SOC 2-efterlevnadschecklista: vad behöver du?

En SOC 2-efterlevnadschecklista hjälper er att gå från principer till konkreta kontroller och bevisning som klarar revisorns granskning. Den täcker scopebeslut, gapanalys, policyramverk, tekniska kontroller, leverantörsstyrning samt kontinuerlig övervakning. Checklistan nedan är inriktad på organisationer som siktar mot en första Type I-rapport och därefter en Type II-rapport över 6 till 12 månader. För en bakgrund till ramverket, läs först vad SOC 2-efterlevnad innebär.

Steg 1, scoping och gapanalys

Börja med att fastställa vilka Trust Services Criteria som ska ingå. Security är obligatoriskt, övriga väljs utifrån kundkrav. Identifiera systemkomponenter, infrastruktur, dataflöden, underleverantörer och fysiska platser som ingår i scope. Genomför en gapanalys mot Common Criteria och dokumentera nuvarande mognadsnivå per kontrollområde.

Steg 2, kärnan i kontrollramverket

1. Styrning och policyer. Informationssäkerhetspolicy, åtkomstpolicy, kryptopolicy, incidenthanteringspolicy, BCDR-policy, leverantörshanteringspolicy och policy för förändringshantering.
2. Riskhantering. Årlig riskanalys, riskregister med ägare och åtgärdsplaner samt ledningsgenomgång.
3. Personal. Bakgrundskontroller där lagen tillåter, sekretessavtal, säkerhetsutbildning vid anställning och årligen samt strukturerad off-boarding.
4. Åtkomstkontroll. Principen om minsta privilegium, MFA, periodisk åtkomstgranskning, separation av drift och utveckling samt logning av privilegierade konton.
5. Förändringshantering. Versionshantering, kodgranskning, automatiserade tester, segregerade miljöer och godkända releaseprocesser.

Steg 3, tekniska kontroller

För många organisationer är 24/7-övervakning den största operativa investeringen. Läs vad managed SOC innebär för en översikt över outsourcat alternativ.

Steg 4, leverantörskedja

Identifiera kritiska underleverantörer och säkerställ avtal med säkerhetsbilagor. Begär in deras SOC 2-rapporter eller motsvarande bevisning. Etablera årlig leverantörsgranskning med dokumenterad bedömning. Glöm inte underleverantörers underleverantörer, så kallad fourth-party risk, för molnnära tjänster.

Steg 5, bevisinsamling och revision

Type I granskar utformning vid en viss tidpunkt. Type II granskar att kontrollerna fungerat över hela perioden. Det innebär att bevis behöver samlas in löpande, inte bara inför revisionen. Bygg automatiserade utdrag från IAM, loggsystem, ticketverktyg och övervakningsverktyg. Använd ett GRC-verktyg för att kartlägga kontroller mot bevis och ansvariga.

Steg 6, kontinuerlig drift

SOC 2 är inte ett engångsprojekt. Etablera kvartalsvisa kontrollkörningar, månadlig metrik till ledningen och årlig översyn av policyer. Säkerställ att förändringar i scope, ny infrastruktur eller nya underleverantörer reflekteras i nästa revisionsperiod.

Vanliga fallgropar

• För brett scope. Att inkludera samtliga system i den första rapporten ökar både kostnad och risk för avvikelser.
• Manuell bevisinsamling. Att samla skärmdumpar i sista minuten leder till luckor och stress.
• Avsaknad av off-boarding-loggar. En av de vanligaste revisorsanmärkningarna gäller försenad återkallning av åtkomst.
• Saknade leverantörsgenomgångar. Att inte dokumentera årlig granskning av kritiska underleverantörer.
• Brister i penetrationstest-uppföljning. Fynd ska åtgärdas och spåras, inte bara rapporteras.

Så hjälper Opsio

Opsio levererar de tekniska kontroller och den operativa övervakning som krävs för att möta SOC 2 över tid via våra Cybersecurity Services och Managed Cloud Services. Vi kombinerar 24/7-övervakning, sårbarhetshantering och loggning med stöd för bevisinsamling så att er revisor får det som krävs utan extra arbete för era team. Kontakta oss via vårt kontaktformulär för en gapanalys.

Vanliga frågor

Vad är skillnaden mellan en Type I- och Type II-checklista?

Innehållsmässigt är de identiska, men Type II kräver dessutom kontinuerlig bevisinsamling över hela perioden. För Type I räcker det att kontrollerna är på plats vid en viss tidpunkt.

Hur länge ska loggar sparas?

Det finns inget specifikt krav, men en vanlig praxis är minst 12 månader för säkerhetsloggar, varav de senaste 90 dagarna ska vara enkelt sökbara. Branschspecifika regelverk kan kräva längre retention.

Måste vi ha intern säkerhetspersonal?

Inte nödvändigtvis, men någon i organisationen måste äga säkerhetsfrågorna och tolka rapportering. Drift och övervakning kan läggas på en partner, men ansvaret för kontrollerna kvarstår hos er.

Räcker molnplattformens SOC 2 för oss?

Nej. Hyperskalarens SOC 2 täcker plattformen, inte er konfiguration eller era applikationer. Ni behöver en egen rapport som täcker hur ni använder plattformen.

Hur ofta krävs penetrationstester?

Det finns inget formellt krav, men årliga tester samt vid större förändringar är branschpraxis. Resultaten behöver dokumenteras, prioriteras och följas upp för att accepteras av revisorn.