SOC 2

Що це означає

SOC 2 - це аудиторський звіт за американським стандартом, який перевіряє, як постачальник послуг захищає дані клієнтів. Найчастіше його мають SaaS і хмарні компанії, що обробляють чутливі дані клієнтів і мусять довести, що їхні заходи контролю справді працюють.

Звіт ґрунтується на так званих критеріях довірених послуг: безпека, доступність, цілісність обробки, конфіденційність і приватність. Безпека обов'язкова завжди, інші сфери компанія обирає залежно від того, що обіцяє клієнтам і які послуги реально надає.

На відміну від ISO 27001, це не сертифікат, а атестаційний звіт незалежного аудитора. Тип I оцінює дизайн заходів контролю на одну дату, тип II перевіряє їхню реальну роботу за довший період, зазвичай кілька місяців, тому для клієнтів він важить більше.

Як це працює на практиці

Словацька компанія стикається з SOC 2 переважно тоді, коли продає програмне забезпечення або IT-послуги великим закордонним клієнтам, особливо зі США. Їхній відділ закупівель запитує звіт у межах перевірки постачальника, і без нього угода може затягнутися або зупинитися.

Підготовка зазвичай починається з аналізу прогалин, потім компанія доповнює відсутні процеси: керування доступом, резервне копіювання, керування змінами, реагування на інциденти, політику безпеки і регулярні тести на проникнення. Лише після цього настає період спостереження і сам аудит.

Під час вибору хмарного постачальника діє зворотна логіка: компанія може сама запросити в нього звіт SOC 2. У ньому треба прочитати охоплення, винятки, виявлені аудитором, і заходи, які має забезпечити сам клієнт, і порівняти це із зобов'язаннями в SLA та договорі про обробку даних.

На що звернути увагу

SOC 2 не замінює відповідність GDPR і європейським правилам кібербезпеки. Це доказ для ділових партнерів, а не законний обов'язок, і його цінність залежить від того, чи покриває обране охоплення ті послуги, якими клієнт реально користується.

В очах клієнтів звіт швидко застаріває, і більшість очікує його щорічного оновлення. Витрати на аудит, інструменти і внутрішню роботу помітні, тому спершу варто з'ясувати, чи справді ключові клієнти його вимагають, чи їм вистачить іншого підтвердження.