Организациите са изправени пред нарастваща среда на заплахи, което прави сигурността на информацията и данните основен приоритет. Едно нарушение на данните може да струва милиони, да не говорим за удара по репутацията и загубата на доверие на клиентите. Киберсигурността изисква да се определят рамки – ръководни принципи и добрите практики, които компаниите трябва да следват, за да гарантират сигурност на информацията. SOC 2, или Service Organization Control Type 2, е рамка за одит и атестация, разработена от Американския институт на дипломираните експерт-счетоводители (AICPA), която оценява контролите, свързани със сигурността, наличността, интегритета на обработката, конфиденциалността и поверителността на информацията. Основната ѝ цел е да гарантира, че доставчиците на услуги съхраняват и обработват клиентски данни по сигурен начин.
 
Докато стандарти като ISO/IEC 27001 и PCI DSS имат строги изисквания по отношение на контролите за киберсигурност, при SOC 2 това не е така. Всяка организация проектира и приема свои собствени контроли в зависимост от оперативния си модел и рисков профил. Независим одитор извършва оценка дали тези контроли отговарят на изискванията на SOC 2, като в резултат на одита се изготвя доклад, който описва доколко системите и процесите на организацията съответстват на приложимите критерии

SOC 2 определя изискванията за управление и съхраняване на клиентски данни въз основа на пет критерии за доверие в услугите (Trust Service Criteria, TSC):
 
Сигурност. Принципът на сигурността изисква защитата на данните и системите срещу неоторизиран достъп. Това може да включва прилагане на контрол на достъпа, защитни стени със строги правила за входящ и изходящ трафик, системи за откриване и реагиране при инциденти, както и използване на многофакторно удостоверяване.
 
Наличност. Този принцип изисква изграждане на системи, които осигуряват наличност на услугите в съответствие с бизнес изискванията и договорените нива на обслужване (SLA). Организациите следва да използват системи за мониторинг на мрежата и да разработват и поддържат планове за възстановяване при инциденти и бедствия.

Интегритет на обработката. Системите следва да функционират според предназначението си и да осигуряват коректна, контролирана и надеждна обработка на данните. Обработката трябва да бъде пълна, валидна, точна, навременна и оторизирана. Интегритетът на обработката не означава непременно липса на грешки, забавяния или уязвимости, а наличие на подходящи контроли, които гарантират, че процесите работят по предвидения начин и че отклоненията се откриват и управляват своевременно. Мониторингът на обработката на данни, съчетан с процедурите за осигуряване на качеството, подпомага поддържането на интегритета на обработката.

Конфиденциалност. Данните се считат за конфиденциални, когато достъп до тях имат само определени лица или групи. Това може да включва изходен код, потребителски имена и пароли, данни за платежни карти или бизнес планове и др. За спазване на този принцип, конфиденциалните данни трябва да бъдат криптирани, както в покой, така и по време на пренос, като се спазва принципът на най-малките привилегии, т.е. предоставяне само на минимално необходимите права за изпълнение на служебните задължения.
 
Поверителност. Събирането, съхранението, обработката и разкриването на каквато и да е лична информация (PII) трябва да съответстват на политиките за защита на личните данни на организацията, както и на Общоприетите принципи за поверителност (Generally Accepted Privacy Principles – GAPP), определени от AICPA. Необходимо е прилагане на строги контроли за защита на PII от неоторизиран достъп. 
 

Какво се оценява при SOC 2
За да бъдат изпълнени петте принципа на TSC, организациите трябва да отговорят на въпроси, свързани с:

 
Видове SOC 2 доклади
 
Съществуват два основни вида SOC 2 доклади:

Изборът между двата вида зависи от целите на организацията, времевите рамки и наличните ресурси.

Резултати от одита по SOC 2
Всяка организация, преминала одит по SOC 2, получава доклад, независимо от резултата. Одиторските становища могат да бъдат:

 
Кой има нужда от SOC 2 доклад?
Ако сте организация, предоставяща услуги, която съхранява, обработва или предава клиентски данни, SOC 2 докладът често е необходим, защото: 

В много случаи клиентите изрично изискват SOC 2 доклад като условие за сътрудничество. Освен това той може да бъде ключов фактор за разширяване на продажбите и навлизане на нови пазари, тъй като:

Одитът на SOC 2 е важен по две причини. Първо, получаването на SOC 2 доклад помага на вашия бизнес да поддържа най-добрите в класа си стандарти за сигурност. И второ, може да отключи значителни възможности за растеж.