Mikä on Service Organization Control Type 2 (SOC 2)?
Service Organization Control Type 2 (SOC 2) on riippumaton auditointiraportti, jossa tarkistetaan, suojaako yritys tietoja ajan mittaan ja noudattaako se todella omia sääntöjään. Ajattele sitä koko kauden kattavana tietoturva- ja tietosuojakontrollien arviointina, ei vain nopeana pistokokeena. Jos käsittelet asiakastietoja pilvipalvelussa, tämä on aikuisen ihmisen kuitti siitä, että suhtaudut asiaan vakavasti.
SOC 2 tarkoittaa, että tuote on murtovarma. Eipä tarkoita. Se osoittaa, että kontrollit on suunniteltu ja ne toimivat ajan mittaan, mutta se ei ole bug bounty -ohjelma, penetraatiotesti eikä lupaus siitä, ettei mikään voi mennä pieleen.
Näin Service Organization Control Type 2 (SOC 2) toimii
Pikainen tilannekuva: kryptovaluuttojen säilytyspalvelun startup haluaa pankkeja asiakkaikseen. Pankit pyytävät todisteita kontrolleista, eivät pelkkää puhetta. Mukaan astuvat auditoijat, leikepöydät ja aikataulu.
Standardia ylläpitää American Institute of CPAs. Jos haluat tutustua alkuperäiseen lähteeseen, kurkkaa AICPA SOC.
- Soveltamisala: Yritys valitsee sovellettavat Trust Services Criteria -kriteerit, kuten Security ja Availability, ja päättää, mitkä järjestelmät kuuluvat tarkasteluun.
- Havainnointi: Riippumaton auditoija käy läpi käytännöt, käyttöoikeuksien hallinnan, muutostenhallinnan ja muuta, minkä jälkeen hän seuraa niiden toimintaa kuukausien ajan. Esimerkiksi tuotantolompakoiden käyttöoikeuslokeista otetaan otos.
- Testaus: Auditoija pyrkii varmistamaan, että kontrollit todella toimivat tarkastelujakson aikana. Salasanakäytännöt, poikkeamien käsittely, varmuuskopiot, toimittaja-arvioinnit – kaikki käydään läpi.
- Raportointi: Auditoija laatii Type 2 -raportin, jossa kuvataan järjestelmä, testatut asiat, tulokset ja mahdolliset poikkeamat. Puhdas raportti on hyvä uutinen.
- Jakaminen: Yritykset jakavat raportin sitten asiakkaille, usein pyyntöportaalien, kuten AWS Artifactin, kautta tai vastaavalla tavalla. Salassapitosopimukset ovat tavallisia, kuvakaappaukset eivät.
Juuri siitä on kyse.
Miksi Service Organization Control Type 2 (SOC 2) on tärkeä
Kaikki sanovat välittävänsä tietoturvasta. Harva pystyy todistamaan sen. SOC 2 on todiste.
- Hyöty: Toimittaja-arvioinnit lyhenevät ja kaupat syntyvät nopeammin, sillä ostajat voivat luottaa siihen, miten käsittelet tietoja, eikä edestakainen keskustelu kestä kuukautta.
- Näkökulma: Tietomurtoja koskevat otsikot ovat tehneet luottamuksesta liiketoiminnan kilpailutekijän. Tässä yhdistyvät Rolex ja Reddit-ketjut – kuitit mukana.
- Merkitys: Exchanget, lompakot palveluna, säilytysalustat ja analytiikkapalvelujen tarjoajat hyödyntävät sitä kumppaneiden hankkimiseen. Ajankohtaisen esimerkin löydät tutustumalla Fireblocksin tietoturvaan ja vaatimustenmukaisuuteen.
Pyydä toimittajilta tiedot raportointijaksosta ja soveltamisalasta. Vertaa sitten päivämääriä suunniteltuun käyttöönottoon. Tuore tarkastelujakso, olennaiset järjestelmät sekä Security ja Availability ovat tavallisesti välttämättömiä.
Service Organization Control Type 2 (SOC 2): keskeiset ominaisuudet
Seuraavat asiat erottavat sen muista:
- Ajanjakso: Se kattaa kontrollien toimivuuden tietyllä ajanjaksolla, ei vain niiden suunnittelua yhtenä päivänä.
- Kriteerit: Se perustuu Trust Services Criteria -kriteereihin, kuten Security, Availability, Confidentiality, Processing Integrity ja Privacy.
- Kohderyhmä: Raportin jakelua on rajoitettu, ja se jaetaan yleensä salassapitosopimuksen nojalla asiakkaille ja potentiaalisille asiakkaille.
Haluatko tutustua kaikkiin kriteereihin ja vaatimuksiin? AICPA:n yleiskatsauksessa on niistä tarkempi kuvaus.
Muunnelmat
Kaikki nämä kuuluvat System and Organization Controls -kokonaisuuteen:
- SOC1: Keskittyy taloudellisen raportoinnin kontrolleihin, usein palkanlaskennan tai maksutapahtumien käsittelijöiden osalta.
- SOC2 Type 1: Testaa kontrollien suunnittelua tiettynä ajankohtana. Yksittäinen tilannekuva, ei koko kausi.
- SOC2 Type 2: Testaa kontrollien suunnittelua ja toiminnan tehokkuutta kuukausien ajalta. Tätä ostajat pyytävät.
- SOC3: Yleiseen käyttöön tarkoitettu yhteenveto, jonka voi julkaista avoimesti.
SOC 2 tarkastelee ihmisiin, prosesseihin ja teknologiaan liittyviä kontrolleja, mutta siinä ei auditoida älysopimuksia eikä todisteta, ettei sovelluksessasi ole tietoturvavirheitä. Tarvitset edelleen koodikatselmointeja ja kohdennettua testausta.
Esimerkki
Lompakkopalvelua tarjoava startup jakaa tuoreen SOC 2 Type 2 -raporttinsa pankille salassapitosopimuksen nojalla, jotta pilotti-integraatio voidaan käynnistää.
Hauska fakta
SOC 2 yleistyi pilvipalvelujen nousun myötä 2010-luvun alussa, sillä ostajat tarvitsivat yhdenmukaisen tavan arvioida SaaS-palvelujen kontrolleja. Viittä Trust Services Criteria -kriteeriä kutsuttiin aiemmin periaatteiksi, ja nimityksen muuttuminen hämmensi niin auditoijia kuin markkinoijiakin.
Yhteenveto
Ajattele asiaa näin: kolmas osapuoli seurasi tietoturvakäytäntöjäsi kuukausien ajan ja kirjasi ne ylös, jotta asiakkaiden ei tarvitse vain luottaa myyntipuheeseesi.