SOC 2 Type I
Оценява дали контролите са подходящо проектирани към определена дата.
Показва как е изградена контролната среда към този момент.
SOC 2 · TYPE I · TYPE II
SOC 2: от първата оценка до одиторския доклад.
Поемаме подготовката от край до край: обхват, контроли, политики, доказателства и работа с независим одитор. Вашият екип запазва фокус върху бизнеса си.
ОСНОВИТЕ
Какво е SOC 2?
SOC 2 е одиторски доклад за контролите на организация, която предоставя услуги. Той помага на клиенти и партньори да разберат как организацията управлява сигурността и други поети ангажименти за своите системи и данни. Критериите се определят от AICPA и обхващат пет области, избрани според услугата и целта на одита.
Изразът „SOC 2 сертификат“ е разпространен, но по-точният термин е доклад от независим одитор. Докладът описва конкретен обхват и одиторско мнение. Ние подготвяме организацията и водим проекта; одиторът извършва независимата проверка и издава доклада.
Официално ръководство на AICPAИЗБОР НА ДОКЛАД
Type I или Type II?
И двата типа разглеждат описаните системи и контроли. Разликата е във времевия поглед на независимия одитор.
SOC 2 Type II
Оценява дизайна и ефективното действие на контролите през определен период.
Изисква последователно изпълнение и доказателства през периода.
Избираме посоката според клиентските изисквания, зрелостта на процесите и графика на независимия одитор. Не обещаваме фиксиран срок или одиторско мнение преди оценка.
TRUST SERVICES CRITERIA
Пет области. Един ясен обхват.
Критериите за доверени услуги включват сигурност, наличност, цялост на обработката, поверителност и лични данни. Конкретните области се определят за съответната услуга и ангажимент.
01
Сигурност
Защита на системи и информация от неоторизиран достъп.
02
Наличност
Системите работят съгласно заявените ангажименти.
03
Цялост на обработката
Обработката е пълна, валидна, точна и навременна.
04
Поверителност
Информацията, определена като поверителна, се защитава.
05
Лични данни
Личната информация се обработва според заявените ангажименти.
Източник: AICPA Trust Services Criteria.
КАК ПОМАГАМЕ
Водим целия цикъл по подготовката.
Един отговорен екип свързва изискванията, реалните процеси и работата на одитора. На всяка стъпка оставяме конкретен резултат, който можете да използвате и след доклада.
Обхват и план
Уточняваме услугите, системите, данните, подизпълнителите и критериите в обхвата. Подготвяме описание на системата, роли, график и карта на контролите.
Резултат: ясен обхват и план за работаОценка на пропуските
Преглеждаме текущите политики, достъп, промени, логове, реакция при инциденти и доставчици. Подреждаме липсите по риск, усилие и зависимост.
Резултат: приоритетен план за корекцииКонтроли и документи
Изграждаме и внедряваме приложимите процеси, политики и технически контроли заедно с екипа ви. Всеки контрол има отговорник, честота и проверимо доказателство.
Резултат: работещи контроли, не само документиРабота и доказателства
Организираме събирането на записи от реалната работа: прегледи на достъп, промени, обучения, резервни копия, инциденти и други доказателства според обхвата.
Резултат: подреден пакет с проследим произходПроверка за готовност
Проверяваме дали описаните контроли действително се изпълняват и дали доказателствата покриват очаквания период. Затваряме пропуските преди одиторските тестове.
Резултат: ясна картина преди независимия одитОдит и следващ цикъл
Помагаме при избора и координацията с независим одитор, управляваме заявките за доказателства и отговорите на въпроси. След доклада планираме поддръжката на контролите.
Резултат: организиран одит и план за устойчивостКой носи отговорност? Ние можем да организираме и изпълним подготовката. Вашето ръководство утвърждава политиките и твърденията за собствената организация; независимият одитор извършва проверката и определя мнението в доклада.
ЗА КОГО Е
Когато клиентите искат проверимо доверие.
SOC 2 е особено полезен за SaaS и облачни доставчици, управлявани услуги и организации, които обработват данни или поддържат критични процеси за други компании. Често въпросът идва при продажби към големи клиенти или при оценка на доставчик.
Началната стъпка е разговор за вашата услуга и клиентските изисквания. От него определяме дали SOC 2 е подходящ, какъв обхват има смисъл и какво трябва да се промени.
ПЪРВА СТЪПКА
Разберете къде сте днес.
Ще прегледаме услугите, инфраструктурата, наличните политики и изискванията на клиентите ви. След това ще предложим обхват, етапи и реалистичен график.
Заявете първоначален разговорЧЕСТИ ВЪПРОСИ
SOC 2 без неясни обещания.
Най-важното за доклада, времето и ролята на независимия одитор.
SOC 2 сертификат ли е?
В разговорната реч често се нарича „SOC 2 сертификат“, но крайният документ е одиторски доклад с мнение за определен обхват и критерии. Издава го независим одитор, а не консултантът, който подготвя организацията.
Каква е разликата между SOC 2 Type I и Type II?
Type I оценява дизайна на контролите към конкретна дата. Type II разглежда и дали контролите са работили ефективно през определен период. Подходящият тип и период се уточняват според изискванията на клиентите и плана за одит.
Колко време отнема подготовката?
Зависи от текущата зрялост, броя системи, нужните корекции и избрания тип доклад. При Type II трябва да има и период на действителна работа на контролите. След първоначална оценка даваме реалистичен график за вашия обхват.
Може ли Инфосек Груп да поеме целия процес?
Да. Можем да водим подготовката от първоначалния обхват през контролите и доказателствата до координацията с независим одитор. Ръководството на вашата организация запазва отговорността за собствените си системи, твърдения и одобрения, а одиторът взема независимото решение за доклада.
SOC 2 същото ли е като център за операции по сигурността (SOC)?
Не. SOC 2 е рамка за независим одиторски доклад за контроли в организация, която предоставя услуги. Security Operations Center (SOC) е екип и процес за наблюдение и реакция при заплахи. Една действаща SOC услуга може да подпомогне част от контролите и доказателствата, когато е в обхвата.
ГОТОВИ ЗА СЛЕДВАЩАТА СТЪПКА?