‏SOC 2

SOC 2 تقرير مستقل يعدّه مدقق عن كيفية حماية مؤسسة تقدّم الخدمات للبيانات والأنظمة التي تشغّلها لعملائها. يعود الإطار إلى المعهد الأمريكي للمحاسبين القانونيين (AICPA)، ويصدر التقرير نفسه عن مكتب CPA مرخّص. وSOC اختصار System and Organization Controls، لذلك فهو، رغم تشابه الاختصار، لا علاقة له بمركز عمليات الأمن.

المعيار المرجعي هو معايير خدمات الثقة (Trust Services Criteria): الأمن والإتاحة وسلامة المعالجة والسرية والخصوصية. يدخل الأمن دائماً في النطاق، وتختار المؤسسة من المعايير الأربعة الأخرى ما يناسب الخدمة التي تبيعها. ثم يفحص المدقق وصف الإدارة للنظام والضوابط التي تدعم المعايير، ويبدي رأياً.

SOC 2 ليس قانوناً ولا شهادة. لا يلزم أحداً الحصول عليه، ولا يمنح المدقق درجة نجاح: التقرير يبيّن هل استوفت الضوابط المعايير ويسرد الاستثناءات التي وُجدت. ويطلبه المشترون لأنه يعطيهم رؤية خارجية عن أمن البيانات لدى المورّد لا يقدّمها أي استبيان.

تقرير SOC 2 نهاية عملية وليس العملية نفسها. التدقيق قصير قياساً بالتحضير، ومعظم العمل يتم قبل وصول المدقق:

1. 1

   تحديد النطاق والمعايير

   حدّد الخدمات والأنظمة والمواقع المشمولة، والفئات التي تُضاف إلى Security.

2. 2

   فحص الجاهزية

   قارن الضوابط الحالية بالمعايير وسجّل الثغرات قبل أن يجدها المدقق.

3. 3

   التشغيل والتسجيل

   سُدّ الثغرات، ثم شغّل الضوابط في العمل اليومي واحتفظ بالسجلات: التذاكر وملفات السجل ومراجعات الصلاحيات والموافقات.

4. 4

   إجراء التدقيق

   يراجع مكتب CPA مستقل وصف النظام ويختبر الضوابط مقابل المعايير.

5. 5

   استلام التقرير ومشاركته

   يحمل التقرير رأي المدقق، ويُشارك عادة مع العملاء بموجب اتفاقية عدم إفصاح (NDA)، ويُجدَّد بدورة منتظمة، غالباً كل عام.

الأمن إلزامي ويشكّل المعايير المشتركة: الوصول وإدارة التغيير وتقييم المخاطر والمراقبة والاستجابة للحوادث. أما الأربعة الأخرى فتُضاف فقط حين تقدّم الخدمة وعوداً بشأنها:

يطلب SOC 2 من المؤسسة أن تُظهر من يستطيع الوصول إلى بيانات العملاء، وكيف يُحمى هذا الوصول، وكيف تُسجَّل التغييرات في الأنظمة. Anexet ليس أداة تدقيق، لكن وحدة التحكم فيه تحتفظ بعدد من هذه السجلات: تُمنح الصلاحيات لكل مجموعة مستخدمين، ويمكن أن يتطلب حفظ إعدادات وحدة تحكم المسؤول كلمة مرور إضافية، وتنتهي الجلسات تلقائياً بعد مدة محددة، ويسجّل Journal إجراءات المسؤولين. ويمكن أيضاً تمرير الأحداث إلى نظام SIEM للمراقبة المركزية.

1 / 3

• 
• 
• 

يصف تقرير Type I الضوابط ويتضمن رأي المدقق في مدى حسن تصميمها في لحظة زمنية واحدة. أما تقرير Type II فيغطي فترة، تتراوح عادة بين بضعة أشهر وسنة، ويضيف اختبارات المدقق لمعرفة هل عملت الضوابط فعلاً بفاعلية طوال تلك الفترة.

بالنسبة إلى المشتري يزن Type II أكثر: فالضابط الموجود ليس كالضابط الذي عمل كل أسبوع. يبدأ كثير من المزوّدين بـ Type I ليكون لديهم ما يعرضونه، ثم ينتقلون إلى Type II. ويطلب العملاء كذلك bridge letter، وهو إفادة قصيرة من الإدارة عن الفترة بين نهاية المدة واليوم. وهي إفادة من المزوّد نفسه وليست تدقيقاً.

يتناول SOC 1 الضوابط المهمة للتقارير المالية للعميل، ويتناول SOC 2 معايير خدمات الثقة، أما SOC 3 فهو ملخص موجز للاستخدام العام عن نوع المهمة نفسه الخاص بـ SOC 2 دون الاختبارات التفصيلية، ولذلك يجوز نشره.

ISO/IEC 27001 هو الوثيقة الأخرى التي يطلبها المشترون. وهو شهادة لنظام إدارة أمن المعلومات (ISMS) تمنحها جهة معتمدة، بينما SOC 2 تقرير توكيد عن ضوابط تصفها المؤسسة بنفسها. ولا يحل أحدهما محل الآخر، لكن مجموعة أدلة واحدة تُحفظ عبر إدارة الامتثال يمكن أن تخدمهما معاً.

تنشأ أغلب المشكلات من التعامل مع SOC 2 كشارة وليس كأسلوب عمل. يقرأ العملاء الحريصون النطاق والفترة والاستثناءات قبل الرأي، لأن ثغرات المورّد تصبح مخاطر امتثال لديهم أيضاً. وتتكرر الأنماط نفسها:

• وصف شركة بأنها «حاصلة على شهادة SOC 2» مع أنه لا توجد شهادة بل تقرير فقط
• تضييق النطاق إلى حد يُخرج من التقرير المنتج الذي يستخدمه العميل فعلاً
• محاولة إعادة بناء الأدلة بعد انتهاء الفترة، بينما يغطي اختبار Type II الفترة كلها
• قراءة الرأي وحده وتجاهل الاستثناءات والضوابط التي يُنتظر أن ينفّذها العميل نفسه
• الظن بأن معيار الخصوصية يثبت الامتثال لقانون خصوصية مثل GDPR

ابدأ مما يطلبه العملاء فعلاً لا من المعايير. اجعل الخدمة التي يشترونها هي النطاق، وابدأ بـ Security، وأضف الفئات الأخرى حين يحتاجها عميل. ثم أجرِ فحص جاهزية، وامنح الضوابط وقتاً كافياً لتترك أثراً قبل بدء فترة التدقيق.

اجعل الأنظمة تنتج الأدلة كناتج جانبي للعمل المعتاد: قوائم الصلاحيات وسجلات التغيير وتقارير الأمن المجدولة، بدلاً من لقطات شاشة تُجمع على عجل في النهاية. التقرير الرخيص التجديد هو الذي يستمر تجديده.