SOC 2

SOC 2 to niezależny raport audytora o tym, jak organizacja świadcząca usługi chroni dane i systemy, które obsługuje dla klientów. Ramy opracował amerykański instytut biegłych rewidentów AICPA, a sam raport sporządza licencjonowana firma audytorska CPA. SOC to skrót od System and Organization Controls, więc mimo podobnej nazwy nie ma nic wspólnego z centrum operacji bezpieczeństwa.

Miarą są kryteria usług zaufania (Trust Services Criteria): bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. Bezpieczeństwo zawsze wchodzi w skład raportu, a spośród pozostałych czterech kryteriów organizacja wybiera te, które pasują do oferowanej usługi. Audytor ocenia następnie opis systemu sporządzony przez zarząd oraz zabezpieczenia wspierające te kryteria i wyraża opinię.

SOC 2 nie jest ustawą ani certyfikatem. Nikt nie musi go mieć, a audytor nie wystawia oceny zaliczeniowej: raport mówi, czy zabezpieczenia spełniły kryteria, i wymienia wykryte wyjątki. Kupujący sięgają po niego, bo daje zewnętrzny obraz bezpieczeństwa danych dostawcy, jakiego nie da żadna ankieta.

Raport SOC 2 kończy proces, a nie jest nim samym. Sam audyt trwa krótko w porównaniu z przygotowaniami i większość pracy wykonuje się, zanim pojawi się audytor:

1. 1

   Zakres i kryteria

   Ustal, które usługi, systemy i lokalizacje obejmuje raport oraz jakie kategorie poza Security dodać.

2. 2

   Wstępna ocena gotowości

   Porównaj obecne zabezpieczenia z kryteriami i spisz luki, zanim znajdzie je audytor.

3. 3

   Działanie i zapisy

   Zamknij luki, potem stosuj zabezpieczenia na co dzień i zachowuj ślady: zgłoszenia, logi, przeglądy dostępów, zatwierdzenia.

4. 4

   Audyt

   Niezależna firma CPA analizuje opis systemu i testuje zabezpieczenia względem kryteriów.

5. 5

   Raport i jego udostępnienie

   Raport zawiera opinię audytora, zwykle trafia do klientów na podstawie NDA i jest odnawiany cyklicznie, najczęściej co roku.

Bezpieczeństwo jest obowiązkowe i tworzy kryteria wspólne: dostęp, zarządzanie zmianami, ocena ryzyka, monitorowanie i reagowanie na incydenty. Pozostałe cztery dodaje się tylko wtedy, gdy usługa składa w ich sprawie obietnice:

SOC 2 wymaga od organizacji wykazania, kto ma dostęp do danych klientów, jak ten dostęp jest chroniony i jak rejestruje się zmiany w systemach. Anexet nie jest narzędziem audytowym, ale jego konsola prowadzi część takich zapisów: uprawnienia nadaje się grupom użytkowników, zapisywanie ustawień konsoli administratora może wymagać dodatkowego hasła, a sesje kończą się automatycznie po ustawionym czasie, a Dziennik (Journal) rejestruje działania administratorów. Zdarzenia można też przekazywać do systemu SIEM w celu centralnego monitorowania.

1 / 3

• 
• 
• 

Raport Type I opisuje zabezpieczenia i zawiera opinię audytora, czy są odpowiednio zaprojektowane w jednym punkcie w czasie. Raport Type II obejmuje okres, zwykle od kilku miesięcy do roku, i dodaje testy audytora, czy zabezpieczenia faktycznie działały skutecznie przez cały ten czas.

Dla kupującego Type II waży więcej: zabezpieczenie, które istnieje, to nie to samo, co takie, które działało co tydzień. Wielu dostawców zaczyna od Type I, żeby mieć co pokazać, a potem przechodzi do Type II. Klienci proszą też o bridge letter, czyli krótkie oświadczenie zarządu o czasie między końcem okresu a dniem dzisiejszym. To oświadczenie samego dostawcy, a nie audyt.

SOC 1 dotyczy zabezpieczeń istotnych dla sprawozdawczości finansowej klienta, SOC 2 kryteriów usług zaufania, a SOC 3 to krótkie podsumowanie do ogólnego użytku, oparte na tym samym rodzaju zlecenia co SOC 2, ale bez szczegółowych testów, dlatego można je publikować.

Drugim dokumentem, o który pytają kupujący, jest ISO/IEC 27001. To certyfikacja systemu zarządzania bezpieczeństwem informacji (ISMS) przez akredytowaną jednostkę, podczas gdy SOC 2 to raport z atestacji zabezpieczeń opisanych przez samą organizację. Jedno nie zastępuje drugiego, ale jeden zbiór dowodów prowadzony w ramach zarządzania zgodnością może służyć obu.

Większość kłopotów bierze się z traktowania SOC 2 jak odznaki, a nie sposobu działania. Uważni klienci czytają zakres, okres i wyjątki przed opinią, bo luki dostawcy stają się ich własnym ryzykiem niezgodności. Schematy się powtarzają:

• Mówienie o firmie „certyfikowana SOC 2”, choć nie ma certyfikatu, tylko raport
• Zakres tak wąski, że raport pomija produkt, z którego klient faktycznie korzysta
• Odtwarzanie dowodów po zakończeniu okresu, podczas gdy test Type II obejmuje cały okres
• Czytanie samej opinii z pominięciem wyjątków i zabezpieczeń, które klient ma wdrożyć sam
• Przekonanie, że kryterium Privacy dowodzi zgodności z prawem o ochronie danych, takim jak RODO

Zacznij od tego, o co faktycznie pytają klienci, a nie od kryteriów. Jako zakres wybierz usługę, którą kupują, zacznij od Security, a pozostałe kategorie dodawaj dopiero, gdy klient ich potrzebuje. Potem zrób ocenę gotowości i daj zabezpieczeniom dość czasu, by zostawiły ślad przed rozpoczęciem okresu audytu.

Pozwól, by systemy wytwarzały dowody jako produkt uboczny zwykłej pracy: listy dostępów, dzienniki zmian i cykliczne raporty bezpieczeństwa, a nie zrzuty ekranu zbierane w pośpiechu na koniec. Raport, który tanio się odnawia, to raport, który się odnawia.