Mi az a Service Organization Control Type 2 (SOC 2)?
A Service Organization Control Type 2 (SOC 2) egy független auditjelentés, amely azt vizsgálja, hogy egy vállalat hosszú távon védi-e az adatokat, és valóban betartja-e a saját szabályait. Képzeld el úgy, mint a biztonsági és adatvédelmi kontrollok egy teljes szezonon át tartó felülvizsgálatát, nem pedig egy gyors röpdolgozatot. Ha ügyféladatokat kezelsz a felhőben, ez az a komoly igazolás, amely tanúsítja, hogy felelősen jársz el.
A SOC 2 azt jelenti, hogy egy terméket lehetetlen feltörni. Dehogy. Azt mutatja, hogy a kontrollokat úgy alakították ki, hogy idővel is működjenek, de ez nem hibavadász program, nem behatolásteszt, és nem garancia arra, hogy semmi sem romolhat el.
Hogyan működik a Service Organization Control Type 2 (SOC 2)?
Egy gyors jelenet: egy kriptoeszköz-letétkezelő startup banki szintű ügyfeleket szeretne. A bankok nem megérzéseket, hanem a kontrollok bizonyítékát kérik. Jöjjenek hát az auditorok, a jegyzettömbök és az idővonal.
A szabvány az American Institute of CPAs felügyelete alá tartozik. Ha az eredeti forrást keresed, nézd meg az AICPA SOC oldalát.
- Hatókör: A vállalat kiválasztja, mely Trust Services Criteria kritériumok vonatkoznak rá, például a Security és az Availability, és meghatározza, mely rendszerek tartoznak bele.
- Megfigyelés: Egy független auditor felülvizsgálja az irányelveket, a hozzáférés-vezérlést, a változáskezelést és egyebeket, majd hónapokon keresztül figyeli, hogyan működnek. Például mintát vesznek az éles tárcák hozzáférési naplóiból.
- Tesztelés: Az auditor megpróbálja megállapítani, hogy a kontrollok valóban működtek-e a vizsgálati időszakban. Jelszószabályok, incidenskezelés, biztonsági mentések, beszállítói felülvizsgálatok – minden.
- Jelentés: Az auditor Type 2 jelentést készít, amely ismerteti a rendszert, a tesztelt területeket, az eredményeket és az esetleges kivételeket. A kifogástalan jelentés jó hír.
- Megosztás: A vállalatok ezután megosztják a jelentést az ügyfelekkel, gyakran olyan hozzáférési portálokon keresztül, mint az AWS Artifact, vagy hasonló felületeken. Az NDA-k elterjedtek, a képernyőképek viszont nem.
Igen, erről van szó.
Miért fontos a Service Organization Control Type 2 (SOC 2)?
Mert mindenki azt mondja, hogy fontos neki a biztonság. Kevesen tudják bizonyítani. A SOC 2 erre ad bizonyítékot.
- Előny: Rövidebb beszállítói átvilágítás és gyorsabb üzletkötés, hiszen a vevők megbízhatnak abban, ahogyan az adatokat kezeled, anélkül, hogy egy hónapig tartana az oda-vissza egyeztetés.
- Nézőpont: Az adatvédelmi incidensekről szóló hírek az üzleti működés egyik fontos elemévé tették a bizalmat. Rolex találkozik a Reddit-bejegyzésekkel – bizonylatokkal együtt.
- Jelentőség: Az exchange-ek, a szolgáltatásként nyújtott tárcák, a letétkezelő platformok és az adatelemző szolgáltatók partnerek szerzésére használják. Élő példaként nézd meg a Fireblocks biztonsági és megfelelőségi tájékoztatóját.
Kérdezd meg a beszállítókat a jelentés időszakáról és hatóköréről. Ezután vesd össze ezeket a dátumokat az éles indulás tervezett időpontjával. A közelmúltat lefedő időszak, a releváns rendszerek, valamint a Security és az Availability általában alapkövetelmény.
A Service Organization Control Type 2 (SOC 2) főbb jellemzői
Íme, mi különbözteti meg:
- Időtáv: A kontrollok működését egy időszakon át vizsgálja, nem csupán egy adott napon ellenőrzi a kialakításukat.
- Kritériumok: A Trust Services Criteria kritériumaihoz igazodik, például a Security, az Availability, a Confidentiality, a Processing Integrity és a Privacy területeihez.
- Célközönség: A jelentés hozzáférése korlátozott, jellemzően NDA mellett osztják meg ügyfelekkel és lehetséges ügyfelekkel.
Szeretnéd megismerni az összes kritériumot és elvárást? Az AICPA áttekintése részletezi őket.
Változatok
Mindezek a System and Organization Controls gyűjtőfogalom alá tartoznak:
- SOC1: A pénzügyi beszámoláshoz kapcsolódó kontrollokra összpontosít, gyakran bérszámfejtési vagy tranzakciófeldolgozó szolgáltatóknál.
- SOC2 Type 1: Egy adott időpontban vizsgálja a kontrollok kialakítását. Pillanatfelvétel, nem egy teljes szezon.
- SOC2 Type 2: Hónapokon át vizsgálja a kontrollok kialakítását és működési hatékonyságát. Ezt kérik a vevők.
- SOC3: Általános célú összefoglaló, amely nyilvánosan közzétehető.
A SOC 2 az emberekre, a folyamatokra és a technológiai kontrollokra terjed ki, de nem auditálja az okosszerződéseidet, és nem bizonyítja, hogy az alkalmazásodban egyetlen biztonsági hiba sincs. Továbbra is szükséged van kódellenőrzésekre és célzott tesztelésre.
Példa
Egy szolgáltatásként tárcát kínáló startup NDA mellett megosztja friss SOC 2 Type 2 jelentését egy bankkal, hogy elindíthassanak egy kísérleti integrációt.
Érdekesség
A SOC 2 a felhőszolgáltatók elterjedésével párhuzamosan vált népszerűvé a kétezer-tízes évek elején, mivel a vevőknek egységes módszerre volt szükségük a SaaS-kontrollok értékeléséhez. Az öt Trust Services Criteria kritériumot korábban elveknek nevezték, az elnevezés megváltoztatása pedig az auditorokat és a marketingeseket egyaránt összezavarta.
Összefoglalás
Gondolj rá így: egy harmadik fél hónapokon át figyelte a biztonsági rutinjaidat, majd írásba foglalta a tapasztalatait, így az ügyfeleknek nem kell pusztán az ígéreteidben bízniuk.