Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetimi Nedir?

SOC 2, bir hizmet kuruluşunun güvenlik, erişilebilirlik, işlem bütünlüğü, gizlilik ve mahremiyet kriterlerine (Trust Services Criteria) ilişkin kontrollerini değerlendiren bağımsız güvence raporudur. SOC 1'den farkı odaktır: SOC 1 finansal raporlamayı, SOC 2 bilgi güvenliğini ve hizmet güvenilirliğini ele alır. Yine bir sertifika değil, denetçi raporudur.

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetimi Kimler İçin Gereklidir?

SaaS ve bulut hizmet sağlayıcıları
Veri merkezi ve altyapı hizmeti verenler
Kurumsal müşterilerin güvenlik değerlendirmesine giren teknoloji şirketleri
Kuzey Amerika pazarına hizmet satan yazılım firmaları

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetimi Zorunlu mu?

Zorunlu değildir; kurumsal müşteri talebiyle alınır. Kuzey Amerika pazarında SOC 2 Tip II raporu, satış sürecinde neredeyse standart bir belge hâline gelmiştir; Avrupa'da ise ISO/IEC 27001 belgesi daha yaygın istenir.

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetiminin Kapsamı

Güvenlik (Security) — tüm SOC 2 raporlarında zorunlu ortak kriter
Erişilebilirlik (Availability) — isteğe bağlı
İşlem bütünlüğü (Processing Integrity) — isteğe bağlı
Gizlilik (Confidentiality) — isteğe bağlı
Mahremiyet (Privacy) — isteğe bağlı
COSO çerçevesine dayalı ortak kriterler (CC serisi): kontrol ortamı, iletişim, risk değerlendirmesi, izleme, kontrol faaliyetleri, mantıksal ve fiziksel erişim, sistem operasyonları, değişiklik yönetimi, risk azaltma
Sistem tanımı ve kapsam sınırları
Tip I ve Tip II ayrımı
Alt hizmet kuruluşlarının ele alınması
Tamamlayıcı kullanıcı kuruluş kontrolleri

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetim Süreci

1Kapsam ve Program BelirlenmesiDenetlenecek sahalar, süreçler ve şemanın gerektirdiği denetim günü belirlenir.
2Ön Değerlendirmeİsteğe bağlı olarak boşluk analizi yapılır; asıl denetim öncesi eksikler görünür hâle gelir.
3Saha DenetimiŞemanın soru listesi üzerinden kayıt incelemesi, saha gözlemi ve çalışan görüşmeleri yapılır.
4Bulguların RaporlanmasıBulgular şemanın sınıflandırmasına göre raporlanır. Bu şemaların çıktısı belge değil, denetim raporudur.
5Düzeltici Faaliyet ve TakipBulgular için düzeltici faaliyet planı sunulur; şemaya göre takip denetimiyle kapatılır.

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Raporunun Geçerlilik Süresi

Denetim raporlarının geçerlilik süresi şemaya göre belirlenir ve çoğunlukla bir ile iki yıl arasındadır. Rapor, alıcı markanın kabul ettiği süre boyunca kullanılır.

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) İçin Gerekli Belgeler

Kuruluş ve saha bilgileri
Çalışan sayısı ve vardiya düzeni
Yasal izin ve ruhsatlar
İlgili politika ve prosedürler
Bordro, mesai ve personel kayıtları

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Denetim Maliyeti

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

Denetlenecek saha sayısı ve çalışan sayısı
Şemanın öngördüğü denetim günü
Ön değerlendirme (boşluk analizi) istenip istenmediği
Takip denetimi gerekip gerekmediği

Akreditasyon

Bu şemaların çoğu belge değil denetim raporu üretir ve şema sahibinin (ör. Sedex, amfori, RBA) kendi onay sistemine tabidir; klasik anlamda akreditasyon her şemada bulunmaz. Denetçi yetkinliği ve rapor geçerliliği şema sahibinin kurallarına göre belirlenir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

Kapsam ve yetkiler

İlgili Belgelendirmeler

Hizmet Kuruluşu Güven Kontrolleri (SOC 2) Hakkında Sık Sorulan Sorular

SOC 2 ile ISO/IEC 27001 arasında hangisini seçmeliyim?

Pazarınıza bağlıdır. Kuzey Amerika müşterileri çoğunlukla SOC 2 Tip II, Avrupa ve Asya müşterileri ise ISO/IEC 27001 ister. İkisinin kontrol kümesi büyük ölçüde örtüştüğü için birini kurmuş olmak diğerinin yükünü belirgin biçimde azaltır; birçok şirket ikisini birlikte yürütür.

SOC 2 raporu ne kadar geçerlidir?

Rapor belirli bir denetim dönemini kapsar. Müşteriler genellikle son 12 ayı kapsayan güncel bir rapor bekler; bu nedenle uygulamada yıllık olarak yenilenir. Dönemler arasında boşluk kalırsa müşteriler ara dönem için köprü mektubu (bridge letter) isteyebilir.

Beş kriterin hepsini kapsama almalı mıyım?

Hayır. Güvenlik kriteri zorunludur; diğerleri hizmetinizin niteliğine ve müşteri beklentisine göre seçilir. Gereksiz kriter eklemek denetim kapsamını ve maliyeti artırır.