SOC 2 uyğunluğu: nədir və müştərilər niyə onu tələb edir

Əgər proqram təminatını bizneslərə satırsınızsa, gec-tez potensial müştərinin təhlükəsizlik komandasından kimsə SOC 2 uyğunluğunuzun olub-olmadığını soruşacaq — bəzən hətta ilk ciddi qiymətləndirmə görüşünü təyin etməzdən əvvəl. Bu sualın əslində nəyi soruşduğunu anlamağa dəyər, çünki «SOC 2»-yə çox vaxt «keçdi/keçmədi» tipli vahid nişan kimi baxılır, halbuki o, daha konkret bir şeydir.

SOC 2 əslində nədir

SOC 2 audit standartıdır, sadəcə müraciət edib aldığınız sertifikat deyil. O, «etibar xidməti meyarları» (trust service criteria) adlanan beş kateqoriya üzərində qurulub: təhlükəsizlik, əlçatanlıq, emalın bütövlüyü, məxfilik və şəxsi məlumatların qorunması. Hər SOC 2 auditi təhlükəsizliyi əhatə edir; qalan dördü isə könüllüdür və biznesinizə həqiqətən aid olub-olmamasına görə seçilir.

SOC 2 hesabatını müstəqil, lisenziyalı auditor sizin faktiki təhlükəsizlik nəzarət mexanizmlərinizi — real siyasətləri, texniki qoruyucu tədbirləri, onların mövcud olduğuna və praktikada ardıcıl tətbiq edildiyinə dair sübutları — yoxladıqdan sonra hazırlayır. Nəticədə veb-saytınızda nümayiş etdirə biləcəyiniz sadə «keçdi/keçmədi» nişanı deyil, tam hüquqlu yazılı hesabat ortaya çıxır.

Type I və Type II

• Type I nəzarət mexanizmlərinizin müəyyən bir an üçün düzgün layihələndirilib-layihələndirilmədiyi barədə hesabat verir — həmin tarixə lazımi tədbirlərin yerində olduğunu göstərən bir növ «şəkil».
• Type II isə həmin nəzarət mexanizmlərinin real bir dövr ərzində — adətən üç aydan on iki aya qədər — həqiqətən effektiv işləyib-işləmədiyi barədə hesabat verir; bu, nəzarət mexanizmlərinin sadəcə sənədləşdirilmədiyini, gündəlik işdə həqiqətən tətbiq olunduğunu sübut edir.

Real korporativ satış danışıqlarında daha mənalı və daha çox tələb olunan variant Type II-dir, çünki o, sırf auditdən keçmək üçün bir dəfəlik qurulmuş sistemi deyil, davamlı praktikanı nümayiş etdirir.

Korporativ müştərilər bunu niyə məhz tələb edir

Şirkət proqram təminatınıza öz məlumatlarına giriş verəndə sizə xeyli etimad göstərir və onların təhlükəsizlik və ya hüquq komandası müqavilə imzalanmazdan əvvəl bu etimadın əsaslı olduğunu yoxlamağa çox vaxt borcludur. SOC 2 hesabatı onlara işlək təhlükəsizlik praktikalarınızın olduğuna dair yalnız sizin sözünüzü deyil, müstəqil, üçüncü tərəf sübutunu verir. Bir çox korporativ alıcı, xüsusən tənzimlənən sahələrdə, buna «olsa yaxşıdır» tipli fərqləndirici üstünlük kimi deyil, əsl baza tələbi kimi baxır.

SOC 2-yə hazır olmaq üçün əslində nə lazımdır

Auditin özü əslində son addımdır. Real işin böyük hissəsi ondan əvvəl görülür — faktiki praktikalarınızı yoxlamaya tab gətirəcək səviyyəyə çatdırmaq:

• Giriş nəzarəti. Kimin hansı sistemlərə və məlumatlara giriş əldə edə biləcəyinə dair aydın və praktikada tətbiq olunan siyasətlər və kimsə işdən çıxanda və ya vəzifəsini dəyişəndə girişin ləğvi üçün real proses.
• Dəyişikliklərin idarə olunması. Kod dəyişikliklərinin necə nəzərdən keçirilib yerləşdirildiyinə dair sənədləşdirilmiş və əməl olunan proses — dəyişikliklər nəzarətsiz, təsadüfi şəkildə edilməsin deyə.
• Monitorinq və loqlaşdırma. Sistemlərinizdə baş verənlərə tam görünürlük və qeyri-adi fəaliyyəti aşkar edib ona reaksiya vermək üçün işlək mexanizm — sadəcə mövcud olan, amma heç kimin baxmadığı loqlar deyil.
• İnsidentlərə cavab. Təhlükəsizlik insidenti həqiqətən baş verərsə nə ediləcəyinə dair sənədləşdirilmiş plan — ilk dəfə təzyiq altında düşünülüb tapılan bir şey deyil.
• Təchizatçıların idarə olunması. Məhsulunuzun asılı olduğu üçüncü tərəf alət və xidmətlərin təhlükəsizlik vəziyyətini qiymətləndirmək üçün real proses.
• Əməkdaşların təhlükəsizlik praktikaları. Real təhlükəsizlik təlimləri və əməkdaşların həqiqətən əməl etdiyi aydın siyasətlər — ortaq diskin hansısa küncündə duran sənəd deyil.

Real müddətlər

SOC 2 auditinə həqiqətən hazır olmaq nadir hallarda tez başa gəlir, xüsusən Type II hesabatı üçün, çünki bu, audit tarixindən əvvəl qısa müddətli hazırlıq «hücumu» ilə deyil, real müşahidə dövrü ərzində ardıcıl praktikanı nümayiş etdirməyi tələb edir. Uyğunluq məsələsini yalnız böyük bir sövdələşmə artıq buna görə ilişib qalandan sonra gündəmə gətirən şirkətlər, adətən, bunu gündəlik iş tərzinin bir hissəsinə çevrilmiş davamlı praktika kimi qəbul edənlərdən qat-qat çətin vəziyyətə düşürlər.

Komandanı buna həqiqətən hazırlamaq — real siyasətlər, real texniki nəzarət mexanizmləri, auditorun görmək istəyəcəyi sübut izi — məhz Burncode-un tətbiq təhlükəsizliyi auditi və infrastrukturun möhkəmləndirilməsi ilə yanaşı gördüyü uyğunluğa hazırlıq işidir; belə ki, auditin özü tələsik çabalamaya deyil, sadə formallığa çevrilir.