По изискване
Тестване за проникване по SOC 2, съобразено с вашия одит
SOC 2 не назовава задължителен тест за проникване, но повечето одитори и корпоративни купувачи очакват такъв. Определяме обхвата му според описанието на вашата система и одитния период, след което тестваме повторно, за да издържат доказателствата.
Какво изисква
Изисква ли SOC 2 тест за проникване?
Не в толкова ясни думи. Докладите по SOC 2 се издават от одиторски фирми спрямо Trust Services Criteria на AICPA и нито един критерий не казва, че доставчикът на услуги трябва да възложи тест за проникване. Тестването за проникване се появява в насока към CC4.1, която го изброява сред видовете текущи и отделни оценки, които ръководството може да използва, за да провери дали контролите са налице и действат. Насоките илюстрират как един критерий може да бъде изпълнен; те не са отделни изисквания, всяко от които трябва да бъде удовлетворено.
На практика тестът се очаква така или иначе. CC7.1 изисква субектът да засича промени в конфигурацията, които въвеждат уязвимости, както и новооткрити слабости, а CC4.2 изисква недостатъците да бъдат оценени и предадени навреме на тези, които ги отстраняват. Независимият тест за проникване, с проследено отстраняване и повторен тест, е един от най-ясните начини да се покаже, че тези контроли работят. Много корпоративни клиенти също искат актуален тест при прегледите си на сигурността. Вашият одитор решава кои доказателства са достатъчни.
CC4.1 Текущи и отделни оценки
Ръководството избира и извършва оценки, за да потвърди, че контролите са налице и функционират. Една насока назовава тестването за проникване сред видовете оценки, така че независимият тест е естествен начин този критерий да бъде доказан.
CC7.1 Откриване на нови уязвимости
Откриването и наблюдението следва да улавят промени в конфигурацията, които въвеждат уязвимости, както и новооткрити слабости. Една насока покрива периодичното сканиране за уязвимости; тестът за проникване го допълва, като показва кои проблеми действително могат да бъдат експлоатирани.
CC4.2 Оценка и съобщаване на недостатъци
Недостатъците трябва да бъдат оценени и докладвани навреме на отговорните за коригиращи действия. Констатациите от тестовете захранват този цикъл, а план за отстраняване, последван от повторен тест, показва, че коригиращото действие е завършено.
CC3.2 Идентифициране и анализ на риска
Рисковете за целите на организацията се идентифицират и анализират, включително заплахите и уязвимостите в системните компоненти. Резултатите от теста предоставят актуални доказателства за оценката на риска.
CC7.2 Наблюдение за аномалии
Системните компоненти се наблюдават за аномалии, които могат да показват злонамерени действия. Съпоставянето на действията по време на теста със създадените сигнали показва дали механизмите за откриване работят на практика.
Какво да се тества
Определяне на обхвата спрямо вашата система по SOC 2
Започнете от описанието на системата
Границата в описанието на вашата система по SOC 2 определя какво проверява одиторът. Привеждаме обектите в съответствие с нея: продукционното приложение, неговите API, поддържащите облачни акаунти и услугите за идентичност, които контролират достъпа до тях.
Тестване на приложението и API
При SaaS приложението за клиентите е важна част от обхвата. Проверяваме удостоверяването, правата за достъп, изолацията между клиентски организации, бизнес логиката и API с акаунти за съответните роли.
Облак и инфраструктура
Включваме публично достъпни хостове и услуги, облачни конфигурации и IAM, а при подходящ обхват — вътрешни мрежи или Active Directory. В облака проверяваме използваемите пътища за атака, включително прекомерни права и достъпни хранилища.
Момент в рамките на одитния период
За доклад Type 2 тест, проведен в рамките на периода на проверката и последван от отстраняване на констатациите, позволява на одитора да види контрола в действие. За Type 1 тестването преди датата на доклада подкрепя дизайна на контрола. Договорете момента с одитора си рано.
Какво получавате
Какво предаваме за одита
Пълен технически доклад
Методология, обхват и дати, независимост на тестера и всяка констатация с оценка на риска, доказателства за експлоатацията и насоки за отстраняване, написани така, че одиторът да може да проследи какво е тествано и кога.
Съотнасяне към критериите
Приложение, съотнасящо констатациите и дейностите по тестване към относимите Trust Services Criteria — например CC4.1, CC7.1 и CC4.2 — за да се съкрати прегледът на одитора. Съотнасянето е насока; преценката прави вашият одитор.
Повторен тест след отстраняване и писмо
След като констатациите бъдат отстранени, ги тестваме повторно и издаваме датирано писмо, записващо кои проблеми са потвърдени като отстранени. Това е доказателството, което затваря цикъла на коригиращото действие по CC4.2.
Резюме за споделяне с клиенти
По-кратко резюме за ръководството или атестационно писмо за корпоративни прегледи на сигурността, което потвърждава, че е проведен независим тест, и очертава обхвата и резултата, без да разкрива детайли, годни за експлоатация.
Чести капани
Къде тестването по SOC 2 се обърква
Грешки, които струват време при одит, и как да ги избегнете.
Сканиране, представено като тест за проникване
Резултати от автоматизиран скенер, представени като тест за проникване, може да не осигурят нужните доказателства за одитора или клиента. При SaaS съществените рискове често изискват ръчна проверка на правата за достъп и бизнес логиката.
Обхват, който подминава системата
Тестване на маркетингов сайт, докато продукционното приложение и управленският слой на облака остават отвън, произвежда доказателства, които не съответстват на описанието на системата, а одиторите и клиентите го забелязват.
Тест извън периода
Тест преди началото на периода на проверката по Type 2 или поправки след края му могат да отслабят доказателствата. Съобразете датите на тестването и отстраняването с одитния период.
Оставени отворени констатации
Одиторите може да попитат какво се е случило с констатациите с висок риск. Нерешени проблеми без документирано решение за риска могат да породят въпроси по CC4.2, затова тествайте повторно преди одитната работа, когато е възможно.
Кой решава какво се приема
PXLSec е независима фирма за офанзивна сигурност, а не одитор, оценител, сертифициращ орган или регулатор. Ние извършваме тестването и осигуряваме доказателствата; вашият одитор, оценител или компетентен орган решава какво приема. Тази страница е обща насока, а не правен съвет.
Често задавани въпроси
Често задавани въпроси
Задължителен ли е тестът за проникване за SOC 2?
Нито един критерий в Trust Services Criteria не изисква изрично такъв. Тестването за проникване е назовано в насока към CC4.1 като един от видовете оценки, а насоките са илюстративни, а не задължителни. На практика много одитори и повечето корпоративни клиенти очакват независим тест, затова планирайте такъв, освен ако одиторът ви не се съгласи на друго.
PXLSec издава ли доклади по SOC 2?
Не. PXLSec е фирма за тестване за проникване, а не одиторска фирма или одитор, и не издава доклади, становища или сертификати по SOC 2. Проверките по SOC 2 се извършват от лицензирани одиторски фирми. Ние осигуряваме независими доказателства от тестване, които вашият одитор може да вземе предвид.
Кога да се проведе тестът за доклад Type 2?
В идеалния случай в рамките на периода на проверката, достатъчно рано, за да има отстраняване и повторен тест преди края на периода. Така одиторът вижда както оценката, така и коригиращото действие. Потвърдете момента с одитора си при планирането.
Нужен ли ни е тест за доклад Type 1?
Докладът Type 1 разглежда дизайна на контролите към определен момент, така че одиторът се съсредоточава върху това дали вашите контроли за оценка и управление на уязвимостите са подходящо проектирани. Скорошен тест преди датата на доклада е полезно доказателство, а клиентите често го искат така или иначе.
Колко често да тестваме?
SOC 2 не определя фиксирана честота. Често срещано е годишно тестване, съобразено с одитния цикъл, с допълнително тестване след значими промени в приложението или инфраструктурата. Вашата оценка на риска и ангажиментите към клиентите следва да определят ритъма.
Това одитен съвет ли е?
Не. Тази страница е обща насока за това как тестването за проникване се отнася към SOC 2, основана на публикуваните критерии и обичайната одитна практика. Вашият одитор решава кои доказателства са достатъчни, затова договорете обхвата и момента с него.
Услуги, които осигуряват това
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност