I dag er en god dag for forkortelser, synes du ikke? Godt, lad os komme i gang. American Institute of Certified Public Accountants (AICPA) introducerede System and Organization Controls (SOC). Det er navnet på et af de mere almindelige compliance-krav, som (tech-)virksomheder skal opfylde i dag baseret på Trust Services Criteria (TSC). Så hvad er SOC 2? Følger du stadig med?
SOC 2 er ikke en præskriptiv liste over kontroller, værktøjer eller processer. Den nævner snarere de kriterier, der kræves for at opretholde en robust informationssikkerhed, og giver hver virksomhed mulighed for at vedtage de praksisser og processer, der er relevante for deres egne mål og operationer.
Både SOC 2 og ISO – kan du huske den? – er internationalt anerkendte standarder, der involverer en uafhængig revision af en tredjepart. Forskellen mellem ISO 27001 og SOC 2 er, at SOC 2 primært anvendes i USA, og at den ikke resulterer i en certificering, men i en attesteringsrapport.
Et CPA-licenseret firma validerer, at generelle interne kontroller relateret til informationssystemer er på plads for at sikre den service, du leverer til dine kunder.
Kriterierne for tillidstjenester
Kravene er baseret på fem TSC. Disse kriterier er sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv. Tjek dem ud:
- Sikkerhed henviser til beskyttelse af information og systemer mod uautoriseret adgang.
- Tilgængelighed er, om infrastrukturen, softwaren eller informationen vedligeholdes og har kontroller til drift, overvågning og vedligeholdelse.
- Processing integrity sikrer, at systemerne udfører deres funktioner efter hensigten. Og at de er fri for fejl, forsinkelser, udeladelser og uautoriseret eller utilsigtet manipulation.
- Fortrolighed handler om virksomhedens evne til at beskytte data. Den bør være begrænset til en bestemt gruppe af personer eller organisationer.
- Privatlivskriterier handler om en organisations evne til at beskytte personligt identificerbare oplysninger mod uautoriseret adgang.
Hvem gælder SOC 2 for?
Det gælder for enhver teknologitjenesteudbyder eller SaaS-virksomhed, der håndterer eller opbevarer kundedata. Tredjepartsleverandører, andre partnere eller supportorganisationer, der arbejder med disse organisationer, bør også opretholde denne overholdelse for at sikre integriteten af deres datasystemer og sikkerhedsforanstaltninger.
Hvorfor skulle de det? Ud over at SOC 2 er et godt ord til at rime på, er det en fantastisk måde for organisationer at vise kunder og andre interessenter, at de går op i at sikre deres data. Strenge compliance-krav bliver sat på prøve i revisionen på stedet.
De sikrer nemlig, at følsomme oplysninger håndteres ansvarligt. Dette vil sandsynligvis give organisationer en konkurrencefordel. At være compliant forsikrer andre om, at de har infrastrukturen, værktøjerne og processerne til at beskytte deres oplysninger mod uautoriseret adgang
Det er også bemærkelsesværdigt, at organisationer (der implementerer de nødvendige kontroller) er mindre tilbøjelige til at blive udsat for databrud eller krænke brugernes privatliv. Det beskytter dem mod negative effekter, som f.eks. lovgivningsmæssige tiltag og økonomisk eller omdømmemæssig skade. Win-win, ikke sandt?
For at opsummere ovenstående: Hvis du har en SOC 2-overensstemmelse, ved du i praksis, at din organisation opretholder et højt niveau af informationssikkerhed. Det har mange fordele og ikke en eneste ulempe, hvilket er en god måde at afslutte denne sag på. woohoo!
