Service Organization Control Type 2 (SOC 2)

Co je Service Organization Control Type 2 (SOC 2)?

Service Organization Control Type 2 (SOC 2) je nezávislý audit, který ověřuje, zda poskytovatel služeb chrání data zákazníků a udržuje své systémy spolehlivé po určité období. Zkoumá, jak společnost skutečně funguje, ne jen to, co uvádí na prezentaci. Představte si to jako dlouhodobý stresový test bezpečnosti a spolehlivosti, ne jako kontrolu narychlo přes noc. Zajímá vás, kdo to definuje? Přehled najdete zde: System and Organization Controls.

Jak Service Organization Control Type 2 (SOC 2) funguje

Zde je postup pro kustoda, burzu nebo poskytovatele peněženky jako službu, který prochází auditem Service Organization Control Type 2 (SOC 2):

• Krok 1: Vymezte rozsah a zvolte nezávislého auditora. Příklad: správa úschovy, správa klíčů, reakce na incidenty.
• Krok 2: Namapujte kontroly na Trust Services Criteria: bezpečnost, dostupnost, integrita zpracování, důvěrnost, ochrana soukromí.
• Krok 3: Provozujte tyto kontroly po několik měsíců, zatímco auditoři je testují v průběhu celého období, nikoli jen k jednomu datu.
• Krok 4: Auditoři vydají zprávu s názorem, popisem systému a podrobnými výsledky testů, včetně případných výjimek.
• Krok 5: Společnost sdílí zprávu podle dohody o mlčenlivosti se zákazníky a partnery na požádání.

Ano, tím to končí. Pokud chcete oficiální zdroj, tato stránka AICPA popisuje program: AICPA SOC.

Proč je Service Organization Control Type 2 (SOC 2) důležitý

Proč se tomu věnovat?

• Výhoda: Rychlejší prověrka dodavatelů. Jedna zpráva může zodpovědět desítky položek v bezpečnostních dotaznících.
• Perspektiva: Instituce to očekávají. Mnohé fondy, pokladny a fintech partneři považují SOC 2 Type 2 za základní požadavek.
• Uplatnění: Uvidíte ho u kustodů, burz, analytického SaaS a infrastruktury peněženek. Například se podívejte, jak Fireblocks prezentuje informace o svých auditech zde: Fireblocks security and compliance.

Hlavní rysy Service Organization Control Type 2 (SOC 2)

Co ho odlišuje, stručně:

• Období: Zahrnuje časové rozpětí, které dokládá, že kontroly fungovaly po delší dobu.
• Kritéria: Používá pět Trust Services Criteria, která určují, co se testuje.
• Rozsah: Zaměřuje se na kontroly, ne na marketingová tvrzení nebo seznamy funkcí.
• Auditor: Provádí nezávislá účetní firma (CPA) s praxí v ověřování.
• Sdílení: Celá zpráva se obvykle sdílí na základě dohody o mlčenlivosti, nezveřejňuje se veřejně.

1. Prohlášení: Prohlášení vedení o systému a kontrolách.
2. Názor: Auditorův závěr o návrhu a provozní účinnosti.
3. Popis: Jak systém funguje srozumitelně.
4. Testy: Každá kontrola, jak byla testována, a výsledky.
5. CUCs: Doplňkové uživatelské kontroly, které musíte zajistit na své straně.

Chcete vidět, jak společnosti tyto zprávy sdílejí na základě dohody o mlčenlivosti? Mnohé je ukládají v portálech jako AWS Artifact: AWS Artifact.

Varianty

Stejná rodina, různé verze:

• Type1: Auditor ověří návrh kontrol k jednomu okamžiku.
• Type2: Auditor ověřuje návrh a provozní účinnost v průběhu měsíců.
• SOC1: Zaměřuje se na kontroly finančního vykazování, ne na obecnou bezpečnost.
• SOC3: Veřejné shrnutí SOC 2, které lze široce sdílet.

Příklad

Krypto fond požádá poskytovatele úschovy o jeho Service Organization Control Type 2 (SOC 2) zprávu a před převodem prostředků přezkoumá správu klíčů, řízení změn a reakci na incidenty.

Zajímavost

Zkratka SOC se původně používala pro Service Organization Control, a dnes sponzor označuje program jako System and Organization Controls. Stejná písmena, širší rozsah; AICPA overview vysvětluje přehled.

Shrnutí

Krátce: Service Organization Control Type 2 (SOC 2) je zpráva o důvěryhodnosti, která umožňuje seriózním partnerům rychleji souhlasit.