Slik vurderer du en leverandørs SOC 2-rapport: dette bør du se etter
SOC 2 er en amerikansk standard, men du møter den her også: de fleste amerikanske SaaS-leverandører sender deg en SOC 2-rapport når du spør om sikkerhet, ofte i stedet for ISO 27001. Likevel stopper gjennomgangen mange steder ved "ja, de sendte den". PDF-en arkiveres, og ingen leser lenger enn til forsiden.
Det er synd, for det nyttige står inni. Her er hva du bør se på, i den rekkefølgen som sparer mest tid.
1. Type I eller Type II
En Type I-rapport sier at leverandørens kontroller var riktig utformet på ett bestemt tidspunkt. En Type II-rapport sier at kontrollene var utformet og faktisk virket gjennom en periode, vanligvis seks til tolv måneder. Be om Type II for alle leverandører som betyr noe. Type I er greit som første steg for et ungt selskap, men det er ikke bevis på at noe virker i praksis.
2. Perioden og datoen
Sjekk hvilke datoer rapporten dekker. En rapport der perioden sluttet for over ett år siden, er utdatert. Er det et gap mellom slutten av perioden og i dag, kan du be om et bridge letter (også kalt gap letter), en erklæring fra leverandørens ledelse om at ingenting vesentlig er endret siden. Merk at den kommer fra leverandøren, ikke revisoren.
3. Omfang: dekker den det du kjøper?
SOC 2-rapporter dekker bestemte systemer og ett eller flere av de fem Trust Services Criteria: Security (alltid med), Availability, Processing Integrity, Confidentiality og Privacy. Sjekk at systemet som beskrives, er produktet du faktisk kjøper, og at kriteriene passer behovene dine. Betyr oppetid noe for deg, gir en rapport uten Availability et hull.
Sjekk også hvordan underleverandører (subservice organizations) håndteres. De fleste leverandører kjører hos en skyleverandør, og rapporten holder vanligvis disse utenfor ("carve-out"), det vil si at kontrollene deres ikke er testet her. Da kan du også måtte se på rapportene til disse leverandørene.
4. Revisors konklusjon
Foran i rapporten står revisors konklusjon. En unqualified (ren) konklusjon er det du vil ha. En qualified konklusjon betyr at revisor fant problemer som var alvorlige nok til å påpekes, og en negativ konklusjon eller en konklusjon revisor ikke kan gi, er et alvorlig varsel. Les begrunnelsen, ikke bare merkelappen.
5. Avvik: her ligger den egentlige informasjonen
I en Type II-rapport lister delen om revisors tester opp eventuelle avvik (exceptions): tilfeller der en kontroll ikke virket slik den er beskrevet. Én glemt tilgangsgjennomgang kan være en liten sak. Gjentatte feil i tilgangsstyring, endringshåndtering eller hendelseshåndtering fortjener et oppfølgingsspørsmål. Mange rapporter tar med leverandørens svar på hvert avvik, så les det også.
6. Din del av avtalen: CUEC-er
Complementary user entity controls er kontroller leverandøren forutsetter at *du* utfører, som å gå gjennom hvem som har tilgang til kontoen din, eller slå på flerfaktorautentisering. Gjør du ikke det, er det ikke sikkert at leverandørens kontroller beskytter deg. List dem opp, gi dem en eier, og sjekk at de faktisk blir gjort.
Gjør det repeterbart
Gjennomgangen hjelper bare hvis den skjer hver gang og blir dokumentert. Den gratis sjekklisten vår for leverandørvurdering (på engelsk) dekker hele leverandørens livsløp, med NIS2, KI-forordningen, GDPR og DORA.
I Granur laster leverandørene opp SOC 2-rapporten gjennom en sikker lenke, og KI leser den for deg: hvilke Trust Services Criteria som er dekket, rapporttype og periode, konklusjonen og eventuelle avvik. Den sammenligner dette med dine egne krav, for eksempel Type II, tolv måneder og Security, flagger det som ikke holder mål, og følger utløpsdatoen, så du ber om neste års rapport i tide.