SOC 2: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, co klient zaakceptuje, jakiego typu raportu i jakich kategorii kryteriów potrzebujesz oraz jaką usługę raport obejmuje.

1. 1.1

   zapytaj, co klient zaakceptuje

   Zapytaj klienta, który o to poprosił, czy raport jest wymagany, czy wystarczą dowody, które już masz. Odpowiedź może oszczędzić Ci roku. Zapisz ją z datą.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótka notatka, o co prosił każdy klient i co każdy by zaakceptował

   dowód, który zostaje

   notatka ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   wybierz typ raportu i kategorie

   Jest pięć kategorii: bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. Bezpieczeństwo jest w każdym raporcie, pozostałe są opcjonalne. Wybierz je z klientem, bo zmieniają wielkość pracy. Między raportem typu I a typu II zdecyduj z audytorem, bo typ II wymaga okresu z dowodami.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o typie raportu i kategoriach z powodem klienta

   dowód, który zostaje

   decyzja i odpowiedź klienta na piśmie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   wskaż usługę objętą zakresem i odpowiedzialnego

   Zapisz, którą usługę, które systemy i które zespoły obejmuje raport, i wskaż jednego odpowiedzialnego oraz jednego lidera operacyjnego. Jeśli kategoria prywatności jest w raporcie, ten sam odpowiedzialny powinien być blisko Twojej pracy nad RODO.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu i decyzja wskazująca odpowiedzialnego i lidera

   dowód, który zostaje

   opis i protokół z decyzji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Porównaj swoje zabezpieczenia z wybranymi kryteriami i zamień różnice w plan.

1. 2.1

   wybierz firmę audytorską i poproś o kryteria

   Raport wydaje licencjonowana firma CPA według standardów AICPA. Zapytaj każdego kandydata, jak pracuje, czego potrzebuje od Ciebie i której edycji kryteriów użyje dla Twojego okresu. Odpowiedzi zdobądź na piśmie.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrana firma audytorska i jej odpowiedzi na piśmie o kryteriach i metodzie

   dowód, który zostaje

   odpowiedzi i warunki zlecenia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   porównaj zabezpieczenia z kryteriami

   Przejdź przez kryteria dla swoich kategorii z osobami, które prowadzą systemy, i zaznacz, które zabezpieczenia masz, które działają tylko częściowo i których brakuje. Praca wykonana na potrzeby przepisów, takich jak NIS2, pokryje dużą część.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   lista luk z ustaleniem, właścicielem i dowodem, który już masz

   dowód, który zostaje

   lista luk z datą, podpisana przez lidera operacyjnego

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   ułóż luki w jeden plan prac

   Ułóż luki w kolejności zależności i przypisz każdej właściciela oraz datę. Okres typu II nie może się zacząć, zanim zabezpieczenia działają, więc zdecyduj, do kiedy mają działać.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uporządkowany plan prac z właścicielami i datami

   dowód, który zostaje

   plan zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wprowadź zabezpieczenia dla usługi objętej zakresem i ustal, jak każde z nich zostawia dowód.

1. 3.1

   napisz polityki i role

   Napisz krótkie polityki, na których opierają się zabezpieczenia, niech podpisze je zarząd i przeprowadź ocenę ryzyka dla usługi. Zapisz, kto które ryzyko zaakceptował.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   podpisane polityki, tabela ról i rejestr ryzyka

   dowód, który zostaje

   polityki z wersją i zatwierdzeniem oraz rejestr

   strona pracyzabezpieczenie: risk-register

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   kontroluj, kto może wejść

   Nadawaj dostęp według roli, z zatwierdzeniem, odbieraj go, gdy ludzie odchodzą lub zmieniają stanowisko, i przeglądaj w stałym rytmie. Audytorzy testują to na próbie, więc każda czynność potrzebuje zapisu.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zasady dostępu, procedura przyjęć i odejść oraz zapis przeglądu

   dowód, który zostaje

   zapisy przeglądów i zgłoszenia dla zmian wybranych do próby

   strona pracyzabezpieczenie: access-reviews

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 3.3

   obserwuj systemy i obsługuj incydenty

   Zbieraj logi usługi objętej zakresem, ustal, kto je ogląda i kiedy, i napisz procedurę incydentu z rolami i zapisem. Ta sama rutyna służy obowiązkom dotyczącym incydentów w NIS2 i RODO, jeśli Cię dotyczą.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rutyna monitorowania i procedura incydentu z logiem zdarzeń

   dowód, który zostaje

   logi, procedura i zapisy incydentów

   strona pracyzabezpieczenie: incident-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 3.4

   naprawiaj słabości i trzymaj kopie zapasowe

   Skanuj pod kątem znanych słabości, ustal, jak szybko naprawia się każdy poziom wagi, i zapisuj wyjątki. Rób kopie zapasowe tego, czego potrzebuje usługa, i przetestuj odtwarzanie, zwłaszcza jeśli wybrałeś kategorię dostępności.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rutyna łatania i zapis testu odtwarzania

   dowód, który zostaje

   wyniki skanów, daty poprawek i test odtwarzania

   strona pracyzabezpieczenie: vulnerability-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

5. 3.5

   obejmij zakresem dostawców i ludzi

   Podziel dostawców, którzy dotykają usługi, według tego, do czego mają dostęp, zapytaj krytycznych o ich bezpieczeństwo i wpisz warunki do umowy. Przeszkol osoby objęte zakresem i zachowaj zapis.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr dostawców z warunkami umów i zapis szkolenia

   dowód, który zostaje

   rejestr, otrzymane odpowiedzi i lista obecności

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Dla raportu typu II utrzymuj każde zabezpieczenie w działaniu, z dowodami, przez cały okres.

1. 4.1

   ustal okres i jego początek

   Raport typu II wymaga, by zabezpieczenia działały, z dowodami, przez cały okres, więc najwcześniejszy termin zależy od tego, kiedy zaczęły działać Twoje zabezpieczenia. Uzgodnij okres i początek z audytorem i nie zaczynaj, zanim zabezpieczenia działają.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uzgodniony okres i data początku

   dowód, który zostaje

   potwierdzenie audytora na piśmie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   zbieraj dowody w trakcie okresu

   Zachowuj dowody każdego zabezpieczenia na bieżąco: zapisy przeglądów, zgłoszenia, logi i listy szkoleń. Zbieranie ich na końcu zostawia luki, których nie wypełnisz, bo audytor testuje cały okres.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów ułożony według zabezpieczeń i wypełniany przez cały okres

   dowód, który zostaje

   folder, w którym każda pozycja ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   napraw zabezpieczenie, które zawiodło, i zapisz, co się stało

   Gdy zabezpieczenie zawiedzie lub zostanie pominięte, napraw je od razu i zapisz datę, przyczynę i naprawę. Powiedz o tym audytorowi wcześnie, bo udokumentowaną awarię łatwiej załatwić niż taką, którą znajdzie w testach.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   log wyjątków z przyczyną, naprawą i datą

   dowód, który zostaje

   log i zapisy napraw

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Daj audytorowi to, czego potrzebuje, przeczytaj opinię i używaj raportu tak, jak go napisano.

1. 5.1

   odpowiadaj audytorowi i dostarczaj próby

   Dawaj audytorowi dowody, o które prosi, wskaż jedną osobę do próśb i odpowiadaj na piśmie. Prowadź log tego, co i kiedy wysłano.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   log próśb i dostarczone dowody

   dowód, który zostaje

   log i wysłane pliki

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   przeczytaj opinię i wyjątki

   Przeczytaj opinię i zanotowane wyjątki, zanim prześlesz raport dalej. Opinia z zastrzeżeniem lub brak raportu mogą kosztować kontrakt, więc ustal z klientem, co zrobić, gdyby do tego doszło.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   odczytanie opinii i plan na każdy wyjątek

   dowód, który zostaje

   raport i plan

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   powiedz, co raport obejmuje, gdy go udostępniasz

   Podaj usługę, kategorie i okres tak, jak wskazuje raport, i udostępniaj go na warunkach poufności, które do niego pasują. Nie przedstawiaj go jako zgodności z RODO ani z żadnym innym przepisem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie, co obejmuje raport, dla sprzedaży i działu prawnego

   dowód, który zostaje

   raport i oświadczenie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Utrzymuj zabezpieczenia bez przerwy i zaplanuj następny raport.

1. 6.1

   zaplanuj następny okres, zanim skończy się poprzedni

   Uzgodnij z audytorem następny okres tak, by następował po poprzednim, i zdecyduj, czy zmieni się zakres lub kategorie. Przerwa między okresami zostawia odcinek, którego żaden raport nie obejmuje.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   plan następnego okresu z datą początku i zakresem

   dowód, który zostaje

   plan i potwierdzenie audytora

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   zapytaj o proponowane kryteria na 2027 r.

   AICPA wymienia projekty proponowanych kryteriów na 2027 r. Zapytaj audytora, która edycja kryteriów obowiązuje dla każdego Twojego okresu i co się zmieni, jeśli propozycję przyjmą.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   odpowiedź na piśmie, które kryteria dotyczą którego okresu

   dowód, który zostaje

   odpowiedź audytora z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   przejrzyj zabezpieczenia z zarządem

   Raz w roku pokaż zarządowi stan każdego zabezpieczenia, wyjątki i otwarte luki, i zapisz jego decyzje. Pomiędzy okresami aktualizuj rejestr ryzyka i rejestr dostawców.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   roczny raport dla zarządu

   dowód, który zostaje

   raport i protokół

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)