Service Organization Control Type 2 (SOC 2)

Čo je Service Organization Control Type 2 (SOC 2)?

Service Organization Control Type 2 (SOC 2) je nezávislá správa z auditu, ktorá overuje, či spoločnosť chráni dáta v čase a skutočne dodržiava svoje vlastné pravidlá. Predstavte si to ako dlhodobú recenziu bezpečnosti a súkromia, nie len rýchlu kontroliu. Ak spravujete zákaznícke dáta v cloude, toto je dospelý potvrdenie, že to beriete vážne.

Ako SOC 2 funguje

Rýchly prehľad: startup s kryptopri správou peňaženky chce bankové klienty. Banky vyžadujú dôkazy o kontrolách, nie nálady. Prichádzajú audítori, clipboardy a časová os.

Štandard spadá pod American Institute of CPAs. Ak chceš zdroj, nahliadni na AICPA SOC.

• Rozsah: Spoločnosť vyberie, ktoré Trust Services Criteria sa uplatnia, napríklad Security a Availability, a rozhodne, ktoré systémy sú v hre.
• Pozorovanie: Nezávislý audítor skontroluje politiky, prístupové kontroly, change management a ďalšie, a potom sleduje ich fungovanie počas mesiacov. Príklad: vzorkovanie prístupových logov k produkčným peňaženkám.
• Testovanie: Audítor sa snaží potvrdiť, že kontroly skutočne fungovali počas hodnoteného obdobia. Pravidlá hesiel, reakcia na incidenty, zálohy, prehľady dodávateľov, všetko.
• Správa: Audítor napíše správu Type 2, ktorá vysvetľuje systém, čo bolo testované, výsledky a prípady výnimiek. Čistá správa je dobrá správa.
• Zdieľanie: Spoločnosti potom zdieľajú správu so zákazníkmi, často prostredníctvom portals žiadostí ako AWS Artifact alebo podobne. NDA sú bežné, screenshoty nie sú.

Hej, to je myšlienka.

Prečo SOC 2 Matters

Pretože každý tvrdí, že im na bezpečnosti záleží. Len málo kto to dokáže preukázať. SOC 2 je dôkaz.

• Prínos: Kratšie revízie dodávateľov a rýchlejšie dohody, keď môžu kupujúci dôverovať spracovaniu dát bez mesiaca tam a späť.
• Perspektíva: Správy o brehoch poškodili dôveru ako obchodná vlastnosť. Toto je Rolex stretáva rôzne vlákna na Reddit, aj s účtami.
• Relevantnosť: Burzy, peňaženky ako služba, custody platformy a analytickí poskytovatelia ju používajú na získanie partnerov. Pre živý príklad si pozri verejný postoj na Fireblocks security and compliance.

Kľúčové charakteristiky Service Organization Control Type 2 (SOC 2)

Tu je to, čo ju odlišuje:

• Čas: Zahŕňa výkon kontrol počas určitého obdobia, nie len návrh na jeden deň.
• Kritériá: Zodpovedá Trust Services Criteria ako Security, Availability, Confidentiality, Processing Integrity a Privacy.
• Publikum: Správa je obmedzená, zvyčajne zdieľaná pod NDA so zákazníkmi a perspektívami.

Chceš kompletné menu kritérií a očakávaní? AICPA overview to presne popisuje.

Variácie

Všetky tieto patria pod pojem System and Organization Controls:

• SOC1: Zameriava sa na kontroly finančného výkazníctva, často pre mzdy alebo spracovateľov transakcií.
• SOC2 Type 1: Testuje návrh kontrol na určitý časový okamih. Snímkový pohľad, nie sezóna.
• SOC2 Type 2: Testuje návrh a operatívnu účinnosť počas mesiacov. To, čo kupujúci vyžadujú.
• SOC3: Zhrnutie pre široké použitie, ktoré sa môže verejne zverejniť.

Príklad

Peňaženka ako služba startup zdieľa svoju čerstvú SOC 2 Type 2 správu banke pod NDA, aby odomkol pilotnú integráciu.

Zaujímavé fakty

SOC 2 získal popularitu s rastom cloudových poskytovateľov na začiatku dvadsiatych rokov, keď kupujúci potrebovali konzistentný spôsob, ako hodnotiť SaaS kontroly. Päť Trust Services Criteria sa kedysi nazývalo princípy, a zmena názvu zmiatla audítorov aj marketérov.

Záver

Predstav si to takto: tretia strana sledovala tvoje bezpečnostné rutiny mesiacmi a zapísala to, aby zákazníci nemuseli iba veriť tvojmu pitches.