SOC 2 (Trust Services Criteria)
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 13 requisitos (fuente: AICPA TSP section 100, 2017, revisada en 2022). De ellos, 11 se evalúan con esos registros; 2 se marcan fuera de alcance, cada uno con el motivo.
11 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Trust Services Criteria
AICPA TSP section 100, 2017, revisada en 2022
Common Criteria CC6–CC9 y Availability A1
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| CC4.1 | Evaluations to ascertain that controls are present and functioningLa entidad selecciona, desarrolla y realiza evaluaciones continuas y/o independientes para comprobar si los componentes del control interno están presentes y funcionan. | Admission decisionsAvailability |
| CC6.1 | Logical access security over protected information assetsLa entidad implementa software, infraestructura y arquitecturas de seguridad de acceso lógico sobre los activos de información protegidos, para protegerlos de eventos de seguridad y cumplir sus objetivos. | Control statementEvidence chain |
| CC6.6 | Logical access measures against threats from outside the system boundaryLa entidad implementa medidas de seguridad de acceso lógico para protegerse de amenazas procedentes de fuentes ajenas a los límites de su sistema. | Control statementSupply chain |
| CC6.8 | Prevent or detect the introduction of unauthorised or malicious softwareLa entidad implementa controles para impedir o detectar, y actuar ante, la introducción de software no autorizado o malicioso, para cumplir sus objetivos. | Admission decisionsSupply chain |
| CC7.1 | Detect configuration changes and newly discovered vulnerabilitiesLa entidad usa procedimientos de detección y supervisión para identificar cambios de configuración que introducen nuevas vulnerabilidades, y la exposición a vulnerabilidades recién descubiertas. | Coverage |
| CC7.2 | Monitor components for anomalies indicative of malicious actsLa entidad supervisa los componentes del sistema y su funcionamiento en busca de anomalías que indiquen actos maliciosos, desastres naturales y errores que afecten a su capacidad de cumplir sus objetivos. | Evidence chain |
| CC7.3 | Evaluate security events to determine whether they are incidentsLa entidad evalúa los eventos de seguridad para determinar si podrían provocar, o han provocado, que no se cumplan sus objetivos y, en tal caso, actúa para prevenir o corregir esos fallos. | Admission decisionsTriage decisions |
| CC7.4 | Respond to identified security incidentsLa entidad responde a los incidentes de seguridad identificados ejecutando un programa definido de respuesta a incidentes para entenderlos, contenerlos, corregirlos y comunicarlos, según corresponda. | Admission decisionsBreak-glass events |
| CC8.1 | Change managementLa entidad autoriza, diseña, desarrolla o adquiere, configura, documenta, prueba, aprueba e implementa los cambios en la infraestructura, los datos, el software y los procedimientos para cumplir sus objetivos. | Admission decisionsControl statement |
| CC9.2 | Vendor and business partner riskLa entidad evalúa y gestiona los riesgos asociados a proveedores y socios de negocio. | Supply chainControl statement |
| A1.2 | Recovery infrastructure and availability of the controlLa entidad autoriza, diseña, desarrolla o adquiere, implementa, opera, aprueba, mantiene y supervisa las protecciones ambientales, el software, los procesos de copia de seguridad de datos y la infraestructura de recuperación para cumplir sus objetivos. | Availability |
2 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| CC1.1 – CC1.5 | Control environment El entorno de control trata de personas, gobierno y rendición de cuentas. Ningún control del cluster lo observa. |
| CC3.1 – CC3.4 | Risk assessment La evaluación de riesgos de la entidad es un documento y un proceso. Los umbrales y plazos de corrección que reproduce la declaración de control son uno de sus resultados, no la evaluación en sí. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
Para SOC 2, cada requisito se evalúa con una regla propia, escrita para ese requisito, a partir de las secciones del informe que aparecen abajo.
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para SOC 2, con el número de requisitos que cita cada una.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage1
- Vulnerability findings
- Outcomes
- Admission decisions5
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability2
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Trust Services Criteria. It is evidence for an audit, not an audit: only a service auditor issues an opinion, and only the entity defines its own system boundary. The criteria below are the ones a container image control speaks to; the control environment, risk assessment and monitoring criteria that concern the entity as a whole are listed where this control is one input to them, and marked outside_scope where it is not an input at all.
Sobre SOC 2
¿Es esto una certificación según SOC 2?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 2 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye SOC 2?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta