Perché «Siete certificati SOC 2?» è la domanda sbagliata

Quasi ogni questionario di sicurezza sembra includerla: «Siete certificati SOC 2?» E i fornitori rispondono «sì», allegano un PDF e la casella viene spuntata. Il problema è che la domanda non significa ciò che entrambe le parti credono, e una casella spuntata può nascondere proprio i rischi che l'acquirente cercava di individuare.

Non esiste un certificato SOC 2

SOC 2 è un'attestazione, non una certificazione. Uno studio CPA abilitato esamina i controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria dell'AICPA e rilascia un report con il proprio giudizio. Nessuno emette un certificato, nessuno tiene un registro delle aziende certificate e non esiste una soglia di superamento. Si confronti con ISO 27001, dove un organismo di certificazione accreditato rilascia effettivamente un certificato, con un perimetro definito e validità di tre anni. (Il nostro confronto ISO 27001 vs SOC 2 illustra le differenze.)

Chiamare certificato un report SOC 2 non è mera pignoleria. Trasforma un documento dettagliato e condizionato in un badge sì-o-no, mentre i dettagli sono proprio dove si annida il rischio.

Cosa può nascondere un «sì»

Un fornitore può dire con sincerità di avere un report SOC 2 mentre:

• Il report è di Tipo I. Mostra che i controlli erano progettati e in essere in un determinato giorno, non che hanno funzionato nel tempo.
• Il perimetro esclude il servizio che state acquistando. Un report copre un sistema descritto. Se i vostri dati transitano attraverso un prodotto o una regione al di fuori di esso, il report non dice nulla al riguardo.
• Il periodo si è concluso molto tempo fa. Un report copre un periodo passato. Un intervallo di molti mesi dalla sua conclusione significa che nessuno ha verificato il funzionamento recente.
• Il giudizio è con rilievi, oppure i risultati dei test elencano eccezioni che sono rilevanti per voi.
• Controlli chiave sono esclusi a favore di un'organizzazione fornitrice di sottoservizi, come l'host cloud, il cui report non vedrete mai.
• Il report si basa su controlli che dovete eseguire voi stessi, elencati come controlli complementari a carico dell'entità utente, e nessuno nel vostro team ne è al corrente.
• È incluso solo il criterio Security, quando ciò che vi interessava erano disponibilità, riservatezza o privacy.

Nessuno di questi punti rende un report privo di valore. Tutti però sono invisibili dietro il «sì».

Quanto vale un buon report SOC 2

Nulla di tutto questo è un argomento contro SOC 2. Un report di Tipo II rilasciato da una società competente è uno dei documenti più utili che un acquirente possa ottenere. Verificatori indipendenti hanno campionato prove reali nell'arco di mesi: accessi concessi e revocati, modifiche approvate, incidenti gestiti, backup ripristinati. Un questionario compilato dal personale del fornitore non può eguagliarlo, e un team di sicurezza che legge correttamente i report può ridurre gran parte del proprio questionario.

Il valore sta nel dettaglio: quali controlli sono stati testati, come e con quale esito. La formula abbreviata butta via proprio quel dettaglio. Chiedere se un fornitore è «certificato» invita a un sì; chiedere cosa copre il report invita a esaminare le prove.

Domande migliori da porre

Sostituite «siete certificati SOC 2?» con domande che rendano utile la risposta:

1. Quale report avete: Tipo I o Tipo II, e a quale periodo si riferisce?
2. La descrizione del sistema include il servizio e le regioni che utilizzeremo?
3. Quali categorie dei Trust Services Criteria sono incluse nel perimetro?
4. Vi sono state eccezioni o un giudizio con rilievi, e come sono state risolte?
5. Quali organizzazioni fornitrici di sottoservizi sono escluse e quali controlli complementari a carico dell'entità utente dobbiamo gestire?

Poi leggete il report, almeno il giudizio, la descrizione del sistema, le eccezioni e i controlli a carico dell'entità utente. Richiede molto meno tempo del questionario.

Lo stesso vale per ogni framework

Lo schema non è esclusivo di SOC 2. «Certificato ISO 27001» dipende dal perimetro del certificato; «conforme a NIS2» dipende dalla normativa nazionale e da procedure di segnalazione che nessun certificato verifica; «allineato al NIST CSF» può significare quasi qualsiasi cosa, perché il CSF non prevede alcuna certificazione. Il nome di un framework è l'inizio della conversazione, non la fine.

Se siete dalla parte del fornitore, semplificate il compito: indicate subito quale report, quale periodo e quale perimetro, e mostrate come i vostri controlli si mappano ai framework usati dai vostri clienti. La nostra Gap analysis e la pagina del framework SOC 2 possono aiutare nella mappatura, e la guida SOC 2 spiega come vengono prodotti i report.

Domande

Esiste davvero una certificazione SOC 2?

No. Un report SOC 2 è un'attestazione: il giudizio di uno studio CPA abilitato sui controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria dell'AICPA. Non viene emesso alcun certificato.

Cosa devo leggere per primo in un report SOC 2?

Il giudizio del revisore (è senza rilievi?), il perimetro e la descrizione del sistema, il periodo coperto, le eccezioni nei risultati dei test e i controlli complementari a carico dell'entità utente che vi si chiede di gestire.