این گواهی چیست؟
SOC 2 یک گزارش تضمینی مستقل است که کنترل های یک سازمان خدماتی را در برابر معیارهای خدمات اعتماد - امنیت، در دسترس بودن، یکپارچگی پردازش، محرمانه بودن و حریم خصوصی ارزیابی می کند. تفاوت آن با SOC 1 تمرکز است: SOC 1 به گزارشگری مالی می پردازد، SOC 2 به امنیت اطلاعات و قابلیت اطمینان خدمات می پردازد. باز هم گزارش حسابرس است نه گواهی.
برای چه کسانی لازم است؟
- SaaS و ارائه دهندگان خدمات ابری
- ارائه دهندگان خدمات مرکز داده و زیرساخت
- شرکت های فناوری در محدوده ارزیابی امنیتی یک مشتری سازمانی هستند
- شرکت های نرم افزاری که خدمات را به بازار آمریکای شمالی می فروشند
آیا اجباری است؟
اجباری نیست؛ به درخواست مشتری سازمانی به دست می آید. در بازار آمریکای شمالی، گزارش SOC 2 Type II تقریباً به یک الزام استاندارد در فرآیند فروش تبدیل شده است. در اروپا، گواهی ISO/IEC 27001 بیشتر درخواست می شود.
دامنه استاندارد
- امنیت — معیار مشترک اجباری در هر گزارش SOC 2
- در دسترس بودن — اختیاری
- یکپارچگی پردازش — اختیاری است
- محرمانه بودن — اختیاری
- حریم خصوصی — اختیاری
- معیارهای مشترک بر اساس چارچوب COSO (سری CC): محیط کنترل، ارتباطات، ارزیابی ریسک، نظارت، فعالیت های کنترل، دسترسی منطقی و فیزیکی، عملیات سیستم، مدیریت تغییر، کاهش ریسک
- شرح سیستم و محدوده محدوده
- تمایز نوع I / نوع II
- برخورد با سازمان های فرعی
- کنترل های موجودیت کاربر مکمل
فرآیند صدور گواهی
- 1تعیین محدوده و برنامهمکان ها و فرآیندهای مورد ممیزی و مدت زمان ممیزی مورد نیاز طرح تعیین می شود.
- 2پیش ارزیابیتجزیه و تحلیل شکاف به صورت اختیاری انجام می شود. شکاف ها قبل از حسابرسی اصلی قابل مشاهده است.
- 3ممیزی در محلبررسی سوابق، مشاهده سایت و مصاحبه با کارگران بر اساس چک لیست طرح انجام می شود.
- 4گزارش یافته‌هایافته ها بر اساس طبقه بندی طرح گزارش می شوند. خروجی این طرح ها یک گزارش حسابرسی است نه گواهی.
- 5اقدام اصلاحی و پیگیرییک برنامه اقدام اصلاحی برای یافته ها ارائه می شود. با ممیزی بعدی تحت این طرح بسته شده است.
مدت اعتبار
مدت اعتبار گزارش های حسابرسی توسط این طرح تعیین می شود و بیشتر بین یک تا دو سال است. گزارش برای دوره ای که برند خریدار می پذیرد استفاده می شود.
مدارک لازم
- جزئیات سازمان و سایت
- تعداد کار و الگوی شیفت
- مجوزها و مجوزهای قانونی
- سیاست ها و رویه های مربوطه
- سوابق حقوق، زمان و پرسنل
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد سایت هایی که باید ممیزی شوند و تعداد کارمندان
- مدت ممیزی که طرح تعیین می کند
- اینکه آیا یک پیش ارزیابی (تحلیل شکاف) درخواست شده است یا خیر
- اینکه آیا یک ممیزی بعدی مورد نیاز است یا خیر
اعتباربخشی
اکثر این طرح‌ها گزارش‌های حسابرسی تولید می‌کنند، نه اسناد، و مشمول سیستم تأیید مالک طرح (مانند Sedex، amfori، RBA) هستند. اعتباربخشی به معنای کلاسیک در هر طرحی یافت نمی شود. صلاحیت حسابرس و اعتبار گزارش توسط قوانین مالک طرح تعیین می شود.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
آیا باید SOC 2 یا ISO/IEC 27001 را انتخاب کنم؟
بستگی به بازار شما دارد. مشتریان آمریکای شمالی بیشتر درخواست SOC 2 نوع II دارند، در حالی که مشتریان اروپایی و آسیایی درخواست ISO/IEC 27001 را دارند. بسیاری از شرکت ها هر دو را با هم اداره می کنند.
گزارش SOC 2 چه مدت اعتبار دارد؟
این گزارش یک دوره حسابرسی خاص را پوشش می دهد. مشتریان عموماً انتظار دارند که یک گزارش جاری در 12 ماه گذشته ارائه شود، بنابراین در عمل هر سال تمدید می شود. اگر بین دوره‌ها فاصله‌ای باقی بماند، مشتریان می‌توانند برای دوره‌های زمانی موقت درخواست پل نامه بدهند.
آیا لازم است هر پنج معیار را در محدوده قرار دهم؟
خیر. معیار امنیتی اجباری است. بقیه با توجه به ماهیت خدمات شما و انتظارات مشتری انتخاب می شوند. افزودن معیارهای غیر ضروری دامنه و هزینه حسابرسی را افزایش می دهد.