Компаниите са изправени пред нарастваща среда на заплахи, което прави сигурността на информацията и данните основен приоритет. Едно нарушение на данните може да струва милиони, да не говорим за удара по репутацията и загубата на доверие на клиентите. Киберсигурността изисква да се определят рамки – ръководни принципи и добрите практики, които компаниите трябва да следват, за да гарантират сигурност на информацията. SOC 2, или Service Organisation Control Type 2, е рамка за киберсигурност, разработена от Американския институт на дипломираните експерт-счетоводители (AICPA). Основната ѝ цел е да гарантира, че доставчиците на услуги съхраняват и обработват клиентски данни по сигурен начин.
 
Докато стандарти като ISO/IEC 27001 и PCI DSS имат строги изисквания по отношение на контролите за киберсигурност, при SOC 2 това не е така. Всяка компания проектира и приема свои собствени контроли в зависимост от оперативни си модели. След това се назначава независим одитор, който да провери дали контролите на компанията отговарят на изискванията на SOC 2. След одита одиторът пише доклад за това колко добре системите и процесите на компанията отговарят на SOC 2.
 
SOC 2 определя изискванията за управление и съхраняване на клиентски данни въз основа на пет критерия за доверителност на услуги (Trust Service Criteria, TSC):
 
Сигурност. Най-общо казано, принципът на сигурност изисква защитата на данните и системите срещу неоторизиран достъп. За тази цел може да се наложи прилагане на някаква форма на контрол на достъпа, прилагане на защитни стени със строги правила за входящия и изходящия трафик, въвеждане на системи за откриване и възстановяване на проникване и използване на многофакторно удостоверяване.
 
Конфиденциалност. Данните се считат за поверителни, ако само определена група хора имат достъп до тях. Това може да включва код на приложението, потребителски имена и пароли, информация за банкова карта или бизнес планове и др. За да се спазва този принцип, поверителните данни трябва да бъдат криптирани, както в покой, така и по време на пренос като се спазва принципа на най-малко привилегии, т.е. предоставяне на минималните права, от които хората се нуждаят, за да вършат работата си.
 
Наличност. Това изисква изграждане на системи, осигуряващи наличност на услугите по всяко време, устойчиви на грешки и голям трафик. Този принцип изисква от организациите използване на системи за наблюдение на мрежата и създаване и използване на планове за възстановяване след бедствие.
 
Поверителност. Събирането, съхранението, обработката и разкриването на каквато и да е лична информация (PII) трябва да се придържа към политиката за използване на данни и поверителност на организацията, заедно с условията, определени от AICPA, в Общоприетите принципи за поверителност (GAPP). Организацията трябва да наложи строг контрол, за да защити PII от неоторизиран достъп.
 
Интегритет на обработката. Всички системи трябва винаги да функционират според предназначението си, без забавяния, уязвимости, грешки или бъгове. Обработката на данни трябва да бъде пълна, валидна, точна, навременна и оторизирана. Въпреки това целостта на обработката не означава непременно цялост на данните. Ако данните съдържат грешки преди да бъдат въведени в системата, откриването им обикновено не е отговорност на обработващия обект. Мониторингът на обработката на данни, съчетан с процедурите за осигуряване на качеството, може да помогне да се гарантира целостта на обработката.
 

 

За да удовлетворите петте принципа на TSC, трябва да отговорите на следните въпроси по отношение на:

 
Видове SOC 2 доклади
 
SOC 2 докладите са два вида:

За да изберете между двете, помислете за вашите цели, разходи или ограничения, например във времето.

Резултати от одита по SOC 2
Всяка организация, преминала одит по SOC 2, получава доклад, независимо от резултата от одита. Ето термините, които одиторите използват, за да опишат резултатите от одита:

 
Кой има нужда от SOC 2 доклад?
Ако сте организация, предоставяща услуги, която съхранява, обработва или предава някакъв вид клиентски данни, вероятно ще трябва да сте съвместими със SOC 2, защото: 

Често организации, предоставящи услуги, се нуждаят от SOC 2 доклад, защото клиентите им го изискват. Клиенти трябва да знаят, че чувствителните им данни са в безопасност. SOC 2 докладът може да бъде и ключът към разширяване на продажбите и преминаването към по-голям пазар. Той:

Казано просто, одитът на SOC 2 е важен по две причини. Първо, получаването на SOC 2 доклад помага на вашия бизнес да поддържа най-добрите в класа си стандарти за сигурност. И второ, може да отключи значителни възможности за растеж.