Системы и организационные контроли

Критерии доверенных услуг разрабатывались с акцентом на гибкость применения, чтобы позволить организациям реализовывать уникальные комплексы контролей в соответствии с их индивидуальными рисками и угрозами. Это отличает их от других контрольных структур, где предписаны конкретные меры, независимо от их релевантности в каждой ситуации. Применение критериев доверенных услуг в практике требует суждения относительно их применимости. Критерии используются при «оценке надёжности проектирования и эффективности работы контролей, связанных с безопасностью, доступностью, целостностью обработки, конфиденциальностью или приватностью информации и систем, используемых для предоставления продукта или сервисов» (AICPA — ASEC).

Структура критериев доверенных услуг согласована с 17 принципами COSO и включает дополнительные подкритерии, сгруппированные по направлениям: логический и физический доступ, эксплуатация систем, управление изменениями и снижение рисков. Дополнительные критерии являются общими для всех категорий — Общие критерии (CC), а также присутствуют специ­фические критерии для таких категорий, как доступность, целостность обработки, конфиденциальность и приватность.

Общие критерии обозначаются как: контрольная среда (CC1.x), информация и коммуникация (CC2.x), оценка рисков (CC3.x), мониторинг контроля (CC4.x) и контрольные мероприятия, связанные с проектированием и внедрением контролей (CC5.x). Общих критериев достаточно для оценки критерия безопасности, однако существуют дополнительные критерии по категориям: доступность (A.x), целостность обработки (PI.x), конфиденциальность (C.x) и приватность (P.x). Критерии для каждой выбранной категории считаются выполненными, если реализованы все, относящиеся к данной категории.

Отчёты SOC 2 фокусируются на контролях в рамках пяти частично пересекающихся категорий, известных как Критерии доверенных услуг, которые поддерживают классическую модель информационной безопасности — триаду «конфиденциальность-целостность-доступность» (CIA-triad):^[3]

1. Безопасность — информация и системы защищены от несанкционированного доступа, раскрытия и повреждений, которые могут нарушить доступность, конфиденциальность, целостность и приватность системы.
   • Межсетевые экраны
   • Системы обнаружения вторжений
   • Многофакторная аутентификация
2. Доступность — информация и системы доступны для операционного использования.
   • Мониторинг производительности
   • Восстановление после аварий
   • Реагирование на инциденты
3. Конфиденциальность — информация защищена и доступна только по обоснованной необходимости. Применяется к чувствительной информации различных видов.
   • Шифрование
   • Контроль доступа
   • Межсетевые экраны
4. Целостность обработки — обработка данных системой полна, корректна, точна, своевременна и авторизована.
   • Обеспечение качества
   • Мониторинг процессов
   • Соблюдение принципов
5. Приватность — персональные данные собираются, используются, хранятся, раскрываются и уничтожаются согласно политике. Приватность касается только персональных данных.
   • Контроль доступа
   • Многофакторная аутентификация
   • Шифрование

В октябре 2022 года Американский институт дипломированных общественных бухгалтеров (AICPA) выпустил обновлённое руководство. Основные пять критериев доверенных услуг остались неизменными, однако были пересмотрены «ключевые аспекты» (англ. points of focus) для адаптации к современным угрозам. Обновления включают усиление требований к оценке рисков, управлению данными и обеспечению приватности^[4][5][6].

Отдельного стандарта SOC для искусственного интеллекта не существует. Вместо этого для оценки систем искусственного интеллекта и облачных вычислений применяются существующие критерии с особым фокусом на защиту моделей от кражи, предотвращение отравления данных (англ. data poisoning) и внедрение принципов архитектуры «нулевого доверия» (англ. zero trust)^[7][8].

Существуют два уровня SOC-отчётов, определённых стандартом SSAE 18 (который был дополнен стандартом SSAE 21^[9]):^[10]

• Тип 1 — оценивает дизайн контролей на конкретную дату («срез» системы)^[11]. Отчёт описывает системы сервисной организации и то, насколько разработанные контроли соответствуют релевантным принципам доверия.
• Тип 2 — оценивает как дизайн, так и операционную эффективность контролей на протяжении определённого периода^[11]. Типичный и рекомендуемый период составляет от 6 до 12 месяцев^[12], однако развитие автоматизации смещает фокус на непрерывный мониторинг^[13].

Существует три типа отчётов SOC.

• SOC 1 — Внутренний контроль по вопросам финансовой отчётности (ICFR)
• SOC 2 — Критерии доверенных услуг^[14]
• SOC 3 — Критерии доверенных услуг для отчёта общего назначения

В дополнение к вышеперечисленным существуют специализированные отчёты. Отчёт SOC for Cybersecurity применяется для оценки программы управления киберрисками в масштабе всей организации и предназначен для широкого круга заинтересованных лиц^[15]. Отчёт SOC for Supply Chain предназначен для производителей и дистрибьюторов с целью оценки контролей в цепочке поставок^[16].

SOC 1 и SOC 2 предназначены для ограниченного круга пользователей — тех, кто обладает достаточным уровнем понимания рассматриваемой системы. SOC 3 сообщает обобщённые сведения и может распространяться для широкой публики.

Хотя в проведении проверки могут участвовать технические специалисты, право подписывать и выпускать итоговый отчёт об аттестации SOC 2 принадлежит исключительно лицензированным фирмам сертифицированных общественных бухгалтеров (CPA)^[17][18].

SOC 2-аудит обеспечивает формирование подробного отчёта о внутреннем контроле организации, составленного в соответствии с пятью критериями доверенных услуг. Он демонстрирует, насколько хорошо организация защищает данные клиентов и обеспечивает надёжность предоставляемых услуг. Отчёты SOC 2, как правило, предоставляются только заказчикам и иным заинтересованным сторонам^[19].

Использование автоматизированных платформ комплаенса сопряжено с рядом рисков, среди которых выделяется проблема «чрезмерного доверия» (over-reliance) к инструментам. Это может приводить к выпуску шаблонных отчётов и снижению роли независимого профессионального суждения аудитора. Для борьбы с этими рисками Американский институт сертифицированных общественных бухгалтеров (AICPA) усилил контроль за качеством аудитов через процедуру экспертной оценки (Peer Review)^[20][21][22].

Кроме того, в современной аудиторской практике значительно усилены требования к оценке рисков, связанных со сторонними поставщиками (vendor risk management), что требует их непрерывного мониторинга^[23][24].