SOC 2 Type II ऑडिटर्स पूरे ऑडिट पीरियड में आपके वल्नरेबिलिटी मैनेजमेंट प्रोग्राम की बारीक़ी से जांच करते हैं। पॉइंट-इन-टाइम स्कैन्स से ऑडिटर्स को संतुष्ट करने के दिन ख़त्म हो चुके हैं। KENSAI वह कंटीन्युअस एविडेंस ट्रेल प्रदान करता है जो मॉडर्न SOC 2 ऑडिट्स की ज़रूरत होती है।
SOC 2 असेसमेंट शुरू करें → डेमो बुक करेंSOC 2, AICPA के Trust Services Criteria (TSC) पर आधारित है। वल्नरेबिलिटी मैनेजमेंट एविडेंस मुख्य रूप से Common Criteria (CC) के तहत ज़रूरी है जो सिस्टम ऑपरेशंस और चेंज मैनेजमेंट से संबंधित है:
एंटिटी डिटेक्शन और मॉनिटरिंग प्रोसीजर्स का उपयोग करके कॉन्फ़िगरेशंस में बदलाव, नई वल्नरेबिलिटीज़, और एनोमलीज़ की पहचान करती है। ऑडिटर्स यह देखना चाहते हैं: ऑनगोइंग वल्नरेबिलिटी स्कैनिंग, डॉक्यूमेंटेड प्रोसेसेज़, और यह एविडेंस कि मॉनिटरिंग कंटीन्युअस है — सिर्फ़ त्रैमासिक नहीं।
सिक्योरिटी इंसिडेंट्स (वल्नरेबिलिटीज़ के एक्सप्लॉइटेशन सहित) की पहचान की जाती है और उन पर रिस्पॉन्स दिया जाता है। वल्नरेबिलिटी मैनेजमेंट सीधे इंसिडेंट रिस्पॉन्स प्रोसेस में फ़ीड करता है।
इंफ्रास्ट्रक्चर, डेटा, सॉफ़्टवेयर, और प्रोसेसेज़ में बदलावों को ऑथराइज़, डिज़ाइन, डेवलप, डॉक्यूमेंट, टेस्ट, रिव्यू, और इम्प्लीमेंट किया जाता है। बदलावों के बाद वल्नरेबिलिटी स्कैनिंग एक्सपेक्टेड एविडेंस है।
एंटिटी वल्नरेबिलिटी आइडेंटिफ़िकेशन और रेमेडिएशन सहित रिस्क मिटिगेशन एक्टिविटीज़ सेलेक्ट और डेवलप करती है। यहीं आपकी वल्नरेबिलिटी प्रायोरिटाइज़ेशन और रेमेडिएशन SLAs का मूल्यांकन किया जाता है।
💡 Type I बनाम Type II: SOC 2 Type I एक पॉइंट-इन-टाइम असेसमेंट है। Type II एक पीरियड (आमतौर पर 6-12 महीने) कवर करता है। Type II के लिए, ऑडिटर्स पूरे ऑडिट पीरियड में से वल्नरेबिलिटी स्कैन एविडेंस सैंपल करेंगे और कंसिस्टेंट, रिपीटेबल एक्ज़िक्यूशन देखेंगे। महीने 11 में एक सिंगल स्कैन पास नहीं होगा।
SOC 2 एंगेजमेंट्स में आम ऑडिटर रिक्वेस्ट्स के आधार पर, यहाँ बताया गया है कि आपको क्या प्रदान करना होगा:
| एविडेंस टाइप | फ़्रीक्वेंसी | ऑडिटर्स क्या चाहते हैं |
|---|---|---|
| वल्नरेबिलिटी स्कैन रिज़ल्ट्स | मासिक या कंटीन्युअस | टाइमस्टैम्प्स, स्कोप, फ़ाइंडिंग्स काउंट, सेवेरिटी ब्रेकडाउन |
| पेनेट्रेशन टेस्ट रिपोर्ट | सालाना | मेथडोलॉजी, स्कोप, फ़ाइंडिंग्स, रेमेडिएशन स्टेटस |
| रेमेडिएशन ट्रैकिंग | कंटीन्युअस | डिस्कवरी से फ़िक्स से रीटेस्ट तक का टिकटिंग ट्रेल |
| पैच मैनेजमेंट रिकॉर्ड्स | कंटीन्युअस | SLA के भीतर लागू किए गए क्रिटिकल पैचेज़ (आमतौर पर 30 दिन) |
| वल्नरेबिलिटी मैनेजमेंट पॉलिसी | ऑडिट पर | सेवेरिटी डेफ़िनेशंस और रेमेडिएशन SLAs के साथ लिखित पॉलिसी |
| रिस्क एक्सेप्टेंस डॉक्यूमेंटेशन | प्रति एक्सेप्शन | अनपैच्ड ज्ञात वल्नरेबिलिटीज़ के लिए साइन्ड रिस्क एक्सेप्टेंस |
हालांकि SOC 2 स्पष्ट रूप से पेनेट्रेशन टेस्टिंग फ़्रीक्वेंसी को अनिवार्य नहीं बनाता, लगभग सभी क्रेडिबल SOC 2 रिपोर्ट्स में एनुअल पेनेट्रेशन टेस्टिंग एविडेंस शामिल होता है। ऑडिटर्स इसे एक मैच्योर वल्नरेबिलिटी मैनेजमेंट प्रोग्राम के एविडेंस के रूप में देखते हैं।
SOC 2 पेनटेस्ट एविडेंस के लिए मुख्य रिक्वायरमेंट्स:
टाइमस्टैम्प्ड रिपोर्ट्स के साथ डेली या वीकली स्कैन्स वह कंटीन्युअस एविडेंस ट्रेल प्रदान करते हैं जो SOC 2 Type II ऑडिटर्स को पूरे ऑडिट पीरियड में चाहिए होता है।
सेवेरिटी के हिसाब से रेमेडिएशन SLAs डिफ़ाइन और ट्रैक करें। KENSAI आपकी डॉक्यूमेंटेड वल्नरेबिलिटी रेमेडिएशन टाइमलाइंस के साथ कंप्लायंस दिखाने वाली रिपोर्ट्स जनरेट करता है।
CC8.1 रिक्वायरमेंट्स को पूरा करने के लिए इंफ्रास्ट्रक्चर बदलावों के बाद ऑटोमेटिकली स्कैन ट्रिगर करें।
स्कैन हिस्ट्री, रेमेडिएशन मेट्रिक्स, और ट्रेंड एनालिसिस को ऑडिटर रिव्यू के लिए डिज़ाइन किए गए फ़ॉर्मेट्स में एक्सपोर्ट करें। ऑडिट प्रेप टाइम को काफ़ी हद तक कम करें।
उन वल्नरेबिलिटीज़ के लिए रिस्क एक्सेप्टेंस डिसीज़न्स डॉक्यूमेंट करें जिन्हें तुरंत रेमेडिएट नहीं किया जा सकता, एप्रूवर सिग्नेचर्स और रिव्यू डेट्स के साथ।
ऑडिटर्स को दिखाएं कि सभी इन-स्कोप सिस्टम्स आपके वल्नरेबिलिटी मैनेजमेंट प्रोग्राम द्वारा कवर किए गए हैं, एक कॉम्प्रिहेंसिव एसेट इन्वेंटरी के साथ।
KENSAI वह कंटीन्युअस वल्नरेबिलिटी स्कैनिंग, रेमेडिएशन ट्रैकिंग, और ऑडिटर-रेडी रिपोर्टिंग प्रदान करता है जो SOC 2 Type II की ज़रूरत होती है। आज ही अपना एविडेंस ट्रेल बनाना शुरू करें।
SOC 2 कंप्लायंस शुरू करें → एक कंप्लायंस एक्सपर्ट से बात करें