BALTUM BUREAU
Заказчик из США запросил SOC 2: с чего начать IT-аутсорсинговой компании в Узбекистане
Переговоры о контракте идут к завершению, когда служба безопасности американского клиента спрашивает: «Можете предоставить SOC 2?» Для IT-компании из Узбекистана это повод уточнить условия сделки и оценить готовность процессов. В BALTUM BUREAU мы рекомендуем начинать с выяснения того, какие подтверждения нужны заказчику и к какой дате.
Что именно запрашивает клиент
SOC 2 — это независимый отчёт о контролях сервисной организации, который выпускает лицензированная CPA-фирма. Он относится к определённой системе и услугам, поэтому формулировку «нам нужен SOC 2» необходимо конкретизировать.
Если заказчик требует SOC 2, выясните, ожидает ли он Type I или Type II. Type I оценивает описание системы и пригодность устройства контролей на конкретную дату. Type II дополнительно охватывает эффективность их работы за установленный период. Подготовка политик сегодня не создаёт доказательств выполнения процедур за прошлые месяцы.
Не обещайте дату отчёта до оценки готовности и обсуждения графика с аудитором. Если клиенту нужен Type II, отдельно согласуйте, примет ли он временно Type I, результаты оценки готовности или план устранения пробелов.
Что именно запрашивает клиент
SOC 2 — это независимый отчёт о контролях сервисной организации, который выпускает лицензированная CPA-фирма. Он относится к определённой системе и услугам, поэтому формулировку «нам нужен SOC 2» необходимо конкретизировать.
Если заказчик требует SOC 2, выясните, ожидает ли он Type I или Type II. Type I оценивает описание системы и пригодность устройства контролей на конкретную дату. Type II дополнительно охватывает эффективность их работы за установленный период. Подготовка политик сегодня не создаёт доказательств выполнения процедур за прошлые месяцы.
Не обещайте дату отчёта до оценки готовности и обсуждения графика с аудитором. Если клиенту нужен Type II, отдельно согласуйте, примет ли он временно Type I, результаты оценки готовности или план устранения пробелов.
Определите границы услуг
SOC 2 для IT-аутсорсинга начинается с описания того, как компания оказывает услуги: разрабатывает приложения, тестирует решения, поддерживает инфраструктуру или выполняет DevOps-задачи. Зафиксируйте команды, инструменты, данные и подрядчиков, участвующих в работе.
Обсудите с клиентом необходимые категории Trust Services Criteria: безопасность, доступность, целостность обработки, конфиденциальность и приватность. Выбор должен соответствовать услугам и обязательствам перед заказчиком.
Для компании из Ташкента с удалёнными разработчиками в Самарканде границы могут включать корпоративные ноутбуки, репозитории, систему задач и управление доступом. Одного адреса головного офиса для описания сервиса недостаточно.
Как учитывать доступ разработчиков к системам заказчика
При подготовке SOC 2 для outsourcing компании важно разобраться, кто управляет учётными записями в инфраструктуре клиента. Например, заказчик создаёт доступ, а подрядчик обязан вовремя сообщать об увольнении сотрудников. Эти обязанности следует закрепить в договоре и рабочих процедурах.
Проверьте согласование прав, использование MFA, пересмотр привилегий и отзыв доступа при смене проекта. Отдельно рассмотрите производственную среду: кто разрешает изменения, где остаются журналы действий и можно ли копировать клиентские данные на рабочие устройства.
Заранее договоритесь, какие подтверждения клиент сможет предоставить аудитору. Получать их нужно безопасно, без передачи паролей и лишних персональных данных.
Какие вопросы задать на переговорах
Запрос SOC 2 в Узбекистане часто связан с выходом на международный рынок, но содержание проверки определяется конкретной услугой. Подготовьте вопросы для службы безопасности и закупок клиента.
С чего начать подготовку внутри компании
Назначьте руководителя проекта и владельцев процессов в HR, IT и разработке. Сопоставьте обязательства перед клиентом с действующими процедурами и доказательствами: заявками на доступ, проверками кода, обучением сотрудников и записями об инцидентах.
Если вам нужна подготовка к SOC 2 в Ташкенте, обратитесь в BALTUM BUREAU для первоначальной оценки готовности. Начнём с требований заказчика, определим пробелы и составим план, с которым можно обсуждать сроки и бюджет.
SOC 2 для IT-аутсорсинга начинается с описания того, как компания оказывает услуги: разрабатывает приложения, тестирует решения, поддерживает инфраструктуру или выполняет DevOps-задачи. Зафиксируйте команды, инструменты, данные и подрядчиков, участвующих в работе.
Обсудите с клиентом необходимые категории Trust Services Criteria: безопасность, доступность, целостность обработки, конфиденциальность и приватность. Выбор должен соответствовать услугам и обязательствам перед заказчиком.
Для компании из Ташкента с удалёнными разработчиками в Самарканде границы могут включать корпоративные ноутбуки, репозитории, систему задач и управление доступом. Одного адреса головного офиса для описания сервиса недостаточно.
Как учитывать доступ разработчиков к системам заказчика
При подготовке SOC 2 для outsourcing компании важно разобраться, кто управляет учётными записями в инфраструктуре клиента. Например, заказчик создаёт доступ, а подрядчик обязан вовремя сообщать об увольнении сотрудников. Эти обязанности следует закрепить в договоре и рабочих процедурах.
Проверьте согласование прав, использование MFA, пересмотр привилегий и отзыв доступа при смене проекта. Отдельно рассмотрите производственную среду: кто разрешает изменения, где остаются журналы действий и можно ли копировать клиентские данные на рабочие устройства.
Заранее договоритесь, какие подтверждения клиент сможет предоставить аудитору. Получать их нужно безопасно, без передачи паролей и лишних персональных данных.
Какие вопросы задать на переговорах
Запрос SOC 2 в Узбекистане часто связан с выходом на международный рынок, но содержание проверки определяется конкретной услугой. Подготовьте вопросы для службы безопасности и закупок клиента.
- Нужен Type I или Type II? Какой период должен охватывать Type II?
- Какие услуги и команды должны входить в отчёт?
- Какие категории критериев ожидаются?
- К какой дате нужен отчёт: до договора или до начала работ?
- Какие промежуточные подтверждения допустимы?
- Кто отвечает за выдачу, проверку и отзыв клиентских доступов?
- Как будут передаваться доказательства и сам отчёт?
С чего начать подготовку внутри компании
Назначьте руководителя проекта и владельцев процессов в HR, IT и разработке. Сопоставьте обязательства перед клиентом с действующими процедурами и доказательствами: заявками на доступ, проверками кода, обучением сотрудников и записями об инцидентах.
Если вам нужна подготовка к SOC 2 в Ташкенте, обратитесь в BALTUM BUREAU для первоначальной оценки готовности. Начнём с требований заказчика, определим пробелы и составим план, с которым можно обсуждать сроки и бюджет.
О КОМПАНИИ
Балтум Бюро специализируется на предоставлении решений по сертификации и обучению по стандартам ISO. С основными офисами в Великобритании, Эстонии и США. Наш спектр услуг включает оценку систем менеджмента, услуги по кибербезопасности и различные отраслевые сертификации (например, медицинские, образовательные, пищевые).
Балтум Бюро специализируется на предоставлении решений по сертификации и обучению по стандартам ISO. С основными офисами в Великобритании, Эстонии и США. Наш спектр услуг включает оценку систем менеджмента, услуги по кибербезопасности и различные отраслевые сертификации (например, медицинские, образовательные, пищевые).
СЕРТИФИКАЦИЯ
Компания Балтум Бюро предоставляет сертификацию по следующим стандартам:
ISO 9001, ISO 14001,
ISO 50001, ISO 45001,
ISO 22301, ISO 37001,
IATF 16949, ISO 41001,
ISO/IEC 27701, GDPR,
ISO/IEC 20000-1, ISO 17100, HIPAA, PCI DSS, SOC 2,
ISO 22301:2019,
ISO/TR 23244:2020,
ISO/TR 23576:2020, ISO 37301, ISO 18788, ISO/IEC 27035, ISO/IEC 27033, ISO 31000,
ISO 42001.
Компания Балтум Бюро предоставляет сертификацию по следующим стандартам:
ISO 9001, ISO 14001,
ISO 50001, ISO 45001,
ISO 22301, ISO 37001,
IATF 16949, ISO 41001,
ISO/IEC 27701, GDPR,
ISO/IEC 20000-1, ISO 17100, HIPAA, PCI DSS, SOC 2,
ISO 22301:2019,
ISO/TR 23244:2020,
ISO/TR 23576:2020, ISO 37301, ISO 18788, ISO/IEC 27035, ISO/IEC 27033, ISO 31000,
ISO 42001.
ОБУЧЕНИЕ
Аудиторы компании проводят корпоративные тренинги с выездом на место, а также онлайн.
Аудиторы компании проводят корпоративные тренинги с выездом на место, а также онлайн.
КОНТАКТЫ
Основной офис: 7 Bell Yard, London, England, WC2A 2JR, United Kingdom
E-mail: info@baltumburoo.com
Представительство в Узбекистане:
100128, Ташкент, ул. Лабзак, 64А
Telegram / WhatsApp:
+998 91 017 39 76
E-mail: info@bcert.org
Представительство в Казахстане: 020000, Астана, ул. Анет Баба 9/1Б
E-mail: info@iso27001.kz
Телефон: +7 776 300 0222
Дополнительный офис:
Таджикистан, Молдова, Киргизия, Грузия, Армения
E-mail: info@iso27001.kz