اختبار اختراق لـ SOC 2

لا يفرض نص معايير SOC 2 Type II اختبارًا يحمل اسم «اختبار الاختراق» صراحةً، لكن ضمن فئة الأمن (المعايير المشتركة) - وتحديدًا CC7.1 الخاص برصد الثغرات - يتوقع معظم المدققين اختبار اختراق مستقلًا كدليل على أن ضوابط اكتشاف الثغرات فعّالة بالفعل. وعمليًا، تطلب الغالبية العظمى من عمليات تدقيق SOC 2 Type II تقرير اختبار اختراق سنويًا من طرف ثالث.

لا - أنا لست شركة محاسبة قانونية ولا أُصدر تقرير SOC 2 نفسه. أنا أقدّم اختبار الاختراق المستقل الذي سيقبله مدققك كدليل لتدقيقك. وهذا هو تقسيم الأدوار المعتاد في مشاريع SOC 2: شركة أمنية أو مستشار ينفّذ الاختبار التقني، وشركة محاسبة مرخَّصة تُصدر الشهادة.

يشمل النطاق عادةً تطبيقك في بيئة الإنتاج والبنية التحتية التي تحتفظ ببيانات العملاء - أي الأنظمة الواقعة داخل حدود SOC 2 لديك. ويعني ذلك عادةً اختبارًا خارجيًا وداخليًا للتطبيق وواجهات API والبنية التحتية الداعمة، يغطي النتائج نفسها من صنف OWASP والبنية التحتية التي يغطيها اختبار اختراق عام، ويُقدَّم بصيغة يستطيع مدققك ربطها مباشرة بمتطلبات أدلة CC7.1.

يقيّم المدققون التقرير بمحتواه لا باسم العلامة التجارية للمختبِر؛ فهم يبحثون عن نطاق محدد، ومنهجية واضحة، ونتائج مؤرخة بتصنيفات خطورة، ودليل على تتبّع المعالجة. وهكذا بالضبط يُبنى كل تقرير هنا. وإذا كان مدققك يشترط صيغة بعينها، فأخبرني قبل بدء الاختبار وسألتزم بها.

عادةً من 5 إلى 10 أيام عمل بحسب حجم البنية التحتية الواقعة داخل حدود SOC 2 لديك. وإذا كان لتدقيقك موعد نهائي صارم، فاذكر ذلك أثناء تحديد النطاق، وسيُبنى الجدول الزمني في العرض حوله.

يتبع التسعير البنية نفسها المتبعة في اختبار تطبيقات الويب أو الشبكات المعتاد - من 500 دولار لتطبيق واحد، ومن 1,500 دولار عند إدراج البنية التحتية في النطاق - لأن اختبار اختراق SOC 2 هو تقنيًا العمل نفسه مع تقرير بصيغة الامتثال. راجع صفحة الأسعار للتفاصيل.