Esimese SOC 2 aruande saamine ei ole finišijoon — see on tsükli algus. Type 2 aruanne hõlmab kindlaksmääratud vaatlusperioodi ning päev pärast selle perioodi lõppu hakkavad kliendid küsima: „Aga kuidas on teie kontrollidega praegu?“ Selleks ongi bridge letter'id, aruannete iga-aastane uuendamine ja pidev vastavus. Siin on kirjas, kuidas tsüklit juhtida nii, et sellest ei saaks iga-aastast tulekahju kustutamist.
Miks SOC 2 aruanne „vananeb“
SOC 2 Type 2 aruanne kirjeldab, kuidas kontrollid vaatlusperioodi jooksul toimisid — näiteks 1. jaanuarist 31. detsembrini. Pärast seda jääb aruanne kehtima ajaloolise dokumendina, kuid ei ütle midagi praeguse olukorra kohta. Turupraktika käsitleb aruannet ajakohasena ligikaudu 12 kuud pärast perioodi lõppu. Type 1 aruanne kirjeldab ühte kuupäeva, seega on selle kasulik eluiga veelgi lühem.
Perioodi lõpu ja järgmise aruande väljastamise vahel on alati lünk: audiitor vajab välitöödeks ja koostamiseks 4–8 nädalat. Lisage ülevaatuse aeg ja teil on 2–3 kuud ilma ajakohase aruandeta. Bridge letter katab selle lünga.
Mis on bridge letter (gap letter)
Bridge letter on kiri, mille teenuseorganisatsioon — teie ettevõte, mitte audiitor — väljastab oma klientidele. Selles kinnitab juhtkond, et viimase vaatlusperioodi lõppkuupäevast kuni kirja kuupäevani:
- SOC 2 aruandes kirjeldatud kontrollid toimivad jätkuvalt;
- kontrollikeskkonnas ei ole toimunud olulisi muudatusi (või loetleb muudatused, kui neid oli);
- ei ole toimunud intsidente, mis mõjutaksid aruande järeldusi (või kirjeldab neid).
Oluline on kolm punkti. Esiteks, bridge letter on juhtkonna kinnitus, mitte audiitori arvamus; CPA-firma seda ei väljasta ega allkirjasta. Teiseks, see ei asenda aruannet — see ainult ühendab kahte aruannet. Kolmandaks, see hõlmab tavaliselt mitte rohkem kui kolme kuud; pikem lünk paneb kliendid küsima, miks järgmine audit hilineb.
Mida bridge letter tavaliselt sisaldab
- Viide viimasele aruandele: tüüp, vaatlusperiood, CPA-firma, arvamuse kuupäev.
- Kirjaga hõlmatud periood (perioodi lõppkuupäevast kirja kuupäevani).
- Kinnitus, et kontrollides, süsteemides, võtmeisikutes või alltöövõtjatest teenuseorganisatsioonides ei ole toimunud olulisi muudatusi.
- Kinnitus intsidentide (või nende puudumise) kohta.
- Järgmise aruande kavandatud kuupäev.
- Volitatud isiku allkiri — tavaliselt turvajuht või finantsjuht.
Pakume bridge letter'i malli osana jätkuvast toest ja aitame muudatusi ausalt sõnastada, kui need on toimunud: muudatuste varjamine kahjustab usaldust palju rohkem kui muudatused ise.
Kuidas vaatlusperioode planeerida
Lünkade minimeerimiseks peaksid vaatlusperioodid järgnema üksteisele vahetult: esimene aruanne hõlmab näiteks 1. juulist 31. detsembrini (kuus kuud), teine järgmise aasta 1. jaanuarist 31. detsembrini ja seejärel igal aastal. Iga uus aruanne ilmub siis umbes veebruaris–märtsis ning bridge letter katab jaanuari–veebruari.
| Stsenaarium | Vaatlusperiood | Lünk ilma aruandeta | Lahendus |
|---|---|---|---|
| Esimene Type 2 | 3–6 kuud | Auditi ja koostamise aeg | Kõigepealt Type 1, seejärel bridge letter |
| Iga-aastane uuendamine | 12 järjestikust kuud | 2–3 kuud | Bridge letter lünga katmiseks |
| Paus perioodide vahel | Lünk üle 3 kuu | Tõeline auk katvuses | Vältige; kliendid võivad nõuda uut Type 1 |
Pidev vastavus: mida auditite vahel teha
Kõige kallim viga on pärast aruannet SOC 2 unustada ja see kuu aega enne järgmist auditit meelde tuletada. Type 2 kontrollid peavad toimima ja jätma tõendeid kogu perioodi vältel; neid ei saa tagantjärele rekonstrueerida. See on minimaalne rütm, mida soovitame:
Iga kuu
- vaadake üle logid ja teavitused, sulgege intsidendid;
- kontrollige, et turvapaigad on paigaldatud;
- veenduge, et varukoopiad valmivad ja on taastatavad.
Iga kvartal
- juurdepääsude ülevaatused dokumenteeritud tulemustega;
- haavatavuste skaneeringud ja paranduste jälgimine;
- uute tarnijate ja alltöötlejate ülevaatus;
- riskiregistri ülevaatus.
Igal aastal
- poliitikate ülevaatus, kinnitamine ja töötajate tutvumiskinnitused;
- turvateadlikkuse koolitus;
- talitluspidevuse ja avariitaaste test;
- läbistustest;
- riskihindamine ja ulatuse ülevaatus.
Vastavuse automatiseerimise platvormid aitavad, kogudes pilveteenustest tõendeid automaatselt ja meenutades vastutajatele käsitsi tehtavaid ülesandeid. Kuid vastutus iga kontrolli eest peab lasuma nimelisel inimesel, mitte tööriistal.
Millal aruande ulatust muuta
Ettevõtted muutuvad: uued tooted, majutuspiirkonnad, andmekategooriad, uute nõuetega kliendid. Enne iga uut vaatlusperioodi vaadake üle:
- kas lisada TSC kategooriaid (näiteks käideldavus või konfidentsiaalsus);
- kas ulatusse kuuluvad süsteemid ja alltöövõtjatest teenuseorganisatsioonid on muutunud;
- kas kombineerida järgmine tsükkel ISO 27001, NIS2 või GDPR-iga — vaadake SOC 2 ja GDPR koos.
Ulatuse muudatusi on kõige parem teha perioodide piiridel, mitte perioodi keskel; vastasel juhul peab audiitor kirjeldama ühes aruandes kahte erinevat süsteemi seisundit.
Mida teha aruandes olevate eranditega
Erandid Type 2 aruandes ei ole katastroof — enamikus aruannetes neid mõned on. Oluline on dokumenteerida parandusplaan, see ellu viia ja järgmisel perioodil näidata, et probleem on lahendatud. Kliendid reageerivad palju rahulikumalt „ühele erandile koos dokumenteeritud parandusega“ kui tarnijale, kellel Type 2 üldse puudub.
Konsultandi roll pärast esimest aruannet
Kui aruanne on väljastatud, pakub BALTUM-i konsultatsioonimeeskond jätkuvat vastavuse tuge: perioodilised kontrollide ülevaatused, bridge letter'i koostamine, poliitikate uuendamine, tõendite ettevalmistamine järgmiseks auditiks ja ajakava kooskõlastamine grupi USA CPA-firmaga, mis jääb sõltumatuks auditimeeskonnaks. See on odavam kui valmisoleku igal aastal nullist kordamine ja võimaldab meeskonnal keskenduda tootele. Aluseks olevad ettevalmistussammud on meie SOC 2 valmisoleku kontrollnimekirjas ja Euroopa turu kontekst artiklis SOC 2 Euroopa tarkvaraettevõtetele, kes müüvad USA-sse.
Teil on juba SOC 2 aruanne ja soovite, et järgmine tsükkel kulgeks ilma rabelemiseta? Või küsib klient bridge letter'it ja te ei tea, kust alustada? Küsige hinnapakkumist — hindame teie kontrollide praegust seisu ja pakume välja tugiplaani kuni järgmise auditini.