Vyspělost SOC 2 · Bezpečnost dat a IT služeb
Vaše kontroly SOC 2 zařazené podle tematických oblastí a převedené do vyčísleného akčního plánu.
10 tematických oblastí, 129 otázek, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost SOC 2 · Bezpečnost dat a IT služeb
10 tematických oblastí, 129 otázek, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle SOC 2, Trust Services Criteria od AICPA (vydání 2017, revize 2022) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je propojuje) mění zjištění v trajektorii.
Probíhají a jsou dokumentovány revize oprávnění na systémech v rozsahu diagnostiky?
- N1
Žádná revize oprávnění se neorganizuje. Existující účty nebyly přezkoumány od svého vytvoření.
- N2
Revize probíhají z iniciativy některých týmů, bez stanovené periodicity nebo znovupoužitelné stopy.
- N3
Je stanovena a uplatňována pravidelná revize na hlavních systémech, s datovaným záznamem a určeným odpovědným.
- N4
Revize pokrývá celý rozsah, odebrání přístupů je sledováno až do provedení a mezery jsou sledovány až do uzavření.
- N5
Zjištěné mezery se promítají do revize pravidel přidělování, s ukazateli doby odebrání a revizí samotného postupu.
Akce pro posun z úrovně 2 na úroveň 3
Stanovit čtvrtletní periodicitu podle systému, určit obchodního schvalovatele pro každou aplikaci a napojit revizi na stávající bezpečnostní výbor, s datovaným exportem oprávnění uchovávaným jako důkaz.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína SOC 2.
O čem tento referenční rámec je
SOC 2 je rámec atestace definovaný AICPA pro organizace, které zpracovávají data jménem svých klientů. Vychází z Trust Services Criteria: povinného zabezpečení, dále pak dostupnosti, integrity zpracování, důvěrnosti a ochrany osobních údajů, vybíraných podle přijatých závazků. Společná kritéria pokrývají prostředí kontroly, komunikaci, řízení rizik, kontrolní činnosti, řízení logických a fyzických přístupů, provoz, řízení změn a zmírňování rizik. Zpráva typu I popisuje návrh kontrol k danému datu, zpráva typu II jejich skutečné fungování po dobu sledovaného období.
V praxi není obtížné popsat kontroly, ale prokázat, že fungovaly bez přerušení po celé období. Proběhly čtvrtletní revize přístupů skutečně, se zpracovatelnou stopou, nebo byly rekonstruovány těsně před auditem? Procházejí změny nasazené narychlo stejným schvalovacím postupem jako ostatní? Jsou kritičtí dodavatelé předmětem zdokumentované revize, nebo jen jednou podepsané smlouvy? Právě tyto odpovědi určují obsah zprávy, nikoli kvalita napsané politiky.
Často se opakuje nedorozumění: SOC 2 není certifikace a nesrovnává se bod po bodu s ISO 27001. SOC 2 vytváří atestační zprávu sepsanou nezávislou auditorskou firmou, zaměřenou na kontroly, které si organizace sama definovala pro splnění svých servisních závazků. Volnost v rozsahu i formulaci kontrol je tak značná, což přesouvá důraz na vnitřní soudržnost celého dispozitivu. Organizace již zapojené do ISO 27001 využijí velkou část svého základu, pokud dokážou vybudovat logiku důkazů v čase.
Diagnostika vyspělosti odpovídá na jinou otázku než audit. Audit končí výjimkou nebo absencí výjimky u dané kontroly. Diagnostika zařazuje každou praxi na postupnou škálu a uvádí akci, která umožní posun na vyšší úroveň: co zůstává jen deklarativní, co je uplatňováno, ale netrasováno, co je systematické a měřené. To umožňuje rozhodnout o úsilí před sledovaným obdobím, místo aby se to zjišťovalo až během něj.
V platformě Datamensio je referenční rámec připravený k použití a přizpůsobitelný. AI upravuje tematické oblasti, otázky a úrovně podle rozsahu zvolených kritérií, nebo vytvoří vlastní variantu na základě vašich politik a popisů kontrol.
Referenční norma: SOC 2, Trust Services Criteria od AICPA (vydání 2017, revize 2022)
Hodnocené tematické oblasti
Prostředí kontroly a řízení
Angažovanost vedení, role a odpovědnosti, nezávislost kontrolních funkcí, referenční politiky, kompetence týmů.
Komunikace a informace
Vnitřní šíření politik, formalizované servisní závazky vůči klientům, kanály pro oznamování, informování dodavatelů.
Posouzení rizik
Identifikace rizik ohrožujících servisní závazky, zohlednění podvodu a změny, mapování systémů a datových toků.
Dohled nad kontrolami
Kontroly druhé úrovně, pravidelné revize, sledování výjimek a nápravných plánů až do uzavření.
Řízení logických a fyzických přístupů
Životní cyklus účtů, autentizace a oprávnění, revize oprávnění, administrátorské přístupy, přístup do prostor a produkčních prostředí.
Provoz a dohled
Detekce incidentů, postup reakce, logování, řízení zranitelností, zálohování a testované obnovy.
Řízení změn
Schvalovací postup, oddělení prostředí, testování, postupy návratu zpět, zpracování naléhavých změn.
Dostupnost a kontinuita
Závazky úrovně služby, kapacita, redundance, plán kontinuity a obnovy, zdokumentovaná cvičení.
Důvěrnost a ochrana dat
Klasifikace, šifrování v klidu i při přenosu, doby uchování, mazání po skončení smlouvy, zpracování osobních údajů.
Řízení třetích stran a dodavatelského řetězce
Výběr kritických dodavatelů, bezpečnostní doložky, revize přijatých atestačních zpráv, sledování subdodavatelů druhé úrovně.
Zkrácená verze referenčního rámce, s 40 otázkami, je k dispozici pro online sebehodnocení. Úplná verze obsahuje 10 tematických oblastí a 129 otázek.
Často kladené otázky
Je SOC 2 certifikace?
Ne. SOC 2 vede k atestační zprávě vydané nezávislou auditorskou firmou o kontrolách, které jste si sami definovali. Datamensio měří vyspělost těchto kontrol a připravuje zásah auditorské firmy, nevydává žádnou atestační zprávu.
Jaký je rozdíl mezi touto diagnostikou a auditem SOC 2?
Audit se vyjadřuje kontrolu po kontrole a zaznamenává výjimky. Diagnostika zařazuje každou praxi na škálu vyspělosti a uvádí akci, která umožní posun o úroveň výš. První ověřuje, druhá slouží k rozhodnutí, kam investovat před sledovaným obdobím.
Musíte zvolit mezi typem I a typem II před zahájením hodnocení?
Ne. Diagnostika pokrývá návrh i fungování kontrol, což právě tuto volbu osvětluje. Nejvyšší úrovně se týkají pravidelnosti a sledovatelnosti v čase, tedy toho, co zkoumá zpráva typu II.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu, se obvykle rozloží na jeden až dva týdny: většina času jde na sběr údajů u technických týmů a správců aplikací.
Lze referenční rámec přizpůsobit vašemu rozsahu?
Ano. Zvolíte si vybraná kritéria, upravíte otázky a úrovně, přidáte vlastní tematické oblasti. AI může také vygenerovat variantu na základě vašich stávajících popisů kontrol. Kontrolu nad referenčním rámcem máte vy.
Jak propojit SOC 2 se stávající ISO 27001?
Velká část základu je společná, zejména řízení přístupů, změn a třetích stran. Průřezová roadmapa konsoliduje obě diagnostiky a zabraňuje duplikaci akcí, přičemž rozlišuje mezi tím, co patří k systému managementu, a tím, co patří k důkazu za dané období.
Lze porovnat více entit mezi sebou?
Ano. Stejný referenční rámec se použije na více obchodních jednotek nebo platforem, s benchmarkem mezi entitami i vůči předchozím hodnocením. To se hodí, pokud rozsah zprávy pokrývá více produktových týmů.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely AI lze vybírat, včetně evropských řešení.