Подготовка к SOC 2 для компаний в Грузии

Что такое SOC 2

SOC 2 это заверительный отчёт о мерах контроля сервисной организации, который выпускает независимая лицензированная аудиторская фирма CPA в США по стандартам AICPA. Это не сертификат. Отчёт описывает вашу систему и содержит мнение аудитора о том, отвечают ли ваши меры контроля критериям доверия к сервисам (TSC): безопасности, которая включается всегда, и, по выбору, доступности, целостности обработки, конфиденциальности и защите персональных данных.

Отчёты бывают двух типов. Отчёт типа 1 оценивает проектирование мер контроля на определённую дату. Отчёт типа 2 дополнительно проверяет, эффективно ли меры контроля действовали в течение периода наблюдения, обычно от трёх до двенадцати месяцев. Крупные американские заказчики, как правило, запрашивают отчёт типа 2.

Зачем он грузинским компаниям

В Тбилиси и Батуми работает всё больше продуктовых компаний, студий разработки и аутсорсинговых фирм. Когда они продают американским компаниям, проверка безопасности часто начинается с одного вопроса: есть ли у вас отчёт SOC 2? Без него цикл продаж замедляется из-за длинных опросников и созвонов с командой безопасности клиента. Особенно это касается:

• SaaS-стартапов, которые переходят от небольших клиентов к средним и крупным компаниям в США.
• Финтех-компаний и разработчиков платёжных технологий, партнёрам которых нужны гарантии доступности и надлежащего обращения с данными.
• Компаний по разработке и поставщиков управляемых услуг, которые размещают системы и данные клиентов или имеют к ним доступ.

Многие грузинские компании продают и в Европе, где более распространён ISO/IEC 27001. Эти две системы требований во многом пересекаются, и один набор мер контроля может обслуживать обе.

Как BALTUM готовит вас

1. Определение области. Определяем систему, входящую в область проверки, включаемые критерии доверия к сервисам и тип отчёта исходя из того, что запрашивают ваши клиенты.
2. Оценка готовности. Сравниваем текущие меры контроля с критериями и даём список несоответствий по приоритетам.
3. Проектирование мер контроля и политики. Управление доступом, управление изменениями, управление поставщиками, реагирование на инциденты, оценка рисков, резервное копирование и мониторинг, описанные так, как реально работает ваша команда разработки.
4. Подготовка доказательств. Помогаем организовать сбор доказательств, которые запросит аудитор, независимо от того, используете ли вы платформу автоматизации соответствия или ведёте записи вручную.
5. Описание системы. Помогаем подготовить описание вашей системы, которое входит в отчёт.
6. Выбор фирмы CPA и сопровождение проверки. Знакомим вас с лицензированной аудиторской фирмой CPA в США из нашей партнёрской сети и поддерживаем вашу команду во время проверки.

Продолжительность зависит от текущей зрелости, включённых критериев и периода наблюдения для отчёта типа 2. План мы согласуем после оценки готовности.

Как проходит заверение

Проверку проводит и отчёт подписывает фирма CPA. BALTUM не выпускает отчёты SOC 2 и не участвует в формировании независимого мнения фирмы CPA. После отчёта типа 1 большинство компаний переходят к отчёту типа 2 и обновляют его ежегодно, чтобы у клиентов всегда был отчёт за недавний период.

Отчёт содержит мнение аудитора, заявление вашего руководства, описание системы и, для типа 2, выполненные тесты и их результаты. Это документ ограниченного распространения: вы передаёте его клиентам и потенциальным клиентам по соглашению о неразглашении. Все отклонения, найденные аудитором, попадают в отчёт, поэтому несоответствия выгодно устранить до начала периода наблюдения.

Связанные стандарты и материалы

Если ваши клиенты находятся и в США, и в Европе, рассмотрите сочетание SOC 2 с ISO/IEC 27001. Руководство для стартапов приведено в статье «SOC 2 для грузинских SaaS-стартапов, работающих на рынке США».

Чтобы начать, расскажите о продукте, клиентах и инфраструктуре через форму заявки или по адресу info@baltum.org.

Частые вопросы

Существует ли сертификат SOC 2?

Нет. SOC 2 это заверительный отчёт, который выпускает лицензированная аудиторская фирма CPA в США. Тот, кто предлагает «сертификат SOC 2», описывает то, чего не существует.

Может ли компания, зарегистрированная в Грузии, получить отчёт SOC 2?

Да. Быть американской компанией не требуется. Проверку проводит лицензированная фирма CPA в США, часто дистанционно, в отношении системы, которая обслуживает ваших клиентов.

С какого типа начинать: с типа 1 или типа 2?

Если отчёт нужен клиенту в ближайшее время, отчёт типа 1 даёт раннее подтверждение, пока идёт период наблюдения для типа 2. Если срочного срока нет, некоторые компании сразу идут на тип 2.

У нас уже есть ISO/IEC 27001. Сколько дополнительной работы потребует SOC 2?

Большая часть мер контроля общая. Дополнительная работа касается в основном описания системы, сопоставления с критериями доверия к сервисам и доказательств, которые фирма CPA выборочно проверяет за период наблюдения.