Kui müüte tarkvara või IT-teenuseid klientidele Ameerika Ühendriikides või suurettevõtetest ostjatele ükskõik kus maailmas, küsib varem või hiljem keegi: „Kas teil on SOC 2?“ See artikkel selgitab, mis on SOC 2, mida SOC 2 aruanne tegelikult sisaldab, kes selle väljastab ja miks see on oluline Euroopa tarkvara-, SaaS- või IT-teenuste ettevõttele.
SOC 2 on aruanne, mitte sertifikaat
Sageli räägitakse „SOC 2 sertifitseerimisest“ või „SOC 2 sertifikaadist“. Rangelt võttes ei ole see täpne. SOC 2 (System and Organization Controls 2) on kinnitusaruanne (attestation report), mille koostab sõltumatu, litsentseeritud CPA (Certified Public Accountant) audiitorfirma Ameerika Ühendriikides AICPA ehk Ameerika vannutatud audiitorite instituudi standardite alusel.
See erinevus on oluline. Sertifikaat, näiteks ISO 27001, kinnitab vastavust standardile ja sellel on kehtivusaeg. SOC 2 aruanne on audiitori kutsealane arvamus selle kohta, kas ettevõtte turvameetmed on sobivalt kavandatud (ja Type 2 puhul, kas need kindlaksmääratud perioodi jooksul tõhusalt toimisid). Avalikku registrit „SOC 2 sertifitseeritud ettevõtetest“ ei ole: aruannet jagatakse otse klientide ja partneritega, tavaliselt konfidentsiaalsuslepingu alusel.
Mida SOC 2 aruanne kinnitab
Aruanne hindab ettevõtte kontrollisüsteemi usaldusteenuste kriteeriumide (Trust Services Criteria, TSC) alusel. Neid on viis:
- Turvalisus (Security) — kohustuslik kriteerium; iga SOC 2 sisaldab seda. Kaitse volitamata juurdepääsu eest, juurdepääsuhaldus, seire, intsidentidele reageerimine.
- Käideldavus (Availability) — süsteem on kättesaadav nii, nagu klientidele lubatud (SLA-d, liiasus, avariitaaste).
- Töötluse terviklus (Processing Integrity) — töötlus on täielik, täpne, õigeaegne ja volitatud.
- Konfidentsiaalsus (Confidentiality) — konfidentsiaalne teave on kaitstud kogu selle elutsükli vältel.
- Privaatsus (Privacy) — isikuandmeid kogutakse, kasutatakse, säilitatakse ja kõrvaldatakse kooskõlas privaatsusteate ja antud lubadustega.
Ettevõte valib ise, millised kriteeriumid ulatusse kaasata. Enamik SaaS-ettevõtteid alustab turvalisusest ning lisab sageli käideldavuse ja konfidentsiaalsuse.
Mida aruanne sisaldab
Tüüpilisel SOC 2 aruandel on neli osa:
- Sõltumatu teenuseaudiitori arvamus — CPA-firma ametlik järeldus.
- Juhtkonna kinnitus — ettevõtte avaldus, et süsteemikirjeldus on õiglane ja kontrollid on sobivalt kavandatud.
- Süsteemikirjeldus — taristu, tarkvara, inimesed, protseduurid, andmed, süsteemi piirid ja alltöövõtjatest teenuseorganisatsioonid.
- Kontrollid ja testitulemused — iga kriteeriumi kohta: millised kontrollid on olemas, kuidas audiitor neid testis ja millised erandid leiti.
Neljas osa on see, mida teie klientide turvameeskonnad kõige hoolikamalt loevad: see näitab, kas erandeid esines ja kui olulised need on.
Type 1 ja Type 2: erinevus
Aruandeid on kahte tüüpi. SOC 2 Type 1 hindab kontrollide kavandamist ühel ajahetkel: kas õiged poliitikad ja mehhanismid on olemas ning kas need suudavad kriteeriume täita? SOC 2 Type 2 testib lisaks, kas need kontrollid vaatlusperioodi jooksul, tavaliselt 3 kuni 12 kuud, tegelikult toimisid.
| Type 1 | Type 2 | |
|---|---|---|
| Mida hinnatakse | Kontrollide kavandamist | Kavandamist ja toimimise tõhusust |
| Periood | Üks kuupäev | 3–12 kuud |
| Klientide usaldus | Baastase | Kõrge |
| Tüüpiline eesmärk | Lepingulise nõude kiire täitmine | Pidev koostöö suurklientidega |
Täieliku võrdluse leiate artiklist SOC 2 Type 1 vs Type 2.
Kes vajab SOC 2 aruannet
SOC 2 ei ole seadusega nõutud. Praktikas on sellest aga saanud turustandard igale ettevõttele, kes töötleb USA klientide andmeid. SOC 2 aruannet vajavad kõige sagedamini:
- SaaS-tooted, mida müüakse äriklientidele — küsimus kerkib üles juba turvaküsimustiku etapis.
- Allhanke- ja personalirendiettevõtted, kellel on juurdepääs kliendi koodibaasile, taristule või andmetele.
- Fintech-, healthtech- ja HR-tech-idufirmad, kus andmete tundlikkus on eriti kõrge.
- Pilve- ja hallatavate teenuste pakkujad (majutus, DevOps, tugi).
Euroopa ettevõtetele, kes müüvad USA turule, on SOC 2 sageli kiireim viis läbida tarnijariski meeskond, kes ei oska lugeda ISO 27001 sertifikaati ega GDPR-i vastavusdeklaratsiooni. Aruanne räägib keelt, mida USA hankeosakonnad juba mõistavad, ja näitab, et turvariske hallatakse süstemaatiliselt, sõltumata sellest, kus ettevõte asub.
Mida SOC 2 ettevõttele annab
- Lühemad müügitsüklid. Selle asemel, et iga potentsiaalse kliendi jaoks sadadele küsimustiku punktidele vastata, saadate aruande.
- Juurdepääs suurettevõtete segmendile. Suurkliendid, pangad ja kindlustusandjad ei alusta sageli läbirääkimisi ilma SOC 2-ta.
- Tegelik protsesside küpsus. Ettevalmistus sunnib korrastama juurdepääsuhalduse, muudatuste halduse, varukoopiad ja intsidentidele reageerimise.
- Sünergia teiste raamistikega. Paljud kontrollid kattuvad ISO 27001 ja GDPR-i nõuetega; valiku tegemisel aitab artikkel SOC 2 vs ISO 27001.
Tee SOC 2 aruandeni
Teekond koosneb kahest osast: valmisolekust ja auditist endast.
- Ulatuse määramine. Millised süsteemid, tooted, meeskonnad ja TSC kriteeriumid jäävad auditi piiridesse.
- Puuduste analüüs. Praeguse olukorra võrdlemine kriteeriumidega ja puuduste loetlemine.
- Kontrollide juurutamine. Poliitikad, protseduurid, tehniline seadistus (MFA, logimine, krüpteerimine, varukoopiad), töötajate koolitus.
- Tõendite kogumine. Dokumentaalsed tõendid, et kontrollid toimivad: logid, ekraanipildid, piletid, aruanded.
- CPA audit. Sõltumatu audiitor testib kontrolle ja väljastab aruande.
Esimese nelja sammuga tegeleb valmisolekukonsultant. BALTUM-i EL-is asuv konsultatsioonimeeskond viib läbi puuduste analüüsi, koostab poliitikad, aitab kontrolle seadistada ja tõendeid koguda ning toetab teid auditi ajal. Aruande enda väljastab BALTUM-i grupi USA-s registreeritud CPA-firma, mille litsentseeritud CPA-audiitorid töötavad konsultantidest eraldi meeskonnana; audiitori sõltumatus on standardi kohustuslik nõue.
Kui kaua see aega võtab ja mis see maksab
Type 1 valmisolek väikeses ettevõttes võtab tavaliselt 2–4 kuud; Type 2 võtab koos vaatlusperioodiga 6–12 kuud. CPA auditi tasu väikese või keskmise suurusega ettevõttele on ligikaudu 8–20 tuhat USD Type 1 ja 15–40 tuhat USD Type 2 puhul; valmisoleku maksumus sõltub ulatusest ja olemasolevate protsesside küpsusest. Üksikasjaliku jaotuse leiate artiklist Kui palju SOC 2 maksab.
Levinud vead
- „Poliitikamallide paketi“ ostmine lootuses, et sellest piisab. Audiitor testib, kas kontrollid toimivad, mitte seda, kas dokumendid on olemas.
- Kogu ettevõtte ulatusse kaasamine, kui klienti huvitab vaid üks toode.
- Type 2 vaatlusperioodi alustamine ilma puuduste analüüsita ja puuduste avastamine poole peal.
- SOC 2 käsitlemine ühekordse projektina. Type 2 aruannet tuleb igal aastal uuendada.
Planeerite oma ettevõttele SOC 2 aruannet? Saatke meile päring ning me hindame teie ulatust, soovitame, millise aruandetüübiga alustada, ja anname realistlikud tähtajad ning valmisoleku eelarve. Küsige konsultatsiooni ja hinnapakkumist.