الامتثال لمعايير SSAE

إن الامتثال لمعايير SSAE، والمعروف أيضًا باسم بيان المعايير المتعلقة بمهام التصديق والامتثال، هو مجموعة من معايير وإرشادات التدقيق باستخدام المعايير التي نشرها مجلس معايير التدقيق (ASB) التابع للمعهد الأمريكي للمحاسبين القانونيين المعتمدين (AICPA).

تحدد هذه المعايير كيفية إبلاغ شركات الخدمات عن ضوابطها وعملياتها المتعلقة بالامتثال. نُشر معيار SSAE 16 ( SOC 1 ) في أبريل 2010 كمعيار لإعداد التقارير لجميع سجلات مدققي حسابات الخدمات، وقد صدر ليحل محل بيان معايير التدقيق رقم 70. إذا كنت على دراية بعمليات تدقيق SOC 1 ، فمن المرجح أنك على دراية بمعيار SSAE 16. لسوء الحظ، احتوى معيار SSAE 16 على عدد من نقاط الضعف، وتم استبداله في 1 مايو 2017 بمعيار SSAE 18 الذي صُمم لمعالجة تلك الثغرات.

معيار SSAE 18 هو المعيار المُستخدم حاليًا. يتبع المدققون إرشادات SSAE 18 عند إجراء تقييمات SOC من 1 إلى 3، بغض النظر عن النوع الأول (تقييم لحظي للضوابط) أو النوع الثاني (مراجعة للضوابط لمدة تتراوح بين 9 و12 شهرًا).

أدخل معيار SSAE 18 تغييرات مهمة في كيفية معاملة منظمات الخدمات الفرعية. في السابق، كانت عمليات الرقابة والاختبار لمنظمات الخدمات الفرعية (المتعاقدة من الباطن أو المتعاقدة من الباطن) خارج نطاق التدقيق، مما ترك فجوات حرجة في الاختبار.

المصادر: TechTarget ، Otava

المصطلحات ذات الصلة: SOC 1 ، SOC 2 ، SOC 3

ماذا يعني هذا بالنسبة للشركات الصغيرة والمتوسطة؟

ينبغي على الشركات الصغيرة والمتوسطة بناء برنامج للأمن السيبراني قابل للتدقيق، مع ضوابط تتعلق بإدارة الوصول، والحد الأدنى من الامتيازات، والمساءلة، والتدريب، والحوكمة، والتكنولوجيا. يحتاج كل من هذه المجالات إلى ضوابط وعمليات تُنتج عناصر متاحة للتفتيش. وبذلك، تُعدّ أي شركة صغيرة ومتوسطة نفسها للتفتيش الخارجي من خلال تقييم SSAE 18. في البداية، ينبغي على المؤسسات إجراء فحص SOC 1 (أو نقطة زمنية محددة) لضوابطها. يتيح هذا وقتًا لتصحيح الثغرات وإصلاحها باستثمار أقل في الوقت والمال. بمجرد الحصول على تقييم SOC 1 SSAE 18 ناجح، ينبغي على الشركات الصغيرة والمتوسطة الانتقال بسرعة إلى SOC2 للتحقق من فعالية العمليات بمرور الوقت.

يجب أن تكون الشركات الصغيرة والمتوسطة الحجم التي يمكنها اجتياز تقييم SSAE 18 SOC 2 Type II بنجاح في وضع جيد لتمرير أنواع أخرى من التدقيق على الرغم من أنه قد تكون هناك وصفات فريدة لـ HIPAA و PCI والتي تتجاوز الضوابط الحالية.

أهم ما يُستفاد من هذه المقالة حول عمليات تدقيق SSAE هو أن فحص عمليات وضوابط العمل أمرٌ بالغ الأهمية. توصي كلٌ من NIST وCyberHoot بإنشاء إطار عمل لإدارة المخاطر في أي مؤسسة. يضمن ذلك استثمار وقتك ومالك الثمينين في أهم أنشطة الحد من المخاطر، وهو استثمارٌ مُجدٍ.

بإمكان CyberHoot أن تلعب دورًا محوريًا في إعداد الشركات لمثل هذه عمليات التدقيق من خلال إدارة سياساتها وإجراءاتها، وبرامجها التدريبية، واختبارات التصيّد الاحتيالي، وحتى التقييمات التي يمكنك استخدامها للتقييم الذاتي قبل التقييم الخارجي. تواصل معنا عبر البريد الإلكتروني sales@cyberhoot.com للحصول على مزيد من المعلومات!

لمعرفة المزيد عن SSAE وعمليات تدقيق SOC، شاهد هذا الفيديو القصير:

هل تبذل جهدًا كافيًا لحماية عملك؟

سجل في CyberHoot اليوم واستمتع بنوم أفضل مع العلم أن

الموظفين مدربون على الأمن السيبراني وهم على أهبة الاستعداد!

سجل اليوم!