Maturitate SOC 2 · Securitatea datelor și a serviciilor informatice

SOC 2 este un cadru de atestare definit de AICPA pentru organizațiile care prelucrează date în numele clienților lor. Se bazează pe Trust Services Criteria: securitatea, obligatorie, apoi disponibilitatea, integritatea prelucrării, confidențialitatea și protecția datelor cu caracter personal, reținute în funcție de angajamentele asumate. Criteriile comune acoperă mediul de control, comunicarea, gestionarea riscurilor, activitățile de control, gestionarea accesului logic și fizic, operațiunile, gestionarea schimbării și atenuarea riscurilor. Un raport de tip I descrie proiectarea controalelor la o dată dată, un raport de tip II funcționarea lor efectivă pe o perioadă de observare.

În practică, dificultatea nu constă în descrierea controalelor, ci în demonstrarea faptului că au funcționat fără întrerupere pe întreaga perioadă. S-au desfășurat cu adevărat revizuirile trimestriale ale accesului, cu o urmă exploatabilă, sau au fost reconstituite înainte de audit? Schimbările implementate în regim de urgență urmează același circuit de aprobare ca celelalte? Subcontractanții critici fac obiectul unei revizuiri documentate, sau al unui contract semnat o singură dată pentru totdeauna? Aceste răspunsuri sunt cele care determină conținutul raportului, nu calitatea politicii scrise.

O confuzie revine adesea: SOC 2 nu este o certificare și nu se compară termen cu termen cu ISO 27001. SOC 2 produce un raport de atestare redactat de un cabinet independent, referitor la controalele pe care organizația însăși le-a definit pentru a-și respecta angajamentele de servicii. Latitudinea asupra perimetrului și asupra formulării controalelor este deci largă, ceea ce deplasează miza către coerența internă a dispozitivului. Organizațiile deja angajate pe ISO 27001 reutilizează o mare parte din soclul lor, cu condiția să reconstruiască logica probei pe durată.

Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului. Auditul se încheie cu o excepție sau cu absența unei excepții asupra unui anumit control. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea care permite trecerea la nivelul următor: ceea ce rămâne declarativ, ceea ce este aplicat dar netrasat, ceea ce este sistematic și măsurat. Acest lucru permite arbitrarea efortului înainte de perioada de observare, mai degrabă decât descoperirea lui în timpul acesteia.

În Datamensio, cadrul de referință este gata de utilizare și adaptabil. Inteligența artificială ajustează domeniile tematice, întrebările și nivelurile în funcție de perimetrul criteriilor reținute, sau construiește o variantă pornind de la propriile dumneavoastră politici și descrieri de controale.