SOC 2 და PCI DSS ტურისტული პლატფორმისთვის: რას ადასტურებს თითოეული დოკუმენტი პარტნიორებისთვის
საქართველოში ტურისტულ პლატფორმას ერთდროულად სამი ძირითადი ფუნქციის შესრულება შეუძლია: სტუმრების პერსონალური მონაცემების შენახვა, ჯავშნების სასტუმროებისთვის გადაცემა და წინასწარი გადახდების მიღება. უცხოელი პარტნიორისთვის თითოეული ეს ოპერაცია რისკის ცალკე მიმართულებას წარმოადგენს. ამიტომ SOC 2 და PCI DSS სტანდარტებთან შესაბამისობის მოთხოვნა უშუალოდ სერვისის ფუნქციების მიხედვით უნდა განიხილოთ.
BALTUM BUREAU-ში გირჩევთ, ურთიერთობების აუდიტით დაიწყოთ: განსაზღვროთ, კონკრეტულად რომელი ბიზნესპროცესები ანდო პარტნიორმა თქვენს პლატფორმას და უსაფრთხოების რომელ ოფიციალურ მტკიცებულებებს (SOC 2 ანგარიშებს, PCI DSS სერტიფიკატებს) მოელის ის თქვენგან.
SOC 2: როგორ არის ორგანიზებული სერვისის კონტროლის მექანიზმები
SOC 2 არის დამოუკიდებელი ანგარიში მომსახურების მიმწოდებელი ორგანიზაციის კონტროლის მექანიზმების შესახებ, AICPA-ის შესაბამისი კრიტერიუმების მიხედვით. უსაფრთხოება შემოწმების საფუძველია; ხელმისაწვდომობა, დამუშავების მთლიანობა, კონფიდენციალურობა და პირადი ინფორმაციის დაცვა შეთანხმებული სფეროს მიხედვით ერთვება. SOC 2 ანგარიშის არსებობა არ ნიშნავს, რომ ხუთივე მიმართულება შემოწმებულია.
მოთხოვნისთვის „SOC 2 დაჯავშნის სერვისი“ მნიშვნელოვანია კონკრეტული მოცვა: პირადი კაბინეტები, API, ღრუბლოვანი ინფრასტრუქტურა, თანამშრომლები და კონტრაქტორები. პარტნიორმა უნდა იცოდეს, ვინ იღებს სტუმრების მონაცემებზე წვდომას, როგორ თანხმდება ცვლილებები და როგორ ხდება ინციდენტებზე რეაგირება.
Type I აფასებს სისტემის აღწერასა და კონტროლის მექანიზმების მოწყობის სათანადოობას კონკრეტული თარიღისთვის. Type II დამატებით აფასებს მათი მუშაობის ეფექტიანობას მითითებული პერიოდის განმავლობაში. შედეგი დამოუკიდებელი აუდიტორის ანგარიშია და არა უნივერსალური „უსაფრთხოების სერტიფიკატი“. ვრცლად იხილეთ მასალა SOC 2-ის შესახებ საქართველოს SaaS კომპანიებისთვის.
BALTUM BUREAU-ში გირჩევთ, ურთიერთობების აუდიტით დაიწყოთ: განსაზღვროთ, კონკრეტულად რომელი ბიზნესპროცესები ანდო პარტნიორმა თქვენს პლატფორმას და უსაფრთხოების რომელ ოფიციალურ მტკიცებულებებს (SOC 2 ანგარიშებს, PCI DSS სერტიფიკატებს) მოელის ის თქვენგან.
SOC 2: როგორ არის ორგანიზებული სერვისის კონტროლის მექანიზმები
SOC 2 არის დამოუკიდებელი ანგარიში მომსახურების მიმწოდებელი ორგანიზაციის კონტროლის მექანიზმების შესახებ, AICPA-ის შესაბამისი კრიტერიუმების მიხედვით. უსაფრთხოება შემოწმების საფუძველია; ხელმისაწვდომობა, დამუშავების მთლიანობა, კონფიდენციალურობა და პირადი ინფორმაციის დაცვა შეთანხმებული სფეროს მიხედვით ერთვება. SOC 2 ანგარიშის არსებობა არ ნიშნავს, რომ ხუთივე მიმართულება შემოწმებულია.
მოთხოვნისთვის „SOC 2 დაჯავშნის სერვისი“ მნიშვნელოვანია კონკრეტული მოცვა: პირადი კაბინეტები, API, ღრუბლოვანი ინფრასტრუქტურა, თანამშრომლები და კონტრაქტორები. პარტნიორმა უნდა იცოდეს, ვინ იღებს სტუმრების მონაცემებზე წვდომას, როგორ თანხმდება ცვლილებები და როგორ ხდება ინციდენტებზე რეაგირება.
Type I აფასებს სისტემის აღწერასა და კონტროლის მექანიზმების მოწყობის სათანადოობას კონკრეტული თარიღისთვის. Type II დამატებით აფასებს მათი მუშაობის ეფექტიანობას მითითებული პერიოდის განმავლობაში. შედეგი დამოუკიდებელი აუდიტორის ანგარიშია და არა უნივერსალური „უსაფრთხოების სერტიფიკატი“. ვრცლად იხილეთ მასალა SOC 2-ის შესახებ საქართველოს SaaS კომპანიებისთვის.
PCI DSS: როგორ არის დაცული ბარათის მონაცემები
PCI DSS ადგენს საგადახდო მონაცემების დაცვის მოთხოვნებს. მისი მოქმედების სფერო მოიცავს გარემოს, სადაც ბარათის მონაცემები ინახება, მუშავდება ან გადაიცემა, აგრეთვე კომპონენტებს, რომლებსაც მის უსაფრთხოებაზე გავლენის მოხდენა შეუძლიათ.
ტურისტული პლატფორმისთვის PCI DSS-ის პრაქტიკული საკითხია, კონკრეტულად სად შეჰყავს სტუმარს ბარათის მონაცემები და სად ხვდება შემდეგ მისი რეკვიზიტები. მხოლოდ გადახდის ფორმის შემოწმება საკმარისი არ არის: მონაცემები შეიძლება მხარდაჭერის სამსახურთან მიმოწერაში, აპლიკაციის ჟურნალებსა ან ჯავშნების მართვის სისტემაში აღმოჩნდეს.
თუ გადახდა პროვაიდერთან ხორციელდება, პლატფორმის პასუხისმგებლობის სფერო შეიძლება შემცირდეს. თუმცა პროვაიდერის შესაბამისობის დადასტურება ავტომატურად თქვენს კომპანიაზე არ ვრცელდება. მოვაჭრეს რჩება პროვაიდერის კონტროლისა და საკუთარი შესაბამისობის სათანადო გზით დადასტურების ვალდებულებები.
რომელ დოკუმენტებს ითხოვენ პარტნიორები
მომზადების დაწყებამდე დააზუსტეთ ხელშეკრულების ფორმულირებები და ექვაირინგის მომსახურე ბანკის მოთხოვნები. ვებსაიტზე განთავსებული ლამაზი ნიშანი არც შემოწმების ფარგლებს აჩვენებს და არც მის შედეგს.
SOC 2 და PCI DSS: განსხვავება დაჯავშნის მაგალითზე
წარმოვიდგინოთ: პლატფორმა თბილისიდან ტურებს ყიდის, ტურისტების პროფილებს ინახავს, ხოლო გადახდებს გარე შლუზი იღებს. სასტუმროების საერთაშორისო ქსელმა სერვისის კონტროლის მექანიზმების შესაფასებლად შეიძლება SOC 2 მოითხოვოს. ამასთან, ექვაირერი ცალკე განსაზღვრავს PCI DSS-ისთვის საჭირო დამადასტურებელ დოკუმენტებს.
SOC 2 ანგარიში არ ცვლის გადახდის ნაკადისთვის PCI DSS-ის მოთხოვნების შეფასებას. თავის მხრივ, PCI DSS-ის AOC ავტომატურად არ ადასტურებს მთელი სერვისის ხელმისაწვდომობას ან ტურისტების ყველა პერსონალური მონაცემის დაცვას.
საერთო პროცესები შეიძლება ერთობლივად მოეწყოს: წვდომისა და ცვლილებების მართვა, ასევე ინციდენტებზე რეაგირება. ამ უკანასკნელისთვის სასარგებლოა მასალა ISO/IEC 27035-ის მიხედვით კიბერინციდენტების მართვის შესახებ. თუმცა ორი შემოწმების სფეროები და შედეგები დამოუკიდებელი რჩება.
საიდან დავიწყოთ მზადება
მიმართეთ BALTUM BUREAU-ს მომზადების საჭირო მიმართულებების განსასაზღვრად. დაიწყეთ დაჯავშნისა და გადახდის სქემით, მონაცემების ჩამონათვალითა და პარტნიორების მოთხოვნებით. ეს დაგეხმარებათ SOC 2-ის სფეროს შეთანხმებაში, PCI DSS-ის გამოყენებადობის გარკვევასა და ბიზნესის რეალურ მოთხოვნებზე მორგებული სამუშაო გეგმის შედგენაში.
PCI DSS ადგენს საგადახდო მონაცემების დაცვის მოთხოვნებს. მისი მოქმედების სფერო მოიცავს გარემოს, სადაც ბარათის მონაცემები ინახება, მუშავდება ან გადაიცემა, აგრეთვე კომპონენტებს, რომლებსაც მის უსაფრთხოებაზე გავლენის მოხდენა შეუძლიათ.
ტურისტული პლატფორმისთვის PCI DSS-ის პრაქტიკული საკითხია, კონკრეტულად სად შეჰყავს სტუმარს ბარათის მონაცემები და სად ხვდება შემდეგ მისი რეკვიზიტები. მხოლოდ გადახდის ფორმის შემოწმება საკმარისი არ არის: მონაცემები შეიძლება მხარდაჭერის სამსახურთან მიმოწერაში, აპლიკაციის ჟურნალებსა ან ჯავშნების მართვის სისტემაში აღმოჩნდეს.
თუ გადახდა პროვაიდერთან ხორციელდება, პლატფორმის პასუხისმგებლობის სფერო შეიძლება შემცირდეს. თუმცა პროვაიდერის შესაბამისობის დადასტურება ავტომატურად თქვენს კომპანიაზე არ ვრცელდება. მოვაჭრეს რჩება პროვაიდერის კონტროლისა და საკუთარი შესაბამისობის სათანადო გზით დადასტურების ვალდებულებები.
რომელ დოკუმენტებს ითხოვენ პარტნიორები
მომზადების დაწყებამდე დააზუსტეთ ხელშეკრულების ფორმულირებები და ექვაირინგის მომსახურე ბანკის მოთხოვნები. ვებსაიტზე განთავსებული ლამაზი ნიშანი არც შემოწმების ფარგლებს აჩვენებს და არც მის შედეგს.
- SOC 2-ისთვის: საჭირო ტიპის ანგარიში, სისტემის აღწერა, აუდიტორის დასკვნა, შემოწმების თარიღი ან პერიოდი. Type II-ისთვის ასევე მნიშვნელოვანია ტესტირების შედეგები და გამოვლენილი გადახრები.
- PCI DSS-ისთვის: AOC — Attestation of Compliance, რომელიც შესაბამისი შეფასების შედეგებს ასახავს. საფუძველი შეიძლება იყოს ROC — Report on Compliance ან სათანადო SAQ — თვითშეფასების კითხვარი, თუ ორგანიზაციას მისი გამოყენების უფლება აქვს.
- მიმწოდებლებისთვის: გამოყენებული მომსახურებების მოცვის დადასტურება და ვალდებულებების განაწილება პლატფორმას, ღრუბლოვანი მომსახურების მიმწოდებელსა და გადახდის პროვაიდერს შორის.
SOC 2 და PCI DSS: განსხვავება დაჯავშნის მაგალითზე
წარმოვიდგინოთ: პლატფორმა თბილისიდან ტურებს ყიდის, ტურისტების პროფილებს ინახავს, ხოლო გადახდებს გარე შლუზი იღებს. სასტუმროების საერთაშორისო ქსელმა სერვისის კონტროლის მექანიზმების შესაფასებლად შეიძლება SOC 2 მოითხოვოს. ამასთან, ექვაირერი ცალკე განსაზღვრავს PCI DSS-ისთვის საჭირო დამადასტურებელ დოკუმენტებს.
SOC 2 ანგარიში არ ცვლის გადახდის ნაკადისთვის PCI DSS-ის მოთხოვნების შეფასებას. თავის მხრივ, PCI DSS-ის AOC ავტომატურად არ ადასტურებს მთელი სერვისის ხელმისაწვდომობას ან ტურისტების ყველა პერსონალური მონაცემის დაცვას.
საერთო პროცესები შეიძლება ერთობლივად მოეწყოს: წვდომისა და ცვლილებების მართვა, ასევე ინციდენტებზე რეაგირება. ამ უკანასკნელისთვის სასარგებლოა მასალა ISO/IEC 27035-ის მიხედვით კიბერინციდენტების მართვის შესახებ. თუმცა ორი შემოწმების სფეროები და შედეგები დამოუკიდებელი რჩება.
საიდან დავიწყოთ მზადება
მიმართეთ BALTUM BUREAU-ს მომზადების საჭირო მიმართულებების განსასაზღვრად. დაიწყეთ დაჯავშნისა და გადახდის სქემით, მონაცემების ჩამონათვალითა და პარტნიორების მოთხოვნებით. ეს დაგეხმარებათ SOC 2-ის სფეროს შეთანხმებაში, PCI DSS-ის გამოყენებადობის გარკვევასა და ბიზნესის რეალურ მოთხოვნებზე მორგებული სამუშაო გეგმის შედგენაში.
