SOC 2이란 무엇인가요?
SOC 2(System and Organization Controls 2)는 AICPA가 개발한 감사 프레임워크로, 서비스 조직의 통제를 보안, 가용성, 처리 무결성, 기밀성, 프라이버시(이른바 Trust Services Criteria)에 대해 평가한다.
다른 이름: SOC 2, SOC 2 Type II, Service Organization Control
SOC 2 보고서는 SaaS 또는 클라우드 서비스 제공자가 고객 데이터를 책임감 있게 다룬다는 것을 입증하는 사실상의 표준이다. 유형 I 보고서는 특정 시점의 통제 설계를 평가하는 반면, 더 엄격하고 더 자주 요구되는 유형 II 보고서는 통상 6~12개월 기간에 걸쳐 통제의 설계와 운영 효과를 모두 평가한다.
보안 기준(공통 기준이라고도 함)은 모든 SOC 2 검토에서 필수이며 논리적·물리적 접근 통제, 시스템 운영, 변경 관리, 위험 완화를 포함한다. 조직은 정보를 전체 수명 주기 동안, 공유와 전송을 포함해 무단 접근으로부터 보호함을 입증해야 한다. 감사인은 정책, 절차, 기술적 통제를 검토하며, 흔히 자격 증명과 비밀이 어떻게 관리·공유·회전되는지 조사한다.
SOC 2 준수를 달성하고 유지하려면 지속적 노력이 필요하다. 문서화된 보안 정책, 접근 검토, 암호화 관행, 사고 대응 절차, 공급업체 관리, 직원 교육이다. SOC 2를 준비하는 조직은 흔히 이메일이나 Slack으로 비밀번호를 공유하는 것 같은 비공식 관행이 시정해야 할 감사 발견 사항을 만든다는 것을 알게 된다.
Vaulted가 SOC 2을 사용하는 방법
Vaulted는 민감 정보를 공유하는 안전하고 감사 가능한 방법을 제공함으로써 조직이 SOC 2 준수를 달성하거나 유지하도록 돕는다. 감사인이 통제 약점으로 지적하는 이메일이나 채팅으로 자격 증명을 전달하는 대신, 팀은 Vaulted의 암호화된 자기 파기 링크로 비밀을 공유할 수 있다. 제로 지식 아키텍처, 클라이언트 측 암호화, 자동 만료는 SOC 2의 기밀성과 보안 기준에 부합하며, 조직이 공유 시 민감 데이터를 보호한다는 증거를 제공한다.