Що таке SOC 2?
SOC 2 — це стандарт атестації Американського інституту сертифікованих бухгалтерів (AICPA). Ліцензована аудиторська фірма (CPA) перевіряє контролі сервісної компанії та випускає звіт для клієнтів і партнерів. Це звіт, а не сертифікат.
Перевірка ґрунтується на Trust Services Criteria: безпека (завжди в охопленні), доступність, цілісність обробки, конфіденційність і приватність. Додаткові категорії обирають відповідно до ваших послуг.
SOC 2 Type I і Type II
- Type I: аудитор перевіряє, чи правильно спроєктовані контролі на певну дату
- Type II: аудитор перевіряє, чи ефективно контролі працювали протягом періоду, зазвичай від 3 до 12 місяців
- Багато компаній починають з Type I, щоб розблокувати продажі, а потім переходять до Type II
- В обох випадках потрібні затверджені політики та докази того, що контролі справді працюють
Що перевіряє чек-лист SOC 2
Запитання побудовані за Common Criteria, які аудитор тестує в категорії безпеки:
- Середовище контролю, управління та ролі у сфері безпеки
- Оцінка ризиків і управління постачальниками
- Логічний і фізичний контроль доступу, прийняття та звільнення працівників
- Експлуатація систем: моніторинг, управління вразливостями та реагування на інциденти
- Управління змінами та безпечна розробка
- Резервне копіювання, безперервність бізнесу та доступність
Типові прогалини перед аудитом SOC 2
- Політики є, але не затверджені й не доведені до працівників
- Перегляд прав доступу та їх відкликання при звільненні не документуються
- Немає формальної оцінки ризиків і оцінки постачальників
- Зміни потрапляють у продакшн без записів про рев'ю та погодження
- Логи й алерти налаштовані, але їх ніхто регулярно не аналізує
Кому потрібен звіт SOC 2?
Звіт SOC 2 найчастіше вимагають американські клієнти SaaS-, хмарних і дата-компаній. Європейські компанії часто поєднують SOC 2 з ISO/IEC 27001, бо контролі значною мірою збігаються. Самооцінка показує, які контролі у вас уже є, а яких бракує.