Najbrži način da postanete usklađeni sa SOC 2

Kratak odgovor

Da biste najbrže postali usklađeni sa SOC 2:

1. Počnite sa izveštajem Tip I. On proverava da li su vaše kontrole pravilno osmišljene u jednom trenutku, pa nema perioda posmatranja na koji morate da čekate.
2. Obim prilagodite onome što je potrebno vašim klijentima. Bezbednost je uvek obavezna. Dostupnost, Poverljivost, Integritet obrade ili Privatnost dodajte samo kada ih obećavate klijentima.
3. Politike i kontrole izgradite na osnovu toga kako već radite. Ne krećite od praznih šablona.
4. Povežite svoje alate. Tako se dokazi prikupljaju automatski, a ne pravljenjem snimaka ekrana.
5. Rano angažujte licenciranu CPA firmu. Tako je vaš audit zakazan dok se još pripremate.
6. Period posmatranja za Tip II počnite čim vaše kontrole prorade. Mnoge kompanije za svoj prvi izveštaj Tip II biraju period od 3 meseca.

Uz Genroks je većina timova spremna za audit za nekoliko nedelja: vaše politike su spremne posle onboardinga, dokazi se prikupljaju iz povezanih alata, a licenciranu CPA firmu koordinišemo umesto vas.

Tip I ili Tip II: šta je brže?

	SOC 2 Tip I	SOC 2 Tip II
Šta proverava	Da li su vaše kontrole pravilno osmišljene	Da li su vaše kontrole funkcionisale tokom određenog perioda
Period posmatranja	Nema ga, proverava se jedan trenutak	Obično 3 do 12 meseci
Vreme do izveštaja	Priprema, zatim audit	Priprema, period posmatranja, zatim audit
Ko ga traži	Klijenti kojima izveštaj treba uskoro	Većina velikih klijenata

Tip I je najbrži način da SOC 2 izveštaj imate u rukama. Većina velikih klijenata na kraju traži Tip II, pa je najbrži put u celini obično Tip I sada, da biste odblokirali poslove, a Tip II posle toga. Ako vaši klijenti prihvataju isključivo Tip II, preskočite Tip I i počnite period posmatranja čim uvedete kontrole.

Gde odlazi vreme kod SOC 2

• Odluka o tome šta ulazi u obim. Koji sistemi, koji kriterijumi. Nejasan obim kasnije znači dodatni posao.
• Pisanje politika. Bezbednost informacija, kontrola pristupa, upravljanje promenama, odgovor na incidente, upravljanje dobavljačima i još mnogo toga. Na Genroksu su spremne posle onboardinga.
• Dokazi tokom celog perioda. Provere pristupa, odobrenja promena, zapisi o prijemu i odlasku zaposlenih, završene obuke. Kada se prikupljaju ručno, tu nestaju meseci. Povezani alati većinu toga obezbeđuju automatski.
• Pronalaženje auditora. SOC 2 izveštaj može da izda samo licencirana CPA firma, a dobre firme imaju popunjene termine unapred.
• Dobavljači. SOC 2 očekuje da proveravate dobavljače koji rukuju podacima vaših klijenata.

Najbrži put, korak po korak

1. Izaberite kriterijume i obim

Bezbednost je obavezna. Ostale Trust Services kriterijume dodajte samo kada ih zahtevaju vaši ugovori ili klijenti. U obim uključite sistem koji služi vašim klijentima: proizvod, infrastrukturu na kojoj radi i ljude koji ga vode.

2. Procenite gde stojite

Procena spremnosti poredi način na koji danas radite sa kriterijumima i pokazuje vaše nedostatke. Na Genroksu je to vođeni niz pitanja na jednostavnom jeziku.

3. Uvedite politike i kontrole

Zatvorite nedostatke kroz vođene zadatke, svaki sa odgovornom osobom. Tipičan posao: višefaktorska autentifikacija, provere pristupa, upravljanje promenama, logovanje i nadzor, odgovor na incidente, obuka o bezbednosti i provere dobavljača.

4. Povežite svoje alate

Povežite Google Workspace, AWS, GitHub i ostale alate. Genroks većinu dokaza prikuplja automatski, a ostatak traži od prave osobe.

5. Dobijte izveštaj Tip I

CPA firma proverava da li su vaše kontrole pravilno osmišljene u određenom trenutku. Genroks organizuje dokaze i koordiniše audit.

6. Prođite period posmatranja i dobijte Tip II

Vaše kontrole nastavljaju da rade, a Genroks prikuplja dokaze tokom celog perioda. Na kraju CPA firma testira kako su vaše kontrole funkcionisale i izdaje vaš izveštaj Tip II.

7. Podelite ga i obnavljajte

Podelite izveštaj uz NDA kroz svoj Trust Center i obnavljajte ga svake godine.

Već imate ISO 27001? Prešli ste veći deo puta

ISO 27001 i SOC 2 se u velikoj meri preklapaju: procena rizika, kontrola pristupa, upravljanje promenama, odgovor na incidente i upravljanje dobavljačima. Genroks mapira ono što ste već uradili na Trust Services kriterijume, pa zatvarate samo razliku.

Ko izdaje SOC 2 izveštaj?

Licencirana CPA firma, u skladu sa AICPA standardima. Genroks vas priprema, organizuje dokaze i koordiniše audit, ali sam ne izdaje izveštaj.

Kako vas Genroks brže dovodi do SOC 2

• Politike spremne posle onboardinga, napravljene na osnovu vaših stvarnih procesa i sistema
• Kontrole mapirane na Trust Services kriterijume, a svaki nedostatak ima odgovornu osobu
• Dokazi koji se automatski prikupljaju iz povezanih alata tokom celog perioda posmatranja
• Licencirana CPA firma koju koordinišemo umesto vas
• Trust Center za deljenje izveštaja sa klijentima

Platforma za SOC 2 košta €299 mesečno, a za SOC 2 i ISO 27001 zajedno €450 mesečno.

Česta pitanja

Koliko traje SOC 2?

Uz Genroks je većina timova za nekoliko nedelja spremna za Tip I audit. Tip II dodaje period posmatranja, obično od 3 do 12 meseci, a mnoge kompanije za prvi izveštaj biraju 3 meseca.

Da li je SOC 2 obavezan?

Nijedan zakon ga ne propisuje. U praksi američki klijenti, naročito veći, traže SOC 2 izveštaj pre potpisivanja ugovora.

Koji Trust Services kriterijumi su nam potrebni?

Bezbednost je obavezna. Dostupnost, poverljivost, integritet obrade i privatnost dodaju se u zavisnosti od toga šta obećavate svojim klijentima.

Da li nam treba SOC 2 ili ISO 27001?

SOC 2 je izveštaj koji očekuju američki klijenti. ISO 27001 je međunarodni sertifikat koji traži većina evropskih klijenata i tendera. Na Genroksu se isti posao računa za oba. Pogledajte najbrži način da dobijete ISO 27001 sertifikat.

Sledeći korak

Zakažite demo i pogledajte gde danas stojite sa SOC 2 i šta Genroks od te tačke gradi za vas.