Вопрос:
Зачем проходить аудит системы внутренних контролей ИБ c выпуском отчета SOC 2 / SOC 3?
Ответ:
Для того чтобы клиенты могли ознакомиться с особенностями контрольной среды обслуживающей организации в области ИБ и убедиться в ее эффективности.
Аудиты System and Organization Controls позволяют обслуживающим организациям, предоставляющим услуги клиентам, получить независимое заключение об эффективности системы внутренних контролей в виде отчетов SOC 2 или SOC 3. Отчет SOC 2 может быть двух типов:
· Type I – выпускается на определенную дату, покрывает эффективность дизайна и внедрения контрольных процедур.
· Type II – выпускается за период времени, покрывает эффективность дизайна и внедрения, а также операционную эффективность контрольных процедур.
Отчет SOC 3, о котором мы писали ранее, представляет собой сокращенную версию отчета SOC 2 type II.
Для подготовки указанных SOC-отчетов используются критерии надежности сервисов (TSC), разработанные Американским институтом дипломированных бухгалтеров (AICPA) на основе принципов COSO. Процедуры аудита выполняются в соответствии со стандартами аудита – МСЗОУ / ISAE 3000 либо SSAE-18.
В зависимости от области аудита отчет включает в себя независимую оценку по результатам аудита системы внутренних контролей ИБ в отношении одного или нескольких доменов:
· безопасность – обязательный домен;
· доступность;
· конфиденциальность;
· целостность обработки данных;
· защита персональных данных.
SOC-отчеты содержат заключение аудитора в отношении утверждений руководства компании об эффективности внутренних контролей ИБ с учетом критериев TSC, а также в отношении достижения определенных руководством компании целей обеспечения безопасности сервисов.
Помимо рассмотренных отчетов SOC 2 и SOC 3 существуют также отчеты SOC 1, однако они направлены на контроли в области финансовой отчетности, выполняются по другим критериям и на основе отдельного аудиторского стандарта – МСЗОУ / ISAE 3402 или того же SSAE-18.
#ИБ
#ОтвечаетKept
Зачем проходить аудит системы внутренних контролей ИБ c выпуском отчета SOC 2 / SOC 3?
Ответ:
Для того чтобы клиенты могли ознакомиться с особенностями контрольной среды обслуживающей организации в области ИБ и убедиться в ее эффективности.
Аудиты System and Organization Controls позволяют обслуживающим организациям, предоставляющим услуги клиентам, получить независимое заключение об эффективности системы внутренних контролей в виде отчетов SOC 2 или SOC 3. Отчет SOC 2 может быть двух типов:
· Type I – выпускается на определенную дату, покрывает эффективность дизайна и внедрения контрольных процедур.
· Type II – выпускается за период времени, покрывает эффективность дизайна и внедрения, а также операционную эффективность контрольных процедур.
Отчет SOC 3, о котором мы писали ранее, представляет собой сокращенную версию отчета SOC 2 type II.
Для подготовки указанных SOC-отчетов используются критерии надежности сервисов (TSC), разработанные Американским институтом дипломированных бухгалтеров (AICPA) на основе принципов COSO. Процедуры аудита выполняются в соответствии со стандартами аудита – МСЗОУ / ISAE 3000 либо SSAE-18.
В зависимости от области аудита отчет включает в себя независимую оценку по результатам аудита системы внутренних контролей ИБ в отношении одного или нескольких доменов:
· безопасность – обязательный домен;
· доступность;
· конфиденциальность;
· целостность обработки данных;
· защита персональных данных.
SOC-отчеты содержат заключение аудитора в отношении утверждений руководства компании об эффективности внутренних контролей ИБ с учетом критериев TSC, а также в отношении достижения определенных руководством компании целей обеспечения безопасности сервисов.
Помимо рассмотренных отчетов SOC 2 и SOC 3 существуют также отчеты SOC 1, однако они направлены на контроли в области финансовой отчетности, выполняются по другим критериям и на основе отдельного аудиторского стандарта – МСЗОУ / ISAE 3402 или того же SSAE-18.
#ИБ
#ОтвечаетKept