מסגרות ותקנים / US
SOC 2
SOC 2 הוא דוח אישור אמריקאי, המונפק על ידי משרד רואי חשבון מורשה ובלתי תלוי, המתאר את הבקרות של ארגון שירות מול קריטריוני שירותי האמון (Trust Services Criteria) של ה-AICPA. זהו דוח על הבקרות שלכם, לא הסמכה.
מה זה דורש
SOC 2 בנוי על חמש קטגוריות של קריטריוני שירותי האמון: אבטחה ("הקריטריונים המשותפים", CC1-CC9, חובה בכל דוח), ובנוסף באופן אופציונלי זמינות, סודיות, שלמות עיבוד ופרטיות. הקריטריונים המשותפים לאבטחה בנויים על מסגרת הבקרה הפנימית COSO ומכסים סביבת בקרה, תקשורת, הערכת סיכונים, ניטור, פעילויות בקרה, גישה לוגית ופיזית, תפעול מערכות, ניהול שינויים והפחתת סיכונים. דוח Type I מעריך האם הבקרות עוצבו כראוי בנקודת זמן יחידה; דוח Type II מעריך האם הן פעלו באופן אפקטיבי לאורך תקופת סקירה: בדרך כלל 3 חודשים לדוח ראשון ו-12 חודשים לאחר מכן. המבקר דוגם ראיות לאורך התקופה, כך שבקרות שלא בוצעו במהלך החלון הופכות לחריגות בדוח. אין תעודת עבר/נכשל: התוצר הוא דוח המכיל את חוות דעת המבקר, תיאור המערכת, וכל חריגה שנמצאה.
SOC 2 חל על ארגוני שירות (בדרך כלל ספקי SaaS, אירוח, עיבוד נתונים ו-BPO) שלקוחותיהם תלויים בבקרותיהם. הוא אינו נדרש על פי חוק כלשהו. הטריגר הוא מסחרי: לקוח ארגוני אמריקאי, או רוכש שמטהו בארה"ב, מבקש את הדוח והעסקה נתקעת בלעדיו. חברות SaaS ישראליות בתחום ה-B2B המוכרות לארה"ב נתקלות בכך כמעט תמיד בנקודה שבה הן עוברות מלקוחות SMB ללקוחות ארגוניים.
הבקרות שאנשים באמת נכשלים בהן
- הבקרות עוצבו אך לא בוצעו במהלך תקופת התצפית: סקירת ההרשאות הרבעונית דולגה ברבעון השני, כך שדוח ה-Type II נושא חריגה עבור כל התקופה.
- סיום העסקה אינו מתועד: עובדים עזבו, ההרשאה הוסרה בסופו של דבר, אך אין כרטיס, חותמת זמן או אישור המראה שזה קרה בתוך מסגרת הזמן שהמדיניות מבטיחה.
- ניהול שינויים נעקף עבור שינויי ייצור "דחופים": פריסות ללא אישור, ללא כרטיס וללא קישור בין שינוי הקוד לסוקר.
- ניהול ספקים קיים רק על הנייר: אין רשימת ספקים עדכנית, אין ראיות שדוחות ה-SOC 2 של ספקי-משנה נסקרו, ואין הערכה של בקרות משלימות בישות המשתמש.
- הדרכת מודעות אבטחה מועברת אך השלמתה אינה מנוטרת, כך שהמבקר אינו יכול לאמת שכל הצוות בהיקף השלים אותה.
- תיאור המערכת מגזים ביחס למציאות: הוא מתאר יכולת ניטור או התראה הקיימת בתרשים אך שאיש אינו מגיב אליה בפועל.
מה ההבדל בין SOC 2 Type I ו-Type II?
דוח Type I נותן חוות דעת על האם הבקרות שלכם עוצבו כראוי נכון לתאריך יחיד. דוח Type II נותן חוות דעת על האם אותן בקרות גם פעלו באופן אפקטיבי לאורך תקופה מוגדרת: בדרך כלל 3 עד 12 חודשים. Type I ניתן להפקה במהירות ולעיתים מתקבל כפתרון ביניים לשחרור עסקה, אך רוב הקונים הארגוניים דורשים בסופו של דבר Type II, מכיוון שחוות דעת על עיצוב בלבד אינה אומרת דבר על האם מישהו אכן ביצע את העבודה.
כמה זמן לוקחת ביקורת SOC 2?
עבודת המוכנות לחברת שוק ביניים נמשכת בדרך כלל 2 עד 4 חודשים. לאחר מכן, Type I יכול להיות מונפק תוך שבועות. Type II דורש בנוסף תקופת תצפית (בדרך כלל 3 חודשים לדוח ראשון, ואז תקופות של 12 חודשים בקצב שנתי) שבמהלכה המבקר אוסף ראיות, ולאחריה מספר שבועות של עבודת שטח וניסוח דוח. תקופת התצפית היא החלק הבלתי ניתן להזזה: אינכם יכולים לכווץ את הזמן שבו הבקרות חייבות להיראות פועלות.
האם SOC 2 הוא הסמכה?
לא. SOC 2 הוא התקשרות אישור המבוצעת תחת תקני ה-AICPA, והתוצר הוא דוח המכיל חוות דעת בלתי תלויה של רואה חשבון, תיאור המערכת שלכם, הבקרות שנבדקו, הבדיקות שבוצעו, וכל חריגה. אין תעודה, אין גוף הסמכה ואין ציון עובר. כל ספק הטוען שהוא "מוסמך SOC 2" משתמש במונח באופן רופף: מה שיש לו (או אין לו) הוא דוח, ועליכם לבקש לקרוא אותו, כולל חלק החריגות.
אילו קריטריוני שירותי אמון עלינו לכלול בהיקף?
אבטחה (הקריטריונים המשותפים) היא חובה בכל דוח SOC 2. זמינות, סודיות, שלמות עיבוד ופרטיות הן אופציונליות ויש להוסיפן רק כאשר חוזי הלקוח או ה-SLA שלכם באמת תלויים בהן: זמינות אם אתם מתחייבים לזמן פעילות, סודיות אם אתם מטפלים בנתוני לקוחות תחת התחייבויות סודיות, שלמות עיבוד אם אתם מבצעים עיבוד עסקאות או חישובי בעבור לקוחות, פרטיות אם אתם מטפלים במידע אישי כגורם דמוי-בקר. כל קטגוריה נוספת מרחיבה את היקף הביקורת, העלות ונטל הראיות, אז הוסיפו אותן מכיוון שלקוח ביקש, לא לשם שלמות.