"SOC 2 인증을 받았습니까?"라는 질문이 잘못된 이유

거의 모든 보안 설문지에 이 질문이 들어 있는 것 같습니다. "SOC 2 인증을 받았습니까?" 벤더는 "예"라고 답하고 PDF를 첨부하면, 항목에 체크가 됩니다. 문제는 이 질문이 양측이 생각하는 의미를 갖고 있지 않다는 점이며, 체크된 항목은 구매자가 찾으려 했던 바로 그 위험을 가릴 수 있다는 점입니다.

SOC 2 인증서는 없습니다

SOC 2는 인증(certification)이 아니라 검증 보고(attestation)입니다. 공인회계사(CPA) 자격을 가진 회계법인이 서비스 조직의 통제를 AICPA의 신뢰 서비스 기준(Trust Services Criteria)에 비추어 검토하고, 자신의 의견을 담은 보고서를 발행합니다. 인증서를 발행하는 주체도, 인증받은 기업 목록을 관리하는 기관도, 합격 기준 점수도 없습니다. 반면 ISO 27001은 공인 인증기관이 정의된 범위에 대해 인증서를 발행하며, 그 유효기간은 3년입니다. (차이점은 ISO 27001 vs SOC 2 비교에서 자세히 다룹니다.)

SOC 2 보고서를 인증서라고 부르는 것은 단순한 용어 문제가 아닙니다. 세부 사항과 조건이 붙은 문서를 예/아니요 배지로 바꿔 버리며, 위험은 바로 그 세부 사항에 있습니다.

"예"라는 답이 가릴 수 있는 것

벤더는 다음과 같은 상황에서도 SOC 2 보고서가 있다고 사실대로 말할 수 있습니다.

• 보고서가 Type I입니다. 통제가 특정 하루에 설계되어 시행되고 있었음을 보여줄 뿐, 시간이 지나도 제대로 작동했는지는 보여주지 않습니다.
• 범위가 구매하려는 서비스를 제외합니다. 보고서는 기술된 시스템만 다룹니다. 여러분의 데이터가 범위 밖의 제품이나 지역을 거친다면, 보고서는 그에 대해 아무것도 말해 주지 않습니다.
• 검토 기간이 오래전에 끝났습니다. 보고서는 과거 기간을 다룹니다. 기간이 끝난 뒤 몇 달이 지났다면, 최근의 운영 상태는 아무도 검증하지 않은 것입니다.
• 의견이 한정(qualified)되어 있거나, 테스트 결과에 여러분에게 중요한 예외(exceptions) 사항이 나열되어 있습니다.
• 핵심 통제가 하위 서비스 조직(예: 클라우드 호스팅 사업자)에 위임(carve-out)되어 있고, 그 기관의 보고서는 여러분이 보지 못합니다.
• 보고서가 여러분이 직접 운영해야 하는 통제, 즉 상보적 사용자 기관 통제(complementary user entity controls)에 의존하는데, 여러분 쪽의 누구도 그 사실을 모릅니다.
• 보안(Security) 범주만 포함되어 있는데, 여러분이 중요하게 여긴 것은 가용성, 기밀성 또는 개인정보 보호였습니다.

이 중 어느 것도 보고서를 무가치하게 만들지는 않습니다. 다만 이 모든 내용은 "예"라는 답 뒤에 보이지 않게 숨어 있습니다.

좋은 SOC 2 보고서의 가치

이것이 SOC 2를 반대하는 논리는 아닙니다. 역량 있는 회계법인이 발행한 Type II 보고서는 구매자가 받을 수 있는 가장 유용한 문서 중 하나입니다. 독립적인 검증자가 몇 달에 걸쳐 실제 증거를 표본 추출하여 확인합니다. 접근 권한의 부여와 회수, 변경 승인, 사고 처리, 백업 복구가 그 대상입니다. 벤더 자체 직원이 작성한 설문 응답으로는 이에 필적할 수 없으며, 보고서를 제대로 읽는 보안팀이라면 설문지의 대부분을 줄일 수 있습니다.

가치는 세부 사항에 있습니다. 어떤 통제가 검증되었는지, 어떤 방식으로 검증되었는지, 그리고 결과가 어떠했는지입니다. 줄임말은 이 세부 사항을 버립니다. 벤더가 "인증"을 받았는지 묻는 것은 "예"라는 답을 유도하지만, 보고서가 무엇을 다루는지 묻는 것은 증거를 끌어냅니다.

던져야 할 더 나은 질문

"SOC 2 인증을 받았습니까?"라는 질문을 답변이 유용해지는 질문으로 바꾸십시오.

1. 어떤 보고서를 보유하고 있습니까? Type I입니까, Type II입니까, 그리고 해당 보고서는 어느 기간을 다룹니까?
2. 시스템 기술서에 우리가 사용할 서비스와 지역이 포함되어 있습니까?
3. 어떤 신뢰 서비스 기준(Trust Services Criteria) 범주가 범위에 포함됩니까?
4. 예외 사항이나 한정 의견이 있었습니까? 있었다면 어떻게 해소되었습니까?
5. 어떤 하위 서비스 조직이 위임되어 있으며, 우리가 운영해야 하는 상보적 사용자 기관 통제는 무엇입니까?

그다음 보고서를 읽으십시오. 최소한 의견, 시스템 기술서, 예외 사항, 사용자 기관 통제는 확인해야 합니다. 이 작업은 설문지를 작성하는 데 들인 시간보다 훨씬 적게 걸립니다.

모든 프레임워크에 동일하게 적용됩니다

이러한 패턴은 SOC 2에만 해당하는 것이 아닙니다. "ISO 27001 인증 획득"은 인증서의 범위에 달려 있고, "NIS2 준수"는 국가 법률과 어떤 인증서로도 검증되지 않는 보고 절차에 달려 있으며, "NIST CSF에 부합"은 CSF에 인증 제도 자체가 없기 때문에 사실상 무엇이든 의미할 수 있습니다. 프레임워크 이름은 대화의 시작점일 뿐 끝이 아닙니다.

벤더 측에 계신다면 이 과정을 쉽게 만드십시오. 어떤 보고서인지, 어느 기간인지, 어떤 범위인지를 미리 밝히고, 여러분의 통제가 고객이 사용하는 프레임워크와 어떻게 대응하는지 보여주십시오. 격차 분석과 SOC 2 프레임워크 페이지가 대응 작업에 도움이 될 수 있으며, SOC 2 가이드에서는 보고서가 어떻게 작성되는지 설명합니다.

질문

SOC 2 인증이라는 것이 실제로 있습니까?

아니요. SOC 2 보고서는 검증 보고(attestation)입니다. 공인회계사 자격을 가진 회계법인이 서비스 조직의 통제를 AICPA 신뢰 서비스 기준(Trust Services Criteria)에 비추어 내린 의견입니다. 인증서는 발행되지 않습니다.

SOC 2 보고서에서 가장 먼저 읽어야 할 것은 무엇입니까?

감사인의 의견(한정 의견이 아닌가?), 범위와 시스템 기술서, 검토 기간, 테스트 결과의 예외 사항, 그리고 여러분이 운영해야 할 상보적 사용자 기관 통제.