Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
Yurt dışı müşterilerine yazılım veya hizmet sunan şirketler için SOC 2 hazırlığını yürütüyoruz: Trust Services Criteria kapsamının seçimi, kontrol tasarımı ve dokümantasyonu, kanıt üretimi, hazırlık değerlendirmesi ve bağımsız denetçinin gözlem dönemine destek.
SOC 2, AICPA’nın Trust Services Criteria’sına (güvenlik, erişilebilirlik, işlem bütünlüğü, gizlilik, mahremiyet) dayanan ve hizmet kuruluşunun kontrollerine ilişkin bağımsız denetçi raporudur. Type 1 belirli bir tarihteki kontrol tasarımını, Type 2 ise bir gözlem dönemi boyunca kontrollerin işleyiş etkinliğini değerlendirir. Hazırlık hizmeti, rapor öncesindeki kontrol tasarımı ve kanıt üretimi işini kapsar.
Satış süreçleri güvenlik değerlendirmelerinde takılıyor; rapor yok.
Teknik uygulamalar var ama kontrol açıklaması, sahip ve kanıt tanımlı değil.
Gözlem dönemi başladıktan sonra kanıt eksikleri istisna olarak rapora yansıyor.
SOC 2 raporları AICPA’nın Trust Services Criteria’sı ve ilgili denetim standartlarına göre bağımsız CPA firmalarınca düzenlenir. Güvenlik (common criteria) her raporda yer alır; diğer kategoriler hizmetin niteliğine ve müşteri taleplerine göre seçilir.
Hizmet sistemi sınırları ve dahil edilecek Trust Services kategorileri.
Altyapı, yazılım, kişiler, süreçler ve veri akışının açıklanması.
Kriterlere eşlenmiş kontroller, sahipler ve sıklıklar.
Gerekli politikalar ve kanıt üretim mekanizmaları.
Denetçi öncesi kontrol testleri ve düzeltmeler.
Type 2 sırasında kanıt takibi ve istisna yönetimi.
ISO 27001 kontrolleriniz varsa SOC 2 kriterleriyle eşlenir ve tekrar önlenir. Kontrol matrisi ITGC yaklaşımıyla benzer şekilde sahip, sıklık ve kanıtla tanımlanır; erişim ve değişiklik kontrolleri erişim denetimi ve değişiklik yönetimi ile güçlendirilir.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Hayır. Rapor yalnızca bağımsız CPA firmasınca düzenlenir; biz hazırlık sağlıyoruz.
Müşterilerin çoğu Type 2 bekler; zaman baskısı varsa Type 1 ile başlanıp Type 2’ye geçilebilir.
Müşteri talebine bağlıdır; özellikle ABD pazarında SOC 2 sık istenir. Kontroller büyük ölçüde ortaktır.
Denetim firması ve müşteri beklentisine göre belirlenir; genellikle birkaç ay ile bir yıl arasındadır.
Hizmet sağlayıcıların güvenlik kontrollerini ölçülebilir, kanıtlanabilir hale getirin.
Proje (hazırlık) + gözlem dönemi desteği
SOC 2 raporunu yalnızca bağımsız bir CPA firması düzenleyebilir; Eretek hazırlık ve kontrol dokümantasyonu sağlar.
Sistem ve kriterler belirlenir.
Kontroller ve politikalar hazırlanır.
Kontroller ön teste tabi tutulur.
Type 2 dönemi desteklenir.
Erişim, değişiklik, operasyon ve yedekleme kontrollerini dış denetim beklentilerine uygun belgeleyin.
Bilgi güvenliği yönetim sistemini sıfırdan kurun; kapsam, risk, kontrol, süreç ve kanıtları denetime hazır hale getirin.
Kimde hangi erişim var sorusuna kanıt üreten ve periyodik yenilenen süreç kurun.
Dış hizmet sağlayıcıların erişimlerini, taahhütlerini ve risklerini kontrol altına alın.
Hizmetinizi, müşterilerinizin taleplerini ve hedeflediğiniz rapor türünü paylaşın; hazırlık kapsamı için teklif hazırlayalım.