Стандарт
SOC 2 (Trust Services Criteria)
Что это такое
Стандарт AICPA для отчётности о контролях организации, оказывающей услуги, на соответствие Критериям услуг доверия: безопасность (включается всегда) и, по выбору, доступность, конфиденциальность, целостность обработки и конфиденциальность персональных данных.
Кому это нужно
Организации, оказывающие услуги, прежде всего разработчики программного обеспечения и облачные компании, чьи клиенты требуют подтверждения надёжности перед передачей им данных. Это рыночное ожидание, в основном со стороны клиентов из США, а не юридическое требование.
Как проводится оценка
Лицензированная фирма CPA проверяет контроли и выпускает отчёт: Type I охватывает проектирование контролей на одну дату, Type II охватывает операционную эффективность за период, обычно от 3 до 12 месяцев. Сертификата не выдаётся. См. как получить отчёт SOC 2.
Читать руководство: Как получить отчёт SOC 2 →
61
Критерии
41
Сопоставлено с другим фреймворком
92%
Охвачено тем (46/50)
Сопоставления AICPA для SOC 2 не распространяются под открытой лицензией, поэтому все ссылки SOC 2 здесь являются редакторскими решениями ControlMapping: критерии, которые мы не сопоставили, не могут совпадать. Критерии целостности обработки (PI) и большинство критериев конфиденциальности (P) не имеют аналогов в фреймворках по информационной безопасности.
Сравнения
Требования
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
| ID | Требование | Темы | Сопоставлено в |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Непрерывность бизнеса | 8 из 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Резервное копирование и восстановление, Непрерывность бизнеса, Аварийное восстановление | 11 из 13 |
| A1.3 | Testing recovery plan procedures | Планирование восстановления, Аварийное восстановление | 10 из 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Классификация данных | 9 из 13 |
| C1.2 | Disposing of confidential information | Защита данных | 11 из 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Политика управления | 9 из 13 |
| CC1.2 | Board independence and oversight of internal control | Роли и обязанности | 9 из 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Роли и обязанности | 9 из 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Осведомлённость и обучение | 10 из 13 |
| CC1.5 | Accountability for internal control responsibilities | Роли и обязанности | 9 из 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 из 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Осведомлённость и обучение | 10 из 13 |
| CC2.3 | Communication with external parties | Коммуникация, Отчётность, Коммуникации и восстановление | 12 из 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Управление рисками, Бизнес-среда | 10 из 13 |
| CC3.2 | Risk identification and analysis | Оценка рисков | 10 из 13 |
| CC3.3 | Considering the potential for fraud | Оценка рисков | 10 из 13 |
| CC3.4 | Identifying and assessing significant changes | Оценка рисков | 10 из 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Соответствие требованиям | 10 из 13 |
| CC4.2 | Communicating and remediating control deficiencies | Соответствие требованиям | 10 из 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Управление рисками | 10 из 13 |
| CC5.2 | General controls over technology | Безопасная конфигурация | 9 из 13 |
| CC5.3 | Control activities deployed through policies and procedures | Политика управления | 9 из 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Управление активами, Контроль доступа, Многофакторная аутентификация, Шифрование | 13 из 13 |
| CC6.2 | User registration, authorization and removal | Контроль доступа | 11 из 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Контроль доступа, Привилегированный доступ | 12 из 13 |
| CC6.4 | Physical access restrictions | Физическая безопасность | 8 из 13 |
| CC6.5 | Protection of data when assets are disposed of | Защита данных | 11 из 13 |
| CC6.6 | Protection against threats from outside system boundaries | Межсетевой экран / сегментация сети, Безопасность веб-приложений, Нулевое доверие, WAF | 9 из 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Шифрование, Безопасность мобильных устройств, DLP | 11 из 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Защита конечных точек, Безопасность электронной почты | 10 из 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Управление уязвимостями, Управление исправлениями, Безопасная конфигурация | 13 из 13 |
| CC7.2 | Monitoring system components for anomalies | Непрерывный мониторинг, Логирование и аудит, Обнаружение вторжений, Обнаружение аномалий | 11 из 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Реагирование на инциденты | 12 из 13 |
| CC7.4 | Responding to identified security incidents | Реагирование на инциденты, Криминалистический анализ, Митигация | 12 из 13 |
| CC7.5 | Recovering from identified security incidents | Планирование восстановления, Извлечённые уроки, Коммуникации и восстановление | 11 из 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Безопасная разработка | 8 из 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Управление рисками, Непрерывность бизнеса | 10 из 13 |
| CC9.2 | Managing vendor and business partner risk | Управление рисками цепочки поставок, Безопасность облачных сред, Управление рисками поставщиков | 12 из 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | нет |
| P2.1 | Choice and consent | — | нет |
| P3.1 | Collection limited to privacy objectives | — | нет |
| P3.2 | Explicit consent where required | — | нет |
| P4.1 | Use limited to privacy objectives | — | нет |
| P4.2 | Retention of personal information | — | 1 из 13 |
| P4.3 | Disposal of personal information | — | 1 из 13 |
| P5.1 | Data subject access | — | нет |
| P5.2 | Correction of personal information | — | нет |
| P6.1 | Disclosure to third parties with consent | — | нет |
| P6.2 | Record of authorized disclosures | — | нет |
| P6.3 | Record of unauthorized disclosures | — | нет |
| P6.4 | Privacy commitments from third parties | — | нет |
| P6.5 | Notification by third parties of unauthorized disclosures | — | нет |
| P6.6 | Breach notification to affected individuals | — | 1 из 13 |
| P6.7 | Accounting of disclosures to data subjects | — | нет |
| P7.1 | Quality of personal information | — | нет |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | нет |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | нет |
| PI1.2 | Controls over system inputs | — | нет |
| PI1.3 | Controls over system processing | — | нет |
| PI1.4 | Controls over system outputs | — | нет |
| PI1.5 | Storing inputs, items in processing and outputs | — | нет |
Охват темы
Темы с сопоставленными требованиями SOC 2 (46):
Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеУправление рисками поставщиковФизическая безопасность
Нет сопоставления в наших данных Нет требования SOC 2 (4):