כשלקוח אמריקאי שואל על SOC 2, הוא רוצה להבין את השירות שעליו יסתמך ואת הבקרות שמגינות עליו. סמל או הצהרה כללית בדרך כלל אינם מספיקים.
מראים איך הבקרות פועלות
לכל בקרה רלוונטית מגדירים אחראי, תדירות ומקור ראיות. סקירות הרשאות, תיעוד שינויים, ניטור וטיפול באירועים צריכים להתחבר לשירות שנכלל בבדיקה.
מדייקים בסוג הדוח
Type I מתייחס לתכנון הבקרות בנקודת זמן. Type II כולל גם בחינה של יעילות פעולתן לאורך תקופה. הסבירו איזה דוח יש לכם, אילו שירותים הוא מכסה ומהן המגבלות או החריגות הרלוונטיות. אם אתם עדיין בהיערכות, הציגו את המצב במדויק ושתפו ראיות בתהליך בדיקה מתאים.