Автор Богдан 
Если ваш клиент из США просит отчет SOC 2, это не прихоть службы закупок, а стандартная процедура проверки поставщика. Аудитор Кирилл Проскурня, который готовит компании из Украины, Казахстана и Балтии к SOC 2, рассказывает, что это за отчет, чем он отличается от ISO/IEC 27001 и сколько времени занимает подготовка.
Что такое SOC 2
SOC 2 это отчет независимого аудитора о том, как компания контролирует безопасность, доступность, целостность обработки, конфиденциальность и приватность данных клиентов. Его выдает лицензированная аудиторская фирма США (CPA) по стандартам Американского института сертифицированных бухгалтеров.
Есть два типа отчета. Type 1 подтверждает, что контроли спроектированы правильно на конкретную дату. Type 2 подтверждает, что они работали на протяжении периода, обычно от шести до двенадцати месяцев. По словам Кирилла Проскурни, крупные американские клиенты почти всегда просят Type 2, но путь к нему начинается с Type 1.
Чем SOC 2 отличается от ISO/IEC 27001
Оба документа про информационную безопасность, но подход разный. ISO/IEC 27001 это сертификат соответствия международному стандарту, который выдает орган по сертификации. SOC 2 это отчет, в котором аудитор описывает систему компании и проверяет каждый контроль, а результат читает клиент.
«ISO/IEC 27001 отвечает на вопрос, есть ли у компании система. SOC 2 отвечает на вопрос, что именно она делает и работает ли это. Американский заказчик хочет видеть второе, европейский чаще просит первое. Компании, которые продают на оба рынка, делают оба документа, и это разумно, потому что контроли пересекаются примерно на 70 процентов», объясняет Кирилл Проскурня.
Пять ошибок при подготовке
Из опыта проектов Кирилл Проскурня выделяет типичные проблемы:
- Слишком широкий охват. Компания включает в отчет все сервисы и все офисы, а потом не справляется с объемом доказательств. Начинать нужно с одного продукта.
- Контроли на бумаге. Политика написана, но журналы не ведутся. Аудитор SOC 2 просит доказательства за каждый месяц периода.
- Нет мониторинга доступа. Квартальный пересмотр прав доступа это один из самых частых пунктов, который компании забывают.
- Поставщики без оценки. Облачный провайдер, сервис рассылок, подрядчик по разработке должны быть оценены и зафиксированы.
- Выбор аудитора в последний момент. Хорошие CPA-фирмы планируют загрузку на месяцы вперед.
Сроки и этапы
Подготовка к Type 1 для компании до 100 сотрудников занимает три-четыре месяца: определение охвата, анализ пробелов, внедрение недостающих контролей, сбор доказательств. Затем аудит CPA-фирмы, обычно две-четыре недели. После этого начинается период наблюдения для Type 2.
Кирилл Проскурня советует использовать платформы автоматизации сбора доказательств: они снимают с команды рутину по скриншотам и выгрузкам, но не заменяют самих контролей.
Отдельно стоит сказать о выборе критериев. SOC 2 позволяет включить в отчет от одного до пяти критериев доверия, и большинство компаний начинают только с безопасности. Кирилл Проскурня рекомендует добавлять доступность и конфиденциальность, если клиент обрабатывает через вашу систему свои данные в режиме реального времени: это именно те вопросы, которые задает служба безопасности заказчика на втором круге проверки.
Что получает бизнес
Отчет SOC 2 закрывает вопросы безопасности на этапе продаж: вместо двухсот вопросов в анкете клиент получает документ и читает его сам. Для аутсорсинговых и продуктовых компаний это часто разница между подписанным контрактом и потерянной сделкой.
Подробнее о подготовке к SOC 2 и ISO/IEC 27001 на сайте аудитора Кирилла Проскурни.
Об авторе: Кирилл Проскурня, ведущий аудитор ISO/IEC 27001, CISA, CIPP/E, CIPP/US, AIGP, основатель консалтинговой компании BALTUM. Профиль в LinkedIn.