מוכנות ל-SOC 2 מבלי להאט את קצב האספקה

קבוצת SEYA Group מכינה צוותי אספקה לבחינת SOC 2: אנחנו משווים את הבקרות שלכם ל-Trust Services Criteria שאתם ורואה החשבון שלכם בוחרים, ממפים את הפערים ומסייעים לאסוף הוכחות מהמערכות שכבר משגרות קוד. SEYA אינה מבצעת את בחינת SOC 2 ואינה מנפיקה את הדוח. את הדוח מנפיק רואה החשבון. הפרויקט מובל ממשרדנו בוונקובר ומוגבל בהיקפו כך שה-Pipeline ממשיך לשחרר גרסאות בזמן שאוספים הוכחות.

למי זה מיועד

CTOים ומובילי אבטחת מידע שבחוזה הארגוני הבא נדרש דוח SOC 2 ועדיין מנהלים את הבקרות בגיליון אלקטרוני. צוותים שכבר יש להם את חשבונות הענן ואת ה-Pipeline, וצריכים מישהו שיכוון לבקרה במערכת עצמה במקום לכתוב מחדש את כרך המדיניות. חברות שכבר בחרו רואה חשבון, או שזקוקות לרשימת הפערים לפני שבוחרות אחד.

מה מקבלים

• הערכת פערים. הקריטריונים בהיקף (Security הוא בדרך כלל נקודת ההתחלה; זמינות, סודיות והאחרים רק אם אתם ורואה החשבון כללים אותם), מה כבר קיים אצלכם ומה חסר. הקריטריונים הם Trust Services Criteria של AICPA. SEYA אינה משרד CPA ואינה חותמת על חוות דעת.
• מיפוי בקרות. כל פער מקושר לבקרה שאפשר להפעיל: סקירות זהות, ניהול שינויים ב-Pipeline, רישום, גישת ספקים והערות אירוע. כאשר הבקרה היא כבר בדיקת DevSecOps, אנחנו משתמשים באותה בדיקה כמקור להוכחות במקום להוסיף תהליך מקביל.
• איסוף הוכחות. רשימת תוצרים, מאיפה הם מגיעים ומי מייצא אותם. אוטומציה פירושה שאילתה או רשומת Pipeline, לא כלי חדש שחייבים לקנות מ-SEYA. הוכחות ידניות נשארות ידניות כשזה המקור הכנה.
• מסירה לרואה החשבון. רשימת הפערים, מפת הבקרות ואינדקס ההוכחות בפורמט שרואה החשבון שלכם יכול לדגום. נשב בפגישת המסירה. לא נדבר בשם רואה החשבון שלכם.

איך פרויקט מתנהל

• אישור הקריטריונים. אתם, ורואה החשבון שלכם אם כבר יש כזה, קובעים את הקטגוריות ואת התקופה. אנחנו לא מרחיבים את ההיקף לכל המסגרות שבשקופית אחת.
• קריאת המערכות. חשבונות, Pipeline, זהות והמדיניות שכבר פרסמתם. פערי קונפיגורציה בענן שנמצאים כאן יכולים להמשיך כסקירת מצב אבטחת הענן אם התיקון הוא עבודת הנדסה ולא מסמך.
• סגירת פערים שבהיקף. ניסוח מדיניות כשהפער הוא מדיניות חסרה. שינוי ב-Pipeline או בחשבון כשהפער הוא בקרה חסרה. האספקה לא נעצרת כדי לשכתב כל התקן.
• מסירת האינדקס לרואה החשבון. היחסים הם שלכם. השם של SEYA על ההוכחות הוא כצד שסייע לאסוף, לא כבוחן.

מה צריך שיהיה במקום

מנהל בכיר שיכול לבחור את הקריטריונים, גישה למערכות שיהפכו למקור להוכחות, והחלטה אם רואה חשבון כבר מעורב. אם המטרה היא אישור ש-SEYA יכולה לחתום עליו, השירות הזה לא מתאים: לא נספק את החתימה הזו.

בפרויקט Clearly ב-AWS, הפלטפורמה תוכננה עם דרישות PCI DSS, SOC 2 ו-ISO 27001, כולל ניהול סודות. הניסוח הזה הוא כוונת תכנון; הוא אינו מצהיר ש-Clearly או SEYA מחזיקות באישורים האלה.

שאלות נפוצות

האם SEYA יכולה לנפק לנו דוח SOC 2?

לא. דוח SOC 2 הוא בחינה של משרד CPA מורשה. SEYA מכינה את רשימת הפערים, את מפת הבקרות ואת אינדקס ההוכחות. רואה החשבון שלכם בוחן אותן וכותב את חוות הדעת.

האם המוכנות תעצור את השחרורים?

הרעיון בקישור ההוכחות ל-Pipeline הוא ששחרור הוא כבר רשומה. אנחנו מוסיפים את הבדיקות והייצוא שהקריטריונים שלכם דורשים. אנחנו לא מחליפים את תהליך האספקה שלכם בפרויקט הוכחות חודשי.

האם אתם מבטיחים שנעבור?

לא. חוות הדעת שייכת לרואה החשבון, והיא תלויה באופן הפעולה של הבקרות לאורך התקופה שנבדקת. נציין אילו פערים עדיין קיימים לפני שתזמינו את התקופה הזו. פער שלא נסגר מתועד, לא מוסתר.

לתיאום הערכת אבטחת ענן אם לקוח ביקש דוח SOC 2 ואתם זקוקים לרשימת הפערים לפני שאתם עונים.