Казахстанская команда разработчиков получает запрос от клиента из США: «Пришлите ваш отчёт SOC 2». Дальше обычно следует поиск в интернете и путаница: это сертификат, лицензия или что-то третье? Объясняем, что такое SOC 2, кому он нужен и как его получить, не переезжая в Америку.

Это не сертификат

SOC 2 не стандарт ISO и не сертификация. Это отчёт независимого аудитора о том, насколько процессы компании соответствуют критериям доверия, разработанным Американским институтом сертифицированных бухгалтеров (AICPA). Критериев пять: безопасность, доступность, целостность обработки, конфиденциальность и защита персональных данных. Безопасность обязательна, остальные выбираются в зависимости от того, что компания обещает клиентам.

Выдать отчёт SOC 2 может только лицензированная аудиторская фирма США (CPA). Никакой орган по сертификации в Казахстане или Европе этого сделать не может. Именно поэтому отчёт ценится американскими клиентами: его подписывает организация, которая отвечает перед американским регулятором.

Type I и Type II

Отчёт Type I описывает, как устроены меры защиты на определённую дату. Это быстрый вариант для первой сделки: его можно получить за несколько месяцев.

Отчёт Type II показывает, что меры не только существуют, но и работали в течение периода, обычно от шести до двенадцати месяцев. Аудитор проверяет записи: кто запрашивал доступ, как закрывались уязвимости, как разбирались инциденты. Крупные клиенты и инвесторы чаще просят именно Type II.

Обычная последовательность: сначала Type I, затем через год Type II.

Кому в Казахстане это нужно

Резидентам Astana Hub и другим компаниям, которые продают разработку, поддержку или облачные сервисы в США и Канаду. Запрос на SOC 2 приходит обычно на этапе подписания договора или при продлении.

SaaS-продуктам, которые хранят данные клиентов. Без отчёта такие компании застревают в длинных анкетах безопасности каждого нового заказчика.

Финтех-проектам и платёжным сервисам, которые подключаются к американским партнёрам.

Дата-центрам и хостингам, обслуживающим иностранных клиентов.

Чем SOC 2 отличается от ISO 27001

Оба подхода про управление безопасностью, и около двух третей требований пересекаются. Разница в форме результата. ISO 27001 даёт сертификат, который признают в большинстве стран мира. SOC 2 даёт подробный отчёт, в котором описаны конкретные меры и результаты их проверки, и этот формат ждут именно в Северной Америке.

Если у компании уже есть ISO 27001, подготовка к SOC 2 занимает заметно меньше времени: большая часть документов и записей уже есть. Многие казахстанские компании делают оба: сертификат для Европы и Азии, отчёт для США.

Как проходит

Подготовка начинается с определения границ: какие сервисы и системы попадут в отчёт и какие критерии будут включены. Затем сравниваются текущие меры с критериями, закрываются пробелы, запускается сбор доказательств. Для Type II с этого момента начинается период наблюдения.

Аудит проводит лицензированная CPA-фирма США. Подготовку и сопровождение на стороне компании выполняет местная команда, которая говорит на одном языке с разработчиками и знает, как устроены компании в регионе. Как это организовано и что входит в каждый этап, описано на странице аудит SOC 2 в Казахстане.

Интервью с аудитором проходят по видеосвязи, доказательства передаются через защищённое хранилище. Выезд аудитора в Казахстан не требуется.

Сроки и что влияет на бюджет

Подготовка к Type I для компании до ста человек занимает от двух до четырёх месяцев. Для Type II к этому добавляется период наблюдения.

На бюджет влияют количество включённых критериев, число систем в границах отчёта и то, насколько процессы уже задокументированы. Услуги аудиторской фирмы считаются отдельно от подготовки.

Три совета перед стартом

Не включайте в границы всё подряд. Отчёт нужен по тому сервису, который покупает клиент.

Начните собирать записи сейчас. Журналы доступа, протоколы разбора инцидентов, результаты сканирований пригодятся для Type II, даже если вы пока планируете только Type I.

Спросите клиента, какой тип и какие критерии ему нужны. Часто достаточно Type I по безопасности, и не стоит сразу платить за расширенный вариант.

Если у вас есть запрос от заказчика и непонятно, с чего начать, напишите на [email protected]. Первый разговор помогает понять, нужен ли вам SOC 2 вообще или задачу решит ISO 27001.