SOC 2, hizmet kuruluşlarının AICPA'nın Güven Hizmetleri Kriterleri'ne göre güvenlik, erişilebilirlik, gizlilik gibi alanlardaki kontrollerinin bağımsız bir denetçi tarafından değerlendirildiği bir raporlama çerçevesidir. Belirli bir "SSL maddesi" yoktur; ancak iletilen verinin korunması ve kriptografik anahtarların yönetimi güvenlik kontrolleri kapsamında sıkça sorgulanır.
Denetçinin genellikle istediği kanıtlar
- Tüm harici uç noktalarda TLS kullanıldığının kanıtı (tarama çıktıları, yapılandırma dosyaları).
- Zayıf protokol ve cipher'ların kapatıldığını gösteren ayar ve test sonuçları.
- Sertifika envanteri: hangi sertifika hangi sistemde, kim sorumlu, bitiş tarihi ne.
- Yenileme süreci ve geçmişte süresi dolma olayları için olay kayıtları.
- Özel anahtarlara erişimin kısıtlandığını gösteren erişim kontrol politikaları.
Kontrolleri kurma adımları
- Envanter çıkarın: alan adları, sertifika türü, CA, bitiş tarihi, sorumlu kişi.
- Minimum standart belirleyin (ör. TLS 1.2+, güçlü cipher listesi) ve yazılı politikaya dönüştürün.
- Periyodik tarama yapın ve çıktıları tarih damgalı saklayın.
- Bitişe yaklaşan sertifikalar için otomatik uyarı kurun.
- Değişiklik yönetimi kaydı tutun: kim, ne zaman, hangi sertifikayı yeniledi.
Bitiş tarihi kanıtı için basit bir komut yeterlidir:
openssl s_client -connect alanadi.com:443 -servername alanadi.com < /dev/null 2>/dev/null | openssl x509 -noout -datesİpuçları
- Kanıt toplamayı denetim dönemine bırakmayın; sürekli ve otomatik toplayın.
- Wildcard sertifikalar yönetimi kolaylaştırır ama anahtar paylaşımını sıkı denetleyin (wildcard SSL).
Süreklilik için öneriler
Denetim genellikle belirli bir dönem boyunca kontrollerin tutarlı işlediğini sorgular. Bu nedenle sertifika yenilemeleri için yinelenen bir görev, sorumlu kişi ve yedek sorumlu tanımlayın. Sertifika süreleri kısaldıkça yenileme sıklığı artar; otomasyon ve uyarı mekanizmaları bu yükü taşımayı kolaylaştırır. Yenileme sırasında yaşanan aksaklıkları da olay kaydına işleyin ki kök neden analizi kanıt olarak sunulabilsin.
Sonuç olarak SOC 2 açısından önemli olan sertifikanın varlığı değil, yönetimin tanımlı, izlenebilir ve tekrarlanabilir olmasıdır. Sertifika seçenekleri için SSL sertifikaları sayfasına, denetim kapsamı soruları için denetçinize danışın.