北京
第一次SOC 2審計失敗時，我以為自己看錯了郵件。我們明明做了訪問控制、加密了靜態(tài)數(shù)據(jù)——所有博客都在寫的那些。結(jié)果栽跟頭的地方，根本沒人寫過。
審計員問了一個問題："你能證明這些日志完整且未被篡改嗎？"我們有幾百萬條日志存在ELK里，但答案是：不能。AICPA的CC7.2標(biāo)準(zhǔn)里有個關(guān)鍵詞是"監(jiān)控"，不是"記錄"。我們有日志，但沒有監(jiān)控、沒有告警、沒有完整性校驗。換句話說，我們只是把日志當(dāng)倉庫，不是當(dāng)哨兵。
離職流程是第二個坑。我們以為禁用Okta賬號就完事了，審計員卻要了一份清單：每個系統(tǒng)的訪問權(quán)限、撤銷時間、操作人、截圖證據(jù)。Okta只覆蓋60%的系統(tǒng)，剩下40%散落在各處。更狠的是時間差——員工離職兩周后才撤銷權(quán)限？直接記一筆違規(guī)。
第三個是變更管理。我們說是代碼審查，審計員問："生產(chǎn)環(huán)境誰有權(quán)限直接部署？"沉默。后來我們花了兩個月做哈希鏈?zhǔn)饺罩尽⒆詣踊x職檢查、強制雙人審批。第二次審計才過。
那位審計員最后補了一句：「我見過太多團隊把合規(guī)當(dāng) checkbox，但SOC 2 要的是證據(jù)鏈，不是良心賬?！?/p>
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺“網(wǎng)易號”用戶上傳并發(fā)布，本平臺僅提供信息存儲服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
