Security Checklist

Security Checklist — ISO 27001 & SOC 2 Type 1 Readiness

Document type: Readiness checklist Frameworks: ISO/IEC 27001:2022 (Annex A), SOC 2 Type 1 (Trust Service Criteria), grounded in ABN handbook ch. 28–29. Primary language: English. Swedish translation follows below.


English

1. How to read this

Status legend: ✅ enforced by architecture · �capability present, needs documented evidence · ⛔ not yet. SOC 2 Type 1 assesses design of controls at a point in time; Type 2 (operating effectiveness over time) is a later step.

2. SOC 2 — Trust Service Criteria

TSCControlStatus
CC6.1Logical access — mTLS between services, RBAC on the dashboard, dropped container capabilities
CC6.6Encryption — TLS in transit, DB encrypted at rest, secrets in a vault
CC6.7Data in transit restricted — services bind to the internal network; only abn-core exposes a port
CC7.1Vulnerability detection — dependency scanning in CI🟡
CC7.2Monitoring — supervisor health checks, audit log, kill-switch alerting
CC7.3Anomaly detection — behaviour anomaly detector in abn-security
CC7.4Incident response — see INCIDENT_RESPONSE.md
CC8.1Change management — GitOps; all changes via reviewed PR; CI gate
A1.2Capacity — auto-scaling sandboxes, Go resource governor
C1.1Confidentiality — No-Data Guarantee; data never leaves the Node
P-seriesPrivacy — DPA, Record of Processing, DPIA

3. ISO/IEC 27001:2022 — Annex A mapping

Annex AThemeABN controlStatus
A.5OrganisationalPolicies, DPA, roles defined🟡
A.5.7Threat intelligenceSTRIDE threat model (handbook §28.1)
A.8.9Configuration mgmtPolicy YAML/JSON per system; GitOps
A.8.16MonitoringAudit log + attestations + supervisor
A.8.24CryptographymTLS, signed images, HMAC-signed blueprints
A.8.25Secure developmentReviewed PRs, CI tests, sandboxed builds
A.8.28Secure codingPydantic schema validation, write-guard
A.5.23Cloud servicesLocal execution — minimal cloud surface
A.5.30ICT continuityStateless engines, GitOps rollback
A.5.24–.28Incident managementINCIDENT_RESPONSE.md, kill-switch, runbooks
A.8.2Privileged accessNo service runs as root; per-service UID
A.8.7Malware protectionimportlib sandbox + seccomp; Firecracker
A.8.15LoggingCustomer-owned transparency tables
A.5.34Privacy / PIINo-Data Gateway, PII Guardian, minimiser
A.8.32Change managementGitOps, required reviews

4. Pre-audit task list

  • Publish the Information Security Policy and assign an owner.
  • Complete the asset & data-flow inventory.
  • Risk assessment + risk treatment plan; produce the Statement of Applicability (SoA).
  • Formalise access reviews (quarterly) and joiner/mover/leaver.
  • Enable dependency & container image scanning in CI (CC7.1).
  • Run a tabletop exercise of INCIDENT_RESPONSE.md.
  • Confirm sub-processor Art. 28 agreements (see DPA Annex A).
  • Verify backup/restore and the GitOps rollback runbook.
  • Collect evidence: mTLS cert rotation logs, audit-table samples, signed-blueprint verification logs, CI run history.
  • Internal audit + management review before the external audit.

5. ABN's structural advantage

Many controls are enforced by architecture, not policy — local execution, the No-Data LLM Gateway, Firecracker isolation, the Go write-guard, HMAC-signed attestations. A control that is architecturally enforced cannot be bypassed by a misconfiguration, which materially strengthens both the ISO 27001 SoA and the SOC 2 design assessment.


Svenska

1. Så läser du checklistan

Statuslegend: ✅ upprätthålls av arkitekturen · 🟡 förmåga finns, behöver dokumenterat bevis · ⛔ ej ännu. SOC 2 Typ 1 bedömer kontrollernas utformning vid en tidpunkt; Typ 2 (effektivitet över tid) är ett senare steg.

2. SOC 2 — Trust Service Criteria

Se tabellen i den engelska delen (§2). Sammanfattning: logisk åtkomst (mTLS, RBAC), kryptering, övervakning, anomalidetektering, incidenthantering, ändringshantering (GitOps) och konfidentialitet (No-Data-garantin) är på plats; sårbarhetsskanning i CI är under införande.

3. ISO/IEC 27001:2022 — Bilaga A

Se tabellen i §3 ovan. ABN:s kontroller i bilaga A — kryptografi, loggning, säker utveckling, incidenthantering, integritet/PII, ändringshantering — är till övervägande del på plats; organisatoriska policyer (A.5) behöver färdigställas och dokumenteras.

4. Uppgiftslista före revision

  • Publicera informationssäkerhetspolicy och utse ägare.
  • Färdigställ tillgångs- och dataflödesinventering.
  • Riskbedömning + riskbehandlingsplan; ta fram tillämplighets- förklaring (SoA).
  • Formalisera åtkomstgranskningar (kvartalsvis) och anställd-/roll-/avslutsprocess.
  • Aktivera beroende- och image-skanning i CI.
  • Genomför skrivbordsövning av INCIDENT_RESPONSE.md.
  • Bekräfta underbiträdens art. 28-avtal (se DPA bilaga A).
  • Verifiera säkerhetskopiering/återställning och GitOps-rollback.
  • Samla bevis: certifikatrotationsloggar, revisionstabellprover, verifiering av signerade ritningar, CI-historik.
  • Internrevision + ledningens genomgång före extern revision.

5. ABN:s strukturella fördel

Många kontroller upprätthålls av arkitekturen, inte av policy — lokal exekvering, No-Data LLM-gateway, Firecracker-isolering, Go-write-guard, HMAC-signerade attesteringar. En arkitektoniskt upprätthållen kontroll kan inte kringgås av felkonfiguration, vilket stärker både ISO 27001-SoA och SOC 2-bedömningen påtagligt.


Last updated: May 2026 · ABN AB · Questions: legal@abnai.se Senast uppdaterad: maj 2026 · ABN AB · Frågor: legal@abnai.se