Czym jest SOC 2?
SOC 2 to standard atestacji opracowany przez American Institute of CPAs (AICPA). Licencjonowana firma audytorska (CPA) bada kontrole usługodawcy i wydaje raport dla klientów i partnerów. To raport, a nie certyfikat.
Badanie opiera się na Trust Services Criteria: bezpieczeństwo (zawsze w zakresie), dostępność, integralność przetwarzania, poufność i prywatność. Dodatkowe kategorie wybierasz w zależności od świadczonych usług.
SOC 2 Type I a Type II
- Type I: audytor ocenia, czy kontrole są właściwie zaprojektowane na określony dzień
- Type II: audytor ocenia, czy kontrole działały skutecznie przez okres, zwykle od 3 do 12 miesięcy
- Wiele firm zaczyna od Type I, aby odblokować sprzedaż, a potem przechodzi do Type II
- W obu przypadkach potrzebne są spisane polityki i dowody, że kontrole faktycznie działają
Co obejmuje checklista SOC 2
Pytania odpowiadają Common Criteria, które audytor testuje w kategorii bezpieczeństwa:
- Środowisko kontroli, nadzór i role w obszarze bezpieczeństwa
- Ocena ryzyka i zarządzanie dostawcami
- Kontrola dostępu logicznego i fizycznego, przyjmowanie i odejścia pracowników
- Eksploatacja systemów: monitoring, zarządzanie podatnościami i reagowanie na incydenty
- Zarządzanie zmianą i bezpieczne wytwarzanie oprogramowania
- Kopie zapasowe, ciągłość działania i dostępność
Typowe luki przed audytem SOC 2
- Polityki istnieją, ale nie zostały zatwierdzone ani zakomunikowane pracownikom
- Przeglądy uprawnień i odbieranie dostępów nie są dokumentowane
- Brak formalnej oceny ryzyka i oceny dostawców
- Zmiany trafiają na produkcję bez śladu przeglądu i akceptacji
- Logi i alerty istnieją, ale nikt ich regularnie nie analizuje
Kto wymaga raportu SOC 2?
Raportu SOC 2 najczęściej wymagają amerykańscy klienci firm SaaS, chmurowych i przetwarzających dane. Europejskie firmy często łączą SOC 2 z ISO/IEC 27001, bo kontrole w dużej mierze się pokrywają. Samoocena pokazuje, które kontrole już masz, a których brakuje.