スキャン結果をコンプライアンスの証跡に変える

いいえ、そのことは製品内でも明確に説明しています。これはヒューリスティックなカテゴリマッピングであり、認定された評価ではありません。スキャナーによる指摘は、ある管理策に関連する証跡であって、その管理策が満たされている証明ではありません。SOC 2とGDPRのコンプライアンスには、このスキャンでは評価できない非技術的な管理策(ポリシー、アクセスレビュー、ベンダー管理など)も必要です。実際の監査の代わりではなく、証跡を集めるための有用な出発点として活用してください。

Security Headers Checkerは、HTTPセキュリティヘッダーという1つのテーマを、完全なCSPディレクティブ分析とHSTSプリロード検証によって深く掘り下げます。このSecurity Auditは、より広範なスキャン(ヘッダーに加えてシークレット、Cookie、CORSなど)を行い、コンプライアンスに関連する懸念カテゴリと、それに対応付けられた管理策を軸に整理します。

スキャン結果は、いくつかの共通基準(CC6.1 論理的アクセス、CC6.6 ネットワークセキュリティ構成、CC6.7 伝送の機密性、CC6.8 悪意あるコードの防止、CC7.2 システム監視)、および機密性基準(C1.1)に対応付けられます。これらは、外部からのWebサイトスキャンで実際に観測できる範囲にもっとも直接関連する基準です。

主に第32条(処理の安全性)、第25条(データ保護バイデザイン)、および第5条1項(f)(完全性と機密性)です。これらは技術的なセキュリティ対策に関する条文であり、外部からのスキャンで言及できる範囲に該当します。