SOC 2 Nedir?
Yayın: · Son güncelleme:
SOC 2 Nedir? Kısaca
SOC 2, hizmet şirketlerinin müşteri verilerini korumaya yönelik kontrollerini bağımsız denetçilerin incelediği ve AICPA'nın Güven Hizmetleri Kriterleri'ne dayanan bir denetim raporu çerçevesidir.
SOC 2 nedir?
SOC 2, "System and Organization Controls 2" ifadesinin kısaltmasıdır. Amerikan Yeminli Mali Müşavirler Enstitüsü (AICPA) tarafından geliştirilmiştir. Bir yazılım ya da bulut hizmeti şirketinin müşteri verilerini nasıl koruduğunu, bağımsız bir denetçinin hazırladığı raporla gösterir.
Bu bir sertifika değil, rapordur. Denetçi şirketin kontrollerini inceler ve görüşünü yazılı olarak bildirir.
Hangi kriterlere bakılır?
Rapor, Güven Hizmetleri Kriterleri adı verilen beş alana dayanır:
- Güvenlik
- Erişilebilirlik
- İşlem bütünlüğü
- Gizlilik
- Mahremiyet
Güvenlik kriteri her raporda yer alır. Diğerleri, şirketin verdiği hizmete göre kapsama eklenir.
Tip I ve Tip II farkı
Tip I raporu, kontrollerin belirli bir tarihte doğru tasarlanıp tasarlanmadığına bakar. Tip II raporu ise kontrollerin genellikle birkaç aya yayılan bir dönem boyunca gerçekten çalışıp çalışmadığını test eder. Bu yüzden müşteriler çoğunlukla Tip II raporunu daha güçlü bir kanıt olarak görür.
Örneğin Türkiye'de bir insan kaynakları yazılımı geliştiren bir girişim, ABD'li bir müşteriye satış yapmak istediğinde karşısına sıkça "SOC 2 raporunuz var mı?" sorusu çıkabilir. Böyle bir hedefiniz varsa, işe erişim yönetimi, kayıt tutma ve değişiklik onayı süreçlerinizi yazılı hâle getirerek başlayın. Denetçi, bu süreçlerin uygulandığını gösteren kanıtları ister.
Sıkça Sorulan Sorular
SOC 2 ile ISO 27001 arasındaki fark nedir?
ISO 27001 uluslararası bir standarttır ve belgelendirmeyle sonuçlanır. SOC 2 ise ağırlıklı olarak Kuzey Amerika pazarında istenen bir denetim raporudur.
SOC 2 raporu herkese açık mı?
Genellikle hayır. Rapor gizli kabul edilir ve gizlilik sözleşmesi imzalayan müşterilerle paylaşılır.