SOC 2.

Το SOC 2 ανήκει στη σειρά System and Organization Controls της AICPA. Οι πάροχοι υπηρεσιών αναθέτουν σε ανεξάρτητο ελεγκτή υπηρεσιών την εξέταση των μέτρων ελέγχου του συστήματός τους. Η AICPA περιγράφει αυτές τις εκθέσεις ως πληροφοριακή βάση για κινδύνους εξωτερικά ανατεθειμένων υπηρεσιών. Καθοριστικό είναι συνεπώς ποια υπηρεσία εξετάστηκε, με ποιες δεσμεύσεις και ποιες δηλώσεις καλύπτει η συγκεκριμένη ανάθεση.

Τα Trust Services Criteria οργανώνουν τα θέματα ασφάλειας, διαθεσιμότητας, ακεραιότητας επεξεργασίας, εμπιστευτικότητας και προστασίας ιδιωτικότητας. Η δημόσια διαθέσιμη βάση ονομάζεται 2017 Trust Services Criteria με αναθεωρημένα Points of Focus 2022. Κοινά κριτήρια και πρόσθετες κατηγορίες εξετάζονται μαζί στην ανάθεση ελέγχου· οι ονομασίες κατηγοριών δεν σημαίνουν πέντε πανομοιότυπα υποχρεωτικά σύνολα για κάθε υπηρεσία. Ούτε το περιεχόμενο μιας κατηγορίας αποτελεί προκαθορισμένο προϊόν λογισμικού.

Η περιγραφή συστήματος έχει δικό της πλαίσιο αναφοράς: τα 2018 SOC 2 Description Criteria με αναθεωρημένες οδηγίες εφαρμογής 2022. Εξηγεί τι περιλαμβάνεται στο σύστημα και πώς λειτουργεί. Η αξιολόγηση μέτρων ελέγχου εξετάζει κατόπιν τις σχετικές προβλέψεις. Μια πλήρης έκθεση συνδέει αυτές τις οπτικές· ένα λογότυπο μόνο του δεν δείχνει ούτε το εύρος ούτε την ελεγκτική γνώμη.

Μια έκθεση SOC 2 απευθύνεται σε παρόχους υπηρεσιών και στους πελάτες που θέλουν να αξιολογήσουν τις υπηρεσίες τους. Σύμφωνα με τη δημόσια περιγραφή της AICPA για τον οδηγό ελέγχου, οι πελάτες χρειάζονται πληροφορίες για τον σχεδιασμό, τη λειτουργία και την αποτελεσματικότητα των μέτρων ελέγχου όταν αναθέτουν λειτουργίες εξωτερικά. Αυτό αφορά, για παράδειγμα, τη διαχείριση πληροφοριών ή την εξάρτηση από παρεχόμενο σύστημα· δεν προκύπτει απαίτηση συγκεκριμένου μεγέθους επιχείρησης.

Η ανάγκη πελάτη συνδιαμορφώνει το ουσιαστικό εύρος ελέγχου. Πριν από την ανάθεση, διευκρινίστε ποιο προϊόν, ποιο λειτουργικό περιβάλλον και ποιες δεσμεύσεις είναι ουσιώδεις για τους αποδέκτες. Μια συμβατική απαίτηση τεκμηρίωσης πρέπει να συγκρίνεται με την πραγματικά σχεδιαζόμενη έκθεση. Το SOC 2 δεν θεμελιώνει γενική νομική υποχρέωση ελέγχου για κάθε πάροχο SaaS.

Ο τύπος 1 και ο τύπος 2 απαντούν σε διαφορετικά χρονικά ερωτήματα. Ο τύπος 1 αφορά την περιγραφή συστήματος και τον σχεδιασμό μέτρων ελέγχου σε συγκεκριμένη ημερομηνία. Το SOC 2 Type 2 περιλαμβάνει επιπλέον την αποτελεσματικότητά τους στη λειτουργία κατά την αναφερόμενη περίοδο. Ο κατάλογος ανασκόπησης της AICPA καταγράφει αυτή τη διάκριση ήδη στα γενικά στοιχεία της έκθεσης.

Μια αδειοδοτημένη εταιρεία CPA εκδίδει την έκθεση SOC 2. Ελέγξτε την υπεύθυνη εταιρεία, τη σχετική άδειά της και την πραγματικά περιγραφόμενη ανάθεση. Η προετοιμασία από σύμβουλο ή πάροχο εργαλείων διακρίνεται από την ανεξάρτητη υπηρεσία ελέγχου. Η ευθύνη του οργανισμού για τα μέτρα ελέγχου του παραμένει.

Η έκθεση δεν έχει γενική διάρκεια ισχύος όπως ένα πιστοποιητικό. Η χρησιμότητά της εξαρτάται από το αν σύστημα, περίοδος και συμπέρασμα ταιριάζουν στην τρέχουσα ανάγκη πελάτη. Μια μεταγενέστερη μετάβαση συστήματος ή άλλη ουσιώδης αλλαγή μπορεί να εγείρει πρόσθετα ερωτήματα. Γι’ αυτό η εξέταση του εγγράφου παραμένει μέρος της δικής σας απόφασης για έναν πάροχο.

Το ISO 27001 αφορά σύστημα διαχείρισης ασφάλειας πληροφοριών και την πιθανή πιστοποίησή του. Το BSI C5 ακολουθεί αυτοτελές μοντέλο ελέγχου υπηρεσιών νέφους. Ο ΓΚΠΔ ρυθμίζει την επεξεργασία δεδομένων προσωπικού χαρακτήρα· μια έκθεση SOC 2 δεν αντικαθιστά την εξέταση αυτών των νόμιμων υποχρεώσεων.

Το Secani προσφέρει συντακτικά επεξεργασμένο κατάλογο εργασίας για τα AICPA Trust Services Criteria με δικές του οδηγίες υλοποίησης. Τα στοιχεία προφίλ διακρίνουν τη συμφωνημένη ανάθεση ελέγχου και τις πρόσθετες κατηγορίες. Μέτρα και τεκμήρια μπορούν να διαχειρίζονται στο εργασιακό τους πλαίσιο· το ιδιόκτητο βοήθημα δεν αντικαθιστά ούτε το προστατευόμενο πρότυπο κριτηρίων ούτε τον ανεξάρτητο έλεγχο.

Επιλέξτε μια πραγματικά προσφερόμενη υπηρεσία και καταγράψτε τους προβλεπόμενους αποδέκτες της έκθεσης. Περιγράψτε ποιο συμπέρασμα χρειάζονται για την υπηρεσία και ποια λειτουργικά όρια είναι σχετικά. Με αυτή τη βάση μπορείτε να συζητήσετε τύπο έκθεσης, εύρος και αναγκαία προεργασία με κατάλληλη ελεγκτική εταιρεία.