SOC 2 اختبار الأمان وإدارة الثغرات الأمنية

يقوم مدققو SOC 2 Type II بفحص برنامج إدارة الثغرات الأمنية لديك خلال فترة التدقيق الكاملة. لقد ولت أيام عمليات الفحص في الوقت المناسب التي ترضي المدققين. توفر KENSAI مسار الأدلة المستمر الذي تتطلبه عمليات تدقيق SOC 2 الحديثة.

SOC 2 المعايير المشتركة لإدارة الثغرات الأمنية

يعتمد SOC 2 على معايير خدمات الثقة (TSC) الخاصة بـ AICPA. أدلة إدارة الثغرات الأمنية مطلوبة في المقام الأول بموجبالمعايير المشتركة (CC)المتعلقة بعمليات النظام وإدارة التغيير:

ما الذي يطلبه مدققو SOC 2 فعليًا

بناءً على طلبات المراجعين الشائعة عبر ارتباطات SOC 2، إليك ما ستحتاج إلى تقديمه:

اختبار الاختراق لـ SOC 2

في حين أن SOC 2 لا ينص بشكل صريح على تكرار اختبار الاختراق، فإن جميع تقارير SOC 2 الموثوقة تقريبًا تتضمن أدلة اختبار الاختراق السنوية. ينظر المدققون إلى هذا كدليل على وجود برنامج ناضج لإدارة الثغرات الأمنية.

المتطلبات الأساسية لأدلة اختبار SOC 2:

• يتم تنفيذه بواسطة طرف ثالث مؤهل (وليس فريق الأمن الداخلي فقط)
• يغطي النطاق الأنظمة الموجودة في نطاق SOC 2 (وليس مجرد مجموعة فرعية)
• يتضمن التقرير النتائج مع تقييمات الخطورة وتوصيات العلاج
• معالجة النتائج العالية/الحرجة الموثقة مع تأكيد إعادة الاختبار
• ملخص تنفيذي مناسب لإدراجه في تقرير SOC 2 نفسه

كيف يدعم KENSAI الامتثال لـ SOC 2

بناء برنامج إدارة الثغرات الأمنية SOC 2-Ready

1. تحديد سياسة إدارة الثغرات الأمنية الخاصة بك- توثيق تعريفات الخطورة، واتفاقيات مستوى الخدمة للمعالجة (على سبيل المثال، حرجة: 7 أيام، عالية: 30 يومًا، متوسطة: 90 يومًا)
2. جرد كافة الأصول في النطاق— جرد الأصول الكامل هو الأساس؛ لا يمكنك مسح ما لا تعرفه
3. تنفيذ المسح المستمر— الحد الأدنى من عمليات الفحص الأسبوعية؛ يفضل يوميًا للأنظمة التي تواجه الإنترنت
4. إنشاء سير عمل العلاج— التذاكر والملاك والمواعيد النهائية ومعايير الإغلاق مع الأدلة
5. اختبار الاختراق السنوي— إشراك طرف ثالث مؤهل على الأقل سنويًا
6. استثناءات الوثيقة— بالنسبة لنقاط الضعف التي لا يمكن علاجها على الفور، قم بتوثيق قبول المخاطر مع مبررات العمل
7. إظهار تحسن الاتجاه— يريد المدققون رؤية برنامج يتحسن بمرور الوقت، وليس برنامجًا ثابتًا