Forstå samsvar SOC 1 vs SOC 2 vs SOC 3

Overholdelse er et avgjørende aspekt av organisasjonens vekst.

Anta at du vil drive en SaaS-virksomhet og målrette mellommarkedskunder. I så fall må du være i samsvar med gjeldende regler og forskrifter og opprettholde en sterkere sikkerhetsstilling for selskapet ditt.

Mange organisasjoner prøver å omgå disse kravene ved å anvende sikkerhetsspørreskjemaer.

Så når en kunde eller en klient krever et SOC -sertifikat, kan du innse hvor viktig det er å være i samsvar med forskrifter.

Overholdelse av tjenesteorganisasjonskontroll (SOC) refererer til en type sertifisering der en organisasjon fullfører en tredjepartsrevisjon som viser visse kontroller organisasjonen din har. SOC-samsvar gjelder også for forsyningskjede og SOC-cybersikkerhet.

I april 2010 kunngjorde American Institute of Certified Public Accountants (AICPA) endringen av SAS 70. Den raffinerte og nye revisjonsstandarden heter uttalelsen om standarder for attesteringsengasjement (SSAE 16).

Sammen med SSAE 16 -revisjonen er det også opprettet tre andre rapporter for å undersøke kontrollene til en tjenesteorganisasjon. Disse kalles SOC -rapporter som inneholder tre rapporter – Soc 1, SoC 2 og SOC 3 -rapporter som bærer forskjellige mål.

I denne artikkelen vil jeg nevne hver SOC-rapport og hvor de skal brukes, og hvordan de passer inn i IT-sikkerhet.

Her går vi!

Hva er egentlig en SOC -rapport?

SOC-rapporter kan betraktes som et konkurransefortrinn til fordel for en organisasjon når det gjelder penger og tid. Den bruker tredjeparts og uavhengige revisorer for å undersøke ulike aspekter ved en organisasjon, inkludert:

• Tilgjengelighet
• konfidensialitet
• Personvern
• Behandlingsintegritet
• Sikkerhet
• Kontroller relatert til cybersikkerhet
• Kontroller knyttet til finansiell rapportering

SOC -rapporter gjør det mulig for et selskap å føle seg trygge på at potensielle tjenesteleverandører opererer kompatibelt og etisk. Selv om revisjoner kan være vanskelige, kan de tilby enorm sikkerhet og tillit. SOC -rapporter er med på å etablere påliteligheten og troverdigheten til en tjenesteleverandør.

Videre er SOC-rapporter nyttige for:

• Leverandørstyringsprogrammer
• Tilsyn med organisasjonen
• Forskriftsmessig tilsyn
• Risikostyringsprosess og intern selskapsstyring

Hvorfor er en SOC -rapport essensiell?

Flere tjenesteorganisasjoner, for eksempel datasenterbedrifter, SaaS -leverandører, lånesjenestemenn og krav på prosessorer, er nødvendig for å gjennomgå en SOC -undersøkelse. Disse organisasjonene må lagre kundenes eller brukerne enheters økonomiske data eller sensitive data.

Så, ethvert selskap som leverer tjenester til andre selskaper eller brukere, kan passe fra SOC-eksamenen. En SOC-rapport lar ikke bare dine potensielle kunder vite at selskapet er legitimt, men avslører også før deg feilene og svakhetene ved kontrollene eller kundene dine gjennom vurderingsprosesser.

Hva kan du forvente av en SOC -vurdering?

Før du går gjennom en SOC -vurderingsprosess, må du bestemme hvilken type SOC -rapport du trenger som kan passe til organisasjonen din mest. Deretter vil en offisiell prosess begynne med beredskapsvurderingen.

Tjenesteorganisasjoner forbereder seg på undersøkelsen ved å identifisere potensielle røde flagg, hull, mangler og mer. På denne måten kan selskapet forstå de tilgjengelige alternativene for å reparere disse feilene og svakhetene.

Hvem kan utføre en SOC -revisjon?

SOC-revisjoner utføres av uavhengige sertifiserte regnskapsførere (CPAs) eller regnskapsfirmaer.

AICPA etablerer profesjonelle standarder som er ment å regulere SOC -revisors arbeid. I tillegg til dette, må visse retningslinjer for utførelse, planlegging og tilsyn følges av organisasjoner.

Hver AICPA -revisjon gjennomgår deretter fagfellevurdering. CPA-organisasjoner eller firmaer ansetter også ikke-CPA-fagpersoner med informasjonsteknologi og sikkerhetsferdigheter for å forberede seg på en SOC-revisjon. Men den endelige rapporten må sjekkes og avsløres av CPA.

La oss gå gjennom hver rapport separat for å forstå hvordan de fungerer.

Hva er Soc 1?

SOC 1 hovedmål er å kontrollere mål innenfor SOC 1-dokumentene og prosessområder for internkontroller som er relevante for revisjonen av brukerenhetens regnskap.

Enkelt sagt forteller det deg når organisasjonens tjenester påvirker en brukerenhets økonomiske rapportering.

Hva er en SOC 1 -rapport?

En SOC 1 -rapport bestemmer kontrollorganisasjonskontroll som gjelder brukerenheten sin kontroll over den økonomiske rapportering. Den er designet for å oppfylle kravene fra brukerenhetene. I dette evaluerer regnskapsførerne effektiviteten til tjenesteorganisasjonens interne kontroller.

Det er to typer Soc 1 -rapporter:

• SOC 1 Type 1: Denne rapporten konsentrerer seg generelt om en tjenesteorganisasjons system og sjekker egnetheten til systemkontroller for å oppnå kontrollmålene sammen med beskrivelsen på den angitte datoen.

SOC 1 Type 1-rapporter er bare begrenset til revisorer, ledere og brukerenheter, vanligvis tilhører tjenesteleverandører en hvilken som helst tjenesteorganisasjon. En tjenestrevisor bestemmer rapporten som dekker alle kravene til SSAE 16.

• SOC 1 Type 2: Denne rapporten har lignende meninger og analyser som i SOC 1 Type 1 -rapport. Men det inkluderer synspunkter på effektiviteten til de forhåndsetablerte kontrollene designet for å få alle kontrollmål over en bestemt periode.

I en SOC 1 Type 2 -rapport fører kontrollmålene til potensielle risikoer som den interne kontrollen ønsker å dempe. Omfanget inkluderer relevante kontrolldomener og gir rimelige forsikringer. Den sier også at det er en grense for å utføre bare autoriserte og passende handlinger.

Hva er formålet med Soc 1?

Som vi allerede har diskutert, er SOC 1 den første delen av Service Organization Control Series som adresserer interne kontroller på tvers av økonomisk rapportering. Det gjelder for virksomheter som direkte samhandler med økonomiske data for partnere og kunder.

Dermed sikrer den en organisasjons samhandling, lagrer brukernes regnskap og overfører dem. SOC 1-rapporten hjelper imidlertid investorer, kunder, revisorer og ledelsen med å evaluere internkontrollen rundt finansiell rapportering innenfor AICPA-retningslinjene.

Hvordan opprettholde SOC 1 Compliance?

SOC 1-samsvar definerer prosessen med å administrere alle SOC 1-kontroller som er lagt til i SOC 1-rapporten over en definert periode. Det sikrer effektiviteten av driften av SOC 1-reglene.

Kontrollene er generelt IT -kontroller, forretningsprosesskontroller osv., Brukes til å tilby en rimelig forsikring basert på kontrollmålene.

Hva er Soc 2?

SOC 2, utviklet av AICPA, beskriver kriteriene for å kontrollere eller administrere kundeinformasjon basert på 5 prinsipper for å tilby pålitelige tjenester: Disse prinsippene er:

• Tilgjengelighet inkluderer katastrofegjenoppretting, håndtering av sikkerhetshendelser og ytelsesovervåking.
• Personvern: Det inkluderer kryptering, tofaktorautentisering (2FA) og tilgangskontroll.
• Sikkerhet: Det inkluderer inntrengningsdeteksjon, tofaktorautentisering og nettverks- eller applikasjonsbrannmurer.
• Konfidensialitet: Den inkluderer tilgangskontroller, kryptering og applikasjonsbrannmurer.
• Behandlingsintegritet: Det inkluderer prosessovervåking og kvalitetssikring.

SOC 2 er unik for hver organisasjon på grunn av sine strenge krav, i motsetning til PCI DSS. Med spesifikk forretningspraksis har hvert design sin kontroll for å overholde flere tillitsprinsipper.

Hva er en SOC 2-rapport?

En SOC 2 -rapport lar serviceorganisasjoner motta og dele en rapport med interessenter for å beskrive general; Den kontrollerer som er sikre på stedet.

Det er to typer Soc 2 -rapporter:

• SOC 2 Type 1: Den beskriver leverandørens systemer og forteller om leverandørens design er egnet til å oppfylle tillitsprinsipper.
• SOC 2 Type 2: Den deler detaljene om den operasjonelle effektiviteten til leverandørens systemer.

SOC 2 skiller seg fra organisasjon til organisasjon angående informasjonssikkerhetsrammer og standarder, da det ikke er noen definerte krav. AICPA gir kriterier som en tjenesteorganisasjon velger å demonstrere kontrollene de har på plass for å ivareta tjenestene som tilbys.

Hva er formålet med Soc 2?

Overholdelse av SOC 2 indikerer at organisasjonen kontrollerer og opprettholder et høyt informasjonssikkerhetsnivå. Streng overholdelse gjør det mulig for organisasjoner å sikre at deres kritiske informasjon er trygg.

Ved å overholde Soc 2, vil du få:

• Forbedret datasikkerhetspraksis der organisasjonen forsvarer seg mot cyberangrep og sikkerhetsbrudd.
• Konkurransefortrinn da kunder ønsker å jobbe med tjenesteleverandører med solid datasikkerhetspraksis, spesielt for sky- og IT-tjenester.

Det begrenser den uautoriserte bruken av dataene og eiendelene som en organisasjon håndterer. Sikkerhetsprinsippene krever at organisasjoner legger til tilgangskontroller for å sikre data mot ondsinnede angrep, misbruk, uautorisert avsløring eller endring av selskapsinformasjon og uautorisert sletting av data.

Hvordan opprettholde SOC 2 Compliance?

SOC 2 Compliance er en frivillig standard utviklet av AICPA som spesifiserer hvordan en organisasjon administrerer sin kundeinformasjon. Standarden er beskrevet med fem kriterier for tillitstjenester, dvs. sikkerhet, behandlingsintegritet, konfidensialitet, personvern og tilgjengelighet.

SOC-overholdelse er skreddersydd til behovene til enhver organisasjon. Avhengig av forretningspraksis kan en organisasjon velge designkontroller som skal følge ett eller flere Trust Service-prinsipper. Det strekker seg til alle tjenestene, inkludert DDoS -beskyttelse, belastningsbalansering, angrepsanalyse, webapplikasjonssikkerhet, levering av innhold via CDN og mer.

Enkelt sagt er SOC 2-samsvar ikke en beskrivende liste over verktøy, prosesser eller kontroller; i stedet siterer den behovet for kriterier som er avgjørende for å opprettholde informasjonssikkerheten. Dette gjør at hver organisasjon kan ta i bruk de beste prosessene og praksisene som er relevante for dens drift og mål.

Nedenfor er sjekklisten over grunnleggende SOC 2-overholdelse:

• Tilgangskontroller
• Systemoperasjoner
• Avbøtende risiko
• Endringsledelse

Hva er SOC 3?

En SOC 3 er en revisjonsprosedyre som AICPA utvikler for å definere styrken til en tjenesteorganisasjons interne kontroll over datasentre og skysikkerhet. Et SOC 3 -ramme er også basert på kriterier for tillitstjenester som inkluderer:

• Sikkerhet: Systemer og informasjon er sikre mot uautorisert avsløring, uautorisert tilgang og skade på systemene.
• Prosessintegritet: Systembehandling er gyldig, nøyaktig, autorisert, betimelig og fullført for å oppfylle enhetens krav.
• Tilgjengelighet: Systemer og informasjon er tilgjengelige for bruk og drift for å oppfylle enhetens krav.
• Personvern: Personopplysninger brukes, avsløres, kastes, beholdes og samles inn for å møte enhetens krav.
• Konfidensialitet: Informasjon utpekt som kritisk er beskyttet for å oppfylle enhetens krav.

Ved hjelp av SOC 3 bestemmer tjenesteorganisasjoner hvilke av disse kriteriene for tillitstjenester som gjelder tjenesten de tilbyr kunder. Du vil også finne tilleggsrapportering, ytelseskrav og bruksveiledning i Statements on Standards.

Hva er en SOC 3 -rapport?

SOC 3-rapporter har samme informasjon som SOC 2, men er forskjellige når det gjelder publikum. En SOC 3 -rapport er kun ment for generelle målgrupper. Disse rapportene er korte og inkluderer ikke nøyaktig de samme dataene som en SOC 2 -rapport. De er bygget egnet for interessenter og informerte målgrupper.

Siden en SOC 3 -rapport er mer generell, kan den deles raskt og åpent på selskapets nettsted, sammen med et segl som beskriver samsvar. Det hjelper med å holde tritt med internasjonale regnskapsstandarder.

For eksempel tillater AWS offentlige nedlastinger av SOC 3-rapporten.

Hva er formålet med Soc 3?

Bedrifter, spesielt små eller startups, har vanligvis ikke nok ressurser til å kontrollere eller opprettholde visse viktige tjenester internt. Derfor outsourcer disse selskapene ofte tjenestene til tredjepartsleverandører i stedet for å investere ekstra innsats eller penger i å bygge en ny avdeling for disse tjenestene.

Dermed er outsourcing et bedre alternativ, men kan være risikabelt. Årsaken er at en organisasjon deler kundedata eller sensitiv informasjon med tredjepartsleverandører, avhengig av tjenestene organisasjonen velger å outsource.

Organisasjoner må imidlertid bare samarbeide med leverandører som viser SOC 3-samsvar.

SOC 3 Compliance er basert på AT-C seksjon 205 og AT-C seksjon 105 i SSAE 18. Den inkluderer grunnleggende informasjon om den uavhengige ledelsens beskrivelse og revisors rapport. Det gjelder alle tjenesteleverandørene som lagrer kundeinformasjon i skyen, inkludert PAAS, IaaS og SaaS -leverandører.

Hvordan opprettholde SOC 3 -samsvar?

SOC 3 er den påfølgende versjonen av SOC 2, så revisjonsprosedyren er den samme. Tjenestrevisorer søker følgende retningslinjer og kontroller:

Når revisjonen er fullført, genererer revisor en rapport basert på funnene. Men en SOC 3-rapport er langt mindre detaljert ettersom den bare deler informasjonen som er nødvendig for offentligheten. Serviceorganisasjonen deler fritt resultatene etter endt sluttrevisjon for markedsføringsformål. Den forteller deg hva du skal fokusere på for å bestå tilsynet. Så serviceorganisasjonen anbefales å:

• Velg kontrollene nøye.
• Gjennomføre en vurdering for å identifisere hull i kontrollene
• Finn ut den vanlige aktiviteten
• Beskriv de neste trinnene for varsling om hendelser
• Søk etter en kvalifisert tjenestrevisor for å utføre den avsluttende eksamen

Nå som du har en ide om hver samsvarstype, la oss forstå forskjellene mellom de tre for å vite hvordan de hjelper hvert firma til å stå i markedet.

SOC 1 VS SOC 2 VS SOC 3: Forskjeller

Tabellen nedenfor beskriver formålene og fordelene med hver SOC-rapport.

SOC 1SOC 2SOC 3IT gir meninger om design eller drift av type 1 Type 2, inkludert testprosedyrer og resultater. En enkelt leverbar for å imøtekomme krav fra partnere om organisasjonens operasjoner, inkludert resultater og prosedyrer. . Det inkluderer ikke testprosedyrer, resultater eller kontroller. Det kontrollerer krav som er viktige for de interne kontrollene rundt økonomisk rapportering. Non-finansielle kontroller blir vurdert med de fem tillitsprinsippene som er viktige for emnet. Det avhenger også av de fem tillitstjenestene Kriterier.Begrenset distribusjon til kunder og revisorer Begrensede distribusjonsregulatorer, kunder og revisorer vil bli definert i rapporten. Hjelpe til med klientmarkedsføring. Ubegrenset distribusjonsoppføring gjennomsiktighet på systemets beskrivelse, kontroll, prosedyre og resultat. Det gir et nivå av gjennomsiktighet nøyaktig likt SOC 1General distribusjon av rapportene for markedsføringsfordeler. Den fokuserer på økonomiske kontroller. Det fokuserer på operasjonelle kontroller. Det ligner på SOC 2, men med mindre informasjon. Det beskriver tjenesteorganisasjonens systemer. Det beskriver også tjenesteorganisasjonens systemer. Det beskriver CPAs mening om enhetens tilstrekkelige kontroller over den system.Det rapporterer interne kontroller. Det rapporterer tilgjengelighet, personvern, konfidensialitet, behandlingsintegritet og sikkerhetskontroller. I likhet med Soc 2Users Controller’s Office og brukerrevisorbruk Soc 1.Det deles under NDA av regulatorer, ledelse og andre. Det er tilgjengelig for publikum. De fleste revisorer er «trenger å vite.» De fleste interessenter og kunder «trenger å vite «Generelt offentlig Eksempel: behandlere av medisinske krav. Eksempel: skylagringsselskap. Eksempel: en offentlig virksomhet.

Konklusjon

Å avgjøre hvilken SOC -samsvar som vil være den mest egnede for organisasjonen din, krever at du visualiserer hvilken type informasjon du har å gjøre med, enten det er kundenes data eller dine.

Hvis du tilbyr lønnsbehandlingstjenester, kan det være lurt å bruke SOC 1. Hvis du behandler eller er vert for kundedata, kan det hende du trenger en SOC 2 -rapport. På samme måte, hvis du trenger mindre formell overholdelse, som er best for markedsføringsformål, kan det være lurt å gå med en SOC 3-rapport.