SOC 2 向けペネトレーションテスト

SOC 2 Type II の基準本文は「ペネトレーションテスト」という名称の特定のテストを義務づけてはいません。しかしセキュリティ（Common Criteria）のカテゴリ、とりわけ脆弱性の監視を扱う CC7.1 のもとで、多くの監査人は脆弱性検知の統制が実際に有効であることの証跡として、独立したペネトレーションテストを期待します。実務上、SOC 2 Type II 監査の大多数が、第三者による年次のペネトレーションテスト報告書を求めます。

いいえ。私は監査法人ではなく、SOC 2 報告書そのものを発行しません。私が提供するのは、貴社の監査人が監査の証跡として受け入れる独立したペネトレーションテストです。これが SOC 2 案件における標準的な役割分担です。セキュリティ企業またはコンサルタントが技術的なテストを実施し、有資格の監査法人が保証を発行します。

対象範囲は通常、本番アプリケーションと顧客データを保持するインフラ、すなわち SOC 2 の境界内にあるシステムです。一般的には、アプリケーション、API、関連インフラの外部および内部テストを意味し、一般的なペネトレーションテストと同じ OWASP 系およびインフラ系の指摘事項を扱います。報告形式は、監査人が CC7.1 の証跡要件に直接対応づけられるものです。

監査人はレポートを、実施者のブランド名ではなく内容で評価します。定義された対象範囲、明確な手法、深刻度評価の付いた日付入りの指摘事項、そして修正追跡の証跡があるかを確認します。当方のレポートはまさにその構成です。監査人に特定の形式の要件がある場合は、テスト開始前にお知らせいただければ、それに合わせます。

SOC 2 の境界内にどれだけのインフラが含まれるかにより、通常は営業日で 5〜10 日です。監査に厳格な期限がある場合は、範囲確認の際にお知らせください。ご提案はその期限を起点にスケジュールを組み立てます。

料金は通常の Web アプリケーションテストやネットワークテストと同じ体系に従います。単一アプリケーションであれば 500 ドルから、インフラが対象範囲に含まれる場合は 1,500 ドルからです。SOC 2 のペネトレーションテストは技術的には同じ作業で、報告がコンプライアンス形式になるだけだからです。詳細は料金ページをご覧ください。