SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار

SOC 2 هو تقرير تصديق (attestation). يُنتَج وفق معايير يضعها المعهد الأمريكي للمحاسبين القانونيين المعتمدين (AICPA)، ولا يمكن أن تصدره إلا شركة CPA مرخّصة. تفحص الشركة ضوابطك وفق Trust Services Criteria، وهي مجموعة من المعايير تغطّي الأمان، واختياريًا التوافر وسلامة المعالجة والسرية والخصوصية. وفي النهاية تحصل على تقرير يُبدي فيه المدقّق رأيه حول مدى جودة تصميم ضوابطك، وفي تقرير Type 2، حول مدى جودة عملها على مدى فترة زمنية.

ISO 27001 هو معيار دولي قابل للحصول على شهادة فيه. يصف متطلبات نظام إدارة أمن المعلومات، ويُختصر عادةً إلى ISMS، وهو برنامج موثّق ومستمر لإدارة مخاطر الأمن. تدقّقك جهة اعتماد (certification body) مستقلة تكون هي نفسها معتمدة وفق المعيار، وإذا استوفيته، تصدر لك شهادة. والمعيار تتولّى صيانته المنظمة الدولية للتوحيد القياسي (ISO)، لا مهنة بلد بعينه.

هذا التمييز أهمّ مما يبدو للوهلة الأولى. SOC 2 يخبر القارئ كيف أدّت ضوابطك المحددة. أما ISO 27001 فيخبر القارئ أنك تدير نظامًا معترفًا به لتحديد المخاطر باستمرار، واتخاذ قرار بشأن ما يجب فعله حيالها، والتحقّق من أنها نجحت. أحدهما أقرب إلى رأي تدقيق تفصيلي؛ والآخر أقرب إلى ختم يفيد بأن برنامج إدارتك يستوفي حدًّا متّفقًا عليه.

SOC 2 ظاهرة أمريكية بالدرجة الأولى. إذا كان مشتروك مؤسسات في الولايات المتحدة، فإن فرق المشتريات وتقييم مخاطر الموردين لديهم كثيرًا ما تطلب تقرير SOC 2 بالاسم، وأحيانًا قبل أن توافق حتى على إجراء مكالمة مبيعات. فقد أصبح إشارة الثقة الافتراضية في سوق البرمجيات في أمريكا الشمالية.

ISO 27001 هو اللغة الأكثر عالمية. فكثيرًا ما يتوقّعه المشترون في أوروبا والشرق الأوسط وآسيا وما وراءها، ويُشار إليه لدى كثير من الجهات التنظيمية وفي مشتريات القطاع العام والمؤسسات الكبرى حول العالم. وإذا كنت تبيع عبر الحدود، فإن ISO 27001 هو غالبًا الإطار الذي ينتقل معك.

هناك استثناءات كثيرة في كلا الاتجاهين، وبعض المشترين يقبلون أيًّا منهما بكل سرور. والخطوة العملية هي ألّا تخمّن. اسأل فريق مبيعاتك عن الإطار الذي طلبه العملاء المحتملون فعلًا، واسأل بعض العملاء الودودين عمّا تبحث عنه فرق الأمان لديهم. دع الطلب الحقيقي، لا السمعة العامة، يوجّهك إلى الإطار الذي تبدأ به.

يأتي SOC 2 بنوعين. يقيّم تقرير Type 1 ما إذا كانت ضوابطك مصمّمة تصميمًا ملائمًا عند نقطة زمنية واحدة. أما تقرير Type 2، وهو ما يريده معظم المشترين الجادّين، فيقيّم ما إذا كانت تلك الضوابط قد عملت بفعالية على مدى فترة مراقبة، تمتدّ عادةً من بضعة أشهر إلى سنة. تجمع شركة CPA الأدلة، وتختبر عيّنات، وتوثّق النتائج، بما في ذلك أي استثناءات لم يعمل فيها ضابط ما كما كان مقصودًا.

تجري شهادة ISO 27001 ضمن دورة تمتدّ سنوات. فهناك تدقيق أولي من مرحلتين: مراجعة لوثائقك وجاهزيتك، يليها تدقيق أعمق لنظام ISMS في الممارسة العملية. وإذا نجحت، تكون الشهادة صالحة عادةً لثلاث سنوات، مع عمليات تدقيق رقابية أخفّ في السنوات البينية، وإعادة اعتماد كاملة في نهاية الدورة. والتركيز طوال الوقت ينصبّ على ما إذا كان نظام إدارتك حيًّا ومتحسّنًا، لا على مجرّد وضع علامة على قائمة تحقق مرّة واحدة.

في كلتا الحالتين يكون الفاحص مستقلًا وخارجيًا. يمكن لـ tr3labs، شأنها شأن أي جهة استشارية، أن تساعدك على بناء البرنامج، وتجميع الأدلة، والاستعداد للفحص، لكنها ليست أبدًا الجهة التي تصدر الشهادة أو توقّع التقرير. وهذا الفصل هو جوهر الأمر: فقيمة النتيجة تأتي من أن جهة اعتماد (certification body) معتمدة أو شركة CPA مرخّصة، لا مستشاريك أنت، هي من يقف وراءها.

مع SOC 2 تمتلك تقريرًا. وهو وثيقة تفصيلية، غالبًا ما تمتدّ لعشرات الصفحات، تصف أنظمتك وضوابطك ونتائج المدقّق. ولأنه يحتوي على تفاصيل حسّاسة، يُعامَل عادةً على أنه سرّي ويُشارك مع العملاء المحتملين بموجب اتفاقية عدم إفشاء. ولا يمكنك أن تضع شعار SOC 2 على صفحتك الرئيسية وتعتبر الأمر منتهيًا؛ فالتقرير يجب أن يُسلَّم ويُقرأ.

مع ISO 27001 تمتلك شهادة. وهي قصيرة، تحمل اسم مؤسستك ونطاق الاعتماد، ومصمّمة لتُعرَض علنًا. يمكنك إدراجها على موقعك، والإشارة إلى رقم الشهادة، وتوجيه المشترين إليها دون كشف التفاصيل الداخلية لضوابطك.

هذا الفرق يُحدّد كيف يساعدك كل منهما على البيع. فالشهادة إشارة سريعة وعلنية تجتاز بوابة مبكرة. أما التقرير فوثيقة أعمق سيقرؤها فريق الأمان لدى المشتري سطرًا سطرًا أثناء العناية الواجبة. ومعرفة ما يريد مشتروك رؤيته، أشارةً أم وثيقةً، جزء من حُسن الاختيار.

الخبر السار هو أن الإطارين مبنيّان على الممارسات الأمنية الأساسية نفسها. فالتحكّم في الوصول، وإدارة التغيير، وإدارة الثغرات، والتسجيل والمراقبة، ومخاطر الموردين، والاستجابة للحوادث، والتطوير الآمن، والنسخ الاحتياطي، واستمرارية الأعمال، كلها تظهر في كليهما. ولقطة شاشة لعملية مراجعة الوصول لديك أو لسجلّ الحوادث لديك دليل مفيد في ظلّ أيّ من الإطارين.

وبسبب ذلك، فإن الفرق التي تملك أحدهما بالفعل تجد عادةً أن الثاني يتطلّب عملًا أقلّ بصورة ملموسة. فالضوابط الأساسية وجزء كبير من الأدلة يُعاد استخدامها؛ وما يتغيّر هو التأطير والبنية التي يتوقّعها الفاحص. فـ SOC 2 يربط عملك بـ Trust Services Criteria، بينما يغلّفه ISO 27001 ضمن متطلبات ISMS الرسمية، بما في ذلك تقييم المخاطر، ومراجعة الإدارة، وStatement of Applicability (بيان قابلية التطبيق).

مع ذلك، فإن التداخل ليس هو التكافؤ ذاته. فـ ISO 27001 يطلب مخرجات نظام إدارة، مثل عملية موثّقة لمعالجة المخاطر ومشاركة من القيادة، وهو ما لا يتطلّبه SOC 2 بالطريقة نفسها. وSOC 2 يطلب أسلوبًا وعمقًا من أدلة عمل الضوابط عبر الزمن لا يؤطّره ISO 27001 بالصورة ذاتها. توقّع أن تعيد استخدام معظم المادة الخام، وأن تؤدّي مع ذلك عملًا حقيقيًا لتلبية التوقّعات المحددة للإطار الثاني.

بالنسبة لمعظم الفرق في مراحلها المبكرة، فإن الجواب الصادق هو: ليس بعد، وليس الاثنين في آن واحد. فإنجاز أيّ منهما كما ينبغي برنامج جدّي يمسّ الهندسة والعمليات والقيادة. والبدء باثنين في الوقت نفسه يعني عادةً إنجاز كليهما بصورة سيّئة، وإنهاك المجموعة الصغيرة من الأشخاص الذين يحملون السياق.

ابدأ بالإطار الذي يطلبه مشتروك فعلًا. فإن كان مسار صفقاتك مؤسسات أمريكية، فهذا هو SOC 2 في الغالب الأعمّ. وإن كنت تبيع دوليًا أو إلى قطاعات خاضعة للتنظيم تشير إلى المعيار، فابدأ بـ ISO 27001. وحين تكون الطلبات متنوّعة فعلًا، اختر الإطار الذي يعرقل أكبر قدر من الإيرادات في الوقت الحالي، ورتّب الآخر خلفه.

احصل على الاثنين حين، وفقط حين، يكون هناك طلب واضح على كليهما، كأن تكون لديك قاعدة عملاء أمريكية تريد SOC 2 إلى جانب مشترين دوليين أو خاضعين للتنظيم يتوقّعون ISO 27001. وبفضل التداخل، فإن إجراء الثاني بعد الأول أرخص بكثير من التعامل معهما كمشروعين لا صلة بينهما. والخطأ الذي ينبغي تجنّبه هو جمع الشهادات كجوائز. فالإطار يستحقّ السعي إليه حين يفتح الطريق أمام صفقة، أو يُرضي جهة تنظيمية، أو يرفع حقًّا سقف أمنك، لا لمجرّد أنه يبدو جيّدًا في شريحة عرض.