SOC 2

Что это значит

SOC 2 - это аудиторский отчёт по американскому стандарту, который проверяет, как поставщик услуг защищает данные клиентов. Чаще всего он есть у SaaS и облачных компаний, которые обрабатывают чувствительные данные клиентов и должны доказать, что их меры контроля действительно работают.

Отчёт строится на так называемых критериях доверенных услуг: безопасность, доступность, целостность обработки, конфиденциальность и приватность. Безопасность обязательна всегда, остальные области компания выбирает в зависимости от того, что обещает клиентам и какие услуги реально оказывает.

В отличие от ISO 27001, это не сертификат, а аттестационный отчёт независимого аудитора. Тип I оценивает дизайн мер контроля на одну дату, тип II проверяет их реальную работу за более длинный период, обычно несколько месяцев, поэтому для клиентов он весит больше.

Как это работает на практике

Словацкая компания сталкивается с SOC 2 в основном тогда, когда продаёт программное обеспечение или IT-услуги крупным зарубежным клиентам, особенно из США. Их отдел закупок запрашивает отчёт в рамках проверки поставщика, и без него сделка может затянуться или остановиться.

Подготовка обычно начинается с анализа пробелов, затем компания дополняет недостающие процессы: управление доступом, резервное копирование, управление изменениями, реагирование на инциденты, политику безопасности и регулярные тесты на проникновение. Только после этого идёт наблюдаемый период и сам аудит.

При выборе облачного поставщика действует обратная логика: компания может сама запросить у него отчёт SOC 2. В нём нужно прочитать охват, исключения, найденные аудитором, и меры, которые должен обеспечить сам клиент, и сравнить это с обязательствами в SLA и договоре об обработке данных.

На что обратить внимание

SOC 2 не заменяет соответствие GDPR и европейским правилам кибербезопасности. Это доказательство для деловых партнёров, а не законная обязанность, и его ценность зависит от того, покрывает ли выбранный охват те услуги, которыми клиент реально пользуется.

В глазах клиентов отчёт быстро устаревает, и большинство ожидает его ежегодного обновления. Расходы на аудит, инструменты и внутреннюю работу заметны, поэтому сначала стоит выяснить, действительно ли ключевые клиенты его требуют или им будет достаточно другого подтверждения.