Kategori: Cybersäkerhet

Home / Cybersäkerhet
jul202019

Checklista SOC 2

Checklista SOC 2

Om du är en serviceorganisation och dina kunder anförtror dig deras data kan du behöva genomgå en SOC 2-revision för att sälja dina produkter. Dina kunder kan nu kräva en revisionsberättelse från dig, eller så kan branschregler kräva det. Du kan behöva tillhandahålla bevis på SOC 2-överensstämmelse för att visa att de uppgifter som anförtros dig är väl skyddade.

Här är en checklista för SOC 2-efterlevnad inför nästa revision för att skydda dina kunders data och ditt företags intressen.


1. Definiera dina mål.

SOC 2-överensstämmelse kan hjälpa organisationer som behandlar kunddata för andra företag att stärka sitt rykte, sina finansiella rapporter och sin stabilitet genom att dokumentera, utvärdera och förbättra sina interna kontroller. SOC 2-rapporter kan erbjuda en konkurrensfördel genom att avslöja sätt att arbeta mer effektivt och säkert, och du kan lyfta fram dessa styrkor när du marknadsför och säljer dina tjänster:

  • Övervakning av organisationen
  • Program för leverantörshantering
  • Intern bolagsstyrning och riskhanteringsprocesser
  • Lagstadgad tillsyn
  • Bestäm vad du ska testa och varför.

2. Välj rätt Trust Services-principer att testa.

SOC 2-revisioner bedömer de interna kontrollerna hos en serviceorganisation som är relevanta för följande fem principer eller kriterier för förtroendetjänster, enligt AICPA:

Säkerhet: Information och system skyddas mot obehörig åtkomst, obehörigt röjande av information och skador som kan äventyra informationens eller systemens tillgänglighet, integritet, konfidentialitet och sekretess.

  1. Tillgänglighet: Information och system är tillgängliga för drift och användning.
  2. Bearbetningens integritet: Systembehandlingen är fullständig, giltig, korrekt, sker i rätt tid och är auktoriserad.
  3. Konfidentialitet: Information som betecknas som konfidentiell skyddas.
  4. Sekretess: Personuppgifter samlas in, används, bevaras, lämnas ut och kasseras på lämpligt sätt.

3. Välj rätt rapport.

Det finns två typer av SOC 2-rapporter: SOC 2 typ 1 och SOC 2 typ 2. Vilken typ av rapport du behöver beror på dina specifika krav och mål.

En SOC 2 typ 1-rapport är ett snabbt och effektivt sätt att säkerställa att dina data är säkra och att kommunicera detta till dina kunder. En SOC 2 typ 2-rapport kan ge mer säkerhet genom att granska dina kontroller mer ingående och under en längre period.

4. Bedöm din beredskap.

Att förbereda sig för en SOC 2-revision kan vara överväldigande, särskilt om du gör det för första gången. Du har många kontroller att välja mellan och du måste uppfylla många dokumentationskrav.

Att börja med en beredskapsbedömning kan förbättra effektiviteten i din SOC 2-rapport genom att hjälpa dig att identifiera luckor i kontrollramverket. Genom att fastställa de policyer och rutiner som ni har infört innan revisionen påbörjas kan ni granska alla kontroller i förväg. Sedan kan du se vad som behöver göras för att klara varje test som är kopplat till revisionen.

Att klara en SOC 2-revision är en utmaning, men det behöver inte vara stressigt. Genom att granska denna checklista för SOC 2-överensstämmelse innan du börjar kan du bevisa att dina kunders data är säkra, så att ditt företag kan fortsätta att göra det som det gör bäst.

jul202019

Utmaningar och möjligheter med ISAE 3000 | SOC 2

Utmaningar och möjligheter för

ISAE 3000 | SOC 2

Utmaningar

Att genomgå en ISAE 3000- eller SOC 2-revision innebär vissa utmaningar. Utmaningarna varierar dock från företag till företag, men detta är de vanligaste.

Anställdas investering

För många företag är det en utmaning att genomföra en ISAE 3000- eller SOC 2-revision eftersom det kräver en betydande investering av medarbetarnas tid. Ofta avbryts det normala arbetsflödet för att genomgå revisionen i flera veckor. Det betyder att det kräver tid och pengar från ett företag. Processen innebär ofta en påtaglig press på organisationen när den ska svara på revisionsförfrågningar och justera befintlig dokumentation och rutiner. Risklane kan dock hjälpa till med detta, vilket ofta sparar tid och kostnader för företaget.

Finansiell investering

ISAE 3000 | SOC 2-revisioner är inte billiga. I det nedre segmentet kan investeringen vara enorm. Andra kostnadsfaktorer är till exempel tilläggstjänster som tredjepartsskanning och penetrationstestning samt bakgrundskontroller av anställda. Vissa kundförfrågningar kan behöva skjutas upp medan teamet fokuserar på revisionen. Eftersom Risklane besitter mer kunskap och erfarenhet om revisionen kan detta vara kostnadseffektivt.

Möjligheter

Möjligheterna är dock större än utmaningarna.

ISAE 3000 | SOC 2-rapporter används av organisationer som ett marknadsföringsverktyg. Genom ISAE 3000 | SOC 2 vet nya och befintliga kunder direkt att de har att göra med en pålitlig part. Organisationer som inte har sådan rapportering kan gå miste om betydande nya möjligheter.

  1. Implementeringen har en positiv inverkan på riskhanteringens kvalitet.
  2. Kundernas förtroende ökar för att riskerna hanteras på ett effektivt sätt.
  3. IT-förfrågningar från partners och kunder kan besvaras effektivare.
  4. Möjligheter uppstår för att locka nya kunder och behålla befintliga.
jul202019

Resebyråer måste vara ISAE 3000 | SOC 2-kompatibla

Resebyråer måste vara

ISAE 3000 | SOC 2-kompatibla

De flesta företag tänker på SaaS-företag när de tänker på efterlevnad av ISAE 3000 | SOC 2. De flesta företag i resebranschen (SaaS eller inte) behöver dock samla in och lagra konsumentdata i viss utsträckning. Så om företaget hanterar en databas – stor eller liten – måste företaget implementera de senaste och mest effektiva cybersäkerhetsprotokollen.

ISAE 3000 | SOC 2-rapporter är avgörande för resebranschen i dessa turbulenta tider. Resor i sig utgör en risk för många människor, eftersom spridningen av covid-19 fortfarande är ett problem i flera länder världen över. Det sista konsumenterna behöver är något mer att oroa sig för när de reser. Lyckligtvis kan ISAE 3000- och SOC 2-efterlevnad lugna kunderna, eftersom de känner sig trygga med att deras data är säkra.

Slutligen är det viktigt att komma ihåg att de flesta resebyråer måste samarbeta med statliga myndigheter. Många av dessa myndigheter ålägger privata företag att implementera säkerhetsprotokoll för att skydda konsumenterna från cyberattacker. Om du driver en resebyrå som måste följa de säkerhetsstandarder som fastställts av den statliga regeringen, säkerställer en ren ISAE 3000 | SOC 2-rapport att du inte bryter mot lagliga direktiv.

Så oavsett om du driver en multinationell resebyrå eller ett litet fysiskt företag bör du överväga att bli ISAE 3000- eller SOC 2-certifierad. En ren ISAE 3000- eller SOC 2-rapport lugnar dina kunder och visar att du prioriterar datasäkerhet. Detta kan inte bara stärka ditt varumärke och öka dina intäkter utan också bidra till att förhindra ett kostsamt och katastrofalt dataintrång längre fram.

maj82019

Outsourcing genom historien

Outsourcing genom historien

Stordriftsfördelar

Sedan den industriella revolutionen har organisationer funderat på hur de kan utnyttja sina konkurrensfördelar för att expandera marknader och öka vinsterna. Den dominerande modellen under 1800- och 1900-talen var den stora integrerade organisationen. Under 1950- och 1960-talen breddade företagen sina baser för att dra nytta av stordriftsfördelar.

Den stora integrerade organisationen diversifierade sitt produktsortiment, vilket krävde fler ledningsnivåer för expansioner. Tekniska framsteg som internet under 1980- och 1990-talen tvingade organisationer att globalisera mer och hindrades av oflexibilitet på grund av uppblåsta ledningsstrukturer. För att öka flexibiliteten har många stora organisationer utvecklat en strategi som fokuserar på deras kärnverksamhet och kärnprocesser.

Principal-agent-problem

Fokuseringen på kärnprocesserna ledde till diskussioner om vilka processer som var väsentliga och avgörande för kontinuiteten i verksamheten och vilka som kunde läggas ut på externa tjänsteleverantörer. Processer eller funktioner som saknade interna resurser lades ut på specialiserade byråer eller tjänsteleverantörer. Följaktligen utvecklades principal-agent-problemet mellan användarorganisationer och serviceorganisationer, och principal-agent-teorin och relaterad informationsasymmetri fick ökad betydelse i takt med outsourcingens tillväxt.

Informationsasymmetri

Det vanligaste agentförhållandet inom den finansiella sektorn uppstår mellan investerare (eller aktieägare) och ledningen för ett företag. Huvudmannen kanske inte känner till agentens verksamhet eller så kan agenten förbjuda honom eller henne att inhämta information. Resultatet blir en informationsasymmetri mellan uppdragsgivaren och agenten. Exempelvis kan ledningen vilja investera i tillväxtekonomier samtidigt som huvudmannens risktolerans är ogynnsam. Denna förvaltningsstrategi kan komma att gå ut över den kortsiktiga lönsamheten, öka bolagets risker och potentiellt leda till högre avkastning i framtiden. Investerare som söker hög löpande kapitalavkastning med låg risk kanske inte känner till dessa förvaltningsplaner. Om konsekvensen av denna förvaltningsstrategi leder till vissa förluster kan ledningen vara benägen att inte lämna ut denna information till aktieägarna. Utvecklingen av redovisningsyrket var en viktig global utveckling för att mildra agentproblemet.

Risk- och resursplanering

Som framgår ovan kan det uppstå situationer där ombudet avser att allokera vissa av investerarnas resurser till högriskinvesteringar. Agenten är beslutsfattaren och bär liten eller ingen risk eftersom alla förluster bärs av huvudmannen. Denna situation kan uppstå när aktieägare bidrar med finansiellt stöd till ett företag som ledningen använder efter eget gottfinnande. Ombudet kan ha en annan risktolerans än investerarna på grund av ojämn riskfördelning. Alternativt kan medarbetarna välja att investera sin energi i ett projekt som inte har några långsiktiga fördelar för organisationen. Ledningen är ansvarig för organisationens finansiella situation och kan vara omedveten om att medarbetarna fokuserar på fel mål.

Finansiella konsekvenser

Om huvudmannen är en investerare eller aktieägare i en organisation är huvudmannens intressen inriktade på att optimera avkastningen på investeringarna. Avkastningen från investeringar delas ut som utdelningar till investerare på kort eller lång sikt. Principerna är inriktade på att optimera den (långsiktiga) direktavkastningen. Att betala höga utdelningar till huvudmännen begränsar investeringsmöjligheterna eller kan orsaka kassaflödesproblem för organisationens ledning. Huvudmän och ombud har motstående ekonomiska intressen i detta avseende.

Agentteorin är också relevant i förhållandet mellan ledning och medarbetare. Medarbetarna har ett intresse av att öka sin personliga lön och sin personliga tillfredsställelse med minimal ansträngning. Ledningen strävar efter att optimera produktions- eller försäljningsvolymerna till lägsta möjliga arbetskostnad. I detta sammanhang förekommer även informationsasymmetri i form av att ledningen inte har fullständig förståelse för medarbetarnas dagliga arbete. Ledningen kommer sannolikt att implementera budgeteringsmekanismer och kontroller för att optimera de anställdas aktiviteter för organisationens syfte. Agentteorin är också relevant i outsourcing-situationer.

Agentteori inom outsourcing

I allmänna termer avser agentteorin alla relationer mellan två parter där den ena parten är huvudmannen och den andra är agenten som representerar huvudmannen i transaktioner med tredje part. Agentförhållanden uppstår när uppdragsgivare anlitar agenter för att utföra en tjänst för uppdragsgivarens räkning. Huvudmännen delegerar vanligtvis beslutanderätten till agenter. Eftersom avtal och beslut med tredje part fattas av agenten på uppdrag av huvudmannen kan agentproblem uppstå.

I en situation där aktiviteter outsourcas från en användarorganisation till en serviceorganisation är agentteorin relevant för alla de aspekter som beskrivs; informationsasymmetri, risktolerans och engagerade resurser. Ett finansinstitut outsourcar till exempel IT-tjänster till en leverantör av managed services. Leverantören av managed services saknar insikt i institutets risktolerans och kan besluta att säkerhetskopiering varje vecka är acceptabelt eller att lagring av data utanför EU är acceptabelt. Tjänsteleverantören kanske inte informerar organisationen om driftstopp för vissa servrar om detta nätverksavbrott inte identifieras av finansinstitutet. Serviceorganisationen kan också vara benägen att minimera resurserna för att utföra aktiviteter och samtidigt försöka öka de erhållna avgifterna. En serviceorganisation kan ha en annan tolerans för bedrägerier eller kan själv ägna sig åt bedrägerier. Inom pensionssektorn kan kapitalförvaltare tjäna på att fronta transaktioner från pensionsfonder. Detta leder till det principal-agent-problem som beskrivs ovan.