隨著安全威脅以及資料洩露事件數量的不斷增加，很多客戶都希望通過增加額外的安全保護措施來讓自己的機密資訊得到更好的安全保障。現在很多企業在面對「資訊保安」這個問題時，都會努力讓自己符合行業標準或按照最佳安全實踐方案去執行，而且「滿足特定的安全標準」也成為了某些公司業務合同中的一項必須滿足的要求。
引入第三方安全審計，說明這家公司非常重視自己的資產以及客戶的資料。閱讀了本文之後，你將會更好地了解公共安全標準以及安全審計的要求。比如說，如果你不知道你需要的是soc 2還是iso/iec 27001:2013審計的話，本文將可以幫助你做出選擇。
soc報告是什麼？
滿足soc2合規性，是很多企業在獲取使用者信任方面必須要做到的一件最重要的事情，這將要求企業在維護和處理客戶資料時，滿足固定的安全標準。系統和組織控制（soc）審計具有各種不同的風格和規模，根據美國註冊會計師協會（aicpa）的定義，soc報告主要有三種形式，即：soc 1、soc 2、和soc 3（每種報告有type i和type ii兩種版本）。
soc 1涵蓋的是金融安全控制，soc 2針對的是非金融類的控制，soc 3報告跟soc 2比較類似，但是soc3不會公開安全審計的具體細節。一般來說，soc 2報告只提供給組織內部進行分析，而soc 3報告不會提供給任何人。其中，type i審計跟系統的安全設計有關，而type ii涉及的是安全控制操作。
乙個組織首先需要進行的是soc 2 type i審計，以確保當時的安全狀態足以滿足要求。接下來，soc 2 typeii審計會對指定日期內的樣本進行審查，以判斷安全控制是否符合原本的設計。日期範圍不一定要超過一年，很多組織認為六個月的審計週期已經足以滿足他們的要求了。在某些情況下，獲取soc 3報告也是非常有用的，因為soc 3報告中包含了審計人員對組織當前安全態勢的判斷和未來狀態的**，而不像soc 2報告那樣只給出詳細的審計結果。
soc報告跟iso 27001認證哪個更有用？
iso是全球網路的標準化機構，幾乎每乙個國家都是該組織的成員。iso/iec 27001:2013審計（俗稱iso 27001）衡量的是乙個資訊保安管理系統（isms）在特定的時間點是否符合iso所定義的最佳實踐。乙個組織在滿足條件之後，可以獲得iso認證，但現在沒有soc認證，組織得到的只有soc報告而已。
但是，現在越來越多的組織會以soc 2合規性來作為一種標準並衡量自己的安全態勢。在我看來，任何乙個想要提公升使用者信任度並且希望節約成本的組織都應該把soc 2審計作為自己的首選。實際上，soc 2報告已經足以證明乙個組織是否滿足其他安全標準（例如iso/iec 27001:2013、nist sp 800-53、pci-dss和hipaa安全標準）和要求了。
aicpa的審計標準委員會（asb）給審計人員以ssae的形式提供了很多指導建議。soc 1審計對標的是sas 70準則（也稱sas 70審計），而ssae 16在2023年4月份替代了sas 70，但新的標準仍然對標的是soc 1審計。soc 2審計衡量的是信用服務標準（tsc）所規定的五大因素：即安全性、可用性、完整性、機密性和私隱性。不過現在，soc 1和soc 2審計對標的是ssae18，因為ssae 18在2023年5月1日正式取代了ssae 16的位子。
nist sp 800-series
國家標準與技術研究所（nist）成立於2023年，而nist sp800-series提供的是安全及隱私控制指導，並在2023年4月份發布了nist sp 800-53的第五個版本。今天，nist安全標準代表的是全球最佳安全實踐。
根據aicpa的介紹，soc 2和soc 3適用於包括tsc（nist sp 800-53）在內的很多其他安全標準。美國國家標準協會（ansi）提供了很多領域的標準化指南，其中也包括安全性在內。簡單來說，soc和很多流行的安全標準以及框架都可以緊密結合在一起，因此首先進行soc 2審計才是最有價值的。
風險管控
第三方登入
我的應用就可以通過token第三方應用獲取一些基本資訊了，我的應用在獲取到這些基本資訊之後，就可以在我的應用中建立乙個賬號了。下次使用地方登入獲取到的這些使用者資訊，就可以直接用來登入我的應用了。為什麼先返回code呢？這個返回的code只能夠使用一次。這個code是從qq的伺服器返回給 時，我們時...
第三方註冊
第三方註冊 一些as hss建立如下表中的 ifc過濾規則，當終端在 s cscf 上註冊成功後，s cscf 從hss ifc過濾規則 s cscf 檢測所有過濾規則，發現 中的規則要求 ue ims.test 這個終端發出初始註冊訊息後，需要 到 sip as.ims.test 應用伺服器，之後...
第三方登入
分類 android 2014 03 26 10 24 329人閱讀收藏 舉報 android android開發 第三方登入 名詞說明 access toekn 授權成功後返回的token，用於呼叫第三方api 第三方登入的主要作用 1 使用第三方賬號資訊來初始化自己的賬號 暱稱 頭像等資訊 第三...