SOC 2 (Trust Services Criteria)
Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 13 maddeye eşler. Kaynak: AICPA TSP section 100 (2017, 2022 revizyonu). Bunlardan 11 tanesi bu kayıtlardan değerlendirilir; 2 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.
Cluster'ın cevap verebildiği 11 madde.
Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.
Trust Services Criteria
AICPA TSP section 100 (2017, 2022 revizyonu)
Common Criteria CC6–CC9 ve Availability A1
| Madde | Başlık | Rapor bölümleri |
|---|---|---|
| CC4.1 | Evaluations to ascertain that controls are present and functioningKuruluş, iç kontrol bileşenlerinin mevcut olup olmadığını ve işleyip işlemediğini belirlemek için sürekli ve/veya ayrı değerlendirmeler seçer, geliştirir ve yürütür. | Admission decisionsAvailability |
| CC6.1 | Logical access security over protected information assetsKuruluş, korunan bilgi varlıklarını güvenlik olaylarından korumak ve hedeflerine ulaşmak için bu varlıklar üzerinde mantıksal erişim güvenliği yazılımı, altyapısı ve mimarisi uygular. | Control statementEvidence chain |
| CC6.6 | Logical access measures against threats from outside the system boundaryKuruluş, sistem sınırlarının dışındaki kaynaklardan gelen tehditlere karşı mantıksal erişim güvenliği önlemleri uygular. | Control statementSupply chain |
| CC6.8 | Prevent or detect the introduction of unauthorised or malicious softwareKuruluş, hedeflerine ulaşmak için yetkisiz ya da zararlı yazılımın sisteme girmesini önleyen veya tespit edip buna karşı harekete geçen kontroller uygular. | Admission decisionsSupply chain |
| CC7.1 | Detect configuration changes and newly discovered vulnerabilitiesKuruluş, yeni zafiyetlere yol açan yapılandırma değişikliklerini ve yeni keşfedilen zafiyetlere açıklığı belirlemek için tespit ve izleme prosedürleri kullanır. | Coverage |
| CC7.2 | Monitor components for anomalies indicative of malicious actsKuruluş, sistem bileşenlerini ve bunların işleyişini; kötü niyetli eylemlere, doğal afetlere ve hedeflerine ulaşma yeteneğini etkileyen hatalara işaret eden anormallikler için izler. | Evidence chain |
| CC7.3 | Evaluate security events to determine whether they are incidentsKuruluş, güvenlik olaylarının hedeflerine ulaşamamasına yol açıp açamayacağını ya da açıp açmadığını değerlendirir; öyleyse bu başarısızlığı önlemek ya da gidermek için harekete geçer. | Admission decisionsTriage decisions |
| CC7.4 | Respond to identified security incidentsKuruluş, tespit edilen güvenlik olaylarına tanımlı bir olay müdahale programıyla yanıt verir: olayı anlar, sınırlar, giderir ve gerektiğinde bildirir. | Admission decisionsBreak-glass events |
| CC8.1 | Change managementKuruluş, hedeflerine ulaşmak için altyapıda, verilerde, yazılımda ve prosedürlerde yapılan değişiklikleri yetkilendirir, tasarlar, geliştirir ya da temin eder, yapılandırır, belgeler, test eder, onaylar ve uygular. | Admission decisionsControl statement |
| CC9.2 | Vendor and business partner riskKuruluş, tedarikçiler ve iş ortaklarıyla ilgili riskleri değerlendirir ve yönetir. | Supply chainControl statement |
| A1.2 | Recovery infrastructure and availability of the controlKuruluş, hedeflerine ulaşmak için çevresel korumaları, yazılımı, veri yedekleme süreçlerini ve kurtarma altyapısını yetkilendirir, tasarlar, geliştirir ya da temin eder, uygular, işletir, onaylar, bakımını yapar ve izler. | Availability |
Kapsam dışı işaretlenen 2 madde ve nedenleri
| Madde | Madde ve gerekçe |
|---|---|
| CC1.1 – CC1.5 | Control environment Kontrol ortamı insanlar, yönetişim ve hesap verebilirlikle ilgilidir. Cluster'daki hiçbir kontrol onu gözlemlemez. |
| CC3.1 – CC3.4 | Risk assessment Kuruluşun risk değerlendirmesi bir belge ve bir süreçtir. Kontrol beyanında yer alan eşikler ve giderme süreleri onun çıktılarından biridir, değerlendirmenin kendisi değildir. |
Cluster'ın zaten tuttuğu kayıtlardan kanıt.
Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.
Her SOC 2 maddesi, o madde için yazılmış ayrı bir kuralla ve aşağıdaki rapor bölümlerine göre değerlendirilir.
Raporda neler var.
Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar SOC 2 cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.
- Organisation
- Framework mapping
- Cluster
- Control statement4
- Coverage1
- Vulnerability findings
- Outcomes
- Admission decisions5
- Supply chain3
- Triage decisions1
- Break-glass events1
- Availability2
- Evidence chain2
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Kapsam paragrafı, raporda yazıldığı gibi.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto the Trust Services Criteria. It is evidence for an audit, not an audit: only a service auditor issues an opinion, and only the entity defines its own system boundary. The criteria below are the ones a container image control speaks to; the control environment, risk assessment and monitoring criteria that concern the entity as a whole are listed where this control is one input to them, and marked outside_scope where it is not an input at all.
SOC 2 hakkında
Bu bir SOC 2 sertifikası mı?
Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.
Maddelerin 2 tanesi neden kapsam dışı?
Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.
SOC 2 hangi planda var?
Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.
Denetçi paketi nasıl kontrol eder?
Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.
Kendiniz kurun.
Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.
Hesap oluştur