Клиент из США требует SOC 2 Type II: что делать украинской IT-компании, если отчёта ещё нет
Условия контракта согласованы, но проверка безопасности поставщика остановила сделку: заказчик требует SOC 2 Type II. Если отчёта нет, не обещайте получить его «за несколько недель». Ваша задача — уточнить требование, предоставить имеющиеся доказательства безопасности и обсудить приемлемый путь решения. SOC 2 для IT-компаний Украины — это прежде всего независимая оценка контролей, а не формальный документ для отдела закупок.
Клиент требует SOC 2: сначала выясните детали
Организуйте разговор с командой безопасности заказчика, а не только с менеджером по закупкам. Запросите письменные требования и анкету оценки поставщика. Уточните:
- требуется ли Type II до подписания договора, начала работ или получения доступа к данным;
- какие сервисы, инфраструктуру и категории критериев должен охватывать отчёт;
- какой период проверки и срок давности отчёта принимает заказчик;
- предусмотрено ли временное исключение и кто уполномочен его согласовать.
Эти ответы определяют бюджет и сроки. Пилотный проект без доступа к продуктивной среде можно предложить как отдельный сценарий, но только по согласованию с клиентом. Отчёт облачного провайдера не заменяет оценку контролей вашей компании.
Достаточно ли SOC 2 Type I для начала сотрудничества?
Type I оценивает описание системы и надлежащее проектирование контролей на определённую дату. Type II дополнительно проверяет, как эти контроли функционировали в течение определённого периода. Поэтому Type I не является равноценной заменой Type II.
Вопрос «достаточно ли SOC 2 Type I» следует адресовать команде заказчика, ответственной за принятие рисков. Она может рассмотреть его вместе с планом получения Type II, ограничением доступа или дополнительной проверкой. Однако внутренние правила клиента могут исключать любые альтернативы.
Не заказывайте Type I автоматически: это отдельные расходы, а не обязательный этап перед Type II. Сначала выясните, поможет ли он именно этой сделке. SOC 2 для работы с клиентами США должен соответствовать конкретному запросу, а не предположениям отдела продаж.
Что предложить на переходный период
Подготовьте компактный пакет доказательств, соответствующих рискам клиента. Важны не только утверждённые политики, но и подтверждения их выполнения. В пакет могут входить:
- заполненная анкета безопасности и описание системы, потоков данных и ответственности сторон;
- результаты пентеста с подтверждением устранения критических уязвимостей;
- политики управления доступом и реагирования на инциденты, примеры пересмотра прав и отзыва доступа;
- результаты проверки восстановления резервных копий и план обеспечения непрерывности деятельности;
- действующий сертификат ISO/IEC 27001, если область его действия охватывает необходимые услуги;
- план подготовки с указанием ответственных лиц, контрольных дат и статуса привлечения аудитора.
Передавайте конфиденциальные материалы через защищённый канал, на условиях NDA и в согласованном объёме. Сертификат ISO/IEC 27001, пентест или письмо о начале подготовки не заменяют SOC 2 Type II. Их задача — помочь клиенту оценить временный риск.
Подготовка к SOC 2 Type II: как согласовать реалистичный план
Начните с анализа пробелов: какие контроли уже действуют, чего не хватает и какие доказательства сохраняются. Согласуйте границы проверки и критерии с аудитором, а ожидаемый результат — с заказчиком.
Разделите график на внедрение контролей, период их функционирования, аудиторскую проверку и выпуск отчёта. Продолжительность периода согласовывается с аудитором с учётом потребностей пользователей отчёта; короткий период может не удовлетворить клиента. Завершение этого периода ещё не означает, что готовый отчёт будет выдан на следующий день.
Назначьте руководителя проекта, ответственных за сбор доказательств и предусмотрите резерв времени на устранение недостатков. Письменно согласуйте с клиентом временные условия, срок действия исключения и порядок действий в случае задержки. Не заявляйте, что компания уже прошла аудит, пока соответствующий отчёт не получен.
Начните с требований заказчика
Отправьте компании «Систем Менеджмент» запрос клиента и анкету безопасности для консультации по подготовке к SOC 2. Мы разберём требования, целесообразность Type I, переходный пакет доказательств и план подготовки к Type II. Решение о приемлемости альтернативы остаётся за заказчиком.
