SOC 2 деген эмне?
SOC 2 (System and Organisation Controls 2) — Америка дипломдуу бухгалтерлер институту (AICPA) тарабынан иштелип чыккан аудит стандарты. Ал сервистик уюмдун контролдук чараларын ишенимдүү кызматтардын критерийлери (Trust Services Criteria, TSC) боюнча баалайт: Коопсуздук, Жеткиликтүүлүк, Иштетүү бүтүндүгү, Купуялуулук жана Жеке маалымат коргоо. Коопсуздук (Common Criteria) милдеттүү; калган төрт критерий бизнес контекстине жараша тандалат.
SOC 2 Type I и Type II
- Type I — контролдук чаралардын тийиштүү долбоорлонушун тастыктаган белгилүү датага баалоо. Типтүү мөөнөт: 2-3 ай. Type IIге даярдоодо аралык отчет катары колдонулат.
- Type II — байкоо мезгили ичиндеги баалоо (адатта, 6-12 ай), бүт мезгил ичинде контролдук чаралардын натыйжалуу иштешин тастыктайт. Көпчүлүк корпоративдик сатып алуучулар жана Fortune 500 компаниялары талап кылат.
SOC 2 кимге керек?
- АКШда корпоративдик кардарлары бар SaaS жана булут компанияларына
- Булут инфраструктурасы, хостинг жана маалымат борборлорунун провайдерлерине
- Башкарылуучу коопсуздук кызматтары жана IT-сервистердин провайдерлерине
- HR, эмгек акы эсептөө жана жеңилдиктер платформаларына
- Корпоративдик коопсуздук анкеталарына жооп берген ар кандай технологиялык берүүчүгө
Ишенимдүү кызматтардын критерийлери — Common Criteria сереби
- CC1 — Контролдук чөйрө (башкаруу, отчеттуулук)
- CC2 — Коммуникация жана маалымат
- CC3 — Тобокелдиктерди баалоо
- CC4 — Контролдук чараларды мониторинг
- CC5 — Контролдук аракеттер (саясаттар жана процедуралар)
- CC6 — Логикалык жана физикалык кирүү контролу
- CC7 — Системалык операциялар (аномалияларды аныктоо, инциденттерге жооп кайтаруу)
- CC8 — Өзгөртүүлөрдү башкаруу
- CC9 — Тобокелдиктерди азайтуу
BALTUMдун SOC 2 коштоосу
- Бардык колдонулуучу ишенимдүү кызматтардын критерийлери боюнча даярдыкты баалоо
- Шайкес эместиктердин реестри жана жоюу боюнча жол картасы
- TSC талаптарына ылайык саясаттарды жана процедураларды иштеп чыгуу
- GRC-платформаны ишке ашыруу (Vanta, Drata, Sprinto же аналогдуу)
- Type I жана Type II аудиттерин жүргүзүү үчүн CPA-фирма менен координация
- Шайкештикти туруктуу коштоо жана жылдык аудитти колдоо
Интеграция SOC 2 + ISO 27001
BALTUMдун бирдиктүү далил базасынын системасы SOC 2 ишенимдүү кызматтардын критерийлерин ISO 27001:2022 A Тиркемесинин контролдук чаралары менен салыштырат — бул бирдиктүү саясаттар китепканасы, бирдиктүү тобокелдиктерди баалоо процесси жана аудиторлук иш-чаралардын кайталанышын олуттуу кыскартуу менен SOC 2 жана ISO 27001 сертификациясын бир убакта алууга мүмкүндүк берет.