SOC 2 denetiminde SSL sertifikaları tek başına bir kontrol değildir; "iletilen verinin korunması" ve "şifreleme anahtarlarının yönetimi" gibi daha geniş kontrollerin kanıtı olarak değerlendirilir.
İlgili Güven Hizmetleri Kriterleri
- CC6.1: mantıksal erişim ve şifreleme anahtarlarının korunması.
- CC6.7: verinin iletimi sırasında korunması.
- CC7: sistem izleme ve anormalliklerin tespiti; sertifika süresi alarmları burada kanıt olabilir.
- CC8: değişiklik yönetimi; sertifika değişiklikleri kayıtlı ve onaylı olmalı.
Kuruluşunuzun kontrol tanımları farklı numaralandırılmış olabilir; denetçinizle eşleştirme yapın.
Denetçiye gösterilecek kanıtlar
- Sertifika envanteri ve sahip bilgisi.
- Şifreleme politikası: minimum TLS sürümü, anahtar uzunluğu, yenileme eşikleri.
- Özel anahtar erişim listesi ve saklama yöntemi.
- İzleme ve alarm yapılandırması ile kayıtlı tetiklenme örnekleri.
- Değişiklik biletleri: yeni sertifika kurulumu ve iptal kayıtları.
Örnek kanıt üretimi
echo | openssl s_client -connect app.example.com:443 -servername app.example.com -tls1_2 2>/dev/null | grep -E "Protocol|Cipher"Bu komut belirli protokolle bağlantının kurulup kurulmadığını gösterir; kapalı olması gereken sürümler için aynı sınamayı yapıp başarısız olduğunu kayıt altına alabilirsiniz.
Sık görülen bulgular
- Yazılı politika var, ancak uygulama farklı.
- Denetim dönemi içinde süresi dolmuş sertifika ve kayıtsız acil düzeltme.
- Özel anahtarlara genel paylaşımlı klasörden erişim.
Denetim dönemi boyunca düzenli izleme kayıtlarının tutulması, sonradan toplanan kanıttan çok daha güçlüdür. Kurulum kontrolü için SSL kontrol aracını, ürün seçimi için SSL sertifikalarını kullanabilirsiniz.
Gözlem dönemi için ipucu
SOC 2 Tip 2 denetimlerinde kontrollerin belirli bir dönem boyunca sürekli çalıştığı gösterilir. Bu nedenle sertifika izleme, alarm ve değişiklik kayıtlarını dönemin başından itibaren düzenli biriktirin; dönem ortasında kurulan bir izleme sistemi, dönem başındaki boşluğu kapatmaz.