Τι είναι το πιστοποιητικό;

Το SOC 2 είναι μια ανεξάρτητη έκθεση διασφάλισης που αξιολογεί τους ελέγχους ενός οργανισμού παροχής υπηρεσιών σε σχέση με τα Κριτήρια Υπηρεσιών Εμπιστοσύνης — ασφάλεια, διαθεσιμότητα, ακεραιότητα επεξεργασίας, εμπιστευτικότητα και απόρρητο. Η διαφορά του από το SOC 1 είναι η εστίαση: το SOC 1 αφορά τις οικονομικές αναφορές, το SOC 2 αντιμετωπίζει την ασφάλεια των πληροφοριών και την αξιοπιστία των υπηρεσιών. Και πάλι είναι έκθεση ελεγκτή, όχι πιστοποιητικό.

Ποιοι το χρειάζονται;

SaaS και πάροχοι υπηρεσιών cloud
Πάροχοι υπηρεσιών κέντρων δεδομένων και υποδομών
Εταιρείες τεχνολογίας εντός του πεδίου εφαρμογής της αξιολόγησης ασφάλειας ενός εταιρικού πελάτη
Εταιρείες λογισμικού που πωλούν υπηρεσίες στην αγορά της Βόρειας Αμερικής

Είναι υποχρεωτικό;

Δεν είναι υποχρεωτικό. λαμβάνεται κατόπιν αιτήματος εταιρικού πελάτη. Στην αγορά της Βόρειας Αμερικής, η αναφορά SOC 2 Type II έχει γίνει σχεδόν τυπική απαίτηση στη διαδικασία πωλήσεων. στην Ευρώπη, ζητείται πιο συχνά πιστοποιητικό ISO/IEC 27001.

Πεδίο εφαρμογής του προτύπου

Ασφάλεια — το υποχρεωτικό κοινό κριτήριο σε κάθε έκθεση SOC 2
Διαθεσιμότητα — προαιρετική
Ακεραιότητα επεξεργασίας — προαιρετικό
Εμπιστευτικότητα — προαιρετικό
Απόρρητο — προαιρετικό
Κοινά κριτήρια που βασίζονται στο πλαίσιο COSO (η σειρά CC): περιβάλλον ελέγχου, επικοινωνία, αξιολόγηση κινδύνου, παρακολούθηση, δραστηριότητες ελέγχου, λογική και φυσική πρόσβαση, λειτουργίες συστήματος, διαχείριση αλλαγών, μετριασμός κινδύνου
Η περιγραφή του συστήματος και τα όρια εμβέλειας
Η διάκριση Τύπου Ι / Τύπου ΙΙ
Αντιμετώπιση υπουπηρεσιακών οργανισμών
Συμπληρωματικά στοιχεία ελέγχου οντοτήτων χρήστη

Διαδικασία πιστοποίησης

1Καθορισμός Πεδίου και ΠρογράμματοςΚαθορίζονται οι τοποθεσίες και οι διαδικασίες που θα ελεγχθούν και η διάρκεια ελέγχου που απαιτεί το σύστημα.
2προαξιολόγησηΠροαιρετικά πραγματοποιείται ανάλυση χάσματος. τα κενά γίνονται ορατά πριν από τον κύριο έλεγχο.
3Επιτόπιος έλεγχοςΗ ανασκόπηση των αρχείων, η παρατήρηση του χώρου και οι συνεντεύξεις εργαζομένων πραγματοποιούνται βάσει της λίστας ελέγχου του συστήματος.
4Αναφορά των ευρημάτωνΤα ευρήματα αναφέρονται σύμφωνα με την ταξινόμηση του συστήματος. Το αποτέλεσμα αυτών των συστημάτων είναι μια έκθεση ελέγχου, όχι ένα πιστοποιητικό.
5Διορθωτικές ενέργειες και παρακολούθησηΥποβάλλεται σχέδιο διορθωτικής δράσης για τα πορίσματα. κλείνει με έλεγχο παρακολούθησης στο πλαίσιο του καθεστώτος.

Διάρκεια ισχύος

Η περίοδος ισχύος των εκθέσεων ελέγχου καθορίζεται από το σύστημα και είναι κυρίως μεταξύ ενός και δύο ετών. Η αναφορά χρησιμοποιείται για την περίοδο αποδοχής της επωνυμίας αγοράς.

Απαιτούμενα έγγραφα

Στοιχεία οργάνωσης και τοποθεσίας
Αριθμός προσωπικού και μοτίβο βάρδιας
Νόμιμες άδειες και άδειες
Σχετικές πολιτικές και διαδικασίες
Μητρώα μισθοδοσίας, χρόνου και προσωπικού

Κόστος πιστοποίησης

Δεν υπάρχει σταθερή τιμή καταλόγου· το κόστος υπολογίζεται βάσει των παρακάτω μεταβλητών και παρέχεται γραπτώς στην προσφορά.

Ο αριθμός των τοποθεσιών που θα ελεγχθούν και ο αριθμός των ατόμων
Η διάρκεια του ελέγχου που ορίζει το σχέδιο
Εάν ζητείται προαξιολόγηση (ανάλυση κενών).
Εάν απαιτείται έλεγχος παρακολούθησης

Διαπίστευση

Τα περισσότερα από αυτά τα συστήματα παράγουν εκθέσεις ελέγχου, όχι έγγραφα, και υπόκεινται στο σύστημα έγκρισης του κατόχου του συστήματος (π.χ. Sedex, amfori, RBA). Η διαπίστευση με την κλασική έννοια δεν συναντάται σε κάθε σύστημα. Η ικανότητα του ελεγκτή και η εγκυρότητα της έκθεσης καθορίζονται από τους κανόνες του κατόχου του συστήματος.

Το πεδίο εφαρμογής στο οποίο μπορεί να προσφερθεί αυτό το σχήμα ποικίλλει ανάλογα με το προϊόν και τη δραστηριότητά σας· επιβεβαιώνεται γραπτώς στο στάδιο της προσφοράς.

Πεδίο εφαρμογής και εξουσιοδοτήσεις

Σχετικές πιστοποιήσεις

Συχνές ερωτήσεις

Πρέπει να επιλέξω SOC 2 ή ISO/IEC 27001;

Εξαρτάται από την αγορά σας. Οι πελάτες της Βόρειας Αμερικής ζητούν ως επί το πλείστον SOC 2 Type II, ενώ οι Ευρωπαίοι και οι Ασιάτες πελάτες ζητούν ISO/IEC 27001. Επειδή τα σετ ελέγχου τους επικαλύπτονται σημαντικά, η τοποθέτηση του ενός μειώνει σημαντικά την επιβάρυνση του άλλου. πολλές εταιρείες λειτουργούν και τα δύο μαζί.

Πόσο καιρό είναι έγκυρη μια αναφορά SOC 2;

Η έκθεση καλύπτει μια συγκεκριμένη περίοδο ελέγχου. Οι πελάτες γενικά αναμένουν μια τρέχουσα αναφορά που καλύπτει τους τελευταίους 12 μήνες, επομένως στην πράξη ανανεώνεται ετησίως. Εάν παραμένει κενό μεταξύ των περιόδων, οι πελάτες μπορούν να ζητήσουν μια επιστολή γέφυρας για το ενδιάμεσο.

Πρέπει να συμπεριλάβω και τα πέντε κριτήρια;

Όχι. Το κριτήριο ασφαλείας είναι υποχρεωτικό. τα άλλα επιλέγονται σύμφωνα με τη φύση της υπηρεσίας σας και τις προσδοκίες των πελατών. Η προσθήκη περιττών κριτηρίων αυξάνει το εύρος και το κόστος του ελέγχου.

Έλεγχοι εμπιστοσύνης οργανισμών υπηρεσιών (SOC 2)