서비스 조직 통제 유형 2(SOC 2)란 무엇인가?
서비스 조직 통제 유형 2(SOC 2)는 회사가 데이터를 시간에 걸쳐 보호하는지와 실제로 자체 규칙을 따르는지를 점검하는 독립된 감사 보고서입니다. 보안 및 개인정보 보호 통제를 계절 전체에 걸쳐 검토하는 것으로 생각하면 되며, 단순한 퀴즈가 아닙니다. 클라우드에서 고객 데이터를 다룬다면, 데이터의 심각성을 진지하게 여긴다는 성인용 영수증 같은 것입니다.
SOC 2는 제품이 무너질 수 없다는 뜻이 아닙니다. 불가능하다고 보이는 것이 아니라, 컨트롤이 설계되어 시간이 흐르며 작동한다는 것을 보여주지만, 버그 바운티나 펜테스트가 아니고, 모든 것이 잘못될 수 없다는 약속도 아닙니다.
서비스 조직 통제 유형 2(SOC 2)의 작동 방식
짧은 스토리: 암호자산 관리 스타트업이 은행 수준의 고객을 원합니다. 은행은 분위기가 아닌 컨트롤의 증거를 요구합니다. 감사인, 클립보드, 그리고 일정이 등장합니다.
표준은 American Institute of CPAs 아래에 있습니다. 원문을 원한다면 AICPA SOC를 확인하세요.
- 범위: 회사가 어떤 Trust Services Criteria를 적용할지(Security, Availability 등) 선택하고 어떤 시스템이 적용되는지 결정합니다.
- 관찰: 독립 감사인이 정책, 접근 제어, 변경 관리 등을 검토한 후 수개월에 걸쳐 이를 운영하는 방식을 관찰합니다. 예: 운영 wallet의 접근 로그를 샘플링합니다.
- 테스트: 감사인이 검토 기간 동안 컨트롤이 실제로 작동했는지 확인하려고 시도합니다. 비밀번호 규칙, 사고 대응, 백업, 벤더 검토 등 모든 것을 포함합니다.
- 보고: 감사인이 시스템, 테스트한 내용, 결과 및 예외 사항을 설명하는 Type 2 보고서를 작성합니다. 깨끗한 보고서는 양호한 소식입니다.
- 공유: 기업은 보고서를 고객과 공유하며, 일반적으로 AWS Artifact 같은 요청 포털을 통해 공유합니다. NDA가 일반적이며 화면 캡처는 아닙니다.
그래, 그것이 아이디어입니다.
서비스 조직 통제 유형 2(SOC 2)의 중요성
모두가 보안에 관심이 있다고 말합니다. 증거를 제시하는 사람은 소수입니다. SOC 2가 증거입니다.
- 혜택: 벤더 검토가 더 짧고 거래가 빨라지며, 구매자가 데이터를 다루는 방식을 한 달 간의 왈랑 왈랑 없이 신뢰할 수 있습니다.
- 관점: breaches에 대한 헤드라인이 신뢰를 비즈니스 특징으로 만들었습니다. 이것은 Rolex가 Reddit 스레드와 만나는 것처럼, 영수증이 포함됩니다.
- 관련성: 거래소, 서비스형 지갑, 관리형 플랫폼, 분석 제공업체가 파트너를 얻기 위해 이를 사용합니다. 실시간 예로 Fireblocks 보안 및 규정 준수를 확인하세요.
공급업체에 보고 기간과 범위를 요청하세요. 그런 다음 생방 전으로 계획한 날짜와 일치시키세요. 새 기간, 관련 시스템, 보안과 가용성은 일반적으로 필수 요소입니다.
서비스 조직 통제 유형 2(SOC 2)의 주요 특징
다음이 차별화되는 점입니다:
- 시기: 단 하루의 설계가 아니라 일정 기간에 걸친 컨트롤 수행을 다룹니다.
- 기준: 보안(Security), 가용성(Availability), 기밀성(Confidentiality), 처리 무결성(Processing Integrity), 프라이버시(Privacy) 같은 신뢰 서비스 기준에 매핑됩니다.
- 대상: 보고서는 제한적이며, 보통 NDA 하에 고객과 잠재 고객에게 공유됩니다.
전체 기준과 기대치를 원하신다면? AICPA 개요가 그것을 명시합니다.
Variations
다음은 모두 System and Organization Controls 우산 아래에 속합니다:
- SOC1: 재무 보고 통제에 초점을 맞추며, 종종 급여나 거래 처리업체를 대상으로 합니다.
- SOC2 Type 1: 특정 시점의 컨트롤 설계를 테스트합니다. 한 장의 스냅샷이지 한 시즌이 아닙니다.
- SOC2 Type 2: 수개월에 걸친 설계와 운영상의 효과를 테스트합니다. 구매자들이 요구하는 버전입니다.
- SOC3: 일반 용도 요약으로 공개적으로 게시할 수 있습니다.
SOC 2는 사람, 프로세스, 기술 컨트롤을 점검하지만 스마트 계약을 감사하거나 앱에 보안 버그가 0임을 증명하지는 않습니다. 코드 리뷰와 표적 테스트가 여전히 필요합니다.
예시
서비스로서의 지갑 스타트업이 은행에 NDA 하에 최신 SOC 2 Type 2 보고서를 공유하여 파일럿 통합의 잠금을 해제합니다.
재미있는 사실
SOC 2는 2010년대 초 클라우드 공급자의 등장과 함께 인기를 얻었습니다. 구매자들이 SaaS 컨트롤을 판단할 일관된 방법이 필요했기 때문입니다. 다섯 가지 Trust Services Criteria는 한때 원칙(principles)이라고 불렸고, 명칭의 변화가 감사인과 마케터를 혼란스럽게 만들었습니다.
Wrap-Up
다음과 같이 생각해 보세요: 제3자가 몇 달 동안 귀하의 보안 루틴을 지켜보고 기록해 두어 고객이 귀하의 제안에만 의존하지 않도록 하는 것.