SOC 2 nedir?
SOC 2 (System and Organization Controls 2), hizmet sağlayıcıların müşteri verilerini korumaya yönelik kontrollerini değerlendiren, AICPA tarafından geliştirilmiş bir raporlama çerçevesidir. Bağımsız bir denetçi, kuruluşun kontrollerini Güven Hizmetleri Kriterleri’ne göre inceler ve bir rapor hazırlar. Bulut, SaaS ve hosting hizmeti alan müşteriler tedarikçi güvencesi için bu raporu sıkça ister.
SOC 2 bir yasa ya da kamu belgesi değildir; belirli bir döneme ilişkin bağımsız denetçi görüşüdür. Rapor genellikle gizlidir ve yalnızca ilgili taraflarla paylaşılır.
Nasıl çalışır?
Güven Hizmetleri Kriterleri beş kategoriden oluşur: güvenlik, erişilebilirlik, işlem bütünlüğü, gizlilik ve mahremiyet. Güvenlik zorunlu temel kategoridir; diğerleri kuruluşun hizmetine göre seçilir. Kuruluş kontrollerini tanımlar, denetçi bunları test eder.
İki rapor türü vardır. Tip I, kontrollerin belirli bir tarihteki tasarımını değerlendirir. Tip II ise kontrollerin belirli bir dönem boyunca (örneğin birkaç ay) sürekli ve etkin biçimde işlediğini test eder; bu nedenle genellikle daha değerli kabul edilir.
Sunucu ve hosting ortamında
Bir hosting ya da bulut sağlayıcısı için SOC 2 kapsamı; erişim yönetimi, değişiklik yönetimi, yedekleme, izleme, olay müdahalesi, fiziksel ve mantıksal güvenlik ile tedarikçi yönetimi gibi alanları içerir. Müşteriler bir sağlayıcı seçerken SOC 2 raporunu, ürün güvenliğinin bağımsız doğrulaması olarak değerlendirir. Raporun kapsamının, hangi hizmet ve dönemi kapsadığına dikkat etmek gerekir.
Nelere dikkat edilmeli?
- Raporun hangi hizmeti, hangi sistemleri ve hangi dönemi kapsadığını kontrol edin.
- Tip I ile Tip II arasındaki farkı bilin; sürekli işleyiş kanıtı için Tip II’ye bakın.