Полный контрольный список соответствия SOC 2
В наш современный век данные — наш актив номер один. Вот почему, если вы имеете дело с данными клиентов, вы должны убедиться, что у вас есть все меры для их защиты. Один из лучших способов сделать это — получить сертификат, такой как Service Organization Control 2, известный как SOC 2.
SOC 2 — это добровольный стандарт соответствия для сервисных компаний. Он дает рекомендации о том, как компании должны обращаться с данными своих клиентов. Однако, чтобы получить этот сертификат, вы должны сначала пройти аудит. И прежде чем пройти аудит, вам нужно будет к нему подготовиться. Эта статья поможет вам в этом.
Что такое аудит SOC 2?
Аудит SOC 2 — это сторонний аудит, который подтверждает, что ваша компания придерживается жестких политик безопасности, обеспечивающих защиту данных ваших клиентов. Эти аудиты проводит аудиторская фирма, известная как сертифицированный общественный бухгалтер (CPA), не связанная с вашей компанией и не заинтересованная в ней. По сути, основная цель аудитора — убедиться, что ваша компания защищает данные ваших клиентов и соответствует SOC 2. Далее давайте посмотрим, что будут проверять аудиторы.
5 требований соответствия SOC 2
Сертификация SOC 2 основана на 5 принципах защиты данных. Они здесь:
1. Безопасность
Как вы защищаете свои данные от посторонних лиц? Первый и главный ответ — безопасность. Аудиторы изучат ваш контроль доступа, группы безопасности, элементы управления на уровне объектов, брандмауэры и т. д. Они также проверят другие операционные и управленческие элементы управления, которые у вас есть для защиты ваших данных и приложений. Таким образом, вы должны убедиться, что ваша команда безопасности имеет правильную защиту для защиты вашей компании от злонамеренных атак. Это могут быть DDoS-атаки, взлом сети или злоумышленники, пытающиеся украсть данные.
2. Доступность
В рамках этого компонента аудиторы рассмотрят ваши операционные стандарты безотказной работы и производительности. Некоторыми из этих стандартов являются мониторинг производительности сети, процессы аварийного восстановления и процедура обработки инцидентов, связанных с безопасностью. Цель состоит в том, чтобы свести к минимуму время простоя, спрогнозировать емкость системы и найти данные, требующие резервного копирования. Опять же, все связано с безопасностью системы.
3. Целостность обработки
Аудиторы SOC 2 проверят, как вы обрабатываете, храните и управляете данными в облаке. Кроме того, они посмотрят, насколько надежно ваши системы обрабатывают эти данные. Аудиторы SOC 2 ищут записи входных и выходных данных: Являются ли записи чистыми? Как вы справляетесь с ошибками и как быстро вы можете их исправить?
4. Конфиденциальность
Еще раз, с точки зрения безопасности, аудиторы будут смотреть на то, как вы храните и обрабатываете данные клиентов. Им нужны ответы на такие вопросы, как: маскируете ли вы личные данные, когда отправляете их между системами? Кто имеет доступ к данным? Есть ли у вас надлежащий контроль и права доступа для обеспечения безопасности данных?
5. Конфиденциальность
Чтобы сохранить конфиденциальность данных, вам необходимо обеспечить надлежащую безопасность, такую как двухфакторная аутентификация, шифрование, маскировка и т. д. Аудиторы также будут проверять, как сторонние службы обрабатывают эти данные. В то время как ваша компания может принять все надлежащие меры предосторожности с вашей стороны, сторонний поставщик услуг может не иметь таких сложных проверок безопасности. Кроме того, если вы собираете данные, вы должны сначала получить согласие пользователя. Вам также следует ограничить сбор персональных данных до минимально необходимого объема и удалить данные после окончания периода хранения.
Теперь эти 5 столпов составляют несколько более подробных пунктов, которые будут искать аудиторы. Давайте углубимся в контрольный список и то, к чему вы хотите подготовиться.
Контрольный список соответствия SOC 2
В этом разделе я представлю обзор того, что вам нужно сделать, чтобы подготовиться к аудиту SOC 2. Я расскажу об основных моментах, чтобы помочь вашей компании подготовиться к аудиту.
1. Укажите цель SOC 2
Первое, что вам нужно понять, это то, почему вы хотите получить сертификат SOC 2. Вам понадобится веская причина необходимости проведения аудита.
Вам также необходимо убедиться, что вы можете позволить себе высокие затраты на проведение аудита. Обычно аудит SOC 2 стоит от 5 000 до 80 000 долларов США, в зависимости от размера вашей компании.
2. Определите, какой тип отчета вам нужен
В SOC 2 вы столкнетесь с двумя типами отчетов, метко названными типом 1 и типом 2.
Первый тип является основным и должен быть отправной точкой. Вам нужно будет проверить элементы управления только один раз в один момент времени.
Второй тип является более полным и запрашивается клиентами, поставщиками или после отчета типа 1. С помощью этого отчета вам нужно будет постоянно отслеживать средства контроля в течение 3-6 месяцев.
В конце концов, все сводится к тому, как часто вы проверяете свои системы и насколько подробным вы хотите получить отчет от аудиторов.
3. Определите объем аудита
На что будут смотреть аудиторы? Вы же не хотите, чтобы они тратили свое время на ваши POC, песочницу или среду разработки. С технической точки зрения вам нужно, чтобы они изучили вашу производственную среду и, возможно, вашу среду контроля качества.
Кроме того, вы захотите, чтобы они проверили ваши сторонние подключения.
Что касается нетехнических сред, вам нужно, чтобы они смотрели на такие вещи, как финансы, услуги по расчету заработной платы, обработку налогов и т. д., и как вы обрабатываете эти данные. Масштаб важен, так как вы не хотите тратить время и деньги на изучение вещей, которые не относятся к вашей области аудита.
4. Проведите внутреннюю оценку рисков (самоаудит)
Прежде чем платить сторонней фирме за проведение аудита, вы должны провести свой собственный аудит, чтобы убедиться, что вы готовы к работе настолько, насколько это возможно. По сути, этот внутренний аудит гарантирует, что вы пройдете настоящий аудит.
Помните, что если вы делаете что-то не так, и аудитор обнаружит это, ваша компания может быть оштрафована и наказана.
Чтобы подготовиться, вы должны определить любые риски, связанные с ростом, местоположением или передовыми методами информационной безопасности. Затем вам потребуется задокументировать объем этих рисков, связанных с выявленными угрозами и уязвимостями. Кроме того, назначьте вероятность и воздействие для каждого выявленного риска, а затем разверните меры по их смягчению в соответствии с контрольным списком SOC 2.
5. Выполните анализ пробелов
После проведения собственного аудита вы найдите вещи, над которыми вам нужно поработать до фактического аудита. Таким образом, как только вы выясните, какие элементы нужно довести до номинала, вам нужно будет создать список исправлений и обработать файлы. Это нужно, чтобы навести порядок перед большим аудитом. Выполняя ремонт, вы сэкономите время и деньги в будущем.
6. Поддерживайте пост-аудиторский мониторинг
После того, как вы пройдете аудит, вы захотите установить процессы для поддержания вашего уровня безопасности, производительности и соответствия требованиям. Вы захотите сделать это, так как ваша сертификация будет действительна только в течение одного года.
Таким образом, вам нужно будет пройти повторную сертификацию, если вы хотите сохранить его. Кроме того, ради ваших клиентов и данных, о которых вы заботитесь, вам всегда нужно быть на высоте в отношении соответствия требованиям.
Заключительные слова
Получение сертификата SOC 2 может оказаться непростой задачей. Тем не менее, имея надлежащий контрольный список и предварительную работу, вы можете подготовиться и пройти аудит и получить сертификат. В свою очередь, это завоюет доверие ваших клиентов и продвинет ваш бизнес дальше.
Имейте в виду, что из всех пунктов аудита, которые я рассмотрел в этой статье, один из самых важных шагов, которые вы можете предпринять для подготовки, — это провести внутренний аудит. Вы можете быть удивлены тем, что вы найдете. Тем не менее, лучше найти проблемы и исправить их, чем быть наказанным аудитором, когда они их обнаружат. Подготовка требует нескольких шагов, но лучше сделать это до официального аудита.
Есть еще вопросы? Ознакомьтесь с разделами часто задаваемых вопросов и ресурсов ниже.
Часто задаваемые вопросы
Как долго действует сертификат SOC 2?
SOC 2 действителен только в течение 1 года и требует повторной сертификации каждый год. Тем не менее, короткий срок действия хорош для поддержания высокого уровня соответствия и поддержания доверия ваших клиентов.
Ориентирован ли SOC 2 на технологии?
СОЦ 2 был создан с учетом ИТ. Он рассматривает технологию, которая обрабатывает данные вашего клиента, и обеспечивает ее соответствие стандартам в области ее защиты. Другие сертификаты, такие как ISO 27001, касаются того, как вы храните свою информацию, а не того, как вы используете технологию. Однако SOC 2 больше ориентирован на технологии.
Сколько стоит SOC 2?
SOC 2 может стоить от 5 000 до 80 000 долларов США в зависимости от размера вашей компании и инфраструктуры. Еще один фактор, который следует учитывать, — это тип аудитора, которого вы нанимаете для проведения аудита. Если вы нанимаете CPA высшего уровня, вы должны ожидать, что заплатите за их услуги большие деньги.
Требуется ли SOC 2?
Все сертификаты безопасности не требуются. Вы получаете эти сертификаты добровольно. Тем не менее, получение сертификата дает вам много преимуществ взамен. С сертификацией вы улучшите профиль своей компании. Если вы работаете с большим количеством данных о клиентах, сертификация будет иметь большое значение, чтобы показать, что вы надежны и защищены.
Как компания должна подготовиться?
Как правило, вы можете сначала прочитать документацию к сертификату, который вы хотите подготовить. Затем вы начнете внедрять его на рабочем месте. Это самый длительный этап, и для его реализации могут потребоваться капитальные затраты. Другой вариант - наймите консалтинговую компанию, которая придет и сразу же приступит к работе. Это также сократит время на получение сертификата, но потребует дополнительных затрат на оказание этих услуг.
Ресурсы
TechGenix: статья о SOC 2 и ISO 27001
Узнайте, какой сертификат нужен вашей компании — SOC 2 или ISO 27001.
TechGenix: статья о различиях между первым, вторым и сторонним аудитом
Узнайте о различиях между первым, вторым и сторонним аудитом.
TechGenix: Статья о том, как проводить внутренний аудит
Изучите различные способы проведения внутреннего аудита вашей компании.
TechGenix: статья о стандартах облачной безопасности
Откройте для себя лучшие стандарты облачной безопасности, которые вы можете использовать для своего бизнеса.
TechGenix: статья о ISO 27001 и Cyber Essentials
Узнайте о сертификатах ISO 27001 и Cyber Essentials и узнайте, какой из них подходит именно вам.