SOC 2 (Trust Services Criteria)
Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 13 Anforderungen zu (Quelle: AICPA TSP section 100, 2017, überarbeitet 2022). 11 davon werden aus diesen Einträgen bewertet; 2 sind als außerhalb des Umfangs markiert, jede mit Begründung.
11 Anforderungen aus Clustersicht.
Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.
Trust Services Criteria
AICPA TSP section 100, 2017, überarbeitet 2022
Common Criteria CC6–CC9 und Availability A1
| Fundstelle | Anforderung | Berichtsabschnitte |
|---|---|---|
| CC4.1 | Evaluations to ascertain that controls are present and functioningDie Organisation wählt laufende und/oder gesonderte Evaluierungen aus, entwickelt sie und führt sie durch, um festzustellen, ob die Komponenten der internen Kontrolle vorhanden sind und funktionieren. | Admission decisionsAvailability |
| CC6.1 | Logical access security over protected information assetsDie Organisation setzt für geschützte Informationswerte Software, Infrastruktur und Architekturen zur logischen Zugriffssicherheit ein, um sie vor Sicherheitsereignissen zu schützen und ihre Ziele zu erreichen. | Control statementEvidence chain |
| CC6.6 | Logical access measures against threats from outside the system boundaryDie Organisation setzt Maßnahmen für logische Zugriffssicherheit ein, um sich gegen Bedrohungen aus Quellen außerhalb ihrer Systemgrenzen zu schützen. | Control statementSupply chain |
| CC6.8 | Prevent or detect the introduction of unauthorised or malicious softwareDie Organisation setzt Kontrollen ein, um das Einbringen nicht autorisierter oder schädlicher Software zu verhindern oder zu erkennen und darauf zu reagieren, um ihre Ziele zu erreichen. | Admission decisionsSupply chain |
| CC7.1 | Detect configuration changes and newly discovered vulnerabilitiesDie Organisation nutzt Erkennungs- und Überwachungsverfahren, um Konfigurationsänderungen, die neue Schwachstellen einführen, sowie die Anfälligkeit für neu entdeckte Schwachstellen zu erkennen. | Coverage |
| CC7.2 | Monitor components for anomalies indicative of malicious actsDie Organisation überwacht Systemkomponenten und deren Betrieb auf Anomalien, die auf böswillige Handlungen, Naturkatastrophen oder Fehler hindeuten, die ihre Fähigkeit beeinträchtigen, ihre Ziele zu erreichen. | Evidence chain |
| CC7.3 | Evaluate security events to determine whether they are incidentsDie Organisation bewertet Sicherheitsereignisse daraufhin, ob sie dazu führen könnten oder geführt haben, dass Ziele verfehlt werden, und ergreift gegebenenfalls Maßnahmen, um ein solches Verfehlen zu verhindern oder zu beheben. | Admission decisionsTriage decisions |
| CC7.4 | Respond to identified security incidentsDie Organisation reagiert auf erkannte Sicherheitsvorfälle mit einem festgelegten Incident-Response-Programm, um sie zu verstehen, einzudämmen, zu beheben und, wo angemessen, zu kommunizieren. | Admission decisionsBreak-glass events |
| CC8.1 | Change managementDie Organisation genehmigt, entwirft, entwickelt oder beschafft, konfiguriert, dokumentiert, testet, gibt frei und setzt Änderungen an Infrastruktur, Daten, Software und Verfahren um, um ihre Ziele zu erreichen. | Admission decisionsControl statement |
| CC9.2 | Vendor and business partner riskDie Organisation bewertet und steuert Risiken im Zusammenhang mit Lieferanten und Geschäftspartnern. | Supply chainControl statement |
| A1.2 | Recovery infrastructure and availability of the controlDie Organisation genehmigt, entwirft, entwickelt oder beschafft, setzt ein, betreibt, gibt frei, wartet und überwacht Umgebungsschutz, Software, Datensicherungsprozesse und Wiederherstellungsinfrastruktur, um ihre Ziele zu erreichen. | Availability |
2 Anforderungen außerhalb des Umfangs, und warum
| Fundstelle | Anforderung und Grund |
|---|---|
| CC1.1 – CC1.5 | Control environment Das Kontrollumfeld betrifft Menschen, Governance und Verantwortlichkeit. Keine Kontrolle im Cluster beobachtet es. |
| CC3.1 – CC3.4 | Risk assessment Die Risikobeurteilung der Organisation ist ein Dokument und ein Prozess. Die in der Kontrollerklärung wiedergegebenen Schwellenwerte und Behebungsfenster sind ein Ergebnis davon, nicht die Beurteilung selbst. |
Nachweise aus Einträgen, die der Cluster ohnehin führt.
Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.
Jede Anforderung von SOC 2 wird nach einer eigens für sie geschriebenen Regel anhand der Berichtsabschnitte unten bewertet.
Was der Bericht enthält.
Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu SOC 2 stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage1
- Vulnerability findings
- Outcomes
- Admission decisions5
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability2
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Geltungsbereich, wörtlich aus dem Bericht (Englisch).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Trust Services Criteria. It is evidence for an audit, not an audit: only a service auditor issues an opinion, and only the entity defines its own system boundary. The criteria below are the ones a container image control speaks to; the control environment, risk assessment and monitoring criteria that concern the entity as a whole are listed where this control is one input to them, and marked outside_scope where it is not an input at all.
Fragen zu SOC 2
Ist das eine Zertifizierung nach SOC 2?
Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.
Warum liegen 2 Anforderungen außerhalb des Umfangs?
Sie fragen nach Dingen, die die Admission- und Scan-Einträge eines einzelnen Clusters nicht zeigen können. Sie werden mit Begründung aufgeführt statt weggelassen, damit jeder Leser des Berichts sieht, dass der Ausschluss bewusst ist.
Welcher Plan enthält SOC 2?
Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.
Wie prüft ein Auditor das Paket?
Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen