Så granskar du en leverantörs SOC 2-rapport: det här ska du titta efter
SOC 2 är en amerikansk standard, men du möter den här också: de flesta amerikanska SaaS-leverantörer skickar en SOC 2-rapport när du frågar om säkerhet, ofta i stället för ISO 27001. Ändå stannar granskningen på många håll vid "ja, de skickade den". PDF:en arkiveras och ingen läser längre än till försättsbladet.
Det är synd, för det användbara finns inuti. Här är vad du ska titta på, i den ordning som sparar mest tid.
1. Type I eller Type II
En Type I-rapport säger att leverantörens kontroller var lämpligt utformade vid en viss tidpunkt. En Type II-rapport säger att kontrollerna var utformade och faktiskt fungerade under en period, oftast sex till tolv månader. Be om Type II för alla leverantörer som spelar roll. Type I duger som första steg för ett ungt företag, men det är inget bevis på att något fungerar i praktiken.
2. Perioden och datumet
Kontrollera vilka datum rapporten täcker. En rapport vars period slutade för mer än ett år sedan är inaktuell. Finns det ett glapp mellan periodens slut och i dag kan du be om ett bridge letter (även kallat gap letter), ett uttalande från leverantörens ledning om att inget väsentligt har ändrats sedan dess. Observera att det kommer från leverantören, inte revisorn.
3. Omfattning: täcker den det du köper?
SOC 2-rapporter täcker specifika system och ett eller flera av de fem Trust Services Criteria: Security (alltid med), Availability, Processing Integrity, Confidentiality och Privacy. Kontrollera att systemet som beskrivs är produkten du faktiskt köper, och att kriterierna passar dina behov. Spelar drifttid roll för dig ger en rapport utan Availability en lucka.
Kontrollera också hur underleverantörer (subservice organizations) hanteras. De flesta leverantörer körs hos en molnleverantör, och rapporten lämnar oftast dessa utanför ("carve-out"), det vill säga att deras kontroller inte testats här. Då kan du behöva titta på de leverantörernas egna rapporter också.
4. Revisorns uttalande
Längst fram finns revisorns uttalande. Ett unqualified (rent) uttalande är vad du vill ha. Ett qualified uttalande betyder att revisorn hittade problem som var allvarliga nog att påpeka, och ett negativt uttalande eller ett avstående från uttalande är en allvarlig varningssignal. Läs skälen, inte bara etiketten.
5. Avvikelser: här finns den verkliga informationen
I en Type II-rapport listar avsnittet om revisorns tester eventuella avvikelser (exceptions): fall där en kontroll inte fungerade som den beskrivs. En missad behörighetsgenomgång kan vara en liten sak. Upprepade fel i behörighetsstyrning, ändringshantering eller incidenthantering förtjänar en följdfråga. Många rapporter tar upp leverantörens svar på varje avvikelse, så läs det också.
6. Din del av avtalet: CUEC:er
Complementary user entity controls är kontroller som leverantören utgår från att *du* utför, som att gå igenom vem som har åtkomst till ditt konto eller slå på flerfaktorsautentisering. Gör du inte det är det inte säkert att leverantörens kontroller skyddar dig. Lista dem, utse en ägare och kontrollera att de faktiskt görs.
Gör det upprepbart
Granskningen hjälper bara om den görs varje gång och dokumenteras. Vår kostnadsfria checklista för leverantörsbedömning (på engelska) täcker hela leverantörens livscykel, med NIS2, AI-förordningen, GDPR och DORA.
I Granur laddar leverantörerna upp sin SOC 2-rapport via en säker länk, och AI läser den åt dig: vilka Trust Services Criteria som täcks, rapporttyp och period, uttalandet och eventuella avvikelser. Den jämför det med dina egna krav, till exempel Type II, tolv månader och Security, flaggar det som inte räcker och följer utgångsdatumet, så att du ber om nästa års rapport i tid.