Konsultanci SOC 2 i zgodności bezpieczeństwa informacji

Konsultanci SOC 2 z Digiventi oceniają istniejące kontrole względem kryteriów AICPA Trust Services Criteria i przygotowują listę działań naprawczych. Analiza obejmuje badaną usługę oraz wspierające ją systemy, z uwzględnieniem istotnych zależności od dostawców zewnętrznych.

• Zakres i analiza luk: Sprawdzają projekt kontroli oraz dostępne dowody względem kryteriów bezpieczeństwa i pozostałych kategorii wybranych do badania.
• Plan działań naprawczych: Ustalają właścicieli kontroli i priorytety korekt. Określają przygotowania potrzebne do badania typu I lub okresu objętego badaniem typu II.

Inżynierowie bezpieczeństwa przekładają wyniki oceny gotowości na zmiany techniczne w środowisku klienta. Konfigurują dostęp zgodny z zasadą najmniejszych uprawnień i centralne rejestrowanie zdarzeń, między innymi w AWS oraz Microsoft Entra ID. Sprawdzają, czy wdrożone mechanizmy działają zgodnie z założeniami.

Konsultanci ds. zgodności bezpieczeństwa dokumentują procedury zatwierdzania dostępu i zarządzania zmianą zgodnie z rzeczywistą praktyką. Przy lukach dotyczących zarządzania podatnościami lub reagowania na incydenty wprowadzają śledzenie działań naprawczych oraz ćwiczenia reagowania. Zachowują zapisy potrzebne do testowania kontroli. Zakres wdrożenia wynika ze stwierdzonych luk.

Specjaliści ds. zgodności przypisują wymagane dowody do kontroli i sprawdzają, czy dokumentacja obejmuje właściwe systemy oraz daty badania. Porządkują materiały w istniejącym repozytorium klienta lub na platformie takiej jak Vanta czy Drata.

• Weryfikacja dowodów: Sprawdzają kompletność przeglądów uprawnień i zapisów zmian, w tym historię zatwierdzeń oraz powiązania z kontrolami. Wskazują braki przed przekazaniem materiałów.
• Koordynacja audytu: Przygotowują właścicieli kontroli do omówienia ich działania i śledzą obsługę pytań audytora. Niezależna firma audytorska CPA przeprowadza badanie SOC 2 oraz wydaje raport; eksperci Digiventi wspierają przygotowania i usuwanie luk.

Konsultanci ds. zgodności bezpieczeństwa wspierają regularne wykonywanie kontroli po początkowej ocenie gotowości. Koordynują okresowe przeglądy uprawnień i oceny ryzyka dostawców. Rejestrują wyjątki wraz z osobami odpowiedzialnymi oraz uzgodnionymi działaniami naprawczymi.

Przy przygotowaniach do badania typu II sprawdzają ciągłość dowodów w okresie objętym badaniem i wyjaśniają pominięte działania kontrolne. Po zmianach infrastruktury lub zakresu usługi aktualizują opisy kontroli oraz przypisane dowody. W uzasadnionych przypadkach mapują wspólne kontrole na wymagania ISO/IEC 27001, zachowując odrębne wymagania oceny dla obu standardów.