Jak odpowiedzieć na pytanie „macie SOC 2?", gdy jeszcze go nie macie

Dlaczego „nie" to odpowiedź, na którą da się odpowiedzieć

Kwestionariusz bezpieczeństwa to sposób, w jaki kupujący sprawdza wasze bezpieczeństwo przed podpisaniem umowy. Raport SOC 2 albo ISO 27001 to jeden wygodny dowód w tej weryfikacji, bo niezależny audytor już przetestował kontrole. Kiedy go nie macie, recenzent musi ocenić wasze bezpieczeństwo na podstawie reszty tego, co dostarczycie. To dla niego więcej pracy, ale normalnej pracy, i dokładnie po to istnieje kwestionariusz.

Recenzent po drugiej stronie sprawdza, czy ryzyko jest do opanowania. W praktyce pyta: czy ten dostawca rozumie własne bezpieczeństwo, czy stosuje podstawowe kontrole i czy uczciwie mówi o lukach. Raport odpowiada na część tego w jednym dokumencie. Jego brak nie oznacza odpowiedzi „nie" na pytanie leżące u podstaw. Oznacza tylko, że na to pytanie odpowiadacie wprost, bez pośrednika.

Więc przeformułowanie jest takie samo jak w każdym kwestionariuszu. Brak raportu to kwestia dokumentacji i dowodów, nie wyrok, czy jesteście bezpieczni. Waszym zadaniem jest pokazać recenzentowi realny stan bezpieczeństwa przez dowody, które macie, i być precyzyjnym co do tego, do czego dążycie. Firmy waszej wielkości co tydzień przechodzą przegląd bezpieczeństwa bez raportu, robiąc dokładnie to.

Co kupujący akceptują zamiast raportu

Kiedy nie ma raportu SOC 2 ani ISO 27001, recenzent szuka innych sygnałów, że wasze bezpieczeństwo jest realne i zarządzane. Im mocniejsze dowody kompensujące, tym mniejsza luka po brakującym raporcie.

Spisane polityki bezpieczeństwa. Krótki zestaw polityk (kontrola dostępu, reagowanie na incydenty, polityka dopuszczalnego użycia, obsługa danych, i coraz częściej użycie AI) pokazuje, że wasze praktyki to decyzje, nie przyzwyczajenia. Nie muszą być długie. Muszą być prawdziwe, przestrzegane i opatrzone datą.

Wasz faktyczny stan dostępów i MFA. To dowód, któremu recenzenci przypisują największą wagę, bo naruszenie zwykle zaczyna się właśnie od dostępów. Możliwość stwierdzenia, że MFA jest wymuszone we wszystkich systemach, że dostęp jest odbierany tego samego dnia, w którym ktoś odchodzi, i że przeprowadzacie przeglądy dostępów, poparta realnym stanem, a nie samą polityką, robi dużą część roboty, którą wykonałby raport. To też miejsce, w którym słabo przygotowani dostawcy po cichu tracą punkty, więc warto mieć to dopięte. Zobacz gotowość dostępową do SOC 2, żeby zobaczyć, co próbkuje tu audytor, bo to ten sam obszar, który sprawdza recenzent.

Plan reagowania na incydenty. Udokumentowany plan obejmujący wykrywanie, role, powstrzymywanie incydentu i terminy powiadamiania klientów pokazuje, że przemyśleliście zły dzień, zanim nadejdzie. Recenzent zupełnie inaczej traktuje „tak, i oto jak to wygląda" niż „coś byśmy wymyślili".

Lista subprocesorów. Aktualny rejestr podmiotów trzecich, które przetwarzają dane klientów w waszym imieniu, co każdy z nich robi i gdzie, pokazuje, że wiecie, dokąd trafiają dane. Zobacz jak prezentować listę subprocesorów.

Uczciwe odpowiedzi na konkretne pytania o kontrole. Przy braku raportu każda odpowiedź o kontroli waży więcej. Kwestionariusz wypełniony precyzyjnie i spójnie, w oparciu o dowody, sam w sobie jest dowodem kompensującym. Dostawca, który dobrze odpowie na czterdzieści pytań o kontrole bez raportu, często stanowi mniejsze ryzyko niż ten, który macha raportem, a nie potrafi wyjaśnić własnego modelu dostępów.

Podsumowanie testu penetracyjnego, jeśli je macie. Jeśli mieliście niezależny test penetracyjny, podsumowanie albo list poświadczający to użyteczny dowód, udostępniany pod NDA. Jest węższy niż SOC 2, ale niezależny, a to recenzenci cenią.

Żadne z nich w ścisłym sensie nie zastępuje raportu. Razem pozwalają jednak recenzentowi dojść do wniosku, że wasze bezpieczeństwo jest realne i że znacie własny stan, a właśnie to miał zastępować raport.

Precyzja w sprawie SOC 2 (i dlaczego niejasność się mści)

Żeby dobrze odpowiedzieć, warto być precyzyjnym co do tego, czym właściwie jest SOC 2, bo wiele słabych odpowiedzi bierze się z jego rozmycia.

SOC 2 to raport atestacyjny wystawiany przez firmę audytorską (CPA) względem AICPA Trust Services Criteria. Są dwa rodzaje. Raport Type I ocenia, czy wasze kontrole są zaprojektowane właściwie w jednym punkcie w czasie. Raport Type II testuje, czy te kontrole działały skutecznie w danym okresie, zwykle podaje się od trzech do dwunastu miesięcy obserwacji. Raport to więc nie odznaka, którą się ma albo nie ma. Opisuje kontrole, w danym zakresie i okresie, i może zawierać wyjątki.

Ta precyzja ma znaczenie dla waszej odpowiedzi, bo recenzenci to wiedzą. Dwa sformułowania szczególnie się mszczą:

• „Stosujemy zasady SOC 2". Dla recenzenta to znaczy „nie mamy raportu". SOC 2 to nie zbiór zasad, które się stosuje, tylko raport, który wydaje audytor. To sformułowanie brzmi jak próba pożyczenia wiarygodności raportu, którego nie macie. Lepiej powiedzieć wprost, że nie macie raportu, i pokazać swoje kontrole bezpośrednio.
• „Jesteśmy zgodni z SOC 2" (SOC 2 compliant). SOC 2 to nie status zgodności, w którym się jest. Takie sformułowanie mówi doświadczonemu recenzentowi, że nie zrozumieliście, czym naprawdę jest ten raport, co podważa wiarygodność reszty waszych odpowiedzi.

ISO 27001 ma inną strukturę: to certyfikacja systemu zarządzania bezpieczeństwem informacji względem normy, wydawana przez akredytowaną jednostkę certyfikującą, zwykle ważna przez określony okres, z audytami nadzoru. Obowiązuje ta sama zasada. Albo macie certyfikat, albo go nie macie, a „jesteśmy zgodni z ISO 27001" znaczy, że go nie macie.

Uczciwsze i mocniejsze podejście to wprost przedstawić swoją realną pozycję, a potem pokazać dowody. Precyzja brzmi jak kompetencja. Niejasność brzmi jak luka, którą próbujecie ukryć.

Jak mówić o ścieżce w toku

Jeśli faktycznie ruszyliście w stronę SOC 2 albo ISO 27001, warto to powiedzieć, ale tylko z konkretami. „SOC 2 w toku" jest prawie tak samo słabe jak „stosujemy zasady SOC 2", bo „w toku" obejmuje wszystko od „umówiliśmy rozmowę z audytorem" po „jesteśmy trzy miesiące w okresie obserwacji Type II". Recenzent nie wie, o które chodzi, więc dyskontuje tę odpowiedź.

Mocna odpowiedź o ścieżce w toku podaje etap i datę. Typowa ścieżka, żebyście mogli się na niej zlokalizować:

• Ocena gotowości albo analiza luk. Zaangażowaliście firmę albo skorzystaliście z platformy, żeby porównać swoje kontrole z kryteriami i zidentyfikować luki. Powiedzcie to i podajcie status ukończenia.
• Naprawa luk (remediation). Zamykacie luki znalezione w ocenie. To uczciwe i recenzenci to szanują.
• Type I (jeśli wybieracie tę ścieżkę). Kontrole testowane w jednym punkcie w czasie. Szybszy do osiągnięcia, zwykle podaje się około dwóch do trzech miesięcy, i użyteczny jako sygnał tymczasowy, choć wielu kupujących ostatecznie chce Type II.
• Okres obserwacji Type II. Kontrole są obserwowane przez okres, który obejmie raport audytora. To etap, który najbardziej uspokaja recenzentów, bo oznacza, że audyt naprawdę trwa.
• Oczekiwany raport. Podajcie miesiąc, w którym spodziewacie się raportu, i zaznaczcie, że będzie dostępny pod NDA.

Mocna odpowiedź brzmi mniej więcej tak: „Obecnie nie mamy raportu SOC 2. Ukończyliśmy ocenę gotowości w [miesiąc], naprawiamy znalezione luki, a nasz okres obserwacji Type II zaczyna się w [miesiąc], z raportem spodziewanym w [miesiąc]. W międzyczasie możemy udostępnić nasze polityki bezpieczeństwa i odpowiedzieć bezpośrednio na konkretne pytania o kontrole". To daje recenzentowi harmonogram do śledzenia i coś, z czym może pracować już teraz. Nie wymyślajcie etapu ani daty, w której faktycznie nie jesteście, bo zawyżony harmonogram to deklaracja, która kiedyś wymaga rozliczenia.

Czego nie deklarować

Kilka deklaracji robi realną szkodę, bo to te, które recenzent albo późniejsza weryfikacja mogą złapać.

Nie sugerujcie, że macie raport, którego nie macie. Dotyczy to sformułowań „SOC 2 compliant", „SOC 2 certified" (SOC 2 jest atestowane, nie certyfikowane) i każdego sformułowania, które pozwala recenzentowi założyć, że raport istnieje. Jeśli poproszą o wgląd, blef się wali, a zwykle razem z nim deal.

Nie zawyżajcie etapu, na którym jesteście. Deklarowanie okresu obserwacji Type II, którego jeszcze nie rozpoczęliście, albo daty raportu, dla której nie macie podstaw, to oświadczenie, które może trafić do treści umowy. Kiedy się nie sprawdzi, macie problem kontraktowy na dokładkę do problemu zaufania.

Nie deklarujcie kontroli, których nie potraficie udowodnić. Klasyczny przykład to „MFA wymuszone wszędzie", podczas gdy konta poza SSO nie są objęte. Recenzent, który poprosi o dowód albo sprawdzi referencje, znajdzie tę lukę. Zobacz odpowiedzi, które wywołują dopytywanie, żeby poznać konkretne deklaracje, które recenzenci testują.

Nie odpowiadajcie na pytanie o kontrolę certyfikatem, którego nie macie. Jeśli nie potraficie odpowiedzieć wprost na pytanie o dostępy, rozwiązaniem jest sprawdzenie realnego stanu, nie machnięcie ręką w stronę raportu.

Wspólny mianownik jest taki, że jedna złapana naciągana deklaracja zatruwa całą odpowiedź. Recenzent, który znajdzie jedną zawyżoną odpowiedź, czyta resztę z podejrzliwością, a uczciwe „nie" kosztowałoby was mniej.

Kiedy faktycznie zacząć proces SOC 2 albo ISO 27001

Zdobycie raportu to realna inwestycja czasu i pieniędzy, więc to decyzja biznesowa, nie odruch na pierwszego kupującego, który zapyta.

Najpierw odpowiadajcie dowodami kompensującymi, kiedy to możliwe. Pojedynczego kupującego pytającego o SOC 2 często da się zadowolić mocnymi politykami, czystym stanem dostępów, uczciwymi odpowiedziami o kontrolach i wiarygodną deklaracją ścieżki w toku. Wiele dealów zamyka się w ten sposób, bez raportu.

Zacznijcie, gdy zapytanie stanie się wzorcem. Kiedy SOC 2 albo ISO 27001 pojawia się w całym pipeline, kiedy deale regularnie blokują się na jego braku, albo kiedy konkretny duży deal stawia to jako twardy wymóg, raport ma jasne uzasadnienie biznesowe. W tym momencie przestaje być kosztem, a staje się czynnikiem, który odblokowuje przychód.

Wybierzcie certyfikat, o który pytają wasi kupujący. Na dużej części rynku północnoamerykańskiego kupujący pytają o SOC 2. ISO 27001 jest szerzej rozpoznawane w Europie i na świecie. Kwestionariusze waszych kupujących powiedzą wam, którego oczekują. Czasem odpowiedzią jest oba naraz, a oba dzielą na tyle dużo wspólnych kontroli, że zdobywanie ich razem to częsta praktyka. Zobacz gotowość dostępową do SOC 2, żeby poznać kontrole dostępu, na których najmocniej opierają się oba standardy i które warto mieć czyste niezależnie od wyboru.

Róbcie pracę nad dostępami niezależnie od decyzji. Bez względu na to, czy w tym roku podejdziecie do raportu, kontrole dostępów, MFA, offboardingu i przeglądów, które testuje raport, to te same kontrole, które sprawdza kwestionariusz. Doprowadzenie ich do realnego, udokumentowanego stanu opłaca się w każdym dealu, z raportem czy bez, i oznacza, że kiedy zaczniecie proces raportu, najtrudniejsza sekcja jest już w porządku.

Miękkie CTA

Jeśli deal utyka na pytaniu „macie SOC 2?", a wy go nie macie, oferujemy darmowy 15-minutowy Questionnaire Readiness Check. Sprawdzamy, co możecie udowodnić już dziś, jak sformułować „nie", żeby recenzent je zaakceptował, i czy warto zacząć proces raportu dla waszego pipeline. Bez dostępu do systemów, bez zobowiązań. Jeśli chcecie wersję wielokrotnego użytku, zapytajcie o Security Questionnaire Answer Pack, który zawiera przykładowe odpowiedzi na pytania o SOC 2 i stan zgodności.

Źródła

• AICPA, SOC 2 and the Trust Services Criteria · aicpa-cima.com (SOC 2 jako raport atestacyjny względem Trust Services Criteria; Type I jako projekt w jednym punkcie w czasie, Type II jako skuteczność działania w danym okresie).
• Vanta, ISO 27001 vs SOC 2 · vanta.com/collection/soc-2/iso-27001-vs-soc-2 (typowe ramy czasowe i różnica między atestacją a certyfikacją; podane liczby jako typowe, nie gwarantowane).
• Secureframe, SOC 2 vs ISO 27001 · secureframe.com/blog/soc-2-vs-iso-27001 (Type I to zwykle dwa do trzech miesięcy, okres obserwacji Type II od trzech do dwunastu miesięcy; regionalne rozpoznawanie każdego z certyfikatów).
• ISO/IEC 27001, Information security management systems · iso.org/standard/27001 (ISO 27001 jako certyfikacja systemu zarządzania względem normy).