SOC 2

SOC 2 (Service Organisation Control Type 2)

SOC 2

Компаниите са изправени пред нарастваща среда на заплахи, което прави сигурността на информацията и данните основен приоритет. Едно нарушение на данните може да струва милиони, да не говорим за удара по репутацията и загубата на доверие на клиентите. Киберсигурността изисква да се определят рамки – ръководни принципи и добрите практики, които компаниите трябва да следват, за да гарантират сигурност на информацията. SOC 2, или Service Organisation Control Type 2, е рамка за киберсигурност, разработена от Американския институт на дипломираните експерт-счетоводители (AICPA). Основната ? цел е да гарантира, че доставчиците на услуги съхраняват и обработват клиентски данни по сигурен начин.
 
Докато стандарти като ISO/IEC 27001 и PCI DSS имат строги изисквания по отношение на контролите за киберсигурност, при SOC 2 това не е така. Всяка компания проектира и приема свои собствени контроли в зависимост от оперативни си модели. След това се назначава независим одитор, който да провери дали контролите на компанията отговарят на изискванията на SOC 2. След одита одиторът пише доклад за това колко добре системите и процесите на компанията отговарят на SOC 2.
 
SOC 2 определя изискванията за управление и съхраняване на клиентски данни въз основа на пет критерия за доверителност на услуги (Trust Service Criteria, TSC):
 
Сигурност. Най-общо казано, принципът на сигурност изисква защитата на данните и системите срещу неоторизиран достъп. За тази цел може да се наложи прилагане на някаква форма на контрол на достъпа, прилагане на защитни стени със строги правила за входящия и изходящия трафик, въвеждане на системи за откриване и възстановяване на проникване и използване на многофакторно удостоверяване.
 
Конфиденциалност. Данните се считат за поверителни, ако само определена група хора имат достъп до тях. Това може да включва код на приложението, потребителски имена и пароли, информация за банкова карта или бизнес планове и др. За да се спазва този принцип, поверителните данни трябва да бъдат криптирани, както в покой, така и по време на пренос като се спазва принципа на най-малко привилегии, т.е. предоставяне на минималните права, от които хората се нуждаят, за да вършат работата си.
 
Наличност. Това изисква изграждане на системи, осигуряващи наличност на услугите по всяко време, устойчиви на грешки и голям трафик. Този принцип изисква от организациите използване на системи за наблюдение на мрежата и създаване и използване на планове за възстановяване след бедствие.
 
Поверителност. Събирането, съхранението, обработката и разкриването на каквато и да е лична информация (PII) трябва да се придържа към политиката за използване на данни и поверителност на организацията, заедно с условията, определени от AICPA, в Общоприетите принципи за поверителност (GAPP). Организацията трябва да наложи строг контрол, за да защити PII от неоторизиран достъп.
 
Интегритет на обработката. Всички системи трябва винаги да функционират според предназначението си, без забавяния, уязвимости, грешки или бъгове. Обработката на данни трябва да бъде пълна, валидна, точна, навременна и оторизирана. Въпреки това целостта на обработката не означава непременно цялост на данните. Ако данните съдържат грешки преди да бъдат въведени в системата, откриването им обикновено не е отговорност на обработващия обект. Мониторингът на обработката на данни, съчетан с процедурите за осигуряване на качеството, може да помогне да се гарантира целостта на обработката.

За да удовлетворите петте принципа на TSC, трябва да отговорите на следните въпроси по отношение на:

• Информационна сигурност: как се защитават данните от неоторизиран достъп и използване?
• Логически и физически контрол на достъпа: как се управлява и ограничава логическия и физическия достъп, за да се предотвратява неоторизирано използване?
• Системни операции: какви са и как се управляват системите за откриване и смекчаване на отклонения в процеса?
• Управление на промените: Как прилагате контролиран процес на управление на промените и предотвратявате неоторизирани промени?
• Намаляване на риска: как се идентифицира и намалява риска от прекъсване в бизнеса и услугите?

 
Видове SOC 2 доклади
 
SOC 2 докладите са два вида:

• SOC 2 тип I оценяват контролите на компанията в един конкретен момент. Те дават отговор на въпроса: правилно ли са проектирани контролите за сигурност?
• SOC 2 тип II оценяват как тези контроли функционират за определен период от време, обикновено от 3 до 12 месеца. Те отговарят на въпроса: функционират ли контролите за сигурност, които една компания има, както е предвидено?

За да изберете между двете, помислете за вашите цели, разходи или ограничения, например във времето.

Резултати от одита по SOC 2
Всяка организация, преминала одит по SOC 2, получава доклад, независимо от резултата от одита. Ето термините, които одиторите използват, за да опишат резултатите от одита:

• становище без забележки (Unqualified Opinion): компанията е преминала одита без резерви и ограничения. Това означава, че контролите, които одиторът е проверил, са проектирани и работят точно както трябва.
• становище със забележки (Qualified Opinion): компанията премива одита, но някои области изискват внимание. По време на одита една или повече контроли, включени в оценката, не са проектирани или внедрени по подходящ начин.
• отказ (Disclaimer Opinion): организацията не е предоставила на одитора достатъчно информация и те не са успели да съставят мнение дали отговаряте на изискванията на SOC 2.
• неблагоприятно становище (Adverse Opinion): организацията не отговаря на един или повече от стандартите за съответствие. Считани за най-ниското мнение в доклад на SOC 2, неблагоприятните мнения казват на клиентите, че не трябва да се доверяват на системите на организацията

 
Кой има нужда от SOC 2 доклад?
Ако сте организация, предоставяща услуги, която съхранява, обработва или предава някакъв вид клиентски данни, вероятно ще трябва да сте съвместими със SOC 2, защото: 

• изискванията на SOC 2 помагат на вашата компания да установи вътрешни контроли за сигурност – основа на политики и процеси за сигурност, които могат да помогнат на ви да се разшири сигурно.
• изграждате доверие с вашите клиенти.

Често организации, предоставящи услуги, се нуждаят от SOC 2 доклад, защото клиентите им го изискват. Клиенти трябва да знаят, че чувствителните им данни са в безопасност. SOC 2 докладът може да бъде и ключът към разширяване на продажбите и преминаването към по-голям пазар. Той:

• дава сигнал към клиентите за ниво на сложност във вашата организация;
• демонстрира вашия ангажимент към сигурността;
• осигурява мощно предимство пред конкуренцията.

Казано просто, одитът на SOC 2 е важен по две причини. Първо, получаването на SOC 2 доклад помага на вашия бизнес да поддържа най-добрите в класа си стандарти за сигурност. И второ, може да отключи значителни възможности за растеж.