SOC 2

Čo to znamená

SOC 2 je audítorská správa podľa amerického štandardu, ktorá overuje, ako poskytovateľ služieb chráni dáta zákazníkov. Najčastejšie ju majú SaaS a cloudové firmy, ktoré spracúvajú citlivé údaje svojich klientov a musia im preukázať, že ich kontroly naozaj fungujú.

Správa vychádza z takzvaných kritérií dôveryhodných služieb: bezpečnosť, dostupnosť, integrita spracovania, dôvernosť a súkromie. Bezpečnosť je povinná vždy, ostatné oblasti si firma volí podľa toho, čo zákazníkom sľubuje a aké služby im skutočne poskytuje.

Na rozdiel od ISO 27001 nejde o certifikát, ale o atestačnú správu nezávislého audítora. Typ I hodnotí návrh kontrol k jednému dátumu, typ II overuje ich reálne fungovanie počas dlhšieho obdobia, zvyčajne niekoľkých mesiacov, a pre zákazníkov má preto väčšiu váhu.

Ako to funguje v praxi

Slovenská firma sa so SOC 2 stretne najmä vtedy, keď predáva softvér alebo IT služby väčším klientom zo zahraničia, hlavne z USA. Ich nákupné oddelenie si správu vyžiada v rámci preverenia dodávateľa a bez nej sa obchod môže zdržať alebo úplne zastaviť.

Príprava zvyčajne začína analýzou medzier, potom firma doplní chýbajúce procesy: riadenie prístupov, zálohovanie, správu zmien, reakciu na incidenty, bezpečnostnú politiku či pravidelné penetračné testy. Až potom nasleduje samotné sledované obdobie a audit.

Pri výbere cloudového dodávateľa platí opačný pohľad: firma si môže SOC 2 správu vyžiadať od neho. Treba si v nej prečítať rozsah, výnimky zistené audítorom a kontroly, ktoré musí zabezpečiť sám zákazník, a porovnať to so záväzkami v SLA a zmluve o spracúvaní údajov.

Na čo si dať pozor

SOC 2 nenahrádza súlad s GDPR ani s európskymi predpismi o kybernetickej bezpečnosti. Je to dôkaz pre obchodných partnerov, nie zákonná povinnosť, a jeho hodnota závisí od toho, či zvolený rozsah pokrýva služby, ktoré zákazník reálne využíva.

Správa má obmedzenú časovú platnosť v očiach zákazníkov a väčšina z nich očakáva každoročné obnovenie. Náklady na audit, nástroje a internú prácu nie sú zanedbateľné, preto sa oplatí najprv overiť, či ho kľúčoví klienti naozaj požadujú, alebo im postačí iný doklad.