IT-экспорт из Узбекистана растет быстро. Компании из IT Park работают с клиентами в США, Европе и на Ближнем Востоке, и почти каждый крупный контракт начинается с проверки поставщика. Вопросы информационной безопасности в этой проверке становятся решающими.
Американские компании чаще всего просят отчет SOC 2 Type II. Это отчет об аттестации средств контроля, который составляет лицензированная фирма сертифицированных публичных бухгалтеров США по стандартам AICPA. Это не сертификат, а отчет с мнением аудитора о том, как средства контроля работали в течение периода наблюдения, обычно от трех до двенадцати месяцев.
Европейские заказчики чаще ориентируются на ISO/IEC 27001. Их требования к поставщикам усилились из-за директивы NIS2, регламента DORA для финансового сектора и GDPR. Сертификат ISO/IEC 27001 с правильно определенной областью закрывает большую часть их анкет.
Средства контроля во многом совпадают: управление доступом, управление изменениями, мониторинг, реагирование на инциденты, резервное копирование, работа с поставщиками, обучение персонала. Компания, которая построила одну систему, может пройти обе проверки, не повторяя работу дважды.
Начните с оценки готовности: какие процессы уже работают, а какие существуют только на бумаге. Определите область проверки так, чтобы она совпадала с продуктами и услугами, которые покупают клиенты. Настройте регулярный сбор доказательств. Для SOC 2 Type II важно начать период наблюдения только после устранения основных пробелов, иначе отчет будет содержать много исключений.
Ожидание, что автоматизированная платформа сделает все сама. Отсутствие ответственного за безопасность. Попытка начать проверку за несколько недель до подписания крупного контракта, когда времени уже нет.
Для отчета SOC 2 Type I нужна подготовка средств контроля и сама проверка. Для Type II к этому добавляется период наблюдения. Для ISO/IEC 27001 нужна работающая система с записями за несколько месяцев, внутренний аудит и два этапа сертификационного аудита. Поэтому начинать стоит заранее, а не после того, как клиент поставил требование в договор.
Полезно также подготовить краткую справку о безопасности на английском языке, которую можно отправить вместе с коммерческим предложением.
Подробнее о том, что такое отчет SOC 2, и о подготовке к нему можно прочитать на сайте аудиторской компании BALTUM. Вопросы принимаются на info@baltum.org.
