SOC 2-rapportering

SOC 2 (Service Organization Control 2) är utvecklad av AICPA och har blivit en de facto-standard för SaaS-bolag och andra tjänsteleverantörer som hanterar kunddata. Till skillnad från ISO 27001, som är en certifiering, är SOC 2 en attestering utförd av en licensierad CPA-firma (Certified Public Accountant).

Attesteringen bygger på fem Trust Services Criteria: Security (obligatoriskt), Availability, Processing Integrity, Confidentiality och Privacy. De flesta organisationer börjar med Security och lägger sedan till fler kriterier baserat på kunders krav och verksamhetens behov.

SOC 2 finns i två varianter: Typ I granskar designen av kontroller vid en specifik tidpunkt och är ett bra första steg. Typ II granskar både design och effektivitet av kontroller över en period på vanligtvis 6-12 månader och ger starkare bevis på att kontrollerna faktiskt fungerar.

Securapilot stödjer SOC 2-arbetet genom GAP-analyser mot Trust Services Criteria, kontrollmappning mot era befintliga kontroller, och automatiserad bevisinsamling. Eftersom många SOC 2-kontroller överlappar med ISO 27001 kan organisationer som arbetar med båda ramverken effektivisera arbetet genom att återanvända dokumentation och kontroller.