… 我在6年前为我的客户写了一篇帖子，他们当时正在考虑获得SOC2认证；这篇文章是关于你需要做的（非常小且非常简单的）一系列工程工作，以便处于可以获得自动SOC2类型I认证的状态。它一直表现得非常好。你应该充分理解这篇文章中的内容，对SOC2 DRL中的每一件事都有明确的观点，并且能够处于可以告诉审计人员让他们离开的位置，如果他们要求你做更多事情的话。 https://www.latacora.com/blog/2020/03/12/soc2-starting-seven...
源讨论Ask HN：作为个人创业者如何实现SOC2类型2合规？原帖 138 条评论 · 导入时统计我经历了这个过程，虽然看起来很吓人，但其实就是一些工作和一些钱。一旦建立起来，它对你的持续流程和实践来说也是有变革性的（或者应该是这样）。你把这些东西编纂成一堆文档（天啊，那真是很多文档），并为每个文档提供证据；审计人员会随机地抓住这些文档。然后你的工作就是维护这些文档和证据，这可以用一些有相关框架的工具来帮助。我们使用drata，它真的很简单且有用。 我觉得作为一个独行侠，你很难做到合规，至少不容易。很多协议和实践都围绕着治理、交接、故障转移、风险缓解等展开，如果你是唯一一个在那里的人，那么前方的路会很艰难。你是否在审查和批准自己的代码以部署到生产环境？如果事情出问题，你是第一个被叫的人（比如说）…
完整原文把你的经验，加入这段讨论。
几乎自动的无异常认证应该是基本合理的企业安全实践的副产品。 关键在于这里。如果你在开始审查事情时意识到它并不那么合理，我们的情况是它让我们（还有其他信号）重新审视我们的实践，然后变得轻松了。
完整原文我完全同意这种观点，但从实际角度来看（在过去的几年里），我看到的是相反的情况。SOC2流程通常是变革性的（“应该”和“是”不是一回事）。 尤其是较小的初创公司，他们迅速成长，现在“想要获得SOC2因为客户想要它”。实际上这也（不幸的是）意味着“不是所有员工都应该有AWS管理员凭证，我们应该在环境之间进行隔离，并且我们应该知道谁拥有什么访问权限”。 对于这些公司，SOC2的“要求”可以是获得适当安全和访问控制模式的业务价值项目。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。