تكلفة اختبار اختراق SOC 2

لماذا يتطلّب إطار لا يذكر الاختبار اختباراً

يقوم SOC 2 على معايير خدمات الثقة، المكتوبة كنتائج لا كقائمة أنشطة. لا يوجد ضابط اسمه "اختبار الاختراق". وهذا يوقع الناس في أحد خطأين: افتراض أن لا حاجة لاختبار، أو شراء اختبار ضخم لأن مزوّد جاهزية قال ذلك.

الإطار الأنفع هو اعتبار اختبار الاختراق دليلاً لا متطلباً. فهو الطريقة الأعمل لمعظم المؤسسات لإثبات أمرين:

• CC4.1 - أنك تجري تقييمات لتحديد ما إذا كانت ضوابطك موجودة فعلاً وتعمل. الاختبار المستقل تقييم مباشر ومؤرّخ ومُنتَج خارجياً، وهو بالضبط ما يبحث عنه هذا المعيار.
• CC7.1 - أنك تكشف الثغرات والتغييرات غير المصرّح بها في التهيئة. الفحص يغطّي جزءاً من ذلك باستمرار؛ والاختبار يغطّي الجزء الذي لا يبلغه الفحص.

ولأنها مسألة أدلة لا خانة امتثال، فرأي مدقّقك هو الحاسم. اسأله تحديداً وكتابةً عمّا سيقبله قبل أن تحدّد أي نطاق. المدقّقون يختلفون، والاختلاف أحياناً يساوي آلاف الدولارات من النطاق.

كيف يجب أن تبدو الأدلة

التقرير وحده أشيع طريقة تُسجَّل بها ملاحظة على هذا الضابط رغم كل شيء. سلسلة الأدلة الكاملة أربعة أجزاء، والثغرات تكون في الأخيرين دائماً تقريباً.

• النطاق. يجب أن يكون النطاق المختبَر هو النظام الموصوف في تقرير SOC 2 بشكل واضح. إن وصف نظامك منصّة SaaS متعدّدة المستأجرين وغطّى الاختبار موقعاً تسويقياً غير مُصادَق عليه، فالتباين يظهر فوراً.
• النتائج. مصنّفة بالخطورة، بتبرير معلن لا لون غير مفسّر، ومع خطوات إعادة إنتاج.
• المعالجة. موثّقة بتواريخ، ومع قرار مسجّل لكل ما قُبل بدل إصلاحه. قبول المخاطر مسموح؛ والصمت ليس كذلك.
• التحقّق. دليل على أن الإصلاحات أُعيد اختبارها وتأكّدت. هذا الجزء أكثر ما يغيب، وهو الذي يحوّل التقرير إلى إثبات أن الضابط يعمل.

وخطاب الإثبات الذي يذكر ما اختُبر ومتى وبواسطة من وبأي نتيجة هو ما يربط ذلك للمدقّق، وهو ما سيطلبه عملاؤك لاحقاً. ينبغي أن يكون جزءاً من المشروع لا شراءً منفصلاً.

التوقيت مقابل نافذة المراقبة

للنوع الأول، الذي يقيّم التصميم في لحظة، يكفي عادةً اختبار حديث وخطة معالجة ذات مصداقية. وللنوع الثاني، الذي يقيّم فعالية التشغيل عبر فترة من ثلاثة إلى اثني عشر شهراً عادةً، يجب أن يقع الاختبار والمعالجة وإعادة الاختبار داخل النافذة. حجز اختبار قبل ثلاثة أسابيع من إغلاق النافذة لا يترك مجالاً لدورة الإصلاح وإعادة الاختبار، وهو أشيع خطأ جدولة.

بالحساب العكسي: ثلاثة إلى خمسة أيام عمل اختبار لتطبيق صغير، وأسبوع إلى ثلاثة لمهندسيك لإصلاح المهم، وبضعة أيام لإعادة الاختبار. شهر داخل النافذة مريح. أسبوع ليس كذلك.

تحديد النطاق لـSOC 2 دون شراء زائد

ينبغي أن يكون النطاق هو النظام الوارد في وصف نظامك، وهو لمعظم شركات SaaS المنتج والبنية التي يعمل عليها. عملياً يعني ذلك التطبيق المُصادَق عليه بكل أدوار المستخدمين، والحد بين مستأجري العملاء، والواجهة البرمجية، والبيئة السحابية المستضيفة.

وما يُباع كثيراً ضمن نطاق SOC 2 ونادراً ما ينتمي إليه: أسطول حواسيبك المحمولة إن كان خارج وصف النظام؛ وتقييم Active Directory كامل إن لم يكن لديك نطاق مجالي مؤسسي؛ ومشروع فريق أحمر، وهو يجيب عن سؤال مختلف تماماً وليس ما يسأل عنه CC4.1. إن عرض عليك مزوّد جاهزية كل هذه، فاسأله أي معيار يثبته كل بند.

كم يكلّف

لا يغيّر SOC 2 كلفة الاختبار، بل التوثيق الذي تحتاجه منه. لمنتج SaaS نموذجي، يبدأ النطاق التطبيقي من 500 دولار ويغطّي المنتج المُصادَق عليه والأدوار وعزل المستأجرين والواجهة البرمجية. ومتى دخلت البنية السحابية أو شبكة مؤسسية ضمن وصف النظام فعلاً، يصبح ذلك نطاق بنية تحتية من 1,500 دولار.

دعم المعالجة وإعادة الاختبار وخطاب الإثبات مشمولة لا مفوترة منفصلة، وهو هنا أهم من معظم المشاريع - لأن هذه بالضبط هي المستندات التي سيطلبها المدقّق. تغطّي صفحة خدمة اختبار اختراق SOC 2 الاختبار نفسه بعمق أكبر، وتشرح تكلفة اختبار الاختراق النموذج العام، ويوضّح التقرير النموذجي الشكل الذي سيستلمه المدقّق.

وإن كنت خاضعاً لـPCI DSS أيضاً، فكثيراً ما يتشاركان مشروعاً واحداً، وإن اختلفت متطلبات الأدلة. انظر تكلفة اختبار PCI DSS، أو الاختبار المدفوع بالامتثال لكيفية التعامل مع الأطر المتداخلة.