De fem kriterier
SOC 2 er opbygget omkring kriterierne for tillidstjenester: sikkerhed (som kræves i alle rapporter), tilgængelighed, behandlingsintegritet, fortrolighed og privatliv. Et spørgeskema formet efter SOC 2 følger de samme fem overskrifter. Sikkerhed spørger ind til hele kontrolmiljøet: ledelse, risiko, adgang, ændringer, overvågning og hændelseshåndtering. Tilgængelighed spørger ind til kapacitet, sikkerhedskopier, kontinuitet og mål for gendannelse. Behandlingsintegritet spørger, om systemet gør det, det siger, fuldstændigt og korrekt. Fortrolighed spørger, hvordan fortrolige oplysninger identificeres og beskyttes. Privatliv spørger ind til persondata: oplysning, valg, opbevaring og sletning.
Hvis du har en rapport
Send den under NDA, med et bridge letter, hvis rapportperioden sluttede for mere end nogle få måneder siden. Vær klar til spørgsmål om de undtagelser, revisoren har noteret, de supplerende kontroller hos brugervirksomheden, altså de ting rapporten forudsætter, at kunden gør, og de underleverandørorganisationer, der er holdt uden for rapporten, typisk din hostingudbyder. Et spørgeskema, der kommer sammen med en rapportanmodning, er som regel kort. Besvar de rækker, rapporten ikke dækker, og henvis til rapportafsnittet for resten.
Hvis du ikke
Svar efter kriterium. For sikkerhed er svarene de samme, som alle spørgeskemaer spørger efter: adgangskontrol, ændringsstyring, sårbarhedsstyring, logning, hændelsesrespons, med ejere, frekvenser og dokumentation. For tilgængelighed skal du angive dine mål for genopretning, tidsplan for backup og datoen for seneste gendannelsestest. For fortrolighed: klassifikationsmodellen og den kryptering, der er på plads. For privatliv: DPA'en, listen over underdatabehandlere og reglerne for opbevaring. En leverandør uden en rapport, men med specifikke svar og dokumentation, accepteres af de fleste kunder; rapporten bliver investeringen værd, når det samme spørgeskema kommer hver uge.
De svar, der overlapper med ISO 27001
Det meste af sikkerhedskriteriet overlapper med ISO 27001's Annex A. Hvis du beholder ét godkendt svar pr. kontrol, tjener de samme svar både et SOC 2-spørgeskema og et ISO-spørgeskema; kun overskrifterne er forskellige. Responsemate udarbejder et spørgeskema i begge former fra det samme bibliotek og viser på hver række, hvilken post den brugte. Spørgeskemaer i Responsemate.
Spørgsmål, folk stiller
Hvad er forskellen på SOC 2 Type I og Type II?
En Type I-rapport beskriver dine kontroller, og om de var hensigtsmæssigt designet på et bestemt tidspunkt. En Type II-rapport tester, om de fungerede over en periode, typisk seks til tolv måneder. Kunder, der beder om "din SOC 2", mener næsten altid Type II.
Kan en europæisk virksomhed få en SOC 2-rapport?
Ja, fra ethvert revisionsfirma, der er autoriseret til at udstede dem. Mange europæiske virksomheder vælger i stedet ISO 27001 eller en ISAE 3000-rapport, fordi deres kunder beder om dem. Nogle har begge, når de sælger til US.
Er en SOC 2-rapport nok til at springe spørgeskemaet over?
Ofte forkorter det processen. Kunder med en moden proces læser rapporten, noterer undtagelserne og sender et kort spørgeskema om det, rapporten ikke dækker: din specifikke tjeneste, dataflow og alt siden rapportperioden.