SOC 2 — audyt i zgodność Trust Services Criteria
Dwudniowe szkolenie z przygotowania do audytu SOC 2: pięć kryteriów Trust Services Criteria (bezpieczeństwo, dostępność, integralność przetwarzania, poufność, prywatność), różnica między raportem Type I i Type II oraz budowa środowiska kontrolnego gotowego na audyt.
SOC 2 jako przepustka na rynek enterprise
Dla dostawcy usług SaaS lub chmurowych raport SOC 2 przestał być wyróżnikiem, a stał się warunkiem wejścia — klienci enterprise coraz częściej żądają go przed powierzeniem swoich danych. Szkolenie zaczyna od wyjaśnienia, czym dokładnie jest SOC 2, kto go oczekuje i jak dobrać zakres raportu do charakteru usługi, zanim organizacja zainwestuje w kosztowny proces audytu.
Od projektu kontroli do dowodów skuteczności
Kluczowa różnica między raportem Type I a Type II to różnica między “kontrole są zaprojektowane” a “kontrole działały przez cały okres obserwacji”. Warsztat prowadzi przez budowę środowiska kontrolnego mapowanego na pięć kryteriów TSC oraz przez zbieranie i utrzymanie dowodów, których audytor będzie wymagał w okresie obserwacji.
Synergia z istniejącymi wdrożeniami
Organizacje, które wdrożyły już ISO 27001, nie zaczynają od zera — wiele kontroli można ponownie wykorzystać. Ostatni moduł szkolenia pokazuje, jak zmapować istniejące wdrożenia bezpieczeństwa na wymogi SOC 2 i zbudować realistyczny harmonogram dojścia do audytu, unikając dublowania pracy.
Korzyści
- Zrozumienie struktury SOC 2 i pięciu kryteriów Trust Services Criteria (TSC)
- Rozróżnienie raportów SOC 2 Type I i Type II oraz dobór właściwego dla organizacji
- Zaprojektowanie i udokumentowanie kontroli spełniających kryterium bezpieczeństwa (Common Criteria)
- Przygotowanie organizacji do audytu: zebranie dowodów, okres obserwacji i współpraca z audytorem
Dla kogo jest to szkolenie?
Wymagania wstępne
- Podstawowa znajomość procesów IT i zarządzania bezpieczeństwem informacji
Program szkolenia
Wprowadzenie do SOC 2 i Trust Services Criteria
- SOC 2 jako standard AICPA — cel i odbiorcy raportu
- Pięć kryteriów TSC: bezpieczeństwo, dostępność, integralność przetwarzania, poufność, prywatność
- Kryterium bezpieczeństwa (Common Criteria) jako obowiązkowy fundament każdego raportu
- Dobór zakresu: które kryteria włączyć w zależności od charakteru usługi
Raport Type I vs Type II
- Type I — ocena projektu kontroli w danym momencie
- Type II — ocena skuteczności działania kontroli w okresie obserwacji (zwykle 3-12 miesięcy)
- Który raport wybrać na starcie i jak zaplanować ścieżkę do Type II
- Oczekiwania klientów enterprise i rola raportu w procesie zakupowym
Budowa środowiska kontrolnego
- Mapowanie kontroli na kryteria TSC i identyfikacja luk
- Kontrole dostępu, zarządzanie zmianą, monitorowanie i reagowanie na incydenty
- Zarządzanie ryzykiem dostawców i podwykonawców (subservice organizations)
- Dokumentacja polityk i procedur wymagana przez audytora
Przygotowanie i przebieg audytu
- Zbieranie dowodów (evidence) i utrzymanie ich w okresie obserwacji
- Współpraca z niezależnym audytorem (CPA) i zakres jego badania
- Typowe wyjątki (exceptions) w raporcie i jak je ograniczać
- Utrzymanie zgodności między audytami i przygotowanie do kolejnego cyklu
Formy realizacji
Online
- Wygoda uczestnictwa z dowolnego miejsca
- Interaktywne sesje na żywo z trenerem
- Materiały dostępne przez 30 dni
- Brak kosztów dojazdu
Stacjonarnie
- Bezpośredni kontakt z trenerem i grupą
- Intensywne warsztaty praktyczne
- Networking z innymi uczestnikami
- Pełne skupienie na nauce
Najczęściej zadawane pytania
Czym jest SOC 2 i kto go potrzebuje?
SOC 2 to standard raportowania opracowany przez AICPA (American Institute of Certified Public Accountants), oceniający kontrole organizacji usługowej w odniesieniu do pięciu kryteriów Trust Services Criteria. Jest de facto wymogiem dla dostawców usług SaaS i chmurowych obsługujących klientów enterprise, szczególnie na rynku amerykańskim — klienci żądają raportu SOC 2 przed powierzeniem swoich danych. Na szkoleniu ustalamy, czy i jaki raport SOC 2 jest potrzebny Twojej organizacji.
Jaka jest różnica między SOC 2 Type I a Type II?
Raport Type I ocenia, czy kontrole są odpowiednio zaprojektowane w konkretnym momencie, natomiast Type II ocenia, czy kontrole rzeczywiście skutecznie działały przez cały okres obserwacji (zwykle od 3 do 12 miesięcy). Type II ma znacznie większą wartość dla klientów, bo potwierdza operacyjną skuteczność, nie tylko projekt. Na szkoleniu pomagamy zdecydować, od którego zacząć.
Które z pięciu kryteriów TSC musimy uwzględnić?
Kryterium bezpieczeństwa (Common Criteria) jest obowiązkowe w każdym raporcie SOC 2. Pozostałe cztery — dostępność, integralność przetwarzania, poufność i prywatność — są opcjonalne i włączane w zależności od charakteru usługi i oczekiwań klientów. Na warsztacie pomagamy dobrać właściwy zakres, aby raport był wiarygodny, a jednocześnie nie obejmował niepotrzebnie szerokiego zakresu kontroli.
Ile trwa przygotowanie do audytu SOC 2?
Zależy od dojrzałości istniejącego środowiska kontrolnego, ale typowa ścieżka do raportu Type II obejmuje kilka miesięcy: zaprojektowanie i wdrożenie brakujących kontroli, a następnie okres obserwacji (zwykle 3-12 miesięcy), w którym audytor ocenia ich skuteczność. Na szkoleniu pomagamy zbudować realistyczny harmonogram dojścia do audytu dopasowany do punktu startowego organizacji.
Czym SOC 2 różni się od ISO 27001?
Oba standardy dotyczą bezpieczeństwa informacji, ale różnią się podejściem: ISO 27001 to certyfikacja systemu zarządzania bezpieczeństwem informacji (ISMS) uznawana międzynarodowo, natomiast SOC 2 to raport z niezależnej oceny kontroli, szczególnie oczekiwany na rynku amerykańskim. Wiele organizacji wdraża oba. Na szkoleniu omawiamy, jak wykorzystać istniejące wdrożenie ISO 27001 do przyspieszenia przygotowania do SOC 2.
Poproś o ofertę
Możliwości dofinansowania
Sprawdź możliwości dofinansowania dla Twojej firmy
Baza Usług Rozwojowych
Instrument dla mikro, małych i średnich firm — sprawdź, czy dotyczy Twojej organizacji
Sprawdź dostępnośćKrajowy Fundusz Szkoleniowy
Instrument dla pracodawców — pomagamy sprawdzić, czy da się go zastosować
Dowiedz się więcejZaufali nam
Szkolimy zespoły największych polskich firm
Zainteresowany tym szkoleniem?
Skontaktuj się z nami - przygotujemy ofertę dopasowaną do potrzeb Twojego zespołu.