---

취약점 관리에 적용되는 SOC 2 공통 기준

SOC 2는 AICPA의 신뢰 서비스 기준(TSC)을 토대로 합니다. 취약점 관리 증거는 주로 시스템 운영 및 변경 관리와 관련된 다음 공통 기준(CC) 중 하나로 요구됩니다.

SOC 2 감사인이 실제로 요구하는 자료

SOC 2 감사에서 흔히 요청되는 자료를 기준으로 다음 항목을 준비해야 합니다.

증거 유형	주기	감사인이 확인하려는 내용
취약점 스캔 결과	매월 또는 지속적	타임스탬프, 범위, 발견 건수, 심각도별 분류
침투 테스트 보고서	매년	방법론, 범위, 발견 사항, 개선 상태
개선 추적	지속적	발견부터 수정과 재테스트까지 이어지는 티켓 이력
패치 관리 기록	지속적	SLA 이내에 적용된 중요 패치(일반적으로 30일)
취약점 관리 정책	감사 시점	심각도 정의와 개선 SLA를 담은 서면 정책
위험 수용 문서	예외별	패치하지 않은 알려진 취약점에 대해 서명된 위험 수용 기록

SOC 2를 위한 침투 테스트

SOC 2가 침투 테스트 주기를 명시적으로 의무화하지는 않지만, 신뢰할 만한 SOC 2 보고서는 거의 모두 연례 침투 테스트 증거를 포함합니다. 감사인은 이를 성숙한 취약점 관리 프로그램의 증거로 봅니다.

SOC 2 침투 테스트 증거의 핵심 요건은 다음과 같습니다.

• 내부 보안팀만이 아니라 자격을 갖춘 제3자가 수행
• 일부가 아닌 SOC 2 범위 내 모든 시스템을 포함
• 심각도 등급과 개선 권고를 포함한 발견 사항을 보고서에 기재
• 높음/치명적 발견 사항의 개선 과정과 재테스트 확인을 문서화
• SOC 2 보고서 자체에 수록할 수 있는 경영진 요약 제공

KENSAI가 SOC 2 규정 준수를 지원하는 방법

SOC 2 감사에 대비한 취약점 관리 프로그램 구축

1. 취약점 관리 정책 정의 — 심각도 정의와 개선 SLA를 문서화합니다(예: 치명적 7일, 높음 30일, 중간 90일).
2. 범위 내 모든 자산 목록화 — 완전한 자산 목록이 토대입니다. 존재를 모르는 자산은 스캔할 수 없습니다.
3. 지속적인 스캔 도입 — 최소 주 1회 수행하고, 인터넷에 노출된 시스템은 매일 수행하는 것이 좋습니다.
4. 개선 워크플로 수립 — 티켓, 담당자, 기한 및 증거를 포함한 종료 기준을 마련합니다.
5. 연례 침투 테스트 — 자격을 갖춘 제3자에게 최소 연 1회 의뢰합니다.
6. 예외 문서화 — 즉시 개선할 수 없는 취약점은 사업상 근거와 함께 위험 수용 결정을 문서화합니다.
7. 개선 추세 입증 — 감사인은 정체된 프로그램이 아니라 시간이 지날수록 나아지는 프로그램을 확인하려 합니다.