2 δημοσιεύσεις με ετικέτα "soc2"

Εάν ηγείστε μηχανικών ή ασφάλειας σε μια εταιρεία της ΚΕΑ, πιθανώς να έχετε ακούσει την ίδια συζήτηση δύο φορές τους τελευταίους έξι μήνες — μία φορά από τα νομικά ("χρειαζόμαστε ISO 27001") και μία φορά από έναν πελάτη αμερικανικής επιχείρησης ("χρειαζόμαστε SOC 2 Type II"). Και οι δύο έχουν δίκιο. Και οι δύο έχουν πραγματικές συνέπειες. Και και οι δύο έχουν τη διαχείριση προνομιούχου πρόσβασης ως απαίτηση ελέγχου. Το ερώτημα είναι: ποιο θα ακολουθήσετε πρώτα, και υπάρχει επικάλυψη στο έργο;

Η προετοιμασία για SOC 2 Type II είναι μαραθώνιος. Οι περισσότεροι οργανισμοί περνούν από την τεκμηρίωση πολιτικών, τα ερωτηματολόγια αξιολόγησης κινδύνου κατασκευαστών και τα διαγράμματα κατακερματισμού δικτύου χωρίς υπερβολικές δυσκολίες. Στη συνέχεια συναντούν το CC6 — Logical and Physical Access Controls — και ο ελεγχος γίνεται δύσκολος.

Το CC6 είναι το σημείο όπου οι ελεγκτές ξοδεύουν τον περισσότερο χρόνο και όπου οι εταιρείες συχνότερα λαμβάνουν εξαιρέσεις. Καλύπτει ποιος έχει πρόσβαση στα συστήματά σας, πώς ελέγχεται αυτή η πρόσβαση, πώς παρακολουθείται και πώς επανεξετάζεται. Εάν η απάντηση του PAM είναι "χρησιμοποιούμε VPN συν RDP με κοινές διαχειριστικές διαπιστεύσεις," δεν θα περάσετε.

Ακολουθεί ακριβώς τι απαιτεί το CC6, τι ρωτούν οι ελεγκτές και πώς να παράγετε τα στοιχεία.