SOC 2 Type II 로드맵

아키텍처 준비

AWS 멀티 AZ + 저장 시 AES-256 + 전송 시 TLS 1.2 이상 + Secrets Manager + 최소 권한 IAM. 핵심 통제는 모두 운영 중입니다.

GDPR 대응 아키텍처

프라이버시 감사 1~4차 완료: 데이터 최소화, 삭제권 흐름, 동의 게이트, GDPR 제9조(2)(a)에 따른 생체정보 처리.

감사 파트너 선정 — Vanta + A-LIGN

컴플라이언스 자동화에 Vanta를, SOC 2 Type II 독립 감사 법인으로 A-LIGN을 선정했습니다.

준비도 평가

Vanta 기반 갭 분석과 A-LIGN의 사람에 의한 준비도 검토. 정책, 접근 통제, 변경 관리, 공급업체 관리, 암호화를 점검하고, 6개월 관찰 기간이 시작되기 전에 잔여 갭을 모두 해소합니다.

감사 기간 시작

6개월 관찰 기간이 시작됩니다. 지속적인 증적 수집을 통해 특정 시점이 아니라 일정 기간 동안 통제가 유효하게 운영되는지를 확인합니다.

감사 기간 종료

감사인이 증적 검토를 마무리합니다. 클로징 인터뷰와 경영진 코멘트를 거쳐 보고서 초안 작성에 들어갑니다.

SOC 2 Type II 보고서 발행

최종 보고서는 NDA를 체결한 고객에게 제공합니다. 이후 매년 재감사 사이클이 진행되며, Type II 관찰 기간이 끝날 때마다 보고서가 갱신됩니다.