“क्या आप SOC 2 प्रमाणित हैं?” वाला सवाल गलत क्यों है

हर सिक्योरिटी प्रश्नावली में यह सवाल होता ही है: “क्या आप SOC 2 प्रमाणित हैं?” और विक्रेता “हाँ” लिखकर एक PDF जोड़ देते हैं, और बॉक्स टिक हो जाता है। दिक्कत यह है कि यह सवाल वह मतलब नहीं रखता जो दोनों पक्ष समझते हैं, और टिक किया हुआ बॉक्स ठीक उन्हीं जोखिमों को छिपा सकता है जिन्हें खरीदार खोजना चाहता था।

SOC 2 का कोई प्रमाणपत्र नहीं है

SOC 2 एक attestation है, प्रमाणन (certification) नहीं। एक लाइसेंस प्राप्त CPA फर्म सेवा संगठन के नियंत्रणों की जाँच AICPA के Trust Services Criteria के आधार पर करती है और अपनी राय के साथ एक रिपोर्ट जारी करती है। कोई प्रमाणपत्र जारी नहीं होता, प्रमाणित कंपनियों का कोई रजिस्टर नहीं रहता, और कोई पास मार्क नहीं होता। इसकी तुलना ISO 27001 से करें, जहाँ एक मान्यता प्राप्त प्रमाणन निकाय सचमुच प्रमाणपत्र जारी करता है, जिसका दायरा परिभाषित होता है और जो तीन वर्ष के लिए वैध रहता है। (हमारी ISO 27001 बनाम SOC 2 तुलना में अंतर विस्तार से दिए गए हैं।)

SOC 2 रिपोर्ट को प्रमाणपत्र कहना केवल शब्दों की बारीकी नहीं है। इससे एक विस्तृत, शर्तों वाला दस्तावेज़ हाँ-या-ना वाले बैज में बदल जाता है, जबकि जोखिम उन्हीं ब्योरों में होता है।

“हाँ” क्या छिपा सकता है

एक विक्रेता सच कह सकता है कि उसके पास SOC 2 रिपोर्ट है, और फिर भी:

• रिपोर्ट Type I है। यह दिखाती है कि नियंत्रण एक दिन में डिज़ाइन किए गए थे और लागू थे, यह नहीं कि वे समय के साथ काम करते रहे।
• दायरा वह सेवा शामिल नहीं करता जो आप खरीद रहे हैं। रिपोर्ट एक वर्णित सिस्टम को कवर करती है। यदि आपका डेटा उसके बाहर के किसी उत्पाद या क्षेत्र से गुजरता है, तो रिपोर्ट उसके बारे में कुछ नहीं कहती।
• अवधि बहुत पहले समाप्त हो चुकी है। रिपोर्ट एक बीती अवधि को कवर करती है। समाप्ति के बाद कई महीनों का अंतर है, यानी किसी ने हाल का संचालन जाँचा ही नहीं।
• राय सशर्त (qualified) है, या जाँच परिणामों में ऐसे अपवाद (exceptions) हैं जो आपके लिए मायने रखते हैं।
• मुख्य नियंत्रण एक सब-सर्विस संगठन को कैरी आउट किए गए हैं, जैसे क्लाउड होस्ट, जिसकी अपनी रिपोर्ट आप कभी नहीं देखते।
• रिपोर्ट उन नियंत्रणों पर निर्भर है जो आपको स्वयं चलाने हैं, जिन्हें complementary user entity controls के रूप में सूचीबद्ध किया गया है, और आपकी ओर से किसी को इनकी जानकारी नहीं है।
• केवल Security दायरे में है, जबकि आपके लिए availability, confidentiality या privacy मायने रखती थी।

इनमें से कोई भी रिपोर्ट को बेकार नहीं बनाता। लेकिन इनमें से हर बात “हाँ” के पीछे अदृश्य रहती है।

एक अच्छी SOC 2 रिपोर्ट का मूल्य

यह SOC 2 के खिलाफ तर्क नहीं है। किसी सक्षम फर्म की Type II रिपोर्ट उन सबसे उपयोगी दस्तावेज़ों में से है जो एक खरीदार पा सकता है। स्वतंत्र परीक्षकों ने महीनों तक वास्तविक साक्ष्यों के नमूने लिए: पहुँच दी गई और हटाई गई, बदलाव स्वीकृत हुए, घटनाएँ संभाली गईं, बैकअप बहाल किए गए। विक्रेता के अपने स्टाफ़ द्वारा भरी गई प्रश्नावली इसकी बराबरी नहीं कर सकती, और जो सुरक्षा टीम रिपोर्ट को ठीक से पढ़ती है, वह अपनी अधिकांश प्रश्नावली समाप्त कर सकती है।

मूल्य ब्योरों में है: कौन से नियंत्रण जाँचे गए, कैसे, और किस परिणाम के साथ। संक्षिप्त शब्द वह ब्योरा फेंक देता है। किसी विक्रेता से पूछना कि वह “प्रमाणित” है या नहीं, केवल हाँ को आमंत्रित करता है; पूछना कि रिपोर्ट क्या कवर करती है, साक्ष्य को सामने लाता है।

पूछने के बेहतर सवाल

“क्या आप SOC 2 प्रमाणित हैं?” की जगह ऐसे सवाल पूछें जिनसे उत्तर उपयोगी बने:

1. आपके पास कौन सी रिपोर्ट है: Type I या Type II, और वह किस अवधि को कवर करती है?
2. क्या सिस्टम विवरण में वह सेवा और वे क्षेत्र शामिल हैं जिनका हम उपयोग करेंगे?
3. Trust Services Criteria की कौन सी श्रेणियाँ दायरे में हैं?
4. क्या कोई अपवाद या सशर्त राय थी, और उन्हें कैसे हल किया गया?
5. कौन से सब-सर्विस संगठन बाहर रखे गए हैं, और हमें कौन से complementary user entity controls चलाने होंगे?

फिर रिपोर्ट पढ़ें, कम से कम राय, सिस्टम विवरण, अपवाद और user-entity नियंत्रण। इसमें प्रश्नावली से कहीं कम समय लगता है।

यह हर फ़्रेमवर्क पर लागू होता है

यह पैटर्न केवल SOC 2 तक सीमित नहीं है। “ISO 27001 प्रमाणित” प्रमाणपत्र के दायरे पर निर्भर करता है; “NIS2 अनुपालक” राष्ट्रीय कानून और रिपोर्टिंग प्रक्रियाओं पर निर्भर करता है, जिन्हें कोई प्रमाणपत्र नहीं जाँचता; “NIST CSF के अनुरूप” का मतलब लगभग कुछ भी हो सकता है, क्योंकि CSF का कोई प्रमाणन ही नहीं होता। फ़्रेमवर्क का नाम बातचीत की शुरुआत है, अंत नहीं।

यदि आप विक्रेता पक्ष पर हैं, तो इसे आसान बनाएँ: शुरू में ही बताएँ कि कौन सी रिपोर्ट, कौन सी अवधि और कौन सा दायरा है, और दिखाएँ कि आपके नियंत्रण उन फ़्रेमवर्क से कैसे मेल खाते हैं जिनका आपके ग्राहक उपयोग करते हैं। मैपिंग में गैप विश्लेषण और SOC 2 फ़्रेमवर्क पेज मदद कर सकते हैं, और SOC 2 गाइड समझाती है कि रिपोर्टें कैसे तैयार होती हैं।

प्रश्न

क्या SOC 2 प्रमाणन नाम की कोई चीज़ होती है?

नहीं। SOC 2 रिपोर्ट एक attestation है: AICPA के Trust Services Criteria के आधार पर किसी सेवा संगठन के नियंत्रणों पर एक लाइसेंस प्राप्त CPA फर्म की राय। कोई प्रमाणपत्र जारी नहीं होता।

SOC 2 रिपोर्ट में पहले क्या पढ़ना चाहिए?

ऑडिटर की राय (क्या वह सशर्त नहीं है?), दायरा और सिस्टम विवरण, कवर की गई अवधि, जाँच परिणामों के अपवाद, और वे complementary user entity controls जिन्हें आपसे चलाने की अपेक्षा है।