SOC 2: навчання з кібербезпеки

SOC 2 — це атестаційний звіт AICPA, який покупці B2B SaaS запитують перед підписанням угоди. Навчання з кібербезпеки прямо назване в Common Criterion CC1.4, а аудитори Type II перевіряють операційну ефективність цього контролю впродовж періоду від шести до дванадцяти місяців.

CC1.4 — один із критеріїв у дев’яти сімействах Common Criteria, з яких складаються критерії довірчих послуг AICPA (Trust Services Criteria, TSP Section 100, редакція 2017 року з переглянутими у 2022 році фокусними точками). Він вимагає від сервісної організації демонструвати зобов’язання залучати, розвивати й утримувати компетентних працівників відповідно до цілей.

Формулювання контрольної дії однозначне: організація проводить навчання, щоб персонал розвивав і підтримував компетенції, потрібні для досягнення цілей. Аудитори читають це як вимогу задокументованої програми навчання з кібербезпеки з доказами завершення по кожному співробітнику та рольовою глибиною змісту.

Так. Навчання з кібербезпеки прямо назване в Common Criterion CC1.4 критеріїв TSC. Цей критерій обов’язковий для будь-якого звіту SOC 2, який включає категорію безпеки, а це єдина категорія, обов’язкова для кожної атестації SOC 2.

Критерій виконується через задокументовану програму, записи про завершення по кожному співробітнику, рольовий зміст і періодичність оновлення, достатню, щоб працівники залишалися компетентними щодо актуальних загроз. Аудитори Type II перевіряють, що контроль працював ефективно впродовж усього періоду операційної ефективності, а не лише на одну дату.

Критерії TSC не називають конкретної частоти оновлення. Раз на рік — практичний мінімум, який більшість аудиторів приймає для базової програми і який більшість сервісних організацій закріплює у своїй політиці навчання.

Сучасні практичні нотатки аудиторів із фірм Schellman, A-LIGN і Coalfire дедалі частіше трактують CC1.4 як вимогу більшого, ніж щорічне навчання: квартальних мікромодулів, щомісячних рольових вправ або оновлень, прив’язаних до нових технік зловмисників. Програма, яка за дванадцятимісячний період операційної ефективності показала одне відео для всіх працівників і більше нічого, отримає виняток від уважного аудитора.

Аудитори очікують три артефакти. Перший — задокументований опис програми навчання: навчальний план, періодичність, охоплення, політика призначення та критерії завершення. Другий — реєстр завершень по кожному співробітнику за весь період операційної ефективності з ідентифікатором користувача, роллю, призначеним навчанням, часовою міткою завершення та статусом проходження. Третій — докази рольової глибини змісту, що відповідає профілю ризику кожної посади.

Прийнятний доказ — це експорт із LMS (Cornerstone, Workday Learning, Docebo, SAP SuccessFactors, Moodle) або запис про завершення SCORM. Скриншоти, підписані PDF і підтвердження електронною поштою — слабкі докази, які тягнуть за собою додаткові запити. Аудитори формують вибірку зі списку персоналу і простежують кожен її елемент до вихідного запису про навчання.

Докази для Type I стосуються однієї дати: програма існує, політика задокументована, LMS налаштована, призначення зроблено. Аудитор перевіряє дизайн контролю і підтверджує, що на конкретну дату він упроваджений.

Докази для Type II операційні: програма працювала впродовж усього періоду операційної ефективності (шість або дванадцять місяців), кожен, хто входив у периметр, завершив її вчасно, винятки відстежувалися й усувалися, а керівництво переглядало статус завершення з визначеною періодичністю. Корпоративні покупці зазвичай вимагають звіти Type II, бо саме вони показують, що контроль працював на практиці впродовж аудиторського вікна, а не лише в день візиту аудитора.

Так, якщо підрядники мають доступ до систем або даних у периметрі впродовж періоду аудиту. Персонал у розумінні SOC 2 включає працівників, підрядників, стажерів і будь-яку третю сторону з логічним або фізичним доступом, що стосується периметра довіри.

Найчастіша причина висновку із застереженням у звітах Type II — відсутність доказів завершення для підрядників, які мали доступ протягом короткого проміжку періоду і так і не отримали призначення на навчання. Контроль має працювати ефективно для цієї групи в ті дні, коли вони мали доступ, а не після того, як вони пішли.

Мета схожа, підхід відрізняється. Додаток A (Annex A) до ISO/IEC 27001 (A.7.2.2 у версії 2013 року, A.6.3 у версії 2022 року) вимагає обізнаності, освіти та навчання з інформаційної безпеки. SOC 2 розміщує ту саму вимогу в Common Criterion CC1.4 критеріїв TSC, а CC1.5, CC2.2 і CC2.3 додають відповідальність персоналу та комунікацію.

Механіка аудиту теж інша. ISO 27001 — це сертифікація за стандартом системи управління з трирічним циклом і щорічними наглядовими аудитами. SOC 2 — це атестація аудиторської фірми (CPA), яка видає звіт за критеріями TSC за визначений період. Більшість корпоративних покупців у Північній Америці просять SOC 2, більшість покупців у Європі та Азійсько-Тихоокеанському регіоні — ISO 27001. Багато сервісних організацій мають обидва.

Аудитор фіксує у звіті Type II виняток за відповідним Common Criterion (зазвичай CC1.4). Виняток описує вибірку, виявлену прогалину та період, якого вона стосується. Залежно від серйозності й масштабу висновок звіту буде або без застережень із зафіксованими винятками, або із застереженням.

Висновок із застереженням — це саме той сценарій, на який звертають увагу відділи закупівель. Покупці, які читають такий звіт, ставлять додаткові запитання, просять докази виправлення і можуть відкласти або заблокувати контракт. Шлях до виправлення — закрити прогалину, задокументувати коригувальні дії й отримати висновок без застережень у наступному звітному періоді.