لماذا سؤال «هل حصلتم على شهادة SOC 2؟» هو السؤال الخاطئ

يبدو أن كل استبيان أمني يتضمن هذا السؤال: “هل أنتم معتمدون وفق SOC 2؟” فيجيب الموردون بـ“نعم”، ويرفقون ملف PDF، وتُعلَّم الخانة. المشكلة أن السؤال لا يعني ما يظنه أيٌّ من الطرفين، وقد تُخفي الخانة المُعلَّمة بالضبط المخاطر التي كان المشتري يحاول كشفها.

لا توجد شهادة SOC 2

SOC 2 هو تأكيد (attestation)، وليس شهادة اعتماد. تفحص شركة محاسبة قانونية مرخّصة (CPA) ضوابط إحدى المنظمات الخدمية وفق معايير خدمات الثقة (Trust Services Criteria) الصادرة عن AICPA، ثم تصدر تقريرًا يتضمن رأيها. لا يصدر أحد شهادة، ولا يحتفظ أحد بسجل للشركات المعتمدة، ولا توجد درجة نجاح محددة. قارن ذلك بـ ISO 27001، حيث تصدر هيئة اعتماد معتمدة شهادةً بنطاق محدد، صالحةً لمدة ثلاث سنوات. (يعرض مقارنة ISO 27001 مقابل SOC 2 الفروقات بالتفصيل.)

ولا يقتصر وصف تقرير SOC 2 بأنه شهادة على التدقيق اللغوي؛ فهو يحوّل وثيقة مفصّلة ومشروطة إلى شارة نعم أو لا، وتكمن المخاطر في التفاصيل.

ما الذي قد تُخفيه كلمة “نعم”

قد يقول المورد بصدق إن لديه تقرير SOC 2، بينما:

• التقرير من النوع Type I. وهو يُثبت أن الضوابط صُمّمت وكانت قائمة في يوم واحد، لا أنها عملت بفعالية مع مرور الوقت.
• النطاق يستثني الخدمة التي تشتريها. يغطي التقرير نظامًا موصوفًا. إذا كانت بياناتك تمر عبر منتج أو منطقة خارج هذا النطاق، فالتقرير لا يقول شيئًا عنها.
• انتهت فترة التقرير منذ زمن طويل. يغطي التقرير فترة ماضية، وفجوة تمتد لعدة أشهر منذ انتهائه تعني أن أحدًا لم يختبر التشغيل الحالي.
• الرأي متحفظ (qualified)، أو أن نتائج الاختبار تتضمن استثناءات تهمك.
• استُبعدت ضوابط رئيسية وأُسندت إلى منظمة خدمية فرعية، مثل مزود الاستضافة السحابية، ولا تطّلع أبدًا على تقريرها.
• يعتمد التقرير على ضوابط يجب أن تنفذها بنفسك، وهي مدرجة كضوابط مكملة على مستوى كيان المستخدم، ولا يعلم أحد في جهتك بوجودها.
• النطاق يقتصر على الأمن (Security)، بينما كان ما يهمك هو التوافر أو السرية أو الخصوصية.

لا يجعل أيٌّ من هذه البنود التقرير عديم القيمة، لكنها جميعًا تختفي خلف كلمة “نعم”.

ما قيمة تقرير SOC 2 الجيد

لا يُعد أي من ذلك حجةً ضد SOC 2. فتقرير Type II صادر عن جهة كفؤة من أكثر الوثائق فائدة التي يمكن أن يحصل عليها المشتري. فقد أخذ المختبرون المستقلون عينات من أدلة حقيقية على مدى شهور: منح الصلاحيات وسحبها، واعتماد التغييرات، ومعالجة الحوادث، واستعادة النسخ الاحتياطية. ولا يمكن لاستبيان يجيب عنه موظفو المورد أنفسهم أن يضاهي ذلك، ويستطيع فريق أمني يقرأ التقارير بعناية أن يختصر معظم استبيانه.

تكمن القيمة في التفاصيل: أي الضوابط اختُبرت، وكيف، وبأي نتيجة. أما الاختصار فيُلغي هذه التفاصيل. فسؤال المورد عمّا إذا كان “معتمدًا” يستدعي إجابة بـ“نعم”، بينما سؤاله عمّا يغطيه التقرير يستدعي الأدلة.

أسئلة أفضل تطرحها

استبدل “هل أنتم معتمدون وفق SOC 2؟” بأسئلة تجعل الإجابة مفيدة:

1. أي تقرير لديكم: Type I أم Type II، وما الفترة التي يغطيها؟
2. هل يتضمن وصف النظام الخدمة والمناطق التي سنستخدمها؟
3. ما فئات معايير خدمات الثقة المشمولة في النطاق؟
4. هل كانت هناك استثناءات أو رأي متحفظ، وكيف جرت معالجتها؟
5. ما المنظمات الخدمية الفرعية المستثناة، وما ضوابط كيان المستخدم المكملة التي نحتاج إلى تشغيلها؟

ثم اقرأ التقرير، على الأقل الرأي ووصف النظام والاستثناءات وضوابط كيان المستخدم. سيستغرق ذلك وقتًا أقل بكثير مما استغرقه الاستبيان.

الأمر نفسه ينطبق على كل إطار

هذا النمط ليس حصريًا بـ SOC 2. فعبارة “معتمد وفق ISO 27001” تتوقف على نطاق الشهادة؛ و“متوافق مع NIS2” يتوقف على القانون الوطني وعلى إجراءات الإبلاغ التي لا تختبرها أي شهادة؛ و“متوافق مع إطار NIST CSF” قد يعني أي شيء تقريبًا، لأن CSF لا يملك أي نظام اعتماد أصلًا. فاسم الإطار هو بداية الحوار لا نهايته.

إذا كنت في جهة المورد، فسهّل الأمر: حدّد أي تقرير، وأي فترة، وأي نطاق منذ البداية، وأوضح كيف تتوافق ضوابطك مع الأطر التي يستخدمها عملاؤك. يمكن أن يساعدك تحليل الفجوات وصفحة إطار SOC 2 في عملية المطابقة، ويشرح دليل SOC 2 كيفية إعداد التقارير.

الأسئلة

هل توجد شهادة SOC 2 فعلًا؟

لا. تقرير SOC 2 هو تأكيد: رأي شركة محاسبة قانونية مرخّصة (CPA) حول ضوابط منظمة خدمية وفق معايير خدمات الثقة الصادرة عن AICPA. ولا تُصدر أي شهادة.

ماذا ينبغي أن أقرأ أولًا في تقرير SOC 2؟

رأي المدقق (هل هو غير متحفظ؟)، والنطاق ووصف النظام، والفترة المغطاة، والاستثناءات في نتائج الاختبار، وضوابط كيان المستخدم المكملة التي يُتوقع منك تشغيلها.