cis-csc-8.1-ig1 _3.1 +SCF:DCH-08 cis-csc-8.1-ig1 _3.5 +SCF:DCH-08 cis-csc-8.1-ig2 _3.1 +SCF:DCH-08 cis-csc-8.1-ig2 _3.5 +SCF:DCH-08 cis-csc-8.1-ig3 _3.1 +SCF:DCH-08 cis-csc-8.1-ig3 _3.5 +SCF:DCH-08 csa-ccm-4.1.0 dcs-02 +SCF:DCH-08 csa-iot-scf-2 pol-04 +SCF:DCH-08 iso-27002-2022 _7.1 +SCF:DCH-08 iso-27002-2022 _8.1 +SCF:DCH-08 iso-27017-2015 _8.3.2 +SCF:DCH-08 iso-27018-2025 _7.10 +SCF:DCH-08 iso-27018-2025 _8.10 +SCF:DCH-08 nist-800-53-r4 mp-6 +SCF:DCH-08 nist-800-53-r5 mp-06 +SCF:DCH-08 nist-800-53b-r5-privacy mp-06 +SCF:DCH-08 nist-800-53b-r5-low mp-06 +SCF:DCH-08 nist-800-82-r3 mp-06 +SCF:DCH-08 nist-800-82-r3-low-ot-overlay mp-06 +SCF:DCH-08 nist-800-82-r3-moderate-ot-overlay mp-06 +SCF:DCH-08 nist-800-82-r3-high-ot-overlay mp-06 +SCF:DCH-08 nist-800-161-r1 mp-6 +SCF:DCH-08 nist-800-161-r1-c-scrm-baseline mp-6 +SCF:DCH-08 nist-800-161-r1-flow-down mp-6 +SCF:DCH-08 nist-800-161-r1-level-2 mp-6 +SCF:DCH-08 nist-800-161-r1-level-3 mp-6 +SCF:DCH-08 nist-800-171-r2 _3.8.3 +SCF:DCH-08 nist-800-171-r3 _03.08.03 +SCF:DCH-08 pci-dss-4.0.1 _9.4 +SCF:DCH-08 pci-dss-4.0.1 _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-a _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-a-ep _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-b _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-b-ip _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-c _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-c-vt _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-d-merchant _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-d-service-provider _9.4.6 +SCF:DCH-08 pci-dss-4.0.1-saq-p2pe _9.4.6 +SCF:DCH-09 nist-csf-function-grouping protect +SCF:DCH-09 cis-csc-8.1 _3.1 +SCF:DCH-09 cis-csc-8.1 _3.5 +SCF:DCH-09 cis-csc-8.1-ig1 _3.1 +SCF:DCH-09 cis-csc-8.1-ig1 _3.5 +SCF:DCH-09 cis-csc-8.1-ig2 _3.1 +SCF:DCH-09 cis-csc-8.1-ig2 _3.5 +SCF:DCH-09 cis-csc-8.1-ig3 _3.1 +SCF:DCH-09 cis-csc-8.1-ig3 _3.5 +SCF:DCH-09 csa-ccm-4.1.0 dcs-02 +SCF:DCH-09 csa-ccm-4.1.0 log-08 +SCF:DCH-09 iec-62443-4-2-2019 cr-4.2 +SCF:DCH-09 iec-62443-4-2-2019 cr-4.2-1 +SCF:DCH-09 iec-62443-4-2-2019 cr-4.2-2 +SCF:DCH-09 iso-27002-2022 _8.1 +SCF:DCH-09 iso-27018-2025 _8.10 +SCF:DCH-09 nist-privacy-framework-1.0 ct.dm-p5 +SCF:DCH-09 nist-800-53-r4 mp-6 +SCF:DCH-09 nist-800-53-r4 mp-6-3 +SCF:DCH-09 nist-800-53-r5 mp-06 +SCF:DCH-09 nist-800-53-r5 mp-06-03 +SCF:DCH-09 nist-800-53b-r5-privacy mp-06 +SCF:DCH-09 nist-800-53b-r5-privacy mp-06-03 +SCF:DCH-09 nist-800-53b-r5-low mp-06 +SCF:DCH-09 nist-800-53b-r5-high mp-06-03 +SCF:DCH-09 nist-sp-800-66-r2 _164.310-d +SCF:DCH-09 nist-800-82-r3 mp-06 +SCF:DCH-09 nist-800-82-r3 mp-06-03 +SCF:DCH-09 nist-800-82-r3-low-ot-overlay mp-06 +SCF:DCH-09 nist-800-82-r3-moderate-ot-overlay mp-06 +SCF:DCH-09 nist-800-82-r3-high-ot-overlay mp-06 +SCF:DCH-09 nist-800-82-r3-high-ot-overlay mp-06-03 +SCF:DCH-09 nist-800-161-r1 mp-6 +SCF:DCH-09 nist-800-161-r1-c-scrm-baseline mp-6 +SCF:DCH-09 nist-800-161-r1-flow-down mp-6 +SCF:DCH-09 nist-800-161-r1-level-2 mp-6 +SCF:DCH-09 nist-800-161-r1-level-3 mp-6 +SCF:DCH-09 nist-800-171-r2 _3.7.3 +SCF:DCH-09 nist-800-171-r2 _3.8.3 +SCF:DCH-09 nist-800-171-r3 _03.07.04.c +SCF:DCH-09 nist-800-171-r3 _03.08.03 +SCF:DCH-09 nist-800-171a _3.7.3 +SCF:DCH-09 nist-800-171a _3.8.3-a +SCF:DCH-09 nist-800-171a _3.8.3-b +SCF:DCH-09 nist-800-171a-r3 a.03.08.03 +SCF:DCH-09 pci-dss-4.0.1 _9.4.7 +SCF:DCH-09 pci-dss-4.0.1-saq-d-merchant _9.4.7 +SCF:DCH-09 pci-dss-4.0.1-saq-d-service-provider _9.4.7 +SCF:DCH-09.1 nist-csf-function-grouping protect +SCF:DCH-09.1 iso-27002-2022 _8.1 +SCF:DCH-09.1 iso-27018-2025 _8.10 +SCF:DCH-09.1 nist-800-53-r4 mp-6-1 +SCF:DCH-09.1 nist-800-53-r5 mp-06-01 +SCF:DCH-09.1 nist-800-53b-r5-high mp-06-01 +SCF:DCH-09.1 nist-800-82-r3 mp-06-01 +SCF:DCH-09.1 nist-800-82-r3-high-ot-overlay mp-06-01 +SCF:DCH-09.1 pci-dss-4.0.1 _9.4.7 +SCF:DCH-09.1 pci-dss-4.0.1-saq-d-merchant _9.4.7 +SCF:DCH-09.1 pci-dss-4.0.1-saq-d-service-provider _9.4.7 +SCF:DCH-09.2 nist-csf-function-grouping detect +SCF:DCH-09.2 nist-800-53-r4 mp-6-2 +SCF:DCH-09.2 nist-800-53-r5 mp-06-02 +SCF:DCH-09.2 nist-800-53b-r5-high mp-06-02 +SCF:DCH-09.2 nist-800-82-r3 mp-06-02 +SCF:DCH-09.2 nist-800-82-r3-high-ot-overlay mp-06-02 +SCF:DCH-09.3 nist-csf-function-grouping protect +SCF:DCH-09.3 iso-27002-2022 _8.1 +SCF:DCH-09.3 iso-27018-2025 _8.10 +SCF:DCH-09.3 nist-800-53-r5 mp-06 +SCF:DCH-09.3 nist-800-53-r5 mp-06-03 +SCF:DCH-09.3 nist-800-53b-r5-privacy mp-06 +SCF:DCH-09.3 nist-800-53b-r5-privacy mp-06-03 +SCF:DCH-09.3 nist-800-53b-r5-low mp-06 +SCF:DCH-09.3 nist-800-53b-r5-high mp-06-03 +SCF:DCH-09.3 nist-800-82-r3 mp-06 +SCF:DCH-09.3 nist-800-82-r3 mp-06-03 +SCF:DCH-09.3 nist-800-82-r3-low-ot-overlay mp-06 +SCF:DCH-09.3 nist-800-82-r3-moderate-ot-overlay mp-06 +SCF:DCH-09.3 nist-800-82-r3-high-ot-overlay mp-06 +SCF:DCH-09.3 nist-800-82-r3-high-ot-overlay mp-06-03 +SCF:DCH-09.3 nist-800-161-r1 mp-6 +SCF:DCH-09.3 nist-800-161-r1-c-scrm-baseline mp-6 +SCF:DCH-09.3 nist-800-161-r1-flow-down mp-6 +SCF:DCH-09.3 nist-800-161-r1-level-2 mp-6 +SCF:DCH-09.3 nist-800-161-r1-level-3 mp-6 +SCF:DCH-09.4 nist-csf-function-grouping protect +SCF:DCH-09.4 nist-800-53-r4 mp-6-3 +SCF:DCH-09.4 nist-800-53-r5 mp-06-03 +SCF:DCH-09.4 nist-800-53b-r5-privacy mp-06-03 +SCF:DCH-09.4 nist-800-53b-r5-high mp-06-03 +SCF:DCH-09.4 nist-800-82-r3 mp-06-03 +SCF:DCH-09.4 nist-800-82-r3-high-ot-overlay mp-06-03 +SCF:DCH-09.5 nist-csf-function-grouping protect +SCF:DCH-09.5 nist-800-53-r4 mp-6-7 +SCF:DCH-09.5 nist-800-53-r5 mp-06-07 +SCF:DCH-09.5 nist-800-82-r3 mp-06-07 +SCF:DCH-10 nist-csf-function-grouping protect +SCF:DCH-10 iso-27002-2022 _7.1 +SCF:DCH-10 iso-27017-2015 _8.3.1 +SCF:DCH-10 iso-27018-2025 _7.10 +SCF:DCH-10 nist-800-53-r4 mp-7 +SCF:DCH-10 nist-800-53-r4 sc-8-2 +SCF:DCH-10 nist-800-53-r5 mp-07 +SCF:DCH-10 nist-800-53-r5 sc-08-02 +SCF:DCH-10 nist-800-53b-r5-privacy mp-07 +SCF:DCH-10 nist-800-53b-r5-privacy sc-08-02 +SCF:DCH-10 nist-800-53b-r5-low mp-07 +SCF:DCH-10 nist-800-82-r3 mp-07 +SCF:DCH-10 nist-800-82-r3 sc-08-02 +SCF:DCH-10 nist-800-82-r3-low-ot-overlay mp-07 +SCF:DCH-10 nist-800-82-r3-moderate-ot-overlay mp-07 +SCF:DCH-10 nist-800-82-r3-high-ot-overlay mp-07 +SCF:DCH-10 nist-800-171-r2 _3.8.7 +SCF:DCH-10 nist-800-171-r3 _03.08.07.a +SCF:DCH-10 nist-800-171a _3.8.7 +SCF:DCH-10 nist-800-171a-r3 a.03.08.07.odp-01 +SCF:DCH-10 nist-800-171a-r3 a.03.08.07.a +SCF:DCH-10.1 nist-csf-function-grouping protect +SCF:DCH-10.1 iso-27002-2022 _7.1 +SCF:DCH-10.1 iso-27018-2025 _7.10 +SCF:DCH-10.2 nist-csf-function-grouping protect +SCF:DCH-10.2 nist-800-53-r4 mp-7-1 +SCF:DCH-10.2 nist-800-53-r5 mp-07 +SCF:DCH-10.2 nist-800-53b-r5-privacy mp-07 +SCF:DCH-10.2 nist-800-53b-r5-low mp-07 +SCF:DCH-10.2 nist-800-82-r3 mp-07 +SCF:DCH-10.2 nist-800-82-r3-low-ot-overlay mp-07 +SCF:DCH-10.2 nist-800-82-r3-moderate-ot-overlay mp-07 +SCF:DCH-10.2 nist-800-82-r3-high-ot-overlay mp-07 +SCF:DCH-10.2 nist-800-171-r2 _3.8.8 +SCF:DCH-10.2 nist-800-171-r3 _03.08.07.b +SCF:DCH-10.2 nist-800-171a _3.8.8 +SCF:DCH-10.2 nist-800-171a-r3 a.03.08.07.b +SCF:DCH-11 nist-csf-function-grouping protect +SCF:DCH-11 nist-800-53-r4 mp-8 +SCF:DCH-11 nist-800-53-r5 mp-08 +SCF:DCH-11 nist-800-53-r5 mp-08-03 +SCF:DCH-11 nist-800-82-r3 mp-08 +SCF:DCH-11 nist-800-82-r3 mp-08-03 +SCF:DCH-12 nist-csf-function-grouping protect +SCF:DCH-12 iec-62443-2-1-2024 comp-1.2 +SCF:DCH-12 iec-62443-2-1-2024 comp-2.1 +SCF:DCH-12 iso-27002-2022 _7.1 +SCF:DCH-12 iso-27017-2015 _8.3.1 +SCF:DCH-12 iso-27018-2025 _7.10 +SCF:DCH-12 nist-privacy-framework-1.0 pr.pt-p1 +SCF:DCH-12 nist-800-171-r3 _03.08.07.a +SCF:DCH-13 nist-csf-function-grouping protect +SCF:DCH-13 nist-800-53-r4 ac-20 +SCF:DCH-13 nist-800-53-r5 ac-20 +SCF:DCH-13 nist-800-53b-r5-low ac-20 +SCF:DCH-13 nist-800-82-r3 ac-20 +SCF:DCH-13 nist-800-82-r3-low-ot-overlay ac-20 +SCF:DCH-13 nist-800-82-r3-moderate-ot-overlay ac-20 +SCF:DCH-13 nist-800-82-r3-high-ot-overlay ac-20 +SCF:DCH-13 nist-800-161-r1 ac-20 +SCF:DCH-13 nist-800-161-r1-c-scrm-baseline ac-20 +SCF:DCH-13 nist-800-161-r1-flow-down ac-20 +SCF:DCH-13 nist-800-161-r1-level-1 ac-20 +SCF:DCH-13 nist-800-161-r1-level-2 ac-20 +SCF:DCH-13 nist-800-161-r1-level-3 ac-20 +SCF:DCH-13 nist-800-171-r2 _3.1.20 +SCF:DCH-13 nist-800-171-r3 _03.01.20.a +SCF:DCH-13 nist-800-171-r3 _03.01.20.b +SCF:DCH-13 nist-800-171-r3 _03.01.20.c.01 +SCF:DCH-13 nist-800-171-r3 _03.01.20.c.02 +SCF:DCH-13 nist-800-171-r3 _03.01.20.d +SCF:DCH-13 nist-800-171a _3.1.20-a +SCF:DCH-13 nist-800-171a _3.1.20-b +SCF:DCH-13 nist-800-171a _3.1.20-c +SCF:DCH-13 nist-800-171a _3.1.20-d +SCF:DCH-13 nist-800-171a _3.1.20-e +SCF:DCH-13 nist-800-171a _3.1.20-f +SCF:DCH-13 nist-800-171a-r3 a.03.01.20.odp-01 +SCF:DCH-13 nist-800-171a-r3 a.03.01.20.a +SCF:DCH-13 nist-800-171a-r3 a.03.01.20.b +SCF:DCH-13 nist-800-171a-r3 a.03.01.20.c.01 +SCF:DCH-13 nist-800-171a-r3 a.03.01.20.c.02 +SCF:DCH-13.1 nist-csf-function-grouping protect +SCF:DCH-13.1 cis-csc-8.1 _3.3 +SCF:DCH-13.1 cis-csc-8.1-ig1 _3.3 +SCF:DCH-13.1 cis-csc-8.1-ig2 _3.3 +SCF:DCH-13.1 cis-csc-8.1-ig3 _3.3 +SCF:DCH-13.1 nist-800-53-r4 ac-20-1 +SCF:DCH-13.1 nist-800-53-r5 ac-20-01 +SCF:DCH-13.1 nist-800-53b-r5-moderate ac-20-01 +SCF:DCH-13.1 nist-800-82-r3 ac-20-01 +SCF:DCH-13.1 nist-800-82-r3-moderate-ot-overlay ac-20-01 +SCF:DCH-13.1 nist-800-82-r3-high-ot-overlay ac-20-01 +SCF:DCH-13.1 nist-800-161-r1 ac-20-1 +SCF:DCH-13.1 nist-800-161-r1-level-2 ac-20-1 +SCF:DCH-13.1 nist-800-161-r1-level-3 ac-20-1 +SCF:DCH-13.1 nist-800-171-r2 _3.1.20 +SCF:DCH-13.1 nist-800-171-r3 _03.01.20.a +SCF:DCH-13.1 nist-800-171-r3 _03.01.20.b +SCF:DCH-13.1 nist-800-171-r3 _03.01.20.c.01 +SCF:DCH-13.1 nist-800-171-r3 _03.01.20.c.02 +SCF:DCH-13.1 nist-800-171-r3 _03.01.20.d +SCF:DCH-13.1 nist-800-207 nist-tenet-5 +SCF:DCH-13.1 pci-dss-4.0.1 _1.5.1 +SCF:DCH-13.1 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:DCH-13.1 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:DCH-13.1 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:DCH-13.1 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:DCH-13.2 nist-csf-function-grouping protect +SCF:DCH-13.2 cobit-2019 dss06.06 +SCF:DCH-13.2 iec-62443-2-1-2024 comp-1.2 +SCF:DCH-13.2 nist-800-53-r4 ac-20-2 +SCF:DCH-13.2 nist-800-53-r4 ac-20-5 +SCF:DCH-13.2 nist-800-53-r5 ac-20-02 +SCF:DCH-13.2 nist-800-53-r5 ac-20-05 +SCF:DCH-13.2 nist-800-53b-r5-moderate ac-20-02 +SCF:DCH-13.2 nist-sp-800-66-r2 _164.310-d +SCF:DCH-13.2 nist-800-82-r3 ac-20-02 +SCF:DCH-13.2 nist-800-82-r3 ac-20-05 +SCF:DCH-13.2 nist-800-82-r3-moderate-ot-overlay ac-20-02 +SCF:DCH-13.2 nist-800-82-r3-high-ot-overlay ac-20-02 +SCF:DCH-13.2 nist-800-171-r2 _3.1.21 +SCF:DCH-13.2 nist-800-171-r3 _03.01.20.a +SCF:DCH-13.2 nist-800-171-r3 _03.01.20.d +SCF:DCH-13.2 nist-800-171a _3.1.21-a +SCF:DCH-13.2 nist-800-171a _3.1.21-b +SCF:DCH-13.2 nist-800-171a _3.1.21-c +SCF:DCH-13.2 nist-800-171a-r3 a.03.01.20.d +SCF:DCH-13.3 nist-csf-function-grouping protect +SCF:DCH-13.3 csa-ccm-4.1.0 dsp-17 +SCF:DCH-13.3 nist-800-53-r5 pm-17 +SCF:DCH-13.3 nist-800-53b-r5-privacy pm-17 +SCF:DCH-13.3 nist-800-82-r3 pm-17 +SCF:DCH-13.3 nist-800-82-r3-low-ot-overlay pm-17 +SCF:DCH-13.3 nist-800-82-r3-moderate-ot-overlay pm-17 +SCF:DCH-13.3 nist-800-82-r3-high-ot-overlay pm-17 +SCF:DCH-13.3 nist-800-161-r1 pm-17 +SCF:DCH-13.3 nist-800-161-r1-level-2 pm-17 +SCF:DCH-13.3 nist-800-171-r3 _03.01.20.b +SCF:DCH-13.3 nist-800-171-r3 _03.01.20.c.01 +SCF:DCH-13.3 nist-800-207 nist-tenet-3 +SCF:DCH-13.3 nist-800-207 nist-tenet-4 +SCF:DCH-13.4 nist-csf-function-grouping protect +SCF:DCH-13.4 nist-800-53-r4 ac-20-3 +SCF:DCH-13.4 nist-800-53-r5 ac-20-03 +SCF:DCH-13.4 nist-800-82-r3 ac-20-03 +SCF:DCH-13.4 nist-800-161-r1 ac-20-3 +SCF:DCH-13.4 nist-800-161-r1-level-2 ac-20-3 +SCF:DCH-13.4 nist-800-161-r1-level-3 ac-20-3 +SCF:DCH-13.4 nist-800-171-r3 _03.01.20.a +SCF:DCH-13.4 nist-800-171-r3 _03.01.20.c.01 +SCF:DCH-13.4 nist-800-171-r3 _03.01.20.d +SCF:DCH-13.4 nist-800-207 nist-tenet-1 +SCF:DCH-14 nist-csf-function-grouping protect +SCF:DCH-14 cis-csc-8.1 _3.3 +SCF:DCH-14 cis-csc-8.1-ig1 _3.3 +SCF:DCH-14 cis-csc-8.1-ig2 _3.3 +SCF:DCH-14 cis-csc-8.1-ig3 _3.3 +SCF:DCH-14 csa-ccm-4.1.0 dsp-10 +SCF:DCH-14 iso-sae-21434-2021 rq-05-09 +SCF:DCH-14 iso-27002-2022 _5.14 +SCF:DCH-14 iso-27017-2015 _13.2.1 +SCF:DCH-14 iso-27017-2015 _13.2.2 +SCF:DCH-14 iso-27018-2025 _5.14 +SCF:DCH-14 nist-800-53-r4 ac-21 +SCF:DCH-14 nist-800-53-r5 ac-21 +SCF:DCH-14 nist-800-53b-r5-privacy ac-21 +SCF:DCH-14 nist-800-53b-r5-moderate ac-21 +SCF:DCH-14 nist-800-82-r3 ac-21 +SCF:DCH-14 nist-800-161-r1 ac-21 +SCF:DCH-14 nist-800-161-r1-level-1 ac-21 +SCF:DCH-14 nist-800-161-r1-level-2 ac-21 +SCF:DCH-14 nist-800-171-r3 _03.01.20.b +SCF:DCH-14.1 nist-csf-function-grouping protect +SCF:DCH-14.1 nist-800-53-r4 ac-21-2 +SCF:DCH-14.1 nist-800-53-r5 ac-21-02 +SCF:DCH-14.1 nist-800-82-r3 ac-21-02 +SCF:DCH-14.2 nist-csf-function-grouping protect +SCF:DCH-14.2 cis-csc-8.1 _3.3 +SCF:DCH-14.2 cis-csc-8.1-ig1 _3.3 +SCF:DCH-14.2 cis-csc-8.1-ig2 _3.3 +SCF:DCH-14.2 cis-csc-8.1-ig3 _3.3 +SCF:DCH-14.2 csa-ccm-4.1.0 dsp-10 +SCF:DCH-14.2 nist-800-53-r5 ca-03-06 +SCF:DCH-14.2 nist-800-53b-r5-high ca-03-06 +SCF:DCH-14.2 nist-800-82-r3 ca-03-06 +SCF:DCH-14.2 nist-800-82-r3-high-ot-overlay ca-03-06 +SCF:DCH-14.2 nist-800-171-r3 _03.01.20.b +SCF:DCH-14.2 nist-800-171-r3 _03.01.20.c.02 +SCF:DCH-14.2 nist-800-171-r3 _03.12.05.a +SCF:DCH-14.2 nist-800-207 nist-tenet-3 +SCF:DCH-14.2 nist-800-207 nist-tenet-4 +SCF:DCH-14.3 nist-csf-function-grouping identify +SCF:DCH-14.3 cis-csc-8.1 _3.3 +SCF:DCH-14.3 cis-csc-8.1 _3.8 +SCF:DCH-14.3 cis-csc-8.1-ig1 _3.3 +SCF:DCH-14.3 cis-csc-8.1-ig2 _3.3 +SCF:DCH-14.3 cis-csc-8.1-ig2 _3.8 +SCF:DCH-14.3 cis-csc-8.1-ig3 _3.3 +SCF:DCH-14.3 cis-csc-8.1-ig3 _3.8 +SCF:DCH-14.3 nist-800-171-r3 _03.01.03 +SCF:DCH-14.3 nist-800-171-r3 _03.01.20.c.02 +SCF:DCH-14.3 nist-800-171-r3 _03.12.05.a +SCF:DCH-15 nist-csf-function-grouping protect +SCF:DCH-15 nist-800-53-r4 ac-22 +SCF:DCH-15 nist-800-53-r5 ac-22 +SCF:DCH-15 nist-800-53b-r5-low ac-22 +SCF:DCH-15 nist-800-82-r3 ac-22 +SCF:DCH-15 nist-800-82-r3-low-ot-overlay ac-22 +SCF:DCH-15 nist-800-82-r3-moderate-ot-overlay ac-22 +SCF:DCH-15 nist-800-82-r3-high-ot-overlay ac-22 +SCF:DCH-15 nist-800-161-r1 ac-22 +SCF:DCH-15 nist-800-161-r1-c-scrm-baseline ac-22 +SCF:DCH-15 nist-800-161-r1-level-2 ac-22 +SCF:DCH-15 nist-800-161-r1-level-3 ac-22 +SCF:DCH-15 nist-800-171-r2 _3.1.22 +SCF:DCH-15 nist-800-171-r3 _03.01.22.a +SCF:DCH-15 nist-800-171-r3 _03.01.22.b +SCF:DCH-15 nist-800-171a _3.1.22-a +SCF:DCH-15 nist-800-171a _3.1.22-b +SCF:DCH-15 nist-800-171a _3.1.22-c +SCF:DCH-15 nist-800-171a _3.1.22-d +SCF:DCH-15 nist-800-171a _3.1.22-e +SCF:DCH-15 nist-800-171a-r3 a.03.01.22.a +SCF:DCH-15 nist-800-171a-r3 a.03.01.22.b-01 +SCF:DCH-15 nist-800-171a-r3 a.03.01.22.b-02 +SCF:DCH-15 pci-dss-4.0.1 _1.4.4 +SCF:DCH-15 pci-dss-4.0.1-saq-a-ep _1.4.4 +SCF:DCH-15 pci-dss-4.0.1-saq-d-merchant _1.4.4 +SCF:DCH-15 pci-dss-4.0.1-saq-d-service-provider _1.4.4 +SCF:DCH-16 nist-csf-function-grouping protect +SCF:DCH-16 nist-800-53-r4 ac-23 +SCF:DCH-16 nist-800-53-r5 ac-23 +SCF:DCH-16 nist-800-53b-r5-privacy ac-23 +SCF:DCH-16 nist-800-82-r3 ac-23 +SCF:DCH-16 nist-800-160-vol2-r1 ac-23 +SCF:DCH-16 nist-800-161-r1 ac-23 +SCF:DCH-16 nist-800-161-r1-flow-down ac-23 +SCF:DCH-16 nist-800-161-r1-level-2 ac-23 +SCF:DCH-16 nist-800-161-r1-level-3 ac-23 +SCF:DCH-17 nist-csf-function-grouping protect +SCF:DCH-17 csa-ccm-4.1.0 dsp-10 +SCF:DCH-17 iso-27002-2022 _5.14 +SCF:DCH-17 iso-27017-2015 _13.2.1 +SCF:DCH-17 iso-27018-2025 _5.14 +SCF:DCH-17 nist-800-171-r2 _3.1.20 +SCF:DCH-17 nist-800-171-r3 _03.01.20.a +SCF:DCH-18 nist-csf-function-grouping protect +SCF:DCH-18 cis-csc-8.1 _3.1 +SCF:DCH-18 cis-csc-8.1 _3.4 +SCF:DCH-18 cis-csc-8.1-ig1 _3.1 +SCF:DCH-18 cis-csc-8.1-ig1 _3.4 +SCF:DCH-18 cis-csc-8.1-ig2 _3.1 +SCF:DCH-18 cis-csc-8.1-ig2 _3.4 +SCF:DCH-18 cis-csc-8.1-ig3 _3.1 +SCF:DCH-18 cis-csc-8.1-ig3 _3.4 +SCF:DCH-18 cobit-2019 apo14.09 +SCF:DCH-18 csa-ccm-4.1.0 dsp-16 +SCF:DCH-18 iec-62443-2-1-2024 data-1.4 +SCF:DCH-18 iso-27002-2022 _5.33 +SCF:DCH-18 iso-27002-2022 _8.1 +SCF:DCH-18 iso-27017-2015 _18.1.3 +SCF:DCH-18 iso-27018-2025 _5.33 +SCF:DCH-18 iso-27018-2025 _8.10 +SCF:DCH-18 nist-ai-600-1 gv-1.5-003 +SCF:DCH-18 nist-privacy-framework-1.0 ct.dm-p3 +SCF:DCH-18 nist-privacy-framework-1.0 ct.dm-p4 +SCF:DCH-18 nist-800-53-r4 mp-7 +SCF:DCH-18 nist-800-53-r4 si-12 +SCF:DCH-18 nist-800-53-r5 mp-07 +SCF:DCH-18 nist-800-53-r5 si-12 +SCF:DCH-18 nist-800-53b-r5-privacy mp-07 +SCF:DCH-18 nist-800-53b-r5-privacy si-12 +SCF:DCH-18 nist-800-53b-r5-low mp-07 +SCF:DCH-18 nist-800-53b-r5-low si-12 +SCF:DCH-18 nist-sp-800-66-r2 _164.316-b +SCF:DCH-18 nist-800-82-r3 mp-07 +SCF:DCH-18 nist-800-82-r3 si-12 +SCF:DCH-18 nist-800-82-r3-low-ot-overlay mp-07 +SCF:DCH-18 nist-800-82-r3-moderate-ot-overlay mp-07 +SCF:DCH-18 nist-800-82-r3-moderate-ot-overlay si-12 +SCF:DCH-18 nist-800-82-r3-high-ot-overlay mp-07 +SCF:DCH-18 nist-800-82-r3-high-ot-overlay si-12 +SCF:DCH-18 nist-800-161-r1 si-12 +SCF:DCH-18 nist-800-161-r1-c-scrm-baseline si-12 +SCF:DCH-18 nist-800-161-r1-level-3 si-12 +SCF:DCH-18 nist-800-171-r3 _03.01.20.c.02 +SCF:DCH-18 nist-800-171-r3 _03.14.08 +SCF:DCH-18 nist-800-171a-r3 a.03.14.08-01 +SCF:DCH-18 nist-800-171a-r3 a.03.14.08-02 +SCF:DCH-18 nist-800-171a-r3 a.03.14.08-03 +SCF:DCH-18 nist-800-171a-r3 a.03.14.08-04 +SCF:DCH-18 pci-dss-4.0.1 _3.2 +SCF:DCH-18 pci-dss-4.0.1 _3.2.1 +SCF:DCH-18 pci-dss-4.0.1 _9.4.6 +SCF:DCH-18 pci-dss-4.0.1 _9.4.7 +SCF:DCH-18 pci-dss-4.0.1 _10.5 +SCF:DCH-18 pci-dss-4.0.1 _10.5.1 +SCF:DCH-18 pci-dss-4.0.1 _11.4.1 +SCF:DCH-18 pci-dss-4.0.1-saq-a _3.2.1 +SCF:DCH-18 pci-dss-4.0.1-saq-a _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-a-ep _3.2.1 +SCF:DCH-18 pci-dss-4.0.1-saq-a-ep _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-a-ep _10.5.1 +SCF:DCH-18 pci-dss-4.0.1-saq-a-ep _11.4.1 +SCF:DCH-18 pci-dss-4.0.1-saq-b _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-b-ip _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-c _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-c _10.5.1 +SCF:DCH-18 pci-dss-4.0.1-saq-c-vt _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-d-merchant _3.2.1 +SCF:DCH-18 pci-dss-4.0.1-saq-d-merchant _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-d-merchant _9.4.7 +SCF:DCH-18 pci-dss-4.0.1-saq-d-merchant _10.5.1 +SCF:DCH-18 pci-dss-4.0.1-saq-d-merchant _11.4.1 +SCF:DCH-18 pci-dss-4.0.1-saq-d-service-provider _3.2.1 +SCF:DCH-18 pci-dss-4.0.1-saq-d-service-provider _9.4.6 +SCF:DCH-18 pci-dss-4.0.1-saq-d-service-provider _9.4.7 +SCF:DCH-18 pci-dss-4.0.1-saq-d-service-provider _10.5.1 +SCF:DCH-18 pci-dss-4.0.1-saq-d-service-provider _11.4.1 +SCF:DCH-18 pci-dss-4.0.1-saq-p2pe _3.2.1 +SCF:DCH-18 pci-dss-4.0.1-saq-p2pe _9.4.6 +SCF:DCH-18.1 nist-csf-function-grouping protect +SCF:DCH-18.1 iec-tr-60601-4-5-2021 _4.5 +SCF:DCH-18.1 iso-29100-2024 _6.5 +SCF:DCH-18.1 nist-privacy-framework-1.0 ct.dm-p8 +SCF:DCH-18.1 nist-800-53-r5 si-12-01 +SCF:DCH-18.1 nist-800-53b-r5-privacy si-12-01 +SCF:DCH-18.1 nist-800-82-r3 si-12-01 +SCF:DCH-18.2 nist-csf-function-grouping protect +SCF:DCH-18.2 nist-800-53-r5 pm-25 +SCF:DCH-18.2 nist-800-53-r5 sa-08-33 +SCF:DCH-18.2 nist-800-53-r5 sa-15-12 +SCF:DCH-18.2 nist-800-53-r5 si-12-02 +SCF:DCH-18.2 nist-800-53b-r5-privacy pm-25 +SCF:DCH-18.2 nist-800-53b-r5-privacy sa-08-33 +SCF:DCH-18.2 nist-800-53b-r5-privacy si-12-02 +SCF:DCH-18.2 nist-800-82-r3 pm-25 +SCF:DCH-18.2 nist-800-82-r3 sa-08-33 +SCF:DCH-18.2 nist-800-82-r3 sa-15-12 +SCF:DCH-18.2 nist-800-82-r3 si-12-02 +SCF:DCH-18.2 nist-800-82-r3-low-ot-overlay pm-25 +SCF:DCH-18.2 nist-800-82-r3-moderate-ot-overlay pm-25 +SCF:DCH-18.2 nist-800-82-r3-high-ot-overlay pm-25 +SCF:DCH-18.2 nist-800-161-r1 pm-25 +SCF:DCH-18.2 nist-800-161-r1-level-2 pm-25 +SCF:DCH-18.3 nist-csf-function-grouping protect +SCF:DCH-19 nist-csf-function-grouping identify +SCF:DCH-19 csa-ccm-4.1.0 dsp-19 +SCF:DCH-19 csa-iot-scf-2 dat-04 +SCF:DCH-19 csa-iot-scf-2 lgl-08 +SCF:DCH-19 nist-privacy-framework-1.0 id.im-p7 +SCF:DCH-19 nist-privacy-framework-1.0 id.im-p8 +SCF:DCH-19 nist-800-53-r4 sa-9-5 +SCF:DCH-19 nist-800-53-r5 sa-09-05 +SCF:DCH-19 nist-800-53-r5 sa-09-08 +SCF:DCH-19 nist-800-53b-r5-privacy sa-09-05 +SCF:DCH-19 nist-800-53b-r5-privacy sa-09-08 +SCF:DCH-19 nist-800-82-r3 sa-09-05 +SCF:DCH-19 nist-800-82-r3 sa-09-08 +SCF:DCH-19 nist-800-161-r1 sa-9-5 +SCF:DCH-19 nist-800-161-r1-level-3 sa-9-5 +SCF:DCH-19 nist-800-171-r3 _03.04.11.a +SCF:DCH-19 nist-800-171-r3 _03.04.11.b +SCF:DCH-19 nist-csf-2.0 id.am-03 +SCF:DCH-20 nist-csf-function-grouping protect +SCF:DCH-21 nist-csf-function-grouping protect +SCF:DCH-21 cis-csc-8.1 _3.5 +SCF:DCH-21 cis-csc-8.1-ig1 _3.5 +SCF:DCH-21 cis-csc-8.1-ig2 _3.5 +SCF:DCH-21 cis-csc-8.1-ig3 _3.5 +SCF:DCH-21 csa-iot-scf-2 pol-04 +SCF:DCH-21 iso-27002-2022 _8.1 +SCF:DCH-21 iso-27018-2025 _8.10 +SCF:DCH-21 nist-800-53-r4 dm-2 +SCF:DCH-21 nist-800-53-r5 si-12-03 +SCF:DCH-21 nist-800-53b-r5-privacy si-12-03 +SCF:DCH-21 nist-800-82-r3 si-12-03 +SCF:DCH-21 nist-800-171-r3 _03.08.03 +SCF:DCH-22 nist-csf-function-grouping protect +SCF:DCH-22 cobit-2019 apo11.01 +SCF:DCH-22 cobit-2019 apo11.02 +SCF:DCH-22 cobit-2019 apo11.03 +SCF:DCH-22 cobit-2019 apo11.04 +SCF:DCH-22 cobit-2019 apo11.05 +SCF:DCH-22 cobit-2019 apo14.06 +SCF:DCH-22 cobit-2019 apo14.07 +SCF:DCH-22 cobit-2019 bai08.04 +SCF:DCH-22 coso-2013 _13 +SCF:DCH-22 iso-42001-2023 a.7 +SCF:DCH-22 iso-42001-2023 a.7.2 +SCF:DCH-22 iso-42001-2023 a.7.3 +SCF:DCH-22 iso-42001-2023 a.7.4 +SCF:DCH-22 iso-42001-2023 a.7.5 +SCF:DCH-22 iso-42001-2023 a.7.6 +SCF:DCH-22 nist-800-37-r2 task-p-13 +SCF:DCH-22 nist-800-53-r4 di-1 +SCF:DCH-22 nist-800-53-r5 pm-22 +SCF:DCH-22 nist-800-53-r5 si-18 +SCF:DCH-22 nist-800-53-r5 si-18-01 +SCF:DCH-22 nist-800-53b-r5-privacy pm-22 +SCF:DCH-22 nist-800-53b-r5-privacy si-18 +SCF:DCH-22 nist-800-82-r3 pm-22 +SCF:DCH-22 nist-800-82-r3 si-18 +SCF:DCH-22 nist-800-82-r3 si-18-01 +SCF:DCH-22 nist-800-82-r3-low-ot-overlay pm-22 +SCF:DCH-22 nist-800-82-r3-moderate-ot-overlay pm-22 +SCF:DCH-22 nist-800-82-r3-high-ot-overlay pm-22 +SCF:DCH-22 nist-800-161-r1 pm-22 +SCF:DCH-22 nist-800-161-r1-level-1 pm-22 +SCF:DCH-22 nist-800-161-r1-level-2 pm-22 +SCF:DCH-22.1 nist-csf-function-grouping protect +SCF:DCH-22.1 cobit-2019 apo14.07 +SCF:DCH-22.1 nist-800-53-r4 ip-3 +SCF:DCH-22.1 nist-800-53-r5 si-18-04 +SCF:DCH-22.1 nist-800-53-r5 si-18-05 +SCF:DCH-22.1 nist-800-53b-r5-privacy si-18-04 +SCF:DCH-22.1 nist-800-53b-r5-privacy si-18-05 +SCF:DCH-22.1 nist-800-82-r3 si-18-04 +SCF:DCH-22.1 nist-800-82-r3 si-18-05 +SCF:DCH-22.2 nist-csf-function-grouping protect +SCF:DCH-22.2 nist-800-53-r5 pt-02-01 +SCF:DCH-22.2 nist-800-53-r5 pt-03-01 +SCF:DCH-22.2 nist-800-53-r5 si-18-02 +SCF:DCH-22.2 nist-800-53b-r5-privacy pt-03-01 +SCF:DCH-22.2 nist-800-82-r3 pt-02-01 +SCF:DCH-22.2 nist-800-82-r3 pt-03-01 +SCF:DCH-22.2 nist-800-82-r3 si-18-02 +SCF:DCH-22.3 nist-csf-function-grouping identify +SCF:DCH-22.3 iso-29100-2024 _6.7 +SCF:DCH-22.3 nist-800-53-r5 si-18-03 +SCF:DCH-22.3 nist-800-53-r5 si-19-01 +SCF:DCH-22.3 nist-800-53b-r5-privacy si-19-01 +SCF:DCH-22.3 nist-800-82-r3 si-18-03 +SCF:DCH-22.3 nist-800-82-r3 si-19-01 +SCF:DCH-23 nist-csf-function-grouping protect +SCF:DCH-23 csa-iot-scf-2 gvn-05 +SCF:DCH-23 iec-tr-60601-4-5-2021 _5.2-cr-4.1 +SCF:DCH-23 iso-27002-2022 _8.33 +SCF:DCH-23 iso-27018-2025 _8.33 +SCF:DCH-23 nist-ai-600-1 ms-2.2-002 +SCF:DCH-23 nist-ai-600-1 ms-2.2-004 +SCF:DCH-23 nist-privacy-framework-1.0 ct.dp-p2 +SCF:DCH-23 nist-privacy-framework-1.0 ct.dp-p3 +SCF:DCH-23 nist-800-53-r4 dm-1-1 +SCF:DCH-23 nist-800-53-r4 dm-3-1 +SCF:DCH-23 nist-800-53-r5 si-19 +SCF:DCH-23 nist-800-53b-r5-privacy si-19 +SCF:DCH-23 nist-800-82-r3 si-19 +SCF:DCH-23.1 nist-csf-function-grouping protect +SCF:DCH-23.1 nist-800-53-r5 si-19-01 +SCF:DCH-23.1 nist-800-53b-r5-privacy si-19-01 +SCF:DCH-23.1 nist-800-82-r3 si-19-01 +SCF:DCH-23.2 nist-csf-function-grouping protect +SCF:DCH-23.2 nist-800-53-r5 si-19-02 +SCF:DCH-23.2 nist-800-82-r3 si-19-02 +SCF:DCH-23.3 nist-csf-function-grouping protect +SCF:DCH-23.3 nist-800-53-r5 si-19-03 +SCF:DCH-23.3 nist-800-82-r3 si-19-03 +SCF:DCH-23.4 nist-csf-function-grouping protect +SCF:DCH-23.4 iso-27002-2022 _8.11 +SCF:DCH-23.4 iso-27018-2025 _8.11 +SCF:DCH-23.4 nist-800-53-r5 si-19-04 +SCF:DCH-23.4 nist-800-53b-r5-privacy si-19-04 +SCF:DCH-23.4 nist-800-82-r3 si-19-04 +SCF:DCH-23.4 nist-800-160-vol2-r1 si-19-04 +SCF:DCH-23.5 nist-csf-function-grouping protect +SCF:DCH-23.5 nist-800-53-r5 si-19-05 +SCF:DCH-23.5 nist-800-82-r3 si-19-05 +SCF:DCH-23.6 nist-csf-function-grouping protect +SCF:DCH-23.6 nist-800-53-r5 si-19-06 +SCF:DCH-23.6 nist-800-82-r3 si-19-06 +SCF:DCH-23.6 nist-800-160-vol2-r1 si-19-06 +SCF:DCH-23.7 nist-csf-function-grouping protect +SCF:DCH-23.7 nist-800-53-r5 si-19-07 +SCF:DCH-23.7 nist-800-82-r3 si-19-07 +SCF:DCH-23.8 nist-csf-function-grouping protect +SCF:DCH-23.8 nist-800-53-r5 si-19-08 +SCF:DCH-23.8 nist-800-82-r3 si-19-08 +SCF:DCH-23.8 nist-800-160-vol2-r1 si-19-08 +SCF:DCH-23.9 nist-csf-function-grouping protect +SCF:DCH-24 nist-csf-function-grouping identify +SCF:DCH-24 nist-800-53-r5 cm-12 +SCF:DCH-24 nist-800-53b-r5-moderate cm-12 +SCF:DCH-24 nist-800-82-r3 cm-12 +SCF:DCH-24 nist-800-82-r3-moderate-ot-overlay cm-12 +SCF:DCH-24 nist-800-82-r3-high-ot-overlay cm-12 +SCF:DCH-24 nist-800-161-r1 cm-12 +SCF:DCH-24 nist-800-161-r1-level-2 cm-12 +SCF:DCH-24 nist-800-161-r1-level-3 cm-12 +SCF:DCH-24 nist-800-171a-r3 a.03.04.11.a-01 +SCF:DCH-24 nist-800-207 nist-tenet-1 +SCF:DCH-24.1 nist-csf-function-grouping identify +SCF:DCH-24.1 nist-800-53-r5 cm-12-01 +SCF:DCH-24.1 nist-800-53b-r5-moderate cm-12-01 +SCF:DCH-24.1 nist-800-82-r3 cm-12-01 +SCF:DCH-24.1 nist-800-82-r3-moderate-ot-overlay cm-12-01 +SCF:DCH-24.1 nist-800-82-r3-high-ot-overlay cm-12-01 +SCF:DCH-24.1 nist-800-161-r1 cm-12-1 +SCF:DCH-24.1 nist-800-161-r1-level-2 cm-12-1 +SCF:DCH-24.1 nist-800-161-r1-level-3 cm-12-1 +SCF:DCH-24.1 nist-800-207 nist-tenet-4 +SCF:DCH-24.1 nist-800-207 nist-tenet-7 +SCF:DCH-25 nist-csf-function-grouping protect +SCF:DCH-25 csa-ccm-4.1.0 dcs-03 +SCF:DCH-25 csa-iot-scf-2 lgl-08 +SCF:DCH-25 nist-800-207 nist-tenet-4 +SCF:DCH-25.1 nist-csf-function-grouping protect +SCF:DCH-25.1 nist-800-207 nist-tenet-4 +SCF:DCH-26 nist-csf-function-grouping protect +SCF:DCH-27 nist-csf-function-grouping protect +SCF:END-01 nist-csf-function-grouping govern +SCF:END-01 cis-csc-8.1 _10.0 +SCF:END-01 cobit-2019 dss05.03 +SCF:END-01 cobit-2019 dss05.07 +SCF:END-01 csa-ccm-4.1.0 tvm-02 +SCF:END-01 csa-ccm-4.1.0 uem-01 +SCF:END-01 csa-ccm-4.1.0 uem-05 +SCF:END-01 iec-tr-60601-4-5-2021 _4.2 +SCF:END-01 iso-27002-2022 _7.7 +SCF:END-01 iso-27002-2022 _8.1 +SCF:END-01 iso-27002-2022 _8.5 +SCF:END-01 iso-27017-2015 _9.4.2 +SCF:END-01 iso-27017-2015 _11.2.9 +SCF:END-01 iso-27018-2025 _7.7 +SCF:END-01 iso-27018-2025 _8.1 +SCF:END-01 iso-27018-2025 _8.5 +SCF:END-01 nist-800-53-r4 mp-2 +SCF:END-01 nist-800-53-r5 mp-02 +SCF:END-01 nist-800-53b-r5-privacy mp-02 +SCF:END-01 nist-800-53b-r5-low mp-02 +SCF:END-01 nist-sp-800-66-r2 _164.310-b +SCF:END-01 nist-800-82-r3 mp-02 +SCF:END-01 nist-800-82-r3-low-ot-overlay mp-02 +SCF:END-01 nist-800-82-r3-moderate-ot-overlay mp-02 +SCF:END-01 nist-800-82-r3-high-ot-overlay mp-02 +SCF:END-01 nist-800-171-r2 _3.14.2 +SCF:END-01 nist-800-171-r3 _03.14.02.a +SCF:END-01 nist-800-171a _3.4.1-a +SCF:END-01 nist-800-171a _3.4.1-b +SCF:END-01 nist-800-171a _3.4.1-c +SCF:END-01 nist-800-171a _3.4.2-a +SCF:END-01 nist-800-171a _3.4.2-b +SCF:END-01 nist-800-171a-r3 a.03.01.03-01 +SCF:END-01 nist-800-207 nist-tenet-4 +SCF:END-01 nist-csf-2.0 de.cm-09 +SCF:END-01 pci-dss-4.0.1 _1.5 +SCF:END-01 pci-dss-4.0.1 _1.5.1 +SCF:END-01 pci-dss-4.0.1 _5.1 +SCF:END-01 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:END-01 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:END-01 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:END-01 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:END-01.1 nist-csf-function-grouping protect +SCF:END-01.1 csa-ccm-4.1.0 uem-05 +SCF:END-02 nist-csf-function-grouping protect +SCF:END-02 cis-csc-8.1 _10.0 +SCF:END-02 cis-csc-8.1 _10.3 +SCF:END-02 cis-csc-8.1 _10.4 +SCF:END-02 cis-csc-8.1 _10.5 +SCF:END-02 cis-csc-8.1 _11.0 +SCF:END-02 cis-csc-8.1-ig1 _10.3 +SCF:END-02 cis-csc-8.1-ig2 _10.3 +SCF:END-02 cis-csc-8.1-ig2 _10.4 +SCF:END-02 cis-csc-8.1-ig2 _10.5 +SCF:END-02 cis-csc-8.1-ig3 _10.3 +SCF:END-02 cis-csc-8.1-ig3 _10.4 +SCF:END-02 cis-csc-8.1-ig3 _10.5 +SCF:END-02 cobit-2019 dss05.03 +SCF:END-02 iso-27002-2022 _8.1 +SCF:END-02 iso-27002-2022 _8.5 +SCF:END-02 iso-27017-2015 _9.4.2 +SCF:END-02 iso-27018-2025 _8.1 +SCF:END-02 iso-27018-2025 _8.5 +SCF:END-02 nist-800-53-r4 sc-28 +SCF:END-02 nist-800-53-r5 sc-28 +SCF:END-02 nist-800-53b-r5-privacy sc-28 +SCF:END-02 nist-800-53b-r5-moderate sc-28 +SCF:END-02 nist-sp-800-66-r2 _164.310-c +SCF:END-02 nist-800-82-r3 sc-28 +SCF:END-02 nist-800-82-r3-moderate-ot-overlay sc-28 +SCF:END-02 nist-800-82-r3-high-ot-overlay sc-28 +SCF:END-02 nist-800-161-r1 sc-28 +SCF:END-02 nist-800-161-r1-flow-down sc-28 +SCF:END-02 nist-800-161-r1-level-2 sc-28 +SCF:END-02 nist-800-161-r1-level-3 sc-28 +SCF:END-02 nist-800-171-r2 _3.13.16 +SCF:END-02 nist-800-171a _3.13.16 +SCF:END-02 pci-dss-4.0.1 _1.5 +SCF:END-02 pci-dss-4.0.1 _1.5.1 +SCF:END-02 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:END-02 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:END-02 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:END-02 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:END-03 nist-csf-function-grouping protect +SCF:END-03 iso-27002-2022 _8.19 +SCF:END-03 iso-27017-2015 _12.5.1 +SCF:END-03 iso-27017-2015 _12.6.2 +SCF:END-03 iso-27018-2025 _8.19 +SCF:END-03 nist-800-53-r4 cm-11 +SCF:END-03 nist-800-53-r4 cm-11-2 +SCF:END-03 nist-800-53-r5 cm-11 +SCF:END-03 nist-800-53-r5 cm-11-02 +SCF:END-03 nist-800-53b-r5-privacy cm-11 +SCF:END-03 nist-800-53b-r5-privacy cm-11-02 +SCF:END-03 nist-800-53b-r5-low cm-11 +SCF:END-03 nist-800-82-r3 cm-11 +SCF:END-03 nist-800-82-r3 cm-11-02 +SCF:END-03 nist-800-161-r1 cm-11 +SCF:END-03 nist-800-161-r1-c-scrm-baseline cm-11 +SCF:END-03 nist-800-161-r1-level-2 cm-11 +SCF:END-03 nist-800-161-r1-level-3 cm-11 +SCF:END-03 nist-800-171-r2 _3.4.9 +SCF:END-03 nist-csf-2.0 pr.ps-05 +SCF:END-03.1 nist-csf-function-grouping protect +SCF:END-03.1 cis-csc-8.1 _2.3 +SCF:END-03.1 cis-csc-8.1-ig1 _2.3 +SCF:END-03.1 cis-csc-8.1-ig2 _2.3 +SCF:END-03.1 cis-csc-8.1-ig3 _2.3 +SCF:END-03.1 nist-800-53-r4 cm-11-1 +SCF:END-03.1 nist-800-53-r5 cm-08-03 +SCF:END-03.1 nist-800-53-r5 cm-11-03 +SCF:END-03.1 nist-800-53b-r5-privacy cm-08-03 +SCF:END-03.1 nist-800-53b-r5-privacy cm-11-03 +SCF:END-03.1 nist-800-53b-r5-moderate cm-08-03 +SCF:END-03.1 nist-800-82-r3 cm-08-03 +SCF:END-03.1 nist-800-82-r3 cm-11-03 +SCF:END-03.1 nist-800-82-r3-moderate-ot-overlay cm-08-03 +SCF:END-03.1 nist-800-82-r3-high-ot-overlay cm-08-03 +SCF:END-03.1 nist-800-160-vol2-r1 cm-08-03 +SCF:END-03.2 nist-csf-function-grouping protect +SCF:END-03.2 iso-27002-2022 _8.19 +SCF:END-03.2 iso-27017-2015 _12.5.1 +SCF:END-03.2 iso-27018-2025 _8.19 +SCF:END-03.2 nist-800-53-r4 cm-5 +SCF:END-03.2 nist-800-53-r5 cm-05 +SCF:END-03.2 nist-800-53b-r5-privacy cm-05 +SCF:END-03.2 nist-800-53b-r5-low cm-05 +SCF:END-03.2 nist-800-82-r3 cm-05 +SCF:END-03.2 nist-800-82-r3-low-ot-overlay cm-05 +SCF:END-03.2 nist-800-82-r3-moderate-ot-overlay cm-05 +SCF:END-03.2 nist-800-82-r3-high-ot-overlay cm-05 +SCF:END-03.2 nist-800-161-r1 cm-5 +SCF:END-03.2 nist-800-161-r1-c-scrm-baseline cm-5 +SCF:END-03.2 nist-800-161-r1-level-2 cm-5 +SCF:END-03.2 nist-800-161-r1-level-3 cm-5 +SCF:END-03.2 nist-800-171a _3.4.5-a +SCF:END-03.2 nist-800-171a _3.4.5-b +SCF:END-03.2 nist-800-171a _3.4.5-c +SCF:END-03.2 nist-800-171a _3.4.5-d +SCF:END-03.2 nist-800-171a _3.4.5-e +SCF:END-03.2 nist-800-171a _3.4.5-f +SCF:END-03.2 nist-800-171a _3.4.5-g +SCF:END-03.2 nist-800-171a _3.4.5-h +SCF:END-04 nist-csf-function-grouping detect +SCF:END-04 cis-csc-8.1 _10.0 +SCF:END-04 cis-csc-8.1 _10.1 +SCF:END-04 cis-csc-8.1 _10.4 +SCF:END-04 cis-csc-8.1-ig1 _10.1 +SCF:END-04 cis-csc-8.1-ig2 _10.1 +SCF:END-04 cis-csc-8.1-ig2 _10.4 +SCF:END-04 cis-csc-8.1-ig3 _10.1 +SCF:END-04 cis-csc-8.1-ig3 _10.4 +SCF:END-04 cobit-2019 dss05.01 +SCF:END-04 csa-ccm-4.1.0 uem-09 +SCF:END-04 csa-iot-scf-2 cls-14 +SCF:END-04 iec-62443-2-1-2024 comp-2.2 +SCF:END-04 iec-62443-3-3-2013 sr-3.2 +SCF:END-04 iec-62443-3-3-2013 sr-3.2-re-1 +SCF:END-04 iec-62443-4-2-2019 sar-3.2 +SCF:END-04 iec-62443-4-2-2019 hdr-3.2 +SCF:END-04 iec-62443-4-2-2019 ndr-3.2 +SCF:END-04 iso-27002-2022 _8.7 +SCF:END-04 iso-27017-2015 _12.2.1 +SCF:END-04 iso-27018-2025 _8.7 +SCF:END-04 nist-800-53-r4 si-3 +SCF:END-04 nist-800-53-r5 si-03 +SCF:END-04 nist-800-53b-r5-privacy si-03 +SCF:END-04 nist-800-53b-r5-low si-03 +SCF:END-04 nist-800-82-r3 si-03 +SCF:END-04 nist-800-82-r3-low-ot-overlay si-03 +SCF:END-04 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:END-04 nist-800-82-r3-high-ot-overlay si-03 +SCF:END-04 nist-800-161-r1 si-3 +SCF:END-04 nist-800-161-r1-c-scrm-baseline si-3 +SCF:END-04 nist-800-161-r1-flow-down si-3 +SCF:END-04 nist-800-161-r1-level-2 si-3 +SCF:END-04 nist-800-161-r1-level-3 si-3 +SCF:END-04 nist-800-171-r2 _3.14.2 +SCF:END-04 nist-800-171-r3 _03.14.02.c +SCF:END-04 nist-800-171-r3 _03.14.02.c.01 +SCF:END-04 nist-800-171-r3 _03.14.02.c.02 +SCF:END-04 nist-800-171a _3.14.2-a +SCF:END-04 nist-800-171a _3.14.2-b +SCF:END-04 nist-800-171a _3.14.5-a +SCF:END-04 nist-800-171a _3.14.5-b +SCF:END-04 nist-800-171a _3.14.5-c +SCF:END-04 nist-800-171a-r3 a.03.14.02.odp-01 +SCF:END-04 nist-800-171a-r3 a.03.14.02.a-01 +SCF:END-04 nist-800-171a-r3 a.03.14.02.a-02 +SCF:END-04 nist-800-171a-r3 a.03.14.02.c.02 +SCF:END-04 nist-csf-2.0 de.cm-09 +SCF:END-04 pci-dss-4.0.1 _5.2 +SCF:END-04 pci-dss-4.0.1 _5.2.1 +SCF:END-04 pci-dss-4.0.1 _5.2.2 +SCF:END-04 pci-dss-4.0.1 _5.3 +SCF:END-04 pci-dss-4.0.1 _5.3.1 +SCF:END-04 pci-dss-4.0.1 _5.3.2 +SCF:END-04 pci-dss-4.0.1 _5.3.2.1 +SCF:END-04 pci-dss-4.0.1 _5.3.3 +SCF:END-04 pci-dss-4.0.1 _5.3.4 +SCF:END-04 pci-dss-4.0.1 _5.3.5 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.2.1 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.2.2 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.1 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.2 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.2.1 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.3 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.4 +SCF:END-04 pci-dss-4.0.1-saq-a-ep _5.3.5 +SCF:END-04 pci-dss-4.0.1-saq-c _5.2.1 +SCF:END-04 pci-dss-4.0.1-saq-c _5.2.2 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.1 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.2 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.2.1 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.3 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.4 +SCF:END-04 pci-dss-4.0.1-saq-c _5.3.5 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.2.1 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.2.2 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.3.1 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.3.2 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.3.3 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.3.4 +SCF:END-04 pci-dss-4.0.1-saq-c-vt _5.3.5 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.2.1 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.2.2 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.1 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.2 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.2.1 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.3 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.4 +SCF:END-04 pci-dss-4.0.1-saq-d-merchant _5.3.5 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.2.1 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.2.2 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.1 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.2 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.2.1 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.3 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.4 +SCF:END-04 pci-dss-4.0.1-saq-d-service-provider _5.3.5 +SCF:END-04.1 nist-csf-function-grouping protect +SCF:END-04.1 cis-csc-8.1 _10.2 +SCF:END-04.1 cis-csc-8.1-ig1 _10.2 +SCF:END-04.1 cis-csc-8.1-ig2 _10.2 +SCF:END-04.1 cis-csc-8.1-ig3 _10.2 +SCF:END-04.1 cobit-2019 dss05.01 +SCF:END-04.1 iec-62443-2-1-2024 comp-2.3 +SCF:END-04.1 iso-27002-2022 _8.7 +SCF:END-04.1 iso-27017-2015 _12.2.1 +SCF:END-04.1 iso-27018-2025 _8.7 +SCF:END-04.1 nist-800-53-r4 si-3-2 +SCF:END-04.1 nist-800-53-r5 si-02 +SCF:END-04.1 nist-800-53-r5 si-03 +SCF:END-04.1 nist-800-53b-r5-privacy si-02 +SCF:END-04.1 nist-800-53b-r5-privacy si-03 +SCF:END-04.1 nist-800-53b-r5-low si-02 +SCF:END-04.1 nist-800-53b-r5-low si-03 +SCF:END-04.1 nist-800-82-r3 si-02 +SCF:END-04.1 nist-800-82-r3 si-03 +SCF:END-04.1 nist-800-82-r3-low-ot-overlay si-02 +SCF:END-04.1 nist-800-82-r3-low-ot-overlay si-03 +SCF:END-04.1 nist-800-82-r3-moderate-ot-overlay si-02 +SCF:END-04.1 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:END-04.1 nist-800-82-r3-high-ot-overlay si-02 +SCF:END-04.1 nist-800-82-r3-high-ot-overlay si-03 +SCF:END-04.1 nist-800-161-r1 si-2 +SCF:END-04.1 nist-800-161-r1 si-3 +SCF:END-04.1 nist-800-161-r1-c-scrm-baseline si-2 +SCF:END-04.1 nist-800-161-r1-c-scrm-baseline si-3 +SCF:END-04.1 nist-800-161-r1-flow-down si-2 +SCF:END-04.1 nist-800-161-r1-flow-down si-3 +SCF:END-04.1 nist-800-161-r1-level-2 si-2 +SCF:END-04.1 nist-800-161-r1-level-2 si-3 +SCF:END-04.1 nist-800-161-r1-level-3 si-2 +SCF:END-04.1 nist-800-161-r1-level-3 si-3 +SCF:END-04.1 nist-800-171-r2 _3.14.4 +SCF:END-04.1 nist-800-171-r3 _03.14.02.b +SCF:END-04.1 nist-800-171a _3.14.4 +SCF:END-04.1 nist-800-171a-r3 a.03.14.02.b +SCF:END-04.1 pci-dss-4.0.1 _5.3 +SCF:END-04.1 pci-dss-4.0.1 _5.3.1 +SCF:END-04.1 pci-dss-4.0.1-saq-a-ep _5.3.1 +SCF:END-04.1 pci-dss-4.0.1-saq-c _5.3.1 +SCF:END-04.1 pci-dss-4.0.1-saq-c-vt _5.3.1 +SCF:END-04.1 pci-dss-4.0.1-saq-d-merchant _5.3.1 +SCF:END-04.1 pci-dss-4.0.1-saq-d-service-provider _5.3.1 +SCF:END-04.2 nist-csf-function-grouping identify +SCF:END-04.2 pci-dss-4.0.1 _5.1.2 +SCF:END-04.2 pci-dss-4.0.1-saq-d-merchant _5.1.2 +SCF:END-04.2 pci-dss-4.0.1-saq-d-service-provider _5.1.2 +SCF:END-04.3 nist-csf-function-grouping detect +SCF:END-04.3 cis-csc-8.1 _10.6 +SCF:END-04.3 cis-csc-8.1-ig2 _10.6 +SCF:END-04.3 cis-csc-8.1-ig3 _10.6 +SCF:END-04.3 iec-62443-3-3-2013 sr-3.2-re-2 +SCF:END-04.3 iec-62443-4-2-2019 hdr-3.2-1 +SCF:END-04.3 nist-800-53-r4 si-3-1 +SCF:END-04.3 nist-800-53-r5 pl-09 +SCF:END-04.3 nist-800-53b-r5-privacy pl-09 +SCF:END-04.3 nist-800-82-r3 pl-09 +SCF:END-04.3 nist-800-161-r1 pl-9 +SCF:END-04.3 nist-800-161-r1-level-1 pl-9 +SCF:END-04.3 nist-800-161-r1-level-2 pl-9 +SCF:END-04.3 nist-800-171-r3 _03.14.02.a +SCF:END-04.3 pci-dss-4.0.1 _5.3.4 +SCF:END-04.3 pci-dss-4.0.1-saq-a-ep _5.3.4 +SCF:END-04.3 pci-dss-4.0.1-saq-c _5.3.4 +SCF:END-04.3 pci-dss-4.0.1-saq-c-vt _5.3.4 +SCF:END-04.3 pci-dss-4.0.1-saq-d-merchant _5.3.4 +SCF:END-04.3 pci-dss-4.0.1-saq-d-service-provider _5.3.4 +SCF:END-04.4 nist-csf-function-grouping detect +SCF:END-04.4 cis-csc-8.1 _10.7 +SCF:END-04.4 cis-csc-8.1-ig2 _10.7 +SCF:END-04.4 cis-csc-8.1-ig3 _10.7 +SCF:END-04.4 nist-800-53-r4 si-3-7 +SCF:END-04.4 nist-800-53-r5 si-03 +SCF:END-04.4 nist-800-53b-r5-privacy si-03 +SCF:END-04.4 nist-800-53b-r5-low si-03 +SCF:END-04.4 nist-800-82-r3 si-03 +SCF:END-04.4 nist-800-82-r3-low-ot-overlay si-03 +SCF:END-04.4 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:END-04.4 nist-800-82-r3-high-ot-overlay si-03 +SCF:END-04.4 nist-800-161-r1 si-3 +SCF:END-04.4 nist-800-161-r1-c-scrm-baseline si-3 +SCF:END-04.4 nist-800-161-r1-flow-down si-3 +SCF:END-04.4 nist-800-161-r1-level-2 si-3 +SCF:END-04.4 nist-800-161-r1-level-3 si-3 +SCF:END-04.5 nist-csf-function-grouping detect +SCF:END-04.5 iec-62443-2-1-2024 comp-2.3 +SCF:END-04.5 nist-800-53-r4 si-3-6 +SCF:END-04.5 nist-800-53-r5 si-03-06 +SCF:END-04.5 nist-800-82-r3 si-03-06 +SCF:END-04.6 nist-csf-function-grouping detect +SCF:END-04.6 pci-dss-4.0.1 _5.2.3 +SCF:END-04.6 pci-dss-4.0.1 _5.2.3.1 +SCF:END-04.6 pci-dss-4.0.1-saq-a-ep _5.2.3 +SCF:END-04.6 pci-dss-4.0.1-saq-a-ep _5.2.3.1 +SCF:END-04.6 pci-dss-4.0.1-saq-c _5.2.3 +SCF:END-04.6 pci-dss-4.0.1-saq-c _5.2.3.1 +SCF:END-04.6 pci-dss-4.0.1-saq-d-merchant _5.2.3 +SCF:END-04.6 pci-dss-4.0.1-saq-d-merchant _5.2.3.1 +SCF:END-04.6 pci-dss-4.0.1-saq-d-service-provider _5.2.3 +SCF:END-04.6 pci-dss-4.0.1-saq-d-service-provider _5.2.3.1 +SCF:END-04.7 nist-csf-function-grouping detect +SCF:END-04.7 cis-csc-8.1 _10.4 +SCF:END-04.7 cis-csc-8.1-ig2 _10.4 +SCF:END-04.7 cis-csc-8.1-ig3 _10.4 +SCF:END-04.7 cobit-2019 dss05.01 +SCF:END-04.7 csa-ccm-4.1.0 uem-09 +SCF:END-04.7 iec-62443-2-1-2024 comp-2.1 +SCF:END-04.7 nist-800-171-r2 _3.14.5 +SCF:END-04.7 nist-800-171-r3 _03.14.02.a +SCF:END-04.7 nist-800-171-r3 _03.14.02.c.01 +SCF:END-04.7 nist-800-171-r3 _03.14.02.c.02 +SCF:END-04.7 nist-800-171a _3.14.5-c +SCF:END-04.7 nist-800-171a-r3 a.03.14.02.c.01-01 +SCF:END-04.7 nist-800-171a-r3 a.03.14.02.c.01-02 +SCF:END-04.7 pci-dss-4.0.1 _5.3 +SCF:END-04.7 pci-dss-4.0.1 _5.3.2 +SCF:END-04.7 pci-dss-4.0.1 _5.3.2.1 +SCF:END-04.7 pci-dss-4.0.1 _5.3.3 +SCF:END-04.7 pci-dss-4.0.1 _5.3.5 +SCF:END-04.7 pci-dss-4.0.1-saq-a-ep _5.3.2 +SCF:END-04.7 pci-dss-4.0.1-saq-a-ep _5.3.2.1 +SCF:END-04.7 pci-dss-4.0.1-saq-a-ep _5.3.3 +SCF:END-04.7 pci-dss-4.0.1-saq-a-ep _5.3.5 +SCF:END-04.7 pci-dss-4.0.1-saq-c _5.3.2 +SCF:END-04.7 pci-dss-4.0.1-saq-c _5.3.2.1 +SCF:END-04.7 pci-dss-4.0.1-saq-c _5.3.3 +SCF:END-04.7 pci-dss-4.0.1-saq-c _5.3.5 +SCF:END-04.7 pci-dss-4.0.1-saq-c-vt _5.3.2 +SCF:END-04.7 pci-dss-4.0.1-saq-c-vt _5.3.3 +SCF:END-04.7 pci-dss-4.0.1-saq-c-vt _5.3.5 +SCF:END-04.7 pci-dss-4.0.1-saq-d-merchant _5.3.2 +SCF:END-04.7 pci-dss-4.0.1-saq-d-merchant _5.3.2.1 +SCF:END-04.7 pci-dss-4.0.1-saq-d-merchant _5.3.3 +SCF:END-04.7 pci-dss-4.0.1-saq-d-merchant _5.3.5 +SCF:END-04.7 pci-dss-4.0.1-saq-d-service-provider _5.3.2 +SCF:END-04.7 pci-dss-4.0.1-saq-d-service-provider _5.3.2.1 +SCF:END-04.7 pci-dss-4.0.1-saq-d-service-provider _5.3.3 +SCF:END-04.7 pci-dss-4.0.1-saq-d-service-provider _5.3.5 +SCF:END-05 nist-csf-function-grouping protect +SCF:END-05 cis-csc-8.1 _4.4 +SCF:END-05 cis-csc-8.1 _4.5 +SCF:END-05 cis-csc-8.1-ig1 _4.4 +SCF:END-05 cis-csc-8.1-ig1 _4.5 +SCF:END-05 cis-csc-8.1-ig2 _4.4 +SCF:END-05 cis-csc-8.1-ig2 _4.5 +SCF:END-05 cis-csc-8.1-ig3 _4.4 +SCF:END-05 cis-csc-8.1-ig3 _4.5 +SCF:END-05 csa-ccm-4.1.0 uem-10 +SCF:END-05 pci-dss-4.0.1 _1.5.1 +SCF:END-05 pci-dss-4.0.1-saq-a-ep _1.5.1 +SCF:END-05 pci-dss-4.0.1-saq-c-vt _1.5.1 +SCF:END-05 pci-dss-4.0.1-saq-d-merchant _1.5.1 +SCF:END-05 pci-dss-4.0.1-saq-d-service-provider _1.5.1 +SCF:END-06 nist-csf-function-grouping protect +SCF:END-06 csa-iot-scf-2 sap-06 +SCF:END-06 iec-62443-4-1-2018 sm-6 +SCF:END-06 iec-62443-4-2-2019 cr-3.4 +SCF:END-06 nist-privacy-framework-1.0 pr.ds-p6 +SCF:END-06 nist-800-53-r4 si-7 +SCF:END-06 nist-800-53-r5 si-07 +SCF:END-06 nist-800-53b-r5-privacy si-07 +SCF:END-06 nist-800-53b-r5-moderate si-07 +SCF:END-06 nist-800-82-r3 si-07 +SCF:END-06 nist-800-82-r3-moderate-ot-overlay si-07 +SCF:END-06 nist-800-82-r3-high-ot-overlay si-07 +SCF:END-06 nist-800-160-vol2-r1 si-07 +SCF:END-06 nist-800-161-r1 si-7 +SCF:END-06 nist-800-161-r1-c-scrm-baseline si-7 +SCF:END-06 nist-800-161-r1-flow-down si-7 +SCF:END-06 nist-800-161-r1-level-2 si-7 +SCF:END-06 nist-800-161-r1-level-3 si-7 +SCF:END-06 nist-csf-2.0 de.cm-09 +SCF:END-06 pci-dss-4.0.1 _10.3.4 +SCF:END-06 pci-dss-4.0.1 _11.5 +SCF:END-06 pci-dss-4.0.1 _11.5.2 +SCF:END-06 pci-dss-4.0.1 _11.6.1 +SCF:END-06 pci-dss-4.0.1-saq-a _11.6.1 +SCF:END-06 pci-dss-4.0.1-saq-a-ep _10.3.4 +SCF:END-06 pci-dss-4.0.1-saq-a-ep _11.5.2 +SCF:END-06 pci-dss-4.0.1-saq-a-ep _11.6.1 +SCF:END-06 pci-dss-4.0.1-saq-c _10.3.4 +SCF:END-06 pci-dss-4.0.1-saq-c _11.5.2 +SCF:END-06 pci-dss-4.0.1-saq-d-merchant _10.3.4 +SCF:END-06 pci-dss-4.0.1-saq-d-merchant _11.5.2 +SCF:END-06 pci-dss-4.0.1-saq-d-merchant _11.6.1 +SCF:END-06 pci-dss-4.0.1-saq-d-service-provider _10.3.4 +SCF:END-06 pci-dss-4.0.1-saq-d-service-provider _11.5.2 +SCF:END-06 pci-dss-4.0.1-saq-d-service-provider _11.6.1 +SCF:END-06.1 nist-csf-function-grouping detect +SCF:END-06.1 csa-iot-scf-2 iot-03 +SCF:END-06.1 iec-62443-3-3-2013 sr-2.4-re-1 +SCF:END-06.1 nist-privacy-framework-1.0 pr.ds-p6 +SCF:END-06.1 nist-privacy-framework-1.0 pr.ds-p8 +SCF:END-06.1 nist-800-53-r4 si-7-1 +SCF:END-06.1 nist-800-53-r5 si-07-01 +SCF:END-06.1 nist-800-53b-r5-moderate si-07-01 +SCF:END-06.1 nist-800-82-r3 si-07-01 +SCF:END-06.1 nist-800-82-r3-moderate-ot-overlay si-07-01 +SCF:END-06.1 nist-800-82-r3-high-ot-overlay si-07-01 +SCF:END-06.1 nist-800-160-vol2-r1 si-07-01 +SCF:END-06.2 nist-csf-function-grouping respond +SCF:END-06.2 cis-csc-8.1 _2.3 +SCF:END-06.2 cis-csc-8.1 _2.4 +SCF:END-06.2 cis-csc-8.1 _13.7 +SCF:END-06.2 cis-csc-8.1-ig1 _2.3 +SCF:END-06.2 cis-csc-8.1-ig2 _2.3 +SCF:END-06.2 cis-csc-8.1-ig2 _2.4 +SCF:END-06.2 cis-csc-8.1-ig3 _2.3 +SCF:END-06.2 cis-csc-8.1-ig3 _2.4 +SCF:END-06.2 cis-csc-8.1-ig3 _13.7 +SCF:END-06.2 nist-800-53-r4 si-7-7 +SCF:END-06.2 nist-800-53-r5 si-07-07 +SCF:END-06.2 nist-800-53b-r5-moderate si-07-07 +SCF:END-06.2 nist-800-82-r3 si-07-07 +SCF:END-06.2 nist-800-82-r3-moderate-ot-overlay si-07-07 +SCF:END-06.2 nist-800-82-r3-high-ot-overlay si-07-07 +SCF:END-06.2 nist-800-160-vol2-r1 si-07-07 +SCF:END-06.2 pci-dss-4.0.1 _10.7 +SCF:END-06.2 pci-dss-4.0.1 _10.7.1 +SCF:END-06.2 pci-dss-4.0.1 _10.7.2 +SCF:END-06.2 pci-dss-4.0.1 _10.7.3 +SCF:END-06.2 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:END-06.2 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:END-06.2 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:END-06.2 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:END-06.2 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:END-06.3 nist-csf-function-grouping respond +SCF:END-06.3 nist-privacy-framework-1.0 pr.ds-p6 +SCF:END-06.3 nist-800-53-r4 si-7-2 +SCF:END-06.3 nist-800-53-r5 si-07-02 +SCF:END-06.3 nist-800-53b-r5-high si-07-02 +SCF:END-06.3 nist-800-82-r3 si-07-02 +SCF:END-06.3 nist-800-82-r3-high-ot-overlay si-07-02 +SCF:END-06.4 nist-csf-function-grouping respond +SCF:END-06.4 nist-800-53-r4 si-7-5 +SCF:END-06.4 nist-800-53-r5 si-07-05 +SCF:END-06.4 nist-800-53b-r5-high si-07-05 +SCF:END-06.4 nist-800-82-r3 si-07-05 +SCF:END-06.4 nist-800-82-r3-high-ot-overlay si-07-05 +SCF:END-06.4 nist-800-160-vol2-r1 si-07-05 +SCF:END-06.5 nist-csf-function-grouping protect +SCF:END-06.5 iec-62443-4-2-2019 cr-3.14 +SCF:END-06.5 iec-62443-4-2-2019 edr-3.14 +SCF:END-06.5 iec-62443-4-2-2019 hdr-3.14 +SCF:END-06.5 iec-62443-4-2-2019 ndr-3.14 +SCF:END-06.5 nist-800-53-r4 si-7-9 +SCF:END-06.5 nist-800-53-r5 si-07-09 +SCF:END-06.5 nist-800-82-r3 si-07-09 +SCF:END-06.5 nist-800-160-vol2-r1 si-07-09 +SCF:END-06.6 nist-csf-function-grouping protect +SCF:END-06.6 iec-62443-4-2-2019 edr-3.14-1 +SCF:END-06.6 iec-62443-4-2-2019 hdr-3.14-1 +SCF:END-06.6 iec-62443-4-2-2019 ndr-3.14-1 +SCF:END-06.6 nist-800-53-r4 si-7-10 +SCF:END-06.6 nist-800-53-r5 si-07-10 +SCF:END-06.6 nist-800-82-r3 si-07-10 +SCF:END-06.6 nist-800-160-vol2-r1 si-07-10 +SCF:END-06.7 nist-csf-function-grouping protect +SCF:END-06.7 nist-800-53-r4 si-7-14 +SCF:END-06.7 nist-800-53-r5 cm-07-08 +SCF:END-06.7 nist-800-82-r3 cm-07-08 +SCF:END-06.7 nist-800-161-r1 cm-7-8 +SCF:END-06.7 nist-800-161-r1 si-7-14 +SCF:END-06.7 nist-800-161-r1-level-2 cm-7-8 +SCF:END-10 nist-800-171a _3.13.13-b +SCF:END-06.7 nist-800-161-r1-level-2 si-7-14 +SCF:END-06.7 nist-800-161-r1-level-3 cm-7-8 +SCF:END-06.7 nist-800-161-r1-level-3 si-7-14 +SCF:END-06.8 nist-csf-function-grouping protect +SCF:END-07 nist-csf-function-grouping protect +SCF:END-07 cis-csc-8.1 _13.2 +SCF:END-07 cis-csc-8.1 _13.7 +SCF:END-07 cis-csc-8.1-ig2 _13.2 +SCF:END-07 cis-csc-8.1-ig3 _13.2 +SCF:END-07 cis-csc-8.1-ig3 _13.7 +SCF:END-07 csa-iot-scf-2 cls-14 +SCF:END-07 csa-iot-scf-2 sap-06 +SCF:END-07 nist-800-171-r3 _03.14.06.a.01 +SCF:END-07 nist-800-171-r3 _03.14.06.a.02 +SCF:END-07 nist-800-171-r3 _03.14.06.b +SCF:END-07 nist-800-171-r3 _03.14.06.c +SCF:END-08 nist-csf-function-grouping protect +SCF:END-08 cis-csc-8.1 _9.0 +SCF:END-08 cis-csc-8.1 _9.6 +SCF:END-08 cis-csc-8.1 _9.7 +SCF:END-08 cis-csc-8.1-ig2 _9.6 +SCF:END-08 cis-csc-8.1-ig3 _9.6 +SCF:END-08 cis-csc-8.1-ig3 _9.7 +SCF:END-08 nist-800-53-r4 si-8 +SCF:END-08 nist-800-53-r5 si-08 +SCF:END-08 nist-800-53b-r5-moderate si-08 +SCF:END-08 nist-800-82-r3 si-08 +SCF:END-08 nist-800-82-r3-moderate-ot-overlay si-08 +SCF:END-08 nist-800-82-r3-high-ot-overlay si-08 +SCF:END-08 pci-dss-4.0.1 _5.4 +SCF:END-08 pci-dss-4.0.1 _5.4.1 +SCF:END-08 pci-dss-4.0.1-saq-a-ep _5.4.1 +SCF:END-08 pci-dss-4.0.1-saq-c _5.4.1 +SCF:END-08 pci-dss-4.0.1-saq-c-vt _5.4.1 +SCF:END-08 pci-dss-4.0.1-saq-d-merchant _5.4.1 +SCF:END-08 pci-dss-4.0.1-saq-d-service-provider _5.4.1 +SCF:END-08.1 nist-csf-function-grouping protect +SCF:END-08.1 nist-800-53-r4 si-8-1 +SCF:END-08.1 nist-800-53-r5 pl-09 +SCF:END-08.1 nist-800-53b-r5-privacy pl-09 +SCF:END-08.1 nist-800-82-r3 pl-09 +SCF:END-08.1 nist-800-161-r1 pl-9 +SCF:END-08.1 nist-800-161-r1-level-1 pl-9 +SCF:END-08.1 nist-800-161-r1-level-2 pl-9 +SCF:END-08.2 nist-csf-function-grouping protect +SCF:END-08.2 nist-800-53-r4 si-8-2 +SCF:END-08.2 nist-800-53-r5 si-08-02 +SCF:END-08.2 nist-800-53b-r5-moderate si-08-02 +SCF:END-08.2 nist-800-82-r3 si-08-02 +SCF:END-09 nist-csf-function-grouping protect +SCF:END-09 iso-27002-2022 _8.5 +SCF:END-09 iso-27017-2015 _9.4.2 +SCF:END-09 iso-27018-2025 _8.5 +SCF:END-09 nist-800-53-r4 sc-11 +SCF:END-09 nist-800-53-r5 sc-11 +SCF:END-09 nist-800-82-r3 sc-11 +SCF:END-09 nist-800-160-vol2-r1 sc-11 +SCF:END-10 nist-csf-function-grouping detect +SCF:END-10 iec-62443-3-3-2013 sr-2.4 +SCF:END-10 iec-62443-3-3-2013 sr-2.4-a +SCF:END-10 iec-62443-3-3-2013 sr-2.4-b +SCF:END-10 iec-62443-3-3-2013 sr-2.4-c +SCF:END-10 iec-62443-3-3-2013 sr-2.4-d +SCF:END-10 iec-62443-4-2-2019 sar-2.4 +SCF:END-10 iec-62443-4-2-2019 sar-2.4-a +SCF:END-10 iec-62443-4-2-2019 sar-2.4-b +SCF:END-10 iec-62443-4-2-2019 sar-2.4-c +SCF:END-10 iec-62443-4-2-2019 sar-2.4-1 +SCF:END-10 iec-62443-4-2-2019 edr-2.4 +SCF:END-10 iec-62443-4-2-2019 edr-2.4-a +SCF:END-10 iec-62443-4-2-2019 edr-2.4-b +SCF:END-10 iec-62443-4-2-2019 edr-2.4-c +SCF:END-10 iec-62443-4-2-2019 hdr-2.4 +SCF:END-10 iec-62443-4-2-2019 hdr-2.4-a +SCF:END-10 iec-62443-4-2-2019 hdr-2.4-b +SCF:END-10 iec-62443-4-2-2019 hdr-2.4-c +SCF:END-10 iec-62443-4-2-2019 ndr-2.4 +SCF:END-10 iec-62443-4-2-2019 ndr-2.4-a +SCF:END-10 iec-62443-4-2-2019 ndr-2.4-b +SCF:END-10 iec-62443-4-2-2019 ndr-2.4-c +SCF:END-10 iec-62443-4-2-2019 ndr-2.4-1 +SCF:END-10 nist-800-53-r4 sc-18 +SCF:END-10 nist-800-53-r4 sc-18-1 +SCF:END-10 nist-800-53-r4 sc-18-2 +SCF:END-10 nist-800-53-r4 sc-18-3 +SCF:END-10 nist-800-53-r4 sc-18-4 +SCF:END-10 nist-800-53-r4 sc-27 +SCF:END-10 nist-800-53-r5 sc-18 +SCF:END-10 nist-800-53-r5 sc-18-01 +SCF:END-10 nist-800-53-r5 sc-18-02 +SCF:END-10 nist-800-53-r5 sc-18-03 +SCF:END-10 nist-800-53-r5 sc-18-04 +SCF:END-10 nist-800-53-r5 sc-27 +SCF:END-10 nist-800-53b-r5-privacy sc-18-01 +SCF:END-10 nist-800-53b-r5-privacy sc-18-02 +SCF:END-10 nist-800-53b-r5-privacy sc-18-03 +SCF:END-10 nist-800-53b-r5-privacy sc-18-04 +SCF:END-10 nist-800-53b-r5-moderate sc-18 +SCF:END-10 nist-800-82-r3 sc-18 +SCF:END-10 nist-800-82-r3 sc-18-01 +SCF:END-10 nist-800-82-r3 sc-18-02 +SCF:END-10 nist-800-82-r3 sc-18-03 +SCF:END-10 nist-800-82-r3 sc-18-04 +SCF:END-10 nist-800-82-r3 sc-27 +SCF:END-10 nist-800-82-r3-moderate-ot-overlay sc-18 +SCF:END-10 nist-800-82-r3-high-ot-overlay sc-18 +SCF:END-10 nist-800-160-vol2-r1 sc-27 +SCF:END-10 nist-800-161-r1 sc-18 +SCF:END-10 nist-800-161-r1 sc-18-2 +SCF:END-10 nist-800-161-r1 sc-27 +SCF:END-10 nist-800-161-r1-level-2 sc-27 +SCF:END-10 nist-800-161-r1-level-3 sc-18 +SCF:END-10 nist-800-161-r1-level-3 sc-18-2 +SCF:END-10 nist-800-161-r1-level-3 sc-27 +SCF:END-10 nist-800-171-r2 _3.13.13 +SCF:END-10 nist-800-171-r3 _03.13.13.a +SCF:END-10 nist-800-171-r3 _03.13.13.b +SCF:END-10 nist-800-171a _3.13.13-a +SCF:END-10 nist-800-171a-r3 a.03.13.13.a-01 +SCF:END-10 nist-800-171a-r3 a.03.13.13.a-02 +SCF:END-10 nist-800-171a-r3 a.03.13.13.b-01 +SCF:END-10 nist-800-171a-r3 a.03.13.13.b-02 +SCF:END-10 nist-800-171a-r3 a.03.13.13.b-03 +SCF:END-11 nist-csf-function-grouping protect +SCF:END-11 nist-800-53-r4 sc-25 +SCF:END-11 nist-800-53-r5 sc-25 +SCF:END-11 nist-800-82-r3 sc-25 +SCF:END-11 nist-800-160-vol2-r1 sc-25 +SCF:END-12 nist-csf-function-grouping protect +SCF:END-12 nist-800-53-r4 sc-41 +SCF:END-12 nist-800-53-r5 sc-41 +SCF:END-12 nist-800-82-r3 sc-41 +SCF:END-12 nist-800-82-r3-low-ot-overlay sc-41 +SCF:END-12 nist-800-82-r3-moderate-ot-overlay sc-41 +SCF:END-12 nist-800-82-r3-high-ot-overlay sc-41 +SCF:END-13 nist-csf-function-grouping protect +SCF:END-13 nist-800-53-r4 sc-42 +SCF:END-13 nist-800-53-r5 sc-42 +SCF:END-13 nist-800-82-r3 sc-42 +SCF:END-13.1 nist-csf-function-grouping protect +SCF:END-13.1 nist-800-53-r4 sc-42-2 +SCF:END-13.1 nist-800-53-r5 sc-42-02 +SCF:END-13.1 nist-800-82-r3 sc-42-02 +SCF:END-13.2 nist-csf-function-grouping identify +SCF:END-13.2 nist-800-53-r5 sc-42-04 +SCF:END-13.2 nist-800-82-r3 sc-42-04 +SCF:END-13.3 nist-csf-function-grouping protect +SCF:END-13.3 iec-tr-60601-4-5-2021 _4.5 +SCF:END-13.3 nist-800-53-r5 pm-25 +SCF:END-13.3 nist-800-53-r5 sa-08-33 +SCF:END-13.3 nist-800-53-r5 sc-42-05 +SCF:END-13.3 nist-800-53b-r5-privacy pm-25 +SCF:END-13.3 nist-800-53b-r5-privacy sa-08-33 +SCF:END-13.3 nist-800-82-r3 pm-25 +SCF:END-13.3 nist-800-82-r3 sa-08-33 +SCF:END-13.3 nist-800-82-r3 sc-42-05 +SCF:END-13.3 nist-800-82-r3-low-ot-overlay pm-25 +SCF:END-13.3 nist-800-82-r3-moderate-ot-overlay pm-25 +SCF:END-13.3 nist-800-82-r3-high-ot-overlay pm-25 +SCF:END-13.3 nist-800-161-r1 pm-25 +SCF:END-13.3 nist-800-161-r1-level-2 pm-25 +SCF:END-13.4 nist-csf-function-grouping protect +SCF:END-13.4 nist-800-53-r5 sc-42-01 +SCF:END-13.4 nist-800-82-r3 sc-42-01 +SCF:END-14 nist-csf-function-grouping protect +SCF:END-14 nist-800-53-r4 sc-15 +SCF:END-14 nist-800-53-r4 sc-15-1 +SCF:END-14 nist-800-53-r5 sc-15 +SCF:END-14 nist-800-53-r5 sc-15-01 +SCF:END-14 nist-800-53b-r5-low sc-15 +SCF:END-14 nist-800-82-r3 sc-15 +SCF:END-14 nist-800-82-r3 sc-15-01 +SCF:END-14 nist-800-82-r3-low-ot-overlay sc-15 +SCF:END-14 nist-800-82-r3-moderate-ot-overlay sc-15 +SCF:END-14 nist-800-82-r3-high-ot-overlay sc-15 +SCF:END-14 nist-800-160-vol2-r1 sc-15-01 +SCF:END-14 nist-800-171-r2 _3.13.12 +SCF:END-14 nist-800-171-r3 _03.13.12.a +SCF:END-14 nist-800-171a _3.13.12-a +SCF:END-14 nist-800-171a _3.13.12-b +SCF:END-14 nist-800-171a _3.13.12-c +SCF:END-14 nist-800-171a-r3 a.03.13.12.odp-01 +SCF:END-14 nist-800-171a-r3 a.03.13.12.a +SCF:END-14.1 nist-csf-function-grouping protect +SCF:END-14.1 nist-800-53-r4 sc-15-3 +SCF:END-14.1 nist-800-53-r5 sc-15-03 +SCF:END-14.1 nist-800-82-r3 sc-15-03 +SCF:END-14.2 nist-csf-function-grouping protect +SCF:END-14.2 nist-800-53-r4 sc-15-4 +SCF:END-14.2 nist-800-53-r5 sc-15-04 +SCF:END-14.2 nist-800-82-r3 sc-15-04 +SCF:END-14.3 nist-csf-function-grouping protect +SCF:END-14.4 nist-csf-function-grouping protect +SCF:END-14.5 nist-csf-function-grouping protect +SCF:END-14.6 nist-csf-function-grouping protect +SCF:END-14.6 nist-800-171-r3 _03.13.12.b +SCF:END-14.6 nist-800-171a-r3 a.03.13.12.b +SCF:END-15 nist-csf-function-grouping protect +SCF:END-16 nist-csf-function-grouping protect +SCF:END-16 nist-800-53-r4 sc-3 +SCF:END-16 nist-800-53-r5 sc-03 +SCF:END-16 nist-800-53b-r5-privacy sc-03 +SCF:END-16 nist-800-53b-r5-high sc-03 +SCF:END-16 nist-800-82-r3 sc-03 +SCF:END-16 nist-800-82-r3-high-ot-overlay sc-03 +SCF:END-16 nist-800-160-vol2-r1 sc-03 +SCF:END-16 owasp-top-10-2025 a01-2025 +SCF:END-16 owasp-top-10-2025 a05-2025 +SCF:END-16 pci-dss-4.0.1 _2.2.3 +SCF:END-16 pci-dss-4.0.1 _3.4.1 +SCF:END-16 pci-dss-4.0.1 _10.7.1 +SCF:END-16 pci-dss-4.0.1 _11.4.5 +SCF:END-16 pci-dss-4.0.1 _11.4.6 +SCF:END-16 pci-dss-4.0.1-saq-a-ep _2.2.3 +SCF:END-16 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:END-16 pci-dss-4.0.1-saq-b _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-b-ip _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:END-16 pci-dss-4.0.1-saq-c _2.2.3 +SCF:END-16 pci-dss-4.0.1-saq-c _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-c _11.4.5 +SCF:END-16 pci-dss-4.0.1-saq-c-vt _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-d-merchant _2.2.3 +SCF:END-16 pci-dss-4.0.1-saq-d-merchant _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:END-16 pci-dss-4.0.1-saq-d-service-provider _2.2.3 +SCF:END-16 pci-dss-4.0.1-saq-d-service-provider _3.4.1 +SCF:END-16 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:END-16 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:END-16 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:END-16.1 nist-csf-function-grouping protect +SCF:END-16.1 nist-800-53-r4 sc-7-12 +SCF:END-16.1 nist-800-53-r5 sc-07-12 +SCF:END-16.1 nist-800-82-r3 sc-07-12 +SCF:END-16.1 pci-dss-4.0.1 _2.2.3 +SCF:END-16.1 pci-dss-4.0.1-saq-a-ep _2.2.3 +SCF:END-16.1 pci-dss-4.0.1-saq-c _2.2.3 +SCF:END-16.1 pci-dss-4.0.1-saq-d-merchant _2.2.3 +SCF:END-16.1 pci-dss-4.0.1-saq-d-service-provider _2.2.3 +SCF:HRS-01 nist-csf-function-grouping govern +SCF:HRS-01 cobit-2019 apo07.01 +SCF:HRS-01 cobit-2019 apo07.04 +SCF:HRS-01 cobit-2019 apo07.05 +SCF:HRS-01 cobit-2019 apo07.06 +SCF:HRS-01 coso-2013 _1 +SCF:HRS-01 coso-2013 _4 +SCF:HRS-01 coso-2013 _5 +SCF:HRS-01 csa-ccm-4.1.0 hrs-01 +SCF:HRS-01 iso-27001-2022 _7.2-d +SCF:HRS-01 iso-27001-2022 _7.3 +SCF:HRS-01 iso-27001-2022 _7.3-a +SCF:HRS-01 iso-27001-2022 _7.3-b +SCF:HRS-01 iso-27001-2022 _7.3-c +SCF:HRS-01 iso-27002-2022 _5.4 +SCF:HRS-01 iso-27701-2025 _7.2 +SCF:HRS-01 iso-42001-2023 _7.2 +SCF:HRS-01 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-01 nist-privacy-framework-1.0 pr.po-p9 +SCF:HRS-01 nist-800-53-r4 ps-1 +SCF:HRS-01 nist-800-53-r5 ps-01 +SCF:HRS-01 nist-800-53b-r5-privacy ps-01 +SCF:HRS-01 nist-800-53b-r5-low ps-01 +SCF:HRS-01 nist-sp-800-66-r2 _164.308-a-3 +SCF:HRS-01 nist-sp-800-66-r2 _164.312-d +SCF:HRS-01 nist-800-82-r3 ps-01 +SCF:HRS-01 nist-800-82-r3-low-ot-overlay ps-01 +SCF:HRS-01 nist-800-82-r3-moderate-ot-overlay ps-01 +SCF:HRS-01 nist-800-82-r3-high-ot-overlay ps-01 +SCF:HRS-01 nist-800-161-r1 ps-1 +SCF:HRS-01 nist-800-161-r1-c-scrm-baseline ps-1 +SCF:HRS-01 nist-800-161-r1-flow-down ps-1 +SCF:HRS-01 nist-800-161-r1-level-1 ps-1 +SCF:HRS-01 nist-800-161-r1-level-2 ps-1 +SCF:HRS-01 nist-800-161-r1-level-3 ps-1 +SCF:HRS-01 nist-800-171-r2 _3.1.22 +SCF:HRS-01 nist-800-171-r2 nfo-ps-1 +SCF:HRS-01 nist-800-171-r3 _03.01.01.g.02 +SCF:HRS-01 nist-800-171-r3 _03.15.03.a +SCF:HRS-01 nist-800-171-r3 _03.15.03.d +SCF:HRS-01 nist-800-171a _3.2.2-a +SCF:HRS-01 nist-800-171a _3.2.2-b +SCF:HRS-01 nist-800-171a _3.2.2-c +SCF:HRS-01 nist-800-171a _3.9.2-a +SCF:HRS-01 nist-800-171a-r3 a.03.01.01.odp-01 +SCF:HRS-01 nist-800-171a-r3 a.03.01.01.odp-02 +SCF:HRS-01 nist-800-171a-r3 a.03.01.01.odp-03 +SCF:HRS-01 nist-800-171a-r3 a.03.01.01.odp-04 +SCF:HRS-01 nist-800-218 po.2.1 +SCF:HRS-01 nist-csf-2.0 gv.rr-04 +SCF:HRS-01 nist-csf-2.0 id.am +SCF:HRS-01 pci-dss-4.0.1 _12.2 +SCF:HRS-01 pci-dss-4.0.1 _12.2.1 +SCF:HRS-01 pci-dss-4.0.1 _12.7 +SCF:HRS-01 pci-dss-4.0.1 _12.7.1 +SCF:HRS-01 pci-dss-4.0.1-saq-c _12.2.1 +SCF:HRS-01 pci-dss-4.0.1-saq-d-merchant _12.2.1 +SCF:HRS-01 pci-dss-4.0.1-saq-d-merchant _12.7.1 +SCF:HRS-01 pci-dss-4.0.1-saq-d-service-provider _12.2.1 +SCF:HRS-01 pci-dss-4.0.1-saq-d-service-provider _12.7.1 +SCF:HRS-01.1 nist-csf-function-grouping govern +SCF:HRS-01.1 csa-ccm-4.1.0 hrs-06 +SCF:HRS-01.1 iec-62443-2-1-2024 org-1.4 +SCF:HRS-01.1 nist-800-171-r2 _3.9.2 +SCF:HRS-02 nist-csf-function-grouping identify +SCF:HRS-02 coso-2013 _2 +SCF:HRS-02 iso-27001-2022 _7.2-a +SCF:HRS-02 iso-27017-2015 _6.1 +SCF:HRS-02 iso-42001-2023 _7.2 +SCF:HRS-02 nist-800-53-r4 ps-2 +SCF:HRS-02 nist-800-53-r5 ps-02 +SCF:HRS-02 nist-800-53b-r5-privacy ps-02 +SCF:HRS-02 nist-800-53b-r5-low ps-02 +SCF:HRS-02 nist-sp-800-66-r2 _164.308-a-3 +SCF:HRS-02 nist-sp-800-66-r2 _164.312-a +SCF:HRS-02 nist-800-82-r3 ps-02 +SCF:HRS-02 nist-800-82-r3-low-ot-overlay ps-02 +SCF:HRS-02 nist-800-82-r3-moderate-ot-overlay ps-02 +SCF:HRS-02 nist-800-82-r3-high-ot-overlay ps-02 +SCF:HRS-02 nist-800-171-r3 _03.01.01.c.01 +SCF:HRS-02 nist-800-171-r3 _03.01.01.c.02 +SCF:HRS-02 nist-800-171-r3 _03.01.01.d.01 +SCF:HRS-02 nist-800-171-r3 _03.01.01.d.02 +SCF:HRS-02 nist-800-171-r3 _03.01.02 +SCF:HRS-02 nist-800-171-r3 _03.09.01.a +SCF:HRS-02 nist-800-171-r3 _03.09.01.b +SCF:HRS-02 nist-800-172 _3.9.1e +SCF:HRS-02 nist-csf-2.0 gv.rr-02 +SCF:HRS-02 nist-csf-2.0 pr.aa-05 +SCF:HRS-02 pci-dss-4.0.1 _12.7 +SCF:HRS-02 pci-dss-4.0.1 _12.7.1 +SCF:HRS-02 pci-dss-4.0.1-saq-d-merchant _12.7.1 +SCF:HRS-02 pci-dss-4.0.1-saq-d-service-provider _12.7.1 +SCF:HRS-02.1 nist-csf-function-grouping identify +SCF:HRS-02.1 coso-2013 _4 +SCF:HRS-02.1 nist-800-171-r3 _03.01.02 +SCF:HRS-02.1 nist-800-172 _3.9.2e +SCF:HRS-02.1 pci-dss-4.0.1 _12.7 +SCF:HRS-02.1 pci-dss-4.0.1 _12.7.1 +SCF:HRS-02.1 pci-dss-4.0.1-saq-d-merchant _12.7.1 +SCF:HRS-02.1 pci-dss-4.0.1-saq-d-service-provider _12.7.1 +SCF:HRS-02.2 nist-csf-function-grouping detect +SCF:HRS-02.2 nist-800-53-r5 si-04-21 +SCF:HRS-02.2 nist-800-82-r3 si-04-21 +SCF:HRS-03 nist-csf-function-grouping identify +SCF:HRS-03 cobit-2019 dss06.03 +SCF:HRS-03 coso-2013 _2 +SCF:HRS-03 coso-2013 _3 +SCF:HRS-03 coso-2013 _14 +SCF:HRS-03 csa-ccm-4.1.0 cek-02 +SCF:HRS-03 csa-ccm-4.1.0 grc-06 +SCF:HRS-03 csa-ccm-4.1.0 hrs-09 +SCF:HRS-03 csa-iot-scf-2 gvn-01 +SCF:HRS-03 iec-62443-2-1-2024 org-1.3 +SCF:HRS-03 iec-62443-4-1-2018 sm-2 +SCF:HRS-03 iso-sae-21434-2021 rq-05-07 +SCF:HRS-03 iso-sae-21434-2021 rq-06-01 +SCF:HRS-03 iso-22301-2019 _5.3 +SCF:HRS-03 iso-22301-2019 _8.4.2.2 +SCF:HRS-03 iso-22301-2019 _8.4.2.4-a +SCF:HRS-03 iso-22301-2019 _8.4.2.4-b +SCF:HRS-03 iso-27001-2022 _5.3 +SCF:HRS-03 iso-27001-2022 _7.3 +SCF:HRS-03 iso-27001-2022 _7.3-b +SCF:HRS-03 iso-27002-2022 _5.2 +SCF:HRS-03 iso-27017-2015 _6.1.1 +SCF:HRS-03 iso-27018-2025 _5.2 +SCF:HRS-03 iso-27701-2025 _4.2 +SCF:HRS-03 iso-27701-2025 _5.3 +SCF:HRS-03 iso-27701-2025 _7.3 +SCF:HRS-03 iso-31000-2018 _5.4.3 +SCF:HRS-03 iso-42001-2023 _5.3 +SCF:HRS-03 iso-42001-2023 _7.2 +SCF:HRS-03 iso-42001-2023 a.3.2 +SCF:HRS-03 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:HRS-03 nist-ai-100-1-ai-rmf-1.0 govern-2.1 +SCF:HRS-03 nist-ai-600-1 govern-1.5 +SCF:HRS-03 nist-ai-600-1 gv-1.5-001 +SCF:HRS-03 nist-privacy-framework-1.0 gv.po-p2 +SCF:HRS-03 nist-privacy-framework-1.0 gv.po-p3 +SCF:HRS-03 nist-privacy-framework-1.0 cm.po-p2 +SCF:HRS-03 nist-800-37-r2 task-p-1 +SCF:HRS-03 nist-800-53-r4 pm-13 +SCF:HRS-03 nist-800-53-r5 pm-13 +SCF:HRS-03 nist-800-53-r5 ps-09 +SCF:HRS-03 nist-800-53b-r5-privacy pm-13 +SCF:HRS-03 nist-800-53b-r5-low ps-09 +SCF:HRS-03 nist-sp-800-66-r2 _164.308-a-3 +SCF:HRS-03 nist-sp-800-66-r2 _164.310-a +SCF:HRS-03 nist-sp-800-66-r2 _164.312-a +SCF:HRS-03 nist-800-82-r3 pm-13 +SCF:HRS-03 nist-800-82-r3 ps-09 +SCF:HRS-03 nist-800-82-r3-low-ot-overlay pm-13 +SCF:HRS-03 nist-800-82-r3-low-ot-overlay ps-09 +SCF:HRS-03 nist-800-82-r3-moderate-ot-overlay pm-13 +SCF:HRS-03 nist-800-82-r3-moderate-ot-overlay ps-09 +SCF:HRS-03 nist-800-82-r3-high-ot-overlay pm-13 +SCF:HRS-03 nist-800-82-r3-high-ot-overlay ps-09 +SCF:HRS-03 nist-800-161-r1 pm-13 +SCF:HRS-03 nist-800-161-r1-level-1 pm-13 +SCF:HRS-03 nist-800-161-r1-level-2 pm-13 +SCF:HRS-03 nist-800-171-r3 _03.01.22.a +SCF:HRS-03 nist-800-171-r3 _03.06.04.a +SCF:HRS-03 nist-800-171-r3 _03.06.05.d +SCF:HRS-03 nist-800-171-r3 _03.07.06.a +SCF:HRS-03 nist-800-171-r3 _03.08.02 +SCF:HRS-03 nist-800-171-r3 _03.15.03.b +SCF:HRS-03 nist-800-171-r3 _03.16.03.b +SCF:HRS-03 nist-800-171a-r3 a.03.06.05.d +SCF:HRS-03 nist-800-172 _3.9.1e +SCF:HRS-03 nist-800-218 po.2 +SCF:HRS-03 nist-800-218 po.2.1 +SCF:HRS-03 nist-csf-2.0 gv.rm-05 +SCF:HRS-03 nist-csf-2.0 gv.rr +SCF:HRS-03 nist-csf-2.0 gv.rr-02 +SCF:HRS-03 nist-csf-2.0 id.am +SCF:HRS-03 pci-dss-4.0.1 _1.1.2 +SCF:HRS-03 pci-dss-4.0.1 _2.1.2 +SCF:HRS-03 pci-dss-4.0.1 _3.1.2 +SCF:HRS-03 pci-dss-4.0.1 _3.7.8 +SCF:HRS-03 pci-dss-4.0.1 _4.1.2 +SCF:HRS-03 pci-dss-4.0.1 _5.1.2 +SCF:HRS-03 pci-dss-4.0.1 _6.1.2 +SCF:HRS-03 pci-dss-4.0.1 _7.1.2 +SCF:HRS-03 pci-dss-4.0.1 _8.1.2 +SCF:HRS-03 pci-dss-4.0.1 _9.1.2 +SCF:HRS-03 pci-dss-4.0.1 _10.1.2 +SCF:HRS-03 pci-dss-4.0.1 _11.1.2 +SCF:HRS-03 pci-dss-4.0.1 _12.1.3 +SCF:HRS-03 pci-dss-4.0.1 _12.10.1 +SCF:HRS-03 pci-dss-4.0.1 a3.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-a _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-a-ep _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-b _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-b _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-b-ip _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-c _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-c _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-c-vt _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _1.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _2.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _3.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _3.7.8 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _4.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _5.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _6.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _7.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _8.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _9.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _10.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _11.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-d-merchant _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _1.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _2.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _3.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _3.7.8 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _5.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _6.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _7.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _8.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _9.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _10.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _11.1.2 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-d-service-provider _12.10.1 +SCF:HRS-03 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:HRS-03 pci-dss-4.0.1-saq-p2pe _12.10.1 +SCF:HRS-03.1 nist-csf-function-grouping identify +SCF:HRS-03.1 coso-2013 _4 +SCF:HRS-03.1 csa-ccm-4.1.0 hrs-13 +SCF:HRS-03.1 iso-27001-2022 _7.3 +SCF:HRS-03.1 iso-27001-2022 _7.3-a +SCF:HRS-03.1 iso-27001-2022 _7.3-b +SCF:HRS-03.1 iso-27001-2022 _7.3-c +SCF:HRS-03.1 iso-27701-2025 _7.3 +SCF:HRS-03.1 iso-42001-2023 _7.3 +SCF:HRS-03.1 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-03.1 nist-privacy-framework-1.0 gv.po-p2 +SCF:HRS-03.1 nist-800-171-r3 _03.01.22.a +SCF:HRS-03.1 nist-800-171-r3 _03.15.03.b +SCF:HRS-03.1 nist-csf-2.0 gv.rr-04 +SCF:HRS-03.1 pci-dss-4.0.1 _1.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _2.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _3.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _4.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _5.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _6.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _7.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _8.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _9.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _10.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _11.1.2 +SCF:HRS-03.1 pci-dss-4.0.1 _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1 _12.6.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-b _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-c _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _1.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _2.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _3.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _4.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _5.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _6.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _7.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _8.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _9.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _10.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _11.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _1.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _2.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _3.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _5.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _6.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _7.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _8.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _9.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _10.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _11.1.2 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:HRS-03.1 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:HRS-03.2 nist-csf-function-grouping identify +SCF:HRS-03.2 cobit-2019 apo01.08 +SCF:HRS-03.2 coso-2013 _2 +SCF:HRS-03.2 coso-2013 _3 +SCF:HRS-03.2 coso-2013 _4 +SCF:HRS-03.2 coso-2013 _5 +SCF:HRS-03.2 iso-sae-21434-2021 rq-05-07 +SCF:HRS-03.2 iso-22301-2019 _7.2 +SCF:HRS-03.2 iso-22301-2019 _7.2-a +SCF:HRS-03.2 iso-22301-2019 _7.2-b +SCF:HRS-03.2 iso-22301-2019 _7.2-c +SCF:HRS-03.2 iso-22301-2019 _7.2-d +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3 +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-a +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-b +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-c +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-d +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-e +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-f +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-g +SCF:HRS-03.2 iso-22301-2019 _8.4.2.3-h +SCF:HRS-03.2 iso-27001-2022 _7.2 +SCF:HRS-03.2 iso-27001-2022 _7.2-a +SCF:HRS-03.2 iso-27001-2022 _7.2-b +SCF:HRS-03.2 iso-27001-2022 _7.2-c +SCF:HRS-03.2 iso-27001-2022 _7.2-d +SCF:HRS-03.2 iso-27701-2025 _7.2 +SCF:HRS-03.2 iso-42001-2023 _7.2 +SCF:HRS-03.2 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-03.2 nist-ai-100-1-ai-rmf-1.0 map-1.2 +SCF:HRS-03.2 nist-ai-100-1-ai-rmf-1.0 map-3.4 +SCF:HRS-03.2 nist-800-53-r4 ps-2 +SCF:HRS-03.2 nist-800-53-r5 ps-02 +SCF:HRS-03.2 nist-800-53b-r5-privacy ps-02 +SCF:HRS-03.2 nist-800-53b-r5-low ps-02 +SCF:HRS-03.2 nist-800-82-r3 ps-02 +SCF:HRS-03.2 nist-800-82-r3-low-ot-overlay ps-02 +SCF:HRS-03.2 nist-800-82-r3-moderate-ot-overlay ps-02 +SCF:HRS-03.2 nist-800-82-r3-high-ot-overlay ps-02 +SCF:HRS-03.2 nist-800-171-r3 _03.07.06.d +SCF:HRS-03.2 nist-800-218 po.2 +SCF:HRS-03.2 pci-dss-4.0.1 _6.2.2 +SCF:HRS-03.2 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:HRS-03.2 pci-dss-4.0.1-saq-c _6.2.2 +SCF:HRS-03.2 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:HRS-03.2 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:HRS-04 nist-csf-function-grouping identify +SCF:HRS-04 coso-2013 _4 +SCF:HRS-04 csa-ccm-4.1.0 hrs-01 +SCF:HRS-04 iec-62443-2-1-2024 org-1.2 +SCF:HRS-04 iso-27001-2022 _7.2-b +SCF:HRS-04 iso-27001-2022 _7.2-c +SCF:HRS-04 iso-27002-2022 _6.1 +SCF:HRS-04 iso-27017-2015 _7.1.1 +SCF:HRS-04 iso-27018-2025 _6.1 +SCF:HRS-04 iso-42001-2023 _7.2 +SCF:HRS-04 nist-800-53-r4 ps-3 +SCF:HRS-04 nist-800-53-r5 ps-03 +SCF:HRS-04 nist-800-53b-r5-low ps-03 +SCF:HRS-04 nist-sp-800-66-r2 _164.312-d +SCF:HRS-04 nist-800-82-r3 ps-03 +SCF:HRS-04 nist-800-82-r3-low-ot-overlay ps-03 +SCF:HRS-04 nist-800-82-r3-moderate-ot-overlay ps-03 +SCF:HRS-04 nist-800-82-r3-high-ot-overlay ps-03 +SCF:HRS-04 nist-800-161-r1 ps-3 +SCF:HRS-04 nist-800-161-r1-c-scrm-baseline ps-3 +SCF:HRS-04 nist-800-161-r1-flow-down ps-3 +SCF:HRS-04 nist-800-161-r1-level-2 ps-3 +SCF:HRS-04 nist-800-161-r1-level-3 ps-3 +SCF:HRS-04 nist-800-171-r2 _3.9.1 +SCF:HRS-04 nist-800-171-r3 _03.09.01.a +SCF:HRS-04 nist-800-171-r3 _03.09.01.b +SCF:HRS-04 nist-800-171a _3.9.1 +SCF:HRS-04 nist-800-171a-r3 a.03.09.01.odp-01 +SCF:HRS-04 nist-800-171a-r3 a.03.09.01.a +SCF:HRS-04 nist-800-171a-r3 a.03.09.01.b +SCF:HRS-04 nist-800-171a-r3 a.03.09.02.b.01-01 +SCF:HRS-04 nist-800-172 _3.9.1e +SCF:HRS-04 pci-dss-4.0.1 _12.7 +SCF:HRS-04 pci-dss-4.0.1 _12.7.1 +SCF:HRS-04 pci-dss-4.0.1-saq-d-merchant _12.7.1 +SCF:HRS-04 pci-dss-4.0.1-saq-d-service-provider _12.7.1 +SCF:HRS-04.1 nist-csf-function-grouping identify +SCF:HRS-04.1 cobit-2019 dss06.03 +SCF:HRS-04.1 coso-2013 _4 +SCF:HRS-04.1 iso-27002-2022 _5.2 +SCF:HRS-04.1 iso-27002-2022 _6.1 +SCF:HRS-04.1 iso-27017-2015 _6.1.1 +SCF:HRS-04.1 iso-27017-2015 _7.1.1 +SCF:HRS-04.1 iso-27018-2025 _5.2 +SCF:HRS-04.1 iso-27018-2025 _6.1 +SCF:HRS-04.1 iso-27701-2025 _7.3 +SCF:HRS-04.1 iso-42001-2023 _7.2 +SCF:HRS-04.1 iso-42001-2023 a.3.2 +SCF:HRS-04.1 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:HRS-04.1 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-04.1 nist-privacy-framework-1.0 cm.po-p2 +SCF:HRS-04.1 nist-800-53-r4 ps-3-1 +SCF:HRS-04.1 nist-800-53-r4 ps-3-3 +SCF:HRS-04.1 nist-800-53-r5 ps-03-01 +SCF:HRS-04.1 nist-800-53-r5 ps-03-03 +SCF:HRS-04.1 nist-800-82-r3 ps-03-01 +SCF:HRS-04.1 nist-800-82-r3 ps-03-03 +SCF:HRS-04.1 nist-800-171-r2 _3.9.1 +SCF:HRS-04.1 nist-800-171-r3 _03.01.22.a +SCF:HRS-04.1 nist-800-171-r3 _03.02.02.a.01 +SCF:HRS-04.1 nist-800-171-r3 _03.09.01.a +SCF:HRS-04.1 nist-800-171-r3 _03.09.01.b +SCF:HRS-04.1 nist-800-171a-r3 a.03.09.01.odp-01 +SCF:HRS-04.1 nist-800-172 _3.9.1e +SCF:HRS-04.1 pci-dss-4.0.1 _12.7 +SCF:HRS-04.1 pci-dss-4.0.1 _12.7.1 +SCF:HRS-04.1 pci-dss-4.0.1-saq-d-merchant _12.7.1 +SCF:HRS-04.1 pci-dss-4.0.1-saq-d-service-provider _12.7.1 +SCF:HRS-04.2 nist-csf-function-grouping identify +SCF:HRS-04.2 coso-2013 _4 +SCF:HRS-04.2 csa-ccm-4.1.0 hrs-07 +SCF:HRS-04.2 csa-ccm-4.1.0 hrs-13 +SCF:HRS-04.2 iso-22301-2019 _7.3 +SCF:HRS-04.2 iso-22301-2019 _7.3-a +SCF:HRS-04.2 iso-22301-2019 _7.3-b +SCF:HRS-04.2 iso-22301-2019 _7.3-c +SCF:HRS-04.2 iso-22301-2019 _7.3-d +SCF:HRS-04.2 iso-27001-2022 _7.3 +SCF:HRS-04.2 iso-27001-2022 _7.3-a +SCF:HRS-04.2 iso-27001-2022 _7.3-b +SCF:HRS-04.2 iso-27001-2022 _7.3-c +SCF:HRS-04.2 iso-27002-2022 _5.4 +SCF:HRS-04.2 iso-27701-2025 _7.3 +SCF:HRS-04.2 iso-31000-2018 _6.2 +SCF:HRS-04.2 iso-42001-2023 _7.3 +SCF:HRS-04.2 nist-800-53-r4 ps-3-2 +SCF:HRS-04.2 nist-800-53-r5 ps-03-02 +SCF:HRS-04.2 nist-800-82-r3 ps-03-02 +SCF:HRS-04.2 nist-800-171-r2 _3.2.1 +SCF:HRS-04.2 nist-800-171-r2 _3.2.2 +SCF:HRS-04.2 nist-800-171-r3 _03.01.22.a +SCF:HRS-04.2 nist-800-171-r3 _03.02.02.a.01 +SCF:HRS-04.2 nist-800-171-r3 _03.06.04.a +SCF:HRS-04.2 nist-800-171-r3 _03.06.04.a.01 +SCF:HRS-04.2 nist-800-171-r3 _03.15.03.b +SCF:HRS-04.3 nist-csf-function-grouping identify +SCF:HRS-04.3 nist-800-53-r5 ps-03-04 +SCF:HRS-04.3 nist-800-82-r3 ps-03-04 +SCF:HRS-04.4 nist-csf-function-grouping identify +SCF:HRS-05 nist-csf-function-grouping identify +SCF:HRS-05 coso-2013 _1 +SCF:HRS-05 csa-ccm-4.1.0 hrs-02 +SCF:HRS-05 csa-ccm-4.1.0 hrs-07 +SCF:HRS-05 csa-ccm-4.1.0 hrs-08 +SCF:HRS-05 csa-ccm-4.1.0 hrs-13 +SCF:HRS-05 iso-27001-2022 _7.3 +SCF:HRS-05 iso-27001-2022 _7.3-a +SCF:HRS-05 iso-27001-2022 _7.3-b +SCF:HRS-05 iso-27001-2022 _7.3-c +SCF:HRS-05 iso-27002-2022 _5.4 +SCF:HRS-05 iso-27002-2022 _5.14 +SCF:HRS-05 iso-27002-2022 _6.2 +SCF:HRS-05 iso-27017-2015 _5.1 +SCF:HRS-05 iso-27017-2015 _7.1.2 +SCF:HRS-05 iso-27017-2015 _7.2.1 +SCF:HRS-05 iso-27017-2015 _13.2.1 +SCF:HRS-05 iso-27018-2025 _5.4 +SCF:HRS-05 iso-27018-2025 _5.14 +SCF:HRS-05 iso-27018-2025 _6.2 +SCF:HRS-05 iso-42001-2023 _7.3 +SCF:HRS-05 nist-800-53-r4 pl-4 +SCF:HRS-05 nist-800-53-r5 pl-04 +SCF:HRS-05 nist-800-53b-r5-privacy pl-04 +SCF:HRS-05 nist-800-53b-r5-low pl-04 +SCF:HRS-05 nist-sp-800-66-r2 _164.310-b +SCF:HRS-05 nist-800-82-r3 pl-04 +SCF:HRS-05 nist-800-82-r3-low-ot-overlay pl-04 +SCF:HRS-05 nist-800-82-r3-moderate-ot-overlay pl-04 +SCF:HRS-05 nist-800-82-r3-high-ot-overlay pl-04 +SCF:HRS-05 nist-800-161-r1 pl-4 +SCF:HRS-05 nist-800-161-r1-c-scrm-baseline pl-4 +SCF:HRS-05 nist-800-161-r1-level-2 pl-4 +SCF:HRS-05 nist-800-161-r1-level-3 pl-4 +SCF:HRS-05 nist-800-171-r2 _3.1.22 +SCF:HRS-05 nist-800-171-r2 nfo-pl-4 +SCF:HRS-05 nist-800-171-r3 _03.01.01.h +SCF:HRS-05 nist-800-171-r3 _03.01.22.a +SCF:HRS-05 nist-800-171-r3 _03.15.03.a +SCF:HRS-05 nist-800-171a-r3 a.03.15.03.b +SCF:HRS-05 nist-csf-2.0 id.am +SCF:HRS-05 pci-dss-4.0.1 _12.1.3 +SCF:HRS-05 pci-dss-4.0.1 _12.2 +SCF:HRS-05 pci-dss-4.0.1 _12.2.1 +SCF:HRS-05 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-b _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-c _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-c _12.2.1 +SCF:HRS-05 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-d-merchant _12.2.1 +SCF:HRS-05 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:HRS-05 pci-dss-4.0.1-saq-d-service-provider _12.2.1 +SCF:HRS-05 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:HRS-05.1 nist-csf-function-grouping identify +SCF:HRS-05.1 cis-csc-8.1 _9.4 +SCF:HRS-05.1 cis-csc-8.1-ig2 _9.4 +SCF:HRS-05.1 cis-csc-8.1-ig3 _9.4 +SCF:HRS-05.1 coso-2013 _1 +SCF:HRS-05.1 csa-ccm-4.1.0 hrs-02 +SCF:HRS-05.1 csa-ccm-4.1.0 hrs-03 +SCF:HRS-05.1 csa-ccm-4.1.0 hrs-08 +SCF:HRS-05.1 iso-27001-2022 _7.3 +SCF:HRS-05.1 iso-27001-2022 _7.3-a +SCF:HRS-05.1 iso-27001-2022 _7.3-b +SCF:HRS-05.1 iso-27001-2022 _7.3-c +SCF:HRS-05.1 iso-27002-2022 _5.4 +SCF:HRS-05.1 iso-27002-2022 _5.1 +SCF:HRS-05.1 iso-27002-2022 _5.14 +SCF:HRS-05.1 iso-27002-2022 _6.2 +SCF:HRS-05.1 iso-27017-2015 _5.1 +SCF:HRS-05.1 iso-27017-2015 _7.1.2 +SCF:HRS-05.1 iso-27017-2015 _7.2.1 +SCF:HRS-05.1 iso-27017-2015 _8.1.3 +SCF:HRS-05.1 iso-27017-2015 _13.2.1 +SCF:HRS-05.1 iso-27018-2025 _5.4 +SCF:HRS-05.1 iso-27018-2025 _5.10 +SCF:HRS-05.1 iso-27018-2025 _5.14 +SCF:HRS-05.1 iso-27018-2025 _6.2 +SCF:HRS-05.1 iso-42001-2023 _7.3 +SCF:HRS-05.1 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:HRS-05.1 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-05.1 nist-ai-600-1 gv-6.1-010 +SCF:HRS-05.1 nist-800-53-r4 pl-4 +SCF:HRS-05.1 nist-800-53-r5 pl-04 +SCF:HRS-05.1 nist-800-53b-r5-privacy pl-04 +SCF:HRS-05.1 nist-800-53b-r5-low pl-04 +SCF:HRS-05.1 nist-sp-800-66-r2 _164.310-b +SCF:HRS-05.1 nist-800-82-r3 pl-04 +SCF:HRS-05.1 nist-800-82-r3-low-ot-overlay pl-04 +SCF:HRS-05.1 nist-800-82-r3-moderate-ot-overlay pl-04 +SCF:HRS-05.1 nist-800-82-r3-high-ot-overlay pl-04 +SCF:HRS-05.1 nist-800-161-r1 pl-4 +SCF:HRS-05.1 nist-800-161-r1-c-scrm-baseline pl-4 +SCF:HRS-05.1 nist-800-161-r1-level-2 pl-4 +SCF:HRS-05.1 nist-800-161-r1-level-3 pl-4 +SCF:HRS-05.1 nist-800-171-r2 _3.1.22 +SCF:HRS-05.1 nist-800-171-r2 nfo-pl-4 +SCF:HRS-05.1 nist-800-171-r3 _03.01.12.a +SCF:HRS-05.1 nist-800-171-r3 _03.01.18.a +SCF:HRS-05.1 nist-800-171-r3 _03.01.22.a +SCF:HRS-05.1 nist-800-171-r3 _03.15.03.a +SCF:HRS-05.1 nist-800-171-r3 _03.15.03.d +SCF:HRS-05.1 nist-800-171a-r3 a.03.15.03.odp-01 +SCF:HRS-05.1 nist-800-171a-r3 a.03.15.03.a +SCF:HRS-05.1 nist-800-171a-r3 a.03.15.03.d-01 +SCF:HRS-05.1 nist-800-171a-r3 a.03.15.03.d-02 +SCF:HRS-05.1 nist-csf-2.0 id.am +SCF:HRS-05.1 pci-dss-4.0.1 _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1 _12.2 +SCF:HRS-05.1 pci-dss-4.0.1 _12.2.1 +SCF:HRS-05.1 pci-dss-4.0.1-saq-a-ep _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-b _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-b-ip _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-c _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-c _12.2.1 +SCF:HRS-05.1 pci-dss-4.0.1-saq-d-merchant _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-d-merchant _12.2.1 +SCF:HRS-05.1 pci-dss-4.0.1-saq-d-service-provider _12.1.3 +SCF:HRS-05.1 pci-dss-4.0.1-saq-d-service-provider _12.2.1 +SCF:HRS-05.1 pci-dss-4.0.1-saq-p2pe _12.1.3 +SCF:HRS-05.2 nist-csf-function-grouping identify +SCF:HRS-05.2 cis-csc-8.1 _9.0 +SCF:HRS-05.2 iso-27001-2022 _7.3 +SCF:HRS-05.2 iso-27001-2022 _7.3-a +SCF:HRS-05.2 iso-27001-2022 _7.3-b +SCF:HRS-05.2 iso-27001-2022 _7.3-c +SCF:HRS-05.2 iso-27002-2022 _5.4 +SCF:HRS-05.2 iso-27002-2022 _5.1 +SCF:HRS-05.2 iso-27002-2022 _6.2 +SCF:HRS-05.2 iso-27017-2015 _7.1.2 +SCF:HRS-05.2 iso-27017-2015 _8.1.3 +SCF:HRS-05.2 iso-27018-2025 _5.10 +SCF:HRS-05.2 iso-27018-2025 _6.2 +SCF:HRS-05.2 iso-42001-2023 _7.3 +SCF:HRS-05.2 nist-800-53-r4 pl-4-1 +SCF:HRS-05.2 nist-800-53-r5 pl-04-01 +SCF:HRS-05.2 nist-800-53b-r5-privacy pl-04-01 +SCF:HRS-05.2 nist-800-53b-r5-low pl-04-01 +SCF:HRS-05.2 nist-800-82-r3 pl-04-01 +SCF:HRS-05.2 nist-800-82-r3-low-ot-overlay pl-04-01 +SCF:HRS-05.2 nist-800-82-r3-moderate-ot-overlay pl-04-01 +SCF:HRS-05.2 nist-800-82-r3-high-ot-overlay pl-04-01 +SCF:HRS-05.2 nist-800-171-r2 _3.1.22 +SCF:HRS-05.2 nist-800-171-r2 nfo-pl-4-1 +SCF:HRS-05.2 nist-800-171-r3 _03.15.03.a +SCF:HRS-05.2 nist-800-171a-r3 a.03.15.03.a +SCF:HRS-05.3 nist-csf-function-grouping identify +SCF:HRS-05.3 csa-ccm-4.1.0 hrs-02 +SCF:HRS-05.3 iso-sae-21434-2021 rq-05-14 +SCF:HRS-05.3 iso-27001-2022 _7.3 +SCF:HRS-05.3 iso-27001-2022 _7.3-a +SCF:HRS-05.3 iso-27001-2022 _7.3-b +SCF:HRS-05.3 iso-27001-2022 _7.3-c +SCF:HRS-05.3 iso-27002-2022 _5.4 +SCF:HRS-05.3 iso-27002-2022 _5.1 +SCF:HRS-05.3 iso-27002-2022 _6.2 +SCF:HRS-05.3 iso-27017-2015 _7.1.2 +SCF:HRS-05.3 iso-27017-2015 _8.1.3 +SCF:HRS-05.3 iso-27018-2025 _5.10 +SCF:HRS-05.3 iso-27018-2025 _6.2 +SCF:HRS-05.3 iso-42001-2023 _7.3 +SCF:HRS-05.3 nist-ai-600-1 gv-6.1-010 +SCF:HRS-05.3 nist-800-53-r4 sc-19 +SCF:HRS-05.3 nist-800-53-r5 pl-04 +SCF:HRS-05.3 nist-800-53b-r5-privacy pl-04 +SCF:HRS-05.3 nist-800-53b-r5-low pl-04 +SCF:HRS-05.3 nist-sp-800-66-r2 _164.310-b +SCF:HRS-05.3 nist-800-82-r3 pl-04 +SCF:HRS-05.3 nist-800-82-r3-low-ot-overlay pl-04 +SCF:HRS-05.3 nist-800-82-r3-moderate-ot-overlay pl-04 +SCF:HRS-05.3 nist-800-82-r3-high-ot-overlay pl-04 +SCF:HRS-05.3 nist-800-161-r1 pl-4 +SCF:HRS-05.3 nist-800-161-r1-c-scrm-baseline pl-4 +SCF:HRS-05.3 nist-800-161-r1-level-2 pl-4 +SCF:HRS-05.3 nist-800-161-r1-level-3 pl-4 +SCF:HRS-05.3 nist-800-171-r3 _03.01.01.h +SCF:HRS-05.3 nist-800-171-r3 _03.01.12.a +SCF:HRS-05.3 nist-800-171-r3 _03.01.18.a +SCF:HRS-05.3 nist-800-171-r3 _03.15.03.a +SCF:HRS-05.3 nist-800-171a-r3 a.03.15.03.a +SCF:HRS-05.3 pci-dss-4.0.1 _12.2 +SCF:HRS-05.3 pci-dss-4.0.1 _12.2.1 +SCF:HRS-05.3 pci-dss-4.0.1-saq-c _12.2.1 +SCF:HRS-05.3 pci-dss-4.0.1-saq-d-merchant _12.2.1 +SCF:HRS-05.3 pci-dss-4.0.1-saq-d-service-provider _12.2.1 +SCF:HRS-05.4 nist-csf-function-grouping identify +SCF:HRS-05.4 cis-csc-8.1 _9.4 +SCF:HRS-05.4 cis-csc-8.1-ig2 _9.4 +SCF:HRS-05.4 cis-csc-8.1-ig3 _9.4 +SCF:HRS-05.4 iso-27001-2022 _7.3 +SCF:HRS-05.4 iso-27001-2022 _7.3-a +SCF:HRS-05.4 iso-27001-2022 _7.3-b +SCF:HRS-05.4 iso-27001-2022 _7.3-c +SCF:HRS-05.4 iso-42001-2023 _7.3 +SCF:HRS-05.4 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:HRS-05.4 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:HRS-05.4 nist-ai-600-1 gv-4.2-001 +SCF:HRS-05.4 nist-privacy-framework-1.0 id.be-p3 +SCF:HRS-05.4 nist-800-171-r3 _03.15.03.a +SCF:HRS-05.5 nist-csf-function-grouping identify +SCF:HRS-05.5 iso-27001-2022 _7.3 +SCF:HRS-05.5 iso-27001-2022 _7.3-a +SCF:HRS-05.5 iso-27001-2022 _7.3-b +SCF:HRS-05.5 iso-27001-2022 _7.3-c +SCF:HRS-05.5 iso-27002-2022 _6.2 +SCF:HRS-05.5 iso-27017-2015 _7.1.2 +SCF:HRS-05.5 iso-27018-2025 _6.2 +SCF:HRS-05.5 iso-42001-2023 _7.3 +SCF:HRS-05.5 nist-800-171-r3 _03.01.18.a +SCF:HRS-05.5 nist-800-171-r3 _03.15.03.a +SCF:HRS-05.5 nist-800-171a-r3 a.03.15.03.a +SCF:HRS-05.6 nist-csf-function-grouping protect +SCF:HRS-05.7 nist-csf-function-grouping identify +SCF:HRS-05.7 iso-27001-2022 _7.3 +SCF:HRS-05.7 iso-27001-2022 _7.3-c +SCF:HRS-05.7 iso-42001-2023 _7.3 +SCF:HRS-05.7 nist-800-171-r3 _03.15.03.b +SCF:HRS-05.7 nist-800-171-r3 _03.15.03.c +SCF:HRS-05.7 nist-800-171-r3 _03.15.03.d +SCF:HRS-05.7 nist-800-171a-r3 a.03.15.03.c +SCF:HRS-05.7 nist-csf-2.0 gv.po +SCF:HRS-05.7 nist-csf-2.0 gv.po-01 +SCF:HRS-05.7 nist-csf-2.0 gv.po-02 +SCF:HRS-05.7 pci-dss-4.0.1 _12.6.3 +SCF:HRS-05.7 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:HRS-05.7 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:HRS-06 nist-csf-function-grouping identify +SCF:HRS-06 coso-2013 _5 +SCF:HRS-06 iso-27002-2022 _5.1 +SCF:HRS-06 iso-27002-2022 _5.14 +SCF:HRS-06 iso-27017-2015 _8.1.3 +SCF:HRS-06 iso-27017-2015 _13.2.1 +SCF:HRS-06 iso-27017-2015 _13.2.2 +SCF:HRS-06 iso-27018-2025 _5.10 +SCF:HRS-06 iso-27018-2025 _5.14 +SCF:HRS-06 iso-42001-2023 _7.3 +SCF:HRS-06 nist-800-53-r4 ps-6 +SCF:HRS-06 nist-800-53-r4 ps-6-2 +SCF:HRS-06 nist-800-53-r5 ps-06 +SCF:HRS-06 nist-800-53-r5 ps-06-02 +SCF:HRS-06 nist-800-53b-r5-privacy ps-06 +SCF:HRS-06 nist-800-53b-r5-privacy ps-06-02 +SCF:HRS-06 nist-800-53b-r5-low ps-06 +SCF:HRS-06 nist-800-82-r3 ps-06 +SCF:HRS-06 nist-800-82-r3 ps-06-02 +SCF:HRS-06 nist-800-82-r3-low-ot-overlay ps-06 +SCF:HRS-06 nist-800-82-r3-moderate-ot-overlay ps-06 +SCF:HRS-06 nist-800-82-r3-high-ot-overlay ps-06 +SCF:HRS-06 nist-800-161-r1 ps-6 +SCF:HRS-06 nist-800-161-r1-c-scrm-baseline ps-6 +SCF:HRS-06 nist-800-161-r1-flow-down ps-6 +SCF:HRS-06 nist-800-161-r1-level-2 ps-6 +SCF:HRS-06 nist-800-161-r1-level-3 ps-6 +SCF:HRS-06 nist-800-171-r2 nfo-ps-6 +SCF:HRS-06 nist-800-171-r3 _03.01.18.a +SCF:HRS-06 nist-800-171-r3 _03.12.05.a +SCF:HRS-06 nist-800-171-r3 _03.15.03.b +SCF:HRS-06 nist-800-171-r3 _03.15.03.c +SCF:HRS-06.1 nist-csf-function-grouping identify +SCF:HRS-06.1 coso-2013 _5 +SCF:HRS-06.1 csa-ccm-4.1.0 hrs-10 +SCF:HRS-06.1 iso-27002-2022 _5.14 +SCF:HRS-06.1 iso-27002-2022 _6.6 +SCF:HRS-06.1 iso-27017-2015 _13.2.1 +SCF:HRS-06.1 iso-27017-2015 _13.2.2 +SCF:HRS-06.1 iso-27017-2015 _13.2.4 +SCF:HRS-06.1 iso-27018-2025 _5.14 +SCF:HRS-06.1 iso-27018-2025 _6.6 +SCF:HRS-06.1 iso-42001-2023 _7.3 +SCF:HRS-06.1 nist-800-53-r4 ps-6 +SCF:HRS-06.1 nist-800-53-r4 ps-6-2 +SCF:HRS-06.1 nist-800-53-r5 ps-06 +SCF:HRS-06.1 nist-800-53-r5 ps-06-02 +SCF:HRS-06.1 nist-800-53b-r5-privacy ps-06 +SCF:HRS-06.1 nist-800-53b-r5-privacy ps-06-02 +SCF:HRS-06.1 nist-800-53b-r5-low ps-06 +SCF:HRS-06.1 nist-800-82-r3 ps-06 +SCF:HRS-06.1 nist-800-82-r3 ps-06-02 +SCF:HRS-06.1 nist-800-82-r3-low-ot-overlay ps-06 +SCF:HRS-06.1 nist-800-82-r3-moderate-ot-overlay ps-06 +SCF:HRS-06.1 nist-800-82-r3-high-ot-overlay ps-06 +SCF:HRS-06.1 nist-800-161-r1 ps-6 +SCF:HRS-06.1 nist-800-161-r1-c-scrm-baseline ps-6 +SCF:HRS-06.1 nist-800-161-r1-flow-down ps-6 +SCF:HRS-06.1 nist-800-161-r1-level-2 ps-6 +SCF:HRS-06.1 nist-800-161-r1-level-3 ps-6 +SCF:HRS-06.1 nist-800-171-r3 _03.12.05.a +SCF:HRS-06.1 nist-800-171-r3 _03.15.03.c +SCF:HRS-06.2 nist-csf-function-grouping protect +SCF:HRS-06.2 nist-800-53-r4 ps-6-3 +SCF:HRS-06.2 nist-800-53-r5 ps-06-03 +SCF:HRS-06.2 nist-800-82-r3 ps-06-03 +SCF:HRS-07 nist-csf-function-grouping respond +SCF:HRS-07 coso-2013 _5 +SCF:HRS-07 iso-27002-2022 _6.4 +SCF:HRS-07 iso-27018-2025 _6.4 +SCF:HRS-07 iso-42001-2023 _7.3 +SCF:HRS-07 nist-800-53-r4 ps-8 +SCF:HRS-07 nist-800-53-r5 ps-08 +SCF:HRS-07 nist-800-53b-r5-low ps-08 +SCF:HRS-07 nist-sp-800-66-r2 _164.308-a-1 +SCF:HRS-07 nist-800-82-r3 ps-08 +SCF:HRS-07 nist-800-82-r3-low-ot-overlay ps-08 +SCF:HRS-07 nist-800-82-r3-moderate-ot-overlay ps-08 +SCF:HRS-07 nist-800-82-r3-high-ot-overlay ps-08 +SCF:HRS-07 nist-800-171-r2 nfo-ps-8 +SCF:HRS-07 nist-800-171-r3 _03.01.01.f.04 +SCF:HRS-07 nist-800-171-r3 _03.01.01.f.05 +SCF:HRS-07 nist-800-171a _3.9.2-a +SCF:HRS-07 nist-800-171a _3.9.2-b +SCF:HRS-07 nist-800-171a _3.9.2-c +SCF:HRS-07 nist-800-172 _3.9.2e +SCF:HRS-07 nist-csf-2.0 gv.po +SCF:HRS-07 nist-csf-2.0 gv.po-01 +SCF:HRS-07 nist-csf-2.0 gv.po-02 +SCF:HRS-07.1 nist-csf-function-grouping respond +SCF:HRS-07.1 coso-2013 _1 +SCF:HRS-07.1 coso-2013 _5 +SCF:HRS-07.1 iso-27002-2022 _6.4 +SCF:HRS-07.1 iso-27018-2025 _6.4 +SCF:HRS-07.1 nist-800-171-r3 _03.01.01.f.04 +SCF:HRS-07.1 nist-800-171-r3 _03.01.01.f.05 +SCF:HRS-07.1 nist-800-172 _3.9.2e +SCF:HRS-07.2 nist-csf-function-grouping identify +SCF:HRS-07.3 nist-csf-function-grouping protect +SCF:HRS-07.3 nist-800-172 _3.9.2e +SCF:HRS-08 nist-csf-function-grouping identify +SCF:HRS-08 csa-ccm-4.1.0 iam-07 +SCF:HRS-08 iso-27002-2022 _6.5 +SCF:HRS-08 iso-27017-2015 _7.3.1 +SCF:HRS-08 iso-27018-2025 _6.5 +SCF:HRS-08 nist-800-53-r4 ps-5 +SCF:HRS-08 nist-800-53-r5 ps-05 +SCF:HRS-08 nist-800-53b-r5-low ps-05 +SCF:HRS-08 nist-sp-800-66-r2 _164.308-a-3 +SCF:HRS-08 nist-800-82-r3 ps-05 +SCF:HRS-08 nist-800-82-r3-low-ot-overlay ps-05 +SCF:HRS-08 nist-800-82-r3-moderate-ot-overlay ps-05 +SCF:HRS-08 nist-800-82-r3-high-ot-overlay ps-05 +SCF:HRS-08 nist-800-171-r2 _3.9.2 +SCF:HRS-08 nist-800-171-r3 _03.01.01.g.02 +SCF:HRS-08 nist-800-171-r3 _03.09.02.a +SCF:HRS-08 nist-800-171-r3 _03.09.02.b.01 +SCF:HRS-08 nist-800-171a _3.9.2-a +SCF:HRS-08 nist-800-171a _3.9.2-b +SCF:HRS-08 nist-800-171a _3.9.2-c +SCF:HRS-08 nist-800-171a-r3 a.03.09.02.odp-01 +SCF:HRS-08 nist-800-171a-r3 a.03.09.02.b.01-01 +SCF:HRS-08 nist-800-171a-r3 a.03.09.02.b.01-02 +SCF:HRS-08 nist-800-171a-r3 a.03.09.02.b.02 +SCF:HRS-09 nist-csf-function-grouping protect +SCF:HRS-09 csa-ccm-4.1.0 hrs-06 +SCF:HRS-09 iso-27002-2022 _6.5 +SCF:HRS-09 iso-27017-2015 _7.3.1 +SCF:HRS-09 iso-27018-2025 _6.5 +SCF:HRS-09 nist-800-53-r4 ps-4 +SCF:HRS-09 nist-800-53-r5 ps-04 +SCF:HRS-09 nist-800-53b-r5-low ps-04 +SCF:HRS-09 nist-sp-800-66-r2 _164.308-a-3 +SCF:HRS-09 nist-800-82-r3 ps-04 +SCF:HRS-09 nist-800-82-r3-low-ot-overlay ps-04 +SCF:HRS-09 nist-800-82-r3-moderate-ot-overlay ps-04 +SCF:HRS-09 nist-800-82-r3-high-ot-overlay ps-04 +SCF:HRS-09 nist-800-171-r2 _3.9.2 +SCF:IAC-02 nist-800-171a _3.5.1-a +SCF:HRS-09 nist-800-171-r3 _03.01.01.f.03 +SCF:HRS-09 nist-800-171-r3 _03.01.01.g.02 +SCF:HRS-09 nist-800-171-r3 _03.09.02.a +SCF:HRS-09 nist-800-171-r3 _03.09.02.a.03 +SCF:HRS-09 nist-800-171-r3 _03.09.02.b.01 +SCF:HRS-09 nist-800-171a _3.9.2-a +SCF:HRS-09 nist-800-171a _3.9.2-b +SCF:HRS-09 nist-800-171a _3.9.2-c +SCF:HRS-09 nist-800-171a-r3 a.03.09.02.odp-01 +SCF:HRS-09 nist-800-171a-r3 a.03.09.02.a.01 +SCF:HRS-09 nist-800-171a-r3 a.03.09.02.a.02-01 +SCF:HRS-09 nist-800-171a-r3 a.03.09.02.a.02-02 +SCF:HRS-09 nist-800-171a-r3 a.03.09.02.a.03 +SCF:HRS-09 pci-dss-4.0.1 _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-a _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-a-ep _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-c _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-c-vt _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-d-merchant _8.2.5 +SCF:HRS-09 pci-dss-4.0.1-saq-d-service-provider _8.2.5 +SCF:HRS-09.1 nist-csf-function-grouping protect +SCF:HRS-09.1 nist-800-171-r3 _03.09.02.a.03 +SCF:HRS-09.1 nist-800-171a-r3 a.03.09.02.a.03 +SCF:HRS-09.2 nist-csf-function-grouping protect +SCF:HRS-09.2 csa-ccm-4.1.0 iam-07 +SCF:HRS-09.2 nist-800-53-r5 ac-02-13 +SCF:HRS-09.2 nist-800-53b-r5-privacy ac-02-13 +SCF:HRS-09.2 nist-800-53b-r5-moderate ac-02-13 +SCF:HRS-09.2 nist-800-82-r3 ac-02-13 +SCF:HRS-09.2 nist-800-82-r3-moderate-ot-overlay ac-02-13 +SCF:HRS-09.2 nist-800-82-r3-high-ot-overlay ac-02-13 +SCF:HRS-09.2 nist-800-171-r3 _03.09.02.a.01 +SCF:HRS-09.2 nist-800-171-r3 _03.09.02.a.02 +SCF:HRS-09.2 nist-800-171-r3 _03.09.02.b.01 +SCF:HRS-09.2 pci-dss-4.0.1 _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-a _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-a-ep _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-c _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-c-vt _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-d-merchant _8.2.5 +SCF:HRS-09.2 pci-dss-4.0.1-saq-d-service-provider _8.2.5 +SCF:HRS-09.3 nist-csf-function-grouping protect +SCF:HRS-09.3 iso-27002-2022 _6.5 +SCF:HRS-09.3 iso-27018-2025 _6.5 +SCF:HRS-09.3 nist-800-53-r4 ps-4-1 +SCF:HRS-09.3 nist-800-53-r5 ps-04-01 +SCF:HRS-09.3 nist-800-82-r3 ps-04-01 +SCF:HRS-09.4 nist-csf-function-grouping protect +SCF:HRS-09.4 nist-800-53-r4 ps-4-2 +SCF:HRS-09.4 nist-800-53-r5 ps-04-02 +SCF:HRS-09.4 nist-800-53b-r5-high ps-04-02 +SCF:HRS-09.4 nist-800-82-r3 ps-04-02 +SCF:HRS-09.4 nist-800-82-r3-high-ot-overlay ps-04-02 +SCF:HRS-09.4 nist-800-171-r3 _03.01.01.g.02 +SCF:HRS-09.4 nist-800-171-r3 _03.09.02.a.01 +SCF:HRS-09.4 nist-800-171-r3 _03.09.02.a.02 +SCF:HRS-10 nist-csf-function-grouping identify +SCF:HRS-10 cobit-2019 apo07.06 +SCF:HRS-10 nist-800-53-r4 ps-7 +SCF:HRS-10 nist-800-53-r5 ps-07 +SCF:HRS-10 nist-800-53b-r5-low ps-07 +SCF:HRS-10 nist-800-82-r3 ps-07 +SCF:HRS-10 nist-800-82-r3-low-ot-overlay ps-07 +SCF:HRS-10 nist-800-82-r3-moderate-ot-overlay ps-07 +SCF:HRS-10 nist-800-82-r3-high-ot-overlay ps-07 +SCF:HRS-10 nist-800-161-r1 ps-7 +SCF:HRS-10 nist-800-161-r1-c-scrm-baseline ps-7 +SCF:HRS-10 nist-800-161-r1-level-2 ps-7 +SCF:HRS-10 nist-800-171-r2 nfo-ps-7 +SCF:HRS-10 nist-800-171-r3 _03.16.03.b +SCF:HRS-11 nist-csf-function-grouping protect +SCF:HRS-11 csa-ccm-4.1.0 iam-04 +SCF:HRS-11 iec-62443-2-1-2024 user-2.2 +SCF:HRS-11 iso-27002-2022 _5.3 +SCF:HRS-11 iso-27002-2022 _5.18 +SCF:HRS-11 iso-27017-2015 _6.1.2 +SCF:HRS-11 iso-27018-2025 _5.3 +SCF:HRS-11 iso-27018-2025 _5.18 +SCF:HRS-11 nist-ai-600-1 ms-1.3-003 +SCF:HRS-11 nist-privacy-framework-1.0 pr.ac-p4 +SCF:HRS-11 nist-800-53-r4 ac-5 +SCF:HRS-11 nist-800-53-r5 ac-05 +SCF:HRS-11 nist-800-53b-r5-privacy ac-05 +SCF:HRS-11 nist-800-53b-r5-moderate ac-05 +SCF:HRS-11 nist-800-82-r3 ac-05 +SCF:HRS-11 nist-800-82-r3-moderate-ot-overlay ac-05 +SCF:HRS-11 nist-800-82-r3-high-ot-overlay ac-05 +SCF:HRS-11 nist-800-161-r1 ac-5 +SCF:HRS-11 nist-800-161-r1-flow-down ac-5 +SCF:HRS-11 nist-800-161-r1-level-2 ac-5 +SCF:HRS-11 nist-800-161-r1-level-3 ac-5 +SCF:HRS-11 nist-800-171-r2 _3.1.4 +SCF:HRS-11 nist-800-171-r3 _03.01.04.a +SCF:HRS-11 nist-800-171a _3.1.4-a +SCF:HRS-11 nist-800-171a _3.1.4-b +SCF:HRS-11 nist-800-171a _3.1.4-c +SCF:HRS-11 nist-800-171a-r3 a.03.01.04.a +SCF:HRS-11 nist-csf-2.0 pr.aa-05 +SCF:HRS-11 pci-dss-4.0.1 _6.5.4 +SCF:HRS-11 pci-dss-4.0.1-saq-d-merchant _6.5.4 +SCF:HRS-11 pci-dss-4.0.1-saq-d-service-provider _6.5.4 +SCF:HRS-12 nist-csf-function-grouping protect +SCF:HRS-12 cobit-2019 dss06.03 +SCF:HRS-12 csa-ccm-4.1.0 cek-02 +SCF:HRS-12 iso-27002-2022 _5.3 +SCF:HRS-12 iso-27017-2015 _6.1.2 +SCF:HRS-12 iso-27018-2025 _5.3 +SCF:HRS-12 nist-800-171-r3 _03.01.04.a +SCF:HRS-12.1 nist-csf-function-grouping protect +SCF:HRS-12.1 nist-800-53-r4 ac-3-2 +SCF:HRS-12.1 nist-800-53-r5 ac-03-02 +SCF:HRS-12.1 nist-800-53b-r5-privacy ac-03-02 +SCF:HRS-12.1 nist-800-82-r3 ac-03-02 +SCF:HRS-12.1 nist-800-160-vol2-r1 ac-03-02 +SCF:HRS-13 nist-csf-function-grouping protect +SCF:HRS-13 cobit-2019 apo01.08 +SCF:HRS-13 cobit-2019 apo07.03 +SCF:HRS-13.1 nist-csf-function-grouping protect +SCF:HRS-13.1 cobit-2019 apo01.08 +SCF:HRS-13.1 cobit-2019 apo07.03 +SCF:HRS-13.2 nist-csf-function-grouping protect +SCF:HRS-13.2 cobit-2019 apo07.02 +SCF:HRS-13.3 nist-csf-function-grouping protect +SCF:HRS-13.3 cobit-2019 apo07.03 +SCF:HRS-13.4 nist-csf-function-grouping protect +SCF:HRS-13.4 cobit-2019 apo07.03 +SCF:HRS-14 nist-csf-function-grouping protect +SCF:HRS-14.1 nist-csf-function-grouping protect +SCF:HRS-15 nist-csf-function-grouping protect +SCF:HRS-15 nist-ai-600-1 gv-2.1-005 +SCF:IAC-01 nist-csf-function-grouping govern +SCF:IAC-01 cis-csc-8.1 _4.7 +SCF:IAC-01 cis-csc-8.1 _5.0 +SCF:IAC-01 cis-csc-8.1 _5.6 +SCF:IAC-01 cis-csc-8.1 _6.0 +SCF:IAC-01 cis-csc-8.1 _6.6 +SCF:IAC-01 cis-csc-8.1-ig1 _4.7 +SCF:IAC-01 cis-csc-8.1-ig2 _4.7 +SCF:IAC-01 cis-csc-8.1-ig2 _5.6 +SCF:IAC-01 cis-csc-8.1-ig2 _6.6 +SCF:IAC-01 cis-csc-8.1-ig3 _4.7 +SCF:IAC-01 cis-csc-8.1-ig3 _5.6 +SCF:IAC-01 cis-csc-8.1-ig3 _6.6 +SCF:IAC-01 cobit-2019 dss06.03 +SCF:IAC-01 csa-ccm-4.1.0 iam-01 +SCF:IAC-01 csa-ccm-4.1.0 iam-02 +SCF:IAC-01 csa-iot-scf-2 iam-17 +SCF:IAC-01 iec-tr-60601-4-5-2021 _4.2 +SCF:IAC-01 iec-62443-2-1-2024 user-1.1 +SCF:IAC-01 iec-62443-4-2-2019 cr-1.3 +SCF:IAC-01 iso-27002-2022 _5.15 +SCF:IAC-01 iso-27002-2022 _5.18 +SCF:IAC-01 iso-27017-2015 _9.1.1 +SCF:IAC-01 iso-27017-2015 _9.1.2 +SCF:IAC-01 iso-27018-2025 _5.15 +SCF:IAC-01 iso-27018-2025 _5.16-a +SCF:IAC-01 iso-27018-2025 _5.18 +SCF:IAC-01 nist-privacy-framework-1.0 pr.ac-p +SCF:IAC-01 nist-privacy-framework-1.0 pr.ac-p1 +SCF:IAC-01 nist-800-53-r4 ac-1 +SCF:IAC-01 nist-800-53-r4 ia-1 +SCF:IAC-01 nist-800-53-r5 ac-01 +SCF:IAC-01 nist-800-53-r5 ia-01 +SCF:IAC-01 nist-800-53b-r5-privacy ac-01 +SCF:IAC-01 nist-800-53b-r5-privacy ia-01 +SCF:IAC-01 nist-800-53b-r5-low ac-01 +SCF:IAC-01 nist-800-53b-r5-low ia-01 +SCF:IAC-01 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-01 nist-sp-800-66-r2 _164.308-a-4 +SCF:IAC-01 nist-sp-800-66-r2 _164.310-a +SCF:IAC-01 nist-sp-800-66-r2 _164.312-a +SCF:IAC-01 nist-800-82-r3 ac-01 +SCF:IAC-01 nist-800-82-r3 ia-01 +SCF:IAC-01 nist-800-82-r3-low-ot-overlay ac-01 +SCF:IAC-01 nist-800-82-r3-low-ot-overlay ia-01 +SCF:IAC-01 nist-800-82-r3-moderate-ot-overlay ac-01 +SCF:IAC-01 nist-800-82-r3-moderate-ot-overlay ia-01 +SCF:IAC-01 nist-800-82-r3-high-ot-overlay ac-01 +SCF:IAC-01 nist-800-82-r3-high-ot-overlay ia-01 +SCF:IAC-01 nist-800-161-r1 ac-1 +SCF:IAC-01 nist-800-161-r1 ia-1 +SCF:IAC-01 nist-800-161-r1-c-scrm-baseline ac-1 +SCF:IAC-01 nist-800-161-r1-c-scrm-baseline ia-1 +SCF:IAC-01 nist-800-161-r1-flow-down ac-1 +SCF:IAC-01 nist-800-161-r1-level-1 ac-1 +SCF:IAC-01 nist-800-161-r1-level-1 ia-1 +SCF:IAC-01 nist-800-161-r1-level-2 ac-1 +SCF:IAC-01 nist-800-161-r1-level-2 ia-1 +SCF:IAC-01 nist-800-161-r1-level-3 ac-1 +SCF:IAC-01 nist-800-161-r1-level-3 ia-1 +SCF:IAC-01 nist-800-171-r2 _3.1.1 +SCF:IAC-01 nist-800-171-r2 nfo-ac-1 +SCF:IAC-01 nist-800-171-r2 nfo-ia-1 +SCF:IAC-01 nist-800-171-r3 _03.01.01.a +SCF:IAC-01 nist-800-171-r3 _03.01.18.b +SCF:IAC-01 nist-800-171-r3 _03.05.01.a +SCF:IAC-01 nist-800-171-r3 _03.05.05.a +SCF:IAC-01 nist-800-171-r3 _03.05.12.e +SCF:IAC-01 nist-800-207 nist-tenet-6 +SCF:IAC-01 nist-csf-2.0 pr.aa +SCF:IAC-01 nist-csf-2.0 pr.aa-05 +SCF:IAC-01 owasp-top-10-2025 a01-2025 +SCF:IAC-01 owasp-top-10-2025 a07-2025 +SCF:IAC-01 pci-dss-4.0.1 _7.1 +SCF:IAC-01 pci-dss-4.0.1 _7.2 +SCF:IAC-01 pci-dss-4.0.1 _7.2.1 +SCF:IAC-01 pci-dss-4.0.1 _7.3 +SCF:IAC-01 pci-dss-4.0.1 _7.3.1 +SCF:IAC-01 pci-dss-4.0.1 _7.3.2 +SCF:IAC-01 pci-dss-4.0.1 _7.3.3 +SCF:IAC-01 pci-dss-4.0.1 _8.1 +SCF:IAC-01 pci-dss-4.0.1 _8.2 +SCF:IAC-01 pci-dss-4.0.1 _8.3.3 +SCF:IAC-01 pci-dss-4.0.1 _8.3.8 +SCF:IAC-01 pci-dss-4.0.1 _8.5.1 +SCF:IAC-01 pci-dss-4.0.1 _8.6.1 +SCF:IAC-01 pci-dss-4.0.1 a3.4 +SCF:IAC-01 pci-dss-4.0.1-saq-a-ep _8.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:IAC-01 pci-dss-4.0.1-saq-a-ep _8.5.1 +SCF:IAC-01 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-01 pci-dss-4.0.1-saq-c _8.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-c _8.3.8 +SCF:IAC-01 pci-dss-4.0.1-saq-c _8.5.1 +SCF:IAC-01 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _7.3.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _7.3.2 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _7.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _8.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _8.5.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _7.3.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _7.3.2 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _7.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _8.3.3 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _8.5.1 +SCF:IAC-01 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-01.1 nist-csf-function-grouping protect +SCF:IAC-01.2 nist-csf-function-grouping protect +SCF:IAC-01.2 cis-csc-8.1 _5.6 +SCF:IAC-01.2 cis-csc-8.1 _6.6 +SCF:IAC-01.2 cis-csc-8.1 _12.5 +SCF:IAC-01.2 cis-csc-8.1-ig2 _5.6 +SCF:IAC-01.2 cis-csc-8.1-ig2 _6.6 +SCF:IAC-01.2 cis-csc-8.1-ig2 _12.5 +SCF:IAC-01.2 cis-csc-8.1-ig3 _5.6 +SCF:IAC-01.2 cis-csc-8.1-ig3 _6.6 +SCF:IAC-01.2 cis-csc-8.1-ig3 _12.5 +SCF:IAC-01.2 csa-iot-scf-2 cls-09 +SCF:IAC-01.2 iec-62443-2-1-2024 user-1.4 +SCF:IAC-01.2 iec-62443-2-1-2024 user-1.6 +SCF:IAC-01.2 iec-62443-2-1-2024 user-1.7 +SCF:IAC-01.2 iec-62443-3-3-2013 sr-1.1-re-1 +SCF:IAC-01.2 iec-62443-3-3-2013 sr-1.5-h +SCF:IAC-01.2 iec-62443-3-3-2013 sr-1.5-i +SCF:IAC-01.2 iec-62443-3-3-2013 sr-1.5-j +SCF:IAC-01.2 iec-62443-3-3-2013 sr-1.5-k +SCF:IAC-01.2 iso-27018-2025 _5.16-a +SCF:IAC-01.2 nist-800-53-r5 ia-04 +SCF:IAC-01.2 nist-800-53-r5 ia-04-04 +SCF:IAC-01.2 nist-800-53b-r5-privacy ia-04 +SCF:IAC-01.2 nist-800-53b-r5-privacy ia-04-04 +SCF:IAC-01.2 nist-800-53b-r5-low ia-04 +SCF:IAC-01.2 nist-800-53b-r5-moderate ia-04-04 +SCF:IAC-01.2 nist-800-82-r3 ia-04 +SCF:IAC-01.2 nist-800-82-r3 ia-04-04 +SCF:IAC-01.2 nist-800-82-r3-low-ot-overlay ia-04 +SCF:IAC-01.2 nist-800-82-r3-moderate-ot-overlay ia-04 +SCF:IAC-01.2 nist-800-82-r3-moderate-ot-overlay ia-04-04 +SCF:IAC-01.2 nist-800-82-r3-high-ot-overlay ia-04 +SCF:IAC-01.2 nist-800-82-r3-high-ot-overlay ia-04-04 +SCF:IAC-01.2 nist-800-161-r1 ia-4 +SCF:IAC-01.2 nist-800-161-r1-c-scrm-baseline ia-4 +SCF:IAC-01.2 nist-800-161-r1-flow-down ia-4 +SCF:IAC-01.2 nist-800-161-r1-level-2 ia-4 +SCF:IAC-01.2 nist-800-161-r1-level-3 ia-4 +SCF:IAC-01.2 nist-800-171-r3 _03.05.01.a +SCF:IAC-01.2 nist-800-171-r3 _03.05.02 +SCF:IAC-01.2 nist-800-171-r3 _03.05.05.d +SCF:IAC-01.2 nist-800-171-r3 _03.05.07.a +SCF:IAC-01.2 nist-800-171-r3 _03.05.07.b +SCF:IAC-01.2 nist-800-171-r3 _03.05.07.c +SCF:IAC-01.2 nist-800-171-r3 _03.05.07.d +SCF:IAC-01.2 nist-800-171-r3 _03.05.07.e +SCF:IAC-01.2 nist-800-171-r3 _03.05.12.d +SCF:IAC-01.2 nist-800-171-r3 _03.05.12.f +SCF:IAC-01.2 nist-800-171-r3 _03.07.05.a +SCF:IAC-01.2 nist-800-171a-r3 a.03.01.01.d.01 +SCF:IAC-01.2 nist-800-171a-r3 a.03.01.01.d.02 +SCF:IAC-01.2 nist-800-171a-r3 a.03.01.16.b +SCF:IAC-01.2 nist-800-171a-r3 a.03.05.01.a-01 +SCF:IAC-01.2 nist-800-171a-r3 a.03.05.01.a-02 +SCF:IAC-01.2 nist-800-172 _3.5.2e +SCF:IAC-01.2 nist-800-207 nist-tenet-2 +SCF:IAC-01.2 nist-800-207 nist-tenet-3 +SCF:IAC-01.2 nist-800-207 nist-tenet-4 +SCF:IAC-01.2 nist-800-207 nist-tenet-6 +SCF:IAC-01.2 nist-csf-2.0 pr.aa +SCF:IAC-01.2 nist-csf-2.0 pr.aa-03 +SCF:IAC-01.2 nist-csf-2.0 pr.aa-04 +SCF:IAC-01.2 nist-csf-2.0 pr.aa-05 +SCF:IAC-01.3 nist-csf-function-grouping identify +SCF:IAC-01.3 csa-ccm-4.1.0 iam-03 +SCF:IAC-02 nist-csf-function-grouping protect +SCF:IAC-02 cis-csc-8.1 _5.5 +SCF:IAC-02 cis-csc-8.1 _5.6 +SCF:IAC-02 cis-csc-8.1 _6.7 +SCF:IAC-02 cis-csc-8.1 _12.5 +SCF:IAC-02 cis-csc-8.1-ig2 _5.5 +SCF:IAC-02 cis-csc-8.1-ig2 _5.6 +SCF:IAC-02 cis-csc-8.1-ig2 _6.7 +SCF:IAC-02 cis-csc-8.1-ig2 _12.5 +SCF:IAC-02 cis-csc-8.1-ig3 _5.5 +SCF:IAC-02 cis-csc-8.1-ig3 _5.6 +SCF:IAC-02 cis-csc-8.1-ig3 _6.7 +SCF:IAC-02 cis-csc-8.1-ig3 _12.5 +SCF:IAC-02 csa-ccm-4.1.0 iam-13 +SCF:IAC-02 iec-62443-2-1-2024 user-1.1 +SCF:IAC-02 iec-62443-3-3-2013 sr-1.1 +SCF:IAC-02 iec-62443-3-3-2013 sr-1.1-re-1 +SCF:IAC-02 iec-62443-4-2-2019 cr-1.1 +SCF:IAC-02 iso-27002-2022 _5.15 +SCF:IAC-02 iso-27017-2015 _9.1.1 +SCF:IAC-02 iso-27018-2025 _5.15 +SCF:IAC-02 nist-privacy-framework-1.0 pr.ac-p6 +SCF:IAC-02 nist-800-53-r4 ia-2 +SCF:IAC-02 nist-800-53-r5 ia-02 +SCF:IAC-02 nist-800-53b-r5-low ia-02 +SCF:IAC-02 nist-sp-800-66-r2 _164.312-a +SCF:IAC-02 nist-800-82-r3 ia-02 +SCF:IAC-02 nist-800-82-r3-low-ot-overlay ia-02 +SCF:IAC-02 nist-800-82-r3-moderate-ot-overlay ia-02 +SCF:IAC-02 nist-800-82-r3-high-ot-overlay ia-02 +SCF:IAC-02 nist-800-161-r1 ia-2 +SCF:IAC-02 nist-800-161-r1-c-scrm-baseline ia-2 +SCF:IAC-02 nist-800-161-r1-flow-down ia-2 +SCF:IAC-02 nist-800-161-r1-level-1 ia-2 +SCF:IAC-02 nist-800-161-r1-level-2 ia-2 +SCF:IAC-02 nist-800-161-r1-level-3 ia-2 +SCF:IAC-02 nist-800-171-r2 _3.1.1 +SCF:IAC-02 nist-800-171-r2 _3.5.1 +SCF:IAC-02 nist-800-171-r2 _3.5.2 +SCF:IAC-02 nist-800-171-r3 _03.05.01.a +SCF:IAC-02 nist-800-171-r3 _03.05.05.d +SCF:IAC-02 nist-800-171a _3.5.1-b +SCF:IAC-02 nist-800-171a _3.5.1-c +SCF:IAC-02 nist-800-171a _3.5.2-a +SCF:IAC-02 nist-800-171a _3.5.2-b +SCF:IAC-02 nist-800-171a _3.5.2-c +SCF:IAC-02 nist-800-171a-r3 a.03.05.01.a-03 +SCF:IAC-02 nist-800-171a-r3 a.03.05.05.d +SCF:IAC-02 nist-800-207 nist-tenet-3 +SCF:IAC-02 nist-csf-2.0 pr.aa-01 +SCF:IAC-02 nist-csf-2.0 pr.aa-03 +SCF:IAC-02 nist-csf-2.0 pr.aa-05 +SCF:IAC-02 pci-dss-4.0.1 _7.1 +SCF:IAC-02 pci-dss-4.0.1 _7.2 +SCF:IAC-02 pci-dss-4.0.1 _7.2.1 +SCF:IAC-02 pci-dss-4.0.1 _7.3 +SCF:IAC-02 pci-dss-4.0.1 _7.3.1 +SCF:IAC-02 pci-dss-4.0.1 _7.3.2 +SCF:IAC-02 pci-dss-4.0.1 _7.3.3 +SCF:IAC-02 pci-dss-4.0.1 _8.1 +SCF:IAC-02 pci-dss-4.0.1 _8.2 +SCF:IAC-02 pci-dss-4.0.1 _8.3 +SCF:IAC-02 pci-dss-4.0.1 _8.3.3 +SCF:IAC-02 pci-dss-4.0.1 _8.3.9 +SCF:IAC-02 pci-dss-4.0.1-saq-a _8.3.9 +SCF:IAC-02 pci-dss-4.0.1-saq-a-ep _8.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-a-ep _8.3.9 +SCF:IAC-02 pci-dss-4.0.1-saq-c _8.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-c _8.3.9 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _7.3.1 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _7.3.2 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _7.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _8.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-d-merchant _8.3.9 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _7.3.1 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _7.3.2 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _7.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _8.3.3 +SCF:IAC-02 pci-dss-4.0.1-saq-d-service-provider _8.3.9 +SCF:IAC-02.1 nist-csf-function-grouping protect +SCF:IAC-02.1 nist-800-53-r4 ia-2-5 +SCF:IAC-02.1 nist-800-53-r5 ia-02-05 +SCF:IAC-02.1 nist-800-53b-r5-high ia-02-05 +SCF:IAC-02.1 nist-800-82-r3 ia-02-05 +SCF:IAC-02.1 nist-800-82-r3-high-ot-overlay ia-02-05 +SCF:IAC-02.1 owasp-top-10-2025 a07-2025 +SCF:IAC-02.1 pci-dss-4.0.1 _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-a _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-a-ep _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-b-ip _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-c _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-c-vt _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-d-merchant _8.2.2 +SCF:IAC-02.1 pci-dss-4.0.1-saq-d-service-provider _8.2.2 +SCF:IAC-02.2 nist-csf-function-grouping protect +SCF:IAC-02.2 nist-800-53-r4 ia-2-8 +SCF:IAC-02.2 nist-800-53-r4 ia-2-9 +SCF:IAC-02.2 nist-800-53-r5 ia-02-08 +SCF:IAC-02.2 nist-800-53b-r5-low ia-02-08 +SCF:IAC-02.2 nist-800-82-r3 ia-02-08 +SCF:IAC-02.2 nist-800-82-r3-low-ot-overlay ia-02-08 +SCF:IAC-02.2 nist-800-82-r3-moderate-ot-overlay ia-02-08 +SCF:IAC-02.2 nist-800-82-r3-high-ot-overlay ia-02-08 +SCF:IAC-02.2 nist-800-171-r2 _3.5.4 +SCF:IAC-02.2 nist-800-171-r3 _03.05.04 +SCF:IAC-02.2 nist-800-171-r3 _03.07.05.b +SCF:IAC-02.2 nist-800-171a _3.5.4 +SCF:IAC-02.2 nist-800-171a-r3 a.03.05.04-01 +SCF:IAC-02.2 nist-800-171a-r3 a.03.05.04-02 +SCF:IAC-02.2 nist-800-171a-r3 a.03.07.05.b-02 +SCF:IAC-02.2 nist-800-172 _3.5.1e +SCF:IAC-02.2 nist-csf-2.0 pr.aa-04 +SCF:IAC-02.2 owasp-top-10-2025 a07-2025 +SCF:IAC-02.2 pci-dss-4.0.1 _8.5.1 +SCF:IAC-02.2 pci-dss-4.0.1-saq-a-ep _8.5.1 +SCF:IAC-02.2 pci-dss-4.0.1-saq-c _8.5.1 +SCF:IAC-02.2 pci-dss-4.0.1-saq-d-merchant _8.5.1 +SCF:IAC-02.2 pci-dss-4.0.1-saq-d-service-provider _8.5.1 +SCF:IAC-02.3 nist-csf-function-grouping protect +SCF:IAC-02.3 nist-800-53-r4 ia-2-12 +SCF:IAC-02.3 nist-800-53-r4 ia-8-5 +SCF:IAC-02.3 nist-800-53-r5 ia-02-12 +SCF:IAC-02.3 nist-800-53-r5 ia-08-05 +SCF:IAC-02.3 nist-800-53b-r5-low ia-02-12 +SCF:IAC-02.3 nist-800-82-r3 ia-02-12 +SCF:IAC-02.3 nist-800-82-r3 ia-08-05 +SCF:IAC-02.3 nist-800-82-r3-low-ot-overlay ia-02-12 +SCF:IAC-02.3 nist-800-82-r3-moderate-ot-overlay ia-02-12 +SCF:IAC-02.3 nist-800-82-r3-high-ot-overlay ia-02-12 +SCF:IAC-02.3 owasp-top-10-2025 a07-2025 +SCF:IAC-02.4 nist-csf-function-grouping protect +SCF:IAC-02.4 nist-800-53-r4 ia-2-13 +SCF:IAC-02.4 nist-800-53-r5 ia-02-13 +SCF:IAC-02.4 nist-800-82-r3 ia-02-13 +SCF:IAC-02.4 nist-800-160-vol2-r1 ia-02-13 +SCF:IAC-03 nist-csf-function-grouping protect +SCF:IAC-03 cis-csc-8.1 _12.5 +SCF:IAC-03 cis-csc-8.1-ig2 _12.5 +SCF:IAC-03 cis-csc-8.1-ig3 _12.5 +SCF:IAC-03 csa-ccm-4.1.0 iam-11 +SCF:IAC-03 csa-ccm-4.1.0 iam-13 +SCF:IAC-03 iec-62443-2-1-2024 user-1.1 +SCF:IAC-03 iec-62443-3-3-2013 sr-1.1 +SCF:IAC-03 iec-62443-3-3-2013 sr-1.1-re-1 +SCF:IAC-03 iec-62443-4-2-2019 cr-1.1 +SCF:IAC-03 iec-62443-4-2-2019 cr-1.1-1 +SCF:IAC-03 iso-27002-2022 _5.16 +SCF:IAC-03 iso-27018-2025 _5.16 +SCF:IAC-03 nist-privacy-framework-1.0 pr.ac-p6 +SCF:IAC-03 nist-800-53-r4 ia-8 +SCF:IAC-03 nist-800-53-r5 ia-08 +SCF:IAC-03 nist-800-53b-r5-low ia-08 +SCF:IAC-03 nist-800-82-r3 ia-08 +SCF:IAC-03 nist-800-82-r3-low-ot-overlay ia-08 +SCF:IAC-03 nist-800-82-r3-moderate-ot-overlay ia-08 +SCF:IAC-03 nist-800-82-r3-high-ot-overlay ia-08 +SCF:IAC-03 nist-800-161-r1 ia-8 +SCF:IAC-03 nist-800-161-r1-c-scrm-baseline ia-8 +SCF:IAC-03 nist-800-161-r1-level-2 ia-8 +SCF:IAC-03 nist-800-161-r1-level-3 ia-8 +SCF:IAC-03 nist-800-171-r3 _03.05.01.a +SCF:IAC-03 nist-800-207 nist-tenet-3 +SCF:IAC-03 nist-800-207 nist-tenet-4 +SCF:IAC-03 nist-csf-2.0 pr.aa-01 +SCF:IAC-03 nist-csf-2.0 pr.aa-03 +SCF:IAC-03 nist-csf-2.0 pr.aa-05 +SCF:IAC-03 owasp-top-10-2025 a07-2025 +SCF:IAC-03 pci-dss-4.0.1 _7.2.1 +SCF:IAC-03 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-03 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-03.1 nist-csf-function-grouping protect +SCF:IAC-03.1 nist-800-53-r4 ia-8-1 +SCF:IAC-03.1 nist-800-53-r5 ia-08-01 +SCF:IAC-03.1 nist-800-53b-r5-low ia-08-01 +SCF:IAC-03.1 nist-800-82-r3 ia-08-01 +SCF:IAC-03.1 nist-800-82-r3-low-ot-overlay ia-08-01 +SCF:IAC-03.1 nist-800-82-r3-moderate-ot-overlay ia-08-01 +SCF:IAC-03.1 nist-800-82-r3-high-ot-overlay ia-08-01 +SCF:IAC-03.1 owasp-top-10-2025 a07-2025 +SCF:IAC-03.2 nist-csf-function-grouping protect +SCF:IAC-03.2 nist-800-53-r4 ia-8-2 +SCF:IAC-03.2 nist-800-53-r5 ia-08-02 +SCF:IAC-03.2 nist-800-53b-r5-low ia-08-02 +SCF:IAC-03.2 nist-800-82-r3 ia-08-02 +SCF:IAC-03.2 nist-800-82-r3-low-ot-overlay ia-08-02 +SCF:IAC-03.2 nist-800-82-r3-moderate-ot-overlay ia-08-02 +SCF:IAC-03.2 nist-800-82-r3-high-ot-overlay ia-08-02 +SCF:IAC-03.2 owasp-top-10-2025 a07-2025 +SCF:IAC-03.2 pci-dss-4.0.1 _8.2.3 +SCF:IAC-03.2 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:IAC-03.3 nist-csf-function-grouping protect +SCF:IAC-03.3 nist-800-53-r4 ia-8-4 +SCF:IAC-03.3 nist-800-53-r5 ia-08-04 +SCF:IAC-03.3 nist-800-53b-r5-low ia-08-04 +SCF:IAC-03.3 nist-800-82-r3 ia-08-04 +SCF:IAC-03.3 nist-800-82-r3-low-ot-overlay ia-08-04 +SCF:IAC-03.3 nist-800-82-r3-moderate-ot-overlay ia-08-04 +SCF:IAC-03.3 nist-800-82-r3-high-ot-overlay ia-08-04 +SCF:IAC-03.4 nist-csf-function-grouping protect +SCF:IAC-03.4 nist-800-53-r5 ia-08-06 +SCF:IAC-03.4 nist-800-82-r3 ia-08-06 +SCF:IAC-03.5 nist-csf-function-grouping protect +SCF:IAC-03.5 nist-800-53-r4 ia-8-3 +SCF:IAC-03.5 nist-csf-2.0 pr.aa-04 +SCF:IAC-04 nist-csf-function-grouping protect +SCF:IAC-04 cis-csc-8.1 _12.5 +SCF:IAC-04 cis-csc-8.1-ig2 _12.5 +SCF:IAC-04 cis-csc-8.1-ig3 _12.5 +SCF:IAC-04 csa-ccm-4.1.0 dcs-09 +SCF:IAC-04 csa-ccm-4.1.0 iam-13 +SCF:IAC-04 csa-iot-scf-2 iam-17 +SCF:IAC-04 iec-62443-2-1-2024 user-1.1 +SCF:IAC-04 iec-62443-2-1-2024 user-1.19 +SCF:IAC-04 iec-62443-3-3-2013 sr-1.2 +SCF:IAC-04 iec-62443-3-3-2013 sr-1.2-re-1 +SCF:IAC-04 iec-62443-4-2-2019 cr-1.2 +SCF:IAC-04 iec-62443-4-2-2019 cr-1.2-1 +SCF:IAC-04 iso-27002-2022 _5.16 +SCF:IAC-04 iso-27018-2025 _5.16 +SCF:IAC-04 nist-privacy-framework-1.0 pr.ac-p6 +SCF:IAC-04 nist-800-53-r4 ia-3 +SCF:IAC-04 nist-800-53-r4 ia-3-1 +SCF:IAC-04 nist-800-53-r4 ia-3-4 +SCF:IAC-04 nist-800-53-r5 ia-03 +SCF:IAC-04 nist-800-53-r5 ia-03-01 +SCF:IAC-04 nist-800-53-r5 ia-03-04 +SCF:IAC-04 nist-800-53b-r5-privacy ia-03-04 +SCF:IAC-04 nist-800-53b-r5-moderate ia-03 +SCF:IAC-04 nist-800-82-r3 ia-03 +SCF:IAC-04 nist-800-82-r3 ia-03-01 +SCF:IAC-04 nist-800-82-r3 ia-03-04 +SCF:IAC-04 nist-800-82-r3-low-ot-overlay ia-03 +SCF:IAC-04 nist-800-82-r3-moderate-ot-overlay ia-03 +SCF:IAC-04 nist-800-82-r3-high-ot-overlay ia-03 +SCF:IAC-04 nist-800-160-vol2-r1 ia-03-01 +SCF:IAC-04 nist-800-161-r1 ia-3 +SCF:IAC-04 nist-800-161-r1-level-1 ia-3 +SCF:IAC-04 nist-800-161-r1-level-2 ia-3 +SCF:IAC-04 nist-800-161-r1-level-3 ia-3 +SCF:IAC-04 nist-800-171-r2 _3.5.1 +SCF:IAC-04 nist-800-171-r2 _3.5.2 +SCF:IAC-04 nist-800-171-r3 _03.01.18.b +SCF:IAC-04 nist-800-171-r3 _03.05.02 +SCF:IAC-04 nist-800-171a-r3 a.03.05.02.odp-01 +SCF:IAC-04 nist-800-171a-r3 a.03.05.02-01 +SCF:IAC-04 nist-800-171a-r3 a.03.05.02-02 +SCF:IAC-04 nist-800-172 _3.5.1e +SCF:IAC-04 nist-800-207 nist-tenet-2 +SCF:IAC-04 nist-800-207 nist-tenet-3 +SCF:IAC-04 nist-800-207 nist-tenet-4 +SCF:IAC-04 nist-csf-2.0 pr.aa-01 +SCF:IAC-04 nist-csf-2.0 pr.aa-03 +SCF:IAC-04 nist-csf-2.0 pr.aa-05 +SCF:IAC-04.1 nist-csf-function-grouping protect +SCF:IAC-04.1 nist-800-53-r4 ia-3-4 +SCF:IAC-04.1 nist-800-53-r5 ia-03-04 +SCF:IAC-04.1 nist-800-53b-r5-privacy ia-03-04 +SCF:IAC-04.1 nist-800-82-r3 ia-03-04 +SCF:IAC-04.2 nist-csf-function-grouping protect +SCF:IAC-04.2 iec-tr-60601-4-5-2021 _5.2-cr-1.2-re-1 +SCF:IAC-05 nist-csf-function-grouping protect +SCF:IAC-05 cis-csc-8.1 _5.5 +SCF:IAC-05 cis-csc-8.1-ig2 _5.5 +SCF:IAC-05 cis-csc-8.1-ig3 _5.5 +SCF:IAC-05 csa-ccm-4.1.0 iam-13 +SCF:IAC-05 iec-62443-2-1-2024 user-1.1 +SCF:IAC-05 iec-62443-2-1-2024 user-1.6 +SCF:IAC-05 iec-62443-3-3-2013 sr-1.2 +SCF:IAC-05 iec-62443-3-3-2013 sr-1.2-re-1 +SCF:IAC-05 iso-27002-2022 _5.16 +SCF:IAC-05 iso-27018-2025 _5.16 +SCF:IAC-05 nist-800-53-r4 ia-9 +SCF:IAC-05 nist-800-53-r5 ia-09 +SCF:IAC-05 nist-800-82-r3 ia-09 +SCF:IAC-05 nist-800-161-r1 ia-9 +SCF:IAC-05 nist-800-161-r1-flow-down ia-9 +SCF:IAC-05 nist-800-161-r1-level-2 ia-9 +SCF:IAC-05 nist-800-161-r1-level-3 ia-9 +SCF:IAC-05 nist-800-171-r3 _03.05.01.a +SCF:IAC-05 nist-800-171-r3 _03.05.02 +SCF:IAC-05 nist-800-207 nist-tenet-3 +SCF:IAC-05 nist-800-207 nist-tenet-4 +SCF:IAC-05 nist-csf-2.0 pr.aa-01 +SCF:IAC-05 nist-csf-2.0 pr.aa-03 +SCF:IAC-05 nist-csf-2.0 pr.aa-05 +SCF:IAC-05 pci-dss-4.0.1 _8.2.3 +SCF:IAC-05 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:IAC-05.1 nist-csf-function-grouping protect +SCF:IAC-05.1 nist-800-53-r4 ia-9-1 +SCF:IAC-05.1 pci-dss-4.0.1 _8.2.3 +SCF:IAC-05.1 pci-dss-4.0.1 _8.6.1 +SCF:IAC-05.1 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-05.1 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-05.1 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-05.1 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:IAC-05.1 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-05.2 nist-csf-function-grouping protect +SCF:IAC-05.2 nist-800-53-r5 ac-06-06 +SCF:IAC-05.2 nist-800-82-r3 ac-06-06 +SCF:IAC-05.2 nist-800-160-vol2-r1 ac-06-06 +SCF:IAC-05.2 nist-800-161-r1 ac-6-6 +SCF:IAC-05.2 nist-800-161-r1-level-2 ac-6-6 +SCF:IAC-05.2 nist-800-161-r1-level-3 ac-6-6 +SCF:IAC-05.2 nist-800-171-r3 _03.07.05.a +SCF:IAC-05.2 nist-800-207 nist-tenet-4 +SCF:IAC-06 nist-csf-function-grouping protect +SCF:IAC-06 cis-csc-8.1 _6.3 +SCF:IAC-06 cis-csc-8.1 _6.4 +SCF:IAC-06 cis-csc-8.1-ig1 _6.3 +SCF:IAC-06 cis-csc-8.1-ig1 _6.4 +SCF:IAC-06 cis-csc-8.1-ig2 _6.3 +SCF:IAC-06 cis-csc-8.1-ig2 _6.4 +SCF:IAC-06 cis-csc-8.1-ig3 _6.3 +SCF:IAC-06 cis-csc-8.1-ig3 _6.4 +SCF:IAC-06 csa-ccm-4.1.0 iam-13 +SCF:IAC-06 csa-iot-scf-2 cls-11 +SCF:IAC-06 iec-62443-2-1-2024 user-1.9 +SCF:IAC-06 iec-62443-3-3-2013 sr-1.1-re-2 +SCF:IAC-06 iec-62443-4-2-2019 cr-1.1-2 +SCF:IAC-06 nist-800-53-r4 ia-2-11 +SCF:IAC-06 nist-800-53-r5 ia-02-01 +SCF:IAC-06 nist-800-53-r5 ia-02-02 +SCF:IAC-06 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-06 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-06 nist-800-53b-r5-low ia-02-01 +SCF:IAC-06 nist-800-53b-r5-low ia-02-02 +SCF:IAC-06 nist-800-82-r3 ia-02-01 +SCF:IAC-06 nist-800-82-r3 ia-02-02 +SCF:IAC-06 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-06 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-06 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-06 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-06 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-06 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-06 nist-800-171-r2 _3.5.3 +SCF:IAC-06 nist-800-171-r2 _3.7.5 +SCF:IAC-06 nist-800-171-r3 _03.05.03 +SCF:IAC-06 nist-800-171-r3 _03.07.05.b +SCF:IAC-06 nist-800-171a-r3 a.03.05.03-01 +SCF:IAC-06 nist-800-171a-r3 a.03.05.03-02 +SCF:IAC-06 nist-800-171a-r3 a.03.07.05.b-01 +SCF:IAC-06 nist-800-207 nist-tenet-6 +SCF:IAC-06 owasp-top-10-2025 a07-2025 +SCF:IAC-06 pci-dss-4.0.1 _8.2.3 +SCF:IAC-06 pci-dss-4.0.1 _8.4 +SCF:IAC-06 pci-dss-4.0.1 _8.4.2 +SCF:IAC-06 pci-dss-4.0.1 _8.4.3 +SCF:IAC-06 pci-dss-4.0.1 _8.5.1 +SCF:IAC-06 pci-dss-4.0.1-saq-a-ep _8.4.2 +SCF:IAC-06 pci-dss-4.0.1-saq-a-ep _8.4.3 +SCF:IAC-06 pci-dss-4.0.1-saq-a-ep _8.5.1 +SCF:IAC-06 pci-dss-4.0.1-saq-b-ip _8.4.3 +SCF:IAC-06 pci-dss-4.0.1-saq-c _8.4.2 +SCF:IAC-06 pci-dss-4.0.1-saq-c _8.4.3 +SCF:IAC-06 pci-dss-4.0.1-saq-c _8.5.1 +SCF:IAC-06 pci-dss-4.0.1-saq-d-merchant _8.4.2 +SCF:IAC-06 pci-dss-4.0.1-saq-d-merchant _8.4.3 +SCF:IAC-06 pci-dss-4.0.1-saq-d-merchant _8.5.1 +SCF:IAC-06 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:IAC-06 pci-dss-4.0.1-saq-d-service-provider _8.4.2 +SCF:IAC-06 pci-dss-4.0.1-saq-d-service-provider _8.4.3 +SCF:IAC-06 pci-dss-4.0.1-saq-d-service-provider _8.5.1 +SCF:IAC-06.1 nist-csf-function-grouping protect +SCF:IAC-06.1 cis-csc-8.1 _6.5 +SCF:IAC-06.1 cis-csc-8.1-ig1 _6.5 +SCF:IAC-06.1 cis-csc-8.1-ig2 _6.5 +SCF:IAC-06.1 cis-csc-8.1-ig3 _6.5 +SCF:IAC-06.1 nist-800-53-r4 ia-2-1 +SCF:IAC-06.1 nist-800-53-r4 ia-2-4 +SCF:IAC-06.1 nist-800-53-r5 ia-02-01 +SCF:IAC-06.1 nist-800-53-r5 ia-02-02 +SCF:IAC-06.1 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-06.1 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-06.1 nist-800-53b-r5-low ia-02-01 +SCF:IAC-06.1 nist-800-53b-r5-low ia-02-02 +SCF:IAC-06.1 nist-800-82-r3 ia-02-01 +SCF:IAC-06.1 nist-800-82-r3 ia-02-02 +SCF:IAC-06.1 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-06.1 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-06.1 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-06.1 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-06.1 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-06.1 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-06.1 nist-800-171-r2 _3.5.3 +SCF:IAC-06.1 nist-800-171-r3 _03.05.03 +SCF:IAC-06.1 nist-800-171a _3.5.3-a +SCF:IAC-06.1 nist-800-171a _3.5.3-c +SCF:IAC-06.1 owasp-top-10-2025 a07-2025 +SCF:IAC-06.1 pci-dss-4.0.1 _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1 _8.4.2 +SCF:IAC-06.1 pci-dss-4.0.1 _8.4.3 +SCF:IAC-06.1 pci-dss-4.0.1-saq-a-ep _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1-saq-a-ep _8.4.2 +SCF:IAC-06.1 pci-dss-4.0.1-saq-a-ep _8.4.3 +SCF:IAC-06.1 pci-dss-4.0.1-saq-b-ip _8.4.3 +SCF:IAC-06.1 pci-dss-4.0.1-saq-c _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1-saq-c _8.4.2 +SCF:IAC-06.1 pci-dss-4.0.1-saq-c _8.4.3 +SCF:IAC-06.1 pci-dss-4.0.1-saq-c-vt _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-merchant _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-merchant _8.4.2 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-merchant _8.4.3 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-service-provider _8.4.1 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-service-provider _8.4.2 +SCF:IAC-06.1 pci-dss-4.0.1-saq-d-service-provider _8.4.3 +SCF:IAC-06.2 nist-csf-function-grouping protect +SCF:IAC-06.2 nist-800-53-r4 ia-2-2 +SCF:IAC-06.2 nist-800-53-r4 ia-2-4 +SCF:IAC-06.2 nist-800-53-r5 ia-02-01 +SCF:IAC-06.2 nist-800-53-r5 ia-02-02 +SCF:IAC-06.2 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-06.2 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-06.2 nist-800-53b-r5-low ia-02-01 +SCF:IAC-06.2 nist-800-53b-r5-low ia-02-02 +SCF:IAC-06.2 nist-800-82-r3 ia-02-01 +SCF:IAC-06.2 nist-800-82-r3 ia-02-02 +SCF:IAC-06.2 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-06.2 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-06.2 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-06.2 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-06.2 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-06.2 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-06.2 nist-800-171-r2 _3.5.3 +SCF:IAC-06.2 nist-800-171-r3 _03.05.03 +SCF:IAC-06.2 nist-800-171a _3.5.3-d +SCF:IAC-06.2 owasp-top-10-2025 a07-2025 +SCF:IAC-06.2 pci-dss-4.0.1 _8.4.2 +SCF:IAC-06.2 pci-dss-4.0.1 _8.4.3 +SCF:IAC-06.2 pci-dss-4.0.1-saq-a-ep _8.4.2 +SCF:IAC-06.2 pci-dss-4.0.1-saq-a-ep _8.4.3 +SCF:IAC-06.2 pci-dss-4.0.1-saq-b-ip _8.4.3 +SCF:IAC-06.2 pci-dss-4.0.1-saq-c _8.4.2 +SCF:IAC-06.2 pci-dss-4.0.1-saq-c _8.4.3 +SCF:IAC-06.2 pci-dss-4.0.1-saq-d-merchant _8.4.2 +SCF:IAC-06.2 pci-dss-4.0.1-saq-d-merchant _8.4.3 +SCF:IAC-06.2 pci-dss-4.0.1-saq-d-service-provider _8.4.2 +SCF:IAC-06.2 pci-dss-4.0.1-saq-d-service-provider _8.4.3 +SCF:IAC-06.3 nist-csf-function-grouping protect +SCF:IAC-06.3 nist-800-53-r4 ia-2-3 +SCF:IAC-06.3 nist-800-53-r5 ia-02-01 +SCF:IAC-06.3 nist-800-53-r5 ia-02-02 +SCF:IAC-06.3 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-06.3 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-06.3 nist-800-53b-r5-low ia-02-01 +SCF:IAC-06.3 nist-800-53b-r5-low ia-02-02 +SCF:IAC-06.3 nist-800-82-r3 ia-02-01 +SCF:IAC-06.3 nist-800-82-r3 ia-02-02 +SCF:IAC-06.3 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-06.3 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-06.3 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-06.3 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-06.3 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-06.3 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-06.3 nist-800-171-r2 _3.5.3 +SCF:IAC-06.3 nist-800-171-r3 _03.05.03 +SCF:IAC-06.3 nist-800-171a _3.5.3-a +SCF:IAC-06.3 nist-800-171a _3.5.3-b +SCF:IAC-06.3 owasp-top-10-2025 a07-2025 +SCF:IAC-06.3 pci-dss-4.0.1 _8.4.2 +SCF:IAC-06.3 pci-dss-4.0.1-saq-a-ep _8.4.2 +SCF:IAC-06.3 pci-dss-4.0.1-saq-c _8.4.2 +SCF:IAC-06.3 pci-dss-4.0.1-saq-d-merchant _8.4.2 +SCF:IAC-06.3 pci-dss-4.0.1-saq-d-service-provider _8.4.2 +SCF:IAC-06.4 nist-csf-function-grouping protect +SCF:IAC-06.4 nist-800-53-r4 ia-2-6 +SCF:IAC-06.4 nist-800-53-r4 ia-2-11 +SCF:IAC-06.4 nist-800-53-r5 ia-02-01 +SCF:IAC-06.4 nist-800-53-r5 ia-02-02 +SCF:IAC-06.4 nist-800-53-r5 ia-02-06 +SCF:IAC-06.4 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-06.4 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-06.4 nist-800-53b-r5-low ia-02-01 +SCF:IAC-06.4 nist-800-53b-r5-low ia-02-02 +SCF:IAC-06.4 nist-800-82-r3 ia-02-01 +SCF:IAC-06.4 nist-800-82-r3 ia-02-02 +SCF:IAC-06.4 nist-800-82-r3 ia-02-06 +SCF:IAC-06.4 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-06.4 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-06.4 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-06.4 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-06.4 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-06.4 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-06.4 nist-800-160-vol2-r1 ia-02-06 +SCF:IAC-06.4 nist-800-171a-r3 a.03.05.03-01 +SCF:IAC-06.4 nist-800-171a-r3 a.03.05.03-02 +SCF:IAC-06.4 pci-dss-4.0.1 _8.4.2 +SCF:IAC-06.4 pci-dss-4.0.1-saq-a-ep _8.4.2 +SCF:IAC-06.4 pci-dss-4.0.1-saq-c _8.4.2 +SCF:IAC-06.4 pci-dss-4.0.1-saq-d-merchant _8.4.2 +SCF:IAC-06.4 pci-dss-4.0.1-saq-d-service-provider _8.4.2 +SCF:IAC-06.5 nist-csf-function-grouping protect +SCF:IAC-07 nist-csf-function-grouping protect +SCF:IAC-07 cis-csc-8.1 _6.1 +SCF:IAC-07 cis-csc-8.1 _6.2 +SCF:IAC-07 cis-csc-8.1-ig1 _6.1 +SCF:IAC-07 cis-csc-8.1-ig1 _6.2 +SCF:IAC-07 cis-csc-8.1-ig2 _6.1 +SCF:IAC-07 cis-csc-8.1-ig2 _6.2 +SCF:IAC-07 cis-csc-8.1-ig3 _6.1 +SCF:IAC-07 cis-csc-8.1-ig3 _6.2 +SCF:IAC-07 csa-ccm-4.1.0 iam-06 +SCF:IAC-07 csa-ccm-4.1.0 iam-07 +SCF:IAC-07 csa-iot-scf-2 iam-08 +SCF:IAC-07 iec-62443-2-1-2024 user-1.2 +SCF:IAC-07 iso-27002-2022 _5.16 +SCF:IAC-07 iso-27002-2022 _5.18 +SCF:IAC-07 iso-27017-2015 _9.2.1 +SCF:IAC-07 iso-27017-2015 _9.2.2 +SCF:IAC-07 iso-27018-2025 _5.16 +SCF:IAC-07 iso-27018-2025 _5.18 +SCF:IAC-07 nist-800-53-r4 ia-5-3 +SCF:IAC-07 nist-800-53-r5 ia-12-04 +SCF:IAC-07 nist-800-53b-r5-privacy ia-12-04 +SCF:IAC-07 nist-800-53b-r5-high ia-12-04 +SCF:IAC-07 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-07 nist-800-82-r3 ia-12-04 +SCF:IAC-07 nist-800-82-r3-high-ot-overlay ia-12-04 +SCF:IAC-07 nist-800-171-r3 _03.01.01.g.01 +SCF:IAC-07 nist-800-171-r3 _03.01.01.g.02 +SCF:IAC-07 nist-800-171-r3 _03.01.01.g.03 +SCF:IAC-07 nist-800-171-r3 _03.05.05.a +SCF:IAC-07 nist-800-171-r3 _03.09.02.a.01 +SCF:IAC-07 nist-800-171-r3 _03.09.02.a.02 +SCF:IAC-07 nist-800-171a-r3 a.03.01.01.b-01 +SCF:IAC-07 nist-800-171a-r3 a.03.01.01.b-02 +SCF:IAC-07 nist-800-171a-r3 a.03.01.01.b-03 +SCF:IAC-07 nist-800-171a-r3 a.03.01.01.b-04 +SCF:IAC-07 nist-800-171a-r3 a.03.01.01.b-05 +SCF:IAC-07 nist-800-171a-r3 a.03.05.05.a +SCF:IAC-07 owasp-top-10-2025 a01-2025 +SCF:IAC-07 pci-dss-4.0.1 _7.2.3 +SCF:IAC-07 pci-dss-4.0.1 _8.2.4 +SCF:IAC-07 pci-dss-4.0.1 _8.3.5 +SCF:IAC-07 pci-dss-4.0.1-saq-a _8.3.5 +SCF:IAC-07 pci-dss-4.0.1-saq-a-ep _7.2.3 +SCF:IAC-07 pci-dss-4.0.1-saq-a-ep _8.2.4 +SCF:IAC-07 pci-dss-4.0.1-saq-a-ep _8.3.5 +SCF:IAC-07 pci-dss-4.0.1-saq-c _7.2.3 +SCF:IAC-07 pci-dss-4.0.1-saq-c _8.2.4 +SCF:IAC-07 pci-dss-4.0.1-saq-c _8.3.5 +SCF:IAC-07 pci-dss-4.0.1-saq-c-vt _8.2.4 +SCF:IAC-07 pci-dss-4.0.1-saq-d-merchant _7.2.3 +SCF:IAC-07 pci-dss-4.0.1-saq-d-merchant _8.2.4 +SCF:IAC-07 pci-dss-4.0.1-saq-d-merchant _8.3.5 +SCF:IAC-07 pci-dss-4.0.1-saq-d-service-provider _7.2.3 +SCF:IAC-07 pci-dss-4.0.1-saq-d-service-provider _8.2.4 +SCF:IAC-07 pci-dss-4.0.1-saq-d-service-provider _8.3.5 +SCF:IAC-07.1 nist-csf-function-grouping protect +SCF:IAC-07.1 cobit-2019 dss06.03 +SCF:IAC-07.1 csa-ccm-4.1.0 iam-07 +SCF:IAC-07.1 iso-27002-2022 _5.18 +SCF:IAC-07.1 iso-27017-2015 _9.2.5 +SCF:IAC-07.1 iso-27018-2025 _5.18 +SCF:IAC-07.1 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-07.1 nist-800-171-r3 _03.01.01.g.01 +SCF:IAC-07.1 nist-800-171-r3 _03.01.01.g.02 +SCF:IAC-07.1 nist-800-171-r3 _03.01.01.g.03 +SCF:IAC-07.1 nist-800-171-r3 _03.05.05.a +SCF:IAC-07.1 nist-800-171-r3 _03.09.02.b.02 +SCF:IAC-07.1 owasp-top-10-2025 a01-2025 +SCF:IAC-07.1 pci-dss-4.0.1 _7.2.3 +SCF:IAC-07.1 pci-dss-4.0.1 _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1 _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-a _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-a-ep _7.2.3 +SCF:IAC-07.1 pci-dss-4.0.1-saq-a-ep _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1-saq-a-ep _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-c _7.2.3 +SCF:IAC-07.1 pci-dss-4.0.1-saq-c _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1-saq-c _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-c-vt _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1-saq-c-vt _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-merchant _7.2.3 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-merchant _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-merchant _8.2.5 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-service-provider _7.2.3 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-service-provider _8.2.4 +SCF:IAC-07.1 pci-dss-4.0.1-saq-d-service-provider _8.2.5 +SCF:IAC-07.2 nist-csf-function-grouping protect +SCF:IAC-07.2 csa-ccm-4.1.0 iam-07 +SCF:IAC-07.2 iso-27002-2022 _5.18 +SCF:IAC-07.2 iso-27017-2015 _9.2.5 +SCF:IAC-07.2 iso-27018-2025 _5.18 +SCF:IAC-07.2 nist-800-53-r4 ac-2-10 +SCF:IAC-07.2 nist-800-53-r5 ac-02 +SCF:IAC-07.2 nist-800-53b-r5-privacy ac-02 +SCF:IAC-07.2 nist-800-53b-r5-low ac-02 +SCF:IAC-07.2 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-07.2 nist-800-82-r3 ac-02 +SCF:IAC-07.2 nist-800-82-r3-low-ot-overlay ac-02 +SCF:IAC-07.2 nist-800-82-r3-moderate-ot-overlay ac-02 +SCF:IAC-07.2 nist-800-82-r3-high-ot-overlay ac-02 +SCF:IAC-07.2 nist-800-161-r1 ac-2 +SCF:IAC-07.2 nist-800-161-r1-c-scrm-baseline ac-2 +SCF:IAC-07.2 nist-800-161-r1-flow-down ac-2 +SCF:IAC-07.2 nist-800-161-r1-level-2 ac-2 +SCF:IAC-07.2 nist-800-161-r1-level-3 ac-2 +SCF:IAC-07.2 nist-800-171-r3 _03.09.02.a.01 +SCF:IAC-07.2 nist-800-171-r3 _03.09.02.a.02 +SCF:IAC-07.2 owasp-top-10-2025 a01-2025 +SCF:IAC-07.2 pci-dss-4.0.1 _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1 _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-a _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-a-ep _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1-saq-a-ep _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-c _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1-saq-c _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-c-vt _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1-saq-c-vt _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-d-merchant _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1-saq-d-merchant _8.2.5 +SCF:IAC-07.2 pci-dss-4.0.1-saq-d-service-provider _8.2.4 +SCF:IAC-07.2 pci-dss-4.0.1-saq-d-service-provider _8.2.5 +SCF:IAC-08 nist-csf-function-grouping protect +SCF:IAC-08 cis-csc-8.1 _3.3 +SCF:IAC-08 cis-csc-8.1 _6.0 +SCF:IAC-08 cis-csc-8.1 _6.8 +SCF:IAC-08 cis-csc-8.1-ig1 _3.3 +SCF:IAC-08 cis-csc-8.1-ig2 _3.3 +SCF:IAC-08 cis-csc-8.1-ig3 _3.3 +SCF:IAC-08 cis-csc-8.1-ig3 _6.8 +SCF:IAC-08 cobit-2019 dss05.04 +SCF:IAC-08 csa-ccm-4.1.0 iam-09 +SCF:IAC-08 csa-ccm-4.1.0 iam-10 +SCF:IAC-08 csa-iot-scf-2 iam-16 +SCF:IAC-08 csa-iot-scf-2 mon-04 +SCF:IAC-08 iec-62443-2-1-2024 user-1.5 +SCF:IAC-08 iec-62443-3-3-2013 sr-2.1-re-2 +SCF:IAC-08 iec-62443-4-2-2019 cr-2.1 +SCF:IAC-08 iec-62443-4-2-2019 cr-2.1-1 +SCF:IAC-08 iec-62443-4-2-2019 cr-2.1-2 +SCF:IAC-08 iso-27002-2022 _5.15 +SCF:IAC-08 iso-27002-2022 _8.3 +SCF:IAC-08 iso-27017-2015 _9.1.1 +SCF:IAC-08 iso-27017-2015 _9.1.2 +SCF:IAC-08 iso-27018-2025 _5.15 +SCF:IAC-08 iso-27018-2025 _8.3 +SCF:IAC-08 nist-800-53-r4 ac-2-7 +SCF:IAC-08 nist-800-53-r5 ac-02-07 +SCF:IAC-08 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-08 nist-sp-800-66-r2 _164.308-a-4 +SCF:IAC-08 nist-sp-800-66-r2 _164.312-a +SCF:IAC-08 nist-800-82-r3 ac-02-07 +SCF:IAC-08 nist-800-171-r2 _3.1.1 +SCF:IAC-08 nist-800-171-r2 _3.1.2 +SCF:IAC-08 nist-800-171-r2 _3.1.3 +SCF:IAC-08 nist-800-171-r3 _03.01.01.c.01 +SCF:IAC-08 nist-800-171-r3 _03.01.01.c.02 +SCF:IAC-08 nist-800-171-r3 _03.01.01.c.03 +SCF:IAC-08 nist-800-171-r3 _03.01.02 +SCF:IAC-08 nist-800-171-r3 _03.01.05.b +SCF:IAC-08 nist-800-171-r3 _03.01.06.a +SCF:IAC-08 nist-800-171-r3 _03.01.12.a +SCF:IAC-08 nist-800-171-r3 _03.03.08.b +SCF:IAC-08 nist-800-171-r3 _03.04.05 +SCF:IAC-08 nist-800-171-r3 _03.06.05.d +SCF:IAC-08 nist-800-171-r3 _03.07.06.a +SCF:IAC-08 nist-800-171a _3.1.3-c +SCF:IAC-08 nist-800-171a-r3 a.03.01.01.c.02 +SCF:IAC-08 nist-800-171a-r3 a.03.01.01.c.03 +SCF:IAC-08 nist-800-171a-r3 a.03.01.05.odp-01 +SCF:IAC-08 nist-800-171a-r3 a.03.01.05.odp-02 +SCF:IAC-08 nist-800-171a-r3 a.03.01.05.b-01 +SCF:IAC-08 nist-800-171a-r3 a.03.01.05.b-02 +SCF:IAC-08 nist-800-171a-r3 a.03.04.05-04 +SCF:IAC-08 nist-800-171a-r3 a.03.06.05.d +SCF:IAC-08 nist-800-172 _3.1.2e +SCF:IAC-08 nist-800-207 nist-tenet-3 +SCF:IAC-08 nist-800-207 nist-tenet-4 +SCF:IAC-08 nist-csf-2.0 pr.aa-05 +SCF:IAC-08 owasp-top-10-2025 a01-2025 +SCF:IAC-08 pci-dss-4.0.1 _1.3 +SCF:IAC-08 pci-dss-4.0.1 _7.1 +SCF:IAC-08 pci-dss-4.0.1 _7.2 +SCF:IAC-08 pci-dss-4.0.1 _7.2.1 +SCF:IAC-08 pci-dss-4.0.1 _7.2.2 +SCF:IAC-08 pci-dss-4.0.1 _7.2.5 +SCF:IAC-08 pci-dss-4.0.1 _7.3 +SCF:IAC-08 pci-dss-4.0.1 _7.3.1 +SCF:IAC-08 pci-dss-4.0.1 _7.3.2 +SCF:IAC-08 pci-dss-4.0.1 _7.3.3 +SCF:IAC-08 pci-dss-4.0.1-saq-a-ep _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-a-ep _7.2.5 +SCF:IAC-08 pci-dss-4.0.1-saq-b _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-b-ip _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-c _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-c _7.2.5 +SCF:IAC-08 pci-dss-4.0.1-saq-c-vt _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.2.5 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.3.1 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.3.2 +SCF:IAC-08 pci-dss-4.0.1-saq-d-merchant _7.3.3 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.2.2 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.2.5 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.3.1 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.3.2 +SCF:IAC-08 pci-dss-4.0.1-saq-d-service-provider _7.3.3 +SCF:IAC-09 nist-csf-function-grouping protect +SCF:IAC-09 cis-csc-8.1 _5.6 +SCF:IAC-09 cis-csc-8.1-ig2 _5.6 +SCF:IAC-09 cis-csc-8.1-ig3 _5.6 +SCF:IAC-09 csa-ccm-4.1.0 iam-12 +SCF:IAC-09 iec-62443-3-3-2013 sr-1.4 +SCF:IAC-09 iec-62443-4-2-2019 cr-1.4 +SCF:IAC-09 iso-27002-2022 _5.16 +SCF:IAC-09 iso-27018-2025 _5.16 +SCF:IAC-09 nist-800-53-r4 ia-4 +SCF:IAC-09 nist-800-53-r5 ia-04 +SCF:IAC-09 nist-800-53b-r5-privacy ia-04 +SCF:IAC-09 nist-800-53b-r5-low ia-04 +SCF:IAC-09 nist-sp-800-66-r2 _164.312-a +SCF:IAC-09 nist-800-82-r3 ia-04 +SCF:IAC-09 nist-800-82-r3-low-ot-overlay ia-04 +SCF:IAC-09 nist-800-82-r3-moderate-ot-overlay ia-04 +SCF:IAC-09 nist-800-82-r3-high-ot-overlay ia-04 +SCF:IAC-09 nist-800-161-r1 ia-4 +SCF:IAC-09 nist-800-161-r1-c-scrm-baseline ia-4 +SCF:IAC-09 nist-800-161-r1-flow-down ia-4 +SCF:IAC-09 nist-800-161-r1-level-2 ia-4 +SCF:IAC-09 nist-800-161-r1-level-3 ia-4 +SCF:IAC-09 nist-800-171-r2 _3.5.5 +SCF:IAC-09 nist-800-171-r3 _03.05.05.b +SCF:IAC-09 nist-800-171-r3 _03.05.05.c +SCF:IAC-09 nist-800-171-r3 _03.05.05.d +SCF:IAC-09 nist-800-171a _3.5.5-a +SCF:IAC-09 nist-800-171a _3.5.5-b +SCF:IAC-09 nist-800-171a-r3 a.03.05.05.odp-01 +SCF:IAC-09 nist-800-171a-r3 a.03.05.05.b-01 +SCF:IAC-09 nist-800-171a-r3 a.03.05.05.b-02 +SCF:IAC-09 nist-800-171a-r3 a.03.05.05.c +SCF:IAC-09 nist-800-207 nist-tenet-4 +SCF:IAC-09 owasp-top-10-2025 a01-2025 +SCF:IAC-09 owasp-top-10-2025 a07-2025 +SCF:IAC-09 pci-dss-4.0.1 _8.2 +SCF:IAC-09 pci-dss-4.0.1 _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-a _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-a-ep _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-c _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-c-vt _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-d-merchant _8.2.1 +SCF:IAC-09 pci-dss-4.0.1-saq-d-service-provider _8.2.1 +SCF:IAC-09.1 nist-csf-function-grouping protect +SCF:IAC-09.1 iec-62443-3-3-2013 sr-1.4 +SCF:IAC-09.1 iec-62443-4-2-2019 cr-1.4 +SCF:IAC-09.1 iso-27002-2022 _5.16 +SCF:IAC-09.1 iso-27018-2025 _5.16 +SCF:IAC-09.1 nist-800-53-r4 ia-4-4 +SCF:IAC-09.1 nist-800-53-r5 ia-04-04 +SCF:IAC-09.1 nist-800-53b-r5-privacy ia-04-04 +SCF:IAC-09.1 nist-800-53b-r5-moderate ia-04-04 +SCF:IAC-09.1 nist-800-82-r3 ia-04-04 +SCF:IAC-09.1 nist-800-82-r3-moderate-ot-overlay ia-04-04 +SCF:IAC-09.1 nist-800-82-r3-high-ot-overlay ia-04-04 +SCF:IAC-09.1 nist-800-171-r3 _03.05.05.b +SCF:IAC-09.1 owasp-top-10-2025 a01-2025 +SCF:IAC-09.1 pci-dss-4.0.1 _8.2 +SCF:IAC-09.1 pci-dss-4.0.1 _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-a _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-a-ep _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-c _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-c-vt _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-d-merchant _8.2.1 +SCF:IAC-09.1 pci-dss-4.0.1-saq-d-service-provider _8.2.1 +SCF:IAC-09.2 nist-csf-function-grouping protect +SCF:IAC-09.2 nist-800-53-r4 ia-4-4 +SCF:IAC-09.2 nist-800-53-r5 ia-04-04 +SCF:IAC-09.2 nist-800-53b-r5-privacy ia-04-04 +SCF:IAC-09.2 nist-800-53b-r5-moderate ia-04-04 +SCF:IAC-09.2 nist-800-82-r3 ia-04-04 +SCF:IAC-09.2 nist-800-82-r3-moderate-ot-overlay ia-04-04 +SCF:IAC-09.2 nist-800-82-r3-high-ot-overlay ia-04-04 +SCF:IAC-09.2 nist-800-171-r3 _03.05.05.d +SCF:IAC-09.2 nist-800-171a-r3 a.03.05.05.odp-02 +SCF:IAC-09.2 nist-800-171a-r3 a.03.05.05.d +SCF:IAC-09.2 owasp-top-10-2025 a01-2025 +SCF:IAC-09.3 nist-csf-function-grouping protect +SCF:IAC-09.3 nist-800-53-r4 ia-4-5 +SCF:IAC-09.3 nist-800-53-r4 ia-5-2 +SCF:IAC-09.3 nist-800-53-r4 ia-5-10 +SCF:IAC-09.3 nist-800-53-r5 ia-04-05 +SCF:IAC-09.3 nist-800-53-r5 ia-05-10 +SCF:IAC-09.3 nist-800-82-r3 ia-04-05 +SCF:IAC-09.3 nist-800-82-r3 ia-05-10 +SCF:IAC-09.3 owasp-top-10-2025 a01-2025 +SCF:IAC-09.4 nist-csf-function-grouping protect +SCF:IAC-09.4 iso-27002-2022 _5.16 +SCF:IAC-09.4 iso-27018-2025 _5.16 +SCF:IAC-09.4 nist-800-53-r4 ia-4-6 +SCF:IAC-09.4 nist-800-53-r5 ia-04-06 +SCF:IAC-09.4 nist-800-82-r3 ia-04-06 +SCF:IAC-09.4 nist-800-161-r1 ia-4-6 +SCF:IAC-09.4 nist-800-161-r1-level-1 ia-4-6 +SCF:IAC-09.4 nist-800-161-r1-level-2 ia-4-6 +SCF:IAC-09.4 nist-800-161-r1-level-3 ia-4-6 +SCF:IAC-09.5 nist-csf-function-grouping protect +SCF:IAC-09.5 csa-ccm-4.1.0 iam-09 +SCF:IAC-09.5 csa-ccm-4.1.0 iam-10 +SCF:IAC-09.5 csa-ccm-4.1.0 iam-11 +SCF:IAC-09.5 nist-800-53-r4 ia-5-8 +SCF:IAC-09.5 nist-800-53-r5 ia-05-08 +SCF:IAC-09.5 nist-800-53b-r5-privacy ia-05-08 +SCF:IAC-09.5 nist-800-82-r3 ia-05-08 +SCF:IAC-09.5 nist-800-171-r3 _03.01.07.b +SCF:IAC-09.5 nist-800-171-r3 _03.05.05.d +SCF:IAC-09.5 nist-800-171a _3.1.5-a +SCF:IAC-09.5 owasp-top-10-2025 a01-2025 +SCF:IAC-09.6 nist-csf-function-grouping protect +SCF:IAC-09.6 nist-privacy-framework-1.0 ct.dp-p3 +SCF:IAC-09.6 nist-privacy-framework-1.0 ct.dp-p5 +SCF:IAC-09.6 nist-800-53-r4 dm-3-1 +SCF:IAC-09.6 nist-800-53-r5 ia-04-08 +SCF:IAC-09.6 nist-800-82-r3 ia-04-08 +SCF:IAC-09.6 owasp-top-10-2025 a01-2025 +SCF:IAC-10 nist-csf-function-grouping protect +SCF:IAC-10 cis-csc-8.1 _5.2 +SCF:IAC-10 cis-csc-8.1-ig1 _5.2 +SCF:IAC-10 cis-csc-8.1-ig2 _5.2 +SCF:IAC-10 cis-csc-8.1-ig3 _5.2 +SCF:IAC-10 csa-ccm-4.1.0 iam-14 +SCF:IAC-10 csa-ccm-4.1.0 iam-15 +SCF:IAC-10 csa-iot-scf-2 iam-18 +SCF:IAC-10 csa-iot-scf-2 iam-21 +SCF:IAC-10 iec-62443-2-1-2024 user-1.11 +SCF:IAC-10 iec-62443-4-2-2019 cr-1.5 +SCF:IAC-10 iec-62443-4-2-2019 cr-1.9 +SCF:IAC-10 iso-27002-2022 _5.17 +SCF:IAC-10 iso-27002-2022 _5.18 +SCF:IAC-10 iso-27017-2015 _9.2.4 +SCF:IAC-10 iso-27017-2015 _9.4.3 +SCF:IAC-10 iso-27018-2025 _5.17 +SCF:IAC-10 iso-27018-2025 _5.18 +SCF:IAC-10 nist-800-53-r4 ia-5 +SCF:IAC-10 nist-800-53-r4 ia-5-4 +SCF:IAC-10 nist-800-53-r5 ia-05 +SCF:IAC-10 nist-800-53-r5 ia-05-01 +SCF:IAC-10 nist-800-53b-r5-privacy ia-05 +SCF:IAC-10 nist-800-53b-r5-privacy ia-05-01 +SCF:IAC-10 nist-800-53b-r5-low ia-05 +SCF:IAC-10 nist-800-53b-r5-low ia-05-01 +SCF:IAC-10 nist-800-82-r3 ia-05 +SCF:IAC-10 nist-800-82-r3 ia-05-01 +SCF:IAC-10 nist-800-82-r3-low-ot-overlay ia-05 +SCF:IAC-10 nist-800-82-r3-low-ot-overlay ia-05-01 +SCF:IAC-10 nist-800-82-r3-moderate-ot-overlay ia-05 +SCF:IAC-10 nist-800-82-r3-moderate-ot-overlay ia-05-01 +SCF:IAC-10 nist-800-82-r3-high-ot-overlay ia-05 +SCF:IAC-10 nist-800-82-r3-high-ot-overlay ia-05-01 +SCF:IAC-10 nist-800-161-r1 ia-5 +SCF:IAC-10 nist-800-161-r1-c-scrm-baseline ia-5 +SCF:IAC-10 nist-800-161-r1-flow-down ia-5 +SCF:IAC-10 nist-800-161-r1-level-2 ia-5 +SCF:IAC-10 nist-800-161-r1-level-3 ia-5 +SCF:IAC-10 nist-800-171-r2 _3.5.8 +SCF:IAC-10 nist-800-171-r2 _3.5.9 +SCF:IAC-10 nist-800-171-r3 _03.05.07.a +SCF:IAC-10 nist-800-171-r3 _03.05.07.b +SCF:IAC-10 nist-800-171-r3 _03.05.07.c +SCF:IAC-10 nist-800-171-r3 _03.05.07.d +SCF:IAC-10 nist-800-171-r3 _03.05.07.e +SCF:IAC-10 nist-800-171-r3 _03.05.07.f +SCF:IAC-10 nist-800-171-r3 _03.05.12.a +SCF:IAC-10 nist-800-171-r3 _03.05.12.b +SCF:IAC-10 nist-800-171-r3 _03.05.12.c +SCF:IAC-10 nist-800-171-r3 _03.05.12.d +SCF:IAC-10 nist-800-171-r3 _03.05.12.e +SCF:IAC-10 nist-800-171-r3 _03.05.12.f +SCF:IAC-10 nist-800-171a _3.5.8-a +SCF:IAC-10 nist-800-171a _3.5.8-b +SCF:IAC-10 nist-800-171a _3.5.9 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.odp-01 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.odp-02 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.a +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.b +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-01 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-02 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-03 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-04 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-05 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.c-06 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.d +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.e +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.f-01 +SCF:IAC-10 nist-800-171a-r3 a.03.05.12.f-02 +SCF:IAC-10 pci-dss-4.0.1 _8.2.4 +SCF:IAC-10 pci-dss-4.0.1 _8.3 +SCF:IAC-10 pci-dss-4.0.1 _8.3.1 +SCF:IAC-10 pci-dss-4.0.1 _8.3.3 +SCF:IAC-10 pci-dss-4.0.1 _8.3.5 +SCF:IAC-10 pci-dss-4.0.1 _8.3.7 +SCF:IAC-10 pci-dss-4.0.1 _8.3.9 +SCF:IAC-10 pci-dss-4.0.1 _8.3.10.1 +SCF:IAC-10 pci-dss-4.0.1 _8.3.11 +SCF:IAC-10 pci-dss-4.0.1 _8.6.3 +SCF:IAC-10 pci-dss-4.0.1-saq-a _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-a _8.3.5 +SCF:IAC-10 pci-dss-4.0.1-saq-a _8.3.7 +SCF:IAC-10 pci-dss-4.0.1-saq-a _8.3.9 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.2.4 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.3 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.5 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.7 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.9 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:IAC-10 pci-dss-4.0.1-saq-a-ep _8.6.3 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.2.4 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.3.3 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.3.5 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.3.7 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.3.9 +SCF:IAC-10 pci-dss-4.0.1-saq-c _8.6.3 +SCF:IAC-10 pci-dss-4.0.1-saq-c-vt _8.2.4 +SCF:IAC-10 pci-dss-4.0.1-saq-c-vt _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.2.4 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.3 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.5 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.7 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.9 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:IAC-10 pci-dss-4.0.1-saq-d-merchant _8.6.3 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.2.4 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.1 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.3 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.5 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.7 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.9 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.10.1 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:IAC-10 pci-dss-4.0.1-saq-d-service-provider _8.6.3 +SCF:IAC-10.1 nist-csf-function-grouping protect +SCF:IAC-10.1 cis-csc-8.1 _5.2 +SCF:IAC-10.1 cis-csc-8.1-ig1 _5.2 +SCF:IAC-10.1 cis-csc-8.1-ig2 _5.2 +SCF:IAC-10.1 cis-csc-8.1-ig3 _5.2 +SCF:IAC-10.1 csa-ccm-4.1.0 iam-13 +SCF:IAC-10.1 csa-ccm-4.1.0 iam-14 +SCF:IAC-10.1 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.1 csa-iot-scf-2 iam-18 +SCF:IAC-10.1 csa-iot-scf-2 iam-19 +SCF:IAC-10.1 csa-iot-scf-2 iam-21 +SCF:IAC-10.1 iec-62443-2-1-2024 user-1.11 +SCF:IAC-10.1 iec-62443-3-3-2013 sr-1.7 +SCF:IAC-10.1 iec-62443-3-3-2013 sr-1.7-re-1 +SCF:IAC-10.1 iec-62443-3-3-2013 sr-1.7-re-2 +SCF:IAC-10.1 iec-62443-4-2-2019 cr-1.5-c +SCF:IAC-10.1 iec-62443-4-2-2019 cr-1.7 +SCF:IAC-10.1 iec-62443-4-2-2019 cr-1.7-1 +SCF:IAC-10.1 iec-62443-4-2-2019 cr-1.7-2 +SCF:IAC-10.1 iso-27002-2022 _5.17 +SCF:IAC-10.1 iso-27017-2015 _9.2.4 +SCF:IAC-10.1 iso-27017-2015 _9.4.3 +SCF:IAC-10.1 iso-27018-2025 _5.17 +SCF:IAC-10.1 nist-800-53-r4 ia-5-1 +SCF:IAC-10.1 nist-800-53-r5 ia-05-01 +SCF:IAC-10.1 nist-800-53b-r5-privacy ia-05-01 +SCF:IAC-10.1 nist-800-53b-r5-low ia-05-01 +SCF:IAC-10.1 nist-800-82-r3 ia-05-01 +SCF:IAC-10.1 nist-800-82-r3-low-ot-overlay ia-05-01 +SCF:IAC-10.1 nist-800-82-r3-moderate-ot-overlay ia-05-01 +SCF:IAC-10.1 nist-800-82-r3-high-ot-overlay ia-05-01 +SCF:IAC-10.1 nist-800-171-r2 _3.5.7 +SCF:IAC-10.1 nist-800-171-r3 _03.05.07.e +SCF:IAC-10.1 nist-800-171-r3 _03.05.07.f +SCF:IAC-10.1 nist-800-171-r3 _03.05.12.b +SCF:IAC-10.1 nist-800-171-r3 _03.05.12.c +SCF:IAC-10.1 nist-800-171-r3 _03.05.12.d +SCF:IAC-10.1 nist-800-171-r3 _03.05.12.e +SCF:IAC-10.1 nist-800-171-r3 _03.05.12.f +SCF:IAC-10.1 nist-800-171a _3.5.7-a +SCF:IAC-10.1 nist-800-171a _3.5.7-b +SCF:IAC-10.1 nist-800-171a _3.5.7-c +SCF:IAC-10.1 nist-800-171a _3.5.7-d +SCF:IAC-10.1 nist-800-171a-r3 a.03.05.07.odp-02 +SCF:IAC-10.1 nist-800-171a-r3 a.03.05.07.f +SCF:IAC-10.1 owasp-top-10-2025 a07-2025 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.3 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1 _8.3.10.1 +SCF:IAC-10.1 pci-dss-4.0.1 _8.6.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1-saq-a-ep _8.6.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c _8.6.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c-vt _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-c-vt _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-merchant _8.6.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.3 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.5 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.6 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.7 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.9 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.3.10.1 +SCF:IAC-10.1 pci-dss-4.0.1-saq-d-service-provider _8.6.3 +SCF:IAC-10.2 nist-csf-function-grouping protect +SCF:IAC-10.2 csa-ccm-4.1.0 iam-13 +SCF:IAC-10.2 csa-ccm-4.1.0 iam-14 +SCF:IAC-10.2 csa-iot-scf-2 cls-01 +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.8 +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.9-a +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.9-b +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.9-c +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.9-d +SCF:IAC-10.2 iec-62443-3-3-2013 sr-1.9-e +SCF:IAC-10.2 iec-62443-4-2-2019 cr-1.9-a +SCF:IAC-10.2 iec-62443-4-2-2019 cr-1.9-b +SCF:IAC-10.2 iec-62443-4-2-2019 cr-1.9-c +SCF:IAC-10.2 nist-800-53-r4 ia-5-2 +SCF:IAC-10.2 nist-800-53-r5 ia-05-02 +SCF:IAC-10.2 nist-800-53b-r5-privacy ia-05-02 +SCF:IAC-10.2 nist-800-53b-r5-moderate ia-05-02 +SCF:IAC-10.2 nist-800-82-r3 ia-05-02 +SCF:IAC-10.2 nist-800-82-r3-moderate-ot-overlay ia-05-02 +SCF:IAC-10.2 nist-800-82-r3-high-ot-overlay ia-05-02 +SCF:IAC-10.2 owasp-top-10-2025 a07-2025 +SCF:IAC-10.2 pci-dss-4.0.1 _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1 _8.3.11 +SCF:IAC-10.2 pci-dss-4.0.1-saq-a _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-a-ep _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:IAC-10.2 pci-dss-4.0.1-saq-c _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-c-vt _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-d-merchant _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:IAC-13.1 cis-csc-8.1-ig2 _6.7 +SCF:IAC-10.2 pci-dss-4.0.1-saq-d-service-provider _8.3.1 +SCF:IAC-10.2 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:IAC-10.3 nist-csf-function-grouping protect +SCF:IAC-10.3 nist-800-53-r4 ia-5-3 +SCF:IAC-10.3 nist-800-53-r5 ia-12-04 +SCF:IAC-10.3 nist-800-53b-r5-privacy ia-12-04 +SCF:IAC-10.3 nist-800-53b-r5-high ia-12-04 +SCF:IAC-10.3 nist-800-82-r3 ia-12-04 +SCF:IAC-10.3 nist-800-82-r3-high-ot-overlay ia-12-04 +SCF:IAC-10.3 nist-800-171-r3 _03.05.12.a +SCF:IAC-10.4 nist-csf-function-grouping protect +SCF:IAC-10.4 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.4 nist-800-53-r4 ia-5-4 +SCF:IAC-10.4 nist-800-53-r5 ia-05-01 +SCF:IAC-10.4 nist-800-53b-r5-privacy ia-05-01 +SCF:IAC-10.4 nist-800-53b-r5-low ia-05-01 +SCF:IAC-10.4 nist-800-82-r3 ia-05-01 +SCF:IAC-10.4 nist-800-82-r3-low-ot-overlay ia-05-01 +SCF:IAC-10.4 nist-800-82-r3-moderate-ot-overlay ia-05-01 +SCF:IAC-10.4 nist-800-82-r3-high-ot-overlay ia-05-01 +SCF:IAC-10.4 nist-800-171-r3 _03.05.07.a +SCF:IAC-10.4 nist-800-171-r3 _03.05.07.b +SCF:IAC-10.4 nist-800-171a-r3 a.03.05.07.odp-01 +SCF:IAC-10.4 nist-800-171a-r3 a.03.05.07.a-01 +SCF:IAC-10.4 nist-800-171a-r3 a.03.05.07.a-02 +SCF:IAC-10.4 nist-800-171a-r3 a.03.05.07.a-03 +SCF:IAC-10.4 nist-800-171a-r3 a.03.05.07.b +SCF:IAC-10.4 owasp-top-10-2025 a07-2025 +SCF:IAC-10.5 nist-csf-function-grouping protect +SCF:IAC-10.5 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.5 iec-62443-4-2-2019 cr-1.5-d +SCF:IAC-10.5 iso-27002-2022 _5.17 +SCF:IAC-10.5 iso-27017-2015 _9.2.4 +SCF:IAC-10.5 iso-27017-2015 _9.3.1 +SCF:IAC-10.5 iso-27018-2025 _5.17 +SCF:IAC-10.5 nist-800-53-r4 ia-5-6 +SCF:IAC-10.5 nist-800-53-r5 ia-05-06 +SCF:IAC-10.5 nist-800-53b-r5-privacy ia-05-06 +SCF:IAC-10.5 nist-800-53b-r5-moderate ia-05-06 +SCF:IAC-10.5 nist-800-82-r3 ia-05-06 +SCF:IAC-10.5 nist-800-82-r3-moderate-ot-overlay ia-05-06 +SCF:IAC-10.5 nist-800-82-r3-high-ot-overlay ia-05-06 +SCF:IAC-10.5 nist-800-171-r2 _3.5.10 +SCF:IAC-10.5 nist-800-171-r3 _03.05.07.c +SCF:IAC-10.5 nist-800-171-r3 _03.05.07.d +SCF:IAC-10.5 nist-800-171-r3 _03.05.12.f +SCF:IAC-10.5 nist-800-171a _3.5.10-a +SCF:IAC-10.5 nist-800-171a _3.5.10-b +SCF:IAC-10.5 nist-800-171a-r3 a.03.05.07.c +SCF:IAC-10.5 nist-800-171a-r3 a.03.05.07.d +SCF:IAC-10.5 nist-800-171a-r3 a.03.05.12.f-01 +SCF:IAC-10.5 nist-800-171a-r3 a.03.05.12.f-02 +SCF:IAC-10.5 pci-dss-4.0.1 _8.3.11 +SCF:IAC-10.5 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:IAC-10.5 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:IAC-10.5 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:IAC-10.6 nist-csf-function-grouping protect +SCF:IAC-10.6 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.6 nist-800-53-r4 ia-5-7 +SCF:IAC-10.6 nist-800-53-r5 ia-05-07 +SCF:IAC-10.6 nist-800-82-r3 ia-05-07 +SCF:IAC-10.6 nist-800-171-r3 _03.05.07.d +SCF:IAC-10.6 owasp-top-10-2025 a07-2025 +SCF:IAC-10.6 pci-dss-4.0.1 _8.6.2 +SCF:IAC-10.6 pci-dss-4.0.1-saq-a-ep _8.6.2 +SCF:IAC-10.6 pci-dss-4.0.1-saq-c _8.6.2 +SCF:IAC-10.6 pci-dss-4.0.1-saq-d-merchant _8.6.2 +SCF:IAC-10.6 pci-dss-4.0.1-saq-d-service-provider _8.6.2 +SCF:IAC-10.7 nist-csf-function-grouping protect +SCF:IAC-10.7 nist-800-53-r4 ia-5-11 +SCF:IAC-10.7 nist-800-53-r5 ia-02-01 +SCF:IAC-10.7 nist-800-53-r5 ia-02-02 +SCF:IAC-10.7 nist-800-53b-r5-privacy ia-02-01 +SCF:IAC-10.7 nist-800-53b-r5-privacy ia-02-02 +SCF:IAC-10.7 nist-800-53b-r5-low ia-02-01 +SCF:IAC-10.7 nist-800-53b-r5-low ia-02-02 +SCF:IAC-10.7 nist-800-82-r3 ia-02-01 +SCF:IAC-10.7 nist-800-82-r3 ia-02-02 +SCF:IAC-10.7 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:IAC-10.7 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:IAC-10.7 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:IAC-10.7 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:IAC-10.7 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:IAC-10.7 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:IAC-10.7 pci-dss-4.0.1 _8.3.11 +SCF:IAC-10.7 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:IAC-10.7 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:IAC-10.7 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:IAC-10.8 nist-csf-function-grouping protect +SCF:IAC-10.8 cis-csc-8.1 _4.7 +SCF:IAC-10.8 cis-csc-8.1-ig1 _4.7 +SCF:IAC-10.8 cis-csc-8.1-ig2 _4.7 +SCF:IAC-10.8 cis-csc-8.1-ig3 _4.7 +SCF:IAC-10.8 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.8 csa-iot-scf-2 iam-20 +SCF:IAC-10.8 iec-62443-4-2-2019 cr-1.5-a +SCF:IAC-10.8 iec-62443-4-2-2019 cr-1.5-b +SCF:IAC-10.8 iso-27002-2022 _5.17 +SCF:IAC-10.8 iso-27017-2015 _9.2.4 +SCF:IAC-10.8 iso-27018-2025 _5.17 +SCF:IAC-10.8 nist-800-53-r4 ia-5 +SCF:IAC-10.8 nist-800-53-r4 ia-5-5 +SCF:IAC-10.8 nist-800-53-r5 ia-05 +SCF:IAC-10.8 nist-800-53-r5 ia-05-05 +SCF:IAC-10.8 nist-800-53b-r5-privacy ia-05 +SCF:IAC-10.8 nist-800-53b-r5-low ia-05 +SCF:IAC-10.8 nist-800-82-r3 ia-05 +SCF:IAC-10.8 nist-800-82-r3 ia-05-05 +SCF:IAC-10.8 nist-800-82-r3-low-ot-overlay ia-05 +SCF:IAC-10.8 nist-800-82-r3-moderate-ot-overlay ia-05 +SCF:IAC-10.8 nist-800-82-r3-high-ot-overlay ia-05 +SCF:IAC-10.8 nist-800-161-r1 ia-5 +SCF:IAC-10.8 nist-800-161-r1 ia-5-5 +SCF:IAC-10.8 nist-800-161-r1-c-scrm-baseline ia-5 +SCF:IAC-10.8 nist-800-161-r1-flow-down ia-5 +SCF:IAC-10.8 nist-800-161-r1-level-2 ia-5 +SCF:IAC-10.8 nist-800-161-r1-level-3 ia-5 +SCF:IAC-10.8 nist-800-161-r1-level-3 ia-5-5 +SCF:IAC-10.8 nist-800-171-r3 _03.05.07.e +SCF:IAC-10.8 nist-800-171-r3 _03.05.12.d +SCF:IAC-10.8 owasp-top-10-2025 a07-2025 +SCF:IAC-10.8 pci-dss-4.0.1 _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1 _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1 _6.5.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-a _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-a-ep _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-a-ep _6.5.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-b-ip _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-b-ip _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1-saq-c _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-c _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1-saq-c _6.5.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-c-vt _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-c-vt _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-merchant _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-merchant _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-merchant _6.5.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-service-provider _2.2.2 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-service-provider _2.3.1 +SCF:IAC-10.8 pci-dss-4.0.1-saq-d-service-provider _6.5.2 +SCF:IAC-10.9 nist-csf-function-grouping protect +SCF:IAC-10.9 nist-800-53-r4 ia-5-8 +SCF:IAC-10.9 nist-800-53-r5 ia-05-08 +SCF:IAC-10.9 nist-800-53b-r5-privacy ia-05-08 +SCF:IAC-10.9 nist-800-82-r3 ia-05-08 +SCF:IAC-10.10 nist-csf-function-grouping protect +SCF:IAC-10.10 nist-800-53-r4 ia-5-13 +SCF:IAC-10.10 nist-800-53-r5 ia-05-13 +SCF:IAC-10.10 nist-800-82-r3 ia-05-13 +SCF:IAC-10.11 nist-csf-function-grouping protect +SCF:IAC-10.11 csa-ccm-4.1.0 iam-15 +SCF:IAC-10.11 iso-27002-2022 _5.17 +SCF:IAC-10.11 iso-27002-2022 _5.18 +SCF:IAC-10.11 iso-27017-2015 _9.2.4 +SCF:IAC-10.11 iso-27017-2015 _9.4.3 +SCF:IAC-10.11 iso-27018-2025 _5.17 +SCF:IAC-10.11 iso-27018-2025 _5.18 +SCF:IAC-10.11 nist-800-53-r5 ia-05-18 +SCF:IAC-10.11 nist-800-82-r3 ia-05-18 +SCF:IAC-10.11 nist-800-171-r3 _03.05.07.a +SCF:IAC-10.11 nist-800-171-r3 _03.05.07.b +SCF:IAC-10.11 nist-800-171-r3 _03.05.07.c +SCF:IAC-10.11 nist-800-171-r3 _03.05.07.d +SCF:IAC-10.11 nist-800-171-r3 _03.05.07.f +SCF:IAC-10.11 nist-800-171a-r3 a.03.05.07.odp-01 +SCF:IAC-10.11 nist-800-171a-r3 a.03.05.07.a-01 +SCF:IAC-10.11 nist-800-171a-r3 a.03.05.07.a-02 +SCF:IAC-10.11 nist-800-171a-r3 a.03.05.07.a-03 +SCF:IAC-10.11 nist-800-171a-r3 a.03.05.07.b +SCF:IAC-10.11 nist-800-172 _3.5.2e +SCF:IAC-10.12 nist-csf-function-grouping protect +SCF:IAC-10.12 nist-800-53-r4 ia-5-12 +SCF:IAC-10.12 nist-800-53-r5 ia-05-12 +SCF:IAC-10.12 nist-800-82-r3 ia-05-12 +SCF:IAC-10.13 nist-csf-function-grouping protect +SCF:IAC-10.13 iec-62443-2-1-2024 user-1.12 +SCF:IAC-10.14 nist-csf-function-grouping protect +SCF:IAC-11 nist-csf-function-grouping protect +SCF:IAC-11 iec-62443-2-1-2024 user-1.14 +SCF:IAC-11 iec-62443-3-3-2013 sr-1.10 +SCF:IAC-11 iec-62443-4-2-2019 cr-1.10 +SCF:IAC-11 nist-800-53-r4 ia-6 +SCF:IAC-11 nist-800-53-r5 ia-06 +SCF:IAC-11 nist-800-53b-r5-low ia-06 +SCF:IAC-11 nist-800-82-r3 ia-06 +SCF:IAC-11 nist-800-82-r3-low-ot-overlay ia-06 +SCF:IAC-11 nist-800-82-r3-moderate-ot-overlay ia-06 +SCF:IAC-11 nist-800-82-r3-high-ot-overlay ia-06 +SCF:IAC-11 nist-800-171-r2 _3.5.11 +SCF:IAC-11 nist-800-171-r3 _03.05.11 +SCF:IAC-11 nist-800-171a _3.5.11 +SCF:IAC-11 nist-800-171a-r3 a.03.05.11 +SCF:IAC-12 nist-csf-function-grouping protect +SCF:IAC-12 csa-iot-scf-2 iam-22 +SCF:IAC-12 nist-800-53-r4 ia-7 +SCF:IAC-12 nist-800-53-r5 ia-07 +SCF:IAC-12 nist-800-53b-r5-privacy ia-07 +SCF:IAC-12 nist-800-53b-r5-low ia-07 +SCF:IAC-12 nist-800-82-r3 ia-07 +SCF:IAC-12 nist-800-82-r3-low-ot-overlay ia-07 +SCF:IAC-12 nist-800-82-r3-moderate-ot-overlay ia-07 +SCF:IAC-12 nist-800-82-r3-high-ot-overlay ia-07 +SCF:IAC-12 pci-dss-4.0.1 _3.6.1.1 +SCF:IAC-12 pci-dss-4.0.1 _3.6.1.2 +SCF:IAC-12 pci-dss-4.0.1-saq-d-merchant _3.6.1.2 +SCF:IAC-12 pci-dss-4.0.1-saq-d-service-provider _3.6.1.1 +SCF:IAC-12 pci-dss-4.0.1-saq-d-service-provider _3.6.1.2 +SCF:IAC-12.1 nist-csf-function-grouping protect +SCF:IAC-12.1 iec-62443-3-3-2013 sr-1.5-re-1 +SCF:IAC-12.1 iec-62443-3-3-2013 sr-1.9-re-1 +SCF:IAC-12.1 iec-62443-4-2-2019 cr-1.5-1 +SCF:IAC-12.1 iec-62443-4-2-2019 cr-1.9-1 +SCF:IAC-12.1 iec-62443-4-2-2019 cr-1.14-1 +SCF:IAC-13 nist-csf-function-grouping protect +SCF:IAC-13 nist-800-53-r4 ia-10 +SCF:IAC-13 nist-800-53-r5 ia-10 +SCF:IAC-13 nist-800-82-r3 ia-10 +SCF:IAC-13 nist-800-160-vol2-r1 ia-10 +SCF:IAC-13.1 nist-csf-function-grouping protect +SCF:IAC-13.1 cis-csc-8.1 _6.7 +SCF:IAC-13.1 cis-csc-8.1-ig3 _6.7 +SCF:IAC-13.1 nist-800-53-r5 ia-02-10 +SCF:IAC-13.1 nist-800-82-r3 ia-02-10 +SCF:IAC-13.2 nist-csf-function-grouping protect +SCF:IAC-13.2 cis-csc-8.1 _6.7 +SCF:IAC-13.2 cis-csc-8.1-ig2 _6.7 +SCF:IAC-13.2 cis-csc-8.1-ig3 _6.7 +SCF:IAC-13.2 nist-800-53-r5 ia-05-09 +SCF:IAC-13.2 nist-800-82-r3 ia-05-09 +SCF:IAC-13.2 nist-800-161-r1 ia-5-9 +SCF:IAC-13.2 nist-800-161-r1-level-3 ia-5-9 +SCF:IAC-13.2 nist-800-207 nist-tenet-4 +SCF:IAC-13.3 nist-csf-function-grouping protect +SCF:IAC-14 nist-csf-function-grouping protect +SCF:IAC-14 nist-800-53-r4 ia-11 +SCF:IAC-14 nist-800-53-r5 ia-11 +SCF:IAC-14 nist-800-53b-r5-low ia-11 +SCF:IAC-14 nist-800-82-r3 ia-11 +SCF:IAC-14 nist-800-82-r3-low-ot-overlay ia-11 +SCF:IAC-14 nist-800-82-r3-moderate-ot-overlay ia-11 +SCF:IAC-14 nist-800-82-r3-high-ot-overlay ia-11 +SCF:IAC-14 nist-800-171-r3 _03.05.01.b +SCF:IAC-14 nist-800-171a-r3 a.03.05.01.odp-01 +SCF:IAC-14 nist-800-171a-r3 a.03.05.01.b +SCF:IAC-14 owasp-top-10-2025 a07-2025 +SCF:IAC-14 pci-dss-4.0.1 _8.2.8 +SCF:IAC-14 pci-dss-4.0.1-saq-a-ep _8.2.8 +SCF:IAC-14 pci-dss-4.0.1-saq-c _8.2.8 +SCF:IAC-14 pci-dss-4.0.1-saq-d-merchant _8.2.8 +SCF:IAC-14 pci-dss-4.0.1-saq-d-service-provider _8.2.8 +SCF:IAC-15 nist-csf-function-grouping protect +SCF:IAC-15 iec-62443-2-1-2024 user-1.2 +SCF:IAC-15 iec-62443-2-1-2024 user-1.3 +SCF:IAC-15 iec-62443-3-3-2013 sr-1.3 +SCF:IAC-15 iso-27002-2022 _5.15 +SCF:IAC-15 iso-27002-2022 _5.16 +SCF:IAC-15 iso-27002-2022 _5.18 +SCF:IAC-15 iso-27017-2015 _9.1.1 +SCF:IAC-15 iso-27017-2015 _9.2.5 +SCF:IAC-15 iso-27017-2015 _9.2.6 +SCF:IAC-15 iso-27018-2025 _5.15 +SCF:IAC-15 iso-27018-2025 _5.16 +SCF:IAC-15 iso-27018-2025 _5.18 +SCF:IAC-15 nist-800-53-r4 ac-2 +SCF:IAC-15 nist-800-53-r5 ac-02 +SCF:IAC-15 nist-800-53b-r5-privacy ac-02 +SCF:IAC-15 nist-800-53b-r5-low ac-02 +SCF:IAC-15 nist-sp-800-66-r2 _164.312-a +SCF:IAC-15 nist-800-82-r3 ac-02 +SCF:IAC-15 nist-800-82-r3-low-ot-overlay ac-02 +SCF:IAC-15 nist-800-82-r3-moderate-ot-overlay ac-02 +SCF:IAC-15 nist-800-82-r3-high-ot-overlay ac-02 +SCF:IAC-15 nist-800-161-r1 ac-2 +SCF:IAC-15 nist-800-161-r1-c-scrm-baseline ac-2 +SCF:IAC-15 nist-800-161-r1-flow-down ac-2 +SCF:IAC-15 nist-800-161-r1-level-2 ac-2 +SCF:IAC-15 nist-800-161-r1-level-3 ac-2 +SCF:IAC-15 nist-800-171-r2 _3.1.2 +SCF:IAC-15 nist-800-171-r3 _03.01.01.a +SCF:IAC-15 nist-800-171-r3 _03.01.01.b +SCF:IAC-15 nist-800-171-r3 _03.01.01.c.01 +SCF:IAC-15 nist-800-171-r3 _03.01.01.c.02 +SCF:IAC-15 nist-800-171-r3 _03.01.01.d.01 +SCF:IAC-15 nist-800-171-r3 _03.01.01.d.02 +SCF:IAC-15 nist-800-171-r3 _03.01.01.e +SCF:IAC-15 nist-800-171-r3 _03.01.01.f.01 +SCF:IAC-15 nist-800-171-r3 _03.01.01.f.03 +SCF:IAC-15 nist-800-171-r3 _03.01.01.f.04 +SCF:IAC-15 nist-800-171-r3 _03.01.01.f.05 +SCF:IAC-15 nist-800-171-r3 _03.01.01.g.01 +SCF:IAC-15 nist-800-171-r3 _03.01.01.g.02 +SCF:IAC-15 nist-800-171-r3 _03.01.01.g.03 +SCF:IAC-15 nist-800-171-r3 _03.01.02 +SCF:IAC-15 nist-800-171-r3 _03.01.05.b +SCF:IAC-15 nist-800-171-r3 _03.01.05.c +SCF:IAC-15 nist-800-171-r3 _03.01.05.d +SCF:IAC-15 nist-800-171a _3.1.2-a +SCF:IAC-15 nist-800-171a _3.1.2-b +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.odp-01 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.a-01 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.a-02 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.c.01 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.e +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.f.01 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.f.02 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.f.03 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.f.04 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.f.05 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.g.01 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.g.02 +SCF:IAC-15 nist-800-171a-r3 a.03.01.01.g.03 +SCF:IAC-15 nist-800-171a-r3 a.03.05.07.e +SCF:IAC-15 pci-dss-4.0.1 _8.2.4 +SCF:IAC-15 pci-dss-4.0.1 _8.3.10 +SCF:IAC-15 pci-dss-4.0.1 _8.6 +SCF:IAC-15 pci-dss-4.0.1 _8.6.1 +SCF:IAC-15 pci-dss-4.0.1-saq-a-ep _8.2.4 +SCF:IAC-15 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-15 pci-dss-4.0.1-saq-c _8.2.4 +SCF:IAC-15 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-15 pci-dss-4.0.1-saq-c-vt _8.2.4 +SCF:IAC-15 pci-dss-4.0.1-saq-d-merchant _8.2.4 +SCF:IAC-15 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-15 pci-dss-4.0.1-saq-d-service-provider _8.2.4 +SCF:IAC-15 pci-dss-4.0.1-saq-d-service-provider _8.3.10 +SCF:IAC-15 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-15.1 nist-csf-function-grouping protect +SCF:IAC-15.1 cis-csc-8.1 _5.0 +SCF:IAC-15.1 cis-csc-8.1 _5.6 +SCF:IAC-15.1 cis-csc-8.1 _6.0 +SCF:IAC-15.1 cis-csc-8.1-ig2 _5.6 +SCF:IAC-15.1 cis-csc-8.1-ig3 _5.6 +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.3 +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.4 +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.7 +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.8 +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.8-a +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.8-b +SCF:IAC-15.1 iec-62443-2-1-2024 user-1.8-c +SCF:IAC-15.1 iec-62443-3-3-2013 sr-1.3 +SCF:IAC-15.1 iec-62443-3-3-2013 sr-1.3-re-1 +SCF:IAC-15.1 iso-27002-2022 _5.18 +SCF:IAC-15.1 iso-27018-2025 _5.18 +SCF:IAC-15.1 nist-800-53-r4 ac-2-1 +SCF:IAC-15.1 nist-800-53-r5 ac-02-01 +SCF:IAC-15.1 nist-800-53b-r5-moderate ac-02-01 +SCF:IAC-15.1 nist-800-82-r3 ac-02-01 +SCF:IAC-15.1 nist-800-82-r3-moderate-ot-overlay ac-02-01 +SCF:IAC-15.1 nist-800-82-r3-high-ot-overlay ac-02-01 +SCF:IAC-15.1 nist-800-171-r2 _3.1.1 +SCF:IAC-15.1 nist-800-171-r2 _3.5.1 +SCF:IAC-15.1 nist-800-171-r2 _3.5.2 +SCF:IAC-15.1 nist-800-171-r3 _03.05.05.b +SCF:IAC-15.1 nist-800-171-r3 _03.05.05.c +SCF:IAC-15.1 nist-800-171-r3 _03.05.05.d +SCF:IAC-15.1 nist-800-171-r3 _03.05.07.c +SCF:IAC-15.1 nist-800-171-r3 _03.05.07.d +SCF:IAC-15.1 nist-800-171-r3 _03.05.07.e +SCF:IAC-15.1 nist-800-171-r3 _03.05.07.f +SCF:IAC-15.1 nist-800-171-r3 _03.05.12.d +SCF:IAC-15.1 nist-800-171-r3 _03.05.12.e +SCF:IAC-15.1 nist-800-171-r3 _03.05.12.f +SCF:IAC-15.1 nist-800-207 nist-tenet-3 +SCF:IAC-15.1 nist-800-207 nist-tenet-4 +SCF:IAC-15.2 nist-csf-function-grouping protect +SCF:IAC-15.2 iso-27002-2022 _5.18 +SCF:IAC-15.2 iso-27018-2025 _5.18 +SCF:IAC-15.2 nist-800-53-r4 ac-2-2 +SCF:IAC-15.2 nist-800-53-r5 ac-02-02 +SCF:IAC-15.2 nist-800-53b-r5-moderate ac-02-02 +SCF:IAC-15.2 nist-sp-800-66-r2 _164.312-a +SCF:IAC-15.2 nist-800-82-r3 ac-02-02 +SCF:IAC-15.2 nist-800-82-r3-moderate-ot-overlay ac-02-02 +SCF:IAC-15.2 nist-800-82-r3-high-ot-overlay ac-02-02 +SCF:IAC-15.3 nist-csf-function-grouping protect +SCF:IAC-15.3 cis-csc-8.1 _5.3 +SCF:IAC-15.3 cis-csc-8.1-ig1 _5.3 +SCF:IAC-15.3 cis-csc-8.1-ig2 _5.3 +SCF:IAC-15.3 cis-csc-8.1-ig3 _5.3 +SCF:IAC-15.3 iso-27002-2022 _5.16 +SCF:IAC-15.3 iso-27018-2025 _5.16 +SCF:IAC-15.3 nist-800-53-r4 ac-2-3 +SCF:IAC-15.3 nist-800-53-r5 ac-02-03 +SCF:IAC-15.3 nist-800-53b-r5-moderate ac-02-03 +SCF:IAC-15.3 nist-800-82-r3 ac-02-03 +SCF:IAC-15.3 nist-800-82-r3-moderate-ot-overlay ac-02-03 +SCF:IAC-15.3 nist-800-82-r3-high-ot-overlay ac-02-03 +SCF:IAC-15.3 nist-800-171-r2 _3.5.6 +SCF:IAC-15.3 nist-800-171-r3 _03.01.01.f.02 +SCF:IAC-15.3 nist-800-171a _3.5.6-a +SCF:IAC-15.3 nist-800-171a _3.5.6-b +SCF:IAC-15.3 nist-800-171a-r3 a.03.01.01.f.02 +SCF:IAC-15.3 pci-dss-4.0.1 _8.2.6 +SCF:IAC-15.3 pci-dss-4.0.1-saq-a-ep _8.2.6 +SCF:IAC-15.3 pci-dss-4.0.1-saq-c _8.2.6 +SCF:IAC-15.3 pci-dss-4.0.1-saq-d-merchant _8.2.6 +SCF:IAC-15.3 pci-dss-4.0.1-saq-d-service-provider _8.2.6 +SCF:IAC-15.4 nist-csf-function-grouping protect +SCF:IAC-15.4 nist-800-53-r4 ac-2-4 +SCF:IAC-15.4 nist-800-53-r5 ac-02-04 +SCF:IAC-15.4 nist-800-53b-r5-moderate ac-02-04 +SCF:IAC-15.4 nist-800-82-r3 ac-02-04 +SCF:IAC-15.4 nist-800-82-r3-moderate-ot-overlay ac-02-04 +SCF:IAC-15.4 nist-800-82-r3-high-ot-overlay ac-02-04 +SCF:IAC-15.5 nist-csf-function-grouping protect +SCF:IAC-15.5 iec-62443-2-1-2024 user-1.12 +SCF:IAC-15.5 iso-27002-2022 _5.16 +SCF:IAC-15.5 iso-27018-2025 _5.16 +SCF:IAC-15.5 nist-800-53-r4 ac-2-9 +SCF:IAC-15.5 nist-800-53-r5 ac-02-09 +SCF:IAC-15.5 nist-800-82-r3 ac-02-09 +SCF:IAC-15.5 nist-800-171-r3 _03.01.01.c.01 +SCF:IAC-15.5 pci-dss-4.0.1 _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-a _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-a-ep _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-b-ip _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-c _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-c-vt _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-d-merchant _8.2.2 +SCF:IAC-15.5 pci-dss-4.0.1-saq-d-service-provider _8.2.2 +SCF:IAC-15.6 nist-csf-function-grouping protect +SCF:IAC-15.6 csa-ccm-4.1.0 iam-07 +SCF:IAC-15.6 nist-800-53-r4 ac-2-13 +SCF:IAC-15.6 nist-800-53-r5 ac-02-13 +SCF:IAC-15.6 nist-800-53b-r5-privacy ac-02-13 +SCF:IAC-15.6 nist-800-53b-r5-moderate ac-02-13 +SCF:IAC-15.6 nist-800-82-r3 ac-02-13 +SCF:IAC-15.6 nist-800-82-r3-moderate-ot-overlay ac-02-13 +SCF:IAC-15.6 nist-800-82-r3-high-ot-overlay ac-02-13 +SCF:IAC-15.6 nist-800-171-r3 _03.01.01.f.04 +SCF:IAC-15.6 nist-800-171-r3 _03.01.01.f.05 +SCF:IAC-15.6 owasp-top-10-2025 a01-2025 +SCF:IAC-15.7 nist-csf-function-grouping protect +SCF:IAC-15.7 nist-800-171-r3 _03.01.01.e +SCF:IAC-15.7 nist-800-171-r3 _03.01.05.c +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.a-01 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.a-02 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.b-01 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.b-02 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.b-03 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.b-04 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.b-05 +SCF:IAC-15.7 nist-800-171a-r3 a.03.01.01.c.01 +SCF:IAC-15.7 pci-dss-4.0.1 _8.6 +SCF:IAC-15.7 pci-dss-4.0.1 _8.6.1 +SCF:IAC-15.7 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-15.7 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-15.7 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-15.7 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-15.8 nist-csf-function-grouping protect +SCF:IAC-15.8 nist-800-53-r4 ac-2-11 +SCF:IAC-15.8 nist-800-53-r5 ac-02-11 +SCF:IAC-15.8 nist-800-53b-r5-high ac-02-11 +SCF:IAC-15.8 nist-800-82-r3 ac-02-11 +SCF:IAC-15.8 nist-800-82-r3-high-ot-overlay ac-02-11 +SCF:IAC-15.9 nist-csf-function-grouping respond +SCF:IAC-15.9 nist-sp-800-66-r2 _164.312-a +SCF:IAC-16 nist-csf-function-grouping protect +SCF:IAC-16 cis-csc-8.1 _2.7 +SCF:IAC-16 cis-csc-8.1 _5.1 +SCF:IAC-16 cis-csc-8.1 _5.4 +SCF:IAC-16 cis-csc-8.1-ig1 _5.1 +SCF:IAC-16 cis-csc-8.1-ig1 _5.4 +SCF:IAC-16 cis-csc-8.1-ig2 _5.1 +SCF:IAC-16 cis-csc-8.1-ig2 _5.4 +SCF:IAC-16 cis-csc-8.1-ig3 _2.7 +SCF:IAC-16 cis-csc-8.1-ig3 _5.1 +SCF:IAC-16 cis-csc-8.1-ig3 _5.4 +SCF:IAC-16 csa-ccm-4.1.0 iam-09 +SCF:IAC-16 csa-ccm-4.1.0 iam-10 +SCF:IAC-16 csa-ccm-4.1.0 iam-11 +SCF:IAC-16 csa-iot-scf-2 iam-02 +SCF:IAC-16 csa-iot-scf-2 iam-04 +SCF:IAC-16 iso-27002-2022 _5.15 +SCF:IAC-16 iso-27002-2022 _5.18 +SCF:IAC-16 iso-27002-2022 _8.2 +SCF:IAC-16 iso-27017-2015 _9.1.1 +SCF:IAC-16 iso-27018-2025 _5.15 +SCF:IAC-16 iso-27018-2025 _5.18 +SCF:IAC-16 nist-800-171-r2 _3.1.5 +SCF:IAC-16 nist-800-171-r3 _03.01.06.a +SCF:IAC-16 nist-800-171-r3 _03.01.07.a +SCF:IAC-16 nist-800-171-r3 _03.01.07.b +SCF:IAC-16 pci-dss-4.0.1 _7.2.3 +SCF:IAC-16 pci-dss-4.0.1 _7.2.5 +SCF:IAC-16 pci-dss-4.0.1-saq-a-ep _7.2.3 +SCF:IAC-16 pci-dss-4.0.1-saq-a-ep _7.2.5 +SCF:IAC-16 pci-dss-4.0.1-saq-c _7.2.3 +SCF:IAC-16 pci-dss-4.0.1-saq-c _7.2.5 +SCF:IAC-16 pci-dss-4.0.1-saq-d-merchant _7.2.3 +SCF:IAC-16 pci-dss-4.0.1-saq-d-merchant _7.2.5 +SCF:IAC-16 pci-dss-4.0.1-saq-d-service-provider _7.2.3 +SCF:IAC-16 pci-dss-4.0.1-saq-d-service-provider _7.2.5 +SCF:IAC-16.1 nist-csf-function-grouping protect +SCF:IAC-16.1 cis-csc-8.1 _5.1 +SCF:IAC-16.1 cis-csc-8.1 _5.5 +SCF:IAC-16.1 cis-csc-8.1-ig1 _5.1 +SCF:IAC-16.1 cis-csc-8.1-ig2 _5.1 +SCF:IAC-16.1 cis-csc-8.1-ig2 _5.5 +SCF:IAC-16.1 cis-csc-8.1-ig3 _5.1 +SCF:IAC-16.1 cis-csc-8.1-ig3 _5.5 +SCF:IAC-16.1 csa-ccm-4.1.0 iam-03 +SCF:IAC-16.1 csa-ccm-4.1.0 iam-10 +SCF:IAC-16.1 csa-ccm-4.1.0 iam-11 +SCF:IAC-16.1 iso-27002-2022 _5.18 +SCF:IAC-16.1 iso-27002-2022 _8.2 +SCF:IAC-16.1 iso-27017-2015 _9.2.3 +SCF:IAC-16.1 iso-27018-2025 _5.18 +SCF:IAC-16.1 iso-27018-2025 _8.2 +SCF:IAC-16.1 nist-800-171-r2 _3.1.5 +SCF:IAC-16.1 owasp-top-10-2025 a01-2025 +SCF:IAC-16.1 pci-dss-4.0.1 _7.2.4 +SCF:IAC-16.1 pci-dss-4.0.1-saq-a-ep _7.2.4 +SCF:IAC-16.1 pci-dss-4.0.1-saq-c _7.2.4 +SCF:IAC-16.1 pci-dss-4.0.1-saq-d-merchant _7.2.4 +SCF:IAC-16.1 pci-dss-4.0.1-saq-d-service-provider _7.2.4 +SCF:IAC-16.2 nist-csf-function-grouping protect +SCF:IAC-16.3 nist-csf-function-grouping protect +SCF:IAC-16.4 nist-csf-function-grouping protect +SCF:IAC-16.5 nist-csf-function-grouping protect +SCF:IAC-16.5 iec-62443-3-3-2013 sr-2.1-re-3 +SCF:IAC-16.5 iec-62443-4-2-2019 cr-2.1-3 +SCF:IAC-17 nist-csf-function-grouping detect +SCF:IAC-17 csa-ccm-4.1.0 iam-08 +SCF:IAC-17 csa-ccm-4.1.0 iam-09 +SCF:IAC-17 csa-ccm-4.1.0 iam-10 +SCF:IAC-17 csa-ccm-4.1.0 iam-11 +SCF:IAC-17 csa-iot-scf-2 iam-02 +SCF:IAC-17 iso-27002-2022 _5.15 +SCF:IAC-17 iso-27002-2022 _5.18 +SCF:IAC-17 iso-27002-2022 _8.2 +SCF:IAC-17 iso-27017-2015 _9.1.1 +SCF:IAC-17 iso-27017-2015 _9.2.3 +SCF:IAC-17 iso-27017-2015 _9.2.5 +SCF:IAC-17 iso-27017-2015 _9.2.6 +SCF:IAC-17 iso-27018-2025 _5.15 +SCF:IAC-17 iso-27018-2025 _5.18 +SCF:IAC-17 iso-27018-2025 _8.2 +SCF:IAC-17 nist-800-53-r4 ac-6-7 +SCF:IAC-17 nist-800-53-r5 ac-06-07 +SCF:IAC-17 nist-800-53b-r5-moderate ac-06-07 +SCF:IAC-17 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-17 nist-800-82-r3 ac-06-07 +SCF:IAC-17 nist-800-82-r3-moderate-ot-overlay ac-06-07 +SCF:IAC-17 nist-800-82-r3-high-ot-overlay ac-06-07 +SCF:IAC-17 nist-800-160-vol2-r1 ac-06-07 +SCF:IAC-17 nist-800-171-r3 _03.01.01.g.03 +SCF:IAC-17 nist-800-171-r3 _03.01.05.c +SCF:IAC-17 nist-800-171-r3 _03.01.05.d +SCF:IAC-17 nist-800-171-r3 _03.10.01.c +SCF:IAC-17 nist-800-171-r3 _03.10.01.d +SCF:IAC-17 nist-800-171a-r3 a.03.01.05.odp-03 +SCF:IAC-17 nist-800-171a-r3 a.03.01.05.c +SCF:IAC-17 nist-800-171a-r3 a.03.01.05.d +SCF:IAC-17 owasp-top-10-2025 a01-2025 +SCF:IAC-17 pci-dss-4.0.1 _7.2.4 +SCF:IAC-17 pci-dss-4.0.1 _7.2.5.1 +SCF:IAC-17 pci-dss-4.0.1 a3.4.1 +SCF:IAC-17 pci-dss-4.0.1-saq-a-ep _7.2.4 +SCF:IAC-17 pci-dss-4.0.1-saq-c _7.2.4 +SCF:IAC-17 pci-dss-4.0.1-saq-d-merchant _7.2.4 +SCF:IAC-17 pci-dss-4.0.1-saq-d-merchant _7.2.5.1 +SCF:IAC-17 pci-dss-4.0.1-saq-d-service-provider _7.2.4 +SCF:IAC-17 pci-dss-4.0.1-saq-d-service-provider _7.2.5.1 +SCF:IAC-18 nist-csf-function-grouping protect +SCF:IAC-18 iso-27002-2022 _5.17 +SCF:IAC-18 iso-27017-2015 _9.2.4 +SCF:IAC-18 iso-27017-2015 _9.3.1 +SCF:IAC-18 iso-27018-2025 _5.17 +SCF:IAC-18 nist-800-53-r4 ia-5-6 +SCF:IAC-18 nist-800-53-r5 ia-05-06 +SCF:IAC-18 nist-800-53b-r5-privacy ia-05-06 +SCF:IAC-18 nist-800-53b-r5-moderate ia-05-06 +SCF:IAC-18 nist-800-82-r3 ia-05-06 +SCF:IAC-18 nist-800-82-r3-moderate-ot-overlay ia-05-06 +SCF:IAC-18 nist-800-82-r3-high-ot-overlay ia-05-06 +SCF:IAC-18 pci-dss-4.0.1 _8.3.11 +SCF:IAC-18 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:IAC-18 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:IAC-18 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:IAC-19 nist-csf-function-grouping protect +SCF:IAC-19 iso-27002-2022 _5.18 +SCF:IAC-19 iso-27018-2025 _5.18 +SCF:IAC-19 pci-dss-4.0.1 _8.2.2 +SCF:IAC-19 pci-dss-4.0.1 _8.6.1 +SCF:IAC-19 pci-dss-4.0.1-saq-a _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-a-ep _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-19 pci-dss-4.0.1-saq-b-ip _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-c _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-19 pci-dss-4.0.1-saq-c-vt _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-d-merchant _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-19 pci-dss-4.0.1-saq-d-service-provider _8.2.2 +SCF:IAC-19 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-20 nist-csf-function-grouping protect +SCF:IAC-20 cobit-2019 dss05.04 +SCF:IAC-20 iec-62443-2-1-2024 user-2.1 +SCF:IAC-20 iec-62443-3-3-2013 sr-2.1 +SCF:IAC-20 iec-62443-3-3-2013 sr-2.1-re-1 +SCF:IAC-20 iso-27002-2022 _5.18 +SCF:IAC-20 iso-27017-2015 _9.2.6 +SCF:IAC-20 iso-27018-2025 _5.18 +SCF:IAC-20 nist-800-53-r4 ac-3 +SCF:IAC-20 nist-800-53-r4 ac-6 +SCF:IAC-20 nist-800-53-r5 ac-03 +SCF:IAC-20 nist-800-53-r5 ac-06 +SCF:IAC-20 nist-800-53b-r5-privacy ac-03 +SCF:IAC-20 nist-800-53b-r5-privacy ac-06 +SCF:IAC-20 nist-800-53b-r5-low ac-03 +SCF:IAC-20 nist-800-53b-r5-moderate ac-06 +SCF:IAC-20 nist-800-82-r3 ac-03 +SCF:IAC-20 nist-800-82-r3 ac-06 +SCF:IAC-20 nist-800-82-r3-low-ot-overlay ac-03 +SCF:IAC-20 nist-800-82-r3-moderate-ot-overlay ac-03 +SCF:IAC-20 nist-800-82-r3-moderate-ot-overlay ac-06 +SCF:IAC-20 nist-800-82-r3-high-ot-overlay ac-03 +SCF:IAC-20 nist-800-82-r3-high-ot-overlay ac-06 +SCF:IAC-20 nist-800-160-vol2-r1 ac-06 +SCF:IAC-20 nist-800-161-r1 ac-3 +SCF:IAC-20 nist-800-161-r1 ac-6 +SCF:IAC-20 nist-800-161-r1-c-scrm-baseline ac-3 +SCF:IAC-20 nist-800-161-r1-flow-down ac-3 +SCF:IAC-20 nist-800-161-r1-level-2 ac-3 +SCF:IAC-20 nist-800-161-r1-level-3 ac-3 +SCF:IAC-20 nist-800-171-r2 _3.1.1 +SCF:IAC-20 nist-800-171-r3 _03.01.01.c.03 +SCF:IAC-20 nist-800-171-r3 _03.01.01.d.01 +SCF:IAC-20 nist-800-171-r3 _03.01.01.d.02 +SCF:IAC-20 nist-800-171-r3 _03.01.02 +SCF:IAC-20 nist-800-171-r3 _03.01.03 +SCF:IAC-20 nist-800-171-r3 _03.01.04.b +SCF:IAC-20 nist-800-171-r3 _03.01.05.a +SCF:IAC-20 nist-800-171-r3 _03.01.05.b +SCF:IAC-20 nist-800-171-r3 _03.01.06.a +SCF:IAC-20 nist-800-171-r3 _03.09.02.b.02 +SCF:IAC-20 nist-800-171a _3.1.1-a +SCF:IAC-20 nist-800-171a _3.1.1-b +SCF:IAC-20 nist-800-171a _3.1.1-c +SCF:IAC-20 nist-800-171a _3.1.1-d +SCF:IAC-20 nist-800-171a _3.1.1-e +SCF:IAC-20 nist-800-171a _3.1.1-f +SCF:IAC-20 owasp-top-10-2025 a01-2025 +SCF:IAC-20 pci-dss-4.0.1 _7.2.1 +SCF:IAC-20 pci-dss-4.0.1 _7.2.2 +SCF:IAC-20 pci-dss-4.0.1 _7.2.5 +SCF:IAC-20 pci-dss-4.0.1 _7.2.6 +SCF:IAC-20 pci-dss-4.0.1-saq-a-ep _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-a-ep _7.2.5 +SCF:IAC-20 pci-dss-4.0.1-saq-b _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-b-ip _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-c _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-c _7.2.5 +SCF:IAC-20 pci-dss-4.0.1-saq-c-vt _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-20 pci-dss-4.0.1-saq-d-merchant _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-d-merchant _7.2.5 +SCF:IAC-20 pci-dss-4.0.1-saq-d-merchant _7.2.6 +SCF:IAC-20 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-20 pci-dss-4.0.1-saq-d-service-provider _7.2.2 +SCF:IAC-20 pci-dss-4.0.1-saq-d-service-provider _7.2.5 +SCF:IAC-20 pci-dss-4.0.1-saq-d-service-provider _7.2.6 +SCF:IAC-20.1 nist-csf-function-grouping protect +SCF:IAC-20.1 csa-ccm-4.1.0 dsp-17 +SCF:IAC-20.1 iso-27002-2022 _5.18 +SCF:IAC-20.1 iso-27018-2025 _5.18 +SCF:IAC-20.1 nist-800-171-r3 _03.01.01.c.03 +SCF:IAC-20.1 nist-800-171-r3 _03.01.01.d.01 +SCF:IAC-20.1 nist-800-171-r3 _03.01.01.d.02 +SCF:IAC-20.1 nist-800-171-r3 _03.01.02 +SCF:IAC-20.1 nist-800-171-r3 _03.01.03 +SCF:IAC-20.1 nist-800-171-r3 _03.01.04.b +SCF:IAC-20.1 nist-800-171-r3 _03.01.05.a +SCF:IAC-20.1 nist-800-171-r3 _03.06.05.d +SCF:IAC-20.1 nist-800-171-r3 _03.10.01.a +SCF:IAC-20.1 nist-800-171a-r3 a.03.01.05.b-01 +SCF:IAC-20.1 nist-800-171a-r3 a.03.01.05.b-02 +SCF:IAC-20.1 nist-800-171a-r3 a.03.06.05.d +SCF:IAC-20.1 nist-800-207 nist-tenet-3 +SCF:IAC-20.1 owasp-top-10-2025 a01-2025 +SCF:IAC-20.1 pci-dss-4.0.1 _7.2.1 +SCF:IAC-20.1 pci-dss-4.0.1 _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1 _7.2.5 +SCF:IAC-20.1 pci-dss-4.0.1 _7.2.6 +SCF:IAC-20.1 pci-dss-4.0.1-saq-a-ep _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-a-ep _7.2.5 +SCF:IAC-20.1 pci-dss-4.0.1-saq-b _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-b-ip _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-c _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-c _7.2.5 +SCF:IAC-20.1 pci-dss-4.0.1-saq-c-vt _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-merchant _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-merchant _7.2.5 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-merchant _7.2.6 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-service-provider _7.2.2 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-service-provider _7.2.5 +SCF:IAC-20.1 pci-dss-4.0.1-saq-d-service-provider _7.2.6 +SCF:IAC-20.2 nist-csf-function-grouping protect +SCF:IAC-20.2 iso-27002-2022 _5.18 +SCF:IAC-20.2 iso-27018-2025 _5.18 +SCF:IAC-20.2 owasp-top-10-2025 a01-2025 +SCF:IAC-20.2 pci-dss-4.0.1 _7.2.6 +SCF:IAC-20.2 pci-dss-4.0.1-saq-d-merchant _7.2.6 +SCF:IAC-20.2 pci-dss-4.0.1-saq-d-service-provider _7.2.6 +SCF:IAC-20.3 nist-csf-function-grouping protect +SCF:IAC-20.3 csa-iot-scf-2 iam-04 +SCF:IAC-20.3 iso-27002-2022 _5.18 +SCF:IAC-20.3 iso-27002-2022 _8.18 +SCF:IAC-20.3 iso-27017-2015 _9.4.4 +SCF:IAC-20.3 iso-27018-2025 _5.18 +SCF:IAC-20.3 iso-27018-2025 _8.18 +SCF:IAC-20.3 owasp-top-10-2025 a01-2025 +SCF:IAC-20.3 pci-dss-4.0.1 _8.6 +SCF:IAC-20.3 pci-dss-4.0.1 _8.6.1 +SCF:IAC-20.3 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-20.3 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-20.3 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-20.3 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-20.4 nist-csf-function-grouping protect +SCF:IAC-20.4 cis-csc-8.1 _12.8 +SCF:IAC-20.4 cis-csc-8.1-ig3 _12.8 +SCF:IAC-20.5 nist-csf-function-grouping protect +SCF:IAC-20.5 iec-62443-2-1-2024 user-2.3 +SCF:IAC-20.5 iec-62443-2-1-2024 user-2.4 +SCF:IAC-20.5 iec-62443-3-3-2013 sr-2.1-re-4 +SCF:IAC-20.5 nist-800-53-r4 ac-3-2 +SCF:IAC-20.5 nist-800-53-r5 ac-03-02 +SCF:IAC-20.5 nist-800-53b-r5-privacy ac-03-02 +SCF:IAC-20.5 nist-800-82-r3 ac-03-02 +SCF:IAC-20.5 nist-800-160-vol2-r1 ac-03-02 +SCF:IAC-20.5 nist-800-172 _3.1.1e +SCF:IAC-20.6 nist-csf-function-grouping protect +SCF:IAC-20.6 nist-800-53-r5 ac-03-08 +SCF:IAC-20.6 nist-800-82-r3 ac-03-08 +SCF:IAC-20.6 nist-800-161-r1 ac-3-8 +SCF:IAC-20.6 nist-800-161-r1-level-2 ac-3-8 +SCF:IAC-20.6 nist-800-161-r1-level-3 ac-3-8 +SCF:IAC-20.6 pci-dss-4.0.1 _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-a _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-a-ep _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-c _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-c-vt _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-d-merchant _8.2.5 +SCF:IAC-20.6 pci-dss-4.0.1-saq-d-service-provider _8.2.5 +SCF:IAC-20.7 nist-csf-function-grouping protect +SCF:IAC-21 nist-csf-function-grouping protect +SCF:IAC-21 cis-csc-8.1 _5.4 +SCF:IAC-21 cis-csc-8.1-ig1 _5.4 +SCF:IAC-21 cis-csc-8.1-ig2 _5.4 +SCF:IAC-21 cis-csc-8.1-ig3 _5.4 +SCF:IAC-21 csa-ccm-4.1.0 iam-05 +SCF:IAC-21 csa-ccm-4.1.0 iam-13 +SCF:IAC-21 csa-iot-scf-2 iam-06 +SCF:IAC-21 iec-tr-60601-4-5-2021 _4.4 +SCF:IAC-21 iso-27002-2022 _5.15 +SCF:IAC-21 iso-27002-2022 _5.18 +SCF:IAC-21 iso-27002-2022 _8.3 +SCF:IAC-21 iso-27002-2022 _8.12 +SCF:IAC-21 iso-27017-2015 _9.1.1 +SCF:IAC-21 iso-27017-2015 _9.1.2 +SCF:IAC-21 iso-27017-2015 _9.2.1 +SCF:IAC-21 iso-27017-2015 _9.2.2 +SCF:IAC-21 iso-27018-2025 _5.15 +SCF:IAC-21 iso-27018-2025 _5.18 +SCF:IAC-21 iso-27018-2025 _8.3 +SCF:IAC-21 iso-27018-2025 _8.12 +SCF:IAC-21 nist-privacy-framework-1.0 pr.ac-p4 +SCF:IAC-21 nist-800-53-r4 ac-6 +SCF:IAC-21 nist-800-53-r5 ac-06 +SCF:IAC-21 nist-800-53-r5 sa-08-14 +SCF:IAC-21 nist-800-53b-r5-privacy ac-06 +SCF:IAC-21 nist-800-53b-r5-moderate ac-06 +SCF:IAC-21 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-21 nist-sp-800-66-r2 _164.312-a +SCF:IAC-21 nist-800-82-r3 ac-06 +SCF:IAC-21 nist-800-82-r3 sa-08-14 +SCF:IAC-21 nist-800-82-r3-moderate-ot-overlay ac-06 +SCF:IAC-21 nist-800-82-r3-high-ot-overlay ac-06 +SCF:IAC-21 nist-800-160-vol2-r1 ac-06 +SCF:IAC-21 nist-800-161-r1 ac-6 +SCF:IAC-21 nist-800-171-r2 _3.1.5 +SCF:IAC-21 nist-800-171-r3 _03.01.01.c.03 +SCF:IAC-21 nist-800-171-r3 _03.01.01.d.01 +SCF:IAC-21 nist-800-171-r3 _03.01.01.d.02 +SCF:IAC-21 nist-800-171-r3 _03.01.04.b +SCF:IAC-21 nist-800-171-r3 _03.01.05.a +SCF:IAC-21 nist-800-171-r3 _03.01.05.b +SCF:IAC-21 nist-800-171-r3 _03.01.06.a +SCF:IAC-21 nist-800-171-r3 _03.01.07.a +SCF:IAC-21 nist-800-171-r3 _03.03.08.a +SCF:IAC-21 nist-800-171-r3 _03.03.08.b +SCF:IAC-21 nist-800-171-r3 _03.04.05 +SCF:IAC-21 nist-800-171a _3.1.5-b +SCF:IAC-21 nist-800-171a _3.1.5-c +SCF:IAC-21 nist-800-171a _3.1.5-d +SCF:IAC-21 nist-800-171a-r3 a.03.01.02-02 +SCF:IAC-21 nist-800-171a-r3 a.03.01.05.a +SCF:IAC-21 nist-800-207 nist-tenet-3 +SCF:IAC-21 nist-csf-2.0 pr.aa-05 +SCF:IAC-21 nist-csf-2.0 pr.ds-10 +SCF:IAC-21 owasp-top-10-2025 a01-2025 +SCF:IAC-21 pci-dss-4.0.1 _1.3 +SCF:IAC-21 pci-dss-4.0.1 _3.4 +SCF:IAC-21 pci-dss-4.0.1 _3.4.2 +SCF:IAC-21 pci-dss-4.0.1 _7.1 +SCF:IAC-21 pci-dss-4.0.1 _7.2 +SCF:IAC-21 pci-dss-4.0.1 _7.2.1 +SCF:IAC-21 pci-dss-4.0.1 _7.2.2 +SCF:IAC-21 pci-dss-4.0.1 _7.2.6 +SCF:IAC-21 pci-dss-4.0.1 _7.3 +SCF:IAC-21 pci-dss-4.0.1 _7.3.1 +SCF:IAC-21 pci-dss-4.0.1 _7.3.2 +SCF:IAC-21 pci-dss-4.0.1 _7.3.3 +SCF:IAC-21 pci-dss-4.0.1 _8.6 +SCF:IAC-21 pci-dss-4.0.1 _8.6.1 +SCF:IAC-21 pci-dss-4.0.1-saq-a-ep _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-a-ep _8.6.1 +SCF:IAC-21 pci-dss-4.0.1-saq-b _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-b-ip _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-c _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-c _8.6.1 +SCF:IAC-21 pci-dss-4.0.1-saq-c-vt _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _3.4.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.2.1 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.2.6 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.3.1 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.3.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _7.3.3 +SCF:IAC-21 pci-dss-4.0.1-saq-d-merchant _8.6.1 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _3.4.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.2.1 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.2.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.2.6 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.3.1 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.3.2 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _7.3.3 +SCF:IAC-21 pci-dss-4.0.1-saq-d-service-provider _8.6.1 +SCF:IAC-21.1 nist-csf-function-grouping protect +SCF:IAC-21.1 csa-ccm-4.1.0 iam-09 +SCF:IAC-21.1 nist-800-53-r4 ac-6-1 +SCF:IAC-21.1 nist-800-53-r5 ac-06-01 +SCF:IAC-21.1 nist-800-53b-r5-moderate ac-06-01 +SCF:IAC-21.1 nist-800-82-r3 ac-06-01 +SCF:IAC-21.1 nist-800-82-r3-moderate-ot-overlay ac-06-01 +SCF:IAC-21.1 nist-800-82-r3-high-ot-overlay ac-06-01 +SCF:IAC-21.1 nist-800-160-vol2-r1 ac-06-01 +SCF:IAC-21.1 nist-800-171-r2 _3.1.5 +SCF:IAC-21.1 owasp-top-10-2025 a01-2025 +SCF:IAC-21.2 nist-csf-function-grouping protect +SCF:IAC-21.2 cis-csc-8.1 _5.4 +SCF:IAC-21.2 cis-csc-8.1-ig1 _5.4 +SCF:IAC-21.2 cis-csc-8.1-ig2 _5.4 +SCF:IAC-21.2 cis-csc-8.1-ig3 _5.4 +SCF:IAC-21.2 csa-iot-scf-2 iam-04 +SCF:IAC-21.2 nist-800-53-r4 ac-6-2 +SCF:IAC-21.2 nist-800-53-r5 ac-06-02 +SCF:IAC-21.2 nist-800-53b-r5-moderate ac-06-02 +SCF:IAC-21.2 nist-800-82-r3 ac-06-02 +SCF:IAC-21.2 nist-800-82-r3-moderate-ot-overlay ac-06-02 +SCF:IAC-21.2 nist-800-82-r3-high-ot-overlay ac-06-02 +SCF:IAC-21.2 nist-800-160-vol2-r1 ac-06-02 +SCF:IAC-21.2 nist-800-171-r2 _3.1.6 +SCF:IAC-21.2 nist-800-171-r3 _03.01.06.b +SCF:IAC-21.2 nist-800-171a _3.1.6-a +SCF:IAC-21.2 nist-800-171a _3.1.6-b +SCF:IAC-21.2 nist-800-171a-r3 a.03.01.06.b +SCF:IAC-21.2 nist-800-207 nist-tenet-3 +SCF:IAC-21.2 owasp-top-10-2025 a01-2025 +SCF:IAC-21.3 nist-csf-function-grouping protect +SCF:IAC-21.3 csa-ccm-4.1.0 iam-09 +SCF:IAC-21.3 iso-27002-2022 _5.18 +SCF:IAC-21.3 iso-27002-2022 _8.2 +SCF:IAC-21.3 iso-27017-2015 _9.2.3 +SCF:IAC-21.3 iso-27018-2025 _5.18 +SCF:IAC-21.3 iso-27018-2025 _8.2 +SCF:IAC-21.3 nist-800-53-r4 ac-6-5 +SCF:IAC-21.3 nist-800-53-r5 ac-06-05 +SCF:IAC-21.3 nist-800-53b-r5-moderate ac-06-05 +SCF:IAC-21.3 nist-800-82-r3 ac-06-05 +SCF:IAC-21.3 nist-800-82-r3-moderate-ot-overlay ac-06-05 +SCF:IAC-21.3 nist-800-82-r3-high-ot-overlay ac-06-05 +SCF:IAC-21.3 nist-800-160-vol2-r1 ac-06-05 +SCF:IAC-21.3 nist-800-171-r2 _3.1.5 +SCF:IAC-21.3 nist-800-171-r3 _03.01.06.a +SCF:IAC-21.3 nist-800-171-r3 _03.01.07.a +SCF:IAC-21.3 nist-800-171a-r3 a.03.01.06.odp-01 +SCF:IAC-21.3 nist-800-171a-r3 a.03.01.06.a +SCF:IAC-21.3 owasp-top-10-2025 a01-2025 +SCF:IAC-21.3 pci-dss-4.0.1 _7.2.3 +SCF:IAC-21.3 pci-dss-4.0.1-saq-a-ep _7.2.3 +SCF:IAC-21.3 pci-dss-4.0.1-saq-c _7.2.3 +SCF:IAC-21.3 pci-dss-4.0.1-saq-d-merchant _7.2.3 +SCF:IAC-21.3 pci-dss-4.0.1-saq-d-service-provider _7.2.3 +SCF:IAC-21.4 nist-csf-function-grouping detect +SCF:IAC-21.4 csa-ccm-4.1.0 iam-09 +SCF:IAC-21.4 nist-800-53-r4 ac-6-9 +SCF:IAC-21.4 nist-800-53-r5 ac-06-09 +SCF:IAC-21.4 nist-800-53b-r5-moderate ac-06-09 +SCF:IAC-21.4 nist-800-82-r3 ac-06-09 +SCF:IAC-21.4 nist-800-82-r3-moderate-ot-overlay ac-06-09 +SCF:IAC-21.4 nist-800-82-r3-high-ot-overlay ac-06-09 +SCF:IAC-21.4 nist-800-171-r2 _3.1.7 +SCF:IAC-21.4 nist-800-171-r3 _03.01.07.b +SCF:IAC-21.4 owasp-top-10-2025 a01-2025 +SCF:IAC-21.4 pci-dss-4.0.1 _10.2.1.2 +SCF:IAC-21.4 pci-dss-4.0.1-saq-a-ep _10.2.1.2 +SCF:IAC-21.4 pci-dss-4.0.1-saq-c _10.2.1.2 +SCF:IAC-21.4 pci-dss-4.0.1-saq-d-merchant _10.2.1.2 +SCF:IAC-21.4 pci-dss-4.0.1-saq-d-service-provider _10.2.1.2 +SCF:IAC-21.5 nist-csf-function-grouping protect +SCF:IAC-21.5 csa-ccm-4.1.0 iam-09 +SCF:IAC-21.5 nist-800-53-r4 ac-6-10 +SCF:IAC-21.5 nist-800-53-r5 ac-06-10 +SCF:IAC-21.5 nist-800-53b-r5-moderate ac-06-10 +SCF:IAC-21.5 nist-800-82-r3 ac-06-10 +SCF:IAC-21.5 nist-800-82-r3-moderate-ot-overlay ac-06-10 +SCF:IAC-21.5 nist-800-82-r3-high-ot-overlay ac-06-10 +SCF:IAC-21.5 nist-800-160-vol2-r1 ac-06-10 +SCF:IAC-21.5 nist-800-171-r2 _3.1.7 +SCF:IAC-21.5 nist-800-171-r3 _03.01.07.a +SCF:IAC-21.5 nist-800-171a _3.1.7-a +SCF:IAC-21.5 nist-800-171a _3.1.7-b +SCF:IAC-21.5 nist-800-171a _3.1.7-c +SCF:IAC-21.5 nist-800-171a _3.1.7-d +SCF:IAC-21.5 nist-800-171a-r3 a.03.01.07.a +SCF:IAC-21.5 owasp-top-10-2025 a01-2025 +SCF:IAC-21.6 nist-csf-function-grouping protect +SCF:IAC-21.6 nist-800-53-r4 ac-6-3 +SCF:IAC-21.6 nist-800-53-r5 ac-06-03 +SCF:IAC-21.6 nist-800-53b-r5-high ac-06-03 +SCF:IAC-21.6 nist-800-82-r3 ac-06-03 +SCF:IAC-21.6 nist-800-160-vol2-r1 ac-06-03 +SCF:IAC-21.7 nist-csf-function-grouping protect +SCF:IAC-21.7 nist-800-53-r4 ac-6-8 +SCF:IAC-21.7 nist-800-53-r5 ac-06-08 +SCF:IAC-21.7 nist-800-82-r3 ac-06-08 +SCF:IAC-21.7 nist-800-160-vol2-r1 ac-06-08 +SCF:IAC-22 nist-csf-function-grouping protect +SCF:IAC-22 cis-csc-8.1 _4.1 +SCF:IAC-22 cis-csc-8.1-ig2 _4.1 +SCF:IAC-22 cis-csc-8.1-ig3 _4.1 +SCF:IAC-22 iec-62443-2-1-2024 user-1.15 +SCF:IAC-22 iec-62443-3-3-2013 sr-1.11 +SCF:IAC-22 iec-62443-4-2-2019 cr-1.11 +SCF:IAC-22 iec-62443-4-2-2019 cr-1.11-a +SCF:IAC-22 iec-62443-4-2-2019 cr-1.11-b +SCF:IAC-22 iso-27002-2022 _8.1 +SCF:IAC-22 iso-27017-2015 _6.2.1 +SCF:IAC-22 iso-27018-2025 _8.1 +SCF:IAC-22 nist-800-53-r4 ac-7 +SCF:IAC-22 nist-800-53-r5 ac-07 +SCF:IAC-22 nist-800-53b-r5-low ac-07 +SCF:IAC-22 nist-800-82-r3 ac-07 +SCF:IAC-22 nist-800-82-r3-low-ot-overlay ac-07 +SCF:IAC-22 nist-800-82-r3-moderate-ot-overlay ac-07 +SCF:IAC-22 nist-800-82-r3-high-ot-overlay ac-07 +SCF:IAC-22 nist-800-171-r2 _3.1.8 +SCF:IAC-22 nist-800-171-r3 _03.01.08.a +SCF:IAC-22 nist-800-171-r3 _03.01.08.b +SCF:IAC-22 nist-800-171a _3.1.8-a +SCF:IAC-22 nist-800-171a _3.1.8-b +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.odp-01 +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.odp-02 +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.odp-03 +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.odp-04 +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.a +SCF:IAC-22 nist-800-171a-r3 a.03.01.08.b +SCF:IAC-22 pci-dss-4.0.1 _8.3.4 +SCF:IAC-22 pci-dss-4.0.1-saq-a-ep _8.3.4 +SCF:IAC-22 pci-dss-4.0.1-saq-c _8.3.4 +SCF:IAC-22 pci-dss-4.0.1-saq-d-merchant _8.3.4 +SCF:IAC-22 pci-dss-4.0.1-saq-d-service-provider _8.3.4 +SCF:IAC-23 nist-csf-function-grouping protect +SCF:IAC-23 iec-62443-2-1-2024 user-1.17 +SCF:IAC-23 iec-62443-3-3-2013 sr-2.7 +SCF:IAC-23 iec-62443-4-2-2019 cr-2.7 +SCF:IAC-23 nist-800-53-r4 ac-10 +SCF:IAC-23 nist-800-53-r5 ac-10 +SCF:IAC-23 nist-800-53b-r5-high ac-10 +SCF:IAC-23 nist-800-82-r3 ac-10 +SCF:IAC-23 nist-800-82-r3-high-ot-overlay ac-10 +SCF:IAC-24 nist-csf-function-grouping protect +SCF:IAC-24 cis-csc-8.1 _4.3 +SCF:IAC-24 cis-csc-8.1-ig1 _4.3 +SCF:IAC-24 cis-csc-8.1-ig2 _4.3 +SCF:IAC-24 cis-csc-8.1-ig3 _4.3 +SCF:IAC-24 csa-ccm-4.1.0 uem-06 +SCF:IAC-24 iec-62443-2-1-2024 user-1.18 +SCF:IAC-24 iec-62443-3-3-2013 sr-2.5 +SCF:IAC-24 iec-62443-4-2-2019 cr-2.5 +SCF:IAC-24 iec-62443-4-2-2019 cr-2.5-a +SCF:IAC-24 iec-62443-4-2-2019 cr-2.5-b +SCF:IAC-24 nist-800-53-r4 ac-2-5 +SCF:IAC-24 nist-800-53-r4 ac-11 +SCF:IAC-24 nist-800-53-r5 ac-02-05 +SCF:IAC-24 nist-800-53-r5 ac-11 +SCF:IAC-24 nist-800-53b-r5-moderate ac-02-05 +SCF:IAC-24 nist-800-53b-r5-moderate ac-11 +SCF:IAC-24 nist-800-82-r3 ac-02-05 +SCF:IAC-24 nist-800-82-r3 ac-11 +SCF:IAC-24 nist-800-82-r3-moderate-ot-overlay ac-02-05 +SCF:IAC-24 nist-800-82-r3-moderate-ot-overlay ac-11 +SCF:IAC-24 nist-800-82-r3-high-ot-overlay ac-02-05 +SCF:IAC-24 nist-800-82-r3-high-ot-overlay ac-11 +SCF:IAC-24 nist-800-171-r2 _3.1.10 +SCF:IAC-24 nist-800-171-r3 _03.01.10.a +SCF:IAC-24 nist-800-171-r3 _03.01.10.b +SCF:IAC-24 nist-800-171a _3.1.10-a +SCF:IAC-24 nist-800-171a _3.1.10-b +SCF:IAC-24 nist-800-171a _3.1.10-c +SCF:IAC-24 nist-800-171a-r3 a.03.01.10.odp-01 +SCF:IAC-24 nist-800-171a-r3 a.03.01.10.odp-02 +SCF:IAC-24 nist-800-171a-r3 a.03.01.10.a +SCF:IAC-24 nist-800-171a-r3 a.03.01.10.b +SCF:IAC-24 owasp-top-10-2025 a01-2025 +SCF:IAC-24 pci-dss-4.0.1 _8.2.8 +SCF:IAC-24 pci-dss-4.0.1-saq-a-ep _8.2.8 +SCF:IAC-24 pci-dss-4.0.1-saq-c _8.2.8 +SCF:IAC-24 pci-dss-4.0.1-saq-d-merchant _8.2.8 +SCF:IAC-24 pci-dss-4.0.1-saq-d-service-provider _8.2.8 +SCF:IAC-24.1 nist-csf-function-grouping protect +SCF:IAC-24.1 csa-ccm-4.1.0 uem-06 +SCF:IAC-24.1 nist-800-53-r4 ac-11-1 +SCF:IAC-24.1 nist-800-53-r5 ac-11-01 +SCF:IAC-24.1 nist-800-53b-r5-moderate ac-11-01 +SCF:IAC-24.1 nist-800-82-r3 ac-11-01 +SCF:IAC-24.1 nist-800-82-r3-moderate-ot-overlay ac-11-01 +SCF:IAC-24.1 nist-800-82-r3-high-ot-overlay ac-11-01 +SCF:IAC-24.1 nist-800-171-r2 _3.1.10 +SCF:IAC-24.1 nist-800-171-r3 _03.01.10.c +SCF:IAC-24.1 nist-800-171a-r3 a.03.01.10.c +SCF:IAC-24.1 owasp-top-10-2025 a01-2025 +SCF:IAC-25 nist-csf-function-grouping protect +SCF:IAC-25 iec-62443-3-3-2013 sr-2.6 +SCF:IAC-25 nist-800-53-r4 ac-12 +SCF:IAC-25 nist-800-53-r5 ac-12 +SCF:IAC-25 nist-800-53b-r5-moderate ac-12 +SCF:IAC-25 nist-sp-800-66-r2 _164.312-a +SCF:IAC-25 nist-800-82-r3 ac-12 +SCF:IAC-25 nist-800-82-r3-moderate-ot-overlay ac-12 +SCF:IAC-25 nist-800-82-r3-high-ot-overlay ac-12 +SCF:IAC-25 nist-800-160-vol2-r1 ac-12 +SCF:IAC-25 nist-800-171-r2 _3.1.11 +SCF:IAC-25 nist-800-171-r3 _03.01.01.h +SCF:IAC-25 nist-800-171-r3 _03.01.11 +SCF:IAC-25 nist-800-171-r3 _03.07.05.c +SCF:IAC-25 nist-800-171a _3.1.11-a +SCF:IAC-25 nist-800-171a _3.1.11-b +SCF:IAC-25 nist-800-171a-r3 a.03.01.01.odp-05 +SCF:IAC-25 nist-800-171a-r3 a.03.01.01.odp-06 +SCF:IAC-25 nist-800-171a-r3 a.03.01.01.h +SCF:IAC-25 nist-800-171a-r3 a.03.01.11.odp-01 +SCF:IAC-25 nist-800-171a-r3 a.03.01.11 +SCF:IAC-25 nist-800-171a-r3 a.03.07.05.c-01 +SCF:IAC-25 owasp-top-10-2025 a01-2025 +SCF:IAC-25 pci-dss-4.0.1 _8.2.8 +SCF:IAC-25 pci-dss-4.0.1-saq-a-ep _8.2.8 +SCF:IAC-25 pci-dss-4.0.1-saq-c _8.2.8 +SCF:IAC-25 pci-dss-4.0.1-saq-d-merchant _8.2.8 +SCF:IAC-25 pci-dss-4.0.1-saq-d-service-provider _8.2.8 +SCF:IAC-25.1 nist-csf-function-grouping protect +SCF:IAC-25.1 nist-800-53-r4 ac-12-1 +SCF:IAC-25.1 nist-800-53-r5 ac-12-01 +SCF:IAC-25.1 nist-800-82-r3 ac-12-01 +SCF:IAC-26 nist-csf-function-grouping protect +SCF:IAC-26 nist-800-53-r4 ac-14 +SCF:IAC-26 nist-800-53-r5 ac-14 +SCF:IAC-26 nist-800-53b-r5-low ac-14 +SCF:IAC-26 nist-800-82-r3 ac-14 +SCF:IAC-26 nist-800-82-r3-low-ot-overlay ac-14 +SCF:IAC-26 nist-800-82-r3-moderate-ot-overlay ac-14 +SCF:IAC-26 nist-800-82-r3-high-ot-overlay ac-14 +SCF:IAC-26 owasp-top-10-2025 a01-2025 +SCF:IAC-27 nist-csf-function-grouping protect +SCF:IAC-27 nist-800-53-r4 ac-25 +SCF:IAC-27 nist-800-53-r5 ac-25 +SCF:IAC-27 nist-800-82-r3 ac-25 +SCF:IAC-28 nist-csf-function-grouping protect +SCF:IAC-28 nist-800-53-r5 ia-12 +SCF:IAC-28 nist-800-53b-r5-moderate ia-12 +SCF:IAC-28 nist-sp-800-66-r2 _164.312-d +SCF:IAC-28 nist-800-82-r3 ia-12 +SCF:IAC-28 nist-800-82-r3-moderate-ot-overlay ia-12 +SCF:IAC-28 nist-800-82-r3-high-ot-overlay ia-12 +SCF:IAC-28 nist-800-171-r3 _03.05.12.a +SCF:IAC-28 nist-800-171-r3 _03.05.12.c +SCF:IAC-28 nist-csf-2.0 pr.aa-02 +SCF:IAC-28 pci-dss-4.0.1 _8.3.3 +SCF:IAC-28 pci-dss-4.0.1-saq-a-ep _8.3.3 +SCF:IAC-28 pci-dss-4.0.1-saq-c _8.3.3 +SCF:IAC-28 pci-dss-4.0.1-saq-d-merchant _8.3.3 +SCF:IAC-28 pci-dss-4.0.1-saq-d-service-provider _8.3.3 +SCF:IAC-28.1 nist-csf-function-grouping detect +SCF:IAC-28.1 nist-800-53-r4 ac-24 +SCF:IAC-28.1 nist-800-53-r4 ia-4-2 +SCF:IAC-28.1 nist-800-53-r5 ac-24 +SCF:IAC-28.1 nist-800-53-r5 ia-12-01 +SCF:IAC-28.1 nist-sp-800-66-r2 _164.308-a-3 +SCF:IAC-28.1 nist-800-82-r3 ac-24 +SCF:IAC-28.1 nist-800-82-r3 ia-12-01 +SCF:IAC-28.1 nist-800-82-r3-high-ot-overlay ia-12-01 +SCF:IAC-28.1 nist-800-161-r1 ac-24 +SCF:IAC-28.1 nist-800-161-r1-flow-down ac-24 +SCF:IAC-28.1 nist-800-161-r1-level-1 ac-24 +SCF:IAC-28.1 nist-800-161-r1-level-2 ac-24 +SCF:IAC-28.1 nist-800-161-r1-level-3 ac-24 +SCF:IAC-28.1 nist-800-171-r3 _03.01.01.b +SCF:IAC-28.1 nist-800-171-r3 _03.05.05.a +SCF:IAC-28.2 nist-csf-function-grouping protect +SCF:IAC-28.2 nist-800-53-r5 ia-12-02 +SCF:IAC-28.2 nist-800-53b-r5-moderate ia-12-02 +SCF:IAC-28.2 nist-sp-800-66-r2 _164.312-d +SCF:IAC-28.2 nist-800-82-r3 ia-12-02 +SCF:IAC-28.2 nist-800-82-r3-moderate-ot-overlay ia-12-02 +SCF:IAC-28.2 nist-800-82-r3-high-ot-overlay ia-12-02 +SCF:IAC-28.3 nist-csf-function-grouping protect +SCF:IAC-28.3 nist-800-53-r5 ia-12-03 +SCF:IAC-28.3 nist-800-53b-r5-moderate ia-12-03 +SCF:IAC-28.3 nist-sp-800-66-r2 _164.312-d +SCF:IAC-28.3 nist-800-82-r3 ia-12-03 +SCF:IAC-28.3 nist-800-82-r3-moderate-ot-overlay ia-12-03 +SCF:IAC-28.3 nist-800-82-r3-high-ot-overlay ia-12-03 +SCF:IAC-28.4 nist-csf-function-grouping protect +SCF:IAC-28.4 nist-800-53-r4 ia-5-3 +SCF:IAC-28.4 nist-800-53-r5 ia-12-04 +SCF:IAC-28.4 nist-800-53b-r5-privacy ia-12-04 +SCF:IAC-28.4 nist-800-53b-r5-high ia-12-04 +SCF:IAC-28.4 nist-800-82-r3 ia-12-04 +SCF:IRO-02 iso-27002-2022 _6.8 +SCF:IAC-28.4 nist-800-82-r3-high-ot-overlay ia-12-04 +SCF:IAC-28.5 nist-csf-function-grouping protect +SCF:IAC-28.5 nist-800-53-r5 ia-12-05 +SCF:IAC-28.5 nist-800-53b-r5-moderate ia-12-05 +SCF:IAC-28.5 nist-800-82-r3 ia-12-05 +SCF:IAC-28.5 nist-800-82-r3-moderate-ot-overlay ia-12-05 +SCF:IAC-28.5 nist-800-82-r3-high-ot-overlay ia-12-05 +SCF:IAC-29 nist-csf-function-grouping identify +SCF:IAC-29 csa-iot-scf-2 iam-01 +SCF:IAC-29.1 nist-csf-function-grouping protect +SCF:IAC-29.2 nist-csf-function-grouping protect +SCF:IAC-30 nist-csf-function-grouping protect +SCF:IAC-30 iec-62443-2-1-2024 user-1.10 +SCF:IRO-01 nist-csf-function-grouping govern +SCF:IRO-01 cis-csc-8.1 _17.0 +SCF:IRO-01 cis-csc-8.1 _17.5 +SCF:IRO-01 cis-csc-8.1-ig2 _17.5 +SCF:IRO-01 cis-csc-8.1-ig3 _17.5 +SCF:IRO-01 cobit-2019 dss02.01 +SCF:IRO-01 csa-ccm-4.1.0 sef-01 +SCF:IRO-01 csa-iot-scf-2 imt-01 +SCF:IRO-01 iec-62443-2-1-2024 event-1.8 +SCF:IRO-01 iso-sae-21434-2021 rq-13-01 +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-a +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-b +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-c +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-d +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-e +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-f +SCF:IRO-01 iso-sae-21434-2021 rq-13-01-g +SCF:IRO-01 iso-27002-2022 _5.24 +SCF:IRO-01 iso-27017-2015 _16.1.1 +SCF:IRO-01 iso-27018-2025 _5.24 +SCF:IRO-01 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:IRO-01 nist-ai-100-1-ai-rmf-1.0 manage-2.3 +SCF:IRO-01 nist-ai-100-1-ai-rmf-1.0 manage-2.4 +SCF:IRO-01 nist-800-53-r4 ir-1 +SCF:IRO-01 nist-800-53-r5 ir-01 +SCF:IRO-01 nist-800-53b-r5-privacy ir-01 +SCF:IRO-01 nist-800-53b-r5-low ir-01 +SCF:IRO-01 nist-sp-800-66-r2 _164.308-a-1 +SCF:IRO-01 nist-sp-800-66-r2 _164.308-a-6 +SCF:IRO-01 nist-sp-800-66-r2 _164.308-a-7 +SCF:IRO-01 nist-800-82-r3 ir-01 +SCF:IRO-01 nist-800-82-r3-low-ot-overlay ir-01 +SCF:IRO-01 nist-800-82-r3-moderate-ot-overlay ir-01 +SCF:IRO-01 nist-800-82-r3-high-ot-overlay ir-01 +SCF:IRO-01 nist-800-161-r1 ir-1 +SCF:IRO-01 nist-800-161-r1-c-scrm-baseline ir-1 +SCF:IRO-01 nist-800-161-r1-flow-down ir-1 +SCF:IRO-01 nist-800-161-r1-level-1 ir-1 +SCF:IRO-01 nist-800-161-r1-level-2 ir-1 +SCF:IRO-01 nist-800-161-r1-level-3 ir-1 +SCF:IRO-01 nist-800-171-r2 nfo-ir-1 +SCF:IRO-01 nist-800-171-r3 _03.06.01 +SCF:IRO-01 nist-800-171a _3.6.1-a +SCF:IRO-01 nist-800-171a _3.6.1-b +SCF:IRO-01 nist-800-171a _3.6.1-c +SCF:IRO-01 nist-800-171a _3.6.1-d +SCF:IRO-01 nist-800-171a _3.6.1-e +SCF:IRO-01 nist-800-171a _3.6.1-f +SCF:IRO-01 nist-800-171a-r3 a.03.06.01-01 +SCF:IRO-01 nist-csf-2.0 gv.sc-08 +SCF:IRO-01 nist-csf-2.0 de.ae +SCF:IRO-01 nist-csf-2.0 rs +SCF:IRO-01 nist-csf-2.0 rs.mi +SCF:IRO-01 pci-dss-4.0.1 _10.7 +SCF:IRO-01 pci-dss-4.0.1 _10.7.1 +SCF:IRO-01 pci-dss-4.0.1 _10.7.2 +SCF:IRO-01 pci-dss-4.0.1 _10.7.3 +SCF:IRO-01 pci-dss-4.0.1 _12.10 +SCF:IRO-01 pci-dss-4.0.1 a3.5 +SCF:IRO-01 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:IRO-01 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:IRO-01 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:IRO-01 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:IRO-01 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:IRO-02 nist-csf-function-grouping respond +SCF:IRO-02 cis-csc-8.1 _2.3 +SCF:IRO-02 cis-csc-8.1 _17.0 +SCF:IRO-02 cis-csc-8.1 _17.1 +SCF:IRO-02 cis-csc-8.1 _17.3 +SCF:IRO-02 cis-csc-8.1 _17.4 +SCF:IRO-02 cis-csc-8.1 _17.5 +SCF:IRO-02 cis-csc-8.1 _17.6 +SCF:IRO-02 cis-csc-8.1 _17.9 +SCF:IRO-02 cis-csc-8.1-ig1 _2.3 +SCF:IRO-02 cis-csc-8.1-ig1 _17.1 +SCF:IRO-02 cis-csc-8.1-ig1 _17.3 +SCF:IRO-02 cis-csc-8.1-ig2 _2.3 +SCF:IRO-02 cis-csc-8.1-ig2 _17.1 +SCF:IRO-02 cis-csc-8.1-ig2 _17.3 +SCF:IRO-02 cis-csc-8.1-ig2 _17.4 +SCF:IRO-02 cis-csc-8.1-ig2 _17.5 +SCF:IRO-02 cis-csc-8.1-ig2 _17.6 +SCF:IRO-02 cis-csc-8.1-ig3 _2.3 +SCF:IRO-02 cis-csc-8.1-ig3 _17.1 +SCF:IRO-02 cis-csc-8.1-ig3 _17.3 +SCF:IRO-02 cis-csc-8.1-ig3 _17.4 +SCF:IRO-02 cis-csc-8.1-ig3 _17.5 +SCF:IRO-02 cis-csc-8.1-ig3 _17.6 +SCF:IRO-02 cis-csc-8.1-ig3 _17.9 +SCF:IRO-02 cobit-2019 dss02.01 +SCF:IRO-02 cobit-2019 dss02.02 +SCF:IRO-02 cobit-2019 dss02.03 +SCF:IRO-02 cobit-2019 dss02.04 +SCF:IRO-02 cobit-2019 dss02.05 +SCF:IRO-02 cobit-2019 dss02.06 +SCF:IRO-02 cobit-2019 dss03.02 +SCF:IRO-02 csa-ccm-4.1.0 sef-03 +SCF:IRO-02 csa-ccm-4.1.0 sef-06 +SCF:IRO-02 csa-ccm-4.1.0 sef-07 +SCF:IRO-02 csa-iot-scf-2 iam-08 +SCF:IRO-02 csa-iot-scf-2 iam-09 +SCF:IRO-02 csa-iot-scf-2 imt-01 +SCF:IRO-02 csa-iot-scf-2 mon-02 +SCF:IRO-02 iec-62443-2-1-2024 event-1.8 +SCF:IRO-02 iso-27002-2022 _5.24 +SCF:IRO-02 iso-27002-2022 _5.25 +SCF:IRO-02 iso-27002-2022 _5.26 +SCF:IRO-02 iso-27017-2015 _16.1.3 +SCF:IRO-02 iso-27017-2015 _16.1.4 +SCF:IRO-02 iso-27017-2015 _16.1.5 +SCF:IRO-02 iso-27018-2025 _5.24 +SCF:IRO-02 iso-27018-2025 _5.25 +SCF:IRO-02 iso-27018-2025 _5.26 +SCF:IRO-02 iso-27018-2025 _6.8 +SCF:IRO-02 iso-42001-2023 a.3.3 +SCF:IRO-02 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:IRO-02 nist-ai-100-1-ai-rmf-1.0 manage-2.3 +SCF:IRO-02 nist-ai-100-1-ai-rmf-1.0 manage-2.4 +SCF:IRO-02 nist-privacy-framework-1.0 gv.mt-p5 +SCF:IRO-02 nist-800-53-r4 ir-4 +SCF:IRO-02 nist-800-53-r5 ir-04 +SCF:IRO-02 nist-800-53b-r5-privacy ir-04 +SCF:IRO-02 nist-800-53b-r5-low ir-04 +SCF:IRO-02 nist-sp-800-66-r2 _164.308-a-6 +SCF:IRO-02 nist-800-82-r3 ir-04 +SCF:IRO-02 nist-800-82-r3-low-ot-overlay ir-04 +SCF:IRO-02 nist-800-82-r3-moderate-ot-overlay ir-04 +SCF:IRO-02 nist-800-82-r3-high-ot-overlay ir-04 +SCF:IRO-02 nist-800-161-r1 ir-4 +SCF:IRO-02 nist-800-171-r2 _3.6.1 +SCF:IRO-02 nist-800-171-r2 _3.6.2 +SCF:IRO-02 nist-800-171-r3 _03.03.04.b +SCF:IRO-02 nist-800-171-r3 _03.06.01 +SCF:IRO-02 nist-800-171-r3 _03.06.02.a +SCF:IRO-02 nist-800-171-r3 _03.06.02.b +SCF:IRO-02 nist-800-171-r3 _03.06.02.c +SCF:IRO-02 nist-800-171-r3 _03.06.02.d +SCF:IRO-02 nist-800-171a _3.6.1-a +SCF:IRO-02 nist-800-171a _3.6.1-b +SCF:IRO-02 nist-800-171a _3.6.1-c +SCF:IRO-02 nist-800-171a _3.6.1-d +SCF:IRO-02 nist-800-171a _3.6.1-e +SCF:IRO-02 nist-800-171a _3.6.1-f +SCF:IRO-02 nist-800-171a _3.6.1-g +SCF:IRO-02 nist-800-171a _3.6.2-a +SCF:IRO-02 nist-800-171a _3.6.2-b +SCF:IRO-02 nist-800-171a _3.6.2-c +SCF:IRO-02 nist-800-171a _3.6.2-d +SCF:IRO-02 nist-800-171a _3.6.2-e +SCF:IRO-02 nist-800-171a _3.6.2-f +SCF:IRO-02 nist-800-171a-r3 a.03.06.01-02 +SCF:IRO-02 nist-800-171a-r3 a.03.06.01-03 +SCF:IRO-02 nist-800-171a-r3 a.03.06.01-04 +SCF:IRO-02 nist-800-171a-r3 a.03.06.01-05 +SCF:IRO-02 nist-800-171a-r3 a.03.06.01-06 +SCF:IRO-02 nist-800-171a-r3 a.03.06.02.b +SCF:IRO-02 nist-csf-2.0 gv.sc-08 +SCF:IRO-02 nist-csf-2.0 de.ae +SCF:IRO-02 nist-csf-2.0 de.ae-02 +SCF:IRO-02 nist-csf-2.0 de.ae-03 +SCF:IRO-02 nist-csf-2.0 de.ae-04 +SCF:IRO-02 nist-csf-2.0 de.ae-06 +SCF:IRO-02 nist-csf-2.0 de.ae-08 +SCF:IRO-02 nist-csf-2.0 rs +SCF:IRO-02 nist-csf-2.0 rs.ma +SCF:IRO-02 nist-csf-2.0 rs.ma-01 +SCF:IRO-02 nist-csf-2.0 rs.ma-02 +SCF:IRO-02 nist-csf-2.0 rs.ma-04 +SCF:IRO-02 nist-csf-2.0 rs.an +SCF:IRO-02 nist-csf-2.0 rs.an-06 +SCF:IRO-02 nist-csf-2.0 rs.co +SCF:IRO-02 nist-csf-2.0 rs.co-02 +SCF:IRO-02 nist-csf-2.0 rs.co-03 +SCF:IRO-02 nist-csf-2.0 rs.mi +SCF:IRO-02 nist-csf-2.0 rs.mi-01 +SCF:IRO-02 nist-csf-2.0 rs.mi-02 +SCF:IRO-02 nist-csf-2.0 rc.rp-06 +SCF:IRO-02 pci-dss-4.0.1 _12.10 +SCF:IRO-02 pci-dss-4.0.1 _12.10.5 +SCF:IRO-02 pci-dss-4.0.1 a3.3.1.2 +SCF:IRO-02 pci-dss-4.0.1-saq-d-merchant _12.10.5 +SCF:IRO-02 pci-dss-4.0.1-saq-d-service-provider _12.10.5 +SCF:IRO-02.1 nist-csf-function-grouping respond +SCF:IRO-02.1 csa-iot-scf-2 iam-08 +SCF:IRO-02.1 nist-800-53-r4 ir-4-1 +SCF:IRO-02.1 nist-800-53-r4 si-4-7 +SCF:IRO-02.1 nist-800-53-r5 ir-04-01 +SCF:IRO-02.1 nist-800-53-r5 si-04-07 +SCF:IRO-02.1 nist-800-53b-r5-privacy si-04-07 +SCF:IRO-02.1 nist-800-53b-r5-moderate ir-04-01 +SCF:IRO-02.1 nist-800-82-r3 ir-04-01 +SCF:IRO-02.1 nist-800-82-r3 si-04-07 +SCF:IRO-02.1 nist-800-82-r3-moderate-ot-overlay ir-04-01 +SCF:IRO-02.1 nist-800-82-r3-high-ot-overlay ir-04-01 +SCF:IRO-02.1 nist-800-160-vol2-r1 si-04-07 +SCF:IRO-02.2 nist-csf-function-grouping protect +SCF:IRO-02.2 nist-800-53-r4 ir-4-6 +SCF:IRO-02.2 nist-800-53-r5 ir-04-06 +SCF:IRO-02.2 nist-800-53-r5 ir-04-07 +SCF:IRO-02.2 nist-800-82-r3 ir-04-06 +SCF:IRO-02.2 nist-800-82-r3 ir-04-07 +SCF:IRO-02.2 nist-800-161-r1 ir-4-6 +SCF:IRO-02.2 nist-800-161-r1 ir-4-7 +SCF:IRO-02.2 nist-800-161-r1-level-1 ir-4-6 +SCF:IRO-02.2 nist-800-161-r1-level-1 ir-4-7 +SCF:IRO-02.2 nist-800-161-r1-level-2 ir-4-6 +SCF:IRO-02.2 nist-800-161-r1-level-2 ir-4-7 +SCF:IRO-02.2 nist-800-161-r1-level-3 ir-4-6 +SCF:IRO-02.2 nist-800-161-r1-level-3 ir-4-7 +SCF:IRO-02.3 nist-csf-function-grouping respond +SCF:IRO-02.3 nist-800-53-r4 ir-4-2 +SCF:IRO-02.3 nist-800-53-r5 ir-04-02 +SCF:IRO-02.3 nist-800-82-r3 ir-04-02 +SCF:IRO-02.3 nist-800-160-vol2-r1 ir-04-02 +SCF:IRO-02.4 nist-csf-function-grouping respond +SCF:IRO-02.4 cobit-2019 dss03.01 +SCF:IRO-02.4 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:IRO-02.4 nist-800-53-r4 ir-4-3 +SCF:IRO-02.4 nist-800-53-r5 ir-04-03 +SCF:IRO-02.4 nist-800-53b-r5-privacy ir-04-03 +SCF:IRO-02.4 nist-800-82-r3 ir-04-03 +SCF:IRO-02.4 nist-800-160-vol2-r1 ir-04-03 +SCF:IRO-02.4 nist-csf-2.0 de.ae +SCF:IRO-02.4 nist-csf-2.0 de.ae-02 +SCF:IRO-02.4 nist-csf-2.0 de.ae-04 +SCF:IRO-02.4 nist-csf-2.0 de.ae-06 +SCF:IRO-02.4 nist-csf-2.0 de.ae-08 +SCF:IRO-02.4 nist-csf-2.0 rs.ma-03 +SCF:IRO-02.4 nist-csf-2.0 rs.an-08 +SCF:IRO-02.4 pci-dss-4.0.1 _12.10 +SCF:IRO-02.5 nist-csf-function-grouping respond +SCF:IRO-02.5 nist-800-53-r4 ir-4-8 +SCF:IRO-02.5 nist-800-53-r5 ir-04-08 +SCF:IRO-02.5 nist-800-82-r3 ir-04-08 +SCF:IRO-02.5 nist-800-161-r1 ir-1-1 +SCF:IRO-02.5 nist-csf-2.0 gv.sc-08 +SCF:IRO-02.5 nist-csf-2.0 de.ae-03 +SCF:IRO-02.5 nist-csf-2.0 rs.ma-01 +SCF:IRO-02.5 nist-csf-2.0 rs.co +SCF:IRO-02.6 nist-csf-function-grouping respond +SCF:IRO-02.6 csa-iot-scf-2 iam-08 +SCF:IRO-02.6 nist-800-53-r5 ir-04-05 +SCF:IRO-02.6 nist-800-53b-r5-privacy ir-04-05 +SCF:IRO-02.6 nist-800-82-r3 ir-04-05 +SCF:IRO-03 nist-csf-function-grouping respond +SCF:IRO-03 cobit-2019 dss02.01 +SCF:IRO-03 csa-ccm-4.1.0 log-14 +SCF:IRO-03 csa-iot-scf-2 iam-09 +SCF:IRO-03 csa-iot-scf-2 mon-02 +SCF:IRO-03 csa-iot-scf-2 mon-09 +SCF:IRO-03 csa-iot-scf-2 mon-11 +SCF:IRO-03 nist-800-171-r2 _3.14.7 +SCF:IRO-03 nist-csf-2.0 de.cm +SCF:IRO-04 nist-csf-function-grouping respond +SCF:IRO-04 cis-csc-8.1 _17.1 +SCF:IRO-04 cis-csc-8.1 _17.4 +SCF:IRO-04 cis-csc-8.1 _17.5 +SCF:IRO-04 cis-csc-8.1 _17.6 +SCF:IRO-04 cis-csc-8.1 _17.9 +SCF:IRO-04 cis-csc-8.1-ig1 _17.1 +SCF:IRO-04 cis-csc-8.1-ig2 _17.1 +SCF:IRO-04 cis-csc-8.1-ig2 _17.4 +SCF:IRO-04 cis-csc-8.1-ig2 _17.5 +SCF:IRO-04 cis-csc-8.1-ig2 _17.6 +SCF:IRO-04 cis-csc-8.1-ig3 _17.1 +SCF:IRO-04 cis-csc-8.1-ig3 _17.4 +SCF:IRO-04 cis-csc-8.1-ig3 _17.5 +SCF:IRO-04 cis-csc-8.1-ig3 _17.6 +SCF:IRO-04 cis-csc-8.1-ig3 _17.9 +SCF:IRO-04 cobit-2019 dss02.01 +SCF:IRO-04 csa-ccm-4.1.0 sef-03 +SCF:IRO-04 csa-ccm-4.1.0 sef-07 +SCF:IRO-04 csa-iot-scf-2 iam-09 +SCF:IRO-04 csa-iot-scf-2 imt-01 +SCF:IRO-04 iso-sae-21434-2021 rq-13-02 +SCF:IRO-04 iso-27002-2022 _5.24 +SCF:IRO-04 iso-27002-2022 _5.26 +SCF:IRO-04 iso-27017-2015 _16.1.5 +SCF:IRO-04 iso-27018-2025 _5.24 +SCF:IRO-04 iso-27018-2025 _5.26 +SCF:IRO-04 nist-ai-100-1-ai-rmf-1.0 govern-6.2 +SCF:IRO-04 nist-ai-100-1-ai-rmf-1.0 manage-4.0 +SCF:IRO-04 nist-ai-600-1 gv-6.2-003 +SCF:IRO-04 nist-ai-600-1 mg-2.3-001 +SCF:IRO-04 nist-ai-600-1 mg-4.2-002 +SCF:IRO-04 nist-privacy-framework-1.0 pr.po-p7 +SCF:IRO-04 nist-800-53-r4 ir-8 +SCF:IRO-04 nist-800-53-r5 ir-08 +SCF:IRO-04 nist-800-53b-r5-privacy ir-08 +SCF:IRO-04 nist-800-53b-r5-low ir-08 +SCF:IRO-04 nist-800-82-r3 ir-08 +SCF:IRO-04 nist-800-82-r3-low-ot-overlay ir-08 +SCF:IRO-04 nist-800-82-r3-moderate-ot-overlay ir-08 +SCF:IRO-04 nist-800-82-r3-high-ot-overlay ir-08 +SCF:IRO-04 nist-800-161-r1 ir-8 +SCF:IRO-04 nist-800-161-r1-c-scrm-baseline ir-8 +SCF:IRO-04 nist-800-161-r1-flow-down ir-8 +SCF:IRO-04 nist-800-161-r1-level-2 ir-8 +SCF:IRO-04 nist-800-161-r1-level-3 ir-8 +SCF:IRO-04 nist-800-171-r2 nfo-ir-8 +SCF:IRO-04 nist-800-171-r3 _03.06.01 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.01 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.02 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.03 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.04 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.05 +SCF:IRO-04 nist-800-171-r3 _03.06.05.a.06 +SCF:IRO-04 nist-800-171-r3 _03.06.05.b +SCF:IRO-04 nist-800-171a-r3 a.03.06.02.odp-01 +SCF:IRO-04 nist-800-171a-r3 a.03.06.02.odp-02 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.01 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.02 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.03 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.04 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.05 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.a.06 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.b-01 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.b-02 +SCF:IRO-04 nist-800-171a-r3 a.03.06.05.d +SCF:IRO-04 nist-csf-2.0 id.im-04 +SCF:IRO-04 nist-csf-2.0 de.ae-06 +SCF:IRO-04 nist-csf-2.0 rs +SCF:IRO-04 nist-csf-2.0 rs.ma +SCF:IRO-04 nist-csf-2.0 rs.ma-01 +SCF:IRO-04 nist-csf-2.0 rs.ma-02 +SCF:IRO-04 nist-csf-2.0 rs.ma-04 +SCF:IRO-04 nist-csf-2.0 rs.mi +SCF:IRO-04 pci-dss-4.0.1 _12.10 +SCF:IRO-04 pci-dss-4.0.1 _12.10.1 +SCF:IRO-04 pci-dss-4.0.1 _12.10.5 +SCF:IRO-04 pci-dss-4.0.1 _12.10.7 +SCF:IRO-04 pci-dss-4.0.1-saq-a _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-a-ep _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-b _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-b-ip _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-c _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-c-vt _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-d-merchant _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-d-merchant _12.10.5 +SCF:IRO-04 pci-dss-4.0.1-saq-d-merchant _12.10.7 +SCF:IRO-04 pci-dss-4.0.1-saq-d-service-provider _12.10.1 +SCF:IRO-04 pci-dss-4.0.1-saq-d-service-provider _12.10.5 +SCF:IRO-04 pci-dss-4.0.1-saq-d-service-provider _12.10.7 +SCF:IRO-04 pci-dss-4.0.1-saq-p2pe _12.10.1 +SCF:IRO-04.1 nist-csf-function-grouping respond +SCF:IRO-04.1 csa-ccm-4.1.0 sef-08 +SCF:IRO-04.1 csa-iot-scf-2 gvn-06 +SCF:IRO-04.1 iso-27002-2022 _5.25 +SCF:IRO-04.1 iso-27018-2025 _5.25 +SCF:IRO-04.1 nist-privacy-framework-1.0 cm.aw-p7 +SCF:IRO-04.1 nist-privacy-framework-1.0 cm.aw-p8 +SCF:IRO-04.1 nist-800-53-r4 se-2 +SCF:IRO-04.1 nist-800-53-r5 ir-08-01 +SCF:IRO-04.1 nist-800-53b-r5-privacy ir-08-01 +SCF:IRO-04.1 nist-800-82-r3 ir-08-01 +SCF:IRO-04.2 nist-csf-function-grouping respond +SCF:IRO-04.2 cobit-2019 dss03.04 +SCF:IRO-04.2 nist-800-53-r4 ir-1 +SCF:IRO-04.2 nist-800-53-r5 ir-01 +SCF:IRO-04.2 nist-800-53b-r5-privacy ir-01 +SCF:IRO-04.2 nist-800-53b-r5-low ir-01 +SCF:IRO-04.2 nist-800-82-r3 ir-01 +SCF:IRO-04.2 nist-800-82-r3-low-ot-overlay ir-01 +SCF:IRO-04.2 nist-800-82-r3-moderate-ot-overlay ir-01 +SCF:IRO-04.2 nist-800-82-r3-high-ot-overlay ir-01 +SCF:IRO-04.2 nist-800-161-r1 ir-1 +SCF:IRO-04.2 nist-800-161-r1-c-scrm-baseline ir-1 +SCF:IRO-04.2 nist-800-161-r1-flow-down ir-1 +SCF:IRO-04.2 nist-800-161-r1-level-1 ir-1 +SCF:IRO-04.2 nist-800-161-r1-level-2 ir-1 +SCF:IRO-04.2 nist-800-161-r1-level-3 ir-1 +SCF:IRO-04.2 nist-800-171-r2 nfo-ir-1 +SCF:IRO-04.2 nist-800-171-r3 _03.06.04.b +SCF:IRO-04.2 nist-800-171-r3 _03.06.05.c +SCF:IRO-04.2 nist-800-171a-r3 a.03.06.05.c +SCF:IRO-04.2 nist-csf-2.0 id.im-04 +SCF:IRO-04.2 pci-dss-4.0.1 _12.10.2 +SCF:IRO-04.2 pci-dss-4.0.1 _12.10.6 +SCF:IRO-04.2 pci-dss-4.0.1-saq-d-merchant _12.10.2 +SCF:IRO-04.2 pci-dss-4.0.1-saq-d-merchant _12.10.6 +SCF:IRO-04.2 pci-dss-4.0.1-saq-d-service-provider _12.10.2 +SCF:IRO-04.2 pci-dss-4.0.1-saq-d-service-provider _12.10.6 +SCF:IRO-04.3 nist-csf-function-grouping identify +SCF:IRO-04.3 cobit-2019 dss03.04 +SCF:IRO-04.3 cobit-2019 dss03.05 +SCF:IRO-04.3 nist-800-53-r5 ir-03-03 +SCF:IRO-04.3 nist-800-82-r3 ir-03-03 +SCF:IRO-04.3 nist-800-171-r3 _03.06.04.b +SCF:IRO-05 nist-csf-function-grouping respond +SCF:IRO-05 iso-27002-2022 _5.29 +SCF:IRO-05 iso-27018-2025 _5.29 +SCF:IRO-05 nist-800-53-r4 ir-2 +SCF:IRO-05 nist-800-53-r5 ir-02 +SCF:IRO-05 nist-800-53-r5 ir-02-03 +SCF:IRO-05 nist-800-53b-r5-privacy ir-02 +SCF:IRO-05 nist-800-53b-r5-privacy ir-02-03 +SCF:IRO-05 nist-800-53b-r5-low ir-02 +SCF:IRO-05 nist-800-82-r3 ir-02 +SCF:IRO-05 nist-800-82-r3 ir-02-03 +SCF:IRO-05 nist-800-82-r3-low-ot-overlay ir-02 +SCF:IRO-05 nist-800-82-r3-moderate-ot-overlay ir-02 +SCF:IRO-05 nist-800-82-r3-high-ot-overlay ir-02 +SCF:IRO-05 nist-800-161-r1 ir-2 +SCF:IRO-05 nist-800-161-r1-c-scrm-baseline ir-2 +SCF:IRO-05 nist-800-161-r1-flow-down ir-2 +SCF:IRO-05 nist-800-161-r1-level-2 ir-2 +SCF:IRO-05 nist-800-161-r1-level-3 ir-2 +SCF:IRO-05 nist-800-171-r2 _3.6.1 +SCF:IRO-05 nist-800-171-r3 _03.06.04.a +SCF:IRO-05 nist-800-171-r3 _03.06.04.a.03 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.odp-01 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.odp-02 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.odp-03 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.odp-04 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.a.01 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.b-01 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.b-02 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.b-03 +SCF:IRO-05 nist-800-171a-r3 a.03.06.04.b-04 +SCF:IRO-05 pci-dss-4.0.1 _12.10.4 +SCF:IRO-05 pci-dss-4.0.1 _12.10.4.1 +SCF:IRO-05 pci-dss-4.0.1-saq-d-merchant _12.10.4 +SCF:IRO-05 pci-dss-4.0.1-saq-d-merchant _12.10.4.1 +SCF:IRO-05 pci-dss-4.0.1-saq-d-service-provider _12.10.4 +SCF:IRO-05 pci-dss-4.0.1-saq-d-service-provider _12.10.4.1 +SCF:IRO-05.1 nist-csf-function-grouping respond +SCF:IRO-05.1 nist-800-53-r4 ir-2-1 +SCF:IRO-05.1 nist-800-53-r5 ir-02-01 +SCF:IRO-05.1 nist-800-53b-r5-high ir-02-01 +SCF:IRO-05.1 nist-800-82-r3 ir-02-01 +SCF:IRO-05.1 nist-800-82-r3-high-ot-overlay ir-02-01 +SCF:IRO-05.2 nist-csf-function-grouping respond +SCF:IRO-05.2 nist-800-53-r4 ir-2-2 +SCF:IRO-05.2 nist-800-53-r5 ir-02-02 +SCF:IRO-05.2 nist-800-53b-r5-high ir-02-02 +SCF:IRO-05.2 nist-800-82-r3 ir-02-02 +SCF:IRO-05.2 nist-800-82-r3-high-ot-overlay ir-02-02 +SCF:IRO-06 nist-csf-function-grouping respond +SCF:IRO-06 cis-csc-8.1 _17.7 +SCF:IRO-06 cis-csc-8.1-ig2 _17.7 +SCF:IRO-06 cis-csc-8.1-ig3 _17.7 +SCF:IRO-06 csa-ccm-4.1.0 sef-04 +SCF:IRO-06 iso-27002-2022 _5.3 +SCF:IRO-06 iso-27018-2025 _5.30 +SCF:IRO-06 nist-ai-600-1 gv-6.2-003 +SCF:IRO-06 nist-privacy-framework-1.0 pr.po-p8 +SCF:IRO-06 nist-800-53-r4 ir-3 +SCF:IRO-06 nist-800-53-r4 si-4-9 +SCF:IRO-06 nist-800-53-r5 ir-03 +SCF:IRO-06 nist-800-53-r5 si-04-09 +SCF:IRO-06 nist-800-53b-r5-privacy ir-03 +SCF:IRO-06 nist-800-53b-r5-moderate ir-03 +SCF:IRO-06 nist-800-82-r3 ir-03 +SCF:IRO-06 nist-800-82-r3 si-04-09 +SCF:IRO-06 nist-800-82-r3-moderate-ot-overlay ir-03 +SCF:IRO-06 nist-800-82-r3-high-ot-overlay ir-03 +SCF:IRO-06 nist-800-161-r1 ir-3 +SCF:IRO-06 nist-800-161-r1-level-2 ir-3 +SCF:IRO-06 nist-800-161-r1-level-3 ir-3 +SCF:IRO-06 nist-800-171-r2 _3.6.3 +SCF:IRO-06 nist-800-171-r3 _03.06.03 +SCF:IRO-06 nist-800-171a _3.6.3 +SCF:IRO-06 nist-800-171a-r3 a.03.06.03.odp-01 +SCF:IRO-06 nist-800-171a-r3 a.03.06.03 +SCF:IRO-06 pci-dss-4.0.1 _12.10.2 +SCF:IRO-06 pci-dss-4.0.1-saq-d-merchant _12.10.2 +SCF:IRO-06 pci-dss-4.0.1-saq-d-service-provider _12.10.2 +SCF:IRO-06.1 nist-csf-function-grouping protect +SCF:IRO-06.1 iso-27002-2022 _5.29 +SCF:IRO-06.1 iso-27018-2025 _5.29 +SCF:IRO-06.1 nist-800-53-r4 ir-3-2 +SCF:IRO-06.1 nist-800-53-r5 ir-03-02 +SCF:IRO-06.1 nist-800-53b-r5-moderate ir-03-02 +SCF:IRO-06.1 nist-800-82-r3 ir-03-02 +SCF:IRO-06.1 nist-800-82-r3-moderate-ot-overlay ir-03-02 +SCF:IRO-06.1 nist-800-82-r3-high-ot-overlay ir-03-02 +SCF:IRO-06.1 nist-csf-2.0 rs.co +SCF:IRO-07 nist-csf-function-grouping respond +SCF:IRO-07 cis-csc-8.1 _17.1 +SCF:IRO-07 cis-csc-8.1 _17.4 +SCF:IRO-07 cis-csc-8.1 _17.5 +SCF:IRO-07 cis-csc-8.1 _17.6 +SCF:IRO-07 cis-csc-8.1 _17.9 +SCF:IRO-07 cis-csc-8.1-ig1 _17.1 +SCF:IRO-07 cis-csc-8.1-ig2 _17.1 +SCF:IRO-07 cis-csc-8.1-ig2 _17.4 +SCF:IRO-07 cis-csc-8.1-ig2 _17.5 +SCF:IRO-07 cis-csc-8.1-ig2 _17.6 +SCF:IRO-07 cis-csc-8.1-ig3 _17.1 +SCF:IRO-07 cis-csc-8.1-ig3 _17.4 +SCF:IRO-07 cis-csc-8.1-ig3 _17.5 +SCF:IRO-07 cis-csc-8.1-ig3 _17.6 +SCF:IRO-07 cis-csc-8.1-ig3 _17.9 +SCF:IRO-07 csa-iot-scf-2 imt-01 +SCF:IRO-07 iso-27002-2022 _5.25 +SCF:IRO-07 iso-27002-2022 _5.26 +SCF:IRO-07 iso-27017-2015 _16.1.4 +SCF:IRO-07 iso-27018-2025 _5.25 +SCF:IRO-07 iso-27018-2025 _5.26 +SCF:IRO-07 nist-800-53-r4 ir-10 +SCF:IRO-07 nist-800-53-r5 ir-04-11 +SCF:IRO-07 nist-800-53b-r5-high ir-04-11 +SCF:IRO-07 nist-800-82-r3 ir-04-11 +SCF:IRO-07 nist-800-82-r3-high-ot-overlay ir-04-11 +SCF:IRO-07 nist-800-160-vol2-r1 ir-04-11 +SCF:IRO-07 nist-800-161-r1 ir-4-11 +SCF:IRO-07 nist-800-161-r1-level-3 ir-4-11 +SCF:IRO-07 nist-800-171a-r3 a.03.06.02.b +SCF:IRO-07 nist-800-171a-r3 a.03.06.02.d +SCF:IRO-07 nist-800-172 _3.6.2e +SCF:IRO-07 nist-csf-2.0 de.ae-06 +SCF:IRO-07 nist-csf-2.0 rs +SCF:IRO-07 nist-csf-2.0 rs.ma +SCF:IRO-07 nist-csf-2.0 rs.ma-01 +SCF:IRO-07 nist-csf-2.0 rs.ma-04 +SCF:IRO-07 pci-dss-4.0.1 _12.10.3 +SCF:IRO-07 pci-dss-4.0.1-saq-a-ep _12.10.3 +SCF:IRO-07 pci-dss-4.0.1-saq-c _12.10.3 +SCF:IRO-07 pci-dss-4.0.1-saq-d-merchant _12.10.3 +SCF:IRO-07 pci-dss-4.0.1-saq-d-service-provider _12.10.3 +SCF:IRO-08 nist-csf-function-grouping respond +SCF:IRO-08 csa-iot-scf-2 imt-01 +SCF:IRO-08 iso-27002-2022 _5.26 +SCF:IRO-08 iso-27002-2022 _5.28 +SCF:IRO-08 iso-27017-2015 _16.1.7 +SCF:IRO-08 iso-27018-2025 _5.26 +SCF:IRO-08 iso-27018-2025 _5.28 +SCF:IRO-08 nist-800-53-r4 au-10-3 +SCF:IRO-08 nist-800-53-r5 au-10-03 +SCF:IRO-08 nist-800-53-r5 ir-04-12 +SCF:IRO-08 nist-800-53b-r5-privacy ir-04-12 +SCF:IRO-08 nist-800-82-r3 au-10-03 +SCF:IRO-08 nist-800-82-r3 ir-04-12 +SCF:IRO-08 nist-800-160-vol2-r1 ir-04-12 +SCF:IRO-08 nist-800-161-r1 au-10-3 +SCF:IRO-08 nist-800-161-r1-level-2 au-10-3 +SCF:IRO-08 nist-800-161-r1-level-3 au-10-3 +SCF:IRO-08 nist-csf-2.0 rs.an +SCF:IRO-08 nist-csf-2.0 rs.an-06 +SCF:IRO-08 nist-csf-2.0 rs.an-07 +SCF:IRO-08.1 nist-csf-function-grouping protect +SCF:IRO-09 nist-csf-function-grouping detect +SCF:IRO-09 cis-csc-8.1 _17.2 +SCF:IRO-09 cis-csc-8.1 _17.6 +SCF:IRO-09 cis-csc-8.1-ig1 _17.2 +SCF:IRO-09 cis-csc-8.1-ig2 _17.2 +SCF:IRO-09 cis-csc-8.1-ig2 _17.6 +SCF:IRO-09 cis-csc-8.1-ig3 _17.2 +SCF:IRO-09 cis-csc-8.1-ig3 _17.6 +SCF:IRO-09 cobit-2019 dss02.02 +SCF:IRO-09 cobit-2019 dss02.05 +SCF:IRO-09 cobit-2019 dss02.07 +SCF:IRO-09 iso-27002-2022 _5.25 +SCF:IRO-09 iso-27018-2025 _5.25 +SCF:IRO-09 nist-800-53-r4 ir-5 +SCF:IRO-09 nist-800-53-r5 ir-05 +SCF:IRO-09 nist-800-53b-r5-privacy ir-05 +SCF:IRO-09 nist-800-53b-r5-low ir-05 +SCF:IRO-09 nist-sp-800-66-r2 _164.308-a-1 +SCF:IRO-09 nist-800-82-r3 ir-05 +SCF:IRO-09 nist-800-82-r3-low-ot-overlay ir-05 +SCF:IRO-09 nist-800-82-r3-moderate-ot-overlay ir-05 +SCF:IRO-09 nist-800-82-r3-high-ot-overlay ir-05 +SCF:IRO-09 nist-800-160-vol2-r1 ir-05 +SCF:IRO-09 nist-800-161-r1 ir-5 +SCF:IRO-09 nist-800-161-r1-c-scrm-baseline ir-5 +SCF:IRO-09 nist-800-161-r1-level-2 ir-5 +SCF:IRO-09 nist-800-161-r1-level-3 ir-5 +SCF:IRO-09 nist-800-171-r3 _03.06.02.a +SCF:IRO-09 nist-800-171-r3 _03.06.02.b +SCF:IRO-09 nist-800-171a-r3 a.03.06.02.a-01 +SCF:IRO-09 nist-800-171a-r3 a.03.06.02.a-02 +SCF:IRO-09 nist-csf-2.0 de.ae-06 +SCF:IRO-09 nist-csf-2.0 rs +SCF:IRO-09 nist-csf-2.0 rs.an-06 +SCF:IRO-09 nist-csf-2.0 rs.co +SCF:IRO-09 nist-csf-2.0 rc.rp-06 +SCF:IRO-09 pci-dss-4.0.1 a3.3.1 +SCF:IRO-09.1 nist-csf-function-grouping detect +SCF:IRO-09.1 nist-800-53-r4 ir-5-1 +SCF:IRO-09.1 nist-800-53-r5 ir-05-01 +SCF:IRO-09.1 nist-800-53b-r5-high ir-05-01 +SCF:IRO-09.1 nist-800-82-r3 ir-05-01 +SCF:IRO-09.1 nist-800-82-r3-high-ot-overlay ir-05-01 +SCF:IRO-09.2 nist-csf-function-grouping identify +SCF:IRO-09.3 nist-csf-function-grouping identify +SCF:IRO-09.4 nist-csf-function-grouping identify +SCF:IRO-10 nist-csf-function-grouping respond +SCF:IRO-10 cis-csc-8.1 _17.2 +SCF:IRO-10 cis-csc-8.1-ig1 _17.2 +SCF:IRO-10 cis-csc-8.1-ig2 _17.2 +SCF:IRO-10 cis-csc-8.1-ig3 _17.2 +SCF:IRO-10 cobit-2019 edm05.02 +SCF:IRO-10 coso-2013 _15 +SCF:IRO-10 csa-ccm-4.1.0 sef-08 +SCF:IRO-10 iso-27002-2022 _6.8 +SCF:IRO-10 iso-27017-2015 _16.1.2 +SCF:IRO-10 iso-27018-2025 _6.8 +SCF:IRO-10 iso-29100-2024 _6.1 +SCF:IRO-10 iso-42001-2023 a.8.3 +SCF:IRO-10 iso-42001-2023 a.8.4 +SCF:IRO-10 nist-ai-100-1-ai-rmf-1.0 manage-4.3 +SCF:IRO-10 nist-ai-600-1 mg-4.3-001 +SCF:IRO-10 nist-privacy-framework-1.0 cm.aw-p7 +SCF:IRO-10 nist-800-53-r4 ir-6 +SCF:IRO-10 nist-800-53-r5 ir-06 +SCF:IRO-10 nist-800-53b-r5-privacy ir-06 +SCF:IRO-10 nist-800-53b-r5-low ir-06 +SCF:IRO-10 nist-800-82-r3 ir-06 +SCF:IRO-10 nist-800-82-r3-low-ot-overlay ir-06 +SCF:IRO-10 nist-800-82-r3-moderate-ot-overlay ir-06 +SCF:IRO-10 nist-800-82-r3-high-ot-overlay ir-06 +SCF:IRO-10 nist-800-161-r1 ir-6 +SCF:IRO-10 nist-800-171-r3 _03.06.02.b +SCF:IRO-10 nist-800-171-r3 _03.06.02.c +SCF:IRO-10 nist-800-171a-r3 a.03.06.02.odp-01 +SCF:IRO-10 nist-800-171a-r3 a.03.06.02.b +SCF:IRO-10 nist-800-171a-r3 a.03.06.02.c +SCF:IRO-10 nist-800-171a-r3 a.03.06.02.d +SCF:IRO-10 nist-csf-2.0 de.ae-06 +SCF:IRO-10 nist-csf-2.0 rs +SCF:IRO-10 nist-csf-2.0 rs.ma-01 +SCF:IRO-10 nist-csf-2.0 rs.co +SCF:IRO-10 nist-csf-2.0 rs.co-02 +SCF:IRO-10 nist-csf-2.0 rs.co-03 +SCF:IRO-10 pci-dss-4.0.1 _12.1.4 +SCF:IRO-10 pci-dss-4.0.1 _12.10.1 +SCF:IRO-10 pci-dss-4.0.1 a1.2.3 +SCF:IRO-10 pci-dss-4.0.1-saq-a _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-a-ep _12.1.4 +SCF:IRO-10 pci-dss-4.0.1-saq-a-ep _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-b _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-b-ip _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-c _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-c-vt _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-d-merchant _12.1.4 +SCF:IRO-10 pci-dss-4.0.1-saq-d-merchant _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-d-service-provider _12.1.4 +SCF:IRO-10 pci-dss-4.0.1-saq-d-service-provider _12.10.1 +SCF:IRO-10 pci-dss-4.0.1-saq-d-service-provider a1.2.3 +SCF:IRO-10 pci-dss-4.0.1-saq-p2pe _12.10.1 +SCF:IRO-10.1 nist-csf-function-grouping detect +SCF:IRO-10.1 nist-800-53-r4 ir-6-1 +SCF:IRO-10.1 nist-800-53-r5 ir-06-01 +SCF:IRO-10.1 nist-800-53b-r5-moderate ir-06-01 +SCF:IRO-10.1 nist-800-82-r3 ir-06-01 +SCF:IRO-10.1 nist-800-82-r3-moderate-ot-overlay ir-06-01 +SCF:IRO-10.1 nist-800-82-r3-high-ot-overlay ir-06-01 +SCF:IRO-10.2 nist-csf-function-grouping detect +SCF:IRO-10.2 cis-csc-8.1 _17.2 +SCF:IRO-10.2 cis-csc-8.1-ig1 _17.2 +SCF:IRO-10.2 cis-csc-8.1-ig2 _17.2 +SCF:IRO-10.2 cis-csc-8.1-ig3 _17.2 +SCF:IRO-10.2 csa-ccm-4.1.0 sef-09 +SCF:IRO-10.2 nist-ai-600-1 mg-4.3-003 +SCF:IRO-10.2 nist-privacy-framework-1.0 cm.aw-p7 +SCF:IRO-10.2 nist-800-171-r3 _03.06.02.b +SCF:IRO-10.2 nist-800-171-r3 _03.06.02.c +SCF:IRO-10.2 nist-800-171a-r3 a.03.06.02.odp-02 +SCF:IRO-10.2 nist-csf-2.0 rs.co +SCF:IRO-10.2 nist-csf-2.0 rs.co-02 +SCF:IRO-10.2 nist-csf-2.0 rs.co-03 +SCF:IRO-10.3 nist-csf-function-grouping respond +SCF:IRO-10.3 cis-csc-8.1 _17.2 +SCF:IRO-10.3 cis-csc-8.1-ig1 _17.2 +SCF:IRO-10.3 cis-csc-8.1-ig2 _17.2 +SCF:IRO-10.3 cis-csc-8.1-ig3 _17.2 +SCF:IRO-10.3 iso-27002-2022 _8.8 +SCF:IRO-10.3 iso-27018-2025 _8.8 +SCF:IRO-10.3 nist-800-53-r4 ir-6-2 +SCF:IRO-10.3 nist-800-53-r5 ir-06-02 +SCF:IRO-10.3 nist-800-53b-r5-privacy ir-06-02 +SCF:IRO-10.3 nist-800-82-r3 ir-06-02 +SCF:IRO-10.4 nist-csf-function-grouping respond +SCF:IRO-10.4 cis-csc-8.1 _17.2 +SCF:IRO-10.4 cis-csc-8.1-ig1 _17.2 +SCF:IRO-10.4 cis-csc-8.1-ig2 _17.2 +SCF:IRO-10.4 cis-csc-8.1-ig3 _17.2 +SCF:IRO-10.4 iso-27002-2022 _5.2 +SCF:IRO-10.4 iso-27018-2025 _5.20 +SCF:IRO-10.4 nist-800-53-r4 ir-6-3 +SCF:IRO-10.4 nist-800-53-r5 ir-04-10 +SCF:IRO-10.4 nist-800-53-r5 ir-06-03 +SCF:IRO-10.4 nist-800-53b-r5-privacy ir-04-10 +SCF:IRO-10.4 nist-800-53b-r5-moderate ir-06-03 +SCF:IRO-10.4 nist-800-82-r3 ir-04-10 +SCF:IRO-10.4 nist-800-82-r3 ir-06-03 +SCF:IRO-10.4 nist-800-82-r3-moderate-ot-overlay ir-06-03 +SCF:IRO-10.4 nist-800-82-r3-high-ot-overlay ir-06-03 +SCF:IRO-10.4 nist-800-160-vol2-r1 ir-04-10 +SCF:IRO-10.4 nist-800-161-r1 ir-1-1 +SCF:IRO-10.4 nist-800-161-r1 ir-4-10 +SCF:IRO-10.4 nist-800-161-r1 ir-6-3 +SCF:IRO-10.4 nist-800-161-r1-flow-down ir-4-10 +SCF:IRO-10.4 nist-800-161-r1-flow-down ir-6-3 +SCF:IRO-10.4 nist-800-161-r1-level-2 ir-4-10 +SCF:IRO-10.4 nist-800-161-r1-level-3 ir-6-3 +SCF:IRO-10.4 nist-csf-2.0 rs.co +SCF:IRO-10.4 nist-csf-2.0 rs.co-02 +SCF:IRO-10.4 nist-csf-2.0 rs.co-03 +SCF:IRO-10.5 nist-csf-function-grouping identify +SCF:IRO-11 nist-csf-function-grouping respond +SCF:IRO-11 nist-800-53-r4 ir-7 +SCF:IRO-11 nist-800-53-r5 ir-07 +SCF:IRO-11 nist-800-53b-r5-privacy ir-07 +SCF:IRO-11 nist-800-53b-r5-low ir-07 +SCF:IRO-11 nist-800-82-r3 ir-07 +SCF:IRO-11 nist-800-82-r3-low-ot-overlay ir-07 +SCF:IRO-11 nist-800-82-r3-moderate-ot-overlay ir-07 +SCF:IRO-11 nist-800-82-r3-high-ot-overlay ir-07 +SCF:IRO-11 nist-800-161-r1 ir-7 +SCF:IRO-11 nist-800-171-r3 _03.06.02.d +SCF:IRO-11 nist-800-171a-r3 a.03.06.02.d +SCF:IRO-11.1 nist-csf-function-grouping respond +SCF:IRO-11.1 nist-800-53-r4 ir-7-1 +SCF:IRO-11.1 nist-800-53-r5 ir-07-01 +SCF:IRO-11.1 nist-800-53b-r5-moderate ir-07-01 +SCF:IRO-11.1 nist-800-82-r3 ir-07-01 +SCF:IRO-11.1 nist-800-82-r3-moderate-ot-overlay ir-07-01 +SCF:IRO-11.1 nist-800-82-r3-high-ot-overlay ir-07-01 +SCF:IRO-11.2 nist-csf-function-grouping respond +SCF:IRO-11.2 iso-27002-2022 _5.29 +SCF:IRO-11.2 iso-27018-2025 _5.29 +SCF:IRO-11.2 nist-800-53-r4 ir-7-2 +SCF:IRO-11.2 nist-800-53-r5 ir-07-02 +SCF:IRO-11.2 nist-800-82-r3 ir-07-02 +SCF:IRO-11.2 nist-800-161-r1 ir-7-2 +SCF:IRO-11.2 nist-800-161-r1-flow-down ir-7-2 +SCF:IRO-11.2 nist-800-161-r1-level-3 ir-7-2 +SCF:IRO-12 nist-csf-function-grouping respond +SCF:IRO-12 nist-privacy-framework-1.0 pr.ds-p5 +SCF:IRO-12 nist-800-53-r4 ir-9 +SCF:IRO-12 nist-800-53-r5 ir-09 +SCF:IRO-12 nist-800-53b-r5-privacy ir-09 +SCF:IRO-12 nist-800-82-r3 ir-09 +SCF:IRO-12 nist-800-161-r1 ir-9 +SCF:IRO-12 nist-800-161-r1-flow-down ir-9 +SCF:IRO-12 nist-800-161-r1-level-3 ir-9 +SCF:IRO-12 nist-800-171-r3 _03.06.01 +SCF:IRO-12 nist-800-171a-r3 a.03.01.22.b-02 +SCF:IRO-12 pci-dss-4.0.1 _12.10.7 +SCF:IRO-12 pci-dss-4.0.1 a3.2.5.2 +SCF:IRO-12 pci-dss-4.0.1-saq-d-merchant _12.10.7 +SCF:IRO-12 pci-dss-4.0.1-saq-d-service-provider _12.10.7 +SCF:IRO-12.1 nist-csf-function-grouping respond +SCF:IRO-12.1 nist-800-53-r4 ir-9-1 +SCF:IRO-12.1 nist-800-53-r5 ir-09 +SCF:IRO-12.1 nist-800-53b-r5-privacy ir-09 +SCF:IRO-12.1 nist-800-82-r3 ir-09 +SCF:IRO-12.1 nist-800-161-r1 ir-9 +SCF:IRO-12.1 nist-800-161-r1-flow-down ir-9 +SCF:IRO-12.1 nist-800-161-r1-level-3 ir-9 +SCF:IRO-12.2 nist-csf-function-grouping respond +SCF:IRO-12.2 nist-800-53-r4 ir-9-2 +SCF:IRO-12.2 nist-800-53-r5 ir-09-02 +SCF:IRO-12.2 nist-800-82-r3 ir-09-02 +SCF:IRO-12.3 nist-csf-function-grouping respond +SCF:IRO-12.3 nist-800-53-r4 ir-9-3 +SCF:IRO-12.3 nist-800-53-r5 ir-09-03 +SCF:IRO-12.3 nist-800-82-r3 ir-09-03 +SCF:IRO-12.3 pci-dss-4.0.1 _12.10.7 +SCF:IRO-12.3 pci-dss-4.0.1 a3.2.5.2 +SCF:IRO-12.3 pci-dss-4.0.1-saq-d-merchant _12.10.7 +SCF:IRO-12.3 pci-dss-4.0.1-saq-d-service-provider _12.10.7 +SCF:IRO-12.4 nist-csf-function-grouping respond +SCF:IRO-12.4 nist-800-53-r4 ir-9-4 +SCF:IRO-12.4 nist-800-53-r5 ir-09-04 +SCF:IRO-12.4 nist-800-82-r3 ir-09-04 +SCF:IRO-13 nist-csf-function-grouping respond +SCF:IRO-13 cis-csc-8.1 _16.3 +SCF:IRO-13 cis-csc-8.1 _17.8 +SCF:IRO-13 cis-csc-8.1-ig2 _16.3 +SCF:IRO-13 cis-csc-8.1-ig2 _17.8 +SCF:IRO-13 cis-csc-8.1-ig3 _16.3 +SCF:IRO-13 cis-csc-8.1-ig3 _17.8 +SCF:IRO-13 cobit-2019 dss03.03 +SCF:IRO-13 iso-27002-2022 _5.24 +SCF:IRO-13 iso-27002-2022 _5.27 +SCF:IRO-13 iso-27017-2015 _16.1.6 +SCF:IRO-13 iso-27018-2025 _5.24 +SCF:IRO-13 iso-27018-2025 _5.26-a +SCF:IRO-13 iso-27018-2025 _5.27 +SCF:IRO-13 nist-ai-600-1 mg-4.2-002 +SCF:IRO-13 nist-ai-600-1 mg-4.3-001 +SCF:IRO-13 nist-privacy-framework-1.0 gv.mt-p6 +SCF:IRO-13 nist-800-53-r4 ir-1 +SCF:IRO-13 nist-800-53-r5 ir-01 +SCF:IRO-13 nist-800-53-r5 ir-04-12 +SCF:IRO-13 nist-800-53-r5 ir-06-02 +SCF:IRO-13 nist-800-53b-r5-privacy ir-01 +SCF:IRO-13 nist-800-53b-r5-privacy ir-04-12 +SCF:IRO-13 nist-800-53b-r5-privacy ir-06-02 +SCF:IRO-13 nist-800-53b-r5-low ir-01 +SCF:IRO-13 nist-800-82-r3 ir-01 +SCF:IRO-13 nist-800-82-r3 ir-04-12 +SCF:IRO-13 nist-800-82-r3 ir-06-02 +SCF:IRO-13 nist-800-82-r3-low-ot-overlay ir-01 +SCF:IRO-13 nist-800-82-r3-moderate-ot-overlay ir-01 +SCF:IRO-13 nist-800-82-r3-high-ot-overlay ir-01 +SCF:IRO-13 nist-800-160-vol2-r1 ir-04-12 +SCF:IRO-13 nist-800-161-r1 ir-1 +SCF:IRO-13 nist-800-161-r1-c-scrm-baseline ir-1 +SCF:IRO-13 nist-800-161-r1-flow-down ir-1 +SCF:IRO-13 nist-800-161-r1-level-1 ir-1 +SCF:IRO-13 nist-800-161-r1-level-2 ir-1 +SCF:IRO-13 nist-800-161-r1-level-3 ir-1 +SCF:IRO-13 nist-800-171-r2 nfo-ir-1 +SCF:IRO-13 nist-800-171-r3 _03.06.04.b +SCF:IRO-13 nist-800-171a-r3 a.03.06.04.odp-04 +SCF:IRO-13 nist-800-218 rv.3 +SCF:IRO-13 nist-csf-2.0 id.im-02 +SCF:IRO-13 nist-csf-2.0 id.im-03 +SCF:IRO-13 nist-csf-2.0 rs.an-03 +SCF:IRO-13 pci-dss-4.0.1 _12.10.6 +SCF:IRO-13 pci-dss-4.0.1 a3.3.1.2 +SCF:IRO-13 pci-dss-4.0.1-saq-d-merchant _12.10.6 +SCF:IRO-13 pci-dss-4.0.1-saq-d-service-provider _12.10.6 +SCF:IRO-14 nist-csf-function-grouping identify +SCF:IRO-14 coso-2013 _15 +SCF:IRO-14 csa-ccm-4.1.0 sef-10 +SCF:IRO-14 nist-800-53-r4 ir-6 +SCF:IRO-14 nist-800-53-r5 ir-06 +SCF:IRO-14 nist-800-53b-r5-privacy ir-06 +SCF:IRO-14 nist-800-53b-r5-low ir-06 +SCF:IRO-14 nist-800-82-r3 ir-06 +SCF:IRO-14 nist-800-82-r3-low-ot-overlay ir-06 +SCF:IRO-14 nist-800-82-r3-moderate-ot-overlay ir-06 +SCF:IRO-14 nist-800-82-r3-high-ot-overlay ir-06 +SCF:IRO-14 nist-800-161-r1 ir-6 +SCF:IRO-14 nist-800-171-r3 _03.06.02.c +SCF:IRO-14 nist-800-171a-r3 a.03.06.02.odp-02 +SCF:IRO-15 nist-csf-function-grouping respond +SCF:IRO-15 cis-csc-8.1 _9.0 +SCF:IRO-15 cis-csc-8.1 _9.6 +SCF:IRO-15 cis-csc-8.1 _9.7 +SCF:IRO-15 cis-csc-8.1-ig2 _9.6 +SCF:IRO-15 cis-csc-8.1-ig3 _9.6 +SCF:IRO-15 cis-csc-8.1-ig3 _9.7 +SCF:IRO-15 iso-sae-21434-2021 rc-05-15 +SCF:IRO-15 nist-800-53-r4 sc-44 +SCF:IRO-15 nist-800-53-r5 sc-44 +SCF:IRO-15 nist-800-82-r3 sc-44 +SCF:IRO-15 nist-800-160-vol2-r1 sc-44 +SCF:IRO-16 nist-csf-function-grouping recover +SCF:IRO-16 nist-privacy-framework-1.0 cm.aw-p8 +SCF:IRO-16 nist-800-53-r5 ir-04-15 +SCF:IRO-16 nist-800-82-r3 ir-04-15 +SCF:IRO-16 nist-csf-2.0 rc.co-04 +SCF:IAO-01 nist-csf-function-grouping govern +SCF:IAO-01 cobit-2019 mea04.05 +SCF:IAO-01 cobit-2019 mea04.06 +SCF:IAO-01 coso-2013 _16 +SCF:IAO-01 csa-iot-scf-2 iot-01 +SCF:IAO-01 csa-iot-scf-2 set-01 +SCF:IAO-01 iec-62443-2-1-2024 org-2.4 +SCF:IAO-01 iso-sae-21434-2021 pm-06-15 +SCF:IAO-01 iso-sae-21434-2021 rq-06-24 +SCF:IAO-01 iso-sae-21434-2021 rq-06-25 +SCF:IAO-01 iso-sae-21434-2021 rq-06-26 +SCF:IAO-01 iso-sae-21434-2021 rq-06-27 +SCF:IAO-01 iso-sae-21434-2021 rq-06-28 +SCF:IAO-01 iso-sae-21434-2021 rq-06-28-a +SCF:IAO-01 iso-sae-21434-2021 rq-06-28-b +SCF:IAO-01 iso-sae-21434-2021 rq-06-29 +SCF:IAO-01 iso-27002-2022 _5.21 +SCF:IAO-01 iso-27018-2025 _5.21 +SCF:IAO-01 iso-31000-2018 _5.5 +SCF:IAO-01 iso-31000-2018 _5.6 +SCF:IAO-01 iso-31010-2009 _4.3.2 +SCF:IAO-01 iso-42001-2023 a.6.2.5 +SCF:IAO-01 nist-ai-100-1-ai-rmf-1.0 govern-4.3 +SCF:IAO-01 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:IAO-01 nist-800-53-r4 ca-1 +SCF:IAO-01 nist-800-53-r4 pm-10 +SCF:IAO-01 nist-800-53-r5 ca-01 +SCF:IAO-01 nist-800-53-r5 pm-10 +SCF:IAO-01 nist-800-53b-r5-privacy ca-01 +SCF:IAO-01 nist-800-53b-r5-privacy pm-10 +SCF:IAO-01 nist-800-53b-r5-low ca-01 +SCF:IAO-01 nist-800-82-r3 ca-01 +SCF:IAO-01 nist-800-82-r3 pm-10 +SCF:IAO-01 nist-800-82-r3-low-ot-overlay ca-01 +SCF:IAO-01 nist-800-82-r3-low-ot-overlay pm-10 +SCF:IAO-01 nist-800-82-r3-moderate-ot-overlay ca-01 +SCF:IAO-01 nist-800-82-r3-moderate-ot-overlay pm-10 +SCF:IAO-01 nist-800-82-r3-high-ot-overlay ca-01 +SCF:IAO-01 nist-800-82-r3-high-ot-overlay pm-10 +SCF:IAO-01 nist-800-161-r1 ca-1 +SCF:IAO-01 nist-800-161-r1 pm-10 +SCF:IAO-01 nist-800-161-r1-c-scrm-baseline ca-1 +SCF:IAO-01 nist-800-161-r1-level-1 ca-1 +SCF:IAO-01 nist-800-161-r1-level-1 pm-10 +SCF:IAO-01 nist-800-161-r1-level-2 ca-1 +SCF:IAO-01 nist-800-161-r1-level-2 pm-10 +SCF:IAO-01 nist-800-161-r1-level-3 ca-1 +SCF:IAO-01 nist-800-171-r2 nfo-ca-1 +SCF:IAO-01 nist-800-171-r3 _03.12.01 +SCF:IAO-01 nist-csf-2.0 id.ra-01 +SCF:IAO-01.1 nist-csf-function-grouping identify +SCF:IAO-01.1 cobit-2019 mea04.04 +SCF:IAO-01.1 csa-iot-scf-2 set-01 +SCF:IAO-01.1 iso-sae-21434-2021 rq-06-30 +SCF:IAO-01.1 iso-sae-21434-2021 rq-06-30-a +SCF:IAO-01.1 iso-sae-21434-2021 rq-06-30-b +SCF:IAO-01.1 iso-sae-21434-2021 rq-06-30-c +SCF:IAO-01.1 iso-sae-21434-2021 rq-06-30-d +SCF:IAO-01.1 nist-800-37-r2 task-p-11 +SCF:IAO-01.1 nist-sp-800-66-r2 _164.308-a-8 +SCF:IAO-01.1 nist-800-171-r3 _03.12.01 +SCF:IAO-02 nist-csf-function-grouping protect +SCF:IAO-02 cobit-2019 bai03.06 +SCF:IAO-02 cobit-2019 bai03.08 +SCF:IAO-02 cobit-2019 mea04.06 +SCF:IAO-02 cobit-2019 mea04.07 +SCF:IAO-02 coso-2013 _16 +SCF:IAO-02 csa-iot-scf-2 set-01 +SCF:IAO-02 iec-62443-2-1-2024 org-2.4-a +SCF:IAO-02 iso-sae-21434-2021 pm-06-15-a +SCF:IAO-02 iso-sae-21434-2021 pm-06-15-b +SCF:IAO-02 iso-sae-21434-2021 pm-06-15-c +SCF:IAO-02 iso-sae-21434-2021 pm-06-16 +SCF:IAO-02 iso-sae-21434-2021 pm-06-16-a +SCF:IAO-02 iso-sae-21434-2021 pm-06-16-b +SCF:IAO-02 iso-sae-21434-2021 pm-06-16-c +SCF:IAO-02 iso-sae-21434-2021 pm-06-16-d +SCF:IAO-02 iso-sae-21434-2021 pm-06-17 +SCF:IAO-02 iso-sae-21434-2021 pm-06-17-a +SCF:IAO-02 iso-sae-21434-2021 pm-06-17-b +SCF:IAO-02 iso-sae-21434-2021 rq-06-20 +SCF:IAO-02 iso-sae-21434-2021 rq-06-22 +SCF:IAO-02 iso-sae-21434-2021 rq-10-08 +SCF:IAO-02 iso-sae-21434-2021 rq-10-09 +SCF:IAO-02 iso-sae-21434-2021 rq-10-10 +SCF:IAO-02 iso-sae-21434-2021 rq-10-10-a +SCF:IAO-02 iso-sae-21434-2021 rq-10-10-b +SCF:IAO-02 iso-sae-21434-2021 rq-10-10-c +SCF:IAO-02 iso-sae-21434-2021 rq-10-10-d +SCF:IAO-02 iso-sae-21434-2021 rq-10-11 +SCF:IAO-02 iso-sae-21434-2021 rq-10-12 +SCF:IAO-02 iso-sae-21434-2021 rq-10-13 +SCF:IAO-02 iso-sae-21434-2021 rq-11-01 +SCF:IAO-02 iso-sae-21434-2021 rq-11-01-a +SCF:IAO-02 iso-sae-21434-2021 rq-11-01-b +SCF:IAO-02 iso-sae-21434-2021 rq-11-01-c +SCF:IAO-02 iso-sae-21434-2021 rq-11-01-d +SCF:IAO-02 iso-sae-21434-2021 rq-11-02 +SCF:IAO-02 iso-27002-2022 _5.21 +SCF:IAO-02 iso-27002-2022 _5.23 +SCF:IAO-02 iso-27002-2022 _8.29 +SCF:IAO-02 iso-27017-2015 _14.2.8 +SCF:IAO-02 iso-27018-2025 _5.21 +SCF:IAO-02 iso-27018-2025 _5.23 +SCF:IAO-02 iso-27018-2025 _8.29 +SCF:IAO-02 iso-31010-2009 _5.3.2 +SCF:IAO-02 iso-42001-2023 a.6.2.5 +SCF:IAO-02 nist-ai-100-1-ai-rmf-1.0 measure-2.0 +SCF:IAO-02 nist-800-37-r2 task-c-3 +SCF:IAO-02 nist-800-37-r2 task-a-1 +SCF:IAO-02 nist-800-37-r2 task-a-2 +SCF:IAO-02 nist-800-37-r2 task-a-3 +SCF:IAO-02 nist-800-53-r4 ca-2 +SCF:IAO-02 nist-800-53-r5 ca-02 +SCF:IAO-02 nist-800-53b-r5-privacy ca-02 +SCF:IAO-02 nist-800-53b-r5-low ca-02 +SCF:IAO-02 nist-sp-800-66-r2 _164.308-a-8 +SCF:IAO-02 nist-800-82-r3 ca-02 +SCF:IAO-02 nist-800-82-r3-low-ot-overlay ca-02 +SCF:IAO-02 nist-800-82-r3-moderate-ot-overlay ca-02 +SCF:IAO-02 nist-800-82-r3-high-ot-overlay ca-02 +SCF:IAO-02 nist-800-161-r1 ca-2 +SCF:IAO-02 nist-800-161-r1-c-scrm-baseline ca-2 +SCF:IAO-02 nist-800-161-r1-level-2 ca-2 +SCF:IAO-02 nist-800-161-r1-level-3 ca-2 +SCF:IAO-02 nist-800-171-r2 _3.12.1 +SCF:IAO-02 nist-800-171-r3 _03.12.01 +SCF:IAO-02 nist-csf-2.0 id.ra-01 +SCF:IAO-02 nist-csf-2.0 id.im-01 +SCF:IAO-02 nist-csf-2.0 id.im-02 +SCF:IAO-02.1 nist-csf-function-grouping protect +SCF:IAO-02.1 nist-800-37-r2 task-a-1 +SCF:IAO-02.1 nist-800-53-r4 ca-2-1 +SCF:IAO-02.1 nist-800-53-r5 ca-02-01 +SCF:IAO-02.1 nist-800-53b-r5-moderate ca-02-01 +SCF:IAO-02.1 nist-800-82-r3 ca-02-01 +SCF:IAO-02.1 nist-800-82-r3-moderate-ot-overlay ca-02-01 +SCF:IAO-02.1 nist-800-82-r3-high-ot-overlay ca-02-01 +SCF:IAO-02.1 nist-800-171-r2 nfo-ca-2-1 +SCF:IAO-02.2 nist-csf-function-grouping protect +SCF:IAO-02.2 coso-2013 _16 +SCF:IAO-02.2 csa-ccm-4.1.0 ais-05 +SCF:IAO-02.2 csa-iot-scf-2 iot-01 +SCF:IAO-02.2 csa-iot-scf-2 set-01 +SCF:IAO-02.2 iso-27002-2022 _5.21 +SCF:IAO-02.2 iso-27002-2022 _5.23 +SCF:IAO-02.2 iso-27002-2022 _8.29 +SCF:IAO-02.2 iso-27018-2025 _5.21 +SCF:IAO-02.2 iso-27018-2025 _5.23 +SCF:IAO-02.2 iso-27018-2025 _8.29 +SCF:IAO-02.2 iso-42001-2023 a.6.2.5 +SCF:IAO-02.2 nist-ai-100-1-ai-rmf-1.0 map-2.3 +SCF:IAO-02.2 nist-ai-100-1-ai-rmf-1.0 measure-3.1 +SCF:IAO-02.2 nist-ai-100-1-ai-rmf-1.0 measure-3.2 +SCF:IAO-02.2 nist-800-37-r2 task-a-1 +SCF:IAO-02.2 nist-800-53-r4 ca-2-2 +SCF:IAO-02.2 nist-800-53-r5 ca-02-02 +SCF:IAO-02.2 nist-800-53-r5 sa-11-05 +SCF:IAO-02.2 nist-800-53b-r5-privacy sa-11-05 +SCF:IAO-02.2 nist-800-53b-r5-high ca-02-02 +SCF:IAO-02.2 nist-800-82-r3 ca-02-02 +SCF:IAO-02.2 nist-800-82-r3 sa-11-05 +SCF:IAO-02.2 nist-800-82-r3-high-ot-overlay ca-02-02 +SCF:IAO-02.2 nist-800-160-vol2-r1 sa-11-05 +SCF:IAO-02.2 nist-800-161-r1 ca-2-2 +SCF:IAO-02.2 nist-800-161-r1-level-3 ca-2-2 +SCF:IAO-02.2 owasp-top-10-2025 a01-2025 +SCF:IAO-02.2 owasp-top-10-2025 a02-2025 +SCF:IAO-02.2 owasp-top-10-2025 a05-2025 +SCF:IAO-02.2 owasp-top-10-2025 a06-2025 +SCF:IAO-02.2 owasp-top-10-2025 a07-2025 +SCF:IAO-02.2 owasp-top-10-2025 a09-2025 +SCF:IAO-02.2 owasp-top-10-2025 a10-2025 +SCF:IAO-02.3 nist-csf-function-grouping protect +SCF:IAO-02.3 nist-800-53-r4 ca-2-3 +SCF:IAO-02.3 nist-800-53-r5 ca-02-03 +SCF:IAO-02.3 nist-800-82-r3 ca-02-03 +SCF:IAO-02.3 nist-800-161-r1 ca-2-3 +SCF:IAO-02.3 nist-800-161-r1-level-3 ca-2-3 +SCF:IAO-02.4 nist-csf-function-grouping identify +SCF:IAO-02.4 cobit-2019 mea04.08 +SCF:IAO-02.4 iec-62443-2-1-2024 org-2.4-d +SCF:IAO-02.4 iso-sae-21434-2021 rq-06-31 +SCF:IAO-02.4 iso-sae-21434-2021 rq-06-32 +SCF:IAO-02.4 iso-sae-21434-2021 rq-06-33-b +SCF:IAO-02.4 nist-800-37-r2 task-a-4 +SCF:IAO-02.4 nist-800-37-r2 task-m-5 +SCF:IAO-02.4 nist-csf-2.0 id.im-01 +SCF:IAO-02.4 nist-csf-2.0 id.im-02 +SCF:IAO-03 nist-csf-function-grouping identify +SCF:IAO-03 iso-sae-21434-2021 rq-06-05 +SCF:IAO-03 iso-sae-21434-2021 rq-06-05-a +SCF:IAO-03 iso-sae-21434-2021 rq-06-05-b +SCF:IAO-03 iso-sae-21434-2021 rq-06-06 +SCF:IAO-03 iso-sae-21434-2021 rq-06-07 +SCF:IAO-03 iso-sae-21434-2021 rq-06-08 +SCF:IAO-03 iso-sae-21434-2021 rq-06-10 +SCF:IAO-03 iso-sae-21434-2021 rq-06-11 +SCF:IAO-03 iso-sae-21434-2021 rq-06-18 +SCF:IAO-03 iso-sae-21434-2021 rq-06-23 +SCF:IAO-03 iso-sae-21434-2021 rq-09-01-a +SCF:IAO-03 iso-sae-21434-2021 rq-09-01-b +SCF:IAO-03 iso-sae-21434-2021 rq-09-01-c +SCF:IAO-03 iso-sae-21434-2021 rq-09-02 +SCF:IAO-03 iso-sae-21434-2021 rq-09-08 +SCF:IAO-03 iso-sae-21434-2021 rq-09-08-a +SCF:IAO-03 iso-sae-21434-2021 rq-09-08-b +SCF:IAO-03 iso-sae-21434-2021 rq-09-09 +SCF:IAO-03 iso-sae-21434-2021 rq-09-10 +SCF:IAO-03 iso-sae-21434-2021 rq-09-11 +SCF:IAO-03 iso-sae-21434-2021 rq-09-11-a +SCF:IAO-03 iso-sae-21434-2021 rq-09-11-b +SCF:IAO-03 iso-sae-21434-2021 rq-12-01 +SCF:IAO-03 iso-sae-21434-2021 rq-12-02 +SCF:IAO-03 iso-sae-21434-2021 rq-12-02-a +SCF:IAO-03 iso-sae-21434-2021 rq-12-02-b +SCF:IAO-03 iso-sae-21434-2021 rq-12-02-c +SCF:IAO-03 iso-sae-21434-2021 rq-12-02-d +SCF:IAO-03 iso-sae-21434-2021 rq-12-03 +SCF:IAO-03 nist-ai-100-1-ai-rmf-1.0 manage-4.0 +SCF:IAO-03 nist-privacy-framework-1.0 id.im-p7 +SCF:IAO-03 nist-privacy-framework-1.0 id.be-p3 +SCF:IAO-03 nist-800-37-r2 task-c-1 +SCF:IAO-03 nist-800-37-r2 task-s-4 +SCF:IAO-03 nist-800-37-r2 task-s-5 +SCF:IAO-03 nist-800-37-r2 task-s-6 +SCF:IAO-03 nist-800-53-r4 pl-2 +SCF:IAO-03 nist-800-53-r5 pl-02 +SCF:IAO-03 nist-800-53b-r5-privacy pl-02 +SCF:IAO-03 nist-800-53b-r5-low pl-02 +SCF:IAO-03 nist-800-82-r3 pl-02 +SCF:IAO-03 nist-800-82-r3-low-ot-overlay pl-02 +SCF:IAO-03 nist-800-82-r3-moderate-ot-overlay pl-02 +SCF:IAO-03 nist-800-82-r3-high-ot-overlay pl-02 +SCF:IAO-03 nist-800-161-r1 pl-2 +SCF:IAO-03 nist-800-161-r1-c-scrm-baseline pl-2 +SCF:IAO-03 nist-800-161-r1-flow-down pl-2 +SCF:IAO-03 nist-800-161-r1-level-3 pl-2 +SCF:IAO-03 nist-800-171-r2 _3.12.4 +SCF:IAO-03 nist-800-171-r3 _03.04.11.b +SCF:IAO-03 nist-800-171-r3 _03.15.02.a +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.01 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.02 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.03 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.04 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.05 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.06 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.07 +SCF:IAO-03 nist-800-171-r3 _03.15.02.a.08 +SCF:IAO-03 nist-800-171-r3 _03.15.02.b +SCF:IAO-03 nist-800-171a _3.12.4-a +SCF:IAO-03 nist-800-171a _3.12.4-b +SCF:IAO-03 nist-800-171a _3.12.4-c +SCF:IAO-03 nist-800-171a _3.12.4-d +SCF:IAO-03 nist-800-171a _3.12.4-e +SCF:IAO-03 nist-800-171a _3.12.4-f +SCF:IAO-03 nist-800-171a _3.12.4-g +SCF:IAO-03 nist-800-171a _3.12.4-h +SCF:IAO-03 nist-800-171a-r3 a.03.04.11.a-02 +SCF:IAO-03 nist-800-171a-r3 a.03.04.11.a-03 +SCF:IAO-03 nist-800-171a-r3 a.03.04.11.b-01 +SCF:IAO-03 nist-800-171a-r3 a.03.04.11.b-02 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.odp-01 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.01 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.02 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.03 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.04 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.05 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.06 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.07 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.a.08 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.b-01 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.b-02 +SCF:IAO-03 nist-800-171a-r3 a.03.15.02.c +SCF:IAO-03 nist-800-172 _3.11.4e +SCF:IAO-03.1 nist-csf-function-grouping protect +SCF:IAO-03.1 nist-800-37-r2 task-p-9 +SCF:IAO-03.1 nist-800-53-r4 pl-2-3 +SCF:IAO-03.1 nist-800-53-r5 pl-02 +SCF:IAO-03.1 nist-800-53b-r5-privacy pl-02 +SCF:IAO-03.1 nist-800-53b-r5-low pl-02 +SCF:IAO-03.1 nist-800-82-r3 pl-02 +SCF:IAO-03.1 nist-800-82-r3-low-ot-overlay pl-02 +SCF:IAO-03.1 nist-800-82-r3-moderate-ot-overlay pl-02 +SCF:IAO-03.1 nist-800-82-r3-high-ot-overlay pl-02 +SCF:IAO-03.1 nist-800-161-r1 pl-2 +SCF:IAO-03.1 nist-800-161-r1-c-scrm-baseline pl-2 +SCF:IAO-03.1 nist-800-161-r1-flow-down pl-2 +SCF:IAO-03.1 nist-800-161-r1-level-3 pl-2 +SCF:IAO-03.1 nist-800-171-r2 nfo-pl-2-3 +SCF:IAO-03.2 nist-csf-function-grouping protect +SCF:IAO-03.2 cis-csc-8.1 _15.4 +SCF:IAO-03.2 cis-csc-8.1-ig2 _15.4 +SCF:IAO-03.2 cis-csc-8.1-ig3 _15.4 +SCF:IAO-03.2 csa-ccm-4.1.0 dsp-17 +SCF:IAO-03.2 csa-ccm-4.1.0 ipy-04 +SCF:IAO-03.2 csa-iot-scf-2 cls-04 +SCF:IAO-03.2 nist-ai-600-1 gv-6.1-004 +SCF:IAO-03.2 nist-privacy-framework-1.0 id.de-p3 +SCF:IAO-03.2 nist-800-171-r2 _3.12.4 +SCF:IAO-03.2 nist-csf-2.0 gv.sc-05 +SCF:IAO-04 nist-csf-function-grouping protect +SCF:IAO-04 cobit-2019 dss06.04 +SCF:IAO-04 coso-2013 _16 +SCF:IAO-04 coso-2013 _17 +SCF:IAO-04 iec-62443-2-1-2024 org-2.4-c +SCF:IAO-04 iso-sae-21434-2021 rq-09-03 +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-a +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-b +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-c +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-d +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-e +SCF:IAO-04 iso-sae-21434-2021 rq-09-03-f +SCF:IAO-04 iso-27002-2022 _8.25 +SCF:IAO-04 iso-27018-2025 _8.25 +SCF:IAO-04 iso-42001-2023 _10.2 +SCF:IAO-04 iso-42001-2023 _10.2-a +SCF:IAO-04 iso-42001-2023 _10.2-a-1 +SCF:IAO-04 iso-42001-2023 _10.2-a-2 +SCF:IAO-04 iso-42001-2023 _10.2-b +SCF:IAO-04 iso-42001-2023 _10.2-b-1 +SCF:IAO-04 iso-42001-2023 _10.2-b-2 +SCF:IAO-04 iso-42001-2023 _10.2-b-3 +SCF:IAO-04 iso-42001-2023 _10.2-c +SCF:IAO-04 iso-42001-2023 _10.2-d +SCF:IAO-04 iso-42001-2023 _10.2-e +SCF:IAO-04 nist-800-37-r2 task-a-5 +SCF:IAO-04 nist-800-37-r2 task-m-3 +SCF:IAO-04 nist-800-53-r5 sa-11-05 +SCF:IAO-04 nist-800-53b-r5-privacy sa-11-05 +SCF:IAO-04 nist-800-82-r3 sa-11-05 +SCF:IAO-04 nist-800-160-vol2-r1 sa-11-05 +SCF:IAO-04 owasp-top-10-2025 a01-2025 +SCF:IAO-04 owasp-top-10-2025 a02-2025 +SCF:IAO-04 owasp-top-10-2025 a05-2025 +SCF:IAO-04 owasp-top-10-2025 a06-2025 +SCF:IAO-04 owasp-top-10-2025 a07-2025 +SCF:IAO-04 owasp-top-10-2025 a09-2025 +SCF:IAO-04 owasp-top-10-2025 a10-2025 +SCF:IAO-04 pci-dss-4.0.1 _6.2.1 +SCF:IAO-04 pci-dss-4.0.1 _6.2.2 +SCF:IAO-04 pci-dss-4.0.1 _6.2.3 +SCF:IAO-04 pci-dss-4.0.1 _6.2.3.1 +SCF:IAO-04 pci-dss-4.0.1 _6.2.4 +SCF:IAO-04 pci-dss-4.0.1 _6.3.1 +SCF:IAO-04 pci-dss-4.0.1 _6.4.1 +SCF:IAO-04 pci-dss-4.0.1 _6.4.2 +SCF:IAO-04 pci-dss-4.0.1 _11.4.1 +SCF:IAO-04 pci-dss-4.0.1 _11.4.4 +SCF:IAO-04 pci-dss-4.0.1 _12.4.2.1 +SCF:IAO-04 pci-dss-4.0.1 a1.2.3 +SCF:IAO-04 pci-dss-4.0.1-saq-a _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _11.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-a-ep _11.4.4 +SCF:IAO-04 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-c _6.2.1 +SCF:IAO-04 pci-dss-4.0.1-saq-c _6.2.2 +SCF:IAO-04 pci-dss-4.0.1-saq-c _6.2.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-c _6.2.4 +SCF:IAO-04 pci-dss-4.0.1-saq-c _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.2.3 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.2.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _11.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-merchant _11.4.4 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.2.3 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.2.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _11.4.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _11.4.4 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider _12.4.2.1 +SCF:IAO-04 pci-dss-4.0.1-saq-d-service-provider a1.2.3 +SCF:IAO-05 nist-csf-function-grouping detect +SCF:IAO-05 cobit-2019 apo12.05 +SCF:IAO-05 cobit-2019 mea03.04 +SCF:IAO-05 cobit-2019 mea04.09 +SCF:IAO-05 coso-2013 _17 +SCF:IAO-05 csa-ccm-4.1.0 a-a-06 +SCF:IAO-05 iso-sae-21434-2021 rq-09-07-a +SCF:IAO-05 iso-sae-21434-2021 rq-09-07-b +SCF:IAO-05 iso-sae-21434-2021 rq-09-07-c +SCF:IAO-05 iso-sae-21434-2021 rq-09-07-d +SCF:IAO-05 iso-31010-2009 _4.3.6 +SCF:IAO-05 iso-31010-2009 _5.6 +SCF:IAO-05 iso-42001-2023 _9.3.2-a +SCF:IAO-05 iso-42001-2023 _9.3.2-b +SCF:IAO-05 iso-42001-2023 _10.2 +SCF:IAO-05 iso-42001-2023 _10.2-a +SCF:IAO-05 iso-42001-2023 _10.2-a-1 +SCF:IAO-05 iso-42001-2023 _10.2-a-2 +SCF:IAO-05 iso-42001-2023 _10.2-b +SCF:IAO-05 iso-42001-2023 _10.2-b-1 +SCF:IAO-05 iso-42001-2023 _10.2-b-2 +SCF:IAO-05 iso-42001-2023 _10.2-b-3 +SCF:IAO-05 iso-42001-2023 _10.2-c +SCF:IAO-05 iso-42001-2023 _10.2-d +SCF:IAO-05 iso-42001-2023 _10.2-e +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 measure-3.0 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 measure-3.1 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 measure-3.2 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-1.3 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-1.4 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-3.1 +SCF:IAO-05 nist-ai-100-1-ai-rmf-1.0 manage-4.0 +SCF:IAO-05 nist-privacy-framework-1.0 gv.mt-p4 +SCF:IAO-05 nist-800-37-r2 task-i-2 +SCF:IAO-05 nist-800-37-r2 task-a-5 +SCF:IAO-05 nist-800-37-r2 task-a-6 +SCF:IAO-05 nist-800-37-r2 task-r-3 +SCF:IAO-05 nist-800-39 _3.4 +SCF:IAO-05 nist-800-53-r4 ca-5 +SCF:IAO-05 nist-800-53-r4 pm-4 +SCF:IAO-05 nist-800-53-r5 ca-05 +SCF:IAO-05 nist-800-53-r5 pm-04 +SCF:IAO-05 nist-800-53-r5 sa-15-02 +SCF:IAO-05 nist-800-53b-r5-privacy ca-05 +SCF:IAO-05 nist-800-53b-r5-privacy pm-04 +SCF:IAO-05 nist-800-53b-r5-low ca-05 +SCF:IAO-05 nist-800-82-r3 ca-05 +SCF:IAO-05 nist-800-82-r3 pm-04 +SCF:IAO-05 nist-800-82-r3 sa-15-02 +SCF:IAO-05 nist-800-82-r3-low-ot-overlay ca-05 +SCF:IAO-05 nist-800-82-r3-low-ot-overlay pm-04 +SCF:IAO-05 nist-800-82-r3-moderate-ot-overlay ca-05 +SCF:IAO-05 nist-800-82-r3-moderate-ot-overlay pm-04 +SCF:IAO-05 nist-800-82-r3-high-ot-overlay ca-05 +SCF:IAO-05 nist-800-82-r3-high-ot-overlay pm-04 +SCF:IAO-05 nist-800-161-r1 ca-5 +SCF:IAO-05 nist-800-161-r1 pm-4 +SCF:IAO-05 nist-800-161-r1-c-scrm-baseline ca-5 +SCF:IAO-05 nist-800-161-r1-level-2 ca-5 +SCF:IAO-05 nist-800-161-r1-level-2 pm-4 +SCF:IAO-05 nist-800-161-r1-level-3 ca-5 +SCF:IAO-05 nist-800-161-r1-level-3 pm-4 +SCF:IAO-05 nist-800-171-r2 _3.12.2 +SCF:IAO-05 nist-800-171-r3 _03.04.11.b +SCF:IAO-05 nist-800-171-r3 _03.12.02.a +SCF:IAO-05 nist-800-171-r3 _03.12.02.a.01 +SCF:IAO-05 nist-800-171-r3 _03.12.02.a.02 +SCF:IAO-05 nist-800-171-r3 _03.12.02.b +SCF:IAO-05 nist-800-171-r3 _03.12.02.b.01 +SCF:IAO-05 nist-800-171-r3 _03.12.02.b.02 +SCF:IAO-05 nist-800-171-r3 _03.12.02.b.03 +SCF:IAO-05 nist-800-171-r3 _03.14.01.a +SCF:IAO-05 nist-800-171a _3.12.2-a +SCF:IAO-05 nist-800-171a _3.12.2-b +SCF:IAO-05 nist-800-171a _3.12.2-c +SCF:IAO-05 nist-800-171a-r3 a.03.12.02.a.01 +SCF:IAO-05 nist-800-171a-r3 a.03.12.02.a.02 +SCF:IAO-05 nist-800-171a-r3 a.03.12.02.b.01 +SCF:IAO-05 nist-800-171a-r3 a.03.12.02.b.02 +SCF:IAO-05 nist-800-171a-r3 a.03.12.02.b.03 +SCF:IAO-05 nist-csf-2.0 id.ra-01 +SCF:IAO-05 nist-csf-2.0 id.im-01 +SCF:IAO-05 nist-csf-2.0 id.im-02 +SCF:IAO-05.1 nist-csf-function-grouping detect +SCF:IAO-05.1 nist-800-53-r4 ca-5-1 +SCF:IAO-05.1 nist-800-53-r5 ca-05-01 +SCF:IAO-05.1 nist-800-82-r3 ca-05-01 +SCF:IAO-06 nist-csf-function-grouping protect +SCF:IAO-06 coso-2013 _16 +SCF:IAO-06 csa-iot-scf-2 iot-01 +SCF:IAO-06 iec-62443-2-1-2024 org-2.4-b +SCF:IAO-06 iso-42001-2023 a.6.2.5 +SCF:IAO-06 nist-ai-100-1-ai-rmf-1.0 measure-2.0 +SCF:IAO-06 nist-800-53-r4 ca-2 +SCF:IAO-06 nist-800-53-r4 cm-4-2 +SCF:IAO-06 nist-800-53-r5 ca-02 +SCF:IAO-06 nist-800-53-r5 cm-04-02 +SCF:IAO-06 nist-800-53b-r5-privacy ca-02 +SCF:IAO-06 nist-800-53b-r5-low ca-02 +SCF:IAO-06 nist-800-53b-r5-moderate cm-04-02 +SCF:IAO-06 nist-800-82-r3 ca-02 +SCF:IAO-06 nist-800-82-r3 cm-04-02 +SCF:IAO-06 nist-800-82-r3-low-ot-overlay ca-02 +SCF:IAO-06 nist-800-82-r3-moderate-ot-overlay ca-02 +SCF:IAO-06 nist-800-82-r3-moderate-ot-overlay cm-04-02 +SCF:IAO-06 nist-800-82-r3-high-ot-overlay ca-02 +SCF:IAO-06 nist-800-82-r3-high-ot-overlay cm-04-02 +SCF:IAO-06 nist-800-161-r1 ca-2 +SCF:IAO-06 nist-800-161-r1-c-scrm-baseline ca-2 +SCF:IAO-06 nist-800-161-r1-level-2 ca-2 +SCF:IAO-06 nist-800-161-r1-level-3 ca-2 +SCF:IAO-07 nist-csf-function-grouping protect +SCF:IAO-07 csa-iot-scf-2 iot-01 +SCF:IAO-07 iso-42001-2023 a.6.2.5 +SCF:IAO-07 nist-ai-100-1-ai-rmf-1.0 manage-1.1 +SCF:IAO-07 nist-800-37-r2 task-p-18 +SCF:IAO-07 nist-800-37-r2 task-r-1 +SCF:IAO-07 nist-800-37-r2 task-r-2 +SCF:IAO-07 nist-800-37-r2 task-r-4 +SCF:IAO-07 nist-800-37-r2 task-r-5 +SCF:IAO-07 nist-800-37-r2 task-m-4 +SCF:IAO-07 nist-800-37-r2 task-m-6 +SCF:IAO-07 nist-800-53-r4 ca-6 +SCF:IAO-07 nist-800-53-r5 ca-06 +SCF:IAO-07 nist-800-53b-r5-privacy ca-06 +SCF:IAO-07 nist-800-53b-r5-low ca-06 +SCF:IAO-07 nist-800-82-r3 ca-06 +SCF:IAO-07 nist-800-82-r3-low-ot-overlay ca-06 +SCF:IAO-07 nist-800-82-r3-moderate-ot-overlay ca-06 +SCF:IAO-07 nist-800-82-r3-high-ot-overlay ca-06 +SCF:IAO-07 nist-800-161-r1 ca-6 +SCF:IAO-07 nist-800-161-r1-c-scrm-baseline ca-6 +SCF:IAO-07 nist-800-161-r1-level-1 ca-6 +SCF:IAO-07 nist-800-161-r1-level-2 ca-6 +SCF:IAO-07 nist-800-161-r1-level-3 ca-6 +SCF:MNT-01 nist-csf-function-grouping govern +SCF:MNT-01 csa-iot-scf-2 opa-01 +SCF:MNT-01 iso-27002-2022 _7.13 +SCF:MNT-01 iso-27017-2015 _11.2.4 +SCF:MNT-01 iso-27018-2025 _7.13 +SCF:MNT-01 nist-privacy-framework-1.0 pr.ma-p +SCF:MNT-01 nist-privacy-framework-1.0 pr.ma-p1 +SCF:MNT-01 nist-800-53-r4 ma-1 +SCF:MNT-01 nist-800-53-r5 ma-01 +SCF:MNT-01 nist-800-53b-r5-privacy ma-01 +SCF:MNT-01 nist-800-53b-r5-low ma-01 +SCF:MNT-01 nist-sp-800-66-r2 _164.310-a +SCF:MNT-01 nist-sp-800-66-r2 _164.310-d +SCF:MNT-01 nist-800-82-r3 ma-01 +SCF:MNT-01 nist-800-82-r3-low-ot-overlay ma-01 +SCF:MNT-01 nist-800-82-r3-moderate-ot-overlay ma-01 +SCF:MNT-01 nist-800-82-r3-high-ot-overlay ma-01 +SCF:MNT-01 nist-800-161-r1 ma-1 +SCF:MNT-01 nist-800-161-r1-c-scrm-baseline ma-1 +SCF:MNT-01 nist-800-161-r1-flow-down ma-1 +SCF:MNT-01 nist-800-161-r1-level-1 ma-1 +SCF:MNT-01 nist-800-161-r1-level-2 ma-1 +SCF:MNT-01 nist-800-161-r1-level-3 ma-1 +SCF:MNT-01 nist-800-171-r2 nfo-ma-1 +SCF:MNT-01 nist-800-171-r3 _03.04.03.c +SCF:MNT-01 nist-800-171-r3 _03.07.04.a +SCF:MNT-01 nist-800-171-r3 _03.07.06.a +SCF:MNT-01 nist-csf-2.0 pr.ps +SCF:MNT-01 nist-csf-2.0 pr.ps-02 +SCF:MNT-01 nist-csf-2.0 pr.ps-03 +SCF:MNT-02 nist-csf-function-grouping protect +SCF:MNT-02 csa-iot-scf-2 opa-01 +SCF:MNT-02 iso-27002-2022 _7.13 +SCF:MNT-02 iso-27017-2015 _11.2.4 +SCF:MNT-02 iso-27018-2025 _7.13 +SCF:MNT-02 nist-800-53-r4 ma-2 +SCF:MNT-02 nist-800-53-r5 ma-02 +SCF:MNT-02 nist-800-53b-r5-low ma-02 +SCF:MNT-02 nist-sp-800-66-r2 _164.310-a +SCF:MNT-02 nist-800-82-r3 ma-02 +SCF:MNT-02 nist-800-82-r3-low-ot-overlay ma-02 +SCF:MNT-02 nist-800-82-r3-moderate-ot-overlay ma-02 +SCF:MNT-02 nist-800-82-r3-high-ot-overlay ma-02 +SCF:MNT-02 nist-800-161-r1 ma-2 +SCF:MNT-02 nist-800-171-r2 _3.7.1 +SCF:MNT-02 nist-800-171-r3 _03.04.03.c +SCF:MNT-02 nist-800-171-r3 _03.07.04.a +SCF:MNT-02 nist-800-171-r3 _03.07.05.a +SCF:MNT-02 nist-800-171a _3.7.1 +SCF:MNT-02 nist-800-171a-r3 a.03.04.03.c-01 +SCF:MNT-02 nist-csf-2.0 pr.ps +SCF:MNT-02 nist-csf-2.0 pr.ps-02 +SCF:MNT-02 nist-csf-2.0 pr.ps-03 +SCF:MNT-02.1 nist-csf-function-grouping protect +SCF:MNT-02.1 nist-800-53-r4 ma-2-2 +SCF:MNT-02.1 nist-800-53-r5 ma-02-02 +SCF:MNT-02.1 nist-800-53b-r5-high ma-02-02 +SCF:MNT-02.1 nist-800-82-r3 ma-02-02 +SCF:MNT-02.1 nist-800-82-r3-high-ot-overlay ma-02-02 +SCF:MNT-02.1 nist-800-161-r1 ma-2-2 +SCF:MNT-02.1 nist-800-161-r1-level-3 ma-2-2 +SCF:MNT-03 nist-csf-function-grouping protect +SCF:MNT-03 csa-iot-scf-2 opa-01 +SCF:MNT-03 iso-27002-2022 _7.13 +SCF:MNT-03 iso-27017-2015 _11.2.4 +SCF:MNT-03 iso-27018-2025 _7.13 +SCF:MNT-03 nist-800-53-r4 ma-6 +SCF:MNT-03 nist-800-53-r5 ma-06 +SCF:MNT-03 nist-800-53b-r5-moderate ma-06 +SCF:MNT-03 nist-800-82-r3 ma-06 +SCF:MNT-03 nist-800-82-r3-moderate-ot-overlay ma-06 +SCF:MNT-03 nist-800-82-r3-high-ot-overlay ma-06 +SCF:MNT-03 nist-800-161-r1 ma-6 +SCF:MNT-03 nist-800-161-r1-level-3 ma-6 +SCF:MNT-03 nist-800-171-r3 _03.07.04.a +SCF:MNT-03 nist-csf-2.0 pr.ps-02 +SCF:MNT-03 nist-csf-2.0 pr.ps-03 +SCF:MNT-03 pci-dss-4.0.1 _10.7 +SCF:MNT-03 pci-dss-4.0.1 _11.3 +SCF:MNT-03.1 nist-csf-function-grouping protect +SCF:MNT-03.1 csa-iot-scf-2 opa-01 +SCF:MNT-03.1 nist-800-53-r4 ma-6-1 +SCF:MNT-03.1 nist-800-53-r5 ma-06-01 +SCF:MNT-03.1 nist-800-82-r3 ma-06-01 +SCF:MNT-03.1 nist-800-171-r3 _03.07.04.a +SCF:MNT-03.1 nist-csf-2.0 pr.ps-02 +SCF:MNT-03.1 nist-csf-2.0 pr.ps-03 +SCF:MNT-03.2 nist-csf-function-grouping protect +SCF:MNT-03.2 nist-800-53-r4 ma-6-2 +SCF:MNT-03.2 nist-800-53-r5 ma-06-02 +SCF:MNT-03.2 nist-800-82-r3 ma-06-02 +SCF:MNT-03.3 nist-csf-function-grouping protect +SCF:MNT-03.3 csa-iot-scf-2 opa-02 +SCF:MNT-03.3 nist-800-53-r4 ma-6-3 +SCF:MNT-03.3 nist-800-53-r5 ma-06-03 +SCF:MNT-03.3 nist-800-82-r3 ma-06-03 +SCF:MNT-04 nist-csf-function-grouping protect +SCF:MNT-04 cis-csc-8.1 _2.7 +SCF:MNT-04 cis-csc-8.1-ig3 _2.7 +SCF:MNT-04 iso-sae-21434-2021 rq-05-14 +SCF:MNT-04 nist-800-53-r4 ma-3 +SCF:MNT-04 nist-800-53-r5 ma-03 +SCF:MNT-04 nist-800-53-r5 ma-03-05 +SCF:MNT-04 nist-800-53-r5 ma-03-06 +SCF:MNT-04 nist-800-53b-r5-moderate ma-03 +SCF:MNT-04 nist-800-82-r3 ma-03 +SCF:MNT-04 nist-800-82-r3 ma-03-05 +SCF:MNT-04 nist-800-82-r3 ma-03-06 +SCF:MNT-04 nist-800-82-r3-moderate-ot-overlay ma-03 +SCF:MNT-04 nist-800-82-r3-high-ot-overlay ma-03 +SCF:MNT-04 nist-800-161-r1 ma-3 +SCF:MNT-04 nist-800-161-r1-level-2 ma-3 +SCF:MNT-04 nist-800-161-r1-level-3 ma-3 +SCF:MNT-04 nist-800-171-r2 _3.7.2 +SCF:MNT-04 nist-800-171-r3 _03.07.04.a +SCF:MNT-04 nist-800-171a _3.7.2-a +SCF:MNT-04 nist-800-171a _3.7.2-b +SCF:MNT-04 nist-800-171a _3.7.2-c +SCF:MNT-04 nist-800-171a _3.7.2-d +SCF:MNT-04 nist-800-171a-r3 a.03.07.04.a-01 +SCF:MNT-04 nist-800-171a-r3 a.03.07.04.a-02 +SCF:MNT-04 nist-800-171a-r3 a.03.07.04.a-03 +SCF:MNT-04.1 nist-csf-function-grouping protect +SCF:MNT-04.1 nist-800-53-r4 ma-3-1 +SCF:MNT-04.1 nist-800-53-r5 ma-03-01 +SCF:MNT-04.1 nist-800-53b-r5-moderate ma-03-01 +SCF:MNT-04.1 nist-800-82-r3 ma-03-01 +SCF:MNT-04.1 nist-800-82-r3-moderate-ot-overlay ma-03-01 +SCF:MNT-04.1 nist-800-82-r3-high-ot-overlay ma-03-01 +SCF:MNT-04.1 nist-800-161-r1 ma-3-1 +SCF:MNT-04.1 nist-800-161-r1-level-3 ma-3-1 +SCF:MNT-04.1 nist-800-171-r3 _03.07.04.b +SCF:MNT-04.2 nist-csf-function-grouping protect +SCF:MNT-04.2 nist-800-53-r4 ma-3-2 +SCF:MNT-04.2 nist-800-53-r5 ma-03-02 +SCF:MNT-04.2 nist-800-53b-r5-moderate ma-03-02 +SCF:MNT-04.2 nist-800-82-r3 ma-03-02 +SCF:MNT-04.2 nist-800-82-r3-moderate-ot-overlay ma-03-02 +SCF:MNT-04.2 nist-800-82-r3-high-ot-overlay ma-03-02 +SCF:MNT-04.2 nist-800-161-r1 ma-3-2 +SCF:MNT-04.2 nist-800-161-r1-level-3 ma-3-2 +SCF:MNT-04.2 nist-800-171-r2 _3.7.4 +SCF:MNT-04.2 nist-800-171a _3.7.4 +SCF:MNT-04.2 nist-800-171a-r3 a.03.07.04.b +SCF:MNT-04.3 nist-csf-function-grouping protect +SCF:MNT-04.3 nist-800-53-r4 ma-3-3 +SCF:MNT-04.3 nist-800-53-r5 ma-03-03 +SCF:MNT-04.3 nist-800-53b-r5-moderate ma-03-03 +SCF:MNT-04.3 nist-sp-800-66-r2 _164.310-d +SCF:MNT-04.3 nist-800-82-r3 ma-03-03 +SCF:MNT-04.3 nist-800-82-r3-moderate-ot-overlay ma-03-03 +SCF:MNT-04.3 nist-800-82-r3-high-ot-overlay ma-03-03 +SCF:MNT-04.3 nist-800-161-r1 ma-3-3 +SCF:MNT-04.3 nist-800-161-r1-level-3 ma-3-3 +SCF:MNT-04.3 nist-800-171-r3 _03.07.04.c +SCF:MNT-04.3 nist-800-171a-r3 a.03.07.04.c +SCF:MNT-04.4 nist-csf-function-grouping protect +SCF:MNT-04.4 cis-csc-8.1 _2.7 +SCF:MNT-04.4 cis-csc-8.1-ig3 _2.7 +SCF:MNT-04.4 iso-sae-21434-2021 rq-05-14 +SCF:MNT-04.4 nist-800-53-r4 ma-3-4 +SCF:MNT-04.4 nist-800-53-r5 ma-03-04 +SCF:MNT-04.4 nist-800-82-r3 ma-03-04 +SCF:MNT-05 nist-csf-function-grouping protect +SCF:MNT-05 cis-csc-8.1 _4.6 +SCF:MNT-05 cis-csc-8.1-ig1 _4.6 +SCF:MNT-05 cis-csc-8.1-ig2 _4.6 +SCF:MNT-05 cis-csc-8.1-ig3 _4.6 +SCF:MNT-05 nist-privacy-framework-1.0 pr.ma-p2 +SCF:MNT-05 nist-800-53-r4 ma-4 +SCF:MNT-05 nist-800-53-r5 ma-04 +SCF:MNT-05 nist-800-53b-r5-privacy ma-04 +SCF:MNT-05 nist-800-53b-r5-low ma-04 +SCF:MNT-05 nist-800-82-r3 ma-04 +SCF:MNT-05 nist-800-82-r3-low-ot-overlay ma-04 +SCF:MNT-05 nist-800-82-r3-moderate-ot-overlay ma-04 +SCF:MNT-05 nist-800-82-r3-high-ot-overlay ma-04 +SCF:MNT-05 nist-800-161-r1 ma-4 +SCF:MNT-05 nist-800-161-r1-c-scrm-baseline ma-4 +SCF:MNT-05 nist-800-161-r1-flow-down ma-4 +SCF:MNT-05 nist-800-161-r1-level-2 ma-4 +SCF:MNT-05 nist-800-161-r1-level-3 ma-4 +SCF:MNT-05 nist-800-171-r2 _3.7.5 +SCF:MNT-05 nist-800-171-r3 _03.01.12.d +SCF:MNT-05 nist-800-171-r3 _03.07.05.a +SCF:MNT-05 nist-800-171-r3 _03.07.05.b +SCF:MNT-05 nist-800-171-r3 _03.07.05.c +SCF:MNT-05 nist-800-171a _3.7.5-a +SCF:MNT-05 nist-800-171a _3.7.5-b +SCF:MNT-05 nist-800-171a-r3 a.03.07.05.a-01 +SCF:MNT-05 nist-800-171a-r3 a.03.07.05.a-02 +SCF:MNT-05 pci-dss-4.0.1 _8.2.7 +SCF:MNT-05 pci-dss-4.0.1-saq-a-ep _8.2.7 +SCF:MNT-05 pci-dss-4.0.1-saq-b-ip _8.2.7 +SCF:MNT-05 pci-dss-4.0.1-saq-c _8.2.7 +SCF:MNT-05 pci-dss-4.0.1-saq-d-merchant _8.2.7 +SCF:MNT-05 pci-dss-4.0.1-saq-d-service-provider _8.2.7 +SCF:MNT-05.1 nist-csf-function-grouping detect +SCF:MNT-05.1 nist-800-53-r4 ma-4-1 +SCF:MNT-05.1 nist-800-53-r5 ma-01 +SCF:MNT-05.1 nist-800-53-r5 ma-04 +SCF:MNT-05.1 nist-800-53-r5 ma-04-01 +SCF:MNT-05.1 nist-800-53b-r5-privacy ma-01 +SCF:MNT-05.1 nist-800-53b-r5-privacy ma-04 +SCF:MNT-05.1 nist-800-53b-r5-low ma-01 +SCF:MNT-05.1 nist-800-53b-r5-low ma-04 +SCF:MNT-05.1 nist-800-82-r3 ma-01 +SCF:MNT-05.1 nist-800-82-r3 ma-04 +SCF:MNT-05.1 nist-800-82-r3 ma-04-01 +SCF:MNT-05.1 nist-800-82-r3-low-ot-overlay ma-01 +SCF:MNT-05.1 nist-800-82-r3-low-ot-overlay ma-04 +SCF:MNT-05.1 nist-800-82-r3-moderate-ot-overlay ma-01 +SCF:MNT-05.1 nist-800-82-r3-moderate-ot-overlay ma-04 +SCF:MNT-05.1 nist-800-82-r3-moderate-ot-overlay ma-04-01 +SCF:MNT-05.1 nist-800-82-r3-high-ot-overlay ma-01 +SCF:MNT-05.1 nist-800-82-r3-high-ot-overlay ma-04 +SCF:MNT-05.1 nist-800-82-r3-high-ot-overlay ma-04-01 +SCF:MNT-05.1 nist-800-161-r1 ma-1 +SCF:MNT-05.1 nist-800-161-r1 ma-4 +SCF:MNT-05.1 nist-800-161-r1-c-scrm-baseline ma-1 +SCF:MNT-05.1 nist-800-161-r1-c-scrm-baseline ma-4 +SCF:MNT-05.1 nist-800-161-r1-flow-down ma-1 +SCF:MNT-05.1 nist-800-161-r1-flow-down ma-4 +SCF:MNT-05.1 nist-800-161-r1-level-1 ma-1 +SCF:MNT-05.1 nist-800-161-r1-level-2 ma-1 +SCF:MNT-05.1 nist-800-161-r1-level-2 ma-4 +SCF:MNT-05.1 nist-800-161-r1-level-3 ma-1 +SCF:MNT-05.1 nist-800-161-r1-level-3 ma-4 +SCF:MNT-05.1 nist-800-171-r3 _03.07.05.a +SCF:MNT-05.1 pci-dss-4.0.1 _8.2.7 +SCF:MNT-05.1 pci-dss-4.0.1-saq-a-ep _8.2.7 +SCF:MNT-05.1 pci-dss-4.0.1-saq-b-ip _8.2.7 +SCF:MNT-05.1 pci-dss-4.0.1-saq-c _8.2.7 +SCF:MNT-05.1 pci-dss-4.0.1-saq-d-merchant _8.2.7 +SCF:MNT-05.1 pci-dss-4.0.1-saq-d-service-provider _8.2.7 +SCF:MNT-05.2 nist-csf-function-grouping protect +SCF:MNT-05.2 nist-800-53-r4 ma-4-2 +SCF:MNT-05.2 nist-800-53-r5 ma-01 +SCF:MNT-05.2 nist-800-53-r5 ma-04 +SCF:MNT-05.2 nist-800-53b-r5-privacy ma-01 +SCF:MNT-05.2 nist-800-53b-r5-privacy ma-04 +SCF:MNT-05.2 nist-800-53b-r5-low ma-01 +SCF:MNT-05.2 nist-800-53b-r5-low ma-04 +SCF:MNT-05.2 nist-800-82-r3 ma-01 +SCF:MNT-05.2 nist-800-82-r3 ma-04 +SCF:MNT-05.2 nist-800-82-r3-low-ot-overlay ma-01 +SCF:MNT-05.2 nist-800-82-r3-low-ot-overlay ma-04 +SCF:MNT-05.2 nist-800-82-r3-moderate-ot-overlay ma-01 +SCF:MNT-05.2 nist-800-82-r3-moderate-ot-overlay ma-04 +SCF:MNT-05.2 nist-800-82-r3-high-ot-overlay ma-01 +SCF:MNT-05.2 nist-800-82-r3-high-ot-overlay ma-04 +SCF:MNT-05.2 nist-800-161-r1 ma-1 +SCF:MNT-05.2 nist-800-161-r1 ma-4 +SCF:MNT-05.2 nist-800-161-r1-c-scrm-baseline ma-1 +SCF:MNT-05.2 nist-800-161-r1-c-scrm-baseline ma-4 +SCF:MNT-05.2 nist-800-161-r1-flow-down ma-1 +SCF:MNT-05.2 nist-800-161-r1-flow-down ma-4 +SCF:MNT-05.2 nist-800-161-r1-level-1 ma-1 +SCF:MNT-05.2 nist-800-161-r1-level-2 ma-1 +SCF:MNT-05.2 nist-800-161-r1-level-2 ma-4 +SCF:MNT-05.2 nist-800-161-r1-level-3 ma-1 +SCF:MNT-05.2 nist-800-161-r1-level-3 ma-4 +SCF:MNT-05.2 nist-800-171-r2 nfo-ma-4-2 +SCF:MNT-05.3 nist-csf-function-grouping protect +SCF:MNT-05.3 cis-csc-8.1 _12.3 +SCF:MNT-05.3 cis-csc-8.1-ig2 _12.3 +SCF:MNT-05.3 cis-csc-8.1-ig3 _12.3 +SCF:MNT-05.3 nist-800-53-r4 ma-4-6 +SCF:MNT-05.3 nist-800-53-r5 ma-04-06 +SCF:MNT-05.3 nist-800-82-r3 ma-04-06 +SCF:MNT-05.3 nist-800-171-r3 _03.07.05.b +SCF:MNT-05.3 nist-800-171a-r3 a.03.07.05.b-02 +SCF:MNT-05.3 pci-dss-4.0.1 _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-a-ep _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-b-ip _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-c _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-c-vt _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-d-merchant _2.2.7 +SCF:MNT-05.3 pci-dss-4.0.1-saq-d-service-provider _2.2.7 +SCF:MNT-05.4 nist-csf-function-grouping protect +SCF:MNT-05.4 nist-800-53-r4 ma-4-7 +SCF:MNT-05.4 nist-800-53-r5 ma-04-07 +SCF:MNT-05.4 nist-800-82-r3 ma-04-07 +SCF:MNT-05.4 nist-800-171-r2 _3.7.5 +SCF:MNT-05.4 nist-800-171-r3 _03.07.05.c +SCF:MNT-05.4 nist-800-171a-r3 a.03.07.05.c-01 +SCF:MNT-05.4 pci-dss-4.0.1 _8.2.7 +SCF:MNT-05.4 pci-dss-4.0.1-saq-a-ep _8.2.7 +SCF:MNT-05.4 pci-dss-4.0.1-saq-b-ip _8.2.7 +SCF:MNT-05.4 pci-dss-4.0.1-saq-c _8.2.7 +SCF:MNT-05.4 pci-dss-4.0.1-saq-d-merchant _8.2.7 +SCF:MNT-05.4 pci-dss-4.0.1-saq-d-service-provider _8.2.7 +SCF:MNT-05.5 nist-csf-function-grouping protect +SCF:MNT-05.5 nist-800-53-r4 ma-4-5 +SCF:MNT-05.5 nist-800-53-r5 ma-04-05 +SCF:MNT-05.5 nist-800-82-r3 ma-04-05 +SCF:MNT-05.5 nist-800-171-r3 _03.07.05.a +SCF:MNT-05.6 nist-csf-function-grouping protect +SCF:MNT-05.6 nist-800-53-r4 ma-4-3 +SCF:MNT-05.6 nist-800-53-r5 ma-04-03 +SCF:MNT-05.6 nist-800-53b-r5-high ma-04-03 +SCF:MNT-05.6 nist-800-82-r3 ma-04-03 +SCF:MNT-05.6 nist-800-82-r3-high-ot-overlay ma-04-03 +SCF:MNT-05.6 nist-800-161-r1 ma-4-3 +SCF:MNT-05.6 nist-800-161-r1-level-2 ma-4-3 +SCF:MNT-05.6 nist-800-161-r1-level-3 ma-4-3 +SCF:MNT-05.7 nist-csf-function-grouping protect +SCF:MNT-05.7 nist-800-53-r4 ma-4-4 +SCF:MNT-05.7 nist-800-53-r5 ma-04-04 +SCF:MNT-05.7 nist-800-82-r3 ma-04-04 +SCF:MNT-05.7 nist-800-160-vol2-r1 ma-04-04 +SCF:MNT-06 nist-csf-function-grouping protect +SCF:MNT-06 nist-800-53-r4 ma-5 +SCF:MNT-06 nist-800-53-r5 ma-05 +SCF:MNT-06 nist-800-53b-r5-low ma-05 +SCF:MNT-06 nist-800-82-r3 ma-05 +SCF:MNT-06 nist-800-82-r3-low-ot-overlay ma-05 +SCF:MNT-06 nist-800-82-r3-moderate-ot-overlay ma-05 +SCF:MNT-06 nist-800-82-r3-high-ot-overlay ma-05 +SCF:MNT-06 nist-800-161-r1 ma-5 +SCF:MNT-06 nist-800-161-r1-c-scrm-baseline ma-5 +SCF:MNT-06 nist-800-161-r1-level-2 ma-5 +SCF:MNT-06 nist-800-161-r1-level-3 ma-5 +SCF:MNT-06 nist-800-171-r2 _3.7.6 +SCF:MNT-06 nist-800-171-r3 _03.07.06.a +SCF:MNT-06 nist-800-171-r3 _03.07.06.b +SCF:MNT-06 nist-800-171-r3 _03.07.06.c +SCF:MNT-06 nist-800-171-r3 _03.07.06.d +SCF:MNT-06 nist-800-171a _3.7.6 +SCF:MNT-06 nist-800-171a-r3 a.03.07.06.a +SCF:MNT-06 nist-800-171a-r3 a.03.07.06.b +SCF:MNT-06 nist-800-171a-r3 a.03.07.06.c +SCF:MNT-06 nist-800-171a-r3 a.03.07.06.d-01 +SCF:MNT-06 nist-800-171a-r3 a.03.07.06.d-02 +SCF:MNT-06.1 nist-csf-function-grouping protect +SCF:MNT-06.1 nist-800-53-r4 ma-5-1 +SCF:MNT-06.1 nist-800-53-r4 ma-5-2 +SCF:MNT-06.1 nist-800-53-r4 ma-5-3 +SCF:MNT-06.1 nist-800-53-r4 ma-5-4 +SCF:MNT-06.1 nist-800-53-r5 ma-05-01 +SCF:MNT-06.1 nist-800-53-r5 ma-05-02 +SCF:MNT-06.1 nist-800-53-r5 ma-05-03 +SCF:MNT-06.1 nist-800-53-r5 ma-05-04 +SCF:MNT-06.1 nist-800-53b-r5-high ma-05-01 +SCF:MNT-06.1 nist-800-82-r3 ma-05-01 +SCF:MNT-06.1 nist-800-82-r3 ma-05-02 +SCF:MNT-06.1 nist-800-82-r3 ma-05-03 +SCF:MNT-06.1 nist-800-82-r3 ma-05-04 +SCF:MNT-06.1 nist-800-82-r3-high-ot-overlay ma-05-01 +SCF:MNT-06.1 nist-800-161-r1 ma-5-4 +SCF:MNT-06.1 nist-800-161-r1-flow-down ma-5-4 +SCF:MNT-06.1 nist-800-161-r1-level-2 ma-5-4 +SCF:MNT-06.1 nist-800-161-r1-level-3 ma-5-4 +SCF:MNT-06.1 nist-800-171-r2 _3.7.6 +SCF:MNT-06.1 nist-800-171-r3 _03.07.06.a +SCF:MNT-06.1 nist-800-171-r3 _03.07.06.c +SCF:MNT-06.1 nist-800-171-r3 _03.07.06.d +SCF:MNT-06.1 nist-800-171a-r3 a.03.07.06.c +SCF:MNT-06.2 nist-csf-function-grouping protect +SCF:MNT-06.2 nist-800-53-r4 ma-5-5 +SCF:MNT-06.2 nist-800-53-r5 ma-05-05 +SCF:MNT-06.2 nist-800-82-r3 ma-05-05 +SCF:MNT-06.2 nist-800-171-r2 _3.7.6 +SCF:MNT-06.2 nist-800-171-r3 _03.07.06.a +SCF:MNT-06.2 nist-800-171-r3 _03.07.06.c +SCF:MNT-06.2 nist-800-171a-r3 a.03.07.06.c +SCF:MNT-07 nist-csf-function-grouping protect +SCF:MNT-07 nist-800-53-r5 sr-11-02 +SCF:MNT-07 nist-800-53b-r5-low sr-11-02 +SCF:MNT-07 nist-800-82-r3 sr-11-02 +SCF:MNT-07 nist-800-82-r3-low-ot-overlay sr-11-02 +SCF:MNT-07 nist-800-82-r3-moderate-ot-overlay sr-11-02 +SCF:MNT-07 nist-800-82-r3-high-ot-overlay sr-11-02 +SCF:MNT-07 nist-800-161-r1 sr-11-2 +SCF:MNT-07 nist-800-161-r1-c-scrm-baseline sr-11-2 +SCF:MNT-07 nist-800-161-r1-level-2 sr-11-2 +SCF:MNT-07 nist-800-161-r1-level-3 sr-11-2 +SCF:MNT-08 nist-csf-function-grouping protect +SCF:MNT-08 nist-800-53-r5 ma-07 +SCF:MNT-08 nist-800-82-r3 ma-07 +SCF:MNT-08 nist-800-82-r3-low-ot-overlay ma-07 +SCF:MNT-08 nist-800-82-r3-moderate-ot-overlay ma-07 +SCF:MNT-08 nist-800-82-r3-high-ot-overlay ma-07 +SCF:MNT-08 nist-800-161-r1 ma-7 +SCF:MNT-08 nist-800-161-r1-level-3 ma-7 +SCF:MNT-09 nist-csf-function-grouping protect +SCF:MNT-09 nist-800-171-r3 _03.07.04.a +SCF:MNT-10 nist-csf-function-grouping detect +SCF:MNT-11 nist-csf-function-grouping detect +SCF:MNT-11 nist-800-161-r1 ma-8 +SCF:MNT-11 nist-800-161-r1-level-3 ma-8 +SCF:MDM-01 nist-csf-function-grouping govern +SCF:MDM-01 cis-csc-8.1 _4.11 +SCF:MDM-01 cis-csc-8.1-ig2 _4.11 +SCF:MDM-01 cis-csc-8.1-ig3 _4.11 +SCF:MDM-01 csa-ccm-4.1.0 uem-12 +SCF:MDM-01 csa-iot-scf-2 sap-05 +SCF:MDM-01 iec-62443-3-3-2013 sr-2.3 +SCF:MDM-01 iec-62443-3-3-2013 sr-2.3-b +SCF:MDM-01 iso-27002-2022 _8.1 +SCF:MDM-01 iso-27018-2025 _8.1 +SCF:MDM-01 nist-800-171-r2 _3.1.18 +SCF:MDM-01 nist-800-171-r3 _03.01.18.a +SCF:MDM-01 nist-800-171-r3 _03.01.20.d +SCF:MDM-01 nist-800-171a-r3 a.03.01.18.a-01 +SCF:MDM-01 nist-800-207 nist-tenet-1 +SCF:MDM-02 nist-csf-function-grouping protect +SCF:MDM-02 iso-27002-2022 _8.1 +SCF:MDM-02 iso-27017-2015 _6.2.1 +SCF:MDM-02 iso-27018-2025 _8.1 +SCF:MDM-02 nist-800-53-r4 ac-19 +SCF:MDM-02 nist-800-53-r5 ac-19 +SCF:MDM-02 nist-800-53b-r5-low ac-19 +SCF:MDM-02 nist-800-82-r3 ac-19 +SCF:MDM-02 nist-800-82-r3-low-ot-overlay ac-19 +SCF:MDM-02 nist-800-82-r3-moderate-ot-overlay ac-19 +SCF:MDM-02 nist-800-82-r3-high-ot-overlay ac-19 +SCF:MDM-02 nist-800-161-r1 ac-19 +SCF:MDM-02 nist-800-161-r1-c-scrm-baseline ac-19 +SCF:MDM-02 nist-800-161-r1-level-2 ac-19 +SCF:MDM-02 nist-800-161-r1-level-3 ac-19 +SCF:MDM-02 nist-800-171-r2 _3.1.18 +SCF:MDM-02 nist-800-171-r3 _03.01.18.a +SCF:MDM-02 nist-800-171-r3 _03.01.18.b +SCF:MDM-02 nist-800-171a _3.1.18-a +SCF:MDM-02 nist-800-171a _3.1.18-b +SCF:MDM-02 nist-800-171a _3.1.18-c +SCF:MDM-02 nist-800-171a-r3 a.03.01.18.b +SCF:MDM-02 nist-800-207 nist-tenet-1 +SCF:MDM-03 nist-csf-function-grouping protect +SCF:MDM-03 csa-iot-scf-2 sap-05 +SCF:MDM-03 nist-800-53-r4 ac-19-5 +SCF:MDM-03 nist-800-53-r5 ac-19-05 +SCF:MDM-03 nist-800-53b-r5-moderate ac-19-05 +SCF:MDM-03 nist-800-82-r3 ac-19-05 +SCF:MDM-03 nist-800-82-r3-moderate-ot-overlay ac-19-05 +SCF:MDM-03 nist-800-82-r3-high-ot-overlay ac-19-05 +SCF:MDM-03 nist-800-171-r2 _3.1.19 +SCF:MDM-03 nist-800-171-r3 _03.01.18.c +SCF:MDM-03 nist-800-171a _3.1.19-a +SCF:MDM-03 nist-800-171a _3.1.19-b +SCF:MDM-03 nist-800-171a-r3 a.03.01.18.c +SCF:MDM-04 nist-csf-function-grouping protect +SCF:MDM-04 nist-800-53-r4 pe-3-5 +SCF:MDM-04 nist-800-53-r5 pe-03-05 +SCF:MDM-04 nist-800-82-r3 pe-03-05 +SCF:MDM-04 nist-800-160-vol2-r1 pe-03-05 +SCF:MDM-04 nist-800-161-r1 pe-3-5 +SCF:MDM-04 nist-800-161-r1-level-2 pe-3-5 +SCF:MDM-04 nist-800-161-r1-level-3 pe-3-5 +SCF:MDM-04 nist-800-171-r3 _03.04.12.b +SCF:MDM-05 nist-csf-function-grouping protect +SCF:MDM-05 cis-csc-8.1 _4.11 +SCF:MDM-05 cis-csc-8.1-ig2 _4.11 +SCF:MDM-05 cis-csc-8.1-ig3 _4.11 +SCF:MDM-05 csa-ccm-4.1.0 uem-13 +SCF:MDM-05 iso-27002-2022 _8.1 +SCF:MDM-05 iso-27017-2015 _6.2.1 +SCF:MDM-05 iso-27018-2025 _8.1 +SCF:MDM-05 nist-800-53-r4 ac-7-2 +SCF:MDM-05 nist-800-53-r4 mp-6-8 +SCF:MDM-05 nist-800-53-r5 ac-07-02 +SCF:MDM-05 nist-800-53-r5 mp-06-08 +SCF:MDM-05 nist-800-82-r3 ac-07-02 +SCF:MDM-05 nist-800-82-r3 mp-06-08 +SCF:MDM-06 nist-csf-function-grouping protect +SCF:MDM-06 csa-iot-scf-2 sap-05 +SCF:MDM-06 nist-800-171-r2 _3.1.18 +SCF:MDM-06 nist-800-171-r3 _03.01.18.a +SCF:MDM-06 nist-800-171-r3 _03.01.18.b +SCF:MDM-06 nist-800-207 nist-tenet-1 +SCF:MDM-07 nist-csf-function-grouping protect +SCF:MDM-07 csa-iot-scf-2 sap-05 +SCF:MDM-07 nist-800-171-r2 _3.1.18 +SCF:MDM-07 nist-800-171-r3 _03.01.18.a +SCF:MDM-07 nist-800-171-r3 _03.01.18.b +SCF:MDM-07 nist-800-171-r3 _03.01.20.d +SCF:MDM-07 nist-800-207 nist-tenet-1 +SCF:MDM-08 nist-csf-function-grouping protect +SCF:MDM-09 nist-csf-function-grouping protect +SCF:MDM-09 csa-iot-scf-2 iam-05 +SCF:MDM-09 nist-800-207 nist-tenet-4 +SCF:MDM-10 nist-csf-function-grouping protect +SCF:MDM-10 cis-csc-8.1 _4.12 +SCF:MDM-10 cis-csc-8.1-ig3 _4.12 +SCF:MDM-11 nist-csf-function-grouping protect +SCF:MDM-11 iec-62443-3-3-2013 sr-2.3-a +SCF:MDM-11 iec-62443-3-3-2013 sr-2.3-c +SCF:MDM-11 iec-62443-3-3-2013 sr-2.3-re-1 +SCF:MDM-11 nist-800-171-r3 _03.01.18.b +SCF:NET-01 nist-csf-function-grouping govern +SCF:NET-01 cis-csc-8.1 _12.0 +SCF:NET-01 cis-csc-8.1 _12.1 +SCF:NET-01 cis-csc-8.1 _12.2 +SCF:NET-01 cis-csc-8.1 _12.3 +SCF:NET-01 cis-csc-8.1 _12.6 +SCF:NET-01 cis-csc-8.1-ig1 _12.1 +SCF:NET-01 cis-csc-8.1-ig2 _12.1 +SCF:NET-01 cis-csc-8.1-ig2 _12.2 +SCF:NET-01 cis-csc-8.1-ig2 _12.3 +SCF:NET-01 cis-csc-8.1-ig2 _12.6 +SCF:NET-01 cis-csc-8.1-ig3 _12.1 +SCF:NET-01 cis-csc-8.1-ig3 _12.2 +SCF:NET-01 cis-csc-8.1-ig3 _12.3 +SCF:NET-01 cis-csc-8.1-ig3 _12.6 +SCF:NET-01 cobit-2019 dss05.02 +SCF:NET-01 csa-ccm-4.1.0 i-s-03 +SCF:NET-01 csa-iot-scf-2 opa-06 +SCF:NET-01 csa-iot-scf-2 opa-07 +SCF:NET-01 csa-iot-scf-2 opa-08 +SCF:NET-01 csa-iot-scf-2 snt-01 +SCF:NET-01 iec-62443-2-1-2024 net-1.2 +SCF:NET-01 iec-62443-3-3-2013 sr-7.6 +SCF:NET-01 iso-27002-2022 _5.14 +SCF:NET-01 iso-27002-2022 _8.12 +SCF:NET-01 iso-27002-2022 _8.2 +SCF:NET-01 iso-27002-2022 _8.21 +SCF:NET-01 iso-27017-2015 _13.1.1 +SCF:NET-01 iso-27017-2015 _13.1.2 +SCF:NET-01 iso-27017-2015 _13.2.1 +SCF:NET-01 iso-27018-2025 _5.14 +SCF:NET-01 iso-27018-2025 _8.12 +SCF:NET-01 iso-27018-2025 _8.20 +SCF:NET-01 iso-27018-2025 _8.21 +SCF:NET-01 nist-privacy-framework-1.0 pr.pt-p3 +SCF:NET-01 nist-800-53-r4 sc-1 +SCF:NET-01 nist-800-53-r5 sc-01 +SCF:NET-01 nist-800-53b-r5-privacy sc-01 +SCF:NET-01 nist-800-53b-r5-low sc-01 +SCF:NET-01 nist-sp-800-66-r2 _164.312-e-1 +SCF:NET-01 nist-800-82-r3 sc-01 +SCF:NET-01 nist-800-82-r3-low-ot-overlay sc-01 +SCF:NET-01 nist-800-82-r3-moderate-ot-overlay sc-01 +SCF:NET-01 nist-800-82-r3-high-ot-overlay sc-01 +SCF:NET-01 nist-800-161-r1 sc-1 +SCF:NET-01 nist-800-161-r1-c-scrm-baseline sc-1 +SCF:NET-01 nist-800-161-r1-level-1 sc-1 +SCF:NET-01 nist-800-161-r1-level-2 sc-1 +SCF:NET-01 nist-800-161-r1-level-3 sc-1 +SCF:NET-01 nist-800-171-r2 _3.13.1 +SCF:NET-01 nist-800-171-r2 nfo-sc-1 +SCF:NET-01 nist-800-171-r3 _03.01.12.a +SCF:NET-01 nist-800-171-r3 _03.01.16.a +SCF:NET-01 nist-800-171-r3 _03.01.16.b +SCF:NET-01 nist-800-171-r3 _03.01.18.a +SCF:NET-01 nist-800-171-r3 _03.13.01.a +SCF:NET-01 nist-800-207 nist-tenet-2 +SCF:NET-01 nist-csf-2.0 pr.ir-01 +SCF:NET-01 pci-dss-4.0.1 _1.1 +SCF:NET-01 pci-dss-4.0.1 _1.2 +SCF:NET-01 pci-dss-4.0.1 _11.2.1 +SCF:NET-01 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-01 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-01 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-01.1 nist-csf-function-grouping protect +SCF:NET-01.1 cis-csc-8.1 _13.5 +SCF:NET-01.1 cis-csc-8.1-ig2 _13.5 +SCF:NET-01.1 cis-csc-8.1-ig3 _13.5 +SCF:NET-01.1 csa-iot-scf-2 snt-02 +SCF:NET-01.1 iec-62443-4-2-2019 ndr-1.13 +SCF:NET-01.1 nist-800-207 nist-tenet-3 +SCF:NET-01.1 nist-800-207 nist-tenet-5 +SCF:NET-01.1 nist-800-207 nist-tenet-6 +SCF:NET-02 nist-csf-function-grouping protect +SCF:NET-02 cis-csc-8.1 _12.2 +SCF:NET-02 cis-csc-8.1-ig2 _12.2 +SCF:NET-02 cis-csc-8.1-ig3 _12.2 +SCF:NET-02 csa-iot-scf-2 snt-01 +SCF:NET-02 iec-62443-2-1-2024 net-1.2 +SCF:NET-02 iso-27002-2022 _8.2 +SCF:NET-02 iso-27017-2015 _13.1.1 +SCF:NET-02 iso-27018-2025 _8.20 +SCF:NET-02 nist-privacy-framework-1.0 pr.ac-p5 +SCF:NET-02 nist-privacy-framework-1.0 pr.pt-p3 +SCF:NET-02 nist-800-171-r3 _03.13.01.b +SCF:NET-02 nist-800-172 _3.13.4e +SCF:NET-02 nist-csf-2.0 pr.ir-01 +SCF:NET-02 pci-dss-4.0.1 _1.4 +SCF:NET-02 pci-dss-4.0.1 _1.4.1 +SCF:NET-02 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-02 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-02 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-02.1 nist-csf-function-grouping protect +SCF:NET-02.1 csa-iot-scf-2 opa-08 +SCF:NET-02.1 csa-iot-scf-2 opa-09 +SCF:NET-02.1 iec-62443-3-3-2013 sr-7.1 +SCF:NET-02.1 iec-62443-3-3-2013 sr-7.1-re-1 +SCF:NET-02.1 iec-62443-3-3-2013 sr-7.1-re-2 +SCF:NET-02.1 iec-62443-4-2-2019 cr-7.1 +SCF:NET-02.1 iec-62443-4-2-2019 cr-7.1-1 +SCF:NET-02.1 nist-800-53-r4 sc-5 +SCF:NET-02.1 nist-800-53-r5 sc-05 +SCF:NET-02.1 nist-800-53b-r5-privacy sc-05 +SCF:NET-02.1 nist-800-53b-r5-low sc-05 +SCF:NET-02.1 nist-800-82-r3 sc-05 +SCF:NET-02.1 nist-800-82-r3-low-ot-overlay sc-05 +SCF:NET-02.1 nist-800-82-r3-moderate-ot-overlay sc-05 +SCF:NET-02.1 nist-800-82-r3-high-ot-overlay sc-05 +SCF:NET-02.2 nist-csf-function-grouping protect +SCF:NET-02.2 nist-800-171-r2 _3.13.1 +SCF:NET-02.2 nist-800-171-r3 _03.01.16.a +SCF:NET-02.2 nist-800-171-r3 _03.01.16.b +SCF:NET-02.2 nist-800-171a _3.13.1-e +SCF:NET-02.2 nist-800-171a _3.13.1-g +SCF:NET-02.2 nist-800-171a-r3 a.03.01.16.a-01 +SCF:NET-02.2 nist-800-171a-r3 a.03.01.16.a-02 +SCF:NET-02.2 nist-800-171a-r3 a.03.01.16.a-04 +SCF:NET-02.2 nist-800-171a-r3 a.03.01.16.b +SCF:NET-02.2 pci-dss-4.0.1 _1.2.3 +SCF:NET-02.2 pci-dss-4.0.1 _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1 _2.3 +SCF:NET-02.2 pci-dss-4.0.1 _11.2 +SCF:NET-02.2 pci-dss-4.0.1 _11.2.1 +SCF:NET-02.2 pci-dss-4.0.1 _11.2.2 +SCF:NET-02.2 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-02.2 pci-dss-4.0.1-saq-c _11.2.2 +SCF:NET-02.2 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-merchant _11.2.2 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-02.2 pci-dss-4.0.1-saq-d-service-provider _11.2.2 +SCF:NET-02.3 nist-csf-function-grouping protect +SCF:NET-02.3 nist-800-53-r5 sc-46 +SCF:NET-02.3 nist-800-82-r3 sc-46 +SCF:NET-02.3 nist-800-160-vol2-r1 sc-46 +SCF:NET-02.3 nist-800-172 _3.1.3e +SCF:NET-02.3 nist-800-207 nist-tenet-4 +SCF:NET-03 nist-csf-function-grouping protect +SCF:NET-03 cis-csc-8.1 _9.6 +SCF:NET-03 cis-csc-8.1 _13.5 +SCF:NET-03 cis-csc-8.1-ig2 _9.6 +SCF:NET-03 cis-csc-8.1-ig2 _13.5 +SCF:NET-03 cis-csc-8.1-ig3 _9.6 +SCF:NET-03 cis-csc-8.1-ig3 _13.5 +SCF:NET-03 csa-iot-scf-2 iot-10 +SCF:NET-03 iec-62443-2-1-2024 net-1.3 +SCF:NET-03 iec-62443-3-3-2013 sr-5.2 +SCF:NET-03 iec-62443-4-2-2019 cr-5.2 +SCF:NET-03 iec-62443-4-2-2019 ndr-5.2 +SCF:NET-03 iso-27002-2022 _8.2 +SCF:NET-03 iso-27002-2022 _8.21 +SCF:NET-03 iso-27017-2015 _13.1.1 +SCF:NET-03 iso-27017-2015 _13.1.2 +SCF:NET-03 iso-27018-2025 _8.20 +SCF:NET-03 iso-27018-2025 _8.21 +SCF:NET-03 nist-800-53-r4 sc-7 +SCF:NET-03 nist-800-53-r4 sc-7-9 +SCF:NET-03 nist-800-53-r4 sc-7-11 +SCF:NET-03 nist-800-53-r5 sc-07 +SCF:NET-03 nist-800-53-r5 sc-07-09 +SCF:NET-03 nist-800-53-r5 sc-07-11 +SCF:NET-03 nist-800-53b-r5-privacy sc-07-09 +SCF:NET-03 nist-800-53b-r5-privacy sc-07-11 +SCF:NET-03 nist-800-53b-r5-low sc-07 +SCF:NET-03 nist-800-82-r3 sc-07 +SCF:NET-03 nist-800-82-r3 sc-07-09 +SCF:NET-03 nist-800-82-r3 sc-07-11 +SCF:NET-03 nist-800-82-r3-low-ot-overlay sc-07 +SCF:NET-03 nist-800-82-r3-moderate-ot-overlay sc-07 +SCF:NET-03 nist-800-82-r3-high-ot-overlay sc-07 +SCF:NET-03 nist-800-160-vol2-r1 sc-07 +SCF:NET-03 nist-800-160-vol2-r1 sc-07-11 +SCF:NET-03 nist-800-161-r1 sc-7 +SCF:NET-03 nist-800-161-r1-c-scrm-baseline sc-7 +SCF:NET-03 nist-800-161-r1-flow-down sc-7 +SCF:NET-03 nist-800-161-r1-level-2 sc-7 +SCF:NET-03 nist-800-171-r2 _3.13.1 +SCF:NET-03 nist-800-171-r3 _03.01.12.a +SCF:NET-03 nist-800-171-r3 _03.13.01.a +SCF:NET-03 nist-800-171-r3 _03.13.01.b +SCF:NET-03 nist-800-171-r3 _03.13.01.c +SCF:NET-03 nist-800-171a _3.13.1-a +SCF:NET-03 nist-800-171a _3.13.1-b +SCF:NET-03 nist-800-171a _3.13.1-c +SCF:NET-03 nist-800-171a _3.13.1-d +SCF:NET-03 nist-800-171a _3.13.1-e +SCF:NET-03 nist-800-171a _3.13.1-f +SCF:NET-03 nist-800-171a _3.13.1-g +SCF:NET-03 nist-800-171a _3.13.1-h +SCF:NET-03 nist-800-171a-r3 a.03.01.18.a-03 +SCF:NET-03 nist-800-171a-r3 a.03.13.01.a-02 +SCF:NET-03 nist-800-171a-r3 a.03.13.01.a-04 +SCF:NET-03 nist-800-171a-r3 a.03.13.01.c +SCF:NET-03 pci-dss-4.0.1 _1.3.3 +SCF:NET-03 pci-dss-4.0.1 _1.4 +SCF:NET-03 pci-dss-4.0.1 _1.4.1 +SCF:NET-03 pci-dss-4.0.1 _1.4.2 +SCF:NET-03 pci-dss-4.0.1 _11.5.1 +SCF:NET-03 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-03 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-03 pci-dss-4.0.1-saq-a-ep _11.5.1 +SCF:NET-03 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-03 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-03 pci-dss-4.0.1-saq-d-merchant _11.5.1 +SCF:NET-03 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-03 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-03 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-03 pci-dss-4.0.1-saq-d-service-provider _11.5.1 +SCF:NET-03.1 nist-csf-function-grouping protect +SCF:NET-03.1 csa-iot-scf-2 sws-04 +SCF:NET-03.1 nist-800-53-r4 sc-7-3 +SCF:NET-03.1 nist-800-53-r5 sc-07-03 +SCF:NET-03.1 nist-800-53-r5 si-04-25 +SCF:NET-03.1 nist-800-53b-r5-privacy si-04-25 +SCF:NET-03.1 nist-800-53b-r5-moderate sc-07-03 +SCF:NET-03.1 nist-800-82-r3 sc-07-03 +SCF:NET-03.1 nist-800-82-r3 si-04-25 +SCF:NET-03.1 nist-800-82-r3-moderate-ot-overlay sc-07-03 +SCF:NET-03.1 nist-800-82-r3-high-ot-overlay sc-07-03 +SCF:NET-03.1 nist-800-160-vol2-r1 si-04-25 +SCF:NET-03.1 nist-800-171-r2 nfo-sc-7-3 +SCF:NET-03.1 pci-dss-4.0.1 _1.4.2 +SCF:NET-03.1 pci-dss-4.0.1 _11.2.1 +SCF:NET-03.1 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-03.1 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-03.1 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-03.1 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-03.1 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-03.1 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-03.2 nist-csf-function-grouping protect +SCF:NET-03.2 nist-800-53-r4 sc-7-4 +SCF:NET-03.2 nist-800-53-r4 sc-7-9 +SCF:NET-03.2 nist-800-53-r5 sc-07-04 +SCF:NET-03.2 nist-800-53-r5 sc-07-09 +SCF:NET-03.2 nist-800-53b-r5-privacy sc-07-09 +SCF:NET-03.2 nist-800-53b-r5-moderate sc-07-04 +SCF:NET-03.2 nist-800-82-r3 sc-07-04 +SCF:NET-03.2 nist-800-82-r3 sc-07-09 +SCF:NET-03.2 nist-800-82-r3-moderate-ot-overlay sc-07-04 +SCF:NET-03.2 nist-800-82-r3-high-ot-overlay sc-07-04 +SCF:NET-03.2 nist-800-171-r2 nfo-sc-7-4 +SCF:NET-03.3 nist-csf-function-grouping protect +SCF:NET-03.3 iso-27002-2022 _8.12 +SCF:NET-03.3 iso-27018-2025 _8.12 +SCF:NET-03.3 nist-800-53-r4 sc-7-16 +SCF:NET-03.3 nist-800-53-r5 sc-07-16 +SCF:NET-03.3 nist-800-82-r3 sc-07-16 +SCF:NET-03.3 nist-800-160-vol2-r1 sc-07-16 +SCF:NET-03.3 pci-dss-4.0.1 _1.4.5 +SCF:NET-03.3 pci-dss-4.0.1-saq-a-ep _1.4.5 +SCF:NET-03.3 pci-dss-4.0.1-saq-d-merchant _1.4.5 +SCF:NET-03.3 pci-dss-4.0.1-saq-d-service-provider _1.4.5 +SCF:NET-03.4 nist-csf-function-grouping protect +SCF:NET-03.4 nist-800-53-r5 sc-07-24 +SCF:NET-03.4 nist-800-53b-r5-privacy sc-07-24 +SCF:NET-03.4 nist-800-82-r3 sc-07-24 +SCF:NET-03.5 nist-csf-function-grouping protect +SCF:NET-03.5 iso-27002-2022 _8.12 +SCF:NET-03.5 iso-27018-2025 _8.12 +SCF:NET-03.5 nist-800-53-r4 sc-7-10 +SCF:NET-03.5 nist-800-53-r5 sc-07-10 +SCF:NET-03.5 nist-800-53b-r5-privacy sc-07-10 +SCF:NET-03.5 nist-800-82-r3 sc-07-10 +SCF:NET-03.5 nist-800-160-vol2-r1 sc-07-10 +SCF:NET-03.5 pci-dss-4.0.1 _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-a-ep _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-b-ip _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-c _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-c-vt _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-d-merchant _1.3.2 +SCF:NET-03.5 pci-dss-4.0.1-saq-d-service-provider _1.3.2 +SCF:NET-03.6 nist-csf-function-grouping protect +SCF:NET-03.6 nist-800-53-r4 sc-7-20 +SCF:NET-03.6 nist-800-53-r5 sc-07-20 +SCF:NET-03.6 nist-800-82-r3 sc-07-20 +SCF:NET-03.6 nist-800-160-vol2-r1 sc-07-20 +SCF:NET-03.7 nist-csf-function-grouping protect +SCF:NET-03.7 iec-62443-2-1-2024 net-1.3 +SCF:NET-03.7 iec-62443-2-1-2024 net-1.7 +SCF:NET-03.7 nist-800-53-r4 sc-7-21 +SCF:NET-03.7 nist-800-53-r5 sc-07-21 +SCF:NET-03.7 nist-800-53b-r5-high sc-07-21 +SCF:NET-03.7 nist-800-82-r3 sc-07-21 +SCF:NET-03.7 nist-800-82-r3-high-ot-overlay sc-07-21 +SCF:NET-03.7 nist-800-160-vol2-r1 sc-07-21 +SCF:NET-03.7 nist-800-172 _3.13.4e +SCF:NET-03.7 pci-dss-4.0.1 _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-03.7 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-03.8 nist-csf-function-grouping protect +SCF:NET-03.8 iec-62443-2-1-2024 net-1.3 +SCF:NET-03.8 nist-800-53-r4 sc-7-22 +SCF:NET-03.8 nist-800-53-r5 sc-07-22 +SCF:NET-03.8 nist-800-53-r5 sc-07-29 +SCF:NET-03.8 nist-800-53b-r5-privacy sc-07-29 +SCF:NET-03.8 nist-800-82-r3 sc-07-22 +SCF:NET-03.8 nist-800-82-r3 sc-07-29 +SCF:NET-03.8 nist-800-160-vol2-r1 sc-07-22 +SCF:NET-04.1 nist-800-171-r2 nfo-ca-3-5 +SCF:NET-03.8 nist-800-160-vol2-r1 sc-07-29 +SCF:NET-03.8 nist-800-171-r3 _03.13.01.b +SCF:NET-03.8 pci-dss-4.0.1 _1.4 +SCF:NET-03.8 pci-dss-4.0.1 _1.4.1 +SCF:NET-03.8 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-03.8 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-03.8 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-04 nist-csf-function-grouping protect +SCF:NET-04 cis-csc-8.1 _3.3 +SCF:NET-04 cis-csc-8.1 _4.6 +SCF:NET-04 cis-csc-8.1 _12.6 +SCF:NET-04 cis-csc-8.1 _13.4 +SCF:NET-04 cis-csc-8.1-ig1 _3.3 +SCF:NET-04 cis-csc-8.1-ig1 _4.6 +SCF:NET-04 cis-csc-8.1-ig2 _3.3 +SCF:NET-04 cis-csc-8.1-ig2 _4.6 +SCF:NET-04 cis-csc-8.1-ig2 _12.6 +SCF:NET-04 cis-csc-8.1-ig2 _13.4 +SCF:NET-04 cis-csc-8.1-ig3 _3.3 +SCF:NET-04 cis-csc-8.1-ig3 _4.6 +SCF:NET-04 cis-csc-8.1-ig3 _12.6 +SCF:NET-04 cis-csc-8.1-ig3 _13.4 +SCF:NET-04 csa-iot-scf-2 cls-12 +SCF:NET-04 csa-iot-scf-2 sws-05 +SCF:NET-04 iec-62443-2-1-2024 net-1.6 +SCF:NET-04 iec-62443-2-1-2024 net-1.8 +SCF:NET-04 iec-62443-3-3-2013 sr-1.13-re-1 +SCF:NET-04 iec-62443-3-3-2013 sr-5.3 +SCF:NET-04 iec-62443-4-2-2019 ndr-1.13-1 +SCF:NET-04 iso-27002-2022 _5.14 +SCF:NET-04 iso-27002-2022 _8.3 +SCF:NET-04 iso-27002-2022 _8.2 +SCF:NET-04 iso-27017-2015 _9.4.1 +SCF:NET-04 iso-27017-2015 _13.1.1 +SCF:NET-04 iso-27017-2015 _13.2.1 +SCF:NET-04 iso-27018-2025 _5.14 +SCF:NET-04 iso-27018-2025 _8.3 +SCF:NET-04 iso-27018-2025 _8.20 +SCF:NET-04 nist-800-53-r4 ac-4 +SCF:NET-04 nist-800-53-r5 ac-04 +SCF:NET-04 nist-800-53b-r5-moderate ac-04 +SCF:NET-04 nist-800-82-r3 ac-04 +SCF:NET-04 nist-800-82-r3-moderate-ot-overlay ac-04 +SCF:NET-04 nist-800-82-r3-high-ot-overlay ac-04 +SCF:NET-04 nist-800-161-r1 ac-4 +SCF:NET-04 nist-800-161-r1-flow-down ac-4 +SCF:NET-04 nist-800-161-r1-level-2 ac-4 +SCF:NET-04 nist-800-161-r1-level-3 ac-4 +SCF:NET-04 nist-800-171-r2 _3.1.3 +SCF:NET-04 nist-800-171-r3 _03.01.03 +SCF:NET-04 nist-800-171-r3 _03.13.01.a +SCF:NET-04 nist-800-171-r3 _03.13.01.c +SCF:NET-04 nist-800-171a _3.1.3-a +SCF:NET-04 nist-800-171a _3.1.3-b +SCF:NET-04 nist-800-171a _3.1.3-c +SCF:NET-04 nist-800-171a _3.1.3-d +SCF:NET-04 nist-800-171a _3.1.3-e +SCF:NET-04 nist-800-171a-r3 a.03.01.03-02 +SCF:NET-04 nist-800-172 _3.1.3e +SCF:NET-04 nist-800-207 nist-tenet-4 +SCF:NET-04 pci-dss-4.0.1 _1.1 +SCF:NET-04 pci-dss-4.0.1 _1.3 +SCF:NET-04 pci-dss-4.0.1 _1.3.1 +SCF:NET-04 pci-dss-4.0.1 _1.3.2 +SCF:NET-04 pci-dss-4.0.1 _1.4.2 +SCF:NET-04 pci-dss-4.0.1 _1.4.3 +SCF:NET-04 pci-dss-4.0.1-saq-a-ep _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-a-ep _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-04 pci-dss-4.0.1-saq-a-ep _1.4.3 +SCF:NET-04 pci-dss-4.0.1-saq-b-ip _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-b-ip _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-b-ip _1.4.3 +SCF:NET-04 pci-dss-4.0.1-saq-c _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-c _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-c-vt _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-c-vt _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-d-merchant _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-d-merchant _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-04 pci-dss-4.0.1-saq-d-merchant _1.4.3 +SCF:NET-04 pci-dss-4.0.1-saq-d-service-provider _1.3.1 +SCF:NET-04 pci-dss-4.0.1-saq-d-service-provider _1.3.2 +SCF:NET-04 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-04 pci-dss-4.0.1-saq-d-service-provider _1.4.3 +SCF:NET-04.1 nist-csf-function-grouping protect +SCF:NET-04.1 cis-csc-8.1 _13.4 +SCF:NET-04.1 cis-csc-8.1-ig2 _13.4 +SCF:NET-04.1 cis-csc-8.1-ig3 _13.4 +SCF:NET-04.1 csa-iot-scf-2 sws-05 +SCF:NET-04.1 iec-62443-2-1-2024 net-1.7 +SCF:NET-04.1 iec-62443-3-3-2013 sr-5.2-re-1 +SCF:NET-04.1 iec-62443-3-3-2013 sr-5.3-re-1 +SCF:NET-04.1 iec-62443-4-2-2019 cr-5.3 +SCF:NET-04.1 iec-62443-4-2-2019 ndr-1.13-1 +SCF:NET-04.1 iec-62443-4-2-2019 ndr-5.2-1 +SCF:NET-04.1 iec-62443-4-2-2019 ndr-5.2-2 +SCF:NET-04.1 iec-62443-4-2-2019 ndr-5.3 +SCF:NET-04.1 iso-27002-2022 _5.14 +SCF:NET-04.1 iso-27002-2022 _8.2 +SCF:NET-04.1 iso-27017-2015 _13.1.1 +SCF:NET-04.1 iso-27017-2015 _13.2.1 +SCF:NET-04.1 iso-27018-2025 _5.14 +SCF:NET-04.1 iso-27018-2025 _8.20 +SCF:NET-04.1 nist-800-53-r4 ca-3-5 +SCF:NET-04.1 nist-800-53-r4 sc-7-5 +SCF:NET-04.1 nist-800-53-r4 sc-7-11 +SCF:NET-04.1 nist-800-53-r5 sc-07-05 +SCF:NET-04.1 nist-800-53-r5 sc-07-11 +SCF:NET-04.1 nist-800-53b-r5-privacy sc-07-11 +SCF:NET-04.1 nist-800-53b-r5-moderate sc-07-05 +SCF:NET-04.1 nist-800-82-r3 sc-07-05 +SCF:NET-04.1 nist-800-82-r3 sc-07-11 +SCF:NET-04.1 nist-800-82-r3-moderate-ot-overlay sc-07-05 +SCF:NET-04.1 nist-800-82-r3-high-ot-overlay sc-07-05 +SCF:NET-04.1 nist-800-160-vol2-r1 sc-07-11 +SCF:NET-04.1 nist-800-171-r2 _3.13.6 +SCF:NET-04.1 nist-800-171-r3 _03.13.01.a +SCF:NET-04.1 nist-800-171-r3 _03.13.06 +SCF:NET-04.1 nist-800-171a _3.13.6-a +SCF:NET-04.1 nist-800-171a _3.13.6-b +SCF:NET-04.1 nist-800-171a-r3 a.03.13.06-01 +SCF:NET-04.1 nist-800-171a-r3 a.03.13.06-02 +SCF:NET-04.1 nist-800-207 nist-tenet-4 +SCF:NET-04.1 pci-dss-4.0.1 _1.3 +SCF:NET-04.1 pci-dss-4.0.1 _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1 _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1 _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1 _1.4.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-a-ep _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-a-ep _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-b-ip _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-b-ip _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-c _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-c _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-c-vt _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-c-vt _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-merchant _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-merchant _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-service-provider _1.3.1 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-service-provider _1.3.2 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-04.1 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-04.2 nist-csf-function-grouping protect +SCF:NET-04.2 nist-800-53-r4 ac-4-1 +SCF:NET-04.2 nist-800-53-r5 ac-04-01 +SCF:NET-04.2 nist-800-82-r3 ac-04-01 +SCF:NET-04.3 nist-csf-function-grouping protect +SCF:NET-04.3 nist-800-53-r4 ac-4-4 +SCF:NET-04.3 nist-800-53-r5 ac-04-04 +SCF:NET-04.3 nist-800-53b-r5-high ac-04-04 +SCF:NET-04.3 nist-800-82-r3 ac-04-04 +SCF:NET-04.3 nist-800-82-r3-high-ot-overlay ac-04-04 +SCF:NET-04.4 nist-csf-function-grouping protect +SCF:NET-04.4 nist-800-53-r4 ac-4-5 +SCF:NET-04.4 nist-800-53-r5 ac-04-05 +SCF:NET-04.4 nist-800-82-r3 ac-04-05 +SCF:NET-04.5 nist-csf-function-grouping protect +SCF:NET-04.5 csa-iot-scf-2 dat-01 +SCF:NET-04.5 csa-iot-scf-2 gvn-06 +SCF:NET-04.5 nist-800-53-r4 ac-4-6 +SCF:NET-04.5 nist-800-53-r5 ac-04-06 +SCF:NET-04.5 nist-800-82-r3 ac-04-06 +SCF:NET-04.5 nist-800-161-r1 ac-4-6 +SCF:NET-04.5 nist-800-161-r1-level-2 ac-4-6 +SCF:NET-04.5 nist-800-161-r1-level-3 ac-4-6 +SCF:NET-04.6 nist-csf-function-grouping detect +SCF:NET-04.6 nist-800-53-r4 ac-4-9 +SCF:NET-04.6 nist-800-53-r5 ac-04-09 +SCF:NET-04.6 nist-800-82-r3 ac-04-09 +SCF:NET-04.6 pci-dss-4.0.1 _1.2.7 +SCF:NET-04.6 pci-dss-4.0.1-saq-a-ep _1.2.7 +SCF:NET-04.6 pci-dss-4.0.1-saq-d-merchant _1.2.7 +SCF:NET-04.6 pci-dss-4.0.1-saq-d-service-provider _1.2.7 +SCF:NET-04.7 nist-csf-function-grouping protect +SCF:NET-04.7 nist-800-53-r4 ac-4-8 +SCF:NET-04.7 nist-800-53-r5 ac-04-08 +SCF:NET-04.7 nist-800-82-r3 ac-04-08 +SCF:NET-04.7 nist-800-160-vol2-r1 ac-04-08 +SCF:NET-04.7 nist-800-207 nist-tenet-4 +SCF:NET-04.7 pci-dss-4.0.1 _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-04.7 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-04.8 nist-csf-function-grouping protect +SCF:NET-04.8 nist-800-53-r4 ac-4-12 +SCF:NET-04.8 nist-800-53-r5 ac-04-12 +SCF:NET-04.8 nist-800-82-r3 ac-04-12 +SCF:NET-04.8 nist-800-160-vol2-r1 ac-04-12 +SCF:NET-04.9 nist-csf-function-grouping protect +SCF:NET-04.9 nist-800-53-r4 ac-4-13 +SCF:NET-04.9 nist-800-53-r5 ac-04-13 +SCF:NET-04.9 nist-800-82-r3 ac-04-13 +SCF:NET-04.10 nist-csf-function-grouping detect +SCF:NET-04.10 nist-800-53-r4 ac-4-15 +SCF:NET-04.10 nist-800-53-r5 ac-04-15 +SCF:NET-04.10 nist-800-82-r3 ac-04-15 +SCF:NET-04.11 nist-csf-function-grouping protect +SCF:NET-04.11 nist-800-53-r4 ac-4-20 +SCF:NET-04.11 nist-800-53-r5 ac-04-20 +SCF:NET-04.11 nist-800-82-r3 ac-04-20 +SCF:NET-04.12 nist-csf-function-grouping protect +SCF:NET-04.12 nist-800-53-r5 ac-04-17 +SCF:NET-04.12 nist-800-82-r3 ac-04-17 +SCF:NET-04.12 nist-800-160-vol2-r1 ac-04-17 +SCF:NET-04.12 nist-800-161-r1 ac-4-17 +SCF:NET-04.12 nist-800-161-r1-level-2 ac-4-17 +SCF:NET-04.12 nist-800-161-r1-level-3 ac-4-17 +SCF:NET-04.12 nist-800-207 nist-tenet-4 +SCF:NET-04.13 nist-csf-function-grouping protect +SCF:NET-04.13 nist-800-53-r5 ac-04-19 +SCF:NET-04.13 nist-800-82-r3 ac-04-19 +SCF:NET-04.13 nist-800-161-r1 ac-4-19 +SCF:NET-04.13 nist-800-161-r1-level-2 ac-4-19 +SCF:NET-04.13 nist-800-161-r1-level-3 ac-4-19 +SCF:NET-04.14 nist-csf-function-grouping protect +SCF:NET-05 nist-csf-function-grouping protect +SCF:NET-05 iec-62443-2-1-2024 net-1.2 +SCF:NET-05 nist-800-53-r4 ca-3 +SCF:NET-05 nist-800-53-r4 ca-3-1 +SCF:NET-05 nist-800-53-r4 ca-3-2 +SCF:NET-05 nist-800-53-r5 ca-03 +SCF:NET-05 nist-800-53-r5 sc-07-25 +SCF:NET-05 nist-800-53-r5 sc-07-26 +SCF:NET-05 nist-800-53b-r5-low ca-03 +SCF:NET-05 nist-800-82-r3 ca-03 +SCF:NET-05 nist-800-82-r3 sc-07-25 +SCF:NET-05 nist-800-82-r3 sc-07-26 +SCF:NET-05 nist-800-82-r3-low-ot-overlay ca-03 +SCF:NET-05 nist-800-82-r3-moderate-ot-overlay ca-03 +SCF:NET-05 nist-800-82-r3-high-ot-overlay ca-03 +SCF:NET-05 nist-800-161-r1 ca-3 +SCF:NET-05 nist-800-161-r1-c-scrm-baseline ca-3 +SCF:NET-05 nist-800-161-r1-flow-down ca-3 +SCF:NET-05 nist-800-161-r1-level-3 ca-3 +SCF:NET-05 nist-800-171-r2 nfo-ca-3 +SCF:NET-05 nist-800-171-r3 _03.01.03 +SCF:NET-05 nist-800-171-r3 _03.01.20.c.02 +SCF:NET-05 nist-800-171-r3 _03.12.05.a +SCF:NET-05 nist-800-171-r3 _03.12.05.b +SCF:NET-05 nist-800-171a-r3 a.03.01.03-02 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.odp-01 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.odp-02 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.a-01 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.a-02 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.b-01 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.b-02 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.b-03 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.c-01 +SCF:NET-05 nist-800-171a-r3 a.03.12.05.c-02 +SCF:NET-05.1 nist-csf-function-grouping protect +SCF:NET-05.1 nist-ai-600-1 mp-2.2-002 +SCF:NET-05.1 nist-800-53-r4 ca-3-3 +SCF:NET-05.1 nist-800-53-r5 sc-07-27 +SCF:NET-05.1 nist-800-82-r3 sc-07-27 +SCF:NET-05.1 pci-dss-4.0.1 _1.4.4 +SCF:NET-05.1 pci-dss-4.0.1-saq-a-ep _1.4.4 +SCF:NET-05.1 pci-dss-4.0.1-saq-d-merchant _1.4.4 +SCF:NET-05.1 pci-dss-4.0.1-saq-d-service-provider _1.4.4 +SCF:NET-05.2 nist-csf-function-grouping protect +SCF:NET-05.2 iec-62443-2-1-2024 net-1.6 +SCF:NET-05.2 iec-62443-2-1-2024 net-2.1-b +SCF:NET-05.2 nist-800-53-r4 ca-9 +SCF:NET-05.2 nist-800-53-r5 ca-09 +SCF:NET-05.2 nist-800-53b-r5-low ca-09 +SCF:NET-05.2 nist-800-82-r3 ca-09 +SCF:NET-05.2 nist-800-82-r3-low-ot-overlay ca-09 +SCF:NET-05.2 nist-800-82-r3-moderate-ot-overlay ca-09 +SCF:NET-05.2 nist-800-82-r3-high-ot-overlay ca-09 +SCF:NET-05.2 nist-800-171-r2 nfo-ca-9 +SCF:NET-05.2 nist-800-171-r3 _03.01.03 +SCF:NET-05.2 nist-800-171-r3 _03.12.05.a +SCF:NET-05.2 nist-800-171-r3 _03.12.05.b +SCF:NET-05.2 nist-800-171-r3 _03.12.05.c +SCF:NET-06 nist-csf-function-grouping protect +SCF:NET-06 csa-ccm-4.1.0 i-s-06 +SCF:NET-06 csa-iot-scf-2 sap-01 +SCF:NET-06 iec-tr-60601-4-5-2021 _5.2-cr-5.1 +SCF:NET-06 iec-62443-2-1-2024 net-1.1 +SCF:NET-06 iec-62443-2-1-2024 net-1.3 +SCF:NET-06 iec-62443-2-1-2024 net-2.2 +SCF:NET-06 iec-62443-3-3-2013 sr-5.1 +SCF:NET-06 iec-62443-3-3-2013 sr-5.1-re-1 +SCF:NET-06 iec-62443-4-2-2019 cr-5.1 +SCF:NET-06 iso-27002-2022 _8.2 +SCF:NET-06 iso-27002-2022 _8.22 +SCF:NET-06 iso-27017-2015 _13.1.1 +SCF:NET-06 iso-27017-2015 _13.1.3 +SCF:NET-06 iso-27018-2025 _8.20 +SCF:NET-06 iso-27018-2025 _8.22 +SCF:NET-06 nist-privacy-framework-1.0 pr.ac-p5 +SCF:NET-06 nist-800-53-r4 ac-4-21 +SCF:NET-06 nist-800-53-r5 ac-04-21 +SCF:NET-06 nist-800-82-r3 ac-04-21 +SCF:NET-06 nist-800-160-vol2-r1 ac-04-21 +SCF:NET-06 nist-800-161-r1 ac-4-21 +SCF:NET-06 nist-800-161-r1-level-3 ac-4-21 +SCF:NET-06 nist-800-171-r2 _3.13.5 +SCF:NET-06 nist-800-171-r3 _03.13.01.b +SCF:NET-06 nist-800-171a _3.13.5-a +SCF:NET-06 nist-800-171a _3.13.5-b +SCF:NET-06 nist-800-171a-r3 a.03.13.01.b +SCF:NET-06 nist-800-172 _3.14.3e +SCF:NET-06 pci-dss-4.0.1 _1.2.1 +SCF:NET-06 pci-dss-4.0.1 _1.2.3 +SCF:NET-06 pci-dss-4.0.1 _1.2.4 +SCF:NET-06 pci-dss-4.0.1 _1.2.5 +SCF:NET-06 pci-dss-4.0.1 _1.2.6 +SCF:NET-06 pci-dss-4.0.1 _1.2.7 +SCF:NET-06 pci-dss-4.0.1 _1.2.8 +SCF:NET-06 pci-dss-4.0.1 _1.3 +SCF:NET-06 pci-dss-4.0.1 _1.3.1 +SCF:NET-06 pci-dss-4.0.1 _1.3.2 +SCF:NET-06 pci-dss-4.0.1 _1.3.3 +SCF:NET-06 pci-dss-4.0.1 _1.4.1 +SCF:NET-06 pci-dss-4.0.1 _1.4.2 +SCF:NET-06 pci-dss-4.0.1 _11.4.5 +SCF:NET-06 pci-dss-4.0.1 _11.4.6 +SCF:NET-06 pci-dss-4.0.1 _12.5.2 +SCF:NET-06 pci-dss-4.0.1 a1.1.4 +SCF:NET-06 pci-dss-4.0.1 a3.2.1 +SCF:NET-06 pci-dss-4.0.1 a3.2.4 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.4 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.5 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.7 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.2.8 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-06 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.2.5 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:NET-06 pci-dss-4.0.1-saq-c _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-c _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-c _11.4.5 +SCF:NET-06 pci-dss-4.0.1-saq-c-vt _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-c-vt _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.4 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.5 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.7 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.2.8 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:NET-06 pci-dss-4.0.1-saq-d-merchant _12.5.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.4 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.5 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.7 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.2.8 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.3.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.3.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider _12.5.2 +SCF:NET-06 pci-dss-4.0.1-saq-d-service-provider a1.1.4 +SCF:NET-06.1 nist-csf-function-grouping protect +SCF:NET-06.1 csa-iot-scf-2 sap-01 +SCF:NET-06.1 iec-62443-3-3-2013 sr-5.1-re-2 +SCF:NET-06.1 iso-27002-2022 _8.22 +SCF:NET-06.1 iso-27017-2015 _13.1.3 +SCF:NET-06.1 iso-27018-2025 _8.22 +SCF:NET-06.1 nist-800-53-r4 sc-7-13 +SCF:NET-06.1 nist-800-53-r5 sc-07-13 +SCF:NET-06.1 nist-800-53-r5 sc-07-29 +SCF:NET-06.1 nist-800-53b-r5-privacy sc-07-29 +SCF:NET-06.1 nist-800-82-r3 sc-07-13 +SCF:NET-06.1 nist-800-82-r3 sc-07-29 +SCF:NET-06.1 nist-800-160-vol2-r1 sc-07-13 +SCF:NET-06.1 nist-800-160-vol2-r1 sc-07-29 +SCF:NET-06.1 nist-800-161-r1 sc-7-13 +SCF:NET-06.1 nist-800-161-r1-flow-down sc-7-13 +SCF:NET-06.1 nist-800-161-r1-level-3 sc-7-13 +SCF:NET-06.2 nist-csf-function-grouping protect +SCF:NET-06.3 nist-csf-function-grouping protect +SCF:NET-06.3 iec-62443-2-1-2024 net-1.5 +SCF:NET-06.3 iec-62443-3-3-2013 sr-5.1-re-3 +SCF:NET-06.3 iec-62443-3-3-2013 sr-5.2-re-2 +SCF:NET-06.3 nist-800-171-r3 _03.13.01.b +SCF:NET-06.4 nist-csf-function-grouping protect +SCF:NET-06.4 csa-iot-scf-2 ccm-06 +SCF:NET-06.4 csa-iot-scf-2 sap-01 +SCF:NET-06.4 nist-800-172 _3.14.3e +SCF:NET-06.5 nist-csf-function-grouping protect +SCF:NET-06.5 nist-800-53-r5 sc-07-28 +SCF:NET-06.5 nist-800-82-r3 sc-07-28 +SCF:NET-06.5 nist-800-82-r3-low-ot-overlay sc-07-28 +SCF:NET-06.5 nist-800-82-r3-moderate-ot-overlay sc-07-28 +SCF:NET-06.5 nist-800-82-r3-high-ot-overlay sc-07-28 +SCF:NET-06.6 nist-csf-function-grouping protect +SCF:NET-06.7 nist-csf-function-grouping protect +SCF:NET-07 nist-csf-function-grouping protect +SCF:NET-07 iec-62443-2-1-2024 net-3.3 +SCF:NET-07 iec-62443-4-2-2019 cr-2.6 +SCF:NET-07 nist-800-53-r4 sc-10 +SCF:NET-07 nist-800-53-r5 sc-10 +SCF:NET-07 nist-800-53b-r5-moderate sc-10 +SCF:NET-07 nist-800-82-r3 sc-10 +SCF:NET-07 nist-800-160-vol2-r1 sc-10 +SCF:NET-07 nist-800-171-r2 _3.13.9 +SCF:NET-07 nist-800-171-r3 _03.13.09 +SCF:NET-07 nist-800-171a _3.13.9-a +SCF:NET-07 nist-800-171a _3.13.9-b +SCF:NET-07 nist-800-171a _3.13.9-c +SCF:NET-07 nist-800-171a-r3 a.03.07.05.c-02 +SCF:NET-07 nist-800-171a-r3 a.03.13.09.odp-01 +SCF:NET-07 nist-800-171a-r3 a.03.13.09 +SCF:NET-07 pci-dss-4.0.1 _8.2.8 +SCF:NET-07 pci-dss-4.0.1-saq-a-ep _8.2.8 +SCF:NET-07 pci-dss-4.0.1-saq-c _8.2.8 +SCF:NET-07 pci-dss-4.0.1-saq-d-merchant _8.2.8 +SCF:NET-07 pci-dss-4.0.1-saq-d-service-provider _8.2.8 +SCF:NET-08 nist-csf-function-grouping protect +SCF:NET-08 cis-csc-8.1 _9.6 +SCF:NET-08 cis-csc-8.1 _13.3 +SCF:NET-08 cis-csc-8.1 _13.8 +SCF:NET-08 cis-csc-8.1-ig2 _9.6 +SCF:NET-08 cis-csc-8.1-ig2 _13.3 +SCF:NET-08 cis-csc-8.1-ig3 _9.6 +SCF:NET-08 cis-csc-8.1-ig3 _13.3 +SCF:NET-08 cis-csc-8.1-ig3 _13.8 +SCF:NET-08 iso-27002-2022 _8.21 +SCF:NET-08 iso-27017-2015 _13.1.2 +SCF:NET-08 iso-27018-2025 _8.21 +SCF:NET-08 nist-800-171-r2 _3.14.6 +SCF:NET-08 nist-800-171-r3 _03.13.01.a +SCF:NET-08 nist-800-171-r3 _03.14.06.c +SCF:NET-08 pci-dss-4.0.1 _1.4.3 +SCF:NET-08 pci-dss-4.0.1 _11.5 +SCF:NET-08 pci-dss-4.0.1 _11.5.1 +SCF:NET-08 pci-dss-4.0.1 _11.5.1.1 +SCF:NET-08 pci-dss-4.0.1-saq-a-ep _1.4.3 +SCF:NET-08 pci-dss-4.0.1-saq-a-ep _11.5.1 +SCF:NET-08 pci-dss-4.0.1-saq-b-ip _1.4.3 +SCF:NET-08 pci-dss-4.0.1-saq-d-merchant _1.4.3 +SCF:NET-08 pci-dss-4.0.1-saq-d-merchant _11.5.1 +SCF:NET-08 pci-dss-4.0.1-saq-d-service-provider _1.4.3 +SCF:NET-08 pci-dss-4.0.1-saq-d-service-provider _11.5.1 +SCF:NET-08 pci-dss-4.0.1-saq-d-service-provider _11.5.1.1 +SCF:NET-08.1 nist-csf-function-grouping protect +SCF:NET-08.1 iec-62443-3-3-2013 sr-1.13 +SCF:NET-08.1 iso-27002-2022 _8.2 +SCF:NET-08.1 iso-27017-2015 _13.1.1 +SCF:NET-08.1 iso-27018-2025 _8.20 +SCF:NET-08.1 nist-800-171-r3 _03.13.01.b +SCF:NET-08.1 pci-dss-4.0.1 _1.2.1 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.3 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.4 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.5 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.6 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.7 +SCF:NET-08.1 pci-dss-4.0.1 _1.2.8 +SCF:NET-08.1 pci-dss-4.0.1 _1.3 +SCF:NET-08.1 pci-dss-4.0.1 _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1 _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1 _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1 _1.4 +SCF:NET-08.1 pci-dss-4.0.1 _1.4.1 +SCF:NET-08.1 pci-dss-4.0.1 _1.4.2 +SCF:NET-08.1 pci-dss-4.0.1 _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1 _11.4.6 +SCF:NET-08.1 pci-dss-4.0.1 _12.5.2 +SCF:NET-08.1 pci-dss-4.0.1 a1.1.4 +SCF:NET-08.1 pci-dss-4.0.1 a3.2.1 +SCF:NET-08.1 pci-dss-4.0.1 a3.2.4 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.4 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.7 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.2.8 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _1.4.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.2.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-c _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-c _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-c _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-c-vt _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-c-vt _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.4 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.7 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.2.8 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _1.4.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-merchant _12.5.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.4 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.7 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.2.8 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.3.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.3.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _1.4.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider _12.5.2 +SCF:NET-08.1 pci-dss-4.0.1-saq-d-service-provider a1.1.4 +SCF:NET-08.2 nist-csf-function-grouping protect +SCF:NET-08.2 csa-iot-scf-2 mon-08 +SCF:NET-08.2 nist-800-53-r4 si-4-14 +SCF:NET-08.2 nist-800-53-r4 si-4-15 +SCF:NET-08.2 nist-800-53-r5 si-04-15 +SCF:NET-08.2 nist-800-82-r3 si-04-15 +SCF:NET-08.2 pci-dss-4.0.1 _1.4.3 +SCF:NET-08.2 pci-dss-4.0.1 _11.2 +SCF:NET-08.2 pci-dss-4.0.1-saq-a-ep _1.4.3 +SCF:NET-08.2 pci-dss-4.0.1-saq-b-ip _1.4.3 +SCF:NET-08.2 pci-dss-4.0.1-saq-d-merchant _1.4.3 +SCF:NET-08.2 pci-dss-4.0.1-saq-d-service-provider _1.4.3 +SCF:NET-08.3 nist-csf-function-grouping protect +SCF:NET-08.3 cis-csc-8.1 _1.2 +SCF:NET-08.3 cis-csc-8.1-ig1 _1.2 +SCF:NET-08.3 cis-csc-8.1-ig2 _1.2 +SCF:NET-08.3 cis-csc-8.1-ig3 _1.2 +SCF:NET-08.3 nist-800-207 nist-tenet-4 +SCF:NET-08.3 nist-800-207 nist-tenet-5 +SCF:NET-08.4 nist-csf-function-grouping protect +SCF:NET-08.4 nist-800-207 nist-tenet-4 +SCF:NET-08.4 nist-800-207 nist-tenet-5 +SCF:NET-09 nist-csf-function-grouping protect +SCF:NET-09 iec-62443-2-1-2024 user-1.16 +SCF:NET-09 iec-62443-3-3-2013 sr-3.8 +SCF:NET-09 iec-62443-4-2-2019 cr-3.8 +SCF:NET-09 iec-62443-4-2-2019 cr-3.8-a +SCF:NET-09 iec-62443-4-2-2019 cr-3.8-b +SCF:NET-09 iec-62443-4-2-2019 cr-3.8-c +SCF:NET-09 nist-800-53-r4 sc-23 +SCF:NET-09 nist-800-53-r5 sc-23 +SCF:NET-09 nist-800-53b-r5-moderate sc-23 +SCF:NET-09 nist-800-82-r3 sc-23 +SCF:NET-09 nist-800-82-r3-moderate-ot-overlay sc-23 +SCF:NET-09 nist-800-82-r3-high-ot-overlay sc-23 +SCF:NET-09 nist-800-171-r2 _3.13.15 +SCF:NET-09 nist-800-171-r3 _03.13.15 +SCF:NET-09 nist-800-171a _3.13.15 +SCF:NET-09 nist-800-171a-r3 a.03.13.15 +SCF:NET-09 pci-dss-4.0.1 _1.4.1 +SCF:NET-09 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:NET-09 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:NET-09 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:NET-09.1 nist-csf-function-grouping protect +SCF:NET-09.1 iec-62443-3-3-2013 sr-3.8-re-1 +SCF:NET-09.1 nist-800-53-r4 sc-23-1 +SCF:NET-09.1 nist-800-53-r5 sc-23-01 +SCF:NET-09.1 nist-800-82-r3 sc-23-01 +SCF:NET-09.2 nist-csf-function-grouping protect +SCF:NET-09.2 iec-62443-3-3-2013 sr-3.8-re-2 +SCF:NET-09.2 iec-62443-3-3-2013 sr-3.8-re-3 +SCF:NET-09.2 nist-800-53-r4 sc-23-3 +SCF:NET-09.2 nist-800-53-r5 sc-23-03 +SCF:NET-09.2 nist-800-82-r3 sc-23-03 +SCF:NET-09.2 nist-800-160-vol2-r1 sc-23-03 +SCF:NET-10 nist-csf-function-grouping protect +SCF:NET-10 cis-csc-8.1 _4.9 +SCF:NET-10 cis-csc-8.1-ig2 _4.9 +SCF:NET-10 cis-csc-8.1-ig3 _4.9 +SCF:NET-10 nist-800-53-r4 sc-20 +SCF:NET-10 nist-800-53-r4 sc-20-2 +SCF:NET-10 nist-800-53-r5 sc-20 +SCF:NET-10 nist-800-53-r5 sc-20-02 +SCF:NET-10 nist-800-53b-r5-low sc-20 +SCF:NET-10 nist-800-82-r3 sc-20 +SCF:NET-10 nist-800-82-r3 sc-20-02 +SCF:NET-10 nist-800-82-r3-low-ot-overlay sc-20 +SCF:NET-10 nist-800-82-r3-moderate-ot-overlay sc-20 +SCF:NET-10 nist-800-82-r3-high-ot-overlay sc-20 +SCF:NET-10 nist-800-171-r2 nfo-sc-20 +SCF:NET-10.1 nist-csf-function-grouping protect +SCF:NET-10.1 nist-800-53-r4 sc-22 +SCF:NET-10.1 nist-800-53-r5 sc-22 +SCF:NET-10.1 nist-800-53b-r5-low sc-22 +SCF:NET-10.1 nist-800-82-r3 sc-22 +SCF:NET-10.1 nist-800-82-r3-low-ot-overlay sc-22 +SCF:NET-10.1 nist-800-82-r3-moderate-ot-overlay sc-22 +SCF:NET-10.1 nist-800-82-r3-high-ot-overlay sc-22 +SCF:NET-10.1 nist-800-160-vol2-r1 sc-22 +SCF:NET-10.1 nist-800-171-r2 nfo-sc-22 +SCF:NET-10.2 nist-csf-function-grouping protect +SCF:NET-10.2 nist-800-53-r4 sc-21 +SCF:NET-10.2 nist-800-53-r5 sc-21 +SCF:NET-10.2 nist-800-53b-r5-low sc-21 +SCF:NET-10.2 nist-800-82-r3 sc-21 +SCF:NET-10.2 nist-800-82-r3-low-ot-overlay sc-21 +SCF:NET-10.2 nist-800-82-r3-moderate-ot-overlay sc-21 +SCF:NET-10.2 nist-800-82-r3-high-ot-overlay sc-21 +SCF:NET-10.2 nist-800-171-r2 nfo-sc-21 +SCF:NET-10.3 nist-csf-function-grouping protect +SCF:NET-10.3 cis-csc-8.1 _9.5 +SCF:NET-10.3 cis-csc-8.1-ig2 _9.5 +SCF:NET-10.3 cis-csc-8.1-ig3 _9.5 +SCF:NET-10.4 nist-csf-function-grouping protect +SCF:NET-11 nist-csf-function-grouping protect +SCF:NET-11 csa-iot-scf-2 sws-09 +SCF:NET-11 nist-800-53-r4 sc-37 +SCF:NET-11 nist-800-53-r4 sc-37-1 +SCF:NET-11 nist-800-53-r5 sc-37 +SCF:NET-11 nist-800-53-r5 sc-37-01 +SCF:NET-11 nist-800-82-r3 sc-37 +SCF:NET-11 nist-800-82-r3 sc-37-01 +SCF:NET-11 nist-800-160-vol2-r1 sc-37 +SCF:NET-11 nist-800-161-r1 sc-37 +SCF:NET-11 nist-800-161-r1 sc-37-1 +SCF:NET-11 nist-800-161-r1-level-2 sc-37-1 +SCF:NET-11 nist-800-161-r1-level-3 sc-37-1 +SCF:NET-12 nist-csf-function-grouping protect +SCF:NET-12 nist-800-53-r5 ac-02 +SCF:NET-12 nist-800-53-r5 ac-03 +SCF:NET-12 nist-800-53-r5 ac-05 +SCF:NET-12 nist-800-53-r5 si-03 +SCF:NET-12 nist-800-53-r5 si-04 +SCF:NET-12 nist-800-53-r5 si-05 +SCF:NET-12 nist-800-53-r5 si-07 +SCF:NET-12 nist-800-53-r5 si-10 +SCF:NET-12 nist-800-53b-r5-privacy ac-02 +SCF:NET-12 nist-800-53b-r5-privacy ac-03 +SCF:NET-12 nist-800-53b-r5-privacy ac-05 +SCF:NET-12 nist-800-53b-r5-privacy si-03 +SCF:NET-12 nist-800-53b-r5-privacy si-04 +SCF:NET-12 nist-800-53b-r5-privacy si-05 +SCF:NET-12 nist-800-53b-r5-privacy si-07 +SCF:NET-12 nist-800-53b-r5-privacy si-10 +SCF:NET-12 nist-800-53b-r5-low ac-02 +SCF:NET-12 nist-800-53b-r5-low ac-03 +SCF:NET-12 nist-800-53b-r5-low si-03 +SCF:NET-12 nist-800-53b-r5-low si-04 +SCF:NET-12 nist-800-53b-r5-low si-05 +SCF:NET-12 nist-800-53b-r5-moderate ac-05 +SCF:NET-12 nist-800-53b-r5-moderate si-07 +SCF:NET-12 nist-800-53b-r5-moderate si-10 +SCF:NET-12 nist-800-82-r3 ac-02 +SCF:NET-12 nist-800-82-r3 ac-03 +SCF:NET-12 nist-800-82-r3 ac-05 +SCF:NET-12 nist-800-82-r3 si-03 +SCF:NET-12 nist-800-82-r3 si-04 +SCF:NET-12 nist-800-82-r3 si-05 +SCF:NET-12 nist-800-82-r3 si-07 +SCF:NET-12 nist-800-82-r3 si-10 +SCF:NET-12 nist-800-82-r3-low-ot-overlay ac-02 +SCF:NET-12 nist-800-82-r3-low-ot-overlay ac-03 +SCF:NET-12 nist-800-82-r3-low-ot-overlay si-03 +SCF:NET-12 nist-800-82-r3-low-ot-overlay si-04 +SCF:NET-12 nist-800-82-r3-low-ot-overlay si-05 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay ac-02 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay ac-03 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay ac-05 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay si-04 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay si-05 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay si-07 +SCF:NET-12 nist-800-82-r3-moderate-ot-overlay si-10 +SCF:NET-12 nist-800-82-r3-high-ot-overlay ac-02 +SCF:NET-12 nist-800-82-r3-high-ot-overlay ac-03 +SCF:NET-12 nist-800-82-r3-high-ot-overlay ac-05 +SCF:NET-12 nist-800-82-r3-high-ot-overlay si-03 +SCF:NET-12 nist-800-82-r3-high-ot-overlay si-04 +SCF:NET-12 nist-800-82-r3-high-ot-overlay si-05 +SCF:NET-12 nist-800-82-r3-high-ot-overlay si-07 +SCF:NET-12 nist-800-82-r3-high-ot-overlay si-10 +SCF:NET-12 nist-800-160-vol2-r1 si-07 +SCF:NET-12 nist-800-161-r1 ac-2 +SCF:NET-12 nist-800-161-r1 ac-3 +SCF:NET-12 nist-800-161-r1 ac-5 +SCF:NET-12 nist-800-161-r1 si-3 +SCF:NET-12 nist-800-161-r1 si-4 +SCF:NET-12 nist-800-161-r1 si-5 +SCF:NET-12 nist-800-161-r1 si-7 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline ac-2 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline ac-3 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline si-3 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline si-4 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline si-5 +SCF:NET-12 nist-800-161-r1-c-scrm-baseline si-7 +SCF:NET-12 nist-800-161-r1-flow-down ac-2 +SCF:NET-12 nist-800-161-r1-flow-down ac-3 +SCF:NET-12 nist-800-161-r1-flow-down ac-5 +SCF:NET-12 nist-800-161-r1-flow-down si-3 +SCF:NET-12 nist-800-161-r1-flow-down si-4 +SCF:NET-12 nist-800-161-r1-flow-down si-5 +SCF:NET-12 nist-800-161-r1-flow-down si-7 +SCF:NET-12 nist-800-161-r1-level-1 si-4 +SCF:NET-12 nist-800-161-r1-level-1 si-5 +SCF:NET-12 nist-800-161-r1-level-2 ac-2 +SCF:NET-12 nist-800-161-r1-level-2 ac-3 +SCF:NET-12 nist-800-161-r1-level-2 ac-5 +SCF:NET-12 nist-800-161-r1-level-2 si-3 +SCF:NET-12 nist-800-161-r1-level-2 si-4 +SCF:NET-12 nist-800-161-r1-level-2 si-5 +SCF:NET-12 nist-800-161-r1-level-2 si-7 +SCF:NET-12 nist-800-161-r1-level-3 ac-2 +SCF:NET-12 nist-800-161-r1-level-3 ac-3 +SCF:NET-12 nist-800-161-r1-level-3 ac-5 +SCF:NET-12 nist-800-161-r1-level-3 si-3 +SCF:NET-12 nist-800-161-r1-level-3 si-4 +SCF:NET-12 nist-800-161-r1-level-3 si-5 +SCF:NET-12 nist-800-161-r1-level-3 si-7 +SCF:NET-12 pci-dss-4.0.1 _4.1 +SCF:NET-12 pci-dss-4.0.1 _4.2.1 +SCF:NET-12 pci-dss-4.0.1 _11.2 +SCF:NET-12 pci-dss-4.0.1-saq-a-ep _4.2.1 +SCF:NET-12 pci-dss-4.0.1-saq-c _4.2.1 +SCF:NET-12 pci-dss-4.0.1-saq-d-merchant _4.2.1 +SCF:NET-12 pci-dss-4.0.1-saq-d-service-provider _4.2.1 +SCF:NET-12.1 nist-csf-function-grouping protect +SCF:NET-12.1 csa-iot-scf-2 sws-07 +SCF:NET-12.1 nist-800-53-r4 sc-40 +SCF:NET-12.1 nist-800-53-r5 sc-40 +SCF:NET-12.1 nist-800-53b-r5-privacy sc-40 +SCF:NET-12.1 nist-800-82-r3 sc-40 +SCF:NET-12.1 pci-dss-4.0.1 _1.2.3 +SCF:NET-12.1 pci-dss-4.0.1 _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1 _2.3 +SCF:NET-12.1 pci-dss-4.0.1 _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1 _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1 _4.2.1.2 +SCF:NET-12.1 pci-dss-4.0.1 _11.2 +SCF:NET-12.1 pci-dss-4.0.1 _11.2.1 +SCF:NET-12.1 pci-dss-4.0.1 _11.2.2 +SCF:NET-12.1 pci-dss-4.0.1 _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1 _12.10.5 +SCF:NET-12.1 pci-dss-4.0.1-saq-a _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-a-ep _1.2.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-a-ep _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-a-ep _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-b _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-b-ip _1.2.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-b-ip _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-b-ip _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-b-ip _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-b-ip _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _4.2.1.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _11.2.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-c _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-c-vt _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-c-vt _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-c-vt _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-c-vt _4.2.1.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-c-vt _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _1.2.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _4.2.1.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _11.2.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-merchant _12.10.5 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _1.2.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _1.3.3 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _2.3.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _2.3.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _4.2.1.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _11.2.2 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _12.10.1 +SCF:NET-12.1 pci-dss-4.0.1-saq-d-service-provider _12.10.5 +SCF:NET-12.1 pci-dss-4.0.1-saq-p2pe _12.10.1 +SCF:NET-12.2 nist-csf-function-grouping protect +SCF:NET-12.2 iec-62443-2-1-2024 net-1.8 +SCF:NET-12.2 pci-dss-4.0.1 _4.2.2 +SCF:NET-12.2 pci-dss-4.0.1-saq-a-ep _4.2.2 +SCF:NET-12.2 pci-dss-4.0.1-saq-c _4.2.2 +SCF:NET-12.2 pci-dss-4.0.1-saq-d-merchant _4.2.2 +SCF:NET-12.2 pci-dss-4.0.1-saq-d-service-provider _4.2.2 +SCF:NET-13 nist-csf-function-grouping protect +SCF:NET-13 iso-27002-2022 _5.14 +SCF:NET-13 iso-27017-2015 _13.2.1 +SCF:NET-13 iso-27017-2015 _13.2.3 +SCF:NET-13 iso-27018-2025 _5.14 +SCF:NET-13 nist-800-53-r4 sc-8-3 +SCF:NET-13 nist-800-53-r4 sc-19 +SCF:NET-13 nist-800-53-r5 sc-08-03 +SCF:NET-13 nist-800-82-r3 sc-08-03 +SCF:NET-13 nist-800-171-r2 _3.13.14 +SCF:NET-13 nist-800-171a _3.13.14-a +SCF:NET-13 nist-800-171a _3.13.14-b +SCF:NET-14 nist-csf-function-grouping protect +SCF:NET-14 cis-csc-8.1 _12.7 +SCF:NET-14 cis-csc-8.1-ig2 _12.7 +SCF:NET-14 cis-csc-8.1-ig3 _12.7 +SCF:NET-14 iec-62443-2-1-2024 net-3.1 +SCF:NET-14 iec-62443-2-1-2024 net-3.2 +SCF:NET-14 iec-62443-2-1-2024 net-3.2-a +SCF:NET-14 iec-62443-2-1-2024 net-3.2-b +SCF:NET-14 iec-62443-2-1-2024 net-3.2-c +SCF:NET-14 iec-62443-2-1-2024 net-3.2-d +SCF:NET-14 iec-62443-2-1-2024 net-3.2-e +SCF:NET-14 iec-62443-2-1-2024 net-3.2-f +SCF:NET-14 iec-62443-2-1-2024 net-3.2-g +SCF:NET-14 iec-62443-2-1-2024 net-3.2-h +SCF:NET-14 iso-27002-2022 _6.7 +SCF:NET-14 iso-27018-2025 _6.7 +SCF:NET-14 nist-privacy-framework-1.0 pr.ac-p3 +SCF:NET-14 nist-800-53-r4 ac-17 +SCF:NET-14 nist-800-53-r4 ac-17-6 +SCF:NET-14 nist-800-53-r5 ac-17 +SCF:NET-14 nist-800-53-r5 ac-17-06 +SCF:NET-14 nist-800-53b-r5-low ac-17 +SCF:NET-14 nist-800-82-r3 ac-17 +SCF:NET-14 nist-800-82-r3 ac-17-06 +SCF:NET-14 nist-800-82-r3-low-ot-overlay ac-17 +SCF:NET-14 nist-800-82-r3-moderate-ot-overlay ac-17 +SCF:NET-14 nist-800-82-r3-high-ot-overlay ac-17 +SCF:NET-14 nist-800-161-r1 ac-17 +SCF:NET-14 nist-800-161-r1 ac-17-6 +SCF:NET-14 nist-800-161-r1-c-scrm-baseline ac-17 +SCF:NET-14 nist-800-161-r1-flow-down ac-17 +SCF:NET-14 nist-800-161-r1-level-2 ac-17 +SCF:NET-14 nist-800-161-r1-level-2 ac-17-6 +SCF:NET-14 nist-800-161-r1-level-3 ac-17 +SCF:NET-14 nist-800-161-r1-level-3 ac-17-6 +SCF:NET-14 nist-800-171-r2 _3.1.12 +SCF:NET-14 nist-800-171-r3 _03.01.12.a +SCF:NET-14 nist-800-171-r3 _03.01.12.b +SCF:NET-14 nist-800-171-r3 _03.01.12.c +SCF:NET-14 nist-800-171-r3 _03.01.12.d +SCF:NET-14 nist-800-171a-r3 a.03.01.12.a-01 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.a-02 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.a-03 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.a-04 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.b +SCF:NET-14 nist-800-171a-r3 a.03.01.12.c-01 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.c-02 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.d-1 +SCF:NET-14 nist-800-171a-r3 a.03.01.12.d-2 +SCF:NET-14 pci-dss-4.0.1 _3.4.2 +SCF:NET-14 pci-dss-4.0.1 _7.2.5 +SCF:NET-14 pci-dss-4.0.1 _8.2.3 +SCF:NET-14 pci-dss-4.0.1 _8.2.7 +SCF:NET-14 pci-dss-4.0.1 _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-a _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-a-ep _7.2.5 +SCF:NET-14 pci-dss-4.0.1-saq-a-ep _8.2.7 +SCF:NET-14 pci-dss-4.0.1-saq-a-ep _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-b _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-b-ip _8.2.7 +SCF:NET-14 pci-dss-4.0.1-saq-b-ip _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-c _7.2.5 +SCF:NET-14 pci-dss-4.0.1-saq-c _8.2.7 +SCF:NET-14 pci-dss-4.0.1-saq-c _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-c-vt _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-d-merchant _3.4.2 +SCF:NET-14 pci-dss-4.0.1-saq-d-merchant _7.2.5 +SCF:NET-14 pci-dss-4.0.1-saq-d-merchant _8.2.7 +SCF:NET-14 pci-dss-4.0.1-saq-d-merchant _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-d-service-provider _3.4.2 +SCF:NET-14 pci-dss-4.0.1-saq-d-service-provider _7.2.5 +SCF:NET-14 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:NET-14 pci-dss-4.0.1-saq-d-service-provider _8.2.7 +SCF:NET-14 pci-dss-4.0.1-saq-d-service-provider _12.8.1 +SCF:NET-14 pci-dss-4.0.1-saq-p2pe _12.8.1 +SCF:NET-14.1 nist-csf-function-grouping detect +SCF:NET-14.1 cis-csc-8.1 _12.7 +SCF:NET-14.1 cis-csc-8.1-ig2 _12.7 +SCF:NET-14.1 cis-csc-8.1-ig3 _12.7 +SCF:NET-14.1 nist-800-53-r4 ac-17-1 +SCF:NET-14.1 nist-800-53-r5 ac-17-01 +SCF:NET-14.1 nist-800-53b-r5-moderate ac-17-01 +SCF:NET-14.1 nist-800-82-r3 ac-17-01 +SCF:NET-14.1 nist-800-82-r3-moderate-ot-overlay ac-17-01 +SCF:NET-14.1 nist-800-82-r3-high-ot-overlay ac-17-01 +SCF:NET-14.1 nist-800-171-r2 _3.1.12 +SCF:NET-14.1 nist-800-171-r3 _03.01.12.b +SCF:NET-14.1 nist-800-171a _3.1.12-a +SCF:NET-14.1 nist-800-171a _3.1.12-b +SCF:NET-14.1 nist-800-171a _3.1.12-c +SCF:NET-14.1 nist-800-171a _3.1.12-d +SCF:NET-14.1 nist-800-207 nist-tenet-5 +SCF:NET-14.2 nist-csf-function-grouping protect +SCF:NET-14.2 cis-csc-8.1 _12.7 +SCF:NET-14.2 cis-csc-8.1-ig2 _12.7 +SCF:NET-14.2 cis-csc-8.1-ig3 _12.7 +SCF:NET-14.2 nist-800-53-r4 ac-17-2 +SCF:NET-14.2 nist-800-53-r5 ac-17-02 +SCF:NET-14.2 nist-800-53b-r5-moderate ac-17-02 +SCF:NET-14.2 nist-800-82-r3 ac-17-02 +SCF:NET-14.2 nist-800-82-r3-moderate-ot-overlay ac-17-02 +SCF:NET-14.2 nist-800-82-r3-high-ot-overlay ac-17-02 +SCF:NET-14.2 nist-800-171-r2 _3.1.13 +SCF:NET-14.2 nist-800-171-r3 _03.01.12.a +SCF:NET-14.2 nist-800-171a _3.1.13-a +SCF:NET-14.2 nist-800-171a _3.1.13-b +SCF:NET-14.2 nist-800-207 nist-tenet-2 +SCF:NET-14.3 nist-csf-function-grouping protect +SCF:NET-14.3 cis-csc-8.1 _12.7 +SCF:NET-14.3 cis-csc-8.1-ig2 _12.7 +SCF:NET-14.3 cis-csc-8.1-ig3 _12.7 +SCF:NET-14.3 nist-800-53-r4 ac-17-3 +SCF:NET-14.3 nist-800-53-r5 ac-17-03 +SCF:NET-14.3 nist-800-53b-r5-moderate ac-17-03 +SCF:NET-14.3 nist-800-82-r3 ac-17-03 +SCF:NET-14.3 nist-800-82-r3-moderate-ot-overlay ac-17-03 +SCF:NET-14.3 nist-800-82-r3-high-ot-overlay ac-17-03 +SCF:NET-14.3 nist-800-171-r2 _3.1.14 +SCF:NET-14.3 nist-800-171-r3 _03.01.12.b +SCF:NET-14.3 nist-800-171-r3 _03.01.12.c +SCF:NET-14.3 nist-800-171a _3.1.14-a +SCF:NET-14.3 nist-800-171a _3.1.14-b +SCF:NET-14.4 nist-csf-function-grouping protect +SCF:NET-14.4 nist-800-53-r4 ac-17-4 +SCF:NET-14.4 nist-800-53-r5 ac-17-04 +SCF:NET-14.4 nist-800-53b-r5-moderate ac-17-04 +SCF:NET-14.4 nist-800-82-r3 ac-17-04 +SCF:NET-14.4 nist-800-82-r3-moderate-ot-overlay ac-17-04 +SCF:NET-14.4 nist-800-82-r3-high-ot-overlay ac-17-04 +SCF:NET-14.4 nist-800-171-r2 _3.1.15 +SCF:NET-14.4 nist-800-171-r3 _03.01.12.d +SCF:NET-14.4 nist-800-171a _3.1.15-a +SCF:NET-14.4 nist-800-171a _3.1.15-b +SCF:NET-14.4 nist-800-171a _3.1.15-c +SCF:NET-14.4 nist-800-171a _3.1.15-d +SCF:NET-14.4 nist-800-171a-r3 a.03.01.12.d-1 +SCF:NET-14.4 nist-800-171a-r3 a.03.01.12.d-2 +SCF:NET-14.5 nist-csf-function-grouping protect +SCF:NET-14.5 csa-ccm-4.1.0 hrs-04 +SCF:NET-14.5 iso-27002-2022 _6.7 +SCF:NET-14.5 iso-27002-2022 _7.9 +SCF:NET-14.5 iso-27017-2015 _6.2.2 +SCF:NET-14.5 iso-27017-2015 _11.2.6 +SCF:NET-14.5 iso-27018-2025 _6.7 +SCF:NET-14.5 iso-27018-2025 _7.9 +SCF:NET-14.5 nist-privacy-framework-1.0 pr.ac-p3 +SCF:NET-14.5 nist-800-171-r2 _3.1.12 +SCF:NET-14.5 nist-800-171-r2 _3.10.6 +SCF:NET-14.5 nist-800-171-r3 _03.01.12.a +SCF:NET-14.5 nist-800-171-r3 _03.01.12.c +SCF:NET-14.5 nist-800-171-r3 _03.10.06.a +SCF:NET-14.5 nist-800-171-r3 _03.10.06.b +SCF:NET-14.5 nist-800-171a-r3 a.03.10.06.odp-01 +SCF:NET-14.5 nist-800-171a-r3 a.03.10.06.a +SCF:NET-14.5 nist-800-171a-r3 a.03.10.06.b +SCF:NET-14.5 nist-800-207 nist-tenet-2 +SCF:NET-14.6 nist-csf-function-grouping protect +SCF:NET-14.6 pci-dss-4.0.1 _8.2.7 +SCF:NET-14.6 pci-dss-4.0.1-saq-a-ep _8.2.7 +SCF:NET-14.6 pci-dss-4.0.1-saq-b-ip _8.2.7 +SCF:NET-14.6 pci-dss-4.0.1-saq-c _8.2.7 +SCF:NET-14.6 pci-dss-4.0.1-saq-d-merchant _8.2.7 +SCF:NET-14.6 pci-dss-4.0.1-saq-d-service-provider _8.2.7 +SCF:NET-14.7 nist-csf-function-grouping protect +SCF:NET-14.7 cis-csc-8.1 _13.5 +SCF:NET-14.7 cis-csc-8.1-ig2 _13.5 +SCF:NET-14.7 cis-csc-8.1-ig3 _13.5 +SCF:NET-14.7 csa-ccm-4.1.0 uem-14 +SCF:NET-14.7 nist-800-53-r5 ca-09-01 +SCF:NET-14.7 nist-800-82-r3 ca-09-01 +SCF:NET-14.7 nist-800-207 nist-tenet-4 +SCF:NET-14.7 nist-800-207 nist-tenet-5 +SCF:NET-14.7 nist-800-207 nist-tenet-7 +SCF:NET-14.8 nist-csf-function-grouping protect +SCF:NET-14.8 nist-800-53-r4 ac-17-9 +SCF:NET-14.8 nist-800-53-r5 ac-17-09 +SCF:NET-14.8 nist-800-82-r3 ac-17-09 +SCF:NET-14.8 nist-800-82-r3-low-ot-overlay ac-17-09 +SCF:NET-14.8 nist-800-82-r3-moderate-ot-overlay ac-17-09 +SCF:NET-14.8 nist-800-82-r3-high-ot-overlay ac-17-09 +SCF:NET-15 nist-csf-function-grouping protect +SCF:NET-15 iec-62443-2-1-2024 net-2.1 +SCF:NET-15 iec-62443-3-3-2013 sr-1.6-re-1 +SCF:NET-15 iec-62443-3-3-2013 sr-2.2 +SCF:NET-15 iec-62443-4-2-2019 ndr-1.6 +SCF:NET-15 iso-27002-2022 _8.21 +SCF:NET-15 iso-27017-2015 _13.1.2 +SCF:NET-15 iso-27018-2025 _8.21 +SCF:NET-15 nist-800-53-r4 ac-18 +SCF:NET-15 nist-800-53-r5 ac-18 +SCF:NET-15 nist-800-53b-r5-privacy ac-18 +SCF:NET-15 nist-800-53b-r5-low ac-18 +SCF:NET-15 nist-800-82-r3 ac-18 +SCF:NET-15 nist-800-82-r3-low-ot-overlay ac-18 +SCF:NET-15 nist-800-82-r3-moderate-ot-overlay ac-18 +SCF:NET-15 nist-800-82-r3-high-ot-overlay ac-18 +SCF:NET-15 nist-800-161-r1 ac-18 +SCF:NET-15 nist-800-161-r1-c-scrm-baseline ac-18 +SCF:NET-15 nist-800-161-r1-level-1 ac-18 +SCF:NET-15 nist-800-161-r1-level-2 ac-18 +SCF:NET-15 nist-800-161-r1-level-3 ac-18 +SCF:NET-15 nist-800-171-r2 _3.1.16 +SCF:NET-15 nist-800-171-r3 _03.01.16.a +SCF:NET-15 nist-800-171-r3 _03.01.16.b +SCF:NET-15 nist-800-171a _3.1.16-a +SCF:NET-15 nist-800-171a _3.1.16-b +SCF:NET-15 nist-800-171a-r3 a.03.01.16.a-01 +SCF:NET-15 nist-800-171a-r3 a.03.01.16.a-02 +SCF:NET-15 nist-800-171a-r3 a.03.01.16.a-04 +SCF:NET-15 nist-800-207 nist-tenet-2 +SCF:NET-15 pci-dss-4.0.1 _2.3 +SCF:NET-15 pci-dss-4.0.1 _11.2 +SCF:NET-15 pci-dss-4.0.1 _11.2.1 +SCF:NET-15 pci-dss-4.0.1 _11.2.2 +SCF:NET-15 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-15 pci-dss-4.0.1-saq-c _11.2.2 +SCF:NET-15 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-15 pci-dss-4.0.1-saq-d-merchant _11.2.2 +SCF:NET-15 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-15 pci-dss-4.0.1-saq-d-service-provider _11.2.2 +SCF:NET-15.1 nist-csf-function-grouping protect +SCF:NET-15.1 iec-62443-4-2-2019 ndr-1.6-1 +SCF:NET-15.1 nist-800-53-r4 ac-18-1 +SCF:NET-15.1 nist-800-53-r5 ac-18-01 +SCF:NET-15.1 nist-800-53b-r5-moderate ac-18-01 +SCF:NET-15.1 nist-800-82-r3 ac-18-01 +SCF:NET-15.1 nist-800-82-r3-moderate-ot-overlay ac-18-01 +SCF:NET-15.1 nist-800-82-r3-high-ot-overlay ac-18-01 +SCF:NET-15.1 nist-800-171-r2 _3.1.17 +SCF:NET-15.1 nist-800-171-r3 _03.01.16.a +SCF:NET-15.1 nist-800-171-r3 _03.01.16.b +SCF:NET-15.1 nist-800-171-r3 _03.01.16.d +SCF:NET-15.1 nist-800-171a _3.1.17-a +SCF:NET-15.1 nist-800-171a _3.1.17-b +SCF:NET-15.1 nist-800-171a-r3 a.03.01.16.d-01 +SCF:NET-15.1 nist-800-171a-r3 a.03.01.16.d-02 +SCF:NET-15.1 pci-dss-4.0.1 _1.3 +SCF:NET-15.1 pci-dss-4.0.1 _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1 _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1 _4.2.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-a-ep _4.2.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-b-ip _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-b-ip _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1-saq-c _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-c _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1-saq-c _4.2.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-c-vt _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-c-vt _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-merchant _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-merchant _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-merchant _4.2.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-service-provider _2.3.1 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-service-provider _2.3.2 +SCF:NET-15.1 pci-dss-4.0.1-saq-d-service-provider _4.2.1 +SCF:NET-15.2 nist-csf-function-grouping protect +SCF:NET-15.2 nist-800-53-r4 ac-18-3 +SCF:NET-15.2 nist-800-53-r5 ac-18-03 +SCF:NET-15.2 nist-800-53b-r5-moderate ac-18-03 +SCF:NET-15.2 nist-800-82-r3 ac-18-03 +SCF:NET-15.2 nist-800-82-r3-moderate-ot-overlay ac-18-03 +SCF:NET-15.2 nist-800-82-r3-high-ot-overlay ac-18-03 +SCF:NET-15.2 nist-800-171-r3 _03.01.16.c +SCF:NET-15.3 nist-csf-function-grouping protect +SCF:NET-15.3 nist-800-53-r4 ac-18-4 +SCF:NET-15.3 nist-800-53-r5 ac-18-04 +SCF:NET-15.3 nist-800-53b-r5-high ac-18-04 +SCF:NET-15.3 nist-800-82-r3 ac-18-04 +SCF:NET-15.3 nist-800-82-r3-high-ot-overlay ac-18-04 +SCF:NET-15.3 nist-800-171-r3 _03.01.16.a +SCF:NET-15.3 nist-800-171-r3 _03.01.16.c +SCF:NET-15.4 nist-csf-function-grouping protect +SCF:NET-15.4 nist-800-53-r4 ac-18-5 +SCF:NET-15.4 nist-800-53-r5 ac-18-05 +SCF:NET-15.4 nist-800-53b-r5-high ac-18-05 +SCF:NET-15.4 nist-800-82-r3 ac-18-05 +SCF:NET-15.4 nist-800-82-r3-high-ot-overlay ac-18-05 +SCF:NET-15.5 nist-csf-function-grouping detect +SCF:NET-15.5 csa-iot-scf-2 sws-06 +SCF:NET-15.5 pci-dss-4.0.1 _11.2 +SCF:NET-15.5 pci-dss-4.0.1 _11.2.1 +SCF:NET-15.5 pci-dss-4.0.1-saq-c _11.2.1 +SCF:NET-15.5 pci-dss-4.0.1-saq-d-merchant _11.2.1 +SCF:NET-15.5 pci-dss-4.0.1-saq-d-service-provider _11.2.1 +SCF:NET-16 nist-csf-function-grouping protect +SCF:NET-17 nist-csf-function-grouping protect +SCF:NET-17 cis-csc-8.1 _3.13 +SCF:NET-17 cis-csc-8.1-ig3 _3.13 +SCF:NET-17 csa-ccm-4.1.0 uem-11 +SCF:NET-17 csa-iot-scf-2 dat-02 +SCF:NET-17 nist-800-53-r4 sc-7-10 +SCF:NET-17 nist-800-53-r5 sc-07-10 +SCF:NET-17 nist-800-53-r5 si-04-18 +SCF:NET-17 nist-800-53b-r5-privacy sc-07-10 +SCF:NET-17 nist-800-53b-r5-privacy si-04-18 +SCF:NET-17 nist-800-82-r3 sc-07-10 +SCF:NET-17 nist-800-82-r3 si-04-18 +SCF:NET-17 nist-800-160-vol2-r1 sc-07-10 +SCF:NET-17 nist-800-160-vol2-r1 si-04-18 +SCF:NET-17 pci-dss-4.0.1 a3.2.6 +SCF:NET-18 nist-csf-function-grouping protect +SCF:NET-18 cis-csc-8.1 _9.0 +SCF:NET-18 cis-csc-8.1 _9.2 +SCF:NET-18 cis-csc-8.1 _9.3 +SCF:NET-18 cis-csc-8.1 _13.1 +SCF:NET-18 cis-csc-8.1-ig1 _9.2 +SCF:NET-18 cis-csc-8.1-ig2 _9.2 +SCF:NET-18 cis-csc-8.1-ig2 _9.3 +SCF:NET-18 cis-csc-8.1-ig3 _9.2 +SCF:NET-18 cis-csc-8.1-ig3 _9.3 +SCF:NET-18 cis-csc-8.1-ig3 _13.1 +SCF:NET-18 iso-27002-2022 _5.14 +SCF:NET-18 iso-27002-2022 _8.23 +SCF:NET-18 iso-27017-2015 _13.2.1 +SCF:NET-18 iso-27018-2025 _5.14 +SCF:NET-18 iso-27018-2025 _8.23 +SCF:NET-18 nist-800-53-r4 sc-7-8 +SCF:NET-18 nist-800-53-r4 sc-18-3 +SCF:NET-18 nist-800-53-r5 sc-07-08 +SCF:NET-18 nist-800-53-r5 sc-18-03 +SCF:NET-18 nist-800-53b-r5-privacy sc-07-08 +SCF:NET-18 nist-800-53b-r5-privacy sc-18-03 +SCF:NET-18 nist-800-53b-r5-moderate sc-07-08 +SCF:NET-18 nist-800-82-r3 sc-07-08 +SCF:NET-18 nist-800-82-r3 sc-18-03 +SCF:NET-18 nist-800-82-r3-moderate-ot-overlay sc-07-08 +SCF:NET-18 nist-800-82-r3-high-ot-overlay sc-07-08 +SCF:NET-18 nist-800-171-r2 _3.1.3 +SCF:NET-18 nist-800-171-r3 _03.14.06.c +SCF:NET-18 nist-csf-2.0 de.cm-03 +SCF:NET-18.1 nist-csf-function-grouping protect +SCF:NET-18.1 cis-csc-8.1 _13.1 +SCF:NET-18.1 cis-csc-8.1-ig3 _13.1 +SCF:NET-18.1 nist-800-53-r4 sc-7-8 +SCF:NET-18.1 nist-800-53-r5 sc-07-08 +SCF:NET-18.1 nist-800-53b-r5-privacy sc-07-08 +SCF:NET-18.1 nist-800-53b-r5-moderate sc-07-08 +SCF:NET-18.1 nist-800-82-r3 sc-07-08 +SCF:NET-18.1 nist-800-82-r3-moderate-ot-overlay sc-07-08 +SCF:NET-18.1 nist-800-82-r3-high-ot-overlay sc-07-08 +SCF:NET-18.2 nist-csf-function-grouping detect +SCF:NET-18.2 nist-800-53-r5 si-04-10 +SCF:NET-18.2 nist-800-53b-r5-high si-04-10 +SCF:NET-18.2 nist-800-82-r3 si-04-10 +SCF:NET-18.2 nist-800-82-r3-high-ot-overlay si-04-10 +SCF:NET-18.2 nist-800-160-vol2-r1 si-04-10 +SCF:NET-18.3 nist-csf-function-grouping detect +SCF:NET-18.3 nist-800-53-r5 sc-07-15 +SCF:NET-18.3 nist-800-82-r3 sc-07-15 +SCF:NET-18.3 nist-800-160-vol2-r1 sc-07-15 +SCF:NET-18.4 nist-csf-function-grouping protect +SCF:NET-18.5 nist-csf-function-grouping protect +SCF:NET-18.6 nist-csf-function-grouping protect +SCF:NET-18.7 nist-csf-function-grouping protect +SCF:NET-18.8 nist-csf-function-grouping protect +SCF:NET-18.9 nist-csf-function-grouping protect +SCF:NET-19 nist-csf-function-grouping protect +SCF:NET-20 nist-csf-function-grouping protect +SCF:NET-20.1 nist-csf-function-grouping protect +SCF:NET-20.2 nist-csf-function-grouping protect +SCF:NET-20.3 nist-csf-function-grouping protect +SCF:NET-20.4 nist-csf-function-grouping protect +SCF:NET-20.4 cis-csc-8.1 _9.5 +SCF:NET-20.4 cis-csc-8.1-ig2 _9.5 +SCF:NET-20.4 cis-csc-8.1-ig3 _9.5 +SCF:NET-20.5 nist-csf-function-grouping protect +SCF:NET-20.6 nist-csf-function-grouping protect +SCF:NET-20.7 nist-csf-function-grouping protect +SCF:NET-20.8 nist-csf-function-grouping protect +SCF:NET-20.9 nist-csf-function-grouping protect +SCF:PES-01 nist-csf-function-grouping govern +SCF:PES-01 cobit-2019 dss01.04 +SCF:PES-01 cobit-2019 dss01.05 +SCF:PES-01 cobit-2019 dss05.05 +SCF:PES-01 csa-ccm-4.1.0 dcs-01 +SCF:PES-01 csa-iot-scf-2 phy-01 +SCF:PES-01 iec-62443-2-1-2024 org-3.1 +SCF:PES-01 iso-27002-2022 _5.14 +SCF:PES-01 iso-27002-2022 _5.15 +SCF:PES-01 iso-27002-2022 _5.18 +SCF:PES-01 iso-27002-2022 _7.1 +SCF:PES-01 iso-27002-2022 _7.5 +SCF:PES-01 iso-27017-2015 _9.1.1 +SCF:PES-01 iso-27017-2015 _11.1.4 +SCF:PES-01 iso-27017-2015 _13.2.1 +SCF:PES-01 iso-27018-2025 _5.14 +SCF:PES-01 iso-27018-2025 _5.15 +SCF:PES-01 iso-27018-2025 _5.18 +SCF:PES-01 iso-27018-2025 _7.1 +SCF:PES-01 iso-27018-2025 _7.5 +SCF:PES-01 nist-privacy-framework-1.0 pr.po-p4 +SCF:PES-01 nist-privacy-framework-1.0 pr.ac-p2 +SCF:PES-01 nist-800-53-r4 pe-1 +SCF:PES-01 nist-800-53-r5 pe-01 +SCF:PES-01 nist-800-53-r5 pe-23 +SCF:PES-01 nist-800-53b-r5-privacy pe-01 +SCF:PES-01 nist-800-53b-r5-privacy pe-23 +SCF:PES-01 nist-800-53b-r5-low pe-01 +SCF:PES-01 nist-sp-800-66-r2 _164.310-a +SCF:PES-01 nist-800-82-r3 pe-01 +SCF:PES-01 nist-800-82-r3 pe-23 +SCF:PES-01 nist-800-82-r3-low-ot-overlay pe-01 +SCF:PES-01 nist-800-82-r3-moderate-ot-overlay pe-01 +SCF:PES-01 nist-800-82-r3-high-ot-overlay pe-01 +SCF:PES-01 nist-800-161-r1 pe-1 +SCF:PES-01 nist-800-161-r1 pe-23 +SCF:PES-01 nist-800-161-r1-c-scrm-baseline pe-1 +SCF:PES-01 nist-800-161-r1-flow-down pe-23 +SCF:PES-01 nist-800-161-r1-level-1 pe-1 +SCF:PES-01 nist-800-161-r1-level-2 pe-1 +SCF:PES-01 nist-800-161-r1-level-2 pe-23 +SCF:PES-01 nist-800-161-r1-level-3 pe-1 +SCF:PES-01 nist-800-161-r1-level-3 pe-23 +SCF:PES-01 nist-800-171-r2 _3.10.2 +SCF:PES-01 nist-800-171-r2 nfo-pe-1 +SCF:PES-01 nist-800-171-r3 _03.08.01 +SCF:PES-01 nist-800-171-r3 _03.08.02 +SCF:PES-01 nist-800-171-r3 _03.10.01.a +SCF:PES-01 nist-800-171-r3 _03.10.07.a +SCF:PES-01 nist-800-171a _3.10.2-a +SCF:PES-01 nist-800-171a _3.10.2-b +SCF:PES-01 nist-800-171a _3.10.2-c +SCF:PES-01 nist-800-171a _3.10.2-d +SCF:PES-01 nist-csf-2.0 id.am +SCF:PES-01 nist-csf-2.0 pr.aa +SCF:PES-01 nist-csf-2.0 pr.aa-06 +SCF:PES-01 nist-csf-2.0 pr.ir-02 +SCF:PES-01 nist-csf-2.0 de.cm-02 +SCF:PES-01 pci-dss-4.0.1 _9.1 +SCF:PES-01 pci-dss-4.0.1 _9.1.1 +SCF:PES-01 pci-dss-4.0.1 _9.2 +SCF:PES-01 pci-dss-4.0.1-saq-b-ip _9.1.1 +SCF:PES-01 pci-dss-4.0.1-saq-c _9.1.1 +SCF:PES-01 pci-dss-4.0.1-saq-c-vt _9.1.1 +SCF:PES-01 pci-dss-4.0.1-saq-d-merchant _9.1.1 +SCF:PES-01 pci-dss-4.0.1-saq-d-service-provider _9.1.1 +SCF:PES-01 pci-dss-4.0.1-saq-p2pe _9.1.1 +SCF:PES-01.1 nist-csf-function-grouping identify +SCF:PES-01.2 nist-csf-function-grouping protect +SCF:PES-02 nist-csf-function-grouping protect +SCF:PES-02 cobit-2019 dss05.05 +SCF:PES-02 iso-27002-2022 _5.15 +SCF:PES-02 iso-27002-2022 _5.18 +SCF:PES-02 iso-27002-2022 _7.1 +SCF:PES-02 iso-27017-2015 _9.1.1 +SCF:PES-02 iso-27017-2015 _11.1.1 +SCF:PES-02 iso-27018-2025 _5.15 +SCF:PES-02 iso-27018-2025 _5.18 +SCF:PES-02 iso-27018-2025 _7.1 +SCF:PES-02 nist-800-53-r4 pe-2 +SCF:PES-02 nist-800-53-r5 pe-02 +SCF:PES-02 nist-800-53b-r5-low pe-02 +SCF:PES-02 nist-sp-800-66-r2 _164.310-a +SCF:PES-02 nist-800-82-r3 pe-02 +SCF:PES-02 nist-800-82-r3-low-ot-overlay pe-02 +SCF:PES-02 nist-800-82-r3-moderate-ot-overlay pe-02 +SCF:PES-02 nist-800-82-r3-high-ot-overlay pe-02 +SCF:PES-02 nist-800-161-r1 pe-2 +SCF:PES-02 nist-800-161-r1-c-scrm-baseline pe-2 +SCF:PES-02 nist-800-161-r1-flow-down pe-2 +SCF:PES-02 nist-800-161-r1-level-2 pe-2 +SCF:PES-02 nist-800-161-r1-level-3 pe-2 +SCF:PES-02 nist-800-171-r2 _3.10.1 +SCF:PES-02 nist-800-171-r3 _03.08.01 +SCF:PES-02 nist-800-171-r3 _03.08.02 +SCF:PES-02 nist-800-171-r3 _03.10.01.a +SCF:PES-02 nist-800-171-r3 _03.10.01.b +SCF:PES-02 nist-800-171-r3 _03.10.01.c +SCF:PES-02 nist-800-171-r3 _03.10.01.d +SCF:PES-02 nist-800-171-r3 _03.10.07.a +SCF:PES-02 nist-800-171a _3.10.1-a +SCF:PES-02 nist-800-171a _3.10.1-b +SCF:PES-02 nist-800-171a _3.10.1-c +SCF:PES-02 nist-800-171a _3.10.1-d +SCF:PES-02 nist-800-171a-r3 a.03.04.05-02 +SCF:PES-02 nist-800-171a-r3 a.03.10.01.odp-01 +SCF:PES-02 nist-800-171a-r3 a.03.10.01.a-01 +SCF:PES-02 nist-800-171a-r3 a.03.10.01.a-02 +SCF:PES-02 nist-800-171a-r3 a.03.10.01.a-03 +SCF:PES-02 nist-800-171a-r3 a.03.10.01.c +SCF:PES-02 nist-800-171a-r3 a.03.10.01.d +SCF:PES-02 nist-800-171a-r3 a.03.10.07.a.01 +SCF:PES-02 nist-csf-2.0 pr.aa +SCF:PES-02 nist-csf-2.0 pr.aa-06 +SCF:PES-02 pci-dss-4.0.1 _8.3.11 +SCF:PES-02 pci-dss-4.0.1 _9.1 +SCF:PES-02 pci-dss-4.0.1 _9.2 +SCF:PES-02 pci-dss-4.0.1 _9.2.1 +SCF:PES-02 pci-dss-4.0.1 _9.3 +SCF:PES-02 pci-dss-4.0.1 _9.3.1 +SCF:PES-02 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:PES-02 pci-dss-4.0.1-saq-a-ep _9.2.1 +SCF:PES-02 pci-dss-4.0.1-saq-c _9.2.1 +SCF:PES-02 pci-dss-4.0.1-saq-c-vt _9.2.1 +SCF:PES-02 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:PES-02 pci-dss-4.0.1-saq-d-merchant _9.2.1 +SCF:PES-02 pci-dss-4.0.1-saq-d-merchant _9.3.1 +SCF:PES-02 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:PES-02 pci-dss-4.0.1-saq-d-service-provider _9.2.1 +SCF:PES-02 pci-dss-4.0.1-saq-d-service-provider _9.3.1 +SCF:PES-02.1 nist-csf-function-grouping protect +SCF:PES-02.1 cobit-2019 dss05.05 +SCF:PES-02.1 iso-27002-2022 _5.15 +SCF:PES-02.1 iso-27002-2022 _5.18 +SCF:PES-02.1 iso-27017-2015 _9.1.1 +SCF:PES-02.1 iso-27018-2025 _5.15 +SCF:PES-02.1 iso-27018-2025 _5.18 +SCF:PES-02.1 nist-800-53-r4 pe-2-1 +SCF:PES-02.1 nist-800-53-r5 pe-02-01 +SCF:PES-02.1 nist-sp-800-66-r2 _164.310-a +SCF:PES-02.1 nist-800-82-r3 pe-02-01 +SCF:PES-02.1 nist-800-161-r1 pe-2-1 +SCF:PES-02.1 nist-800-161-r1-level-2 pe-2-1 +SCF:PES-02.1 nist-800-161-r1-level-3 pe-2-1 +SCF:PES-02.1 nist-800-171-r2 _3.10.1 +SCF:PES-02.1 nist-800-171-r3 _03.08.01 +SCF:PES-02.1 nist-800-171-r3 _03.08.02 +SCF:PES-02.1 nist-800-171-r3 _03.10.01.b +SCF:PES-02.1 nist-800-171-r3 _03.10.01.d +SCF:PES-02.1 nist-800-171a-r3 a.03.04.05-01 +SCF:PES-02.1 nist-800-171a-r3 a.03.10.01.odp-01 +SCF:PES-02.1 nist-800-171a-r3 a.03.10.01.b +SCF:PES-02.1 nist-csf-2.0 pr.aa-06 +SCF:PES-02.1 pci-dss-4.0.1 _8.3.11 +SCF:PES-02.1 pci-dss-4.0.1 _9.1 +SCF:PES-02.1 pci-dss-4.0.1 _9.2 +SCF:PES-02.1 pci-dss-4.0.1 _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1 _9.3 +SCF:PES-02.1 pci-dss-4.0.1 _9.3.1 +SCF:PES-02.1 pci-dss-4.0.1 _9.3.1.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-a-ep _8.3.11 +SCF:PES-02.1 pci-dss-4.0.1-saq-a-ep _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-c _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-c-vt _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-merchant _8.3.11 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-merchant _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-merchant _9.3.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-merchant _9.3.1.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-service-provider _8.3.11 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-service-provider _9.2.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-service-provider _9.3.1 +SCF:PES-02.1 pci-dss-4.0.1-saq-d-service-provider _9.3.1.1 +SCF:PES-02.2 nist-csf-function-grouping protect +SCF:PES-03 nist-csf-function-grouping protect +SCF:PES-03 cobit-2019 dss05.05 +SCF:PES-03 csa-ccm-4.1.0 dcs-08 +SCF:PES-03 csa-iot-scf-2 phy-01 +SCF:PES-03 iso-27002-2022 _5.15 +SCF:PES-03 iso-27002-2022 _5.18 +SCF:PES-03 iso-27002-2022 _7.1 +SCF:PES-03 iso-27002-2022 _7.4 +SCF:PES-03 iso-27017-2015 _9.1.1 +SCF:PES-03 iso-27017-2015 _11.1.1 +SCF:PES-03 iso-27018-2025 _5.15 +SCF:PES-03 iso-27018-2025 _5.18 +SCF:PES-03 iso-27018-2025 _7.1 +SCF:PES-03 iso-27018-2025 _7.4 +SCF:PES-03 nist-privacy-framework-1.0 pr.ac-p2 +SCF:PES-03 nist-800-53-r4 pe-3 +SCF:PES-03 nist-800-53-r4 pe-3-2 +SCF:PES-03 nist-800-53-r4 pe-3-3 +SCF:PES-03 nist-800-53-r5 pe-03 +SCF:PES-03 nist-800-53-r5 pe-03-02 +SCF:PES-03 nist-800-53-r5 pe-03-03 +SCF:PES-03 nist-800-53b-r5-low pe-03 +SCF:PES-03 nist-sp-800-66-r2 _164.310-a +SCF:PES-03 nist-sp-800-66-r2 _164.310-c +SCF:PES-03 nist-800-82-r3 pe-03 +SCF:PES-03 nist-800-82-r3 pe-03-02 +SCF:PES-03 nist-800-82-r3 pe-03-03 +SCF:PES-03 nist-800-82-r3-low-ot-overlay pe-03 +SCF:PES-03 nist-800-82-r3-moderate-ot-overlay pe-03 +SCF:PES-03 nist-800-82-r3-high-ot-overlay pe-03 +SCF:PES-03 nist-800-161-r1 pe-3 +SCF:PES-03 nist-800-161-r1 pe-3-2 +SCF:PES-03 nist-800-161-r1-c-scrm-baseline pe-3 +SCF:PES-03 nist-800-161-r1-level-2 pe-3 +SCF:PES-03 nist-800-161-r1-level-2 pe-3-2 +SCF:PES-03 nist-800-161-r1-level-3 pe-3 +SCF:PES-03 nist-800-161-r1-level-3 pe-3-2 +SCF:PES-03 nist-800-171-r2 _3.10.3 +SCF:PES-03 nist-800-171-r2 _3.10.5 +SCF:PES-03 nist-800-171-r3 _03.10.02.a +SCF:PES-03 nist-800-171-r3 _03.10.07.a +SCF:PES-03 nist-800-171-r3 _03.10.07.a.01 +SCF:PES-03 nist-800-171-r3 _03.10.07.a.02 +SCF:PES-03 nist-800-171-r3 _03.10.07.d +SCF:PES-03 nist-800-171a _3.10.5-a +SCF:PES-03 nist-800-171a _3.10.5-b +SCF:PES-03 nist-800-171a _3.10.5-c +SCF:PES-03 nist-800-171a-r3 a.03.04.05-03 +SCF:PES-03 nist-800-171a-r3 a.03.10.07.a.02 +SCF:PES-03 nist-800-171a-r3 a.03.10.07.d +SCF:PES-03 nist-800-172 _3.1.2e +SCF:PES-03 nist-csf-2.0 pr.aa +SCF:PES-03 nist-csf-2.0 pr.aa-06 +SCF:PES-03 nist-csf-2.0 de.cm-02 +SCF:PES-03 pci-dss-4.0.1 _9.1 +SCF:PES-03 pci-dss-4.0.1 _9.1.2 +SCF:PES-03 pci-dss-4.0.1 _9.2 +SCF:PES-03 pci-dss-4.0.1 _9.2.1 +SCF:PES-03 pci-dss-4.0.1-saq-a-ep _9.2.1 +SCF:PES-03 pci-dss-4.0.1-saq-c _9.2.1 +SCF:PES-03 pci-dss-4.0.1-saq-c-vt _9.2.1 +SCF:PES-03 pci-dss-4.0.1-saq-d-merchant _9.1.2 +SCF:PES-03 pci-dss-4.0.1-saq-d-merchant _9.2.1 +SCF:PES-03 pci-dss-4.0.1-saq-d-service-provider _9.1.2 +SCF:PES-03 pci-dss-4.0.1-saq-d-service-provider _9.2.1 +SCF:PES-03.1 nist-csf-function-grouping protect +SCF:PES-03.1 cobit-2019 dss05.05 +SCF:PES-03.1 csa-ccm-4.1.0 dcs-08 +SCF:PES-03.1 iso-27002-2022 _7.1 +SCF:PES-03.1 iso-27002-2022 _7.2 +SCF:PES-03.1 iso-27018-2025 _7.1 +SCF:PES-03.1 iso-27018-2025 _7.2 +SCF:PES-03.1 nist-800-171-r3 _03.10.02.a +SCF:PES-03.1 nist-800-171-r3 _03.10.07.a +SCF:PES-03.1 nist-800-171-r3 _03.10.07.a.02 +SCF:PES-03.1 pci-dss-4.0.1 _9.2 +SCF:PES-03.1 pci-dss-4.0.1 _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1 _9.3 +SCF:PES-03.1 pci-dss-4.0.1 _9.3.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-a-ep _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-c _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-c-vt _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-d-merchant _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-d-merchant _9.3.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-d-service-provider _9.2.1 +SCF:PES-03.1 pci-dss-4.0.1-saq-d-service-provider _9.3.1 +SCF:PES-03.2 nist-csf-function-grouping protect +SCF:PES-03.2 nist-800-53-r4 pe-3-4 +SCF:PES-03.2 nist-800-53-r4 sc-7-14 +SCF:PES-03.2 nist-800-53-r5 pe-03-04 +SCF:PES-03.2 nist-800-53-r5 sc-07-14 +SCF:PES-03.2 nist-800-53b-r5-privacy sc-07-14 +SCF:PES-03.2 nist-800-82-r3 pe-03-04 +SCF:PES-03.2 nist-800-82-r3 sc-07-14 +SCF:PES-03.2 nist-800-161-r1 sc-7-14 +SCF:PES-03.2 nist-800-161-r1-level-2 sc-7-14 +SCF:PES-03.2 nist-800-161-r1-level-3 sc-7-14 +SCF:PES-03.2 pci-dss-4.0.1 _9.2.4 +SCF:PES-03.2 pci-dss-4.0.1-saq-d-merchant _9.2.4 +SCF:PES-03.2 pci-dss-4.0.1-saq-d-service-provider _9.2.4 +SCF:PES-03.3 nist-csf-function-grouping protect +SCF:PES-03.3 csa-ccm-4.1.0 log-13 +SCF:PES-03.3 iso-27002-2022 _7.2 +SCF:PES-03.3 iso-27017-2015 _11.1.2 +SCF:PES-03.3 iso-27018-2025 _7.2 +SCF:PES-03.3 nist-800-53-r4 pe-8 +SCF:PES-03.3 nist-800-53-r5 pe-08 +SCF:PES-03.3 nist-800-53b-r5-low pe-08 +SCF:PES-03.3 nist-800-82-r3 pe-08 +SCF:PES-03.3 nist-800-82-r3-low-ot-overlay pe-08 +SCF:PES-03.3 nist-800-82-r3-moderate-ot-overlay pe-08 +SCF:PES-03.3 nist-800-82-r3-high-ot-overlay pe-08 +SCF:PES-03.3 nist-800-171-r2 _3.10.4 +SCF:PES-03.3 nist-800-171-r2 nfo-pe-8 +SCF:PES-03.3 nist-800-171-r3 _03.10.02.a +SCF:PES-03.3 nist-800-171-r3 _03.10.07.b +SCF:PES-03.3 nist-800-171a _3.10.4 +SCF:PES-03.3 nist-800-171a-r3 a.03.10.07.b +SCF:PES-03.3 nist-csf-2.0 de.cm-02 +SCF:PES-03.3 pci-dss-4.0.1 _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1 _9.2.1.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-a-ep _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-c _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-c _9.2.1.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-c-vt _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-d-merchant _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-d-merchant _9.2.1.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-d-service-provider _9.2.1 +SCF:PES-03.3 pci-dss-4.0.1-saq-d-service-provider _9.2.1.1 +SCF:PES-03.4 nist-csf-function-grouping protect +SCF:PES-03.4 cobit-2019 dss05.05 +SCF:PES-03.4 nist-privacy-framework-1.0 pr.ac-p2 +SCF:PES-03.4 nist-800-53-r4 pe-3-1 +SCF:PES-03.4 nist-800-53-r5 pe-03-01 +SCF:PES-03.4 nist-800-53b-r5-high pe-03-01 +SCF:PES-03.4 nist-sp-800-66-r2 _164.310-b +SCF:PES-03.4 nist-sp-800-66-r2 _164.310-c +SCF:PES-03.4 nist-800-82-r3 pe-03-01 +SCF:PES-03.4 nist-800-82-r3-high-ot-overlay pe-03-01 +SCF:PES-03.4 nist-800-161-r1 pe-3-1 +SCF:PES-03.4 nist-800-161-r1-level-2 pe-3-1 +SCF:PES-03.4 nist-800-161-r1-level-3 pe-3-1 +SCF:PES-03.4 nist-800-171-r2 _3.10.1 +SCF:PES-03.4 nist-800-171-r3 _03.10.07.a.01 +SCF:PES-03.4 nist-800-171-r3 _03.10.07.a.02 +SCF:PES-04 nist-csf-function-grouping protect +SCF:PES-04 cobit-2019 dss05.05 +SCF:PES-04 csa-ccm-4.1.0 dcs-04 +SCF:PES-04 csa-ccm-4.1.0 dcs-10 +SCF:PES-04 iso-27002-2022 _5.15 +SCF:PES-04 iso-27002-2022 _7.1 +SCF:PES-04 iso-27002-2022 _7.3 +SCF:PES-04 iso-27002-2022 _7.5 +SCF:PES-04 iso-27002-2022 _7.7 +SCF:PES-04 iso-27017-2015 _9.1.1 +SCF:PES-04 iso-27017-2015 _11.1.1 +SCF:PES-04 iso-27017-2015 _11.1.3 +SCF:PES-04 iso-27017-2015 _11.1.4 +SCF:PES-04 iso-27017-2015 _11.2.9 +SCF:PES-04 iso-27018-2025 _5.15 +SCF:PES-04 iso-27018-2025 _7.1 +SCF:PES-04 iso-27018-2025 _7.3 +SCF:PES-04 iso-27018-2025 _7.5 +SCF:PES-04 iso-27018-2025 _7.7 +SCF:PES-04 nist-privacy-framework-1.0 pr.ac-p2 +SCF:PES-04 nist-sp-800-66-r2 _164.310-b +SCF:PES-04 nist-sp-800-66-r2 _164.310-c +SCF:PES-04 nist-800-171-r2 _3.10.5 +SCF:PES-04 nist-800-171-r3 _03.08.01 +SCF:PES-04 nist-800-171-r3 _03.08.02 +SCF:PES-04 nist-800-171-r3 _03.10.07.a.01 +SCF:PES-04 nist-800-171-r3 _03.10.07.a.02 +SCF:PES-04 nist-800-171-r3 _03.10.07.d +SCF:PES-04 pci-dss-4.0.1 _9.3.1.1 +SCF:PES-04 pci-dss-4.0.1-saq-d-merchant _9.3.1.1 +SCF:PES-04 pci-dss-4.0.1-saq-d-service-provider _9.3.1.1 +SCF:PES-04.1 nist-csf-function-grouping protect +SCF:PES-04.1 csa-ccm-4.1.0 dcs-04 +SCF:PES-04.1 csa-ccm-4.1.0 dcs-10 +SCF:PES-04.1 iso-27002-2022 _5.15 +SCF:PES-04.1 iso-27002-2022 _7.2 +SCF:PES-04.1 iso-27002-2022 _7.3 +SCF:PES-04.1 iso-27002-2022 _7.6 +SCF:PES-04.1 iso-27017-2015 _9.1.1 +SCF:PES-04.1 iso-27017-2015 _11.1.2 +SCF:PES-04.1 iso-27017-2015 _11.1.5 +SCF:PES-04.1 iso-27018-2025 _5.15 +SCF:PES-04.1 iso-27018-2025 _7.2 +SCF:PES-04.1 iso-27018-2025 _7.3 +SCF:PES-04.1 iso-27018-2025 _7.6 +SCF:PES-04.1 nist-privacy-framework-1.0 pr.ac-p2 +SCF:PES-04.1 nist-sp-800-66-r2 _164.310-c +SCF:PES-04.1 nist-800-171-r3 _03.08.01 +SCF:PES-04.1 nist-800-171-r3 _03.08.02 +SCF:PES-04.1 nist-800-171-r3 _03.10.07.a.01 +SCF:PES-04.1 nist-800-171-r3 _03.10.07.a.02 +SCF:PES-04.1 nist-800-171-r3 _03.10.07.d +SCF:PES-04.1 nist-800-172 _3.13.4e +SCF:PES-04.1 pci-dss-4.0.1 _9.3.1.1 +SCF:PES-04.1 pci-dss-4.0.1-saq-d-merchant _9.3.1.1 +SCF:PES-04.1 pci-dss-4.0.1-saq-d-service-provider _9.3.1.1 +SCF:PES-04.2 nist-csf-function-grouping detect +SCF:PES-04.3 nist-csf-function-grouping protect +SCF:PES-05 nist-csf-function-grouping detect +SCF:PES-05 csa-ccm-4.1.0 dcs-10 +SCF:PES-05 csa-ccm-4.1.0 dcs-11 +SCF:PES-05 csa-iot-scf-2 phy-01 +SCF:PES-05 iso-27002-2022 _7.4 +SCF:PES-05 iso-27018-2025 _7.4 +SCF:PES-05 nist-800-53-r4 pe-6 +SCF:PES-05 nist-800-53-r5 pe-06 +SCF:PES-05 nist-800-53b-r5-low pe-06 +SCF:PES-05 nist-800-82-r3 pe-06 +SCF:PES-05 nist-800-82-r3-low-ot-overlay pe-06 +SCF:PES-05 nist-800-82-r3-moderate-ot-overlay pe-06 +SCF:PES-05 nist-800-82-r3-high-ot-overlay pe-06 +SCF:PES-05 nist-800-160-vol2-r1 pe-06 +SCF:PES-05 nist-800-161-r1 pe-6 +SCF:PES-05 nist-800-161-r1-c-scrm-baseline pe-6 +SCF:PES-05 nist-800-161-r1-level-1 pe-6 +SCF:PES-05 nist-800-161-r1-level-2 pe-6 +SCF:PES-05 nist-800-161-r1-level-3 pe-6 +SCF:PES-05 nist-800-171-r2 _3.10.2 +SCF:PES-05 nist-800-171-r3 _03.10.02.a +SCF:PES-05 nist-800-171-r3 _03.10.02.b +SCF:PES-05 nist-800-171a _3.10.2-c +SCF:PES-05 nist-800-171a _3.10.2-d +SCF:PES-05 nist-800-171a-r3 a.03.10.02.odp-01 +SCF:PES-05 nist-800-171a-r3 a.03.10.02.odp-02 +SCF:PES-05 nist-800-171a-r3 a.03.10.02.a-01 +SCF:PES-05 nist-800-171a-r3 a.03.10.02.a-02 +SCF:PES-05 nist-800-171a-r3 a.03.10.02.b-01 +SCF:PES-05 nist-800-171a-r3 a.03.10.02.b-02 +SCF:PES-05 nist-csf-2.0 de.cm-02 +SCF:PES-05 pci-dss-4.0.1 _9.2.1.1 +SCF:PES-05 pci-dss-4.0.1-saq-c _9.2.1.1 +SCF:PES-05 pci-dss-4.0.1-saq-d-merchant _9.2.1.1 +SCF:PES-05 pci-dss-4.0.1-saq-d-service-provider _9.2.1.1 +SCF:PES-05.1 nist-csf-function-grouping detect +SCF:PES-05.1 csa-ccm-4.1.0 dcs-11 +SCF:PES-05.1 csa-iot-scf-2 phy-01 +SCF:PES-05.1 iso-27002-2022 _7.4 +SCF:PES-05.1 iso-27018-2025 _7.4 +SCF:PES-05.1 nist-800-53-r4 pe-6-1 +SCF:PES-05.1 nist-800-53-r5 pe-06-01 +SCF:PES-05.1 nist-800-53b-r5-moderate pe-06-01 +SCF:PES-05.1 nist-800-82-r3 pe-06-01 +SCF:PES-05.1 nist-800-82-r3-moderate-ot-overlay pe-06-01 +SCF:PES-05.1 nist-800-82-r3-high-ot-overlay pe-06-01 +SCF:PES-05.1 nist-800-171-r2 _3.10.2 +SCF:PES-05.1 nist-800-171-r2 nfo-pe-6-1 +SCF:PES-05.1 nist-800-171-r3 _03.10.02.a +SCF:PES-05.1 nist-800-171-r3 _03.10.02.b +SCF:PES-05.1 nist-800-171a _3.10.2-c +SCF:PES-05.1 nist-800-171a _3.10.2-d +SCF:PES-05.1 pci-dss-4.0.1 _9.2.1.1 +SCF:PES-05.1 pci-dss-4.0.1-saq-c _9.2.1.1 +SCF:PES-05.1 pci-dss-4.0.1-saq-d-merchant _9.2.1.1 +SCF:PES-05.1 pci-dss-4.0.1-saq-d-service-provider _9.2.1.1 +SCF:PES-05.2 nist-csf-function-grouping detect +SCF:PES-05.2 csa-iot-scf-2 phy-01 +SCF:PES-05.2 iso-27002-2022 _7.4 +SCF:PES-05.2 iso-27018-2025 _7.4 +SCF:PES-05.2 nist-800-53-r4 pe-6-4 +SCF:PES-05.2 nist-800-53-r5 pe-06-04 +SCF:PES-05.2 nist-800-53b-r5-high pe-06-04 +SCF:PES-05.2 nist-800-82-r3 pe-06-04 +SCF:PES-05.2 nist-800-82-r3-moderate-ot-overlay pe-06-04 +SCF:PES-05.2 nist-800-82-r3-high-ot-overlay pe-06-04 +SCF:PES-05.2 nist-800-160-vol2-r1 pe-06-04 +SCF:PES-05.2 nist-800-171-r2 _3.10.2 +SCF:PES-05.2 nist-800-171-r3 _03.10.02.a +SCF:PES-05.2 nist-800-171-r3 _03.10.02.b +SCF:PES-05.2 nist-800-171a _3.10.2-c +SCF:PES-05.2 nist-800-171a _3.10.2-d +SCF:PES-05.2 pci-dss-4.0.1 _9.2.1.1 +SCF:PES-05.2 pci-dss-4.0.1-saq-c _9.2.1.1 +SCF:PES-05.2 pci-dss-4.0.1-saq-d-merchant _9.2.1.1 +SCF:PES-05.2 pci-dss-4.0.1-saq-d-service-provider _9.2.1.1 +SCF:PES-06 nist-csf-function-grouping protect +SCF:PES-06 iso-27002-2022 _7.2 +SCF:PES-06 iso-27017-2015 _11.1.2 +SCF:PES-06 iso-27018-2025 _7.2 +SCF:PES-06 nist-sp-800-66-r2 _164.310-a +SCF:PES-06 nist-800-171-r2 _3.10.3 +SCF:PES-06 nist-800-171-r3 _03.10.02.b +SCF:PES-06 nist-800-171-r3 _03.10.07.c +SCF:PES-06 nist-800-171a _3.10.3-a +SCF:PES-06 nist-800-171a _3.10.3-b +SCF:PES-06 nist-800-171a-r3 a.03.10.07.c-01 +SCF:PES-06 nist-800-171a-r3 a.03.10.07.c-02 +SCF:PES-06 pci-dss-4.0.1 _9.3.2 +SCF:PES-06 pci-dss-4.0.1 _9.3.3 +SCF:PES-06 pci-dss-4.0.1 _9.3.4 +SCF:PES-06 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:PES-06 pci-dss-4.0.1-saq-d-merchant _9.3.3 +SCF:PES-06 pci-dss-4.0.1-saq-d-merchant _9.3.4 +SCF:PES-06 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:PES-06 pci-dss-4.0.1-saq-d-service-provider _9.3.3 +SCF:PES-06 pci-dss-4.0.1-saq-d-service-provider _9.3.4 +SCF:PES-06.1 nist-csf-function-grouping protect +SCF:PES-06.1 nist-800-171-r2 _3.10.3 +SCF:PES-06.1 nist-800-171-r3 _03.10.02.b +SCF:PES-06.1 nist-800-171-r3 _03.10.07.c +SCF:PES-06.1 nist-800-171a _3.10.3-a +SCF:PES-06.1 nist-800-171a _3.10.3-b +SCF:PES-06.1 nist-800-171a-r3 a.03.10.07.c-01 +SCF:PES-06.1 nist-800-171a-r3 a.03.10.07.c-02 +SCF:PES-06.1 pci-dss-4.0.1 _9.3.2 +SCF:PES-06.1 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:PES-06.1 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:PES-06.2 nist-csf-function-grouping protect +SCF:PES-06.2 nist-800-53-r4 pe-2-2 +SCF:PES-06.2 nist-800-53-r5 pe-02-02 +SCF:PES-06.2 nist-800-82-r3 pe-02-02 +SCF:PES-06.2 nist-800-171-r3 _03.10.07.c +SCF:PES-06.2 pci-dss-4.0.1 _9.3.2 +SCF:PES-06.2 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:PES-06.2 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:PES-06.3 nist-csf-function-grouping protect +SCF:PES-06.3 nist-800-53-r4 pe-2-3 +SCF:PES-06.3 nist-800-53-r5 pe-02-03 +SCF:PES-06.3 nist-800-82-r3 pe-02-03 +SCF:PES-06.3 nist-800-171-r2 _3.10.3 +SCF:PES-06.3 nist-800-171-r3 _03.10.07.c +SCF:PES-06.3 nist-800-171a _3.10.3-a +SCF:PES-06.3 nist-800-171a _3.10.3-b +SCF:PES-06.3 nist-800-171a-r3 a.03.10.07.c-01 +SCF:PES-06.3 nist-800-171a-r3 a.03.10.07.c-02 +SCF:PES-06.3 pci-dss-4.0.1 _9.3.2 +SCF:PES-06.3 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:PES-06.3 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:PES-06.4 nist-csf-function-grouping protect +SCF:PES-06.4 nist-800-53-r4 pe-8-1 +SCF:PES-06.4 nist-800-53-r5 pe-08-01 +SCF:PES-06.4 nist-800-53b-r5-high pe-08-01 +SCF:PES-06.4 nist-800-82-r3 pe-08-01 +SCF:PES-06.4 nist-800-82-r3-high-ot-overlay pe-08-01 +SCF:PES-06.4 pci-dss-4.0.1 _9.3.4 +SCF:PES-06.4 pci-dss-4.0.1-saq-d-merchant _9.3.4 +SCF:PES-06.4 pci-dss-4.0.1-saq-d-service-provider _9.3.4 +SCF:PES-06.5 nist-csf-function-grouping protect +SCF:PES-06.5 nist-800-53-r5 pe-08-03 +SCF:PES-06.5 nist-800-53-r5 pm-25 +SCF:PES-06.5 nist-800-53-r5 sa-08-33 +SCF:PES-06.5 nist-800-53b-r5-privacy pe-08-03 +SCF:PES-06.5 nist-800-53b-r5-privacy pm-25 +SCF:PES-06.5 nist-800-53b-r5-privacy sa-08-33 +SCF:PES-06.5 nist-800-82-r3 pe-08-03 +SCF:PES-06.5 nist-800-82-r3 pm-25 +SCF:PES-06.5 nist-800-82-r3 sa-08-33 +SCF:PES-06.5 nist-800-82-r3-low-ot-overlay pm-25 +SCF:PES-06.5 nist-800-82-r3-moderate-ot-overlay pm-25 +SCF:PES-06.5 nist-800-82-r3-high-ot-overlay pm-25 +SCF:PES-06.5 nist-800-161-r1 pm-25 +SCF:PES-06.5 nist-800-161-r1-level-2 pm-25 +SCF:PES-06.5 pci-dss-4.0.1 _9.3.4 +SCF:PES-06.5 pci-dss-4.0.1-saq-d-merchant _9.3.4 +SCF:PES-06.5 pci-dss-4.0.1-saq-d-service-provider _9.3.4 +SCF:PES-06.6 nist-csf-function-grouping protect +SCF:PES-06.6 nist-800-171-r3 _03.10.07.c +SCF:PES-06.6 pci-dss-4.0.1 _9.3.3 +SCF:PES-06.6 pci-dss-4.0.1-saq-d-merchant _9.3.3 +SCF:PES-06.6 pci-dss-4.0.1-saq-d-service-provider _9.3.3 +SCF:PES-07 nist-csf-function-grouping protect +SCF:PES-07 cobit-2019 dss01.04 +SCF:PES-07 csa-ccm-4.1.0 dcs-14 +SCF:PES-07 csa-ccm-4.1.0 dcs-15 +SCF:PES-07 iso-27002-2022 _7.11 +SCF:PES-07 iso-27002-2022 _7.12 +SCF:PES-07 iso-27017-2015 _11.2.2 +SCF:PES-07 iso-27017-2015 _11.2.3 +SCF:PES-07 iso-27018-2025 _7.11 +SCF:PES-07 iso-27018-2025 _7.12 +SCF:PES-07 nist-800-53-r4 pe-9 +SCF:PES-07 nist-800-53-r5 pe-09 +SCF:PES-07 nist-800-53b-r5-moderate pe-09 +SCF:PES-07 nist-800-82-r3 pe-09 +SCF:PES-07 nist-800-82-r3-moderate-ot-overlay pe-09 +SCF:PES-07 nist-800-82-r3-high-ot-overlay pe-09 +SCF:PES-07 nist-800-171-r3 _03.10.08 +SCF:PES-07 nist-csf-2.0 pr.ir-02 +SCF:PES-07.1 nist-csf-function-grouping protect +SCF:PES-07.1 cobit-2019 dss01.04 +SCF:PES-07.1 csa-ccm-4.1.0 dcs-14 +SCF:PES-07.1 iso-27002-2022 _7.11 +SCF:PES-07.1 iso-27017-2015 _11.2.2 +SCF:PES-07.1 iso-27018-2025 _7.11 +SCF:PES-07.1 nist-800-53-r4 pe-9-2 +SCF:PES-07.1 nist-800-53-r5 pe-09-02 +SCF:PES-07.1 nist-800-82-r3 pe-09-02 +SCF:PES-07.2 nist-csf-function-grouping protect +SCF:PES-07.2 cobit-2019 dss01.04 +SCF:PES-07.2 csa-ccm-4.1.0 dcs-14 +SCF:PES-07.2 iso-27002-2022 _7.11 +SCF:PES-07.2 iso-27017-2015 _11.2.2 +SCF:PES-07.2 iso-27018-2025 _7.11 +SCF:PES-07.2 nist-800-53-r4 pe-10 +SCF:PES-07.2 nist-800-53-r5 pe-10 +SCF:PES-07.2 nist-800-53b-r5-moderate pe-10 +SCF:PES-07.2 nist-800-82-r3 pe-10 +SCF:PES-07.2 nist-800-82-r3-moderate-ot-overlay pe-10 +SCF:PES-07.2 nist-800-82-r3-high-ot-overlay pe-10 +SCF:PES-07.3 nist-csf-function-grouping protect +SCF:PES-07.3 cobit-2019 dss01.04 +SCF:PES-07.3 csa-ccm-4.1.0 dcs-14 +SCF:PES-07.3 iec-62443-3-3-2013 sr-7.5 +SCF:PES-07.3 iso-27002-2022 _7.11 +SCF:PES-07.3 iso-27017-2015 _11.2.2 +SCF:PES-07.3 iso-27018-2025 _7.11 +SCF:PES-07.3 nist-800-53-r4 pe-11 +SCF:PES-07.3 nist-800-53-r4 pe-11-1 +SCF:PES-07.3 nist-800-53-r4 pe-11-2 +SCF:PES-07.3 nist-800-53-r5 pe-11 +SCF:PES-07.3 nist-800-53-r5 pe-11-01 +SCF:PES-07.3 nist-800-53-r5 pe-11-02 +SCF:PES-07.3 nist-800-53b-r5-moderate pe-11 +SCF:PES-07.3 nist-800-53b-r5-high pe-11-01 +SCF:PES-07.3 nist-800-82-r3 pe-11 +SCF:PES-07.3 nist-800-82-r3 pe-11-01 +SCF:PES-07.3 nist-800-82-r3 pe-11-02 +SCF:PES-07.3 nist-800-82-r3-moderate-ot-overlay pe-11 +SCF:PES-07.3 nist-800-82-r3-high-ot-overlay pe-11 +SCF:PES-07.3 nist-800-82-r3-high-ot-overlay pe-11-01 +SCF:PES-07.3 nist-800-160-vol2-r1 pe-11-01 +SCF:PES-07.3 nist-800-160-vol2-r1 pe-11-02 +SCF:PES-07.4 nist-csf-function-grouping protect +SCF:PES-07.4 cobit-2019 dss01.04 +SCF:PES-07.4 csa-ccm-4.1.0 dcs-14 +SCF:PES-07.4 iso-27002-2022 _7.11 +SCF:PES-07.4 iso-27017-2015 _11.2.2 +SCF:PES-07.4 iso-27018-2025 _7.11 +SCF:PES-07.4 nist-800-53-r4 pe-12 +SCF:PES-07.4 nist-800-53-r5 pe-12 +SCF:PES-07.4 nist-800-53b-r5-low pe-12 +SCF:PES-07.4 nist-800-82-r3 pe-12 +SCF:PES-07.4 nist-800-82-r3-low-ot-overlay pe-12 +SCF:PES-07.4 nist-800-82-r3-moderate-ot-overlay pe-12 +SCF:PES-07.4 nist-800-82-r3-high-ot-overlay pe-12 +SCF:PES-07.5 nist-csf-function-grouping protect +SCF:PES-07.5 cobit-2019 dss01.04 +SCF:PES-07.5 csa-ccm-4.1.0 dcs-14 +SCF:PES-07.5 nist-800-53-r4 pe-15 +SCF:PES-07.5 nist-800-53-r5 pe-15 +SCF:PES-07.5 nist-800-53b-r5-low pe-15 +SCF:PES-07.5 nist-800-82-r3 pe-15 +SCF:PES-07.5 nist-800-82-r3-low-ot-overlay pe-15 +SCF:PES-07.5 nist-800-82-r3-moderate-ot-overlay pe-15 +SCF:PES-07.5 nist-800-82-r3-high-ot-overlay pe-15 +SCF:PES-07.5 nist-csf-2.0 pr.ir-02 +SCF:PES-07.6 nist-csf-function-grouping protect +SCF:PES-07.6 cobit-2019 dss01.04 +SCF:PES-07.6 nist-800-53-r4 pe-15-1 +SCF:PES-07.6 nist-800-53-r5 pe-15-01 +SCF:PES-07.6 nist-800-53b-r5-high pe-15-01 +SCF:PES-07.6 nist-800-82-r3 pe-15-01 +SCF:PES-07.6 nist-800-82-r3-high-ot-overlay pe-15-01 +SCF:PES-07.7 nist-csf-function-grouping protect +SCF:PES-07.7 nist-800-53-r4 pe-9-1 +SCF:PES-07.7 nist-800-53-r5 pe-09-01 +SCF:PES-07.7 nist-800-82-r3 pe-09-01 +SCF:PES-07.7 nist-800-160-vol2-r1 pe-09-01 +SCF:PES-08 nist-csf-function-grouping protect +SCF:PES-08 cobit-2019 dss01.04 +SCF:PES-08 nist-800-53-r4 pe-13 +SCF:PES-08 nist-800-53-r5 pe-13 +SCF:PES-08 nist-800-53b-r5-low pe-13 +SCF:PES-08 nist-800-82-r3 pe-13 +SCF:PES-08 nist-800-82-r3-low-ot-overlay pe-13 +SCF:PES-08 nist-800-82-r3-moderate-ot-overlay pe-13 +SCF:PES-08 nist-800-82-r3-high-ot-overlay pe-13 +SCF:PES-08 nist-csf-2.0 pr.ir-02 +SCF:PES-08.1 nist-csf-function-grouping detect +SCF:PES-08.1 cobit-2019 dss01.04 +SCF:PES-08.1 nist-800-53-r4 pe-13-1 +SCF:PES-08.1 nist-800-53-r5 pe-13-01 +SCF:PES-08.1 nist-800-53b-r5-moderate pe-13-01 +SCF:PES-08.1 nist-800-82-r3 pe-13-01 +SCF:PES-08.1 nist-800-82-r3-moderate-ot-overlay pe-13-01 +SCF:PES-08.1 nist-800-82-r3-high-ot-overlay pe-13-01 +SCF:PES-08.2 nist-csf-function-grouping protect +SCF:PES-08.2 cobit-2019 dss01.04 +SCF:PES-08.2 nist-800-53-r4 pe-13-2 +SCF:PES-08.2 nist-800-53-r5 pe-13-02 +SCF:PES-08.2 nist-800-53b-r5-privacy pe-13-02 +SCF:PES-08.2 nist-800-53b-r5-high pe-13-02 +SCF:PES-08.2 nist-800-82-r3 pe-13-02 +SCF:PES-08.3 nist-csf-function-grouping respond +SCF:PES-08.3 cobit-2019 dss01.04 +SCF:PES-08.3 nist-800-53-r4 pe-13-3 +SCF:PES-08.3 nist-800-53-r5 pe-13-02 +SCF:PES-08.3 nist-800-53b-r5-privacy pe-13-02 +SCF:PES-08.3 nist-800-53b-r5-high pe-13-02 +SCF:PES-08.3 nist-800-82-r3 pe-13-02 +SCF:PES-08.3 nist-800-82-r3-high-ot-overlay pe-13-02 +SCF:PES-09 nist-csf-function-grouping protect +SCF:PES-09 cobit-2019 dss01.04 +SCF:PES-09 nist-800-53-r4 pe-14 +SCF:PES-09 nist-800-53-r5 pe-14 +SCF:PES-09 nist-800-53b-r5-low pe-14 +SCF:PES-09 nist-800-82-r3 pe-14 +SCF:PES-09 nist-800-82-r3-low-ot-overlay pe-14 +SCF:PES-09 nist-800-82-r3-moderate-ot-overlay pe-14 +SCF:PES-09 nist-800-82-r3-high-ot-overlay pe-14 +SCF:PES-09 nist-csf-2.0 pr.ir-02 +SCF:PES-09.1 nist-csf-function-grouping detect +SCF:PES-09.1 cobit-2019 dss01.04 +SCF:PES-09.1 nist-800-53-r4 pe-14-2 +SCF:PES-09.1 nist-800-53-r5 pe-14-02 +SCF:PES-09.1 nist-800-82-r3 pe-14-02 +SCF:PES-10 nist-csf-function-grouping protect +SCF:PES-10 iso-27002-2022 _7.2 +SCF:PES-10 iso-27017-2015 _11.1.6 +SCF:PES-10 iso-27018-2025 _7.2 +SCF:PES-10 nist-800-53-r4 pe-16 +SCF:PES-10 nist-800-53-r5 pe-16 +SCF:PES-10 nist-800-53b-r5-low pe-16 +SCF:PES-10 nist-800-82-r3 pe-16 +SCF:PES-10 nist-800-82-r3-low-ot-overlay pe-16 +SCF:PES-10 nist-800-82-r3-moderate-ot-overlay pe-16 +SCF:PES-10 nist-800-82-r3-high-ot-overlay pe-16 +SCF:PES-10 nist-800-161-r1 pe-16 +SCF:PES-10 nist-800-161-r1-c-scrm-baseline pe-16 +SCF:PES-10 nist-800-161-r1-level-3 pe-16 +SCF:PES-10 nist-800-171-r2 nfo-pe-16 +SCF:PES-11 nist-csf-function-grouping protect +SCF:PES-11 nist-800-53-r4 pe-17 +SCF:PES-11 nist-800-53-r5 pe-17 +SCF:PES-11 nist-800-53b-r5-moderate pe-17 +SCF:PES-11 nist-800-82-r3 pe-17 +SCF:PES-11 nist-800-82-r3-moderate-ot-overlay pe-17 +SCF:PES-11 nist-800-82-r3-high-ot-overlay pe-17 +SCF:PES-11 nist-800-160-vol2-r1 pe-17 +SCF:PES-11 nist-800-161-r1 pe-17 +SCF:PES-11 nist-800-161-r1-level-3 pe-17 +SCF:PES-11 nist-800-171-r2 _3.10.6 +SCF:PES-11 nist-800-171-r3 _03.10.06.a +SCF:PES-11 nist-800-171-r3 _03.10.06.b +SCF:PES-11 nist-800-171a _3.10.6-a +SCF:PES-11 nist-800-171a _3.10.6-b +SCF:PES-11 nist-800-171a-r3 a.03.10.06.odp-01 +SCF:PES-11 nist-800-171a-r3 a.03.10.06.a +SCF:PES-11 nist-800-171a-r3 a.03.10.06.b +SCF:PES-12 nist-csf-function-grouping protect +SCF:PES-12 csa-ccm-4.1.0 dcs-16 +SCF:PES-12 csa-iot-scf-2 phy-01 +SCF:PES-12 iso-27002-2022 _7.12 +SCF:PES-12 iso-27002-2022 _7.3 +SCF:PES-12 iso-27002-2022 _7.5 +SCF:PES-12 iso-27002-2022 _7.8 +SCF:PES-12 iso-27017-2015 _11.1.4 +SCF:PES-12 iso-27017-2015 _11.2.1 +SCF:PES-12 iso-27017-2015 _11.2.3 +SCF:PES-12 iso-27018-2025 _7.3 +SCF:PES-12 iso-27018-2025 _7.5 +SCF:PES-12 iso-27018-2025 _7.8 +SCF:PES-12 iso-27018-2025 _7.12 +SCF:PES-12 nist-800-53-r4 pe-18 +SCF:PES-12 nist-800-53-r4 pe-18-1 +SCF:PES-12 nist-800-53-r4 sc-7-14 +SCF:PES-12 nist-800-53-r5 pe-18 +SCF:PES-12 nist-800-53-r5 pe-23 +SCF:PES-12 nist-800-53-r5 sc-07-14 +SCF:PES-12 nist-800-53b-r5-privacy pe-23 +SCF:PES-12 nist-800-53b-r5-privacy sc-07-14 +SCF:PES-12 nist-800-53b-r5-high pe-18 +SCF:PES-12 nist-800-82-r3 pe-18 +SCF:PES-12 nist-800-82-r3 pe-23 +SCF:PES-12 nist-800-82-r3 sc-07-14 +SCF:PES-12 nist-800-82-r3-high-ot-overlay pe-18 +SCF:PES-12 nist-800-161-r1 pe-18 +SCF:PES-12 nist-800-161-r1 pe-23 +SCF:PES-12 nist-800-161-r1 sc-7-14 +SCF:PES-12 nist-800-161-r1-flow-down pe-23 +SCF:PES-12 nist-800-161-r1-level-1 pe-18 +SCF:PES-12 nist-800-161-r1-level-2 pe-18 +SCF:PES-12 nist-800-161-r1-level-2 pe-23 +SCF:PES-12 nist-800-161-r1-level-2 sc-7-14 +SCF:PES-12 nist-800-161-r1-level-3 pe-18 +SCF:PES-12 nist-800-161-r1-level-3 pe-23 +SCF:PES-12 nist-800-161-r1-level-3 sc-7-14 +SCF:PES-12 nist-800-171-r2 _3.10.1 +SCF:PES-12 nist-800-171-r3 _03.10.07.e +SCF:PES-12 nist-800-171-r3 _03.10.08 +SCF:PES-12 nist-800-172 _3.13.4e +SCF:PES-12 pci-dss-4.0.1 _9.2.2 +SCF:PES-12 pci-dss-4.0.1 _9.2.3 +SCF:PES-12 pci-dss-4.0.1 _9.2.4 +SCF:PES-12 pci-dss-4.0.1-saq-b-ip _9.2.2 +SCF:PES-12 pci-dss-4.0.1-saq-c _9.2.2 +SCF:PES-12 pci-dss-4.0.1-saq-d-merchant _9.2.2 +SCF:PES-12 pci-dss-4.0.1-saq-d-merchant _9.2.3 +SCF:PES-12 pci-dss-4.0.1-saq-d-merchant _9.2.4 +SCF:PES-12 pci-dss-4.0.1-saq-d-service-provider _9.2.2 +SCF:PES-12 pci-dss-4.0.1-saq-d-service-provider _9.2.3 +SCF:PES-12 pci-dss-4.0.1-saq-d-service-provider _9.2.4 +SCF:PES-12.1 nist-csf-function-grouping protect +SCF:PES-12.1 csa-ccm-4.1.0 dcs-13 +SCF:PES-12.1 iso-27002-2022 _7.12 +SCF:PES-12.1 iso-27017-2015 _11.2.3 +SCF:PES-12.1 iso-27018-2025 _7.12 +SCF:PES-12.1 nist-800-53-r4 pe-4 +SCF:PES-12.1 nist-800-53-r4 sc-7-14 +SCF:PES-12.1 nist-800-53-r5 pe-04 +SCF:PES-12.1 nist-800-53-r5 sc-07-14 +SCF:PES-12.1 nist-800-53b-r5-privacy sc-07-14 +SCF:PES-12.1 nist-800-53b-r5-moderate pe-04 +SCF:PES-12.1 nist-800-82-r3 pe-04 +SCF:PES-12.1 nist-800-82-r3 sc-07-14 +SCF:PES-12.1 nist-800-82-r3-moderate-ot-overlay pe-04 +SCF:PES-12.1 nist-800-82-r3-high-ot-overlay pe-04 +SCF:PES-12.1 nist-800-161-r1 sc-7-14 +SCF:PES-12.1 nist-800-161-r1-level-2 sc-7-14 +SCF:PES-12.1 nist-800-161-r1-level-3 sc-7-14 +SCF:PES-12.1 nist-800-171-r2 _3.10.1 +SCF:PES-12.1 nist-800-171-r3 _03.10.08 +SCF:PES-12.1 nist-800-171a-r3 a.03.10.08 +SCF:PES-12.1 pci-dss-4.0.1 _9.2.2 +SCF:PES-12.1 pci-dss-4.0.1 _9.2.3 +SCF:PES-12.1 pci-dss-4.0.1-saq-b-ip _9.2.2 +SCF:PES-12.1 pci-dss-4.0.1-saq-c _9.2.2 +SCF:PES-12.1 pci-dss-4.0.1-saq-d-merchant _9.2.2 +SCF:PES-12.1 pci-dss-4.0.1-saq-d-merchant _9.2.3 +SCF:PES-12.1 pci-dss-4.0.1-saq-d-service-provider _9.2.2 +SCF:PES-12.1 pci-dss-4.0.1-saq-d-service-provider _9.2.3 +SCF:PES-12.2 nist-csf-function-grouping protect +SCF:PES-12.2 cobit-2019 dss05.06 +SCF:PES-12.2 nist-800-53-r4 pe-5 +SCF:PES-12.2 nist-800-53-r5 pe-05 +SCF:PES-12.2 nist-800-53b-r5-moderate pe-05 +SCF:PES-12.2 nist-800-82-r3 pe-05 +SCF:PES-12.2 nist-800-82-r3-moderate-ot-overlay pe-05 +SCF:PES-12.2 nist-800-82-r3-high-ot-overlay pe-05 +SCF:PES-12.2 nist-800-171-r2 _3.10.1 +SCF:PES-12.2 nist-800-171-r3 _03.10.07.e +SCF:PES-12.2 nist-800-171a-r3 a.03.10.07.e +SCF:PES-12.2 pci-dss-4.0.1 _9.2.2 +SCF:PES-12.2 pci-dss-4.0.1 _9.2.3 +SCF:PES-12.2 pci-dss-4.0.1-saq-b-ip _9.2.2 +SCF:PES-12.2 pci-dss-4.0.1-saq-c _9.2.2 +SCF:PES-12.2 pci-dss-4.0.1-saq-d-merchant _9.2.2 +SCF:PES-12.2 pci-dss-4.0.1-saq-d-merchant _9.2.3 +SCF:PES-12.2 pci-dss-4.0.1-saq-d-service-provider _9.2.2 +SCF:PES-12.2 pci-dss-4.0.1-saq-d-service-provider _9.2.3 +SCF:PES-13 nist-csf-function-grouping protect +SCF:PES-13 iso-27002-2022 _8.12 +SCF:PES-13 iso-27018-2025 _8.12 +SCF:PES-13 nist-800-53-r4 pe-19 +SCF:PES-13 nist-800-53-r5 pe-19 +SCF:PES-13 nist-800-82-r3 pe-19 +SCF:PES-14 nist-csf-function-grouping detect +SCF:PES-14 nist-800-53-r4 pe-20 +SCF:PES-14 nist-800-53-r5 pe-20 +SCF:PES-14 nist-800-82-r3 pe-20 +SCF:PES-14 nist-800-161-r1 pe-20 +SCF:PES-14 nist-800-161-r1-level-2 pe-20 +SCF:PES-14 nist-800-161-r1-level-3 pe-20 +SCF:PES-15 nist-csf-function-grouping protect +SCF:PES-15 nist-800-53-r5 pe-21 +SCF:PES-15 nist-800-82-r3 pe-21 +SCF:PES-16 nist-csf-function-grouping protect +SCF:PES-16 nist-800-53-r5 pe-22 +SCF:PES-16 nist-800-53b-r5-privacy pe-22 +SCF:PES-16 nist-800-82-r3 pe-22 +SCF:PES-16 nist-800-82-r3-moderate-ot-overlay pe-22 +SCF:PES-16 nist-800-82-r3-high-ot-overlay pe-22 +SCF:PES-17 nist-csf-function-grouping protect +SCF:PES-18 nist-csf-function-grouping protect +SCF:PES-18 nist-800-172 _3.13.4e +SCF:PES-19 nist-csf-function-grouping protect +SCF:PRI-01 nist-csf-function-grouping govern +SCF:PRI-01 cobit-2019 apo04.01 +SCF:PRI-01 csa-iot-scf-2 lgl-04 +SCF:PRI-01 iso-27002-2022 _5.1 +SCF:PRI-01 iso-27002-2022 _5.34 +SCF:PRI-01 iso-27017-2015 _5.1 +SCF:PRI-01 iso-27017-2015 _5.1.1 +SCF:PRI-01 iso-27017-2015 _7.2.1 +SCF:PRI-01 iso-27017-2015 _18.1.4 +SCF:PRI-01 iso-27018-2025 _5.1 +SCF:PRI-01 iso-27018-2025 _5.4 +SCF:PRI-01 iso-27018-2025 _5.34 +SCF:PRI-01 iso-27701-2025 _4.4 +SCF:PRI-01 iso-27701-2025 _5.1 +SCF:PRI-01 iso-27701-2025 _6.1.1 +SCF:PRI-01 iso-27701-2025 _6.1.1-a +SCF:PRI-01 iso-27701-2025 _6.1.1-b +SCF:PRI-01 iso-27701-2025 _6.1.3-h +SCF:PRI-01 iso-27701-2025 _6.2 +SCF:PRI-01 iso-27701-2025 _6.2-a +SCF:PRI-01 iso-27701-2025 _6.2-b +SCF:PRI-01 iso-27701-2025 _6.2-c +SCF:PRI-01 iso-27701-2025 _6.2-d +SCF:PRI-01 iso-27701-2025 _6.2-e +SCF:PRI-01 iso-27701-2025 _6.2-f +SCF:PRI-01 iso-27701-2025 _6.2-g +SCF:PRI-01 iso-27701-2025 _6.3 +SCF:PRI-01 iso-27701-2025 _7.1 +SCF:PRI-01 iso-27701-2025 _7.4 +SCF:PRI-01 iso-27701-2025 _7.5.1 +SCF:PRI-01 iso-27701-2025 _7.5.1-a +SCF:PRI-01 iso-27701-2025 _7.5.1-b +SCF:PRI-01 iso-27701-2025 _7.5.2 +SCF:PRI-01 iso-27701-2025 _7.5.3 +SCF:PRI-01 iso-29100-2024 _6.1 +SCF:PRI-01 nist-ai-100-1-ai-rmf-1.0 map-1.6 +SCF:PRI-01 nist-privacy-framework-1.0 gv.po-p1 +SCF:PRI-01 nist-privacy-framework-1.0 gv.po-p5 +SCF:PRI-01 nist-privacy-framework-1.0 gv.po-p6 +SCF:PRI-01 nist-privacy-framework-1.0 gv.mt-p +SCF:PRI-01 nist-privacy-framework-1.0 ct-p +SCF:PRI-01 nist-privacy-framework-1.0 ct.po-p2 +SCF:PRI-01 nist-privacy-framework-1.0 ct.dm-p +SCF:PRI-01 nist-privacy-framework-1.0 ct.dp-p +SCF:PRI-01 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-01 nist-privacy-framework-1.0 cm.aw-p +SCF:PRI-01 nist-privacy-framework-1.0 pr.po-p9 +SCF:PRI-01 nist-800-53-r5 pm-18 +SCF:PRI-01 nist-800-53-r5 pt-01 +SCF:PRI-01 nist-800-53b-r5-privacy pm-18 +SCF:PRI-01 nist-800-53b-r5-privacy pt-01 +SCF:PRI-01 nist-800-82-r3 pm-18 +SCF:PRI-01 nist-800-82-r3 pt-01 +SCF:PRI-01 nist-800-82-r3-low-ot-overlay pm-18 +SCF:PRI-01 nist-800-82-r3-moderate-ot-overlay pm-18 +SCF:PRI-01 nist-800-82-r3-high-ot-overlay pm-18 +SCF:PRI-01 nist-800-161-r1 pm-18 +SCF:PRI-01 nist-800-161-r1 pt-1 +SCF:PRI-01 nist-800-161-r1-flow-down pm-18 +SCF:PRI-01 nist-800-161-r1-flow-down pt-1 +SCF:PRI-01 nist-800-161-r1-level-1 pm-18 +SCF:PRI-01 nist-800-161-r1-level-1 pt-1 +SCF:PRI-01 nist-800-161-r1-level-2 pm-18 +SCF:PRI-01 nist-800-161-r1-level-2 pt-1 +SCF:PRI-01 nist-800-161-r1-level-3 pt-1 +SCF:PRI-01 nist-csf-2.0 gv.oc-03 +SCF:PRI-01.1 nist-csf-function-grouping identify +SCF:PRI-01.1 iso-27017-2015 _5.1 +SCF:PRI-01.1 iso-27017-2015 _7.2.1 +SCF:PRI-01.1 iso-27018-2025 _5.4 +SCF:PRI-01.1 iso-27701-2025 _5.1 +SCF:PRI-01.1 iso-27701-2025 _5.3 +SCF:PRI-01.1 iso-29100-2024 _6.1 +SCF:PRI-01.1 nist-privacy-framework-1.0 gv.po-p3 +SCF:PRI-01.1 nist-800-53-r4 ar-1 +SCF:PRI-01.1 nist-800-53-r5 pm-19 +SCF:PRI-01.1 nist-800-53b-r5-privacy pm-19 +SCF:PRI-01.1 nist-800-82-r3 pm-19 +SCF:PRI-01.1 nist-800-82-r3-low-ot-overlay pm-19 +SCF:PRI-01.1 nist-800-82-r3-moderate-ot-overlay pm-19 +SCF:PRI-01.1 nist-800-82-r3-high-ot-overlay pm-19 +SCF:PRI-01.1 nist-800-161-r1 pm-19 +SCF:PRI-01.1 nist-800-161-r1-level-1 pm-19 +SCF:PRI-01.2 nist-csf-function-grouping identify +SCF:PRI-01.2 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-01.2 nist-800-53-r4 tr-2 +SCF:PRI-01.2 nist-800-53-r5 pt-05-02 +SCF:PRI-01.2 nist-800-53b-r5-privacy pt-05-02 +SCF:PRI-01.2 nist-800-82-r3 pt-05-02 +SCF:PRI-01.3 nist-csf-function-grouping identify +SCF:PRI-01.3 iso-27002-2022 _5.1 +SCF:PRI-01.3 iso-27017-2015 _5.1.1 +SCF:PRI-01.3 iso-27018-2025 _5.1 +SCF:PRI-01.3 iso-27701-2025 _6.2-e +SCF:PRI-01.3 iso-27701-2025 _7.4 +SCF:PRI-01.3 iso-27701-2025 _7.5.3-a +SCF:PRI-01.3 iso-29100-2024 _6.8 +SCF:PRI-01.3 nist-privacy-framework-1.0 gv.po-p1 +SCF:PRI-01.3 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-01.3 nist-privacy-framework-1.0 cm.aw-p1 +SCF:PRI-01.3 nist-800-53-r4 tr-3 +SCF:PRI-01.3 nist-800-53-r5 pm-20 +SCF:PRI-01.3 nist-800-53b-r5-privacy pm-20 +SCF:PRI-01.3 nist-800-82-r3 pm-20 +SCF:PRI-01.3 nist-800-82-r3-low-ot-overlay pm-20 +SCF:PRI-01.3 nist-800-82-r3-moderate-ot-overlay pm-20 +SCF:PRI-01.3 nist-800-82-r3-high-ot-overlay pm-20 +SCF:PRI-01.3 nist-800-161-r1 pm-20 +SCF:PRI-01.3 nist-800-161-r1-level-1 pm-20 +SCF:PRI-01.3 nist-800-161-r1-level-2 pm-20 +SCF:PRI-01.4 nist-csf-function-grouping identify +SCF:PRI-01.4 iso-29100-2024 _6.1 +SCF:PRI-01.4 nist-privacy-framework-1.0 gv.po-p3 +SCF:PRI-01.4 nist-privacy-framework-1.0 ct.po-p2 +SCF:PRI-01.4 nist-privacy-framework-1.0 cm.po-p2 +SCF:PRI-01.5 nist-csf-function-grouping identify +SCF:PRI-01.6 nist-csf-function-grouping protect +SCF:PRI-01.6 iso-27002-2022 _5.34 +SCF:PRI-01.6 iso-27018-2025 _5.34 +SCF:PRI-01.6 iso-29100-2024 _6.11 +SCF:PRI-01.6 nist-ai-600-1 mp-4.1-001 +SCF:PRI-01.6 pci-dss-4.0.1 _12.9.1 +SCF:PRI-01.6 pci-dss-4.0.1-saq-d-service-provider _12.9.1 +SCF:PRI-01.7 nist-csf-function-grouping protect +SCF:PRI-01.7 iso-29100-2024 _6.6 +SCF:PRI-01.8 nist-csf-function-grouping protect +SCF:PRI-01.8 nist-privacy-framework-1.0 gv.po-p3 +SCF:PRI-01.9 nist-csf-function-grouping protect +SCF:PRI-01.10 nist-csf-function-grouping protect +SCF:PRI-01.11 nist-csf-function-grouping protect +SCF:PRI-01.11 csa-ccm-4.1.0 dsp-08 +SCF:PRI-01.11 iso-27017-2015 _18.1.4 +SCF:PRI-01.11 iso-29100-2024 _6.5 +SCF:PRI-01.11 iso-29100-2024 _6.8 +SCF:PRI-01.11 iso-29100-2024 _6.1 +SCF:PRI-01.11 nist-privacy-framework-1.0 gv.po-p5 +SCF:PRI-01.11 nist-privacy-framework-1.0 gv.mt-p3 +SCF:PRI-01.11 nist-privacy-framework-1.0 gv.mt-p5 +SCF:PRI-01.11 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRI-01.11 nist-privacy-framework-1.0 cm.aw-p2 +SCF:PRI-01.11 nist-privacy-framework-1.0 cm.aw-p3 +SCF:PRI-01.11 nist-800-37-r2 task-p-16 +SCF:PRI-02 nist-csf-function-grouping identify +SCF:PRI-02 csa-ccm-4.1.0 dsp-14 +SCF:PRI-02 iso-27002-2022 _5.34 +SCF:PRI-02 iso-27018-2025 _5.34 +SCF:PRI-02 iso-29100-2024 _6.3 +SCF:PRI-02 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-02 nist-privacy-framework-1.0 cm.aw-p1 +SCF:PRI-02 nist-800-53-r4 tr-1 +SCF:PRI-02 nist-800-53-r4 tr-2 +SCF:PRI-02 nist-800-53-r5 pm-20-01 +SCF:PRI-02 nist-800-53-r5 pt-05 +SCF:PRI-02 nist-800-53b-r5-privacy pm-20-01 +SCF:PRI-02 nist-800-53b-r5-privacy pt-05 +SCF:PRI-02 nist-800-82-r3 pm-20-01 +SCF:PRI-02 nist-800-82-r3 pt-05 +SCF:PRI-02 nist-800-82-r3-low-ot-overlay pm-20-01 +SCF:PRI-02 nist-800-82-r3-moderate-ot-overlay pm-20-01 +SCF:PRI-02 nist-800-82-r3-high-ot-overlay pm-20-01 +SCF:PRI-02.1 nist-csf-function-grouping identify +SCF:PRI-02.1 csa-ccm-4.1.0 dsp-12 +SCF:PRI-02.1 iso-27002-2022 _5.34 +SCF:PRI-02.1 iso-27017-2015 _18.1.4 +SCF:PRI-02.1 iso-27018-2025 _5.34 +SCF:PRI-02.1 iso-29100-2024 _6.3 +SCF:PRI-02.1 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-02.1 nist-800-53-r4 ap-2 +SCF:PRI-02.1 nist-800-53-r5 pt-03 +SCF:PRI-02.1 nist-800-53b-r5-privacy pt-03 +SCF:PRI-02.1 nist-800-82-r3 pt-03 +SCF:PRI-02.2 nist-csf-function-grouping identify +SCF:PRI-02.2 nist-800-53-r5 pm-24 +SCF:PRI-02.2 nist-800-53-r5 pt-02-02 +SCF:PRI-02.2 nist-800-53-r5 pt-03-02 +SCF:PRI-02.2 nist-800-53b-r5-privacy pm-24 +SCF:PRI-02.2 nist-800-53b-r5-privacy pt-03-02 +SCF:PRI-02.2 nist-800-82-r3 pm-24 +SCF:PRI-02.2 nist-800-82-r3 pt-02-02 +SCF:PRI-02.2 nist-800-82-r3 pt-03-02 +SCF:PRI-02.2 nist-800-82-r3-low-ot-overlay pm-24 +SCF:PRI-02.2 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:PRI-02.2 nist-800-82-r3-high-ot-overlay pm-24 +SCF:PRI-02.3 nist-csf-function-grouping identify +SCF:PRI-02.3 nist-800-53-r4 di-2-1 +SCF:PRI-02.3 nist-800-53-r5 pm-24 +SCF:PRI-02.3 nist-800-53-r5 pt-08 +SCF:PRI-02.3 nist-800-53b-r5-privacy pm-24 +SCF:PRI-02.3 nist-800-53b-r5-privacy pt-08 +SCF:PRI-02.3 nist-800-82-r3 pm-24 +SCF:PRI-02.3 nist-800-82-r3 pt-08 +SCF:PRI-02.3 nist-800-82-r3-low-ot-overlay pm-24 +SCF:PRI-02.3 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:PRI-02.3 nist-800-82-r3-high-ot-overlay pm-24 +SCF:PRI-02.4 nist-csf-function-grouping identify +SCF:PRI-02.4 nist-800-53-r4 tr-2-1 +SCF:PRI-02.4 nist-800-53-r5 pt-06 +SCF:PRI-02.4 nist-800-53b-r5-privacy pt-06 +SCF:PRI-02.4 nist-800-82-r3 pt-06 +SCF:PRI-02.5 nist-csf-function-grouping identify +SCF:PRI-02.5 nist-800-53-r5 pt-06-01 +SCF:PRI-02.5 nist-800-53b-r5-privacy pt-06-01 +SCF:PRI-02.5 nist-800-82-r3 pt-06-01 +SCF:PRI-02.6 nist-csf-function-grouping identify +SCF:PRI-02.6 nist-800-53-r5 pt-06-02 +SCF:PRI-02.6 nist-800-53b-r5-privacy pt-06-02 +SCF:PRI-02.6 nist-800-82-r3 pt-06-02 +SCF:PRI-02.7 nist-csf-function-grouping identify +SCF:PRI-02.7 nist-800-53-r4 tr-1-1 +SCF:PRI-02.8 nist-csf-function-grouping protect +SCF:PRI-02.9 nist-csf-function-grouping protect +SCF:PRI-02.10 nist-csf-function-grouping protect +SCF:PRI-02.11 nist-csf-function-grouping protect +SCF:PRI-02.12 nist-csf-function-grouping protect +SCF:PRI-02.13 nist-csf-function-grouping protect +SCF:PRI-02.14 nist-csf-function-grouping protect +SCF:PRI-03 nist-csf-function-grouping identify +SCF:PRI-03 iso-27002-2022 _5.33 +SCF:PRI-03 iso-27017-2015 _18.1.4 +SCF:PRI-03 iso-27018-2025 _5.33 +SCF:PRI-03 iso-29100-2024 _6.2 +SCF:PRI-03 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRI-03 nist-privacy-framework-1.0 ct.po-p3 +SCF:PRI-03 nist-800-53-r4 ip-1 +SCF:PRI-03 nist-800-53-r5 pt-04 +SCF:PRI-03 nist-800-53b-r5-privacy pt-04 +SCF:PRI-03 nist-800-82-r3 pt-04 +SCF:PRI-03.1 nist-csf-function-grouping identify +SCF:PRI-03.1 nist-privacy-framework-1.0 ct.po-p3 +SCF:PRI-03.1 nist-800-53-r4 ip-1 +SCF:PRI-03.1 nist-800-53-r5 pt-04-01 +SCF:PRI-03.1 nist-800-82-r3 pt-04-01 +SCF:PRI-03.2 nist-csf-function-grouping identify +SCF:PRI-03.2 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRI-03.2 nist-privacy-framework-1.0 ct.po-p3 +SCF:PRI-03.2 nist-800-53-r5 pt-04-02 +SCF:PRI-03.2 nist-800-53-r5 pt-05-01 +SCF:PRI-03.2 nist-800-82-r3 pt-04-02 +SCF:PRI-03.2 nist-800-82-r3 pt-05-01 +SCF:PRI-03.3 nist-csf-function-grouping identify +SCF:PRI-03.4 nist-csf-function-grouping respond +SCF:PRI-03.4 nist-ai-600-1 ms-2.2-003 +SCF:PRI-03.4 nist-800-53-r5 pt-04-03 +SCF:PRI-03.4 nist-800-82-r3 pt-04-03 +SCF:PRI-03.5 nist-csf-function-grouping identify +SCF:PRI-03.6 nist-csf-function-grouping protect +SCF:PRI-03.7 nist-csf-function-grouping protect +SCF:PRI-03.7 iso-29100-2024 _6.5 +SCF:PRI-03.8 nist-csf-function-grouping protect +SCF:PRI-03.9 nist-csf-function-grouping protect +SCF:PRI-03.9 iso-29100-2024 _6.6 +SCF:PRI-03.10 nist-csf-function-grouping protect +SCF:PRI-03.11 nist-csf-function-grouping protect +SCF:PRI-03.12 nist-csf-function-grouping protect +SCF:PRI-03.13 nist-csf-function-grouping protect +SCF:PRI-04 nist-csf-function-grouping identify +SCF:PRI-04 iso-27002-2022 _5.33 +SCF:PRI-04 iso-27017-2015 _18.1.4 +SCF:PRI-04 iso-27018-2025 _5.33 +SCF:PRI-04 iso-29100-2024 _6.4 +SCF:PRI-04 iso-29100-2024 _6.5 +SCF:PRI-04 nist-800-53-r4 ap-1 +SCF:PRI-04 nist-800-53-r5 pt-02 +SCF:PRI-04 nist-800-53b-r5-privacy pt-02 +SCF:PRI-04 nist-800-82-r3 pt-02 +SCF:PRI-04.1 nist-csf-function-grouping identify +SCF:PRI-04.1 csa-ccm-4.1.0 dsp-12 +SCF:PRI-04.1 iso-29100-2024 _6.3 +SCF:PRI-04.1 nist-800-53-r4 ap-1 +SCF:PRI-04.1 nist-800-53-r5 pt-02 +SCF:PRI-04.1 nist-800-53b-r5-privacy pt-02 +SCF:PRI-04.1 nist-800-82-r3 pt-02 +SCF:PRI-04.2 nist-csf-function-grouping identify +SCF:PRI-04.3 nist-csf-function-grouping identify +SCF:PRI-04.4 nist-csf-function-grouping identify +SCF:PRI-04.5 nist-csf-function-grouping identify +SCF:PRI-04.5 nist-800-53-r4 di-1-1 +SCF:PRI-04.6 nist-csf-function-grouping identify +SCF:PRI-04.6 nist-800-53-r4 di-1-2 +SCF:PRI-04.7 nist-csf-function-grouping protect +SCF:PRI-04.7 iso-29100-2024 _6.7 +SCF:PRI-05 nist-csf-function-grouping identify +SCF:PRI-05 cis-csc-8.1 _3.5 +SCF:PRI-05 cis-csc-8.1-ig1 _3.5 +SCF:PRI-05 cis-csc-8.1-ig2 _3.5 +SCF:PRI-05 cis-csc-8.1-ig3 _3.5 +SCF:PRI-05 csa-ccm-4.1.0 dsp-16 +SCF:PRI-05 iso-27002-2022 _5.33 +SCF:PRI-05 iso-27002-2022 _8.1 +SCF:PRI-05 iso-27017-2015 _18.1.4 +SCF:PRI-05 iso-27018-2025 _5.33 +SCF:PRI-05 iso-27018-2025 _8.10 +SCF:PRI-05 iso-29100-2024 _6.5 +SCF:PRI-05 iso-29100-2024 _6.6 +SCF:PRI-05 nist-800-53-r4 dm-2 +SCF:PRI-05 nist-800-53-r5 ac-04-25 +SCF:PRI-05 nist-800-53-r5 si-12 +SCF:PRI-05 nist-800-53-r5 si-12-03 +SCF:PRI-05 nist-800-53b-r5-privacy si-12 +SCF:PRI-05 nist-800-53b-r5-privacy si-12-03 +SCF:PRI-05 nist-800-53b-r5-low si-12 +SCF:PRI-05 nist-800-82-r3 ac-04-25 +SCF:PRI-05 nist-800-82-r3 si-12 +SCF:PRI-05 nist-800-82-r3 si-12-03 +SCF:PRI-05 nist-800-82-r3-low-ot-overlay si-12 +SCF:PRI-05 nist-800-82-r3-moderate-ot-overlay si-12 +SCF:PRI-05 nist-800-82-r3-high-ot-overlay si-12 +SCF:PRI-05 nist-800-161-r1 si-12 +SCF:PRI-05 nist-800-161-r1-c-scrm-baseline si-12 +SCF:PRI-05 nist-800-161-r1-level-3 si-12 +SCF:PRI-05 nist-csf-2.0 id.am-07 +SCF:PRI-05 pci-dss-4.0.1 _9.4.6 +SCF:PRI-05 pci-dss-4.0.1 _9.4.7 +SCF:PRI-05 pci-dss-4.0.1 _10.5.1 +SCF:PRI-05 pci-dss-4.0.1-saq-a _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-a-ep _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-a-ep _10.5.1 +SCF:PRI-05 pci-dss-4.0.1-saq-b _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-b-ip _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-c _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-c _10.5.1 +SCF:PRI-05 pci-dss-4.0.1-saq-c-vt _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-d-merchant _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-d-merchant _9.4.7 +SCF:PRI-05 pci-dss-4.0.1-saq-d-merchant _10.5.1 +SCF:PRI-05 pci-dss-4.0.1-saq-d-service-provider _9.4.6 +SCF:PRI-05 pci-dss-4.0.1-saq-d-service-provider _9.4.7 +SCF:PRI-05 pci-dss-4.0.1-saq-d-service-provider _10.5.1 +SCF:PRI-05 pci-dss-4.0.1-saq-p2pe _9.4.6 +SCF:PRI-05.1 nist-csf-function-grouping identify +SCF:PRI-05.1 csa-ccm-4.1.0 dsp-12 +SCF:PRI-05.1 csa-ccm-4.1.0 dsp-15 +SCF:PRI-05.1 iso-27002-2022 _5.33 +SCF:PRI-05.1 iso-27017-2015 _18.1.4 +SCF:PRI-05.1 iso-27018-2025 _5.33 +SCF:PRI-05.1 nist-800-53-r4 dm-1 +SCF:PRI-05.1 nist-800-53-r4 dm-3 +SCF:PRI-05.1 nist-800-53-r4 dm-3-1 +SCF:PRI-05.1 nist-800-53-r5 pm-25 +SCF:PRI-05.1 nist-800-53-r5 pt-02 +SCF:PRI-05.1 nist-800-53-r5 pt-03 +SCF:PRI-05.1 nist-800-53-r5 si-12-01 +SCF:PRI-05.1 nist-800-53-r5 si-12-02 +SCF:PRI-05.1 nist-800-53b-r5-privacy pm-25 +SCF:PRI-05.1 nist-800-53b-r5-privacy pt-02 +SCF:PRI-05.1 nist-800-53b-r5-privacy pt-03 +SCF:PRI-05.1 nist-800-53b-r5-privacy si-12-01 +SCF:PRI-05.1 nist-800-53b-r5-privacy si-12-02 +SCF:PRI-05.1 nist-800-82-r3 pm-25 +SCF:PRI-05.1 nist-800-82-r3 pt-02 +SCF:PRI-05.1 nist-800-82-r3 pt-03 +SCF:PRI-05.1 nist-800-82-r3 si-12-01 +SCF:PRI-05.1 nist-800-82-r3 si-12-02 +SCF:PRI-05.1 nist-800-82-r3-low-ot-overlay pm-25 +SCF:PRI-05.1 nist-800-82-r3-moderate-ot-overlay pm-25 +SCF:PRI-05.1 nist-800-82-r3-high-ot-overlay pm-25 +SCF:PRI-05.1 nist-800-161-r1 pm-25 +SCF:PRI-05.1 nist-800-161-r1-level-2 pm-25 +SCF:PRI-05.1 pci-dss-4.0.1 _6.5.5 +SCF:PRI-05.1 pci-dss-4.0.1-saq-d-merchant _6.5.5 +SCF:PRI-05.1 pci-dss-4.0.1-saq-d-service-provider _6.5.5 +SCF:PRI-05.2 nist-csf-function-grouping identify +SCF:PRI-05.2 iso-29100-2024 _6.7 +SCF:PRI-05.2 nist-800-53-r4 di-2 +SCF:PRI-05.2 nist-800-53-r5 pm-24 +SCF:PRI-05.2 nist-800-53b-r5-privacy pm-24 +SCF:PRI-05.2 nist-800-82-r3 pm-24 +SCF:PRI-05.2 nist-800-82-r3-low-ot-overlay pm-24 +SCF:PRI-05.2 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:PRI-05.2 nist-800-82-r3-high-ot-overlay pm-24 +SCF:PRI-05.3 nist-csf-function-grouping identify +SCF:PRI-05.3 iso-27002-2022 _8.11 +SCF:PRI-05.3 iso-27018-2025 _8.11 +SCF:PRI-05.3 nist-800-53-r5 si-19-04 +SCF:PRI-05.3 nist-800-53b-r5-privacy si-19-04 +SCF:PRI-05.3 nist-800-82-r3 si-19-04 +SCF:PRI-05.3 nist-800-160-vol2-r1 si-19-04 +SCF:PRI-05.3 pci-dss-4.0.1 _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-b _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-b-ip _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-c _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-c-vt _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-d-merchant _3.4.1 +SCF:PRI-05.3 pci-dss-4.0.1-saq-d-service-provider _3.4.1 +SCF:PRI-05.4 nist-csf-function-grouping identify +SCF:PRI-05.4 csa-ccm-4.1.0 dsp-12 +SCF:PRI-05.4 csa-ccm-4.1.0 dsp-17 +SCF:PRI-05.4 iso-27002-2022 _5.33 +SCF:PRI-05.4 iso-27017-2015 _18.1.4 +SCF:PRI-05.4 iso-27018-2025 _5.33 +SCF:PRI-05.4 iso-29100-2024 _6.6 +SCF:PRI-05.4 nist-ai-100-1-ai-rmf-1.0 map-1.6 +SCF:PRI-05.4 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRI-05.4 nist-privacy-framework-1.0 ct.po-p2 +SCF:PRI-05.4 nist-800-53-r4 dm-3-1 +SCF:PRI-05.4 nist-800-53-r4 ul-1 +SCF:PRI-05.4 nist-800-53-r5 ac-23 +SCF:PRI-05.4 nist-800-53-r5 pm-25 +SCF:PRI-05.4 nist-800-53-r5 pt-02 +SCF:PRI-05.4 nist-800-53-r5 pt-07 +SCF:PRI-05.4 nist-800-53b-r5-privacy ac-23 +SCF:PRI-05.4 nist-800-53b-r5-privacy pm-25 +SCF:PRI-05.4 nist-800-53b-r5-privacy pt-02 +SCF:PRI-05.4 nist-800-53b-r5-privacy pt-07 +SCF:PRI-05.4 nist-800-82-r3 ac-23 +SCF:PRI-05.4 nist-800-82-r3 pm-25 +SCF:PRI-05.4 nist-800-82-r3 pt-02 +SCF:PRI-05.4 nist-800-82-r3 pt-07 +SCF:PRI-05.4 nist-800-82-r3-low-ot-overlay pm-25 +SCF:PRI-05.4 nist-800-82-r3-moderate-ot-overlay pm-25 +SCF:PRI-05.4 nist-800-82-r3-high-ot-overlay pm-25 +SCF:PRI-05.4 nist-800-160-vol2-r1 ac-23 +SCF:PRI-05.4 nist-800-161-r1 ac-23 +SCF:PRI-05.4 nist-800-161-r1 pm-25 +SCF:PRI-05.4 nist-800-161-r1-flow-down ac-23 +SCF:PRI-05.4 nist-800-161-r1-level-2 ac-23 +SCF:PRI-05.4 nist-800-161-r1-level-2 pm-25 +SCF:PRI-05.4 nist-800-161-r1-level-3 ac-23 +SCF:PRI-05.4 pci-dss-4.0.1 _6.5.5 +SCF:PRI-05.4 pci-dss-4.0.1-saq-d-merchant _6.5.5 +SCF:PRI-05.4 pci-dss-4.0.1-saq-d-service-provider _6.5.5 +SCF:PRI-05.5 nist-csf-function-grouping identify +SCF:PRI-05.5 iso-27002-2022 _5.9 +SCF:PRI-05.5 iso-27017-2015 _8.1.1 +SCF:PRI-05.5 iso-27018-2025 _5.9 +SCF:PRI-05.5 nist-privacy-framework-1.0 id.im-p3 +SCF:PRI-05.5 nist-privacy-framework-1.0 id.im-p6 +SCF:PRI-05.5 nist-800-53-r4 se-1 +SCF:PRI-05.5 nist-800-53-r5 pm-05-01 +SCF:PRI-05.5 nist-800-53b-r5-privacy pm-05-01 +SCF:PRI-05.5 nist-800-82-r3 pm-05-01 +SCF:PRI-05.5 nist-800-207 nist-tenet-1 +SCF:PRI-05.5 nist-csf-2.0 id.am-07 +SCF:PRI-05.5 pci-dss-4.0.1 _12.5.1 +SCF:PRI-05.5 pci-dss-4.0.1-saq-d-merchant _12.5.1 +SCF:PRI-05.5 pci-dss-4.0.1-saq-d-service-provider _12.5.1 +SCF:PRI-05.6 nist-csf-function-grouping identify +SCF:PRI-05.6 nist-privacy-framework-1.0 id.im-p3 +SCF:PRI-05.6 nist-privacy-framework-1.0 id.im-p6 +SCF:PRI-05.6 nist-800-53-r5 pm-05-01 +SCF:PRI-05.6 nist-800-53b-r5-privacy pm-05-01 +SCF:PRI-05.6 nist-800-82-r3 pm-05-01 +SCF:PRI-05.7 nist-csf-function-grouping identify +SCF:PRI-05.7 nist-privacy-framework-1.0 id.im-p3 +SCF:PRI-05.7 nist-800-53-r5 pt-07 +SCF:PRI-05.7 nist-800-53-r5 pt-07-01 +SCF:PRI-05.7 nist-800-53-r5 pt-07-02 +SCF:PRI-05.7 nist-800-53b-r5-privacy pt-07 +SCF:PRI-05.7 nist-800-53b-r5-privacy pt-07-01 +SCF:PRI-05.7 nist-800-53b-r5-privacy pt-07-02 +SCF:PRI-05.7 nist-800-82-r3 pt-07 +SCF:PRI-05.7 nist-800-82-r3 pt-07-01 +SCF:PRI-05.7 nist-800-82-r3 pt-07-02 +SCF:PRI-05.8 nist-csf-function-grouping protect +SCF:PRI-06 nist-csf-function-grouping identify +SCF:PRI-06 csa-ccm-4.1.0 dsp-11 +SCF:PRI-06 iso-29100-2024 _6.9 +SCF:PRI-06 iso-29100-2024 _6.1 +SCF:PRI-06 nist-800-53-r4 ip-2 +SCF:PRI-06 nist-800-53-r5 ac-03-14 +SCF:PRI-06 nist-800-53-r5 si-18-04 +SCF:PRI-06 nist-800-53b-r5-privacy ac-03-14 +SCF:PRI-06 nist-800-53b-r5-privacy si-18-04 +SCF:PRI-06 nist-800-82-r3 ac-03-14 +SCF:PRI-06 nist-800-82-r3 si-18-04 +SCF:PRI-06.1 nist-csf-function-grouping respond +SCF:PRI-06.1 iso-29100-2024 _6.9 +SCF:PRI-06.1 nist-800-53-r4 ip-3 +SCF:PRI-06.1 nist-800-53-r5 si-18-04 +SCF:PRI-06.1 nist-800-53-r5 si-18-05 +SCF:PRI-06.1 nist-800-53b-r5-privacy si-18-04 +SCF:PRI-06.1 nist-800-53b-r5-privacy si-18-05 +SCF:PRI-06.1 nist-800-82-r3 si-18-04 +SCF:PRI-06.1 nist-800-82-r3 si-18-05 +SCF:PRI-06.2 nist-csf-function-grouping respond +SCF:PRI-06.2 nist-privacy-framework-1.0 ct.po-p4 +SCF:PRI-06.2 nist-privacy-framework-1.0 cm.po-p1 +SCF:PRI-06.2 nist-800-53-r5 si-18-05 +SCF:PRI-06.2 nist-800-53b-r5-privacy si-18-05 +SCF:PRI-06.2 nist-800-82-r3 si-18-05 +SCF:PRI-06.3 nist-csf-function-grouping respond +SCF:PRI-06.3 nist-800-53-r5 pm-26 +SCF:PRI-06.3 nist-800-53b-r5-privacy pm-26 +SCF:PRI-06.3 nist-800-82-r3 pm-26 +SCF:PRI-06.3 nist-800-82-r3-low-ot-overlay pm-26 +SCF:PRI-06.3 nist-800-82-r3-moderate-ot-overlay pm-26 +SCF:PRI-06.3 nist-800-82-r3-high-ot-overlay pm-26 +SCF:PRI-06.3 nist-800-161-r1 pm-26 +SCF:PRI-06.3 nist-800-161-r1-level-2 pm-26 +SCF:PRI-06.3 nist-800-161-r1-level-3 pm-26 +SCF:PRI-06.4 nist-csf-function-grouping respond +SCF:PRI-06.4 iso-29100-2024 _6.1 +SCF:PRI-06.4 nist-privacy-framework-1.0 gv.mt-p7 +SCF:PRI-06.4 nist-privacy-framework-1.0 ct.po-p4 +SCF:PRI-06.4 nist-privacy-framework-1.0 cm.aw-p2 +SCF:PRI-06.4 nist-800-53-r4 ip-4 +SCF:PRI-06.4 nist-800-53-r4 ip-4-1 +SCF:PRI-06.4 nist-800-53-r5 pm-26 +SCF:PRI-06.4 nist-800-53b-r5-privacy pm-26 +SCF:PRI-06.4 nist-800-82-r3 pm-26 +SCF:PRI-06.4 nist-800-82-r3-low-ot-overlay pm-26 +SCF:PRI-06.4 nist-800-82-r3-moderate-ot-overlay pm-26 +SCF:PRI-06.4 nist-800-82-r3-high-ot-overlay pm-26 +SCF:PRI-06.4 nist-800-161-r1 pm-26 +SCF:PRI-06.4 nist-800-161-r1-level-2 pm-26 +SCF:PRI-06.4 nist-800-161-r1-level-3 pm-26 +SCF:PRI-06.5 nist-csf-function-grouping respond +SCF:PRI-06.6 nist-csf-function-grouping identify +SCF:PRI-06.6 nist-privacy-framework-1.0 id.de-p4 +SCF:PRI-06.6 nist-privacy-framework-1.0 ct.dm-p6 +SCF:PRI-06.7 nist-csf-function-grouping identify +SCF:PRI-06.7 nist-privacy-framework-1.0 ct.dm-p6 +SCF:PRI-06.8 nist-csf-function-grouping protect +SCF:PRI-07 nist-csf-function-grouping identify +SCF:PRI-07 csa-ccm-4.1.0 dsp-13 +SCF:PRI-07 iso-27002-2022 _5.33 +SCF:PRI-07 iso-27017-2015 _18.1.4 +SCF:PRI-07 iso-27018-2025 _5.33 +SCF:PRI-07 iso-29100-2024 _6.1 +SCF:PRI-07 nist-privacy-framework-1.0 ct.po-p2 +SCF:PRI-07 nist-800-53-r4 ul-2 +SCF:PRI-07 nist-800-53-r5 ac-21 +SCF:PRI-07 nist-800-53b-r5-privacy ac-21 +SCF:PRI-07 nist-800-53b-r5-moderate ac-21 +SCF:PRI-07 nist-800-82-r3 ac-21 +SCF:PRI-07 nist-800-82-r3-moderate-ot-overlay ac-21 +SCF:PRI-07 nist-800-82-r3-high-ot-overlay ac-21 +SCF:PRI-07 nist-800-161-r1 ac-21 +SCF:PRI-07 nist-800-161-r1-level-1 ac-21 +SCF:PRI-07 nist-800-161-r1-level-2 ac-21 +SCF:PRI-07.1 nist-csf-function-grouping identify +SCF:PRI-07.1 cis-csc-8.1 _15.4 +SCF:PRI-07.1 cis-csc-8.1-ig2 _15.4 +SCF:PRI-07.1 cis-csc-8.1-ig3 _15.4 +SCF:PRI-07.1 csa-ccm-4.1.0 dsp-13 +SCF:PRI-07.1 csa-ccm-4.1.0 ipy-04 +SCF:PRI-07.1 csa-iot-scf-2 cls-04 +SCF:PRI-07.1 iso-27002-2022 _5.31 +SCF:PRI-07.1 iso-27002-2022 _5.33 +SCF:PRI-07.1 iso-27017-2015 _18.1.4 +SCF:PRI-07.1 iso-27018-2025 _5.1-a +SCF:PRI-07.1 iso-27018-2025 _5.31 +SCF:PRI-07.1 iso-27018-2025 _5.33 +SCF:PRI-07.1 iso-29100-2024 _6.1 +SCF:PRI-07.1 nist-privacy-framework-1.0 id.de-p3 +SCF:PRI-07.1 nist-800-53-r4 ar-3 +SCF:PRI-07.1 nist-800-218 po.1 +SCF:PRI-07.1 nist-csf-2.0 gv.sc-05 +SCF:PRI-07.1 owasp-top-10-2025 a01-2025 +SCF:PRI-07.1 owasp-top-10-2025 a02-2025 +SCF:PRI-07.1 owasp-top-10-2025 a05-2025 +SCF:PRI-07.1 owasp-top-10-2025 a07-2025 +SCF:PRI-07.1 owasp-top-10-2025 a09-2025 +SCF:PRI-07.1 owasp-top-10-2025 a10-2025 +SCF:PRI-07.2 nist-csf-function-grouping identify +SCF:PRI-07.2 csa-ccm-4.1.0 dsp-13 +SCF:PRI-07.2 nist-privacy-framework-1.0 id.be-p1 +SCF:PRI-07.3 nist-csf-function-grouping identify +SCF:PRI-07.3 csa-ccm-4.1.0 dsp-13 +SCF:PRI-07.3 nist-privacy-framework-1.0 cm.aw-p5 +SCF:PRI-07.4 nist-csf-function-grouping identify +SCF:PRI-07.4 csa-ccm-4.1.0 dsp-18 +SCF:PRI-07.5 nist-csf-function-grouping identify +SCF:PRI-07.5 csa-ccm-4.1.0 dsp-18 +SCF:PRI-08 nist-csf-function-grouping identify +SCF:PRI-08 iso-27002-2022 _5.36 +SCF:PRI-08 iso-27002-2022 _8.8 +SCF:PRI-08 iso-27017-2015 _18.2.2 +SCF:PRI-08 iso-27018-2025 _5.36 +SCF:PRI-08 iso-27018-2025 _8.8 +SCF:PRI-08 nist-800-53-r4 ar-4 +SCF:PRI-08 nist-800-53-r5 pm-14 +SCF:PRI-08 nist-800-53b-r5-privacy pm-14 +SCF:PRI-08 nist-800-82-r3 pm-14 +SCF:PRI-08 nist-800-82-r3-low-ot-overlay pm-14 +SCF:PRI-08 nist-800-82-r3-moderate-ot-overlay pm-14 +SCF:PRI-08 nist-800-82-r3-high-ot-overlay pm-14 +SCF:PRI-08 nist-800-161-r1 pm-14 +SCF:PRI-08 nist-800-161-r1-level-1 pm-14 +SCF:PRI-08 nist-800-161-r1-level-2 pm-14 +SCF:PRI-08 pci-dss-4.0.1 a3.1.4 +SCF:PRI-09 nist-csf-function-grouping identify +SCF:PRI-09 nist-privacy-framework-1.0 cm.aw-p4 +SCF:PRI-09 nist-privacy-framework-1.0 cm.aw-p6 +SCF:PRI-09 nist-800-53-r5 sa-04-12 +SCF:PRI-09 nist-800-53b-r5-privacy sa-04-12 +SCF:PRI-09 nist-800-82-r3 sa-04-12 +SCF:PRI-09 nist-800-82-r3-low-ot-overlay sa-04-12 +SCF:PRI-09 nist-800-82-r3-moderate-ot-overlay sa-04-12 +SCF:PRI-09 nist-800-82-r3-high-ot-overlay sa-04-12 +SCF:PRI-10 nist-csf-function-grouping identify +SCF:PRI-10 nist-privacy-framework-1.0 ct.po-p4 +SCF:PRI-10 nist-800-53-r5 pm-22 +SCF:PRI-10 nist-800-53-r5 pm-23 +SCF:PRI-10 nist-800-53-r5 pm-24 +SCF:PRI-10 nist-800-53b-r5-privacy pm-22 +SCF:PRI-10 nist-800-53b-r5-privacy pm-23 +SCF:PRI-10 nist-800-53b-r5-privacy pm-24 +SCF:PRI-10 nist-800-82-r3 pm-22 +SCF:PRI-10 nist-800-82-r3 pm-23 +SCF:PRI-10 nist-800-82-r3 pm-24 +SCF:PRI-10 nist-800-82-r3-low-ot-overlay pm-22 +SCF:PRI-10 nist-800-82-r3-low-ot-overlay pm-23 +SCF:PRI-10 nist-800-82-r3-low-ot-overlay pm-24 +SCF:PRI-10 nist-800-82-r3-moderate-ot-overlay pm-22 +SCF:PRI-10 nist-800-82-r3-moderate-ot-overlay pm-23 +SCF:PRI-10 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:PRI-10 nist-800-82-r3-high-ot-overlay pm-22 +SCF:PRI-10 nist-800-82-r3-high-ot-overlay pm-23 +SCF:PRI-10 nist-800-82-r3-high-ot-overlay pm-24 +SCF:PRI-10 nist-800-161-r1 pm-22 +SCF:PRI-10 nist-800-161-r1 pm-23 +SCF:PRI-10 nist-800-161-r1-level-1 pm-22 +SCF:PRI-10 nist-800-161-r1-level-1 pm-23 +SCF:PRI-10 nist-800-161-r1-level-2 pm-22 +SCF:PRI-10.1 nist-csf-function-grouping identify +SCF:PRI-10.1 nist-800-53-r5 pt-03-02 +SCF:PRI-10.1 nist-800-53b-r5-privacy pt-03-02 +SCF:PRI-10.1 nist-800-82-r3 pt-03-02 +SCF:PRI-10.2 nist-csf-function-grouping identify +SCF:PRI-11 nist-csf-function-grouping identify +SCF:PRI-11 nist-800-53-r5 pt-03-01 +SCF:PRI-11 nist-800-53b-r5-privacy pt-03-01 +SCF:PRI-11 nist-800-82-r3 pt-03-01 +SCF:PRI-12 nist-csf-function-grouping identify +SCF:PRI-12.1 nist-csf-function-grouping protect +SCF:PRI-13 nist-csf-function-grouping identify +SCF:PRI-13 nist-800-53-r5 pm-23 +SCF:PRI-13 nist-800-53-r5 pm-24 +SCF:PRI-13 nist-800-53b-r5-privacy pm-23 +SCF:PRI-13 nist-800-53b-r5-privacy pm-24 +SCF:PRI-13 nist-800-82-r3 pm-23 +SCF:PRI-13 nist-800-82-r3 pm-24 +SCF:PRI-13 nist-800-82-r3-low-ot-overlay pm-23 +SCF:PRI-13 nist-800-82-r3-low-ot-overlay pm-24 +SCF:PRI-13 nist-800-82-r3-moderate-ot-overlay pm-23 +SCF:PRI-13 nist-800-82-r3-moderate-ot-overlay pm-24 +SCF:PRI-13 nist-800-82-r3-high-ot-overlay pm-23 +SCF:PRI-13 nist-800-82-r3-high-ot-overlay pm-24 +SCF:PRI-13 nist-800-161-r1 pm-23 +SCF:PRI-13 nist-800-161-r1-level-1 pm-23 +SCF:PRI-14 nist-csf-function-grouping identify +SCF:PRI-14 coso-2013 _15 +SCF:PRI-14 nist-privacy-framework-1.0 cm.aw-p4 +SCF:PRI-14 nist-privacy-framework-1.0 cm.aw-p6 +SCF:PRI-14 nist-800-53-r4 ar-6 +SCF:PRI-14 nist-800-53-r5 pm-27 +SCF:PRI-14 nist-800-53b-r5-privacy pm-27 +SCF:PRI-14 nist-800-82-r3 pm-27 +SCF:PRI-14 nist-800-82-r3-low-ot-overlay pm-27 +SCF:PRI-14 nist-800-82-r3-moderate-ot-overlay pm-27 +SCF:PRI-14 nist-800-82-r3-high-ot-overlay pm-27 +SCF:PRI-14 nist-800-161-r1 pm-27 +SCF:PRI-14 nist-800-161-r1-level-2 pm-27 +SCF:PRI-14 nist-800-161-r1-level-3 pm-27 +SCF:PRI-14.1 nist-csf-function-grouping identify +SCF:PRI-14.1 csa-ccm-4.1.0 dsp-18 +SCF:PRI-14.1 nist-privacy-framework-1.0 cm.aw-p4 +SCF:PRI-14.1 nist-800-53-r4 ar-8 +SCF:PRI-14.1 nist-800-53-r5 pm-21 +SCF:PRI-14.1 nist-800-53b-r5-privacy pm-21 +SCF:PRI-14.1 nist-800-82-r3 pm-21 +SCF:PRI-14.1 nist-800-82-r3-low-ot-overlay pm-21 +SCF:PRI-14.1 nist-800-82-r3-moderate-ot-overlay pm-21 +SCF:PRI-14.1 nist-800-82-r3-high-ot-overlay pm-21 +SCF:PRI-14.1 nist-800-161-r1 pm-21 +SCF:PRI-14.1 nist-800-161-r1-level-1 pm-21 +SCF:PRI-14.1 nist-800-161-r1-level-2 pm-21 +SCF:PRI-14.2 nist-csf-function-grouping identify +SCF:PRI-14.2 csa-ccm-4.1.0 dsp-18 +SCF:PRI-15 nist-csf-function-grouping identify +SCF:PRI-16 nist-csf-function-grouping protect +SCF:PRI-17 nist-csf-function-grouping protect +SCF:PRI-17.1 nist-csf-function-grouping protect +SCF:PRI-17.2 nist-csf-function-grouping identify +SCF:PRI-17.3 nist-csf-function-grouping protect +SCF:PRI-17.4 nist-csf-function-grouping protect +SCF:PRI-17.5 nist-csf-function-grouping protect +SCF:PRI-18 nist-csf-function-grouping govern +SCF:PRI-19 nist-csf-function-grouping protect +SCF:PRI-19.1 nist-csf-function-grouping protect +SCF:PRI-19.2 nist-csf-function-grouping protect +SCF:PRI-19.3 nist-csf-function-grouping protect +SCF:PRI-20 nist-csf-function-grouping protect +SCF:PRI-21 nist-csf-function-grouping protect +SCF:PRI-21.1 nist-csf-function-grouping protect +SCF:PRI-21.2 nist-csf-function-grouping protect +SCF:PRM-01 nist-csf-function-grouping govern +SCF:PRM-01 cobit-2019 edm02.01 +SCF:PRM-01 cobit-2019 edm02.02 +SCF:PRM-01 cobit-2019 edm02.03 +SCF:PRM-01 cobit-2019 edm02.04 +SCF:PRM-01 cobit-2019 edm04.01 +SCF:PRM-01 cobit-2019 edm04.02 +SCF:PRM-01 cobit-2019 edm04.03 +SCF:PRM-01 cobit-2019 apo05.01 +SCF:PRM-01 cobit-2019 apo05.02 +SCF:PRM-01 cobit-2019 apo05.03 +SCF:PRM-01 cobit-2019 apo05.04 +SCF:PRM-01 cobit-2019 apo05.05 +SCF:PRM-01 cobit-2019 apo12.05 +SCF:PRM-01 cobit-2019 bai01.05 +SCF:PRM-01 cobit-2019 bai01.08 +SCF:PRM-01 cobit-2019 bai01.09 +SCF:PRM-01 cobit-2019 bai02.02 +SCF:PRM-01 cobit-2019 bai02.04 +SCF:PRM-01 coso-2013 _6 +SCF:PRM-01 coso-2013 _9 +SCF:PRM-01 coso-2013 _14 +SCF:PRM-01 iso-22301-2019 _6.2.1 +SCF:PRM-01 iso-22301-2019 _6.2.2 +SCF:PRM-01 iso-27001-2022 _5.1-e +SCF:PRM-01 iso-27002-2022 _5.4 +SCF:PRM-01 iso-27002-2022 _5.8 +SCF:PRM-01 iso-27017-2015 _5.1 +SCF:PRM-01 iso-27017-2015 _6.1.5 +SCF:PRM-01 iso-27017-2015 _7.2.1 +SCF:PRM-01 iso-27018-2025 _5.4 +SCF:PRM-01 iso-27018-2025 _5.8 +SCF:PRM-01 iso-27701-2025 _7.1 +SCF:PRM-01 iso-31000-2018 _5.3 +SCF:PRM-01 iso-31000-2018 _5.4.4 +SCF:PRM-01 iso-42001-2023 _7.1 +SCF:PRM-01 iso-42001-2023 a.4.2 +SCF:PRM-01 iso-42001-2023 a.6.1 +SCF:PRM-01 nist-ai-100-1-ai-rmf-1.0 manage-2.1 +SCF:PRM-01 nist-ai-100-1-ai-rmf-1.0 manage-2.2 +SCF:PRM-01 nist-800-53-r4 pl-1 +SCF:PRM-01 nist-800-53-r5 pl-01 +SCF:PRM-01 nist-800-53b-r5-privacy pl-01 +SCF:PRM-01 nist-800-53b-r5-low pl-01 +SCF:PRM-01 nist-800-82-r3 pl-01 +SCF:PRM-01 nist-800-161-r1 pl-1 +SCF:PRM-01 nist-800-161-r1-c-scrm-baseline pl-1 +SCF:PRM-01 nist-800-161-r1-level-2 pl-1 +SCF:PRM-01 nist-800-171-r2 nfo-pl-1 +SCF:PRM-01 nist-800-171-r3 _03.16.01 +SCF:PRM-01 nist-csf-2.0 gv.rm +SCF:PRM-01 nist-csf-2.0 gv.rr-03 +SCF:PRM-01.1 nist-csf-function-grouping identify +SCF:PRM-01.1 cobit-2019 apo01.01 +SCF:PRM-01.1 cobit-2019 apo01.02 +SCF:PRM-01.1 cobit-2019 apo01.03 +SCF:PRM-01.1 cobit-2019 apo02.02 +SCF:PRM-01.1 cobit-2019 apo02.05 +SCF:PRM-01.1 cobit-2019 apo02.06 +SCF:PRM-01.1 iso-22301-2019 _6.2.1 +SCF:PRM-01.1 iso-31000-2018 _5.3 +SCF:PRM-01.1 iso-31000-2018 _5.4.1 +SCF:PRM-01.1 iso-31000-2018 _5.4.4 +SCF:PRM-01.1 iso-42001-2023 _4.1 +SCF:PRM-01.1 iso-42001-2023 _4.2 +SCF:PRM-01.1 nist-ai-100-1-ai-rmf-1.0 map-1.3 +SCF:PRM-01.1 nist-800-37-r2 task-p-8 +SCF:PRM-01.1 nist-csf-2.0 gv +SCF:PRM-01.1 nist-csf-2.0 gv.oc-04 +SCF:PRM-01.1 nist-csf-2.0 gv.rm +SCF:PRM-01.1 nist-csf-2.0 gv.ov-01 +SCF:PRM-01.2 nist-csf-function-grouping identify +SCF:PRM-01.2 cobit-2019 apo02.03 +SCF:PRM-01.2 cobit-2019 apo02.05 +SCF:PRM-01.2 iso-22301-2019 _6.2.1 +SCF:PRM-01.2 iso-31000-2018 _5.4.4 +SCF:PRM-02 nist-csf-function-grouping identify +SCF:PRM-02 cobit-2019 edm02.01 +SCF:PRM-02 cobit-2019 edm02.02 +SCF:PRM-02 cobit-2019 edm02.03 +SCF:PRM-02 cobit-2019 edm02.04 +SCF:PRM-02 cobit-2019 edm04.01 +SCF:PRM-02 cobit-2019 edm04.02 +SCF:PRM-02 cobit-2019 edm04.03 +SCF:PRM-02 iso-22301-2019 _6.3-c +SCF:PRM-02 iso-22301-2019 _6.3-d +SCF:PRM-02 iso-22301-2019 _7.1 +SCF:PRM-02 iso-22301-2019 _8.3.4 +SCF:PRM-02 iso-22301-2019 _8.3.4-a +SCF:PRM-02 iso-22301-2019 _8.3.4-b +SCF:PRM-02 iso-22301-2019 _8.3.4-c +SCF:PRM-02 iso-22301-2019 _8.3.4-d +SCF:PRM-02 iso-22301-2019 _8.3.4-e +SCF:PRM-02 iso-22301-2019 _8.3.4-f +SCF:PRM-02 iso-22301-2019 _8.3.4-g +SCF:PRM-02 iso-22301-2019 _8.3.4-h +SCF:PRM-02 iso-27001-2022 _5.1-c +SCF:PRM-02 iso-27001-2022 _7.1 +SCF:PRM-02 iso-27002-2022 _5.4 +SCF:PRM-02 iso-27017-2015 _5.1 +SCF:PRM-02 iso-27017-2015 _7.2.1 +SCF:PRM-02 iso-27018-2025 _5.4 +SCF:PRM-02 iso-27701-2025 _7.1 +SCF:PRM-02 iso-31000-2018 _5.4.4 +SCF:PRM-02 iso-31010-2009 _6.3 +SCF:PRM-02 iso-42001-2023 _5.1 +SCF:PRM-02 iso-42001-2023 _7.1 +SCF:PRM-02 iso-42001-2023 a.6.2.2 +SCF:PRM-02 nist-ai-100-1-ai-rmf-1.0 manage-2.1 +SCF:PRM-02 nist-800-53-r4 pm-3 +SCF:PRM-02 nist-800-53-r5 pm-03 +SCF:PRM-02 nist-800-53b-r5-privacy pm-03 +SCF:PRM-02 nist-800-82-r3 pm-03 +SCF:PRM-02 nist-800-82-r3-low-ot-overlay pm-03 +SCF:PRM-02 nist-800-82-r3-moderate-ot-overlay pm-03 +SCF:PRM-02 nist-800-82-r3-high-ot-overlay pm-03 +SCF:PRM-02 nist-800-161-r1 pm-3 +SCF:PRM-02 nist-800-161-r1-level-1 pm-3 +SCF:PRM-02 nist-800-161-r1-level-2 pm-3 +SCF:PRM-02 nist-csf-2.0 gv.rr-03 +SCF:PRM-02.1 nist-csf-function-grouping identify +SCF:PRM-02.1 cobit-2019 apo12.05 +SCF:PRM-02.1 cobit-2019 bai01.07 +SCF:PRM-02.1 cobit-2019 bai01.08 +SCF:PRM-02.1 cobit-2019 bai01.09 +SCF:PRM-02.1 cobit-2019 bai02.03 +SCF:PRM-02.1 cobit-2019 bai11.06 +SCF:PRM-02.1 iso-31000-2018 _5.3 +SCF:PRM-02.1 iso-31000-2018 _5.4.4 +SCF:PRM-02.1 iso-31010-2009 _4.3.2 +SCF:PRM-02.1 iso-31010-2009 _6.3 +SCF:PRM-03 nist-csf-function-grouping identify +SCF:PRM-03 cobit-2019 edm02.01 +SCF:PRM-03 cobit-2019 edm02.02 +SCF:PRM-03 cobit-2019 edm02.03 +SCF:PRM-03 cobit-2019 edm02.04 +SCF:PRM-03 cobit-2019 edm04.01 +SCF:PRM-03 cobit-2019 edm04.02 +SCF:PRM-03 cobit-2019 edm04.03 +SCF:PRM-03 cobit-2019 apo06.01 +SCF:PRM-03 cobit-2019 apo06.02 +SCF:PRM-03 cobit-2019 apo06.03 +SCF:PRM-03 cobit-2019 apo06.04 +SCF:PRM-03 cobit-2019 apo06.05 +SCF:PRM-03 cobit-2019 bai01.05 +SCF:PRM-03 coso-2013 _16 +SCF:PRM-03 iso-31000-2018 _5.3 +SCF:PRM-03 iso-31000-2018 _5.4.4 +SCF:PRM-03 iso-31010-2009 _4.3.2 +SCF:PRM-03 iso-42001-2023 _5.1 +SCF:PRM-03 iso-42001-2023 _7.1 +SCF:PRM-03 iso-42001-2023 a.4.2 +SCF:PRM-03 nist-ai-100-1-ai-rmf-1.0 manage-2.1 +SCF:PRM-03 nist-800-53-r4 sa-2 +SCF:PRM-03 nist-800-53-r5 sa-02 +SCF:PRM-03 nist-800-53b-r5-privacy sa-02 +SCF:PRM-03 nist-800-53b-r5-low sa-02 +SCF:PRM-03 nist-800-82-r3 sa-02 +SCF:PRM-03 nist-800-82-r3-low-ot-overlay sa-02 +SCF:PRM-03 nist-800-82-r3-moderate-ot-overlay sa-02 +SCF:PRM-03 nist-800-82-r3-high-ot-overlay sa-02 +SCF:PRM-03 nist-800-161-r1 sa-2 +SCF:PRM-03 nist-800-161-r1-c-scrm-baseline sa-2 +SCF:PRM-03 nist-800-161-r1-level-1 sa-2 +SCF:PRM-03 nist-800-161-r1-level-2 sa-2 +SCF:PRM-03 nist-800-171-r2 nfo-sa-2 +SCF:PRM-03 nist-csf-2.0 gv.rr-03 +SCF:PRM-04 nist-csf-function-grouping identify +SCF:PRM-04 cobit-2019 edm03.01 +SCF:PRM-04 cobit-2019 bai01.01 +SCF:PRM-04 cobit-2019 bai01.02 +SCF:PRM-04 cobit-2019 bai01.03 +SCF:PRM-04 cobit-2019 bai01.04 +SCF:PRM-04 cobit-2019 bai01.06 +SCF:PRM-04 cobit-2019 bai03.01 +SCF:PRM-04 cobit-2019 bai03.02 +SCF:PRM-04 cobit-2019 bai11.01 +SCF:PRM-04 cobit-2019 bai11.02 +SCF:PRM-04 cobit-2019 bai11.03 +SCF:PRM-04 cobit-2019 bai11.04 +SCF:PRM-04 cobit-2019 bai11.05 +SCF:PRM-04 cobit-2019 bai11.06 +SCF:PRM-04 cobit-2019 bai11.07 +SCF:PRM-04 cobit-2019 bai11.08 +SCF:PRM-04 cobit-2019 bai11.09 +SCF:PRM-04 coso-2013 _6 +SCF:PRM-04 coso-2013 _11 +SCF:PRM-04 coso-2013 _16 +SCF:PRM-04 csa-iot-scf-2 lgl-02 +SCF:PRM-04 iso-sae-21434-2021 rq-06-01 +SCF:PRM-04 iso-27002-2022 _5.8 +SCF:PRM-04 iso-27017-2015 _6.1.5 +SCF:PRM-04 iso-27018-2025 _5.8 +SCF:PRM-04 iso-31000-2018 _5.3 +SCF:PRM-04 iso-31000-2018 _5.4.2 +SCF:PRM-04 iso-31000-2018 _5.4.4 +SCF:PRM-04 iso-31000-2018 _5.4.5 +SCF:PRM-04 iso-31000-2018 _6.2 +SCF:PRM-04 iso-31010-2009 _4.3.2 +SCF:PRM-04 iso-31010-2009 _5.7 +SCF:PRM-04 iso-31010-2009 _6.6 +SCF:PRM-04 iso-42001-2023 _7.4 +SCF:PRM-04 iso-42001-2023 a.4.2 +SCF:PRM-04 iso-42001-2023 a.6.2.2 +SCF:PRM-04 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRM-04 nist-privacy-framework-1.0 ct.po-p4 +SCF:PRM-04 nist-privacy-framework-1.0 cm.aw-p3 +SCF:PRM-04 nist-800-53-r4 ca-2 +SCF:PRM-04 nist-800-53-r5 ca-02 +SCF:PRM-04 nist-800-53b-r5-privacy ca-02 +SCF:PRM-04 nist-800-53b-r5-low ca-02 +SCF:PRM-04 nist-800-82-r3 ca-02 +SCF:PRM-04 nist-800-82-r3-low-ot-overlay ca-02 +SCF:PRM-04 nist-800-82-r3-moderate-ot-overlay ca-02 +SCF:PRM-04 nist-800-82-r3-high-ot-overlay ca-02 +SCF:PRM-04 nist-800-161-r1 ca-2 +SCF:PRM-04 nist-800-161-r1-c-scrm-baseline ca-2 +SCF:PRM-04 nist-800-161-r1-level-2 ca-2 +SCF:PRM-04 nist-800-161-r1-level-3 ca-2 +SCF:PRM-04 owasp-top-10-2025 a06-2025 +SCF:PRM-04 pci-dss-4.0.1 _1.1 +SCF:PRM-05 nist-csf-function-grouping identify +SCF:PRM-05 cis-csc-8.1 _15.7 +SCF:PRM-05 cis-csc-8.1-ig3 _15.7 +SCF:PRM-05 cobit-2019 apo01.10 +SCF:PRM-05 cobit-2019 apo08.01 +SCF:PRM-05 cobit-2019 bai01.04 +SCF:PRM-05 cobit-2019 bai02.01 +SCF:PRM-05 cobit-2019 bai03.01 +SCF:PRM-05 cobit-2019 bai03.03 +SCF:PRM-05 cobit-2019 bai03.04 +SCF:PRM-05 coso-2013 _11 +SCF:PRM-05 coso-2013 _14 +SCF:PRM-05 coso-2013 _16 +SCF:PRM-05 csa-iot-scf-2 lgl-01 +SCF:PRM-05 csa-iot-scf-2 lgl-02 +SCF:PRM-05 csa-iot-scf-2 lgl-03 +SCF:PRM-05 csa-iot-scf-2 lgl-04 +SCF:PRM-05 csa-iot-scf-2 lgl-05 +SCF:PRM-05 csa-iot-scf-2 lgl-06 +SCF:PRM-05 csa-iot-scf-2 lgl-07 +SCF:PRM-05 csa-iot-scf-2 lgl-08 +SCF:PRM-05 iso-sae-21434-2021 rq-06-02 +SCF:PRM-05 iso-sae-21434-2021 rq-06-02-a +SCF:PRM-05 iso-sae-21434-2021 rq-06-02-b +SCF:PRM-05 iso-sae-21434-2021 rq-06-02-c +SCF:PRM-05 iso-sae-21434-2021 rq-06-03 +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-a +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-b +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-c +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-d +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-e +SCF:PRM-05 iso-sae-21434-2021 rq-06-03-f +SCF:PRM-05 iso-sae-21434-2021 rq-06-19 +SCF:PRM-05 iso-sae-21434-2021 rq-06-33-c +SCF:PRM-05 iso-sae-21434-2021 rq-10-02 +SCF:PRM-05 iso-27002-2022 _5.8 +SCF:PRM-05 iso-27002-2022 _5.9 +SCF:PRM-05 iso-27002-2022 _8.26 +SCF:PRM-05 iso-27017-2015 _6.1.5 +SCF:PRM-05 iso-27017-2015 _8.1.1 +SCF:PRM-05 iso-27017-2015 _14.1.1 +SCF:PRM-05 iso-27018-2025 _5.8 +SCF:PRM-05 iso-27018-2025 _5.9 +SCF:PRM-05 iso-27018-2025 _8.26 +SCF:PRM-05 iso-27701-2025 _6.1.1 +SCF:PRM-05 iso-31000-2018 _5.4.1 +SCF:PRM-05 iso-31010-2009 _4.3.2 +SCF:PRM-05 iso-42001-2023 _4.1 +SCF:PRM-05 iso-42001-2023 _4.2 +SCF:PRM-05 iso-42001-2023 a.4.2 +SCF:PRM-05 iso-42001-2023 a.6.2.2 +SCF:PRM-05 nist-ai-100-1-ai-rmf-1.0 map-1.6 +SCF:PRM-05 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRM-05 nist-800-37-r2 task-p-8 +SCF:PRM-05 nist-800-53-r4 sa-14 +SCF:PRM-05 nist-800-53-r5 ra-09 +SCF:PRM-05 nist-800-53b-r5-privacy ra-09 +SCF:PRM-05 nist-800-53b-r5-moderate ra-09 +SCF:PRM-05 nist-800-82-r3 ra-09 +SCF:PRM-05 nist-800-160-vol2-r1 ra-09 +SCF:PRM-05 nist-800-161-r1 ra-9 +SCF:PRM-05 nist-800-161-r1-flow-down ra-9 +SCF:PRM-05 nist-800-161-r1-level-1 ra-9 +SCF:PRM-05 nist-800-161-r1-level-2 ra-9 +SCF:PRM-05 nist-800-161-r1-level-3 ra-9 +SCF:PRM-05 nist-800-171-r3 _03.16.01 +SCF:PRM-05 nist-800-218 po.1 +SCF:PRM-05 nist-800-218 po.1.1 +SCF:PRM-05 owasp-top-10-2025 a06-2025 +SCF:PRM-05 pci-dss-4.0.1 _1.1 +SCF:PRM-06 nist-csf-function-grouping identify +SCF:PRM-06 cis-csc-8.1 _15.7 +SCF:PRM-06 cis-csc-8.1-ig3 _15.7 +SCF:PRM-06 cobit-2019 apo01.10 +SCF:PRM-06 cobit-2019 apo08.01 +SCF:PRM-06 cobit-2019 bai01.04 +SCF:PRM-06 cobit-2019 bai02.01 +SCF:PRM-06 cobit-2019 bai03.01 +SCF:PRM-06 cobit-2019 bai04.03 +SCF:PRM-06 coso-2013 _3 +SCF:PRM-06 coso-2013 _6 +SCF:PRM-06 coso-2013 _9 +SCF:PRM-06 coso-2013 _10 +SCF:PRM-06 coso-2013 _11 +SCF:PRM-06 coso-2013 _16 +SCF:PRM-06 csa-iot-scf-2 lgl-02 +SCF:PRM-06 csa-iot-scf-2 lgl-03 +SCF:PRM-06 csa-iot-scf-2 lgl-04 +SCF:PRM-06 csa-iot-scf-2 lgl-05 +SCF:PRM-06 csa-iot-scf-2 lgl-06 +SCF:PRM-06 csa-iot-scf-2 lgl-07 +SCF:PRM-06 csa-iot-scf-2 lgl-08 +SCF:PRM-06 iso-27701-2025 _4.1 +SCF:PRM-06 iso-27701-2025 _4.2 +SCF:PRM-06 iso-27701-2025 _4.2-a +SCF:PRM-06 iso-27701-2025 _4.2-b +SCF:PRM-06 iso-27701-2025 _4.2-c +SCF:PRM-06 iso-27701-2025 _6.1.1 +SCF:PRM-06 iso-31000-2018 _5.4.1 +SCF:PRM-06 iso-31010-2009 _4.3.2 +SCF:PRM-06 iso-42001-2023 _4.1 +SCF:PRM-06 iso-42001-2023 _4.2 +SCF:PRM-06 iso-42001-2023 _7.4 +SCF:PRM-06 nist-ai-100-1-ai-rmf-1.0 map-1.0 +SCF:PRM-06 nist-ai-100-1-ai-rmf-1.0 map-1.1 +SCF:PRM-06 nist-ai-100-1-ai-rmf-1.0 map-1.4 +SCF:PRM-06 nist-ai-100-1-ai-rmf-1.0 map-2.1 +SCF:PRM-06 nist-privacy-framework-1.0 id.im-p5 +SCF:PRM-06 nist-privacy-framework-1.0 id.be-p1 +SCF:PRM-06 nist-privacy-framework-1.0 id.be-p3 +SCF:PRM-06 nist-privacy-framework-1.0 gv.rm-p3 +SCF:PRM-06 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRM-06 nist-800-37-r2 task-p-8 +SCF:PRM-06 nist-800-53-r4 pm-11 +SCF:PRM-06 nist-800-53-r5 pm-11 +SCF:PRM-06 nist-800-53b-r5-privacy pm-11 +SCF:PRM-06 nist-800-82-r3 pm-11 +SCF:PRM-06 nist-800-82-r3-low-ot-overlay pm-11 +SCF:PRM-06 nist-800-82-r3-moderate-ot-overlay pm-11 +SCF:PRM-06 nist-800-82-r3-high-ot-overlay pm-11 +SCF:PRM-06 nist-800-161-r1 pm-11 +SCF:PRM-06 nist-800-161-r1-level-1 pm-11 +SCF:PRM-06 nist-800-161-r1-level-2 pm-11 +SCF:PRM-06 nist-800-161-r1-level-3 pm-11 +SCF:PRM-06 owasp-top-10-2025 a06-2025 +SCF:PRM-07 nist-csf-function-grouping protect +SCF:PRM-07 cis-csc-8.1 _15.7 +SCF:PRM-07 cis-csc-8.1-ig3 _15.7 +SCF:PRM-07 cobit-2019 bai01.01 +SCF:PRM-07 cobit-2019 bai01.02 +SCF:PRM-07 cobit-2019 bai01.03 +SCF:PRM-07 cobit-2019 bai02.04 +SCF:PRM-07 cobit-2019 bai03.09 +SCF:PRM-07 cobit-2019 bai03.11 +SCF:PRM-07 cobit-2019 bai04.03 +SCF:PRM-07 cobit-2019 bai05.01 +SCF:PRM-07 cobit-2019 bai05.07 +SCF:PRM-07 cobit-2019 bai09.03 +SCF:PRM-07 coso-2013 _11 +SCF:PRM-07 csa-ccm-4.1.0 ais-04 +SCF:PRM-07 csa-iot-scf-2 lgl-02 +SCF:PRM-07 csa-iot-scf-2 lgl-03 +SCF:PRM-07 csa-iot-scf-2 lgl-04 +SCF:PRM-07 csa-iot-scf-2 lgl-05 +SCF:PRM-07 csa-iot-scf-2 lgl-06 +SCF:PRM-07 csa-iot-scf-2 lgl-07 +SCF:PRM-07 csa-iot-scf-2 pol-04 +SCF:PRM-07 iso-27002-2022 _5.8 +SCF:PRM-07 iso-27002-2022 _8.25 +SCF:PRM-07 iso-27002-2022 _8.32 +SCF:PRM-07 iso-27017-2015 _6.1.5 +SCF:PRM-07 iso-27017-2015 _12.1.2 +SCF:PRM-07 iso-27017-2015 _14.2.2 +SCF:PRM-07 iso-27018-2025 _5.8 +SCF:PRM-07 iso-27018-2025 _8.25 +SCF:PRM-07 iso-27018-2025 _8.32 +SCF:PRM-07 iso-31000-2018 _5.3 +SCF:PRM-07 iso-31000-2018 _5.4.2 +SCF:PRM-07 iso-31000-2018 _5.4.5 +SCF:PRM-07 iso-31000-2018 _6.2 +SCF:PRM-07 iso-31010-2009 _4.3.2 +SCF:PRM-07 iso-42001-2023 a.3.3 +SCF:PRM-07 iso-42001-2023 a.4.2 +SCF:PRM-07 iso-42001-2023 a.6.2.2 +SCF:PRM-07 iso-42001-2023 a.6.2.7 +SCF:PRM-07 iso-42001-2023 a.6.2.8 +SCF:PRM-07 nist-ai-100-1-ai-rmf-1.0 govern-1.7 +SCF:PRM-07 nist-ai-100-1-ai-rmf-1.0 manage-2.2 +SCF:PRM-07 nist-privacy-framework-1.0 ct.po-p1 +SCF:PRM-07 nist-privacy-framework-1.0 ct.po-p4 +SCF:PRM-07 nist-privacy-framework-1.0 cm.aw-p3 +SCF:PRM-07 nist-800-37-r2 task-p-13 +SCF:PRM-07 nist-800-37-r2 task-m-7 +SCF:PRM-07 nist-800-53-r4 sa-3 +SCF:PRM-07 nist-800-53-r5 sa-03 +SCF:PRM-07 nist-800-53-r5 sa-03-01 +SCF:PRM-07 nist-800-53-r5 sa-08-30 +SCF:PRM-07 nist-800-53b-r5-privacy sa-03 +SCF:PRM-07 nist-800-53b-r5-privacy sa-03-01 +SCF:PRM-07 nist-800-53b-r5-privacy sa-08-30 +SCF:PRM-07 nist-800-53b-r5-low sa-03 +SCF:PRM-07 nist-800-82-r3 sa-03 +SCF:PRM-07 nist-800-82-r3 sa-03-01 +SCF:PRM-07 nist-800-82-r3 sa-08-30 +SCF:PRM-07 nist-800-82-r3-low-ot-overlay sa-03 +SCF:PRM-07 nist-800-82-r3-moderate-ot-overlay sa-03 +SCF:PRM-07 nist-800-82-r3-high-ot-overlay sa-03 +SCF:PRM-07 nist-800-161-r1 sa-3 +SCF:PRM-07 nist-800-161-r1-c-scrm-baseline sa-3 +SCF:PRM-07 nist-800-161-r1-level-1 sa-3 +SCF:PRM-07 nist-800-161-r1-level-2 sa-3 +SCF:PRM-07 nist-800-161-r1-level-3 sa-3 +SCF:PRM-07 nist-800-171-r2 nfo-sa-3 +SCF:PRM-07 nist-800-218 po.1 +SCF:PRM-07 nist-csf-2.0 gv.sc-09 +SCF:PRM-07 nist-csf-2.0 id.am-08 +SCF:PRM-07 nist-csf-2.0 pr.ps-02 +SCF:PRM-07 nist-csf-2.0 pr.ps-03 +SCF:PRM-07 owasp-top-10-2025 a06-2025 +SCF:PRM-08 nist-csf-function-grouping protect +SCF:PRM-08 cobit-2019 apo01.08 +SCF:RSK-01 nist-csf-function-grouping govern +SCF:RSK-01 cis-csc-8.1 _16.6 +SCF:RSK-01 cis-csc-8.1-ig2 _16.6 +SCF:RSK-01 cis-csc-8.1-ig3 _16.6 +SCF:RSK-01 cobit-2019 edm03.01 +SCF:RSK-01 cobit-2019 edm03.02 +SCF:RSK-01 cobit-2019 edm03.03 +SCF:RSK-01 cobit-2019 apo12.01 +SCF:RSK-01 cobit-2019 apo12.02 +SCF:RSK-01 cobit-2019 apo12.03 +SCF:RSK-01 cobit-2019 apo12.04 +SCF:RSK-01 cobit-2019 apo12.05 +SCF:RSK-01 cobit-2019 apo12.06 +SCF:RSK-01 coso-2013 _7 +SCF:RSK-01 coso-2013 _8 +SCF:RSK-01 coso-2013 _16 +SCF:RSK-01 csa-ccm-4.1.0 cek-07 +SCF:RSK-01 csa-ccm-4.1.0 grc-02 +SCF:RSK-01 csa-iot-scf-2 rsm-01 +SCF:RSK-01 csa-iot-scf-2 rsm-02 +SCF:RSK-01 iec-tr-60601-4-5-2021 _4.1 +SCF:RSK-01 iec-62443-2-1-2024 org-2.1 +SCF:RSK-01 iso-27001-2022 _6.1.1 +SCF:RSK-01 iso-27001-2022 _6.1.1-a +SCF:RSK-01 iso-27001-2022 _6.1.1-b +SCF:RSK-01 iso-27001-2022 _6.1.1-c +SCF:RSK-01 iso-27001-2022 _6.1.1-d +SCF:RSK-01 iso-27001-2022 _6.1.1-e-1 +SCF:RSK-01 iso-27001-2022 _6.1.1-e-2 +SCF:RSK-01 iso-27001-2022 _6.1.2 +SCF:RSK-01 iso-27001-2022 _6.1.2-a +SCF:RSK-01 iso-27001-2022 _6.1.2-a-1 +SCF:RSK-01 iso-27001-2022 _6.1.2-a-2 +SCF:RSK-01 iso-27001-2022 _6.1.2-b +SCF:RSK-01 iso-27001-2022 _6.1.2-c +SCF:RSK-01 iso-27001-2022 _6.1.2-c-1 +SCF:RSK-01 iso-27001-2022 _6.1.2-c-2 +SCF:RSK-01 iso-27001-2022 _6.1.2-d +SCF:RSK-01 iso-27001-2022 _6.1.2-d-1 +SCF:RSK-01 iso-27001-2022 _6.1.2-d-2 +SCF:RSK-01 iso-27001-2022 _6.1.2-d-3 +SCF:RSK-01 iso-27001-2022 _6.1.2-e +SCF:RSK-01 iso-27001-2022 _6.1.2-e-1 +SCF:RSK-01 iso-27001-2022 _6.1.2-e-2 +SCF:RSK-01 iso-27001-2022 _8.2 +SCF:RSK-01 iso-27002-2022 _7.5 +SCF:RSK-01 iso-27017-2015 _11.1.4 +SCF:RSK-01 iso-27018-2025 _7.5 +SCF:RSK-01 iso-27701-2025 _6.1.2 +SCF:RSK-01 iso-31000-2018 _5.1 +SCF:RSK-01 iso-31000-2018 _5.3 +SCF:RSK-01 iso-31000-2018 _5.4.2 +SCF:RSK-01 iso-31000-2018 _5.4.5 +SCF:RSK-01 iso-31000-2018 _5.5 +SCF:RSK-01 iso-31000-2018 _5.7.1 +SCF:RSK-01 iso-31000-2018 _5.7.2 +SCF:RSK-01 iso-31000-2018 _6.1 +SCF:RSK-01 iso-31000-2018 _6.2 +SCF:RSK-01 iso-31000-2018 _6.3.1 +SCF:RSK-01 iso-31000-2018 _6.3.2 +SCF:RSK-01 iso-31000-2018 _6.3.3 +SCF:RSK-01 iso-31000-2018 _6.6 +SCF:RSK-01 iso-31000-2018 _6.7 +SCF:RSK-01 iso-31010-2009 _4.1 +SCF:RSK-01 iso-31010-2009 _4.2 +SCF:RSK-01 iso-31010-2009 _4.3.1 +SCF:RSK-01 iso-31010-2009 _4.3.2 +SCF:RSK-01 iso-42001-2023 _6.1.1 +SCF:RSK-01 iso-42001-2023 _6.1.2 +SCF:RSK-01 iso-42001-2023 _6.1.2-a +SCF:RSK-01 iso-42001-2023 _6.1.2-b +SCF:RSK-01 iso-42001-2023 _6.1.2-c +SCF:RSK-01 iso-42001-2023 _6.1.2-d +SCF:RSK-01 iso-42001-2023 _6.1.2-e +SCF:RSK-01 iso-42001-2023 _6.1.3 +SCF:RSK-01 iso-42001-2023 _6.1.3-a +SCF:RSK-01 iso-42001-2023 _6.1.3-b +SCF:RSK-01 iso-42001-2023 _6.1.3-c +SCF:RSK-01 iso-42001-2023 _6.1.3-d +SCF:RSK-01 iso-42001-2023 _6.1.3-e +SCF:RSK-01 iso-42001-2023 _6.1.3-f +SCF:RSK-01 iso-42001-2023 _6.1.3-g +SCF:RSK-01 iso-42001-2023 _8.2 +SCF:RSK-01 iso-42001-2023 a.5 +SCF:RSK-01 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:RSK-01 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:RSK-01 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:RSK-01 nist-ai-100-1-ai-rmf-1.0 manage-1.0 +SCF:RSK-01 nist-ai-600-1 govern-1.4 +SCF:RSK-01 nist-privacy-framework-1.0 id.ra-p +SCF:RSK-01 nist-privacy-framework-1.0 id.de-p +SCF:RSK-01 nist-privacy-framework-1.0 id.de-p1 +SCF:RSK-01 nist-privacy-framework-1.0 gv.po-p6 +SCF:RSK-01 nist-privacy-framework-1.0 gv.rm-p +SCF:RSK-01 nist-privacy-framework-1.0 gv.rm-p1 +SCF:RSK-01 nist-800-37-r2 task-p-2 +SCF:RSK-01 nist-800-39 task-4-1 +SCF:RSK-01 nist-800-39 task-4-2 +SCF:RSK-01 nist-800-53-r4 pm-9 +SCF:RSK-01 nist-800-53-r4 ra-1 +SCF:RSK-01 nist-800-53-r5 pm-09 +SCF:RSK-01 nist-800-53-r5 pm-29 +SCF:RSK-01 nist-800-53-r5 ra-01 +SCF:RSK-01 nist-800-53b-r5-privacy pm-09 +SCF:RSK-01 nist-800-53b-r5-privacy pm-29 +SCF:RSK-01 nist-800-53b-r5-privacy ra-01 +SCF:RSK-01 nist-800-53b-r5-low ra-01 +SCF:RSK-01 nist-800-82-r3 pm-09 +SCF:RSK-01 nist-800-82-r3 pm-29 +SCF:RSK-01 nist-800-82-r3 ra-01 +SCF:RSK-01 nist-800-82-r3-low-ot-overlay pm-09 +SCF:RSK-01 nist-800-82-r3-low-ot-overlay pm-29 +SCF:RSK-01 nist-800-82-r3-low-ot-overlay ra-01 +SCF:RSK-01 nist-800-82-r3-moderate-ot-overlay pm-09 +SCF:RSK-01 nist-800-82-r3-moderate-ot-overlay pm-29 +SCF:RSK-01 nist-800-82-r3-moderate-ot-overlay ra-01 +SCF:RSK-01 nist-800-82-r3-high-ot-overlay pm-09 +SCF:RSK-01 nist-800-82-r3-high-ot-overlay pm-29 +SCF:RSK-01 nist-800-82-r3-high-ot-overlay ra-01 +SCF:RSK-01 nist-800-161-r1 pm-9 +SCF:RSK-01 nist-800-161-r1 pm-29 +SCF:RSK-01 nist-800-161-r1 ra-1 +SCF:RSK-01 nist-800-161-r1-c-scrm-baseline ra-1 +SCF:RSK-01 nist-800-161-r1-level-1 pm-9 +SCF:RSK-01 nist-800-161-r1-level-1 pm-29 +SCF:RSK-01 nist-800-161-r1-level-1 ra-1 +SCF:RSK-01 nist-800-161-r1-level-2 ra-1 +SCF:RSK-01 nist-800-161-r1-level-3 ra-1 +SCF:RSK-01 nist-800-171-r2 nfo-ra-1 +SCF:RSK-01 nist-800-171-r3 _03.11.01.a +SCF:RSK-01 nist-800-171-r3 _03.17.01.a +SCF:RSK-01 nist-800-171a-r3 a.03.17.03.b +SCF:RSK-01 nist-csf-2.0 gv +SCF:RSK-01 nist-csf-2.0 gv.rm +SCF:RSK-01 nist-csf-2.0 gv.rm-01 +SCF:RSK-01 nist-csf-2.0 gv.rm-03 +SCF:RSK-01 nist-csf-2.0 gv.rm-04 +SCF:RSK-01 nist-csf-2.0 gv.rm-06 +SCF:RSK-01 nist-csf-2.0 gv.rr-01 +SCF:RSK-01 nist-csf-2.0 gv.ov-02 +SCF:RSK-01 nist-csf-2.0 gv.ov-03 +SCF:RSK-01 nist-csf-2.0 gv.sc +SCF:RSK-01 nist-csf-2.0 gv.sc-01 +SCF:RSK-01 nist-csf-2.0 gv.sc-03 +SCF:RSK-01 nist-csf-2.0 gv.sc-05 +SCF:RSK-01 nist-csf-2.0 gv.sc-09 +SCF:RSK-01 nist-csf-2.0 id +SCF:RSK-01 nist-csf-2.0 id.ra +SCF:RSK-01 nist-csf-2.0 id.im +SCF:RSK-01 nist-csf-2.0 pr +SCF:RSK-01 nist-csf-2.0 pr.ir +SCF:RSK-01 pci-dss-4.0.1 _12.3 +SCF:RSK-01.1 nist-csf-function-grouping identify +SCF:RSK-01.1 cis-csc-8.1 _16.6 +SCF:RSK-01.1 cis-csc-8.1-ig2 _16.6 +SCF:RSK-01.1 cis-csc-8.1-ig3 _16.6 +SCF:RSK-01.1 cobit-2019 apo12.01 +SCF:RSK-01.1 cobit-2019 apo12.04 +SCF:RSK-01.1 coso-2013 _7 +SCF:RSK-01.1 csa-ccm-4.1.0 a-a-06 +SCF:RSK-01.1 csa-ccm-4.1.0 cek-07 +SCF:RSK-01.1 csa-iot-scf-2 rsm-01 +SCF:RSK-01.1 csa-iot-scf-2 rsm-02 +SCF:RSK-01.1 iso-27001-2022 _6.1.2 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-a +SCF:RSK-01.1 iso-27001-2022 _6.1.2-a-1 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-a-2 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-b +SCF:RSK-01.1 iso-27001-2022 _6.1.2-c +SCF:RSK-01.1 iso-27001-2022 _6.1.2-c-1 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-c-2 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-d +SCF:RSK-01.1 iso-27001-2022 _6.1.2-d-1 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-d-2 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-d-3 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-e +SCF:RSK-01.1 iso-27001-2022 _6.1.2-e-1 +SCF:RSK-01.1 iso-27001-2022 _6.1.2-e-2 +SCF:RSK-01.1 iso-27002-2022 _5.8 +SCF:RSK-01.1 iso-27017-2015 _6.1.5 +SCF:RSK-01.1 iso-27018-2025 _5.8 +SCF:RSK-01.1 iso-27701-2025 _6.1.2-a +SCF:RSK-01.1 iso-31000-2018 _5.3 +SCF:RSK-01.1 iso-31000-2018 _5.4.2 +SCF:RSK-01.1 iso-31000-2018 _6.4.2 +SCF:RSK-01.1 iso-31010-2009 _4.3.3 +SCF:RSK-01.1 iso-31010-2009 _4.3.3-a +SCF:RSK-01.1 iso-31010-2009 _4.3.3-b +SCF:RSK-01.1 iso-31010-2009 _4.3.3-c +SCF:RSK-01.1 iso-31010-2009 _6.4 +SCF:RSK-01.1 iso-31010-2009 _6.5 +SCF:RSK-01.1 iso-42001-2023 _6.1.2-d +SCF:RSK-01.1 iso-42001-2023 _6.1.2-d-1 +SCF:RSK-01.1 iso-42001-2023 _6.1.2-d-2 +SCF:RSK-01.1 iso-42001-2023 _6.1.2-d-3 +SCF:RSK-01.1 iso-42001-2023 _6.1.2-e +SCF:RSK-01.1 iso-42001-2023 _6.1.2-e-1 +SCF:RSK-01.1 iso-42001-2023 _6.1.2-e-2 +SCF:RSK-01.1 iso-42001-2023 _6.1.4 +SCF:RSK-01.1 iso-42001-2023 _8.4 +SCF:RSK-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:RSK-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:RSK-01.1 nist-ai-600-1 mp-2.1-001 +SCF:RSK-01.1 nist-privacy-framework-1.0 gv.rm-p3 +SCF:RSK-01.1 nist-800-39 _3.1 +SCF:RSK-01.1 nist-800-39 task-1-1 +SCF:RSK-01.1 nist-800-39 task-1-2 +SCF:RSK-01.1 nist-800-39 task-1-4 +SCF:RSK-01.1 nist-800-53-r5 pm-28 +SCF:RSK-01.1 nist-800-53b-r5-privacy pm-28 +SCF:RSK-01.1 nist-800-82-r3 pm-28 +SCF:RSK-01.1 nist-800-82-r3-low-ot-overlay pm-28 +SCF:RSK-01.1 nist-800-82-r3-moderate-ot-overlay pm-28 +SCF:RSK-01.1 nist-800-82-r3-high-ot-overlay pm-28 +SCF:RSK-01.1 nist-800-161-r1 pm-28 +SCF:RSK-01.1 nist-800-161-r1-level-1 pm-28 +SCF:RSK-01.1 nist-800-171-r3 _03.11.01.a +SCF:RSK-01.1 nist-800-171a-r3 a.03.11.01.a +SCF:RSK-01.1 nist-csf-2.0 gv.oc-01 +SCF:RSK-01.1 nist-csf-2.0 gv.rm +SCF:RSK-01.1 nist-csf-2.0 gv.rm-04 +SCF:RSK-01.1 nist-csf-2.0 gv.rm-06 +SCF:RSK-01.1 nist-csf-2.0 gv.rm-07 +SCF:RSK-01.1 nist-csf-2.0 id +SCF:RSK-01.1 nist-csf-2.0 id.ra-05 +SCF:RSK-01.1 nist-csf-2.0 id.ra-06 +SCF:RSK-01.1 pci-dss-4.0.1 _12.3.1 +SCF:RSK-01.1 pci-dss-4.0.1 _12.3.2 +SCF:RSK-01.1 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-01.1 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-01.1 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-01.1 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-01.1 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-01.2 nist-csf-function-grouping protect +SCF:RSK-01.2 iso-31000-2018 _5.3 +SCF:RSK-01.2 iso-31000-2018 _5.4.2 +SCF:RSK-01.2 iso-31000-2018 _5.4.4 +SCF:RSK-01.2 iso-31010-2009 _6.3 +SCF:RSK-01.2 iso-42001-2023 _5.1 +SCF:RSK-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:RSK-01.2 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:RSK-01.2 nist-ai-100-1-ai-rmf-1.0 manage-2.1 +SCF:RSK-01.3 nist-csf-function-grouping identify +SCF:RSK-01.3 iec-62443-2-1-2024 org-2.1 +SCF:RSK-01.3 iso-27701-2025 _6.1.2-a-1 +SCF:RSK-01.3 iso-31000-2018 _5.4.2 +SCF:RSK-01.3 iso-31000-2018 _6.3.4 +SCF:RSK-01.3 iso-31010-2009 _4.3.3 +SCF:RSK-01.3 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:RSK-01.3 nist-ai-100-1-ai-rmf-1.0 map-1.5 +SCF:RSK-01.3 nist-ai-100-1-ai-rmf-1.0 map-3.2 +SCF:RSK-01.3 nist-privacy-framework-1.0 gv.rm-p2 +SCF:RSK-01.3 nist-800-39 task-1-3 +SCF:RSK-01.3 nist-csf-2.0 gv.rm +SCF:RSK-01.3 nist-csf-2.0 gv.rm-02 +SCF:RSK-01.3 nist-csf-2.0 gv.rr-01 +SCF:RSK-01.4 nist-csf-function-grouping identify +SCF:RSK-01.4 iso-27701-2025 _6.1.2-a-1 +SCF:RSK-01.4 iso-31000-2018 _5.4.2 +SCF:RSK-01.4 iso-31000-2018 _6.3.4 +SCF:RSK-01.4 iso-31010-2009 _4.3.3 +SCF:RSK-01.4 nist-800-39 task-1-4 +SCF:RSK-01.4 nist-csf-2.0 gv.rr-01 +SCF:RSK-01.5 nist-csf-function-grouping identify +SCF:RSK-01.5 iso-27701-2025 _6.1.2-a-1 +SCF:RSK-01.5 iso-31000-2018 _5.4.2 +SCF:RSK-01.5 iso-31000-2018 _6.3.4 +SCF:RSK-01.5 iso-31010-2009 _4.3.3 +SCF:RSK-01.5 nist-privacy-framework-1.0 gv.rm-p3 +SCF:RSK-01.5 nist-800-39 task-1-4 +SCF:RSK-01.5 nist-csf-2.0 gv.rm +SCF:RSK-01.5 nist-csf-2.0 gv.rm-02 +SCF:RSK-01.5 nist-csf-2.0 gv.rr-01 +SCF:RSK-02 nist-csf-function-grouping identify +SCF:RSK-02 cis-csc-8.1 _16.6 +SCF:RSK-02 cis-csc-8.1-ig2 _16.6 +SCF:RSK-02 cis-csc-8.1-ig3 _16.6 +SCF:RSK-02 coso-2013 _7 +SCF:RSK-02 csa-ccm-4.1.0 bcr-02 +SCF:RSK-02 csa-iot-scf-2 rsm-01 +SCF:RSK-02 csa-iot-scf-2 rsm-02 +SCF:RSK-02 iso-27001-2022 _6.1.2-d-3 +SCF:RSK-02 iso-27701-2025 _6.1.2-e-2 +SCF:RSK-02 nist-800-53-r4 ra-2 +SCF:RSK-02 nist-800-53-r5 ra-02 +SCF:RSK-02 nist-800-53b-r5-low ra-02 +SCF:RSK-02 nist-800-82-r3 ra-02 +SCF:RSK-02 nist-800-82-r3-low-ot-overlay ra-02 +SCF:RSK-04 iso-42001-2023 _6.1.2-b +SCF:RSK-02 nist-800-82-r3-moderate-ot-overlay ra-02 +SCF:RSK-02 nist-800-82-r3-high-ot-overlay ra-02 +SCF:RSK-02 nist-800-161-r1 ra-2 +SCF:RSK-02 nist-800-161-r1-c-scrm-baseline ra-2 +SCF:RSK-02 nist-800-161-r1-level-1 ra-2 +SCF:RSK-02 nist-800-161-r1-level-2 ra-2 +SCF:RSK-02 nist-800-161-r1-level-3 ra-2 +SCF:RSK-02 nist-800-171-r3 _03.11.01.a +SCF:RSK-02 nist-csf-2.0 id.am +SCF:RSK-02 pci-dss-4.0.1 _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-a _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-a-ep _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-b _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-b-ip _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-c _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-c-vt _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-d-merchant _9.4.2 +SCF:RSK-02 pci-dss-4.0.1-saq-d-service-provider _9.4.2 +SCF:RSK-02.1 nist-csf-function-grouping identify +SCF:RSK-02.1 cis-csc-8.1 _16.6 +SCF:RSK-02.1 cis-csc-8.1-ig2 _16.6 +SCF:RSK-02.1 cis-csc-8.1-ig3 _16.6 +SCF:RSK-02.1 csa-ccm-4.1.0 a-a-06 +SCF:RSK-02.1 csa-ccm-4.1.0 bcr-02 +SCF:RSK-02.1 csa-ccm-4.1.0 cek-07 +SCF:RSK-02.1 csa-iot-scf-2 rsm-01 +SCF:RSK-02.1 csa-iot-scf-2 rsm-02 +SCF:RSK-02.1 iso-27701-2025 _6.1.2-e-2 +SCF:RSK-02.1 iso-42001-2023 _6.1.2-e-2 +SCF:RSK-02.1 nist-ai-100-1-ai-rmf-1.0 map-5.1 +SCF:RSK-02.1 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:RSK-02.1 nist-800-53-r5 ra-02-01 +SCF:RSK-02.1 nist-800-82-r3 ra-02-01 +SCF:RSK-02.1 nist-800-171-r3 _03.11.01.a +SCF:RSK-02.1 nist-800-171-r3 _03.14.03.b +SCF:RSK-02.1 nist-csf-2.0 id.ra-05 +SCF:RSK-02.1 nist-csf-2.0 id.ra-06 +SCF:RSK-03 nist-csf-function-grouping identify +SCF:RSK-03 cobit-2019 apo12.01 +SCF:RSK-03 coso-2013 _7 +SCF:RSK-03 coso-2013 _8 +SCF:RSK-03 csa-ccm-4.1.0 cek-07 +SCF:RSK-03 csa-iot-scf-2 rsm-01 +SCF:RSK-03 iso-22301-2019 _8.2.3-a +SCF:RSK-03 iso-27001-2022 _6.1.2-c +SCF:RSK-03 iso-27001-2022 _6.1.2-c-1 +SCF:RSK-03 iso-27001-2022 _6.1.2-c-2 +SCF:RSK-03 iso-27002-2022 _5.8 +SCF:RSK-03 iso-27017-2015 _6.1.5 +SCF:RSK-03 iso-27018-2025 _5.8 +SCF:RSK-03 iso-27701-2025 _6.1.2-c +SCF:RSK-03 iso-31000-2018 _5.6 +SCF:RSK-03 iso-31000-2018 _6.4.2 +SCF:RSK-03 iso-31010-2009 _5.2 +SCF:RSK-03 iso-42001-2023 _6.1.2-c +SCF:RSK-03 nist-ai-100-1-ai-rmf-1.0 manage-1.0 +SCF:RSK-03 nist-ai-100-1-ai-rmf-1.0 manage-2.3 +SCF:RSK-03 nist-ai-600-1 gv-4.2-002 +SCF:RSK-03 nist-800-37-r2 task-p-3 +SCF:RSK-03 nist-800-37-r2 task-p-14 +SCF:RSK-03 nist-800-171-r3 _03.11.01.a +SCF:RSK-03 nist-800-171a-r3 a.03.11.01.a +SCF:RSK-03 nist-csf-2.0 id +SCF:RSK-03 pci-dss-4.0.1 _12.3 +SCF:RSK-03 pci-dss-4.0.1 _12.3.1 +SCF:RSK-03 pci-dss-4.0.1 _12.3.2 +SCF:RSK-03 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-03 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-03 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-03 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-03 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-03.1 nist-csf-function-grouping protect +SCF:RSK-03.1 cobit-2019 apo12.01 +SCF:RSK-03.1 cobit-2019 apo12.04 +SCF:RSK-03.1 iso-22301-2019 _6.1.1 +SCF:RSK-03.1 nist-800-39 task-2-1 +SCF:RSK-03.1 nist-800-171-r3 _03.15.02.a.03 +SCF:RSK-03.1 nist-800-171a-r3 a.03.11.01.a +SCF:RSK-03.1 nist-800-172 _3.11.5e +SCF:RSK-03.1 nist-csf-2.0 id +SCF:RSK-04 nist-csf-function-grouping identify +SCF:RSK-04 cobit-2019 apo12.02 +SCF:RSK-04 coso-2013 _7 +SCF:RSK-04 csa-ccm-4.1.0 cek-07 +SCF:RSK-04 csa-iot-scf-2 rsm-01 +SCF:RSK-04 iec-tr-60601-4-5-2021 _4.6.2 +SCF:RSK-04 iso-22301-2019 _8.2.3 +SCF:RSK-04 iso-22301-2019 _8.2.3-b +SCF:RSK-04 iso-27001-2022 _6.1.2-d +SCF:RSK-04 iso-27001-2022 _6.1.2-d-1 +SCF:RSK-04 iso-27001-2022 _6.1.2-d-2 +SCF:RSK-04 iso-27001-2022 _6.1.2-d-3 +SCF:RSK-04 iso-27001-2022 _6.1.2-e +SCF:RSK-04 iso-27001-2022 _6.1.2-e-1 +SCF:RSK-04 iso-27001-2022 _6.1.2-e-2 +SCF:RSK-04 iso-27001-2022 _8.2 +SCF:RSK-04 iso-27002-2022 _5.8 +SCF:RSK-04 iso-27002-2022 _7.5 +SCF:RSK-04 iso-27017-2015 _6.1.5 +SCF:RSK-04 iso-27017-2015 _11.1.4 +SCF:RSK-04 iso-27018-2025 _5.8 +SCF:RSK-04 iso-27018-2025 _7.5 +SCF:RSK-04 iso-27701-2025 _6.1.2-e +SCF:RSK-04 iso-31000-2018 _5.6 +SCF:RSK-04 iso-31000-2018 _6.4.1 +SCF:RSK-04 iso-31000-2018 _6.4.3 +SCF:RSK-04 iso-31000-2018 _6.4.4 +SCF:RSK-04 iso-31010-2009 _4.3.4 +SCF:RSK-04 iso-31010-2009 _5.1 +SCF:RSK-04 iso-31010-2009 _5.3.1 +SCF:RSK-04 iso-31010-2009 _5.3.4 +SCF:RSK-04 iso-31010-2009 _5.3.4-a +SCF:RSK-04 iso-31010-2009 _5.3.4-b +SCF:RSK-04 iso-31010-2009 _5.3.4-c +SCF:RSK-04 iso-31010-2009 _5.3.5 +SCF:RSK-04 iso-31010-2009 _5.3.6 +SCF:RSK-04 iso-31010-2009 _5.4 +SCF:RSK-04 iso-31010-2009 _5.5 +SCF:RSK-04 iso-42001-2023 _6.1.2 +SCF:RSK-04 iso-42001-2023 _6.1.2-a +SCF:RSK-04 iso-42001-2023 _6.1.2-c +SCF:RSK-04 iso-42001-2023 _6.1.2-d +SCF:RSK-04 iso-42001-2023 _6.1.2-d-1 +SCF:RSK-04 iso-42001-2023 _6.1.2-d-2 +SCF:RSK-04 iso-42001-2023 _6.1.2-d-3 +SCF:RSK-04 iso-42001-2023 _6.1.2-e +SCF:RSK-04 iso-42001-2023 _6.1.2-e-1 +SCF:RSK-04 iso-42001-2023 _6.1.2-e-2 +SCF:RSK-04 iso-42001-2023 _8.2 +SCF:RSK-04 iso-42001-2023 a.5.3 +SCF:RSK-04 iso-42001-2023 a.5.4 +SCF:RSK-04 iso-42001-2023 a.5.5 +SCF:RSK-04 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:RSK-04 nist-ai-100-1-ai-rmf-1.0 manage-1.0 +SCF:RSK-04 nist-privacy-framework-1.0 id.de-p5 +SCF:RSK-04 nist-privacy-framework-1.0 gv.mt-p1 +SCF:RSK-04 nist-800-37-r2 task-p-3 +SCF:RSK-04 nist-800-37-r2 task-p-14 +SCF:RSK-04 nist-800-39 _3.2 +SCF:RSK-04 nist-800-39 task-2-2 +SCF:RSK-04 nist-800-53-r4 ra-3 +SCF:RSK-04 nist-800-53-r5 ra-03 +SCF:RSK-04 nist-800-53b-r5-privacy ra-03 +SCF:RSK-04 nist-800-53b-r5-low ra-03 +SCF:RSK-04 nist-sp-800-66-r2 _164.308-a-1 +SCF:RSK-04 nist-800-82-r3 ra-03 +SCF:RSK-04 nist-800-82-r3-low-ot-overlay ra-03 +SCF:RSK-04 nist-800-82-r3-moderate-ot-overlay ra-03 +SCF:RSK-04 nist-800-82-r3-high-ot-overlay ra-03 +SCF:RSK-04 nist-800-161-r1 ra-3 +SCF:RSK-04 nist-800-161-r1-c-scrm-baseline ra-3 +SCF:RSK-04 nist-800-161-r1-level-1 ra-3 +SCF:RSK-04 nist-800-161-r1-level-2 ra-3 +SCF:RSK-04 nist-800-161-r1-level-3 ra-3 +SCF:RSK-04 nist-800-171-r2 _3.11.1 +SCF:RSK-04 nist-800-171-r3 _03.11.01.a +SCF:RSK-04 nist-800-171a _3.11.1-a +SCF:RSK-04 nist-800-171a _3.11.1-b +SCF:RSK-04 nist-800-171a-r3 a.03.11.01.a +SCF:RSK-04 nist-800-171a-r3 a.03.11.01.b +SCF:RSK-04 nist-800-172 _3.11.1e +SCF:RSK-04 nist-800-172 _3.11.5e +SCF:RSK-04 nist-csf-2.0 gv.rm-06 +SCF:RSK-04 nist-csf-2.0 id +SCF:RSK-04 nist-csf-2.0 id.ra-01 +SCF:RSK-04 nist-csf-2.0 id.ra-05 +SCF:RSK-04 pci-dss-4.0.1 _12.3 +SCF:RSK-04 pci-dss-4.0.1 _12.3.1 +SCF:RSK-04 pci-dss-4.0.1 _12.3.2 +SCF:RSK-04 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-04 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-04 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-04 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-04 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-04.1 nist-csf-function-grouping identify +SCF:RSK-04.1 cobit-2019 apo12.03 +SCF:RSK-04.1 cobit-2019 apo12.05 +SCF:RSK-04.1 coso-2013 _7 +SCF:RSK-04.1 csa-ccm-4.1.0 a-a-06 +SCF:RSK-04.1 csa-ccm-4.1.0 cek-07 +SCF:RSK-04.1 iso-31010-2009 _4.3.6 +SCF:RSK-04.1 iso-31010-2009 _5.6 +SCF:RSK-04.1 iso-42001-2023 _6.1.2 +SCF:RSK-04.1 iso-42001-2023 _9.3.2-a +SCF:RSK-04.1 iso-42001-2023 _9.3.2-b +SCF:RSK-04.1 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:RSK-04.1 nist-ai-100-1-ai-rmf-1.0 measure-3.0 +SCF:RSK-04.1 nist-ai-100-1-ai-rmf-1.0 measure-3.1 +SCF:RSK-04.1 nist-ai-100-1-ai-rmf-1.0 measure-3.2 +SCF:RSK-04.1 nist-ai-100-1-ai-rmf-1.0 manage-1.4 +SCF:RSK-04.1 nist-800-171-r3 _03.12.02.a.01 +SCF:RSK-04.1 nist-800-171-r3 _03.12.02.a.02 +SCF:RSK-04.1 nist-csf-2.0 gv.rm-06 +SCF:RSK-04.1 nist-csf-2.0 id +SCF:RSK-04.1 nist-csf-2.0 id.ra-01 +SCF:RSK-04.1 pci-dss-4.0.1 _12.3.1 +SCF:RSK-04.1 pci-dss-4.0.1 _12.3.2 +SCF:RSK-04.1 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-04.1 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-04.1 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-04.1 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-04.1 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-04.2 nist-csf-function-grouping identify +SCF:RSK-04.2 iso-27701-2025 _6.1.2-a-2 +SCF:RSK-04.2 iso-31000-2018 _5.7.2 +SCF:RSK-04.2 iso-31000-2018 _6.4.1 +SCF:RSK-04.2 iso-31000-2018 _6.4.3 +SCF:RSK-04.2 iso-31000-2018 _6.4.4 +SCF:RSK-04.2 iso-31010-2009 _4.3.1 +SCF:RSK-04.2 iso-31010-2009 _4.3.4 +SCF:RSK-04.2 iso-31010-2009 _6.2 +SCF:RSK-04.2 iso-31010-2009 _6.7 +SCF:RSK-04.2 nist-800-172 _3.11.1e +SCF:RSK-04.3 nist-csf-function-grouping identify +SCF:RSK-04.4 nist-csf-function-grouping protect +SCF:RSK-05 nist-csf-function-grouping identify +SCF:RSK-05 cobit-2019 apo12.03 +SCF:RSK-05 coso-2013 _7 +SCF:RSK-05 csa-ccm-4.1.0 cek-07 +SCF:RSK-05 csa-iot-scf-2 rsm-01 +SCF:RSK-05 csa-iot-scf-2 rsm-02 +SCF:RSK-05 iso-27701-2025 _6.1.2-d-3 +SCF:RSK-05 iso-42001-2023 _6.1.2-e-2 +SCF:RSK-05 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:RSK-05 nist-800-171-r3 _03.11.01.a +SCF:RSK-05 nist-csf-2.0 id +SCF:RSK-05 nist-csf-2.0 id.ra-05 +SCF:RSK-05 nist-csf-2.0 id.ra-06 +SCF:RSK-05 pci-dss-4.0.1 _12.3 +SCF:RSK-05 pci-dss-4.0.1 _12.3.1 +SCF:RSK-05 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-05 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-05 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-05 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-06 nist-csf-function-grouping identify +SCF:RSK-06 cis-csc-8.1 _18.3 +SCF:RSK-06 cis-csc-8.1-ig2 _18.3 +SCF:RSK-06 cis-csc-8.1-ig3 _18.3 +SCF:RSK-06 cobit-2019 apo12.06 +SCF:RSK-06 coso-2013 _7 +SCF:RSK-06 coso-2013 _13 +SCF:RSK-06 coso-2013 _17 +SCF:RSK-06 csa-ccm-4.1.0 cek-07 +SCF:RSK-06 csa-iot-scf-2 rsm-01 +SCF:RSK-06 csa-iot-scf-2 rsm-02 +SCF:RSK-06 iec-62443-2-1-2024 org-2.1 +SCF:RSK-06 iso-22301-2019 _8.2.3-c +SCF:RSK-06 iso-27001-2022 _6.1.3 +SCF:RSK-06 iso-27001-2022 _6.1.3-a +SCF:RSK-06 iso-27001-2022 _6.1.3-b +SCF:RSK-06 iso-27001-2022 _6.1.3-c +SCF:RSK-06 iso-27001-2022 _6.1.3-d +SCF:RSK-06 iso-27001-2022 _6.1.3-e +SCF:RSK-06 iso-27001-2022 _6.1.3-f +SCF:RSK-06 iso-27001-2022 _8.3 +SCF:RSK-06 iso-27002-2022 _5.8 +SCF:RSK-06 iso-27017-2015 _6.1.5 +SCF:RSK-06 iso-27018-2025 _5.8 +SCF:RSK-06 iso-27701-2025 _6.1.2-e-2 +SCF:RSK-06 iso-27701-2025 _6.1.3 +SCF:RSK-06 iso-27701-2025 _6.1.3-b +SCF:RSK-06 iso-31000-2018 _6.5.1 +SCF:RSK-06 iso-31010-2009 _4.3.5 +SCF:RSK-06 iso-42001-2023 _6.1.3 +SCF:RSK-06 iso-42001-2023 _6.1.3-a +SCF:RSK-06 iso-42001-2023 _6.1.3-b +SCF:RSK-06 iso-42001-2023 _6.1.3-c +SCF:RSK-06 iso-42001-2023 _6.1.3-d +SCF:RSK-06 iso-42001-2023 _6.1.3-e +SCF:RSK-06 iso-42001-2023 _6.1.3-f +SCF:RSK-06 iso-42001-2023 _6.1.3-g +SCF:RSK-06 iso-42001-2023 _8.3 +SCF:RSK-06 iso-42001-2023 _10.2 +SCF:RSK-06 iso-42001-2023 _10.2-a +SCF:RSK-06 iso-42001-2023 _10.2-a-1 +SCF:RSK-06 iso-42001-2023 _10.2-a-2 +SCF:RSK-06 iso-42001-2023 _10.2-b +SCF:RSK-06 iso-42001-2023 _10.2-b-1 +SCF:RSK-06 iso-42001-2023 _10.2-b-2 +SCF:RSK-06 iso-42001-2023 _10.2-b-3 +SCF:RSK-06 iso-42001-2023 _10.2-c +SCF:RSK-06 iso-42001-2023 _10.2-d +SCF:RSK-06 iso-42001-2023 _10.2-e +SCF:RSK-06 nist-ai-100-1-ai-rmf-1.0 manage-1.2 +SCF:RSK-06 nist-ai-100-1-ai-rmf-1.0 manage-4.0 +SCF:RSK-06 nist-800-39 _3.3 +SCF:RSK-06 nist-800-171-r2 _3.11.3 +SCF:RSK-06 nist-800-171-r3 _03.11.02.b +SCF:RSK-06 nist-800-171-r3 _03.12.02.a.02 +SCF:RSK-06 nist-800-172 _3.11.7e +SCF:RSK-06 nist-csf-2.0 gv.rm-04 +SCF:RSK-06 nist-csf-2.0 id.ra-05 +SCF:RSK-06 nist-csf-2.0 id.ra-06 +SCF:RSK-06 pci-dss-4.0.1 _10.7 +SCF:RSK-06 pci-dss-4.0.1 _10.7.1 +SCF:RSK-06 pci-dss-4.0.1 _10.7.2 +SCF:RSK-06 pci-dss-4.0.1 _10.7.3 +SCF:RSK-06 pci-dss-4.0.1 _12.3 +SCF:RSK-06 pci-dss-4.0.1 _12.3.1 +SCF:RSK-06 pci-dss-4.0.1 a3.3.1.2 +SCF:RSK-06 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-06 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-06 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:RSK-06 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:RSK-06 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-06 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:RSK-06 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:RSK-06 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:RSK-06 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-06.1 nist-csf-function-grouping identify +SCF:RSK-06.1 cobit-2019 apo12.06 +SCF:RSK-06.1 coso-2013 _7 +SCF:RSK-06.1 csa-ccm-4.1.0 a-a-06 +SCF:RSK-06.1 csa-ccm-4.1.0 cek-07 +SCF:RSK-06.1 csa-iot-scf-2 rsm-01 +SCF:RSK-06.1 csa-iot-scf-2 rsm-02 +SCF:RSK-06.1 iso-27001-2022 _6.1.3 +SCF:RSK-06.1 iso-27001-2022 _6.1.3-a +SCF:RSK-06.1 iso-27001-2022 _6.1.3-b +SCF:RSK-06.1 iso-27001-2022 _6.1.3-c +SCF:RSK-06.1 iso-27001-2022 _6.1.3-d +SCF:RSK-06.1 iso-27001-2022 _6.1.3-e +SCF:RSK-06.1 iso-27001-2022 _6.1.3-f +SCF:RSK-06.1 iso-27001-2022 _8.3 +SCF:RSK-06.1 iso-27002-2022 _5.8 +SCF:RSK-06.1 iso-27017-2015 _6.1.5 +SCF:RSK-06.1 iso-27018-2025 _5.8 +SCF:RSK-06.1 iso-27701-2025 _6.1.3 +SCF:RSK-06.1 iso-31010-2009 _4.3.5 +SCF:RSK-06.1 iso-42001-2023 _6.1.3 +SCF:RSK-06.1 iso-42001-2023 _6.1.3-a +SCF:RSK-06.1 iso-42001-2023 _6.1.3-b +SCF:RSK-06.1 iso-42001-2023 _6.1.3-c +SCF:RSK-06.1 iso-42001-2023 _6.1.3-d +SCF:RSK-06.1 iso-42001-2023 _6.1.3-e +SCF:RSK-06.1 iso-42001-2023 _6.1.3-f +SCF:RSK-06.1 iso-42001-2023 _6.1.3-g +SCF:RSK-06.1 iso-42001-2023 _8.3 +SCF:RSK-06.1 nist-ai-100-1-ai-rmf-1.0 manage-1.3 +SCF:RSK-06.1 nist-ai-100-1-ai-rmf-1.0 manage-2.3 +SCF:RSK-06.1 nist-ai-100-1-ai-rmf-1.0 manage-2.4 +SCF:RSK-06.1 nist-ai-100-1-ai-rmf-1.0 manage-4.0 +SCF:RSK-06.1 nist-800-39 _3.3 +SCF:RSK-06.1 nist-800-53-r5 ra-07 +SCF:RSK-06.1 nist-800-53b-r5-privacy ra-07 +SCF:RSK-06.1 nist-800-53b-r5-low ra-07 +SCF:RSK-06.1 nist-800-82-r3 ra-07 +SCF:RSK-06.1 nist-800-82-r3-low-ot-overlay ra-07 +SCF:RSK-06.1 nist-800-82-r3-moderate-ot-overlay ra-07 +SCF:RSK-06.1 nist-800-82-r3-high-ot-overlay ra-07 +SCF:RSK-06.1 nist-800-161-r1 ra-7 +SCF:RSK-06.1 nist-800-161-r1-c-scrm-baseline ra-7 +SCF:RSK-06.1 nist-800-161-r1-level-1 ra-7 +SCF:RSK-06.1 nist-800-161-r1-level-2 ra-7 +SCF:RSK-06.1 nist-800-161-r1-level-3 ra-7 +SCF:RSK-06.1 nist-800-171-r3 _03.11.02.b +SCF:RSK-06.1 nist-800-171-r3 _03.11.04 +SCF:RSK-06.1 nist-800-171a-r3 a.03.11.04-01 +SCF:RSK-06.1 nist-800-171a-r3 a.03.11.04-02 +SCF:RSK-06.1 nist-800-171a-r3 a.03.11.04-03 +SCF:RSK-06.1 nist-800-172 _3.11.6e +SCF:RSK-06.1 nist-csf-2.0 gv.rm-04 +SCF:RSK-06.1 nist-csf-2.0 id.ra-05 +SCF:RSK-06.1 nist-csf-2.0 id.ra-06 +SCF:RSK-06.1 pci-dss-4.0.1 _10.7 +SCF:RSK-06.1 pci-dss-4.0.1 _10.7.1 +SCF:RSK-06.1 pci-dss-4.0.1 _10.7.2 +SCF:RSK-06.1 pci-dss-4.0.1 _10.7.3 +SCF:RSK-06.1 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:RSK-06.1 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:RSK-06.1 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:RSK-06.1 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:RSK-06.1 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:RSK-06.2 nist-csf-function-grouping respond +SCF:RSK-06.2 cis-csc-8.1 _2.2 +SCF:RSK-06.2 cis-csc-8.1-ig1 _2.2 +SCF:RSK-06.2 cis-csc-8.1-ig2 _2.2 +SCF:RSK-06.2 cis-csc-8.1-ig3 _2.2 +SCF:RSK-06.2 iec-tr-60601-4-5-2021 _4.3 +SCF:RSK-06.2 iec-tr-60601-4-5-2021 _5.2 +SCF:RSK-06.2 iec-62443-2-1-2024 comp-3.5 +SCF:RSK-06.2 iso-27018-2025 _8.31-a +SCF:RSK-06.2 iso-27701-2025 _6.1.3 +SCF:RSK-06.2 iso-31000-2018 _6.5.2 +SCF:RSK-06.2 iso-31010-2009 _4.3.5 +SCF:RSK-06.2 iso-42001-2023 _6.1.3-b +SCF:RSK-06.2 iso-42001-2023 _6.1.3-c +SCF:RSK-06.2 iso-42001-2023 _6.1.3-d +SCF:RSK-06.2 iso-42001-2023 _8.3 +SCF:RSK-06.2 nist-ai-100-1-ai-rmf-1.0 manage-2.1 +SCF:RSK-06.2 nist-800-37-r2 task-s-2 +SCF:RSK-06.2 nist-800-39 _3.3 +SCF:RSK-06.2 nist-800-39 task-3-1 +SCF:RSK-06.2 nist-800-171-r3 _03.11.02.b +SCF:RSK-06.2 nist-csf-2.0 gv.rm-04 +SCF:RSK-06.2 nist-csf-2.0 id.ra-06 +SCF:RSK-06.2 pci-dss-4.0.1 _1.2.6 +SCF:RSK-06.2 pci-dss-4.0.1 _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1 _12.3.1 +SCF:RSK-06.2 pci-dss-4.0.1 _12.3.2 +SCF:RSK-06.2 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:RSK-06.2 pci-dss-4.0.1-saq-a-ep _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-06.2 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:RSK-06.2 pci-dss-4.0.1-saq-c _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-06.2 pci-dss-4.0.1-saq-c-vt _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-merchant _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-service-provider _2.2.4 +SCF:RSK-06.2 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-06.3 nist-csf-function-grouping protect +SCF:RSK-06.3 iso-sae-21434-2021 rq-15-17 +SCF:RSK-06.3 iso-sae-21434-2021 rq-15-17-a +SCF:RSK-06.3 iso-sae-21434-2021 rq-15-17-b +SCF:RSK-06.3 iso-sae-21434-2021 rq-15-17-c +SCF:RSK-06.3 iso-sae-21434-2021 rq-15-17-d +SCF:RSK-06.3 iso-27701-2025 _6.1.3-a +SCF:RSK-06.3 iso-31000-2018 _6.5.2 +SCF:RSK-06.3 iso-31010-2009 _4.3.5 +SCF:RSK-06.3 iso-31010-2009 _5.3.3 +SCF:RSK-06.3 nist-800-39 _3.3 +SCF:RSK-06.3 nist-800-39 task-3-1 +SCF:RSK-06.3 nist-800-39 task-3-2 +SCF:RSK-06.4 nist-csf-function-grouping protect +SCF:RSK-06.4 cobit-2019 apo12.06 +SCF:RSK-06.4 cobit-2019 apo13.02 +SCF:RSK-06.4 csa-ccm-4.1.0 a-a-06 +SCF:RSK-06.4 iso-sae-21434-2021 rq-09-04 +SCF:RSK-06.4 iso-sae-21434-2021 rq-09-05 +SCF:RSK-06.4 iso-sae-21434-2021 rq-09-06 +SCF:RSK-06.4 iso-sae-21434-2021 rq-09-06-a +SCF:RSK-06.4 iso-sae-21434-2021 rq-09-06-b +SCF:RSK-06.4 iso-27701-2025 _6.1.3-f +SCF:RSK-06.4 iso-27701-2025 _6.1.3-g +SCF:RSK-06.4 iso-27701-2025 _8.3 +SCF:RSK-06.4 iso-31000-2018 _6.5.3 +SCF:RSK-06.4 iso-31010-2009 _4.3.5 +SCF:RSK-06.4 iso-31010-2009 _5.3.3 +SCF:RSK-06.4 nist-800-37-r2 task-r-3 +SCF:RSK-06.4 nist-800-39 _3.3 +SCF:RSK-06.4 nist-800-39 task-3-3 +SCF:RSK-06.4 nist-800-39 task-3-4 +SCF:RSK-07 nist-csf-function-grouping identify +SCF:RSK-07 coso-2013 _7 +SCF:RSK-07 nist-privacy-framework-1.0 id.de-p5 +SCF:RSK-07 nist-privacy-framework-1.0 gv.mt-p1 +SCF:RSK-07 nist-800-171-r3 _03.11.01.b +SCF:RSK-07 nist-800-171a-r3 a.03.11.01.odp-01 +SCF:RSK-07 nist-800-171a-r3 a.03.11.01.b +SCF:RSK-07 pci-dss-4.0.1 _12.3.1 +SCF:RSK-07 pci-dss-4.0.1 _12.3.2 +SCF:RSK-07 pci-dss-4.0.1-saq-a-ep _12.3.1 +SCF:RSK-07 pci-dss-4.0.1-saq-c _12.3.1 +SCF:RSK-07 pci-dss-4.0.1-saq-d-merchant _12.3.1 +SCF:RSK-07 pci-dss-4.0.1-saq-d-merchant _12.3.2 +SCF:RSK-07 pci-dss-4.0.1-saq-d-service-provider _12.3.1 +SCF:RSK-08 nist-csf-function-grouping identify +SCF:RSK-08 cobit-2019 apo12.03 +SCF:RSK-08 cobit-2019 bai04.02 +SCF:RSK-08 coso-2013 _7 +SCF:RSK-08 csa-ccm-4.1.0 bcr-02 +SCF:RSK-08 csa-iot-scf-2 rsm-01 +SCF:RSK-08 csa-iot-scf-2 rsm-03 +SCF:RSK-08 iso-22301-2019 _8.2.1 +SCF:RSK-08 iso-22301-2019 _8.2.1-a +SCF:RSK-08 iso-22301-2019 _8.2.1-b +SCF:RSK-08 iso-22301-2019 _8.2.2 +SCF:RSK-08 iso-22301-2019 _8.2.2-a +SCF:RSK-08 iso-22301-2019 _8.2.2-b +SCF:RSK-08 iso-22301-2019 _8.2.2-c +SCF:RSK-08 iso-22301-2019 _8.2.2-d +SCF:RSK-08 iso-22301-2019 _8.2.2-e +SCF:RSK-08 iso-22301-2019 _8.2.2-f +SCF:RSK-08 iso-22301-2019 _8.2.2-g +SCF:RSK-08 iso-22301-2019 _8.2.2-h +SCF:RSK-08 iso-27002-2022 _5.3 +SCF:RSK-08 iso-27018-2025 _5.30 +SCF:RSK-08 iso-42001-2023 _6.1.4 +SCF:RSK-08 iso-42001-2023 _8.4 +SCF:RSK-08 iso-42001-2023 a.5.3 +SCF:RSK-08 iso-42001-2023 a.5.4 +SCF:RSK-08 iso-42001-2023 a.5.5 +SCF:RSK-08 nist-ai-100-1-ai-rmf-1.0 govern-1.5 +SCF:RSK-08 nist-ai-100-1-ai-rmf-1.0 map-1.1 +SCF:RSK-08 nist-ai-100-1-ai-rmf-1.0 map-5.1 +SCF:RSK-08 pci-dss-4.0.1 a3.2.2 +SCF:RSK-09 nist-csf-function-grouping identify +SCF:RSK-09 cis-csc-8.1 _15.2 +SCF:RSK-09 cis-csc-8.1-ig2 _15.2 +SCF:RSK-09 cis-csc-8.1-ig3 _15.2 +SCF:RSK-09 cobit-2019 apo12.01 +SCF:RSK-09 cobit-2019 apo12.02 +SCF:RSK-09 cobit-2019 apo12.03 +SCF:RSK-09 cobit-2019 apo12.04 +SCF:RSK-09 coso-2013 _7 +SCF:RSK-09 coso-2013 _16 +SCF:RSK-09 csa-iot-scf-2 sdv-02 +SCF:RSK-09 iso-27002-2022 _5.21 +SCF:RSK-09 iso-27002-2022 _8.3 +SCF:RSK-09 iso-27018-2025 _5.21 +SCF:RSK-09 iso-27018-2025 _8.30 +SCF:RSK-09 iso-42001-2023 a.10 +SCF:RSK-09 iso-42001-2023 a.10.2 +SCF:RSK-09 iso-42001-2023 a.10.3 +SCF:RSK-09 nist-ai-100-1-ai-rmf-1.0 manage-3.0 +SCF:RSK-09 nist-privacy-framework-1.0 id.de-p2 +SCF:RSK-09 nist-privacy-framework-1.0 id.de-p3 +SCF:RSK-09 nist-800-53-r4 sa-12 +SCF:RSK-09 nist-800-53-r5 pm-29 +SCF:RSK-09 nist-800-53-r5 pm-30 +SCF:RSK-09 nist-800-53-r5 sa-09-03 +SCF:RSK-09 nist-800-53-r5 sr-02 +SCF:RSK-09 nist-800-53-r5 sr-07 +SCF:RSK-09 nist-800-53b-r5-privacy pm-29 +SCF:RSK-09 nist-800-53b-r5-privacy sr-02 +SCF:RSK-09 nist-800-53b-r5-privacy sr-07 +SCF:RSK-09 nist-800-53b-r5-low sr-02 +SCF:RSK-09 nist-800-82-r3 pm-29 +SCF:RSK-09 nist-800-82-r3 pm-30 +SCF:RSK-09 nist-800-82-r3 sa-09-03 +SCF:RSK-09 nist-800-82-r3 sr-02 +SCF:RSK-09 nist-800-82-r3 sr-07 +SCF:RSK-09 nist-800-82-r3-low-ot-overlay pm-29 +SCF:RSK-09 nist-800-82-r3-low-ot-overlay pm-30 +SCF:RSK-09 nist-800-82-r3-low-ot-overlay sr-02 +SCF:RSK-09 nist-800-82-r3-moderate-ot-overlay pm-29 +SCF:RSK-09 nist-800-82-r3-moderate-ot-overlay pm-30 +SCF:RSK-09 nist-800-82-r3-moderate-ot-overlay sr-02 +SCF:RSK-09 nist-800-82-r3-high-ot-overlay pm-29 +SCF:RSK-09 nist-800-82-r3-high-ot-overlay pm-30 +SCF:RSK-09 nist-800-82-r3-high-ot-overlay sr-02 +SCF:RSK-09 nist-800-160-vol2-r1 sr-07 +SCF:RSK-09 nist-800-161-r1 pm-29 +SCF:RSK-09 nist-800-161-r1 pm-30 +SCF:RSK-09 nist-800-161-r1 sa-9-3 +SCF:RSK-09 nist-800-161-r1 sr-2 +SCF:RSK-09 nist-800-161-r1 sr-7 +SCF:RSK-09 nist-800-161-r1-c-scrm-baseline pm-30 +SCF:RSK-09 nist-800-161-r1-c-scrm-baseline sr-2 +SCF:RSK-09 nist-800-161-r1-flow-down pm-30 +SCF:RSK-09 nist-800-161-r1-level-1 pm-29 +SCF:RSK-09 nist-800-161-r1-level-1 pm-30 +SCF:RSK-09 nist-800-161-r1-level-1 sa-9-3 +SCF:RSK-09 nist-800-161-r1-level-2 pm-30 +SCF:RSK-09 nist-800-161-r1-level-2 sa-9-3 +SCF:RSK-09 nist-800-161-r1-level-2 sr-7 +SCF:RSK-09 nist-800-161-r1-level-3 sa-9-3 +SCF:RSK-09 nist-800-161-r1-level-3 sr-2 +SCF:RSK-09 nist-800-161-r1-level-3 sr-7 +SCF:RSK-09 nist-800-171-r3 _03.11.01.a +SCF:RSK-09 nist-800-171-r3 _03.17.01.a +SCF:RSK-09 nist-800-171-r3 _03.17.01.b +SCF:RSK-09 nist-800-171-r3 _03.17.03.a +SCF:RSK-09 nist-800-171-r3 _03.17.03.b +SCF:RSK-09 nist-800-171a-r3 a.03.11.01.a +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.odp-01 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-01 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-02 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-03 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-04 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-05 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-06 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-07 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-08 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-09 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.a-10 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.b-01 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.b-02 +SCF:RSK-09 nist-800-171a-r3 a.03.17.01.c +SCF:RSK-09 nist-800-171a-r3 a.03.17.03.odp-01 +SCF:RSK-09 nist-800-171a-r3 a.03.17.03.a-01 +SCF:RSK-09 nist-800-171a-r3 a.03.17.03.a-02 +SCF:RSK-09 nist-800-171a-r3 a.03.17.03.b +SCF:RSK-09 nist-800-172 _3.11.6e +SCF:RSK-09 nist-800-172 _3.11.7e +SCF:RSK-09 nist-csf-2.0 gv.sc +SCF:RSK-09 nist-csf-2.0 gv.sc-01 +SCF:RSK-09 nist-csf-2.0 gv.sc-03 +SCF:RSK-09 nist-csf-2.0 gv.sc-05 +SCF:RSK-09 nist-csf-2.0 gv.sc-09 +SCF:RSK-09 nist-csf-2.0 gv.sc-10 +SCF:RSK-09 nist-csf-2.0 id +SCF:RSK-09 nist-csf-2.0 id.ra +SCF:RSK-09 nist-csf-2.0 id.im +SCF:RSK-09 nist-csf-2.0 pr +SCF:RSK-09 owasp-top-10-2025 a03-2025 +SCF:RSK-09.1 nist-csf-function-grouping identify +SCF:RSK-09.1 cis-csc-8.1 _15.5 +SCF:RSK-09.1 cis-csc-8.1-ig3 _15.5 +SCF:RSK-09.1 cobit-2019 apo12.01 +SCF:RSK-09.1 cobit-2019 apo12.02 +SCF:RSK-09.1 cobit-2019 apo12.03 +SCF:RSK-09.1 cobit-2019 apo12.04 +SCF:RSK-09.1 coso-2013 _7 +SCF:RSK-09.1 iso-27002-2022 _8.3 +SCF:RSK-09.1 iso-27018-2025 _8.30 +SCF:RSK-09.1 nist-ai-100-1-ai-rmf-1.0 manage-3.1 +SCF:RSK-09.1 nist-privacy-framework-1.0 id.de-p5 +SCF:RSK-09.1 nist-privacy-framework-1.0 gv.mt-p1 +SCF:RSK-09.1 nist-800-53-r5 ra-03-01 +SCF:RSK-09.1 nist-800-53b-r5-low ra-03-01 +SCF:RSK-09.1 nist-800-82-r3 ra-03-01 +SCF:RSK-09.1 nist-800-82-r3-low-ot-overlay ra-03-01 +SCF:RSK-09.1 nist-800-82-r3-moderate-ot-overlay ra-03-01 +SCF:RSK-09.1 nist-800-82-r3-high-ot-overlay ra-03-01 +SCF:RSK-09.1 nist-800-161-r1 ra-3-1 +SCF:RSK-09.1 nist-800-161-r1-c-scrm-baseline ra-3-1 +SCF:RSK-09.1 nist-800-161-r1-flow-down ra-3-1 +SCF:RSK-09.1 nist-800-161-r1-level-1 ra-3-1 +SCF:RSK-09.1 nist-800-161-r1-level-2 ra-3-1 +SCF:RSK-09.1 nist-800-161-r1-level-3 ra-3-1 +SCF:RSK-09.1 nist-800-171-r3 _03.11.01.a +SCF:RSK-09.1 nist-800-171-r3 _03.11.01.b +SCF:RSK-09.1 nist-800-171-r3 _03.17.03.a +SCF:RSK-09.1 nist-800-172 _3.11.6e +SCF:RSK-09.1 nist-csf-2.0 gv.sc +SCF:RSK-09.1 nist-csf-2.0 gv.sc-09 +SCF:RSK-09.1 owasp-top-10-2025 a03-2025 +SCF:RSK-09.2 nist-csf-function-grouping protect +SCF:RSK-09.2 nist-ai-100-1-ai-rmf-1.0 govern-6.0 +SCF:RSK-09.2 nist-ai-100-1-ai-rmf-1.0 manage-3.0 +SCF:RSK-09.2 nist-ai-100-1-ai-rmf-1.0 manage-3.1 +SCF:RSK-10 nist-csf-function-grouping identify +SCF:RSK-10 cobit-2019 apo12.01 +SCF:RSK-10 cobit-2019 apo12.02 +SCF:RSK-10 cobit-2019 apo12.03 +SCF:RSK-10 cobit-2019 apo12.04 +SCF:RSK-10 coso-2013 _7 +SCF:RSK-10 csa-ccm-4.1.0 dsp-09 +SCF:RSK-10 csa-iot-scf-2 gvn-07 +SCF:RSK-10 csa-iot-scf-2 gvn-08 +SCF:RSK-10 csa-iot-scf-2 lgl-01 +SCF:RSK-10 csa-iot-scf-2 lgl-03 +SCF:RSK-10 iso-27002-2022 _5.33 +SCF:RSK-10 iso-27017-2015 _18.1.4 +SCF:RSK-10 iso-27018-2025 _5.33 +SCF:RSK-10 iso-27018-2025 _5.35-a +SCF:RSK-10 iso-27018-2025 _8.31-a +SCF:RSK-10 iso-27701-2025 _6.1.2 +SCF:RSK-10 iso-27701-2025 _6.1.2-a +SCF:RSK-10 iso-27701-2025 _6.1.2-a-1 +SCF:RSK-10 iso-27701-2025 _6.1.2-a-2 +SCF:RSK-10 iso-27701-2025 _6.1.2-b +SCF:RSK-10 iso-27701-2025 _6.1.2-c +SCF:RSK-10 iso-27701-2025 _6.1.2-c-1 +SCF:RSK-10 iso-27701-2025 _6.1.2-c-2 +SCF:RSK-10 iso-27701-2025 _6.1.2-d +SCF:RSK-10 iso-27701-2025 _6.1.2-d-1 +SCF:RSK-10 iso-27701-2025 _6.1.2-d-2 +SCF:RSK-10 iso-27701-2025 _6.1.2-d-3 +SCF:RSK-10 iso-27701-2025 _6.1.2-e +SCF:RSK-10 iso-27701-2025 _6.1.2-e-1 +SCF:RSK-10 iso-27701-2025 _6.1.2-e-2 +SCF:RSK-10 iso-27701-2025 _8.2 +SCF:RSK-10 iso-42001-2023 _6.1.4 +SCF:RSK-10 iso-42001-2023 _8.4 +SCF:RSK-10 iso-42001-2023 a.5.3 +SCF:RSK-10 iso-42001-2023 a.5.4 +SCF:RSK-10 iso-42001-2023 a.5.5 +SCF:RSK-10 nist-ai-100-1-ai-rmf-1.0 map-1.1 +SCF:RSK-10 nist-ai-100-1-ai-rmf-1.0 measure-2.10 +SCF:RSK-10 nist-privacy-framework-1.0 id.im-p7 +SCF:RSK-10 nist-privacy-framework-1.0 id.ra-p1 +SCF:RSK-10 nist-privacy-framework-1.0 id.ra-p2 +SCF:RSK-10 nist-privacy-framework-1.0 id.ra-p3 +SCF:RSK-10 nist-privacy-framework-1.0 id.ra-p4 +SCF:RSK-10 nist-privacy-framework-1.0 id.ra-p5 +SCF:RSK-10 nist-privacy-framework-1.0 id.de-p2 +SCF:RSK-10 nist-privacy-framework-1.0 id.de-p3 +SCF:RSK-10 nist-privacy-framework-1.0 gv.mt-p1 +SCF:RSK-10 nist-800-53-r4 ar-2 +SCF:RSK-10 nist-800-53-r5 ra-08 +SCF:RSK-10 nist-800-53b-r5-privacy ra-08 +SCF:RSK-10 nist-800-82-r3 ra-08 +SCF:RSK-10 pci-dss-4.0.1 a3.2.2 +SCF:RSK-11 nist-csf-function-grouping detect +SCF:RSK-11 nist-800-53-r5 ca-07-04 +SCF:RSK-11 nist-800-53b-r5-privacy ca-07-04 +SCF:RSK-11 nist-800-53b-r5-low ca-07-04 +SCF:RSK-11 nist-800-82-r3 ca-07-04 +SCF:RSK-11 nist-800-82-r3-low-ot-overlay ca-07-04 +SCF:RSK-11 nist-800-82-r3-moderate-ot-overlay ca-07-04 +SCF:RSK-11 nist-800-82-r3-high-ot-overlay ca-07-04 +SCF:RSK-12 nist-csf-function-grouping identify +SCF:RSK-12 nist-ai-100-1-ai-rmf-1.0 govern-4.0 +SCF:RSK-12 nist-csf-2.0 gv.rr-01 +SCF:RSK-13 nist-csf-function-grouping govern +SCF:RSK-13.1 nist-csf-function-grouping govern +SCF:RSK-13.2 nist-csf-function-grouping govern +SCF:SEA-01 nist-csf-function-grouping govern +SCF:SEA-01 cis-csc-8.1 _12.2 +SCF:SEA-01 cis-csc-8.1 _12.6 +SCF:SEA-01 cis-csc-8.1 _16.0 +SCF:SEA-01 cis-csc-8.1 _16.1 +SCF:SEA-01 cis-csc-8.1-ig2 _12.2 +SCF:SEA-01 cis-csc-8.1-ig2 _12.6 +SCF:SEA-01 cis-csc-8.1-ig2 _16.1 +SCF:SEA-01 cis-csc-8.1-ig3 _12.2 +SCF:SEA-01 cis-csc-8.1-ig3 _12.6 +SCF:SEA-01 cis-csc-8.1-ig3 _16.1 +SCF:SEA-01 cobit-2019 apo03.01 +SCF:SEA-01 cobit-2019 apo03.02 +SCF:SEA-01 cobit-2019 apo03.03 +SCF:SEA-01 cobit-2019 apo03.04 +SCF:SEA-01 cobit-2019 apo03.05 +SCF:SEA-01 cobit-2019 apo04.05 +SCF:SEA-01 coso-2013 _10 +SCF:SEA-01 coso-2013 _11 +SCF:SEA-01 coso-2013 _14 +SCF:SEA-01 csa-ccm-4.1.0 dcs-18 +SCF:SEA-01 csa-ccm-4.1.0 dsp-07 +SCF:SEA-01 csa-ccm-4.1.0 i-s-01 +SCF:SEA-01 csa-iot-scf-2 cls-05 +SCF:SEA-01 csa-iot-scf-2 gvn-02 +SCF:SEA-01 csa-iot-scf-2 sws-04 +SCF:SEA-01 iso-sae-21434-2021 rq-10-06 +SCF:SEA-01 iso-27002-2022 _8.12 +SCF:SEA-01 iso-27002-2022 _8.26 +SCF:SEA-01 iso-27002-2022 _8.27 +SCF:SEA-01 iso-27017-2015 _14.1.2 +SCF:SEA-01 iso-27017-2015 _14.2.5 +SCF:SEA-01 iso-27018-2025 _8.12 +SCF:SEA-01 iso-27018-2025 _8.26 +SCF:SEA-01 iso-27018-2025 _8.27 +SCF:SEA-01 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:SEA-01 nist-privacy-framework-1.0 id.de-p4 +SCF:SEA-01 nist-privacy-framework-1.0 gv.po-p2 +SCF:SEA-01 nist-privacy-framework-1.0 cm.aw-p3 +SCF:SEA-01 nist-privacy-framework-1.0 pr.ds-p5 +SCF:SEA-01 nist-800-37-r2 task-p-15 +SCF:SEA-01 nist-800-53-r4 ar-7 +SCF:SEA-01 nist-800-53-r4 sa-8 +SCF:SEA-01 nist-800-53-r4 sa-13 +SCF:SEA-01 nist-800-53-r4 sc-1 +SCF:SEA-01 nist-800-53-r4 sc-7-18 +SCF:SEA-01 nist-800-53-r4 si-1 +SCF:SEA-01 nist-800-53-r5 pt-01 +SCF:SEA-01 nist-800-53-r5 sa-08 +SCF:SEA-01 nist-800-53-r5 sa-15-05 +SCF:SEA-01 nist-800-53-r5 sc-01 +SCF:SEA-01 nist-800-53-r5 sc-07-18 +SCF:SEA-01 nist-800-53-r5 si-01 +SCF:SEA-01 nist-800-53b-r5-privacy pt-01 +SCF:SEA-01 nist-800-53b-r5-privacy sa-08 +SCF:SEA-01 nist-800-53b-r5-privacy sa-15-05 +SCF:SEA-01 nist-800-53b-r5-privacy sc-01 +SCF:SEA-01 nist-800-53b-r5-privacy si-01 +SCF:SEA-01 nist-800-53b-r5-low sa-08 +SCF:SEA-01 nist-800-53b-r5-low sc-01 +SCF:SEA-01 nist-800-53b-r5-low si-01 +SCF:SEA-01 nist-800-53b-r5-high sc-07-18 +SCF:SEA-01 nist-800-82-r3 pt-01 +SCF:SEA-01 nist-800-82-r3 sa-08 +SCF:SEA-01 nist-800-82-r3 sa-15-05 +SCF:SEA-01 nist-800-82-r3 sc-01 +SCF:SEA-01 nist-800-82-r3 sc-07-18 +SCF:SEA-01 nist-800-82-r3 si-01 +SCF:SEA-01 nist-800-82-r3-low-ot-overlay sa-08 +SCF:SEA-01 nist-800-82-r3-low-ot-overlay sc-01 +SCF:SEA-01 nist-800-82-r3-low-ot-overlay si-01 +SCF:SEA-01 nist-800-82-r3-moderate-ot-overlay sa-08 +SCF:SEA-01 nist-800-82-r3-moderate-ot-overlay sc-01 +SCF:SEA-01 nist-800-82-r3-moderate-ot-overlay sc-07-18 +SCF:SEA-01 nist-800-82-r3-moderate-ot-overlay si-01 +SCF:SEA-01 nist-800-82-r3-high-ot-overlay sa-08 +SCF:SEA-01 nist-800-82-r3-high-ot-overlay sc-01 +SCF:SEA-01 nist-800-82-r3-high-ot-overlay sc-07-18 +SCF:SEA-01 nist-800-82-r3-high-ot-overlay si-01 +SCF:SEA-01 nist-800-160-vol2-r1 sa-15-05 +SCF:SEA-01 nist-800-161-r1 pt-1 +SCF:SEA-01 nist-800-161-r1 sa-8 +SCF:SEA-01 nist-800-161-r1 sc-1 +SCF:SEA-01 nist-800-161-r1 si-1 +SCF:SEA-01 nist-800-161-r1-c-scrm-baseline sa-8 +SCF:SEA-01 nist-800-161-r1-c-scrm-baseline sc-1 +SCF:SEA-01 nist-800-161-r1-c-scrm-baseline si-1 +SCF:SEA-01 nist-800-161-r1-flow-down pt-1 +SCF:SEA-01 nist-800-161-r1-level-1 pt-1 +SCF:SEA-01 nist-800-161-r1-level-1 sa-8 +SCF:SEA-01 nist-800-161-r1-level-1 sc-1 +SCF:SEA-01 nist-800-161-r1-level-1 si-1 +SCF:SEA-01 nist-800-161-r1-level-2 pt-1 +SCF:SEA-01 nist-800-161-r1-level-2 sa-8 +SCF:SEA-01 nist-800-161-r1-level-2 sc-1 +SCF:SEA-01 nist-800-161-r1-level-2 si-1 +SCF:SEA-01 nist-800-161-r1-level-3 pt-1 +SCF:SEA-01 nist-800-161-r1-level-3 sa-8 +SCF:SEA-01 nist-800-161-r1-level-3 sc-1 +SCF:SEA-01 nist-800-161-r1-level-3 si-1 +SCF:SEA-01 nist-800-171-r2 _3.13.2 +SCF:SEA-01 nist-800-171-r3 _03.01.12.a +SCF:SEA-01 nist-800-171-r3 _03.01.16.a +SCF:SEA-01 nist-800-171-r3 _03.01.16.b +SCF:SEA-01 nist-800-171-r3 _03.01.16.c +SCF:SEA-01 nist-800-171-r3 _03.01.18.a +SCF:SEA-01 nist-800-171-r3 _03.13.01.c +SCF:SEA-01 nist-800-171-r3 _03.16.01 +SCF:SEA-01 nist-800-171a _3.13.2-a +SCF:SEA-01 nist-800-171a _3.13.2-c +SCF:SEA-01 nist-800-171a _3.13.2-d +SCF:SEA-01 nist-800-171a _3.13.2-f +SCF:SEA-01 nist-800-171a-r3 a.03.16.01.odp-01 +SCF:SEA-01 nist-csf-2.0 pr.ir +SCF:SEA-01 nist-csf-2.0 pr.ir-01 +SCF:SEA-01 nist-csf-2.0 pr.ir-03 +SCF:SEA-01 owasp-top-10-2025 a01-2025 +SCF:SEA-01 owasp-top-10-2025 a05-2025 +SCF:SEA-01 pci-dss-4.0.1 _1.2 +SCF:SEA-01 pci-dss-4.0.1 _6.1 +SCF:SEA-01 pci-dss-4.0.1 _6.2 +SCF:SEA-01 pci-dss-4.0.1 _6.2.1 +SCF:SEA-01 pci-dss-4.0.1 _8.5 +SCF:SEA-01 pci-dss-4.0.1 _8.5.1 +SCF:SEA-01 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:SEA-01 pci-dss-4.0.1-saq-a-ep _8.5.1 +SCF:SEA-01 pci-dss-4.0.1-saq-c _6.2.1 +SCF:SEA-01 pci-dss-4.0.1-saq-c _8.5.1 +SCF:SEA-01 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:SEA-01 pci-dss-4.0.1-saq-d-merchant _8.5.1 +SCF:SEA-01 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:SEA-01 pci-dss-4.0.1-saq-d-service-provider _8.5.1 +SCF:SEA-01.1 nist-csf-function-grouping protect +SCF:SEA-01.1 cis-csc-8.1 _16.1 +SCF:SEA-01.1 cis-csc-8.1-ig2 _16.1 +SCF:SEA-01.1 cis-csc-8.1-ig3 _16.1 +SCF:SEA-01.1 cobit-2019 apo03.01 +SCF:SEA-01.1 cobit-2019 apo03.03 +SCF:SEA-01.1 coso-2013 _10 +SCF:SEA-01.1 coso-2013 _11 +SCF:SEA-01.1 csa-iot-scf-2 cls-05 +SCF:SEA-01.1 csa-iot-scf-2 gvn-02 +SCF:SEA-01.1 iso-27002-2022 _8.12 +SCF:SEA-01.1 iso-27018-2025 _8.12 +SCF:SEA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:SEA-01.1 nist-privacy-framework-1.0 gv.po-p2 +SCF:SEA-01.1 nist-800-53-r4 pl-9 +SCF:SEA-01.1 nist-800-53-r5 pl-09 +SCF:SEA-01.1 nist-800-53b-r5-privacy pl-09 +SCF:SEA-01.1 nist-800-82-r3 pl-09 +SCF:SEA-01.1 nist-800-161-r1 pl-9 +SCF:SEA-01.1 nist-800-161-r1-level-1 pl-9 +SCF:SEA-01.1 nist-800-161-r1-level-2 pl-9 +SCF:SEA-01.1 nist-csf-2.0 pr.ir +SCF:SEA-01.1 owasp-top-10-2025 a01-2025 +SCF:SEA-01.1 owasp-top-10-2025 a05-2025 +SCF:SEA-01.1 pci-dss-4.0.1 _1.1 +SCF:SEA-01.1 pci-dss-4.0.1 _10.7 +SCF:SEA-01.1 pci-dss-4.0.1 _10.7.1 +SCF:SEA-01.1 pci-dss-4.0.1 _10.7.2 +SCF:SEA-01.1 pci-dss-4.0.1 _10.7.3 +SCF:SEA-01.1 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:SEA-01.1 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:SEA-01.1 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:SEA-01.1 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:SEA-01.1 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:SEA-01.2 nist-csf-function-grouping protect +SCF:SEA-01.2 csa-ccm-4.1.0 dcs-18 +SCF:SEA-01.2 nist-ai-100-1-ai-rmf-1.0 measure-2.7 +SCF:SEA-01.2 nist-csf-2.0 pr.ir +SCF:SEA-01.2 nist-csf-2.0 pr.ir-02 +SCF:SEA-01.2 nist-csf-2.0 pr.ir-03 +SCF:SEA-01.3 nist-csf-function-grouping protect +SCF:SEA-01.3 csa-ccm-4.1.0 dcs-18 +SCF:SEA-02 nist-csf-function-grouping protect +SCF:SEA-02 cis-csc-8.1 _12.2 +SCF:SEA-02 cis-csc-8.1 _16.1 +SCF:SEA-02 cis-csc-8.1-ig2 _12.2 +SCF:SEA-02 cis-csc-8.1-ig2 _16.1 +SCF:SEA-02 cis-csc-8.1-ig3 _12.2 +SCF:SEA-02 cis-csc-8.1-ig3 _16.1 +SCF:SEA-02 cobit-2019 apo02.01 +SCF:SEA-02 cobit-2019 apo03.01 +SCF:SEA-02 cobit-2019 apo03.02 +SCF:SEA-02 cobit-2019 apo03.03 +SCF:SEA-02 cobit-2019 apo03.04 +SCF:SEA-02 cobit-2019 apo03.05 +SCF:SEA-02 cobit-2019 apo04.02 +SCF:SEA-02 cobit-2019 apo04.03 +SCF:SEA-02 cobit-2019 apo04.04 +SCF:SEA-02 cobit-2019 apo04.05 +SCF:SEA-02 cobit-2019 apo04.06 +SCF:SEA-02 coso-2013 _10 +SCF:SEA-02 csa-ccm-4.1.0 i-s-08 +SCF:SEA-02 csa-iot-scf-2 gvn-02 +SCF:SEA-02 csa-iot-scf-2 opa-06 +SCF:SEA-02 csa-iot-scf-2 opa-07 +SCF:SEA-02 csa-iot-scf-2 sws-04 +SCF:SEA-02 iso-27002-2022 _5.8 +SCF:SEA-02 iso-27002-2022 _8.26 +SCF:SEA-02 iso-27017-2015 _6.1.5 +SCF:SEA-02 iso-27017-2015 _14.1.1 +SCF:SEA-02 iso-27018-2025 _5.8 +SCF:SEA-02 iso-27018-2025 _8.26 +SCF:SEA-02 nist-privacy-framework-1.0 gv.po-p2 +SCF:SEA-02 nist-800-53-r4 pl-8 +SCF:SEA-02 nist-800-53-r4 pm-7 +SCF:SEA-02 nist-800-53-r5 pl-08 +SCF:SEA-02 nist-800-53-r5 pm-07 +SCF:SEA-02 nist-800-53b-r5-privacy pl-08 +SCF:SEA-02 nist-800-53b-r5-privacy pm-07 +SCF:SEA-02 nist-800-53b-r5-moderate pl-08 +SCF:SEA-02 nist-800-82-r3 pl-08 +SCF:SEA-02 nist-800-82-r3 pm-07 +SCF:SEA-02 nist-800-82-r3-low-ot-overlay pm-07 +SCF:SEA-02 nist-800-82-r3-moderate-ot-overlay pl-08 +SCF:SEA-02 nist-800-82-r3-moderate-ot-overlay pm-07 +SCF:SEA-02 nist-800-82-r3-high-ot-overlay pl-08 +SCF:SEA-02 nist-800-82-r3-high-ot-overlay pm-07 +SCF:SEA-02 nist-800-161-r1 pl-8 +SCF:SEA-02 nist-800-161-r1 pm-7 +SCF:SEA-02 nist-800-161-r1-level-1 pm-7 +SCF:SEA-02 nist-800-161-r1-level-2 pl-8 +SCF:SEA-02 nist-800-161-r1-level-2 pm-7 +SCF:SEA-02 nist-800-161-r1-level-3 pl-8 +SCF:SEA-02 nist-800-171-r2 nfo-pl-8 +SCF:SEA-02 nist-800-171-r3 _03.01.12.a +SCF:SEA-02 nist-800-171-r3 _03.01.16.a +SCF:SEA-02 nist-800-171-r3 _03.01.18.a +SCF:SEA-02 nist-800-171-r3 _03.13.01.c +SCF:SEA-02 nist-800-171-r3 _03.16.01 +SCF:SEA-02 nist-csf-2.0 pr.ir +SCF:SEA-02 nist-csf-2.0 pr.ir-01 +SCF:SEA-02 nist-csf-2.0 pr.ir-03 +SCF:SEA-02 pci-dss-4.0.1 _1.2 +SCF:SEA-02.1 nist-csf-function-grouping protect +SCF:SEA-02.1 cobit-2019 apo14.02 +SCF:SEA-02.1 coso-2013 _14 +SCF:SEA-02.1 iec-tr-60601-4-5-2021 _3.0 +SCF:SEA-02.1 iso-22301-2019 _3 +SCF:SEA-02.1 iso-27001-2022 _3.0 +SCF:SEA-02.1 iso-27002-2022 _3.0 +SCF:SEA-02.1 iso-27002-2022 _3.1 +SCF:SEA-02.1 iso-27002-2022 _3.2 +SCF:SEA-02.1 iso-27701-2025 _3 +SCF:SEA-02.1 iso-42001-2023 _3.0 +SCF:SEA-02.1 nist-privacy-framework-1.0 gv.po-p2 +SCF:SEA-02.2 nist-csf-function-grouping protect +SCF:SEA-02.2 nist-800-53-r5 pm-07-01 +SCF:SEA-02.2 nist-800-82-r3 pm-07-01 +SCF:SEA-02.2 nist-800-160-vol2-r1 pm-07-01 +SCF:SEA-02.3 nist-csf-function-grouping protect +SCF:SEA-02.3 nist-ai-100-1-ai-rmf-1.0 govern-1.7 +SCF:SEA-02.3 pci-dss-4.0.1 _12.3.4 +SCF:SEA-02.3 pci-dss-4.0.1 a3.3.2 +SCF:SEA-02.3 pci-dss-4.0.1-saq-d-merchant _12.3.4 +SCF:SEA-02.3 pci-dss-4.0.1-saq-d-service-provider _12.3.4 +SCF:SEA-03 nist-csf-function-grouping protect +SCF:SEA-03 cobit-2019 apo03.01 +SCF:SEA-03 cobit-2019 apo04.05 +SCF:SEA-03 csa-ccm-4.1.0 i-s-09 +SCF:SEA-03 iec-62443-4-1-2018 sd-2 +SCF:SEA-03 nist-800-53-r4 pl-8-1 +SCF:SEA-03 nist-800-53-r4 sc-3-5 +SCF:SEA-03 nist-800-53-r5 pl-08-01 +SCF:SEA-03 nist-800-53-r5 sc-03-05 +SCF:SEA-03 nist-800-82-r3 pl-08-01 +SCF:SEA-03 nist-800-82-r3 sc-03-05 +SCF:SEA-03 nist-800-160-vol2-r1 pl-08-01 +SCF:SEA-03 nist-800-160-vol2-r1 sc-03-05 +SCF:SEA-03 nist-800-171-r2 _3.13.2 +SCF:SEA-03 owasp-top-10-2025 a01-2025 +SCF:SEA-03 owasp-top-10-2025 a05-2025 +SCF:SEA-03 pci-dss-4.0.1 _1.2.1 +SCF:SEA-03 pci-dss-4.0.1 _1.4.1 +SCF:SEA-03 pci-dss-4.0.1-saq-a-ep _1.2.1 +SCF:SEA-03 pci-dss-4.0.1-saq-a-ep _1.4.1 +SCF:SEA-03 pci-dss-4.0.1-saq-d-merchant _1.2.1 +SCF:SEA-03 pci-dss-4.0.1-saq-d-merchant _1.4.1 +SCF:SEA-03 pci-dss-4.0.1-saq-d-service-provider _1.2.1 +SCF:SEA-03 pci-dss-4.0.1-saq-d-service-provider _1.4.1 +SCF:SEA-03.1 nist-csf-function-grouping protect +SCF:SEA-03.1 cis-csc-8.1 _3.12 +SCF:SEA-03.1 cis-csc-8.1-ig2 _3.12 +SCF:SEA-03.1 cis-csc-8.1-ig3 _3.12 +SCF:SEA-03.1 nist-800-53-r4 sc-32 +SCF:SEA-03.1 nist-800-53-r5 sc-32 +SCF:SEA-03.1 nist-800-82-r3 sc-32 +SCF:SEA-03.1 nist-800-160-vol2-r1 sc-32 +SCF:SEA-03.2 nist-csf-function-grouping protect +SCF:SEA-03.2 iec-62443-3-3-2013 sr-5.4 +SCF:SEA-03.2 nist-800-53-r4 sc-2 +SCF:SEA-03.2 nist-800-53-r4 sc-2-1 +SCF:SEA-03.2 nist-800-53-r5 sc-02 +SCF:SEA-03.2 nist-800-53-r5 sc-02-01 +SCF:SEA-03.2 nist-800-53b-r5-moderate sc-02 +SCF:SEA-03.2 nist-800-82-r3 sc-02 +SCF:SEA-03.2 nist-800-82-r3 sc-02-01 +SCF:SEA-03.2 nist-800-82-r3-moderate-ot-overlay sc-02 +SCF:SEA-03.2 nist-800-82-r3-high-ot-overlay sc-02 +SCF:SEA-03.2 nist-800-160-vol2-r1 sc-02 +SCF:SEA-03.2 nist-800-160-vol2-r1 sc-02-01 +SCF:SEA-03.2 nist-800-171-r2 _3.13.3 +SCF:SEA-03.2 nist-800-171a _3.13.3-a +SCF:SEA-03.2 nist-800-171a _3.13.3-b +SCF:SEA-03.2 nist-800-171a _3.13.3-c +SCF:SEA-03.2 owasp-top-10-2025 a01-2025 +SCF:SEA-03.2 owasp-top-10-2025 a05-2025 +SCF:SEA-04 nist-csf-function-grouping protect +SCF:SEA-04 iec-tr-60601-4-5-2021 _5.2-cr-2.1 +SCF:SEA-04 nist-800-53-r4 sc-39 +SCF:SEA-04 nist-800-53-r5 sc-39 +SCF:SEA-04 nist-800-53b-r5-low sc-39 +SCF:SEA-04 nist-800-82-r3 sc-39 +SCF:SEA-04 nist-800-82-r3-low-ot-overlay sc-39 +SCF:SEA-04 nist-800-82-r3-moderate-ot-overlay sc-39 +SCF:SEA-04 nist-800-82-r3-high-ot-overlay sc-39 +SCF:SEA-04 nist-800-160-vol2-r1 sc-39 +SCF:SEA-04 nist-800-171-r2 nfo-sc-39 +SCF:SEA-04 owasp-top-10-2025 a01-2025 +SCF:SEA-04 owasp-top-10-2025 a05-2025 +SCF:SEA-04.1 nist-csf-function-grouping protect +SCF:SEA-04.1 nist-800-53-r4 sc-3 +SCF:SEA-04.1 nist-800-53-r5 sc-03 +SCF:SEA-04.1 nist-800-53b-r5-privacy sc-03 +SCF:SEA-04.1 nist-800-53b-r5-high sc-03 +SCF:SEA-04.1 nist-800-82-r3 sc-03 +SCF:SEA-04.1 nist-800-82-r3-high-ot-overlay sc-03 +SCF:SEA-04.1 nist-800-160-vol2-r1 sc-03 +SCF:SEA-04.1 owasp-top-10-2025 a01-2025 +SCF:SEA-04.1 owasp-top-10-2025 a05-2025 +SCF:SEA-04.1 pci-dss-4.0.1 _2.2.3 +SCF:SEA-04.1 pci-dss-4.0.1 _10.7.1 +SCF:SEA-04.1 pci-dss-4.0.1 _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1 _11.4.6 +SCF:SEA-04.1 pci-dss-4.0.1-saq-a-ep _2.2.3 +SCF:SEA-04.1 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1-saq-c _2.2.3 +SCF:SEA-04.1 pci-dss-4.0.1-saq-c _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-merchant _2.2.3 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-service-provider _2.2.3 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:SEA-04.1 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:SEA-04.2 nist-csf-function-grouping protect +SCF:SEA-04.2 nist-800-53-r4 sc-39-1 +SCF:SEA-04.2 nist-800-53-r5 sc-39-01 +SCF:SEA-04.2 nist-800-82-r3 sc-39-01 +SCF:SEA-04.2 nist-800-160-vol2-r1 sc-39-01 +SCF:SEA-04.2 owasp-top-10-2025 a01-2025 +SCF:SEA-04.2 owasp-top-10-2025 a05-2025 +SCF:SEA-04.3 nist-csf-function-grouping protect +SCF:SEA-04.3 nist-800-53-r4 sc-39-2 +SCF:SEA-04.3 nist-800-53-r5 sc-39-02 +SCF:SEA-04.3 nist-800-82-r3 sc-39-02 +SCF:SEA-04.3 nist-800-160-vol2-r1 sc-39-02 +SCF:SEA-04.3 owasp-top-10-2025 a01-2025 +SCF:SEA-04.3 owasp-top-10-2025 a05-2025 +SCF:SEA-04.4 nist-csf-function-grouping protect +SCF:SEA-04.4 iec-tr-60601-4-5-2021 _5.2-cr-2.1 +SCF:SEA-05 nist-csf-function-grouping protect +SCF:SEA-05 nist-800-53-r4 sc-4 +SCF:SEA-05 nist-800-53-r5 sc-04 +SCF:SEA-05 nist-800-53b-r5-moderate sc-04 +SCF:SEA-05 nist-800-82-r3 sc-04 +SCF:SEA-05 nist-800-82-r3-moderate-ot-overlay sc-04 +SCF:SEA-05 nist-800-82-r3-high-ot-overlay sc-04 +SCF:SEA-05 nist-800-161-r1 sc-4 +SCF:SEA-05 nist-800-161-r1-level-2 sc-4 +SCF:SEA-05 nist-800-161-r1-level-3 sc-4 +SCF:SEA-05 nist-800-171-r2 _3.13.4 +SCF:SEA-05 nist-800-171-r3 _03.13.04 +SCF:SEA-05 nist-800-171a _3.13.4 +SCF:SEA-05 nist-800-171a-r3 a.03.13.04-01 +SCF:SEA-05 nist-800-171a-r3 a.03.13.04-02 +SCF:SEA-05 owasp-top-10-2025 a01-2025 +SCF:SEA-05 owasp-top-10-2025 a05-2025 +SCF:SEA-06 nist-csf-function-grouping protect +SCF:SEA-06 nist-800-53-r4 cm-7-2 +SCF:SEA-06 nist-800-53-r5 cm-07-02 +SCF:SEA-06 nist-800-53b-r5-privacy cm-07-02 +SCF:SEA-06 nist-800-53b-r5-moderate cm-07-02 +SCF:SEA-06 nist-800-82-r3 cm-07-02 +SCF:SEA-06 nist-800-82-r3-moderate-ot-overlay cm-07-02 +SCF:SEA-06 nist-800-82-r3-high-ot-overlay cm-07-02 +SCF:SEA-06 nist-800-160-vol2-r1 cm-07-02 +SCF:SEA-06 owasp-top-10-2025 a01-2025 +SCF:SEA-06 owasp-top-10-2025 a05-2025 +SCF:SEA-07 nist-csf-function-grouping protect +SCF:SEA-07 nist-800-53-r4 si-13 +SCF:SEA-07 nist-800-53-r5 si-13 +SCF:SEA-07 nist-800-53b-r5-privacy si-13 +SCF:SEA-07 nist-800-82-r3 si-13 +SCF:SEA-07 nist-800-82-r3-high-ot-overlay si-13 +SCF:SEA-07 nist-800-161-r1 ma-8 +SCF:SEA-07 nist-800-161-r1-level-3 ma-8 +SCF:SEA-07 nist-800-171-r2 nfo-sa-3 +SCF:SEA-07 nist-800-171-r3 _03.16.02.b +SCF:SEA-07 nist-csf-2.0 id.am-08 +SCF:SEA-07.1 nist-csf-function-grouping protect +SCF:SEA-07.1 cobit-2019 bai09.03 +SCF:SEA-07.1 cobit-2019 bai09.04 +SCF:SEA-07.1 csa-iot-scf-2 ccm-01 +SCF:SEA-07.1 csa-iot-scf-2 ccm-05 +SCF:SEA-07.1 csa-iot-scf-2 pol-04 +SCF:SEA-07.1 csa-iot-scf-2 set-05 +SCF:SEA-07.1 nist-800-53-r4 sa-3 +SCF:SEA-07.1 nist-800-53-r5 sa-03 +SCF:SEA-07.1 nist-800-53-r5 sa-03-01 +SCF:SEA-07.1 nist-800-53-r5 sa-03-03 +SCF:SEA-07.1 nist-800-53-r5 sa-08-30 +SCF:SEA-07.1 nist-800-53b-r5-privacy sa-03 +SCF:SEA-07.1 nist-800-53b-r5-privacy sa-03-01 +SCF:SEA-07.1 nist-800-53b-r5-privacy sa-03-03 +SCF:SEA-07.1 nist-800-53b-r5-privacy sa-08-30 +SCF:SEA-07.1 nist-800-53b-r5-low sa-03 +SCF:SEA-07.1 nist-800-82-r3 sa-03 +SCF:SEA-07.1 nist-800-82-r3 sa-03-01 +SCF:SEA-07.1 nist-800-82-r3 sa-03-03 +SCF:SEA-07.1 nist-800-82-r3 sa-08-30 +SCF:SEA-07.1 nist-800-82-r3-low-ot-overlay sa-03 +SCF:SEA-07.1 nist-800-82-r3-moderate-ot-overlay sa-03 +SCF:SEA-07.1 nist-800-82-r3-high-ot-overlay sa-03 +SCF:SEA-07.1 nist-800-161-r1 sa-3 +SCF:SEA-07.1 nist-800-161-r1-c-scrm-baseline sa-3 +SCF:SEA-07.1 nist-800-161-r1-level-1 sa-3 +SCF:SEA-07.1 nist-800-161-r1-level-2 sa-3 +SCF:SEA-07.1 nist-800-161-r1-level-3 sa-3 +SCF:SEA-07.1 nist-800-171-r2 nfo-sa-3 +SCF:SEA-07.1 nist-800-171-r3 _03.16.02.a +SCF:SEA-07.1 nist-800-171-r3 _03.16.02.b +SCF:SEA-07.1 nist-csf-2.0 gv.sc-09 +SCF:SEA-07.1 nist-csf-2.0 id.am-08 +SCF:SEA-07.1 nist-csf-2.0 pr.ps-02 +SCF:SEA-07.1 nist-csf-2.0 pr.ps-03 +SCF:SEA-07.1 pci-dss-4.0.1 _12.3.4 +SCF:SEA-07.1 pci-dss-4.0.1-saq-d-merchant _12.3.4 +SCF:SEA-07.1 pci-dss-4.0.1-saq-d-service-provider _12.3.4 +SCF:SEA-07.2 nist-csf-function-grouping protect +SCF:SEA-07.2 iec-62443-3-3-2013 sr-5.2-re-3 +SCF:SEA-07.2 iec-62443-4-2-2019 ndr-5.2-3 +SCF:SEA-07.2 nist-800-53-r4 cp-12 +SCF:SEA-07.2 nist-800-53-r4 sc-24 +SCF:SEA-07.2 nist-800-53-r5 cp-12 +SCF:SEA-07.2 nist-800-53-r5 sa-08-24 +SCF:SEA-07.2 nist-800-53-r5 sc-24 +SCF:SEA-07.2 nist-800-53b-r5-high sc-24 +SCF:SEA-07.2 nist-800-82-r3 cp-12 +SCF:SEA-07.2 nist-800-82-r3 sa-08-24 +SCF:SEA-07.2 nist-800-82-r3 sc-24 +SCF:SEA-07.2 nist-800-82-r3-low-ot-overlay cp-12 +SCF:SEA-07.2 nist-800-82-r3-moderate-ot-overlay cp-12 +SCF:SEA-07.2 nist-800-82-r3-moderate-ot-overlay sc-24 +SCF:SEA-07.2 nist-800-82-r3-high-ot-overlay cp-12 +SCF:SEA-07.2 nist-800-82-r3-high-ot-overlay sc-24 +SCF:SEA-07.2 nist-800-160-vol2-r1 cp-12 +SCF:SEA-07.2 owasp-top-10-2025 a01-2025 +SCF:SEA-07.2 owasp-top-10-2025 a05-2025 +SCF:SEA-07.3 nist-csf-function-grouping protect +SCF:SEA-07.3 iec-62443-2-1-2024 net-1.4 +SCF:SEA-07.3 iec-62443-4-2-2019 cr-3.6 +SCF:SEA-07.3 nist-800-53-r4 si-17 +SCF:SEA-07.3 nist-800-53-r5 si-17 +SCF:SEA-07.3 nist-800-82-r3 si-17 +SCF:SEA-07.3 nist-800-82-r3-low-ot-overlay si-17 +SCF:SEA-07.3 nist-800-82-r3-moderate-ot-overlay si-17 +SCF:SEA-07.3 nist-800-82-r3-high-ot-overlay si-17 +SCF:SEA-08 nist-csf-function-grouping protect +SCF:SEA-08 iec-62443-3-3-2013 sr-4.2 +SCF:SEA-08 iec-62443-3-3-2013 sr-4.2-re-1 +SCF:SEA-08 iec-62443-4-2-2019 cr-4.2 +SCF:SEA-08 nist-800-53-r4 si-14 +SCF:SEA-08 nist-800-53-r5 si-14 +SCF:SEA-08 nist-800-82-r3 si-14 +SCF:SEA-08 nist-800-160-vol2-r1 si-14 +SCF:SEA-08 owasp-top-10-2025 a01-2025 +SCF:SEA-08 owasp-top-10-2025 a05-2025 +SCF:SEA-08.1 nist-csf-function-grouping protect +SCF:SEA-08.1 csa-iot-scf-2 cls-12 +SCF:SEA-08.1 csa-iot-scf-2 dat-03 +SCF:SEA-08.1 iec-62443-4-2-2019 cr-3.12 +SCF:SEA-08.1 iec-62443-4-2-2019 cr-3.13 +SCF:SEA-08.1 nist-800-53-r4 si-14-1 +SCF:SEA-08.1 nist-800-53-r5 sa-03-03 +SCF:SEA-08.1 nist-800-53-r5 si-14-01 +SCF:SEA-08.1 nist-800-53b-r5-privacy sa-03-03 +SCF:SEA-08.1 nist-800-82-r3 sa-03-03 +SCF:SEA-08.1 nist-800-82-r3 si-14-01 +SCF:SEA-08.1 nist-800-160-vol2-r1 si-14-01 +SCF:SEA-08.1 nist-800-172 _3.14.4e +SCF:SEA-09 nist-csf-function-grouping protect +SCF:SEA-09 nist-ai-600-1 mp-4.1-009 +SCF:SEA-09 nist-800-53-r4 si-15 +SCF:SEA-09 nist-800-53-r5 si-15 +SCF:SEA-09 nist-800-82-r3 si-15 +SCF:SEA-09 nist-800-160-vol2-r1 si-15 +SCF:SEA-09.1 nist-csf-function-grouping protect +SCF:SEA-10 nist-csf-function-grouping protect +SCF:SEA-10 nist-800-53-r4 si-16 +SCF:SEA-10 nist-800-53-r5 si-16 +SCF:SEA-10 nist-800-53b-r5-moderate si-16 +SCF:SEA-10 nist-800-82-r3 si-16 +SCF:SEA-10 nist-800-82-r3-moderate-ot-overlay si-16 +SCF:SEA-10 nist-800-82-r3-high-ot-overlay si-16 +SCF:SEA-10 nist-800-160-vol2-r1 si-16 +SCF:SEA-10 nist-800-171-r2 nfo-si-16 +SCF:SEA-11 nist-csf-function-grouping protect +SCF:SEA-11 nist-800-53-r4 sc-26 +SCF:SEA-11 nist-800-53-r5 ir-04-13 +SCF:SEA-11 nist-800-53-r5 sc-26 +SCF:SEA-11 nist-800-53b-r5-privacy ir-04-13 +SCF:SEA-11 nist-800-82-r3 ir-04-13 +SCF:SEA-11 nist-800-82-r3 sc-26 +SCF:SEA-11 nist-800-160-vol2-r1 ir-04-13 +SCF:SEA-11 nist-800-160-vol2-r1 sc-26 +SCF:SEA-12 nist-csf-function-grouping protect +SCF:SEA-12 nist-800-53-r4 sc-35 +SCF:SEA-12 nist-800-53-r5 ir-04-13 +SCF:SEA-12 nist-800-53-r5 sc-35 +SCF:SEA-12 nist-800-53b-r5-privacy ir-04-13 +SCF:SEA-12 nist-800-82-r3 ir-04-13 +SCF:SEA-12 nist-800-82-r3 sc-35 +SCF:SEA-12 nist-800-160-vol2-r1 ir-04-13 +SCF:SEA-12 nist-800-160-vol2-r1 sc-35 +SCF:SEA-13 nist-csf-function-grouping protect +SCF:SEA-13 nist-800-53-r4 sc-29 +SCF:SEA-13 nist-800-53-r5 sc-29 +SCF:SEA-13 nist-800-82-r3 sc-29 +SCF:SEA-13 nist-800-160-vol2-r1 sc-29 +SCF:SEA-13 nist-800-161-r1 sc-29 +SCF:SEA-13 nist-800-161-r1-level-2 sc-29 +SCF:SEA-13 nist-800-161-r1-level-3 sc-29 +SCF:SEA-13 nist-800-172 _3.13.1e +SCF:SEA-13.1 nist-csf-function-grouping protect +SCF:SEA-13.1 csa-ccm-4.1.0 i-s-01 +SCF:SEA-13.1 nist-800-53-r4 sc-29-1 +SCF:SEA-13.1 nist-800-53-r5 sc-29-01 +SCF:SEA-13.1 nist-800-82-r3 sc-29-01 +SCF:SEA-13.1 nist-800-160-vol2-r1 sc-29-01 +SCF:SEA-14 nist-csf-function-grouping protect +SCF:SEA-14 nist-800-53-r4 sc-30 +SCF:SEA-14 nist-800-53-r5 sc-30 +SCF:SEA-14 nist-800-53-r5 sc-30-04 +SCF:SEA-14 nist-800-53-r5 sc-30-05 +SCF:SEA-14 nist-800-82-r3 sc-30 +SCF:SEA-14 nist-800-82-r3 sc-30-04 +SCF:SEA-14 nist-800-82-r3 sc-30-05 +SCF:SEA-14 nist-800-160-vol2-r1 sc-30 +SCF:SEA-14 nist-800-160-vol2-r1 sc-30-04 +SCF:SEA-14 nist-800-160-vol2-r1 sc-30-05 +SCF:SEA-14 nist-800-161-r1 sc-30 +SCF:SEA-14 nist-800-161-r1 sc-30-4 +SCF:SEA-14 nist-800-161-r1 sc-30-5 +SCF:SEA-14 nist-800-161-r1-level-2 sc-30 +SCF:SEA-14 nist-800-161-r1-level-2 sc-30-4 +SCF:SEA-14 nist-800-161-r1-level-2 sc-30-5 +SCF:SEA-14 nist-800-161-r1-level-3 sc-30 +SCF:SEA-14 nist-800-161-r1-level-3 sc-30-4 +SCF:SEA-14 nist-800-161-r1-level-3 sc-30-5 +SCF:SEA-14 nist-800-172 _3.13.3e +SCF:SEA-14.1 nist-csf-function-grouping protect +SCF:SEA-14.1 nist-800-53-r4 sc-30-2 +SCF:SEA-14.1 nist-800-53-r5 sc-30-02 +SCF:SEA-14.1 nist-800-82-r3 sc-30-02 +SCF:SEA-14.1 nist-800-160-vol2-r1 sc-30-02 +SCF:SEA-14.1 nist-800-161-r1 sc-30-2 +SCF:SEA-14.1 nist-800-161-r1-level-2 sc-30-2 +SCF:SEA-14.1 nist-800-161-r1-level-3 sc-30-2 +SCF:SEA-14.2 nist-csf-function-grouping protect +SCF:SEA-14.2 nist-800-53-r4 sc-30-3 +SCF:SEA-14.2 nist-800-53-r5 sc-30-03 +SCF:SEA-14.2 nist-800-82-r3 sc-30-03 +SCF:SEA-14.2 nist-800-160-vol2-r1 sc-30-03 +SCF:SEA-14.2 nist-800-161-r1 sc-30-3 +SCF:SEA-14.2 nist-800-161-r1-level-2 sc-30-3 +SCF:SEA-14.2 nist-800-161-r1-level-3 sc-30-3 +SCF:SEA-15 nist-csf-function-grouping protect +SCF:SEA-15 nist-800-53-r4 sc-36 +SCF:SEA-15 nist-800-53-r5 pe-23 +SCF:SEA-15 nist-800-53-r5 sc-36 +SCF:SEA-15 nist-800-53b-r5-privacy pe-23 +SCF:SEA-15 nist-800-82-r3 pe-23 +SCF:SEA-15 nist-800-82-r3 sc-36 +SCF:SEA-15 nist-800-160-vol2-r1 sc-36 +SCF:SEA-15 nist-800-161-r1 pe-23 +SCF:SEA-15 nist-800-161-r1 sc-36 +SCF:SEA-15 nist-800-161-r1-flow-down pe-23 +SCF:SEA-15 nist-800-161-r1-flow-down sc-36 +SCF:SEA-15 nist-800-161-r1-level-2 pe-23 +SCF:OPS-01 nist-800-171-r3 _03.15.01.b +SCF:SEA-15 nist-800-161-r1-level-2 sc-36 +SCF:SEA-15 nist-800-161-r1-level-3 pe-23 +SCF:SEA-15 nist-800-161-r1-level-3 sc-36 +SCF:SEA-15 nist-800-172 _3.13.5e +SCF:SEA-16 nist-csf-function-grouping protect +SCF:SEA-16 nist-800-53-r4 sc-34 +SCF:SEA-16 nist-800-53-r5 sc-34 +SCF:SEA-16 nist-800-82-r3 sc-34 +SCF:SEA-16 nist-800-160-vol2-r1 sc-34 +SCF:SEA-17 nist-csf-function-grouping protect +SCF:SEA-17 iso-27002-2022 _8.5 +SCF:SEA-17 iso-27017-2015 _9.4.2 +SCF:SEA-17 iso-27018-2025 _8.5 +SCF:SEA-18 nist-csf-function-grouping protect +SCF:SEA-18 iec-62443-3-3-2013 sr-1.12 +SCF:SEA-18 iec-62443-4-2-2019 cr-1.12 +SCF:SEA-18 nist-800-53-r4 ac-8 +SCF:SEA-18 nist-800-53-r5 ac-08 +SCF:SEA-18 nist-800-53b-r5-low ac-08 +SCF:SEA-18 nist-800-82-r3 ac-08 +SCF:SEA-18 nist-800-82-r3-low-ot-overlay ac-08 +SCF:SEA-18 nist-800-82-r3-moderate-ot-overlay ac-08 +SCF:SEA-18 nist-800-82-r3-high-ot-overlay ac-08 +SCF:SEA-18 nist-800-171-r2 _3.1.9 +SCF:SEA-18 nist-800-171-r3 _03.01.09 +SCF:SEA-18 nist-800-171a _3.1.9-a +SCF:SEA-18 nist-800-171a _3.1.9-b +SCF:SEA-18 nist-800-171a-r3 a.03.01.09 +SCF:SEA-18.1 nist-csf-function-grouping protect +SCF:SEA-18.1 iec-62443-3-3-2013 sr-1.12 +SCF:SEA-18.1 iec-62443-4-2-2019 cr-1.12 +SCF:SEA-18.1 nist-800-171-r2 _3.1.9 +SCF:SEA-18.1 nist-800-171-r3 _03.01.09 +SCF:SEA-18.1 nist-800-171a _3.1.9-a +SCF:SEA-18.1 nist-800-171a _3.1.9-b +SCF:SEA-18.1 nist-800-171a-r3 a.03.01.09 +SCF:SEA-18.2 nist-csf-function-grouping protect +SCF:SEA-18.2 iec-62443-3-3-2013 sr-1.12 +SCF:SEA-18.2 iec-62443-4-2-2019 cr-1.12 +SCF:SEA-18.2 nist-800-171-r2 _3.1.9 +SCF:SEA-18.2 nist-800-171-r3 _03.01.09 +SCF:SEA-18.2 nist-800-171a _3.1.9-a +SCF:SEA-18.2 nist-800-171a _3.1.9-b +SCF:SEA-18.2 nist-800-171a-r3 a.03.01.09 +SCF:SEA-19 nist-csf-function-grouping protect +SCF:SEA-19 iec-62443-2-1-2024 user-1.13 +SCF:SEA-19 nist-800-53-r4 ac-9 +SCF:SEA-19 nist-800-53-r5 ac-09 +SCF:SEA-19 nist-800-82-r3 ac-09 +SCF:SEA-20 nist-csf-function-grouping protect +SCF:SEA-20 csa-ccm-4.1.0 log-06 +SCF:SEA-20 iec-62443-2-1-2024 net-1.9 +SCF:SEA-20 iec-62443-3-3-2013 sr-2.11-re-1 +SCF:SEA-20 iec-62443-4-2-2019 cr-2.11-2 +SCF:SEA-20 iso-27002-2022 _8.17 +SCF:SEA-20 iso-27017-2015 _12.4.4 +SCF:SEA-20 iso-27018-2025 _8.17 +SCF:SEA-20 nist-800-53-r4 au-8 +SCF:SEA-20 nist-800-53-r5 au-08 +SCF:SEA-20 nist-800-53b-r5-privacy au-08 +SCF:SEA-20 nist-800-53b-r5-low au-08 +SCF:SEA-20 nist-800-82-r3 au-08 +SCF:SEA-20 nist-800-82-r3-low-ot-overlay au-08 +SCF:SEA-20 nist-800-82-r3-moderate-ot-overlay au-08 +SCF:SEA-20 nist-800-82-r3-high-ot-overlay au-08 +SCF:SEA-20 nist-800-171-r2 _3.3.7 +SCF:SEA-20 pci-dss-4.0.1 _10.6 +SCF:SEA-20 pci-dss-4.0.1 _10.6.1 +SCF:SEA-20 pci-dss-4.0.1 _10.6.2 +SCF:SEA-20 pci-dss-4.0.1 _10.6.3 +SCF:SEA-20 pci-dss-4.0.1-saq-a-ep _10.6.1 +SCF:SEA-20 pci-dss-4.0.1-saq-a-ep _10.6.2 +SCF:SEA-20 pci-dss-4.0.1-saq-a-ep _10.6.3 +SCF:SEA-20 pci-dss-4.0.1-saq-c _10.6.1 +SCF:SEA-20 pci-dss-4.0.1-saq-c _10.6.2 +SCF:SEA-20 pci-dss-4.0.1-saq-c _10.6.3 +SCF:SEA-20 pci-dss-4.0.1-saq-d-merchant _10.6.1 +SCF:SEA-20 pci-dss-4.0.1-saq-d-merchant _10.6.2 +SCF:SEA-20 pci-dss-4.0.1-saq-d-merchant _10.6.3 +SCF:SEA-20 pci-dss-4.0.1-saq-d-service-provider _10.6.1 +SCF:SEA-20 pci-dss-4.0.1-saq-d-service-provider _10.6.2 +SCF:SEA-20 pci-dss-4.0.1-saq-d-service-provider _10.6.3 +SCF:SEA-21 nist-csf-function-grouping protect +SCF:SEA-22 nist-csf-function-grouping protect +SCF:OPS-01 nist-csf-function-grouping govern +SCF:OPS-01 coso-2013 _14 +SCF:OPS-01 iso-27001-2022 _8.1 +SCF:OPS-01 iso-27002-2022 _5.37 +SCF:OPS-01 iso-27017-2015 _12.1.1 +SCF:OPS-01 iso-27018-2025 _5.37 +SCF:OPS-01 iso-42001-2023 _7.5.3 +SCF:OPS-01 iso-42001-2023 _7.5.3-a +SCF:OPS-01 iso-42001-2023 _7.5.3-b +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-3.2 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-5.1 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-6.0 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 govern-6.1 +SCF:OPS-01 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:OPS-01 nist-800-53-r4 sc-38 +SCF:OPS-01 nist-800-53-r5 sc-38 +SCF:OPS-01 nist-800-53-r5 sr-07 +SCF:OPS-01 nist-800-53b-r5-privacy sc-38 +SCF:OPS-01 nist-800-53b-r5-privacy sr-07 +SCF:OPS-01 nist-800-82-r3 sc-38 +SCF:OPS-01 nist-800-82-r3 sr-07 +SCF:OPS-01 nist-800-160-vol2-r1 sr-07 +SCF:OPS-01 nist-800-161-r1 sc-38 +SCF:OPS-01 nist-800-161-r1 sr-7 +SCF:OPS-01 nist-800-161-r1-level-2 sc-38 +SCF:OPS-01 nist-800-161-r1-level-2 sr-7 +SCF:OPS-01 nist-800-161-r1-level-3 sc-38 +SCF:OPS-01 nist-800-161-r1-level-3 sr-7 +SCF:OPS-01 nist-800-171-r3 _03.15.01.a +SCF:OPS-01 nist-csf-2.0 id.im +SCF:OPS-01 pci-dss-4.0.1 _1.1.1 +SCF:OPS-01 pci-dss-4.0.1 _2.1.1 +SCF:OPS-01 pci-dss-4.0.1 _3.1.1 +SCF:OPS-01 pci-dss-4.0.1 _4.1.1 +SCF:OPS-01 pci-dss-4.0.1 _5.1.1 +SCF:OPS-01 pci-dss-4.0.1 _6.1.1 +SCF:OPS-01 pci-dss-4.0.1 _7.1.1 +SCF:OPS-01 pci-dss-4.0.1 _8.1.1 +SCF:OPS-01 pci-dss-4.0.1 _8.3.8 +SCF:OPS-01 pci-dss-4.0.1 _9.1.1 +SCF:OPS-01 pci-dss-4.0.1 _9.3.2 +SCF:OPS-01 pci-dss-4.0.1 _10.1.1 +SCF:OPS-01 pci-dss-4.0.1 _11.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _1.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _2.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _4.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _5.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _6.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:OPS-01 pci-dss-4.0.1-saq-b _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-b-ip _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-b-ip _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-b-ip _9.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _2.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _5.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _8.3.8 +SCF:OPS-01 pci-dss-4.0.1-saq-c _9.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c _10.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c-vt _2.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c-vt _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c-vt _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-c-vt _9.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _1.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _2.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _4.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _5.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _6.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _7.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _9.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _10.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-merchant _11.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _1.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _2.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _4.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _5.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _6.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _7.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _8.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _9.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _10.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-d-service-provider _11.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-p2pe _3.1.1 +SCF:OPS-01 pci-dss-4.0.1-saq-p2pe _9.1.1 +SCF:OPS-01.1 nist-csf-function-grouping protect +SCF:OPS-01.1 cobit-2019 apo01.09 +SCF:OPS-01.1 cobit-2019 dss01.01 +SCF:OPS-01.1 coso-2013 _10 +SCF:OPS-01.1 coso-2013 _12 +SCF:OPS-01.1 coso-2013 _14 +SCF:OPS-01.1 iso-27001-2022 _8.1 +SCF:OPS-01.1 iso-27002-2022 _5.37 +SCF:OPS-01.1 iso-27017-2015 _12.1.1 +SCF:OPS-01.1 iso-27018-2025 _5.37 +SCF:OPS-01.1 iso-27701-2025 _8.1 +SCF:OPS-01.1 iso-42001-2023 _7.5.1 +SCF:OPS-01.1 iso-42001-2023 _7.5.1-a +SCF:OPS-01.1 iso-42001-2023 _7.5.1-b +SCF:OPS-01.1 iso-42001-2023 _7.5.2 +SCF:OPS-01.1 iso-42001-2023 _7.5.3 +SCF:OPS-01.1 iso-42001-2023 _7.5.3-a +SCF:OPS-01.1 iso-42001-2023 _7.5.3-b +SCF:OPS-01.1 iso-42001-2023 a.6.2.7 +SCF:OPS-01.1 iso-42001-2023 a.6.2.8 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.0 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.3 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.4 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-3.2 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-5.1 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-6.0 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 govern-6.1 +SCF:OPS-01.1 nist-ai-100-1-ai-rmf-1.0 map-3.5 +SCF:OPS-01.1 nist-ai-600-1 govern-1.2 +SCF:OPS-01.1 nist-ai-600-1 govern-1.3 +SCF:OPS-01.1 nist-ai-600-1 gv-1.5-002 +SCF:OPS-01.1 nist-800-53-r5 sa-08-32 +SCF:OPS-01.1 nist-sp-800-66-r2 _164.310-b +SCF:OPS-01.1 nist-sp-800-66-r2 _164.316-b +SCF:OPS-01.1 nist-800-82-r3 sa-08-32 +SCF:OPS-01.1 nist-800-171-r3 _03.15.01.a +SCF:OPS-01.1 nist-800-171a-r3 a.03.15.01.a-03 +SCF:OPS-01.1 nist-800-171a-r3 a.03.15.01.a-04 +SCF:OPS-01.1 nist-800-171a-r3 a.03.15.01.b-01 +SCF:OPS-01.1 nist-800-171a-r3 a.03.15.01.b-02 +SCF:OPS-01.1 nist-800-218 po.3.2 +SCF:OPS-01.1 nist-800-218 po.4.2 +SCF:OPS-01.1 nist-csf-2.0 id.im +SCF:OPS-01.1 pci-dss-4.0.1 _1.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.1 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.2 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.3 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.5 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.6 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.7 +SCF:OPS-01.1 pci-dss-4.0.1 _3.7.8 +SCF:OPS-01.1 pci-dss-4.0.1 _4.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _5.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _6.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _6.5.1 +SCF:OPS-01.1 pci-dss-4.0.1 _7.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _8.3.8 +SCF:OPS-01.1 pci-dss-4.0.1 _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _9.3.2 +SCF:OPS-01.1 pci-dss-4.0.1 _10.1.1 +SCF:OPS-01.1 pci-dss-4.0.1 _11.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _1.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _4.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _5.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _6.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _6.5.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-b _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-b-ip _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-b-ip _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-b-ip _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _5.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _6.5.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _8.3.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c _10.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c-vt _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c-vt _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c-vt _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-c-vt _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _1.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.2 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.3 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.5 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.6 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.7 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _3.7.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _4.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _5.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _6.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _6.5.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _7.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _9.3.2 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _10.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-merchant _11.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _1.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _2.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.2 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.3 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.5 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.6 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.7 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _3.7.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _4.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _5.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _6.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _6.5.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _7.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _8.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _9.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _9.3.2 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _10.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-d-service-provider _11.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-p2pe _3.1.1 +SCF:OPS-01.1 pci-dss-4.0.1-saq-p2pe _9.1.1 +SCF:OPS-02 nist-csf-function-grouping protect +SCF:OPS-02 coso-2013 _10 +SCF:OPS-02 iso-sae-21434-2021 rq-05-13 +SCF:OPS-02 nist-privacy-framework-1.0 id.be-p3 +SCF:OPS-02 nist-800-53-r4 pl-7 +SCF:OPS-02 nist-800-53-r5 pl-07 +SCF:OPS-02 nist-800-82-r3 pl-07 +SCF:OPS-02 nist-800-161-r1 pl-7 +SCF:OPS-02 nist-800-161-r1-level-3 pl-7 +SCF:OPS-03 nist-csf-function-grouping protect +SCF:OPS-03 cobit-2019 apo01.11 +SCF:OPS-03 cobit-2019 apo08.05 +SCF:OPS-03 cobit-2019 apo09.02 +SCF:OPS-03 cobit-2019 apo09.03 +SCF:OPS-03 cobit-2019 apo09.04 +SCF:OPS-03 cobit-2019 apo09.05 +SCF:OPS-03 cobit-2019 apo11.01 +SCF:OPS-03 cobit-2019 apo11.02 +SCF:OPS-03 cobit-2019 apo11.03 +SCF:OPS-03 cobit-2019 apo11.04 +SCF:OPS-03 cobit-2019 apo11.05 +SCF:OPS-03 coso-2013 _13 +SCF:OPS-03 csa-iot-scf-2 iam-16 +SCF:OPS-03 iso-sae-21434-2021 rq-05-13 +SCF:OPS-03 iso-27001-2022 _8.1 +SCF:OPS-03 iso-27002-2022 _5.37 +SCF:OPS-03 iso-27017-2015 _12.1.1 +SCF:OPS-03 iso-27018-2025 _5.2-a +SCF:OPS-03 iso-27018-2025 _5.37 +SCF:OPS-03 iso-27018-2025 _8.5-a +SCF:OPS-03 iso-42001-2023 a.6.2.7 +SCF:OPS-03 iso-42001-2023 a.6.2.8 +SCF:OPS-03 iso-42001-2023 a.9 +SCF:OPS-03 iso-42001-2023 a.9.2 +SCF:OPS-03 iso-42001-2023 a.9.3 +SCF:OPS-03 iso-42001-2023 a.9.4 +SCF:OPS-03 nist-privacy-framework-1.0 id.im-p5 +SCF:OPS-03 nist-800-53-r4 ip-4 +SCF:OPS-03 nist-800-53-r4 ip-4-1 +SCF:OPS-03 nist-sp-800-66-r2 _164.310-b +SCF:OPS-03 nist-sp-800-66-r2 _164.316-b +SCF:OPS-03 nist-800-171-r3 _03.15.01.b +SCF:OPS-03 nist-800-218 po.3.2 +SCF:OPS-04 nist-csf-function-grouping protect +SCF:OPS-04 nist-800-53-r4 sc-38 +SCF:OPS-04 nist-800-53-r5 ir-04-14 +SCF:OPS-04 nist-800-53-r5 sc-38 +SCF:OPS-04 nist-800-53b-r5-privacy sc-38 +SCF:OPS-04 nist-800-82-r3 ir-04-14 +SCF:OPS-04 nist-800-82-r3 sc-38 +SCF:OPS-04 nist-800-161-r1 sc-38 +SCF:OPS-04 nist-800-161-r1-level-2 sc-38 +SCF:OPS-04 nist-800-161-r1-level-3 sc-38 +SCF:OPS-04 nist-800-172 _3.6.1e +SCF:OPS-05 nist-csf-function-grouping protect +SCF:OPS-05 iso-42001-2023 a.6.2.7 +SCF:OPS-05 iso-42001-2023 a.6.2.8 +SCF:OPS-06 nist-csf-function-grouping protect +SCF:OPS-06 nist-800-172 _3.11.3e +SCF:OPS-07 nist-csf-function-grouping govern +SCF:SAT-01 nist-csf-function-grouping govern +SCF:SAT-01 cis-csc-8.1 _14.0 +SCF:SAT-01 cis-csc-8.1 _14.1 +SCF:SAT-01 cis-csc-8.1-ig1 _14.1 +SCF:SAT-01 cis-csc-8.1-ig2 _14.1 +SCF:SAT-01 cis-csc-8.1-ig3 _14.1 +SCF:SAT-01 coso-2013 _4 +SCF:SAT-01 csa-ccm-4.1.0 hrs-11 +SCF:SAT-01 csa-iot-scf-2 trn-01 +SCF:SAT-01 csa-iot-scf-2 trn-02 +SCF:SAT-01 iso-sae-21434-2021 rq-05-06 +SCF:SAT-01 iso-27001-2022 _7.4 +SCF:SAT-01 iso-27001-2022 _7.4-a +SCF:SAT-01 iso-27001-2022 _7.4-b +SCF:SAT-01 iso-27001-2022 _7.4-c +SCF:SAT-01 iso-27001-2022 _7.4-d +SCF:SAT-01 iso-27002-2022 _6.3 +SCF:SAT-01 iso-27018-2025 _6.3 +SCF:SAT-01 iso-31000-2018 _6.2 +SCF:SAT-01 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:SAT-01 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:SAT-01 nist-privacy-framework-1.0 gv.at-p +SCF:SAT-01 nist-privacy-framework-1.0 gv.at-p1 +SCF:SAT-01 nist-privacy-framework-1.0 gv.at-p2 +SCF:SAT-01 nist-privacy-framework-1.0 gv.at-p3 +SCF:SAT-01 nist-privacy-framework-1.0 gv.at-p4 +SCF:SAT-01 nist-800-53-r4 at-1 +SCF:SAT-01 nist-800-53-r4 pm-13 +SCF:SAT-01 nist-800-53-r5 at-01 +SCF:SAT-01 nist-800-53-r5 pm-13 +SCF:SAT-01 nist-800-53b-r5-privacy at-01 +SCF:SAT-01 nist-800-53b-r5-privacy pm-13 +SCF:SAT-01 nist-800-53b-r5-low at-01 +SCF:SAT-01 nist-sp-800-66-r2 _164.308-a-5 +SCF:SAT-01 nist-800-82-r3 at-01 +SCF:SAT-01 nist-800-82-r3 pm-13 +SCF:SAT-01 nist-800-82-r3-low-ot-overlay pm-13 +SCF:SAT-01 nist-800-82-r3-moderate-ot-overlay pm-13 +SCF:SAT-01 nist-800-82-r3-high-ot-overlay pm-13 +SCF:SAT-01 nist-800-161-r1 at-1 +SCF:SAT-01 nist-800-161-r1 pm-13 +SCF:SAT-01 nist-800-161-r1-c-scrm-baseline at-1 +SCF:SAT-01 nist-800-161-r1-level-1 at-1 +SCF:SAT-01 nist-800-161-r1-level-1 pm-13 +SCF:SAT-01 nist-800-161-r1-level-2 at-1 +SCF:SAT-01 nist-800-161-r1-level-2 pm-13 +SCF:SAT-01 nist-800-171-r2 nfo-at-1 +SCF:SAT-01 nist-800-171-r3 _03.02.01.a +SCF:SAT-01 nist-800-171a-r3 a.03.02.01.odp-01 +SCF:SAT-01 nist-800-171a-r3 a.03.02.01.odp-02 +SCF:SAT-01 nist-800-171a-r3 a.03.02.01.a.01-01 +SCF:SAT-01 nist-800-171a-r3 a.03.02.01.a.01-02 +SCF:SAT-01 nist-csf-2.0 pr.at +SCF:SAT-01 pci-dss-4.0.1 _8.3.8 +SCF:SAT-01 pci-dss-4.0.1 _9.5.1 +SCF:SAT-01 pci-dss-4.0.1 _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1 _12.6 +SCF:SAT-01 pci-dss-4.0.1 _12.6.1 +SCF:SAT-01 pci-dss-4.0.1 _12.6.2 +SCF:SAT-01 pci-dss-4.0.1 _12.6.3 +SCF:SAT-01 pci-dss-4.0.1 a3.1.4 +SCF:SAT-01 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:SAT-01 pci-dss-4.0.1-saq-a-ep _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-b _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-b _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-b _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-b-ip _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-b-ip _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-c _8.3.8 +SCF:SAT-01 pci-dss-4.0.1-saq-c _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-c _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-c _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-c-vt _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _12.6.2 +SCF:SAT-01 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _12.6.1 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _12.6.2 +SCF:SAT-01 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:SAT-01 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:SAT-01 pci-dss-4.0.1-saq-p2pe _9.5.1.3 +SCF:SAT-01 pci-dss-4.0.1-saq-p2pe _12.6.1 +SCF:SAT-01.1 nist-csf-function-grouping identify +SCF:SAT-01.1 nist-ai-600-1 mp-3.4-002 +SCF:SAT-02 nist-csf-function-grouping protect +SCF:SAT-02 cis-csc-8.1 _14.3 +SCF:SAT-02 cis-csc-8.1 _14.7 +SCF:SAT-02 cis-csc-8.1 _14.8 +SCF:SAT-02 cis-csc-8.1-ig1 _14.3 +SCF:SAT-02 cis-csc-8.1-ig1 _14.7 +SCF:SAT-02 cis-csc-8.1-ig1 _14.8 +SCF:SAT-02 cis-csc-8.1-ig2 _14.3 +SCF:SAT-02 cis-csc-8.1-ig2 _14.7 +SCF:SAT-02 cis-csc-8.1-ig2 _14.8 +SCF:SAT-02 cis-csc-8.1-ig3 _14.3 +SCF:SAT-02 cis-csc-8.1-ig3 _14.7 +SCF:SAT-02 cis-csc-8.1-ig3 _14.8 +SCF:SAT-02 csa-ccm-4.1.0 hrs-12 +SCF:SAT-02 csa-iot-scf-2 trn-02 +SCF:SAT-02 iec-62443-2-1-2024 org-1.4 +SCF:SAT-02 iso-27001-2022 _7.4 +SCF:SAT-02 iso-27001-2022 _7.4-a +SCF:SAT-02 iso-27001-2022 _7.4-b +SCF:SAT-02 iso-27001-2022 _7.4-c +SCF:SAT-02 iso-27001-2022 _7.4-d +SCF:SAT-02 iso-27002-2022 _6.3 +SCF:SAT-02 iso-27018-2025 _6.3 +SCF:SAT-02 nist-ai-600-1 gv-6.1-002 +SCF:SAT-02 nist-privacy-framework-1.0 gv.at-p1 +SCF:SAT-02 nist-privacy-framework-1.0 gv.at-p2 +SCF:SAT-02 nist-privacy-framework-1.0 gv.at-p3 +SCF:SAT-02 nist-800-53-r4 at-2 +SCF:SAT-02 nist-800-53-r5 at-02 +SCF:SAT-02 nist-800-53b-r5-privacy at-02 +SCF:SAT-02 nist-800-53b-r5-low at-02 +SCF:SAT-02 nist-sp-800-66-r2 _164.308-a-5 +SCF:SAT-02 nist-800-82-r3 at-02 +SCF:SAT-02 nist-800-82-r3-low-ot-overlay at-02 +SCF:SAT-02 nist-800-82-r3-moderate-ot-overlay at-02 +SCF:SAT-02 nist-800-82-r3-high-ot-overlay at-02 +SCF:SAT-02 nist-800-161-r1 at-2 +SCF:SAT-02 nist-800-171-r2 _3.2.1 +SCF:SAT-02 nist-800-171-r3 _03.01.22.a +SCF:SAT-02 nist-800-171-r3 _03.02.01.a.01 +SCF:SAT-02 nist-800-171-r3 _03.02.01.a.02 +SCF:SAT-02 nist-800-171-r3 _03.02.01.a.03 +SCF:SAT-02 nist-800-171-r3 _03.02.01.b +SCF:SAT-02 nist-800-171-r3 _03.06.04.a.03 +SCF:SAT-02 nist-800-171a _3.2.1-a +SCF:SAT-02 nist-800-171a _3.2.1-b +SCF:SAT-02 nist-800-171a _3.2.1-c +SCF:SAT-02 nist-800-171a _3.2.1-d +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.odp-03 +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.odp-04 +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.a.03-03 +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.a.03-04 +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.a.03-05 +SCF:SAT-02 nist-800-171a-r3 a.03.02.01.a.03-06 +SCF:SAT-02 nist-csf-2.0 pr.at +SCF:SAT-02 nist-csf-2.0 pr.at-01 +SCF:SAT-02 pci-dss-4.0.1 _8.3.8 +SCF:SAT-02 pci-dss-4.0.1 _9.5.1 +SCF:SAT-02 pci-dss-4.0.1 _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1 _12.6 +SCF:SAT-02 pci-dss-4.0.1 _12.6.1 +SCF:SAT-02 pci-dss-4.0.1 _12.6.3 +SCF:SAT-02 pci-dss-4.0.1 _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:SAT-02 pci-dss-4.0.1-saq-a-ep _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-a-ep _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-b _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-b _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-b _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-b-ip _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-b-ip _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-c _8.3.8 +SCF:SAT-02 pci-dss-4.0.1-saq-c _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-c _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-c _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-c _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-c-vt _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-c-vt _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:SAT-02 pci-dss-4.0.1-saq-d-merchant _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _12.6.1 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:SAT-02 pci-dss-4.0.1-saq-d-service-provider _12.6.3.1 +SCF:SAT-02 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:SAT-02 pci-dss-4.0.1-saq-p2pe _9.5.1.3 +SCF:SAT-02 pci-dss-4.0.1-saq-p2pe _12.6.1 +SCF:SAT-02.1 nist-csf-function-grouping protect +SCF:SAT-02.1 nist-800-53-r4 at-2-1 +SCF:SAT-02.1 nist-800-53-r5 at-02-01 +SCF:SAT-02.1 nist-800-53-r5 at-06 +SCF:SAT-02.1 nist-800-82-r3 at-02-01 +SCF:SAT-02.1 nist-800-82-r3 at-06 +SCF:SAT-02.1 nist-800-160-vol2-r1 at-02-01 +SCF:SAT-02.1 nist-800-161-r1 at-2-1 +SCF:SAT-02.1 nist-800-161-r1-level-2 at-2-1 +SCF:SAT-02.2 nist-csf-function-grouping protect +SCF:SAT-02.2 cis-csc-8.1 _9.0 +SCF:SAT-02.2 cis-csc-8.1 _14.2 +SCF:SAT-02.2 cis-csc-8.1-ig1 _14.2 +SCF:SAT-02.2 cis-csc-8.1-ig2 _14.2 +SCF:SAT-02.2 cis-csc-8.1-ig3 _14.2 +SCF:SAT-02.2 nist-800-53-r5 at-02-03 +SCF:SAT-02.2 nist-800-53b-r5-moderate at-02-03 +SCF:SAT-02.2 nist-800-82-r3 at-02-03 +SCF:SAT-02.2 nist-800-82-r3-moderate-ot-overlay at-02-03 +SCF:SAT-02.2 nist-800-82-r3-high-ot-overlay at-02-03 +SCF:SAT-02.2 nist-800-160-vol2-r1 at-02-03 +SCF:SAT-02.2 nist-800-161-r1 at-2-3 +SCF:SAT-02.2 nist-800-161-r1-level-2 at-2-3 +SCF:SAT-02.2 nist-800-171-r3 _03.02.01.a.03 +SCF:SAT-02.2 nist-800-172 _3.2.1e +SCF:SAT-02.2 pci-dss-4.0.1 _12.6.3.1 +SCF:SAT-02.2 pci-dss-4.0.1-saq-a-ep _12.6.3.1 +SCF:SAT-02.2 pci-dss-4.0.1-saq-c _12.6.3.1 +SCF:SAT-02.2 pci-dss-4.0.1-saq-c-vt _12.6.3.1 +SCF:SAT-02.2 pci-dss-4.0.1-saq-d-merchant _12.6.3.1 +SCF:SAT-02.2 pci-dss-4.0.1-saq-d-service-provider _12.6.3.1 +SCF:SAT-03 nist-csf-function-grouping protect +SCF:SAT-03 cis-csc-8.1 _14.3 +SCF:SAT-03 cis-csc-8.1 _14.4 +SCF:SAT-03 cis-csc-8.1 _14.7 +SCF:SAT-03 cis-csc-8.1 _14.8 +SCF:SAT-03 cis-csc-8.1 _14.9 +SCF:SAT-03 cis-csc-8.1 _16.9 +SCF:SAT-03 cis-csc-8.1-ig1 _14.3 +SCF:SAT-03 cis-csc-8.1-ig1 _14.4 +SCF:SAT-03 cis-csc-8.1-ig1 _14.7 +SCF:SAT-03 cis-csc-8.1-ig1 _14.8 +SCF:SAT-03 cis-csc-8.1-ig2 _14.3 +SCF:SAT-03 cis-csc-8.1-ig2 _14.4 +SCF:SAT-03 cis-csc-8.1-ig2 _14.7 +SCF:SAT-03 cis-csc-8.1-ig2 _14.8 +SCF:SAT-03 cis-csc-8.1-ig2 _14.9 +SCF:SAT-03 cis-csc-8.1-ig2 _16.9 +SCF:SAT-03 cis-csc-8.1-ig3 _14.3 +SCF:SAT-03 cis-csc-8.1-ig3 _14.4 +SCF:SAT-03 cis-csc-8.1-ig3 _14.7 +SCF:SAT-03 cis-csc-8.1-ig3 _14.8 +SCF:SAT-03 cis-csc-8.1-ig3 _14.9 +SCF:SAT-03 cis-csc-8.1-ig3 _16.9 +SCF:SAT-03 csa-ccm-4.1.0 dcs-12 +SCF:SAT-03 csa-iot-scf-2 trn-01 +SCF:SAT-03 csa-iot-scf-2 trn-02 +SCF:SAT-03 iec-62443-2-1-2024 org-1.5 +SCF:SAT-03 iec-62443-4-1-2018 sm-4 +SCF:SAT-03 iso-27002-2022 _5.4 +SCF:SAT-03 iso-27002-2022 _6.3 +SCF:SAT-03 iso-27018-2025 _6.3 +SCF:SAT-03 iso-27701-2025 _7.2 +SCF:SAT-03 iso-29100-2024 _6.1 +SCF:SAT-03 nist-ai-100-1-ai-rmf-1.0 govern-2.0 +SCF:SAT-03 nist-ai-100-1-ai-rmf-1.0 govern-2.2 +SCF:SAT-03 nist-privacy-framework-1.0 gv.at-p1 +SCF:SAT-03 nist-privacy-framework-1.0 gv.at-p2 +SCF:SAT-03 nist-privacy-framework-1.0 gv.at-p3 +SCF:SAT-03 nist-800-53-r4 at-3 +SCF:SAT-03 nist-800-53-r5 at-03 +SCF:SAT-03 nist-800-53-r5 at-03-02 +SCF:SAT-03 nist-800-53b-r5-privacy at-03 +SCF:SAT-03 nist-800-53b-r5-low at-03 +SCF:SAT-03 nist-sp-800-66-r2 _164.308-a-5 +SCF:SAT-03 nist-800-82-r3 at-03 +SCF:SAT-03 nist-800-82-r3 at-03-02 +SCF:SAT-03 nist-800-82-r3-low-ot-overlay at-03 +SCF:SAT-03 nist-800-82-r3-moderate-ot-overlay at-03 +SCF:SAT-03 nist-800-82-r3-high-ot-overlay at-03 +SCF:SAT-03 nist-800-161-r1 at-3 +SCF:SAT-03 nist-800-161-r1 at-3-2 +SCF:SAT-03 nist-800-161-r1 at-3-6 +SCF:SAT-03 nist-800-161-r1-c-scrm-baseline at-3 +SCF:SAT-03 nist-800-161-r1-flow-down at-3 +SCF:SAT-03 nist-800-161-r1-level-2 at-3 +SCF:SAT-03 nist-800-161-r1-level-2 at-3-2 +SCF:SAT-03 nist-800-161-r1-level-2 at-3-6 +SCF:SAT-03 nist-800-171-r2 _3.2.2 +SCF:SAT-03 nist-800-171-r3 _03.01.22.a +SCF:SAT-03 nist-800-171-r3 _03.02.01.a.01 +SCF:SAT-03 nist-800-171-r3 _03.02.01.a.02 +SCF:SAT-03 nist-800-171-r3 _03.02.02.a +SCF:SAT-03 nist-800-171-r3 _03.02.02.a.01 +SCF:SAT-03 nist-800-171-r3 _03.02.02.a.02 +SCF:SAT-03 nist-800-171-r3 _03.02.02.b +SCF:SAT-03 nist-800-171-r3 _03.06.04.a +SCF:SAT-03 nist-800-171-r3 _03.06.04.a.01 +SCF:SAT-03 nist-800-171-r3 _03.06.04.a.02 +SCF:SAT-03 nist-800-171-r3 _03.06.04.b +SCF:SAT-03 nist-800-171a _3.2.2-a +SCF:SAT-03 nist-800-171a _3.2.2-b +SCF:SAT-03 nist-800-171a _3.2.2-c +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.odp-01 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.odp-02 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.odp-03 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.odp-04 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.a.01-01 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.a.01-02 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.a.01-03 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.a.02 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.b-01 +SCF:SAT-03 nist-800-171a-r3 a.03.02.02.b-02 +SCF:SAT-03 nist-800-171a-r3 a.03.06.04.a.01 +SCF:SAT-03 nist-800-171a-r3 a.03.06.04.a.02 +SCF:SAT-03 nist-800-171a-r3 a.03.06.04.a.03 +SCF:SAT-03 nist-800-172 _3.2.1e +SCF:SAT-03 nist-800-218 po.2.2 +SCF:SAT-03 nist-csf-2.0 pr.at +SCF:SAT-03 nist-csf-2.0 pr.at-01 +SCF:SAT-03 nist-csf-2.0 pr.at-02 +SCF:SAT-03 pci-dss-4.0.1 _1.1.2 +SCF:SAT-03 pci-dss-4.0.1 _6.2.2 +SCF:SAT-03 pci-dss-4.0.1 _8.3.8 +SCF:SAT-03 pci-dss-4.0.1 _9.5.1 +SCF:SAT-03 pci-dss-4.0.1 _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1 _12.6 +SCF:SAT-03 pci-dss-4.0.1 _12.6.1 +SCF:SAT-03 pci-dss-4.0.1 _12.6.3 +SCF:SAT-03 pci-dss-4.0.1 _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1 _12.6.3.2 +SCF:SAT-03 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:SAT-03 pci-dss-4.0.1-saq-a-ep _8.3.8 +SCF:SAT-03 pci-dss-4.0.1-saq-a-ep _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-a-ep _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1-saq-b _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-b _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-b _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-b-ip _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-b-ip _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-c _6.2.2 +SCF:SAT-03 pci-dss-4.0.1-saq-c _8.3.8 +SCF:SAT-03 pci-dss-4.0.1-saq-c _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-c _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-c _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-c _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1-saq-c-vt _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-c-vt _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _1.1.2 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _8.3.8 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-merchant _12.6.3.2 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _1.1.2 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _8.3.8 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _12.6.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _12.6.3.1 +SCF:SAT-03 pci-dss-4.0.1-saq-d-service-provider _12.6.3.2 +SCF:SAT-03 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:SAT-03 pci-dss-4.0.1-saq-p2pe _9.5.1.3 +SCF:SAT-03 pci-dss-4.0.1-saq-p2pe _12.6.1 +SCF:SAT-03.1 nist-csf-function-grouping protect +SCF:SAT-03.1 cis-csc-8.1 _14.9 +SCF:SAT-03.1 cis-csc-8.1-ig2 _14.9 +SCF:SAT-03.1 cis-csc-8.1-ig3 _14.9 +SCF:SAT-03.1 nist-800-53-r4 at-3-3 +SCF:SAT-03.1 nist-800-53-r5 at-03-03 +SCF:SAT-03.1 nist-800-82-r3 at-03-03 +SCF:SAT-03.1 nist-800-160-vol2-r1 at-03-03 +SCF:SAT-03.1 nist-800-172 _3.2.2e +SCF:SAT-03.2 nist-csf-function-grouping protect +SCF:SAT-03.2 cis-csc-8.1 _14.6 +SCF:SAT-03.2 cis-csc-8.1-ig1 _14.6 +SCF:SAT-03.2 cis-csc-8.1-ig2 _14.6 +SCF:SAT-03.2 cis-csc-8.1-ig3 _14.6 +SCF:SAT-03.2 nist-800-53-r4 at-3-4 +SCF:SAT-03.2 nist-800-53-r5 at-02-04 +SCF:SAT-03.2 nist-800-53-r5 at-02-05 +SCF:SAT-03.2 nist-sp-800-66-r2 _164.308-a-5 +SCF:SAT-03.2 nist-800-82-r3 at-02-04 +SCF:SAT-03.2 nist-800-82-r3 at-02-05 +SCF:SAT-03.2 nist-800-82-r3-moderate-ot-overlay at-02-04 +SCF:SAT-03.2 nist-800-82-r3-high-ot-overlay at-02-04 +SCF:SAT-03.2 nist-800-160-vol2-r1 at-02-05 +SCF:SAT-03.2 nist-800-161-r1 at-2-4 +SCF:SAT-03.2 nist-800-161-r1 at-2-5 +SCF:SAT-03.2 nist-800-161-r1-level-2 at-2-4 +SCF:SAT-03.2 nist-800-161-r1-level-2 at-2-5 +SCF:SAT-03.2 nist-800-172 _3.2.1e +SCF:SAT-03.2 pci-dss-4.0.1 _11.5 +SCF:SAT-03.2 pci-dss-4.0.1 _11.5.1 +SCF:SAT-03.2 pci-dss-4.0.1 _11.5.1.1 +SCF:SAT-03.2 pci-dss-4.0.1-saq-a-ep _11.5.1 +SCF:SAT-03.2 pci-dss-4.0.1-saq-d-merchant _11.5.1 +SCF:SAT-03.2 pci-dss-4.0.1-saq-d-service-provider _11.5.1 +SCF:SAT-03.2 pci-dss-4.0.1-saq-d-service-provider _11.5.1.1 +SCF:SAT-03.3 nist-csf-function-grouping protect +SCF:SAT-03.3 cis-csc-8.1 _14.5 +SCF:SAT-03.3 cis-csc-8.1-ig1 _14.5 +SCF:SAT-03.3 cis-csc-8.1-ig2 _14.5 +SCF:SAT-03.3 cis-csc-8.1-ig3 _14.5 +SCF:SAT-03.3 csa-ccm-4.1.0 dsp-17 +SCF:SAT-03.3 csa-iot-scf-2 trn-02 +SCF:SAT-03.3 iso-27018-2025 _6.3-a +SCF:SAT-03.3 iso-29100-2024 _6.1 +SCF:SAT-03.3 nist-800-53-r4 ar-5 +SCF:SAT-03.3 nist-800-53-r5 at-03-05 +SCF:SAT-03.3 nist-800-53b-r5-privacy at-03-05 +SCF:SAT-03.3 nist-800-82-r3 at-03-05 +SCF:SAT-03.3 nist-800-171-r3 _03.01.22.a +SCF:SAT-03.3 nist-800-171-r3 _03.02.01.a.01 +SCF:SAT-03.3 nist-800-171-r3 _03.02.02.a.01 +SCF:SAT-03.3 nist-800-218 po.2.2 +SCF:SAT-03.3 pci-dss-4.0.1 _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1 _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1 _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1 _12.6.3.2 +SCF:SAT-03.3 pci-dss-4.0.1-saq-a-ep _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-b _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-b _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-b-ip _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1-saq-c _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-c _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1-saq-c _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-c-vt _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-merchant _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-merchant _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-merchant _12.6.3.2 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-service-provider _9.5.1.3 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-service-provider _12.6.3.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-d-service-provider _12.6.3.2 +SCF:SAT-03.3 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:SAT-03.3 pci-dss-4.0.1-saq-p2pe _9.5.1.3 +SCF:SAT-03.4 nist-csf-function-grouping protect +SCF:SAT-03.5 nist-csf-function-grouping protect +SCF:SAT-03.5 nist-ai-100-1-ai-rmf-1.0 govern-2.2 +SCF:SAT-03.5 nist-800-171-r3 _03.02.01.a.01 +SCF:SAT-03.5 nist-800-171-r3 _03.02.02.a.01 +SCF:SAT-03.5 nist-800-218 po.2.2 +SCF:SAT-03.5 nist-csf-2.0 pr.at-02 +SCF:SAT-03.5 pci-dss-4.0.1 _1.1.2 +SCF:SAT-03.5 pci-dss-4.0.1-saq-d-merchant _1.1.2 +SCF:SAT-03.5 pci-dss-4.0.1-saq-d-service-provider _1.1.2 +SCF:SAT-03.6 nist-csf-function-grouping identify +SCF:SAT-03.6 csa-iot-scf-2 trn-02 +SCF:SAT-03.6 nist-ai-100-1-ai-rmf-1.0 govern-2.2 +SCF:SAT-03.6 nist-800-53-r5 at-02-06 +SCF:SAT-03.6 nist-sp-800-66-r2 _164.308-a-5 +SCF:SAT-03.6 nist-800-82-r3 at-02-06 +SCF:SAT-03.6 nist-800-161-r1 at-2-6 +SCF:SAT-03.6 nist-800-161-r1-level-2 at-2-6 +SCF:SAT-03.6 nist-800-171-r2 _3.2.3 +SCF:SAT-03.6 nist-800-171-r3 _03.02.01.a.01 +SCF:SAT-03.6 nist-800-171-r3 _03.02.01.a.02 +SCF:SAT-03.6 nist-800-171-r3 _03.02.01.a.03 +SCF:SAT-03.6 nist-800-171-r3 _03.02.01.b +SCF:SAT-03.6 nist-800-171-r3 _03.02.02.a.01 +SCF:SAT-03.6 nist-800-171-r3 _03.02.02.a.02 +SCF:SAT-03.6 nist-800-171-r3 _03.02.02.b +SCF:SAT-03.6 nist-800-171-r3 _03.06.04.a.02 +SCF:SAT-03.6 nist-800-171a-r3 a.03.02.01.a.02 +SCF:SAT-03.6 nist-800-171a-r3 a.03.02.01.b-01 +SCF:SAT-03.6 nist-800-171a-r3 a.03.02.01.b-02 +SCF:SAT-03.6 nist-800-172 _3.2.1e +SCF:SAT-03.6 nist-800-172 _3.2.2e +SCF:SAT-03.6 nist-800-218 po.2.2 +SCF:SAT-03.6 nist-csf-2.0 pr.at-01 +SCF:SAT-03.6 nist-csf-2.0 pr.at-02 +SCF:SAT-03.6 pci-dss-4.0.1 _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1 _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1 _12.6.3 +SCF:SAT-03.6 pci-dss-4.0.1 _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1 _12.6.3.2 +SCF:SAT-03.6 pci-dss-4.0.1-saq-a-ep _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-b _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-b _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-b-ip _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-b-ip _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-c _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-c _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-c _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-c-vt _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-merchant _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-merchant _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-merchant _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-merchant _12.6.3.2 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-service-provider _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-service-provider _9.5.1.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-service-provider _12.6.3.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-d-service-provider _12.6.3.2 +SCF:SAT-03.6 pci-dss-4.0.1-saq-p2pe _9.5.1 +SCF:SAT-03.6 pci-dss-4.0.1-saq-p2pe _9.5.1.3 +SCF:SAT-03.7 nist-csf-function-grouping identify +SCF:SAT-03.7 cis-csc-8.1 _14.9 +SCF:SAT-03.7 cis-csc-8.1-ig2 _14.9 +SCF:SAT-03.7 cis-csc-8.1-ig3 _14.9 +SCF:SAT-03.7 iso-27701-2025 _7.2 +SCF:SAT-03.7 nist-800-171-r3 _03.06.04.b +SCF:SAT-03.7 nist-csf-2.0 pr.at-02 +SCF:SAT-03.8 nist-csf-function-grouping identify +SCF:SAT-03.8 cis-csc-8.1 _16.9 +SCF:SAT-03.8 cis-csc-8.1-ig2 _16.9 +SCF:SAT-03.8 cis-csc-8.1-ig3 _16.9 +SCF:SAT-03.8 pci-dss-4.0.1 _6.2.2 +SCF:SAT-03.8 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:SAT-03.8 pci-dss-4.0.1-saq-c _6.2.2 +SCF:SAT-03.8 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:SAT-03.8 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:SAT-03.9 nist-csf-function-grouping identify +SCF:SAT-04 nist-csf-function-grouping protect +SCF:SAT-04 nist-800-53-r4 at-4 +SCF:SAT-04 nist-800-53-r5 at-04 +SCF:SAT-04 nist-800-53b-r5-privacy at-04 +SCF:SAT-04 nist-800-53b-r5-low at-04 +SCF:SAT-04 nist-800-82-r3 at-04 +SCF:SAT-04 nist-800-82-r3-low-ot-overlay at-04 +SCF:SAT-04 nist-800-82-r3-moderate-ot-overlay at-04 +SCF:SAT-04 nist-800-82-r3-high-ot-overlay at-04 +SCF:SAT-04 nist-800-161-r1 at-4 +SCF:SAT-04 nist-800-161-r1-c-scrm-baseline at-4 +SCF:SAT-04 nist-800-161-r1-level-2 at-4 +SCF:SAT-04 nist-800-171-r2 nfo-at-4 +SCF:SAT-04 pci-dss-4.0.1 _12.6 +SCF:SAT-04 pci-dss-4.0.1 _12.6.1 +SCF:SAT-04 pci-dss-4.0.1 _12.6.3 +SCF:SAT-04 pci-dss-4.0.1-saq-a-ep _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-b _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-b-ip _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-c _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-c-vt _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-d-merchant _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-d-merchant _12.6.3 +SCF:SAT-04 pci-dss-4.0.1-saq-d-service-provider _12.6.1 +SCF:SAT-04 pci-dss-4.0.1-saq-d-service-provider _12.6.3 +SCF:SAT-04 pci-dss-4.0.1-saq-p2pe _12.6.1 +SCF:SAT-05 nist-csf-function-grouping identify +SCF:TDA-01 nist-csf-function-grouping govern +SCF:TDA-01 cis-csc-8.1 _15.7 +SCF:TDA-01 cis-csc-8.1 _16.0 +SCF:TDA-01 cis-csc-8.1-ig3 _15.7 +SCF:TDA-01 cobit-2019 apo03.02 +SCF:TDA-01 cobit-2019 apo03.03 +SCF:TDA-01 cobit-2019 apo04.01 +SCF:TDA-01 cobit-2019 bai03.02 +SCF:TDA-01 coso-2013 _11 +SCF:TDA-01 csa-ccm-4.1.0 ais-01 +SCF:TDA-01 csa-ccm-4.1.0 ais-04 +SCF:TDA-01 csa-iot-scf-2 set-06 +SCF:TDA-01 iec-62443-2-1-2024 org-2.3 +SCF:TDA-01 iso-27002-2022 _8.25 +SCF:TDA-01 iso-27002-2022 _8.3 +SCF:TDA-01 iso-27017-2015 _14.2.1 +SCF:TDA-01 iso-27017-2015 _14.2.7 +SCF:TDA-01 iso-27018-2025 _8.25 +SCF:TDA-01 iso-27018-2025 _8.30 +SCF:TDA-01 iso-31000-2018 _5.5 +SCF:TDA-01 iso-42001-2023 a.6.1 +SCF:TDA-01 iso-42001-2023 a.6.1.3 +SCF:TDA-01 iso-42001-2023 a.6.2.3 +SCF:TDA-01 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:TDA-01 nist-ai-100-1-ai-rmf-1.0 govern-3.1 +SCF:TDA-01 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:TDA-01 nist-ai-100-1-ai-rmf-1.0 manage-2.0 +SCF:TDA-01 nist-800-53-r4 pl-1 +SCF:TDA-01 nist-800-53-r4 sa-1 +SCF:TDA-01 nist-800-53-r4 sa-4 +SCF:TDA-01 nist-800-53-r5 pl-01 +SCF:TDA-01 nist-800-53-r5 sa-01 +SCF:TDA-01 nist-800-53-r5 sa-04 +SCF:TDA-01 nist-800-53-r5 sa-23 +SCF:TDA-01 nist-800-53b-r5-privacy pl-01 +SCF:TDA-01 nist-800-53b-r5-privacy sa-01 +SCF:TDA-01 nist-800-53b-r5-privacy sa-04 +SCF:TDA-01 nist-800-53b-r5-privacy sa-23 +SCF:TDA-01 nist-800-53b-r5-low pl-01 +SCF:TDA-01 nist-800-53b-r5-low sa-01 +SCF:TDA-01 nist-800-53b-r5-low sa-04 +SCF:TDA-01 nist-800-82-r3 pl-01 +SCF:TDA-01 nist-800-82-r3 sa-01 +SCF:TDA-01 nist-800-82-r3 sa-04 +SCF:TDA-01 nist-800-82-r3 sa-23 +SCF:TDA-01 nist-800-82-r3-low-ot-overlay pl-01 +SCF:TDA-01 nist-800-82-r3-low-ot-overlay sa-01 +SCF:TDA-01 nist-800-82-r3-low-ot-overlay sa-04 +SCF:TDA-01 nist-800-82-r3-moderate-ot-overlay pl-01 +SCF:TDA-01 nist-800-82-r3-moderate-ot-overlay sa-01 +SCF:TDA-01 nist-800-82-r3-moderate-ot-overlay sa-04 +SCF:TDA-01 nist-800-82-r3-high-ot-overlay pl-01 +SCF:TDA-01 nist-800-82-r3-high-ot-overlay sa-01 +SCF:TDA-01 nist-800-82-r3-high-ot-overlay sa-04 +SCF:TDA-01 nist-800-160-vol2-r1 sa-23 +SCF:TDA-01 nist-800-161-r1 pl-1 +SCF:TDA-01 nist-800-161-r1 sa-1 +SCF:TDA-01 nist-800-161-r1 sa-4 +SCF:TDA-01 nist-800-161-r1-c-scrm-baseline pl-1 +SCF:TDA-01 nist-800-161-r1-c-scrm-baseline sa-1 +SCF:TDA-01 nist-800-161-r1-c-scrm-baseline sa-4 +SCF:TDA-01 nist-800-161-r1-level-1 sa-1 +SCF:TDA-01 nist-800-161-r1-level-1 sa-4 +SCF:TDA-01 nist-800-161-r1-level-2 pl-1 +SCF:TDA-01 nist-800-161-r1-level-2 sa-1 +SCF:TDA-01 nist-800-161-r1-level-2 sa-4 +SCF:TDA-01 nist-800-161-r1-level-3 sa-1 +SCF:TDA-01 nist-800-161-r1-level-3 sa-4 +SCF:TDA-01 nist-800-171-r2 nfo-sa-4 +SCF:TDA-01 nist-800-171-r3 _03.12.01 +SCF:TDA-01 nist-800-171-r3 _03.12.03 +SCF:TDA-01 nist-800-171-r3 _03.14.01.a +SCF:TDA-01 nist-800-171-r3 _03.16.01 +SCF:TDA-01 nist-800-171-r3 _03.17.02 +SCF:TDA-01 nist-800-171a-r3 a.03.16.01.odp-01 +SCF:TDA-01 nist-800-171a-r3 a.03.17.02-04 +SCF:TDA-01 nist-800-171a-r3 a.03.17.02-05 +SCF:TDA-01 nist-800-171a-r3 a.03.17.02-06 +SCF:TDA-01 nist-800-218 po.1 +SCF:TDA-01 nist-800-218 po.3 +SCF:TDA-01 nist-800-218 po.3.2 +SCF:TDA-01 nist-800-218 rv.3.4 +SCF:TDA-01 nist-csf-2.0 id.ra-09 +SCF:TDA-01 nist-csf-2.0 pr.ps-06 +SCF:TDA-01 owasp-top-10-2025 a01-2025 +SCF:TDA-01 owasp-top-10-2025 a02-2025 +SCF:TDA-01 owasp-top-10-2025 a03-2025 +SCF:TDA-01 owasp-top-10-2025 a04-2025 +SCF:TDA-01 owasp-top-10-2025 a05-2025 +SCF:TDA-01 owasp-top-10-2025 a06-2025 +SCF:TDA-01 owasp-top-10-2025 a07-2025 +SCF:TDA-01 owasp-top-10-2025 a08-2025 +SCF:TDA-01 owasp-top-10-2025 a09-2025 +SCF:TDA-01 owasp-top-10-2025 a10-2025 +SCF:TDA-01 pci-dss-4.0.1 _6.2 +SCF:TDA-01 pci-dss-4.0.1 _6.2.1 +SCF:TDA-01 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:TDA-01 pci-dss-4.0.1-saq-c _6.2.1 +SCF:TDA-01 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:TDA-01 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:TDA-01.1 nist-csf-function-grouping protect +SCF:TDA-01.1 cis-csc-8.1 _15.7 +SCF:TDA-01.1 cis-csc-8.1-ig3 _15.7 +SCF:TDA-01.1 cobit-2019 apo03.02 +SCF:TDA-01.1 cobit-2019 apo03.03 +SCF:TDA-01.1 cobit-2019 bai03.03 +SCF:TDA-01.1 cobit-2019 bai03.05 +SCF:TDA-01.1 cobit-2019 bai03.10 +SCF:TDA-01.1 cobit-2019 bai03.11 +SCF:TDA-01.1 cobit-2019 bai04.01 +SCF:TDA-01.1 cobit-2019 bai05.02 +SCF:TDA-01.1 cobit-2019 bai05.03 +SCF:TDA-01.1 cobit-2019 bai05.04 +SCF:TDA-01.1 cobit-2019 bai05.05 +SCF:TDA-01.1 cobit-2019 bai05.06 +SCF:TDA-01.1 cobit-2019 bai06.01 +SCF:TDA-01.1 cobit-2019 bai07.07 +SCF:TDA-01.1 cobit-2019 bai08.01 +SCF:TDA-01.1 cobit-2019 bai08.02 +SCF:TDA-01.1 cobit-2019 bai08.03 +SCF:TDA-01.1 coso-2013 _11 +SCF:TDA-01.1 iec-tr-60601-4-5-2021 _4.2 +SCF:TDA-01.1 iec-tr-60601-4-5-2021 _4.6.2 +SCF:TDA-01.1 iec-tr-60601-4-5-2021 _4.6.3 +SCF:TDA-01.1 iec-62443-4-1-2018 dm-6 +SCF:TDA-01.1 iec-62443-4-1-2018 sg-1 +SCF:TDA-01.1 iec-62443-4-1-2018 sg-1-a +SCF:TDA-01.1 iec-62443-4-1-2018 sg-1-b +SCF:TDA-01.1 iec-62443-4-1-2018 sg-1-c +SCF:TDA-01.1 iec-62443-4-1-2018 sg-2 +SCF:TDA-01.1 iec-62443-4-1-2018 sg-7 +SCF:TDA-01.1 iec-62443-4-1-2018 sg-7-a +SCF:TDA-01.1 iec-62443-4-1-2018 sg-7-b +SCF:TDA-01.1 iec-62443-4-1-2018 sg-7-c +SCF:TDA-01.1 iec-62443-4-2-2019 cr-3.10 +SCF:TDA-01.1 iec-62443-4-2-2019 edr-3.10 +SCF:TDA-01.1 iec-62443-4-2-2019 hdr-3.10 +SCF:TDA-01.1 iec-62443-4-2-2019 ndr-3.10 +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-04 +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-21 +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-33-a +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-34 +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-34-a +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-34-b +SCF:TDA-01.1 iso-sae-21434-2021 rq-06-34-c +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-01 +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-01-a +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-01-b +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-01-c +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-03 +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04 +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-a +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-b +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-c +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-d +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-e +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-04-f +SCF:TDA-01.1 iso-sae-21434-2021 rq-10-05 +SCF:TDA-01.1 iso-sae-21434-2021 rq-14-01 +SCF:TDA-01.1 iso-sae-21434-2021 _14.4.3 +SCF:TDA-01.1 iso-42001-2023 a.6.2 +SCF:TDA-01.1 iso-42001-2023 a.6.2.2 +SCF:TDA-01.1 iso-42001-2023 a.6.2.7 +SCF:TDA-01.1 iso-42001-2023 a.6.2.8 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-1.2 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-3.1 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-5.1 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-5.2 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 govern-6.0 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 map-2.1 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 manage-2.0 +SCF:TDA-01.1 nist-ai-100-1-ai-rmf-1.0 manage-2.2 +SCF:TDA-01.1 nist-ai-600-1 gv-6.2-005 +SCF:TDA-01.1 nist-ai-600-1 mp-1.1-004 +SCF:TDA-01.1 nist-ai-600-1 mp-3.4-003 +SCF:TDA-01.1 nist-ai-600-1 ms-1.1-008 +SCF:TDA-01.1 nist-privacy-framework-1.0 ct.dp-p1 +SCF:TDA-01.1 nist-800-53-r5 sa-23 +SCF:TDA-01.1 nist-800-53b-r5-privacy sa-23 +SCF:TDA-01.1 nist-800-82-r3 sa-23 +SCF:TDA-01.1 nist-800-160-vol2-r1 sa-23 +SCF:TDA-01.1 nist-800-171-r3 _03.12.03 +SCF:TDA-01.1 nist-800-218 po.1 +SCF:TDA-01.1 nist-800-218 po.1.1 +SCF:TDA-01.1 nist-800-218 po.1.2 +SCF:TDA-01.1 nist-800-218 po.4.2 +SCF:TDA-01.1 nist-800-218 pw.1.2 +SCF:TDA-01.1 nist-800-218 pw.4 +SCF:TDA-01.1 nist-800-218 pw.4.2 +SCF:TDA-01.1 nist-800-218 pw.5 +SCF:TDA-01.1 nist-800-218 pw.5.1 +SCF:TDA-01.1 nist-800-218 pw.6.2 +SCF:TDA-01.1 nist-800-218 pw.8.1 +SCF:TDA-01.1 nist-800-218 rv.2.2 +SCF:TDA-01.1 nist-800-218 rv.3 +SCF:TDA-01.1 nist-800-218 rv.3.3 +SCF:TDA-01.1 nist-800-218 rv.3.4 +SCF:TDA-01.1 nist-csf-2.0 gv.sc-09 +SCF:TDA-01.1 nist-csf-2.0 pr.ps-06 +SCF:TDA-01.1 owasp-top-10-2025 a01-2025 +SCF:TDA-01.1 owasp-top-10-2025 a02-2025 +SCF:TDA-01.1 owasp-top-10-2025 a03-2025 +SCF:TDA-01.1 owasp-top-10-2025 a04-2025 +SCF:TDA-01.1 owasp-top-10-2025 a05-2025 +SCF:TDA-01.1 owasp-top-10-2025 a06-2025 +SCF:TDA-01.1 owasp-top-10-2025 a07-2025 +SCF:TDA-01.1 owasp-top-10-2025 a08-2025 +SCF:TDA-01.1 owasp-top-10-2025 a09-2025 +SCF:TDA-01.1 owasp-top-10-2025 a10-2025 +SCF:TDA-01.2 nist-csf-function-grouping protect +SCF:TDA-01.2 nist-800-172 _3.14.1e +SCF:TDA-01.2 nist-800-172 _3.14.7e +SCF:TDA-01.2 nist-csf-2.0 id.ra-09 +SCF:TDA-01.2 owasp-top-10-2025 a08-2025 +SCF:TDA-01.3 nist-csf-function-grouping protect +SCF:TDA-01.4 nist-csf-function-grouping protect +SCF:TDA-02 nist-csf-function-grouping protect +SCF:TDA-02 cis-csc-8.1 _16.4 +SCF:TDA-02 cis-csc-8.1-ig2 _16.4 +SCF:TDA-02 cis-csc-8.1-ig3 _16.4 +SCF:TDA-02 cobit-2019 bai03.03 +SCF:TDA-02 cobit-2019 bai03.05 +SCF:TDA-02 coso-2013 _11 +SCF:TDA-02 csa-iot-scf-2 sdv-07 +SCF:TDA-02 iec-tr-60601-4-5-2021 _4.2 +SCF:TDA-02 iec-tr-60601-4-5-2021 _4.6.2 +SCF:TDA-02 iec-tr-60601-4-5-2021 _4.6.3 +SCF:TDA-02 iec-62443-4-1-2018 sm-11 +SCF:TDA-02 iec-62443-4-1-2018 sr-1 +SCF:TDA-02 iec-62443-4-1-2018 sr-4 +SCF:TDA-02 iec-62443-4-1-2018 sr-4-a +SCF:TDA-02 iec-62443-4-1-2018 sr-4-b +SCF:TDA-02 iso-27002-2022 _8.25 +SCF:TDA-02 iso-27002-2022 _8.29 +SCF:TDA-02 iso-27002-2022 _8.3 +SCF:TDA-02 iso-27017-2015 _14.2.9 +SCF:TDA-02 iso-27018-2025 _8.25 +SCF:TDA-02 iso-27018-2025 _8.29 +SCF:TDA-02 iso-27018-2025 _8.30 +SCF:TDA-02 iso-42001-2023 a.6.2.2 +SCF:TDA-02 nist-800-53-r4 sa-4 +SCF:TDA-02 nist-800-53-r5 sa-04 +SCF:TDA-02 nist-800-53b-r5-privacy sa-04 +SCF:TDA-02 nist-800-53b-r5-low sa-04 +SCF:TDA-02 nist-800-82-r3 sa-04 +SCF:TDA-02 nist-800-82-r3-low-ot-overlay sa-04 +SCF:TDA-02 nist-800-82-r3-moderate-ot-overlay sa-04 +SCF:TDA-02 nist-800-82-r3-high-ot-overlay sa-04 +SCF:TDA-02 nist-800-161-r1 sa-4 +SCF:TDA-02 nist-800-161-r1-c-scrm-baseline sa-4 +SCF:TDA-02 nist-800-161-r1-level-1 sa-4 +SCF:TDA-02 nist-800-161-r1-level-2 sa-4 +SCF:TDA-02 nist-800-161-r1-level-3 sa-4 +SCF:TDA-02 nist-800-171-r2 nfo-sa-4 +SCF:TDA-02 nist-800-171-r3 _03.16.01 +SCF:TDA-02 nist-800-218 po.1 +SCF:TDA-02 nist-800-218 po.1.1 +SCF:TDA-02 nist-800-218 po.1.2 +SCF:TDA-02 nist-800-218 pw.1.2 +SCF:TDA-02 nist-800-218 pw.1.3 +SCF:TDA-02 nist-800-218 pw.2 +SCF:TDA-02 nist-800-218 pw.4.4 +SCF:TDA-02 nist-800-218 pw.5.1 +SCF:TDA-02 nist-800-218 pw.9.1 +SCF:TDA-02 nist-800-218 pw.9.2 +SCF:TDA-02 owasp-top-10-2025 a01-2025 +SCF:TDA-02 owasp-top-10-2025 a02-2025 +SCF:TDA-02 owasp-top-10-2025 a03-2025 +SCF:TDA-02 owasp-top-10-2025 a04-2025 +SCF:TDA-02 owasp-top-10-2025 a05-2025 +SCF:TDA-02 owasp-top-10-2025 a06-2025 +SCF:TDA-02 owasp-top-10-2025 a07-2025 +SCF:TDA-02 owasp-top-10-2025 a08-2025 +SCF:TDA-02 owasp-top-10-2025 a09-2025 +SCF:TDA-02 owasp-top-10-2025 a10-2025 +SCF:TDA-02.1 nist-csf-function-grouping protect +SCF:TDA-02.1 cis-csc-8.1 _12.6 +SCF:TDA-02.1 cis-csc-8.1 _16.4 +SCF:TDA-02.1 cis-csc-8.1-ig2 _12.6 +SCF:TDA-02.1 cis-csc-8.1-ig2 _16.4 +SCF:TDA-02.1 cis-csc-8.1-ig3 _12.6 +SCF:TDA-02.1 cis-csc-8.1-ig3 _16.4 +SCF:TDA-02.1 nist-800-53-r4 sa-4-9 +SCF:TDA-02.1 nist-800-53-r5 sa-04-09 +SCF:TDA-02.1 nist-800-53b-r5-moderate sa-04-09 +SCF:TDA-02.1 nist-800-82-r3 sa-04-09 +SCF:TDA-02.1 nist-800-82-r3-moderate-ot-overlay sa-04-09 +SCF:TDA-02.1 nist-800-82-r3-high-ot-overlay sa-04-09 +SCF:TDA-02.1 nist-800-171-r2 nfo-sa-4-9 +SCF:TDA-02.1 nist-800-218 pw.4.4 +SCF:TDA-02.1 pci-dss-4.0.1 _1.2.4 +SCF:TDA-02.1 pci-dss-4.0.1-saq-a-ep _1.2.4 +SCF:TDA-02.1 pci-dss-4.0.1-saq-d-merchant _1.2.4 +SCF:TDA-02.1 pci-dss-4.0.1-saq-d-service-provider _1.2.4 +SCF:TDA-02.2 nist-csf-function-grouping protect +SCF:TDA-02.2 nist-800-53-r4 sa-4-10 +SCF:TDA-02.2 nist-800-53-r4 ia-5-11 +SCF:TDA-02.2 nist-800-53-r5 ia-02-01 +SCF:TDA-02.2 nist-800-53-r5 ia-02-02 +SCF:TDA-02.2 nist-800-53-r5 sa-04-07 +SCF:TDA-02.2 nist-800-53-r5 sa-04-10 +SCF:TDA-02.2 nist-800-53b-r5-privacy ia-02-01 +SCF:TDA-02.2 nist-800-53b-r5-privacy ia-02-02 +SCF:TDA-02.2 nist-800-53b-r5-low ia-02-01 +SCF:TDA-02.2 nist-800-53b-r5-low ia-02-02 +SCF:TDA-02.2 nist-800-53b-r5-low sa-04-10 +SCF:TDA-02.2 nist-800-82-r3 ia-02-01 +SCF:TDA-02.2 nist-800-82-r3 ia-02-02 +SCF:TDA-02.2 nist-800-82-r3 sa-04-07 +SCF:TDA-02.2 nist-800-82-r3 sa-04-10 +SCF:TDA-02.2 nist-800-82-r3-low-ot-overlay ia-02-01 +SCF:TDA-02.2 nist-800-82-r3-low-ot-overlay ia-02-02 +SCF:TDA-02.2 nist-800-82-r3-low-ot-overlay sa-04-10 +SCF:TDA-02.2 nist-800-82-r3-moderate-ot-overlay ia-02-01 +SCF:TDA-02.2 nist-800-82-r3-moderate-ot-overlay ia-02-02 +SCF:TDA-02.2 nist-800-82-r3-moderate-ot-overlay sa-04-10 +SCF:TDA-02.2 nist-800-82-r3-high-ot-overlay ia-02-01 +SCF:TDA-02.2 nist-800-82-r3-high-ot-overlay ia-02-02 +SCF:TDA-02.2 nist-800-82-r3-high-ot-overlay sa-04-10 +SCF:TDA-02.2 nist-800-161-r1 sa-4-7 +SCF:TDA-02.2 nist-800-161-r1-level-2 sa-4-7 +SCF:TDA-02.2 nist-800-161-r1-level-3 sa-4-7 +SCF:TDA-02.2 nist-800-171-r2 nfo-sa-4-10 +SCF:TDA-02.3 nist-csf-function-grouping identify +SCF:TDA-02.3 cis-csc-8.1 _16.1 +SCF:TDA-02.3 cis-csc-8.1-ig2 _16.1 +SCF:TDA-02.3 cis-csc-8.1-ig3 _16.1 +SCF:TDA-02.3 cobit-2019 bai03.12 +SCF:TDA-02.3 csa-ccm-4.1.0 ais-04 +SCF:TDA-02.3 csa-iot-scf-2 sdv-07 +SCF:TDA-02.3 iso-27002-2022 _8.25 +SCF:TDA-02.3 iso-27002-2022 _8.29 +SCF:TDA-02.3 iso-27017-2015 _14.2.9 +SCF:TDA-02.3 iso-27018-2025 _8.25 +SCF:TDA-02.3 iso-27018-2025 _8.29 +SCF:TDA-02.3 iso-42001-2023 a.6.1.3 +SCF:TDA-02.3 iso-42001-2023 a.6.2.3 +SCF:TDA-02.3 nist-ai-100-1-ai-rmf-1.0 govern-4.1 +SCF:TDA-02.3 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:TDA-02.3 nist-800-53-r4 sa-4-3 +SCF:TDA-02.3 nist-800-53-r5 sa-04-03 +SCF:TDA-02.3 nist-800-53-r5 sr-03-01 +SCF:TDA-02.3 nist-800-53b-r5-privacy sa-04-03 +SCF:TDA-02.3 nist-800-53b-r5-privacy sr-03-01 +SCF:TDA-02.3 nist-800-82-r3 sa-04-03 +SCF:TDA-02.3 nist-800-82-r3 sr-03-01 +SCF:TDA-02.3 nist-800-160-vol2-r1 sr-03-01 +SCF:TDA-02.3 nist-800-161-r1 sr-3-1 +SCF:TDA-02.3 nist-800-161-r1-level-2 sr-3-1 +SCF:TDA-02.3 nist-800-161-r1-level-3 sr-3-1 +SCF:TDA-02.3 nist-800-171-r3 _03.16.01 +SCF:TDA-02.3 nist-800-171a-r3 a.03.16.01.odp-01 +SCF:TDA-02.3 nist-800-171a-r3 a.03.16.01 +SCF:TDA-02.3 nist-800-218 po.1 +SCF:TDA-02.3 nist-800-218 po.3 +SCF:TDA-02.3 nist-800-218 po.3.1 +SCF:TDA-02.3 nist-800-218 po.3.2 +SCF:TDA-02.3 nist-800-218 po.3.3 +SCF:TDA-02.3 nist-800-218 po.4.2 +SCF:TDA-02.3 nist-800-218 pw.2 +SCF:TDA-02.3 nist-800-218 pw.5 +SCF:TDA-02.3 nist-800-218 pw.6.1 +SCF:TDA-02.3 nist-800-218 rv.1 +SCF:TDA-02.3 nist-800-218 rv.2 +SCF:TDA-02.3 owasp-top-10-2025 a04-2025 +SCF:TDA-02.3 pci-dss-4.0.1 _6.2 +SCF:TDA-02.3 pci-dss-4.0.1 _6.2.1 +SCF:TDA-02.3 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:TDA-02.3 pci-dss-4.0.1-saq-c _6.2.1 +SCF:TDA-02.3 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:TDA-02.3 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:TDA-02.4 nist-csf-function-grouping protect +SCF:TDA-02.4 nist-800-53-r5 sa-04-05 +SCF:TDA-02.4 nist-800-53b-r5-high sa-04-05 +SCF:TDA-02.4 nist-800-82-r3 sa-04-05 +SCF:TDA-02.4 nist-800-82-r3-high-ot-overlay sa-04-05 +SCF:TDA-02.4 nist-800-161-r1 sa-4-5 +SCF:TDA-02.4 nist-800-161-r1-level-3 sa-4-5 +SCF:TDA-02.4 nist-800-171-r3 _03.16.01 +SCF:TDA-02.4 nist-800-218 pw.4 +SCF:TDA-02.4 nist-800-218 pw.5.1 +SCF:TDA-02.4 nist-800-218 pw.9.1 +SCF:TDA-02.4 nist-800-218 pw.9.2 +SCF:TDA-02.5 nist-csf-function-grouping identify +SCF:TDA-02.5 cis-csc-8.1 _16.4 +SCF:TDA-02.5 cis-csc-8.1-ig2 _16.4 +SCF:TDA-02.5 cis-csc-8.1-ig3 _16.4 +SCF:TDA-02.5 nist-800-218 po.3.3 +SCF:TDA-02.5 nist-800-218 pw.4.4 +SCF:TDA-02.5 pci-dss-4.0.1 _1.2.5 +SCF:TDA-02.5 pci-dss-4.0.1-saq-a-ep _1.2.5 +SCF:TDA-02.5 pci-dss-4.0.1-saq-b-ip _1.2.5 +SCF:TDA-02.5 pci-dss-4.0.1-saq-d-merchant _1.2.5 +SCF:TDA-02.5 pci-dss-4.0.1-saq-d-service-provider _1.2.5 +SCF:TDA-02.6 nist-csf-function-grouping protect +SCF:TDA-02.6 cis-csc-8.1 _4.6 +SCF:TDA-02.6 cis-csc-8.1-ig1 _4.6 +SCF:TDA-02.6 cis-csc-8.1-ig2 _4.6 +SCF:TDA-02.6 cis-csc-8.1-ig3 _4.6 +SCF:TDA-02.6 nist-800-218 pw.2 +SCF:TDA-02.6 nist-800-218 pw.4.4 +SCF:TDA-02.6 pci-dss-4.0.1 _1.2.6 +SCF:TDA-02.6 pci-dss-4.0.1 _2.2.5 +SCF:TDA-02.6 pci-dss-4.0.1-saq-a-ep _1.2.6 +SCF:TDA-02.6 pci-dss-4.0.1-saq-a-ep _2.2.5 +SCF:TDA-02.6 pci-dss-4.0.1-saq-b-ip _1.2.6 +SCF:TDA-02.6 pci-dss-4.0.1-saq-c _2.2.5 +SCF:TDA-02.6 pci-dss-4.0.1-saq-c-vt _2.2.5 +SCF:TDA-02.6 pci-dss-4.0.1-saq-d-merchant _1.2.6 +SCF:TDA-02.6 pci-dss-4.0.1-saq-d-merchant _2.2.5 +SCF:TDA-02.6 pci-dss-4.0.1-saq-d-service-provider _1.2.6 +SCF:TDA-02.6 pci-dss-4.0.1-saq-d-service-provider _2.2.5 +SCF:TDA-02.7 nist-csf-function-grouping identify +SCF:TDA-02.7 iec-62443-4-1-2018 sr-5 +SCF:TDA-02.7 iec-62443-4-1-2018 sr-5-a +SCF:TDA-02.7 iec-62443-4-1-2018 sr-5-b +SCF:TDA-02.7 iec-62443-4-1-2018 sr-5-c +SCF:TDA-02.7 iec-62443-4-1-2018 sr-5-d +SCF:TDA-02.7 nist-800-53-r5 sa-10-07 +SCF:TDA-02.7 nist-800-82-r3 sa-10-07 +SCF:TDA-02.7 nist-800-218 pw.2 +SCF:TDA-02.7 nist-800-218 rv.1 +SCF:TDA-02.7 nist-800-218 rv.3.4 +SCF:TDA-02.8 nist-csf-function-grouping protect +SCF:TDA-02.9 nist-csf-function-grouping protect +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2 +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2-a +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2-b +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2-c +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2-d +SCF:TDA-02.9 iec-62443-4-1-2018 sum-2-e +SCF:TDA-02.9 iec-62443-4-1-2018 sum-4 +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5 +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5-a +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5-b +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5-c +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5-d +SCF:TDA-02.9 iec-62443-4-1-2018 sum-5-e +SCF:TDA-02.10 nist-csf-function-grouping protect +SCF:TDA-02.10 iec-62443-4-1-2018 sm-11-a +SCF:TDA-02.10 iec-62443-4-1-2018 sm-11-b +SCF:TDA-02.10 iec-62443-4-1-2018 sm-11-c +SCF:TDA-02.10 iec-62443-4-1-2018 sm-11-d +SCF:TDA-02.10 iec-62443-4-1-2018 sm-11-e +SCF:TDA-02.10 iec-62443-4-1-2018 sm-12 +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1 +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1-1 +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1-2 +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1-2-a +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1-2-b +SCF:TDA-02.10 iec-62443-4-1-2018 sum-1-2-c +SCF:TDA-02.11 nist-csf-function-grouping protect +SCF:TDA-02.11 iec-62443-4-1-2018 dm-5 +SCF:TDA-02.11 iec-62443-4-1-2018 dm-5-a +SCF:TDA-02.11 iec-62443-4-1-2018 dm-5-b +SCF:TDA-02.12 nist-csf-function-grouping protect +SCF:TDA-02.13 nist-csf-function-grouping protect +SCF:TDA-02.14 nist-csf-function-grouping detect +SCF:TDA-02.14 nist-800-53-r5 sa-15-13 +SCF:TDA-02.14 nist-800-82-r3 sa-15-13 +SCF:TDA-03 nist-csf-function-grouping protect +SCF:TDA-03 iso-sae-21434-2021 rq-06-21 +SCF:TDA-03 iso-sae-21434-2021 rq-06-21-a +SCF:TDA-03 iso-sae-21434-2021 rq-06-21-b +SCF:TDA-03 nist-800-53-r4 sa-4-6 +SCF:TDA-03 nist-800-53-r5 sa-04-06 +SCF:TDA-03 nist-800-82-r3 sa-04-06 +SCF:TDA-03 nist-800-171-r3 _03.16.01 +SCF:TDA-03 nist-800-218 pw.4 +SCF:TDA-03 nist-800-218 pw.4.1 +SCF:TDA-03.1 nist-csf-function-grouping protect +SCF:TDA-03.1 nist-800-53-r4 pl-8-2 +SCF:TDA-03.1 nist-800-53-r5 pl-08-02 +SCF:TDA-03.1 nist-800-53-r5 sr-03-01 +SCF:TDA-03.1 nist-800-53b-r5-privacy sr-03-01 +SCF:TDA-03.1 nist-800-82-r3 pl-08-02 +SCF:TDA-03.1 nist-800-82-r3 sr-03-01 +SCF:TDA-03.1 nist-800-160-vol2-r1 pl-08-02 +SCF:TDA-03.1 nist-800-160-vol2-r1 sr-03-01 +SCF:TDA-03.1 nist-800-161-r1 pl-8-2 +SCF:TDA-03.1 nist-800-161-r1 sr-3-1 +SCF:TDA-03.1 nist-800-161-r1-level-2 pl-8-2 +SCF:TDA-03.1 nist-800-161-r1-level-2 sr-3-1 +SCF:TDA-03.1 nist-800-161-r1-level-3 pl-8-2 +SCF:TDA-03.1 nist-800-161-r1-level-3 sr-3-1 +SCF:TDA-04 nist-csf-function-grouping protect +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-a +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-b +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-c +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-d +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-e +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-f +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-g +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-h +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-i +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-j +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-k +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-l +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-m +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-n +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-o +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-p +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-q +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-r +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-s +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-t +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-u +SCF:TDA-04 iec-tr-60601-4-5-2021 _6-v +SCF:TDA-04 iec-62443-4-1-2018 sg-3 +SCF:TDA-04 iec-62443-4-1-2018 sg-3-a +SCF:TDA-04 iec-62443-4-1-2018 sg-3-b +SCF:TDA-04 iec-62443-4-1-2018 sg-3-c +SCF:TDA-04 iec-62443-4-1-2018 sg-3-d +SCF:TDA-04 iec-62443-4-1-2018 sg-3-d-1 +SCF:TDA-04 iec-62443-4-1-2018 sg-3-d-2 +SCF:TDA-04 iec-62443-4-1-2018 sg-3-d-3 +SCF:TDA-04 iec-62443-4-1-2018 sg-3-e +SCF:TDA-04 iec-62443-4-1-2018 sg-3-f +SCF:TDA-04 iec-62443-4-1-2018 sg-3-g +SCF:TDA-04 iec-62443-4-1-2018 sg-3-h +SCF:TDA-04 iec-62443-4-1-2018 sg-4 +SCF:TDA-04 iec-62443-4-1-2018 sg-4-a +SCF:TDA-04 iec-62443-4-1-2018 sg-4-b +SCF:TDA-04 iec-62443-4-1-2018 sg-4-c +SCF:TDA-04 iec-62443-4-1-2018 sg-4-d +SCF:TDA-04 iec-62443-4-1-2018 sg-5 +SCF:TDA-04 iec-62443-4-1-2018 sg-5-a +SCF:TDA-04 iec-62443-4-1-2018 sg-5-b +SCF:TDA-04 iec-62443-4-1-2018 sg-6 +SCF:TDA-04 iec-62443-4-1-2018 sg-6-a +SCF:TDA-04 iec-62443-4-1-2018 sg-6-b +SCF:TDA-04 iso-sae-21434-2021 rq-06-21-c +SCF:TDA-04 iso-42001-2023 a.6.2.7 +SCF:TDA-04 iso-42001-2023 a.6.2.8 +SCF:TDA-04 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:TDA-04 nist-800-53-r4 sa-5 +SCF:TDA-04 nist-800-53-r5 sa-05 +SCF:TDA-04 nist-800-53b-r5-privacy sa-05 +SCF:TDA-04 nist-800-53b-r5-low sa-05 +SCF:TDA-04 nist-800-82-r3 sa-05 +SCF:TDA-04 nist-800-82-r3-low-ot-overlay sa-05 +SCF:TDA-04 nist-800-82-r3-moderate-ot-overlay sa-05 +SCF:TDA-04 nist-800-82-r3-high-ot-overlay sa-05 +SCF:TDA-04 nist-800-161-r1 cm-8-10 +SCF:TDA-04 nist-800-161-r1 sa-5 +SCF:TDA-04 nist-800-161-r1-c-scrm-baseline sa-5 +SCF:TDA-04 nist-800-161-r1-level-3 cm-8-10 +SCF:TDA-04 nist-800-161-r1-level-3 sa-5 +SCF:TDA-04 nist-800-171-r2 nfo-sa-5 +SCF:TDA-04 nist-800-218 po.3.3 +SCF:TDA-04 nist-800-218 ps.3.2 +SCF:TDA-04 nist-800-218 rv.1.1 +SCF:TDA-04 owasp-top-10-2025 a01-2025 +SCF:TDA-04 owasp-top-10-2025 a02-2025 +SCF:TDA-04 owasp-top-10-2025 a03-2025 +SCF:TDA-04 owasp-top-10-2025 a04-2025 +SCF:TDA-04 owasp-top-10-2025 a05-2025 +SCF:TDA-04 owasp-top-10-2025 a06-2025 +SCF:TDA-04 owasp-top-10-2025 a07-2025 +SCF:TDA-04 owasp-top-10-2025 a08-2025 +SCF:TDA-04 owasp-top-10-2025 a09-2025 +SCF:TDA-04 owasp-top-10-2025 a10-2025 +SCF:TDA-04.1 nist-csf-function-grouping protect +SCF:TDA-04.1 iec-62443-4-1-2018 sr-3 +SCF:TDA-04.1 nist-800-53-r4 sa-4-1 +SCF:TDA-04.1 nist-800-53-r4 sa-4-2 +SCF:TDA-04.1 nist-800-53-r5 sa-04-01 +SCF:TDA-04.1 nist-800-53-r5 sa-04-02 +SCF:TDA-04.1 nist-800-53b-r5-privacy sa-04-01 +SCF:TDA-04.1 nist-800-53b-r5-privacy sa-04-02 +SCF:TDA-04.1 nist-800-53b-r5-moderate sa-04-01 +SCF:TDA-04.1 nist-800-53b-r5-moderate sa-04-02 +SCF:TDA-04.1 nist-800-82-r3 sa-04-01 +SCF:TDA-04.1 nist-800-82-r3 sa-04-02 +SCF:TDA-04.1 nist-800-82-r3-moderate-ot-overlay sa-04-01 +SCF:TDA-04.1 nist-800-82-r3-moderate-ot-overlay sa-04-02 +SCF:TDA-04.1 nist-800-82-r3-high-ot-overlay sa-04-01 +SCF:TDA-04.1 nist-800-82-r3-high-ot-overlay sa-04-02 +SCF:TDA-04.1 nist-800-161-r1 cm-8-10 +SCF:TDA-04.1 nist-800-161-r1-level-3 cm-8-10 +SCF:TDA-04.1 nist-800-171-r2 nfo-sa-4-1 +SCF:TDA-04.1 nist-800-171-r2 nfo-sa-4-2 +SCF:TDA-04.1 nist-800-218 po.3.3 +SCF:TDA-04.1 nist-800-218 rv.1.1 +SCF:TDA-04.1 owasp-top-10-2025 a01-2025 +SCF:TDA-04.1 owasp-top-10-2025 a02-2025 +SCF:TDA-04.1 owasp-top-10-2025 a03-2025 +SCF:TDA-04.1 owasp-top-10-2025 a04-2025 +SCF:TDA-04.1 owasp-top-10-2025 a05-2025 +SCF:TDA-04.1 owasp-top-10-2025 a06-2025 +SCF:TDA-04.1 owasp-top-10-2025 a07-2025 +SCF:TDA-04.1 owasp-top-10-2025 a08-2025 +SCF:TDA-04.1 owasp-top-10-2025 a09-2025 +SCF:TDA-04.1 owasp-top-10-2025 a10-2025 +SCF:TDA-04.2 nist-csf-function-grouping identify +SCF:TDA-04.2 cis-csc-8.1 _16.2 +SCF:TDA-04.2 cis-csc-8.1 _16.4 +SCF:TDA-04.2 cis-csc-8.1-ig2 _16.2 +SCF:TDA-04.2 cis-csc-8.1-ig2 _16.4 +SCF:TDA-04.2 cis-csc-8.1-ig3 _16.2 +SCF:TDA-04.2 cis-csc-8.1-ig3 _16.4 +SCF:TDA-04.2 csa-ccm-4.1.0 sta-09 +SCF:TDA-04.2 csa-iot-scf-2 sdv-02 +SCF:TDA-04.2 iec-62443-4-1-2018 sum-3 +SCF:TDA-04.2 iec-62443-4-1-2018 sum-3-a +SCF:TDA-04.2 iec-62443-4-1-2018 sum-3-b +SCF:TDA-04.2 nist-800-161-r1 cm-8-10 +SCF:TDA-04.2 nist-800-161-r1-level-3 cm-8-10 +SCF:TDA-04.2 nist-800-218 ps.3.2 +SCF:TDA-04.2 nist-800-218 pw.4.4 +SCF:TDA-04.2 nist-800-218 rv.1.1 +SCF:TDA-04.2 nist-csf-2.0 gv.oc-05 +SCF:TDA-04.2 owasp-top-10-2025 a03-2025 +SCF:TDA-04.2 pci-dss-4.0.1 _6.3.2 +SCF:TDA-04.2 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:TDA-04.2 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:TDA-04.2 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:TDA-05 nist-csf-function-grouping protect +SCF:TDA-05 cis-csc-8.1 _16.1 +SCF:TDA-05 cis-csc-8.1-ig2 _16.1 +SCF:TDA-05 cis-csc-8.1-ig3 _16.1 +SCF:TDA-05 iec-62443-4-1-2018 sd-1 +SCF:TDA-05 iec-62443-4-1-2018 sd-1-a +SCF:TDA-05 iec-62443-4-1-2018 sd-1-b +SCF:TDA-05 iec-62443-4-1-2018 sd-1-c +SCF:TDA-05 iec-62443-4-1-2018 sd-1-d +SCF:TDA-05 iec-62443-4-1-2018 sd-1-e +SCF:TDA-05 iec-62443-4-1-2018 sd-1-f +SCF:TDA-05 iec-62443-4-1-2018 sd-1-g +SCF:TDA-05 iec-62443-4-1-2018 sd-1-h +SCF:TDA-05 iec-62443-4-1-2018 sd-1-i +SCF:TDA-05 iec-62443-4-1-2018 sd-1-j +SCF:TDA-05 iso-sae-21434-2021 rq-10-07 +SCF:TDA-05 iso-27002-2022 _8.27 +SCF:TDA-05 iso-27002-2022 _8.3 +SCF:TDA-05 iso-27018-2025 _8.27 +SCF:TDA-05 iso-27018-2025 _8.30 +SCF:TDA-05 nist-ai-100-1-ai-rmf-1.0 govern-4.2 +SCF:TDA-05 nist-800-53-r4 sa-17 +SCF:TDA-05 nist-800-53-r5 sa-17 +SCF:TDA-05 nist-800-53b-r5-high sa-17 +SCF:TDA-05 nist-800-82-r3 sa-17 +SCF:TDA-05 nist-800-82-r3-high-ot-overlay sa-17 +SCF:TDA-05 nist-800-161-r1 cm-8-10 +SCF:TDA-05 nist-800-161-r1 sa-17 +SCF:TDA-05 nist-800-161-r1-level-2 sa-17 +SCF:TDA-05 nist-800-161-r1-level-3 cm-8-10 +SCF:TDA-05 nist-800-161-r1-level-3 sa-17 +SCF:TDA-05 nist-800-171-r3 _03.16.01 +SCF:TDA-05 nist-800-218 pw.4.2 +SCF:TDA-05 nist-800-218 rv.1.1 +SCF:TDA-05 owasp-top-10-2025 a04-2025 +SCF:TDA-05 pci-dss-4.0.1 _6.2 +SCF:TDA-05 pci-dss-4.0.1 _6.2.1 +SCF:TDA-05 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:TDA-05 pci-dss-4.0.1-saq-c _6.2.1 +SCF:TDA-05 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:TDA-05 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:TDA-05.1 nist-csf-function-grouping detect +SCF:TDA-05.1 iec-62443-4-2-2019 edr-2.13 +SCF:TDA-05.1 iec-62443-4-2-2019 hdr-2.13 +SCF:TDA-05.1 iec-62443-4-2-2019 ndr-2.13 +SCF:TDA-05.1 pci-dss-4.0.1 _2.2.6 +SCF:TDA-05.1 pci-dss-4.0.1-saq-a-ep _2.2.6 +SCF:TDA-05.1 pci-dss-4.0.1-saq-c _2.2.6 +SCF:TDA-05.1 pci-dss-4.0.1-saq-c-vt _2.2.6 +SCF:TDA-05.1 pci-dss-4.0.1-saq-d-merchant _2.2.6 +SCF:TDA-05.1 pci-dss-4.0.1-saq-d-service-provider _2.2.6 +SCF:TDA-05.2 nist-csf-function-grouping detect +SCF:TDA-05.2 iec-62443-4-2-2019 edr-2.13-1 +SCF:TDA-05.2 iec-62443-4-2-2019 hdr-2.13-1 +SCF:TDA-05.2 iec-62443-4-2-2019 ndr-2.13-1 +SCF:TDA-06 nist-csf-function-grouping protect +SCF:TDA-06 cis-csc-8.1 _16.0 +SCF:TDA-06 cis-csc-8.1 _16.1 +SCF:TDA-06 cis-csc-8.1 _16.5 +SCF:TDA-06 cis-csc-8.1 _16.11 +SCF:TDA-06 cis-csc-8.1-ig2 _16.1 +SCF:TDA-06 cis-csc-8.1-ig2 _16.5 +SCF:TDA-06 cis-csc-8.1-ig2 _16.11 +SCF:TDA-06 cis-csc-8.1-ig3 _16.1 +SCF:TDA-06 cis-csc-8.1-ig3 _16.5 +SCF:TDA-06 cis-csc-8.1-ig3 _16.11 +SCF:TDA-06 cobit-2019 apo03.02 +SCF:TDA-06 csa-ccm-4.1.0 ais-04 +SCF:TDA-06 csa-ccm-4.1.0 ais-06 +SCF:TDA-06 csa-iot-scf-2 sdv-05 +SCF:TDA-06 iec-62443-2-1-2024 org-2.3 +SCF:TDA-06 iec-62443-4-1-2018 sd-4 +SCF:TDA-06 iec-62443-4-1-2018 sd-4-a +SCF:TDA-06 iec-62443-4-1-2018 sd-4-b +SCF:TDA-06 iec-62443-4-1-2018 sd-4-c +SCF:TDA-06 iec-62443-4-1-2018 sd-4-d +SCF:TDA-06 iec-62443-4-1-2018 sd-4-e +SCF:TDA-06 iec-62443-4-1-2018 sd-4-f +SCF:TDA-06 iec-62443-4-1-2018 sd-4-g +SCF:TDA-06 iec-62443-4-1-2018 si-2 +SCF:TDA-06 iec-62443-4-1-2018 si-2-a +SCF:TDA-06 iec-62443-4-1-2018 si-2-b +SCF:TDA-06 iec-62443-4-1-2018 si-2-c +SCF:TDA-06 iec-62443-4-1-2018 si-2-d +SCF:TDA-06 iec-62443-4-1-2018 si-2-e +SCF:TDA-06 iec-62443-4-1-2018 si-2-f +SCF:TDA-06 iso-sae-21434-2021 rq-10-06 +SCF:TDA-06 iso-27002-2022 _8.25 +SCF:TDA-06 iso-27002-2022 _8.26 +SCF:TDA-06 iso-27002-2022 _8.27 +SCF:TDA-06 iso-27002-2022 _8.28 +SCF:TDA-06 iso-27002-2022 _8.3 +SCF:TDA-06 iso-27017-2015 _14.2.1 +SCF:TDA-06 iso-27017-2015 _14.2.5 +SCF:TDA-06 iso-27018-2025 _8.25 +SCF:TDA-06 iso-27018-2025 _8.26 +SCF:TDA-06 iso-27018-2025 _8.27 +SCF:TDA-06 iso-27018-2025 _8.28 +SCF:TDA-06 iso-27018-2025 _8.30 +SCF:TDA-06 iso-42001-2023 a.6.1.3 +SCF:TDA-06 iso-42001-2023 a.6.2.3 +SCF:TDA-06 nist-privacy-framework-1.0 ct.dp-p1 +SCF:TDA-06 nist-800-53-r4 sa-1 +SCF:TDA-06 nist-800-53-r4 sa-15 +SCF:TDA-06 nist-800-53-r5 sa-01 +SCF:TDA-06 nist-800-53-r5 sa-04-03 +SCF:TDA-06 nist-800-53-r5 sa-15 +SCF:TDA-06 nist-800-53b-r5-privacy sa-01 +SCF:TDA-06 nist-800-53b-r5-privacy sa-04-03 +SCF:TDA-06 nist-800-53b-r5-low sa-01 +SCF:TDA-06 nist-800-53b-r5-moderate sa-15 +SCF:TDA-06 nist-800-82-r3 sa-01 +SCF:TDA-06 nist-800-82-r3 sa-04-03 +SCF:TDA-06 nist-800-82-r3 sa-15 +SCF:TDA-06 nist-800-82-r3-low-ot-overlay sa-01 +SCF:TDA-06 nist-800-82-r3-moderate-ot-overlay sa-01 +SCF:TDA-06 nist-800-82-r3-moderate-ot-overlay sa-15 +SCF:TDA-06 nist-800-82-r3-high-ot-overlay sa-01 +SCF:TDA-06 nist-800-82-r3-high-ot-overlay sa-15 +SCF:TDA-06 nist-800-161-r1 sa-1 +SCF:TDA-06 nist-800-161-r1 sa-15 +SCF:TDA-06 nist-800-161-r1-c-scrm-baseline sa-1 +SCF:TDA-06 nist-800-161-r1-level-1 sa-1 +SCF:TDA-06 nist-800-161-r1-level-2 sa-1 +SCF:TDA-06 nist-800-161-r1-level-2 sa-15 +SCF:TDA-06 nist-800-161-r1-level-3 sa-1 +SCF:TDA-06 nist-800-161-r1-level-3 sa-15 +SCF:TDA-06 nist-800-171-r2 nfo-sa-1 +SCF:TDA-06 nist-800-171-r3 _03.16.01 +SCF:TDA-06 nist-800-171a _3.13.2-b +SCF:TDA-06 nist-800-171a _3.13.2-e +SCF:TDA-06 nist-800-218 po.1 +SCF:TDA-06 nist-800-218 pw.1 +SCF:TDA-06 nist-800-218 pw.1.3 +SCF:TDA-06 nist-800-218 pw.4.2 +SCF:TDA-06 nist-800-218 pw.5 +SCF:TDA-06 nist-800-218 pw.5.1 +SCF:TDA-06 nist-800-218 pw.6.1 +SCF:TDA-06 nist-800-218 pw.6.2 +SCF:TDA-06 nist-800-218 rv.3.4 +SCF:TDA-06 nist-csf-2.0 pr.ps-06 +SCF:TDA-06 owasp-top-10-2025 a01-2025 +SCF:TDA-06 owasp-top-10-2025 a02-2025 +SCF:TDA-06 owasp-top-10-2025 a03-2025 +SCF:TDA-06 owasp-top-10-2025 a04-2025 +SCF:TDA-06 owasp-top-10-2025 a05-2025 +SCF:TDA-06 owasp-top-10-2025 a06-2025 +SCF:TDA-06 owasp-top-10-2025 a07-2025 +SCF:TDA-06 owasp-top-10-2025 a08-2025 +SCF:TDA-06 owasp-top-10-2025 a09-2025 +SCF:TDA-06 owasp-top-10-2025 a10-2025 +SCF:TDA-06 pci-dss-4.0.1 _6.2 +SCF:TDA-06 pci-dss-4.0.1 _6.2.1 +SCF:TDA-06 pci-dss-4.0.1 _6.2.4 +SCF:TDA-06 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:TDA-06 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-06 pci-dss-4.0.1-saq-c _6.2.1 +SCF:TDA-06 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-06 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:TDA-06 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-06 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:TDA-06 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-06.1 nist-csf-function-grouping protect +SCF:TDA-06.1 cobit-2019 bai09.02 +SCF:TDA-06.1 iso-27002-2022 _8.29 +SCF:TDA-06.1 iso-27018-2025 _8.29 +SCF:TDA-06.1 nist-privacy-framework-1.0 id.be-p3 +SCF:TDA-06.1 nist-800-53-r5 pm-30-01 +SCF:TDA-06.1 nist-800-53-r5 ra-09 +SCF:TDA-06.1 nist-800-53-r5 sa-15-03 +SCF:TDA-06.1 nist-800-53b-r5-privacy pm-30-01 +SCF:TDA-06.1 nist-800-53b-r5-privacy ra-09 +SCF:TDA-06.1 nist-800-53b-r5-moderate ra-09 +SCF:TDA-06.1 nist-800-53b-r5-moderate sa-15-03 +SCF:TDA-06.1 nist-800-82-r3 pm-30-01 +SCF:TDA-06.1 nist-800-82-r3 ra-09 +SCF:TDA-06.1 nist-800-82-r3 sa-15-03 +SCF:TDA-06.1 nist-800-82-r3-low-ot-overlay pm-30-01 +SCF:TDA-06.1 nist-800-82-r3-moderate-ot-overlay pm-30-01 +SCF:TDA-06.1 nist-800-82-r3-moderate-ot-overlay sa-15-03 +SCF:TDA-06.1 nist-800-82-r3-high-ot-overlay pm-30-01 +SCF:TDA-06.1 nist-800-82-r3-high-ot-overlay sa-15-03 +SCF:TDA-06.1 nist-800-160-vol2-r1 pm-30-01 +SCF:TDA-06.1 nist-800-160-vol2-r1 ra-09 +SCF:TDA-06.1 nist-800-161-r1 ra-9 +SCF:TDA-06.1 nist-800-161-r1 sa-15-3 +SCF:TDA-06.1 nist-800-161-r1-flow-down ra-9 +SCF:TDA-06.1 nist-800-161-r1-level-1 ra-9 +SCF:TDA-06.1 nist-800-161-r1-level-2 ra-9 +SCF:TDA-06.1 nist-800-161-r1-level-2 sa-15-3 +SCF:TDA-06.1 nist-800-161-r1-level-3 ra-9 +SCF:TDA-06.1 nist-800-161-r1-level-3 sa-15-3 +SCF:TDA-06.1 nist-800-218 pw.1 +SCF:TDA-06.1 nist-csf-2.0 pr.ps-06 +SCF:TDA-06.2 nist-csf-function-grouping identify +SCF:TDA-06.2 cis-csc-8.1 _16.2 +SCF:TDA-06.2 cis-csc-8.1 _16.14 +SCF:TDA-06.2 cis-csc-8.1-ig2 _16.2 +SCF:TDA-06.2 cis-csc-8.1-ig3 _16.2 +SCF:TDA-06.2 cis-csc-8.1-ig3 _16.14 +SCF:TDA-06.2 csa-ccm-4.1.0 ais-06 +SCF:TDA-06.2 csa-iot-scf-2 sdv-06 +SCF:TDA-06.2 iec-62443-4-1-2018 sm-13 +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2 +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-a +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-b +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-c +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-d +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-e +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-f +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-g +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-h +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-i +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-j +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-k +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-l +SCF:TDA-06.2 iec-62443-4-1-2018 sr-2-m +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-03 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-04 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-05 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-06 +SCF:TDA-06.2 iso-sae-21434-2021 pm-15-07 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-08 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-09 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-10 +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-11 +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-11-a +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-11-b +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-11-c +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12 +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12-a +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12-b +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12-c +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12-d +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-12-e +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-13 +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-13-a +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-13-b +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-13-c +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-13-d +SCF:TDA-06.2 iso-sae-21434-2021 rc-15-14 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-15 +SCF:TDA-06.2 iso-sae-21434-2021 rq-15-16 +SCF:TDA-06.2 nist-ai-600-1 gv-3.2-005 +SCF:TDA-06.2 nist-800-53-r5 sa-11-02 +SCF:TDA-06.2 nist-800-53-r5 sa-15-08 +SCF:TDA-06.2 nist-800-53b-r5-privacy sa-11-02 +SCF:TDA-06.2 nist-800-82-r3 sa-11-02 +SCF:TDA-06.2 nist-800-82-r3 sa-15-08 +SCF:TDA-06.2 nist-800-160-vol2-r1 sa-11-02 +SCF:TDA-06.2 nist-800-161-r1 sa-15-4 +SCF:TDA-06.2 nist-800-161-r1 sa-15-8 +SCF:TDA-06.2 nist-800-161-r1-level-2 sa-15-4 +SCF:TDA-06.2 nist-800-161-r1-level-3 sa-15-4 +SCF:TDA-06.2 nist-800-161-r1-level-3 sa-15-8 +SCF:TDA-06.2 nist-800-218 pw.1 +SCF:TDA-06.2 nist-800-218 pw.1.1 +SCF:TDA-06.2 nist-800-218 rv.2.2 +SCF:TDA-06.2 nist-csf-2.0 gv.oc-01 +SCF:TDA-06.2 nist-csf-2.0 pr.ps-06 +SCF:TDA-06.2 owasp-top-10-2025 a04-2025 +SCF:TDA-06.2 owasp-top-10-2025 a08-2025 +SCF:TDA-06.3 nist-csf-function-grouping identify +SCF:TDA-06.3 cis-csc-8.1 _16.1 +SCF:TDA-06.3 cis-csc-8.1 _16.5 +SCF:TDA-06.3 cis-csc-8.1 _16.11 +SCF:TDA-06.3 cis-csc-8.1-ig2 _16.1 +SCF:TDA-06.3 cis-csc-8.1-ig2 _16.5 +SCF:TDA-06.3 cis-csc-8.1-ig2 _16.11 +SCF:TDA-06.3 cis-csc-8.1-ig3 _16.1 +SCF:TDA-06.3 cis-csc-8.1-ig3 _16.5 +SCF:TDA-06.3 cis-csc-8.1-ig3 _16.11 +SCF:TDA-06.3 csa-ccm-4.1.0 ais-06 +SCF:TDA-06.3 csa-iot-scf-2 sdv-03 +SCF:TDA-06.3 nist-800-218 pw.1 +SCF:TDA-06.3 nist-800-218 pw.2 +SCF:TDA-06.3 nist-800-218 pw.4.2 +SCF:TDA-06.3 nist-csf-2.0 pr.ps-06 +SCF:TDA-06.3 owasp-top-10-2025 a04-2025 +SCF:TDA-06.3 owasp-top-10-2025 a08-2025 +SCF:TDA-06.3 pci-dss-4.0.1 _6.2.2 +SCF:TDA-06.3 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:TDA-06.3 pci-dss-4.0.1-saq-c _6.2.2 +SCF:TDA-06.3 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:TDA-06.3 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:TDA-06.4 nist-csf-function-grouping identify +SCF:TDA-06.4 nist-800-218 po.3 +SCF:TDA-06.4 nist-800-218 po.3.1 +SCF:TDA-06.4 nist-800-218 po.3.2 +SCF:TDA-06.4 nist-800-218 pw.6.1 +SCF:TDA-06.4 nist-800-218 pw.6.2 +SCF:TDA-06.5 nist-csf-function-grouping detect +SCF:TDA-06.5 cis-csc-8.1 _16.2 +SCF:TDA-06.5 cis-csc-8.1 _16.7 +SCF:TDA-06.5 cis-csc-8.1 _16.12 +SCF:TDA-06.5 cis-csc-8.1-ig2 _16.2 +SCF:TDA-06.5 cis-csc-8.1-ig2 _16.7 +SCF:TDA-06.5 cis-csc-8.1-ig3 _16.2 +SCF:TDA-06.5 cis-csc-8.1-ig3 _16.7 +SCF:TDA-06.5 cis-csc-8.1-ig3 _16.12 +SCF:TDA-06.5 nist-800-218 po.4 +SCF:TDA-06.5 nist-800-218 pw.2 +SCF:TDA-06.5 nist-800-218 pw.2.1 +SCF:TDA-06.5 nist-800-218 rv.1 +SCF:TDA-06.5 nist-800-218 rv.1.2 +SCF:TDA-06.5 pci-dss-4.0.1 _6.2.3 +SCF:TDA-06.5 pci-dss-4.0.1-saq-d-merchant _6.2.3 +SCF:TDA-06.5 pci-dss-4.0.1-saq-d-service-provider _6.2.3 +SCF:TDA-06.6 nist-csf-function-grouping protect +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-1 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-1-1 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-1-2 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-1-3 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-1-4 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-b-1 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-c +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-d +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-a-2 +SCF:TDA-06.6 iec-62443-4-1-2018 dm-4-b-2 +SCF:TDA-06.6 nist-800-53-r5 si-02-07 +SCF:TDA-06.6 nist-800-82-r3 si-02-07 +SCF:TDA-07 nist-csf-function-grouping protect +SCF:TDA-07 cis-csc-8.1 _16.8 +SCF:TDA-07 cis-csc-8.1-ig2 _16.8 +SCF:TDA-07 cis-csc-8.1-ig3 _16.8 +SCF:TDA-07 cobit-2019 bai07.04 +SCF:TDA-07 csa-ccm-4.1.0 ais-06 +SCF:TDA-07 iec-62443-4-1-2018 sm-7 +SCF:TDA-07 iso-27002-2022 _8.25 +SCF:TDA-07 iso-27002-2022 _8.31 +SCF:TDA-07 iso-27017-2015 _12.1.4 +SCF:TDA-07 iso-27017-2015 _14.2.6 +SCF:TDA-07 iso-27018-2025 _8.25 +SCF:TDA-07 iso-27018-2025 _8.31 +SCF:TDA-07 nist-ai-600-1 ms-2.3-004 +SCF:TDA-07 nist-800-53-r5 sa-03-01 +SCF:TDA-07 nist-800-53b-r5-privacy sa-03-01 +SCF:TDA-07 nist-800-82-r3 sa-03-01 +SCF:TDA-07 nist-800-218 po.5 +SCF:TDA-07 nist-800-218 po.5.1 +SCF:TDA-07 pci-dss-4.0.1 _6.5.3 +SCF:TDA-07 pci-dss-4.0.1 _11.4.5 +SCF:TDA-07 pci-dss-4.0.1 _11.4.6 +SCF:TDA-07 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:TDA-07 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:TDA-07 pci-dss-4.0.1-saq-c _11.4.5 +SCF:TDA-07 pci-dss-4.0.1-saq-d-merchant _6.5.3 +SCF:TDA-07 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:TDA-07 pci-dss-4.0.1-saq-d-service-provider _6.5.3 +SCF:TDA-07 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:TDA-07 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:TDA-08 nist-csf-function-grouping protect +SCF:TDA-08 cis-csc-8.1 _16.8 +SCF:TDA-08 cis-csc-8.1-ig2 _16.8 +SCF:TDA-08 cis-csc-8.1-ig3 _16.8 +SCF:TDA-08 cobit-2019 bai07.04 +SCF:TDA-08 csa-ccm-4.1.0 ais-06 +SCF:TDA-08 csa-ccm-4.1.0 i-s-05 +SCF:TDA-08 iso-27002-2022 _8.25 +SCF:TDA-08 iso-27002-2022 _8.31 +SCF:TDA-08 iso-27017-2015 _12.1.4 +SCF:TDA-08 iso-27018-2025 _8.25 +SCF:TDA-08 iso-27018-2025 _8.31 +SCF:TDA-08 nist-privacy-framework-1.0 pr.ds-p7 +SCF:TDA-08 nist-800-53-r4 cm-4-1 +SCF:TDA-08 nist-800-53-r5 cm-04-01 +SCF:TDA-08 nist-800-53b-r5-high cm-04-01 +SCF:TDA-08 nist-800-82-r3 cm-04-01 +SCF:TDA-08 nist-800-82-r3-high-ot-overlay cm-04-01 +SCF:TDA-08 nist-800-160-vol2-r1 cm-04-01 +SCF:TDA-08 nist-800-161-r1 cm-4-1 +SCF:TDA-08 nist-800-161-r1-level-3 cm-4-1 +SCF:TDA-08 nist-800-171-r2 _3.4.5 +SCF:TDA-08 nist-800-218 po.5 +SCF:TDA-08 nist-800-218 po.5.1 +SCF:TDA-08 pci-dss-4.0.1 _6.5.3 +SCF:TDA-08 pci-dss-4.0.1 _6.5.6 +SCF:TDA-08 pci-dss-4.0.1-saq-d-merchant _6.5.3 +SCF:TDA-08 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:TDA-08 pci-dss-4.0.1-saq-d-service-provider _6.5.3 +SCF:TDA-08 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:TDA-08.1 nist-csf-function-grouping protect +SCF:TDA-08.1 cobit-2019 bai07.06 +SCF:TDA-08.1 csa-ccm-4.1.0 ais-04 +SCF:TDA-08.1 csa-ccm-4.1.0 i-s-07 +SCF:TDA-08.1 nist-800-218 po.5 +SCF:TDA-08.1 pci-dss-4.0.1 _6.5.6 +SCF:TDA-08.1 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:TDA-08.1 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:TDA-09 nist-csf-function-grouping protect +SCF:TDA-09 cis-csc-8.1 _16.2 +SCF:TDA-09 cis-csc-8.1 _16.3 +SCF:TDA-09 cis-csc-8.1 _16.12 +SCF:TDA-09 cis-csc-8.1-ig2 _16.2 +SCF:TDA-09 cis-csc-8.1-ig2 _16.3 +SCF:TDA-09 cis-csc-8.1-ig3 _16.2 +SCF:TDA-09 cis-csc-8.1-ig3 _16.3 +SCF:TDA-09 cis-csc-8.1-ig3 _16.12 +SCF:TDA-09 cobit-2019 bai03.06 +SCF:TDA-09 cobit-2019 bai03.07 +SCF:TDA-09 cobit-2019 bai03.08 +SCF:TDA-09 csa-ccm-4.1.0 ais-04 +SCF:TDA-09 csa-ccm-4.1.0 ais-05 +SCF:TDA-09 csa-iot-scf-2 sdv-07 +SCF:TDA-09 csa-iot-scf-2 set-06 +SCF:TDA-09 iec-62443-4-1-2018 sm-9 +SCF:TDA-09 iec-62443-4-1-2018 sm-10 +SCF:TDA-09 iec-62443-4-1-2018 sm-10-a +SCF:TDA-09 iec-62443-4-1-2018 sm-10-b +SCF:TDA-09 iec-62443-4-1-2018 sd-3 +SCF:TDA-09 iec-62443-4-1-2018 sd-3-a +SCF:TDA-09 iec-62443-4-1-2018 sd-3-b +SCF:TDA-09 iec-62443-4-1-2018 sd-3-c +SCF:TDA-09 iec-62443-4-1-2018 si-1 +SCF:TDA-09 iec-62443-4-1-2018 si-1-a +SCF:TDA-09 iec-62443-4-1-2018 si-1-b +SCF:TDA-09 iec-62443-4-1-2018 si-1-d +SCF:TDA-09 iec-62443-4-1-2018 si-1-e +SCF:TDA-09 iec-62443-4-1-2018 svv-1 +SCF:TDA-09 iec-62443-4-1-2018 svv-1-a +SCF:TDA-09 iec-62443-4-1-2018 svv-1-b +SCF:TDA-09 iec-62443-4-1-2018 svv-1-c +SCF:TDA-09 iec-62443-4-1-2018 svv-2 +SCF:TDA-09 iec-62443-4-1-2018 svv-2-a +SCF:TDA-09 iec-62443-4-1-2018 svv-2-b +SCF:TDA-09 iec-62443-4-1-2018 svv-3 +SCF:TDA-09 iec-62443-4-1-2018 svv-3-a +SCF:TDA-09 iec-62443-4-1-2018 svv-3-b +SCF:TDA-09 iec-62443-4-1-2018 svv-3-c +SCF:TDA-09 iec-62443-4-1-2018 svv-3-d +SCF:TDA-09 iec-62443-4-1-2018 svv-3-d-1 +SCF:TDA-09 iec-62443-4-1-2018 svv-3-d-2 +SCF:TDA-09 iec-62443-4-1-2018 svv-3-d-3 +SCF:TDA-09 iec-62443-4-1-2018 svv-3-d-4 +SCF:TDA-09 iec-62443-4-1-2018 svv-3-e +SCF:TDA-09 iec-62443-4-1-2018 svv-5 +SCF:TDA-09 iec-62443-4-1-2018 dm-1 +SCF:TDA-09 iec-62443-4-1-2018 dm-1-a +SCF:TDA-09 iec-62443-4-1-2018 dm-1-b +SCF:TDA-09 iec-62443-4-1-2018 dm-1-c +SCF:TDA-09 iec-62443-4-1-2018 dm-1-d +SCF:TDA-09 iec-62443-4-1-2018 dm-3 +SCF:TDA-09 iec-62443-4-1-2018 dm-3-a +SCF:TDA-09 iec-62443-4-1-2018 dm-3-a-1 +SCF:TDA-09 iec-62443-4-1-2018 dm-3-a-2 +SCF:TDA-09 iec-62443-4-1-2018 dm-3-a-3 +SCF:TDA-09 iec-62443-4-1-2018 dm-3-b +SCF:TDA-09 iec-62443-4-1-2018 dm-3-c +SCF:TDA-09 iec-62443-4-1-2018 dm-3-d +SCF:TDA-09 iec-62443-4-1-2018 dm-3-e +SCF:TDA-09 iso-27002-2022 _8.25 +SCF:TDA-09 iso-27002-2022 _8.29 +SCF:TDA-09 iso-27002-2022 _8.3 +SCF:TDA-09 iso-27017-2015 _14.2.7 +SCF:TDA-09 iso-27017-2015 _14.2.8 +SCF:TDA-09 iso-27017-2015 _14.2.9 +SCF:TDA-09 iso-27018-2025 _8.25 +SCF:TDA-09 iso-27018-2025 _8.29 +SCF:TDA-09 iso-27018-2025 _8.30 +SCF:TDA-09 nist-800-53-r4 sa-11 +SCF:TDA-09 nist-800-53-r5 sa-11 +SCF:TDA-09 nist-800-53-r5 sa-11-05 +SCF:TDA-09 nist-800-53-r5 sa-11-06 +SCF:TDA-09 nist-800-53-r5 sa-11-07 +SCF:TDA-09 nist-800-53b-r5-privacy sa-11 +SCF:TDA-09 nist-800-53b-r5-privacy sa-11-05 +SCF:TDA-09 nist-800-53b-r5-privacy sa-11-06 +SCF:TDA-09 nist-800-53b-r5-privacy sa-11-07 +SCF:TDA-09 nist-800-53b-r5-moderate sa-11 +SCF:TDA-09 nist-800-82-r3 sa-11 +SCF:TDA-09 nist-800-82-r3 sa-11-05 +SCF:TDA-09 nist-800-82-r3 sa-11-06 +SCF:TDA-09 nist-800-82-r3 sa-11-07 +SCF:TDA-09 nist-800-82-r3-moderate-ot-overlay sa-11 +SCF:TDA-09 nist-800-82-r3-high-ot-overlay sa-11 +SCF:TDA-09 nist-800-160-vol2-r1 sa-11-05 +SCF:TDA-09 nist-800-160-vol2-r1 sa-11-06 +SCF:TDA-09 nist-800-161-r1 sa-11 +SCF:TDA-09 nist-800-161-r1-level-1 sa-11 +SCF:TDA-09 nist-800-161-r1-level-2 sa-11 +SCF:TDA-09 nist-800-161-r1-level-3 sa-11 +SCF:TDA-09 nist-800-171-r2 nfo-sa-11 +SCF:TDA-09 nist-800-171-r3 _03.12.01 +SCF:TDA-09 nist-800-171-r3 _03.12.03 +SCF:TDA-09 nist-800-171-r3 _03.14.01.a +SCF:TDA-09 nist-800-218 po.4 +SCF:TDA-09 nist-800-218 po.4.1 +SCF:TDA-09 nist-800-218 pw.5.1 +SCF:TDA-09 nist-800-218 pw.6 +SCF:TDA-09 nist-800-218 pw.7 +SCF:TDA-09 nist-800-218 pw.7.1 +SCF:TDA-09 nist-800-218 pw.8.1 +SCF:TDA-09 nist-800-218 pw.8.2 +SCF:TDA-09 nist-800-218 rv.1 +SCF:TDA-09 nist-800-218 rv.2 +SCF:TDA-09 nist-800-218 rv.2.1 +SCF:TDA-09 nist-800-218 rv.2.2 +SCF:TDA-09 nist-800-218 rv.3.1 +SCF:TDA-09 nist-800-218 rv.3.2 +SCF:TDA-09 nist-800-218 rv.3.3 +SCF:TDA-09 nist-csf-2.0 id.ra-01 +SCF:TDA-09 nist-csf-2.0 id.im-01 +SCF:TDA-09 nist-csf-2.0 id.im-02 +SCF:TDA-09 nist-csf-2.0 pr.ps-06 +SCF:TDA-09 owasp-top-10-2025 a01-2025 +SCF:TDA-09 owasp-top-10-2025 a02-2025 +SCF:TDA-09 owasp-top-10-2025 a03-2025 +SCF:TDA-09 owasp-top-10-2025 a04-2025 +SCF:TDA-09 owasp-top-10-2025 a05-2025 +SCF:TDA-09 owasp-top-10-2025 a06-2025 +SCF:TDA-09 owasp-top-10-2025 a07-2025 +SCF:TDA-09 owasp-top-10-2025 a08-2025 +SCF:TDA-09 owasp-top-10-2025 a09-2025 +SCF:TDA-09 owasp-top-10-2025 a10-2025 +SCF:TDA-09 pci-dss-4.0.1 _6.2.3 +SCF:TDA-09 pci-dss-4.0.1 _6.2.3.1 +SCF:TDA-09 pci-dss-4.0.1 _6.2.4 +SCF:TDA-09 pci-dss-4.0.1 _6.5.6 +SCF:TDA-09 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-09 pci-dss-4.0.1-saq-c _6.2.3.1 +SCF:TDA-09 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-09 pci-dss-4.0.1-saq-d-merchant _6.2.3 +SCF:TDA-09 pci-dss-4.0.1-saq-d-merchant _6.2.3.1 +SCF:TDA-09 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-09 pci-dss-4.0.1-saq-d-merchant _6.5.6 +SCF:TDA-09 pci-dss-4.0.1-saq-d-service-provider _6.2.3 +SCF:TDA-09 pci-dss-4.0.1-saq-d-service-provider _6.2.3.1 +SCF:TDA-09 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-09 pci-dss-4.0.1-saq-d-service-provider _6.5.6 +SCF:TDA-09.1 nist-csf-function-grouping detect +SCF:TDA-09.1 cis-csc-8.1 _16.2 +SCF:TDA-09.1 cis-csc-8.1-ig2 _16.2 +SCF:TDA-09.1 cis-csc-8.1-ig3 _16.2 +SCF:TDA-09.1 csa-iot-scf-2 sdv-07 +SCF:TDA-09.1 nist-800-53-r4 sa-4-8 +SCF:TDA-09.1 nist-800-53-r5 sa-04-08 +SCF:TDA-09.1 nist-800-82-r3 sa-04-08 +SCF:TDA-09.1 nist-800-161-r1 sa-4-8 +SCF:TDA-09.1 nist-800-161-r1-level-2 sa-4-8 +SCF:TDA-09.1 nist-800-161-r1-level-3 sa-4-8 +SCF:TDA-09.1 nist-800-171-r3 _03.12.03 +SCF:TDA-09.1 nist-800-218 rv.1 +SCF:TDA-09.1 nist-csf-2.0 id.im-01 +SCF:TDA-09.1 nist-csf-2.0 id.im-02 +SCF:TDA-09.2 nist-csf-function-grouping detect +SCF:TDA-09.2 cis-csc-8.1 _16.12 +SCF:TDA-09.2 cis-csc-8.1-ig3 _16.12 +SCF:TDA-09.2 csa-iot-scf-2 sdv-04 +SCF:TDA-09.2 csa-iot-scf-2 set-06 +SCF:TDA-09.2 iec-62443-4-1-2018 si-1-c +SCF:TDA-09.2 nist-800-53-r4 sa-11-1 +SCF:TDA-09.2 nist-800-53-r5 sa-11-01 +SCF:TDA-09.2 nist-800-82-r3 sa-11-01 +SCF:TDA-09.2 nist-800-218 po.4 +SCF:TDA-09.2 nist-800-218 pw.7 +SCF:TDA-09.2 nist-800-218 pw.7.2 +SCF:TDA-09.2 owasp-top-10-2025 a01-2025 +SCF:TDA-09.2 owasp-top-10-2025 a02-2025 +SCF:TDA-09.2 owasp-top-10-2025 a03-2025 +SCF:TDA-09.2 owasp-top-10-2025 a04-2025 +SCF:TDA-09.2 owasp-top-10-2025 a05-2025 +SCF:TDA-09.2 owasp-top-10-2025 a06-2025 +SCF:TDA-09.2 owasp-top-10-2025 a07-2025 +SCF:TDA-09.2 owasp-top-10-2025 a08-2025 +SCF:TDA-09.2 owasp-top-10-2025 a09-2025 +SCF:TDA-09.2 owasp-top-10-2025 a10-2025 +SCF:TDA-09.2 pci-dss-4.0.1 _6.2.4 +SCF:TDA-09.2 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-09.2 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-09.2 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-09.2 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-09.3 nist-csf-function-grouping detect +SCF:TDA-09.3 cis-csc-8.1 _16.12 +SCF:TDA-09.3 cis-csc-8.1-ig3 _16.12 +SCF:TDA-09.3 csa-ccm-4.1.0 ais-05 +SCF:TDA-09.3 csa-iot-scf-2 sdv-04 +SCF:TDA-09.3 csa-iot-scf-2 set-06 +SCF:TDA-09.3 nist-800-53-r4 sa-11-8 +SCF:TDA-09.3 nist-800-53-r5 sa-11-08 +SCF:TDA-09.3 nist-800-82-r3 sa-11-08 +SCF:TDA-09.3 nist-800-218 po.4 +SCF:TDA-09.3 nist-800-218 pw.7 +SCF:TDA-09.3 nist-800-218 pw.7.2 +SCF:TDA-09.3 owasp-top-10-2025 a01-2025 +SCF:TDA-09.3 owasp-top-10-2025 a02-2025 +SCF:TDA-09.3 owasp-top-10-2025 a03-2025 +SCF:TDA-09.3 owasp-top-10-2025 a04-2025 +SCF:TDA-09.3 owasp-top-10-2025 a05-2025 +SCF:TDA-09.3 owasp-top-10-2025 a06-2025 +SCF:TDA-09.3 owasp-top-10-2025 a07-2025 +SCF:TDA-09.3 owasp-top-10-2025 a08-2025 +SCF:TDA-09.3 owasp-top-10-2025 a09-2025 +SCF:TDA-09.3 owasp-top-10-2025 a10-2025 +SCF:TDA-09.3 pci-dss-4.0.1 _6.2.4 +SCF:TDA-09.3 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-09.3 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-09.3 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-09.3 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-09.4 nist-csf-function-grouping detect +SCF:TDA-09.4 nist-ai-600-1 ms-2.6-006 +SCF:TDA-09.4 nist-800-218 pw.7 +SCF:TDA-09.4 nist-800-218 pw.8 +SCF:TDA-09.4 owasp-top-10-2025 a03-2025 +SCF:TDA-09.4 pci-dss-4.0.1 _6.2.4 +SCF:TDA-09.4 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-09.4 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-09.4 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-09.4 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-09.5 nist-csf-function-grouping detect +SCF:TDA-09.5 cis-csc-8.1 _16.13 +SCF:TDA-09.5 cis-csc-8.1-ig3 _16.13 +SCF:TDA-09.5 csa-ccm-4.1.0 ais-05 +SCF:TDA-09.5 csa-iot-scf-2 sdv-07 +SCF:TDA-09.5 csa-iot-scf-2 set-02 +SCF:TDA-09.5 csa-iot-scf-2 set-06 +SCF:TDA-09.5 iec-62443-4-1-2018 svv-4 +SCF:TDA-09.5 nist-800-53-r5 sa-11-05 +SCF:TDA-09.5 nist-800-53b-r5-privacy sa-11-05 +SCF:TDA-09.5 nist-800-82-r3 sa-11-05 +SCF:TDA-09.5 nist-800-160-vol2-r1 sa-11-05 +SCF:TDA-09.5 nist-800-218 pw.7 +SCF:TDA-09.5 nist-800-218 pw.8 +SCF:TDA-09.5 owasp-top-10-2025 a01-2025 +SCF:TDA-09.5 owasp-top-10-2025 a02-2025 +SCF:TDA-09.5 owasp-top-10-2025 a03-2025 +SCF:TDA-09.5 owasp-top-10-2025 a04-2025 +SCF:TDA-09.5 owasp-top-10-2025 a05-2025 +SCF:TDA-09.5 owasp-top-10-2025 a06-2025 +SCF:TDA-09.5 owasp-top-10-2025 a07-2025 +SCF:TDA-09.5 owasp-top-10-2025 a08-2025 +SCF:TDA-09.5 owasp-top-10-2025 a09-2025 +SCF:TDA-09.5 owasp-top-10-2025 a10-2025 +SCF:TDA-09.5 pci-dss-4.0.1 _6.2.4 +SCF:TDA-09.5 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-09.5 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-09.5 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-09.5 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-09.6 nist-csf-function-grouping protect +SCF:TDA-09.6 cis-csc-8.1 _16.1 +SCF:TDA-09.6 cis-csc-8.1-ig2 _16.1 +SCF:TDA-09.6 cis-csc-8.1-ig3 _16.1 +SCF:TDA-09.6 csa-ccm-4.1.0 dsp-07 +SCF:TDA-09.6 csa-ccm-4.1.0 dsp-08 +SCF:TDA-09.6 nist-800-218 pw.1.3 +SCF:TDA-09.6 nist-800-218 pw.5.1 +SCF:TDA-09.6 nist-800-218 pw.6 +SCF:TDA-09.6 nist-800-218 pw.9 +SCF:TDA-09.6 nist-800-218 pw.9.1 +SCF:TDA-09.6 nist-800-218 pw.9.2 +SCF:TDA-09.7 nist-csf-function-grouping detect +SCF:TDA-09.7 nist-800-53-r4 sa-11-4 +SCF:TDA-09.7 nist-800-53-r5 sa-11-04 +SCF:TDA-09.7 nist-800-82-r3 sa-11-04 +SCF:TDA-10 nist-csf-function-grouping protect +SCF:TDA-10 csa-ccm-4.1.0 dsp-15 +SCF:TDA-10 iso-27002-2022 _8.33 +SCF:TDA-10 iso-27017-2015 _14.3.1 +SCF:TDA-10 iso-27018-2025 _8.33 +SCF:TDA-10 nist-800-53-r4 sa-15-9 +SCF:TDA-10 nist-800-53-r5 sa-03-02 +SCF:TDA-10 nist-800-82-r3 sa-03-02 +SCF:TDA-10 nist-800-160-vol2-r1 sa-03-02 +SCF:TDA-10 pci-dss-4.0.1 _6.5.5 +SCF:TDA-10 pci-dss-4.0.1-saq-d-merchant _6.5.5 +SCF:TDA-10 pci-dss-4.0.1-saq-d-service-provider _6.5.5 +SCF:TDA-10.1 nist-csf-function-grouping protect +SCF:TDA-11 nist-csf-function-grouping protect +SCF:TDA-11 cis-csc-8.1 _16.5 +SCF:TDA-11 cis-csc-8.1-ig2 _16.5 +SCF:TDA-11 cis-csc-8.1-ig3 _16.5 +SCF:TDA-11 nist-800-53-r4 sa-12-10 +SCF:TDA-11 nist-800-53-r4 sa-19 +SCF:TDA-11 nist-800-53-r5 sr-04-03 +SCF:TDA-11 nist-800-53-r5 sr-04-04 +SCF:TDA-11 nist-800-53-r5 sr-10 +SCF:TDA-11 nist-800-53-r5 sr-11 +SCF:TDA-11 nist-800-53-r5 sr-11-03 +SCF:TDA-11 nist-800-53b-r5-privacy sr-10 +SCF:TDA-11 nist-800-53b-r5-low sr-10 +SCF:TDA-11 nist-800-53b-r5-low sr-11 +SCF:TDA-11 nist-800-82-r3 sr-04-03 +SCF:TDA-11 nist-800-82-r3 sr-04-04 +SCF:TDA-11 nist-800-82-r3 sr-10 +SCF:TDA-11 nist-800-82-r3 sr-11 +SCF:TDA-11 nist-800-82-r3 sr-11-03 +SCF:TDA-11 nist-800-82-r3-low-ot-overlay sr-10 +SCF:TDA-11 nist-800-82-r3-low-ot-overlay sr-11 +SCF:TDA-11 nist-800-82-r3-moderate-ot-overlay sr-10 +SCF:TDA-11 nist-800-82-r3-moderate-ot-overlay sr-11 +SCF:TDA-11 nist-800-82-r3-high-ot-overlay sr-10 +SCF:TDA-11 nist-800-82-r3-high-ot-overlay sr-11 +SCF:TDA-11 nist-800-160-vol2-r1 sr-04-03 +SCF:TDA-11 nist-800-160-vol2-r1 sr-04-04 +SCF:TDA-11 nist-800-160-vol2-r1 sr-10 +SCF:TDA-11 nist-800-160-vol2-r1 sr-11 +SCF:TDA-11 nist-800-160-vol2-r1 sr-11-03 +SCF:TDA-11 nist-800-161-r1 sr-10 +SCF:TDA-11 nist-800-161-r1 sr-11 +SCF:TDA-11 nist-800-161-r1 sr-11-3 +SCF:TDA-11 nist-800-161-r1-c-scrm-baseline sr-10 +SCF:TDA-11 nist-800-161-r1-c-scrm-baseline sr-11 +SCF:TDA-11 nist-800-161-r1-flow-down sr-10 +SCF:TDA-11 nist-800-161-r1-level-1 sr-11 +SCF:TDA-11 nist-800-161-r1-level-2 sr-10 +SCF:TDA-11 nist-800-161-r1-level-2 sr-11 +SCF:TDA-11 nist-800-161-r1-level-2 sr-11-3 +SCF:TDA-11 nist-800-161-r1-level-3 sr-10 +SCF:TDA-11 nist-800-161-r1-level-3 sr-11 +SCF:TDA-11 nist-800-161-r1-level-3 sr-11-3 +SCF:TDA-11.1 nist-csf-function-grouping protect +SCF:TDA-11.1 nist-800-53-r4 sa-19-1 +SCF:TDA-11.1 nist-800-53-r5 sr-11-01 +SCF:TDA-11.1 nist-800-53b-r5-low sr-11-01 +SCF:TDA-11.1 nist-800-82-r3 sr-11-01 +SCF:TDA-11.1 nist-800-82-r3-low-ot-overlay sr-11-01 +SCF:TDA-11.1 nist-800-82-r3-moderate-ot-overlay sr-11-01 +SCF:TDA-11.1 nist-800-82-r3-high-ot-overlay sr-11-01 +SCF:TDA-11.1 nist-800-161-r1 sr-11-1 +SCF:TDA-11.1 nist-800-161-r1-c-scrm-baseline sr-11-1 +SCF:TDA-11.1 nist-800-161-r1-level-2 sr-11-1 +SCF:TDA-11.1 nist-800-161-r1-level-3 sr-11-1 +SCF:TDA-11.2 nist-csf-function-grouping protect +SCF:TDA-11.2 nist-800-161-r1 sr-12 +SCF:TDA-11.2 nist-800-161-r1-c-scrm-baseline sr-12 +SCF:TDA-11.2 nist-800-161-r1-level-2 sr-12 +SCF:TDA-11.2 nist-800-161-r1-level-3 sr-12 +SCF:TDA-12 nist-csf-function-grouping protect +SCF:TDA-12 cis-csc-8.1 _16.7 +SCF:TDA-12 cis-csc-8.1 _16.11 +SCF:TDA-12 cis-csc-8.1-ig2 _16.7 +SCF:TDA-12 cis-csc-8.1-ig2 _16.11 +SCF:TDA-12 cis-csc-8.1-ig3 _16.7 +SCF:TDA-12 cis-csc-8.1-ig3 _16.11 +SCF:TDA-12 csa-iot-scf-2 sdv-03 +SCF:TDA-12 csa-iot-scf-2 sdv-05 +SCF:TDA-12 nist-800-53-r4 sa-20 +SCF:TDA-12 nist-800-53-r5 pm-30-01 +SCF:TDA-12 nist-800-53-r5 sa-20 +SCF:TDA-12 nist-800-53-r5 sa-23 +SCF:TDA-12 nist-800-53b-r5-privacy pm-30-01 +SCF:TDA-12 nist-800-53b-r5-privacy sa-23 +SCF:TDA-12 nist-800-82-r3 pm-30-01 +SCF:TDA-12 nist-800-82-r3 sa-20 +SCF:TDA-12 nist-800-82-r3 sa-23 +SCF:TDA-12 nist-800-82-r3-low-ot-overlay pm-30-01 +SCF:TDA-12 nist-800-82-r3-moderate-ot-overlay pm-30-01 +SCF:TDA-12 nist-800-82-r3-high-ot-overlay pm-30-01 +SCF:TDA-12 nist-800-160-vol2-r1 pm-30-01 +SCF:TDA-12 nist-800-160-vol2-r1 sa-20 +SCF:TDA-12 nist-800-160-vol2-r1 sa-23 +SCF:TDA-12 nist-800-161-r1 sa-20 +SCF:TDA-12 nist-800-161-r1-level-2 sa-20 +SCF:TDA-12 nist-800-161-r1-level-3 sa-20 +SCF:TDA-13 nist-csf-function-grouping protect +SCF:TDA-13 nist-800-53-r4 sa-21 +SCF:TDA-13 nist-800-53-r5 sa-21 +SCF:TDA-13 nist-800-53b-r5-high sa-21 +SCF:TDA-13 nist-800-82-r3 sa-21 +SCF:TDA-13 nist-800-82-r3-high-ot-overlay sa-21 +SCF:TDA-13 nist-800-161-r1 sa-21 +SCF:TDA-13 nist-800-161-r1 sa-21-1 +SCF:TDA-13 nist-800-161-r1-flow-down sa-21 +SCF:TDA-13 nist-800-161-r1-level-2 sa-21 +SCF:TDA-13 nist-800-161-r1-level-2 sa-21-1 +SCF:TDA-13 nist-800-161-r1-level-3 sa-21 +SCF:TDA-13 nist-800-161-r1-level-3 sa-21-1 +SCF:TDA-13 pci-dss-4.0.1 _6.2.2 +SCF:TDA-13 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:TDA-13 pci-dss-4.0.1-saq-c _6.2.2 +SCF:TDA-13 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:TDA-13 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:TDA-14 nist-csf-function-grouping protect +SCF:TDA-14 cis-csc-8.1 _16.11 +SCF:TDA-14 cis-csc-8.1-ig2 _16.11 +SCF:TDA-14 cis-csc-8.1-ig3 _16.11 +SCF:TDA-14 iso-27002-2022 _8.3 +SCF:TDA-14 iso-27002-2022 _8.32 +SCF:TDA-14 iso-27017-2015 _12.1.2 +SCF:TDA-14 iso-27017-2015 _14.2.4 +SCF:TDA-14 iso-27018-2025 _8.30 +SCF:TDA-14 iso-27018-2025 _8.32 +SCF:TDA-14 nist-800-53-r4 sa-10 +SCF:TDA-14 nist-800-53-r5 sa-10 +SCF:TDA-14 nist-800-53b-r5-moderate sa-10 +SCF:TDA-14 nist-800-82-r3 sa-10 +SCF:TDA-14 nist-800-82-r3-moderate-ot-overlay sa-10 +SCF:TDA-14 nist-800-82-r3-high-ot-overlay sa-10 +SCF:TDA-14 nist-800-161-r1 sa-10 +SCF:TDA-14 nist-800-161-r1-level-2 sa-10 +SCF:TDA-14 nist-800-161-r1-level-3 sa-10 +SCF:TDA-14 nist-800-171-r2 nfo-sa-10 +SCF:TDA-14 nist-csf-2.0 id.ra-09 +SCF:TDA-14.1 nist-csf-function-grouping protect +SCF:TDA-14.1 cis-csc-8.1 _16.5 +SCF:TDA-14.1 cis-csc-8.1 _16.11 +SCF:TDA-14.1 cis-csc-8.1-ig2 _16.5 +SCF:TDA-14.1 cis-csc-8.1-ig2 _16.11 +SCF:TDA-14.1 cis-csc-8.1-ig3 _16.5 +SCF:TDA-14.1 cis-csc-8.1-ig3 _16.11 +SCF:TDA-14.1 csa-iot-scf-2 ccm-06 +SCF:TDA-14.1 nist-800-53-r4 sa-10-1 +SCF:TDA-14.1 nist-800-53-r5 sa-10-01 +SCF:TDA-14.1 nist-800-82-r3 sa-10-01 +SCF:TDA-14.1 nist-800-172 _3.14.7e +SCF:TDA-14.1 nist-csf-2.0 id.ra-09 +SCF:TDA-14.2 nist-csf-function-grouping protect +SCF:TDA-14.2 nist-800-53-r4 sa-10-3 +SCF:TDA-14.2 nist-800-53-r5 sa-10-03 +SCF:TDA-14.2 nist-800-82-r3 sa-10-03 +SCF:TDA-14.2 nist-800-172 _3.14.7e +SCF:TDA-14.2 nist-csf-2.0 id.ra-09 +SCF:TDA-15 nist-csf-function-grouping protect +SCF:TDA-15 cis-csc-8.1 _16.2 +SCF:TDA-15 cis-csc-8.1-ig2 _16.2 +SCF:TDA-15 cis-csc-8.1-ig3 _16.2 +SCF:TDA-15 cobit-2019 dss06.04 +SCF:TDA-15 coso-2013 _17 +SCF:TDA-15 csa-ccm-4.1.0 ais-07 +SCF:TDA-15 csa-iot-scf-2 set-06 +SCF:TDA-15 iec-62443-4-1-2018 dm-2 +SCF:TDA-15 iec-62443-4-1-2018 dm-2-a +SCF:TDA-15 iec-62443-4-1-2018 dm-2-b +SCF:TDA-15 iec-62443-4-1-2018 dm-2-c +SCF:TDA-15 iso-42001-2023 _10.2 +SCF:TDA-15 iso-42001-2023 _10.2-a +SCF:TDA-15 iso-42001-2023 _10.2-a-1 +SCF:TDA-15 iso-42001-2023 _10.2-a-2 +SCF:TDA-15 iso-42001-2023 _10.2-b +SCF:TDA-15 iso-42001-2023 _10.2-b-1 +SCF:TDA-15 iso-42001-2023 _10.2-b-2 +SCF:TDA-15 iso-42001-2023 _10.2-b-3 +SCF:TDA-15 iso-42001-2023 _10.2-c +SCF:TDA-15 iso-42001-2023 _10.2-d +SCF:TDA-15 iso-42001-2023 _10.2-e +SCF:TDA-15 nist-800-53-r4 sa-11-2 +SCF:TDA-15 nist-800-53-r5 sa-11-02 +SCF:TDA-15 nist-800-53b-r5-privacy sa-11-02 +SCF:TDA-15 nist-800-82-r3 sa-11-02 +SCF:TDA-15 nist-800-160-vol2-r1 sa-11-02 +SCF:TDA-15 pci-dss-4.0.1 _6.2.1 +SCF:TDA-15 pci-dss-4.0.1 _6.2.2 +SCF:TDA-15 pci-dss-4.0.1 _6.2.3 +SCF:TDA-15 pci-dss-4.0.1 _6.2.3.1 +SCF:TDA-15 pci-dss-4.0.1 _6.2.4 +SCF:TDA-15 pci-dss-4.0.1 _6.3.1 +SCF:TDA-15 pci-dss-4.0.1 _6.4.1 +SCF:TDA-15 pci-dss-4.0.1 _6.4.2 +SCF:TDA-15 pci-dss-4.0.1 _11.4.1 +SCF:TDA-15 pci-dss-4.0.1 _11.4.4 +SCF:TDA-15 pci-dss-4.0.1 _12.4.2.1 +SCF:TDA-15 pci-dss-4.0.1 a1.2.3 +SCF:TDA-15 pci-dss-4.0.1-saq-a _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.2.1 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.2.2 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.2.4 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _11.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-a-ep _11.4.4 +SCF:TDA-15 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-c _6.2.1 +SCF:TDA-15 pci-dss-4.0.1-saq-c _6.2.2 +SCF:TDA-15 pci-dss-4.0.1-saq-c _6.2.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-c _6.2.4 +SCF:TDA-15 pci-dss-4.0.1-saq-c _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.2.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.2.2 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.2.3 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.2.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.2.4 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _11.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-merchant _11.4.4 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.2.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.2.2 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.2.3 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.2.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.2.4 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _11.4.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _11.4.4 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider _12.4.2.1 +SCF:TDA-15 pci-dss-4.0.1-saq-d-service-provider a1.2.3 +SCF:TDA-16 nist-csf-function-grouping protect +SCF:TDA-16 cis-csc-8.1 _16.1 +SCF:TDA-16 cis-csc-8.1-ig2 _16.1 +SCF:TDA-16 cis-csc-8.1-ig3 _16.1 +SCF:TDA-16 nist-800-53-r4 sa-16 +SCF:TDA-16 nist-800-53-r5 sa-16 +SCF:TDA-16 nist-800-53b-r5-high sa-16 +SCF:TDA-16 nist-800-82-r3 sa-16 +SCF:TDA-16 nist-800-82-r3-high-ot-overlay sa-16 +SCF:TDA-16 nist-800-161-r1 sa-16 +SCF:TDA-16 nist-800-161-r1-level-2 sa-16 +SCF:TDA-16 nist-800-161-r1-level-3 sa-16 +SCF:TDA-17 nist-csf-function-grouping protect +SCF:TDA-17 cis-csc-8.1 _2.2 +SCF:TDA-17 cis-csc-8.1-ig1 _2.2 +SCF:TDA-17 cis-csc-8.1-ig2 _2.2 +SCF:TDA-17 cis-csc-8.1-ig3 _2.2 +SCF:TDA-17 nist-ai-100-1-ai-rmf-1.0 govern-1.7 +SCF:TDA-17 nist-800-53-r4 sa-22 +SCF:TDA-17 nist-800-53-r5 sa-22 +SCF:TDA-17 nist-800-53b-r5-privacy sa-22 +SCF:TDA-17 nist-800-53b-r5-low sa-22 +SCF:TDA-17 nist-800-82-r3 sa-22 +SCF:TDA-17 nist-800-82-r3-low-ot-overlay sa-22 +SCF:TDA-17 nist-800-82-r3-moderate-ot-overlay sa-22 +SCF:TDA-17 nist-800-82-r3-high-ot-overlay sa-22 +SCF:TDA-17 nist-800-161-r1 sa-22 +SCF:TDA-17 nist-800-161-r1-c-scrm-baseline sa-22 +SCF:TDA-17 nist-800-161-r1-level-2 sa-22 +SCF:TDA-17 nist-800-161-r1-level-3 sa-22 +SCF:TDA-17 nist-800-171-r3 _03.16.02.a +SCF:TDA-17 nist-800-171a-r3 a.03.16.02.a +SCF:TDA-17 nist-csf-2.0 pr.ps-02 +SCF:TDA-17 nist-csf-2.0 pr.ps-03 +SCF:TDA-17 owasp-top-10-2025 a06-2025 +SCF:TDA-17.1 nist-csf-function-grouping protect +SCF:TDA-17.1 nist-800-53-r4 sa-22-1 +SCF:TDA-17.1 nist-800-53-r5 sa-22 +SCF:TDA-17.1 nist-800-53b-r5-privacy sa-22 +SCF:TDA-17.1 nist-800-53b-r5-low sa-22 +SCF:TDA-17.1 nist-800-82-r3 sa-22 +SCF:TDA-17.1 nist-800-82-r3-low-ot-overlay sa-22 +SCF:TDA-17.1 nist-800-82-r3-moderate-ot-overlay sa-22 +SCF:TDA-17.1 nist-800-82-r3-high-ot-overlay sa-22 +SCF:TDA-17.1 nist-800-161-r1 sa-22 +SCF:TDA-17.1 nist-800-161-r1-c-scrm-baseline sa-22 +SCF:TDA-17.1 nist-800-161-r1-level-2 sa-22 +SCF:TDA-17.1 nist-800-161-r1-level-3 sa-22 +SCF:TDA-17.1 nist-800-171-r3 _03.16.02.b +SCF:TDA-17.1 nist-800-171a-r3 a.03.16.02.b +SCF:TDA-18 nist-csf-function-grouping protect +SCF:TDA-18 iec-62443-3-3-2013 sr-3.5 +SCF:TDA-18 iec-62443-4-2-2019 cr-3.5 +SCF:TDA-18 nist-800-53-r4 si-10 +SCF:TDA-18 nist-800-53-r5 ac-02 +SCF:TDA-18 nist-800-53-r5 ac-03 +SCF:TDA-18 nist-800-53-r5 ac-05 +SCF:TDA-18 nist-800-53-r5 si-03 +SCF:TDA-18 nist-800-53-r5 si-04 +SCF:TDA-18 nist-800-53-r5 si-05 +SCF:TDA-18 nist-800-53-r5 si-07 +SCF:TDA-18 nist-800-53-r5 si-10 +SCF:TDA-18 nist-800-53b-r5-privacy ac-02 +SCF:TDA-18 nist-800-53b-r5-privacy ac-03 +SCF:TDA-18 nist-800-53b-r5-privacy ac-05 +SCF:TDA-18 nist-800-53b-r5-privacy si-03 +SCF:TDA-18 nist-800-53b-r5-privacy si-04 +SCF:TDA-18 nist-800-53b-r5-privacy si-05 +SCF:TDA-18 nist-800-53b-r5-privacy si-07 +SCF:TDA-18 nist-800-53b-r5-privacy si-10 +SCF:TDA-18 nist-800-53b-r5-low ac-02 +SCF:TDA-18 nist-800-53b-r5-low ac-03 +SCF:TDA-18 nist-800-53b-r5-low si-03 +SCF:TDA-18 nist-800-53b-r5-low si-04 +SCF:TDA-18 nist-800-53b-r5-low si-05 +SCF:TDA-18 nist-800-53b-r5-moderate ac-05 +SCF:TDA-18 nist-800-53b-r5-moderate si-07 +SCF:TDA-18 nist-800-53b-r5-moderate si-10 +SCF:TDA-18 nist-800-82-r3 ac-02 +SCF:TDA-18 nist-800-82-r3 ac-03 +SCF:TDA-18 nist-800-82-r3 ac-05 +SCF:TDA-18 nist-800-82-r3 si-03 +SCF:TDA-18 nist-800-82-r3 si-04 +SCF:TDA-18 nist-800-82-r3 si-05 +SCF:TDA-18 nist-800-82-r3 si-07 +SCF:TDA-18 nist-800-82-r3 si-10 +SCF:TDA-18 nist-800-82-r3-low-ot-overlay ac-02 +SCF:TDA-18 nist-800-82-r3-low-ot-overlay ac-03 +SCF:TDA-18 nist-800-82-r3-low-ot-overlay si-03 +SCF:TDA-18 nist-800-82-r3-low-ot-overlay si-04 +SCF:TDA-18 nist-800-82-r3-low-ot-overlay si-05 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay ac-02 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay ac-03 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay ac-05 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay si-04 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay si-05 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay si-07 +SCF:TDA-18 nist-800-82-r3-moderate-ot-overlay si-10 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay ac-02 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay ac-03 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay ac-05 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay si-03 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay si-04 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay si-05 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay si-07 +SCF:TDA-18 nist-800-82-r3-high-ot-overlay si-10 +SCF:TDA-18 nist-800-160-vol2-r1 si-07 +SCF:TDA-18 nist-800-161-r1 ac-2 +SCF:TDA-18 nist-800-161-r1 ac-3 +SCF:TDA-18 nist-800-161-r1 ac-5 +SCF:TDA-18 nist-800-161-r1 si-3 +SCF:TDA-18 nist-800-161-r1 si-4 +SCF:TDA-18 nist-800-161-r1 si-5 +SCF:TDA-18 nist-800-161-r1 si-7 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline ac-2 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline ac-3 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline si-3 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline si-4 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline si-5 +SCF:TDA-18 nist-800-161-r1-c-scrm-baseline si-7 +SCF:TDA-18 nist-800-161-r1-flow-down ac-2 +SCF:TDA-18 nist-800-161-r1-flow-down ac-3 +SCF:TDA-18 nist-800-161-r1-flow-down ac-5 +SCF:TDA-18 nist-800-161-r1-flow-down si-3 +SCF:TDA-18 nist-800-161-r1-flow-down si-4 +SCF:TDA-18 nist-800-161-r1-flow-down si-5 +SCF:TDA-18 nist-800-161-r1-flow-down si-7 +SCF:TDA-18 nist-800-161-r1-level-1 si-4 +SCF:TDA-18 nist-800-161-r1-level-1 si-5 +SCF:TDA-18 nist-800-161-r1-level-2 ac-2 +SCF:TDA-18 nist-800-161-r1-level-2 ac-3 +SCF:TDA-18 nist-800-161-r1-level-2 ac-5 +SCF:TDA-18 nist-800-161-r1-level-2 si-3 +SCF:TDA-18 nist-800-161-r1-level-2 si-4 +SCF:TDA-18 nist-800-161-r1-level-2 si-5 +SCF:TDA-18 nist-800-161-r1-level-2 si-7 +SCF:TDA-18 nist-800-161-r1-level-3 ac-2 +SCF:TDA-18 nist-800-161-r1-level-3 ac-3 +SCF:TDA-18 nist-800-161-r1-level-3 ac-5 +SCF:TDA-18 nist-800-161-r1-level-3 si-3 +SCF:TDA-18 nist-800-161-r1-level-3 si-4 +SCF:TDA-18 nist-800-161-r1-level-3 si-5 +SCF:TDA-18 nist-800-161-r1-level-3 si-7 +SCF:TDA-18 owasp-top-10-2025 a08-2025 +SCF:TDA-19 nist-csf-function-grouping protect +SCF:TDA-19 iec-62443-3-3-2013 sr-3.7 +SCF:TDA-19 iec-62443-4-2-2019 cr-3.7 +SCF:TDA-19 nist-800-53-r4 si-11 +SCF:TDA-19 nist-800-53-r5 si-11 +SCF:TDA-19 nist-800-53b-r5-moderate si-11 +SCF:TDA-19 nist-800-82-r3 si-11 +SCF:TDA-19 nist-800-82-r3-moderate-ot-overlay si-11 +SCF:TDA-19 nist-800-82-r3-high-ot-overlay si-11 +SCF:TDA-19 owasp-top-10-2025 a08-2025 +SCF:TDA-19 owasp-top-10-2025 a10-2025 +SCF:TDA-20 nist-csf-function-grouping protect +SCF:TDA-20 iso-27002-2022 _8.4 +SCF:TDA-20 iso-27002-2022 _8.3 +SCF:TDA-20 iso-27017-2015 _9.4.5 +SCF:TDA-20 iso-27017-2015 _14.2.4 +SCF:TDA-20 iso-27018-2025 _8.4 +SCF:TDA-20 iso-27018-2025 _8.30 +SCF:TDA-20 nist-800-53-r5 sa-04-02 +SCF:TDA-20 nist-800-53b-r5-privacy sa-04-02 +SCF:TDA-20 nist-800-53b-r5-moderate sa-04-02 +SCF:TDA-20 nist-800-82-r3 sa-04-02 +SCF:TDA-20 nist-800-82-r3-moderate-ot-overlay sa-04-02 +SCF:TDA-20 nist-800-82-r3-high-ot-overlay sa-04-02 +SCF:TDA-20 nist-800-218 ps.1.1 +SCF:TDA-20.1 nist-csf-function-grouping protect +SCF:TDA-20.1 nist-800-218 ps.2 +SCF:TDA-20.1 nist-800-218 ps.2.1 +SCF:TDA-20.2 nist-csf-function-grouping protect +SCF:TDA-20.2 nist-800-218 ps.3 +SCF:TDA-20.2 nist-800-218 ps.3.1 +SCF:TDA-20.3 nist-csf-function-grouping protect +SCF:TDA-20.3 nist-800-218 ps.3.1 +SCF:TDA-20.4 nist-csf-function-grouping protect +SCF:TDA-20.4 iec-62443-4-1-2018 sm-8 +SCF:TDA-21 nist-csf-function-grouping protect +SCF:TDA-21 nist-ai-600-1 gv-3.2-003 +SCF:TDA-21 nist-ai-600-1 ms-1.1-008 +SCF:TDA-22 nist-csf-function-grouping protect +SCF:TDA-22 nist-ai-600-1 mp-4.1-003 +SCF:TDA-22 nist-ai-600-1 mp-4.1-010 +SCF:TDA-22 nist-ai-600-1 ms-2.9-001 +SCF:TDA-22.1 nist-csf-function-grouping protect +SCF:TPM-01 nist-csf-function-grouping govern +SCF:TPM-01 cis-csc-8.1 _15.0 +SCF:TPM-01 cis-csc-8.1 _15.2 +SCF:TPM-01 cis-csc-8.1-ig2 _15.2 +SCF:TPM-01 cis-csc-8.1-ig3 _15.2 +SCF:TPM-01 cobit-2019 apo10.01 +SCF:TPM-01 cobit-2019 apo10.02 +SCF:TPM-01 cobit-2019 apo10.03 +SCF:TPM-01 cobit-2019 apo10.04 +SCF:TPM-01 cobit-2019 apo10.05 +SCF:TPM-01 cobit-2019 dss01.02 +SCF:TPM-01 coso-2013 _8 +SCF:TPM-01 csa-ccm-4.1.0 iam-11 +SCF:TPM-01 csa-ccm-4.1.0 sef-02 +SCF:TPM-01 csa-ccm-4.1.0 sta-01 +SCF:TPM-01 csa-iot-scf-2 pol-01 +SCF:TPM-01 csa-iot-scf-2 pol-02 +SCF:TPM-01 iec-62443-2-1-2024 org-1.6 +SCF:TPM-01 iso-27002-2022 _5.19 +SCF:TPM-01 iso-27002-2022 _5.2 +SCF:TPM-01 iso-27002-2022 _8.3 +SCF:TPM-01 iso-27017-2015 _4.2 +SCF:TPM-01 iso-27017-2015 _4.3 +SCF:TPM-01 iso-27017-2015 _15.1.1 +SCF:TPM-01 iso-27018-2025 _5.19 +SCF:TPM-01 iso-27018-2025 _5.20 +SCF:TPM-01 iso-27018-2025 _8.30 +SCF:TPM-01 iso-27701-2025 _6.1.3-h +SCF:TPM-01 iso-31000-2018 _5.5 +SCF:TPM-01 iso-42001-2023 a.10 +SCF:TPM-01 iso-42001-2023 a.10.2 +SCF:TPM-01 iso-42001-2023 a.10.3 +SCF:TPM-01 nist-ai-100-1-ai-rmf-1.0 manage-3.0 +SCF:TPM-01 nist-ai-600-1 gv-6.1-009 +SCF:TPM-01 nist-ai-600-1 gv-6.2-007 +SCF:TPM-01 nist-privacy-framework-1.0 gv.po-p4 +SCF:TPM-01 nist-800-53-r4 sa-4 +SCF:TPM-01 nist-800-53-r5 sa-04 +SCF:TPM-01 nist-800-53-r5 sr-01 +SCF:TPM-01 nist-800-53b-r5-privacy sa-04 +SCF:TPM-01 nist-800-53b-r5-privacy sr-01 +SCF:TPM-01 nist-800-53b-r5-low sa-04 +SCF:TPM-01 nist-800-53b-r5-low sr-01 +SCF:TPM-01 nist-sp-800-66-r2 _164.308-b-1 +SCF:TPM-01 nist-sp-800-66-r2 _164.312-d +SCF:TPM-01 nist-800-82-r3 sa-04 +SCF:TPM-01 nist-800-82-r3 sr-01 +SCF:TPM-01 nist-800-82-r3-low-ot-overlay sa-04 +SCF:TPM-01 nist-800-82-r3-low-ot-overlay sr-01 +SCF:TPM-01 nist-800-82-r3-moderate-ot-overlay sa-04 +SCF:TPM-01 nist-800-82-r3-moderate-ot-overlay sr-01 +SCF:TPM-01 nist-800-82-r3-high-ot-overlay sa-04 +SCF:TPM-01 nist-800-82-r3-high-ot-overlay sr-01 +SCF:TPM-01 nist-800-161-r1 sa-4 +SCF:TPM-01 nist-800-161-r1 sr-1 +SCF:TPM-01 nist-800-161-r1-c-scrm-baseline sa-4 +SCF:TPM-01 nist-800-161-r1-c-scrm-baseline sr-1 +SCF:TPM-01 nist-800-161-r1-level-1 sa-4 +SCF:TPM-01 nist-800-161-r1-level-1 sr-1 +SCF:TPM-01 nist-800-161-r1-level-2 sa-4 +SCF:TPM-01 nist-800-161-r1-level-2 sr-1 +SCF:TPM-01 nist-800-161-r1-level-3 sa-4 +SCF:TPM-01 nist-800-161-r1-level-3 sr-1 +SCF:TPM-01 nist-800-171-r2 _3.1.1 +SCF:TPM-01 nist-800-171-r2 nfo-sa-4 +SCF:TPM-01 nist-800-171-r3 _03.01.20.a +SCF:TPM-01 nist-800-171-r3 _03.01.20.b +SCF:TPM-01 nist-800-171-r3 _03.01.20.c.01 +SCF:TPM-01 nist-800-171-r3 _03.07.06.a +SCF:TPM-01 nist-800-171-r3 _03.16.01 +SCF:TPM-01 nist-800-171-r3 _03.16.03.a +SCF:TPM-01 nist-800-171a-r3 a.03.17.03.odp-01 +SCF:TPM-01 nist-csf-2.0 gv.sc-04 +SCF:TPM-01 nist-csf-2.0 gv.sc-06 +SCF:TPM-01 nist-csf-2.0 gv.sc-07 +SCF:TPM-01 nist-csf-2.0 gv.sc-08 +SCF:TPM-01 nist-csf-2.0 gv.sc-10 +SCF:TPM-01 nist-csf-2.0 id.am +SCF:TPM-01 owasp-top-10-2025 a02-2025 +SCF:TPM-01 owasp-top-10-2025 a03-2025 +SCF:TPM-01 owasp-top-10-2025 a05-2025 +SCF:TPM-01 pci-dss-4.0.1 _8.2.3 +SCF:TPM-01 pci-dss-4.0.1 _12.8 +SCF:TPM-01 pci-dss-4.0.1 _12.8.1 +SCF:TPM-01 pci-dss-4.0.1 _12.9 +SCF:TPM-01 pci-dss-4.0.1 _12.9.1 +SCF:TPM-01 pci-dss-4.0.1 _12.9.2 +SCF:TPM-01 pci-dss-4.0.1 a2.1.3 +SCF:TPM-01 pci-dss-4.0.1-saq-a _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-a-ep _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-b _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-b-ip _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-c _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-c-vt _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-d-merchant _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:TPM-01 pci-dss-4.0.1-saq-d-service-provider _12.8.1 +SCF:TPM-01 pci-dss-4.0.1-saq-d-service-provider _12.9.1 +SCF:TPM-01 pci-dss-4.0.1-saq-d-service-provider _12.9.2 +SCF:TPM-01 pci-dss-4.0.1-saq-d-service-provider a2.1.3 +SCF:TPM-01 pci-dss-4.0.1-saq-p2pe _12.8.1 +SCF:TPM-01.1 nist-csf-function-grouping identify +SCF:TPM-01.1 cis-csc-8.1 _15.1 +SCF:TPM-01.1 cis-csc-8.1-ig1 _15.1 +SCF:TPM-01.1 cis-csc-8.1-ig2 _15.1 +SCF:TPM-01.1 cis-csc-8.1-ig3 _15.1 +SCF:TPM-01.1 csa-ccm-4.1.0 sta-08 +SCF:TPM-01.1 iso-27002-2022 _5.19 +SCF:TPM-01.1 iso-27018-2025 _5.19 +SCF:TPM-01.1 nist-ai-600-1 gv-6.1-007 +SCF:TPM-01.1 nist-privacy-framework-1.0 id.im-p1 +SCF:TPM-01.1 nist-800-161-r1 sr-13 +SCF:TPM-01.1 nist-800-161-r1-level-2 sr-13 +SCF:TPM-01.1 nist-800-161-r1-level-3 sr-13 +SCF:TPM-01.1 nist-800-171-r3 _03.07.06.a +SCF:TPM-01.1 nist-800-207 nist-tenet-1 +SCF:TPM-01.1 nist-csf-2.0 gv.sc-04 +SCF:TPM-01.1 nist-csf-2.0 gv.sc-07 +SCF:TPM-01.1 nist-csf-2.0 gv.sc-08 +SCF:TPM-01.1 nist-csf-2.0 id.am +SCF:TPM-01.1 nist-csf-2.0 id.am-01 +SCF:TPM-01.1 nist-csf-2.0 id.am-02 +SCF:TPM-01.1 nist-csf-2.0 id.am-04 +SCF:TPM-01.1 nist-csf-2.0 id.ra-10 +SCF:TPM-01.1 pci-dss-4.0.1 _12.8 +SCF:TPM-01.1 pci-dss-4.0.1 _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-a _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-a-ep _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-b _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-b-ip _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-c _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-c-vt _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-d-merchant _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-d-service-provider _12.8.1 +SCF:TPM-01.1 pci-dss-4.0.1-saq-p2pe _12.8.1 +SCF:TPM-02 nist-csf-function-grouping identify +SCF:TPM-02 cis-csc-8.1 _15.3 +SCF:TPM-02 cis-csc-8.1-ig2 _15.3 +SCF:TPM-02 cis-csc-8.1-ig3 _15.3 +SCF:TPM-02 cobit-2019 apo10.04 +SCF:TPM-02 iso-27002-2022 _5.19 +SCF:TPM-02 iso-27018-2025 _5.19 +SCF:TPM-02 nist-privacy-framework-1.0 id.be-p3 +SCF:TPM-02 nist-800-53-r4 sa-14 +SCF:TPM-02 nist-800-53-r5 pm-30-01 +SCF:TPM-02 nist-800-53-r5 ra-09 +SCF:TPM-02 nist-800-53-r5 sa-09-03 +SCF:TPM-02 nist-800-53b-r5-privacy pm-30-01 +SCF:TPM-02 nist-800-53b-r5-privacy ra-09 +SCF:TPM-02 nist-800-53b-r5-moderate ra-09 +SCF:TPM-02 nist-sp-800-66-r2 _164.308-a-7 +SCF:TPM-02 nist-800-82-r3 pm-30-01 +SCF:TPM-02 nist-800-82-r3 ra-09 +SCF:TPM-02 nist-800-82-r3 sa-09-03 +SCF:TPM-02 nist-800-82-r3-low-ot-overlay pm-30-01 +SCF:TPM-02 nist-800-82-r3-moderate-ot-overlay pm-30-01 +SCF:TPM-02 nist-800-82-r3-moderate-ot-overlay ra-09 +SCF:TPM-02 nist-800-82-r3-high-ot-overlay pm-30-01 +SCF:TPM-02 nist-800-82-r3-high-ot-overlay ra-09 +SCF:TPM-02 nist-800-160-vol2-r1 pm-30-01 +SCF:TPM-02 nist-800-160-vol2-r1 ra-09 +SCF:TPM-02 nist-800-161-r1 ra-9 +SCF:TPM-02 nist-800-161-r1 sa-9-3 +SCF:TPM-02 nist-800-161-r1-flow-down ra-9 +SCF:TPM-02 nist-800-161-r1-level-1 ra-9 +SCF:TPM-02 nist-800-161-r1-level-1 sa-9-3 +SCF:TPM-02 nist-800-161-r1-level-2 ra-9 +SCF:TPM-02 nist-800-161-r1-level-2 sa-9-3 +SCF:TPM-02 nist-800-161-r1-level-3 ra-9 +SCF:TPM-02 nist-800-161-r1-level-3 sa-9-3 +SCF:TPM-02 nist-800-171-r3 _03.11.01.a +SCF:TPM-02 nist-800-171-r3 _03.17.03.a +SCF:TPM-02 nist-csf-2.0 gv.oc-04 +SCF:TPM-02 nist-csf-2.0 gv.oc-05 +SCF:TPM-02 nist-csf-2.0 gv.sc-04 +SCF:TPM-02 nist-csf-2.0 gv.sc-06 +SCF:TPM-02 nist-csf-2.0 gv.sc-07 +SCF:TPM-02 nist-csf-2.0 gv.sc-08 +SCF:TPM-02 nist-csf-2.0 id.am-05 +SCF:TPM-02 nist-csf-2.0 id.ra-10 +SCF:TPM-03 nist-csf-function-grouping identify +SCF:TPM-03 cobit-2019 apo10.04 +SCF:TPM-03 csa-ccm-4.1.0 iam-11 +SCF:TPM-03 csa-iot-scf-2 pol-02 +SCF:TPM-03 iec-62443-2-1-2024 org-2.1 +SCF:TPM-03 iso-27002-2022 _5.19 +SCF:TPM-03 iso-27002-2022 _5.21 +SCF:TPM-03 iso-27002-2022 _5.22 +SCF:TPM-03 iso-27002-2022 _8.3 +SCF:TPM-03 iso-27017-2015 _15.1.3 +SCF:TPM-03 iso-27018-2025 _5.19 +SCF:TPM-03 iso-27018-2025 _5.21 +SCF:TPM-03 iso-27018-2025 _5.22 +SCF:TPM-03 iso-27018-2025 _8.30 +SCF:TPM-03 iso-42001-2023 a.10 +SCF:TPM-03 iso-42001-2023 a.10.2 +SCF:TPM-03 iso-42001-2023 a.10.3 +SCF:TPM-03 nist-800-53-r4 sa-12 +SCF:TPM-03 nist-800-53-r5 sa-09-03 +SCF:TPM-03 nist-800-53-r5 sr-02 +SCF:TPM-03 nist-800-53-r5 sr-02-01 +SCF:TPM-03 nist-800-53b-r5-privacy sr-02 +SCF:TPM-03 nist-800-53b-r5-low sr-02 +SCF:TPM-03 nist-800-53b-r5-low sr-02-01 +SCF:TPM-03 nist-800-82-r3 sa-09-03 +SCF:TPM-03 nist-800-82-r3 sr-02 +SCF:TPM-03 nist-800-82-r3 sr-02-01 +SCF:TPM-03 nist-800-82-r3-low-ot-overlay sr-02 +SCF:TPM-03 nist-800-82-r3-low-ot-overlay sr-02-01 +SCF:TPM-03 nist-800-82-r3-moderate-ot-overlay sr-02 +SCF:TPM-03 nist-800-82-r3-moderate-ot-overlay sr-02-01 +SCF:TPM-03 nist-800-82-r3-high-ot-overlay sr-02 +SCF:TPM-03 nist-800-82-r3-high-ot-overlay sr-02-01 +SCF:TPM-03 nist-800-161-r1 sa-9-3 +SCF:TPM-03 nist-800-161-r1 sr-2 +SCF:TPM-03 nist-800-161-r1-c-scrm-baseline sr-2 +SCF:TPM-03 nist-800-161-r1-level-1 sa-9-3 +SCF:TPM-03 nist-800-161-r1-level-2 sa-9-3 +SCF:TPM-03 nist-800-161-r1-level-3 sa-9-3 +SCF:TPM-03 nist-800-161-r1-level-3 sr-2 +SCF:TPM-03 nist-800-171-r3 _03.11.01.a +SCF:TPM-03 nist-800-171-r3 _03.17.01.a +SCF:TPM-03 nist-800-171-r3 _03.17.03.a +SCF:TPM-03 nist-800-171-r3 _03.17.03.b +SCF:TPM-03 nist-csf-2.0 gv.sc +SCF:TPM-03 nist-csf-2.0 gv.sc-06 +SCF:TPM-03 nist-csf-2.0 gv.sc-07 +SCF:TPM-03 owasp-top-10-2025 a02-2025 +SCF:TPM-03 owasp-top-10-2025 a03-2025 +SCF:TPM-03 owasp-top-10-2025 a05-2025 +SCF:TPM-03.1 nist-csf-function-grouping identify +SCF:TPM-03.1 cobit-2019 bai03.04 +SCF:TPM-03.1 coso-2013 _8 +SCF:TPM-03.1 iso-27002-2022 _5.21 +SCF:TPM-03.1 iso-27002-2022 _5.22 +SCF:TPM-03.1 iso-27018-2025 _5.21 +SCF:TPM-03.1 iso-27018-2025 _5.22 +SCF:TPM-03.1 nist-800-53-r4 sa-12-1 +SCF:TPM-03.1 nist-800-53-r5 sr-03-01 +SCF:TPM-03.1 nist-800-53-r5 sr-05 +SCF:TPM-03.1 nist-800-53b-r5-privacy sr-03-01 +SCF:TPM-03.1 nist-800-53b-r5-low sr-05 +SCF:TPM-03.1 nist-800-82-r3 sr-03-01 +SCF:TPM-03.1 nist-800-82-r3 sr-05 +SCF:TPM-03.1 nist-800-82-r3-low-ot-overlay sr-05 +SCF:TPM-03.1 nist-800-82-r3-moderate-ot-overlay sr-05 +SCF:TPM-03.1 nist-800-82-r3-high-ot-overlay sr-05 +SCF:TPM-03.1 nist-800-160-vol2-r1 sr-03-01 +SCF:TPM-03.1 nist-800-160-vol2-r1 sr-05 +SCF:TPM-03.1 nist-800-161-r1 sr-3-1 +SCF:TPM-03.1 nist-800-161-r1 sr-5 +SCF:TPM-03.1 nist-800-161-r1-c-scrm-baseline sr-5 +SCF:TPM-03.1 nist-800-161-r1-level-1 sr-5 +SCF:TPM-03.1 nist-800-161-r1-level-2 sr-3-1 +SCF:TPM-03.1 nist-800-161-r1-level-2 sr-5 +SCF:TPM-03.1 nist-800-161-r1-level-3 sr-3-1 +SCF:TPM-03.1 nist-800-161-r1-level-3 sr-5 +SCF:TPM-03.1 nist-800-171-r3 _03.17.01.a +SCF:TPM-03.1 nist-800-171-r3 _03.17.02 +SCF:TPM-03.1 nist-800-171-r3 _03.17.03.a +SCF:TPM-03.1 nist-800-171-r3 _03.17.03.b +SCF:TPM-03.1 nist-800-171a-r3 a.03.17.02-01 +SCF:TPM-03.1 nist-800-171a-r3 a.03.17.02-02 +SCF:TPM-03.1 nist-800-171a-r3 a.03.17.02-03 +SCF:TPM-03.1 owasp-top-10-2025 a03-2025 +SCF:TPM-03.2 nist-csf-function-grouping identify +SCF:TPM-03.2 cis-csc-8.1 _15.4 +SCF:TPM-03.2 cis-csc-8.1-ig2 _15.4 +SCF:TPM-03.2 cis-csc-8.1-ig3 _15.4 +SCF:TPM-03.2 csa-iot-scf-2 rsm-03 +SCF:TPM-03.2 iso-27002-2022 _5.19 +SCF:TPM-03.2 iso-27002-2022 _5.2 +SCF:TPM-03.2 iso-27018-2025 _5.19 +SCF:TPM-03.2 iso-27018-2025 _5.20 +SCF:TPM-03.2 nist-800-53-r4 sa-12-5 +SCF:TPM-03.2 nist-800-53-r5 sr-03-02 +SCF:TPM-03.2 nist-800-82-r3 sr-03-02 +SCF:TPM-03.2 nist-800-160-vol2-r1 sr-03-02 +SCF:TPM-03.2 nist-800-171-r3 _03.17.03.a +SCF:TPM-03.2 nist-800-171-r3 _03.17.03.b +SCF:TPM-03.2 nist-csf-2.0 gv.sc-06 +SCF:TPM-03.2 nist-csf-2.0 gv.sc-07 +SCF:TPM-03.2 owasp-top-10-2025 a03-2025 +SCF:TPM-03.3 nist-csf-function-grouping identify +SCF:TPM-03.3 cobit-2019 apo10.04 +SCF:TPM-03.3 iso-27002-2022 _5.19 +SCF:TPM-03.3 iso-27002-2022 _5.22 +SCF:TPM-03.3 iso-27018-2025 _5.19 +SCF:TPM-03.3 iso-27018-2025 _5.22 +SCF:TPM-03.3 nist-800-53-r4 sa-12-15 +SCF:TPM-03.3 nist-800-53-r5 sr-03 +SCF:TPM-03.3 nist-800-53b-r5-low sr-03 +SCF:TPM-03.3 nist-800-82-r3 sr-03 +SCF:TPM-03.3 nist-800-82-r3-low-ot-overlay sr-03 +SCF:TPM-03.3 nist-800-82-r3-moderate-ot-overlay sr-03 +SCF:TPM-03.3 nist-800-82-r3-high-ot-overlay sr-03 +SCF:TPM-03.3 nist-800-161-r1 sr-3 +SCF:TPM-03.3 nist-800-161-r1-c-scrm-baseline sr-3 +SCF:TPM-03.3 nist-800-161-r1-level-1 sr-3 +SCF:TPM-03.3 nist-800-161-r1-level-2 sr-3 +SCF:TPM-03.3 nist-800-161-r1-level-3 sr-3 +SCF:TPM-03.3 nist-800-171-r3 _03.17.03.a +SCF:TPM-03.3 nist-800-171-r3 _03.17.03.b +SCF:TPM-03.3 nist-csf-2.0 gv.sc-06 +SCF:TPM-03.3 nist-csf-2.0 gv.sc-07 +SCF:TPM-03.3 owasp-top-10-2025 a03-2025 +SCF:TPM-03.4 nist-csf-function-grouping protect +SCF:TPM-03.4 nist-800-53-r5 sr-05-01 +SCF:TPM-03.4 nist-800-82-r3 sr-05-01 +SCF:TPM-03.4 nist-800-82-r3-moderate-ot-overlay sr-05-01 +SCF:TPM-03.4 nist-800-82-r3-high-ot-overlay sr-05-01 +SCF:TPM-03.4 nist-800-160-vol2-r1 sr-05-01 +SCF:TPM-04 nist-csf-function-grouping identify +SCF:TPM-04 cis-csc-8.1 _15.4 +SCF:TPM-04 cis-csc-8.1 _15.5 +SCF:TPM-04 cis-csc-8.1-ig2 _15.4 +SCF:TPM-04 cis-csc-8.1-ig3 _15.4 +SCF:TPM-04 cis-csc-8.1-ig3 _15.5 +SCF:TPM-04 coso-2013 _8 +SCF:TPM-04 csa-ccm-4.1.0 iam-11 +SCF:TPM-04 csa-iot-scf-2 pol-01 +SCF:TPM-04 csa-iot-scf-2 pol-02 +SCF:TPM-04 iso-27002-2022 _5.19 +SCF:TPM-04 iso-27002-2022 _8.3 +SCF:TPM-04 iso-27017-2015 _14.2.7 +SCF:TPM-04 iso-27017-2015 _15.1.1 +SCF:TPM-04 iso-27018-2025 _5.19 +SCF:TPM-04 iso-27018-2025 _8.30 +SCF:TPM-04 iso-42001-2023 a.10 +SCF:TPM-04 iso-42001-2023 a.10.2 +SCF:TPM-04 iso-42001-2023 a.10.3 +SCF:TPM-04 nist-ai-600-1 gv-6.2-002 +SCF:TPM-04 nist-800-53-r4 sa-9 +SCF:TPM-04 nist-800-53-r5 sa-09 +SCF:TPM-04 nist-800-53b-r5-privacy sa-09 +SCF:TPM-04 nist-800-53b-r5-low sa-09 +SCF:TPM-04 nist-sp-800-66-r2 _164.308-b-1 +SCF:TPM-04 nist-800-82-r3 sa-09 +SCF:TPM-04 nist-800-82-r3-low-ot-overlay sa-09 +SCF:TPM-04 nist-800-82-r3-moderate-ot-overlay sa-09 +SCF:TPM-04 nist-800-82-r3-high-ot-overlay sa-09 +SCF:TPM-04 nist-800-161-r1 sa-9 +SCF:TPM-04 nist-800-171-r2 nfo-sa-9 +SCF:TPM-04 nist-800-171-r3 _03.16.03.a +SCF:TPM-04 nist-800-171-r3 _03.16.03.c +SCF:TPM-04 nist-800-171-r3 _03.17.02 +SCF:TPM-04 nist-800-171-r3 _03.17.03.a +SCF:TPM-04 nist-800-171-r3 _03.17.03.b +SCF:TPM-04 nist-csf-2.0 gv.sc-06 +SCF:TPM-04 nist-csf-2.0 gv.sc-07 +SCF:TPM-04 owasp-top-10-2025 a02-2025 +SCF:TPM-04 owasp-top-10-2025 a03-2025 +SCF:TPM-04 owasp-top-10-2025 a05-2025 +SCF:TPM-04 pci-dss-4.0.1 _8.2.3 +SCF:TPM-04 pci-dss-4.0.1 _12.8.2 +SCF:TPM-04 pci-dss-4.0.1 _12.9 +SCF:TPM-04 pci-dss-4.0.1 _12.9.1 +SCF:TPM-04 pci-dss-4.0.1 _12.9.2 +SCF:TPM-04 pci-dss-4.0.1-saq-a _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-a-ep _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-b _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-b-ip _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-c _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-c-vt _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-d-merchant _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:TPM-04 pci-dss-4.0.1-saq-d-service-provider _12.8.2 +SCF:TPM-04 pci-dss-4.0.1-saq-d-service-provider _12.9.1 +SCF:TPM-04 pci-dss-4.0.1-saq-d-service-provider _12.9.2 +SCF:TPM-04 pci-dss-4.0.1-saq-p2pe _12.8.2 +SCF:TPM-04.1 nist-csf-function-grouping identify +SCF:TPM-04.1 cis-csc-8.1 _15.5 +SCF:TPM-04.1 cis-csc-8.1-ig3 _15.5 +SCF:TPM-04.1 cobit-2019 apo10.04 +SCF:TPM-04.1 coso-2013 _9 +SCF:TPM-04.1 csa-ccm-4.1.0 sta-16 +SCF:TPM-04.1 iso-sae-21434-2021 rq-07-01 +SCF:TPM-04.1 iso-27002-2022 _5.19 +SCF:TPM-04.1 iso-27018-2025 _5.19 +SCF:TPM-04.1 nist-ai-100-1-ai-rmf-1.0 manage-3.1 +SCF:TPM-04.1 nist-ai-600-1 gv-6.1-005 +SCF:TPM-04.1 nist-ai-600-1 gv-6.1-006 +SCF:TPM-04.1 nist-ai-600-1 gv-6.1-009 +SCF:TPM-04.1 nist-privacy-framework-1.0 id.de-p5 +SCF:TPM-04.1 nist-800-53-r4 sa-9-1 +SCF:TPM-04.1 nist-800-53-r5 sa-09-01 +SCF:TPM-04.1 nist-800-82-r3 sa-09-01 +SCF:TPM-04.1 nist-800-161-r1 sa-9-1 +SCF:TPM-04.1 nist-800-161-r1-level-2 sa-9-1 +SCF:TPM-04.1 nist-800-161-r1-level-3 sa-9-1 +SCF:TPM-04.1 nist-800-171-r3 _03.11.01.a +SCF:TPM-04.1 nist-800-171-r3 _03.17.02 +SCF:TPM-04.1 nist-800-171-r3 _03.17.03.a +SCF:TPM-04.1 nist-800-171-r3 _03.17.03.b +SCF:TPM-04.1 nist-800-171a-r3 a.03.17.03.a-01 +SCF:TPM-04.1 nist-csf-2.0 gv.sc-06 +SCF:TPM-04.1 nist-csf-2.0 gv.sc-07 +SCF:TPM-04.1 nist-csf-2.0 id.ra-10 +SCF:TPM-04.1 nist-csf-2.0 id.im-01 +SCF:TPM-04.1 nist-csf-2.0 id.im-02 +SCF:TPM-04.1 owasp-top-10-2025 a02-2025 +SCF:TPM-04.1 owasp-top-10-2025 a03-2025 +SCF:TPM-04.1 owasp-top-10-2025 a05-2025 +SCF:TPM-04.1 pci-dss-4.0.1 _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-a _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-a-ep _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-b _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-b-ip _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-c _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-c-vt _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-d-merchant _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-d-service-provider _12.8.3 +SCF:TPM-04.1 pci-dss-4.0.1-saq-p2pe _12.8.3 +SCF:TPM-04.2 nist-csf-function-grouping identify +SCF:TPM-04.2 cis-csc-8.1 _12.6 +SCF:TPM-04.2 cis-csc-8.1-ig2 _12.6 +SCF:TPM-04.2 cis-csc-8.1-ig3 _12.6 +SCF:TPM-04.2 nist-800-53-r4 sa-9-2 +SCF:TPM-04.2 nist-800-53-r5 sa-09-02 +SCF:TPM-04.2 nist-800-53b-r5-moderate sa-09-02 +SCF:TPM-04.2 nist-800-82-r3 sa-09-02 +SCF:TPM-04.2 nist-800-82-r3-moderate-ot-overlay sa-09-02 +SCF:TPM-04.2 nist-800-82-r3-high-ot-overlay sa-09-02 +SCF:TPM-04.2 nist-800-171-r2 nfo-sa-9-2 +SCF:TPM-04.2 owasp-top-10-2025 a02-2025 +SCF:TPM-04.2 owasp-top-10-2025 a03-2025 +SCF:TPM-04.2 owasp-top-10-2025 a05-2025 +SCF:TPM-04.2 pci-dss-4.0.1 _1.2.5 +SCF:TPM-04.2 pci-dss-4.0.1-saq-a-ep _1.2.5 +SCF:TPM-04.2 pci-dss-4.0.1-saq-b-ip _1.2.5 +SCF:TPM-04.2 pci-dss-4.0.1-saq-d-merchant _1.2.5 +SCF:TPM-04.2 pci-dss-4.0.1-saq-d-service-provider _1.2.5 +SCF:TPM-04.3 nist-csf-function-grouping identify +SCF:TPM-04.3 coso-2013 _8 +SCF:TPM-04.3 iso-27002-2022 _5.19 +SCF:TPM-04.3 iso-27018-2025 _5.19 +SCF:TPM-04.3 nist-800-53-r4 sa-9-4 +SCF:TPM-04.3 nist-800-53-r5 sa-09-03 +SCF:TPM-04.3 nist-800-53-r5 sa-09-04 +SCF:TPM-04.3 nist-800-82-r3 sa-09-03 +SCF:TPM-04.3 nist-800-82-r3 sa-09-04 +SCF:TPM-04.3 nist-800-161-r1 sa-9-4 +SCF:TPM-04.3 nist-800-161-r1-level-3 sa-9-4 +SCF:TPM-04.3 nist-csf-2.0 gv.sc-06 +SCF:TPM-04.3 owasp-top-10-2025 a03-2025 +SCF:TPM-04.4 nist-csf-function-grouping identify +SCF:TPM-04.4 cobit-2019 apo10.03 +SCF:TPM-04.4 csa-iot-scf-2 pol-02 +SCF:TPM-04.4 iso-27002-2022 _5.21 +SCF:TPM-04.4 iso-27018-2025 _5.21 +SCF:TPM-04.4 nist-800-53-r4 sa-9-5 +SCF:TPM-04.4 nist-800-53-r5 pe-23 +SCF:TPM-04.4 nist-800-53-r5 sa-09-05 +SCF:TPM-04.4 nist-800-53b-r5-privacy pe-23 +SCF:TPM-04.4 nist-800-53b-r5-privacy sa-09-05 +SCF:TPM-04.4 nist-800-82-r3 pe-23 +SCF:TPM-04.4 nist-800-82-r3 sa-09-05 +SCF:TPM-04.4 nist-800-161-r1 pe-23 +SCF:TPM-04.4 nist-800-161-r1 sa-9-5 +SCF:TPM-04.4 nist-800-161-r1-flow-down pe-23 +SCF:TPM-04.4 nist-800-161-r1-level-2 pe-23 +SCF:TPM-04.4 nist-800-161-r1-level-3 pe-23 +SCF:TPM-04.4 nist-800-161-r1-level-3 sa-9-5 +SCF:TPM-04.4 nist-800-171-r3 _03.16.03.a +SCF:TPM-04.4 nist-csf-2.0 gv.sc-06 +SCF:TPM-04.4 owasp-top-10-2025 a02-2025 +SCF:TPM-04.4 owasp-top-10-2025 a03-2025 +SCF:TPM-04.4 owasp-top-10-2025 a05-2025 +SCF:TPM-04.4 pci-dss-4.0.1 _3.2.1 +SCF:TPM-04.4 pci-dss-4.0.1 _12.5.2 +SCF:TPM-04.4 pci-dss-4.0.1-saq-a _3.2.1 +SCF:TPM-04.4 pci-dss-4.0.1-saq-a-ep _3.2.1 +SCF:TPM-04.4 pci-dss-4.0.1-saq-d-merchant _3.2.1 +SCF:TPM-04.4 pci-dss-4.0.1-saq-d-merchant _12.5.2 +SCF:TPM-04.4 pci-dss-4.0.1-saq-d-service-provider _3.2.1 +SCF:TPM-04.4 pci-dss-4.0.1-saq-d-service-provider _12.5.2 +SCF:TPM-04.4 pci-dss-4.0.1-saq-p2pe _3.2.1 +SCF:TPM-05 nist-csf-function-grouping identify +SCF:TPM-05 cis-csc-8.1 _15.4 +SCF:TPM-05 cis-csc-8.1-ig2 _15.4 +SCF:TPM-05 cis-csc-8.1-ig3 _15.4 +SCF:TPM-05 cobit-2019 apo10.03 +SCF:TPM-05 csa-ccm-4.1.0 ipy-04 +SCF:TPM-05 csa-ccm-4.1.0 sta-04 +SCF:TPM-05 csa-ccm-4.1.0 sta-11 +SCF:TPM-05 csa-iot-scf-2 cls-04 +SCF:TPM-05 csa-iot-scf-2 imt-01 +SCF:TPM-05 csa-iot-scf-2 lgl-05 +SCF:TPM-05 csa-iot-scf-2 lgl-06 +SCF:TPM-05 csa-iot-scf-2 lgl-07 +SCF:TPM-05 csa-iot-scf-2 lgl-08 +SCF:TPM-05 csa-iot-scf-2 pol-01 +SCF:TPM-05 csa-iot-scf-2 pol-02 +SCF:TPM-05 iso-sae-21434-2021 rq-05-09 +SCF:TPM-05 iso-sae-21434-2021 rq-05-10 +SCF:TPM-05 iso-sae-21434-2021 rq-07-03-a +SCF:TPM-05 iso-sae-21434-2021 rq-07-03-b +SCF:TPM-05 iso-sae-21434-2021 rq-07-03-c +SCF:TPM-05 iso-sae-21434-2021 rq-07-04 +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-a +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-b +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-c +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-d +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-e +SCF:TPM-05 iso-sae-21434-2021 rq-07-04-f +SCF:TPM-05 iso-sae-21434-2021 rq-07-05 +SCF:TPM-05 iso-sae-21434-2021 rq-07-06 +SCF:TPM-05 iso-sae-21434-2021 rq-07-07 +SCF:TPM-05 iso-27002-2022 _5.19 +SCF:TPM-05 iso-27002-2022 _5.2 +SCF:TPM-05 iso-27002-2022 _5.21 +SCF:TPM-05 iso-27002-2022 _5.31 +SCF:TPM-05 iso-27002-2022 _6.6 +SCF:TPM-05 iso-27002-2022 _8.21 +SCF:TPM-05 iso-27002-2022 _8.3 +SCF:TPM-05 iso-27017-2015 _13.1.2 +SCF:TPM-05 iso-27017-2015 _13.2.4 +SCF:TPM-05 iso-27017-2015 _15.1.2 +SCF:TPM-05 iso-27018-2025 _5.1-a +SCF:TPM-05 iso-27018-2025 _5.1-b +SCF:TPM-05 iso-27018-2025 _5.19 +SCF:TPM-05 iso-27018-2025 _5.20 +SCF:TPM-05 iso-27018-2025 _5.21 +SCF:TPM-05 iso-27018-2025 _5.31 +SCF:TPM-05 iso-27018-2025 _6.6 +SCF:TPM-05 iso-27018-2025 _8.21 +SCF:TPM-05 iso-27018-2025 _8.30 +SCF:TPM-05 iso-27701-2025 _6.1.3-h +SCF:TPM-05 iso-42001-2023 a.10.2 +SCF:TPM-05 iso-42001-2023 a.10.3 +SCF:TPM-05 nist-ai-600-1 gv-6.1-004 +SCF:TPM-05 nist-ai-600-1 gv-6.1-010 +SCF:TPM-05 nist-ai-600-1 gv-6.2-007 +SCF:TPM-05 nist-privacy-framework-1.0 id.de-p3 +SCF:TPM-05 nist-privacy-framework-1.0 gv.po-p4 +SCF:TPM-05 nist-privacy-framework-1.0 gv.at-p4 +SCF:TPM-05 nist-800-53-r4 sa-9-3 +SCF:TPM-05 nist-800-53-r5 sr-03-03 +SCF:TPM-05 nist-800-53b-r5-privacy sr-03-03 +SCF:TPM-05 nist-sp-800-66-r2 _164.308-b-1 +SCF:TPM-05 nist-sp-800-66-r2 _164.314-a +SCF:TPM-05 nist-sp-800-66-r2 _164.314-b +SCF:TPM-05 nist-800-82-r3 sr-03-03 +SCF:TPM-05 nist-800-161-r1 sa-9-3 +SCF:TPM-05 nist-800-161-r1 sr-3-3 +SCF:TPM-05 nist-800-161-r1-flow-down sr-3-3 +SCF:TPM-05 nist-800-161-r1-level-1 sa-9-3 +SCF:TPM-05 nist-800-161-r1-level-2 sa-9-3 +SCF:TPM-05 nist-800-161-r1-level-2 sr-3-3 +SCF:TPM-05 nist-800-161-r1-level-3 sa-9-3 +SCF:TPM-05 nist-800-161-r1-level-3 sr-3-3 +SCF:TPM-05 nist-800-171-r2 _3.1.1 +SCF:TPM-05 nist-800-171-r2 nfo-sa-4 +SCF:TPM-05 nist-800-171-r3 _03.01.20.b +SCF:TPM-05 nist-800-171-r3 _03.01.20.c.01 +SCF:TPM-05 nist-800-171-r3 _03.01.20.c.02 +SCF:TPM-05 nist-800-171-r3 _03.07.06.a +SCF:TPM-05 nist-800-171-r3 _03.16.03.a +SCF:TPM-05 nist-800-171-r3 _03.16.03.b +SCF:TPM-05 nist-800-171-r3 _03.16.03.c +SCF:TPM-05 nist-800-171-r3 _03.17.02 +SCF:TPM-05 nist-800-171-r3 _03.17.03.b +SCF:TPM-05 nist-800-171a-r3 a.03.16.03.odp-01 +SCF:TPM-05 nist-800-171a-r3 a.03.16.03.a +SCF:TPM-05 nist-800-218 po.1 +SCF:TPM-05 nist-csf-2.0 gv.oc-02 +SCF:TPM-05 nist-csf-2.0 gv.oc-03 +SCF:TPM-05 nist-csf-2.0 gv.sc-02 +SCF:TPM-05 nist-csf-2.0 gv.sc-05 +SCF:TPM-05 nist-csf-2.0 gv.sc-06 +SCF:TPM-05 owasp-top-10-2025 a03-2025 +SCF:TPM-05 pci-dss-4.0.1 _8.2.3 +SCF:TPM-05 pci-dss-4.0.1 _12.4.2 +SCF:TPM-05 pci-dss-4.0.1 _12.4.2.1 +SCF:TPM-05 pci-dss-4.0.1 _12.8.2 +SCF:TPM-05 pci-dss-4.0.1 _12.8.5 +SCF:TPM-05 pci-dss-4.0.1 _12.9 +SCF:TPM-05 pci-dss-4.0.1 _12.9.1 +SCF:TPM-05 pci-dss-4.0.1 _12.9.2 +SCF:TPM-05 pci-dss-4.0.1-saq-a _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-a _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-a-ep _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-a-ep _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-b _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-b _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-b-ip _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-b-ip _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-c _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-c _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-c-vt _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-c-vt _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-d-merchant _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-d-merchant _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.4.2.1 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.8.5 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.9.1 +SCF:TPM-05 pci-dss-4.0.1-saq-d-service-provider _12.9.2 +SCF:TPM-05 pci-dss-4.0.1-saq-p2pe _12.8.2 +SCF:TPM-05 pci-dss-4.0.1-saq-p2pe _12.8.5 +SCF:TPM-05.1 nist-csf-function-grouping detect +SCF:TPM-05.1 csa-iot-scf-2 pol-01 +SCF:TPM-05.1 iso-27002-2022 _5.21 +SCF:TPM-05.1 iso-27018-2025 _5.21 +SCF:TPM-05.1 nist-800-53-r5 sr-08 +SCF:TPM-05.1 nist-800-53b-r5-low sr-08 +SCF:TPM-05.1 nist-sp-800-66-r2 _164.314-a +SCF:TPM-05.1 nist-sp-800-66-r2 _164.314-b +SCF:TPM-05.1 nist-800-82-r3 sr-08 +SCF:TPM-05.1 nist-800-82-r3-low-ot-overlay sr-08 +SCF:TPM-05.1 nist-800-82-r3-moderate-ot-overlay sr-08 +SCF:TPM-05.1 nist-800-82-r3-high-ot-overlay sr-08 +SCF:TPM-05.1 nist-800-161-r1 sr-8 +SCF:TPM-05.1 nist-800-161-r1-c-scrm-baseline sr-8 +SCF:TPM-05.1 nist-800-161-r1-level-2 sr-8 +SCF:TPM-05.1 nist-800-161-r1-level-3 sr-8 +SCF:TPM-05.1 nist-800-171-r3 _03.17.02 +SCF:TPM-05.2 nist-csf-function-grouping protect +SCF:TPM-05.2 csa-ccm-4.1.0 sta-11 +SCF:TPM-05.2 iso-27701-2025 _6.1.3-h +SCF:TPM-05.2 nist-800-53-r5 sr-03-03 +SCF:TPM-05.2 nist-800-53b-r5-privacy sr-03-03 +SCF:TPM-05.2 nist-sp-800-66-r2 _164.308-b-1 +SCF:TPM-05.2 nist-sp-800-66-r2 _164.314-a +SCF:TPM-05.2 nist-800-82-r3 sr-03-03 +SCF:TPM-05.2 nist-800-161-r1 sr-3-3 +SCF:TPM-05.2 nist-800-161-r1-flow-down sr-3-3 +SCF:TPM-05.2 nist-800-161-r1-level-2 sr-3-3 +SCF:TPM-05.2 nist-800-161-r1-level-3 sr-3-3 +SCF:TPM-05.2 nist-800-171-r2 _3.1.1 +SCF:TPM-05.2 nist-800-171-r3 _03.16.03.a +SCF:TPM-05.2 nist-800-171-r3 _03.16.03.b +SCF:TPM-05.2 nist-800-171-r3 _03.16.03.c +SCF:TPM-05.2 nist-800-171-r3 _03.17.02 +SCF:TPM-05.2 nist-800-171-r3 _03.17.03.b +SCF:TPM-05.2 nist-800-171a-r3 a.03.16.03.odp-01 +SCF:TPM-05.2 nist-csf-2.0 gv.oc-03 +SCF:TPM-05.2 nist-csf-2.0 gv.sc-02 +SCF:TPM-05.2 nist-csf-2.0 gv.sc-05 +SCF:TPM-05.2 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.2 nist-csf-2.0 gv.sc-10 +SCF:TPM-05.3 nist-csf-function-grouping protect +SCF:TPM-05.3 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.3 nist-csf-2.0 gv.sc-10 +SCF:TPM-05.3 pci-dss-4.0.1 _8.2.3 +SCF:TPM-05.3 pci-dss-4.0.1-saq-d-service-provider _8.2.3 +SCF:TPM-05.4 nist-csf-function-grouping identify +SCF:TPM-05.4 cis-csc-8.1 _15.0 +SCF:TPM-05.4 coso-2013 _12 +SCF:TPM-05.4 csa-ccm-4.1.0 grc-06 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-02 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-03 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-04 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-05 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-06 +SCF:TPM-05.4 csa-ccm-4.1.0 sta-07 +SCF:TPM-05.4 iso-sae-21434-2021 rq-06-01 +SCF:TPM-05.4 iso-sae-21434-2021 rq-07-08 +SCF:TPM-05.4 iso-27001-2022 _4.3-c +SCF:TPM-05.4 iso-27002-2022 _5.2 +SCF:TPM-05.4 iso-27002-2022 _5.23 +SCF:TPM-05.4 iso-27017-2015 _6.1.1 +SCF:TPM-05.4 iso-27018-2025 _5.2 +SCF:TPM-05.4 iso-27018-2025 _5.23 +SCF:TPM-05.4 iso-42001-2023 _5.3 +SCF:TPM-05.4 iso-42001-2023 a.10 +SCF:TPM-05.4 iso-42001-2023 a.10.2 +SCF:TPM-05.4 iso-42001-2023 a.10.3 +SCF:TPM-05.4 iso-42001-2023 a.10.4 +SCF:TPM-05.4 nist-privacy-framework-1.0 id.im-p2 +SCF:TPM-05.4 nist-privacy-framework-1.0 gv.po-p3 +SCF:TPM-05.4 nist-privacy-framework-1.0 gv.po-p4 +SCF:TPM-05.4 nist-privacy-framework-1.0 gv.at-p4 +SCF:TPM-05.4 nist-800-37-r2 task-p-1 +SCF:TPM-05.4 nist-800-53-r5 sa-09-03 +SCF:TPM-05.4 nist-sp-800-66-r2 _164.308-b-1 +SCF:TPM-05.4 nist-800-82-r3 sa-09-03 +SCF:TPM-05.4 nist-800-161-r1 sa-9-3 +SCF:TPM-05.4 nist-800-161-r1-level-1 sa-9-3 +SCF:TPM-05.4 nist-800-161-r1-level-2 sa-9-3 +SCF:TPM-05.4 nist-800-161-r1-level-3 sa-9-3 +SCF:TPM-05.4 nist-800-171-r3 _03.07.06.a +SCF:TPM-05.4 nist-800-171-r3 _03.16.03.b +SCF:TPM-05.4 nist-800-171a-r3 a.03.16.03.b +SCF:TPM-05.4 nist-csf-2.0 gv.oc +SCF:TPM-05.4 nist-csf-2.0 gv.oc-02 +SCF:TPM-05.4 nist-csf-2.0 gv.rm-05 +SCF:TPM-05.4 nist-csf-2.0 gv.rr +SCF:TPM-05.4 nist-csf-2.0 gv.rr-02 +SCF:TPM-05.4 nist-csf-2.0 gv.sc-02 +SCF:TPM-05.4 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.4 nist-csf-2.0 id.am +SCF:TPM-05.4 pci-dss-4.0.1 _12.4.1 +SCF:TPM-05.4 pci-dss-4.0.1 _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1 _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1 _12.9 +SCF:TPM-05.4 pci-dss-4.0.1 _12.9.1 +SCF:TPM-05.4 pci-dss-4.0.1 _12.9.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-a _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-a _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-a-ep _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-a-ep _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-b _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-b _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-b-ip _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-b-ip _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-c _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-c _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-c-vt _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-c-vt _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-merchant _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-merchant _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-service-provider _12.4.1 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-service-provider _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-service-provider _12.8.5 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-service-provider _12.9.1 +SCF:TPM-05.4 pci-dss-4.0.1-saq-d-service-provider _12.9.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-p2pe _12.8.2 +SCF:TPM-05.4 pci-dss-4.0.1-saq-p2pe _12.8.5 +SCF:TPM-05.5 nist-csf-function-grouping identify +SCF:TPM-05.5 cis-csc-8.1 _15.0 +SCF:TPM-05.5 iso-42001-2023 _4.3 +SCF:TPM-05.5 nist-800-171-r3 _03.16.03.c +SCF:TPM-05.5 nist-800-171-r3 _03.17.02 +SCF:TPM-05.5 nist-800-171-r3 _03.17.03.a +SCF:TPM-05.5 nist-800-171-r3 _03.17.03.b +SCF:TPM-05.5 nist-800-171a-r3 a.03.16.03.c +SCF:TPM-05.5 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.5 pci-dss-4.0.1 _12.5.2.1 +SCF:TPM-05.5 pci-dss-4.0.1 _12.5.3 +SCF:TPM-05.5 pci-dss-4.0.1 _12.8 +SCF:TPM-05.5 pci-dss-4.0.1 _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1 a3.2.1 +SCF:TPM-05.5 pci-dss-4.0.1 a3.2.3 +SCF:TPM-05.5 pci-dss-4.0.1-saq-a _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-a-ep _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-b _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-b-ip _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-c _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-c-vt _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-d-merchant _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-d-service-provider _12.5.2.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-d-service-provider _12.5.3 +SCF:TPM-05.5 pci-dss-4.0.1-saq-d-service-provider _12.8.1 +SCF:TPM-05.5 pci-dss-4.0.1-saq-p2pe _12.8.1 +SCF:TPM-05.6 nist-csf-function-grouping identify +SCF:TPM-05.6 iso-sae-21434-2021 rc-07-02 +SCF:TPM-05.6 nist-800-171-r3 _03.01.20.c.01 +SCF:TPM-05.6 nist-800-171-r3 _03.16.03.c +SCF:TPM-05.6 nist-800-171a-r3 a.03.16.03.c +SCF:TPM-05.6 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.7 nist-csf-function-grouping protect +SCF:TPM-05.7 nist-800-53-r5 sa-09-03 +SCF:TPM-05.7 nist-800-82-r3 sa-09-03 +SCF:TPM-05.7 nist-800-161-r1 sa-9-3 +SCF:TPM-05.7 nist-800-161-r1-level-1 sa-9-3 +SCF:TPM-05.7 nist-800-161-r1-level-2 sa-9-3 +SCF:TPM-05.7 nist-800-161-r1-level-3 sa-9-3 +SCF:TPM-05.7 nist-800-171-r3 _03.17.01.a +SCF:TPM-05.7 nist-800-171-r3 _03.17.02 +SCF:TPM-05.7 nist-800-171-r3 _03.17.03.b +SCF:TPM-05.7 nist-csf-2.0 gv.sc-06 +SCF:TPM-05.8 nist-csf-function-grouping govern +SCF:TPM-05.8 iso-sae-21434-2021 rc-07-02 +SCF:TPM-05.8 nist-800-171-r3 _03.01.20.a +SCF:TPM-05.8 nist-800-171-r3 _03.01.20.b +SCF:TPM-05.8 nist-800-171-r3 _03.01.20.c.01 +SCF:TPM-05.8 nist-800-171-r3 _03.16.03.a +SCF:TPM-05.8 nist-800-171-r3 _03.16.03.c +SCF:TPM-05.8 nist-800-171a-r3 a.03.16.03.c +SCF:TPM-06 nist-csf-function-grouping identify +SCF:TPM-06 cobit-2019 apo10.03 +SCF:TPM-06 csa-iot-scf-2 pol-02 +SCF:TPM-06 iso-27002-2022 _5.2 +SCF:TPM-06 iso-27002-2022 _5.19 +SCF:TPM-06 iso-27002-2022 _8.3 +SCF:TPM-06 iso-27017-2015 _6.1 +SCF:TPM-06 iso-27017-2015 _6.1.1 +SCF:TPM-06 iso-27018-2025 _5.2 +SCF:TPM-06 iso-27018-2025 _5.19 +SCF:TPM-06 iso-27018-2025 _8.30 +SCF:TPM-06 nist-privacy-framework-1.0 gv.po-p3 +SCF:TPM-06 nist-privacy-framework-1.0 gv.po-p4 +SCF:TPM-06 nist-privacy-framework-1.0 gv.at-p4 +SCF:TPM-06 nist-csf-2.0 gv.sc-06 +SCF:TPM-06 nist-csf-2.0 id.am +SCF:TPM-07 nist-csf-function-grouping identify +SCF:TPM-08 nist-csf-function-grouping identify +SCF:TPM-08 cis-csc-8.1 _15.0 +SCF:TPM-08 cis-csc-8.1 _15.6 +SCF:TPM-08 cis-csc-8.1-ig3 _15.6 +SCF:TPM-08 cobit-2019 apo09.03 +SCF:TPM-08 cobit-2019 apo09.04 +SCF:TPM-08 cobit-2019 apo09.05 +SCF:TPM-08 cobit-2019 apo10.05 +SCF:TPM-08 coso-2013 _9 +SCF:TPM-08 csa-ccm-4.1.0 sta-10 +SCF:TPM-08 csa-ccm-4.1.0 sta-12 +SCF:TPM-08 csa-ccm-4.1.0 sta-13 +SCF:TPM-08 csa-ccm-4.1.0 sta-14 +SCF:TPM-08 csa-ccm-4.1.0 sta-15 +SCF:TPM-08 csa-iot-scf-2 pol-02 +SCF:TPM-08 iso-27002-2022 _5.19 +SCF:TPM-08 iso-27002-2022 _5.2 +SCF:TPM-08 iso-27002-2022 _5.22 +SCF:TPM-08 iso-27002-2022 _8.21 +SCF:TPM-08 iso-27017-2015 _13.1.2 +SCF:TPM-08 iso-27017-2015 _15.2.1 +SCF:TPM-08 iso-27018-2025 _5.19 +SCF:TPM-08 iso-27018-2025 _5.20 +SCF:TPM-08 iso-27018-2025 _5.22 +SCF:TPM-08 iso-27018-2025 _8.21 +SCF:TPM-08 nist-ai-100-1-ai-rmf-1.0 manage-3.0 +SCF:TPM-08 nist-ai-100-1-ai-rmf-1.0 manage-3.1 +SCF:TPM-08 nist-privacy-framework-1.0 id.de-p5 +SCF:TPM-08 nist-800-53-r4 sa-12-2 +SCF:TPM-08 nist-800-53-r5 sr-06 +SCF:TPM-08 nist-800-53-r5 sr-06-01 +SCF:TPM-08 nist-800-53b-r5-moderate sr-06 +SCF:TPM-08 nist-800-82-r3 sr-06 +SCF:TPM-08 nist-800-82-r3 sr-06-01 +SCF:TPM-08 nist-800-82-r3-moderate-ot-overlay sr-06 +SCF:TPM-08 nist-800-82-r3-high-ot-overlay sr-06 +SCF:TPM-08 nist-800-160-vol2-r1 sr-06-01 +SCF:TPM-08 nist-800-161-r1 sr-6 +SCF:TPM-08 nist-800-161-r1-level-2 sr-6 +SCF:TPM-08 nist-800-161-r1-level-3 sr-6 +SCF:TPM-08 nist-800-171-r3 _03.16.03.c +SCF:TPM-08 nist-800-171-r3 _03.17.02 +SCF:TPM-08 nist-800-171a-r3 a.03.16.03.c +SCF:TPM-08 nist-csf-2.0 gv.sc-07 +SCF:TPM-08 nist-csf-2.0 id.im-01 +SCF:TPM-08 nist-csf-2.0 id.im-02 +SCF:TPM-08 owasp-top-10-2025 a02-2025 +SCF:TPM-08 owasp-top-10-2025 a05-2025 +SCF:TPM-08 pci-dss-4.0.1 _12.4.2 +SCF:TPM-08 pci-dss-4.0.1 _12.4.2.1 +SCF:TPM-08 pci-dss-4.0.1 _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-a _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-a-ep _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-b _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-b-ip _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-c _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-c-vt _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-d-merchant _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-d-service-provider _12.4.2 +SCF:TPM-08 pci-dss-4.0.1-saq-d-service-provider _12.4.2.1 +SCF:TPM-08 pci-dss-4.0.1-saq-d-service-provider _12.8.4 +SCF:TPM-08 pci-dss-4.0.1-saq-p2pe _12.8.4 +SCF:TPM-09 nist-csf-function-grouping identify +SCF:TPM-09 cobit-2019 apo10.04 +SCF:TPM-09 coso-2013 _17 +SCF:TPM-09 csa-iot-scf-2 pol-01 +SCF:TPM-09 iso-27002-2022 _5.19 +SCF:TPM-09 iso-27018-2025 _5.19 +SCF:TPM-09 nist-800-171-r3 _03.17.02 +SCF:TPM-09 nist-csf-2.0 gv.sc-06 +SCF:TPM-09 nist-csf-2.0 gv.sc-07 +SCF:TPM-09 nist-csf-2.0 gv.sc-08 +SCF:TPM-09 owasp-top-10-2025 a02-2025 +SCF:TPM-09 owasp-top-10-2025 a05-2025 +SCF:TPM-09 pci-dss-4.0.1 a3.3.1.2 +SCF:TPM-10 nist-csf-function-grouping identify +SCF:TPM-10 cis-csc-8.1 _15.7 +SCF:TPM-10 cis-csc-8.1-ig3 _15.7 +SCF:TPM-10 cobit-2019 apo10.04 +SCF:TPM-10 coso-2013 _9 +SCF:TPM-10 csa-ccm-4.1.0 sta-10 +SCF:TPM-10 iso-27002-2022 _5.2 +SCF:TPM-10 iso-27002-2022 _5.22 +SCF:TPM-10 iso-27017-2015 _15.2.2 +SCF:TPM-10 iso-27018-2025 _5.20 +SCF:TPM-10 iso-27018-2025 _5.22 +SCF:TPM-10 nist-800-53-r4 sa-4 +SCF:TPM-10 nist-800-53-r5 sa-04 +SCF:TPM-10 nist-800-53b-r5-privacy sa-04 +SCF:TPM-10 nist-800-53b-r5-low sa-04 +SCF:TPM-10 nist-800-82-r3 sa-04 +SCF:TPM-10 nist-800-82-r3-low-ot-overlay sa-04 +SCF:TPM-10 nist-800-82-r3-moderate-ot-overlay sa-04 +SCF:TPM-10 nist-800-82-r3-high-ot-overlay sa-04 +SCF:TPM-10 nist-800-161-r1 sa-4 +SCF:TPM-10 nist-800-161-r1-c-scrm-baseline sa-4 +SCF:TPM-10 nist-800-161-r1-level-1 sa-4 +SCF:TPM-10 nist-800-161-r1-level-2 sa-4 +SCF:TPM-10 nist-800-161-r1-level-3 sa-4 +SCF:TPM-10 nist-800-171-r3 _03.16.01 +SCF:TPM-10 nist-800-171-r3 _03.17.02 +SCF:TPM-10 nist-csf-2.0 gv.sc-08 +SCF:TPM-11 nist-csf-function-grouping identify +SCF:TPM-11 csa-iot-scf-2 imt-01 +SCF:TPM-11 csa-iot-scf-2 opa-05 +SCF:TPM-11 csa-iot-scf-2 pol-01 +SCF:TPM-11 iso-27002-2022 _5.19 +SCF:TPM-11 iso-27018-2025 _5.19 +SCF:TPM-11 nist-ai-600-1 gv-6.2-003 +SCF:TPM-11 nist-800-53-r5 ir-04-10 +SCF:TPM-11 nist-800-53b-r5-privacy ir-04-10 +SCF:TPM-11 nist-800-82-r3 ir-04-10 +SCF:TPM-11 nist-800-160-vol2-r1 ir-04-10 +SCF:TPM-11 nist-800-161-r1 ir-4-10 +SCF:TPM-11 nist-800-161-r1-flow-down ir-4-10 +SCF:TPM-11 nist-800-161-r1-level-2 ir-4-10 +SCF:TPM-11 nist-csf-2.0 gv.sc-08 +SCF:TPM-11 pci-dss-4.0.1 _10.7 +SCF:TPM-11 pci-dss-4.0.1 _10.7.1 +SCF:TPM-11 pci-dss-4.0.1 _10.7.2 +SCF:TPM-11 pci-dss-4.0.1 _10.7.3 +SCF:TPM-11 pci-dss-4.0.1-saq-d-merchant _10.7.2 +SCF:TPM-11 pci-dss-4.0.1-saq-d-merchant _10.7.3 +SCF:TPM-11 pci-dss-4.0.1-saq-d-service-provider _10.7.1 +SCF:TPM-11 pci-dss-4.0.1-saq-d-service-provider _10.7.2 +SCF:TPM-11 pci-dss-4.0.1-saq-d-service-provider _10.7.3 +SCF:TPM-12 nist-csf-function-grouping protect +SCF:TPM-12.1 nist-csf-function-grouping identify +SCF:TPM-12.2 nist-csf-function-grouping protect +SCF:THR-01 nist-csf-function-grouping govern +SCF:THR-01 coso-2013 _8 +SCF:THR-01 csa-ccm-4.1.0 tvm-04 +SCF:THR-01 iso-27002-2022 _5.7 +SCF:THR-01 iso-27018-2025 _5.7 +SCF:THR-01 nist-800-53-r4 pm-16 +SCF:THR-01 nist-800-53-r5 pm-15 +SCF:THR-01 nist-800-53-r5 pm-16 +SCF:THR-01 nist-800-53b-r5-privacy pm-15 +SCF:THR-01 nist-800-82-r3 pm-15 +SCF:THR-01 nist-800-82-r3 pm-16 +SCF:THR-01 nist-800-82-r3-low-ot-overlay pm-15 +SCF:THR-01 nist-800-82-r3-low-ot-overlay pm-16 +SCF:THR-01 nist-800-82-r3-moderate-ot-overlay pm-15 +SCF:THR-01 nist-800-82-r3-moderate-ot-overlay pm-16 +SCF:THR-01 nist-800-82-r3-high-ot-overlay pm-15 +SCF:THR-01 nist-800-82-r3-high-ot-overlay pm-16 +SCF:THR-01 nist-800-160-vol2-r1 pm-16 +SCF:THR-01 nist-800-161-r1 at-3-6 +SCF:THR-01 nist-800-161-r1 pm-15 +SCF:THR-01 nist-800-161-r1 pm-16 +SCF:THR-01 nist-800-161-r1-level-1 pm-15 +SCF:THR-01 nist-800-161-r1-level-1 pm-16 +SCF:THR-01 nist-800-161-r1-level-2 at-3-6 +SCF:THR-01 nist-800-161-r1-level-2 pm-15 +SCF:THR-01 nist-800-161-r1-level-2 pm-16 +SCF:THR-01 nist-800-171-r2 _3.12.3 +SCF:THR-01 nist-800-171-r2 _3.14.3 +SCF:THR-01 nist-800-171-r3 _03.11.02.a +SCF:THR-01 nist-800-171-r3 _03.14.03.a +SCF:THR-01 nist-800-207 nist-tenet-7 +SCF:THR-01 nist-csf-2.0 id.ra-03 +SCF:THR-01 nist-csf-2.0 id.ra-08 +SCF:THR-01 nist-csf-2.0 de +SCF:THR-01 nist-csf-2.0 de.ae-07 +SCF:THR-01 pci-dss-4.0.1 _6.3 +SCF:THR-01 pci-dss-4.0.1 a3.5.1 +SCF:THR-02 nist-csf-function-grouping identify +SCF:THR-02 coso-2013 _8 +SCF:THR-02 iso-27002-2022 _5.7 +SCF:THR-02 iso-27018-2025 _5.7 +SCF:THR-02 nist-csf-2.0 id.ra-03 +SCF:THR-02 nist-csf-2.0 id.ra-05 +SCF:THR-02 nist-csf-2.0 id.ra-08 +SCF:THR-02 nist-csf-2.0 de +SCF:THR-02 nist-csf-2.0 de.cm +SCF:THR-03 nist-csf-function-grouping identify +SCF:THR-03 csa-ccm-4.1.0 tvm-05 +SCF:THR-03 csa-ccm-4.1.0 tvm-06 +SCF:THR-03 csa-iot-scf-2 mon-11 +SCF:THR-03 iso-27001-2022 _7.4 +SCF:THR-03 iso-27001-2022 _7.4-a +SCF:THR-03 iso-27001-2022 _7.4-b +SCF:THR-03 iso-27001-2022 _7.4-c +SCF:THR-03 iso-27001-2022 _7.4-d +SCF:THR-03 iso-27002-2022 _5.7 +SCF:THR-03 iso-27018-2025 _5.7 +SCF:THR-03 nist-800-53-r4 si-5 +SCF:THR-03 nist-800-53-r4 si-5-1 +SCF:THR-03 nist-800-53-r5 pm-16-01 +SCF:THR-03 nist-800-53-r5 si-05 +SCF:THR-03 nist-800-53-r5 si-05-01 +SCF:THR-03 nist-800-53b-r5-privacy si-05 +SCF:THR-03 nist-800-53b-r5-low si-05 +SCF:THR-03 nist-800-53b-r5-high si-05-01 +SCF:THR-03 nist-800-82-r3 pm-16-01 +SCF:THR-03 nist-800-82-r3 si-05 +SCF:THR-03 nist-800-82-r3 si-05-01 +SCF:THR-03 nist-800-82-r3-low-ot-overlay si-05 +SCF:THR-03 nist-800-82-r3-moderate-ot-overlay si-05 +SCF:THR-03 nist-800-82-r3-high-ot-overlay si-05 +SCF:THR-03 nist-800-160-vol2-r1 pm-16-01 +SCF:THR-03 nist-800-161-r1 at-3-6 +SCF:THR-03 nist-800-161-r1 si-5 +SCF:THR-03 nist-800-161-r1-c-scrm-baseline si-5 +SCF:THR-03 nist-800-161-r1-flow-down si-5 +SCF:THR-03 nist-800-161-r1-level-1 si-5 +SCF:THR-03 nist-800-161-r1-level-2 at-3-6 +SCF:THR-03 nist-800-161-r1-level-2 si-5 +SCF:THR-03 nist-800-161-r1-level-3 si-5 +SCF:THR-03 nist-800-171-r2 _3.12.3 +SCF:THR-03 nist-800-171-r2 _3.14.3 +SCF:THR-03 nist-800-171-r3 _03.02.01.a.02 +SCF:THR-03 nist-800-171-r3 _03.02.01.a.03 +SCF:THR-03 nist-800-171-r3 _03.02.01.b +SCF:THR-03 nist-800-171-r3 _03.02.02.b +SCF:THR-03 nist-800-171-r3 _03.11.02.a +SCF:THR-03 nist-800-171-r3 _03.14.03.a +SCF:THR-03 nist-800-171a-r3 a.03.14.03.a +SCF:THR-03 nist-800-172 _3.11.1e +SCF:THR-03 nist-800-172 _3.14.6e +SCF:THR-03 nist-800-207 nist-tenet-7 +SCF:THR-03 nist-csf-2.0 id.ra-02 +SCF:THR-03 nist-csf-2.0 id.ra-03 +SCF:THR-03 nist-csf-2.0 id.ra-08 +SCF:THR-03 nist-csf-2.0 de +SCF:THR-03 nist-csf-2.0 de.ae-07 +SCF:THR-03 pci-dss-4.0.1 _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-a _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-c _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:THR-03 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:THR-03.1 nist-csf-function-grouping identify +SCF:THR-03.1 iso-27002-2022 _5.7 +SCF:THR-03.1 iso-27018-2025 _5.7 +SCF:THR-03.1 nist-800-171-r3 _03.14.03.b +SCF:THR-03.1 nist-800-171a-r3 a.03.14.03.b-01 +SCF:THR-03.1 nist-800-171a-r3 a.03.14.03.b-02 +SCF:THR-04 nist-csf-function-grouping identify +SCF:THR-04 coso-2013 _8 +SCF:THR-04 nist-800-53-r4 pm-12 +SCF:THR-04 nist-800-53-r5 pm-12 +SCF:THR-04 nist-800-82-r3 pm-12 +SCF:THR-04 nist-800-82-r3-low-ot-overlay pm-12 +SCF:THR-04 nist-800-82-r3-moderate-ot-overlay pm-12 +SCF:THR-04 nist-800-82-r3-high-ot-overlay pm-12 +SCF:THR-04 nist-800-161-r1 pm-12 +SCF:THR-04 nist-800-161-r1-level-1 pm-12 +SCF:THR-04 nist-800-161-r1-level-2 pm-12 +SCF:THR-04 nist-800-161-r1-level-3 pm-12 +SCF:THR-04 nist-csf-2.0 id.ra-03 +SCF:THR-05 nist-csf-function-grouping identify +SCF:THR-05 nist-800-53-r4 at-2-2 +SCF:THR-05 nist-800-53-r5 at-02-02 +SCF:THR-05 nist-800-53b-r5-low at-02-02 +SCF:THR-05 nist-800-82-r3 at-02-02 +SCF:THR-05 nist-800-82-r3-low-ot-overlay at-02-02 +SCF:THR-05 nist-800-82-r3-moderate-ot-overlay at-02-02 +SCF:THR-05 nist-800-82-r3-high-ot-overlay at-02-02 +SCF:THR-05 nist-800-161-r1 at-2-2 +SCF:THR-05 nist-800-161-r1-c-scrm-baseline at-2-2 +SCF:THR-05 nist-800-161-r1-flow-down at-2-2 +SCF:THR-05 nist-800-161-r1-level-2 at-2-2 +SCF:THR-05 nist-800-171-r2 _3.2.3 +SCF:THR-05 nist-800-171-r3 _03.02.01.a.03 +SCF:THR-05 nist-800-171a _3.2.3-a +SCF:THR-05 nist-800-171a _3.2.3-b +SCF:THR-05 nist-800-171a-r3 a.03.02.01.a.03-01 +SCF:THR-05 nist-800-171a-r3 a.03.02.01.a.03-02 +SCF:THR-05 nist-csf-2.0 id.ra-03 +SCF:THR-06 nist-csf-function-grouping detect +SCF:THR-06 cis-csc-8.1 _16.2 +SCF:THR-06 cis-csc-8.1-ig2 _16.2 +SCF:THR-06 cis-csc-8.1-ig3 _16.2 +SCF:THR-06 csa-iot-scf-2 trn-03 +SCF:THR-06 csa-iot-scf-2 set-05 +SCF:THR-06 nist-800-53-r5 ra-05-11 +SCF:THR-06 nist-800-53b-r5-low ra-05-11 +SCF:THR-06 nist-800-82-r3 ra-05-11 +SCF:THR-06 nist-800-82-r3-low-ot-overlay ra-05-11 +SCF:THR-06 nist-800-82-r3-moderate-ot-overlay ra-05-11 +SCF:THR-06 nist-800-82-r3-high-ot-overlay ra-05-11 +SCF:THR-06 nist-800-218 rv.1.3 +SCF:THR-06 pci-dss-4.0.1 _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-a _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-c _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:THR-06 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:THR-06.1 nist-csf-function-grouping detect +SCF:THR-07 nist-csf-function-grouping detect +SCF:THR-07 nist-800-53-r5 ra-10 +SCF:THR-07 nist-800-53-r5 sc-48 +SCF:THR-07 nist-800-53b-r5-privacy sc-48 +SCF:THR-07 nist-800-82-r3 ra-10 +SCF:THR-07 nist-800-82-r3 sc-48 +SCF:THR-07 nist-800-160-vol2-r1 ra-10 +SCF:THR-07 nist-800-160-vol2-r1 sc-48 +SCF:THR-07 nist-800-161-r1 ra-10 +SCF:THR-07 nist-800-161-r1-level-1 ra-10 +SCF:THR-07 nist-800-161-r1-level-2 ra-10 +SCF:THR-07 nist-800-161-r1-level-3 ra-10 +SCF:THR-07 nist-800-172 _3.11.1e +SCF:THR-07 nist-800-172 _3.11.2e +SCF:THR-07 nist-800-172 _3.14.6e +SCF:THR-07 nist-csf-2.0 id.ra-03 +SCF:THR-07 nist-csf-2.0 de +SCF:THR-08 nist-csf-function-grouping detect +SCF:THR-08 nist-800-53-r5 si-20 +SCF:THR-08 nist-800-82-r3 si-20 +SCF:THR-08 nist-800-160-vol2-r1 si-20 +SCF:THR-08 nist-800-161-r1 si-20 +SCF:THR-08 nist-800-161-r1-flow-down si-20 +SCF:THR-08 nist-800-161-r1-level-2 si-20 +SCF:THR-08 nist-800-161-r1-level-3 si-20 +SCF:THR-09 nist-csf-function-grouping protect +SCF:THR-09 iso-sae-21434-2021 rq-15-01 +SCF:THR-09 iso-22301-2019 _6.1.1 +SCF:THR-09 nist-800-39 task-2-1 +SCF:THR-09 nist-800-171-r3 _03.15.02.a.03 +SCF:THR-09 nist-800-172 _3.11.5e +SCF:THR-09 nist-csf-2.0 id.ra-03 +SCF:THR-09 nist-csf-2.0 id.ra-04 +SCF:THR-09 nist-csf-2.0 id.ra-05 +SCF:THR-09 nist-csf-2.0 pr.ir-02 +SCF:THR-09 nist-csf-2.0 de +SCF:THR-10 nist-csf-function-grouping protect +SCF:THR-10 coso-2013 _8 +SCF:THR-10 csa-ccm-4.1.0 tvm-10 +SCF:THR-10 iec-tr-60601-4-5-2021 _4.6.2 +SCF:THR-10 nist-800-39 task-2-1 +SCF:THR-10 nist-800-171-r3 _03.14.03.b +SCF:THR-10 nist-csf-2.0 id.ra-04 +SCF:THR-10 nist-csf-2.0 id.ra-05 +SCF:THR-10 nist-csf-2.0 de +SCF:THR-10 nist-csf-2.0 de.ae-07 +SCF:THR-11 nist-csf-function-grouping govern +SCF:THR-11 coso-2013 _8 +SCF:VPM-01 nist-csf-function-grouping govern +SCF:VPM-01 cis-csc-8.1 _7.0 +SCF:VPM-01 cis-csc-8.1 _7.1 +SCF:VPM-01 cis-csc-8.1 _18.0 +SCF:VPM-01 cis-csc-8.1-ig1 _7.1 +SCF:VPM-01 cis-csc-8.1-ig2 _7.1 +SCF:VPM-01 cis-csc-8.1-ig3 _7.1 +SCF:VPM-01 cobit-2019 dss05.07 +SCF:VPM-01 csa-ccm-4.1.0 tvm-01 +SCF:VPM-01 csa-iot-scf-2 cls-06 +SCF:VPM-01 csa-iot-scf-2 vln-01 +SCF:VPM-01 csa-iot-scf-2 vln-04 +SCF:VPM-01 iso-27002-2022 _8.8 +SCF:VPM-01 iso-27017-2015 _12.6.1 +SCF:VPM-01 iso-27018-2025 _8.8 +SCF:VPM-01 nist-privacy-framework-1.0 pr.po-p10 +SCF:VPM-01 nist-800-39 task-2-1 +SCF:VPM-01 nist-800-53-r4 si-2 +SCF:VPM-01 nist-800-53-r4 si-3-2 +SCF:VPM-01 nist-800-53-r5 si-02 +SCF:VPM-01 nist-800-53-r5 si-03 +SCF:VPM-01 nist-800-53b-r5-privacy si-02 +SCF:VPM-01 nist-800-53b-r5-privacy si-03 +SCF:VPM-01 nist-800-53b-r5-low si-02 +SCF:VPM-01 nist-800-53b-r5-low si-03 +SCF:VPM-01 nist-800-82-r3 si-02 +SCF:VPM-01 nist-800-82-r3 si-03 +SCF:VPM-01 nist-800-82-r3-low-ot-overlay si-02 +SCF:VPM-01 nist-800-82-r3-low-ot-overlay si-03 +SCF:VPM-01 nist-800-82-r3-moderate-ot-overlay si-02 +SCF:VPM-01 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:VPM-01 nist-800-82-r3-high-ot-overlay si-02 +SCF:VPM-01 nist-800-82-r3-high-ot-overlay si-03 +SCF:VPM-01 nist-800-161-r1 si-2 +SCF:VPM-01 nist-800-161-r1 si-3 +SCF:VPM-01 nist-800-161-r1-c-scrm-baseline si-2 +SCF:VPM-01 nist-800-161-r1-c-scrm-baseline si-3 +SCF:VPM-01 nist-800-161-r1-flow-down si-2 +SCF:VPM-01 nist-800-161-r1-flow-down si-3 +SCF:VPM-01 nist-800-161-r1-level-2 si-2 +SCF:VPM-01 nist-800-161-r1-level-2 si-3 +SCF:VPM-01 nist-800-161-r1-level-3 si-2 +SCF:VPM-01 nist-800-161-r1-level-3 si-3 +SCF:VPM-01 nist-800-171-r2 _3.14.1 +SCF:VPM-01 nist-800-171-r3 _03.11.02.a +SCF:VPM-01 nist-800-171-r3 _03.14.01.a +SCF:VPM-01 nist-800-171a _3.14.1-a +SCF:VPM-01 nist-800-171a _3.14.1-b +SCF:VPM-01 nist-800-171a _3.14.1-c +SCF:VPM-01 nist-800-171a _3.14.1-d +SCF:VPM-01 nist-800-171a _3.14.1-e +SCF:VPM-01 nist-800-171a _3.14.1-f +SCF:VPM-01 nist-800-171a-r3 a.03.11.02.odp-03 +SCF:VPM-01 nist-csf-2.0 id.ra-01 +SCF:VPM-01 nist-csf-2.0 id.ra-08 +SCF:VPM-01 nist-csf-2.0 pr.ps-02 +SCF:VPM-01 owasp-top-10-2025 a05-2025 +SCF:VPM-01 pci-dss-4.0.1 _6.3 +SCF:VPM-01 pci-dss-4.0.1 _6.3.1 +SCF:VPM-01 pci-dss-4.0.1 _6.3.3 +SCF:VPM-01 pci-dss-4.0.1 _11.3 +SCF:VPM-01 pci-dss-4.0.1-saq-a _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-a _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-a-ep _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-b-ip _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-c _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-c _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-c-vt _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-d-merchant _6.3.3 +SCF:VPM-01 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:VPM-01 pci-dss-4.0.1-saq-d-service-provider _6.3.3 +SCF:VPM-01.1 nist-csf-function-grouping protect +SCF:VPM-01.1 csa-ccm-4.1.0 tvm-03 +SCF:VPM-01.1 csa-iot-scf-2 cls-06 +SCF:VPM-01.1 csa-iot-scf-2 vln-02 +SCF:VPM-01.1 iso-27002-2022 _8.8 +SCF:VPM-01.1 iso-27018-2025 _8.8 +SCF:VPM-01.1 iso-42001-2023 _4.3 +SCF:VPM-01.1 nist-800-53-r5 sa-11-06 +SCF:VPM-01.1 nist-800-53-r5 sa-11-07 +SCF:VPM-01.1 nist-800-53b-r5-privacy sa-11-06 +SCF:VPM-01.1 nist-800-53b-r5-privacy sa-11-07 +SCF:VPM-01.1 nist-800-82-r3 sa-11-06 +SCF:VPM-01.1 nist-800-82-r3 sa-11-07 +SCF:VPM-01.1 nist-800-160-vol2-r1 sa-11-06 +SCF:VPM-01.1 nist-800-171-r3 _03.11.02.a +SCF:VPM-01.1 nist-800-171-r3 _03.14.01.a +SCF:VPM-01.1 nist-800-171a-r3 a.03.11.02.a-01 +SCF:VPM-01.1 nist-csf-2.0 pr.ps-02 +SCF:VPM-01.1 pci-dss-4.0.1 _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1 _6.3.2 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.1 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.1.1 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.1.2 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.1.3 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1 _11.3.2.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a _11.3.2.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a-ep _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-a-ep _11.3.2.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-b-ip _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c _11.3.1.3 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c _11.3.2.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.1.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.1.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.1.3 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-merchant _11.3.2.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.1.1 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.1.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.1.3 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.2 +SCF:VPM-01.1 pci-dss-4.0.1-saq-d-service-provider _11.3.2.1 +SCF:VPM-02 nist-csf-function-grouping protect +SCF:VPM-02 cis-csc-8.1 _7.2 +SCF:VPM-02 cis-csc-8.1 _7.7 +SCF:VPM-02 cis-csc-8.1-ig1 _7.2 +SCF:VPM-02 cis-csc-8.1-ig2 _7.2 +SCF:VPM-02 cis-csc-8.1-ig2 _7.7 +SCF:VPM-02 cis-csc-8.1-ig3 _7.2 +SCF:VPM-02 cis-csc-8.1-ig3 _7.7 +SCF:VPM-02 cobit-2019 dss06.04 +SCF:VPM-02 coso-2013 _17 +SCF:VPM-02 csa-iot-scf-2 cls-06 +SCF:VPM-02 csa-iot-scf-2 vln-04 +SCF:VPM-02 iec-62443-2-1-2024 event-1.9 +SCF:VPM-02 iso-27002-2022 _8.8 +SCF:VPM-02 iso-27017-2015 _12.6.1 +SCF:VPM-02 iso-27018-2025 _8.8 +SCF:VPM-02 iso-42001-2023 _10.2 +SCF:VPM-02 iso-42001-2023 _10.2-a +SCF:VPM-02 iso-42001-2023 _10.2-a-1 +SCF:VPM-02 iso-42001-2023 _10.2-a-2 +SCF:VPM-02 iso-42001-2023 _10.2-b +SCF:VPM-02 iso-42001-2023 _10.2-b-1 +SCF:VPM-02 iso-42001-2023 _10.2-b-2 +SCF:VPM-02 iso-42001-2023 _10.2-b-3 +SCF:VPM-02 iso-42001-2023 _10.2-c +SCF:VPM-02 iso-42001-2023 _10.2-d +SCF:VPM-02 iso-42001-2023 _10.2-e +SCF:VPM-02 nist-800-53-r4 pm-4 +SCF:VPM-02 nist-800-53-r4 sc-18-1 +SCF:VPM-02 nist-800-53-r5 pm-04 +SCF:VPM-02 nist-800-53-r5 sc-18-01 +SCF:VPM-02 nist-800-53b-r5-privacy pm-04 +SCF:VPM-02 nist-800-53b-r5-privacy sc-18-01 +SCF:VPM-02 nist-800-82-r3 pm-04 +SCF:VPM-02 nist-800-82-r3 sc-18-01 +SCF:VPM-02 nist-800-82-r3-low-ot-overlay pm-04 +SCF:VPM-02 nist-800-82-r3-moderate-ot-overlay pm-04 +SCF:VPM-02 nist-800-82-r3-high-ot-overlay pm-04 +SCF:VPM-02 nist-800-161-r1 pm-4 +SCF:VPM-02 nist-800-161-r1-level-2 pm-4 +SCF:VPM-02 nist-800-161-r1-level-3 pm-4 +SCF:VPM-02 nist-800-171-r2 _3.14.1 +SCF:VPM-02 nist-800-171-r3 _03.11.02.b +SCF:VPM-02 nist-800-171-r3 _03.12.02.a.02 +SCF:VPM-02 nist-800-171-r3 _03.14.01.a +SCF:VPM-02 nist-800-171a _3.11.3-a +SCF:VPM-02 nist-800-171a _3.11.3-b +SCF:VPM-02 nist-800-171a-r3 a.03.11.02.odp-03 +SCF:VPM-02 nist-800-218 rv.2.2 +SCF:VPM-02 nist-csf-2.0 id.ra-08 +SCF:VPM-02 nist-csf-2.0 pr.ps-02 +SCF:VPM-02 owasp-top-10-2025 a05-2025 +SCF:VPM-02 pci-dss-4.0.1 _11.3 +SCF:VPM-02 pci-dss-4.0.1 _11.3.1 +SCF:VPM-02 pci-dss-4.0.1 _11.3.1.1 +SCF:VPM-02 pci-dss-4.0.1 _11.3.1.2 +SCF:VPM-02 pci-dss-4.0.1 _11.3.1.3 +SCF:VPM-02 pci-dss-4.0.1 _11.3.2 +SCF:VPM-02 pci-dss-4.0.1 _11.3.2.1 +SCF:VPM-02 pci-dss-4.0.1 a3.3.1.2 +SCF:VPM-02 pci-dss-4.0.1-saq-a _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-a _11.3.2.1 +SCF:VPM-02 pci-dss-4.0.1-saq-a-ep _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-a-ep _11.3.2.1 +SCF:VPM-02 pci-dss-4.0.1-saq-b-ip _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-02 pci-dss-4.0.1-saq-c _11.3.1.3 +SCF:VPM-02 pci-dss-4.0.1-saq-c _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-c _11.3.2.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.1.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.1.2 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.1.3 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-d-merchant _11.3.2.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.1.1 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.1.2 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.1.3 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.2 +SCF:VPM-02 pci-dss-4.0.1-saq-d-service-provider _11.3.2.1 +SCF:VPM-03 nist-csf-function-grouping identify +SCF:VPM-03 csa-ccm-4.1.0 tvm-03 +SCF:VPM-03 csa-ccm-4.1.0 tvm-09 +SCF:VPM-03 csa-iot-scf-2 vln-04 +SCF:VPM-03 iso-27002-2022 _8.8 +SCF:VPM-03 iso-27018-2025 _8.8 +SCF:VPM-03 nist-800-171-r3 _03.11.02.a +SCF:VPM-03 nist-csf-2.0 id.ra-08 +SCF:VPM-03 owasp-top-10-2025 a05-2025 +SCF:VPM-03 pci-dss-4.0.1 _6.3.1 +SCF:VPM-03 pci-dss-4.0.1 _11.3 +SCF:VPM-03 pci-dss-4.0.1-saq-a _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-c _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:VPM-03 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:VPM-03.1 nist-csf-function-grouping protect +SCF:VPM-03.1 iso-sae-21434-2021 rq-08-05 +SCF:VPM-03.1 iso-sae-21434-2021 rq-08-06 +SCF:VPM-04 nist-csf-function-grouping protect +SCF:VPM-04 cis-csc-8.1 _7.0 +SCF:VPM-04 cis-csc-8.1 _7.7 +SCF:VPM-04 cis-csc-8.1 _12.1 +SCF:VPM-04 cis-csc-8.1 _18.3 +SCF:VPM-04 cis-csc-8.1-ig1 _12.1 +SCF:VPM-04 cis-csc-8.1-ig2 _7.7 +SCF:VPM-04 cis-csc-8.1-ig2 _12.1 +SCF:VPM-04 cis-csc-8.1-ig2 _18.3 +SCF:VPM-04 cis-csc-8.1-ig3 _7.7 +SCF:VPM-04 cis-csc-8.1-ig3 _12.1 +SCF:VPM-04 cis-csc-8.1-ig3 _18.3 +SCF:VPM-04 cobit-2019 dss06.04 +SCF:VPM-04 coso-2013 _17 +SCF:VPM-04 csa-ccm-4.1.0 tvm-08 +SCF:VPM-04 csa-ccm-4.1.0 tvm-10 +SCF:VPM-04 csa-iot-scf-2 cls-06 +SCF:VPM-04 csa-iot-scf-2 vln-03 +SCF:VPM-04 iso-sae-21434-2021 rq-08-07 +SCF:VPM-04 iso-sae-21434-2021 rq-08-07-a +SCF:VPM-04 iso-sae-21434-2021 rq-08-07-b +SCF:VPM-04 iso-sae-21434-2021 rq-08-08 +SCF:VPM-04 nist-800-53-r4 sc-18-1 +SCF:VPM-04 nist-800-53-r5 sc-18-01 +SCF:VPM-04 nist-800-53b-r5-privacy sc-18-01 +SCF:VPM-04 nist-800-82-r3 sc-18-01 +SCF:VPM-04 nist-800-171-r2 _3.11.3 +SCF:VPM-04 nist-800-171-r3 _03.11.02.b +SCF:VPM-04 nist-800-171-r3 _03.14.01.a +SCF:VPM-04 nist-800-171-r3 _03.14.01.b +SCF:VPM-04 nist-800-171a-r3 a.03.11.02.b +SCF:VPM-04 owasp-top-10-2025 a05-2025 +SCF:VPM-04 pci-dss-4.0.1 _6.3.3 +SCF:VPM-04 pci-dss-4.0.1 _11.3 +SCF:VPM-04 pci-dss-4.0.1-saq-a _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-a-ep _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-b-ip _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-c _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-c-vt _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-d-merchant _6.3.3 +SCF:VPM-04 pci-dss-4.0.1-saq-d-service-provider _6.3.3 +SCF:VPM-04.1 nist-csf-function-grouping identify +SCF:VPM-04.1 cis-csc-8.1 _12.1 +SCF:VPM-04.1 cis-csc-8.1-ig1 _12.1 +SCF:VPM-04.1 cis-csc-8.1-ig2 _12.1 +SCF:VPM-04.1 cis-csc-8.1-ig3 _12.1 +SCF:VPM-04.1 csa-iot-scf-2 cls-06 +SCF:VPM-04.2 nist-csf-function-grouping identify +SCF:VPM-04.3 nist-csf-function-grouping protect +SCF:VPM-04.3 iec-62443-2-1-2024 comp-3.5 +SCF:VPM-05 nist-csf-function-grouping protect +SCF:VPM-05 cis-csc-8.1 _7.3 +SCF:VPM-05 cis-csc-8.1 _7.4 +SCF:VPM-05 cis-csc-8.1 _12.1 +SCF:VPM-05 cis-csc-8.1 _18.3 +SCF:VPM-05 cis-csc-8.1-ig1 _7.3 +SCF:VPM-05 cis-csc-8.1-ig1 _7.4 +SCF:VPM-05 cis-csc-8.1-ig1 _12.1 +SCF:VPM-05 cis-csc-8.1-ig2 _7.3 +SCF:VPM-05 cis-csc-8.1-ig2 _7.4 +SCF:VPM-05 cis-csc-8.1-ig2 _12.1 +SCF:VPM-05 cis-csc-8.1-ig2 _18.3 +SCF:VPM-05 cis-csc-8.1-ig3 _7.3 +SCF:VPM-05 cis-csc-8.1-ig3 _7.4 +SCF:VPM-05 cis-csc-8.1-ig3 _12.1 +SCF:VPM-05 cis-csc-8.1-ig3 _18.3 +SCF:VPM-05 csa-iot-scf-2 ccm-07 +SCF:VPM-05 csa-iot-scf-2 cls-06 +SCF:VPM-05 csa-iot-scf-2 vln-01 +SCF:VPM-05 iso-27002-2022 _8.8 +SCF:VPM-05 iso-27017-2015 _12.6.1 +SCF:VPM-05 iso-27018-2025 _8.8 +SCF:VPM-05 nist-800-53-r4 si-2 +SCF:VPM-05 nist-800-53-r4 si-3-2 +SCF:VPM-05 nist-800-53-r5 si-02 +SCF:VPM-05 nist-800-53-r5 si-02-04 +SCF:VPM-05 nist-800-53-r5 si-03 +SCF:VPM-05 nist-800-53b-r5-privacy si-02 +SCF:VPM-05 nist-800-53b-r5-privacy si-02-04 +SCF:VPM-05 nist-800-53b-r5-privacy si-03 +SCF:VPM-05 nist-800-53b-r5-low si-02 +SCF:VPM-05 nist-800-53b-r5-low si-03 +SCF:VPM-05 nist-800-82-r3 si-02 +SCF:VPM-05 nist-800-82-r3 si-02-04 +SCF:VPM-05 nist-800-82-r3 si-03 +SCF:VPM-05 nist-800-82-r3-low-ot-overlay si-02 +SCF:VPM-05 nist-800-82-r3-low-ot-overlay si-03 +SCF:VPM-05 nist-800-82-r3-moderate-ot-overlay si-02 +SCF:VPM-05 nist-800-82-r3-moderate-ot-overlay si-03 +SCF:VPM-05 nist-800-82-r3-high-ot-overlay si-02 +SCF:VPM-05 nist-800-82-r3-high-ot-overlay si-03 +SCF:VPM-05 nist-800-161-r1 si-2 +SCF:VPM-05 nist-800-161-r1 si-3 +SCF:VPM-05 nist-800-161-r1-c-scrm-baseline si-2 +SCF:VPM-05 nist-800-161-r1-c-scrm-baseline si-3 +SCF:VPM-05 nist-800-161-r1-flow-down si-2 +SCF:VPM-05 nist-800-161-r1-flow-down si-3 +SCF:VPM-05 nist-800-161-r1-level-2 si-2 +SCF:VPM-05 nist-800-161-r1-level-2 si-3 +SCF:VPM-05 nist-800-161-r1-level-3 si-2 +SCF:VPM-05 nist-800-161-r1-level-3 si-3 +SCF:VPM-05 nist-800-171-r2 _3.11.3 +SCF:VPM-05 nist-800-171-r2 _3.14.1 +SCF:VPM-05 nist-800-171-r3 _03.11.02.b +SCF:VPM-05 nist-800-171-r3 _03.12.02.a.02 +SCF:VPM-05 nist-800-171-r3 _03.14.01.a +SCF:VPM-05 nist-800-171-r3 _03.14.01.b +SCF:VPM-05 nist-800-171a-r3 a.03.11.02.b +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.odp-01 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.odp-02 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.a-01 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.a-02 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.a-03 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.b-01 +SCF:VPM-05 nist-800-171a-r3 a.03.14.01.b-02 +SCF:VPM-05 nist-csf-2.0 pr.ps-02 +SCF:VPM-05 pci-dss-4.0.1 _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-a _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-a-ep _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-b-ip _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-c _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-c-vt _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-d-merchant _6.3.3 +SCF:VPM-05 pci-dss-4.0.1-saq-d-service-provider _6.3.3 +SCF:VPM-05.1 nist-csf-function-grouping protect +SCF:VPM-05.1 cis-csc-8.1 _7.4 +SCF:VPM-05.1 cis-csc-8.1-ig1 _7.4 +SCF:VPM-05.1 cis-csc-8.1-ig2 _7.4 +SCF:VPM-05.1 cis-csc-8.1-ig3 _7.4 +SCF:VPM-05.1 csa-ccm-4.1.0 tvm-11 +SCF:VPM-05.1 csa-iot-scf-2 ccm-06 +SCF:VPM-05.1 csa-iot-scf-2 ccm-07 +SCF:VPM-05.1 csa-iot-scf-2 cls-06 +SCF:VPM-05.1 csa-iot-scf-2 vln-01 +SCF:VPM-05.1 csa-iot-scf-2 vln-02 +SCF:VPM-05.1 nist-800-53-r4 si-2-1 +SCF:VPM-05.1 nist-800-53-r5 pl-09 +SCF:VPM-05.1 nist-800-53-r5 si-02-04 +SCF:VPM-05.1 nist-800-53b-r5-privacy pl-09 +SCF:VPM-05.1 nist-800-53b-r5-privacy si-02-04 +SCF:VPM-05.1 nist-800-82-r3 pl-09 +SCF:VPM-05.1 nist-800-82-r3 si-02-04 +SCF:VPM-05.1 nist-800-161-r1 pl-9 +SCF:VPM-05.1 nist-800-161-r1-level-1 pl-9 +SCF:VPM-05.1 nist-800-161-r1-level-2 pl-9 +SCF:VPM-05.1 pci-dss-4.0.1 _6.3 +SCF:VPM-05.1 pci-dss-4.0.1 _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1 _6.3.2 +SCF:VPM-05.1 pci-dss-4.0.1 _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1 _6.4 +SCF:VPM-05.1 pci-dss-4.0.1 _6.4.1 +SCF:VPM-05.1 pci-dss-4.0.1 _6.4.2 +SCF:VPM-05.1 pci-dss-4.0.1 _6.4.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a _6.4.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.3.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-a-ep _6.4.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-b-ip _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-b-ip _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-c _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-c _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-c-vt _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-c-vt _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.3.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-merchant _6.4.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.3.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.3.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.3.3 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:VPM-05.1 pci-dss-4.0.1-saq-d-service-provider _6.4.3 +SCF:VPM-05.2 nist-csf-function-grouping protect +SCF:VPM-05.2 cis-csc-8.1 _7.4 +SCF:VPM-05.2 cis-csc-8.1-ig1 _7.4 +SCF:VPM-05.2 cis-csc-8.1-ig2 _7.4 +SCF:VPM-05.2 cis-csc-8.1-ig3 _7.4 +SCF:VPM-05.2 iec-62443-2-1-2024 comp-3.3 +SCF:VPM-05.2 nist-800-53-r4 si-2-2 +SCF:VPM-05.2 nist-800-53-r5 si-02-02 +SCF:VPM-05.2 nist-800-53-r5 si-02-04 +SCF:VPM-05.2 nist-800-53b-r5-privacy si-02-04 +SCF:VPM-05.2 nist-800-53b-r5-moderate si-02-02 +SCF:VPM-05.2 nist-800-82-r3 si-02-02 +SCF:VPM-05.2 nist-800-82-r3 si-02-04 +SCF:VPM-05.2 nist-800-82-r3-moderate-ot-overlay si-02-02 +SCF:VPM-05.2 nist-800-82-r3-high-ot-overlay si-02-02 +SCF:VPM-05.3 nist-csf-function-grouping protect +SCF:VPM-05.3 nist-ai-600-1 ms-2.7-006 +SCF:VPM-05.3 nist-800-53-r4 si-2-3 +SCF:VPM-05.3 nist-800-53-r5 si-02-03 +SCF:VPM-05.3 nist-800-82-r3 si-02-03 +SCF:VPM-05.4 nist-csf-function-grouping protect +SCF:VPM-05.4 cis-csc-8.1 _7.4 +SCF:VPM-05.4 cis-csc-8.1-ig1 _7.4 +SCF:VPM-05.4 cis-csc-8.1-ig2 _7.4 +SCF:VPM-05.4 cis-csc-8.1-ig3 _7.4 +SCF:VPM-05.4 csa-iot-scf-2 ccm-07 +SCF:VPM-05.4 csa-iot-scf-2 cls-06 +SCF:VPM-05.4 csa-iot-scf-2 vln-03 +SCF:VPM-05.4 nist-800-53-r4 si-2-5 +SCF:VPM-05.4 nist-800-53-r5 si-02-04 +SCF:VPM-05.4 nist-800-53-r5 si-02-05 +SCF:VPM-05.4 nist-800-53b-r5-privacy si-02-04 +SCF:VPM-05.4 nist-800-82-r3 si-02-04 +SCF:VPM-05.4 nist-800-82-r3 si-02-05 +SCF:VPM-05.4 nist-800-161-r1 si-2-5 +SCF:VPM-05.4 nist-800-161-r1-level-2 si-2-5 +SCF:VPM-05.5 nist-csf-function-grouping protect +SCF:VPM-05.5 nist-800-53-r4 si-2-6 +SCF:VPM-05.5 nist-800-53-r5 si-02-06 +SCF:VPM-05.5 nist-800-82-r3 si-02-06 +SCF:VPM-05.6 nist-csf-function-grouping protect +SCF:VPM-05.6 iec-62443-2-1-2024 comp-3.2 +SCF:VPM-05.6 iec-62443-2-1-2024 comp-3.4 +SCF:VPM-05.7 nist-csf-function-grouping protect +SCF:VPM-05.8 nist-csf-function-grouping protect +SCF:VPM-05.8 iec-62443-2-1-2024 comp-3.1 +SCF:VPM-06 nist-csf-function-grouping detect +SCF:VPM-06 cis-csc-8.1 _7.5 +SCF:VPM-06 cis-csc-8.1 _7.6 +SCF:VPM-06 cis-csc-8.1-ig2 _7.5 +SCF:VPM-06 cis-csc-8.1-ig2 _7.6 +SCF:VPM-06 cis-csc-8.1-ig3 _7.5 +SCF:VPM-06 cis-csc-8.1-ig3 _7.6 +SCF:VPM-06 cobit-2019 dss05.07 +SCF:VPM-06 csa-iot-scf-2 vln-04 +SCF:VPM-06 iec-62443-2-1-2024 org-2.2-c +SCF:VPM-06 iso-27002-2022 _8.8 +SCF:VPM-06 iso-27018-2025 _8.8 +SCF:VPM-06 nist-ai-600-1 ms-2.6-007 +SCF:VPM-06 nist-800-53-r4 ra-5 +SCF:VPM-06 nist-800-53-r5 ra-05 +SCF:VPM-06 nist-800-53b-r5-privacy ra-05 +SCF:VPM-06 nist-800-53b-r5-low ra-05 +SCF:VPM-06 nist-800-82-r3 ra-05 +SCF:VPM-06 nist-800-82-r3-low-ot-overlay ra-05 +SCF:VPM-06 nist-800-82-r3-moderate-ot-overlay ra-05 +SCF:VPM-06 nist-800-82-r3-high-ot-overlay ra-05 +SCF:VPM-06 nist-800-161-r1 ra-5 +SCF:VPM-06 nist-800-161-r1-c-scrm-baseline ra-5 +SCF:VPM-06 nist-800-161-r1-flow-down ra-5 +SCF:VPM-06 nist-800-161-r1-level-2 ra-5 +SCF:VPM-06 nist-800-161-r1-level-3 ra-5 +SCF:VPM-06 nist-800-171-r2 _3.11.2 +SCF:VPM-06 nist-800-171-r3 _03.11.02.a +SCF:VPM-06 nist-800-171a _3.11.2-a +SCF:VPM-06 nist-800-171a _3.11.2-b +SCF:VPM-06 nist-800-171a _3.11.2-c +SCF:VPM-06 nist-800-171a _3.11.2-d +SCF:VPM-06 nist-800-171a _3.11.2-e +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.odp-01 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.odp-02 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.odp-04 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.a-01 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.a-02 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.a-03 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.a-04 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.c-01 +SCF:VPM-06 nist-800-171a-r3 a.03.11.02.c-02 +SCF:VPM-06 nist-csf-2.0 id.ra-01 +SCF:VPM-06 owasp-top-10-2025 a05-2025 +SCF:VPM-06 pci-dss-4.0.1 _6.4.1 +SCF:VPM-06 pci-dss-4.0.1 _11.3 +SCF:VPM-06 pci-dss-4.0.1 _11.3.1 +SCF:VPM-06 pci-dss-4.0.1 _11.3.1.1 +SCF:VPM-06 pci-dss-4.0.1 _11.3.1.2 +SCF:VPM-06 pci-dss-4.0.1 _11.3.1.3 +SCF:VPM-06 pci-dss-4.0.1 _11.3.2 +SCF:VPM-06 pci-dss-4.0.1 _11.3.2.1 +SCF:VPM-06 pci-dss-4.0.1-saq-a _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-a _11.3.2.1 +SCF:VPM-06 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:VPM-06 pci-dss-4.0.1-saq-a-ep _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-a-ep _11.3.2.1 +SCF:VPM-06 pci-dss-4.0.1-saq-b-ip _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-06 pci-dss-4.0.1-saq-c _11.3.1.3 +SCF:VPM-06 pci-dss-4.0.1-saq-c _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-c _11.3.2.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.1.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.1.2 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.1.3 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-d-merchant _11.3.2.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.1.1 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.1.2 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.1.3 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.2 +SCF:VPM-06 pci-dss-4.0.1-saq-d-service-provider _11.3.2.1 +SCF:VPM-06.1 nist-csf-function-grouping protect +SCF:VPM-06.1 csa-ccm-4.1.0 tvm-05 +SCF:VPM-06.1 csa-ccm-4.1.0 tvm-06 +SCF:VPM-06.1 nist-800-53-r4 ra-5-1 +SCF:VPM-06.1 nist-800-53-r4 ra-5-2 +SCF:VPM-06.1 nist-800-53-r5 ra-05 +SCF:VPM-06.1 nist-800-53-r5 ra-05-02 +SCF:VPM-06.1 nist-800-53b-r5-privacy ra-05 +SCF:VPM-06.1 nist-800-53b-r5-low ra-05 +SCF:VPM-06.1 nist-800-53b-r5-low ra-05-02 +SCF:VPM-06.1 nist-800-82-r3 ra-05 +SCF:VPM-06.1 nist-800-82-r3 ra-05-02 +SCF:VPM-06.1 nist-800-82-r3-low-ot-overlay ra-05 +SCF:VPM-06.1 nist-800-82-r3-low-ot-overlay ra-05-02 +SCF:VPM-06.1 nist-800-82-r3-moderate-ot-overlay ra-05 +SCF:VPM-06.1 nist-800-82-r3-moderate-ot-overlay ra-05-02 +SCF:VPM-06.1 nist-800-82-r3-high-ot-overlay ra-05 +SCF:VPM-06.1 nist-800-82-r3-high-ot-overlay ra-05-02 +SCF:VPM-06.1 nist-800-161-r1 ra-5 +SCF:VPM-06.1 nist-800-161-r1-c-scrm-baseline ra-5 +SCF:VPM-06.1 nist-800-161-r1-flow-down ra-5 +SCF:VPM-06.1 nist-800-161-r1-level-2 ra-5 +SCF:VPM-06.1 nist-800-161-r1-level-3 ra-5 +SCF:VPM-06.1 nist-800-171-r2 nfo-ra-5-1 +SCF:VPM-06.1 nist-800-171-r2 nfo-ra-5-2 +SCF:VPM-06.1 nist-800-171-r3 _03.11.02.c +SCF:VPM-06.1 nist-800-171a-r3 a.03.11.02.odp-04 +SCF:VPM-06.1 nist-800-171a-r3 a.03.11.02.c-01 +SCF:VPM-06.1 nist-800-171a-r3 a.03.11.02.c-02 +SCF:VPM-06.1 pci-dss-4.0.1 _11.3.1 +SCF:VPM-06.1 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-06.1 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-06.1 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-06.2 nist-csf-function-grouping protect +SCF:VPM-06.2 csa-iot-scf-2 vln-04 +SCF:VPM-06.2 nist-800-53-r4 ra-5-3 +SCF:VPM-06.2 nist-800-53-r5 ra-05-03 +SCF:VPM-06.2 nist-800-82-r3 ra-05-03 +SCF:VPM-06.2 nist-800-161-r1 ra-5-3 +SCF:VPM-06.2 nist-800-161-r1-level-2 ra-5-3 +SCF:VPM-06.2 nist-800-161-r1-level-3 ra-5-3 +SCF:VPM-06.2 pci-dss-4.0.1 _11.3.1 +SCF:VPM-06.2 pci-dss-4.0.1 _11.3.2.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-a _11.3.2.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-a-ep _11.3.2.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-c _11.3.2.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-d-merchant _11.3.2.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-06.2 pci-dss-4.0.1-saq-d-service-provider _11.3.2.1 +SCF:VPM-06.3 nist-csf-function-grouping protect +SCF:VPM-06.3 csa-ccm-4.1.0 iam-09 +SCF:VPM-06.3 nist-800-53-r4 ra-5-5 +SCF:VPM-06.3 nist-800-53-r5 ra-05-05 +SCF:VPM-06.3 nist-800-53b-r5-moderate ra-05-05 +SCF:VPM-06.3 nist-800-82-r3 ra-05-05 +SCF:VPM-06.3 nist-800-82-r3-moderate-ot-overlay ra-05-05 +SCF:VPM-06.3 nist-800-82-r3-high-ot-overlay ra-05-05 +SCF:VPM-06.3 nist-800-160-vol2-r1 ra-05-05 +SCF:VPM-06.3 nist-800-171-r2 _3.11.2 +SCF:VPM-06.4 nist-csf-function-grouping identify +SCF:VPM-06.4 nist-800-53-r4 ra-5-6 +SCF:VPM-06.4 nist-800-53-r5 ra-05-06 +SCF:VPM-06.4 nist-800-82-r3 ra-05-06 +SCF:VPM-06.4 nist-800-160-vol2-r1 ra-05-06 +SCF:VPM-06.4 nist-800-161-r1 ra-5-6 +SCF:VPM-06.4 nist-800-161-r1-level-2 ra-5-6 +SCF:VPM-06.4 nist-800-161-r1-level-3 ra-5-6 +SCF:VPM-06.5 nist-csf-function-grouping detect +SCF:VPM-06.5 nist-800-53-r4 ra-5-8 +SCF:VPM-06.5 nist-800-53-r5 ra-05-08 +SCF:VPM-06.5 nist-800-82-r3 ra-05-08 +SCF:VPM-06.5 nist-800-160-vol2-r1 ra-05-08 +SCF:VPM-06.6 nist-csf-function-grouping detect +SCF:VPM-06.6 cis-csc-8.1 _7.6 +SCF:VPM-06.6 cis-csc-8.1-ig2 _7.6 +SCF:VPM-06.6 cis-csc-8.1-ig3 _7.6 +SCF:VPM-06.6 pci-dss-4.0.1 _6.4.1 +SCF:VPM-06.6 pci-dss-4.0.1 _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1 _11.3.2.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-a _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-a _11.3.2.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-a-ep _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-a-ep _11.3.2.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-b-ip _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-c _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-c _11.3.2.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-merchant _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-merchant _11.3.2.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-service-provider _11.3.2 +SCF:VPM-06.6 pci-dss-4.0.1-saq-d-service-provider _11.3.2.1 +SCF:VPM-06.7 nist-csf-function-grouping detect +SCF:VPM-06.7 cis-csc-8.1 _7.5 +SCF:VPM-06.7 cis-csc-8.1-ig2 _7.5 +SCF:VPM-06.7 cis-csc-8.1-ig3 _7.5 +SCF:VPM-06.7 pci-dss-4.0.1 _11.3.1 +SCF:VPM-06.7 pci-dss-4.0.1 _11.3.1.2 +SCF:VPM-06.7 pci-dss-4.0.1 _11.3.1.3 +SCF:VPM-06.7 pci-dss-4.0.1-saq-c _11.3.1 +SCF:VPM-06.7 pci-dss-4.0.1-saq-c _11.3.1.3 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-merchant _11.3.1 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-merchant _11.3.1.2 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-merchant _11.3.1.3 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-service-provider _11.3.1 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-service-provider _11.3.1.2 +SCF:VPM-06.7 pci-dss-4.0.1-saq-d-service-provider _11.3.1.3 +SCF:VPM-06.8 nist-csf-function-grouping protect +SCF:VPM-06.8 nist-800-53-r4 ra-5-4 +SCF:VPM-06.8 nist-800-53-r5 ra-05-04 +SCF:VPM-06.8 nist-800-53b-r5-high ra-05-04 +SCF:VPM-06.8 nist-800-82-r3 ra-05-04 +SCF:VPM-06.8 nist-800-82-r3-high-ot-overlay ra-05-04 +SCF:VPM-06.8 nist-800-160-vol2-r1 ra-05-04 +SCF:VPM-06.8 pci-dss-4.0.1 _1.4.5 +SCF:VPM-06.8 pci-dss-4.0.1-saq-a-ep _1.4.5 +SCF:VPM-06.8 pci-dss-4.0.1-saq-d-merchant _1.4.5 +SCF:VPM-06.8 pci-dss-4.0.1-saq-d-service-provider _1.4.5 +SCF:VPM-06.9 nist-csf-function-grouping detect +SCF:VPM-06.9 nist-800-53-r4 ra-5-10 +SCF:VPM-06.9 nist-800-53-r5 ra-05-10 +SCF:VPM-06.9 nist-800-82-r3 ra-05-10 +SCF:VPM-06.9 nist-800-160-vol2-r1 ra-05-10 +SCF:VPM-07 nist-csf-function-grouping detect +SCF:VPM-07 cis-csc-8.1 _18.0 +SCF:VPM-07 cis-csc-8.1 _18.1 +SCF:VPM-07 cis-csc-8.1 _18.2 +SCF:VPM-07 cis-csc-8.1 _18.5 +SCF:VPM-07 cis-csc-8.1-ig2 _18.1 +SCF:VPM-07 cis-csc-8.1-ig2 _18.2 +SCF:VPM-07 cis-csc-8.1-ig3 _18.1 +SCF:VPM-07 cis-csc-8.1-ig3 _18.2 +SCF:VPM-07 cis-csc-8.1-ig3 _18.5 +SCF:VPM-07 csa-ccm-4.1.0 tvm-07 +SCF:VPM-07 csa-iot-scf-2 set-02 +SCF:VPM-07 csa-iot-scf-2 set-04 +SCF:VPM-07 nist-800-53-r4 ca-8 +SCF:VPM-07 nist-800-53-r5 ca-08 +SCF:VPM-07 nist-800-53-r5 sa-11-05 +SCF:VPM-07 nist-800-53b-r5-privacy sa-11-05 +SCF:VPM-07 nist-800-53b-r5-high ca-08 +SCF:VPM-07 nist-800-82-r3 ca-08 +SCF:VPM-07 nist-800-82-r3 sa-11-05 +SCF:VPM-07 nist-800-82-r3-high-ot-overlay ca-08 +SCF:VPM-07 nist-800-160-vol2-r1 ca-08 +SCF:VPM-07 nist-800-160-vol2-r1 sa-11-05 +SCF:VPM-07 nist-800-172 _3.12.1e +SCF:VPM-07 pci-dss-4.0.1 _11.4 +SCF:VPM-07 pci-dss-4.0.1 _11.4.1 +SCF:VPM-07 pci-dss-4.0.1 _11.4.2 +SCF:VPM-07 pci-dss-4.0.1 _11.4.3 +SCF:VPM-07 pci-dss-4.0.1 _11.4.4 +SCF:VPM-07 pci-dss-4.0.1 _11.4.5 +SCF:VPM-07 pci-dss-4.0.1 _11.4.6 +SCF:VPM-07 pci-dss-4.0.1 _11.4.7 +SCF:VPM-07 pci-dss-4.0.1 a3.2.4 +SCF:VPM-07 pci-dss-4.0.1-saq-a-ep _11.4.1 +SCF:VPM-07 pci-dss-4.0.1-saq-a-ep _11.4.3 +SCF:VPM-07 pci-dss-4.0.1-saq-a-ep _11.4.4 +SCF:VPM-07 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:VPM-07 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:VPM-07 pci-dss-4.0.1-saq-c _11.4.5 +SCF:VPM-07 pci-dss-4.0.1-saq-d-merchant _11.4.1 +SCF:VPM-07 pci-dss-4.0.1-saq-d-merchant _11.4.2 +SCF:VPM-07 pci-dss-4.0.1-saq-d-merchant _11.4.3 +SCF:VPM-07 pci-dss-4.0.1-saq-d-merchant _11.4.4 +SCF:VPM-07 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.1 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.2 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.3 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.4 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:VPM-07 pci-dss-4.0.1-saq-d-service-provider _11.4.7 +SCF:VPM-07.1 nist-csf-function-grouping detect +SCF:VPM-07.1 csa-iot-scf-2 set-02 +SCF:VPM-07.1 csa-iot-scf-2 set-03 +SCF:VPM-07.1 csa-iot-scf-2 set-04 +SCF:VPM-07.1 nist-800-53-r4 ca-8-1 +SCF:VPM-07.1 nist-800-53-r5 ca-08-01 +SCF:VPM-07.1 nist-800-53b-r5-high ca-08-01 +SCF:VPM-07.1 nist-800-82-r3 ca-08-01 +SCF:VPM-07.1 nist-800-160-vol2-r1 ca-08-01 +SCF:VPM-07.1 pci-dss-4.0.1 _11.4.1 +SCF:VPM-07.1 pci-dss-4.0.1 _11.4.2 +SCF:VPM-07.1 pci-dss-4.0.1 _11.4.3 +SCF:VPM-07.1 pci-dss-4.0.1 _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1 _11.4.6 +SCF:VPM-07.1 pci-dss-4.0.1-saq-a-ep _11.4.1 +SCF:VPM-07.1 pci-dss-4.0.1-saq-a-ep _11.4.3 +SCF:VPM-07.1 pci-dss-4.0.1-saq-a-ep _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1-saq-b-ip _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1-saq-c _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-merchant _11.4.1 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-merchant _11.4.2 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-merchant _11.4.3 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-merchant _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-service-provider _11.4.1 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-service-provider _11.4.2 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-service-provider _11.4.3 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-service-provider _11.4.5 +SCF:VPM-07.1 pci-dss-4.0.1-saq-d-service-provider _11.4.6 +SCF:VPM-08 nist-csf-function-grouping detect +SCF:VPM-08 csa-iot-scf-2 sws-06 +SCF:VPM-08 nist-800-53-r4 ra-6 +SCF:VPM-08 nist-800-53-r5 ra-06 +SCF:VPM-08 nist-800-82-r3 ra-06 +SCF:VPM-09 nist-csf-function-grouping detect +SCF:VPM-10 nist-csf-function-grouping detect +SCF:VPM-10 csa-iot-scf-2 set-03 +SCF:VPM-10 nist-ai-600-1 mp-5.1-005 +SCF:VPM-10 nist-ai-600-1 ms-1.1-008 +SCF:VPM-10 nist-ai-600-1 ms-1.3-002 +SCF:VPM-10 nist-ai-600-1 ms-2.7-007 +SCF:VPM-10 nist-ai-600-1 ms-2.10-001 +SCF:VPM-10 nist-800-53-r4 ca-8-2 +SCF:VPM-10 nist-800-53-r5 ca-08-02 +SCF:VPM-10 nist-800-82-r3 ca-08-02 +SCF:VPM-10 nist-800-160-vol2-r1 ca-08-02 +SCF:WEB-01 nist-csf-function-grouping govern +SCF:WEB-01 nist-800-171-r2 _3.1.22 +SCF:WEB-01 nist-800-171-r3 _03.01.22.a +SCF:WEB-01 pci-dss-4.0.1 _6.4 +SCF:WEB-01 pci-dss-4.0.1 _6.4.1 +SCF:WEB-01 pci-dss-4.0.1 _6.4.2 +SCF:WEB-01 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:WEB-01 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:WEB-01 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:WEB-01 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:WEB-01 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:WEB-01 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:WEB-01.1 nist-csf-function-grouping protect +SCF:WEB-01.1 pci-dss-4.0.1 _6.4.3 +SCF:WEB-01.1 pci-dss-4.0.1-saq-a _6.4.3 +SCF:WEB-01.1 pci-dss-4.0.1-saq-a-ep _6.4.3 +SCF:WEB-01.1 pci-dss-4.0.1-saq-d-merchant _6.4.3 +SCF:WEB-01.1 pci-dss-4.0.1-saq-d-service-provider _6.4.3 +SCF:WEB-02 nist-csf-function-grouping protect +SCF:WEB-02 iso-27002-2022 _8.22 +SCF:WEB-02 iso-27017-2015 _13.1.3 +SCF:WEB-02 iso-27018-2025 _8.22 +SCF:WEB-02 nist-800-171-r2 _3.1.22 +SCF:WEB-02 nist-800-171a _3.1.22-a +SCF:WEB-02 nist-800-171a _3.1.22-b +SCF:WEB-02 nist-800-171a _3.1.22-c +SCF:WEB-02 nist-800-171a _3.1.22-d +SCF:WEB-02 nist-800-171a _3.1.22-e +SCF:WEB-03 nist-csf-function-grouping protect +SCF:WEB-03 cis-csc-8.1 _4.4 +SCF:WEB-03 cis-csc-8.1 _13.1 +SCF:WEB-03 cis-csc-8.1-ig1 _4.4 +SCF:WEB-03 cis-csc-8.1-ig2 _4.4 +SCF:WEB-03 cis-csc-8.1-ig3 _4.4 +SCF:WEB-03 cis-csc-8.1-ig3 _13.1 +SCF:WEB-03 nist-800-53-r4 sc-7-17 +SCF:WEB-03 nist-800-53-r5 sc-07-17 +SCF:WEB-03 nist-800-82-r3 sc-07-17 +SCF:WEB-03 pci-dss-4.0.1 _6.4 +SCF:WEB-03 pci-dss-4.0.1 _6.4.1 +SCF:WEB-03 pci-dss-4.0.1 _6.4.2 +SCF:WEB-03 pci-dss-4.0.1-saq-a-ep _6.4.1 +SCF:WEB-03 pci-dss-4.0.1-saq-a-ep _6.4.2 +SCF:WEB-03 pci-dss-4.0.1-saq-d-merchant _6.4.1 +SCF:WEB-03 pci-dss-4.0.1-saq-d-merchant _6.4.2 +SCF:WEB-03 pci-dss-4.0.1-saq-d-service-provider _6.4.1 +SCF:WEB-03 pci-dss-4.0.1-saq-d-service-provider _6.4.2 +SCF:WEB-04 nist-csf-function-grouping protect +SCF:WEB-04 nist-800-171-r2 _3.1.22 +SCF:WEB-04 nist-800-171a _3.1.22-a +SCF:WEB-04 nist-800-171a _3.1.22-b +SCF:WEB-04 nist-800-171a _3.1.22-c +SCF:WEB-04 nist-800-171a _3.1.22-d +SCF:WEB-04 nist-800-171a _3.1.22-e +SCF:WEB-05 nist-csf-function-grouping identify +SCF:WEB-06 nist-csf-function-grouping protect +SCF:WEB-06 csa-ccm-4.1.0 iam-01 +SCF:WEB-06 csa-ccm-4.1.0 iam-13 +SCF:WEB-06 csa-ccm-4.1.0 iam-14 +SCF:WEB-06 pci-dss-4.0.1 _8.3.10 +SCF:WEB-06 pci-dss-4.0.1-saq-d-service-provider _8.3.10 +SCF:WEB-07 nist-csf-function-grouping protect +SCF:WEB-07 cis-csc-8.1 _16.0 +SCF:WEB-07 cis-csc-8.1 _16.1 +SCF:WEB-07 cis-csc-8.1 _16.7 +SCF:WEB-07 cis-csc-8.1-ig2 _16.1 +SCF:WEB-07 cis-csc-8.1-ig2 _16.7 +SCF:WEB-07 cis-csc-8.1-ig3 _16.1 +SCF:WEB-07 cis-csc-8.1-ig3 _16.7 +SCF:WEB-08 nist-csf-function-grouping protect +SCF:WEB-08 cis-csc-8.1 _16.0 +SCF:WEB-08 cis-csc-8.1 _16.1 +SCF:WEB-08 cis-csc-8.1-ig2 _16.1 +SCF:WEB-08 cis-csc-8.1-ig3 _16.1 +SCF:WEB-09 nist-csf-function-grouping protect +SCF:WEB-10 nist-csf-function-grouping protect +SCF:WEB-10 pci-dss-4.0.1 a2.1 +SCF:WEB-10 pci-dss-4.0.1 a2.1.1 +SCF:WEB-10 pci-dss-4.0.1 a2.1.2 +SCF:WEB-10 pci-dss-4.0.1-saq-b-ip a2.1.1 +SCF:WEB-10 pci-dss-4.0.1-saq-c a2.1.1 +SCF:WEB-10 pci-dss-4.0.1-saq-d-merchant a2.1.1 +SCF:WEB-10 pci-dss-4.0.1-saq-d-service-provider a2.1.1 +SCF:WEB-10 pci-dss-4.0.1-saq-d-service-provider a2.1.2 +SCF:WEB-11 nist-csf-function-grouping protect +SCF:WEB-12 nist-csf-function-grouping protect +SCF:WEB-13 nist-csf-function-grouping detect +SCF:WEB-13 pci-dss-4.0.1 _11.6 +SCF:WEB-13 pci-dss-4.0.1 _11.6.1 +SCF:WEB-13 pci-dss-4.0.1-saq-a _11.6.1 +SCF:WEB-13 pci-dss-4.0.1-saq-a-ep _11.6.1 +SCF:WEB-13 pci-dss-4.0.1-saq-d-merchant _11.6.1 +SCF:WEB-13 pci-dss-4.0.1-saq-d-service-provider _11.6.1 +SCF:WEB-14 nist-csf-function-grouping identify +SCF:WEB-14 nist-800-171-r3 _03.01.22.b +\. + + +ALTER TABLE public.mapped_controls ENABLE TRIGGER ALL; + +-- +-- Data for Name: policies; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.policies DISABLE TRIGGER ALL; + +COPY public.policies (id, rego, title, predicate_type, description, organization_id, opaque_id) FROM stdin; +80be5e32-2e7a-4b0a-8ac3-4fb672923304 # METADATA\n# title: Build from signed source\n# custom:\n# description: This policy checks if the build was done from a signed commit.\n# priority: 0\n# predicateType: https://slsa.dev/provenance/v1\n# relatedResources: []\n# tags:\n# - ISO 27001\n# - A.8 Access Control\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# Match SSH signature\ncompliant if {\n input.predicateType == "https://slsa.dev/provenance/v1"\n sig := input.predicate.buildDefinition.externalParameters.signature\n sig != ""\n is_ssh_signature(sig)\n}\n\n# Match GPG signature\ncompliant if {\n input.predicateType == "https://slsa.dev/provenance/v1"\n sig := input.predicate.buildDefinition.externalParameters.signature\n sig != ""\n is_gpg_signature(sig)\n}\n\nis_ssh_signature(sig) if {\n startswith(sig, "-----BEGIN SSH SIGNATURE-----")\n endswith(sig, "-----END SSH SIGNATURE-----\\n")\n}\n\nis_gpg_signature(sig) if {\n startswith(sig, "-----BEGIN PGP SIGNATURE-----")\n endswith(sig, "-----END PGP SIGNATURE-----\\n")\n} Build from signed source https://slsa.dev/provenance/v1 This policy checks if the build was done from a signed commit. \N build_from_signed_source.rego +b5753dea-e063-49f1-980f-4923a4a92f06 # METADATA\n# title: Author and commiter email is from organization\n# custom:\n# description: This policy checks if the commit is authored and committed with an email address from the organization.\n# priority: 1\n# predicateType: https://slsa.dev/provenance/v1\n# relatedResources: []\n# tags:\n# - Legal\n# complianceFrameworks: []\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\ncompliant if {\n\tinput.predicateType == "https://slsa.dev/provenance/v1"\n\n\tauthor_email := input.predicate.buildDefinition.externalParameters.authoremail\n author_email != ""\n\n committer_email := input.predicate.buildDefinition.externalParameters.committeremail\n committer_email != ""\n\n # Match a valid email format\n regex.match(`^[^@<>\\s]+@[^@<>\\s]+\\.[^@<>\\s]+$`, author_email)\n regex.match(`^[^@<>\\s]+@[^@<>\\s]+\\.[^@<>\\s]+$`, committer_email)\n\n # Replace 'l3montree.com' with your actual organization domain\n author_domain := split(author_email, "@")[1]\n author_domain == "l3montree.com"\n\n committer_domain := split(committer_email, "@")[1]\n committer_domain == "l3montree.com"\n\n author_domain == committer_domain\n}\n Author and commiter email is from organization https://slsa.dev/provenance/v1 This policy checks if the commit is authored and committed with an email address from the organization. \N author_committer_email_is_from_org.rego +ae742933-f837-4702-b03a-c1fc27e33f83 # METADATA\n# title: Branch protection enabled\n# custom:\n# description: This policy checks if branch protection is enabled for the default branch.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.8.4 Access to source code\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Branch protection enabled https://in-toto.io/attestation/test-result/v0.1 This policy checks if branch protection is enabled for the default branch. \N branch_protection_enabled.rego +83547682-73da-4c2a-bf9f-be4b534f5520 # METADATA\n# title: CI Image has digest set\n# custom:\n# description: This policy checks if the CI image has a digest set.\n# priority: 1\n# predicateType: https://slsa.dev/provenance/v1\n# relatedResources: []\n# tags:\n# - GitLab CI\n# - Legal\n# complianceFrameworks: []\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\ncompliant if {\n\tinput.predicateType == "https://slsa.dev/provenance/v1"\n\n\t# @sha256:<64-hex-chars>\n\tjob_image := input.predicate.buildDefinition.externalParameters.jobimage\n\tjob_image != ""\n\tregex.match(`@sha256:[a-fA-F0-9]{64}$`, job_image)\n\n\tci_var_job_image := input.predicate.buildDefinition.externalParameters.variables.CI_JOB_IMAGE\n\tci_var_job_image != ""\n\tregex.match(`@sha256:[a-fA-F0-9]{64}$`, ci_var_job_image)\n}\n CI Image has digest set https://slsa.dev/provenance/v1 This policy checks if the CI image has a digest set. \N ci_image_has_digest_set.rego +79192a9b-3a74-4706-a3cc-561a7bcc071c # METADATA\n# title: CIA requirements set for asset\n# custom:\n# description: This policy checks if the CIA (Confidentiality, Integrity, Availability) requirements are set in DevGuard for the asset.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.5.12 Classification of Information\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n CIA requirements set for asset https://in-toto.io/attestation/test-result/v0.1 This policy checks if the CIA (Confidentiality, Integrity, Availability) requirements are set in DevGuard for the asset. \N cia_requirements_set_for_asset.rego +fc0a5fce-9b9d-435c-870e-e72698551fb3 # METADATA\n# title: Code review for changes on default branch\n# custom:\n# description: This policy checks if code review is performed for changes on the default branch.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.8.4 Access to source code\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Code review for changes on default branch https://in-toto.io/attestation/test-result/v0.1 This policy checks if code review is performed for changes on the default branch. \N code_review_for_changes_on_default_branch.rego +da00a461-6946-468f-b6e7-d15785eb4a89 # METADATA\n# title: Container scanning executed\n# custom:\n# description: This policy checks if container scanning was executed.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.5.7 Threat intelligence\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Container scanning executed https://in-toto.io/attestation/test-result/v0.1 This policy checks if container scanning was executed. \N container_scanning_executed.rego +d0b4a65a-68c6-4282-beba-b0a00e4d201c # METADATA\n# title: Current SBOM is present\n# custom:\n# description: This policy checks if a current SBOM (not older than one month) is present.\n# priority: 1\n# predicateType: https://cyclonedx.org/bom\n# relatedResources: []\n# tags:\n# - ISO 27001\n# - A.5.7 Threat intelligence\n# - A.5.9 Inventory of information and other associated assets\n# - A.8.8 Management of technical vulnerabilities\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\ncompliant if {\n\t# Parse the timestamp from the SBOM metadata\n\tsbom_time := time.parse_rfc3339_ns(input.metadata.timestamp)\n\n\t# Get current time in nanoseconds\n\tnow := time.now_ns()\n\n\t# One month in nanoseconds (~30 days)\n\tone_month_ns := (((30 * 24) * 60) * 60) * 1000000000\n\n\t# SBOM must be no older than one month\n\tnow - sbom_time <= one_month_ns\n}\n Current SBOM is present https://cyclonedx.org/bom This policy checks if a current SBOM (not older than one month) is present. \N current_sbom_is_present.rego +72ec5bc1-fab0-429b-b50c-6577fd402679 # METADATA\n# title: Notification channel for new vulnerabilities\n# custom:\n# description: This policy checks if a notification channel is configured for new vulnerabilities.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.8.8 Management of technical vulnerabilities\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Notification channel for new vulnerabilities https://in-toto.io/attestation/test-result/v0.1 This policy checks if a notification channel is configured for new vulnerabilities. \N notification_channel_for_new_vulnerabilities.rego +cdb5f06f-b5c8-4ed2-9044-a1f9ce1e1b7a # METADATA\n# title: Only OSI approved licenses\n# custom:\n# description: This policy checks if there is no violation against the license allow list.\n# priority: 1\n# predicateType: https://cyclonedx.org/bom\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.5.32 Intellectual property rights\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n#\n# extracted from opensource.org/licenses\n# using script (just paste it into the JavaScript browser console):\n\n# const elements = document.querySelectorAll(".license-table--spdx")\n\n# const licenses = []\n# elements.forEach(el => {\n# const licenseSpdxIdentifier = el.innerText.trim()\n# if (Boolean(licenseSpdxIdentifier)) {\n# licenses.push(el.innerText)\n# }\n# })\n#\n# licenses\n\nosi_approved_licenses = {\n\t"BSD-1-Clause",\n\t"AFL-3.0",\n\t"APL-1.0",\n\t"Apache-2.0",\n\t"Apache-1.1",\n\t"APSL-2.0",\n\t"Artistic-1.0-Perl",\n\t"Artistic-1.0",\n\t"Artistic-2.0",\n\t"AAL",\n\t"BlueOak-1.0.0",\n\t"BSL-1.0",\n\t"BSD-2-Clause-Patent",\n\t"CECILL-2.1",\n\t"CERN-OHL-P-2.0",\n\t"CERN-OHL-S-2.0",\n\t"CERN-OHL-W-2.0",\n\t"MIT-CMU",\n\t"CDDL-1.0",\n\t"CPAL-1.0",\n\t"CPL-1.0",\n\t"CATOSL-1.1",\n\t"CAL-1.0",\n\t"CUA-OPL-1.0",\n\t"EPL-1.0",\n\t"EPL-2.0",\n\t"eCos-2.0",\n\t"ECL-1.0",\n\t"ECL-2.0",\n\t"EFL-1.0",\n\t"EFL-2.0",\n\t"Entessa",\n\t"EUDatagrid",\n\t"EUPL-1.2",\n\t"Fair",\n\t"Frameworx-1.0",\n\t"AGPL-3.0-only",\n\t"GPL-2.0",\n\t"GPL-3.0-only",\n\t"LGPL-2.1",\n\t"LGPL-3.0-only",\n\t"LGPL-2.0-only",\n\t"HPND",\n\t"IPL-1.0",\n\t"ICU",\n\t"Intel",\n\t"IPA",\n\t"ISC",\n\t"Jam",\n\t"LPPL-1.3c",\n\t"BSD-3-Clause-LBNL",\n\t"LiLiQ-P-1.1",\n\t"LiLiQ-Rplus-1.1",\n\t"LiLiQ-R-1.1",\n\t"LPL-1.02",\n\t"LPL-1.0",\n\t"MS-PL",\n\t"MS-RL",\n\t"MirOS",\n\t"MIT-0",\n\t"Motosoto",\n\t"MPL-1.1",\n\t"MPL-2.0",\n\t"MPL-1.0",\n\t"MulanPSL-2.0",\n\t"Multics",\n\t"NASA-1.3",\n\t"Naumen",\n\t"NOKIA",\n\t"NPOSL-3.0",\n\t"NTP",\n\t"OGTSL",\n\t"OLFL-1.3",\n\t"OSL-2.1",\n\t"OSL-1.0",\n\t"OLDAP-2.8",\n\t"OSET-PL-2.1",\n\t"PHP-3.0",\n\t"PHP-3.01",\n\t"PSF-2.0",\n\t"RPSL-1.0",\n\t"RPL-1.5",\n\t"RPL-1.1",\n\t"OFL-1.1",\n\t"SimPL-2.0",\n\t"SISSL",\n\t"SPL-1.0",\n\t"BSD-2-Clause",\n\t"BSD-3-Clause",\n\t"CNRI-Python",\n\t"EUPL-1.1",\n\t"MIT",\n\t"NGPL",\n\t"OSL-3.0",\n\t"PostgreSQL",\n\t"QPL-1.0",\n\t"RSCPL",\n\t"Sleepycat",\n\t"Watcom-1.0",\n\t"UPL-1.0",\n\t"NCSA",\n\t"Unlicense",\n\t"VSL-0.1",\n\t"W3C-20150513",\n\t"wxWindows",\n\t"Xnet",\n\t"Zlib",\n\t"Unicode-DFS-2015",\n\t"UCL-1.0",\n\t"0BSD",\n\t"ZPL-2.0",\n\t"ZPL-2.1",\n}\n\nviolations contains msg if {\n\tcount(input.components[i].licenses) == 0\n\tmsg := sprintf("Component %q has no license declared", [input.components[i].name])\n}\n\nviolations contains msg if {\n\tinput.components[i].licenses[j].license.id != ""\n\tnot osi_approved_licenses[input.components[i].licenses[j].license.id]\n\tmsg := sprintf("Component %q uses non-OSI approved license %q", [input.components[i].name, input.components[i].licenses[j].license.id])\n}\n\ncompliant if count(violations) == 0\n Only OSI approved licenses https://cyclonedx.org/bom This policy checks if there is no violation against the license allow list. \N only_osi_approved_licenses.rego +8917baff-8147-4528-9892-bb3b92276eb1 # METADATA\n# title: Secret scanning executed\n# custom:\n# description: This policy checks if secret scanning was executed.\n# priority: 1\n# predicateType: https://in-toto.io/attestation/test-result/v0.1\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.5.7 Threat intelligence\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Secret scanning executed https://in-toto.io/attestation/test-result/v0.1 This policy checks if secret scanning was executed. \N secret_scanning_executed.rego +7e8c3731-7ba6-45be-b12a-47693cdd7c97 # METADATA\n# title: Security policy present in repository\n# custom:\n# description: This policy checks if a security policy (SECURITY.md) exists in the repository.\n# priority: 1\n# predicateType: https://slsa.dev/provenance/v1\n# relatedResources:\n# - https://github.com/ossf/scorecard/blob/main/docs/checks.md#security-policy\n# tags:\n# - Best Practices\n# complianceFrameworks:\n# - Best Practices\n# - OpenSSF Scorecard\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# Set compliant to true if SECURITY.md exists in any resolvedDependency file URI\ncompliant if {\n\t# make sure to look at the correct predicate type\n\tinput.predicateType == "https://slsa.dev/provenance/v1"\n\n\tsome dep in input.predicate.buildDefinition.resolvedDependencies\n\tendswith(dep.uri, "/SECURITY.md")\n}\n Security policy present in repository https://slsa.dev/provenance/v1 This policy checks if a security policy (SECURITY.md) exists in the repository. \N security_policy_present_in_repo.rego +7e8cdf27-66d3-4ffc-b727-ed5293e71133 # METADATA\n# title: Commits are signed off\n# custom:\n# description: This policy checks if the commit is signed off by the author.\n# priority: 1\n# predicateType: https://slsa.dev/provenance/v1\n# relatedResources: []\n# tags:\n# - Legal\n# complianceFrameworks: []\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\ncompliant if {\n\tinput.predicateType == "https://slsa.dev/provenance/v1"\n\n\tcommit_msg := input.predicate.buildDefinition.externalParameters.commitmessage\n\n\tcommit_msg != ""\n\n\t# Match a signed-off-by line with name and valid email "Signed-off-by: Name "\n # (?m) Enable multiline mode\n # ^Signed-off-by:\\s+ Line must start with 'Signed-off-by: '\n # [^<>\\n]+ Capture non-empty name (no angle brackets)\n # <[^@<>\\s]+@[^@<>\\s]+\\.[^@<>\\s]+> Simple email format\n # \\s*$ Allow optional trailing whitespace, then end of line\n\tregex.match(`(?m)^Signed-off-by:\\s+[^<>\\n]+<[^@<>\\s]+@[^@<>\\s]+\\.[^@<>\\s]+>\\s*$`, commit_msg)\n}\n Commits are signed off https://slsa.dev/provenance/v1 This policy checks if the commit is signed off by the author. \N signed_off_commit.rego +40122dcb-218d-4f31-88f2-3ee50edf95d9 # METADATA\n# title: Software composition analysis executed\n# custom:\n# description: This policy checks if software composition analysis was executed\n# priority: 1\n# predicateType: https://cyclonedx.org/bom\n# relatedResources:\n# - https://docs.example.com/policy/rule/E123\n# tags:\n# - ISO 27001\n# - A.5.7 Threat intelligence\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# compliant if {}\n Software composition analysis executed https://cyclonedx.org/bom This policy checks if software composition analysis was executed \N software_composition_analysis_executed.rego +c11cf4ea-7da4-447c-b9c8-7dbd598e006f # METADATA\n# title: Current SBOM is present\n# custom:\n# description: This policy checks if a current SBOM (not older than one month) is present.\n# priority: 1\n# predicateType: https://cyclonedx.org/bom\n# relatedResources: []\n# tags:\n# - ISO 27001\n# - A.5.7 Threat intelligence\n# - A.5.9 Inventory of information and other associated assets\n# - A.8.8 Management of technical vulnerabilities\n# complianceFrameworks:\n# - ISO 27001\npackage compliance\n\nimport rego.v1\n\ndefault compliant := false\n\n# Detect a CycloneDX SBOM either at the root or under predicate\nsbom_present if {\n\tbom := input\n\tbom.bomFormat == "CycloneDX"\n\tbom.components[_]\n}\n\nsbom_present if {\n\tbom := input.predicate\n\tbom.bomFormat == "CycloneDX"\n\tbom.components[_]\n}\n\ncompliant if sbom_present\n\nviolations contains "Attestation does not contain a CycloneDX SBOM" if not sbom_present\n Current SBOM is present https://cyclonedx.org/bom This policy checks if a current SBOM (not older than one month) is present. \N uses_sbom.rego +\. + + +ALTER TABLE public.policies ENABLE TRIGGER ALL; + +-- +-- Data for Name: project_enabled_policies; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.project_enabled_policies DISABLE TRIGGER ALL; + +COPY public.project_enabled_policies (project_id, policy_id) FROM stdin; +d07c0645-f0f1-4721-8d85-37c3f1c006d3 80be5e32-2e7a-4b0a-8ac3-4fb672923304 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 b5753dea-e063-49f1-980f-4923a4a92f06 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 ae742933-f837-4702-b03a-c1fc27e33f83 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 83547682-73da-4c2a-bf9f-be4b534f5520 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 79192a9b-3a74-4706-a3cc-561a7bcc071c +d07c0645-f0f1-4721-8d85-37c3f1c006d3 fc0a5fce-9b9d-435c-870e-e72698551fb3 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 da00a461-6946-468f-b6e7-d15785eb4a89 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 d0b4a65a-68c6-4282-beba-b0a00e4d201c +d07c0645-f0f1-4721-8d85-37c3f1c006d3 72ec5bc1-fab0-429b-b50c-6577fd402679 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 cdb5f06f-b5c8-4ed2-9044-a1f9ce1e1b7a +d07c0645-f0f1-4721-8d85-37c3f1c006d3 8917baff-8147-4528-9892-bb3b92276eb1 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 7e8c3731-7ba6-45be-b12a-47693cdd7c97 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 7e8cdf27-66d3-4ffc-b727-ed5293e71133 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 40122dcb-218d-4f31-88f2-3ee50edf95d9 +d07c0645-f0f1-4721-8d85-37c3f1c006d3 c11cf4ea-7da4-447c-b9c8-7dbd598e006f +\. + + +ALTER TABLE public.project_enabled_policies ENABLE TRIGGER ALL; + +-- +-- Data for Name: project_risk_history; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.project_risk_history DISABLE TRIGGER ALL; + +COPY public.project_risk_history (project_id, day, sum_open_risk, avg_open_risk, max_open_risk, min_open_risk, sum_closed_risk, avg_closed_risk, max_closed_risk, min_closed_risk, open_dependency_vulns, fixed_dependency_vulns, low, medium, high, critical, low_cvss, medium_cvss, high_cvss, critical_cvss, cve_purl_low, cve_purl_medium, cve_purl_high, cve_purl_critical, cve_purl_low_cvss, cve_purl_medium_cvss, cve_purl_high_cvss, cve_purl_critical_cvss) FROM stdin; +\. + + +ALTER TABLE public.project_risk_history ENABLE TRIGGER ALL; + +-- +-- Data for Name: releases; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.releases DISABLE TRIGGER ALL; + +COPY public.releases (id, name, created_at, updated_at, project_id) FROM stdin; +\. + + +ALTER TABLE public.releases ENABLE TRIGGER ALL; + +-- +-- Data for Name: release_items; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.release_items DISABLE TRIGGER ALL; + +COPY public.release_items (id, release_id, child_release_id, created_at, updated_at, deleted_at, artifact_name, asset_id, asset_version_name) FROM stdin; +\. + + +ALTER TABLE public.release_items ENABLE TRIGGER ALL; + +-- +-- Data for Name: schema_migrations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.schema_migrations DISABLE TRIGGER ALL; + +COPY public.schema_migrations (version, dirty) FROM stdin; +20260728190000 f +\. + + +ALTER TABLE public.schema_migrations ENABLE TRIGGER ALL; + +-- +-- Data for Name: supply_chain; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.supply_chain DISABLE TRIGGER ALL; + +COPY public.supply_chain (supply_chain_id, verified, supply_chain_output_digest, created_at, updated_at, asset_version_name, asset_id) FROM stdin; +\. + + +ALTER TABLE public.supply_chain ENABLE TRIGGER ALL; + +-- +-- Data for Name: trusted_entities; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.trusted_entities DISABLE TRIGGER ALL; + +COPY public.trusted_entities (trusted_entity_id, organization_id, project_id, trustscore, created_at, updated_at) FROM stdin; +\. + + +ALTER TABLE public.trusted_entities ENABLE TRIGGER ALL; + +-- +-- Data for Name: vex_rules; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.vex_rules DISABLE TRIGGER ALL; + +COPY public.vex_rules (id, asset_id, justification, mechanical_justification, vex_source, event_type, created_by_id, created_at, updated_at, enabled, cel_expression, title, was_recommended) FROM stdin; +\. + + +ALTER TABLE public.vex_rules ENABLE TRIGGER ALL; + +-- +-- Data for Name: vuln_events; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.vuln_events DISABLE TRIGGER ALL; + +COPY public.vuln_events (id, created_at, type, user_id, justification, mechanical_justification, arbitrary_json_data, original_asset_version_name, created_by_vex_rule, dependency_vuln_id, license_risk_id, first_party_vuln_id, user_agent, compliance_posture_id, vex_rule_id) FROM stdin; +\. + + +ALTER TABLE public.vuln_events ENABLE TRIGGER ALL; + +-- +-- Data for Name: weaknesses; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.weaknesses DISABLE TRIGGER ALL; + +COPY public.weaknesses (source, type, cve_id, cwe_id) FROM stdin; +\. + + +ALTER TABLE public.weaknesses ENABLE TRIGGER ALL; + +-- +-- Data for Name: webhook_integrations; Type: TABLE DATA; Schema: public; Owner: devguard +-- + +ALTER TABLE public.webhook_integrations DISABLE TRIGGER ALL; + +COPY public.webhook_integrations (id, created_at, updated_at, name, description, url, secret, sbom_enabled, vuln_enabled, org_id, project_id) FROM stdin; +\. + + +ALTER TABLE public.webhook_integrations ENABLE TRIGGER ALL; + +-- +-- Name: advisories_id_seq; Type: SEQUENCE SET; Schema: public; Owner: devguard +-- + +SELECT pg_catalog.setval('public.advisories_id_seq', 1, false); + + +-- +-- Name: casbin_rule_id_seq; Type: SEQUENCE SET; Schema: public; Owner: devguard +-- + +SELECT pg_catalog.setval('public.casbin_rule_id_seq', 29, true); + + +-- +-- Name: github_app_installations_installation_id_seq; Type: SEQUENCE SET; Schema: public; Owner: devguard +-- + +SELECT pg_catalog.setval('public.github_app_installations_installation_id_seq', 1, false); + + +-- +-- PostgreSQL database dump complete +-- + +\unrestrict EYWNUsmy68I9u7jOw6C1jxcAlwkqBqXpgaFkgkHZEYzhczsVCPdpKEhZ0UXzQcF + diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index 3058086..8a433ed 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -1,9 +1,10 @@ -import { readFileSync, writeFileSync, mkdirSync } from 'node:fs' -import { relative, join, dirname } from 'node:path' +import { readFileSync, writeFileSync, mkdirSync, readdirSync, rmSync } from 'node:fs' +import { relative, join, sep } from 'node:path' const OUT_DIR = 'src/nix-tests/tmp' const PAGES_DIR = 'src/pages' const CODE_FENCE = /^[ \t]*```(\w*)[ \t]*([^\r\n]*)\r?\n([\s\S]*?)^[ \t]*```/gm +const SHELL_LANGS = new Set(['bash', 'sh', 'shell']) const TEST_VALUES: Record = { assetName: "testorg/projects/testgroup/assets/testrepo", @@ -50,15 +51,17 @@ function extractBlocks(source: string) : CodeBlock[] { function outputPathFor(mdxPath: string): string { const relativePath = relative(PAGES_DIR, mdxPath) - const shellPath = relativePath.replace(/\.mdx$/, '.sh') + const fileName = relativePath.replace(/\.mdx$/, '').split(sep).join('-') + '.sh' - return join(OUT_DIR, shellPath) + return join(OUT_DIR, fileName) } function convert(mdxPath: string): void { const source = readFileSync(mdxPath, 'utf8') const blocks = extractBlocks(source) - const testBlocks = blocks.filter((block) => block.meta.includes('{test}')) + const testBlocks = blocks.filter( + (block) => SHELL_LANGS.has(block.lang) && !block.meta.includes('{ignore}'), + ) if (testBlocks.length === 0) { console.log("No codeblocks found for testing.") @@ -69,10 +72,22 @@ function convert(mdxPath: string): void { const outPath = outputPathFor(mdxPath) - mkdirSync(dirname(outPath), { recursive: true }) + mkdirSync(OUT_DIR, { recursive: true }) writeFileSync(outPath, header + declarationsFor(body) + body) console.log(`${testBlocks.length} Blöcke → ${outPath}`) } -convert(process.argv[2]) \ No newline at end of file +function collectMdxFiles(): string[] { + const entries = readdirSync(PAGES_DIR, { recursive : true }) + rmSync(OUT_DIR, { recursive: true, force: true }) + + return entries + .map((entry) => String(entry)) + .filter((entry) => entry.endsWith('.mdx')) + .map((entry) => join(PAGES_DIR, entry)) +} + +for (const mdxPath of collectMdxFiles()) { + convert(mdxPath) +} \ No newline at end of file diff --git a/src/pages/explanations/architecture/authentication-flow.mdx b/src/pages/explanations/architecture/authentication-flow.mdx index aca7fc0..28cb40b 100644 --- a/src/pages/explanations/architecture/authentication-flow.mdx +++ b/src/pages/explanations/architecture/authentication-flow.mdx @@ -42,7 +42,7 @@ Content-Digest: sha-256=:base64-hash: ``` Create an asymmetric token: -```bash +```bash {ignore} POST /api/v1/pats { "description": "CI/CD Token", @@ -60,7 +60,7 @@ Authorization: Bearer dvg_ ``` Create a symmetric token (omit `pubKey`): -```bash +```bash {ignore} POST /api/v1/pats { "description": "Webhook Token", diff --git a/src/pages/getting-started/index.mdx b/src/pages/getting-started/index.mdx index 5c21510..0e4b76b 100644 --- a/src/pages/getting-started/index.mdx +++ b/src/pages/getting-started/index.mdx @@ -159,7 +159,7 @@ For this tutorial, we'll use the DevGuard CLI approach. First, pull the DevGuard scanner Docker image: -```bash {test} +```bash docker pull ghcr.io/l3montree-dev/devguard/scanner:main ``` @@ -167,7 +167,7 @@ Next, create a personal access token by clicking the token generation button in Copy the command from the dialog, which automatically includes your personal access token and the correct DevGuard API URL: -```bash {test} +```bash docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sca \ --path=/app \ @@ -183,7 +183,7 @@ Navigate to a directory containing code you want to scan and run the command. Th **Example output:** -```bash +```bash {ignore} 11:48AM INF scanning directory dir=/app 11:49AM INF Scan completed successfully dependencyVulnAmount=7 openedByThisScan=7 closedByThisScan=0 +--------------------------------------------+----------------+------+------+---------------------+---------+--------+ diff --git a/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx b/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx index 98d1335..3589535 100644 --- a/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx +++ b/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx @@ -66,12 +66,12 @@ Add a name for the Integration (like Tom's Personal Access Token, or Project Acc Paste following URL in the URL field: if you are using devguard under stage.devguard.org - ```sh copy + ```sh {ignore} copy https://api.stage.devguard.org/api/v1/webhook/ ``` if you are using devguard under main.devguard.org - ```sh copy + ```sh {ignore} copy https://api.devguard.org/api/v1/webhook/ ``` then select the events you want to trigger the webhook, it is recommended to select following events: diff --git a/src/pages/how-to-guides/integrations/webhook-events.mdx b/src/pages/how-to-guides/integrations/webhook-events.mdx index 37d0ba2..4d93b3f 100644 --- a/src/pages/how-to-guides/integrations/webhook-events.mdx +++ b/src/pages/how-to-guides/integrations/webhook-events.mdx @@ -42,13 +42,13 @@ When an event fires, DevGuard delivers it to all matching webhooks: project-scop ### Via the API -```bash +```bash {ignore} POST /api/v1/organizations/{org}/integrations/webhook/test-and-save/ ``` For a project-scoped webhook: -```bash +```bash {ignore} POST /api/v1/organizations/{org}/projects/{project}/integrations/webhook/test-and-save/ ``` @@ -93,7 +93,7 @@ POST /api/v1/organizations/{org}/projects/{project}/integrations/webhook/test-an ### Updating a Webhook -```bash +```bash {ignore} PUT /api/v1/organizations/{org}/integrations/webhook/{id}/ ``` @@ -101,7 +101,7 @@ The request body is the same as creation, but must also include the `id` field. ### Deleting a Webhook -```bash +```bash {ignore} DELETE /api/v1/organizations/{org}/integrations/webhook/{id}/ ``` @@ -187,7 +187,7 @@ Requests time out after **120 seconds**. You can send a test payload to any URL without saving it: -```bash +```bash {ignore} POST /api/v1/organizations/{org}/integrations/webhook/test/ ``` diff --git a/src/pages/reference/vulnerability-database/cve-enrichment.mdx b/src/pages/reference/vulnerability-database/cve-enrichment.mdx index 29d66ab..39d6ad5 100644 --- a/src/pages/reference/vulnerability-database/cve-enrichment.mdx +++ b/src/pages/reference/vulnerability-database/cve-enrichment.mdx @@ -49,7 +49,7 @@ Get a paginated list of enriched CVEs with filtering and sorting capabilities. | `availabilityRequirements` | string | CIA - Availability (low/medium/high) | medium | #### Example Request -```bash +```bash {ignore} GET /api/v1/vulndb?page=1&limit=10&sort[cvss]=desc&filterQuery[cvss][is greater than]=7&confidentialityRequirements=high ``` @@ -90,7 +90,7 @@ GET /api/v1/vulndb?page=1&limit=10&sort[cvss]=desc&filterQuery[cvss][is greater } ] } -```` +``` ### CVE Object @@ -145,7 +145,7 @@ Enhanced risk calculation beyond base CVSS: | `availabilityRequirements` | string | Availability requirement | medium | #### Example Request -```bash +```bash {ignore} GET /api/v1/vulndb/CVE-2024-1234?confidentialityRequirements=high ``` @@ -189,7 +189,7 @@ Analyze a Package URL to discover vulnerabilities and malicious package informat **Path Parameter**: `purl` (URL-encoded, e.g., `pkg:npm/lodash@4.17.20`) #### Example -```bash +```bash {ignore} GET /api/v1/vulndb/purl-inspect/pkg%3Anpm%2Flodash%404.17.20 ``` Returns: PURL details, affected components, vulnerabilities, and malicious package status. @@ -235,24 +235,24 @@ The API returns enhanced CVSS vectors with temporal and environmental metrics au ### 1. Vulnerability Assessment Query CVEs with specific CVSS thresholds and environmental context: -```bash +```bash {ignore} GET /api/v1/vulndb?filterQuery[cvss][is greater than]=7.0&confidentialityRequirements=high ``` ### 2. Package Vulnerability Scanning Check if a specific package version has known vulnerabilities: -```bash +```bash {ignore} GET /api/v1/vulndb/purl-inspect/pkg%3Anpm%2Fexpress%404.17.1 ``` ### 3. Exploit Intelligence Find CVEs with active exploits in CISA KEV: -```bash +```bash {ignore} GET /api/v1/vulndb?filterQuery[cisaExploitAdd][is not null]=true&sort[cisaExploitAdd]=desc ``` ### 4. Ecosystem Analysis -```bash +```bash {ignore} GET /api/v1/vulndb/affected-package-distribution ``` @@ -274,7 +274,7 @@ The API supports sophisticated filtering on CVE fields: Sort results by any field in ascending or descending order: -```bash +```bash {ignore} # Sort by CVSS score (descending) GET /api/v1/vulndb?sort[cvss]=desc @@ -287,7 +287,7 @@ GET /api/v1/vulndb?sort[percentile]=desc ### Combining Filters and Sorts -```bash +```bash {ignore} GET /api/v1/vulndb?filterQuery[cvss][is greater than]=8.0&filterQuery[epss][is not null]=true&sort[epss]=desc&limit=50 ``` From 9600186f4b57f57ccdbc6eb5f49c47ce9656bf66 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Fri, 31 Jul 2026 10:56:28 +0200 Subject: [PATCH 04/21] feat: added hint for & --- src/nix-tests/nixmd.mts | 55 ++++++++++++++++++- src/nix-tests/run-test.sh | 30 ++++++++++ src/nix-tests/shell.nix | 3 + src/pages/contributing/getting-started.mdx | 6 +- src/pages/getting-started/index.mdx | 1 + .../administration/database-maintenance.mdx | 2 + .../administration/deploy-with-docker.mdx | 1 + .../administration/monitoring-metrics.mdx | 2 + 8 files changed, 96 insertions(+), 4 deletions(-) create mode 100755 src/nix-tests/run-test.sh diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index 8a433ed..cb34ef6 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -5,6 +5,9 @@ const OUT_DIR = 'src/nix-tests/tmp' const PAGES_DIR = 'src/pages' const CODE_FENCE = /^[ \t]*```(\w*)[ \t]*([^\r\n]*)\r?\n([\s\S]*?)^[ \t]*```/gm const SHELL_LANGS = new Set(['bash', 'sh', 'shell']) +const BLOCKING_HINT = /^[ \t]*#[ \t]*hint:.*\bblock/i +const BLANK_OR_COMMENT = /^[ \t]*(#|$)/ +const LINE_CONTINUATION = /\\[ \t]*$/ const TEST_VALUES: Record = { assetName: "testorg/projects/testgroup/assets/testrepo", @@ -35,6 +38,53 @@ function declarationsFor(body: string): string { return declarations.length === 0 ? '' : declarations.join('\n') + '\n\n' } +function endOfCommand(lines: string[], start: number): number { + let end = start + + while (end < lines.length - 1 && LINE_CONTINUATION.test(lines[end])) { + end++ + } + + return end +} + +function startOfCommand(lines: string[], afterHint: number): number { + let start = afterHint + + while (start < lines.length && BLANK_OR_COMMENT.test(lines[start])) { + start++ + } + + return start +} + +function backgroundHintedCommands(code: string): string { + const lines = code.split('\n') + + for (let index = 0; index < lines.length; index++) { + if (!BLOCKING_HINT.test(lines[index])) { + continue + } + + const start = startOfCommand(lines, index + 1) + + if (start >= lines.length) { + break + } + + const end = endOfCommand(lines, start) + const command = lines[end].trimEnd() + + if (!command.endsWith('&')) { + lines[end] = `${command} &` + } + + index = end + } + + return lines.join('\n') +} + function extractBlocks(source: string) : CodeBlock[] { const result : CodeBlock[] = [] @@ -64,11 +114,12 @@ function convert(mdxPath: string): void { ) if (testBlocks.length === 0) { - console.log("No codeblocks found for testing.") return } const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' - const body = testBlocks.map((block) => changeToTestVariables(block.code)).join('\n') + const body = testBlocks + .map((block) => backgroundHintedCommands(changeToTestVariables(block.code))) + .join('\n') const outPath = outputPathFor(mdxPath) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh new file mode 100755 index 0000000..0eade96 --- /dev/null +++ b/src/nix-tests/run-test.sh @@ -0,0 +1,30 @@ +#!/usr/bin/env bash +set -euo pipefail + +TMP_DIR="src/nix-tests/tmp" +SHELL_NIX="src/nix-tests/shell.nix" + +cleanup() { + rm -rf "$TMP_DIR" +} +trap cleanup EXIT + +echo "Getting all the code blocks together.." +node src/nix-tests/nixmd.mts + +failed=0 + +for script in "$TMP_DIR"/*.sh; do + [ -e "$script" ] || break + + echo "==> $script" + + if nix-shell "$SHELL_NIX" --run "bash '$script'"; then + echo "OK: $script" + else + echo "FAILED: $script" >&2 + failed=1 + fi +done + +exit "$failed" diff --git a/src/nix-tests/shell.nix b/src/nix-tests/shell.nix index d68fc82..b3df5e0 100644 --- a/src/nix-tests/shell.nix +++ b/src/nix-tests/shell.nix @@ -8,5 +8,8 @@ pkgs.mkShellNoCC { git curl docker-compose + trivy + cosign + openssl ]; } \ No newline at end of file diff --git a/src/pages/contributing/getting-started.mdx b/src/pages/contributing/getting-started.mdx index 2f1ce8d..5dd2ed2 100644 --- a/src/pages/contributing/getting-started.mdx +++ b/src/pages/contributing/getting-started.mdx @@ -88,10 +88,11 @@ docker compose up -d Run this command to start the backend: ```bash -make run +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable +make ``` -Run "make run" only after "docker compose up -d" and "make migrate" have both completed, in that order. +Run "make" only after "docker compose up -d" and "make migrate" have both completed, in that order. @@ -130,6 +131,7 @@ npm install Run this command to start the frontend: ```bash copy +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable npm run dev ``` diff --git a/src/pages/getting-started/index.mdx b/src/pages/getting-started/index.mdx index 0e4b76b..d1418bd 100644 --- a/src/pages/getting-started/index.mdx +++ b/src/pages/getting-started/index.mdx @@ -50,6 +50,7 @@ If you don't have Docker installed, follow the [Docker installation guide](https First, download the necessary configuration files and start DevGuard using docker-compose: ```bash +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable curl -LO https://raw.githubusercontent.com/l3montree-dev/devguard/refs/heads/main/docker-compose-try-it.yaml \ && docker-compose -f docker-compose-try-it.yaml up ``` diff --git a/src/pages/how-to-guides/administration/database-maintenance.mdx b/src/pages/how-to-guides/administration/database-maintenance.mdx index 629bc73..b2e5349 100644 --- a/src/pages/how-to-guides/administration/database-maintenance.mdx +++ b/src/pages/how-to-guides/administration/database-maintenance.mdx @@ -48,9 +48,11 @@ View update progress in the API logs: ```bash # Kubernetes +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard | grep -i vulndb # Docker +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable docker logs -f devguard-api | grep -i vulndb ``` diff --git a/src/pages/how-to-guides/administration/deploy-with-docker.mdx b/src/pages/how-to-guides/administration/deploy-with-docker.mdx index 00abbec..f0faba4 100644 --- a/src/pages/how-to-guides/administration/deploy-with-docker.mdx +++ b/src/pages/how-to-guides/administration/deploy-with-docker.mdx @@ -39,6 +39,7 @@ curl -LO https://raw.githubusercontent.com/l3montree-dev/devguard/refs/heads/mai ### Start the containers ```bash +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable docker compose -f docker-compose-try-it.yaml up ``` diff --git a/src/pages/how-to-guides/administration/monitoring-metrics.mdx b/src/pages/how-to-guides/administration/monitoring-metrics.mdx index 0b67944..fb42135 100644 --- a/src/pages/how-to-guides/administration/monitoring-metrics.mdx +++ b/src/pages/how-to-guides/administration/monitoring-metrics.mdx @@ -154,9 +154,11 @@ For operational visibility without a full observability stack, check the API log ```bash # Kubernetes +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard # Docker Compose +# hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable docker logs -f devguard-api ``` From ab9bc21edf39e6072063f2311ad16b66396b12aa Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Fri, 31 Jul 2026 14:09:25 +0200 Subject: [PATCH 05/21] feat: added pipeline testing for commands --- .github/e2e/docker-compose.yml | 119 ++++++++++++++++++ .github/e2e/initdb.sql | 9 ++ .github/e2e/kratos/gh-mapping.jsonnet | 29 +++++ .github/e2e/kratos/identity.schema.json | 55 ++++++++ .github/e2e/kratos/kratos.yml | 114 +++++++++++++++++ .github/workflows/nix-tests.yaml | 83 ++++++++++++ src/nix-tests/devguard-seed-data.sql | 4 - src/nix-tests/nixmd.mts | 38 +++--- src/nix-tests/run-test.sh | 9 +- .../compliance/compliance-as-code.mdx | 10 +- .../explanations/personal-access-token.mdx | 4 +- .../getting-started/use-devguard-api.mdx | 8 +- .../administration/backup-restore.mdx | 6 +- .../administration/database-maintenance.mdx | 4 +- .../administration/deploy-with-helm.mdx | 14 +-- .../instance-admin-dashboard.mdx | 2 +- .../administration/monitoring-metrics.mdx | 4 +- .../administration/restricting-access.mdx | 10 +- .../administration/uninstalling-devguard.mdx | 6 +- .../administration/upgrade-devguard.mdx | 12 +- .../dependency-proxy/setup-go-proxy.mdx | 4 +- .../dependency-proxy/setup-pypi-proxy.mdx | 4 +- .../kubernetes-devguard-integration.mdx | 6 +- .../how-to-guides/integrations/mcp-server.mdx | 8 +- .../scanning/branches-tags-and-artifacts.mdx | 4 +- .../scanning/scan-dependencies.mdx | 12 +- .../scanning/scan-docker-images.mdx | 14 +-- .../scanning/scan-source-code.mdx | 12 +- .../how-to-guides/scanning/upload-sbom.mdx | 18 +-- .../how-to-guides/scanning/upload-vex.mdx | 10 +- .../sync-external-data.mdx | 2 +- .../discover-base-image-attestations.mdx | 15 +-- 32 files changed, 532 insertions(+), 117 deletions(-) create mode 100644 .github/e2e/docker-compose.yml create mode 100644 .github/e2e/initdb.sql create mode 100644 .github/e2e/kratos/gh-mapping.jsonnet create mode 100644 .github/e2e/kratos/identity.schema.json create mode 100644 .github/e2e/kratos/kratos.yml create mode 100644 .github/workflows/nix-tests.yaml diff --git a/.github/e2e/docker-compose.yml b/.github/e2e/docker-compose.yml new file mode 100644 index 0000000..161bc69 --- /dev/null +++ b/.github/e2e/docker-compose.yml @@ -0,0 +1,119 @@ +services: + postgresql: + image: ghcr.io/l3montree-dev/devguard/postgresql:v1.4.2 + shm_size: 1g + environment: + POSTGRES_USER: postgres + POSTGRES_PASSWORD: change-me-definitely-when-not-testing + POSTGRES_DB: devguard + healthcheck: + test: ["CMD", "pg_isready", "-U", "postgres"] + interval: 5s + timeout: 5s + retries: 10 + volumes: + - postgres:/var/lib/postgresql/data + - ./initdb.sql:/docker-entrypoint-initdb.d/init.sql + tmpfs: /run/postgresql:rw,uid=999,gid=999 + + kratos-migrate: + image: oryd/kratos:v25.4.0-distroless@sha256:368667ee3713797f86ddec669c36751f6484c7d675c78fd27c795b2e79271c31 + depends_on: + postgresql: + condition: service_healthy + environment: + - DSN=postgres://kratos:change-me-definitely-when-not-testing@postgresql:5432/kratos?sslmode=disable + volumes: + - type: bind + source: ./kratos + target: /etc/config/kratos + command: -c /etc/config/kratos/kratos.yml migrate sql -e --yes + + kratos: + image: oryd/kratos:v25.4.0-distroless@sha256:368667ee3713797f86ddec669c36751f6484c7d675c78fd27c795b2e79271c31 + depends_on: + postgresql: + condition: service_healthy + kratos-migrate: + condition: service_completed_successfully + ports: + - "4433:4433" + - "4434:4434" + environment: + - DSN=postgres://kratos:change-me-definitely-when-not-testing@postgresql:5432/kratos?sslmode=disable + - LOG_LEVEL=debug + volumes: + - type: bind + source: ./kratos + target: /etc/config/kratos + command: serve -c /etc/config/kratos/kratos.yml --dev --watch-courier + + devguard-migrate: + image: ghcr.io/l3montree-dev/devguard:main + tmpfs: + - /tmp:size=1G + depends_on: + postgresql: + condition: service_healthy + environment: + - POSTGRES_USER=postgres + - POSTGRES_PASSWORD=change-me-definitely-when-not-testing + - POSTGRES_DB=devguard + - POSTGRES_HOST=postgresql + - POSTGRES_PORT=5432 + - FRONTEND_URL=http://localhost:3000 + command: ["devguard-cli", "migrate"] + + devguard-vulndb-import: + image: ghcr.io/l3montree-dev/devguard:main + tmpfs: + - /tmp:size=4G + depends_on: + postgresql: + condition: service_healthy + devguard-migrate: + condition: service_completed_successfully + environment: + - POSTGRES_USER=postgres + - POSTGRES_PASSWORD=change-me-definitely-when-not-testing + - POSTGRES_DB=devguard + - POSTGRES_HOST=postgresql + - POSTGRES_PORT=5432 + - FRONTEND_URL=http://localhost:3000 + command: ["devguard-cli", "vulndb", "import"] + + devguard-api: + image: ghcr.io/l3montree-dev/devguard:main + volumes: + - type: bind + source: ./test-secret.pem + target: /test-secret.pem + tmpfs: + - /tmp:size=1G + depends_on: + postgresql: + condition: service_healthy + kratos: + condition: service_started + devguard-migrate: + condition: service_completed_successfully + devguard-vulndb-import: + condition: service_completed_successfully + ports: + - "8080:8080" + environment: + - POSTGRES_USER=postgres + - POSTGRES_PASSWORD=change-me-definitely-when-not-testing + - POSTGRES_DB=devguard + - POSTGRES_HOST=postgresql + - POSTGRES_PORT=5432 + - ORY_KRATOS_PUBLIC=http://kratos:4433 + - ORY_KRATOS_ADMIN=http://kratos:4434 + - INSTANCE_DOMAIN=http://localhost:8080 + - FRONTEND_URL=http://localhost:3000 + - ENVIRONMENT=dev + - CSAF_PASSPHRASE=ci-test-passphrase + - APP_SIDE_ENCRYPTION_KEY_PATH=/test-secret.pem + +volumes: + postgres: diff --git a/.github/e2e/initdb.sql b/.github/e2e/initdb.sql new file mode 100644 index 0000000..2dddbdc --- /dev/null +++ b/.github/e2e/initdb.sql @@ -0,0 +1,9 @@ +CREATE EXTENSION IF NOT EXISTS semver; + +CREATE DATABASE kratos; +CREATE USER kratos PASSWORD 'change-me-definitely-when-not-testing'; +GRANT ALL PRIVILEGES ON DATABASE kratos to kratos; + +\c kratos + +GRANT USAGE, CREATE ON SCHEMA public TO kratos; diff --git a/.github/e2e/kratos/gh-mapping.jsonnet b/.github/e2e/kratos/gh-mapping.jsonnet new file mode 100644 index 0000000..2ae0f1f --- /dev/null +++ b/.github/e2e/kratos/gh-mapping.jsonnet @@ -0,0 +1,29 @@ +local claims = { + email_verified: false, +} + std.extVar('claims'); + +local stringOrNull(v) = + if v != null && std.type(v) == 'string' && v != '' then v else null; + +local firstNonNull(values) = + if std.length(values) == 0 then null + else if values[0] != null then values[0] + else firstNonNull(values[1:]); + +{ + identity: { + traits: { + [if 'email' in claims && claims.email_verified then 'email' else null]: claims.email, + name: firstNonNull([ + if 'name' in claims then stringOrNull(claims.name) else null, + if 'preferred_username' in claims then stringOrNull(claims.preferred_username) else null, + if 'login' in claims then stringOrNull(claims.login) else null, + if 'username' in claims then stringOrNull(claims.username) else null, + if 'nickname' in claims then stringOrNull(claims.nickname) else null, + if 'sub' in claims then stringOrNull(claims.sub) else null, + 'unknown', + ]), + confirmedTerms: true, + }, + }, +} diff --git a/.github/e2e/kratos/identity.schema.json b/.github/e2e/kratos/identity.schema.json new file mode 100644 index 0000000..5776c6d --- /dev/null +++ b/.github/e2e/kratos/identity.schema.json @@ -0,0 +1,55 @@ +{ + "$id": "https://schemas.ory.sh/presets/kratos/quickstart/email-password/identity.schema.json", + "$schema": "http://json-schema.org/draft-07/schema#", + "title": "Person", + "type": "object", + "properties": { + "traits": { + "required": [ + "email", + "name", + "confirmedTerms" + ], + "additionalProperties": false, + "type": "object", + "properties": { + "email": { + "type": "string", + "format": "email", + "title": "E-Mail", + "minLength": 3, + "ory.sh/kratos": { + "credentials": { + "password": { + "identifier": true + }, + "passkey": { + "display_name": true + }, + "webauthn": { + "identifier": true + } + }, + "verification": { + "via": "email" + }, + "recovery": { + "via": "email" + } + } + }, + "name": { + "type": "string", + "title": "Username" + }, + "confirmedTerms": { + "type": "boolean", + "title": "I agree to the terms of use ", + "description": "You must agree to the terms of use to use this service.", + "default": false, + "const": true + } + } + } + } +} diff --git a/.github/e2e/kratos/kratos.yml b/.github/e2e/kratos/kratos.yml new file mode 100644 index 0000000..8c0eb26 --- /dev/null +++ b/.github/e2e/kratos/kratos.yml @@ -0,0 +1,114 @@ +version: v0.13.0 + +dsn: memory + +session: + cookie: + name: ory_kratos_session + +serve: + public: + base_url: http://localhost:4433/ + cors: + enabled: true + admin: + base_url: http://localhost:4434/ + +selfservice: + default_browser_return_url: http://localhost:3000/ + allowed_return_urls: + - http://localhost:3000 + methods: + password: + enabled: true + totp: + config: + issuer: Kratos + enabled: true + lookup_secret: + enabled: true + link: + enabled: true + code: + enabled: true + passkey: + enabled: true + config: + rp: + id: localhost:3000 + origins: + - http://localhost:3000 + display_name: DevGuard + flows: + error: + ui_url: http://localhost:3000/error + + settings: + ui_url: http://localhost:3000/user-settings + privileged_session_max_age: 15m + required_aal: highest_available + + recovery: + enabled: true + ui_url: http://localhost:3000/recovery + use: code + + verification: + enabled: true + ui_url: http://localhost:3000/verification + use: code + after: + default_browser_return_url: http://localhost:3000/ + + logout: + after: + default_browser_return_url: http://localhost:3000/login + + login: + ui_url: http://localhost:3000/login + lifespan: 10m + + registration: + lifespan: 10m + ui_url: http://localhost:3000/registration + after: + password: + hooks: + - hook: session + passkey: + hooks: + - hook: session + oidc: + hooks: + - hook: session + +log: + level: debug + format: text + leak_sensitive_values: true + +secrets: + cookie: + - PLEASE-CHANGE-ME-I-AM-VERY-INSECURE + cipher: + - 32-LONG-SECRET-NOT-SECURE-AT-ALL + +ciphers: + algorithm: xchacha20-poly1305 + +hashers: + algorithm: bcrypt + bcrypt: + cost: 8 + +identity: + default_schema_id: default + schemas: + - id: default + url: file:///etc/config/kratos/identity.schema.json + +courier: + smtp: + connection_uri: smtps://test:test@localhost:1025/?skip_ssl_verify=true + from_address: noreply@devguard.org + from_name: DevGuard diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml new file mode 100644 index 0000000..dea25d7 --- /dev/null +++ b/.github/workflows/nix-tests.yaml @@ -0,0 +1,83 @@ +# Runs every shell code block of the documentation against a real DevGuard instance. +# The backend stack is identical to the devguard-web E2E setup (migrate + vulndb import), +# afterwards the documentation seed data is loaded and run-test.sh is executed. +name: Documentation Code Block Tests + +on: + workflow_dispatch: + push: + +permissions: read-all + +jobs: + nix-tests: + runs-on: ubuntu-latest + timeout-minutes: 90 + + steps: + - name: Checkout + uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 #v7.0.1 + + - name: Start backend services + working-directory: .github/e2e + run: docker compose up -d + + - name: Wait for database migrations + working-directory: .github/e2e + run: docker compose wait devguard-migrate + + - name: Wait for vulnerability database import + working-directory: .github/e2e + run: docker compose wait devguard-vulndb-import + + - name: Wait for backend to be ready + run: | + echo "Waiting for devguard-api..." + timeout 300 bash -c 'until curl -sf http://localhost:8080/api/v1/health/ > /dev/null 2>&1; do sleep 3; done' + echo "Backend ready." + + - name: Load documentation seed data + working-directory: .github/e2e + run: | + docker compose exec -T postgresql \ + psql -U postgres -d devguard \ + < ../../src/nix-tests/devguard-seed-data.sql + + - name: Verify seed data + working-directory: .github/e2e + run: | + expected="testorg/projects/testgroup/assets/testrepo" + actual=$(docker compose exec -T postgresql psql -U postgres -d devguard -tAc " + SELECT o.slug || '/projects/' || p.slug || '/assets/' || a.slug + FROM assets a + JOIN projects p ON p.id = a.project_id + JOIN organizations o ON o.id = p.organization_id + ") + if [ "$actual" != "$expected" ]; then + echo "Seed data missing: expected '$expected', got '$actual'" >&2 + exit 1 + fi + echo "Seed data loaded: $actual" + + - name: Setup Go + uses: actions/setup-go@d35c59abb061a4a6fb18e82ac0862c26744d6ab5 #v5.5.0 + with: + go-version: '1.26' + cache: false + + - name: Install DevGuard CLI and scanner + run: | + go install github.com/l3montree-dev/devguard/cmd/devguard-scanner@main + go install github.com/l3montree-dev/devguard/cmd/devguard-cli@main + echo "$(go env GOPATH)/bin" >> "$GITHUB_PATH" + + - name: Setup Nix + uses: cachix/install-nix-action@8aa03977d8d733052d78f4e008a241fd1dbf36b3 #v31.10.6 + + - name: Run documentation tests + env: + assetName: testorg/projects/testgroup/assets/testrepo + apiUrl: http://localhost:8080 + webUI: http://localhost:3000 + token: df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a + run: bash src/nix-tests/run-test.sh diff --git a/src/nix-tests/devguard-seed-data.sql b/src/nix-tests/devguard-seed-data.sql index bb148a8..752355b 100644 --- a/src/nix-tests/devguard-seed-data.sql +++ b/src/nix-tests/devguard-seed-data.sql @@ -1,7 +1,3 @@ -pg_dump: warning: there are circular foreign-key constraints on this table: -pg_dump: detail: projects -pg_dump: hint: You might not be able to restore the dump without using --disable-triggers or temporarily dropping the constraints. -pg_dump: hint: Consider using a full dump instead of a --data-only dump to avoid this problem. -- -- PostgreSQL database dump -- diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index cb34ef6..d412d09 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -9,12 +9,14 @@ const BLOCKING_HINT = /^[ \t]*#[ \t]*hint:.*\bblock/i const BLANK_OR_COMMENT = /^[ \t]*(#|$)/ const LINE_CONTINUATION = /\\[ \t]*$/ -const TEST_VALUES: Record = { - assetName: "testorg/projects/testgroup/assets/testrepo", - apiUrl: "http://host.docker.internal:8080", - token: "df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a", - webUI: "http://localhost:3000", -} +const VARIABLE_FLAGS = ['assetName', 'apiUrl', 'token', 'webUI'] + +const VARIABLE_PATTERNS: [RegExp, string][] = [ + [/https:\/\/(?:api|app)\.devguard\.org/g, '${apiUrl}'], + [/https:\/\//g, '${apiUrl}'], + [/\b(DEVGUARD_TOKEN|DEVGUARD_PAT|devguard-token)=("[^"]*"|'[^']*'|[^\s\\]*)/g, '$1="${token}"'], + [/Bearer +[^"'\s]+/g, 'Bearer ${token}'], +] interface CodeBlock { lang: string @@ -23,19 +25,23 @@ interface CodeBlock { } function changeToTestVariables(code: string): string { - return Object.keys(TEST_VALUES).reduce( + const withFlagValues = VARIABLE_FLAGS.reduce( (result, flag) => - result.replace(new RegExp(`(--${flag}=)("[^"]*"|'[^']*'|[^\\s\\\\]*)`, 'g'), `$1"\${${flag}}"`), + result.replace( + new RegExp(`(--${flag})[= ]("[^"]*"|'[^']*'|[^\\s\\\\]*)`, 'g'), + (_, flagName: string, value: string) => { + const quote = value.startsWith("'") ? "'" : '"' + + return `${flagName}=${quote}\${${flag}}${quote}` + }, + ), code, ) -} -function declarationsFor(body: string): string { - const declarations = Object.entries(TEST_VALUES) - .filter(([flag]) => body.includes(`\${${flag}}`)) - .map(([flag, value]) => `${flag}="\${${flag}:-${value}}"`) - - return declarations.length === 0 ? '' : declarations.join('\n') + '\n\n' + return VARIABLE_PATTERNS.reduce( + (result, [pattern, replacement]) => result.replace(pattern, replacement), + withFlagValues, + ) } function endOfCommand(lines: string[], start: number): number { @@ -124,7 +130,7 @@ function convert(mdxPath: string): void { const outPath = outputPathFor(mdxPath) mkdirSync(OUT_DIR, { recursive: true }) - writeFileSync(outPath, header + declarationsFor(body) + body) + writeFileSync(outPath, header + body) console.log(`${testBlocks.length} Blöcke → ${outPath}`) } diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index 0eade96..d657870 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -3,6 +3,7 @@ set -euo pipefail TMP_DIR="src/nix-tests/tmp" SHELL_NIX="src/nix-tests/shell.nix" +SCRIPT_TIMEOUT="${SCRIPT_TIMEOUT:-300}" cleanup() { rm -rf "$TMP_DIR" @@ -12,6 +13,9 @@ trap cleanup EXIT echo "Getting all the code blocks together.." node src/nix-tests/nixmd.mts +export DEVGUARD_APIURL="$apiUrl" +export DEVGUARD_TOKEN="$token" + failed=0 for script in "$TMP_DIR"/*.sh; do @@ -19,7 +23,10 @@ for script in "$TMP_DIR"/*.sh; do echo "==> $script" - if nix-shell "$SHELL_NIX" --run "bash '$script'"; then + work_dir="$TMP_DIR/work/$(basename "$script" .sh)" + mkdir -p "$work_dir" + + if nix-shell "$SHELL_NIX" --run "cd '$work_dir' && timeout $SCRIPT_TIMEOUT bash '$PWD/$script'" < /dev/null; then echo "OK: $script" else echo "FAILED: $script" >&2 diff --git a/src/pages/explanations/compliance/compliance-as-code.mdx b/src/pages/explanations/compliance/compliance-as-code.mdx index 1d16663..5927ef1 100644 --- a/src/pages/explanations/compliance/compliance-as-code.mdx +++ b/src/pages/explanations/compliance/compliance-as-code.mdx @@ -40,7 +40,7 @@ To create and upload an attestation, cosign can be used. The produced attestatio 1. **Generate a key pair using ****\`cosign\`****:** - ```sh + ```sh {ignore} cosign generate-key-pair ``` @@ -58,7 +58,7 @@ To create and upload an attestation, cosign can be used. The produced attestatio 3. **Sign and upload the attestation:** - ```sh + ```sh {ignore} cosign attest --predicate some-json-file.json --key cosign.key IMAGE_NAME --tlog-upload=false ``` @@ -97,7 +97,7 @@ One can inspect the different layers and attestations in the blobs directory. To download an attestation using `cosign`, run the following command. The verify does check the signatures, but it does not inspect any of the contents of the json files we uploaded: -```sh +```sh {ignore} cosign verify-attestation --key cosign.pub ghcr.io/l3montree-dev/oh-my-honeypot:main-c8c45b74-1741875691 --insecure-ignore-tlog=true | jq -r .payload | base64 -D > attestation.json ``` @@ -149,7 +149,7 @@ To automate verification, use Sigstore’s policy controller. 1. Install the Policy Controller using Helm: - ```sh + ```sh {ignore} helm repo add sigstore https://sigstore.github.io/helm-charts helm repo update kubectl create namespace cosign-system @@ -190,7 +190,7 @@ To automate verification, use Sigstore’s policy controller. 3. Enforce Policy on a Namespace - ```sh + ```sh {ignore} kubectl label namespace secure-namespace policy.sigstore.dev/include=true ``` diff --git a/src/pages/explanations/personal-access-token.mdx b/src/pages/explanations/personal-access-token.mdx index 73865db..c202435 100644 --- a/src/pages/explanations/personal-access-token.mdx +++ b/src/pages/explanations/personal-access-token.mdx @@ -114,7 +114,7 @@ For direct API calls with **asymmetric tokens**, the request must be signed. The For direct API calls with **Bearer tokens**: -```bash +```bash {ignore} curl -H "Authorization: Bearer dvg_" \ https://app.devguard.org/api/v1/organizations/my-org/projects/ ``` @@ -138,7 +138,7 @@ All active tokens are listed under **User Settings → Personal Access Tokens**. **By private key** (for asymmetric tokens — useful for scripted revocation): -```bash +```bash {ignore} curl -X POST https://api.devguard.org/api/v1/pats/revoke-by-private-key \ -H "Content-Type: application/json" \ -d '{"privkey": ""}' diff --git a/src/pages/getting-started/use-devguard-api.mdx b/src/pages/getting-started/use-devguard-api.mdx index 2fa9ef9..f8db509 100644 --- a/src/pages/getting-started/use-devguard-api.mdx +++ b/src/pages/getting-started/use-devguard-api.mdx @@ -82,7 +82,7 @@ Fill in: For asymmetric tokens, generate a key pair first with the DevGuard CLI: -```sh +```sh {ignore} devguard-cli key generate ``` @@ -94,7 +94,7 @@ This outputs your private key (keep it secret) and the public key to paste durin Add the token to the `Authorization` header: - ```sh + ```sh {ignore} curl -H "Authorization: Bearer dvg_" \ https://app.devguard.org/api/v1/organizations/my-org/projects/ ``` @@ -108,7 +108,7 @@ This outputs your private key (keep it secret) and the public key to paste durin The DevGuard scanner and CLI handle signing automatically when you provide the private key: - ```sh + ```sh {ignore} devguard-scanner scan \ --token \ --asset my-org/my-project/my-asset @@ -124,7 +124,7 @@ This outputs your private key (keep it secret) and the public key to paste durin Revoked tokens are immediately rejected. For asymmetric tokens you can also revoke by private key from the CLI: -```sh +```sh {ignore} devguard-cli pat revoke --private-key ``` diff --git a/src/pages/how-to-guides/administration/backup-restore.mdx b/src/pages/how-to-guides/administration/backup-restore.mdx index cac24e9..501f007 100644 --- a/src/pages/how-to-guides/administration/backup-restore.mdx +++ b/src/pages/how-to-guides/administration/backup-restore.mdx @@ -31,7 +31,7 @@ DevGuard stores all data in PostgreSQL. Use `pg_dump` to back up your databases. We recommend using a tool like `pg_dump` to back up the databases. You may want to schedule regular backups using cron jobs or other scheduling tools. -```bash +```bash {ignore} pg_dump --dbname=devguard --file="/{data_source}-{timestamp}-dump.sql" ``` @@ -44,7 +44,7 @@ Restoring overwrites all existing data. Stop DevGuard services before restoring. -```bash +```bash {ignore} # Stop services kubectl scale deployment devguard-api-deployment devguard-web-deployment kratos \ -n devguard --replicas=0 @@ -62,7 +62,7 @@ kubectl scale deployment devguard-api-deployment devguard-web-deployment kratos -```bash +```bash {ignore} # Stop services docker-compose -f docker-compose-try-it.yaml stop devguard-api devguard-web kratos diff --git a/src/pages/how-to-guides/administration/database-maintenance.mdx b/src/pages/how-to-guides/administration/database-maintenance.mdx index b2e5349..a5d52b3 100644 --- a/src/pages/how-to-guides/administration/database-maintenance.mdx +++ b/src/pages/how-to-guides/administration/database-maintenance.mdx @@ -46,7 +46,7 @@ Check the `devguard_daemon_vulndb_update_duration_minutes` Prometheus metric to View update progress in the API logs: -```bash +```bash {ignore} # Kubernetes # hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard | grep -i vulndb @@ -83,7 +83,7 @@ devguard-cli vulndb import **Kubernetes:** -```bash +```bash {ignore} kubectl exec -it deployment/devguard-api-deployment -n devguard -- devguard-cli vulndb import ``` diff --git a/src/pages/how-to-guides/administration/deploy-with-helm.mdx b/src/pages/how-to-guides/administration/deploy-with-helm.mdx index 3bda725..297d84e 100644 --- a/src/pages/how-to-guides/administration/deploy-with-helm.mdx +++ b/src/pages/how-to-guides/administration/deploy-with-helm.mdx @@ -28,7 +28,7 @@ Deploy DevGuard to a Kubernetes cluster using the [official Helm chart](https:// ### Create namespace -```bash +```bash {ignore} kubectl create namespace devguard ``` @@ -36,7 +36,7 @@ kubectl create namespace devguard DevGuard requires an EC private key for signing In-Toto attestations: -```bash +```bash {ignore} openssl ecparam -name prime256v1 -genkey -noout -out private.ec.key kubectl create secret generic ec-private-key \ --from-file=privateKey=private.ec.key \ @@ -81,7 +81,7 @@ mail: See the full [values.yaml](https://github.com/l3montree-dev/devguard-helm-chart/blob/main/values.yaml) for all configuration options. To inspect the chart locally: -```bash +```bash {ignore} helm pull oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard --version tar -xzf devguard-.tgz cd devguard @@ -90,7 +90,7 @@ cd devguard ### Install the chart -```bash +```bash {ignore} helm install devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version \ --namespace devguard \ @@ -99,7 +99,7 @@ helm install devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ ### Verify deployment -```bash +```bash {ignore} kubectl get pods -n devguard ``` @@ -111,7 +111,7 @@ All pods should reach `Running` status within a few minutes. You will find the p For CSAF advisory generation, create a PGP key pair: -```bash +```bash {ignore} gpg --full-generate-key KEY_ID=$(gpg --list-secret-keys --keyid-format LONG | grep sec | head -1 | awk '{print $2}' | cut -d'/' -f2) gpg --armor --export "$KEY_ID" > public.asc @@ -139,7 +139,7 @@ api: Then upgrade the release: -```bash +```bash {ignore} helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version {version} \ --namespace devguard \ diff --git a/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx b/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx index c836b05..88b3785 100644 --- a/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx +++ b/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx @@ -103,7 +103,7 @@ When `api.adminPublicKey` is set, the chart automatically: Apply the change with a `helm upgrade`: -```bash +```bash {ignore} helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version 1.7.0 \ --namespace devguard \ diff --git a/src/pages/how-to-guides/administration/monitoring-metrics.mdx b/src/pages/how-to-guides/administration/monitoring-metrics.mdx index fb42135..dcea317 100644 --- a/src/pages/how-to-guides/administration/monitoring-metrics.mdx +++ b/src/pages/how-to-guides/administration/monitoring-metrics.mdx @@ -71,7 +71,7 @@ api: Create the secret: -```bash +```bash {ignore} kubectl create secret generic otlp-basic-auth \ --from-literal=username="your-username" \ --from-literal=password="your-password" \ @@ -152,7 +152,7 @@ observability: For operational visibility without a full observability stack, check the API logs directly: -```bash +```bash {ignore} # Kubernetes # hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard diff --git a/src/pages/how-to-guides/administration/restricting-access.mdx b/src/pages/how-to-guides/administration/restricting-access.mdx index 95bd313..ac2bd64 100644 --- a/src/pages/how-to-guides/administration/restricting-access.mdx +++ b/src/pages/how-to-guides/administration/restricting-access.mdx @@ -72,7 +72,7 @@ oidc: Create the required secret: -```bash +```bash {ignore} kubectl create secret generic github-client-secret \ --from-literal=secret="your-github-oauth-app-secret" \ -n devguard @@ -107,7 +107,7 @@ oidc: Create the required secrets: -```bash +```bash {ignore} # OAuth client secret (required) kubectl create secret generic my-gitlab-client-secret \ --from-literal=secret="your-gitlab-oauth-secret" \ @@ -145,7 +145,7 @@ oidc: Create the auto-setup secret: -```bash +```bash {ignore} kubectl create secret generic opencodeautosetup-appsecret \ --from-literal=secret="your-autosetup-oauth-secret" \ -n devguard @@ -159,7 +159,7 @@ To disable new user registration and restrict access to existing users or OIDC-a Edit the `kratos-config` ConfigMap: -```bash +```bash {ignore} kubectl edit configmap kratos-config -n devguard ``` @@ -176,7 +176,7 @@ selfservice: Restart the Kratos deployment for changes to take effect: -```bash +```bash {ignore} kubectl rollout restart deployment kratos -n devguard ``` diff --git a/src/pages/how-to-guides/administration/uninstalling-devguard.mdx b/src/pages/how-to-guides/administration/uninstalling-devguard.mdx index c0fc6ec..246e0a6 100644 --- a/src/pages/how-to-guides/administration/uninstalling-devguard.mdx +++ b/src/pages/how-to-guides/administration/uninstalling-devguard.mdx @@ -36,7 +36,7 @@ DevGuard consists of multiple components. Precisely, it includes: Before uninstalling the server infrastructure, make sure to backup the data if you want to keep it for future use. DevGuard stores its data in a PostgreSQL database. You can backup the database using the following command: -```bash +```bash {ignore} # exec into the pod to dump the database kubectl exec --namespace -it -- bash -c "pg_dump -U > /tmp/backup.sql" # copy the backup to your local machine @@ -48,7 +48,7 @@ Usually your deployment infrastructure already provides a backup mechanism for t Uninstalling the DevGuard Server Infrastructure is as simple as deleting the Helm-Chart or the manually installed components. If you have deployed the DevGuard Server Infrastructure using a Helm-Chart, you can delete the Helm-Chart using the following command: -```bash +```bash {ignore} helm delete --namespace ``` @@ -63,7 +63,7 @@ which devguard-scanner Once you have found the path to the binary, you can delete it using the following command: -```bash +```bash {ignore} rm /usr/local/bin/devguard-scanner ``` diff --git a/src/pages/how-to-guides/administration/upgrade-devguard.mdx b/src/pages/how-to-guides/administration/upgrade-devguard.mdx index f5a9f38..cf975c5 100644 --- a/src/pages/how-to-guides/administration/upgrade-devguard.mdx +++ b/src/pages/how-to-guides/administration/upgrade-devguard.mdx @@ -40,7 +40,7 @@ The DevGuard API and Web images share the same version tags. The Helm chart vers ### Upgrade -```bash +```bash {ignore} helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version \ --namespace devguard \ @@ -49,7 +49,7 @@ helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ ### Verify deployment -```bash +```bash {ignore} kubectl rollout status deployment/devguard-api-deployment -n devguard kubectl rollout status deployment/devguard-web-deployment -n devguard ``` @@ -60,7 +60,7 @@ kubectl rollout status deployment/devguard-web-deployment -n devguard If issues occur: -```bash +```bash {ignore} helm rollback devguard -n devguard ``` @@ -98,19 +98,19 @@ services: ### Pull new images -```bash +```bash {ignore} docker-compose -f docker-compose-try-it.yaml pull ``` ### Restart containers -```bash +```bash {ignore} docker-compose -f docker-compose-try-it.yaml up -d ``` ### Verify -```bash +```bash {ignore} docker-compose -f docker-compose-try-it.yaml ps ``` diff --git a/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx b/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx index d78f4b2..96e3ee1 100644 --- a/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx +++ b/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx @@ -31,7 +31,7 @@ export GOPROXY="https:///api/v1/dependency-proxy/go" To make this permanent, add it to your CI environment or shell profile. For project-scoped configuration, set it in your CI/CD platform's environment variable configuration alongside your other build variables. Then use `go get` as usual: -```bash +```bash {ignore} go get github.com/example/package ``` @@ -43,7 +43,7 @@ go get github.com/example/package DevGuard ships a test module that is permanently flagged as malicious: -```bash +```bash {ignore} go get github.com/fake-org/malicious-package # Expected: 403 Forbidden ``` diff --git a/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx b/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx index 716584e..fdfbe4b 100644 --- a/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx +++ b/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx @@ -39,7 +39,7 @@ trusted-host = For CI/CD pipelines or ephemeral environments, set the proxy via environment variables instead: -```bash +```bash {ignore} export PIP_INDEX_URL="https:///api/v1/dependency-proxy/pypi/simple" export PIP_TRUSTED_HOST="" pip install requests @@ -57,7 +57,7 @@ pip install requests DevGuard ships a test package that is permanently flagged as malicious: -```bash +```bash {ignore} pip install fake-malicious-pypi-package # Expected: blocked with a 403 Forbidden error ``` diff --git a/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx b/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx index 784546c..e94fe39 100644 --- a/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx +++ b/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx @@ -106,7 +106,7 @@ The integration covers the full vulnerability management workflow, not just disc ### 1. Create the namespace and token secret -```bash +```bash {ignore} kubectl create namespace devguard kubectl create secret generic devguard-k8s-image-inventory \ @@ -116,7 +116,7 @@ kubectl create secret generic devguard-k8s-image-inventory \ ### 2. Apply the RBAC manifests -```bash +```bash {ignore} kubectl apply -f deploy/rbac.yaml ``` @@ -136,7 +136,7 @@ The daemon appends its own provider ID to this URL. You can choose any provider Then apply: -```bash +```bash {ignore} kubectl apply -f deploy/deployment.yaml ``` diff --git a/src/pages/how-to-guides/integrations/mcp-server.mdx b/src/pages/how-to-guides/integrations/mcp-server.mdx index ed1cc02..6ae7316 100644 --- a/src/pages/how-to-guides/integrations/mcp-server.mdx +++ b/src/pages/how-to-guides/integrations/mcp-server.mdx @@ -65,13 +65,13 @@ Download the latest binary for your platform from the [Releases page](https://gi Make the binary executable on Linux and macOS: -```bash +```bash {ignore} chmod +x devguard-mcp-linux-amd64 ``` ### Build from source -```bash +```bash {ignore} git clone https://github.com/l3montree-dev/devguard/mcp-server cd mcp-server go build -o devguard-mcp ./cmd/mcp-server @@ -140,7 +140,7 @@ You can pass these as environment variables directly in your client config. Add the server via the Claude Code CLI: - ```bash + ```bash {ignore} claude mcp add devguard /path/to/devguard-mcp -e DEVGUARD_PAT=your-pat-here ``` @@ -161,7 +161,7 @@ You can pass these as environment variables directly in your client config. Verify the server was registered: - ```bash + ```bash {ignore} claude mcp list ``` diff --git a/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx b/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx index ffd221d..3e52412 100644 --- a/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx +++ b/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx @@ -43,7 +43,7 @@ If you do not pass `--ref`, the scanner tries to auto-detect it: 1. If the current directory is a Git repository, it uses the current branch or tag name. 2. If no Git repository is found, it falls back to `main`. -```bash copy +```bash copy {ignore} --ref="feature/login" # Git reference (branch, tag, or commit). Auto-detected if omitted. --defaultRef="main" # The repository's default branch. --isTag=true # Set when the ref is a tag rather than a branch. @@ -140,7 +140,7 @@ This per-version tracking is useful because: A typical CI job scans the checked-out branch and lets the scanner auto-detect the ref: ```bash copy -docker run -v "$(PWD):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sca \ --path=/app/ \ --assetName="myorg/projects/myproject/assets/myrepo" \ diff --git a/src/pages/how-to-guides/scanning/scan-dependencies.mdx b/src/pages/how-to-guides/scanning/scan-dependencies.mdx index c068f47..c0c5499 100644 --- a/src/pages/how-to-guides/scanning/scan-dependencies.mdx +++ b/src/pages/how-to-guides/scanning/scan-dependencies.mdx @@ -59,7 +59,7 @@ Before you begin, ensure you have: ```bash copy - docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sca \ --path /dev/app/ \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -116,7 +116,7 @@ The output shows each affected library with its vulnerabilities, the contextual You can run the scanner without a token or asset name to get vulnerability results without saving them to DevGuard. This is useful for a quick local scan or for trying out the scanner. ```bash copy -docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sca \ --path /dev/app/ ``` @@ -143,7 +143,7 @@ For automated dependency scanning in CI/CD pipelines, DevGuard provides ready-to Configure the scanner to exit with a non-zero code based on the severity of detected vulnerabilities. This is useful for blocking CI/CD pipelines when critical issues are found. -```bash copy +```bash copy {ignore} --failOnRisk=critical --failOnCVSS=critical ``` @@ -161,7 +161,7 @@ Configure the scanner to exit with a non-zero code based on the severity of dete Specify an artifact name to track multiple artifacts per repository: -```bash copy +```bash copy {ignore} --artifactName="pkg:devguard/orgSlug/projectSlug/repoSlug" ``` @@ -169,7 +169,7 @@ Specify an artifact name to track multiple artifacts per repository: Set a custom origin to track where the scan was triggered from: -```bash copy +```bash copy {ignore} --origin="my-custom-origin" # Default is "DEFAULT" ``` @@ -177,7 +177,7 @@ Set a custom origin to track where the scan was triggered from: Specify Git reference information to associate scans with branches or tags: -```bash copy +```bash copy {ignore} --ref="feature-branch" # Git reference (branch, tag, or commit). Default is "main" --defaultRef="main" # Default Git reference to use. Default is "main" --isTag=true # Indicates if the reference is a tag. Default is false diff --git a/src/pages/how-to-guides/scanning/scan-docker-images.mdx b/src/pages/how-to-guides/scanning/scan-docker-images.mdx index 472a904..801f9ed 100644 --- a/src/pages/how-to-guides/scanning/scan-docker-images.mdx +++ b/src/pages/how-to-guides/scanning/scan-docker-images.mdx @@ -48,7 +48,7 @@ Before you begin, ensure you have: If you have saved your container image as a tar file: ```bash copy - docker run -v "$(PWD):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner container-scanning \ --path /app/image.tar \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -99,20 +99,20 @@ For automated container scanning in CI/CD pipelines, DevGuard provides ready-to- Fail the command based on risk level: -```bash copy +```bash copy {ignore} --failOnRisk=critical # Options: low, medium, high, critical (default: critical) --failOnCVSS=critical # Options: low, medium, high, critical (default: critical) ``` Skip attestation discovery from the container image: -```bash copy +```bash copy {ignore} --ignoreUpstreamAttestations # Ignores attestations from the scanned container image ``` Ignore external references in attestations: -```bash copy +```bash copy {ignore} --ignoreExternalReferences # Ignores external links in VEX documents ``` @@ -122,20 +122,20 @@ Ignore external references in attestations: Specify an artifact name (useful for tracking multiple artifacts like a oci image with a CLI and one with the App per repository): -```bash copy +```bash copy {ignore} --artifactName="pkg:oci/orgSlug/projectSlug/repoSlug" # Default is "pkg:oci/{orgSlug}/{projectSlug}/{repoSlug}" ``` Set a custom origin to track scan source: -```bash copy +```bash copy {ignore} --origin="my-custom-origin" # Default is "DEFAULT" ``` Specify Git reference information: -```bash copy +```bash copy {ignore} --ref="feature-branch" # Git reference (branch, tag, or commit). Default is "main" --defaultRef="main" # Default Git reference to use. Default is "main" --isTag=true # Indicates if the reference is a tag. Default is false diff --git a/src/pages/how-to-guides/scanning/scan-source-code.mdx b/src/pages/how-to-guides/scanning/scan-source-code.mdx index c14c329..7b6eaa4 100644 --- a/src/pages/how-to-guides/scanning/scan-source-code.mdx +++ b/src/pages/how-to-guides/scanning/scan-source-code.mdx @@ -35,7 +35,7 @@ Before you begin, ensure you have: Run Static Application Security Testing (SAST) to identify security vulnerabilities and bad practices in your source code: ```bash copy - docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sast \ --path /dev/app/ \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -52,7 +52,7 @@ Before you begin, ensure you have: Scan your repository for accidentally committed secrets like API keys, passwords, and tokens: ```bash copy - docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner secret-scanning \ --path /dev/app/ \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -69,7 +69,7 @@ Before you begin, ensure you have: Scan Infrastructure as Code (IaC) files for misconfigurations and security issues: ```bash copy - docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner iac \ --path /dev/app/ \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -106,20 +106,20 @@ For automated source code scanning in CI/CD pipelines, DevGuard provides ready-t Fail the command based on risk level: -```bash copy +```bash copy {ignore} --failOnRisk=critical # Options: low, medium, high, critical (default: critical) --failOnCVSS=critical # Options: low, medium, high, critical (default: critical) ``` Set a custom origin to track scan source: -```bash copy +```bash copy {ignore} --origin="my-custom-origin" # Default is "DEFAULT" ``` Specify Git reference information: -```bash copy +```bash copy {ignore} --ref="feature-branch" # Git reference (branch, tag, or commit). Default is "main" --defaultRef="main" # Default Git reference to use. Default is "main" --isTag=true # Indicates if the reference is a tag. Default is false diff --git a/src/pages/how-to-guides/scanning/upload-sbom.mdx b/src/pages/how-to-guides/scanning/upload-sbom.mdx index 834e783..a13196d 100644 --- a/src/pages/how-to-guides/scanning/upload-sbom.mdx +++ b/src/pages/how-to-guides/scanning/upload-sbom.mdx @@ -34,7 +34,7 @@ Before you begin, ensure you have: Upload a CycloneDX SBOM file for vulnerability analysis: ```bash copy -docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sbom \ /dev/app/sbom.json \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -64,8 +64,8 @@ docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ You can upload an SBOM and scan it without a token or asset name to get vulnerability results without saving them to DevGuard. -```bash copy -docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +```bash copy {ignore} +docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner sbom /dev/app/sbom.json ``` @@ -83,7 +83,7 @@ Warning: You are scanning without saving the results. Provide --token and --asse Use `merge-sboms` to combine multiple CycloneDX SBOMs and pipe the result directly into the `sbom` command for scanning. Pass `-` as the file argument to read from stdin: -```bash copy +```bash copy {ignore} devguard-scanner merge-sboms config.json | devguard-scanner sbom - ``` @@ -95,7 +95,7 @@ The merge config file specifies the target purl and the list of SBOM files to me To save the merged scan results to DevGuard, add authentication flags: -```bash copy +```bash copy {ignore} devguard-scanner merge-sboms config.json | devguard-scanner sbom - \ --assetName="myorg/projects/myproject/assets/myrepo" \ --token="YOUR_TOKEN" @@ -110,20 +110,20 @@ For automated SBOM uploads in CI/CD pipelines, DevGuard provides ready-to-use in Fail the command based on risk level: -```bash copy +```bash copy {ignore} --failOnRisk=critical # Options: low, medium, high, critical (default: critical) --failOnCVSS=critical # Options: low, medium, high, critical (default: critical) ``` Specify which artifact this SBOM represents: -```bash copy +```bash copy {ignore} --artifactName="pkg:devguard/orgSlug/projectSlug/repoSlug" # Default is based on your asset ``` Set a custom origin to track where the SBOM came from: -```bash copy +```bash copy {ignore} --origin="sbom-file-upload" # Default is "sbom-file-upload" ``` @@ -134,7 +134,7 @@ Set a custom origin to track where the SBOM came from: Specify Git reference information: -```bash copy +```bash copy {ignore} --ref="v1.2.3" # Git reference (branch, tag, or commit) --defaultRef="main" # Default Git reference to use --isTag=true # Indicates if the reference is a tag diff --git a/src/pages/how-to-guides/scanning/upload-vex.mdx b/src/pages/how-to-guides/scanning/upload-vex.mdx index c8688db..f8dfaa5 100644 --- a/src/pages/how-to-guides/scanning/upload-vex.mdx +++ b/src/pages/how-to-guides/scanning/upload-vex.mdx @@ -33,7 +33,7 @@ Before you begin, ensure you have: Upload a VEX document to update vulnerability statuses: ```bash copy -docker run -v "$(PWD):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ +docker run -v "$(pwd):/dev/app" ghcr.io/l3montree-dev/devguard/scanner:main \ devguard-scanner vex \ /dev/app/vex.json \ --assetName="myorg/projects/myproject/assets/myrepo" \ @@ -69,28 +69,28 @@ For automated VEX uploads in CI/CD pipelines, DevGuard provides ready-to-use int {/* Fail the command based on risk or CVSS level: -```bash copy +```bash copy {ignore} --failOnRisk=critical # Options: low, medium, high, critical (default: critical) --failOnCVSS=critical # Options: low, medium, high, critical (default: critical) ``` */} Specify which artifact this VEX applies to (you can find your artifacts in your DevGuard repository): -```bash copy +```bash copy {ignore} --artifactName="pkg:devguard/orgSlug/projectSlug/repoSlug" # Default is "pkg:oci/{orgSlug}/{projectSlug}/{repoSlug}" ``` Set a custom origin to track where the VEX came from: -```bash copy +```bash copy {ignore} --origin="vex-upload" # Default is "vex-upload" ``` Specify Git reference information: -```bash copy +```bash copy {ignore} --ref="v1.2.3" # Git reference (branch, tag, or commit) --defaultRef="main" # Default Git reference to use --isTag=true # Indicates if the reference is a tag diff --git a/src/pages/how-to-guides/vulnerability-management/sync-external-data.mdx b/src/pages/how-to-guides/vulnerability-management/sync-external-data.mdx index bcf69c3..eb0ecc4 100644 --- a/src/pages/how-to-guides/vulnerability-management/sync-external-data.mdx +++ b/src/pages/how-to-guides/vulnerability-management/sync-external-data.mdx @@ -71,7 +71,7 @@ Use the DevGuard scanner CLI to upload VEX documents or SBOMs. Like the other co ``` - ```bash + ```bash devguard-scanner sbom --token xyz --apiUrl https://api.devguard.org/ --assetName my-org/projects/a-group/assets/my-repo sbom.json ``` diff --git a/src/pages/tutorials/advanced/discover-base-image-attestations.mdx b/src/pages/tutorials/advanced/discover-base-image-attestations.mdx index c250d8c..37da0df 100644 --- a/src/pages/tutorials/advanced/discover-base-image-attestations.mdx +++ b/src/pages/tutorials/advanced/discover-base-image-attestations.mdx @@ -35,9 +35,9 @@ The scanner analyzes your Dockerfile to identify base images and attempts to ret To use the discovered attestations with DevGuard: -1. **Extract the predicate:** The VEX document is nested within the `predicate` field of the in-toto statement -2. **Save the predicate content:** Extract the JSON from the `predicate` field to a separate file -3. **Upload to DevGuard:** Use the standard VEX upload process (UI or CLI) with the extracted predicate content +1. **Discover the attestations:** The scanner writes one file per attestation, named after the predicate type — a `https://cyclonedx.org/vex` predicate ends up in `attestation-vex.json` +2. **No manual extraction needed:** The scanner already unwraps the in-toto statement, so the file contains the `predicate` content itself, not the surrounding statement +3. **Upload to DevGuard:** Use the standard VEX upload process (UI or CLI) with that file ### Example Dockerfile @@ -97,14 +97,11 @@ COPY --chown=53111:53111 /go/src/app/build-output /app/build-output **Example extraction workflow:** ```bash -# Discover attestations +# Discover attestations — each one is written to attestation-.json devguard-scanner discover-baseimage-attestations Dockerfile -# Extract the predicate from the in-toto statement -jq '.predicate' vex > vex-document.json - -# Upload the extracted VEX document -devguard-scanner vex --token xyz --apiUrl https://api.devguard.org/ --assetName my-org/projects/my-group/assets/my-repo vex-document.json +# Upload the VEX document, e.g. for the predicate type https://cyclonedx.org/vex +devguard-scanner vex --token xyz --apiUrl https://api.devguard.org/ --assetName my-org/projects/my-group/assets/my-repo attestation-vex.json ``` ## Related Documentation From 0a61f58eb54fdb5d3bdad5585ca810aa147a5535 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Fri, 31 Jul 2026 14:18:57 +0200 Subject: [PATCH 06/21] fix: yaml --- .github/workflows/nix-tests.yaml | 8 -------- 1 file changed, 8 deletions(-) diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index dea25d7..cb914e0 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -22,14 +22,6 @@ jobs: working-directory: .github/e2e run: docker compose up -d - - name: Wait for database migrations - working-directory: .github/e2e - run: docker compose wait devguard-migrate - - - name: Wait for vulnerability database import - working-directory: .github/e2e - run: docker compose wait devguard-vulndb-import - - name: Wait for backend to be ready run: | echo "Waiting for devguard-api..." From 35ea3bf3dde09140f27d1662d9706eee0079cebc Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Fri, 31 Jul 2026 15:05:05 +0200 Subject: [PATCH 07/21] fix: yaml --- .github/workflows/nix-tests.yaml | 11 ++++++++--- 1 file changed, 8 insertions(+), 3 deletions(-) diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index cb914e0..3eed463 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -1,7 +1,7 @@ # Runs every shell code block of the documentation against a real DevGuard instance. # The backend stack is identical to the devguard-web E2E setup (migrate + vulndb import), # afterwards the documentation seed data is loaded and run-test.sh is executed. -name: Documentation Code Block Tests +name: Documentation Code Block testing on: workflow_dispatch: @@ -12,12 +12,17 @@ permissions: read-all jobs: nix-tests: runs-on: ubuntu-latest - timeout-minutes: 90 + timeout-minutes: 60 steps: - name: Checkout uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 #v7.0.1 + # not in git: .gitignore excludes *.pem + - name: Create test encryption key + working-directory: .github/e2e + run: openssl rand -hex 32 > test-secret.pem + - name: Start backend services working-directory: .github/e2e run: docker compose up -d @@ -25,7 +30,7 @@ jobs: - name: Wait for backend to be ready run: | echo "Waiting for devguard-api..." - timeout 300 bash -c 'until curl -sf http://localhost:8080/api/v1/health/ > /dev/null 2>&1; do sleep 3; done' + timeout 600 bash -c 'until curl -sf http://localhost:8080/api/v1/health/ > /dev/null 2>&1; do sleep 3; done' echo "Backend ready." - name: Load documentation seed data From 681b6c6eef7b8794ea194dd3826e05f7a9a60afc Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Fri, 31 Jul 2026 15:23:15 +0200 Subject: [PATCH 08/21] fix: nix path --- src/nix-tests/run-test.sh | 3 +++ src/nix-tests/shell.nix | 3 +-- src/pages/getting-started/choose-your-path/for-devops.mdx | 2 +- 3 files changed, 5 insertions(+), 3 deletions(-) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index d657870..ef211a6 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -4,6 +4,9 @@ set -euo pipefail TMP_DIR="src/nix-tests/tmp" SHELL_NIX="src/nix-tests/shell.nix" SCRIPT_TIMEOUT="${SCRIPT_TIMEOUT:-300}" +NIXPKGS_URL="https://github.com/NixOS/nixpkgs/tarball/nixos-26.05" + +export NIX_PATH="nixpkgs=$NIXPKGS_URL" cleanup() { rm -rf "$TMP_DIR" diff --git a/src/nix-tests/shell.nix b/src/nix-tests/shell.nix index b3df5e0..23cfeb7 100644 --- a/src/nix-tests/shell.nix +++ b/src/nix-tests/shell.nix @@ -1,6 +1,5 @@ let - nixpkgs = fetchTarball "https://github.com/NixOS/nixpkgs/tarball/nixos-26.05"; - pkgs = import nixpkgs { config = {}; overlays = []; }; + pkgs = import { config = {}; overlays = []; }; in pkgs.mkShellNoCC { diff --git a/src/pages/getting-started/choose-your-path/for-devops.mdx b/src/pages/getting-started/choose-your-path/for-devops.mdx index d528d1f..b8922f5 100644 --- a/src/pages/getting-started/choose-your-path/for-devops.mdx +++ b/src/pages/getting-started/choose-your-path/for-devops.mdx @@ -39,7 +39,7 @@ For background on how these stages fit together, see [Understanding the OWASP De After a successful pipeline run, DevGuard signs the container image using cosign with the private key derived from your PAT. Retrieve the corresponding public key at any time: -```sh +```sh {ignore} devguard-scanner inspect-devguard-token --token $DEVGUARD_TOKEN ``` From eb44c8c1d393431ffef3c598f5a0b6ae196e144d Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 08:42:16 +0200 Subject: [PATCH 09/21] rerun pipe --- .github/workflows/nix-tests.yaml | 1 - 1 file changed, 1 deletion(-) diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index 3eed463..7e213c5 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -18,7 +18,6 @@ jobs: - name: Checkout uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 #v7.0.1 - # not in git: .gitignore excludes *.pem - name: Create test encryption key working-directory: .github/e2e run: openssl rand -hex 32 > test-secret.pem From 15b5898e8cfbc0968b10b76794e1e2761caf35bb Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 11:41:29 +0200 Subject: [PATCH 10/21] fix: first page testing --- src/nix-tests/nixmd.mts | 16 ++-------------- src/nix-tests/run-test.sh | 20 ++++++++++++++++++-- tsconfig.json | 1 + 3 files changed, 21 insertions(+), 16 deletions(-) diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index d412d09..5e5f3ac 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -1,4 +1,4 @@ -import { readFileSync, writeFileSync, mkdirSync, readdirSync, rmSync } from 'node:fs' +import { readFileSync, writeFileSync, mkdirSync } from 'node:fs' import { relative, join, sep } from 'node:path' const OUT_DIR = 'src/nix-tests/tmp' @@ -135,16 +135,4 @@ function convert(mdxPath: string): void { console.log(`${testBlocks.length} Blöcke → ${outPath}`) } -function collectMdxFiles(): string[] { - const entries = readdirSync(PAGES_DIR, { recursive : true }) - rmSync(OUT_DIR, { recursive: true, force: true }) - - return entries - .map((entry) => String(entry)) - .filter((entry) => entry.endsWith('.mdx')) - .map((entry) => join(PAGES_DIR, entry)) -} - -for (const mdxPath of collectMdxFiles()) { - convert(mdxPath) -} \ No newline at end of file +convert(process.argv[2]) \ No newline at end of file diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index ef211a6..fad4e78 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -5,6 +5,12 @@ TMP_DIR="src/nix-tests/tmp" SHELL_NIX="src/nix-tests/shell.nix" SCRIPT_TIMEOUT="${SCRIPT_TIMEOUT:-300}" NIXPKGS_URL="https://github.com/NixOS/nixpkgs/tarball/nixos-26.05" +EXAMPLE_REPO_URL="git@github.com:l3montree-dev/devguard-example-repository.git" +EXAMPLE_REPO_DIR="$TMP_DIR/example-repository" + +MDX_FILES=( + "src/pages/getting-started/first-scan.mdx" +) export NIX_PATH="nixpkgs=$NIXPKGS_URL" @@ -13,8 +19,16 @@ cleanup() { } trap cleanup EXIT +rm -rf "$TMP_DIR" +mkdir -p "$TMP_DIR" + +echo "Cloning $EXAMPLE_REPO_URL .." +git clone --depth 1 "$EXAMPLE_REPO_URL" "$EXAMPLE_REPO_DIR" + echo "Getting all the code blocks together.." -node src/nix-tests/nixmd.mts +for mdx in "${MDX_FILES[@]}"; do + node src/nix-tests/nixmd.mts "$mdx" +done export DEVGUARD_APIURL="$apiUrl" export DEVGUARD_TOKEN="$token" @@ -27,7 +41,9 @@ for script in "$TMP_DIR"/*.sh; do echo "==> $script" work_dir="$TMP_DIR/work/$(basename "$script" .sh)" - mkdir -p "$work_dir" + mkdir -p "$TMP_DIR/work" + rm -rf "$work_dir" + cp -R "$EXAMPLE_REPO_DIR" "$work_dir" if nix-shell "$SHELL_NIX" --run "cd '$work_dir' && timeout $SCRIPT_TIMEOUT bash '$PWD/$script'" < /dev/null; then echo "OK: $script" diff --git a/tsconfig.json b/tsconfig.json index dd40e56..4783ee3 100644 --- a/tsconfig.json +++ b/tsconfig.json @@ -27,6 +27,7 @@ "include": [ "next-env.d.ts", "**/*.ts", + "**/*.mts", "**/*.tsx", "src/pages/form.msx" ], From e9f1962f88394e8c475a44e4d12a940741583f11 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 12:00:20 +0200 Subject: [PATCH 11/21] test for first file --- .github/workflows/nix-tests.yaml | 2 +- src/nix-tests/run-test.sh | 2 +- 2 files changed, 2 insertions(+), 2 deletions(-) diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index 7e213c5..dfdf3b1 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -73,7 +73,7 @@ jobs: - name: Run documentation tests env: assetName: testorg/projects/testgroup/assets/testrepo - apiUrl: http://localhost:8080 + apiUrl: http://host.docker.internal:8080 webUI: http://localhost:3000 token: df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a run: bash src/nix-tests/run-test.sh diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index fad4e78..9a00362 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -5,7 +5,7 @@ TMP_DIR="src/nix-tests/tmp" SHELL_NIX="src/nix-tests/shell.nix" SCRIPT_TIMEOUT="${SCRIPT_TIMEOUT:-300}" NIXPKGS_URL="https://github.com/NixOS/nixpkgs/tarball/nixos-26.05" -EXAMPLE_REPO_URL="git@github.com:l3montree-dev/devguard-example-repository.git" +EXAMPLE_REPO_URL="${EXAMPLE_REPO_URL:-https://github.com/l3montree-dev/devguard-example-repository.git}" EXAMPLE_REPO_DIR="$TMP_DIR/example-repository" MDX_FILES=( From 63b0683378930d10035d7abfeb55e54b37a32bc2 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 13:02:31 +0200 Subject: [PATCH 12/21] fix: pipe --- .github/workflows/nix-tests.yaml | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index dfdf3b1..94e37c2 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -73,7 +73,7 @@ jobs: - name: Run documentation tests env: assetName: testorg/projects/testgroup/assets/testrepo - apiUrl: http://host.docker.internal:8080 + apiUrl: http://172.17.0.1:8080 webUI: http://localhost:3000 token: df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a run: bash src/nix-tests/run-test.sh From 10be250396373fc9ef88e1be75bb425224a8e00b Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 13:29:08 +0200 Subject: [PATCH 13/21] feat: next test file --- src/nix-tests/run-test.sh | 1 + 1 file changed, 1 insertion(+) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index 9a00362..ccdb1f5 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -10,6 +10,7 @@ EXAMPLE_REPO_DIR="$TMP_DIR/example-repository" MDX_FILES=( "src/pages/getting-started/first-scan.mdx" + "src/pages/contributing/getting-started.mdx" ) export NIX_PATH="nixpkgs=$NIXPKGS_URL" From 61bc862e949258f1588848dafecfb7dff08d7721 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 13:38:38 +0200 Subject: [PATCH 14/21] fix: ssh clone to https --- src/nix-tests/nixmd.mts | 8 +++++++- 1 file changed, 7 insertions(+), 1 deletion(-) diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index 5e5f3ac..72a4cf4 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -9,6 +9,8 @@ const BLOCKING_HINT = /^[ \t]*#[ \t]*hint:.*\bblock/i const BLANK_OR_COMMENT = /^[ \t]*(#|$)/ const LINE_CONTINUATION = /\\[ \t]*$/ +const SSH_REMOTE = /git@([A-Za-z0-9.-]+):([A-Za-z0-9._\/-]+)/g + const VARIABLE_FLAGS = ['assetName', 'apiUrl', 'token', 'webUI'] const VARIABLE_PATTERNS: [RegExp, string][] = [ @@ -44,6 +46,10 @@ function changeToTestVariables(code: string): string { ) } +function httpsRemotes(code: string): string { + return code.replace(SSH_REMOTE, 'https://$1/$2') +} + function endOfCommand(lines: string[], start: number): number { let end = start @@ -124,7 +130,7 @@ function convert(mdxPath: string): void { } const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' const body = testBlocks - .map((block) => backgroundHintedCommands(changeToTestVariables(block.code))) + .map((block) => backgroundHintedCommands(httpsRemotes(changeToTestVariables(block.code)))) .join('\n') const outPath = outputPathFor(mdxPath) From eaf1e05d67fb745150173273a3df07ac289b3b78 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 13:47:17 +0200 Subject: [PATCH 15/21] fix: backend already started --- src/pages/contributing/getting-started.mdx | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/src/pages/contributing/getting-started.mdx b/src/pages/contributing/getting-started.mdx index 5dd2ed2..d8caf9d 100644 --- a/src/pages/contributing/getting-started.mdx +++ b/src/pages/contributing/getting-started.mdx @@ -72,14 +72,14 @@ Adjust the values in the `.env` file according to your needs. Run the following command: -```bash copy +```bash {ignore} copy docker compose up -d ``` Keep this running in a separate terminal.

Step 4: Run database migrations

-```bash +```bash {ignore} make migrate ``` @@ -87,7 +87,7 @@ docker compose up -d Run this command to start the backend: -```bash +```bash {ignore} # hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable make ``` From 7091ec610ede61c7f55abf77fc68b178684de499 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 14:44:43 +0200 Subject: [PATCH 16/21] feat: added example repo to the two test sides --- src/pages/contributing/getting-started.mdx | 6 ++++++ src/pages/getting-started/first-scan.mdx | 6 ++++++ 2 files changed, 12 insertions(+) diff --git a/src/pages/contributing/getting-started.mdx b/src/pages/contributing/getting-started.mdx index d8caf9d..59f9949 100644 --- a/src/pages/contributing/getting-started.mdx +++ b/src/pages/contributing/getting-started.mdx @@ -41,6 +41,12 @@ To set up and run DevGuard, ensure the following services are installed on your - **[Make](https://www.gnu.org/software/make/)**: To execute commands in the Makefile. - **[(Visual Studio Code (VS Code))](https://code.visualstudio.com/download)**: For managing and editing the codebase (or use any other code editor of your choice). +If you don't have a project yet, you can use our example repository to test out DevGuard. + +```sh {ignore} +git clone git@github.com:l3montree-dev/devguard-example-repository.git +``` + *** ## Setting Up DevGuard Backend Locally diff --git a/src/pages/getting-started/first-scan.mdx b/src/pages/getting-started/first-scan.mdx index da5881d..9d7725b 100644 --- a/src/pages/getting-started/first-scan.mdx +++ b/src/pages/getting-started/first-scan.mdx @@ -27,6 +27,12 @@ Before you begin, ensure you have: - Access to a **DevGuard instance** ([DevGuard Cloud](https://app.devguard.org) or [self-hosted](/how-to-guides/administration)) - A **repository** created in DevGuard (organization → group → repository) +If you don't have a project yet, you can use our example repository to test out DevGuard. + +```sh {ignore} +git clone git@github.com:l3montree-dev/devguard-example-repository.git +``` + If you need to set up a local instance from scratch, follow the [Quickstart](/getting-started) instead. ## Steps From c066e650b626107e4e5f29dbd2ad3aa9d819b6ac Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 15:53:25 +0200 Subject: [PATCH 17/21] feat: added new explaining sboms site --- src/nix-tests/run-test.sh | 1 + src/pages/explanations/explaining-sboms.mdx | 20 +++++++++++++++----- 2 files changed, 16 insertions(+), 5 deletions(-) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index ccdb1f5..86f78fe 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -11,6 +11,7 @@ EXAMPLE_REPO_DIR="$TMP_DIR/example-repository" MDX_FILES=( "src/pages/getting-started/first-scan.mdx" "src/pages/contributing/getting-started.mdx" + "src/pages/explanations/explaining-sboms.mdx" ) export NIX_PATH="nixpkgs=$NIXPKGS_URL" diff --git a/src/pages/explanations/explaining-sboms.mdx b/src/pages/explanations/explaining-sboms.mdx index 4e4dc98..5f2f92a 100644 --- a/src/pages/explanations/explaining-sboms.mdx +++ b/src/pages/explanations/explaining-sboms.mdx @@ -29,7 +29,7 @@ A Software Bill of Materials (SBOM) is a structured inventory of all components -## 📌How to create a SBOM +## 📌 How to create a SBOM
@@ -41,22 +41,32 @@ A Software Bill of Materials (SBOM) is a structured inventory of all components ```bash -trivy fs /path/to/your/project --format cyclonedx --output trivy-results.json +trivy fs . --format cyclonedx --output trivy-sbom.json ``` ```bash -devguard-scanner sbom --output-format json --output-file sbom.json /path/to/your/project +docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + devguard-scanner sca \ + --path /app/ \ + --sbomOutputPath /app/devguard-sbom.json \ + --assetName="your-asset-name" \ + --apiUrl="https://api.devguard.org" \ + --token="YOUR_TOKEN" ```
- ## 📌How to upload a SBOM to Devguard + ## 📌 How to upload a SBOM to Devguard ```bash -devguard-scanner sbom --token YOUR_TOKEN --assetName your-asset-name --path /path/to/sbom.json +docker run -v "$(pwd):/app" ghcr.io/l3montree-dev/devguard/scanner:main \ + devguard-scanner sbom /app/devguard-sbom.json \ + --assetName="your-asset-name" \ + --apiUrl="https://api.devguard.org" \ + --token="YOUR_TOKEN" ``` ## 📌 SBOM Example From 559cf5267059aa19b25d1b68faffc3a56724e1f9 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Mon, 3 Aug 2026 16:04:35 +0200 Subject: [PATCH 18/21] fix: permission problem --- src/nix-tests/run-test.sh | 1 + 1 file changed, 1 insertion(+) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index 86f78fe..71958ae 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -46,6 +46,7 @@ for script in "$TMP_DIR"/*.sh; do mkdir -p "$TMP_DIR/work" rm -rf "$work_dir" cp -R "$EXAMPLE_REPO_DIR" "$work_dir" + chmod -R a+rwX "$work_dir" if nix-shell "$SHELL_NIX" --run "cd '$work_dir' && timeout $SCRIPT_TIMEOUT bash '$PWD/$script'" < /dev/null; then echo "OK: $script" From 5ab2e0f2d3c3013053d9b7d71ec095b82afd4cb3 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Tue, 4 Aug 2026 08:58:41 +0200 Subject: [PATCH 19/21] feat: added new vex page to testing --- src/nix-tests/run-test.sh | 2 ++ 1 file changed, 2 insertions(+) diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh index 71958ae..7e5bd89 100755 --- a/src/nix-tests/run-test.sh +++ b/src/nix-tests/run-test.sh @@ -12,6 +12,7 @@ MDX_FILES=( "src/pages/getting-started/first-scan.mdx" "src/pages/contributing/getting-started.mdx" "src/pages/explanations/explaining-sboms.mdx" + "src/pages/how-to-guides/scanning/upload-vex.mdx" ) export NIX_PATH="nixpkgs=$NIXPKGS_URL" @@ -46,6 +47,7 @@ for script in "$TMP_DIR"/*.sh; do mkdir -p "$TMP_DIR/work" rm -rf "$work_dir" cp -R "$EXAMPLE_REPO_DIR" "$work_dir" + cp public/example-files/ingesting/vex-accepted.json "$work_dir/vex.json" chmod -R a+rwX "$work_dir" if nix-shell "$SHELL_NIX" --run "cd '$work_dir' && timeout $SCRIPT_TIMEOUT bash '$PWD/$script'" < /dev/null; then From 4f72243b6c903e06c59e94b0bcfab9a0704f44dd Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Wed, 5 Aug 2026 15:05:29 +0200 Subject: [PATCH 20/21] fix: reworked .sh to nixmd --- .github/workflows/nix-tests.yaml | 2 +- src/nix-tests/nixmd.mts | 114 ++++++++++++++++-- src/nix-tests/run-test.sh | 60 --------- .../architecture/authentication-flow.mdx | 4 +- .../compliance/compliance-as-code.mdx | 10 +- .../explanations/personal-access-token.mdx | 4 +- .../choose-your-path/for-devops.mdx | 2 +- src/pages/getting-started/index.mdx | 2 +- .../getting-started/use-devguard-api.mdx | 8 +- .../administration/backup-restore.mdx | 6 +- .../administration/database-maintenance.mdx | 4 +- .../administration/deploy-with-helm.mdx | 14 +-- .../instance-admin-dashboard.mdx | 2 +- .../administration/monitoring-metrics.mdx | 4 +- .../administration/restricting-access.mdx | 10 +- .../administration/uninstalling-devguard.mdx | 6 +- .../administration/upgrade-devguard.mdx | 12 +- .../dependency-proxy/setup-go-proxy.mdx | 4 +- .../dependency-proxy/setup-pypi-proxy.mdx | 4 +- .../gitlab/setup-gitlab-integration.mdx | 4 +- .../kubernetes-devguard-integration.mdx | 6 +- .../how-to-guides/integrations/mcp-server.mdx | 8 +- .../integrations/webhook-events.mdx | 10 +- .../scanning/branches-tags-and-artifacts.mdx | 2 +- .../vulnerability-database/cve-enrichment.mdx | 18 +-- 25 files changed, 175 insertions(+), 145 deletions(-) delete mode 100755 src/nix-tests/run-test.sh diff --git a/.github/workflows/nix-tests.yaml b/.github/workflows/nix-tests.yaml index 94e37c2..c3651f0 100644 --- a/.github/workflows/nix-tests.yaml +++ b/.github/workflows/nix-tests.yaml @@ -76,4 +76,4 @@ jobs: apiUrl: http://172.17.0.1:8080 webUI: http://localhost:3000 token: df8f06f63639f161bf00f04566308aa88580b894c2798e5168ba9a89b572866a - run: bash src/nix-tests/run-test.sh + run: node src/nix-tests/nixmd.mts diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index 72a4cf4..75e8df5 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -1,7 +1,8 @@ -import { readFileSync, writeFileSync, mkdirSync } from 'node:fs' -import { relative, join, sep } from 'node:path' +import { readFileSync, writeFileSync, mkdirSync, rmSync, cpSync, copyFileSync } from 'node:fs' +import { relative, join, sep, basename, resolve } from 'node:path' +import { execFileSync } from 'node:child_process' -const OUT_DIR = 'src/nix-tests/tmp' +const TMP_DIR = 'src/nix-tests/tmp' const PAGES_DIR = 'src/pages' const CODE_FENCE = /^[ \t]*```(\w*)[ \t]*([^\r\n]*)\r?\n([\s\S]*?)^[ \t]*```/gm const SHELL_LANGS = new Set(['bash', 'sh', 'shell']) @@ -13,6 +14,22 @@ const SSH_REMOTE = /git@([A-Za-z0-9.-]+):([A-Za-z0-9._\/-]+)/g const VARIABLE_FLAGS = ['assetName', 'apiUrl', 'token', 'webUI'] +const SHELL_NIX = 'src/nix-tests/shell.nix' +const SCRIPT_TIMEOUT = process.env.SCRIPT_TIMEOUT ?? '300' +const NIXPKGS_URL = 'https://github.com/NixOS/nixpkgs/tarball/nixos-26.05' +const EXAMPLE_REPO_URL = + process.env.EXAMPLE_REPO_URL ?? 'https://github.com/l3montree-dev/devguard-example-repository.git' +const EXAMPLE_REPO_DIR = join(TMP_DIR, 'example-repository') +const VEX_SOURCE = 'public/example-files/ingesting/vex-accepted.json' + +const REQUIRED_ENV = ['assetName', 'apiUrl', 'token', 'webUI'] as const + +const MDX_FILES = [ + 'src/pages/getting-started/first-scan.mdx', + 'src/pages/contributing/getting-started.mdx', + 'src/pages/how-to-guides/scanning/upload-vex.mdx', +] + const VARIABLE_PATTERNS: [RegExp, string][] = [ [/https:\/\/(?:api|app)\.devguard\.org/g, '${apiUrl}'], [/https:\/\//g, '${apiUrl}'], @@ -97,8 +114,8 @@ function backgroundHintedCommands(code: string): string { return lines.join('\n') } -function extractBlocks(source: string) : CodeBlock[] { - const result : CodeBlock[] = [] +function extractBlocks(source: string): CodeBlock[] { + const result: CodeBlock[] = [] for (const match of source.matchAll(CODE_FENCE)) { result.push({ @@ -115,10 +132,10 @@ function outputPathFor(mdxPath: string): string { const relativePath = relative(PAGES_DIR, mdxPath) const fileName = relativePath.replace(/\.mdx$/, '').split(sep).join('-') + '.sh' - return join(OUT_DIR, fileName) + return join(TMP_DIR, fileName) } -function convert(mdxPath: string): void { +function convert(mdxPath: string): string | null { const source = readFileSync(mdxPath, 'utf8') const blocks = extractBlocks(source) const testBlocks = blocks.filter( @@ -126,8 +143,9 @@ function convert(mdxPath: string): void { ) if (testBlocks.length === 0) { - return + return null } + const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' const body = testBlocks .map((block) => backgroundHintedCommands(httpsRemotes(changeToTestVariables(block.code)))) @@ -135,10 +153,82 @@ function convert(mdxPath: string): void { const outPath = outputPathFor(mdxPath) - mkdirSync(OUT_DIR, { recursive: true }) + mkdirSync(TMP_DIR, { recursive: true }) writeFileSync(outPath, header + body) - - console.log(`${testBlocks.length} Blöcke → ${outPath}`) + + console.log(`${testBlocks.length} Blocks → ${outPath}`) + + return outPath +} + +const shQuote = (value: string): string => `'${value.replace(/'/g, `'\\''`)}'` + +function assertRequiredEnv(): void { + const missing = REQUIRED_ENV.filter((name) => !process.env[name]) + + if (missing.length > 0) { + throw new Error( + `Missing variables: ${missing.join(', ')}.`, + ) + } +} + +function main(): void { + assertRequiredEnv() + + const env = { + ...process.env, + NIX_PATH: `nixpkgs=${NIXPKGS_URL}`, + DEVGUARD_APIURL: process.env.apiUrl, + DEVGUARD_TOKEN: process.env.token, + } + + rmSync(TMP_DIR, { recursive: true, force: true }) + mkdirSync(TMP_DIR, { recursive: true }) + + try { + console.log(`Cloning ${EXAMPLE_REPO_URL} ..`) + execFileSync('git', ['clone', '--depth', '1', EXAMPLE_REPO_URL, EXAMPLE_REPO_DIR], { + stdio: 'inherit', + env, + }) + + console.log('Getting all the code blocks together..') + const scripts = MDX_FILES.map(convert).filter((path): path is string => path !== null) + + const workRoot = join(TMP_DIR, 'work') + mkdirSync(workRoot, { recursive: true }) + + let failed = false + + for (const script of scripts) { + console.log(`==> ${script}`) + + const workDir = join(workRoot, basename(script, '.sh')) + rmSync(workDir, { recursive: true, force: true }) + cpSync(EXAMPLE_REPO_DIR, workDir, { recursive: true }) + copyFileSync(VEX_SOURCE, join(workDir, 'vex.json')) + execFileSync('chmod', ['-R', 'a+rwX', workDir], { stdio: 'inherit' }) + + const inner = + `cd ${shQuote(resolve(workDir))} && ` + + `timeout ${SCRIPT_TIMEOUT} bash ${shQuote(resolve(script))}` + + try { + execFileSync('nix-shell', [SHELL_NIX, '--run', inner], { + stdio: ['ignore', 'inherit', 'inherit'], + env, + }) + console.log(`OK: ${script}`) + } catch { + console.error(`FAILED: ${script}`) + failed = true + } + } + process.exitCode = failed ? 1 : 0 + } finally { + rmSync(TMP_DIR, { recursive: true, force: true }) + } } -convert(process.argv[2]) \ No newline at end of file +main() diff --git a/src/nix-tests/run-test.sh b/src/nix-tests/run-test.sh deleted file mode 100755 index 6c2ae97..0000000 --- a/src/nix-tests/run-test.sh +++ /dev/null @@ -1,60 +0,0 @@ -#!/usr/bin/env bash -set -euo pipefail - -TMP_DIR="src/nix-tests/tmp" -SHELL_NIX="src/nix-tests/shell.nix" -SCRIPT_TIMEOUT="${SCRIPT_TIMEOUT:-300}" -NIXPKGS_URL="https://github.com/NixOS/nixpkgs/tarball/nixos-26.05" -EXAMPLE_REPO_URL="${EXAMPLE_REPO_URL:-https://github.com/l3montree-dev/devguard-example-repository.git}" -EXAMPLE_REPO_DIR="$TMP_DIR/example-repository" - -MDX_FILES=( - "src/pages/getting-started/first-scan.mdx" - "src/pages/contributing/getting-started.mdx" - "src/pages/how-to-guides/scanning/upload-vex.mdx" -) - -export NIX_PATH="nixpkgs=$NIXPKGS_URL" - -cleanup() { - rm -rf "$TMP_DIR" -} -trap cleanup EXIT - -rm -rf "$TMP_DIR" -mkdir -p "$TMP_DIR" - -echo "Cloning $EXAMPLE_REPO_URL .." -git clone --depth 1 "$EXAMPLE_REPO_URL" "$EXAMPLE_REPO_DIR" - -echo "Getting all the code blocks together.." -for mdx in "${MDX_FILES[@]}"; do - node src/nix-tests/nixmd.mts "$mdx" -done - -export DEVGUARD_APIURL="$apiUrl" -export DEVGUARD_TOKEN="$token" - -failed=0 - -for script in "$TMP_DIR"/*.sh; do - [ -e "$script" ] || break - - echo "==> $script" - - work_dir="$TMP_DIR/work/$(basename "$script" .sh)" - mkdir -p "$TMP_DIR/work" - rm -rf "$work_dir" - cp -R "$EXAMPLE_REPO_DIR" "$work_dir" - cp public/example-files/ingesting/vex-accepted.json "$work_dir/vex.json" - chmod -R a+rwX "$work_dir" - - if nix-shell "$SHELL_NIX" --run "cd '$work_dir' && timeout $SCRIPT_TIMEOUT bash '$PWD/$script'" < /dev/null; then - echo "OK: $script" - else - echo "FAILED: $script" >&2 - failed=1 - fi -done - -exit "$failed" diff --git a/src/pages/explanations/architecture/authentication-flow.mdx b/src/pages/explanations/architecture/authentication-flow.mdx index 28cb40b..6c484d9 100644 --- a/src/pages/explanations/architecture/authentication-flow.mdx +++ b/src/pages/explanations/architecture/authentication-flow.mdx @@ -42,7 +42,7 @@ Content-Digest: sha-256=:base64-hash: ``` Create an asymmetric token: -```bash {ignore} +```bash POST /api/v1/pats { "description": "CI/CD Token", @@ -60,7 +60,7 @@ Authorization: Bearer dvg_ ``` Create a symmetric token (omit `pubKey`): -```bash {ignore} +```bash POST /api/v1/pats { "description": "Webhook Token", diff --git a/src/pages/explanations/compliance/compliance-as-code.mdx b/src/pages/explanations/compliance/compliance-as-code.mdx index 5927ef1..58d6e03 100644 --- a/src/pages/explanations/compliance/compliance-as-code.mdx +++ b/src/pages/explanations/compliance/compliance-as-code.mdx @@ -40,7 +40,7 @@ To create and upload an attestation, cosign can be used. The produced attestatio 1. **Generate a key pair using ****\`cosign\`****:** - ```sh {ignore} + ```sh cosign generate-key-pair ``` @@ -58,7 +58,7 @@ To create and upload an attestation, cosign can be used. The produced attestatio 3. **Sign and upload the attestation:** - ```sh {ignore} + ```sh cosign attest --predicate some-json-file.json --key cosign.key IMAGE_NAME --tlog-upload=false ``` @@ -97,7 +97,7 @@ One can inspect the different layers and attestations in the blobs directory. To download an attestation using `cosign`, run the following command. The verify does check the signatures, but it does not inspect any of the contents of the json files we uploaded: -```sh {ignore} +```sh cosign verify-attestation --key cosign.pub ghcr.io/l3montree-dev/oh-my-honeypot:main-c8c45b74-1741875691 --insecure-ignore-tlog=true | jq -r .payload | base64 -D > attestation.json ``` @@ -149,7 +149,7 @@ To automate verification, use Sigstore’s policy controller. 1. Install the Policy Controller using Helm: - ```sh {ignore} + ```sh helm repo add sigstore https://sigstore.github.io/helm-charts helm repo update kubectl create namespace cosign-system @@ -190,7 +190,7 @@ To automate verification, use Sigstore’s policy controller. 3. Enforce Policy on a Namespace - ```sh {ignore} + ```sh kubectl label namespace secure-namespace policy.sigstore.dev/include=true ``` diff --git a/src/pages/explanations/personal-access-token.mdx b/src/pages/explanations/personal-access-token.mdx index c202435..18a63bd 100644 --- a/src/pages/explanations/personal-access-token.mdx +++ b/src/pages/explanations/personal-access-token.mdx @@ -114,7 +114,7 @@ For direct API calls with **asymmetric tokens**, the request must be signed. The For direct API calls with **Bearer tokens**: -```bash {ignore} +```bash curl -H "Authorization: Bearer dvg_" \ https://app.devguard.org/api/v1/organizations/my-org/projects/ ``` @@ -138,7 +138,7 @@ All active tokens are listed under **User Settings → Personal Access Tokens**. **By private key** (for asymmetric tokens — useful for scripted revocation): -```bash {ignore} +```bash curl -X POST https://api.devguard.org/api/v1/pats/revoke-by-private-key \ -H "Content-Type: application/json" \ -d '{"privkey": ""}' diff --git a/src/pages/getting-started/choose-your-path/for-devops.mdx b/src/pages/getting-started/choose-your-path/for-devops.mdx index b8922f5..6cf9404 100644 --- a/src/pages/getting-started/choose-your-path/for-devops.mdx +++ b/src/pages/getting-started/choose-your-path/for-devops.mdx @@ -39,7 +39,7 @@ For background on how these stages fit together, see [Understanding the OWASP De After a successful pipeline run, DevGuard signs the container image using cosign with the private key derived from your PAT. Retrieve the corresponding public key at any time: -```sh {ignore} +```sh devguard-scanner inspect-devguard-token --token $DEVGUARD_TOKEN ``` diff --git a/src/pages/getting-started/index.mdx b/src/pages/getting-started/index.mdx index d1418bd..421f3f9 100644 --- a/src/pages/getting-started/index.mdx +++ b/src/pages/getting-started/index.mdx @@ -184,7 +184,7 @@ Navigate to a directory containing code you want to scan and run the command. Th **Example output:** -```bash {ignore} +```bash 11:48AM INF scanning directory dir=/app 11:49AM INF Scan completed successfully dependencyVulnAmount=7 openedByThisScan=7 closedByThisScan=0 +--------------------------------------------+----------------+------+------+---------------------+---------+--------+ diff --git a/src/pages/getting-started/use-devguard-api.mdx b/src/pages/getting-started/use-devguard-api.mdx index f8db509..2969ad7 100644 --- a/src/pages/getting-started/use-devguard-api.mdx +++ b/src/pages/getting-started/use-devguard-api.mdx @@ -82,7 +82,7 @@ Fill in: For asymmetric tokens, generate a key pair first with the DevGuard CLI: -```sh {ignore} +```sh devguard-cli key generate ``` @@ -94,7 +94,7 @@ This outputs your private key (keep it secret) and the public key to paste durin Add the token to the `Authorization` header: - ```sh {ignore} + ```sh curl -H "Authorization: Bearer dvg_" \ https://app.devguard.org/api/v1/organizations/my-org/projects/ ``` @@ -108,7 +108,7 @@ This outputs your private key (keep it secret) and the public key to paste durin The DevGuard scanner and CLI handle signing automatically when you provide the private key: - ```sh {ignore} + ```sh devguard-scanner scan \ --token \ --asset my-org/my-project/my-asset @@ -124,7 +124,7 @@ This outputs your private key (keep it secret) and the public key to paste durin Revoked tokens are immediately rejected. For asymmetric tokens you can also revoke by private key from the CLI: -```sh {ignore} +```sh devguard-cli pat revoke --private-key ``` diff --git a/src/pages/how-to-guides/administration/backup-restore.mdx b/src/pages/how-to-guides/administration/backup-restore.mdx index 501f007..2565e54 100644 --- a/src/pages/how-to-guides/administration/backup-restore.mdx +++ b/src/pages/how-to-guides/administration/backup-restore.mdx @@ -31,7 +31,7 @@ DevGuard stores all data in PostgreSQL. Use `pg_dump` to back up your databases. We recommend using a tool like `pg_dump` to back up the databases. You may want to schedule regular backups using cron jobs or other scheduling tools. -```bash {ignore} +```bash pg_dump --dbname=devguard --file="/{data_source}-{timestamp}-dump.sql" ``` @@ -44,7 +44,7 @@ Restoring overwrites all existing data. Stop DevGuard services before restoring. -```bash {ignore} +```bash # Stop services kubectl scale deployment devguard-api-deployment devguard-web-deployment kratos \ -n devguard --replicas=0 @@ -62,7 +62,7 @@ kubectl scale deployment devguard-api-deployment devguard-web-deployment kratos -```bash {ignore} +```bash # Stop services docker-compose -f docker-compose-try-it.yaml stop devguard-api devguard-web kratos diff --git a/src/pages/how-to-guides/administration/database-maintenance.mdx b/src/pages/how-to-guides/administration/database-maintenance.mdx index a5d52b3..7fe8fee 100644 --- a/src/pages/how-to-guides/administration/database-maintenance.mdx +++ b/src/pages/how-to-guides/administration/database-maintenance.mdx @@ -46,7 +46,7 @@ Check the `devguard_daemon_vulndb_update_duration_minutes` Prometheus metric to View update progress in the API logs: -```bash {ignore} +```bash # Kubernetes # hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard | grep -i vulndb @@ -83,7 +83,7 @@ devguard-cli vulndb import **Kubernetes:** -```bash {ignore} +```bash kubectl exec -it deployment/devguard-api-deployment -n devguard -- devguard-cli vulndb import ``` diff --git a/src/pages/how-to-guides/administration/deploy-with-helm.mdx b/src/pages/how-to-guides/administration/deploy-with-helm.mdx index 297d84e..838f05f 100644 --- a/src/pages/how-to-guides/administration/deploy-with-helm.mdx +++ b/src/pages/how-to-guides/administration/deploy-with-helm.mdx @@ -28,7 +28,7 @@ Deploy DevGuard to a Kubernetes cluster using the [official Helm chart](https:// ### Create namespace -```bash {ignore} +```bash kubectl create namespace devguard ``` @@ -36,7 +36,7 @@ kubectl create namespace devguard DevGuard requires an EC private key for signing In-Toto attestations: -```bash {ignore} +```bash openssl ecparam -name prime256v1 -genkey -noout -out private.ec.key kubectl create secret generic ec-private-key \ --from-file=privateKey=private.ec.key \ @@ -81,7 +81,7 @@ mail: See the full [values.yaml](https://github.com/l3montree-dev/devguard-helm-chart/blob/main/values.yaml) for all configuration options. To inspect the chart locally: -```bash {ignore} +```bash helm pull oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard --version tar -xzf devguard-.tgz cd devguard @@ -90,7 +90,7 @@ cd devguard ### Install the chart -```bash {ignore} +```bash helm install devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version \ --namespace devguard \ @@ -99,7 +99,7 @@ helm install devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ ### Verify deployment -```bash {ignore} +```bash kubectl get pods -n devguard ``` @@ -111,7 +111,7 @@ All pods should reach `Running` status within a few minutes. You will find the p For CSAF advisory generation, create a PGP key pair: -```bash {ignore} +```bash gpg --full-generate-key KEY_ID=$(gpg --list-secret-keys --keyid-format LONG | grep sec | head -1 | awk '{print $2}' | cut -d'/' -f2) gpg --armor --export "$KEY_ID" > public.asc @@ -139,7 +139,7 @@ api: Then upgrade the release: -```bash {ignore} +```bash helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version {version} \ --namespace devguard \ diff --git a/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx b/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx index 88b3785..fb87849 100644 --- a/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx +++ b/src/pages/how-to-guides/administration/instance-admin-dashboard.mdx @@ -103,7 +103,7 @@ When `api.adminPublicKey` is set, the chart automatically: Apply the change with a `helm upgrade`: -```bash {ignore} +```bash helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version 1.7.0 \ --namespace devguard \ diff --git a/src/pages/how-to-guides/administration/monitoring-metrics.mdx b/src/pages/how-to-guides/administration/monitoring-metrics.mdx index dcea317..85da5fe 100644 --- a/src/pages/how-to-guides/administration/monitoring-metrics.mdx +++ b/src/pages/how-to-guides/administration/monitoring-metrics.mdx @@ -71,7 +71,7 @@ api: Create the secret: -```bash {ignore} +```bash kubectl create secret generic otlp-basic-auth \ --from-literal=username="your-username" \ --from-literal=password="your-password" \ @@ -152,7 +152,7 @@ observability: For operational visibility without a full observability stack, check the API logs directly: -```bash {ignore} +```bash # Kubernetes # hint: this command will block your shell. Append "&" to run it in the background and keep your shell usable kubectl logs -f deployment/devguard-api-deployment -n devguard diff --git a/src/pages/how-to-guides/administration/restricting-access.mdx b/src/pages/how-to-guides/administration/restricting-access.mdx index ac2bd64..f83b384 100644 --- a/src/pages/how-to-guides/administration/restricting-access.mdx +++ b/src/pages/how-to-guides/administration/restricting-access.mdx @@ -72,7 +72,7 @@ oidc: Create the required secret: -```bash {ignore} +```bash kubectl create secret generic github-client-secret \ --from-literal=secret="your-github-oauth-app-secret" \ -n devguard @@ -107,7 +107,7 @@ oidc: Create the required secrets: -```bash {ignore} +```bash # OAuth client secret (required) kubectl create secret generic my-gitlab-client-secret \ --from-literal=secret="your-gitlab-oauth-secret" \ @@ -145,7 +145,7 @@ oidc: Create the auto-setup secret: -```bash {ignore} +```bash kubectl create secret generic opencodeautosetup-appsecret \ --from-literal=secret="your-autosetup-oauth-secret" \ -n devguard @@ -159,7 +159,7 @@ To disable new user registration and restrict access to existing users or OIDC-a Edit the `kratos-config` ConfigMap: -```bash {ignore} +```bash kubectl edit configmap kratos-config -n devguard ``` @@ -176,7 +176,7 @@ selfservice: Restart the Kratos deployment for changes to take effect: -```bash {ignore} +```bash kubectl rollout restart deployment kratos -n devguard ``` diff --git a/src/pages/how-to-guides/administration/uninstalling-devguard.mdx b/src/pages/how-to-guides/administration/uninstalling-devguard.mdx index 246e0a6..6543a99 100644 --- a/src/pages/how-to-guides/administration/uninstalling-devguard.mdx +++ b/src/pages/how-to-guides/administration/uninstalling-devguard.mdx @@ -36,7 +36,7 @@ DevGuard consists of multiple components. Precisely, it includes: Before uninstalling the server infrastructure, make sure to backup the data if you want to keep it for future use. DevGuard stores its data in a PostgreSQL database. You can backup the database using the following command: -```bash {ignore} +```bash # exec into the pod to dump the database kubectl exec --namespace -it -- bash -c "pg_dump -U > /tmp/backup.sql" # copy the backup to your local machine @@ -48,7 +48,7 @@ Usually your deployment infrastructure already provides a backup mechanism for t Uninstalling the DevGuard Server Infrastructure is as simple as deleting the Helm-Chart or the manually installed components. If you have deployed the DevGuard Server Infrastructure using a Helm-Chart, you can delete the Helm-Chart using the following command: -```bash {ignore} +```bash helm delete --namespace ``` @@ -63,7 +63,7 @@ which devguard-scanner Once you have found the path to the binary, you can delete it using the following command: -```bash {ignore} +```bash rm /usr/local/bin/devguard-scanner ``` diff --git a/src/pages/how-to-guides/administration/upgrade-devguard.mdx b/src/pages/how-to-guides/administration/upgrade-devguard.mdx index cf975c5..af21b00 100644 --- a/src/pages/how-to-guides/administration/upgrade-devguard.mdx +++ b/src/pages/how-to-guides/administration/upgrade-devguard.mdx @@ -40,7 +40,7 @@ The DevGuard API and Web images share the same version tags. The Helm chart vers ### Upgrade -```bash {ignore} +```bash helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ --version \ --namespace devguard \ @@ -49,7 +49,7 @@ helm upgrade devguard oci://ghcr.io/l3montree-dev/devguard-helm-chart/devguard \ ### Verify deployment -```bash {ignore} +```bash kubectl rollout status deployment/devguard-api-deployment -n devguard kubectl rollout status deployment/devguard-web-deployment -n devguard ``` @@ -60,7 +60,7 @@ kubectl rollout status deployment/devguard-web-deployment -n devguard If issues occur: -```bash {ignore} +```bash helm rollback devguard -n devguard ``` @@ -98,19 +98,19 @@ services: ### Pull new images -```bash {ignore} +```bash docker-compose -f docker-compose-try-it.yaml pull ``` ### Restart containers -```bash {ignore} +```bash docker-compose -f docker-compose-try-it.yaml up -d ``` ### Verify -```bash {ignore} +```bash docker-compose -f docker-compose-try-it.yaml ps ``` diff --git a/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx b/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx index 96e3ee1..ef173f6 100644 --- a/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx +++ b/src/pages/how-to-guides/dependency-proxy/setup-go-proxy.mdx @@ -31,7 +31,7 @@ export GOPROXY="https:///api/v1/dependency-proxy/go" To make this permanent, add it to your CI environment or shell profile. For project-scoped configuration, set it in your CI/CD platform's environment variable configuration alongside your other build variables. Then use `go get` as usual: -```bash {ignore} +```bash go get github.com/example/package ``` @@ -43,7 +43,7 @@ go get github.com/example/package DevGuard ships a test module that is permanently flagged as malicious: -```bash {ignore} +```bash go get github.com/fake-org/malicious-package # Expected: 403 Forbidden ``` diff --git a/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx b/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx index fdfbe4b..3e808b6 100644 --- a/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx +++ b/src/pages/how-to-guides/dependency-proxy/setup-pypi-proxy.mdx @@ -39,7 +39,7 @@ trusted-host = For CI/CD pipelines or ephemeral environments, set the proxy via environment variables instead: -```bash {ignore} +```bash export PIP_INDEX_URL="https:///api/v1/dependency-proxy/pypi/simple" export PIP_TRUSTED_HOST="" pip install requests @@ -57,7 +57,7 @@ pip install requests DevGuard ships a test package that is permanently flagged as malicious: -```bash {ignore} +```bash pip install fake-malicious-pypi-package # Expected: blocked with a 403 Forbidden error ``` diff --git a/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx b/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx index 3589535..02b8886 100644 --- a/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx +++ b/src/pages/how-to-guides/integrations/gitlab/setup-gitlab-integration.mdx @@ -66,12 +66,12 @@ Add a name for the Integration (like Tom's Personal Access Token, or Project Acc Paste following URL in the URL field: if you are using devguard under stage.devguard.org - ```sh {ignore} copy + ```sh copy https://api.stage.devguard.org/api/v1/webhook/ ``` if you are using devguard under main.devguard.org - ```sh {ignore} copy + ```sh copy https://api.devguard.org/api/v1/webhook/ ``` then select the events you want to trigger the webhook, it is recommended to select following events: diff --git a/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx b/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx index e94fe39..bb9b03c 100644 --- a/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx +++ b/src/pages/how-to-guides/integrations/kubernetes-devguard-integration.mdx @@ -106,7 +106,7 @@ The integration covers the full vulnerability management workflow, not just disc ### 1. Create the namespace and token secret -```bash {ignore} +```bash kubectl create namespace devguard kubectl create secret generic devguard-k8s-image-inventory \ @@ -116,7 +116,7 @@ kubectl create secret generic devguard-k8s-image-inventory \ ### 2. Apply the RBAC manifests -```bash {ignore} +```bash kubectl apply -f deploy/rbac.yaml ``` @@ -136,7 +136,7 @@ The daemon appends its own provider ID to this URL. You can choose any provider Then apply: -```bash {ignore} +```bash kubectl apply -f deploy/deployment.yaml ``` diff --git a/src/pages/how-to-guides/integrations/mcp-server.mdx b/src/pages/how-to-guides/integrations/mcp-server.mdx index 6ae7316..0b2d9d7 100644 --- a/src/pages/how-to-guides/integrations/mcp-server.mdx +++ b/src/pages/how-to-guides/integrations/mcp-server.mdx @@ -65,13 +65,13 @@ Download the latest binary for your platform from the [Releases page](https://gi Make the binary executable on Linux and macOS: -```bash {ignore} +```bash chmod +x devguard-mcp-linux-amd64 ``` ### Build from source -```bash {ignore} +```bash git clone https://github.com/l3montree-dev/devguard/mcp-server cd mcp-server go build -o devguard-mcp ./cmd/mcp-server @@ -140,7 +140,7 @@ You can pass these as environment variables directly in your client config. Add the server via the Claude Code CLI: - ```bash {ignore} + ```bash claude mcp add devguard /path/to/devguard-mcp -e DEVGUARD_PAT=your-pat-here ``` @@ -161,7 +161,7 @@ You can pass these as environment variables directly in your client config. Verify the server was registered: - ```bash {ignore} + ```bash claude mcp list ``` diff --git a/src/pages/how-to-guides/integrations/webhook-events.mdx b/src/pages/how-to-guides/integrations/webhook-events.mdx index 4d93b3f..cf81c6d 100644 --- a/src/pages/how-to-guides/integrations/webhook-events.mdx +++ b/src/pages/how-to-guides/integrations/webhook-events.mdx @@ -42,13 +42,13 @@ When an event fires, DevGuard delivers it to all matching webhooks: project-scop ### Via the API -```bash {ignore} +```bash POST /api/v1/organizations/{org}/integrations/webhook/test-and-save/ ``` For a project-scoped webhook: -```bash {ignore} +```bash POST /api/v1/organizations/{org}/projects/{project}/integrations/webhook/test-and-save/ ``` @@ -93,7 +93,7 @@ POST /api/v1/organizations/{org}/projects/{project}/integrations/webhook/test-an ### Updating a Webhook -```bash {ignore} +```bash PUT /api/v1/organizations/{org}/integrations/webhook/{id}/ ``` @@ -101,7 +101,7 @@ The request body is the same as creation, but must also include the `id` field. ### Deleting a Webhook -```bash {ignore} +```bash DELETE /api/v1/organizations/{org}/integrations/webhook/{id}/ ``` @@ -187,7 +187,7 @@ Requests time out after **120 seconds**. You can send a test payload to any URL without saving it: -```bash {ignore} +```bash POST /api/v1/organizations/{org}/integrations/webhook/test/ ``` diff --git a/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx b/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx index 26fb8cd..9ac6a22 100644 --- a/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx +++ b/src/pages/how-to-guides/scanning/branches-tags-and-artifacts.mdx @@ -43,7 +43,7 @@ If you do not pass `--ref`, the scanner tries to auto-detect it: 1. If the current directory is a Git repository, it uses the current branch or tag name. 2. If no Git repository is found, it falls back to `main`. -```bash copy {ignore} +```bash copy --ref="feature/login" # Git reference (branch, tag, or commit). Auto-detected if omitted. --defaultRef="main" # The repository's default branch. --isTag=true # Set when the ref is a tag rather than a branch. diff --git a/src/pages/reference/vulnerability-database/cve-enrichment.mdx b/src/pages/reference/vulnerability-database/cve-enrichment.mdx index 39d6ad5..9b8be22 100644 --- a/src/pages/reference/vulnerability-database/cve-enrichment.mdx +++ b/src/pages/reference/vulnerability-database/cve-enrichment.mdx @@ -49,7 +49,7 @@ Get a paginated list of enriched CVEs with filtering and sorting capabilities. | `availabilityRequirements` | string | CIA - Availability (low/medium/high) | medium | #### Example Request -```bash {ignore} +```bash GET /api/v1/vulndb?page=1&limit=10&sort[cvss]=desc&filterQuery[cvss][is greater than]=7&confidentialityRequirements=high ``` @@ -145,7 +145,7 @@ Enhanced risk calculation beyond base CVSS: | `availabilityRequirements` | string | Availability requirement | medium | #### Example Request -```bash {ignore} +```bash GET /api/v1/vulndb/CVE-2024-1234?confidentialityRequirements=high ``` @@ -189,7 +189,7 @@ Analyze a Package URL to discover vulnerabilities and malicious package informat **Path Parameter**: `purl` (URL-encoded, e.g., `pkg:npm/lodash@4.17.20`) #### Example -```bash {ignore} +```bash GET /api/v1/vulndb/purl-inspect/pkg%3Anpm%2Flodash%404.17.20 ``` Returns: PURL details, affected components, vulnerabilities, and malicious package status. @@ -235,24 +235,24 @@ The API returns enhanced CVSS vectors with temporal and environmental metrics au ### 1. Vulnerability Assessment Query CVEs with specific CVSS thresholds and environmental context: -```bash {ignore} +```bash GET /api/v1/vulndb?filterQuery[cvss][is greater than]=7.0&confidentialityRequirements=high ``` ### 2. Package Vulnerability Scanning Check if a specific package version has known vulnerabilities: -```bash {ignore} +```bash GET /api/v1/vulndb/purl-inspect/pkg%3Anpm%2Fexpress%404.17.1 ``` ### 3. Exploit Intelligence Find CVEs with active exploits in CISA KEV: -```bash {ignore} +```bash GET /api/v1/vulndb?filterQuery[cisaExploitAdd][is not null]=true&sort[cisaExploitAdd]=desc ``` ### 4. Ecosystem Analysis -```bash {ignore} +```bash GET /api/v1/vulndb/affected-package-distribution ``` @@ -274,7 +274,7 @@ The API supports sophisticated filtering on CVE fields: Sort results by any field in ascending or descending order: -```bash {ignore} +```bash # Sort by CVSS score (descending) GET /api/v1/vulndb?sort[cvss]=desc @@ -287,7 +287,7 @@ GET /api/v1/vulndb?sort[percentile]=desc ### Combining Filters and Sorts -```bash {ignore} +```bash GET /api/v1/vulndb?filterQuery[cvss][is greater than]=8.0&filterQuery[epss][is not null]=true&sort[epss]=desc&limit=50 ``` From 5164961ad34c0d4525335afb30ba6fa7d1078445 Mon Sep 17 00:00:00 2001 From: Julian Kepka Date: Wed, 5 Aug 2026 15:22:51 +0200 Subject: [PATCH 21/21] fix: trap pipe --- src/nix-tests/nixmd.mts | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/src/nix-tests/nixmd.mts b/src/nix-tests/nixmd.mts index 75e8df5..138e89c 100644 --- a/src/nix-tests/nixmd.mts +++ b/src/nix-tests/nixmd.mts @@ -146,7 +146,7 @@ function convert(mdxPath: string): string | null { return null } - const header = '#!/usr/bin/env bash\nset -euo pipefail\n\n' + const header = "#!/usr/bin/env bash\nset -euo pipefail\ntrap 'kill $(jobs -p) 2>/dev/null || true' EXIT\n\n" const body = testBlocks .map((block) => backgroundHintedCommands(httpsRemotes(changeToTestVariables(block.code)))) .join('\n') @@ -205,7 +205,7 @@ function main(): void { console.log(`==> ${script}`) const workDir = join(workRoot, basename(script, '.sh')) - rmSync(workDir, { recursive: true, force: true }) + rmSync(workDir, { recursive: true, force: true, maxRetries: 5, retryDelay: 200 }) cpSync(EXAMPLE_REPO_DIR, workDir, { recursive: true }) copyFileSync(VEX_SOURCE, join(workDir, 'vex.json')) execFileSync('chmod', ['-R', 'a+rwX', workDir], { stdio: 'inherit' }) @@ -227,7 +227,7 @@ function main(): void { } process.exitCode = failed ? 1 : 0 } finally { - rmSync(TMP_DIR, { recursive: true, force: true }) + rmSync(TMP_DIR, { recursive: true, force: true, maxRetries: 5, retryDelay: 200 }) } }