ما هي الشهادة؟
SOC 2 هو تقرير ضمان مستقل يقيم ضوابط مؤسسة الخدمة مقابل معايير خدمات الثقة - الأمان والتوافر وسلامة المعالجة والسرية والخصوصية. ويكمن الاختلاف بينه وبين SOC 1 في التركيز: حيث يتناول SOC 1 إعداد التقارير المالية، ويتناول SOC 2 أمن المعلومات وموثوقية الخدمة. وهو مرة أخرى تقرير مدقق حسابات، وليس شهادة.
لمن هو مطلوب؟
- SaaS ومقدمي الخدمات السحابية
- مراكز البيانات ومقدمي خدمات البنية التحتية
- شركات التكنولوجيا ضمن نطاق التقييم الأمني لعملاء المؤسسة
- شركات البرمجيات تبيع الخدمات في سوق أمريكا الشمالية
هل هو إلزامي؟
ليس إلزاميا؛ ويتم الحصول عليه بناءً على طلب عميل المؤسسة. في سوق أمريكا الشمالية، أصبح تقرير SOC 2 Type II متطلبًا قياسيًا تقريبًا في عملية المبيعات؛ وفي أوروبا، يُطلب الحصول على شهادة ISO/IEC 27001 بشكل أكثر شيوعًا.
نطاق المواصفة
- الأمان — المعيار المشترك الإلزامي في كل تقرير SOC 2
- التوفر — اختياري
- سلامة المعالجة — اختياري
- السرية — اختيارية
- الخصوصية — اختيارية
- المعايير المشتركة المستندة إلى إطار عمل COSO (سلسلة CC): بيئة الرقابة، والاتصالات، وتقييم المخاطر، والرصد، وأنشطة الرقابة، والوصول المنطقي والمادي، وعمليات النظام، وإدارة التغيير، وتخفيف المخاطر
- وصف النظام وحدود النطاق
- التمييز من النوع الأول/النوع الثاني
- معاملة المنظمات الخدمية
- ضوابط كيان المستخدم التكميلية
عملية منح الشهادة
- 1تحديد النطاق والبرنامجيتم تحديد المواقع والعمليات المطلوب تدقيقها، ومدة التدقيق التي يتطلبها النظام.
- 2التقييم المسبقيتم إجراء تحليل الفجوات بشكل اختياري؛ تصبح الفجوات واضحة قبل التدقيق الرئيسي.
- 3التدقيق الميدانييتم إجراء مراجعة السجلات ومراقبة الموقع وإجراء مقابلات مع العمال وفقًا لقائمة المراجعة الخاصة بالمخطط.
- 4الإبلاغ عن النتائجيتم الإبلاغ عن النتائج وفقًا لتصنيف المخطط. وتكون مخرجات هذه المخططات عبارة عن تقرير تدقيق، وليس شهادة.
- 5الإجراء التصحيحي والمتابعةيتم تقديم خطة عمل تصحيحية للنتائج. يتم إغلاقه مع متابعة التدقيق بموجب المخطط.
مدة الصلاحية
يتم تحديد فترة صلاحية تقارير التدقيق من قبل النظام وتتراوح في الغالب بين سنة وسنتين. يتم استخدام التقرير للفترة التي تقبلها العلامة التجارية المشترية.
المستندات المطلوبة
- تفاصيل التنظيم والموقع
- عدد الموظفين ونمط التحول
- التصاريح والتراخيص القانونية
- السياسات والإجراءات ذات الصلة
- كشوف المرتبات والوقت وسجلات الموظفين
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد المواقع المراد تدقيقها وعدد الموظفين
- مدة التدقيق التي يحددها المخطط
- ما إذا كان مطلوبًا إجراء تقييم مسبق (تحليل الفجوات).
- ما إذا كانت هناك حاجة إلى تدقيق المتابعة
الاعتماد
تنتج معظم هذه المخططات تقارير تدقيق، وليس مستندات، وتخضع لنظام الموافقة الخاص بمالك المخطط (مثل Sedex، وamfori، وRBA)؛ الاعتماد بالمعنى الكلاسيكي غير موجود في كل مخطط. يتم تحديد كفاءة المدقق وصحة التقرير من خلال قواعد مالك المخطط.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
هل يجب أن أختار SOC 2 أو ISO/IEC 27001؟
ذلك يعتمد على السوق الخاص بك. يطلب عملاء أمريكا الشمالية في الغالب SOC 2 Type II، في حين يطلب العملاء الأوروبيون والآسيويون ISO/IEC 27001. ونظرًا لأن مجموعات التحكم الخاصة بهم تتداخل بشكل كبير، فإن وجود واحدة في مكانها يقلل بشكل ملحوظ من عبء الآخر؛ تعمل العديد من الشركات معًا.
ما هي مدة صلاحية تقرير SOC 2؟
ويغطي التقرير فترة تدقيق محددة. يتوقع العملاء عمومًا أن يكون التقرير الحالي يغطي آخر 12 شهرًا، لذلك يتم تجديده سنويًا عمليًا. إذا ظلت هناك فجوة بين الفترات، فقد يطلب العملاء خطابًا مؤقتًا للفترة المؤقتة.
هل أحتاج إلى وضع جميع المعايير الخمسة في نطاقها؟
لا، معيار الأمان إلزامي. ويتم اختيار الآخرين وفقًا لطبيعة خدمتك وتوقعات العملاء. تؤدي إضافة معايير غير ضرورية إلى زيادة نطاق التدقيق وتكلفته.