Czym różni się raport SOC 2 Type 1 od Type 2?

Raport Type 1 sprawdza, czy zabezpieczenia są właściwie zaprojektowane i wdrożone w jednym momencie; raport Type 2 dodatkowo bada, czy działały skutecznie przez pewien okres, zwykle kilka miesięcy. Type 1 odpowiada na pytanie „czy w tym dniu masz właściwe zabezpieczenia?”, a Type 2 na pytanie „czy naprawdę działały przez cały czas?”, dlatego klienci polegający na dostawcy zwykle wolą ten drugi. Type 2 wymaga dowodów zbieranych przez cały okres: przeglądów uprawnień wykonanych zgodnie z harmonogramem, zmian zatwierdzonych przed wdrożeniem, incydentów obsłużonych zgodnie z procedurą, przejrzanych alertów monitoringu. Firmy często zaczynają od Type 1, by uporządkować projekt zabezpieczeń, a potem je stosują i zbierają dowody do Type 2. Czytając którykolwiek z nich, sprawdź daty, zakres, objęte kryteria i każde odstępstwo wymienione przez audytora oraz zapytaj, jak je usunięto. Status NetSenX podajemy wprost: SOCSOC: security operations centre (centrum operacji bezpieczeństwa). Zespół, często pracujący całą dobę, który wypatruje ataków i na nie reaguje. 2 Type I jest w przygotowaniu, nie wydano żadnego raportu SOC 2 żadnego typu, a Type II mógłby nastąpić, gdy zabezpieczenia będą działać przez pewien okres.

← Wszystkie pytania (15): Normy bezpieczeństwa: ISO 27001, SOC 2Wszystkie tematy