Panoramica su SOC 2

SOC 2 è un quadro di riferimento volontario per l’audit creato dall’AICPA che valuta il modo in cui le organizzazioni di servizi gestiscono i dati dei clienti. A differenza dei requisiti normativi quali l’HIPAA o il PCI DSS, SOC 2 non è una legge. Si tratta di una relazione di audit redatta da uno studio indipendente di commercialisti che valuta i controlli della vostra organizzazione alla luce dei criteri dell’AICPACriteri relativi ai servizi fiduciari.

Il quadro normativo si applica a qualsiasi azienda tecnologica o organizzazione di servizi che archivia, elabora o trasmette dati dei clienti. In pratica, ciò significa che i fornitori di servizi SaaS, le società di hosting cloud, le aziende di analisi dei dati e i fornitori di servizi gestiti sono i soggetti più comunemente interessati. Tuttavia, il pubblico di riferimento si è ampliato in modo significativo.

I team di approvvigionamento delle grandi aziende richiedono ormai sistematicamente i rapporti SOC 2 durante le valutazioni dei fornitori, rendendo tale audit un requisito di fatto per intrattenere rapporti commerciali con le grandi organizzazioni. Ciò che contraddistingue il SOC 2 è la sua flessibilità: non si tratta semplicemente di spuntare delle caselle su un elenco prestabilito di requisiti di conformità.

Si definisce invece l’ambito della verifica selezionando quali dei cinque criteri dei Trust Services si applicano ai propri servizi. Il revisore valuta quindi se i controlli in atto soddisfano efficacemente tali criteri.

I requisiti di conformità SOC 2 vi spingono proprio verso questo tipo di approccio strutturato e documentato alla sicurezza e alla protezione dei dati, in grado di ridurre sia i rischi che i costi. Il quadro di riferimento dei Trust Services Criteria dell’AICPA fornisce la struttura, mentre il rapporto di revisione offre ai vostri clienti le prove di cui hanno bisogno.

Criteri relativi ai servizi fiduciari

I cinque criteri dei Trust Services costituiscono la struttura portante di ogni audit SOC 2. Ciascun criterio riguarda un aspetto specifico delle modalità di protezione e gestione dei dati. La sicurezza è l’unico criterio obbligatorio, ma la maggior parte delle organizzazioni include almeno uno o due criteri aggiuntivi in base ai propri servizi e alle aspettative dei clienti.

 Sicurezza (Criteri comuni) – La sicurezza è alla base di ogni rapporto SOC 2. I Criteri comuni riguardano i controlli di accesso logico e fisico, il monitoraggio delle operazioni di sistema, la gestione delle modifiche e la mitigazione dei rischi.

Controlli come il CC6.4 (limitazione dell’accesso fisico e logico alle risorse informative) e il CC6.7 (limitazione della trasmissione, del trasferimento e della rimozione delle informazioni) sono fondamentali per dimostrare che si proteggono i sistemi da accessi non autorizzati e minacce. Ogni audit SOC 2 include il criterio “Sicurezza”, indipendentemente dagli altri criteri selezionati.

 Disponibilità – La disponibilità indica se i sistemi sono operativi e accessibili come previsto dagli accordi sul livello di servizio. È proprio in questo ambito che la protezione dei dati assume un’importanza fondamentale. Il controllo A1.2 richiede di mantenere in essere procedure di backup e un’infrastruttura di Recovery. Il controllo A1.3 richiede di testare il piano di Recovery, non solo di documentarlo.

I revisori vogliono verificare che siate in grado di ripristinare i sistemi e i dati entro gli obiettivi di tempo di ripristino (RTO) e gli obiettivi di punto di ripristino (RPO) definiti.Le funzionalità di Recovery operativo di Clumio’sono progettati appositamente per questo scopo: backup basati su criteri con pianificazione automatizzata e archiviazione in ambiente isolato che soddisfa sia il requisito A1.2 che quello A1.3.

Riservatezza — I criteri di riservatezza (C1.1 e C1.2) sono incentrati sulla protezione delle informazioni designate come riservate. Ciò comprende la crittografia dei dati inattivi e in transito, le politiche di conservazione che definiscono per quanto tempo i dati riservati vengono conservati e le procedure di distruzione sicura al termine dei periodi di conservazione.

Integrità dell’elaborazione – L’integrità dell’elaborazione valuta se i sistemi elaborano i dati in modo completo, accurato e tempestivo. Questo criterio è particolarmente rilevante per le organizzazioni il cui servizio principale riguarda la trasformazione dei dati, i calcoli o l’elaborazione delle transazioni.

 Privacy – La sezione dedicata alla privacy illustra le modalità di raccolta, utilizzo, conservazione, divulgazione e eliminazione dei dati personali. Presenta notevoli punti in comune con i requisiti del GDPR e del CCPA, il che la rende un elemento comune per le organizzazioni che trattano dati personali in diverse giurisdizioni.

Tipi di SOC 2

Gli audit SOC 2 si presentano in due forme, e la distinzione è importante. Un rapporto SOC 2 di Tipo 1 valuta se i vostri controlli siano stati progettati correttamente in un determinato momento. Consideratelo come un’istantanea: il revisore conferma che le vostre politiche e i vostri controlli esistano e siano strutturati in modo appropriato alla data della valutazione.

Un rapporto SOC 2 di Tipo 2 va oltre. Valuta se tali controlli funzionino effettivamente in modo efficace nel corso di un periodo definito, solitamente compreso tra sei e dodici mesi. I revisori esaminano le prove che attestano l’esecuzione coerente dei controlli, tra cui registri, registrazioni delle modifiche, rapporti di verifica dei backup e documentazione relativa alla risposta agli incidenti.

Il Tipo 2 è lo standard che gli acquirenti aziendali si aspettano. Un rapporto di Tipo 1 può rappresentare una fase intermedia mentre si costruisce la propria cronologia di audit, ma la maggior parte dei team di approvvigionamento richiederà un rapporto SOC 2 di Tipo 2 prima di firmare un contratto.

È proprio il periodo di osservazione prolungato a conferire credibilità al rapporto: dimostra che i vostri controlli funzionano nella pratica, non solo sulla carta.