SOC 2 (Trust Services Criteria)
Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 13 exigences (source : AICPA TSP section 100, 2017, révisée en 2022). 11 sont évaluées sur ces enregistrements ; 2 sont marquées hors périmètre, chacune avec la raison.
11 exigences à portée de cluster.
Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.
Trust Services Criteria
AICPA TSP section 100, 2017, révisée en 2022
Common Criteria CC6–CC9 et Availability A1
| Référence | Exigence | Sections du rapport |
|---|---|---|
| CC4.1 | Evaluations to ascertain that controls are present and functioningL'entité choisit, élabore et mène des évaluations continues et/ou ponctuelles pour s'assurer que les composantes du contrôle interne sont en place et fonctionnent. | Admission decisionsAvailability |
| CC6.1 | Logical access security over protected information assetsL'entité met en œuvre des logiciels, une infrastructure et des architectures de sécurité d'accès logique sur les actifs informationnels protégés, afin de les protéger des événements de sécurité et d'atteindre ses objectifs. | Control statementEvidence chain |
| CC6.6 | Logical access measures against threats from outside the system boundaryL'entité met en œuvre des mesures de sécurité d'accès logique pour se protéger des menaces venant de sources extérieures aux limites de son système. | Control statementSupply chain |
| CC6.8 | Prevent or detect the introduction of unauthorised or malicious softwareL'entité met en œuvre des contrôles pour empêcher ou détecter l'introduction de logiciels non autorisés ou malveillants, et y réagir, afin d'atteindre ses objectifs. | Admission decisionsSupply chain |
| CC7.1 | Detect configuration changes and newly discovered vulnerabilitiesL'entité utilise des procédures de détection et de surveillance pour repérer les changements de configuration qui introduisent de nouvelles vulnérabilités, ainsi que l'exposition aux vulnérabilités nouvellement découvertes. | Coverage |
| CC7.2 | Monitor components for anomalies indicative of malicious actsL'entité surveille les composants du système et leur fonctionnement pour y déceler les anomalies révélatrices d'actes malveillants, de catastrophes naturelles ou d'erreurs qui compromettent sa capacité à atteindre ses objectifs. | Evidence chain |
| CC7.3 | Evaluate security events to determine whether they are incidentsL'entité évalue les événements de sécurité pour déterminer s'ils pourraient entraîner, ou ont entraîné, un manquement à ses objectifs et, le cas échéant, agit pour prévenir ou traiter ce manquement. | Admission decisionsTriage decisions |
| CC7.4 | Respond to identified security incidentsL'entité répond aux incidents de sécurité identifiés en exécutant un programme défini de réponse aux incidents pour les comprendre, les contenir, y remédier et en rendre compte, selon le cas. | Admission decisionsBreak-glass events |
| CC8.1 | Change managementL'entité autorise, conçoit, développe ou acquiert, configure, documente, teste, approuve et met en œuvre les changements apportés à l'infrastructure, aux données, aux logiciels et aux procédures pour atteindre ses objectifs. | Admission decisionsControl statement |
| CC9.2 | Vendor and business partner riskL'entité évalue et gère les risques liés aux fournisseurs et aux partenaires commerciaux. | Supply chainControl statement |
| A1.2 | Recovery infrastructure and availability of the controlL'entité autorise, conçoit, développe ou acquiert, met en œuvre, exploite, approuve, maintient et surveille les protections environnementales, les logiciels, les processus de sauvegarde des données et l'infrastructure de reprise pour atteindre ses objectifs. | Availability |
2 exigences hors périmètre, et pourquoi
| Référence | Exigence et raison |
|---|---|
| CC1.1 – CC1.5 | Control environment L'environnement de contrôle concerne les personnes, la gouvernance et la responsabilité. Aucun contrôle du cluster ne l'observe. |
| CC3.1 – CC3.4 | Risk assessment L'évaluation des risques de l'entité est un document et un processus. Les seuils et délais de correction repris dans la déclaration de contrôle en sont un résultat, pas l'évaluation elle-même. |
Preuves tirées des journaux que tient déjà le cluster.
Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.
Pour SOC 2, chaque exigence est évaluée par une règle propre, écrite pour elle, au regard des sections du rapport ci-dessous.
Ce que contient le rapport.
Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour SOC 2, avec le nombre d'exigences qui renvoient à chacune.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage1
- Vulnerability findings
- Outcomes
- Admission decisions5
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability2
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Trust Services Criteria. It is evidence for an audit, not an audit: only a service auditor issues an opinion, and only the entity defines its own system boundary. The criteria below are the ones a container image control speaks to; the control environment, risk assessment and monitoring criteria that concern the entity as a whole are listed where this control is one input to them, and marked outside_scope where it is not an input at all.
Sur SOC 2
Est-ce une certification selon SOC 2 ?
Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.
Pourquoi 2 exigences sont-elles hors périmètre ?
Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.
Quel plan inclut SOC 2 ?
Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.
Comment un auditeur vérifie-t-il le paquet ?
Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte