SOC 2

Το SOC 2 είναι μια ανεξάρτητη έκθεση ελεγκτή για το πώς ένας οργανισμός παροχής υπηρεσιών προστατεύει τα δεδομένα και τα συστήματα που διαχειρίζεται για τους πελάτες του. Το πλαίσιο προέρχεται από το American Institute of Certified Public Accountants (AICPA), ενώ την ίδια την έκθεση συντάσσει αδειοδοτημένη ελεγκτική εταιρεία CPA. Το SOC σημαίνει System and Organization Controls, επομένως, παρά την παρόμοια συντομογραφία, δεν σχετίζεται με κέντρο επιχειρήσεων ασφάλειας.

Το μέτρο είναι τα Κριτήρια Υπηρεσιών Εμπιστοσύνης (Trust Services Criteria): ασφάλεια, διαθεσιμότητα, ακεραιότητα επεξεργασίας, εμπιστευτικότητα και απόρρητο. Η ασφάλεια περιλαμβάνεται πάντα, και ο οργανισμός επιλέγει ποια από τα άλλα τέσσερα ταιριάζουν στην υπηρεσία που πουλά. Ο ελεγκτής εξετάζει έπειτα την περιγραφή του συστήματος από τη διοίκηση και τους ελέγχους που στηρίζουν τα κριτήρια, και διατυπώνει γνώμη.

Το SOC 2 δεν είναι νόμος ούτε πιστοποιητικό. Κανείς δεν υποχρεούται να το έχει και ο ελεγκτής δεν βάζει βαθμό επιτυχίας: η έκθεση λέει αν οι έλεγχοι πληρούσαν τα κριτήρια και απαριθμεί τις εξαιρέσεις που εντοπίστηκαν. Οι αγοραστές το ζητούν επειδή δίνει μια εξωτερική εικόνα της ασφάλειας δεδομένων του προμηθευτή, που δεν μπορεί να δώσει κανένα ερωτηματολόγιο.

Η έκθεση SOC 2 είναι το τέλος μιας διαδικασίας και όχι η ίδια η διαδικασία. Ο έλεγχος είναι σύντομος σε σχέση με την προετοιμασία, και το μεγαλύτερο μέρος της δουλειάς γίνεται πριν φτάσει ο ελεγκτής:

1. 1

   Ορισμός εύρους και κριτηρίων

   Αποφασίστε ποιες υπηρεσίες, συστήματα και τοποθεσίες καλύπτονται και ποιες κατηγορίες πέρα από το Security θα συμπεριληφθούν.

2. 2

   Έλεγχος ετοιμότητας

   Συγκρίνετε τους τρέχοντες ελέγχους με τα κριτήρια και καταγράψτε τα κενά πριν τα βρει ο ελεγκτής.

3. 3

   Λειτουργία και καταγραφή

   Κλείστε τα κενά, μετά εφαρμόστε τους ελέγχους στην καθημερινή εργασία και κρατήστε τα αρχεία: αιτήματα, logs, αναθεωρήσεις πρόσβασης, εγκρίσεις.

4. 4

   Διεξαγωγή του ελέγχου

   Μια ανεξάρτητη εταιρεία CPA εξετάζει την περιγραφή του συστήματος και δοκιμάζει τους ελέγχους έναντι των κριτηρίων.

5. 5

   Παραλαβή και κοινοποίηση της έκθεσης

   Η έκθεση φέρει τη γνώμη του ελεγκτή, συνήθως κοινοποιείται στους πελάτες με NDA και ανανεώνεται σε τακτό κύκλο, συχνά κάθε χρόνο.

Η ασφάλεια είναι υποχρεωτική και αποτελεί τα κοινά κριτήρια: πρόσβαση, διαχείριση αλλαγών, αξιολόγηση κινδύνων, παρακολούθηση και ανταπόκριση σε περιστατικά. Τα άλλα τέσσερα προστίθενται μόνο όταν η υπηρεσία δίνει υποσχέσεις γι' αυτά:

Το SOC 2 ζητά από έναν οργανισμό να δείξει ποιος έχει πρόσβαση στα δεδομένα των πελατών, πώς προστατεύεται αυτή η πρόσβαση και πώς καταγράφονται οι αλλαγές στα συστήματα. Το Anexet δεν είναι εργαλείο ελέγχου, αλλά η κονσόλα του κρατά αρκετές από αυτές τις καταγραφές: τα δικαιώματα ορίζονται ανά ομάδα χρηστών, η αποθήκευση των ρυθμίσεων της κονσόλας διαχειριστή μπορεί να απαιτεί επιπλέον κωδικό πρόσβασης, και οι συνεδρίες τερματίζονται αυτόματα μετά από ορισμένο χρόνο, και το Journal καταγράφει τις ενέργειες των διαχειριστών. Τα συμβάντα μπορούν επίσης να προωθούνται σε SIEM για κεντρική παρακολούθηση.

1 / 3

• 
• 
• 

Η έκθεση Type I περιγράφει τους ελέγχους και δίνει τη γνώμη του ελεγκτή για το αν είναι κατάλληλα σχεδιασμένοι σε μία χρονική στιγμή. Η έκθεση Type II καλύπτει μια περίοδο, συνήθως από μερικούς μήνες έως ένα έτος, και προσθέτει τις δοκιμές του ελεγκτή για το αν οι έλεγχοι λειτούργησαν πράγματι αποτελεσματικά σε όλο αυτό το διάστημα.

Για τον αγοραστή, το Type II βαραίνει περισσότερο: ένας έλεγχος που υπάρχει δεν είναι το ίδιο με έναν που λειτουργούσε κάθε εβδομάδα. Πολλοί πάροχοι ξεκινούν με Type I για να έχουν κάτι να δείξουν και μετά περνούν σε Type II. Οι πελάτες ζητούν επίσης bridge letter, μια σύντομη δήλωση της διοίκησης για το διάστημα από το τέλος της περιόδου έως σήμερα. Είναι δήλωση του ίδιου του παρόχου και όχι έλεγχος.

Το SOC 1 αφορά ελέγχους σημαντικούς για την οικονομική πληροφόρηση του πελάτη, το SOC 2 τα κριτήρια υπηρεσιών εμπιστοσύνης, και το SOC 3 είναι μια σύντομη περίληψη γενικής χρήσης του ίδιου τύπου ανάθεσης με το SOC 2, χωρίς τις αναλυτικές δοκιμές, γι' αυτό μπορεί να δημοσιευθεί.

Το ISO/IEC 27001 είναι το άλλο έγγραφο που ζητούν οι αγοραστές. Είναι πιστοποίηση ενός συστήματος διαχείρισης ασφάλειας πληροφοριών (ISMS) από διαπιστευμένο φορέα, ενώ το SOC 2 είναι έκθεση βεβαίωσης για ελέγχους που περιγράφει ο ίδιος ο οργανισμός. Το ένα δεν αντικαθιστά το άλλο, αλλά ένα ενιαίο σύνολο τεκμηρίων που τηρείται μέσω της διαχείρισης συμμόρφωσης μπορεί να εξυπηρετεί και τα δύο.

Τα περισσότερα προβλήματα προέρχονται από το ότι το SOC 2 αντιμετωπίζεται ως παράσημο και όχι ως τρόπος λειτουργίας. Οι προσεκτικοί πελάτες διαβάζουν εύρος, περίοδο και εξαιρέσεις πριν από τη γνώμη, γιατί τα κενά ενός προμηθευτή γίνονται δικός τους κίνδυνος μη συμμόρφωσης. Τα μοτίβα επαναλαμβάνονται:

• Να λέγεται μια εταιρεία «πιστοποιημένη SOC 2» ενώ δεν υπάρχει πιστοποιητικό, μόνο έκθεση
• Εύρος τόσο στενό που η έκθεση αφήνει έξω το προϊόν που χρησιμοποιεί πραγματικά ο πελάτης
• Προσπάθεια αναδημιουργίας τεκμηρίων μετά το τέλος της περιόδου, ενώ η δοκιμή Type II καλύπτει όλη την περίοδο
• Ανάγνωση μόνο της γνώμης, παραλείποντας τις εξαιρέσεις και τους ελέγχους που οφείλει να εφαρμόσει ο ίδιος ο πελάτης
• Η υπόθεση ότι το κριτήριο Privacy αποδεικνύει συμμόρφωση με νόμο προστασίας δεδομένων όπως ο GDPR

Ξεκινήστε από ό,τι ζητούν πραγματικά οι πελάτες, όχι από τα κριτήρια. Επιλέξτε ως εύρος την υπηρεσία που αγοράζουν, ξεκινήστε με το Security και προσθέστε τις άλλες κατηγορίες μόνο όταν τις χρειαστεί κάποιος πελάτης. Έπειτα κάντε έλεγχο ετοιμότητας και δώστε στους ελέγχους αρκετό χρόνο να αφήσουν ίχνος πριν ξεκινήσει η περίοδος ελέγχου.

Αφήστε τα συστήματα να παράγουν τα τεκμήρια ως υποπροϊόν της κανονικής εργασίας: λίστες πρόσβασης, αρχεία αλλαγών και προγραμματισμένες αναφορές ασφάλειας, αντί για στιγμιότυπα που μαζεύονται βιαστικά στο τέλος. Μια έκθεση που ανανεώνεται φθηνά είναι αυτή που συνεχίζει να ανανεώνεται.