Глоссарий по безопасности

SOC 2 против ISO 27001

Оба помогают показать, что вы серьёзно относитесь к информационной безопасности, и клиенты часто просят одно или другое. Но они пришли из разных миров (американская система бухгалтерских стандартов и международный стандарт) и подтверждаются по-разному. Ни то, ни другое консалтинговая компания не может просто выдать.

SOC 2: аттестационный отчёт

SOC 2 проводится как проверка по AICPA Trust Services Criteria: Security (обязательные Common Criteria) и, по желанию, Availability, Processing Integrity, Confidentiality и Privacy. Результатом становится отчёт, который готовит и выпускает независимая лицензированная CPA-фирма. Отчёт Type I оценивает, как устроены средства контроля на определённый момент, а Type II показывает, насколько эффективно они работают в течение периода (обычно 3-12 месяцев). Такой отчёт широко ожидают от SaaS-вендоров, особенно в США.

ISO 27001: сертифицируемый стандарт

ISO/IEC 27001:2022 описывает международные требования к системе управления информационной безопасностью (СМИБ). Вы выстраиваете систему управления (пункты 4-10) и выбираете меры из Annex A (93 меры в четырёх группах). Затем аккредитованный орган по сертификации проводит аудит в два этапа и, если вы его проходите, выдаёт сертификат на три года с надзорными аудитами. Стандарт признан во всём мире и часто предпочтителен за пределами США.

Чем они различаются

По итогам SOC 2 вы получаете подробный отчёт, который клиент читает под NDA, а ISO 27001 даёт сертификат и Statement of Applicability. SOC 2 аттестует CPA-фирма по Trust Services Criteria, ISO 27001 сертифицирует аккредитованный орган по самому стандарту. Средства контроля у них во многом пересекаются, поэтому многие организации проходят обе проверки и используют одни и те же доказательства. Но механизмы подтверждения у них разные и не зависят друг от друга.

Где консалтинг уместен (и нет)

Это главное. Консалтинговая компания может подготовить вас: провести оценку пробелов, помочь со средствами контроля, политиками, внутренним аудитом и тестированием на проникновение, которое подтверждает технические средства контроля. Но выпустить отчёт SOC 2 или сертификат ISO 27001 она не может. Их выдают соответственно независимая CPA-фирма и аккредитованный орган по сертификации. Vexaro обеспечивает подготовку и сопутствующий пентест, а аттестацию всегда выдаёт независимый асессор.

Часто задаваемые вопросы

При SOC 2 проводится проверка на соответствие AICPA Trust Services Criteria, по итогам которой независимая лицензированная CPA-фирма выпускает отчёт. ISO/IEC 27001:2022 является международным стандартом системы менеджмента информационной безопасности; сертификат выдаёт аккредитованный орган, и он действует три года при условии надзорных аудитов.

Нет. Консалтинговая компания может подготовить вас (анализ пробелов, средства контроля, политики, внутренний аудит и тестирование на проникновение, подтверждающее технические средства контроля), но не может выдать отчёт SOC 2 или сертификат ISO 27001. Их выдают соответственно независимая CPA-фирма и аккредитованный орган по сертификации.

Отчёт Type I оценивает, как устроены средства контроля на определённый момент времени; отчёт Type II оценивает их операционную эффективность за период, обычно от 3 до 12 месяцев.

Поговорите с реальным практиком.

Остался вопрос, на который эти страницы не ответили? Расскажите, что вы пытаетесь защитить, и мы укажем вам на правильный проект. Первая консультация бесплатна.