„SOC 2 või ISO 27001?“ on küsimus, millega seisab silmitsi iga IT-ettevõte, kes siseneb rahvusvahelisele turule. Mõlemad raamistikud käsitlevad infoturvet, mõlemat küsivad kliendid ning mõlemad nõuavad raha ja aega. See artikkel võrdleb SOC 2 ja ISO 27001 olemust, geograafiat, ülesehitust, maksumust ja ajakava ning selgitab, kuidas otsustada.
Põhierinevus kahe lausega
ISO 27001 on rahvusvaheline infoturbe halduse süsteemi (ISMS) standard. Ettevõte ehitab süsteemi üles, akrediteeritud sertifitseerimisasutus auditeerib seda standardi alusel ja väljastab sertifikaadi, mis kehtib kolm aastat koos iga-aastaste järelevalveaudititega.
SOC 2 on kinnitusaruanne, mille väljastab sõltumatu, litsentseeritud CPA-firma Ameerika Ühendriikides AICPA standardite alusel. Audiitor hindab ettevõtte kontrolle usaldusteenuste kriteeriumide (Trust Services Criteria, TSC) alusel ja esitab oma arvamuse üksikasjalikus aruandes. Sertifikaati ei ole; on aruanne, mida jagate klientidega.
Võrdlus kõrvuti
| Aspekt | SOC 2 | ISO 27001 |
|---|---|---|
| Olemus | Audiitori kinnitusaruanne | Vastavussertifikaat |
| Väljastaja | Litsentseeritud CPA-firma (USA) | Akrediteeritud sertifitseerimisasutus |
| Peamine turg | USA, Kanada; üha enam globaalne SaaS | Euroopa, Ühendkuningriik, Aasia, avalik sektor |
| Alus | 5 TSC kriteeriumi; turvalisus on kohustuslik | Punktid 4–10 ja 93 lisa A kontrolli |
| Paindlikkus | Ettevõte kavandab kriteeriumide täitmiseks ise oma kontrollid | Struktureeritud kontrollide loetelu, kohaldatavust põhjendatakse SoA-s |
| Tulemus | Üksikasjalik aruanne (kümneid lehekülgi) konfidentsiaalsuslepingu alusel | Üheleheküljeline sertifikaat, avalik |
| Kehtivus | Type 1: kuupäev; Type 2: periood, uuendatakse igal aastal | 3 aastat koos iga-aastase järelevalvega |
| Aeg tulemuseni | Type 1: 2–4 kuud; Type 2: 6–12 kuud | Tavaliselt 4–8 kuud |
| Tüüpiline auditi tasu (VKE) | Type 1: 8–20 tuhat USD; Type 2: 15–40 tuhat USD | Sõltub asutusest ja suurusest; tavaliselt alla SOC 2 Type 2 hinna |
Geograafia: kes mida küsib
Reegel on lihtne. Kui teie kliendid on Ameerika ettevõtted, eriti suurettevõtted, küsivad nad SOC 2 aruannet; ISO 27001 sertifikaati suhtuvad nad positiivselt, kuid harva kui asendusse. Kui teie kliendid on Euroopa, Briti või avaliku sektori organisatsioonid, on nad harjunud ISO 27001-ga ega oska alati SOC 2 aruannet lugeda. Ühendkuningriigi turul küsitakse sageli ka Cyber Essentials-i.
Euroopa tarkvara- ja IT-teenuste ettevõtetele, kes müüvad nii koduturul kui ka USA-s, on mõlema vajamine tüüpiline olukord. Seepärast pakume SOC 2 + ISO 27001 paketti, mis on üles ehitatud ühisele kontrollide baasile: SOC 2 aruande väljastab BALTUM-i grupi USA CPA-firma ja ISO 27001 sertifikaadi grupi akrediteeritud sertifitseerimisasutus.
Ülesehitus: kriteeriumid versus haldussüsteem
SOC 2
Raamistik kirjeldab, mida tuleb saavutada (näiteks „üksus piirab loogilist juurdepääsu süsteemile volitatud kasutajatega“), kuid mitte seda, kuidas. Ettevõte kavandab ise oma kontrollid ja audiitor hindab, kas need on piisavad ja toimivad. See pakub paindlikkust, kuid nõuab kontrollide kavandamise asjatundlikkust. Üksikasju vaadake artiklist Trust Services Criteria selgitatult.
ISO 27001
Standard nõuab haldussüsteemi ülesehitamist: organisatsiooni kontekst, juhtimine, riskihindamine, eesmärgid, ressursid, siseauditid, juhtkonnapoolne ülevaatus, pidev parendamine. Lisaks lisa A kontrollide loeteluga, mille kohaldatavust põhjendate kohaldatavuse deklaratsioonis (Statement of Applicability, SoA). See on protsessikesksem standard: see testib, kas suudate turvalisust süsteemina hallata, mitte üksnes seda, kas MFA on sisse lülitatud.
Mis on aruandes versus sertifikaadis
See on teie klientide jaoks oluline praktiline erinevus. ISO 27001 sertifikaat ütleb: „süsteem vastab standardile“. Kliendi turvameeskond näeb ühte lehekülge ja sertifitseerimise ulatust. SOC 2 aruanne on 40–100 lehekülge süsteemikirjeldust, kontrollide loetelu ja iga kontrolli testitulemusi. USA kliendid hindavad just seda üksikasjalikkust: nad otsustavad ise, kas võimalikud erandid on vastuvõetavad. Euroopa kliendid eelistavad sageli sertifikaadi lihtsust.
Kattuvus: kui palju üks teist aitab
Hea uudis on see, et suur osa kontrollidest on mõlemale ühised. Juurdepääsuhaldus, krüptograafia, varukoopiad, logimine, muudatuste haldus, intsidentidele reageerimine, personaliturve ja tarnijate haldus on vajalikud nii SOC 2 kui ka ISO 27001 puhul. Meie kogemuse järgi katab ettevõte, kes on ühe raamistiku jaoks hästi valmistunud, enamiku teise nõuetest.
Erinevused peituvad peamiselt „pealisehituses“:
- ISO 27001 nõuab lisaks formaalset riskihindamise metoodikat, siseauditeid, juhtkonnapoolset ülevaatust, SoA-d ja pideva parendamise programmi.
- SOC 2 nõuab üksikasjalikku süsteemikirjeldust, juhtkonna kinnitust, kriteeriumispetsiifilisi kontrolle (näiteks SLA seire käideldavuse jaoks) ning Type 2 puhul pidevat tõendite kogumist kogu perioodi vältel.
Millal valida SOC 2
- Teie peamised kliendid asuvad Ameerika Ühendriikides või Kanadas.
- Olete SaaS-ettevõte ja SOC 2 esineb juba turvaküsimustikes või lepingutes.
- Kliendid soovivad näha kontrollide üksikasju, mitte ainult sertifitseerimise fakti.
- Vajate kiiret esimest tulemust; Type 1 on saavutatav 2–4 kuuga.
Millal valida ISO 27001
- Teie peamised kliendid asuvad EL-is, Ühendkuningriigis, Šveitsis, Lähis-Idas või Aasias.
- Osalete hangetes, kus ISO 27001 on formaalne kvalifitseerimiskriteerium.
- Vajate avalikku sertifikaati, mida saate oma veebilehel näidata.
- Soovite üles ehitada süstemaatilise riskihalduse, mitte ainult kontrollide komplekti.
- Töötlete ka EL-i elanike isikuandmeid ja tegelete paralleelselt GDPR-iga või kuulute NIS2 kohaldamisalasse; ISO haldussüsteemi lähenemine sobib hästi mõlemaga.
Millal teha mõlemad
Kui teenindate mõlemat turgu, on samaaegne ettevalmistus kõige tõhusam tee. Kavandate kontrollid ühe korra, kirjutate ühe poliitikate komplekti, mis on seostatud mõlema raamistikuga, kogute tõendeid ühe korra ja läbite kaks auditit erinevate väljastajatega: litsentseeritud CPA-firma SOC 2 jaoks ja akrediteeritud sertifitseerimisasutus ISO 27001 jaoks. BALTUM-i grupis on need eraldi üksused ja eraldi meeskonnad teid ette valmistanud konsultantidest. Valmisoleku kogukulu jääb märkimisväärselt madalamaks kui kahe eraldi projekti puhul ning meeskond läbib ühe juurutuse kahe asemel.
Soovitatav järjekord sel juhul: puuduste analüüs mõlema raamistiku alusel → ühiste kontrollide juurutamine → SOC 2 Type 1 ja ISO 27001 sertifitseerimisaudit umbes samal ajal → vaatlusperiood → SOC 2 Type 2.
Lühike otsustamise kontrollnimekiri
- Kus asuvad teie kliendid ja millised nõuded esinevad juba lepingutes ja küsimustikes?
- Kas vajate avalikku sertifikaati või üksikasjalikku aruannet?
- Milline on ajahorisont: esimene tulemus kolme kuuga või süsteem aastateks?
- Kas kahe auditi jaoks on praegu eelarvet või on parem alustada ühega?
Põhitõdede kohta vaadake, mis on SOC 2, ja kulustruktuuri kohta lugege, kui palju SOC 2 maksab.
Kõhklete SOC 2 ja ISO 27001 vahel või planeerite mõlemat? Rääkige meile oma turust, klientidest ja praegusest turvaolukorrast ning me soovitame optimaalse tee ja määrame valmisolekutöö ulatuse. Küsige konsultatsiooni.