POA&M台帳 (Pro)

POA&M項目は検出事項から自動的に作成・更新されます。同期はインポートおよび検出事項の変更の直後に実行され、夜間の一括処理で漏れたものを拾い上げます。スキャナーが報告しない弱点については、手動で項目を追加することもできます。

POA&M台帳

台帳の規則

台帳はFedRAMPの規則に従います。

安定した採番。 各項目はそのシステム内で連番を保持し、番号が再利用されることはありません。
グループ化された検出事項の集約。 多数のホストにまたがる同一のCVEは1つの項目にまとめられ、影響を受ける各資産がその項目に列挙されます。
構成に関する検出事項はCM-6の下に統合できます。 ベンチマークルールごとに項目が乱立して台帳が埋め尽くされるのを防ぎます。上のスクリーンショットでは、V-4がその統合された項目です。
完了した項目は再開されません。 同じ弱点が再発した場合、台帳は古い項目を参照する新しい項目を開くため、是正履歴はそのまま保たれます。

各行の鉛筆アイコンから項目を編集できます。

POA&M項目の編集

ここから、担当者、必要なリソース、是正計画を設定し、逸脱があれば記録します。

逸脱は、各項目について3つの独立した状態として追跡されます。

いずれも共通のDeviation Rationaleを持ちます。リスク調整の場合はさらに、元の評価と並べてAdjusted Risk Ratingが記録され、両方とも生成される成果物に表示されます。

自分で直接是正できない弱点については、項目にVendor DependencyフラグとVendor Product名を設定できます。最後にベンダーへ確認した日付も、その項目とともに追跡されます。

CISAのKnown Exploited Vulnerabilityに紐づく項目には、KEVの期限日が付与されます。その日付は是正期限の上限にもなります — 是正期限を参照してください。

マイルストーンには、予定日と完了日を伴う説明があり、ExcelとOSCALの両方の出力に表示されます。マイルストーンは項目フォームではなく、コンプライアンスAPIを通じて管理されます。

スキャナーが報告しない弱点については項目を追加します。手動で作成した項目は、同期された項目と同じように動作します。次の連番が割り当てられ、逸脱やマイルストーンを設定でき、次のスナップショットに表示されます。

POA&M項目、マイルストーン、逸脱はすべて監査履歴の対象です。すべての変更について、誰が、何を、いつ行ったかが記録されます。