Докладът SOC 2, който сделките ви с корпоративни клиенти чакат.

SOC 2 (System and Organization Controls 2) е одитна рамка, разработена от Американския институт на дипломираните експерт-счетоводители (AICPA), която оценява как организациите управляват данните на клиентите въз основа на пет Trust Services Criteria (критерии за доверителни услуги): Сигурност, Наличност, Цялостност на обработката, Поверителност и Защита на личните данни. SaaS компаниите се нуждаят от SOC 2, защото корпоративните клиенти и отделите за доставки все по-често го изискват като базово условие при надлежната проверка на доставчиците. Докладът SOC 2 Type II показва, че вашите контроли за сигурност са независимо тествани и проверени за определен период, обикновено от 3 до 12 месеца. Без доклад SOC 2 SaaS компаниите се сблъскват с по-дълги цикли на продажба, загубени сделки с корпоративни клиенти и невъзможност да преминат въпросниците за сигурност на доставчиците.

SOC 2 Type I оценява дизайна и внедряването на вашите контроли към определен момент, докато SOC 2 Type II оценява оперативната ефективност на тези контроли за период на преглед, обикновено от 3 до 12 месеца. Type I отговаря на въпроса „налице ли са правилните контроли?“ и може да се извърши за седмици. Type II отговаря на въпроса „работят ли контролите последователно?“ и изисква доказателства, събрани през периода на наблюдение. Повечето корпоративни купувачи изискват доклад Type II, защото той дава увереност, че контролите не са само проектирани, а реално работят ефективно. Venvera ви помага да се подготвите и за двата вида, като проследява статуса на внедряване на контролите и събира непрекъснатите доказателства, нужни за Type II.

Петте Trust Services Criteria (TSC) са: Сигурност (серия CC, задължителна за всички доклади SOC 2), Наличност (серия A, която гарантира, че системите работят и са достъпни според поетите ангажименти), Цялостност на обработката (серия PI, която гарантира, че обработката в системата е пълна, валидна, точна и навременна), Поверителност (серия C, която защитава информацията, определена като поверителна) и Защита на личните данни (серия P, която защитава личната информация, която се събира, използва, съхранява и разкрива). Сигурността винаги е включена в проверката SOC 2. Останалите четири критерия не са задължителни и се избират според услугите, които предоставяте, и очакванията на клиентите ви. Venvera съпоставя съществуващите ви контроли с всичките пет критерия, така че да виждате точно кои се отнасят за вашата организация и къде има пропуски.

За доклад SOC 2 Type I очаквайте от 2 до 4 месеца от началото на подготовката до получаването на доклада, ако започвате с разумни практики за сигурност. За доклад Type II добавете към времето за подготовка и период на наблюдение от 3 до 12 месеца. Общият срок зависи от текущата ви зрелост в сигурността, броя на избраните Trust Services Criteria и обхвата на включените системи. Организациите, които вече прилагат рамки като ISO 27001 или NIST CSF, обикновено завършват подготовката по-бързо, защото много контроли се припокриват. Venvera ускорява подготовката с предварително съпоставени библиотеки с контроли, автоматизирано събиране на доказателства и дашборд за готовност, който показва точно какво остава, преди да сте готови за одит.

Одиторите по SOC 2 изискват доказателства в няколко категории в зависимост от Trust Services Criteria в обхвата. Обичайните доказателства включват политики и процедури за сигурност, списъци за контрол на достъпа и записи за предоставяне на достъп на потребителите, дневници за управление на промените, резултати от сканирания за уязвимости и доклади от тестове за проникване, планове за реагиране при инциденти и дневници на инцидентите, планове за непрекъснатост на дейността и възстановяване след бедствие заедно с резултатите от тестването им, конфигурации на криптирането, конфигурации на наблюдението и сигналите, документация за управлението на доставчиците, записи за постъпването и напускането на служители, записи за завършени обучения по информационна сигурност и документация за оценката на риска. При ангажименти Type II доказателствата трябва да покриват целия период на наблюдение. Venvera подрежда доказателствата по Trust Services Criteria и по контрол, което улеснява събирането, маркирането и представянето им по време на одита.

SOC 2 и ISO 27001 се припокриват значително, но служат за различни цели. ISO 27001 е сертифицируем международен стандарт за системи за управление на информационната сигурност, докато SOC 2 е северноамерикански атестационен доклад, издаван от фирма на дипломирани експерт-счетоводители (CPA). Между двете рамки се припокриват приблизително от 60 до 70 процента от контролите. SOC 2 се съпоставя добре и с функциите на NIST CSF, особено с Идентифициране (Identify), Защита (Protect) и Откриване (Detect). Организациите, които следват няколко рамки, могат да използват общи контроли, вместо да дублират усилията си. Venvera съпоставя контролите между SOC 2, ISO 27001, NIST CSF и други рамки чрез функцията Control Crosswalk, така че един контрол, внедрен веднъж, покрива изискванията на всички приложими рамки.

Технически не можете да „се провалите“ на одит SOC 2, защото одиторът издава доклад, който описва вашите контроли и констатациите за тях. Одиторът обаче може да издаде квалифицирано мнение, ако открие съществени отклонения или слабости в контролите. Квалифицираното мнение означава, че един или повече контроли не са работили ефективно през периода на преглед. Това вреди, защото корпоративните клиенти преглеждат раздела с отклоненията в доклада ви, а съществените констатации могат да ви лишат от одобрение като доставчик. Ако одиторът открие отклонения, имате възможност да ги отстраните и да включите отговорите на ръководството в доклада. Venvera ви помага да избегнете отклоненията, като наблюдава непрекъснато ефективността на контролите и сигнализира за пропуските преди началото на одита, така че влизате в проверката уверени в състоянието на контролите си.

Да. Venvera е софтуер за съответствие със SOC 2, изграден около петте Trust Services Criteria. Той ви дава обхванат набор от контроли, оценка на пропуските, която измерва доколко сте готови за одит, и работно пространство с доказателства, което улавя непрекъснатите доказателства, изисквани за периода Type II. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за ISO 27001, попълват предварително голяма част от вашата позиция по SOC 2. Започнете с безплатна проверка за съответствие, преди да поемете ангажимент.