스스로 생성되는 SOC 2 증빙
감사에서 가장 힘든 부분은 애초에 증빙용으로 설계되지 않은 로그로부터 일어난 일을 재구성하는 것입니다. 원장을 제대로 만들면 증빙은 부산물이 됩니다.
감사는 고고학입니다
대부분의 감사 준비는 고고학입니다: 증명이 아니라 디버깅용으로 작성된 로그를 파헤쳐서 감사인이 받아들일 만한 이야기로 짜맞추는 것입니다. 느리고, 수작업이며, 마감 아래에서 벌어집니다.
고통스러운 이유는 접근 결정과 그 증거가 서로 다른 곳에 존재하기 때문입니다. 시스템은 무언가를 결정했지만, 그 이유에 대한 기록은 흩어져 있거나 없습니다.
결정과 증거를 같은 사건으로 만드세요
모든 접근 결정이 한 곳에서 평가되어 발생하는 즉시 증빙 가능한 원장에 기록되면, 증빙은 더 이상 프로젝트가 아니게 됩니다. 누가 행동했는지, 누가 스폰서했는지, 어떤 범위였는지, 정책이 무엇을 결정했는지, 언제였는지 — 결정의 순간에 모두 포착됩니다.
그러면 SOC 2와 ISO 27001 증빙은 스스로 생성됩니다. 통제와 그 증명이 같은 사건이기 때문입니다. 과거를 재구성하는 것이 아니라 그것을 내보내는 것입니다.
- #SOC 2
- #audit
- #evidence
More field notes
80대 1의 문제: 머신 신원이 이제 경계선입니다
팀 내 인간 한 명당 그를 대신해 행동하는 머신 신원이 대략 여든 개 존재합니다. 그 중 소유자가 있는 것은 거의 없습니다. 그 비율이 바로 보안 문제 전체입니다.
Daniel Osei · 보안 엔지니어
읽는 시간 6분
실제로 작동하는 단기 자격 증명
모두가 키는 만료되어야 한다고 동의합니다. 그러다 누군가 아무것도 깨지지 않도록 TTL을 1년으로 설정합니다. 실제 워크로드와의 접촉에서 살아남는 몇 분짜리 자격 증명을 만드는 방법을 소개합니다.
Priya Nandakumar · 플랫폼 총괄
읽는 시간 7분
지정된 인간 스폰서가 의미하는 것
Mandavo의 모든 에이전트는 책임질 수 있는 사람과 연결됩니다. 팀도 아니고, 순환 근무도 아니고, 역할도 아닙니다. 한 사람입니다. 우리가 그 선을 그은 이유를 소개합니다.
Lena Fischer · 제품 리드
읽는 시간 5분