ISO 27001과 SOC 2:
자격 증명에 각각 무엇을 요구하는가

신비를 걷어낸 두 표준

ISO/IEC 27001은 정보보호 관리체계(ISMS)를 운영하기 위한 국제 표준입니다. 적용 범위와 위험을 정의하고, Annex A(2022년 개정판 기준 93개 통제)에서 통제를 골라 구현하면, 인정받은 기관이 인증하고 그 사이에 사후 심사를 진행합니다. 이 표준이 답하는 질문은 이 조직이 보안을 체계적으로 관리하고 있는가입니다.

SOC 2는 인증이 아니라 검증 의견입니다. 면허를 가진 회계법인이 AICPA Trust Services Criteria(보안은 항상 포함되고, 가용성, 기밀성, 처리 무결성, 개인정보 보호는 선택)에 비추어 통제를 검사하고 보고서를 씁니다. Type I 보고서는 특정 시점에 통제가 적절히 설계되었다고 말하고, Type II는 보통 3개월에서 12개월의 기간 동안 실제로 운영되었다고 말합니다. 이 표준이 답하는 질문은 감사인의 증거를 근거로, 이 공급업체에 고객 데이터를 맡길 수 있는가입니다.

비슷한 틀은 다른 곳에도 있고 요구 사항도 서로 닮아 있습니다. GDPR 제32조("적절한 기술적 조치"로 암호화와 접근 통제를 명시적으로 지목합니다), PCI DSS 4.0(요구 사항 7과 8: 최소 권한, 최소 12자, MFA), HIPAA의 접근 통제 보호 조치, 영국의 Cyber Essentials가 그렇습니다. 아래의 자격 증명 규율을 통과하시면 이들 전부의 신원 관련 항목도 대부분 통과하신 셈입니다.

감사가 실제로 막히는 지점: 공유 자격 증명

개인 사용자 계정은 신원 공급자를 타고 있어 증거를 만들기 쉽습니다. 감사를 막는 것은 SSO가 닿지 못하는 자격 증명 롱테일입니다. 은행 포털, 등록기관, 방화벽의 공용 관리자 로그인, 스크립트 안의 API 키입니다. 두 표준의 감사인 모두 정확히 이것들에 대해 같은 네 가지를 묻습니다.

1. 목록: 어떤 공유 자격 증명이 존재하고, 각각의 담당자는 누구입니까?
2. 승인: 각각에 누가 접근할 수 있고, 그것이 문서화된 필요와 일치합니까?
3. 생애주기: 3월에 그 사람이 나갔을 때 무슨 일이 있었습니까? 기록을 보여 주십시오.
4. 책임 추적: 이 날짜에 그 공용 계정을 실제로 쓴 사람은 누구입니까? "공용이라서요"는 답이 아니라 지적 사항입니다.

스프레드시트는 이 중 어느 것에도 답하지 못하고, 채팅 기록은 가장 나쁜 방식으로 답합니다. 팀 자격 증명 보관함이 메우려고 존재하는 공백이 여기이며, 감사를 위해서가 아니라 감사 전에 해 두는 편이 나은 이유이기도 합니다. 같은 네 가지 질문을 유출 대응은 훨씬 나쁜 조건에서 던지기 때문입니다.

통제 대응표

통제 번호는 참고용이며 규정 준수 의견이 아닙니다. 최종 대응은 담당 감사인과 적용 범위 결정에 달려 있습니다. 다만 위의 모든 행은 저희가 실제 심사에서 평가자가 묻는 것을 본 질문이고, 증거가 인터뷰가 아니라 기록 시스템일 때 각각은 5분짜리 답이 됩니다.

Keyvaci의 위치, 솔직하게

Keyvaci는 그 공유 자격 증명 계층의 기록 시스템입니다. 역할이 강제되는 보관함, 이미 감사하고 계신 디렉터리를 통한 로그인, 조직이 서명한 구성원 키, 기대가 아니라 재암호화로 이루어지는 철회, 그리고 감사인의 네 가지 질문을 네 번의 조회로 바꿔 주는 추가만 가능한 로그입니다. 보통 반나절짜리 발굴 작업이 되는 퇴사 처리 증거가 출력물 한 장이 됩니다.

그리고 공급업체 평가 테이블의 저희 쪽 이야기도 그대로 말씀드립니다. Keyvaci는 XNOR Group Pte. Ltd.가 운영하며, 이 회사의 정보보호 관리체계는 ISO/IEC 27001 인증을 받았습니다. 인증서와 적용 범위 명세는 문의 페이지를 통해 요청하시면 구매 담당 부서에 제공해 드립니다. Keyvaci 서비스 자체에 대한 SOC 2 보고서는 로드맵에 있으며 아직 발급되지 않았습니다. 다르게 들리도록 돌려 말하느니 그대로 말씀드리는 편이 낫다고 봅니다. 인증서와 별개로, 배지가 담을 수 없는 것도 함께 제공합니다. 저희가 고객이 저장한 것을 읽을 수 없는 제로 지식 아키텍처를, 보안팀이 검증할 수 있을 만큼 상세히 공개하고 있고, 서명된 데이터 처리 부속서도 있습니다. 암호문만 보유하고 있음을 증명할 수 있는 공급업체에게 감사인이 물을 것은 매우 적습니다.

실무 순서

1. 이번 주: 공유 자격 증명 롱테일을 담당자와 역할이 붙은 보관함으로 옮기십시오. 상위 20개는 반나절이면 됩니다.
2. 이번 달: 로그인을 디렉터리에 연결해 입퇴사 증거가 자동으로 남게 하고, 표시 전 MFA를 켜십시오.
3. 감사 시점: 평가자가 고른 표본에 대해 접근 목록과 감사 이벤트를 내보내고, 그렇게 아낀 시간을 정말로 고민이 필요한 통제에 쓰십시오.