Czym jest SOC 2?
SOC 2 (System and Organization Controls 2) to standard raportowania opracowany przez AICPA (American Institute of Certified Public Accountants). Wynikiem badania nie jest certyfikat, lecz raport atestacyjny, czyli szczegółowy dokument, w którym niezależny biegły rewident opisuje system organizacji usługowej i wydaje opinię o jej kontrolach wewnętrznych.
Podstawą oceny są Trust Services Criteria (TSC): bezpieczeństwo (kategoria obowiązkowa, tak zwane Common Criteria CC1–CC9), a opcjonalnie także dostępność, integralność przetwarzania, poufność i prywatność. Organizacja sama wybiera zakres kategorii, który odpowiada zobowiązaniom składanym klientom.
W odróżnieniu od certyfikacji ISO 27001 raport SOC 2 jest dokumentem poufnym, przekazywanym klientom i partnerom zwykle po podpisaniu NDA. Nie ma publicznego „certyfikatu SOC 2", mimo że potocznie tak się o nim mówi.
Type I vs Type II
Raport Type I ocenia projekt kontroli w konkretnym momencie w czasie: audytor potwierdza, że na wskazany dzień kontrole są odpowiednio zaprojektowane i wdrożone. To szybsza i tańsza opcja, często wybierana jako pierwszy krok.
Raport Type II ocenia dodatkowo skuteczność operacyjną kontroli w okresie obserwacji, zwykle od 3 do 12 miesięcy. Audytor testuje próbki dowodów z całego okresu (na przykład wdrożenia, przeglądy dostępu, obsługę incydentów), dlatego Type II ma znacznie większą wartość dowodową.
Dojrzali odbiorcy (zwłaszcza klienci enterprise w Stanach Zjednoczonych) niemal zawsze oczekują raportu Type II. Typowa ścieżka to Type I na start, a następnie coroczne raporty Type II obejmujące kolejne okresy obserwacji.
Kogo dotyczy?
SOC 2 nie jest wymogiem prawnym. To standard rynkowy wymuszany przez klientów. Dotyczy przede wszystkim organizacji usługowych, które przetwarzają lub przechowują dane swoich klientów: firm SaaS, dostawców usług chmurowych i hostingowych, centrów danych, firm outsourcingowych i fintechów.
W praktyce raport SOC 2 staje się warunkiem wejścia dla firm sprzedających do klientów w Stanach Zjednoczonych oraz do segmentu enterprise. Działy zakupów i bezpieczeństwa dużych organizacji wymagają raportu SOC 2 (lub certyfikatu ISO 27001) w procesie badania dostawcy, a jego brak potrafi zablokować transakcję lub znacząco wydłużyć proces sprzedaży.
Dla europejskich firm SaaS planujących ekspansję na rynek amerykański SOC 2 jest naturalnym uzupełnieniem ISO 27001. Oba systemy w dużej mierze pokrywają się kontrolami, więc drugi standard wdraża się znacznie szybciej niż pierwszy.
Jak wygląda badanie?
Badanie SOC 2 może przeprowadzić wyłącznie niezależna firma audytorska licencjonowana jako CPA (Certified Public Accountant), działająca według standardów atestacyjnych AICPA. Audytor musi być niezależny od badanej organizacji: nie może jednocześnie doradzać przy wdrożeniu i wydawać opinii.
Proces zaczyna się od określenia zakresu: opisu systemu, wybranych kategorii Trust Services i okresu obserwacji. Następnie audytor zbiera i testuje dowody (polityki, konfiguracje, logi, próbki zmian i incydentów) oraz przeprowadza wywiady z zespołem. Częstą praktyką jest wcześniejsza ocena gotowości, która wskazuje luki do usunięcia przed właściwym badaniem.
Wynikiem jest raport zawierający opinię audytora (list atestacyjny), opis systemu przygotowany przez zarząd, listę kontroli oraz wyniki testów wraz z ewentualnymi wyjątkami. Opinia bez zastrzeżeń („unqualified") oznacza, że kontrole spełniają kryteria; wyjątki opisane w raporcie klienci oceniają we własnym zakresie.
Jak pomaga Guardiso?
Guardiso zawiera pełny zestaw Trust Services Criteria (51 kryteriów wraz z punktami uwagi, czyli Points of Focus) jako gotowe kontrole z opisami po polsku i angielsku. Włączenie standardu automatycznie tworzy kontrole w Twojej organizacji, a mapowanie krzyżowe pokazuje, które wymagania pokrywasz już dzięki ISO 27001 lub innym wdrożonym standardom.
Automatyczne zbieranie dowodów z integracji (dostawcy chmury, repozytoria kodu, systemy HR i narzędzia bezpieczeństwa) buduje ciągłą bazę dowodową, kluczową dla raportu Type II, w którym audytor testuje skuteczność kontroli w całym okresie obserwacji, a nie tylko w dniu badania.
Samoocena gotowości, rejestr ryzyk, zarządzanie politykami i zadaniami naprawczymi prowadzą Cię od pierwszej analizy luk do pełnej gotowości przed badaniem. Gdy audytor CPA poprosi o dowody, wszystko jest w jednym miejscu, uporządkowane według kryteriów TSC i gotowe do udostępnienia.