Подготовка к SOC 2 и сопровождение аудита
Аттестацию SOC 2 выпускает независимая CPA-фирма, и никакая консалтинговая компания не может выдать её вам. Мы готовим вас к ней: оцениваем пробелы по AICPA Trust Services Criteria, помогаем внедрить средства контроля и собрать доказательства, чтобы эти пробелы закрыть, и проводим тестирование на проникновение, на которое опирается отчёт. Сам аудит выполняет лицензированный CPA.
Что охватывает подготовка
SOC 2 отчитывается о средствах контроля сервисной организации по AICPA Trust Services Criteria (TSC): Security (обязательные Common Criteria), плюс Availability, Processing Integrity, Confidentiality и Privacy на ваш выбор. Мы помогаем определить нужные критерии, затем закрыть разрыв между текущим состоянием и аудируемым набором средств контроля.
- Определение описания системы и того, какие Trust Services Criteria применимы
- Оценка пробелов в средствах контроля по Security Common Criteria (CC1-CC9)
- Опциональные категории: Availability, Processing Integrity, Confidentiality, Privacy
- Политики, процедуры и описания доказательств/средств контроля, которые ожидает аудитор
- Тестирование на проникновение как техническое доказательство для Common Criteria
- Type I (дизайн на момент времени) против Type II (операционная эффективность за период)
Сначала готовность, затем аудит
Мы помогаем подготовиться, но не выступаем аудитором. Эти роли намеренно разделены, потому что CPA-фирма должна быть независимой. Мы проводим оценку пробелов и устранение, вы подходите к проверке подготовленными, а CPA проводит её и выпускает отчёт SOC 2. Мы можем порекомендовать аудиторские фирмы, но сами аттестацию никогда не выпускаем.
- 1
Определение области
Мы согласуем границу системы, Trust Services Criteria в области и Type I против Type II и подписываем NDA.
- 2
Оценка пробелов
Мы оцениваем ваши текущие средства контроля по Common Criteria и любым выбранным категориям и приоритизируем пробелы.
- 3
Устранение
Помогаем выстроить недостающие средства контроля, политики и доказательства и проводим пентест, от которого зависит отчёт.
- 4
Сопровождение аудита
Мы готовим вас к проверке и сопровождаем на протяжении полевой работы независимой CPA-фирмы.
- 5
Наблюдение Type II
Для Type II средства контроля должны работать в течение определённого периода (обычно 3-12 месяцев). Мы помогаем поддерживать их и собирать подтверждения.
Что вы получаете
Понятный результат подготовки и пакет технических доказательств: всё, чтобы прийти на проверку подготовленными. Сам отчёт SOC 2 выпускает CPA-фирма, а не мы.
- Отчёт об оценке пробелов, сопоставленный с Trust Services Criteria
- Приоритизированный план устранения с ответственными и оценками трудозатрат
- Описания средств контроля, шаблоны политик и чек-лист доказательств
- Отчёт о тестировании на проникновение (CVSS 3.1, PoC, воспроизведение) как доказательство для Common Criteria
- Подтверждение готовности, указывающее, что вы готовы к проверке
- Бесплатное повторное тестирование устранённых технических находок перед окном аудита, в срок, указанный в SoW
Основано на AICPA Trust Services Criteria
Подготовка ведётся по AICPA Trust Services Criteria: Security (обязательные Common Criteria), а также, по выбору, Availability, Processing Integrity, Confidentiality и Privacy. Проверку SOC 2 должна проводить независимая лицензированная CPA-фирма. Мы обеспечиваем подготовку, оценку пробелов, устранение и сопутствующее тестирование на проникновение, но не являемся CPA-фирмой и не выпускаем отчёт или аттестацию SOC 2. Для Type II средства контроля также должны работать в течение периода наблюдения.