SOC 2 uyumluluğu nedir ve müşteriler neden bunu talep eder?

İşletmelere yazılım satıyorsanız, bir noktada potansiyel bir müşterinin güvenlik ekibinden biri SOC 2 uyumlu olup olmadığınızı soracaktır; bazen gerçek bir değerlendirme görüşmesi planlanmadan bile önce. Bu sorunun aslında neyi sorduğunu anlamakta fayda var, çünkü “SOC 2” çoğu zaman tek bir geçti/kaldı rozeti gibi görülse de aslında çok daha belirli bir şeydir.

SOC 2 gerçekte nedir?

SOC 2, başvurup aldığınız bir sertifika değil, bir denetim standardıdır. “Güven hizmeti kriterleri” (trust service criteria) adı verilen beş kategori üzerine kuruludur: güvenlik, kullanılabilirlik (availability), işlem bütünlüğü, gizlilik (confidentiality) ve mahremiyet (privacy). Her SOC 2 denetimi güvenliği kapsar; diğer dördü isteğe bağlıdır ve işletmeniz için gerçekten ilgili olup olmadıklarına göre seçilir.

SOC 2 raporu, bağımsız ve lisanslı bir denetçinin gerçek güvenlik kontrollerinizi (gerçek politikaları, gerçek teknik önlemleri ve bunların hem var olduğuna hem de pratikte tutarlı biçimde uygulandığına dair gerçek kanıtları) incelemesiyle hazırlanır. Sonuçta web sitenizde sergileyebileceğiniz basit bir geçti/kaldı rozeti değil, yazılı ve kapsamlı bir rapor ortaya çıkar.

Type I ve Type II

• Type I, kontrollerinizin belirli bir anda doğru tasarlanıp tasarlanmadığını raporlar; o tarih itibarıyla doğru önlemlerin yerinde olduğunu gösteren bir anlık görüntüdür.
• Type II, bu kontrollerin belirli bir süre boyunca (genellikle üç ila on iki ay) gerçekten etkili biçimde işleyip işlemediğini raporlar; kontrollerin yalnızca belgelenmediğinin, gündelik işleyişte gerçekten uygulandığının kanıtıdır.

Gerçek kurumsal satış görüşmelerinde daha anlamlı bulunan ve daha sık talep edilen sürüm Type II'dir; çünkü yalnızca denetimi geçmek için yapılmış tek seferlik bir kurulumu değil, sürdürülen bir pratiği gösterir.

Kurumsal müşteriler neden özellikle bunu ister?

Bir şirket, verilerine erişimi yazılımınıza bıraktığında size ciddi bir güven gösterir ve çoğu zaman kendi güvenlik ya da hukuk ekibinin, sözleşme imzalanmadan önce bu güvenin yerinde olduğunu doğrulaması gerekir. SOC 2 raporu, yalnızca sizin sözünüze değil, bağımsız bir üçüncü tarafın kanıtına dayanarak gerçek güvenlik uygulamalarınız olduğunu gösterir. Pek çok kurumsal alıcı için, özellikle de regülasyona tabi sektörlerde, bu “olsa iyi olur” türünden bir fark yaratıcı değil, gerçek bir temel gerekliliktir.

SOC 2'ye hazır olmak için neler gerekir?

Denetimin kendisi aslında son adımdır. Asıl işin büyük kısmı öncesinde yapılır: Gerçek uygulamalarınızı incelemeye dayanacak bir seviyeye getirmek.

• Erişim kontrolü. Kimin hangi sistemlere ve verilere erişebileceğine dair açık ve uygulanan politikalar; biri ayrıldığında ya da rol değiştirdiğinde erişimini kaldırmak için işleyen bir süreç.
• Değişiklik yönetimi. Kod değişikliklerinin nasıl gözden geçirilip canlıya alındığına dair belgelenmiş ve uygulanan bir süreç; böylece değişiklikler denetimsiz ve gelişigüzel yapılmaz.
• İzleme ve loglama. Sistemlerinizde neler olup bittiğine dair gerçek görünürlük ve olağan dışı etkinliği tespit edip müdahale etmenin gerçek bir yolu; var olan ama kimsenin bakmadığı loglar değil.
• Olay müdahalesi. Bir güvenlik olayı gerçekten yaşanırsa ne olacağını anlatan belgelenmiş bir plan; ilk kez baskı altında düşünülen bir şey değil.
• Tedarikçi yönetimi. Ürününüzün bağlı olduğu üçüncü taraf araç ve hizmetlerin güvenlik durumunu değerlendirmek için gerçek bir süreç.
• Çalışan güvenliği uygulamaları. Gerçek güvenlik eğitimleri ve çalışanların gerçekten uyduğu açık politikalar; ortak bir klasörün bir köşesinde duran bir belge değil.

Gerçekçi zaman çizelgesi

SOC 2 denetimine gerçekten hazır hâle gelmek nadiren hızlı olur; özellikle Type II rapor için, çünkü denetim tarihinden hemen önceki bir hazırlık telaşını değil, gerçek bir gözlem dönemi boyunca tutarlı bir pratiği göstermeyi gerektirir. Uyumluluk konusunu ancak büyük bir anlaşma buna takıldıktan sonra konuşmaya başlayan şirketler, bunu gündelik işleyişlerine yerleşmiş, sürekli bir pratik olarak ele alanlara göre çok daha fazla zorlanır.

Bir ekibi buna gerçekten hazırlamak (gerçek politikalar, gerçek teknik kontroller ve bir denetçinin görmek isteyeceği kanıt izi) Burncode'un uygulama güvenliği denetimleri ve altyapı sıkılaştırma çalışmalarıyla birlikte yürüttüğü uyumluluk hazırlığı hizmetinin ta kendisidir. Böylece denetim, son dakika telaşı değil, bir formaliteye dönüşür.