SOC 2 მზადყოფნა საქართველოს კომპანიებისთვის

რა არის SOC 2

SOC 2 არის ატესტაციის ანგარიში მომსახურე ორგანიზაციის კონტროლის ზომების შესახებ, რომელსაც AICPA-ს სტანდარტების მიხედვით გასცემს აშშ-ის დამოუკიდებელი ლიცენზირებული CPA ფირმა. ეს სერტიფიკატი არ არის. ანგარიში აღწერს თქვენს სისტემას და შეიცავს აუდიტორის დასკვნას იმის შესახებ, აკმაყოფილებს თუ არა თქვენი კონტროლის ზომები ნდობის სერვისების კრიტერიუმებს: უსაფრთხოებას, რომელიც ყოველთვის შედის, და, არჩევითად, ხელმისაწვდომობას, დამუშავების მთლიანობას, კონფიდენციალურობასა და პერსონალური მონაცემების დაცვას.

არსებობს ორი ტიპი. პირველი ტიპის ანგარიში (Type 1) აფასებს, რამდენად სწორად არის დაპროექტებული კონტროლის ზომები კონკრეტული თარიღისთვის. მეორე ტიპის ანგარიში (Type 2) ასევე ამოწმებს, ეფექტიანად მოქმედებდა თუ არა კონტროლი დაკვირვების პერიოდის განმავლობაში, რომელიც, როგორც წესი, სამიდან თორმეტ თვემდე გრძელდება. აშშ-ის მსხვილი კორპორატიული მომხმარებლები, ჩვეულებრივ, მეორე ტიპის ანგარიშს ითხოვენ.

რატომ სჭირდებათ ის ქართულ კომპანიებს

თბილისსა და ბათუმში სულ უფრო მეტი პროგრამული პროდუქტების კომპანია, შემუშავების სტუდია და აუთსორსინგის ფირმა მუშაობს. როცა ისინი აშშ-ის კომპანიებს ყიდიან, უსაფრთხოების შემოწმება ხშირად ერთი კითხვით იწყება: გაქვთ თუ არა SOC 2 ანგარიში? მის გარეშე გაყიდვების ციკლი ნელდება გრძელი კითხვარებისა და კლიენტის უსაფრთხოების გუნდთან ზარების გამო. ეს განსაკუთრებით ეხება:

• SaaS სტარტაპებს, რომლებიც მცირე მომხმარებლებიდან აშშ-ის საშუალო და მსხვილი კორპორატიული კლიენტებისკენ გადადიან.
• ფინანსური და საგადახდო ტექნოლოგიების კომპანიებს, რომელთა პარტნიორებს ხელმისაწვდომობისა და მონაცემთა დამუშავების შესახებ გარანტიები სჭირდებათ.
• შემუშავებისა და მართული მომსახურების მიმწოდებლებს, რომლებიც კლიენტების სისტემებსა და მონაცემებს მასპინძლობენ ან მათზე წვდომა აქვთ.

ბევრი ქართული კომპანია ევროპაშიც ყიდის, სადაც ISO/IEC 27001 უფრო გავრცელებულია. ეს ორი ჩარჩო ერთმანეთს მნიშვნელოვნად ფარავს და კონტროლის ზომების ერთ ნაკრებს შეუძლია ორივეს მხარდაჭერა.

როგორ გამზადებთ BALTUM

1. ფარგლების განსაზღვრა. მომხმარებლების მოთხოვნების საფუძველზე ვსაზღვრავთ ფარგლებში შემავალ სისტემას, ჩასართავ ნდობის სერვისების კრიტერიუმებსა და ანგარიშის ტიპს.
2. მზადყოფნის შეფასება. ვადარებთ თქვენს არსებულ კონტროლის ზომებს კრიტერიუმებს და გაძლევთ ხარვეზების ჩამონათვალს პრიორიტეტების მიხედვით.
3. კონტროლის ზომებისა და პოლიტიკების შემუშავება. წვდომის მართვა, ცვლილებების მართვა, მომწოდებლების მართვა, ინციდენტებზე რეაგირება, რისკების შეფასება, სარეზერვო ასლები და მონიტორინგი, დაწერილი ისე, რომ თქვენი საინჟინრო გუნდის მუშაობის წესს შეესაბამებოდეს.
4. მტკიცებულებების მომზადება. გეხმარებით, მოამზადოთ მტკიცებულებები, რომლებსაც აუდიტორი მოითხოვს, იყენებთ შესაბამისობის ავტომატიზაციის პლატფორმას თუ ხელით წარმოებულ ჩანაწერებს.
5. სისტემის აღწერა. გეხმარებით თქვენი სისტემის აღწერის მომზადებაში, რომელიც ანგარიშის ნაწილია.
6. CPA ფირმის შერჩევა და შემოწმების მხარდაჭერა. გაცნობთ აშშ-ის ლიცენზირებულ CPA ფირმას ჩვენი პარტნიორების ქსელიდან და შემოწმების დროს თქვენს გუნდს მხარს ვუჭერთ.

ვადები დამოკიდებულია თქვენი სიმწიფის დონეზე, ფარგლებში შემავალ კრიტერიუმებსა და მეორე ტიპის ანგარიშისთვის დაკვირვების პერიოდზე. გეგმაზე მზადყოფნის შეფასების შემდეგ ვთანხმდებით.

როგორ მიმდინარეობს ატესტაცია

შემოწმებას ატარებს და ანგარიშს ხელს აწერს CPA ფირმა. BALTUM არ გასცემს SOC 2 ანგარიშებს და არ მონაწილეობს CPA ფირმის დამოუკიდებელი დასკვნის მომზადებაში. პირველი ტიპის ანგარიშის შემდეგ კომპანიების უმეტესობა მეორე ტიპის ანგარიშზე გადადის და მას ყოველწლიურად აახლებს, რათა მომხმარებლებს ყოველთვის ჰქონდეთ ბოლო პერიოდის ანგარიში.

ანგარიში შეიცავს აუდიტორის დასკვნას, თქვენი ხელმძღვანელობის მტკიცებას, სისტემის აღწერას და, მეორე ტიპის შემთხვევაში, ჩატარებულ ტესტებსა და მათ შედეგებს. ეს შეზღუდული გავრცელების დოკუმენტია: მას მომხმარებლებსა და პოტენციურ კლიენტებს კონფიდენციალურობის შეთანხმების საფუძველზე უზიარებთ. აუდიტორის მიერ აღმოჩენილი ნებისმიერი გამონაკლისი ანგარიშში აისახება, ამიტომ ხარვეზების აღმოფხვრა დაკვირვების პერიოდის დაწყებამდე ჯობს.

დაკავშირებული სტანდარტები და სტატიები

თუ თქვენი მომხმარებლები როგორც აშშ-ში, ისე ევროპაში არიან, განიხილეთ SOC 2-ის გაერთიანება ISO/IEC 27001-თან. სტარტაპებზე ორიენტირებული სახელმძღვანელოსთვის წაიკითხეთ SOC 2 აშშ-ში გამყიდველი ქართული SaaS სტარტაპებისთვის.

დასაწყებად მოგვიყევით თქვენი პროდუქტის, მომხმარებლებისა და ინფრასტრუქტურის შესახებ მოთხოვნის ფორმით ან მისამართზე info@baltum.org.

ხშირად დასმული კითხვები

არსებობს თუ არა SOC 2 სერტიფიკატი?

არა. SOC 2 არის ატესტაციის ანგარიში, რომელსაც გასცემს აშშ-ის ლიცენზირებული CPA ფირმა. ვინც SOC 2 სერტიფიკატს გთავაზობთ, აღწერს რაღაცას, რაც არ არსებობს.

შეუძლია თუ არა საქართველოში რეგისტრირებულ კომპანიას SOC 2 ანგარიშის მიღება?

დიახ. აშშ-ის კომპანიად ყოფნა მოთხოვნა არ არის. შემოწმებას ატარებს აშშ-ის ლიცენზირებული CPA ფირმა, ხშირად დისტანციურად, იმ სისტემაზე, რომელიც თქვენს მომხმარებლებს ემსახურება.

პირველი ტიპის ანგარიშით დავიწყოთ თუ მეორე ტიპის ანგარიშით?

თუ მომხმარებელს ანგარიში მალე სჭირდება, პირველი ტიპის ანგარიში ადრეულ გარანტიას იძლევა, სანამ მეორე ტიპის დაკვირვების პერიოდი მიმდინარეობს. თუ გადაუდებელი ვადა არ გაქვთ, ზოგი კომპანია პირდაპირ მეორე ტიპზე გადადის.

უკვე გვაქვს ISO/IEC 27001. რამდენი დამატებითი სამუშაოა SOC 2?

კონტროლის ზომების დიდი ნაწილი საერთოა. დამატებითი სამუშაო ძირითადად მოიცავს სისტემის აღწერას, ნდობის სერვისების კრიტერიუმებთან შესაბამისობის დადგენას და მტკიცებულებებს, რომლებსაც CPA ფირმა დაკვირვების პერიოდში შერჩევით ამოწმებს.