Dojrzałość SOC 2 · Bezpieczeństwo danych i usług informatycznych

SOC 2 to ramy atestacyjne opracowane przez AICPA dla organizacji przetwarzających dane na rzecz swoich klientów. Opierają się na Trust Services Criteria: obowiązkowym bezpieczeństwie, a następnie dostępności, integralności przetwarzania, poufności i ochronie danych osobowych, wybieranych w zależności od podjętych zobowiązań. Kryteria wspólne obejmują środowisko kontroli, komunikację, zarządzanie ryzykiem, działania kontrolne, zarządzanie dostępem logicznym i fizycznym, operacje, zarządzanie zmianą oraz ograniczanie ryzyka. Raport typu I opisuje projekt kontroli na dany dzień, raport typu II ich rzeczywiste funkcjonowanie w okresie obserwacji.

W praktyce trudność polega nie na opisaniu kontroli, lecz na wykazaniu, że funkcjonowały bez przerwy przez cały okres. Czy kwartalne przeglądy dostępów rzeczywiście się odbyły, z dającym się wykorzystać śladem, czy też zostały zrekonstruowane przed audytem? Czy zmiany wdrażane w trybie awaryjnym przechodzą tę samą ścieżkę zatwierdzania co pozostałe? Czy kluczowi podwykonawcy podlegają udokumentowanemu przeglądowi, czy też dysponują umową podpisaną raz na zawsze? To właśnie te odpowiedzi decydują o treści raportu, a nie jakość spisanej polityki.

Często pojawia się nieporozumienie: SOC 2 nie jest certyfikacją i nie da się go porównywać punkt po punkcie z ISO 27001. SOC 2 skutkuje raportem atestacyjnym sporządzonym przez niezależną firmę, dotyczącym kontroli, które organizacja sama określiła, aby dotrzymać swoich zobowiązań usługowych. Swoboda w zakresie zakresu i sformułowania kontroli jest więc duża, co przesuwa punkt ciężkości na wewnętrzną spójność całego mechanizmu. Organizacje, które wdrożyły już ISO 27001, wykorzystują ponownie znaczną część swojego fundamentu, pod warunkiem przebudowania logiki dowodowej w ujęciu czasowym.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt. Audyt kończy się wskazaniem wyjątku lub jego braku dla danej kontroli. Diagnoza umiejscawia każdą praktykę na skali progresywnej i wskazuje działanie, które pozwala przejść na wyższy poziom: co pozostaje deklaratywne, co jest stosowane, ale nieudokumentowane, co jest systematyczne i mierzone. To właśnie pozwala zdecydować, gdzie skierować wysiłek przed okresem obserwacji, zamiast odkrywać to w jego trakcie.

W Datamensio model referencyjny jest gotowy do użycia i można go dostosować. SI dopasowuje obszary tematyczne, pytania i poziomy do zakresu wybranych kryteriów, lub buduje wariant na podstawie Państwa własnych polityk i opisów kontroli.