Что такое SOC 2?
SOC 2 — это стандарт аттестации Американского института сертифицированных бухгалтеров (AICPA). Лицензированная аудиторская фирма (CPA) проверяет контроли сервисной компании и выпускает отчёт для клиентов и партнёров. Это отчёт, а не сертификат.
Проверка основана на Trust Services Criteria: безопасность (всегда входит в охват), доступность, целостность обработки, конфиденциальность и приватность. Дополнительные категории выбираются исходя из ваших услуг.
SOC 2 Type I и Type II
- Type I: аудитор проверяет, правильно ли спроектированы контроли на определённую дату
- Type II: аудитор проверяет, эффективно ли контроли работали в течение периода, обычно от 3 до 12 месяцев
- Многие компании начинают с Type I, чтобы разблокировать продажи, а затем переходят к Type II
- В обоих случаях нужны утверждённые политики и доказательства того, что контроли действительно работают
Что проверяет чек-лист SOC 2
Вопросы построены по Common Criteria, которые аудитор тестирует в категории безопасности:
- Среда контроля, управление и роли в области безопасности
- Оценка рисков и управление поставщиками
- Логический и физический контроль доступа, приём и увольнение сотрудников
- Эксплуатация систем: мониторинг, управление уязвимостями и реагирование на инциденты
- Управление изменениями и безопасная разработка
- Резервное копирование, непрерывность бизнеса и доступность
Типичные пробелы перед аудитом SOC 2
- Политики есть, но не утверждены и не доведены до сотрудников
- Пересмотр прав доступа и отзыв доступа при увольнении не документируются
- Нет формальной оценки рисков и оценки поставщиков
- Изменения попадают в продакшн без записей о ревью и согласовании
- Логи и алерты настроены, но их никто регулярно не анализирует
Кому нужен отчёт SOC 2?
Отчёт SOC 2 чаще всего требуют американские клиенты SaaS-, облачных и дата-компаний. Европейские компании часто совмещают SOC 2 с ISO/IEC 27001, потому что контроли во многом пересекаются. Самооценка показывает, какие контроли у вас уже есть, а каких не хватает.