Che differenza c’è tra un rapporto SOC 2 Type 1 e Type 2?

Un rapporto Type 1 verifica se i controlli sono progettati in modo adeguato e attivi in una certa data; un rapporto Type 2 verifica anche se hanno funzionato efficacemente per un periodo, di solito diversi mesi. Il Type 1 risponde a “ha i controlli giusti in questa data?”, il Type 2 a “hanno davvero funzionato per tutto il tempo?”, ed è per questo che i clienti che dipendono da un fornitore di solito lo preferiscono. Un Type 2 richiede prove raccolte per l’intero periodo: riesami degli accessi fatti nei tempi, modifiche approvate prima del rilascio, incidenti gestiti come prevede la procedura, alert di monitoraggio esaminati. Spesso un’azienda parte dal Type 1 per sistemare la progettazione, poi gestisce i controlli e raccoglie le prove per un Type 2. Leggendo l’uno o l’altro, controlli le date, il perimetro, i criteri coperti e ogni eccezione elencata dal revisore, e chieda come è stata corretta. NetSenX dichiara apertamente la propria situazione: il SOCSOC: security operations centre (centro operativo di sicurezza). Un team, spesso attivo 24 ore su 24, che individua gli attacchi e risponde. 2 Type I è in preparazione, non è stato emesso alcun rapporto SOC 2 di nessun tipo, e un Type II seguirebbe quando i controlli avranno funzionato per un periodo.

← Tutte le 15 domande su Standard di sicurezza: ISO 27001, SOC 2Tutti i temi