Czym jest SOC 2?
SOC 2 (System and Organization Controls 2) to platforma audytowa opracowana przez AICPA oceniająca kontrole organizacji usługowej w zakresie bezpieczeństwa, dostępności, integralności przetwarzania, poufności i prywatności — tzw. kryteriów Trust Services.
Znane również jako: SOC 2, SOC 2 Type II, Service Organization Control
Raporty SOC 2 są de facto standardem wykazującym, że dostawca SaaS lub chmury odpowiedzialnie zarządza danymi klientów. Raport Typ I ocenia projekt kontroli w określonym punkcie w czasie, natomiast raport Typ II — surowsza i częściej wymagana wersja — ocenia zarówno projekt, jak i efektywność operacyjną kontroli przez okres zazwyczaj 6–12 miesięcy.
Kryterium bezpieczeństwa (zwane również Common Criteria) jest obowiązkowe dla każdego audytu SOC 2 i obejmuje logiczne i fizyczne kontrole dostępu, operacje systemowe, zarządzanie zmianami i ograniczanie ryzyka. Organizacje muszą wykazać, że chronią informacje przed nieautoryzowanym dostępem przez cały cykl ich życia — w tym podczas udostępniania i przesyłania. Audytorzy przeglądają zasady, procedury i kontrole techniczne, często badając, jak zarządzane, udostępniane i rotowane są poświadczenia i sekrety.
Osiągnięcie i utrzymanie zgodności z SOC 2 wymaga ciągłych wysiłków: udokumentowanych zasad bezpieczeństwa, przeglądów dostępu, praktyk szyfrowania, procedur reagowania na incydenty, zarządzania dostawcami i szkoleń pracowników. Organizacje przygotowujące się do SOC 2 często odkrywają, że nieformalne praktyki — takie jak udostępnianie haseł przez e-mail lub Slack — generują ustalenia audytu wymagające naprawy.
Jak Vaulted używa SOC 2
Vaulted pomaga organizacjom osiągnąć lub utrzymać zgodność z SOC 2, zapewniając bezpieczną, możliwą do audytu metodę udostępniania wrażliwych informacji. Zamiast przekazywać poświadczenia przez e-mail lub czat — co audytorzy odnotowują jako słabość kontroli — zespoły mogą udostępniać sekrety przez zaszyfrowane, samozniszczające się linki Vaulted. Architektura zero-knowledge, szyfrowanie po stronie klienta i automatyczne wygaśnięcie są zgodne z kryteriami SOC 2 dotyczącymi poufności i bezpieczeństwa, dostarczając dowodów, że organizacja chroni wrażliwe dane podczas ich udostępniania.