Hartmut/CapaKraken
1
0
Fork 0
Code Issues 10 Pull Requests 1 Actions Packages Projects Releases Wiki Activity

CDP 35948518: Cloud #29

New Issue
Closed
opened 2026-04-16 08:16:52 +02:00 by Hartmut · 3 comments
Hartmut commented 2026-04-16 08:16:52 +02:00
Owner
Copy Link
Copy Source

CDP Control ID: 35948518
Category: Secure Application Development
Frequency: Onetime
Owner: h.noerenberg
Parent: #1

Requirement & Guidance

Secure Application Development Requirement: Complete the Accenture Delivery Methods (ADM) and CDP requirements for Cloud by implementing the security requirements listed in the Secure Coding Checklist in your solution. Validation of this control is attestation to the implementation of all requirements in the secure coding checklist. https://in.accenture.com/protectingaccenture/client-data-protection/secure-coding-checklists/ Guidance: Visit the Secure Coding Checklist page and download the corresponding checklist. Share the list with all applicable project resources and instruct on the implementation of requirements in the solution. In case you are unable to implement a security requirement discuss with your Account Manager to assist in processing a formal exception with client sign-off. The checklists are to be used for tracking purposes. For more information visit the Secure Application Development website. Solution security is required by Policy 56.

**CDP Control ID:** `35948518` **Category:** Secure Application Development **Frequency:** Onetime **Owner:** h.noerenberg **Parent:** #1 ## Requirement & Guidance Secure Application Development Requirement: Complete the Accenture Delivery Methods (ADM) and CDP requirements for Cloud by implementing the security requirements listed in the Secure Coding Checklist in your solution. Validation of this control is attestation to the implementation of all requirements in the secure coding checklist. https://in.accenture.com/protectingaccenture/client-data-protection/secure-coding-checklists/ Guidance: Visit the Secure Coding Checklist page and download the corresponding checklist. Share the list with all applicable project resources and instruct on the implementation of requirements in the solution. In case you are unable to implement a security requirement discuss with your Account Manager to assist in processing a formal exception with client sign-off. The checklists are to be used for tracking purposes. For more information visit the Secure Application Development website. Solution security is required by Policy 56.
Hartmut added the cdpsecurity labels 2026-04-16 08:16:52 +02:00
Hartmut commented 2026-04-16 08:32:39 +02:00
Author
Owner
Copy Link
Copy Source

CapaKraken Action Plan — 35948518 Cloud Secure Coding Checklist

Checklisten-Quelle: Secure Coding_Cloud.xlsx

Aktueller Stand:

  • Docker-basiertes Deployment (Dockerfile.prod, docker-compose.prod.yml)
  • Self-hosted (QNAP) — kein Public Cloud Provider aktiv im Einsatz
  • Image-Registry: Gitea Container Registry (gitea.hartmut-noerenberg.com)

Typische Cloud-Checkliste-Items (zu verifizieren):

  • IAM: Principal of Least Privilege für alle Service-Accounts
  • Keine hardcoded Credentials — alles via .env / Secrets-Manager
  • Network: Private Subnets für DB / Redis (Docker internal network OK)
  • Container: non-root User (Dockerfile.prod line 87–88 — nextjs:nodejs uid 1001 OK)
  • Image-Scanning (Trivy/Grype) in CI
  • TLS End-to-End (nginx Reverse Proxy + HSTS OK)
  • Logging zentralisiert (Pino → JSON → shipping?)
  • Backup-Strategie: Postgres-Dumps, Rotation

Todos:

  • Trivy / Grype Image-Scan in CI hinzufügen (trivy image --severity HIGH,CRITICAL)
  • Checkliste in Excel Online öffnen und pro Item bestätigen
  • Evidence: ausgefüllte Checkliste in samples/CDP/attestations/cloud.pdf

Dateien:

  • Dockerfile.prod, docker-compose.prod.yml
### CapaKraken Action Plan — 35948518 Cloud Secure Coding Checklist **Checklisten-Quelle:** [Secure Coding_Cloud.xlsx](https://ts.accenture.com/sites/Information_Security2/Protecting%20Accenture/Shared%20Documents/Client%20Data%20Protection%20WordPress%20Site/Resources/Secure%20Coding%20Checklists/Secure%20Coding_Cloud.xlsx) **Aktueller Stand:** - Docker-basiertes Deployment (`Dockerfile.prod`, `docker-compose.prod.yml`) - Self-hosted (QNAP) — kein Public Cloud Provider aktiv im Einsatz - Image-Registry: Gitea Container Registry (gitea.hartmut-noerenberg.com) **Typische Cloud-Checkliste-Items (zu verifizieren):** - [ ] IAM: Principal of Least Privilege für alle Service-Accounts - [ ] Keine hardcoded Credentials — alles via `.env` / Secrets-Manager - [ ] Network: Private Subnets für DB / Redis (Docker internal network OK) - [ ] Container: non-root User (Dockerfile.prod line 87–88 — `nextjs:nodejs` uid 1001 OK) - [ ] Image-Scanning (Trivy/Grype) in CI - [ ] TLS End-to-End (nginx Reverse Proxy + HSTS OK) - [ ] Logging zentralisiert (Pino → JSON → shipping?) - [ ] Backup-Strategie: Postgres-Dumps, Rotation **Todos:** - [ ] Trivy / Grype Image-Scan in CI hinzufügen (`trivy image --severity HIGH,CRITICAL`) - [ ] Checkliste in Excel Online öffnen und pro Item bestätigen - [ ] Evidence: ausgefüllte Checkliste in `samples/CDP/attestations/cloud.pdf` **Dateien:** - `Dockerfile.prod`, `docker-compose.prod.yml`
Hartmut commented 2026-04-16 10:02:29 +02:00
Author
Owner
Copy Link
Copy Source

CapaKraken Compliance-Status

EAPPS-Mapping: SaaS/PaaS Cloud Standard
Status: 🟡 PARTIAL / TODO — konkrete Schritte unten

Zusammenfassung

⚠️ CapaKraken läuft aktuell on-premise via Docker — nicht in einer Cloud-Umgebung. Laut docs/acn-standards-applicability.md ist SaaS/PaaS-Cloud-Standard aktuell NIEDRIG (nur relevant bei Cloud-Migration).

Aktuelle Evidenz

  • On-Prem Docker-Deployment — docker-compose.prod.yml
  • Keine Cloud-Provider-Integration im Code
  • Compliance-Doc: SaaS and PaaS Cloud Computing Security | NIEDRIG aktuell (On-Prem Docker) | Relevant bei Cloud-Migration

Offene Aufgaben

  • Empfehlung: N/A-Status — solange kein Cloud-Deployment geplant ist, ist dieser CDP-Control und die Checkliste #32 nicht anwendbar.
  • Bei zukünftiger Cloud-Migration: Control reaktivieren, Checkliste #32 (7 Checks) durchgehen, SLAs pro Cloud-Provider dokumentieren.
  • Alternativ: Ticket + #32 schließen mit Kommentar N/A — On-Prem Docker (Bestätigung durch Owner nötig).

Ticket bleibt offen bis alle Aufgaben abgehakt sind.

## CapaKraken Compliance-Status **EAPPS-Mapping:** `SaaS/PaaS Cloud Standard` **Status:** 🟡 **PARTIAL / TODO** — konkrete Schritte unten ### Zusammenfassung ⚠️ CapaKraken läuft aktuell **on-premise via Docker** — nicht in einer Cloud-Umgebung. Laut `docs/acn-standards-applicability.md` ist SaaS/PaaS-Cloud-Standard aktuell **NIEDRIG** (nur relevant bei Cloud-Migration). ### Aktuelle Evidenz - On-Prem Docker-Deployment — [`docker-compose.prod.yml`](../blob/main/docker-compose.prod.yml) - Keine Cloud-Provider-Integration im Code - Compliance-Doc: *SaaS and PaaS Cloud Computing Security | NIEDRIG aktuell (On-Prem Docker) | Relevant bei Cloud-Migration* ### Offene Aufgaben - [ ] **Empfehlung: N/A-Status** — solange kein Cloud-Deployment geplant ist, ist dieser CDP-Control und die Checkliste #32 nicht anwendbar. - [ ] Bei zukünftiger Cloud-Migration: Control reaktivieren, Checkliste #32 (7 Checks) durchgehen, SLAs pro Cloud-Provider dokumentieren. - [ ] Alternativ: Ticket + #32 schließen mit Kommentar *N/A — On-Prem Docker* (Bestätigung durch Owner nötig). --- *Ticket bleibt offen bis alle Aufgaben abgehakt sind.*
Hartmut commented 2026-04-16 10:07:33 +02:00
Author
Owner
Copy Link
Copy Source

Abschluss als N/A

Laut docs/acn-standards-applicability.md ist SaaS/PaaS Cloud Security für CapaKraken aktuell NIEDRIG relevant (On-Prem Docker-Deployment). Die Sub-Checkliste #32 wurde entsprechend als N/A geschlossen.

Sollte CapaKraken künftig in die Cloud migrieren, ist dieser Control (und #32) neu zu öffnen und durchzuarbeiten.

Ticket wird geschlossen. Bei Cloud-Migration bitte ein neues Ticket aufmachen.

## Abschluss als N/A Laut [`docs/acn-standards-applicability.md`](../blob/main/docs/acn-standards-applicability.md) ist SaaS/PaaS Cloud Security für CapaKraken aktuell **NIEDRIG relevant** (On-Prem Docker-Deployment). Die Sub-Checkliste #32 wurde entsprechend als N/A geschlossen. Sollte CapaKraken künftig in die Cloud migrieren, ist dieser Control (und #32) neu zu öffnen und durchzuarbeiten. Ticket wird geschlossen. Bei Cloud-Migration bitte ein neues Ticket aufmachen.
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
cdp
CDP (Client Data Protection) compliance
 epic
Parent/umbrella ticket
 not-applicable
Control does not apply to CapaKraken scope
 security
Security / compliance work
No Label cdp security
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
Hartmut
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Hartmut/CapaKraken#29
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?