Mühendislik Ekipleri İçin SOC 2: Kanıt Toplama Planı

Önemli çıkarımlar

• SOC 2 bir kontrol denetiminden çok kanıt denetimidir; asıl mühendislik işi iz bırakacak boru hattını kurmaktır.
• Sürekli otomatik kanıt toplama, yıllık panik çalışmalarını bitirir. Bir kez otomatikleştirin, her yıl kullanın.
• Çeyreklik erişim incelemeleri (access reviews) en sık kalınan kontroldür çünkü genellikle yazılı imzayla yapılmaz.
• Type II denetimleri 6 ila 12 aylık bir dönemi kapsar; hazırlık çalışması bu süreden önce başlamalıdır.

Bir ekip ilk SOC 2 Type II denetim penceresinden altı hafta önce bize ulaştı. Uyumluluk yöneticisi gerekli kontrolleri listelemiş, mühendislik ekibi ise “biz bunların hepsini zaten yapıyoruz” demişti. Ancak denetçi sözlü beyanı kabul etmiyordu; denetim dönemini kapsayan sorgulanabilir loglar, onay biletleri ve imzalı erişim incelemeleri gerekiyordu.

Altı hafta boyunca yeni güvenlik kontrolü icat etmek yerine (ekip zaten %80’ini yapıyordu) kanıt boru hattını (evidence pipeline) kurduk. Denetim sorunsuz geçti ve bir sonraki yılın denetim hazırlığı altı hafta yerine yalnızca iki gün sürdü.

Denetçi İçin “Kanıt” Nedir ve Boru Hattı Nasıl Kurulur?

SOC 2 beş Güven Hizmetleri Kriterinden (Güvenlik zorunlu; Erişilebilirlik, Gizlilik, İşleme Bütünlüğü ve Mahremiyet opsiyonel) oluşur. Denetçinin doğruladığı beş kanıt türü vardır: en az 90 gün saklanan uygulama ve erişim logları, talep eden-onaylayan-uygulayan zincirini gösteren değişiklik biletleri (Jira, Linear, GitHub PR onayları), altyapı konfigürasyon anlık görüntüleri, politika değişikliklerindeki elektronik imzalar ve yıllık güncellenen yazılı politikalar.

Sürekli kanıt boru hattı; GitHub, AWS/GCP, Okta, Jira ve CI/CD sistemlerinden günlük konfigürasyon özetlerini ve denetim olaylarını çekerek uzun süreli salt okunur bir depoya (S3, BigQuery veya Vanta/Drata gibi bir platforma) aktarır.

Ekiplerin En Sık Kaldığı Üç Kontrol ve Aşırı Mühendislik Tuzakları

Hazırlık denetimlerinde en sık eksik çıkan üç madde şunlardır:

1. Çeyreklik Erişim İncelemeleri: Her üç ayda bir canlı sistemlere erişimi olan kullanıcı ve yetki listesinin çıkarılıp sorumlu yönetici tarafından imzalanarak arşivlenmesi.
2. Tedarikçi Risk Değerlendirmeleri: Müşteri verisine dokunan alt işlemcilerin (sub-processors) envanteri ve yıllık risk incelemesi.
3. Güvenlik Farkındalık Eğitimi: Canlı ortama erişen tüm mühendislerin yıllık eğitimi tamamladığına dair kayıtlar.

Buna karşılık ekiplerin kendi özel sır tarayıcısını yazması veya “her canlı değişikliğe üç onay” gibi mühendislerin etrafından dolaşacağı aşırı katı kurallar koyması zaman kaybıdır; Trivy/Dependabot gibi standart araçlar ve “tek onay artı tam loglama” kuralı denetimden rahatlıkla geçer.

Sıkça sorulanlar

Sıkça sorulan sorular

Vanta veya Drata gibi bir uyumluluk platformu almamız şart mı?

Şart değil ancak çok faydalıdır. Bulut sağlayıcıları ve SaaS araçlarından kanıt toplamayı otomatikleştirirler. 10-100 mühendis arası standart bulut yığını kullanan ekiplerde harcanacak mühendislik zamanından daha ucuza gelirler.

SOC 2 Type I ile Type II arasındaki fark nedir?

Type I belirli bir tarihteki anlık fotoğrafı ('kontroller X tarihinde mevcuttu') denetler. Type II ise 6-12 aylık bir dönem boyunca kontrollerin kesintisiz ve etkin çalıştığını denetler. Kurumsal müşteriler neredeyse her zaman Type II ister.

Beş Güven Hizmetleri Kriterinden (TSC) hangilerini seçmeliyiz?

Güvenlik (Security) zorunludur. Çoğu B2B SaaS şirketi Güvenlik'in yanına Erişilebilirlik (Availability) ve Gizlilik (Confidentiality) kriterlerini ekler.