أمن المعلومات
SOC 2
SOC 2 (ضوابط النظام والمؤسسة 2)
SOC 2 هو تدقيق مستقل لكيفية حمايتك لبيانات العملاء وفق معايير خدمات الثقة (Trust Services Criteria). نأخذ بيدك من أول فجوة حتى تقرير Type I أو Type II نظيف.
ما هو SOC 2
SOC 2 هو تقرير توكيد يصدره مكتب محاسبة قانوني مستقل (CPA) ويصف كيف تدير مؤسستك بيانات العملاء وفق خمسة معايير لخدمات الثقة: الأمن، والتوافر، وسلامة المعالجة، والسرية، والخصوصية. يكون الأمن دائماً ضمن النطاق؛ أما الباقي فتُدرج عندما تكون مهمة لخدمتك.
يقيّم تقرير Type I ما إذا كانت ضوابطك مصممة بشكل ملائم في لحظة زمنية محددة. أما تقرير Type II فيختبر ما إذا كانت قد عملت فعلياً بفعالية على مدى فترة، عادة من ثلاثة إلى اثني عشر شهراً، وهو التقرير الذي يتوقعه معظم المشترين من المؤسسات الكبرى.
هيكل المعيار
المعيار · الأمن
المعايير المشتركة التي تتضمنها كل مهمة SOC 2، وتغطي كيفية حماية الأنظمة والبيانات من الوصول غير المصرح به.
المعيار · التوافر
معايير اختيارية تتناول ما إذا كان النظام متاحاً للتشغيل والاستخدام وفق ما تم الالتزام به أو الاتفاق عليه.
المعيار · سلامة المعالجة
معايير اختيارية تتناول ما إذا كانت معالجة النظام كاملة وصحيحة ودقيقة وفي وقتها ومصرحاً بها.
المعيار · السرية
معايير اختيارية تتناول كيفية حماية المعلومات المصنفة على أنها سرية طوال دورة حياتها.
المعيار · الخصوصية
معايير اختيارية تتناول كيفية جمع المعلومات الشخصية واستخدامها والاحتفاظ بها والإفصاح عنها والتخلص منها.
التقرير · Type I
تقييم لما إذا كانت الضوابط مصممة بشكل ملائم في تاريخ واحد محدد.
التقرير · Type II
تقييم لما إذا كانت تلك الضوابط قد عملت أيضاً بفعالية على مدى فترة مراجعة محددة.
من يحتاج إليه
- شركات SaaS وبرمجيات B2B التي يخزّن عملاؤها بياناتهم لديها
- كل من يُطلب منه تقرير SOC 2 في استبيان أمني أو أثناء صفقة
- الفرق التي تبيع لمؤسسات أمريكية كبرى حيث يكون SOC 2 هو التوقع الافتراضي
ما تحصل عليه
- تقييم للفجوات وخارطة طريق مرتبة حسب الأولوية
- سياسات وضوابط ومجموعة أدلة مرتبطة بالمعايير
- أدلة من اختبار الاختراق والمراجعة الأمنية
- التحضير للتدقيق والدعم وصولاً إلى تقرير Type I أو Type II نظيف
تعتمد الجداول الزمنية على نقطة انطلاقك وعلى ما إذا كان الأمر يخص Type I أو Type II. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
تُعَدّ تقارير SOC 2 وفق معايير خدمات الثقة الصادرة عن AICPA، إصدار 2017 مع نقاط التركيز (points of focus) المنقحة في 2022، مقروءة مع معايير التوكيد في SSAE 18. المعايير نفسها مستقرة، لذا فإن الإطار الحالي هو ما تعمل عليه أي مهمة جديدة اليوم. التغير العملي بمرور الوقت يكون في توقعات المدققين والأدلة، لذا فالنهج الحكيم هو تأكيد المعايير الحالية ونطاق مدققك قبل العمل الميداني بدلاً من افتراض أن مجموعة العام الماضي تنتقل كما هي دون تغيير.
التكلفة
تقف هنا تكلفتان جنباً إلى جنب. تتقاضى tr3labs أتعاب استشارة وتطبيق محددة النطاق، تُعرض مسبقاً بمجرد أن نفهم حجمك وأنظمتك ومدى تقدم ضوابطك بالفعل. وبشكل منفصل، يتقاضى مكتب المحاسبة القانوني المستقل والمرخّص (CPA) الذي ينفذ الفحص ويصدر التقرير وفق جدول أسعاره الخاص، لأن tr3labs ليست المدقق أبداً ولا تصدر التوكيد أبداً. نحن نفضّل تحديد نطاق العمل معك على أن نقدّم تسعيراً دون رؤية.
كيف توصلك tr3labs إلى هناك
تحديد النطاق وتقييم الفجوات
نتفق على معايير خدمات الثقة المنطبقة، ونطابق ضوابطك الحالية معها، ونسلّمك خارطة طريق مرتبة حسب الأولوية لسد الفجوات.
بناء الضوابط
نساعدك على تطبيق السياسات والعمليات والضوابط التقنية التي تتوقعها المعايير، ونجمع الأدلة التي سيرغب مدققك في رؤيتها.
الاختبار والإثبات
توفّر اختبارات الاختراق والمراجعات لدينا الأدلة الأمنية الكامنة خلف الضوابط، ونجري تمريناً تجريبياً للتدقيق كي لا تكون هناك مفاجآت.
دعم التدقيق
نعمل إلى جانب مدقق CPA الخاص بك طوال العمل الميداني وصولاً إلى تقرير نظيف، ونبقيك جاهزاً للفترة التالية.
SOC 2 مقارنةً بـ ISO 27001
كلاهما يثبت لطرف خارجي أنك تدير أمن المعلومات، ولهذا كثيراً ما يعاملهما المشترون كأنهما قابلان للتبادل.
| SOC 2 | ISO 27001 | |
|---|---|---|
| يغطي | ضوابط وفق معايير خدمات الثقة | نظام إدارة أمن معلومات مُدار |
| من يطلبه | في الغالب المشترون من المؤسسات الأمريكية الكبرى وإدارات المشتريات | العملاء والجهات التنظيمية الدوليون |
| الفكرة الأساسية | تقرير توكيد عن ضوابطك | نظام إدارة قابل للاعتماد تشغّله وتحسّنه |
| نموذج التدقيق | فحص من مكتب محاسبة قانوني مستقل (CPA) | تدقيق من مرحلتين من جهة اعتماد معتمدة |
| النتيجة | تقرير Type I أو Type II، وليس شهادة | شهادة مع عمليات تدقيق مراقبة |
| غالباً يُحتفظ به مع | ISO 27001، عندما يمتد المشترون عبر المنطقتين | SOC 2، لإرضاء المشترين الأمريكيين والعالميين معاً |
الأسئلة الشائعة حول SOC 2
- ما الفرق بين SOC 2 Type I و Type II؟
- يقيّم Type I ما إذا كانت ضوابطك مصممة بشكل صحيح في لحظة زمنية واحدة. ويختبر Type II ما إذا كانت قد عملت بفعالية على مدى فترة مراجعة، عادة من ثلاثة إلى اثني عشر شهراً، وهو ما يطلبه معظم المشترين من المؤسسات الكبرى.
- هل نحتاج إلى اختبار اختراق من أجل SOC 2؟
- لا يفرض SOC 2 اختباراً محدداً، لكن المدققين والعملاء يتوقعون دليلاً حقيقياً على أن ضوابطك الأمنية تعمل. توفّر اختبارات الاختراق اليدوية لدينا ذلك بالضبط وتصب مباشرة في التقرير.
- من يصدر تقرير SOC 2؟
- يصدر التقرير مكتب محاسبة قانوني مستقل ومرخّص (CPA). تُعِدّك tr3labs للتدقيق، وتبني الضوابط والأدلة، وتدعمك خلاله؛ ونحن لا نصدر التوكيد بأنفسنا.
الخدمات التي توصلك إلى هناك
المعايير ذات الصلة
قراءات ذات صلة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق
ما هو الامتثال لـ SOC 2؟ دليل مبسّط وواضح
شرح SOC 2 دون مصطلحات معقّدة: ما هو، ومعايير Trust Services Criteria الخمسة، والفرق بين Type I و Type II، ومن يحتاج إليه، وكيف تبدو العملية، وكيفية الاستعداد لها.
7 دقائق قراءة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق