Oggi è un grande giorno per le abbreviazioni, non credete? Bene, andiamo. L’American Institute of Certified Public Accountants (AICPA) ha introdotto il System and Organization Controls (SOC). Questo è il nome di uno dei più comuni requisiti di conformità che le aziende (tecnologiche) devono soddisfare oggi sulla base dei Trust Services Criteria (TSC). Cos’è dunque il SOC 2? Stai ancora seguendo?
SOC 2 non è un elenco prescrittivo di controlli, strumenti o processi. Piuttosto, cita i criteri necessari per mantenere una solida sicurezza delle informazioni, consentendo a ciascuna azienda di adottare le pratiche e i processi pertinenti ai propri obiettivi e alle proprie operazioni.
Sia il SOC 2 che l’ISO – ve lo ricordate? – sono standard riconosciuti a livello internazionale che prevedono un audit indipendente da parte di una terza parte. La differenza tra ISO 27001 e SOC 2 è che SOC 2 è utilizzato principalmente negli Stati Uniti e che non si traduce in una certificazione, ma in un rapporto di attestazione.
Una società con licenza CPA convalida che i controlli interni generali relativi ai sistemi informativi sono in atto per garantire il servizio fornito ai clienti.
I criteri dei servizi fiduciari
I requisiti si basano su cinque TSC. Questi criteri sono sicurezza, disponibilità, integrità dell’elaborazione, riservatezza e privacy. Guardateli:
- Sicurezza si riferisce alla protezione delle informazioni e dei sistemi da accessi non autorizzati.
- Disponibilità: l’infrastruttura, il software o le informazioni sono mantenuti e dispongono di controlli per il funzionamento, il monitoraggio e la manutenzione
- Integrità di processo assicura che i sistemi svolgano le loro funzioni come previsto. Inoltre, che siano privi di errori, ritardi, omissioni e manipolazioni non autorizzate o involontarie.
- La riservatezza riguarda la capacità dell’azienda di proteggere i dati. Dovrebbe essere limitata a un insieme specifico di persone o organizzazioni.
- I criteri di privacy si riferiscono alla capacità di un’organizzazione di salvaguardare le informazioni di identificazione personale da accessi non autorizzati.
A chi si applica il SOC 2?
Si applica a qualsiasi fornitore di servizi tecnologici o società SaaS che gestisce o memorizza i dati dei clienti. Anche i fornitori di terze parti, gli altri partner o le organizzazioni di supporto che collaborano con tali organizzazioni devono mantenere questa conformità per garantire l’integrità dei loro sistemi e delle loro protezioni dei dati.
Perché dovrebbero? Oltre a essere una bella rima, SOC 2 è un modo incredibile per le organizzazioni di dimostrare ai clienti e agli altri stakeholder che si preoccupano di proteggere i loro dati. I rigorosi requisiti di conformità vengono messi alla prova durante l’audit in loco
Esse garantiscono che le informazioni sensibili siano gestite in modo responsabile. Questo può dare alle organizzazioni un vantaggio competitivo. La conformità assicura agli altri che l’azienda dispone dell’infrastruttura, degli strumenti e dei processi necessari per proteggere le informazioni da accessi non autorizzati.
Ciò che è anche degno di nota è che le organizzazioni (che implementano i controlli necessari) hanno meno probabilità di subire violazioni dei dati o della privacy degli utenti. Ciò le mette al riparo da effetti negativi, come azioni normative e danni finanziari o di reputazione. Un vantaggio per tutti, no?
Per riassumere quanto sopra, in pratica, se avete una conformità SOC 2, sapete che la vostra organizzazione mantiene un alto livello di sicurezza delle informazioni. Questo comporta molti vantaggi a fronte di nessuno svantaggio, il che è un ottimo modo per chiudere questo caso. woohoo!
