De fem kriteriene
SOC 2 er organisert rundt trust services-kriteriene: sikkerhet (påkrevd i hver rapport), tilgjengelighet, prosesseringsintegritet, konfidensialitet og personvern. Et spørreskjema formet etter SOC 2 følger de samme fem overskriftene. Sikkerhet spør om hele kontrollmiljøet: styring, risiko, tilgang, endring, overvåking, hendelseshåndtering. Tilgjengelighet spør om kapasitet, backup, kontinuitet og gjenopprettingsmål. Prosesseringsintegritet spør om systemet gjør det det sier, fullstendig og nøyaktig. Konfidensialitet spør hvordan konfidensiell informasjon identifiseres og beskyttes. Personvern spør om personopplysninger: informasjon, valg, oppbevaring, sletting.
Hvis du har en rapport
Send den under NDA, med et bridge letter hvis rapportperioden endte for mer enn noen måneder siden. Vær forberedt på spørsmål om avvikene revisor noterte, de komplementære brukerenhetskontrollene (det rapporten forutsetter at kunden gjør) og undertjenesteorganisasjonene som er holdt utenfor rapporten, typisk hostingleverandøren din. Et spørreskjema som kommer sammen med en forespørsel om rapporten, er vanligvis kort; svar på radene rapporten ikke dekker, og vis til rapportavsnittet for resten.
Hvis du ikke har det
Svar per kriterium. For sikkerhet er svarene de samme som alle spørreskjemaer ber om: tilgangsstyring, endringshåndtering, sårbarhetshåndtering, logging, hendelseshåndtering, med eiere, frekvenser og dokumentasjon. For tilgjengelighet oppgir du gjenopprettingsmålene, backup-planen og datoen for siste gjenopprettingstest. For konfidensialitet: klassifiseringsskjemaet og krypteringen som er på plass. For personvern: databehandleravtalen, listen over underdatabehandlere og reglene for oppbevaring. En leverandør uten rapport, men med konkrete svar og dokumentasjon, aksepteres av de fleste kunder; rapporten blir verdt kostnaden når det samme spørreskjemaet kommer hver uke.
Svarene som overlapper med ISO 27001
Det meste av sikkerhetskriteriet overlapper med Annex A i ISO 27001. Holder du ett godkjent svar per kontroll, tjener de samme svarene både et SOC 2-spørreskjema og et ISO-spørreskjema; bare overskriftene er forskjellige. Responsemate lager utkast til et spørreskjema i begge former fra samme bibliotek, og viser på hver rad hvilken oppføring det brukte. Spørreskjemaer i Responsemate.
Vanlige spørsmål
Hva er forskjellen på SOC 2 Type I og Type II?
En Type I-rapport beskriver kontrollene dine og om de var hensiktsmessig utformet på et gitt tidspunkt. En Type II-rapport tester om de virket over en periode, vanligvis seks til tolv måneder. Kunder som ber om «din SOC 2», mener nesten alltid Type II.
Kan et europeisk selskap få en SOC 2-rapport?
Ja, fra ethvert revisjonsfirma med lisens til å utstede dem. Mange europeiske selskaper velger ISO 27001 eller en ISAE 3000-rapport i stedet fordi kundene deres ber om dem; noen har begge når de selger til USA.
Er en SOC 2-rapport nok til å slippe spørreskjemaet?
Ofte forkorter den det. Kunder med en moden prosess leser rapporten, noterer avvikene og sender et kort spørreskjema om det rapporten ikke dekker: din spesifikke tjeneste, dataflyter og alt som har skjedd siden rapportperioden.