SOC 2: güven hizmeti ölçütleri ve denetime hazırlık
SOC 2’nin güven hizmeti ölçütlerini, Tip 1 ve Tip 2 farkını, sistem tanımını ve kontrol matrisini öğrenir; bir SaaS şirketini kanıtlarıyla denetime hazırlar ve bir SOC 2 raporunu okursun.
Seviye 301 · 18 ders · 15 pratik lab
Dersler
Temeller
- SOC 1, SOC 2 ve SOC 3
- Güven hizmeti ölçütleri
- Tip 1 ve Tip 2: bir an ve bir dönem
- SOC 2 ile ISO/IEC 27001 karşılaştırması
- Kısa görev: kapsam için ölçüt seç
Hazırlık
- Sistem tanımı yazmak
- Kontrol matrisi kurmak
- Ortak ölçütler: CC1–CC9
- Tamamlayıcı kullanıcı ve alt hizmet kontrolleri
- Hazırlık değerlendirmesi
- Kısa görev: yirmi kontrollü matris
Kanıt ve dönem
- Dönem boyunca kanıt takvimi
- Popülasyon ve örneklem istekleri
- İstisnalar ve sapmalar
- Kısa görev: denetçi isteğine kanıt paketi hazırla
Raporu okumak
- SOC 2 raporunu okumak: görüş, bölümler, istisnalar
- Köprü mektubu ve dönem boşlukları
- Bitirme görevi: bir SaaS girişimini Tip 1 denetimine hazırla
Pratik lablar
- Rapor türünü seç: Sekiz müşteri talebini uygun rapor türüyle eşle.
- Kapsama alınacak ölçütleri seç: Bir bordro yazılımı hizmeti için güvenlik dışında hangi güven hizmeti ölçütlerinin kapsama alınacağını gerekçesiyle seç.
- Tip 1 mi, Tip 2 mi, ISO mu: Üç şirketin müşteri beklentisi, takvimi ve olgunluğuna göre Tip 1, Tip 2 ya da ISO/IEC 27001 yolunu öner ve gerekçelendir.
- Sistem tanımının bölümlerini doldur: Bir hizmet anlatımındaki cümleleri altyapı, yazılım, insanlar, prosedürler ve veri bölümlerine yerleştir.
- Yirmi kontrollük matris: Yirmi kontrolü ortak ölçütlerle eşleyip sahip, sıklık ve kanıt sütunlarını doldur.
- Ortak ölçütlerde kapsanmayanı bul: Bir kontrol matrisini CC1–CC9 odak noktalarıyla karşılaştırıp karşılığı olmayan ölçütleri ve gereken kontrolü yaz.
- Alt hizmet kuruluşunu belirle: Bir mimari anlatımından alt hizmet kuruluşlarını ve onlara dayanılan kontrolleri çıkar.
- Tamamlayıcı kullanıcı kontrollerini yaz: Bir yazılım hizmetinin müşterilerinin yerine getirmesi gereken altı tamamlayıcı kontrolü yaz.
- Hazırlık değerlendirmesi raporu: Göktaşı Yazılım'ın kontrol matrisi ve görüşme notlarından boşlukları, önceliklerini ve denetime hazır olma tarihini içeren rapor yaz.
- Dönem için kanıt takvimi: On beş kontrolün sıklığına göre altı aylık dönemde hangi ay hangi kanıtın toplanacağını takvime yerleştir.
- Denetçi talebini kanıt paketiyle yanıtla: İşe başlayanlar ana kütlesinden seçilen beş örnek için onay, eğitim ve erişim kanıtlarını derleyip yanıt paketini hazırla.
- Ana kütlenin tamlığını kanıtla: Değişiklik ana kütlesini kaynak sistem dışa aktarımıyla uzlaştırıp tamlık ve doğruluk açıklamasını yaz.
- Rapordaki bölümü bul: Sekiz soruyu kurgusal bir raporun görüş, yönetim beyanı, sistem tanımı ve test sonuçları bölümleriyle eşle.
- İstisna için yönetim yanıtı yaz: İki örnekte geciken erişim iptali istisnası için neden, etki ve düzeltmeyi içeren yönetim yanıtı yaz.
- Köprü mektubu ve dönem boşluğu: Bir sağlayıcının raporu ile bugünkü tarih arasındaki boşluğu hesapla ve köprü mektubunun neyi karşılayıp neyi karşılamadığını yaz.
Kurs hakkında
SOC 2’nin güven hizmeti ölçütlerini, Tip 1 ve Tip 2 farkını, sistem tanımını ve kontrol matrisini öğrenir; bir SaaS şirketini kanıtlarıyla denetime hazırlar ve bir SOC 2 raporunu okursun.
Ne öğreneceksin
- Temeller
- Hazırlık
- Kanıt ve dönem
- Raporu okumak
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.