Zrelost SOC 2 · Varnost podatkov in informacijskih storitev
Vaše kontrole SOC 2, opredeljene po tematskih področjih in prevedene v konkreten akcijski načrt.
10 tematskih področij, 129 vprašanj, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost SOC 2 · Varnost podatkov in informacijskih storitev
10 tematskih področij, 129 vprašanj, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika SOC 2, Trust Services Criteria organizacije AICPA (izdaja 2017, revizija 2022) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, naslednja raven in ukrep, ki ju povezuje) spremeni ugotovitev v razvojno pot.
Ali se pregledi pravic dostopa na sistemih znotraj obsega izvajajo in beležijo?
- N1
Pregledi pravic dostopa niso organizirani. Obstoječi računi od njihove vzpostavitve niso bili ponovno pregledani.
- N2
Pregledi potekajo na pobudo nekaterih ekip, brez določene periodičnosti ali ponovno uporabne sledi.
- N3
Periodični pregled je opredeljen in se izvaja na glavnih sistemih, z datiranim zapisnikom in določenim odgovornim.
- N4
Pregled zajema celoten obseg, odvzemi dostopov so sledljivi do izvedbe, odstopanja pa se spremljajo do zaprtja.
- N5
Odkrita odstopanja se vključujejo v pregled pravil dodeljevanja, z indikatorji roka odvzema in presojo samega postopka.
Ukrep za prehod z N2 na N3
Določiti četrtletno periodičnost za vsak sistem, imenovati poslovnega potrjevalca za vsako aplikacijo in pregled vključiti v obstoječi varnostni odbor, pri čemer se kot dokazilo hrani datiran izpis pravic dostopa.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna SOC 2.
O čem govori ta referenčni okvir
SOC 2 je okvir atestiranja, ki ga je opredelila organizacija AICPA za organizacije, ki obdelujejo podatke v imenu svojih strank. Temelji na Trust Services Criteria: varnost, ki je obvezna, nato razpoložljivost, celovitost obdelave, zaupnost in zaščita osebnih podatkov, izbrani glede na prevzete zaveze. Skupna merila pokrivajo kontrolno okolje, komunikacijo, obvladovanje tveganj, kontrolne aktivnosti, upravljanje logičnih in fizičnih dostopov, operacije, upravljanje sprememb in blažitev tveganj. Poročilo tipa I opisuje zasnovo kontrol na določen dan, poročilo tipa II pa njihovo dejansko delovanje v opazovanem obdobju.
V praksi težava ni opisati kontrole, temveč dokazati, da so delovale neprekinjeno skozi celotno obdobje. Ali so se četrtletni pregledi dostopov dejansko izvajali, z uporabno sledjo, ali so bili rekonstruirani tik pred presojo? Ali spremembe, uvedene v nujnih primerih, sledijo istemu postopku odobritve kot ostale? Ali kritični podizvajalci podlegajo dokumentiranemu pregledu, ali le enkrat podpisani pogodbi? Prav ti odgovori določajo vsebino poročila, ne kakovost zapisane politike.
Pogosto prihaja do zmede: SOC 2 ni certifikacija in se ne da enostavno primerjati s SIST ISO/IEC 27001. SOC 2 pripelje do poročila o atestiranju, ki ga pripravi neodvisna revizorska družba, in zajema kontrole, ki jih je organizacija sama opredelila za izpolnjevanje svojih storitvenih zavez. Prostor za presojo glede obsega in formulacije kontrol je torej velik, kar premakne težišče na notranjo skladnost sistema. Organizacije, ki že imajo vzpostavljen SIST ISO/IEC 27001, lahko ponovno uporabijo velik del svojega temelja, pod pogojem, da dokazno logiko obnovijo za celotno obdobje.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja. Presoja se zaključi z ugotovljenim odstopanjem ali z njegovo odsotnostjo pri posamezni kontroli. Diagnostika uvrsti vsako prakso na postopno lestvico in pokaže ukrep, ki omogoči prehod na naslednjo raven: kaj ostaja zgolj deklarativno, kaj je uveljavljeno, a ni sledljivo, kaj je sistematično in merjeno. Prav to omogoča, da se napor razporedi pred opazovanim obdobjem, namesto da se pomanjkljivosti odkrijejo med njim.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo in prilagodljiv. UI prilagodi tematska področja, vprašanja in ravni glede na obseg izbranih meril, ali pa na podlagi vaših lastnih politik in opisov kontrol pripravi lastno različico.
Referenčni standard: SOC 2, Trust Services Criteria organizacije AICPA (izdaja 2017, revizija 2022)
Ocenjevana tematska področja
Kontrolno okolje in upravljanje
Zaveza vodstva, vloge in odgovornosti, neodvisnost kontrolnih funkcij, referenčne politike, usposobljenost ekip.
Komunikacija in informiranje
Notranje obveščanje o politikah, formalizirane storitvene zaveze do strank, kanali za prijavo, obveščanje podizvajalcev.
Ocenjevanje tveganj
Prepoznavanje tveganj za storitvene zaveze, upoštevanje goljufij in sprememb, kartiranje sistemov in podatkovnih tokov.
Nadzor nad kontrolami
Kontrole druge ravni, periodični pregledi, spremljanje odstopanj in sanacijskih načrtov do njihovega zaprtja.
Upravljanje logičnih in fizičnih dostopov
Življenjski cikel računov, avtentikacija in privilegiji, pregledi pravic, skrbniški dostopi, dostop do prostorov in produkcijskih okolij.
Operacije in nadzor
Odkrivanje incidentov, postopek odzivanja, beleženje dogodkov, upravljanje ranljivosti, testirane varnostne kopije in obnovitve.
Upravljanje sprememb
Postopek odobritve, ločitev okolij, testiranje, postopki vrnitve na prejšnje stanje, obravnava nujnih sprememb.
Razpoložljivost in neprekinjeno poslovanje
Zaveze glede ravni storitve, zmogljivost, redundanca, načrt neprekinjenega poslovanja in okrevanja, dokumentirane vaje.
Zaupnost in zaščita podatkov
Klasifikacija, šifriranje v mirovanju in prenosu, roki hrambe, brisanje ob prenehanju pogodbe, obravnava osebnih podatkov.
Upravljanje tretjih strani in dobavne verige
Izbor kritičnih dobaviteljev, varnostne klavzule, pregled prejetih poročil o atestiranju, spremljanje podizvajalcev druge ravni.
Krajša različica referenčnega okvira obsega 40 vprašanj in je na voljo za spletno samoocenjevanje. Celotna različica obsega 10 tematskih področij in 129 vprašanj.
Pogosta vprašanja
Ali je SOC 2 certifikacija?
Ne. SOC 2 pripelje do poročila o atestiranju, ki ga izda neodvisna revizorska družba o kontrolah, ki ste jih sami opredelili. Datamensio meri zrelost teh kontrol in pripravi podlago za poseg revizorske družbe, ne izdaja pa nobenega poročila o atestiranju.
Kakšna je razlika med to diagnostiko in presojo SOC 2?
Presoja se opredeli po posamezni kontroli in ugotavlja odstopanja. Diagnostika uvrsti vsako prakso na lestvico zrelosti in pokaže ukrep, ki omogoči prehod na višjo raven. Prva potrjuje, druga pa pomaga odločiti, kam vložiti pred opazovanim obdobjem.
Ali je treba izbrati med tipom I in tipom II pred začetkom ocenjevanja?
Ne. Diagnostika zajema tako zasnovo kot delovanje kontrol, kar prav to odločitev osvetli. Najvišje ravni se nanašajo na rednost in sledljivost skozi čas, torej na tisto, kar preučuje poročilo tipa II.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu, običajno traja od enega do dveh tednov: večino časa vzame zbiranje podatkov pri tehničnih ekipah in vodjih aplikacij.
Ali je referenčni okvir mogoče prilagoditi našemu obsegu?
Da. Izberete izbrana merila, spremenite vprašanja in ravni, dodate lastna tematska področja. UI lahko tudi ustvari prilagojeno različico na podlagi vaših obstoječih opisov kontrol. Nadzor nad referenčnim okvirom ostane v vaših rokah.
Kako povezati SOC 2 z že vzpostavljenim SIST ISO/IEC 27001?
Velik del temelja je skupen, zlasti upravljanje dostopov, sprememb in tretjih strani. Presečni načrt poti združi obe diagnostiki in prepreči podvajanje ukrepov, pri čemer ločuje tisto, kar sodi v sistem vodenja, od tistega, kar sodi v dokazovanje za obdobje.
Ali je mogoče primerjati več entitet med seboj?
Da. Isti referenčni okvir se uporablja za več poslovnih enot ali platform, z medsebojno primerjavo entitet in primerjavo s predhodnimi ocenjevanji. To je koristno, kadar obseg poročila zajema več produktnih ekip.
Kje so shranjeni podatki?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri ponudniku Scaleway. Brez prenosa podatkov izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.