Контроли доверия сервисных организаций (SOC 2)

SOC 2 — это независимый отчет о подтверждении качества, в котором оцениваются средства контроля обслуживающей организации на соответствие критериям доверительных служб — безопасности, доступности, целостности обработки, конфиденциальности и конфиденциальности. Его отличие от SOC 1 заключается в направленности: SOC 1 касается финансовой отчетности, SOC 2 — информационной безопасности и надежности услуг. Это опять-таки аудиторский отчет, а не сертификат.

• Поставщики SaaS и облачных услуг
• Поставщики услуг центров обработки данных и инфраструктуры
• Технологические компании в рамках оценки безопасности корпоративного клиента
• Фирмы-разработчики программного обеспечения, продающие услуги на рынке Северной Америки.

Не обязательно; получается по запросу предприятия-заказчика. На рынке Северной Америки отчет SOC 2 Type II стал почти стандартным требованием в процессе продаж; в Европе чаще запрашивают сертификат ISO/IEC 27001.

• Безопасность — обязательный общий критерий в каждом отчете SOC 2.
• Наличие — опционально
• Целостность обработки — опционально
• Конфиденциальность — по желанию
• Конфиденциальность — необязательно
• Общие критерии, основанные на структуре COSO (серия CC): среда контроля, коммуникация, оценка рисков, мониторинг, контрольные действия, логический и физический доступ, системные операции, управление изменениями, снижение рисков.
• Описание системы и границы области применения
• Различие типа I и типа II
• Учет субсервисных организаций
• Дополнительные элементы управления объектами пользователя

1. 1Определение объема и программыОпределяются площадки и процессы, подлежащие аудиту, а также продолжительность аудита, требуемая схемой.
2. 2Предварительная оценкаФакультативно проводится анализ пробелов; пробелы становятся видимыми еще до проведения основного аудита.
3. 3Аудит на площадкеПроверка записей, наблюдение за объектом и собеседования с работниками проводятся в соответствии с контрольным списком схемы.
4. 4Отчётность о выявленных фактахРезультаты сообщаются в соответствии с классификацией схемы. Результатом этих схем является аудиторский отчет, а не сертификат.
5. 5Корректирующие действия и контрольПо результатам проверки представляется план корректирующих действий; он закрывается с последующей проверкой согласно схеме.

Срок действия аудиторских отчетов установлен схемой и обычно составляет от одного до двух лет. Отчет используется за период, который принимает покупательный бренд.

• Подробности об организации и сайте
• Численность и график сменности
• Юридические разрешения и лицензии
• Соответствующие политики и процедуры
• Заработная плата, учет рабочего времени и кадровый учет

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

• Количество проверяемых объектов и численность персонала
• Продолжительность проверки, предусмотренная схемой
• Требуется ли предварительная оценка (анализ пробелов)
• Требуется ли повторный аудит

Большинство этих схем составляют аудиторские отчеты, а не документы, и подлежат собственной системе одобрения владельца схемы (например, Sedex, amfori, RBA); Аккредитация в классическом понимании присутствует не во всех схемах. Компетентность аудитора и достоверность отчета определяются правилами владельца схемы.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

• SOC 1Средства контроля финансовой отчетности
• PCI DSSБезопасность данных платежной карты
• TISAXОценка автомобильной информационной безопасности
• ISO/IEC 27001Управление информационной безопасностью
• ISO/IEC 27017Облачная безопасность
• ISO/IEC 27018Персональные данные в облаке
• ISO/IEC 27701Управление конфиденциальной информацией
• ISO/IEC 42001Система управления искусственным интеллектом