De vijf criteria
SOC 2 is opgebouwd rond de trust services criteria: beveiliging (security, verplicht in elk rapport), beschikbaarheid (availability), verwerkingsintegriteit (processing integrity), vertrouwelijkheid (confidentiality) en privacy. Een vragenlijst in SOC 2-vorm volgt dezelfde vijf koppen. Beveiliging vraagt naar de hele controleomgeving: governance, risico, toegang, wijzigingen, monitoring, incidentrespons. Beschikbaarheid vraagt naar capaciteit, back-ups, continuïteit en hersteldoelstellingen. Verwerkingsintegriteit vraagt of het systeem doet wat het belooft, volledig en nauwkeurig. Vertrouwelijkheid vraagt hoe vertrouwelijke informatie wordt herkend en beschermd. Privacy vraagt naar persoonsgegevens: informeren, keuze, bewaren, vernietigen.
Als u een rapport heeft
Stuur het onder NDA, met een bridge letter als de rapportperiode meer dan enkele maanden geleden is geëindigd. Wees voorbereid op vragen over de uitzonderingen die de auditor heeft genoteerd, de complementary user entity controls (wat het rapport veronderstelt dat de klant zelf doet) en de subserviceorganisaties die buiten het rapport zijn gehouden, meestal uw hostingprovider. Een vragenlijst die samen met een verzoek om het rapport binnenkomt, is meestal kort; beantwoord de rijen die het rapport niet dekt en verwijs voor de rest naar het rapportonderdeel.
Als u er geen heeft
Antwoord per criterium. Voor beveiliging zijn de antwoorden dezelfde die elke vragenlijst vraagt: toegangsbeheer, wijzigingsbeheer, kwetsbaarhedenbeheer, logging, incidentrespons, met eigenaren, frequenties en bewijs. Voor beschikbaarheid geeft u uw hersteldoelstellingen, het back-upschema en de datum van de laatste hersteltest. Voor vertrouwelijkheid het classificatieschema en de toegepaste versleuteling. Voor privacy de verwerkersovereenkomst, de lijst met subverwerkers en de bewaarregels. Een leverancier zonder rapport maar met concrete antwoorden en bewijs wordt door de meeste klanten geaccepteerd; het rapport wordt zijn kosten waard wanneer dezelfde vragenlijst elke week binnenkomt.
De antwoorden die overlappen met ISO 27001
Het grootste deel van het criterium beveiliging overlapt met bijlage A van ISO 27001. Als u per controle één goedgekeurd antwoord bijhoudt, dienen dezelfde antwoorden zowel een SOC 2-vragenlijst als een ISO-vragenlijst; alleen de koppen verschillen. Responsemate maakt uit dezelfde bibliotheek een concept voor een vragenlijst in beide vormen en toont op elke rij welk item het heeft gebruikt. Vragenlijsten in Responsemate.
Veelgestelde vragen
Wat is het verschil tussen SOC 2 Type I en Type II?
Een Type I-rapport beschrijft uw controles en of ze op een bepaald moment passend waren opgezet. Een Type II-rapport toetst of ze gedurende een periode hebben gewerkt, meestal zes tot twaalf maanden. Klanten die om “uw SOC 2” vragen, bedoelen vrijwel altijd Type II.
Kan een Europees bedrijf een SOC 2-rapport krijgen?
Ja, bij elk accountantskantoor dat ze mag afgeven. Veel Europese bedrijven kiezen in plaats daarvan voor ISO 27001 of een ISAE 3000-rapport omdat hun klanten daarom vragen; sommige hebben beide wanneer ze aan de VS verkopen.
Is een SOC 2-rapport genoeg om de vragenlijst over te slaan?
Vaak maakt het de vragenlijst korter. Klanten met een volwassen proces lezen het rapport, noteren de uitzonderingen en sturen een korte vragenlijst over wat het rapport niet dekt: uw specifieke dienst, de gegevensstromen en alles sinds de rapportperiode.