2 publicaciones etiquetado con "soc2"

Si dirige ingeniería o seguridad en una empresa de Europa Central y Oriental, probablemente ha escuchado la misma conversación dos veces en los últimos seis meses — una vez de parte de legal ("necesitamos ISO 27001") y otra de un cliente potencial de empresa estadounidense ("necesitamos SOC 2 Type II"). Ambos tienen razón. Ambos tienen consecuencias reales. Y ambos cuentan con la gestión de acceso privilegiado como un requisito de control fundamental. La pregunta es: ¿cuál persigue primero, y ¿se superpone el trabajo?

La preparación de SOC 2 Type II es una maratón. La mayoría de las organizaciones superan la documentación de políticas, los cuestionarios de riesgo de proveedores y los diagramas de segmentación de red sin demasiado dolor. Entonces llegan a CC6 — Controles de Acceso Lógico y Físico — y la auditoría se vuelve difícil.

CC6 es donde los auditores pasan más tiempo y donde las empresas reciben excepciones con más frecuencia. Cubre quién tiene acceso a sus sistemas, cómo se controla ese acceso, cómo se monitorea y cómo se revisa. Si su respuesta de gestión de acceso privilegiado es "usamos VPN más RDP con credenciales de administrador compartidas", no va a pasar.

Aquí está exactamente qué requiere CC6, qué preguntan los auditores y cómo producir la evidencia.