Клієнт зі США вимагає SOC 2 Type II: що робити українській IT-компанії, якщо звіту ще немає
Умови контракту погоджені, але перевірка безпеки постачальника зупинила угоду: замовник просить SOC 2 Type II. Якщо звіту немає, не обіцяйте отримати його «за кілька тижнів». Ваше завдання — уточнити вимогу, показати наявні докази безпеки та обговорити прийнятний маршрут. SOC 2 для IT-компаній України — це насамперед незалежна оцінка контролів, а не формальний документ для відділу закупівель.
Клієнт вимагає SOC 2: спочатку з’ясуйте деталі
Запросіть розмову з командою безпеки замовника, а не лише з менеджером закупівель. Попросіть письмові вимоги й анкету оцінювання постачальника. Уточніть:
- чи потрібен Type II до підписання договору, початку робіт або доступу до даних;
- який сервіс, інфраструктуру та категорії критеріїв має охоплювати звіт;
- який період перевірки та давність звіту приймає замовник;
- чи передбачений тимчасовий виняток і хто уповноважений його погодити.
Ці відповіді визначають бюджет і строки. Пілот без доступу до продуктивного середовища можна запропонувати як окремий сценарій, але лише за погодженням клієнта. Звіт хмарного провайдера не замінює оцінку контролів вашої компанії.
Чи достатньо SOC 2 Type I для старту співпраці?
Type I оцінює опис системи та належність побудови контролів на визначену дату. Type II додатково перевіряє, як ці контролі працювали протягом певного періоду. Тому Type I не є рівноцінною заміною Type II.
Запитання «чи достатньо SOC 2 Type I» слід адресувати команді, яка приймає ризики замовника. Вона може розглянути його разом із планом Type II, обмеженням доступів або додатковою перевіркою. Проте внутрішні правила клієнта можуть виключати будь-яку альтернативу.
Не замовляйте Type I автоматично: це окремі витрати, а не обов’язковий етап перед Type II. Спочатку з’ясуйте, чи допоможе він саме цій угоді. SOC 2 для роботи з клієнтами США має відповідати конкретному запиту, а не припущенням відділу продажів.
Що запропонувати на перехідний період
Зберіть компактний пакет доказів, релевантних ризикам клієнта. Важливі не лише затверджені політики, а й підтвердження їх виконання. До пакета можуть увійти:
- заповнена анкета безпеки та опис системи, потоків даних і відповідальності сторін;
- результати пентесту з підтвердженням усунення критичних недоліків;
- політики доступу й реагування на інциденти, приклади перегляду прав та відкликання доступів;
- результати перевірки відновлення резервних копій і план безперервності роботи;
- чинний сертифікат ISO/IEC 27001, якщо його сфера охоплює потрібні послуги;
- план підготовки з відповідальними, контрольними датами та статусом залучення аудитора.
Передавайте чутливі матеріали через захищений канал, за NDA та в погодженому обсязі. Сертифікат ISO/IEC 27001, пентест чи лист про початок підготовки не замінюють SOC 2 Type II. Їхня роль — допомогти клієнту оцінити тимчасовий ризик.
Підготовка до SOC 2 Type II: як погодити реальний план
Почніть з аналізу прогалин: які контролі вже діють, чого бракує та які докази зберігаються. Погодьте межі перевірки й критерії з аудитором, а очікуваний результат — із замовником.
Розділіть графік на впровадження контролів, період їх роботи, аудиторську перевірку та випуск звіту. Тривалість періоду погоджують з аудитором з урахуванням потреб користувачів звіту; короткий період може не задовольнити клієнта. Завершення цього періоду ще не означає, що готовий звіт буде виданий наступного дня.
Призначте власника проєкту, відповідальних за докази та резерв часу на усунення недоліків. Письмово зафіксуйте з клієнтом тимчасові умови, строк винятку й порядок дій у разі затримки. Не представляйте компанію як таку, що вже пройшла аудит, доки відповідного звіту немає.
Почніть із вимоги замовника
Надішліть «Систем Менеджмент» запит клієнта та анкету безпеки для консультації щодо підготовки до SOC 2. Розберемо вимоги, доцільність Type I, перехідний пакет доказів і маршрут до Type II. Рішення про прийнятність альтернативи залишається за замовником.
