SOC 2: Die Rolle von Linux Live Patching

SOC 2 ist allgegenwärtig, und jeder hat es; Kunden fragen danach, Unternehmen brauchen es. Aber was ist das? Und wie passt das Live-Patching des Linux-Kernels dazu?

Wir bieten eine kurze Beschreibung dessen, was SOC 2 ist, was es beinhaltet und warum Unternehmen, die Linux-Server betreiben, darüber nachdenken sollten.

Eine Einführung in SOC 2 ®

SOC 2 ist eine Zertifizierung für Verfahren, Systeme und Datenmanagement, die von der AICPA. Sie ist ein Zeichen für eine gute Datenverwaltung und eine Möglichkeit, eine anerkannte Qualitätszertifizierung zu erhalten. Es prüft System- und Organisationskontrollen (daher 'SOC'), und ist eine öffentliche Erklärung eines Unternehmens gegenüber seinen Kunden, die besagt, dass:

• Ihre Daten sind sicher (1) und privat (2),
• das System, das sie verarbeitet, ist verfügbar (3),
• und das System wahrt die Integrität (4) und Vertraulichkeit (5) Ihrer Daten.

Dies sind die fünf Kategorien, in denen eine größere Anzahl von Kriterien für Vertrauensdiensteeine Reihe von Grundsätzen, die das Rückgrat eines SOC-2-Auditberichts bilden. Sie dienen externen Prüfern als Leitfaden und helfen ihnen, die Wirksamkeit der Richtlinien und Systeme zu messen, die eine Organisation zur Erreichung ihrer Ziele einsetzt.

Das Ergebnis eines Audits ist ein Bericht, mit dem sich Ihr Unternehmen rühmen kann, die SOC-2-Vorschriften einzuhalten, und der den Kunden die Gewissheit gibt, dass ihre Daten gut verwahrt werden und die von ihnen benötigten Dienste zuverlässig, genau und verfügbar sind. Audits sind in der Regel ein Jahr lang gültig. Unternehmen, die die SOC-2-Konformität ernsthaft anstreben, zeigen also ihr langfristiges Engagement, indem sie Spezialisten einstellen und Änderungen am Systemdesign vornehmen, um künftige Audits zu erleichtern.

SOC 2 ist zu einem beliebten Weg zur Einhaltung von Vorschriften geworden, weil er pragmatisch ist: Er ist flexibel und freiwillig; er umgeht rechtliche Erwägungen und die damit verbundenen Kosten; Sie können wählen, für welche Teile einer Organisation er gilt; Sie können wählen, für welche Systeme er gilt. Gerade dieser letzte Aspekt ist für Unternehmen interessant, die SaaS, E-Commerce, Webhosting und ähnliche öffentlich zugängliche, datenzentrierte Dienste anbieten, denn er bietet ihnen eine anpassungsfähige, skalierbare und kostengünstige Möglichkeit, die Einhaltung der Vorschriften zu gewährleisten.

Kriterien für den Vertrauensdienst (Grundsätze)

Die Kriterien für die Vertrauensdienste sind in fünf Kategorien unterteilt.

• Sicherheit: Informationen und Systeme sind vor unbefugtem Zugriff geschützt, der die Verfügbarkeit, Integrität, Vertraulichkeit und den Schutz der Daten gefährden könnte.
• Verfügbarkeit: Die Systeme und Daten sind zugänglich und verfügbar.
• Verarbeitung Integrität: Die Daten sind vollständig, genau und zeitgerecht und können nur durch autorisierte Prozesse geändert werden.
• Vertraulichkeit: Die Daten sind vor unbefugtem Zugriff geschützt, und vertrauliche Daten sind gekennzeichnet.
• Datenschutz: Personenbezogene Daten werden in Übereinstimmung mit den örtlichen Protokollen erfasst, gespeichert, verwendet und gelöscht. (Im Unterschied zur Vertraulichkeit, die sich auf alle sensiblen Informationen bezieht, die nicht speziell personenbezogen sind).

Sie beschreiben nicht nur grob, welche Aspekte eines Systems geprüft werden, sondern helfen auch dem Prüfer und dem zu prüfenden Unternehmen (in der SOC 2-Dokumentation als "entity" bezeichnet) bei der Entscheidung über den Umfang der Prüfung.

Jedes Kriterium des Vertrauensdienstes hat einen oder mehrere Schwerpunktthemen zugewiesen. Diese dienen als Gedächtnisstütze für den Prüfungsprozess und helfen, die Aufmerksamkeit auf Aspekte der Kriterien zu lenken und eine gemeinsame Sprache zu definieren, mit der sie bewertet werden können.

Arten von SOC 2-Berichten

Ein Bericht des Typs I besagt, dass eine Organisation die ausgewählten Kriterien erfüllt; ein Bericht des Typs II besagt, dass eine Organisation getestet wurde und nachgewiesen hat, dass sie die ausgewählten Kriterien erfüllt. Der Unterschied zwischen beiden besteht darin, dass Typ I besagt, dass Ihre Kontrollen und Verfahren vorhanden sind, während Typ II bedeutet, dass diese ebenfalls getestet wurden und sich als wirksam erwiesen haben.

Die Vorteile der SOC-2-Konformität

SOC 2 ist zu einer Marke geworden, die von den Dienstleistungsnutzern anerkannt wird und die sie zunehmend von ihren Dienstleistern verlangen. Es handelt sich um ein offenes und angesehenes Zertifizierungssystem mit einer großen Anhängerschaft in Nordamerika. Namhafte Datenunternehmen haben sich dafür entschieden und es zum De-facto-Standard für bewährte Verfahren gemacht, was kleinere Unternehmen ermutigt, diesem Beispiel zu folgen und die Zertifizierung zu erlangen.

Auch ohne Kunden- oder Gruppendruck können Unternehmen von einer unabhängigen Perspektive auf ihre Abläufe profitieren und die Möglichkeit haben, Versäumnisse in den Richtlinien und Verfahren oder Fehler in der Gestaltung der Systemarchitektur aufzudecken. Ein SOC-2-Bericht kann ein Beitrag sein zum kontinuierlichen VerbesserungsprozessEr dient als Benchmark, als messbare Grundlage, mit der andere Unternehmen oder die eigenen zukünftigen Audits verglichen werden können.

Erhalten Sie eine KOSTENLOSE 7-Tage-Testversion von KernelCare 

Die Rolle des Live-Patchings des Linux-Kernels

Linux-Server versorgen einen großen Teil des Internets und bilden die Grundlage für viele Online-Dienstinfrastrukturen und Rechenzentren. In großen Unternehmen kann die Zahl der einzelnen Linux-Instanzen in die Zehntausende gehen (oder in die Millionen, wenn es sich um eine große Suchmaschine handelt). Es ist davon auszugehen, dass sie keine Heerscharen von Systemadministratoren beschäftigen, um manuelle Kernel-Updates durchzuführen - sie automatisieren sie. Ohne Automatisierung des Linux-Kernel-Patchings wäre die Einhaltung der Vorschriften unmöglich, da jedes Jahr Hunderte von Sicherheitslücken im Linux-Kernel auftauchen.

Das Verschieben von Kernel-Patches in ein günstiges Wartungsfenster ist nach SOC 2 nicht mehr akzeptabel, und da SOC 2-Inspektionen wiederholt werden, kann die zusätzliche Systemadministration nicht manuell durchgeführt werden. Daher müssen die Systeme in fast allen Fällen geändert werden, um die Anforderungen zu erfüllen. Einfachheit und Automatisierung müssen die Leitprinzipien für diese Änderungen sein - es macht keinen Sinn, ein bereits komplexes System noch komplexer zu machen.

Die Live-Patching-Technologie ist ein Teil dieses Veränderungsprozesses und ersetzt eine kleine, aber wichtige Funktion der Systemadministration, nämlich die Installation von Sicherheitspatches für den Linux-Kernel, durch eine automatisierte Funktion, die die normalerweise mit diesem Aufwand verbundenen Serviceunterbrechungen beseitigt. Um die Rolle des Linux-Kernel-Live-Patching näher zu beleuchten, veranstalten wir ein Webinar mit AWS zu genau diesem Thema.

Wie Live Patching in die SOC 2 Trust Services-Kriterien passt

Für Unternehmen, die sich um eine SOC-2-Zertifizierung bemühen, kann diese Erfahrung entmutigend und erschreckend, aber auch befreiend und aufschlussreich sein. Am Ende all der harten Arbeit, der Dokumentation von Systemen und Geschäftsprozessen, der Katalogisierung von Servern und der Befragung von Mitarbeitern, steht ein besseres Verständnis der Geschäftsabläufe eines Unternehmens und ein klareres Bild der Systeme, die dafür verantwortlich sind.

Die Trittsteine auf dem Weg zur SOC 2-Konformität sind die Elemente der Trust Services Criteria, die Schwerpunkte. Zwei davon stehen aus Sicht der Linux-Systemadministration in direktem Widerspruch zueinander.

• In CC5.2 wird darauf geachtet, dass Kontrollen vorhanden sind, um die Verfügbarkeit der Dienste zu gewährleisten.
• Der Schwerpunkt von CC7.4 liegt auf der Sicherheit und verpflichtet Sie dazu, kritische Kernel-Sicherheitspatches zu installieren, sobald sie verfügbar sind.

Jeder, der mit der Verwaltung von Linux-Systemen vertraut ist, wird den Konflikt erkennen. Um einen Linux-Kernel durch die Installation der neuesten Sicherheits-Patches konform zu halten, muss er offline genommen werden und ist dann nicht mehr verfügbar. Es gibt andere Möglichkeiten, die Server konform zu halten, ohne die Verfügbarkeit zu beeinträchtigen, aber sie erfordern zusätzliche redundante Server und architektonische Planung, was für viele Unternehmen zusätzliche Kosten bedeutet.

Live-Patching ist die einzige technologische Lösung für Linux-Server, die diese Quadratur des Kreises ermöglicht. Sie installiert automatisch Linux-Kernel-Patches und hält sie auf dem neuesten Sicherheits-Patch-Level. Dies geschieht ohne jegliche Ausfallzeit - es sind keine Neustarts erforderlich.

Schlussfolgerung

Es ist zwar schwierig, die SOC-2-Konformität zu erreichen, aber es bringt nur Vorteile. Ein Audit ist ein Prozess der Selbstreflexion, der eine Organisation dazu zwingt, die Art und Weise, wie ihre Technologie Daten verwaltet, zu untersuchen und eventuelle Schwachstellen zu erkennen.

Um die Vorschriften langfristig einzuhalten und die Prüfer Jahr für Jahr zufrieden zu stellen, muss ein Unternehmen nach effektiven Möglichkeiten zur Automatisierung ressourcenintensiver Aufgaben suchen. Eine der am einfachsten zu bewältigenden Aufgaben in einer Linux-basierten Informationsinfrastruktur ist die routinemäßige Aktualisierung von Kernel-Patches. Hier kommt KernelCare ins Spiel.