SOC 1

Systémové a organizačné kontroly (SOC) sú audítorské štandardy, ktoré majú korene vo finančných systémoch a audite. Audity SOC sa dodávajú v troch (3) formách, pričom SOC typu 1 je najjednoduchšou formou auditu SOC. Audity SOC typu 1 sú audity účtovných a finančných kontrol v organizácii vykonávané tretími stranami. Poskytujú nezávislý názor na to, ako dobre si spoločnosť udržiava poriadok vo svojich financiách. Audity SOC 2 sa môžu týkať aj iných kontrol týkajúcich sa bezpečnosti, dostupnosti, integrity procesov, dôvernosti alebo súkromia.

SOC 1 sa ďalej delí na dve formy auditov: SOC 1 typ I a SOC 1 typ II. Audity typu I sa vykonávajú v konkrétnom čase a dátume, zatiaľ čo správa SOC 1 typu II je založená na testovaní kontrol počas určitého časového obdobia (najčastejšie 9 až 12 mesiacov). Správy typu II sa vo všeobecnosti považujú za spoľahlivejšie.

Kritika auditov SOC:

Všetky organizácie sú iné a jedinečné. Audit SOC nešpecifikuje minimálny súbor organizačných kontrol, ktoré sa majú vytvoriť a otestovať. Dobré audítorské firmy poskytnú návrhy na vylepšenia ďalších kontrol, ak chýbajú, avšak samotná organizácia si vo všeobecnosti stanoví kontroly, ktoré sa majú preskúmať v rámci auditu tretej strany. Všeobecná kritika v tomto prípade spočíva v tom, že ak auditovaná spoločnosť nešpecifikuje kontrolu, možno je to preto, že v tejto kontrole zlyháva. Napriek tomu audit prejde aj bez zahrnutia tejto kontroly. Preto je vždy dôležité preskúmať audit SOC s ohľadom na to, aké kontroly by sa mali očakávať, a brať spoločnosť na zodpovednosť za chýbajúce kontroly v jej auditoch SOC.

Zdroj: Časopis InfoSecurity

Čo to znamená pre malé a stredné podniky?

Malé a stredné podniky by mali vždy podniknúť kroky na vybudovanie silného súboru organizačných kontrol. To platí pre finančné kontroly, ale aj pre kontroly kybernetickej bezpečnosti. Väčšina malých a stredných podnikov nepovažuje za dostatočný prínos vykonávať vlastný audit SOC mimo určitých regulačných požiadaviek. Veľmi rozvinuté malé a stredné podniky však môžu chcieť kodifikovať svoje procesy, interne ich otestovať a potom naplánovať externý test treťou stranou prostredníctvom auditu SOC 1 typu II alebo SOC2 typu II. Audity typu 1 sa vo všeobecnosti neoplatia. Problémom pre malé a stredné podniky a audity SOC je, že ich príprava ani najatie externej firmy na ich vykonanie nie sú lacné (často začínajú na sume okolo 3 20,000 USD).

Existujú však spôsoby, ako môžu malé a stredné podniky začať budovať svoje formálne procesy a vykonávať minimálne interné hodnotenie rizík. CyberHoot pomohol mnohým podnikom identifikovať medzery v ich bezpečnostných programoch prostredníctvom nášho modulu hodnotenia, ktorý obsahuje dotazníky hodnotenia založené na kybernetickej bezpečnosti, PCI a HIPAA. Hodnotenia rizík a audity SOC sú účinné spôsoby, ako začať zabezpečovať svoje podnikanie. CyberHoot môže zohrať kľúčovú úlohu pri príprave spoločností na takéto audity prostredníctvom riadenia politík a procesov, školiacich programov a testovania phishingu. Pre viac informácií pošlite e-mail na adresu sales@cyberhoot.com !

Ak sa chcete dozvedieť viac o SOC 1 a SOC 2, pozrite si toto krátke video:

Robíte dosť pre ochranu svojho podnikania?

Zaregistrujte sa ešte dnes na CyberHoot a spite lepšie s vedomím svojho...

Zamestnanci sú vyškolení v oblasti kybernetickej bezpečnosti a sú v strehu!

Zaregistrujte sa ešte dnes!