SOC 2 감사가 6개월 앞으로 다가왔고 엔터프라이즈 파이프라인이 보고서에 달려 있다면, 인프라 증거까지 준비된 상태로 모든 TSC 통제를 점검합니다. — Claude Skill

SOC 2 컴플라이언스 전문가

모든 신뢰 서비스 기준(TSC), 인프라 보안 검증, 증거 수집, 전체 감사 준비 과정을 다루는 SOC 2 Type I 및 Type II 컴플라이언스 관리입니다.

---

SOC 2 개요

Type I과 Type II

Type I으로 통제 설계를 검증한 뒤 6개월 이내에 Type II로 전환합니다.

신뢰 서비스 기준(TSC) 요약

범주별 상세 통제 요구사항은 REFERENCE.md를 참고하세요.

---

준비도 평가 워크플로

이 에이전트는 gap 분석부터 감사 완료까지 조직의 SOC 2 준비를 안내합니다.

워크플로: 1단계 -- Gap 분석(1-4주)

1. 범위 정의 -- 포함할 TSC 범주를 결정하고(보안은 필수), 시스템 경계를 정의하며, 하위 서비스 조직을 식별하고(carve-out vs. inclusive), 주요 서비스 약속을 문서화합니다.
2. 현재 상태 평가 -- 기존 정책과 절차를 인벤토리화하고, 현재 통제를 TSC 요구사항에 매핑하며, 프로세스 소유자와 통제 운영자를 인터뷰합니다.
3. 자동 gap 분석 실행 -- scripts/soc2_readiness_checker.py를 사용합니다.
4. Gap 문서화 -- 누락된 통제, 증거가 부족한 통제, 효과적으로 운영되지 않는 통제를 기록합니다.
5. 우선순위화 -- 리스크 수준과 개선 노력 기준으로 gap을 정렬합니다.
6. 검증 체크포인트: Gap 분석이 범위 내 모든 TSC 범주를 포함하고, 각 gap에 심각도와 개선 소유자가 배정되어 있습니다.

워크플로: 2단계 -- 개선(5-16주)

1. 정책 개발/갱신 -- 정보보안 정책, 통제 영역별 지원 절차, 정책 검토 및 승인 워크플로.
2. 기술 통제 구현 -- IdP에 SSO/MFA 강제 설정, 엔드포인트 보안(MDM, EDR, 디스크 암호화) 배포, SIEM 로깅 및 모니터링 구현, 백업과 DR 설정, 클라우드 인프라 하드닝.
3. 프로세스 수립 -- 접근 검토 절차, 변경 관리 워크플로, 사고 대응 절차, 벤더 관리 프로그램, 보안 인식 교육.
4. 증거 수집 설정 -- 자동 수집 설정, 저장소 구조 수립, TSC 범주별 갱신 주기 정의.
5. 검증 체크포인트: 식별된 모든 gap이 개선되고, 기술 통제가 scripts/soc2_infrastructure_auditor.py로 검증되며, 증거 수집이 산출물을 생성합니다.

워크플로: 3단계 -- 감사 전(17-20주)

1. 내부 준비도 평가 수행 -- 범위 내 모든 TSC에 대해 mock audit을 수행하고, 증거 완전성과 품질을 검증하며, 기술 검증을 위해 infrastructure auditor를 실행합니다.
2. 감사 전 지적사항 개선 -- 남은 gap을 해결하고 증거를 강화합니다.
3. CPA 법인 선정 및 계약 -- 범위, 일정, 수수료를 협상하고, 킥오프를 예약하며, 시스템 설명서 초안을 준비합니다.
4. 검증 체크포인트: mock audit이 critical gap 없이 통과했고, 시스템 설명서가 검토됐으며, 감사인이 확정되었습니다.

워크플로: 4단계 -- 감사 실행

1. Type I 감사(해당 시) -- 감사인이 통제 설계를 검토하고, 경영진이 확인서를 제공하며, Type II 전에 지적사항을 해결합니다.
2. Type II 관찰 기간(3-12개월) -- 통제가 일관되게 운영되고, 증거가 지속적으로 수집되며, 분기별 자체 평가와 정기 감사인 체크인을 수행합니다.
3. 현장 감사(2-4주) -- 감사인이 샘플을 선택하고, 통제를 테스트하고, 담당자를 인터뷰합니다. 초안 보고서 검토 후 최종 보고서가 발행됩니다.
4. 검증 체크포인트: 적정 의견을 받았고, 모든 지적사항에 경영진 대응과 개선 계획이 있습니다.

---

증거 수집 프레임워크

TSC 범주별 증거

예시: 증거 수집 명령

# 모든 TSC 범주의 증거 체크리스트 생성
python scripts/evidence_collector.py --generate-checklist --categories all

# 증거 상태 추적
python scripts/evidence_collector.py --status evidence-tracker.json

# 특정 증거 항목 업데이트
python scripts/evidence_collector.py --update evidence-tracker.json \
  --item CC6.1-MFA --status collected

# 준비도 대시보드 생성
python scripts/evidence_collector.py --dashboard evidence-tracker.json

# 감사인 검토용으로 export
python scripts/evidence_collector.py --export evidence-tracker.json --format json

자동화 전략

GRC 플랫폼: Vanta, Drata, Secureframe, Laika, AuditBoard -- API 통합을 통한 자동 증거 수집, 지속적 통제 모니터링, 감사인 협업 포털.

증거로서의 인프라: 클라우드 설정 스냅샷(AWS Config, Azure Policy, GCP Org Policies), 설정 증거로서의 Terraform state, 변경 관리 증거로서의 Git history, 배포 통제 증거로서의 CI/CD 파이프라인 로그.

---

인프라 보안 검증

이 에이전트는 SOC 2 요구사항에 맞춰 인프라 설정을 검증합니다.

빠른 참조: 인프라 점검

프로바이더별 상세 통제 매핑은 REFERENCE.md를 참고하세요.

예시: 인프라 감사 명령

# 전체 인프라 감사
python scripts/soc2_infrastructure_auditor.py --config infra-config.json

# 특정 영역만 감사
python scripts/soc2_infrastructure_auditor.py --config infra-config.json \
  --domains dns tls cloud

# 심각도 등급이 포함된 JSON 출력
python scripts/soc2_infrastructure_auditor.py --config infra-config.json --format json

# 샘플 설정 템플릿 생성
python scripts/soc2_infrastructure_auditor.py --generate-template

---

감사 일정

일반 일정(첫 SOC 2)

연간 갱신

• 관찰 기간 종료 3개월 전 갱신 계획을 시작합니다.
• 감사 기간 사이에도 지속적 컴플라이언스를 유지합니다.
• 새 관찰 기간 전에 전년도 지적사항을 해결합니다.
• 보고서 사이의 공백에는 bridge letter를 사용할 수 있습니다.

---

사고 대응 요구사항

IRP 구조

1. 준비 -- IR 팀 정의, 커뮤니케이션 채널 수립, 일반 사고용 runbook, 법무/PR 연락처 retainer 확보.
2. 탐지 및 분석 -- 모니터링/알림 커버리지, 심각도 분류(SEV1-SEV4), triage 절차, 에스컬레이션 매트릭스.
3. 격리, 제거, 복구 -- 영향을 받은 시스템 격리, 증거 보존, 근본 원인 식별, 복원 및 검증.
4. 사고 후 처리 -- 영업일 5일 내 비난 없는 사후 분석, 교훈, 통제 개선, 통지 평가(MTTD, MTTR, MTTC 추적).

심각도 수준 정의와 침해 통지 일정은 REFERENCE.md를 참고하세요.

---

도구

SOC 2 준비도 점검기

# 전체 준비도 평가
python scripts/soc2_readiness_checker.py --config org-controls.json

# 프로그램 사용을 위한 JSON 출력
python scripts/soc2_readiness_checker.py --config org-controls.json --format json

# 특정 TSC 범주 점검
python scripts/soc2_readiness_checker.py --config org-controls.json \
  --categories security availability

# 클라우드 제공업체 통제 매핑 포함
python scripts/soc2_readiness_checker.py --config org-controls.json --cloud-mapping

증거 수집기

# 체크리스트 생성 및 상태 추적
python scripts/evidence_collector.py --generate-checklist --categories all
python scripts/evidence_collector.py --status evidence-tracker.json
python scripts/evidence_collector.py --dashboard evidence-tracker.json

Infrastructure Auditor

# SOC 2 요구사항 기준으로 인프라 검증
python scripts/soc2_infrastructure_auditor.py --config infra-config.json
python scripts/soc2_infrastructure_auditor.py --config infra-config.json --format json

---

참고 자료

---

문제 해결

---

성공 기준

• 적용 가능한 모든 TSC 범주가 선택되고, 시스템 경계가 문서화되며, 하위 서비스 조직이 식별된 상태(carve-out vs inclusive)로 SOC 2 범위가 정의됨
• 식별된 모든 gap에 심각도, 개선 소유자, 목표 완료일이 배정된 gap 분석 완료
• CPA 법인 계약 전 범위 내 모든 TSC 범주의 준비도 점수 80%+, Type II 현장 감사 전 95%+로 개선 추세
• 범주별 갱신 주기와 가능한 자동 수집이 정의된 중앙 저장소 기반 증거 수집 프레임워크 운영
• DNS, TLS, 클라우드, 엔드포인트, 접근 통제 영역에서 critical 또는 high 심각도 지적사항 없이 인프라 감사 통과
• 최소 6개월의 Type II 관찰 기간 동안 지속적 통제 운영, 분기별 자체 평가, 중요한 통제 실패 없음
• 모든 지적사항에 경영진 대응과 문서화된 개선 계획이 있는 적정 SOC 2 Type II 의견 수령

---

범위와 한계

범위 안:

• 모든 TSC 범주(CC1-CC9, A1, PI1, C1, P1)에 대한 SOC 2 Type I 및 Type II 준비도 평가
• 인프라 보안 검증(DNS, TLS, 클라우드, 엔드포인트, 네트워크, 컨테이너, CI/CD, secrets)
• 증거 수집 프레임워크 생성 및 추적
• 심각도 등급이 있는 지적사항과 개선 가이드를 포함한 gap 분석
• 감사 일정 계획과 CPA 법인 계약 준비
• 사고 대응 계획 구조와 요구사항
• 지속적 컴플라이언스 프로그램 설계

범위 밖:

• CPA 법인의 감사 실행(도구는 감사를 준비하며, 실제 Type I/II 보고서는 독립 CPA 법인이 필요)
• SOC 1(ICFR) 평가(SOC 1은 보안/가용성/프라이버시가 아니라 재무 보고 통제를 다룸)
• SOC 3 보고서 생성(SOC 3는 SOC 2에서 파생된 공개 요약이며 완료된 SOC 2 감사가 필요)
• 침투 테스트 실행(infrastructure-compliance-auditor를 사용하거나 제3자 pentest 업체와 계약)
• GRC 플랫폼 선정 또는 구현(스킬은 Vanta, Drata, Secureframe 등과 호환되지만 이를 구현하지는 않음)
• SOC 2 보고서에 대한 고객 계약 요구사항 관련 법률 자문
• 물리 보안 평가(infrastructure auditor는 논리 통제를 다루며, 물리 데이터센터 감사는 현장 평가가 필요)

---

통합 지점

---

도구 참조

soc2_readiness_checker.py

조직 통제를 SOC 2 신뢰 서비스 기준(TSC)에 맞춰 평가하고 범주별 점수를 제공합니다.

evidence_collector.py

증거 수집 체크리스트를 생성하고 증거 수집 상태를 추적합니다.

soc2_infrastructure_auditor.py

인프라 설정을 SOC 2 요구사항 기준으로 감사하고 심각도 등급이 있는 지적사항을 제공합니다.