TLDR
SOC 2 perlu diperbarui untuk mencakup pemeriksaan konfigurasi cloud dan penyedia. Pengaturan keamanan harus diperlakukan sebagai kontrol utama dan dibuktikan secara otomatis. Penting untuk melakukan latihan dan pemeriksaan untuk mendeteksi dan mengatasi kesalahan konfigurasi. SOC 2 adalah standar keamanan yang diakui dan masih sangat penting bagi perusahaan agar dapat dipercaya oleh pembeli dan mitra bisnis. Namun, standar ini dibuat berdasarkan kriteria tahun 2017 yang sekarang belum lagi sepenuhnya mengikuti cara kerja teknologi dan cloud yang terus berubah dengan cepat. Jadi, banyak celah muncul karena standar ini belum mengatur pemeriksaan konfigurasi platform yang kini makin penting.Perubahan besar dalam teknologi, terutama pindah ke cloud dan penggunaan layanan seperti Supabase, Vercel, dan GitHub, membawa kemudahan dalam pengembangan namun juga risiko keamanan baru. Misalnya, meskipun data sudah dienkripsi, jika pengaturan akses seperti Row Level Security tidak diaktifkan dengan benar, data tetap bisa bocor. Ini sebabnya konfigurasi menjadi kendali utama saat ini bukan hanya kebijakan atau proses umum.SOC 2 saat ini lebih fokus pada kajian kebijakan dan prosedur organisasi selama periode waktu tertentu, tanpa menguji setup teknis platform secara rinci. Dengan keadaan sekarang, kesalahan konfigurasi pada layanan cloud atau SaaS sering menjadi pintu masuk insiden keamanan, sehingga SOC 2 harus memperluas fokusnya mencakup hal ini.Penulis menyarankan agar SOC 2 menambahkan bagian khusus tentang konfigurasi penyedia dan cloud, termasuk menyebutkan produk yang digunakan dan pemeriksaan spesifik yang dilakukan setiap kali ada rilis atau perubahan. Contohnya, pengaktifan RLS di Supabase, penegakan SSO pada Vercel, proteksi cabang dan pemindaian rahasia di GitHub, serta pemantauan konfigurasi IAM dan akses storage berbasis cloud.Intinya, compliance bukan berarti keamanan sempurna. Tanpa bukti bahwa konfigurasi platform sudah diperiksa dan dipastikan aman secara berkelanjutan, standar SOC 2 hanya menilai secara administratif. Dengan otomatisasi pengujian dan dokumentasi bukti konfigurasi, SOC 2 bisa menjadi alat yang lebih efektif untuk mengamankan perusahaan di dunia digital saat ini.
