Mengapa "apakah Anda bersertifikat SOC 2?" adalah pertanyaan yang keliru

Hampir setiap kuesioner keamanan memuat pertanyaan ini: "Apakah Anda bersertifikat SOC 2?" Vendor lalu menjawab "ya", melampirkan PDF, dan kotak itu pun dicentang. Masalahnya, pertanyaan ini tidak bermakna seperti yang dibayangkan kedua pihak, dan kotak yang sudah dicentang justru bisa menyembunyikan risiko yang ingin ditemukan oleh pembeli.

Tidak ada sertifikat SOC 2

SOC 2 adalah atestasi, bukan sertifikasi. Firma CPA berlisensi memeriksa kontrol sebuah organisasi penyedia layanan terhadap Trust Services Criteria dari AICPA, lalu menerbitkan laporan beserta opininya. Tidak ada pihak yang menerbitkan sertifikat, tidak ada daftar perusahaan bersertifikat, dan tidak ada nilai kelulusan. Bandingkan dengan ISO 27001, di mana badan sertifikasi terakreditasi memang menerbitkan sertifikat dengan ruang lingkup yang ditetapkan, berlaku selama tiga tahun. (Perbandingan ISO 27001 vs SOC 2 kami menguraikan perbedaannya.)

Menyebut laporan SOC 2 sebagai sertifikat bukan sekadar soal ketelitian istilah. Hal itu mengubah dokumen yang rinci dan bersyarat menjadi lencana ya-atau-tidak, padahal risikonya justru ada pada detailnya.

Apa yang bisa disembunyikan oleh "ya"

Vendor dapat dengan jujur mengatakan bahwa mereka memiliki laporan SOC 2 sementara:

• Laporannya berjenis Type I. Laporan ini hanya menunjukkan bahwa kontrol telah dirancang dan diterapkan pada satu titik waktu, bukan bahwa kontrol tersebut bekerja secara konsisten dari waktu ke waktu.
• Ruang lingkupnya tidak mencakup layanan yang Anda beli. Laporan hanya mencakup sistem yang dideskripsikan. Jika data Anda mengalir melalui produk atau wilayah di luar cakupan itu, laporan tidak mengatakan apa pun tentangnya.
• Periodenya sudah lama berakhir. Laporan mencakup periode di masa lalu. Jika sudah berbulan-bulan sejak periode itu berakhir, berarti tidak ada yang menguji operasi terkini.
• Opininya bersyarat (qualified), atau hasil pengujian mencantumkan pengecualian yang penting bagi Anda.
• Kontrol utama dikeluarkan dan diserahkan kepada subservice organisation, misalnya penyedia cloud, yang laporannya tidak pernah Anda lihat.
• Laporan bergantung pada kontrol yang harus Anda jalankan sendiri, yang tercantum sebagai complementary user entity controls, dan tidak ada seorang pun di pihak Anda yang mengetahuinya.
• Hanya Security yang masuk ruang lingkup, padahal yang Anda pedulikan adalah ketersediaan, kerahasiaan, atau privasi.

Tidak satu pun dari hal ini membuat laporan menjadi tidak bernilai. Namun semuanya tersembunyi di balik kata "ya".

Nilai laporan SOC 2 yang baik

Semua ini bukan argumen menentang SOC 2. Laporan Type II dari firma yang kompeten adalah salah satu dokumen paling berguna yang bisa didapatkan pembeli. Penguji independen mengambil sampel bukti nyata selama berbulan-bulan: akses yang diberikan dan dicabut, perubahan yang disetujui, insiden yang ditangani, dan backup yang dipulihkan. Kuesioner yang dijawab oleh staf vendor sendiri tidak dapat menandingi hal itu, dan tim keamanan yang membaca laporan dengan benar dapat memangkas sebagian besar kuesionernya.

Nilainya terletak pada detailnya: kontrol mana yang diuji, bagaimana pengujiannya, dan apa hasilnya. Singkatan ini membuang detail tersebut. Menanyakan apakah vendor "bersertifikat" mengundang jawaban ya; menanyakan apa yang dicakup laporan mengundang bukti.

Pertanyaan yang lebih baik untuk diajukan

Ganti "apakah Anda bersertifikat SOC 2?" dengan pertanyaan yang membuat jawabannya berguna:

1. Laporan mana yang Anda miliki: Type I atau Type II, dan periode apa yang dicakupnya?
2. Apakah deskripsi sistem mencakup layanan dan wilayah yang akan kami gunakan?
3. Kategori Trust Services Criteria mana saja yang masuk ruang lingkup?
4. Apakah ada pengecualian atau opini bersyarat, dan bagaimana penyelesaiannya?
5. Subservice organisation mana yang dikeluarkan, dan complementary user entity controls apa yang perlu kami jalankan?

Setelah itu, baca laporannya, setidaknya opininya, deskripsi sistem, pengecualian, dan kontrol entitas pengguna. Waktu yang dibutuhkan jauh lebih sedikit daripada waktu yang dihabiskan untuk kuesioner.

Hal yang sama berlaku untuk setiap kerangka kerja

Pola ini tidak hanya terjadi pada SOC 2. "Bersertifikat ISO 27001" bergantung pada ruang lingkup sertifikatnya; "patuh NIS2" bergantung pada hukum nasional dan prosedur pelaporan yang tidak diuji oleh sertifikat mana pun; "selaras dengan NIST CSF" bisa berarti hampir apa saja, karena CSF tidak memiliki sertifikasi sama sekali. Nama kerangka kerja adalah awal percakapan, bukan akhirnya.

Jika Anda berada di sisi vendor, buatlah hal ini mudah: sebutkan laporan, periode, dan ruang lingkup yang relevan sejak awal, dan tunjukkan bagaimana kontrol Anda dipetakan ke kerangka kerja yang digunakan pelanggan Anda. Analisis kesenjangan dan halaman kerangka kerja SOC 2 kami dapat membantu pemetaan tersebut, dan panduan SOC 2 menjelaskan cara laporan dihasilkan.

Pertanyaan

Apakah ada yang namanya sertifikasi SOC 2?

Tidak. Laporan SOC 2 adalah atestasi: opini firma CPA berlisensi tentang kontrol sebuah organisasi penyedia layanan terhadap Trust Services Criteria dari AICPA. Tidak ada sertifikat yang diterbitkan.

Apa yang sebaiknya saya baca lebih dulu dalam laporan SOC 2?

Opini auditor (apakah tanpa modifikasi?), ruang lingkup dan deskripsi sistem, periode yang dicakup, pengecualian dalam hasil pengujian, serta complementary user entity controls yang diharapkan dijalankan oleh Anda.