SOC 2 чи ISO 27001 для стартапу: що обрати першим
SOC 2 чи ISO 27001 для вашого стартапу? Порівняйте обсяг, витрати, очікування покупців і строки та дізнайтеся просте правило вибору першого стандарту.
Обирайте SOC 2, якщо більшість ваших клієнтів є американськими компаніями, які просять звіт про безпеку. Обирайте ISO 27001, якщо продаєте переважно в Європі або глобальним корпораціям, які просять сертифікат. Багато стартапів зрештою мають обидва, але один із них майже завжди є правильним першим кроком.
Це загальна інформація, а не юридична чи аудиторська порада. Аудитор і служби безпеки ваших клієнтів мають остаточне слово щодо того, що вони приймають.
У чому різниця між SOC 2 і ISO 27001?
SOC 2 є звітом про атестацію. Незалежна фірма CPA перевіряє ваші контролі за Trust Services Criteria від AICPA. Безпека є обов'язковою. Доступність, конфіденційність, цілісність обробки та приватність є додатковими опціями, які ви додаєте залежно від того, що цікавить клієнтів. Ви отримуєте звіт, а не сертифікат.
ISO 27001 є сертифікацією системи управління інформаційною безпекою (ISMS). Орган сертифікації перевіряє, чи є у вас робочий процес управління: оцінка ризиків, заява про застосовність, внутрішні аудити та постійне вдосконалення. Ви отримуєте сертифікат. Офіційний опис стандарту дивіться на сторінці ISO про стандарт.
| SOC 2 | ISO 27001 | |
|---|---|---|
| Результат | Звіт аудитора | Сертифікат |
| Типові покупці | США, B2B, особливо середній і великий бізнес | Європа, Азія, глобальні закупівлі |
| Фокус | Чи є контролі (Type 1) і чи працюють вони з часом (Type 2) | Чи існує система управління і чи вона працює |
| Контроль обсягу | Ви обираєте, які критерії включити | Ви визначаєте обсяг ISMS |
| Термін дії | Звіт охоплює певний період і оновлюється щороку | Сертифікат дійсний три роки, з щорічними наглядовими аудитами |
| Гнучкість | Контролі пишете ви | Контролі Annex A, які треба вибрати або обґрунтувати їх виключення |
Чого хочуть ваші покупці?
Запитайте, перш ніж щось витрачати. Перегляньте останні п'ять анкет з безпеки або програні угоди. Якщо там є фраза «У вас є звіт SOC 2?», почніть із нього. Якщо закупівлі просять «сертифікацію ISO 27001», почніть з неї. Звернення від менеджера з продажів теж є добрим джерелом доказів, як і сторінка безпеки ваших конкурентів.
Правила, якими ми б керувалися:
- Клієнти в США, швидкі цикли продажів: спершу SOC 2 Type 1, а Type 2 протягом наступного року.
- Публічний сектор ЄС, банки, великі корпорації: ISO 27001.
- Обидва ринки: контролі сильно перетинаються, тож зробивши один стандарт, другий ви отримаєте значно дешевше.
Скільки це коштує у часі та зусиллях?
Точні суми сильно різняться залежно від аудитора та розміру компанії, тож цифру ми не називатимемо. Реальні чинники вартості однакові для обох стандартів:
- Обсяг. Менше систем, менше людей і один продукт означають менше доказів.
- Готовність. Якщо у вас уже працюють single sign-on, керування пристроями, перевірки доступу та логування, аудит здебільшого є паперовою роботою.
- Вікно спостереження Type 2. SOC 2 Type 2 вимагає доказів за певний період, тож годинник іде ще до того, як ви отримаєте звіт.
- Інструменти. Платформи автоматизації комплаєнсу збирають докази з ваших хмарних і HR-інструментів. Вони економлять години, але не замінюють аудитора.
Що зробити перед аудитом?
- Напишіть коротку політику інформаційної безпеки та політику контролю доступу.
- Увімкніть багатофакторну автентифікацію скрізь і використовуйте менеджер паролів для команди.
- Ведіть інвентаризацію систем і постачальників.
- Проведіть базову оцінку ризиків і збережіть результат.
- Налаштуйте перевірки фону та чек-листи прийому й звільнення.
- Записуйте, хто має доступ до продакшену, і перевіряйте це за графіком.
Багато з цього є в категорії Security, Privacy & Compliance, де перелічено інструменти для ідентифікації, моніторингу та управління паролями. Також можна переглянути каталог продуктів Woodander щодо інструментів комплаєнсу, які використовують інші засновники.
FAQ
Чи є SOC 2 юридичною вимогою?
Ні. Це ринкова вимога, яку ставлять клієнти, а не закон.
Чи складніший ISO 27001, ніж SOC 2?
Інший, але не строго складніший. ISO вимагає задокументованої системи управління і процесу ризиків. SOC 2 вимагає доказів того, що конкретні контролі працюють. Команди з сильними інженерними звичками часто швидше проходять SOC 2, а командам з дисципліною процесів ISO здається природним.
Чи можна робити обидва одночасно?
Так, і перетин заощаджує зусилля. Але не починайте обидва, поки не знаєте, що клієнти попросять кожен із них.
Яка різниця між SOC 2 Type 1 і Type 2?
Type 1 перевіряє, що контролі правильно спроєктовані на один момент часу. Type 2 перевіряє, що вони працювали протягом певного періоду.
Ваш наступний крок: візьміть останні п'ять анкет з безпеки, порахуйте, який стандарт у них названо, і запишіться на розмову з одним аудитором, перш ніж купувати будь-які інструменти.
