Что такое SOC 2 | Руководство по соответствию и сертификации SOC 2 | Imperva

1. Что такое SOC 2
2. Сертификация SOC 2
3. Важность соответствия SOC 2

Информационная безопасность является поводом для беспокойства для всех организаций, включая те, которые передают ключевые бизнес-операции сторонним поставщикам (например, SaaS, поставщики облачных вычислений). По правде говоря, поскольку неправильно обработанные данные, особенно поставщиками приложений и сетевой безопасности, могут сделать предприятия уязвимыми для атак, таких как кража данных, вымогательство и установка вредоносных программ.

SOC 2 - это процедура аудита, которая обеспечивает вашим поставщикам услуг безопасное управление вашими данными для защиты интересов вашей организации и конфиденциальности ее клиентов. Для предприятий, заботящихся о безопасности, соответствие SOC 2 является минимальным требованием при рассмотрении вопроса о поставщике SaaS.

Что такое SOC 2

Разработано Американским институтом CPAs ( AICPA ), SOC 2 определяет критерии для управления данными клиента на основе пяти «принципов доверия» - безопасности, доступности, целостности обработки, конфиденциальности и конфиденциальности.

В отличие от PCI DSS Отчеты SOC 2 уникальны для каждой организации. В соответствии с определенной деловой практикой, каждый разрабатывает свои собственные элементы управления для соответствия одному или нескольким принципам доверия.

Эти внутренние отчеты предоставляют вам (наряду с регулирующими органами, деловыми партнерами, поставщиками и т. Д.) Важную информацию о том, как ваш поставщик услуг управляет данными.

Существует два типа отчетов SOC:

• Тип I описывает системы вендора и их соответствие требованиям соответствующих принципов доверия.
• Тип II детализирует операционную эффективность этих систем.

Сертификация SOC 2

Сертификация SOC 2 выдается сторонними аудиторами. Они оценивают степень, в которой поставщик соблюдает один или несколько из пяти принципов доверия на основе существующих систем и процессов.

Принципы доверия разбиты следующим образом:

1. Безопасность

Принцип безопасности относится к защите системных ресурсов от несанкционированного доступа. Контроль доступа помочь предотвратить возможное злоупотребление системой, кражу или несанкционированное удаление данных, неправильное использование программного обеспечения, а также ненадлежащее изменение или раскрытие информации.

Инструменты информационной безопасности, такие как сеть и брандмауэры веб-приложений (WAF) , двухфакторная аутентификация а также обнаружения вторжений полезны для предотвращения нарушений безопасности, которые могут привести к несанкционированному доступу систем и данных.

2. Доступность

Принцип доступности относится к доступности системы, продуктов или услуг, как это предусмотрено договором или соглашением об уровне обслуживания (SLA). Таким образом, минимальный приемлемый уровень производительности для доступности системы устанавливается обеими сторонами.

Этот принцип не касается функциональности и удобства использования системы, но включает критерии безопасности, которые могут повлиять на доступность. Мониторинг производительности и доступности сети, восстановление сайта и обработка инцидентов безопасности имеет решающее значение в этом контексте.

3. Обработка целостности

Принцип целостности обработки определяет, достигает ли система своей цели (т.е. доставляет ли правильные данные по правильной цене в нужное время). Соответственно, обработка данных должна быть полной, достоверной, точной, своевременной и авторизованной.

Однако целостность обработки не обязательно подразумевает целостность данных. Если данные содержат ошибки до их ввода в систему, их обнаружение обычно не является обязанностью обрабатывающего объекта. Мониторинг обработки данных в сочетании с процедурами обеспечения качества может помочь обеспечить целостность обработки.

4. Конфиденциальность

Данные считаются конфиденциальными, если их доступ и раскрытие ограничены определенным набором лиц или организаций. Примеры могут включать данные, предназначенные только для персонала компании, а также бизнес-планы, интеллектуальную собственность, внутренние прайс-листы и другие виды конфиденциальной финансовой информации.

Шифрование является важным средством защиты конфиденциальности во время передачи. Сетевые и прикладные межсетевые экраны вместе со строгими средствами контроля доступа могут использоваться для защиты информации, обрабатываемой или хранящейся в компьютерных системах.

5. Конфиденциальность

Принцип конфиденциальности относится к сбору, использованию, хранению, раскрытию и удалению личной информации системы в соответствии с уведомлением организации о конфиденциальности, а также с критериями, изложенными в общепринятых принципах конфиденциальности AICPA (GAPP).

Личная информация (PII) относится к деталям, которые могут отличить человека (например, имя, адрес, номер социального страхования). Некоторые личные данные, касающиеся здоровья, расы, сексуальности и религии, также считаются конфиденциальными и, как правило, требуют дополнительного уровня защиты. Должны быть установлены элементы управления для защиты всех PII от несанкционированного доступа.

Важность соответствия SOC 2

Соответствие требованиям SOC 2 не является обязательным требованием для поставщиков SaaS и облачных вычислений, однако его роль в защите ваших данных невозможно переоценить.

Imperva регулярно проходит аудиторские проверки, чтобы убедиться, что требования каждого из пяти принципов доверия соблюдены, и что мы остаемся соответствующими стандарту SOC 2. Соблюдение распространяется на все предоставляемые нами услуги, включая безопасность веб-приложений , Защита от DDoS Доставка контента через наш CDN , балансировки нагрузки а также Аналитика атак ,

Похожие

Комментарии