SOC 2, ISO 27001, dan GDPR: Apa yang Setiap Satu Sebenarnya Merangkumi bagi Pembeli

Pengarah perolehan itu mempunyai senarai semak. Ia mempunyai dua item pada baris pematuhan: "mematuhi SOC 2" dan "mematuhi GDPR." Setiap vendor yang mereka nilai menanda kedua-dua kotak. Pengarah itu berasa yakin. Kemudian pihak undang-undang menandai bahawa pematuhan GDPR vendor itu merujuk kepada polisi privasi yang lapuk, bukan Perjanjian Pemprosesan Data yang ditandatangani. Dan sehingga IT menunjukkan bahawa SOC 2 itu merangkumi skop yang mengecualikan integrasi yang mereka beli.

Masalahnya bukan ketidakjujuran. Masalahnya adalah bahawa "mematuhi SOC 2" dan "mematuhi GDPR" adalah frasa yang boleh tepat secara teknikal sambil menyembunyikan jurang yang ketara. Vendor boleh mempunyai pensijilan SOC 2 untuk produk teras mereka tetapi tidak untuk modul AI yang anda gunakan. Vendor boleh mematuhi GDPR dalam erti kata mereka telah menerbitkan polisi privasi tanpa mematuhi GDPR dalam erti kata mereka telah menandatangani DPA yang mengikat secara undang-undang dengan anda.

Ketiga-tiga kerangka ini adalah pensijilan dan undang-undang dari jenis yang berbeza. Ia tidak menggantikan satu sama lain. Ia tidak bertindih seperti yang diimplikasikan oleh kotak semak. Dan vendor kerap menekankan yang mereka miliki sambil menutup jurang dalam yang mereka tidak miliki.

Panduan ini menjelaskan apa yang setiap kerangka sebenarnya merangkumi dan cara menggunakan pengetahuan itu dalam perbincangan dengan vendor.

Fakta Utama: Landskap Pematuhan untuk Pembeli Mid-Market

• SOC 2 Jenis 1 berbanding Jenis 2: Jenis 1 adalah gambar sekilas pada satu titik masa tentang reka bentuk kawalan; Jenis 2 mengaudit operasi kawalan sepanjang tetingkap pemerhatian 6 hingga 12 bulan. Jenis 2 adalah lalai perolehan enterprise; laporan Jenis 1 paling biasa dilihat pada vendor dalam tempoh 12 bulan dari audit pertama mereka.
• Penggunaan global ISO 27001: Tinjauan ISO melaporkan kira-kira 71,549 sijil ISO/IEC 27001 yang sah di seluruh dunia dalam edisi terbaru, dengan UK, Jepun, dan India memimpin bilangan sijil. Penembusan di kalangan vendor SaaS AS kekal lebih rendah daripada SOC 2.
• Preseden denda GDPR: Denda Meta sebanyak 1.2 bilion Euro pada Mei 2023 (DPC Ireland) untuk pemindahan data EU-AS yang menyalahi undang-undang kekal sebagai rekod. Amazon (746 juta Euro, 2021), Instagram (405 juta Euro, 2022), dan TikTok (345 juta Euro, 2023) semuanya telah melebihi sembilan angka. GDPR adalah satu-satunya daripada tiga kerangka yang mempunyai gigi kewangan langsung.
• Permintaan pembeli: RFP industri terkawal (perkhidmatan kewangan, penjagaan kesihatan, kerajaan) menganggap SOC 2 Jenis 2 sebagai wajib; bahagian yang bermakna pembeli enterprise juga menuntut ISO 27001 bersamanya. DPA GDPR adalah keperluan asas untuk mana-mana vendor yang memproses data pemastautin EU.
• Jurang notis pelanggaran: GDPR mewajibkan notis pengawal selia dalam 72 jam. SOC 2 dan ISO 27001 memerlukan proses tindak balas insiden tetapi tidak menetapkan jam notis pelanggan yang tetap. DPA adalah tempat anda merundingkan jadual itu.

Gambaran Keseluruhan Kerangka: Apa yang Sebenarnya Anda Bandingkan

Perbezaan utama: SOC 2 dan ISO 27001 adalah pensijilan sukarela yang vendor peroleh melalui audit atau penilaian pihak ketiga. GDPR adalah keperluan undang-undang. Tidak kira sama ada vendor telah mendapatkan pensijilan: jika mereka memproses data peribadi EU, mereka tertakluk kepadanya.

Peta Liputan Pematuhan

Peta Liputan Pematuhan adalah model mental sisi pembeli yang menetapkan setiap kerangka kepada permukaan risiko khusus yang sebenarnya ditangani: SOC 2 merangkumi kawalan keselamatan operasi AS dan merupakan garis asas untuk perolehan Amerika Utara; ISO 27001 merangkumi postur pengurusan keselamatan maklumat antarabangsa dan memberi isyarat kematangan kepada pembeli Eropah dan Asia Pasifik; sementara GDPR (melalui DPA yang ditandatangani) merangkumi pemprosesan data peribadi EU dan merupakan satu-satunya kerangka yang merangkumi keperluan kediaman data, pemindahan yang sah, dan hak subjek data. Gunakan peta untuk mengenal pasti jurang: vendor dengan SOC 2 Jenis 2 tetapi tanpa DPA tidak dilindungi untuk data EU; vendor dengan ISO 27001 tetapi tanpa SOC 2 mungkin tertahan dalam semakan enterprise AS; vendor dengan DPA tetapi tanpa pengesahan keselamatan mempunyai dokumentasi undang-undang tanpa kawalan yang disahkan. Anda memerlukan kombinasi yang sepadan dengan aliran data anda, bukan yang vendor pasarkan.

SOC 2: Apa yang Diliputi dan Apa yang Tidak

Apa Sebenarnya SOC 2

SOC 2 (System and Organization Controls 2) adalah piawaian pengauditan yang dibangunkan oleh American Institute of CPAs (AICPA). Laporan SOC 2 dihasilkan oleh firma CPA bebas yang telah mengkaji semula kawalan vendor terhadap Kriteria Perkhidmatan Amanah.

Terdapat dua jenis laporan SOC 2:

Jenis I: Penilaian pada satu titik masa. Juruaudit mengesahkan bahawa kawalan vendor direka dengan sesuai pada tarikh tertentu. Ini adalah gambar sekilas. Ia memberitahu anda kawalan itu wujud pada hari itu.

Jenis II: Penilaian tempoh merangkumi 6 hingga 12 bulan. Juruaudit mengesahkan bahawa kawalan bukan sahaja direka dengan sesuai tetapi beroperasi dengan berkesan dari masa ke masa. Ini adalah piawaian yang perlu anda wajibkan.

Lima Kriteria Perkhidmatan Amanah

Laporan SOC 2 boleh merangkumi satu atau lebih kriteria berikut:

Kebanyakan vendor hanya merangkumi Keselamatan dan Ketersediaan. Ini penting kerana kriteria Kerahsiaan dan Privasi adalah yang mengawal cara vendor mengendalikan data anda melampaui kawalan akses asas. Jika anda memasukkan data pelanggan sensitif, data kewangan, atau data HR ke dalam alat, tanya secara khusus sama ada kriteria Kerahsiaan dan Privasi termasuk dalam skop. Proses semakan keselamatan penuh merangkumi cara mentafsirkan bahagian skop SOC 2 dan apa yang perlu dilakukan apabila laporan mengandungi pengecualian.

Apa yang TIDAK Diliputi SOC 2

• Integrasi pihak ketiga tertentu. Jika vendor menggunakan penyedia AI pihak ketiga, gudang data, atau alat analitik, komponen tersebut mungkin dikecualikan secara eksplisit dari skop SOC 2. Baca bahagian skop.
• Penggunaan anda terhadap produk. SOC 2 mengaudit kawalan vendor, bukan cara anda mengkonfigurasi produk. Jika anda telah menetapkan kebenaran atau tetapan perkongsian yang lemah, itu berada di luar skop.
• Postur hari ini. SOC 2 dari 14 bulan lalu mencerminkan keadaan vendor 14 bulan lalu. Perubahan kakitangan, perubahan infrastruktur, dan ciri produk baharu sejak itu tidak dilindungi.

Soalan yang Perlu Ditanya Berdasarkan SOC 2

1. Adakah laporan SOC 2 semasa anda Jenis I atau Jenis II?
2. Kriteria perkhidmatan amanah mana yang diliputi? Adakah ia merangkumi Kerahsiaan dan Privasi?
3. Apakah tempoh audit? Adakah laporan tahun semasa sedang dijalankan?
4. Bolehkah saya mengkaji bahagian skop laporan? Infrastruktur dan produk mana yang dikecualikan secara eksplisit?
5. Adakah terdapat sebarang pengecualian atau pendapat yang layak dalam laporan?
6. Sub-pemproses pihak ketiga mana yang termasuk dalam skop berbanding dikecualikan?

Bendera merah:

• Laporan Jenis I yang dibentangkan sebagai setara dengan Jenis II
• Laporan yang lebih dari 12 bulan tanpa audit semasa sedang dijalankan
• Skop yang mengecualikan produk atau modul khusus yang anda beli
• Enggan berkongsi laporan di bawah NDA

ISO 27001: Apa yang Diliputi dan Apa yang Tidak

Apa Sebenarnya ISO 27001

ISO 27001 adalah piawaian antarabangsa untuk Sistem Pengurusan Keselamatan Maklumat (ISMS), yang diterbitkan dan diselenggara oleh Pertubuhan Piawaian Antarabangsa (ISO). Pensijilan bermaksud vendor telah melaksanakan pendekatan berstruktur yang didokumenkan untuk mengurus risiko keselamatan maklumat, merangkumi polisi, proses, orang, dan teknologi.

Tidak seperti SOC 2 yang mengaudit kawalan khusus terhadap kriteria yang ditetapkan, ISO 27001 mengesahkan kewujudan dan operasi sebuah sistem pengurusan untuk keselamatan maklumat. Piawaian ini mempunyai dua komponen utama:

• Klausa utama: Keperluan untuk ISMS (penilaian risiko, komitmen kepimpinan, perancangan, operasi, penilaian, penambahbaikan)
• Kawalan Lampiran A: 93 kategori kawalan merangkumi keselamatan fizikal, pengurusan akses, kriptografi, hubungan pembekal, pengurusan insiden, dan banyak lagi

Apa yang TIDAK Diliputi ISO 27001

• Privasi data. ISO 27001 adalah piawaian keselamatan, bukan piawaian privasi. Ia tidak menangani secara khusus hak subjek data, had pengekalan data, atau keperluan persetujuan untuk memproses data peribadi. Untuk privasi, anda memerlukan GDPR atau setaraf.
• Hasil teknikal khusus. Pensijilan ISO 27001 bermaksud sistem pengurusan wujud. Ia tidak mengesahkan kawalan teknikal khusus dilaksanakan. Vendor boleh mendapat pensijilan ISO 27001 dengan kawalan teknikal yang agak lemah jika kawalan tersebut didokumenkan dan diurus dalam ISMS.
• Seni bina produk. Skop ISMS mungkin sempit, merangkumi sistem IT korporat tetapi bukan infrastruktur produk. Semak sama ada skop merangkumi sistem khusus yang anda gunakan.

Soalan yang Perlu Ditanya Berdasarkan ISO 27001

1. Apakah skop pensijilan ISO 27001 anda? Adakah ia merangkumi persekitaran produk produksi?
2. Badan pensijilan mana yang mengeluarkan sijil dan bila?
3. Bilakah audit pengawasan seterusnya anda?
4. Adakah ISMS anda merangkumi kawalan Lampiran A yang berkaitan dengan kes penggunaan kami, khususnya pengurusan akses, kriptografi, dan hubungan pembekal?
5. Bagaimana anda mengurus risiko keselamatan maklumat pembekal untuk sub-pemproses pihak ketiga?

Hubungan ISO 27001 dan SOC 2: Banyak vendor mendapatkan kedua-duanya. ISO 27001 mempunyai pengiktirafan antarabangsa yang lebih kukuh; SOC 2 mempunyai penembusan pasaran AS yang lebih kukuh. Vendor dengan ISO 27001 tetapi tanpa SOC 2 mungkin sesuai bergantung pada geografi dan industri anda. Vendor dengan SOC 2 tetapi tanpa ISO 27001 adalah profil mid-market AS yang standard. Untuk alat berkuasa AI, tiada piawaian merangkumi sepenuhnya soalan pengendalian data tambahan tentang latihan model, itulah sebabnya menilai SaaS berkuasa AI menambah lapisan berasingan kepada semakan ini.

GDPR: Apa yang Diliputi dan Apa yang Tidak

Apa Sebenarnya GDPR

General Data Protection Regulation adalah undang-undang EU yang mengawal pengumpulan, pemprosesan, dan penyimpanan data peribadi pemastautin EU. Teks peraturan GDPR penuh diterbitkan di EUR-Lex dan terpakai kepada mana-mana organisasi yang memproses data peribadi EU, tanpa mengira di mana organisasi itu berpangkalan.

Bagi pembeli SaaS, kaitan GDPR datang dalam dua bentuk:

1. Anda adalah pengawal data. Anda memutuskan data peribadi mana yang dikumpulkan dan mengapa. Jika alat SaaS anda mengumpulkan atau memproses data peribadi pemastautin EU bagi pihak anda, anda memerlukan DPA dengan vendor.

2. Vendor adalah pemproses data. Mereka memproses data peribadi mengikut arahan anda. DPA mengawal terma di mana mereka memproses data tersebut.

DPA: Dokumen yang Sebenarnya Penting

"Mematuhi GDPR" tanpa DPA yang ditandatangani adalah tidak bermakna dari segi undang-undang. DPA adalah kontrak yang menetapkan:

• Data peribadi mana yang vendor proses bagi pihak anda
• Tujuan dan cara pemprosesan
• Kewajipan vendor tentang keselamatan data, notis pelanggaran, dan pengurusan sub-pemproses
• Mekanisme untuk pemindahan data rentas sempadan (Standard Contractual Clauses atau setara)
• Hak subjek data dan cara vendor menyokongnya
• Pemadaman dan pemulangan data semasa penamatan kontrak

Senarai Semak DPA (15 perkara):

• DPA adalah dokumen berasingan yang ditandatangani (bukan sekadar polisi privasi)
• Skop mentakrifkan dengan tepat data peribadi mana yang diproses
• Tujuan pemprosesan sepadan dengan kes penggunaan sebenar anda
• Senarai sub-pemproses adalah terkini dan notis kemas kini disediakan
• Langkah keselamatan diterangkan dengan spesifik
• Jadual notis pelanggaran adalah 72 jam atau kurang
• Proses hak subjek data didokumenkan (pemadaman, akses, kebolehpindahan)
• Mekanisme pemindahan rentas sempadan dinyatakan (SCC, keputusan kecukupan, atau lain-lain)
• Jadual pemadaman data selepas penamatan ditetapkan (30 hari atau kurang adalah standard)
• Pilihan pemulangan data tersedia
• Vendor mengesahkan tiada penggunaan data untuk tujuan di luar arahan anda
• Hak vendor untuk menggunakan data bagi latihan AI ditangani secara eksplisit
• Hak audit dinyatakan
• Liabiliti untuk pelanggaran GDPR ditetapkan
• DPA ditadbir oleh undang-undang EU atau piawaian yang setara

Apa yang TIDAK Diliputi GDPR

• Subjek data bukan EU. GDPR tidak melindungi data individu dari AS, Australia, atau bukan EU yang lain. Peraturan lain mungkin terpakai (CCPA untuk California, LGPD untuk Brazil, dan lain-lain), tetapi GDPR khusus merangkumi pemastautin EU. Panduan Lembaga Perlindungan Data Eropah menyediakan tafsiran berautoriti tentang skop wilayah untuk organisasi yang tidak pasti sama ada GDPR terpakai kepada aliran data khusus mereka.
• Data yang tidak diperibadikan. Data yang benar-benar tidak diperibadikan (di mana pengenalan semula tidak mungkin) berada di luar skop GDPR. Data pseudonim (di mana pengenalan semula mungkin dengan kunci) masih dalam skop.
• Data kenalan B2B. Dalam banyak bidang kuasa, maklumat kenalan perniagaan syarikat (bukan pengguna individu) berada di luar definisi data peribadi GDPR. Ini adalah perkara yang dipertikaikan dan berbeza mengikut bidang kuasa.

Soalan yang Perlu Ditanya Berdasarkan GDPR

1. Bolehkah saya menerima salinan DPA standard anda sebelum menandatangani kontrak utama?
2. Adakah anda mempunyai senarai sub-pemproses terkini, dan bagaimana notis disediakan apabila sub-pemproses berubah?
3. Mekanisme mana yang anda gunakan untuk pemindahan data rentas sempadan (SCC, keputusan kecukupan)?
4. Apakah proses anda untuk menjawab permintaan hak subjek data (pemadaman, akses, kebolehpindahan)?
5. Apakah komitmen notis pelanggaran anda dan bagaimana ia dibandingkan dengan piawaian 72 jam GDPR?
6. Jika ciri AI termasuk dalam skop, adakah data pelanggan digunakan untuk latihan? Adakah terdapat pilihan untuk tidak terlibat, dan adakah ia ada dalam DPA?
7. Data peribadi mana yang diproses jika kami menggunakan hanya [modul produk tertentu]?

Bendera merah:

• Vendor membentangkan polisi privasi mereka sebagai DPA
• DPA merangkumi hak untuk menggunakan data pelanggan bagi latihan model tanpa pilihan untuk tidak terlibat
• Senarai sub-pemproses tidak diselenggara atau lebih dari 6 bulan
• Komitmen notis pelanggaran melebihi 72 jam
• Tiada mekanisme dinyatakan untuk pemindahan rentas sempadan

Jadual Perbandingan Kerangka

Cara Menggunakan Ini dalam Perbincangan Vendor

Jangan tanya: "Adakah anda mematuhi SOC 2 dan GDPR?"

Sebaliknya, tanya:

• "Bolehkah saya melihat bahagian skop dan kriteria perkhidmatan amanah dalam laporan SOC 2 Jenis II semasa anda?"
• "Adakah skop ISO 27001 anda merangkumi persekitaran produk produksi?"
• "Bolehkah saya menerima DPA anda sebelum kami menandatangani? Sub-pemproses mana yang disenaraikan dan adakah ada yang merupakan penyedia AI?"

Soalan-soalan ini mendedahkan maklumat yang pematuhan palsu sembunyikan. Vendor dengan pematuhan tulen menjawabnya secara langsung. Vendor dengan pematuhan palsu menjawabnya dengan bahasa pemasaran. Setelah anda mengumpulkan maklumat ini, senarai semak usaha wajar vendor menunjukkan cara mengintegrasikan penemuan pematuhan ke dalam penilaian risiko lengkap sebelum mana-mana kontrak ditandatangani. Dan apabila tiba masa untuk merundingkan, bendera merah kontrak SaaS merangkumi klausa DPA dan liabiliti yang melindungi hak data anda selepas tanda tangan.

Cara Rework Mendekati Pematuhan, untuk Postur Sendiri dan untuk Menjejak Milik Anda

Rework menganggap pematuhan sebagai artifak yang didedahkan, bukan dakwaan pemasaran. Kami menerbitkan skop postur keselamatan kami di rework.com/pricing dan menyediakan pengesahan semasa, DPA, dan senarai sub-pemproses kepada bakal pelanggan di bawah NDA sebelum penandatanganan kontrak, bukan selepas. Data pelanggan tidak digunakan untuk melatih ciri AI, dan komitmen itu ditulis dalam DPA berbanding tertanam dalam polisi privasi. Bagi pembeli yang memproses data peribadi EU, kami menandatangani Standard Contractual Clauses sebagai mekanisme pemindahan dan berkomit untuk notis perubahan sub-pemproses.

Berasingan, Rework Work Ops (dari $6/pengguna/bulan) adalah alat yang banyak pelanggan mid-market kami gunakan untuk menjejak inventori pematuhan vendor mereka sendiri, iaitu daftar ringkas tarikh laporan SOC 2, tetingkap pembaharuan ISO 27001, versi DPA, senarai sub-pemproses, dan audit pengawasan seterusnya untuk setiap SaaS dalam timbunan mereka. Berbanding mengurusnya dalam hamparan yang bertaburan, ketua perolehan dan IT menggunakan papan Work Ops dengan tarikh semakan automatik supaya laporan SOC 2 yang semakin lama atau perubahan sub-pemproses muncul sebagai tugasan, bukan kejutan yang ditemui semasa pembaharuan seterusnya.

Soalan Lazim

Ketahui Lebih Lanjut

• Semakan Keselamatan dan Pematuhan: Apa yang Sebenarnya Perlu Diperiksa oleh Pembeli Mid-Market: proses semakan lima lapisan yang dibolehkan oleh konteks kerangka ini
• Senarai Semak Usaha Wajar Vendor Pra-Pembelian untuk Pembeli Mid-Market: di mana semakan pematuhan sesuai dalam kerangka usaha wajar yang lebih luas
• Bendera Merah Kontrak SaaS: Klausa Auto-Renewal, Had Penggunaan, dan Penamatan yang Perlu Diberi Perhatian: terma kontrak yang mempengaruhi hak data anda selepas tanda tangan
• Menilai SaaS Berkuasa AI: Apa yang Nyata, Apa yang Pemasaran: cara ciri AI memperluaskan soalan GDPR dan pengendalian data
• Polisi tadbir urus AI untuk jabatan: polisi dalaman yang melengkapi keperluan pematuhan sisi vendor
• Templat penilaian kesediaan AI: cara menilai kesediaan pengendalian data organisasi anda sendiri sebelum menggunakan SaaS AI