Dag is een geweldige dag voor afkortingen, vind je niet? Geweldig, laten we gaan. Het American Institute of Certified Public Accountants (AICPA) introduceerde het System and Organization Controls (SOC). Dit is de naam van een van de meer gebruikelijke compliance-eisen waaraan (tech)bedrijven tegenwoordig moeten voldoen op basis van de Trust Services Criteria (TSC). Dus wat is SOC 2? Volg je het nog?
SOC 2 is geen voorschrijvende lijst van controles, hulpmiddelen of processen. In plaats daarvan worden de criteria genoemd die nodig zijn om een robuuste informatiebeveiliging te handhaven, zodat elk bedrijf de praktijken en processen kan toepassen die relevant zijn voor de eigen doelstellingen en activiteiten.
Zowel SOC 2 als ISO – weet je nog? – zijn internationaal erkende standaarden die een onafhankelijke audit door een derde partij inhouden. Het verschil tussen ISO 27001 en SOC 2 is dat SOC 2 voornamelijk in de VS wordt gebruikt en dat het niet resulteert in een certificering, maar in een attesteringsrapport.
Een bedrijf met een CPA-licentie valideert dat de algemene interne controles met betrekking tot informatiesystemen aanwezig zijn om de service die u aan uw klanten levert te beveiligen.
De criteria voor vertrouwensdiensten
De eisen zijn gebaseerd op vijf TSC. Deze criteria zijn beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Bekijk ze eens:
- Veiligheid verwijst naar de bescherming van informatie en systemen tegen ongeoorloofde toegang.
- Beschikbaarheid is of de infrastructuur, software of informatie wordt onderhouden en controles heeft voor bediening, bewaking en onderhoud.
- Verwerkingsintegriteit zorgt ervoor dat systemen hun functies uitvoeren zoals bedoeld. Ook, die vrij zijn van fouten, vertraging, weglating en ongeoorloofde of onbedoelde manipulatie.
- Confidentialiteit gaat over het vermogen van het bedrijf om gegevens te beschermen. Deze moet worden beperkt tot een specifieke groep personen of organisaties.
- Privacy criteria hebben betrekking op het vermogen van een organisatie om persoonlijk identificeerbare informatie te beschermen tegen ongeautoriseerde toegang.
Voor wie geldt SOC 2?
Het is van toepassing op elke technologiedienstverlener of SaaS-bedrijf dat klantgegevens verwerkt of opslaat. Externe verkopers, andere partners of ondersteunende organisaties die met deze organisaties werken, moeten ook aan deze compliance voldoen om de integriteit van hun datasystemen en beveiligingen te waarborgen.
Waarom zouden ze? Nou, naast dat SOC 2 een geweldig rijmwoord is, is het een ongelooflijke manier voor organisaties om klanten en andere belanghebbenden te laten zien dat ze de beveiliging van hun gegevens belangrijk vinden. Tijdens de on-site audit worden strenge compliance-eisen op de proef gesteld.
Ze zorgen er namelijk voor dat er verantwoord wordt omgegaan met gevoelige informatie. Dit kan organisaties een concurrentievoordeel opleveren. Compliant zijn verzekert anderen dat ze de infrastructuur, tools en processen hebben om hun informatie te beschermen tegen ongeautoriseerde toegang.
Wat ook opmerkelijk is, is dat organisaties (die de nodige controles implementeren) minder snel last hebben van datalekken of de privacy van gebruikers schenden. Dit beschermt hen tegen negatieve gevolgen, zoals regelgevende maatregelen en financiële of reputatieschade. Win-win, toch?
Het bovenstaande samenvattend: als je een SOC 2-compliance hebt, weet je in de praktijk dat je organisatie een hoog niveau van informatiebeveiliging handhaaft. Dit heeft veel voordelen tegenover geen enkel nadeel, wat een geweldige manier is om deze zaak af te sluiten. woohoo!
