Vikten av efterlevnad för din organisations utveckling
Efterlevnad utgör en grundläggande del i en organisations tillväxtstrategi. Om du, till exempel, driver ett SaaS-företag som siktar på medelstora företag, är det absolut nödvändigt att följa gällande lagar och bestämmelser samt upprätthålla en hög säkerhetsstandard.
Många organisationer försöker ibland att kringgå dessa krav genom att använda säkerhetsfrågeformulär. Men när en kund begär ett SOC-certifikat, blir det tydligt hur viktig efterlevnad av regelverk är.
Service Organization Control (SOC) efterlevnad handlar om en certifieringsprocess där en oberoende granskare bedömer de kontroller din organisation har implementerat. SOC-efterlevnad är relevant för både leverantörskedjor och cybersäkerhet.
I april 2010 tillkännagav American Institute of Certified Public Accountants (AICPA) en förändring av SAS 70, vilket ledde till den nya revisionsstandarden Statement on Standards for Attestation Engagements (SSAE 16). Tillsammans med SSAE 16-revisionen, har tre andra rapporter utvecklats för att granska serviceorganisationers kontroller. Dessa rapporter kallas SOC-rapporter och inkluderar SOC 1, SOC 2 och SOC 3, var och en med sitt specifika syfte.
Denna artikel kommer att gå igenom varje SOC-rapport, var de används och hur de påverkar IT-säkerheten.
Låt oss börja!
Vad är egentligen en SOC-rapport?
SOC-rapporter kan ses som en konkurrensfördel som sparar både tid och pengar för en organisation. Genom att anlita oberoende revisorer, granskas olika aspekter av en organisation, som exempelvis:
- Tillgänglighet
- Sekretess
- Integritet
- Bearbetningsintegritet
- Säkerhet
- Kontroller relaterade till cybersäkerhet
- Kontroller relaterade till finansiell rapportering
SOC-rapporter hjälper företag att känna trygghet i att potentiella tjänsteleverantörer agerar korrekt och etiskt. Även om granskningar kan vara utmanande, ger de en hög grad av säkerhet och förtroende. SOC-rapporter hjälper till att fastställa tillförlitligheten och trovärdigheten hos en tjänsteleverantör.
Dessutom är SOC-rapporter användbara för:
- Program för leverantörsstyrning
- Övervakning av organisationen
- Regulatorisk tillsyn
- Riskhantering och intern styrning
Varför är en SOC-rapport viktig?
Flera typer av serviceorganisationer, som datacenter, SaaS-leverantörer, företag som hanterar lån och skadereglerare, måste genomgå en SOC-undersökning. Dessa organisationer behöver lagra kundernas eller användarnas finansiella data eller andra känsliga uppgifter.
Alla företag som tillhandahåller tjänster till andra företag eller användare kan vara aktuella för en SOC-undersökning. En SOC-rapport bekräftar inte bara företagets legitimitet för potentiella kunder, utan den identifierar också brister och svagheter i företagets kontroller eller hos dess kunder genom bedömningsprocessen.
Vad kan du förvänta dig av en SOC-bedömning?
Innan en SOC-bedömning påbörjas är det viktigt att fastställa vilken typ av SOC-rapport som bäst passar organisationens behov. Sedan inleds en formell process med en beredskapsbedömning.
Serviceorganisationer förbereder sig genom att identifiera potentiella risker, luckor och brister. Detta ger företaget en möjlighet att förstå vilka åtgärder som kan vidtas för att korrigera dessa svagheter.
Vem kan utföra en SOC-revision?
SOC-revisioner genomförs av oberoende auktoriserade revisorer (CPA) eller revisionsbyråer.
AICPA fastställer professionella standarder som reglerar SOC-revisorers arbete. Utöver detta måste organisationer följa riktlinjer för genomförande, planering och tillsyn.
Varje AICPA-revision granskas sedan av kollegor. CPA-organisationer eller företag anlitar även experter inom IT och säkerhet för att förbereda sig för SOC-revisionen. Dock måste den slutgiltiga rapporten kontrolleras och godkännas av en CPA.
Låt oss gå igenom varje rapport separat för att förstå deras funktioner.
Vad är SOC 1?
SOC 1:s huvudsakliga mål är att kontrollera målen inom de områden som rör interna kontroller som är relevanta för användarens finansiella rapporter. Kort sagt, den fokuserar på hur en organisations tjänster påverkar en användares finansiella rapportering.
Vad är en SOC 1-rapport?
En SOC 1-rapport bedömer serviceorganisationens kontroller som är relevanta för användarens finansiella rapportering. Den är utformad för att möta kraven från användarenheterna. Revisorerna bedömer effektiviteten i serviceorganisationens interna kontroller.
Det finns två typer av SOC 1-rapporter:
- SOC 1 Typ 1: Denna rapport fokuserar på serviceorganisationens system och kontroller och bedömer lämpligheten i dessa kontroller för att uppnå kontrollmålen. Rapporten ges vid ett angivet datum.
SOC 1 Typ 1-rapporter är avsedda för revisorer, ledningen och användarenheter, ofta tillhörande en tjänsteleverantör. En servicegranskare fastställer rapporten enligt alla kraven i SSAE 16.
- SOC 1 Typ 2: Denna rapport liknar SOC 1 Typ 1, men inkluderar även synpunkter på effektiviteten i de etablerade kontrollerna för att uppnå alla kontrollmål under en viss period.
I en SOC 1 Typ 2-rapport leder kontrollmålen till potentiella risker som den interna kontrollen ska mildra. Rapporten omfattar relevanta kontrolldomäner och ger rimliga garantier. Den fastställer också gränser för auktoriserade och lämpliga åtgärder.
Vad är syftet med SOC 1?
Som tidigare nämnts är SOC 1 den första delen i Service Organization Control-serien och fokuserar på interna kontroller gällande finansiell rapportering. Den är relevant för företag som hanterar finansiella data direkt för partners och kunder.
Den säkrar en organisations hantering, lagring och överföring av finansiella rapporter. SOC 1-rapporten hjälper investerare, kunder, revisorer och ledningen att utvärdera de interna kontrollerna kring finansiell rapportering enligt AICPA:s riktlinjer.
Hur upprätthåller man SOC 1-efterlevnad?
SOC 1-efterlevnad innebär att hantera alla SOC 1-kontroller som läggs till i SOC 1-rapporten under en definierad period. Det säkerställer att SOC 1-reglerna fungerar effektivt.
Kontrollerna är vanligtvis IT-kontroller, affärsprocesskontroller, etc., som används för att ge en rimlig säkerhet baserad på kontrollmålen.
Vad är SOC 2?
SOC 2, utvecklat av AICPA, beskriver kriterierna för att kontrollera och hantera kundinformation baserat på fem principer för att tillhandahålla pålitliga tjänster:
- Tillgänglighet: Inkluderar katastrofåterställning, hantering av säkerhetsincidenter och prestandaövervakning.
- Sekretess: Inkluderar kryptering, tvåfaktorsautentisering (2FA) och åtkomstkontroll.
- Säkerhet: Inkluderar intrångsdetektering, tvåfaktorsautentisering och nätverks- eller programbrandväggar.
- Konfidentialitet: Inkluderar åtkomstkontroller, kryptering och programbrandväggar.
- Bearbetningsintegritet: Inkluderar bearbetningsövervakning och kvalitetssäkring.
SOC 2 är unikt för varje organisation på grund av dess strikta krav, till skillnad från PCI DSS. Varje företag har sina egna kontroller för att följa flera förtroendeprinciper.
Vad är en SOC 2-rapport?
En SOC 2-rapport tillåter serviceorganisationer att dela en rapport med intressenter som beskriver de IT-kontroller som är implementerade.
Det finns två typer av SOC 2-rapporter:
- SOC 2 Typ 1: Beskriver leverantörens system och bedömer om systemdesignen är lämplig för att uppfylla förtroendeprinciperna.
- SOC 2 Typ 2: Innehåller information om den operativa effektiviteten i leverantörens system.
SOC 2 skiljer sig från organisation till organisation vad gäller ramverk och standarder för informationssäkerhet, eftersom det inte finns några definierade krav. AICPA tillhandahåller kriterier som serviceorganisationer kan välja för att visa de kontroller de har för att skydda de tjänster som erbjuds.
Vad är syftet med SOC 2?
SOC 2-efterlevnad indikerar att organisationen har kontroller och upprätthåller en hög informationssäkerhetsnivå. Genom att följa SOC 2 kan organisationer säkerställa att deras kritiska information är skyddad.
SOC 2-efterlevnad bidrar till:
- Förbättrade datasäkerhetsprocesser som skyddar organisationen från cyberattacker och säkerhetsintrång.
- En konkurrensfördel, eftersom kunder föredrar att samarbeta med leverantörer som har en solid datasäkerhet, särskilt för moln- och IT-tjänster.
Det begränsar obehörig användning av data och tillgångar som en organisation hanterar. Säkerhetsprinciperna kräver att organisationer lägger till åtkomstkontroller för att skydda data från skadliga attacker, missbruk, obehörig spridning eller ändring av företagsinformation samt otillåten radering av data.
Hur upprätthåller man SOC 2-efterlevnad?
SOC 2-efterlevnad är en frivillig standard som utvecklats av AICPA och specificerar hur en organisation hanterar kundinformation. Standarden beskrivs genom fem Trust Services-kriterier: säkerhet, bearbetningsintegritet, konfidentialitet, integritet och tillgänglighet.
SOC-efterlevnad anpassas efter varje organisations behov. Beroende på affärspraxis kan en organisation välja designkontroller som följer en eller flera Trust Service-principer. Det omfattar alla tjänster, inklusive DDoS-skydd, lastbalansering, attackanalys, webbapplikationssäkerhet, innehållsleverans via CDN och mer.
SOC 2-efterlevnad är inte en lista över verktyg, processer eller kontroller, utan beskriver behovet av kriterier som är avgörande för att upprätthålla informationssäkerheten. Detta gör det möjligt för varje organisation att använda de bästa metoderna som är relevanta för verksamheten och målen.
Här är en checklista för grundläggande SOC 2-efterlevnad:
- Åtkomstkontroller
- Systemdrift
- Riskhantering
- Förändringsledning
Vad är SOC 3?
En SOC 3 är en revisionsprocedur som AICPA utvecklar för att definiera styrkan i en serviceorganisations interna kontroll över datacenter och molnsäkerhet. Ett SOC 3-ramverk bygger på Trust Services-kriterier som inkluderar:
- Säkerhet: System och information är skyddade mot obehörig spridning, åtkomst och skador.
- Processintegritet: Systembearbetningen är giltig, korrekt, auktoriserad, aktuell och komplett för att uppfylla enhetens krav.
- Tillgänglighet: System och information är tillgängliga för användning för att uppfylla enhetens krav.
- Sekretess: Personlig information används, sprids, kasseras, behålls och samlas in för att uppfylla enhetens krav.
- Konfidentialitet: Information som definieras som kritisk skyddas för att uppfylla enhetens krav.
Med hjälp av SOC 3 bestämmer serviceorganisationer vilka av dessa Trust Services-kriterier som gäller för den tjänst de erbjuder till sina kunder. I Statements on Standards finns mer rapportering, prestandakrav och applikationsvägledning.
Vad är en SOC 3-rapport?
SOC 3-rapporter innehåller samma information som SOC 2 men skiljer sig åt genom sin publik. En SOC 3-rapport är avsedd för allmänheten. Dessa rapporter är kortare och innehåller inte exakt samma data som en SOC 2-rapport. De är framtagna för intressenter och en informerad publik.
Eftersom en SOC 3-rapport är mer generell kan den delas öppet på ett företags webbplats, tillsammans med en symbol som bekräftar efterlevnad. Detta bidrar till att upprätthålla internationella redovisningsstandarder.
Till exempel tillåter AWS offentliga nedladdningar av SOC 3-rapporten.
Vad är syftet med SOC 3?
Företag, speciellt små och nystartade, saknar ofta resurser för att internt kontrollera eller upprätthålla vissa tjänster. Därför lägger dessa företag ofta ut tjänster till tredjepartsleverantörer, istället för att investera i att bygga en ny avdelning.
Outsourcing kan vara ett bra alternativ, men det kan innebära risker. Anledningen är att en organisation delar kunddata eller känslig information med tredjepartsleverantörer, beroende på vilka tjänster organisationen väljer att lägga ut.
Organisationer bör endast samarbeta med leverantörer som visar SOC 3-efterlevnad.
SOC 3-efterlevnad baseras på AT-C Section 205 och AT-C Section 105 i SSAE 18 och inkluderar grundläggande information i ledningens beskrivning och revisionsberättelse. Den gäller alla tjänsteleverantörer som lagrar kundinformation i molnet, inklusive PaaS-, IaaS- och SaaS-leverantörer.
Hur upprätthåller man SOC 3-efterlevnad?
SOC 3 är en vidareutveckling av SOC 2, så revisionsprocessen är densamma. Servicegranskare undersöker följande policys och kontroller:
När revisionen är klar utarbetar revisorn en rapport baserat på resultaten. En SOC 3-rapport är dock mindre detaljerad, eftersom den endast innehåller information som är relevant för allmänheten. Serviceorganisationen delar resultatet fritt efter att revisionen är genomförd i marknadsföringssyfte. Rapporten beskriver vad som krävs för att klara revisionen. Därför rekommenderas det att serviceorganisationen:
- Väljer kontroller noggrant.
- Utför en bedömning för att identifiera luckor i kontrollerna.
- Fastställer vilka åtgärder som ska vidtas vid incidenter.
- Söker en kvalificerad revisor för den slutliga granskningen.
Nu när du har en uppfattning om varje typ av efterlevnad, ska vi titta på skillnaderna mellan dem för att se hur de kan hjälpa företag.
SOC 1 vs SOC 2 vs SOC 3: Skillnader
Följande tabell beskriver syftena och fördelarna med varje SOC-rapport.
| SOC 1 | SOC 2 | SOC 3 | |
| Innehåll | Ger synpunkter på typ 1-design och typ 2-konstruktion eller drift, inklusive testprocedurer och resultat. | En produkt för att möta krav från partners på organisationens verksamhet, inklusive resultat och procedurer. | Liknar SOC 2-efterlevnad men innehåller mindre information. Den inkluderar inte testprocedurer, resultat eller kontroller. |
| Fokus | Kontrollerar krav som är väsentliga för de interna kontrollerna kring finansiell rapportering. | Icke-finansiella kontroller bedöms med de fem Trust Principles. | Baseras också på de fem Trust Services-kriterierna. |
| Distribution | Begränsad distribution till kunder och revisorer. | Tillsynsmyndigheter, kunder och revisorer, den definieras i rapporten. Hjälper till med kundmarknadsföring. Begränsad distribution. | Obegränsad distribution. |
| Transparens | Upprätthåller transparens i systemets beskrivning, kontroll, procedur och resultat. | Ger en transparens som liknar SOC 1. | Allmän distribution av rapporterna i marknadsföringssyfte. |
| Kontroller | Fokuserar på finansiella kontroller. | Fokuserar på operativa kontroller. | Liknar SOC 2 men med mindre information. |
| Beskrivning | Beskriver serviceorganisationens system. | Beskriver serviceorganisationens system. | Beskriver CPA:s åsikt om enhetens adekvata kontroller över systemet. |
| Rapportering | Rapporterar interna kontroller. | Rapporterar tillgänglighet, integritet, konfidentialitet, bearbetningsintegritet och säkerhetskontroller. | I likhet med SOC 2 används SOC 1 av användarkontrollanter och revisorer. |
| Delning | Delas under NDA av tillsynsmyndigheter, ledning och andra. | Är tillgänglig för allmänheten. De flesta revisorer har ”Behov att veta”. De flesta intressenter och kunder har ”Behov att veta”. | Allmänheten. |
| Exempel | Behandlare av medicinska anspråk. | Molnlagringsföretag. | Ett offentligt företag. |
Slutsats
Att bestämma vilken SOC-efterlevnad som är mest lämplig för din organisation kräver att du har en överblick över den information du hanterar. Oavsett om det är dina kunders data eller din egen.
Om du erbjuder lönehanteringstjänster kan SOC 1 vara lämpligt. Om du hanterar eller lagrar kunddata kan en SOC 2-rapport behövas. Om du behöver en mindre formell efterlevnad för marknadsföringssyfte, kan en SOC 3-rapport vara ett bra alternativ.