De fem kriterierna
SOC 2 är uppbyggt kring trust services-kriterierna: säkerhet (obligatoriskt i varje rapport), tillgänglighet, bearbetningsintegritet, konfidentialitet och integritet. Ett frågeformulär i SOC 2-form följer samma fem rubriker. Säkerhet frågar om hela kontrollmiljön: styrning, risk, åtkomst, ändringar, övervakning, incidenthantering. Tillgänglighet frågar om kapacitet, säkerhetskopior, kontinuitet och återställningsmål. Bearbetningsintegritet frågar om systemet gör det som det utger sig för, fullständigt och korrekt. Konfidentialitet frågar hur konfidentiell information identifieras och skyddas. Integritet frågar om personuppgifter: information, val, lagringstid, radering.
Om du har en rapport
Skicka den under sekretessavtal, med ett bridge letter om rapportperioden tog slut för mer än några månader sedan. Var beredd på frågor om de undantag revisorn noterade, de kompletterande kundkontrollerna (det rapporten förutsätter att kunden själv gör) och de underleverantörer som är undantagna från rapporten, typiskt din hostingleverantör. Ett frågeformulär som kommer tillsammans med en begäran om rapporten är oftast kort; besvara de rader rapporten inte täcker och hänvisa till rapportens avsnitt för resten.
Om du inte har någon
Svara per kriterium. För säkerhet är svaren desamma som varje frågeformulär ber om: åtkomstkontroll, ändringshantering, sårbarhetshantering, loggning, incidenthantering, med ägare, frekvenser och underlag. För tillgänglighet anger du dina återställningsmål, backupschema och datumet för det senaste återställningstestet. För konfidentialitet klassificeringsschemat och den kryptering som används. För integritet personuppgiftsbiträdesavtalet, listan över underbiträden och gallringsreglerna. En leverantör utan rapport men med konkreta svar och underlag accepteras av de flesta kunder; rapporten blir värd sin kostnad när samma frågeformulär kommer varje vecka.
Svaren som överlappar med ISO 27001
Större delen av säkerhetskriteriet överlappar med bilaga A i ISO 27001. Om du håller ett godkänt svar per kontroll tjänar samma svar både ett SOC 2-frågeformulär och ett ISO-frågeformulär; bara rubrikerna skiljer sig. Responsemate skriver utkast till ett frågeformulär i endera formen från samma bibliotek och visar på varje rad vilken post som användes. Frågeformulär i Responsemate.
Vanliga frågor
Vad är skillnaden mellan SOC 2 Type I och Type II?
En Type I-rapport beskriver dina kontroller och om de var lämpligt utformade vid en viss tidpunkt. En Type II-rapport prövar om de fungerade under en period, vanligtvis sex till tolv månader. Kunder som ber om ”din SOC 2” menar nästan alltid Type II.
Kan ett europeiskt företag få en SOC 2-rapport?
Ja, från vilken revisionsbyrå som helst med licens att utfärda dem. Många europeiska företag väljer i stället ISO 27001 eller en ISAE 3000-rapport eftersom deras kunder frågar efter dem; en del har båda när de säljer till USA.
Räcker en SOC 2-rapport för att slippa frågeformuläret?
Ofta förkortar den det. Kunder med en mogen process läser rapporten, noterar undantagen och skickar ett kort frågeformulär om det som rapporten inte täcker: din specifika tjänst, dataflöden och allt som hänt sedan rapportperioden.