IT-eksport iz Uzbekistana rastet bistro. Kompanii iz IT Park rabotayut s kliyentami v SSHA, Yevrope i na Blijnem Vostoke, i pochti kajdiy krupniy kontrakt nachinayetsya s proverki postavshika. Voprosi informasionnoy bezopasnosti v etoy proverke stanovyatsya reshayushimi.
Amerikanskiye kompanii chashe vsego prosyat otchet SOC 2 Type II. Eto otchet ob attestasii sredstv kontrolya, kotoriy sostavlyayet lisenzirovannaya firma sertifisirovannix publichnix buxgalterov SSHA po standartam AICPA. Eto ne sertifikat, a otchet s mneniyem auditora o tom, kak sredstva kontrolya rabotali v techeniye perioda nablyudeniya, obichno ot trex do dvenadsati mesyasev.
Evropeyskiye zakazchiki chashe oriyentiruyutsya na ISO/IEC 27001. Ix trebovaniya k postavshikam usililis iz-za direktivi NIS2, reglamenta DORA dlya finansovogo sektora i GDPR. Sertifikat ISO/IEC 27001 s pravilno opredelennoy oblastyu zakrivayet bolshuyu chast ix anket.
Sredstva kontrolya vo mnogom sovpadayut: upravleniye dostupom, upravleniye izmeneniyami, monitoring, reagirovaniye na insidenti, rezervnoye kopirovaniye, rabota s postavshikami, obucheniye personala. Kompaniya, kotoraya postroila odnu sistemu, mojet proyti obe proverki, ne povtoryaya rabotu dvajdi.
Nachnite s osenki gotovnosti: kakiye prosessi uje rabotayut, a kakiye sushestvuyut tolko na bumage. Opredelite oblast proverki tak, chtobi ona sovpadala s produktami i uslugami, kotorie pokupayut kliyenti. Nastroyte regulyarniy sbor dokazatelstv. Dlya SOC 2 Type II vajno nachat period nablyudeniya tolko posle ustraneniya osnovnix probelov, inache otchet budet soderjat mnogo isklyucheniy.
Ojidaniye, chto avtomatizirovannaya platforma sdelayet vse sama. Otsutstviye otvetstvennogo za bezopasnost. Popitka nachat proverku za neskolko nedel do podpisaniya krupnogo kontrakta, kogda vremeni uje net.
Dlya otcheta SOC 2 Type I nujna podgotovka sredstv kontrolya i sama proverka. Dlya Type II k etomu dobavlyayetsya period nablyudeniya. Dlya ISO/IEC 27001 nujna rabotayushaya sistema s zapisyami za neskolko mesyasev, vnutrenniy audit i dva etapa sertifikasionnogo audita. Poetomu nachinat stoit zaranee, a ne posle togo, kak kliyent postavil trebovaniye v dogovor.
Polezno takje podgotovit kratkuyu spravku o bezopasnosti na angliyskom yazike, kotoruyu mojno otpravit vmeste s kommercheskim predlojeniyem.
Podrobnee o tom, chto takoye otchet SOC 2, i o podgotovke k nemu mojno prochitat na sayte auditorskoy kompanii BALTUM. Voprosi prinimayutsya na info@baltum.org.
