Che cos'è il certificato?

SOC 2 è un rapporto di garanzia indipendente che valuta i controlli di un'organizzazione di servizi rispetto ai criteri dei servizi fiduciari: sicurezza, disponibilità, integrità del trattamento, riservatezza e privacy. La differenza rispetto a SOC 1 è la focalizzazione: SOC 1 si occupa del reporting finanziario, SOC 2 si occupa della sicurezza delle informazioni e dell'affidabilità del servizio. Si tratta ancora una volta di una relazione di revisione, non di un certificato.

A chi serve?

SaaS e fornitori di servizi cloud
Fornitori di servizi di data center e infrastrutture
Aziende tecnologiche nell'ambito della valutazione della sicurezza di un cliente aziendale
Aziende di software che vendono servizi nel mercato nordamericano

È obbligatorio?

Non obbligatorio; viene ottenuto su richiesta di un cliente aziendale. Nel mercato nordamericano, un report SOC 2 Tipo II è diventato quasi un requisito standard nel processo di vendita; in Europa è più comunemente richiesto il certificato ISO/IEC 27001.

Campo di applicazione della norma

Sicurezza — il criterio comune obbligatorio in ogni report SOC 2
Disponibilità — facoltativa
Integrità dell'elaborazione — facoltativa
Riservatezza — facoltativa
Privacy — facoltativo
Criteri comuni basati sul framework COSO (serie CC): ambiente di controllo, comunicazione, valutazione del rischio, monitoraggio, attività di controllo, accesso logico e fisico, operazioni di sistema, gestione del cambiamento, mitigazione del rischio
La descrizione del sistema e i confini dell'ambito
La distinzione Tipo I/Tipo II
Trattamento delle organizzazioni di subservizi
Controlli complementari delle entità utente

Processo di certificazione

1Determinazione dell'ambito e del programmaVengono determinati i siti e i processi da sottoporre ad audit e la durata dell'audit richiesta dallo schema.
2Pre-valutazioneFacoltativamente viene effettuata un'analisi delle lacune; le lacune diventano visibili prima dell’audit principale.
3Audit in sitoL'esame dei registri, l'osservazione del sito e le interviste ai lavoratori vengono effettuati rispetto alla lista di controllo del programma.
4Rendicontazione dei rilieviI risultati sono riportati in base alla classificazione dello schema. Il risultato di questi schemi è un rapporto di audit, non un certificato.
5Azioni correttive e follow-upViene presentato un piano di azioni correttive per i risultati; si conclude con un audit di follow-up nell'ambito del programma.

Periodo di validità

Il periodo di validità delle relazioni di audit è stabilito dal sistema ed è generalmente compreso tra uno e due anni. Il report viene utilizzato per il periodo accettato dal marchio acquirente.

Documenti richiesti

Organizzazione e dettagli del sito
Organico e schema dei turni
Autorizzazioni e licenze legali
Politiche e procedure pertinenti
Registri delle buste paga, degli orari e del personale

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di siti da sottoporre ad audit e l'organico
La durata dell'audit prescritta dallo schema
Se è richiesta una pre-valutazione (gap analysis).
Se è necessario un audit di follow-up

Accreditamento

La maggior parte di questi schemi producono rapporti di audit, non documenti, e sono soggetti al sistema di approvazione del proprietario dello schema (ad esempio Sedex, amfori, RBA); L'accreditamento nel senso classico non si trova in ogni schema. La competenza del revisore e la validità del rapporto sono determinate dalle regole del proprietario dello schema.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Dovrei scegliere SOC 2 o ISO/IEC 27001?

Dipende dal tuo mercato. I clienti nordamericani richiedono principalmente SOC 2 Tipo II, mentre i clienti europei e asiatici richiedono ISO/IEC 27001. Poiché i loro set di controlli si sovrappongono sostanzialmente, averne uno in atto riduce notevolmente l'onere dell'altro; molte aziende le gestiscono entrambe insieme.

Per quanto tempo è valido un report SOC 2?

La relazione copre uno specifico periodo di audit. I clienti generalmente si aspettano un report aggiornato che copra gli ultimi 12 mesi, quindi in pratica viene rinnovato ogni anno. Se rimane un intervallo tra i periodi, i clienti possono richiedere una lettera ponte per il periodo intermedio.

Devo includere tutti e cinque i criteri nel campo di applicazione?

No. Il criterio di sicurezza è obbligatorio; gli altri vengono selezionati in base alla natura del servizio e alle aspettative del cliente. L'aggiunta di criteri non necessari aumenta la portata e i costi dell'audit.

Controlli di affidabilità delle organizzazioni di servizi (SOC 2)