SOC 2 och underlag utifrån

Kontroller som inte finns med här handlar om policyer, människor och interna system, och kräver därför underlag inifrån organisationen. Varje fynd länkar till sin fullständiga förklaring. Fynden står på engelska, så som TrustSek rapporterar dem i dag.

Kopplingen kommer från poängmotorn och byggs ut. På några ställen pekar den ut den mildare varianten av ett fynd men inte den allvarligare, till exempel 50 eller fler subdomäner men inte 100 eller fler.

• CC6.6

  Logiska åtkomstkontroller för skydd av systemgränsen

  Skyddet av systemgränsen motsägs av exponerade värdnamn för administration och utveckling och av aktiva träffar i threat intelligence vid gränsen.

  Fynd som talar emot kontrollen

  • High-Risk subdomains detected
  • Known-Exploited vulnerability in a public component
  • Vulnerability likely to be exploited
  • Outdated component with known vulnerabilities
  • Domain flagged by Google Safe Browsing

• CC6.7

  Begränsning och skydd av dataöverföringar

  Skydd av överföringar kräver HTTPS med en giltig förtroendekedja, modern TLS och HSTS.

  Fynd som talar emot kontrollen

  • No HTTPS: website served without encryption
  • Apex does not serve HTTPS directly
  • HTTPS not available
  • TLS handshake failed
  • Weak TLS version
  • SSL certificate expired
  • TLS certificate on malware blacklist
  • Self-Signed certificate
  • HSTS header missing

• CC6.8

  Upptäckt och förhindrande av obehörig eller skadlig programvara

  Upptäckten av skadlig programvara motsägs av externa träffar för skadlig kod eller i threat intelligence mot organisationens domän.

  Fynd som talar emot kontrollen

  • Domain flagged for malware by Google Safe Browsing
  • Domain listed in URLhaus malware database
  • Active botnet command-and-control detected
  • Recent malware indicator match
  • Domain flagged as malicious by AlienVault OTX

• CC7.1

  Upptäckt av sårbarheter och konfigurationsproblem

  Upptäckten av sårbarheter syns som konfigurationsdrift i säkerhetsheaders och TLS.

  Fynd som talar emot kontrollen

  • Security headers missing
  • Weak TLS version
  • SSL certificate expired
  • TLS certificate on malware blacklist

• CC7.2

  Övervakning av systemkomponenter för avvikelser

  Övervakningen av avvikelser motsägs av träffar i threat intelligence och uppgifter om ransomware mot organisationen som ingen har fångat upp.

  Fynd som talar emot kontrollen

  • Domain flagged as malicious by AlienVault OTX
  • Active ransomware claim: domain listed on leak site
  • Historical ransomware claim

• NIS2⁠
• ISO 27001⁠
• CIS Controls⁠

• För företag⁠

  Bedöm er egen domän och de leverantörer ni är beroende av utifrån öppet underlag, och åtgärda det som en försäkringsgivare eller kund skulle hitta först.

• Cybersäkerhetslagen och leverantörerna: vad lagen kräver och vad underlag utifrån kan visa⁠

  Vad lagen och NIS2-direktivet faktiskt kräver av er leverantörskedja, och hur en kontroll av öppna uppgifter passar in i det arbetet utan att förväxlas med det.