Готовность к SOC 2, когда клиент из США ждёт отчёт аудитора

AICPA описывает SOC как набор услуг, которые CPA оказывают в отношении контролей сервисной организации. Отчёт SOC 2 посвящён контролям, относящимся к пяти категориям: безопасность, доступность, целостность обработки, конфиденциальность и приватность. Руководство AICPA прямо называет тех, кому он нужен: клиентам и деловым партнёрам требуется информация о дизайне, работе и эффективности контролей сервиса.

Кто читает отчёт у клиента

Отчёт изучают служба безопасности, юристы и закупки покупателя. Использование SOC 2 обычно ограничено, поэтому его передают под соглашение о конфиденциальности. Для открытой публикации существует отдельный отчёт SOC 3: AICPA относит его к отчётам общего использования, он охватывает те же категории с меньшей детализацией.

Пока отчёта нет, клиент оценивает вас по анкете и документам, и план подготовки с датой аудита помогает удержать переговоры.

Когда разумен Type 1

Если клиент готов принять отчёт о дизайне контролей, Type 1 быстрее снимает вопрос в сделке. Он подтверждает, что меры продуманы и внедрены на дату отчёта.

Когда клиент ждёт Type 2

Часть покупателей сразу спрашивает Type 2. Тогда важна дата начала периода наблюдения: с этого дня каждая мера должна оставлять след в журналах, тикетах и протоколах. Длину периода вы согласуете с аудитором, и к его началу мы настраиваем процессы так, чтобы доказательства собирались сами.

Сначала определяем границы системы: какой продукт, какие среды, облака, подрядчики и данные входят в отчёт, и какие из пяти категорий вы включаете под обещания клиентам. Затем проходим по областям, где у молодых команд чаще всего бывают разрывы:

• Доступы. MFA, выдача и отзыв прав, учётные записи администраторов, регулярный пересмотр доступа.
• Изменения. Как код попадает в продакшн, кто утверждает, где остаётся след.
• Журналы и мониторинг. Что логируется, кто смотрит сигналы, как долго хранятся записи.
• Поставщики. Облака и SaaS, которые обрабатывают данные клиентов, и как вы их оцениваете.
• Инциденты и непрерывность. Порядок реагирования, резервные копии, проверенное восстановление.
• Люди. Приём и увольнение, обучение, соглашения о конфиденциальности.

Описание системы и утверждение руководства

В иллюстративном отчёте AICPA есть утверждение руководства, описание системы, отчёт аудитора, тесты контролей и их результаты. Первые два документа готовит компания, и мы пишем их по вашим реальным процессам в соответствии с критериями описания DC 200.

Многие меры совпадают: доступы, журналы, управление поставщиками, реагирование на инциденты. Одна выверенная база политик и доказательств служит обоим путям, и вторая проверка обходится дешевле первой. Если вы продаёте и в США, и в Европу, стоит планировать базу сразу под обе рамки. Подробнее о второй рамке — в нашем материале про ISO 27001 для финтеха.

Как мы ведём стартап к аудиту

1. Платная консультация на 30 минут и письмо о рамках (scope letter): системы, сроки, фиксированная цена.
2. Оценка готовности с отчётом о разрывах простым языком и техническим приложением.
3. Исправления сами или вместе с вашими разработчиками; каждую находку проверяет человек.
4. Документы: политики, описание системы, черновик утверждения руководства.
5. Повторная проверка и передача материалов выбранной вами CPA-фирме.

Если компания ещё не создана или нужна американская структура под контракт, этим занимается наша практика регистрации в США. Техническую работу в инфраструктуре в Канаде выполняет ИТ-бренд группы itopsi.com.