Planlegg SOC 2 for en norsk virksomhet som selger til USA
La konkrete kundekrav styre SOC 2-omfang, rapporttype og frist. Gjenbruk relevant sikkerhetsdokumentasjon, men vurder gapene før dere setter budsjettet.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
Når en amerikansk kunde ber om SOC 2, får den norske leverandøren et konkret spørsmål å planlegge rundt: Hvilken rapport trenger kunden, og når?
Begynn der. Geografi alene bestemmer ikke riktig dokumentasjon, og et generelt ønske om internasjonalt salg gir ikke et tilstrekkelig omfang.
Avklar kundekravet
Spør hvilken tjeneste rapporten skal dekke, om kunden trenger Type 1 eller Type 2, hvilke kategorier som forventes, og hvor fersk rapporten må være.
Type 1 gjelder en bestemt dato. Type 2 omfatter også kontrollenes operative effekt over en periode. AICPAs SOC-ressurser beskriver rammeverket.
Avklar eventuell dokumentasjon kunden godtar i mellomtiden. Ikke anta at Type 1 eller et ISO 27001-sertifikat erstatter den etterspurte Type 2-rapporten.
Vurder utgangspunktet før perioden starter
Definer tjenestegrensen, infrastrukturen, menneskene, rutinene og dataene. Avtal omfang og periode med CPA-firmaet.
Sjekk deretter at kontrollene brukes og bevisene beholdes. Tilgangsgodkjenninger, endringsgjennomganger og hendelsesoppfølging kan ikke erstattes av policyer skrevet ved periodens slutt.
Tidsplanen trenger forberedelser, rapporteringsperiode, undersøkelse og rapportproduksjon. Et kort tidsanslag må forklare hvilke deler som er inkludert.
Gjenbruk det som passer
Et eksisterende ISO 27001-system kan gi risikoprosesser, rutiner og dokumentasjon. Knytt materialet til SOC 2-kriteriene og tjenesteløftene, fremfor å anta en fast prosentvis overlapp.
Samme bevis kan støtte begge vurderinger. Forskjeller i omfang, periode eller kontrollutforming kan kreve mer arbeid. Bruk én vedlikeholdt kilde der det er mulig.
Budsjetter det løpende ansvaret
Ta med CPA-undersøkelsen, forberedelsesbistand, egen tidsbruk, nødvendige tekniske endringer og eventuelle verktøy. Avklar hvem som vedlikeholder bevis og behandler avvik etter første rapport.
FM bistår med forberedelser. Den uavhengige SOC 2-uttalelsen kommer fra et kvalifisert, lisensiert CPA-firma. Type 2-artikkelen forklarer hva kunden kan lese ut av rapporten.
Knytt investeringen til konkrete krav og en realistisk plan. Rapporten kan støtte kundens beslutning, men garanterer ikke kontrakten.
