SOC 2: dažniausiai užduodami klausimai

Type 1 paprastai trunka 3–6 mėnesius nuo pradžios iki ataskaitos, priklausomai nuo procesų brandos. Type 2 prideda 3–12 mėnesių (dažniausiai 6) stebėjimo laikotarpį, per kurį kontrolės priemonės turi veikti nepertraukiamai.

Du komponentai: pasirengimas (BALTUM) ir auditas (CPA įmonė). Audito kaina fiksuojama pagal penkis duomenis: darbuotojų skaičių, paslaugos pobūdį, infrastruktūrą, duomenų tipus, ataskaitos tipą ir TSC kategorijas. Orientaciniai skaičiai: Type 1 auditas mažai įmonei kainuoja nuo kelių tūkstančių iki ~20 tūkst. USD; Type 2 – brangiau. Užpildykite formą ir gausite tikslią kainą.

Tik licencijuota CPA įmonė (JAV). BALTUM grupė turi nuosavą JAV registruotą CPA įmonę su licencijuotais CPA auditoriais – ji atlieka patikrinimą ir pasirašo ataskaitą. Pasirengimą vykdo atskira konsultantų komanda, kad būtų išsaugotas auditorių nepriklausomumas.

Taip. Jei kontrolės priemonės veikia jau kelis mėnesius, galite iš karto pereiti prie Type 2. Daugelis įmonių pirmiausia gauna Type 1, kad užbaigtų sandorį, o po šešių mėnesių – Type 2.

Taip. Kiekviena paslauga teikiama atskirai: ISO 27001 sertifikavimas akredituotoje įstaigoje, GDPR paketas, Cyber Essentials arba atitiktis NIS2. Paketai tiesiog taupo laiką ir biudžetą dėl bendrų kontrolės priemonių.

Priklauso nuo Jūsų klientų. JAV pirkėjai paprastai prašo SOC 2, Europos – ISO 27001. Standartai sutampa maždaug 70–80 %, todėl antrasis kainuoja gerokai pigiau nei pirmasis.

AWS, Google Cloud, Azure, Hetzner, DigitalOcean, taip pat hibridinės ir vietinės (on-prem) aplinkos. Iš debesijos tiekėjo paveldimos kontrolės priemonės atspindimos atsakomybių matricoje.

SOC 1 apima kontrolės priemones, svarbias kliento finansinei atskaitomybei (pvz., mokėjimų tvarkytojams). SOC 2 skirtas duomenų saugumui ir privatumui. SOC 3 – trumpa vieša SOC 2 versija be testų detalių.

Trust Services Criteria (patikimumo paslaugų kriterijai) – penkios AICPA kategorijos: saugumas (privalomas), prieinamumas, apdorojimo vientisumas, konfidencialumas, privatumas. Įmonė pasirenka, kurias įtraukti į apimtį.

Taip. Ataskaitą išduoda BALTUM grupės JAV registruota CPA įmonė per licencijuotus CPA auditorius pagal AICPA standartus (SSAE 18 / AT-C 205). Tai vienintelis pripažinimo reikalavimas.

Ne. Auditas atliekamas nuotoliniu būdu: vaizdo skambučiai, tik skaitymo prieiga prie sistemų, įrodymai per saugų portalą.

SOC 2 ataskaita rengiama anglų kalba. Politikos ir procedūros gali būti anglų arba Jūsų vietine kalba (vokiečių, ispanų, portugalų, lenkų ir kt.); auditui reikalinga versija anglų kalba.

Taip. Teisinė forma ir registracijos šalis SOC 2 neturi įtakos. Dirbame su įmonėmis ES, JK, Šveicarijoje, Vakarų Balkanuose, Ukrainoje ir kitur; sutartis sudaroma su Baltum Büroo OÜ (Estija).

Vadovybės raštas, apimantis laikotarpį nuo Type 2 ataskaitos laikotarpio pabaigos iki šios dienos (paprastai iki 3 mėnesių) ir patvirtinantis, kad esminių kontrolės priemonių pokyčių nebuvo.