Ce este SOC 2?
SOC 2 (System and Organisation Controls 2) este un standard de audit dezvoltat de Institutul American al Contabililor Publici Autorizați (AICPA). Evaluează controalele unei organizații de servicii relevante pentru Criteriile de Servicii de Încredere (TSC): Securitate, Disponibilitate, Integritatea Procesării, Confidențialitate și Protecția Datelor Personale. Securitatea (Criteriile Comune) este obligatorie; celelalte patru sunt opționale în funcție de contextul de afaceri.
SOC 2 Tip I vs Tip II
- Tip I — Evaluare la un moment dat care confirmă că controalele sunt proiectate corespunzător. Durată tipică: 2–3 luni. Util ca raport intermediar în timp ce se urmărește Tip II.
- Tip II — Evaluare pe o perioadă de observare (de obicei 6–12 luni) care confirmă că controalele au funcționat eficient pe parcursul perioadei. Necesar de către majoritatea achizițiilor enterprise și Fortune 500.
Cine are nevoie de SOC 2?
- Companiile SaaS și de software cloud cu clienți enterprise din SUA
- Furnizorii de infrastructură cloud, hosting și centre de date
- Furnizorii de servicii de securitate gestionată și servicii IT
- Furnizorii de platforme HR, salarizare și beneficii
- Orice furnizor de tehnologie care răspunde la chestionare de securitate enterprise
Criteriile de Servicii de Încredere — Prezentarea Criteriilor Comune
- CC1 — Mediul de control (guvernanță, responsabilitate)
- CC2 — Comunicare și informare
- CC3 — Evaluarea riscurilor
- CC4 — Monitorizarea controalelor
- CC5 — Activități de control (politici și proceduri)
- CC6 — Controale de acces logic și fizic
- CC7 — Operațiuni de sistem (detectarea anomaliilor, răspunsul la incidente)
- CC8 — Managementul schimbărilor
- CC9 — Atenuarea riscurilor
Angajamentul BALTUM pentru SOC 2
- Evaluare de pregătire față de toate Criteriile de Servicii de Încredere aplicabile
- Registru de discrepanțe și foaie de parcurs de remediere
- Documentație de politici și proceduri aliniată la cerințele TSC
- Implementare platformă GRC (Vanta, Drata, Sprinto sau similare)
- Coordonare firmă CPA pentru livrarea auditului Tip I și Tip II
- Mentenanță continuă a conformității și suport anual de audit
Integrarea SOC 2 + ISO 27001
Cadrul unificat de dovezi al BALTUM mapează Criteriile de Servicii de Încredere SOC 2 la controalele din Anexa A ISO 27001:2022 — permițând certificarea simultană SOC 2 + ISO 27001 cu o singură bibliotecă de politici, un singur proces de evaluare a riscurilor și o reducere semnificativă a duplicării auditurilor.