Sådan vurderer du en leverandørs SOC 2-rapport: det skal du kigge efter
SOC 2 er en amerikansk standard, men du møder den også her: De fleste amerikanske SaaS-leverandører sender dig en SOC 2-rapport, når du spørger til sikkerhed, ofte i stedet for ISO 27001. Alligevel stopper gennemgangen mange steder ved "ja, de sendte den". PDF'en bliver arkiveret, og ingen læser længere end til forsiden.
Det er ærgerligt, for det brugbare står indeni. Her er, hvad du skal se på, i den rækkefølge der sparer mest tid.
1. Type I eller Type II
En Type I-rapport siger, at leverandørens kontroller var passende udformet på ét bestemt tidspunkt. En Type II-rapport siger, at kontrollerne var udformet og faktisk virkede i en periode, normalt seks til tolv måneder. Bed om Type II for alle leverandører, der betyder noget. Type I er fint som første skridt for en ung virksomhed, men det er ikke bevis på, at noget virker i praksis.
2. Perioden og datoen
Tjek, hvilke datoer rapporten dækker. En rapport, hvor perioden sluttede for over et år siden, er forældet. Er der et hul mellem periodens slutning og i dag, kan du bede om et bridge letter (også kaldet gap letter), en erklæring fra leverandørens ledelse om, at intet væsentligt er ændret siden. Bemærk, at den kommer fra leverandøren, ikke revisoren.
3. Omfang: dækker den det, du køber?
SOC 2-rapporter dækker bestemte systemer og et eller flere af de fem Trust Services Criteria: Security (altid med), Availability, Processing Integrity, Confidentiality og Privacy. Tjek, at det beskrevne system er det produkt, du faktisk køber, og at kriterierne passer til dine behov. Betyder oppetid noget for dig, giver en rapport uden Availability et hul.
Tjek også, hvordan underleverandører (subservice organizations) håndteres. De fleste leverandører kører hos en cloududbyder, og rapporten holder normalt disse udenfor ("carve-out"), det vil sige at deres kontroller ikke er testet her. Så kan du også få brug for at se på de udbyderes egne rapporter.
4. Revisors konklusion
Forrest i rapporten står revisors konklusion. En unqualified (ren) konklusion er det, du vil have. En qualified konklusion betyder, at revisor fandt problemer, der var alvorlige nok til at blive påpeget, og en negativ konklusion eller en afstået konklusion er et alvorligt advarselstegn. Læs begrundelsen, ikke kun mærkaten.
5. Afvigelser: her ligger den egentlige information
I en Type II-rapport lister afsnittet om revisors test eventuelle afvigelser (exceptions): tilfælde, hvor en kontrol ikke virkede som beskrevet. Én glemt adgangsgennemgang kan være en lille sag. Gentagne fejl i adgangsstyring, ændringshåndtering eller hændelseshåndtering fortjener et opfølgende spørgsmål. Mange rapporter medtager leverandørens svar på hver afvigelse, så læs også det.
6. Din del af aftalen: CUEC'er
Complementary user entity controls er kontroller, leverandøren går ud fra, at *du* udfører, for eksempel at gennemgå hvem der har adgang til din konto, eller slå multifaktorgodkendelse til. Gør du ikke det, er det ikke sikkert, at leverandørens kontroller beskytter dig. List dem, giv dem en ejer, og tjek at de faktisk bliver gjort.
Gør det gentageligt
Gennemgangen hjælper kun, hvis den sker hver gang og bliver dokumenteret. Vores gratis tjekliste til leverandørvurdering (på engelsk) dækker hele leverandørens livscyklus, med NIS2, AI-forordningen, GDPR og DORA.
I Granur uploader leverandørerne deres SOC 2-rapport via et sikkert link, og AI læser den for dig: hvilke Trust Services Criteria der er dækket, rapporttype og periode, konklusionen og eventuelle afvigelser. Den sammenligner det med dine egne krav, for eksempel Type II, tolv måneder og Security, markerer det, der ikke holder, og følger udløbsdatoen, så du beder om næste års rapport i tide.