Ingenieure, die sich zum ersten Mal mit SOC 2 befassen, stellen es sich oft als eine riesige Code-Prüfung vor. Das ist meistens nicht der Fall. SOC 2 ist eine Bestätigung gegen die Trust Services Criteria, und der Großteil dieser Kriterien betrifft Richtlinien, Prozesse und Nachweise, dass Kontrollen über einen bestimmten Zeitraum angewendet wurden. Nur ein Teil wird durch das bestimmt, was dein Code tut. Wenn man weiß, welcher Teil das ist, wird das Ganze weniger mysteriös.
Die Kriterien, die den Code betreffen
Die codebezogenen Kriterien sind in der CC6-Familie für logischen Zugriff gebündelt: CC6.1 (Einschränkung des Zugriffs auf das, was eine Rolle benötigt), CC6.6 (Schutz vor Bedrohungen von außerhalb der Systemgrenze), CC6.7 (Schutz von Daten während der Übertragung und bei deren Bewegung) sowie CC7.2 (Überwachung) und CC8.1 (Änderungsmanagement). Wenn du nachvollziehen kannst, wer auf was zugreifen kann, wie Daten während der Übertragung geschützt werden und was protokolliert wird, dann deckst du den Großteil der codebezogenen Oberfläche von SOC 2 ab.
Bemerkenswerterweise sind viele Aspekte, die sich im Engineering wie SOC 2 anfühlen (z. B. das Vorhandensein von Code-Reviews, Genehmigungen für Änderungen, Zugriffsprüfungen), Nachweise dafür, dass ein Prozess angewendet wurde, und werden außerhalb des Codes gesammelt. Der Code selbst bezieht sich hauptsächlich auf die CC6-Familie.
Die Ausnahmen, die zu Feststellungen werden
Ein Prüfer entnimmt Stichproben dieser Kontrollen über einen Zeitraum und gibt eine Stellungnahme ab. Ein einzelner Pull Request, der eine IAM-Rolle auf einen Wildcard-Zugriff erweitert oder den TLS-Standard senkt, kann in diesem Zeitraum eine Ausnahme erzeugen: Die Kontrolle wurde möglicherweise für diese Änderung nicht wie beschrieben angewendet. Wird dies im PR erkannt, ist es eine einzeilige Korrektur. Wird es erst bei der Prüfung entdeckt, ist es eine Nachbesserung mit Papierkram.
Diese Asymmetrie ist das Hauptargument dafür, die CC6-Oberfläche bereits beim Diff zu prüfen, anstatt Ausnahmen Monate später zu entdecken.