SOC 2 apo ISO 27001: kontrata vendos certifikimin e parë

Për një startup B2B në Shqipëri ose Kosovë, procesi i parë i vlerësimit të sigurisë përcaktohet nga raporti SOC 2 ose certifikata ISO/IEC 27001 që kërkon kontrata e klientit. Nëse blerësi kërkon raport për kontrollet e shërbimit, nisni SOC 2; nëse kërkon certifikimin e sistemit të menaxhimit të sigurisë së informacionit, nisni ISO/IEC 27001. Vendi ku shitet shërbimi mund të japë një tregues, por kërkesa e shkruar vendos çfarë duhet dorëzuar.

Kur klientë të ndryshëm kërkojnë të dyja, kontrollet dhe mbledhja e provave mund të organizohen së bashku. Vlerësimet dhe dokumentet përfundimtare mbeten të veçanta: raporti nuk e zëvendëson automatikisht certifikatën dhe as certifikata raportin. Që në fillim duhet të jetë e qartë cilin shërbim, subjekt juridik dhe kufi organizativ pret të shohë blerësi në provën e dorëzuar.

Raport për shërbimin apo certifikatë për sistemin

SOC 2 përfundon me raportin e një firme audituese CPA për sistemin e përshkruar nga organizata që ofron shërbimin. Udhëzuesi i AICPA-së për SOC 2 e lidh vlerësimin me kontrollet për sigurinë, disponueshmërinë, integritetin e përpunimit, konfidencialitetin ose privatësinë. Raporti përmban përshkrimin e sistemit dhe opinionin e auditorit për kontrollet brenda kufirit të përcaktuar. Ai është raport vlerësimi, jo certifikatë.

ISO/IEC 27001:2022 përcakton kërkesat për një sistem të menaxhimit të sigurisë së informacionit, të njohur si ISMS; zbatimi i standardit nuk e detyron organizatën të certifikohet. Kur kërkohet certifikim, dokumentin e lëshon një trup certifikues i jashtëm. Nëse kontrata kërkon trup të akredituar, nuk mjafton emri i standardit në ofertë: duhet kontrolluar edhe akreditimi i trupit që do të lëshojë certifikatën.

Kufiri përcakton çfarë vërteton dokumenti

Te SOC 2, kufiri lidhet me sistemin që përdoret për të ofruar shërbimin e përshkruar në raport. Një startup SaaS mund të ketë disa produkte, ndërsa raporti të trajtojë vetëm njërin prej tyre. Prandaj blerësit i duhen emri i shërbimit, përshkrimi i sistemit dhe kategoritë e kontrolleve të vlerësuara. Pohimi i përgjithshëm se kompania ka SOC 2 nuk tregon nëse produkti që po blihet është brenda raportit.

Te ISO/IEC 27001, kufiri është fusha e ISMS-it të certifikuar. Ajo mund të përfshijë të gjithë organizatën ose një pjesë të përcaktuar të veprimtarive dhe vendndodhjeve të saj. Nëse, për shembull, kontrata αφορά një shërbim të veçantë SaaS, emri i kompanisë në certifikatë nuk mjafton për të ditur nëse ai shërbim mbulohet. Përshkrimi i fushës duhet të përputhet me shërbimin për të cilin klienti kërkon siguri.

Type 1, Type 2 dhe koha e provave

Në SOC 2, dallimi mes Type 1 dhe Type 2 është nëse vlerësohet projektimi i kontrolleve në një moment të caktuar apo edhe funksionimi i tyre gjatë një periudhe të përcaktuar. Për Type 2, data e fillimit dhe e mbarimit të periudhës në raport kanë rëndësi po aq sa shërbimi i mbuluar. Provat e krijuara vetëm afër fundit të auditimit nuk tregojnë vetvetiu si ka funksionuar një kontroll gjatë gjithë periudhës.

Nëse klienti kërkon Type 2, një raport Type 1 mund të përdoret përkohësisht vetëm kur blerësi e pranon shprehimisht. Certifikimi ISO/IEC 27001 vlerëson ISMS-in brenda fushës së tij dhe nuk ka të njëjtën periudhë raportimi si një SOC 2 Type 2. Ky dallim ndikon afatin e kontratës: një kërkesë për prova të funksionimit gjatë një periudhe nuk zgjidhet thjesht duke dorëzuar një certifikatë.

Matrica e zgjedhjes sipas kontratës

Teksti i prokurimit duhet lexuar si kërkesë për një dokument të caktuar, me lëshues dhe kufi të caktuar. Supozimi se një klient amerikan do të kërkojë patjetër SOC 2, ndërsa një klient evropian ISO/IEC 27001, mund ta çojë startup-in drejt vlerësimit të gabuar. Edhe kur tregu sugjeron një preferencë, kushti i blerësit mbetet vendimtar.

• Kërkohet SOC 2 Type 2: përcaktoni shërbimin, kategoritë e kontrolleve dhe periudhën që duhet të mbulojë raporti. Nëse afati i blerjes është më i shkurtër se periudha e nevojshme për prova, sqaroni nëse blerësi pranon përkohësisht Type 1.
• Kërkohet certifikatë ISO/IEC 27001 nga trup i akredituar: përcaktoni fushën e ISMS-it që përfshin shërbimin e shitur dhe kontrolloni kërkesën për akreditim përpara zgjedhjes së trupit certifikues.
• Klientë të ndryshëm kërkojnë të dyja: caktoni kontrolle, përgjegjës dhe burime provash të përbashkëta, ndërsa planifikoni veçmas raportin SOC 2 dhe certifikimin ISO/IEC 27001.
• Kërkohet vetëm «provë sigurie»: sqaroni me blerësin dokumentin që pranon, lëshuesin, shërbimin e mbuluar dhe, për SOC 2, llojin e raportit. Pa këtë përgjigje, rendi i projekteve mbështetet te një hamendësim.

Cila punë mund të përdoret përsëri

Miratimet dhe rishikimet e aksesit, gjurmët e ndryshimeve të shërbimit dhe evidenca e trajtimit të incidenteve mund t’u shërbejnë të dy vlerësimeve, nëse lidhen me të njëjtin kontroll dhe me kufijtë përkatës. Çdo regjistër duhet të ruajë datën, përgjegjësin, sistemin dhe veprimin e kryer. Kjo e bën të mundur që secili auditor të vlerësojë provën sipas kërkesave të veta, pa e trajtuar përfundimin e auditorit tjetër si të mirëqenë.

Për ISO/IEC 27001 kërkohet edhe arsyetimi i kontrolleve të zgjedhura për fushën e ISMS-it. Shënimi për deklaratën e zbatueshmërisë shpjegon se ajo përmban kontrollet e nevojshme, arsyen e përfshirjes së tyre, gjendjen e zbatimit dhe arsyetimin për kontrollet e përjashtuara. Regjistrat teknikë të mbledhur për SOC 2 mund të mbështesin një kontroll, por nuk e shkruajnë vetë këtë arsyetim për ISMS-in.

Edhe kalimi në drejtimin tjetër kërkon punë më vete: certifikata ISO/IEC 27001 nuk prodhon përshkrimin e sistemit dhe opinionin e firmës CPA që përbëjnë raportin SOC 2. Për një startup që pret kërkesa nga të dy llojet e blerësve, një hartë e përbashkët e kontrolleve, përgjegjësve dhe provave shmang mbledhjen e dyfishtë të të njëjtave gjurmë. Oferta e auditimit duhet megjithatë të ndajë qartë punën e përbashkët, vlerësimet e veçanta dhe dokumentin që do të marrë secili klient.

Lexoni gjithashtu:

• Deel apo Remote: 100 dollarë ndajnë EOR-in, kontraktorët përmbysin zgjedhjen
• Ollama nis me një komandë, por madhësia e modelit vendos kufirin
• Coursera Plus apo LinkedIn Learning: certifikata përballet me ritmin