Соответствие SOC 2: что это такое и почему его требуют клиенты

Если вы продаёте ПО бизнесу, в какой-то момент кто-нибудь из службы безопасности потенциального клиента спросит, соответствуете ли вы SOC 2, — иногда ещё до того, как согласится назначить полноценный звонок для оценки. Стоит разобраться, о чём на самом деле этот вопрос, ведь SOC 2 часто воспринимают как простой значок «сдал/не сдал», хотя на деле всё гораздо конкретнее.

Что такое SOC 2 на самом деле

SOC 2 — это стандарт аудита, а не сертификат, который достаточно запросить и получить. Он построен вокруг пяти категорий, так называемых критериев доверия к сервисам (trust service criteria): безопасность, доступность, целостность обработки, конфиденциальность и защита персональных данных. Безопасность проверяется в рамках любого аудита SOC 2, остальные четыре категории необязательны и выбираются в зависимости от того, что действительно актуально для вашего бизнеса.

Отчёт SOC 2 составляет независимый лицензированный аудитор после изучения ваших реальных мер контроля безопасности — настоящих политик, настоящих технических средств защиты и настоящих доказательств того, что и то и другое существует и последовательно соблюдается на практике. Результат — полноценный письменный отчёт, а не простой значок «сдал/не сдал», который можно разместить на сайте.

Type I и Type II

Type I оценивает, правильно ли спроектированы ваши меры контроля на определённый момент времени, — это снимок, показывающий, что на указанную дату всё необходимое на месте.
Type II оценивает, насколько эффективно эти меры работали на протяжении реального периода, обычно от трёх до двенадцати месяцев, — это доказательство того, что меры контроля не просто задокументированы, а действительно соблюдаются изо дня в день.

В реальных переговорах с корпоративными клиентами Type II весомее и востребованнее — именно потому, что демонстрирует устойчивую практику, а не разовую настройку, сделанную специально ради прохождения аудита.

Почему корпоративные клиенты требуют именно этого

Предоставляя вашему ПО доступ к своим данным, компания оказывает вам серьёзное доверие, и её собственная служба безопасности или юридический отдел зачастую обязаны убедиться, что это доверие оправдано, ещё до подписания договора. Отчёт SOC 2 даёт им независимое, стороннее подтверждение — а не просто ваше слово — того, что у вас действительно выстроены процессы безопасности. Многие корпоративные заказчики, особенно в регулируемых отраслях, считают его не приятным конкурентным преимуществом, а обязательным базовым требованием.

Что на самом деле входит в подготовку к SOC 2

Сам аудит — это, по сути, последний шаг. Основная работа происходит заранее: нужно привести реальные процессы в такое состояние, чтобы они выдержали проверку.

Контроль доступа. Чёткие и соблюдаемые правила о том, у кого есть доступ к каким системам и данным, и налаженный процесс отзыва доступа, когда сотрудник уходит или меняет роль.
Управление изменениями. Задокументированный и соблюдаемый процесс проверки и развёртывания изменений в коде, чтобы изменения не вносились бесконтрольно и от случая к случаю.
Мониторинг и логирование. Реальная видимость того, что происходит в ваших системах, и работающий способ выявлять подозрительную активность и реагировать на неё, а не логи, которые существуют, но которые никто не смотрит.
Реагирование на инциденты. Задокументированный план действий на случай реального инцидента безопасности, а не импровизация впервые и в условиях стресса.
Управление поставщиками. Налаженный процесс оценки уровня безопасности сторонних инструментов и сервисов, от которых зависит ваш продукт.
Практики безопасности для сотрудников. Настоящее обучение безопасности и понятные правила, которые сотрудники действительно соблюдают, а не документ, затерявшийся где-то на общем диске.

Реальные сроки

Полноценная подготовка к аудиту SOC 2 редко бывает быстрой, особенно для отчёта Type II: нужно продемонстрировать последовательную практику на протяжении реального периода наблюдения, а не рывок подготовки прямо перед датой аудита. Компаниям, которые задумываются о соответствии требованиям только тогда, когда из-за этого уже застряла крупная сделка, обычно приходится гораздо тяжелее, чем тем, кто относится к этому как к постоянной практике, встроенной в повседневную работу.

Подготовить команду к такому аудиту — реальные политики, реальные технические меры контроля и тот массив доказательств, который аудитор действительно захочет увидеть, — именно этим занимается Burncode в рамках работы по соответствию требованиям, наряду с аудитами безопасности приложений и усилением защиты инфраструктуры. В итоге сам аудит становится формальностью, а не авралом.