Почему вопрос «Вы сертифицированы по SOC 2?» задан неверно

Почти в каждой анкете по безопасности есть такой вопрос: «Вы сертифицированы по SOC 2?» Поставщики отвечают «да», прикладывают PDF, и галочка стоит. Проблема в том, что вопрос означает не то, что думают обе стороны, а отмеченная галочка может скрывать как раз те риски, которые заказчик пытался выявить.

Сертификата SOC 2 не существует

SOC 2 — это аттестация, а не сертификация. Лицензированная фирма CPA проверяет контроли организации-поставщика услуг на соответствие Trust Services Criteria AICPA и выпускает отчёт с мнением аудитора. Никто не выдаёт сертификат, не ведёт реестр сертифицированных компаний и не существует проходного балла. Сравните с ISO 27001, где аккредитованный орган по сертификации действительно выдаёт сертификат с определённой областью охвата, действующий три года. (Различия подробно описаны в нашем сравнении ISO 27001 и SOC 2.)

Называть отчёт SOC 2 сертификатом — не просто педантизм. Это превращает подробный условный документ в бейдж «да или нет», а риски как раз скрыты в деталях.

Что может скрывать «да»

Поставщик может честно сказать, что у него есть отчёт SOC 2, и при этом:

• Отчёт относится к Type I. Он показывает, что контроли были спроектированы и внедрены на определённую дату, но не то, что они работали на протяжении времени.
• Область охвата исключает покупаемую вами услугу. Отчёт покрывает описанную систему. Если ваши данные проходят через продукт или регион, не входящий в неё, отчёт об этом ничего не говорит.
• Период давно закончился. Отчёт охватывает прошедший период. Разрыв в несколько месяцев после его окончания означает, что актуальная работа никем не проверялась.
• Мнение аудитора содержит оговорки или в результатах проверки указаны исключения, которые важны для вас.
• Ключевые контроли вынесены за рамки на субсервисную организацию, например облачного хостинг-провайдера, отчёт которого вы никогда не увидите.
• Отчёт опирается на контроли, которые должны выполнять вы сами, перечисленные как дополнительные контроли пользовательских организаций (complementary user entity controls), и никто на вашей стороне о них не знает.
• В область охвата входит только Security, тогда как вас интересовали доступность, конфиденциальность или приватность.

Ни один из этих пунктов не делает отчёт бесполезным. Но все они незаметны за словом «да».

Чего стоит хороший отчёт SOC 2

Всё это не аргумент против SOC 2. Отчёт Type II от компетентной фирмы — один из самых полезных документов, который может получить заказчик. Независимые проверяющие на протяжении месяцев выбирали реальные доказательства: предоставление и отзыв доступа, утверждение изменений, обработку инцидентов, восстановление из резервных копий. Анкета, заполненная собственными сотрудниками поставщика, такого не даст, а служба безопасности, которая внимательно читает отчёты, может сократить большую часть своей анкеты.

Ценность в деталях: какие контроли проверялись, как и с каким результатом. Сокращение отбрасывает эти детали. Вопрос, «сертифицирован» ли поставщик, подталкивает к ответу «да»; вопрос о том, что охватывает отчёт, подталкивает к доказательствам.

Какие вопросы задать лучше

Вместо «Вы сертифицированы по SOC 2?» задавайте вопросы, на которые ответ будет полезен:

1. Какой у вас отчёт: Type I или Type II и за какой период он составлен?
2. Описание системы включает услугу и регионы, которые будем использовать мы?
3. Какие категории Trust Services Criteria входят в область охвата?
4. Были ли исключения или мнение с оговорками, и как их устранили?
5. Какие субсервисные организации вынесены за рамки и какие дополнительные контроли пользовательской организации нам нужно выполнять?

Затем прочитайте отчёт, хотя бы мнение аудитора, описание системы, исключения и контроли пользовательских организаций. Это займёт намного меньше времени, чем заняла анкета.

То же относится к любому стандарту

Эта закономерность не уникальна для SOC 2. «Сертифицирован по ISO 27001» зависит от области охвата сертификата; «соответствует NIS2» зависит от национального законодательства и процедур отчётности, которые ни один сертификат не проверяет; «соответствует NIST CSF» может означать почти что угодно, поскольку у CSF вообще нет сертификации. Название стандарта — это начало разговора, а не его конец.

Если вы со стороны поставщика, упростите задачу: сразу укажите, какой отчёт, за какой период и с какой областью охвата, и покажите, как ваши контроли соотносятся со стандартами, которые используют ваши клиенты. Анализ разрывов и страница стандарта SOC 2 помогут с сопоставлением, а руководство по SOC 2 объясняет, как готовятся отчёты.

Вопросы

Существует ли вообще сертификация SOC 2?

Нет. Отчёт SOC 2 — это аттестация: мнение лицензированной фирмы CPA о контролях организации-поставщика услуг в соответствии с Trust Services Criteria AICPA. Сертификат не выдаётся.

Что сначала читать в отчёте SOC 2?

Мнение аудитора (без оговорок ли оно?), область охвата и описание системы, период, за который составлен отчёт, исключения в результатах проверки и дополнительные контроли пользовательских организаций, которые вам предстоит выполнять.