SOC 1

9. září 2020 | Cybrary

Systémové a organizační kontroly (SOC) jsou auditorský standard, který má kořeny ve finančních systémech a auditu. Audity SOC se dodávají ve třech (3) formách, přičemž SOC typu 1 je nejjednodušší formou auditu SOC. Audity SOC typu 1 jsou audity účetních a finančních kontrol v organizaci prováděné třetí stranou. Poskytují nezávislý názor na to, jak dobře společnost udržuje pořádek ve svých financích. Audity SOC 2 se mohou týkat i dalších kontrol týkajících se bezpečnosti, dostupnosti, integrity procesů, důvěrnosti nebo soukromí.

SOC 1 se dále dělí na dvě formy auditů: SOC 1 typ I a SOC 1 typ II. Audity typu I se provádějí v určitém časovém bodě a datu, zatímco zpráva SOC 1 typu II je založena na testování kontrol po určitou dobu (nejčastěji 9 až 12 měsíců). Zprávy typu II jsou obecně považovány za spolehlivější.

Kritika auditů SOC:

Všechny organizace jsou jiné a jedinečné. Audit SOC nestanovuje minimální sadu organizačních kontrol, které je třeba vytvořit a otestovat. Dobré auditorské firmy poskytnou návrhy na vylepšení dalších kontrol, pokud chybí, nicméně organizace si obvykle sama stanoví kontroly, které mají být přezkoumány v rámci auditu třetí strany. Obecná kritika v tomto případě spočívá v tom, že pokud auditovaná společnost kontrolní prvek nespecifikuje, je to možná proto, že v něm selhává. Přesto auditem projdou i bez zahrnutí dané kontroly. Proto je vždy důležité přezkoumat audit SOC s ohledem na to, jaké kontroly by se měly očekávat, a pohnat společnost k odpovědnosti za chybějící kontroly v jejích auditech SOC.

Zdroj: Časopis InfoSecurity

Co to znamená pro malé a střední podniky?

Malé a střední podniky by měly vždy podnikat kroky k budování silné sady organizačních kontrol. To platí jak pro finanční kontroly, tak i pro kontroly kybernetické bezpečnosti. Většina malých a středních podniků nepovažuje za dostatečný přínos provádět vlastní audit SOC mimo rámec regulačních požadavků. Velmi rozvinuté malé a střední podniky však mohou chtít kodifikovat své procesy, interně je otestovat a poté naplánovat externí test třetí stranou prostřednictvím auditu SOC 1 typu II nebo SOC2 typu II. Audity typu 1 se obecně nevyplatí. Problémem pro malé a střední podniky a audity SOC je, že jejich příprava ani najímání externí firmy k provedení není levné (často začínají na částce kolem 3 20,000 USD).

Přesto existují způsoby, jak mohou malé a střední podniky začít budovat své formální procesy a provádět minimální interní hodnocení rizik. CyberHoot pomohl mnoha firmám identifikovat mezery v jejich bezpečnostních programech prostřednictvím našeho modulu hodnocení, který obsahuje dotazníky pro hodnocení kybernetické bezpečnosti, PCI a HIPAA. Hodnocení rizik a audity SOC jsou účinnými způsoby, jak začít zabezpečovat své podnikání. CyberHoot může hrát klíčovou roli v přípravě firem na takové audity prostřednictvím správy politik a procesů, školicích programů a testování phishingu. Pro více informací napište e-mail na adresu sales@cyberhoot.com !