Cos'è SOC 2?

Cosa comprende

System and Organization Controls (SOC) è una suite di servizi di rendicontazione dell’AICPA, l’Istituto americano dei dottori commercialisti certificati. Un rapporto SOC 2 copre i controlli di un’organizzazione di servizi che sono rilevanti per una o più di cinque categorie di servizi fiduciari: sicurezza, disponibilità, integrità dell’elaborazione, riservatezza e privacy. La sicurezza è la base, e le altre quattro si aggiungono quando contano per il servizio.

L’AICPA descrive gli incarichi SOC come servizi che i CPA forniscono, secondo standard professionali che l’AICPA stabilisce. Il rapporto è quindi opera di un revisore indipendente, non una dichiarazione del fornitore su se stesso. Contiene il parere del revisore, la descrizione del sistema da parte della direzione, i controlli inclusi e i risultati dei test, comprese eventuali eccezioni.

Ce ne sono due tipi. Un rapporto di Tipo I esamina se i controlli erano adeguatamente progettati in un solo momento. Un rapporto di Tipo II verifica inoltre se i controlli hanno operato efficacemente in un periodo dichiarato, ed è per questo che gli acquirenti di solito chiedono il Tipo II.

Cosa richiede

Nessuna legge richiede un rapporto SOC 2. Le aziende lo ottengono volontariamente, di solito perché i clienti lo chiedono nelle verifiche di sicurezza, e il quadro non assegna un voto di superato o non superato. Il rapporto descrive cosa è stato esaminato e cosa ha trovato il revisore. «Certificato SOC 2» è un’espressione comune ma imprecisa, perché non viene emesso alcun certificato.

Cosa significa per un agente vocale

Un agente vocale fa passare per più sistemi la voce, i nomi, i dati dei conti e a volte le informazioni sanitarie o di pagamento di chi chiama. Un rapporto SOC 2 è uno dei modi più rapidi per vedere come un fornitore gestisce il controllo degli accessi, la gestione delle modifiche, il logging e la risposta agli incidenti. Quando se ne legge uno, si verifichino questi punti:

• Quale sistema e quali servizi sono inclusi. Un rapporto sulla dashboard web di un’azienda può non coprire il suo percorso audio in tempo reale.
• Il periodo testato, e se è recente. Un intervallo tra la fine del periodo e oggi può richiedere una bridge letter.
• Quali categorie di servizi fiduciari sono incluse. La sicurezza da sola dice poco sulla riservatezza o sulla privacy.
• Le eccezioni e il parere del revisore, non solo la copertina.
• Se i subfornitori del fornitore, come un hosting cloud, sono esclusi dal rapporto.
• Chi ha firmato il rapporto. Un rapporto è credibile quanto lo studio che lo ha firmato.

Un rapporto SOC 2 è una prova, non un sostituto di altri obblighi. Non sostituisce un accordo di business associate ai sensi di HIPAA, un accordo sul trattamento dei dati ai sensi del GDPR, né una valutazione PCI quando sono coinvolti dati di carte (PCI DSS). Non dice nemmeno per quanto tempo si conserva l’audio, che è una scelta di configurazione descritta in zero data retention. Per una lista di controllo d’acquisto, si legga la guida sull’IA vocale on-premise.

Domande da porre al consulente legale

1. Un rapporto SOC 2 basta per i nostri contratti con i clienti o chiedono altro?
2. Quali categorie e quali servizi devono essere inclusi per il nostro caso d’uso?
3. Cosa facciamo per il periodo tra la data di fine di un rapporto e la nostra data di avvio?
4. Come dobbiamo trattare le eccezioni annotate dal revisore?
5. Possiamo condividere il rapporto del fornitore con i nostri clienti, e a quali condizioni?

Termini correlati

• HIPAA
• GDPR
• PCI DSS
• Zero data retention

Guide

• IA vocale on-premise: cos'è e come funziona

Fonti

• AICPA and CIMA, System and Organization Controls (SOC) suite of services