⁨SOC 2⁩ یا ⁨ISO 27001⁩؟

کون کیا مانگتا ہے

سوال عموماً گاہک کی وینڈر رسک ٹیم سے آتا ہے۔ شمالی امریکہ کے خریدار، خاص طور پر ٹیکنالوجی اور مالیات میں، ⁨SOC 2⁩ رپورٹ مانگتے ہیں۔ یورپ کے خریدار، اور ہر جگہ بڑی کثیر القومی کمپنیاں، اکثر پوچھتی ہیں کہ کیا آپ کے پاس ⁨ISO 27001⁩ سرٹیفیکیشن ہے۔ سرکاری اداروں کے اپنے تقاضے ہیں، جیسے ڈیٹا کی سیکیورٹی درجہ بندی اور ⁨WCAG AA⁩ تک رسائی۔

کسی کو بھی شروع کرنے سے پہلے اپنے اگلے چند گاہکوں سے پوچھیں کہ وہ اصل میں کیا قبول کریں گے۔ کچھ فی الحال مکمل سوالنامہ اور آپ کی آرکیٹیکچر کی دستاویزات لے لیں گے؛ کچھ رپورٹ کے بغیر دستخط نہیں کریں گے۔ یہی جواب طے کرتا ہے کہ یہ اس سہ ماہی کا منصوبہ ہے یا اگلے سال کا۔

سادہ الفاظ میں ⁨SOC 2⁩

⁨SOC 2⁩ رپورٹ کسی سروس ادارے کے کنٹرولز کی جانچ ہے، جو ⁨AICPA⁩ کے معیارات کے تحت ایک آزاد ⁨CPA⁩ فرم کرتی ہے ⁦^[1]⁩۔ یہ سیکیورٹی کا احاطہ کرتی ہے، اور اختیاری طور پر دستیابی، پروسیسنگ کی سالمیت، رازداری اور پرائیویسی کا۔ یہ تصدیقی رپورٹ ہے، سرٹیفکیٹ نہیں: آڈیٹر آپ کے کنٹرولز پر رپورٹ دیتا ہے، اور آپ کا گاہک رپورٹ پڑھتا ہے۔

• ⁨Type I⁩ رپورٹ دیکھتی ہے کہ کسی ایک وقت پر کنٹرولز درست ڈیزائن کیے گئے ہیں یا نہیں۔ یہ تیز ہے اور اکثر پہلا قدم ہوتی ہے۔
• ⁨Type II⁩ رپورٹ دیکھتی ہے کہ مشاہدے کی ایک مدت میں کنٹرولز نے مؤثر کام کیا یا نہیں۔ زیادہ تر بڑے کاروباری گاہک آخرکار یہی چاہتے ہیں۔
• رپورٹ گاہکوں کو رازداری کے معاہدے کے تحت دی جاتی ہے؛ یہ کوئی عوامی تمغہ نہیں۔

سادہ الفاظ میں ⁨ISO 27001⁩

⁨ISO/IEC 27001⁩ معلومات کی سیکیورٹی کے انتظامی نظام کا ایک بین الاقوامی معیار ہے: کمپنی اپنے خطرات کیسے طے کرتی ہے، کنٹرولز کیسے چنتی ہے اور انہیں بہتر کیسے کرتی رہتی ہے۔ سرٹیفیکیشن آڈٹ کے بعد ایک منظور شدہ سرٹیفیکیشن ادارہ جاری کرتا ہے، اور یہ نگرانی کے آڈٹس اور وقتاً فوقتاً دوبارہ سرٹیفیکیشن سے برقرار رہتی ہے۔

دونوں کنٹرولز میں بہت حد تک ایک جیسے ہیں۔ جو کمپنی کنٹرولز ایک بار بنائے وہ عموماً انہیں دونوں سے جوڑ سکتی ہے، اس لیے دوسرا فریم ورک زیادہ تر صرف اپنے فرق کی لاگت لیتا ہے: وہ انتظامی نظام اور دستاویزات جن کی ⁨ISO⁩ توقع کرتا ہے، یا وہ رپورٹنگ جس کی ⁨SOC 2⁩ توقع کرتا ہے۔

کیا سرٹیفیکیشن نہیں

کام اصل میں کیا ہے

1. 01

   خلا کا جائزہ

   آج آپ جو کرتے ہیں اس کا موازنہ فریم ورک کی توقعات سے کریں، اور جو کمی ہے اس کی فہرست بنائیں۔

2. 02

   پروڈکٹ میں کنٹرولز

   کردار کے لحاظ سے رسائی اور سنگل سائن آن، آڈٹ لاگز، انکرپشن، آزمائی ہوئی بحالی والے بیک اپس، نگرانی، کمزوریوں کی اسکیننگ اور تبدیلیوں کا انتظام، کاغذ پر بیان کرنے کے بجائے سسٹم میں شامل۔

3. 03

   پالیسیاں

   پالیسیوں کا تحریری سیٹ جو ٹیم کے اصل کام سے میل کھائے، کیونکہ آڈیٹر دونوں کو ایک دوسرے کے مقابل جانچتا ہے۔

4. 04

   ثبوت

   کام کے ساتھ ساتھ جمع، اکثر تعمیل کے پلیٹ فارم میں، تاکہ ⁨Type II⁩ رپورٹ کے مشاہدے کی مدت چلتے سسٹم پر شروع ہو۔

5. 05

   موقع پر جانچ اور نتائج

   آڈیٹر کی جانچ کے دوران معاونت، اور ان کی ملنے والی ہر چیز کی درستی۔

اس دوران سوالناموں کے جواب

جب تک رپورٹ نہ ہو، سیکیورٹی کا سوالنامہ ہی رپورٹ ہے۔ اس کا اچھا جواب دیں: جوابات کا ایک مرکزی سیٹ رکھیں، جسے سسٹم چلانے والے لوگ لکھیں، اور سسٹم بدلنے پر اسے اپ ڈیٹ کریں۔ بیان کرنے کے بجائے وہ منسلک کریں جو دکھا سکیں: آرکیٹیکچر کا خاکہ، ڈیٹا کا بہاؤ، بیک اپ اور بحالی کا طریقہ کار، رسائی کا جائزہ، آخری پینیٹریشن ٹیسٹ کا نتیجہ۔ دیانت دار جواب جو کہے کہ کوئی کنٹرول ایک تاریخ کے ساتھ منصوبہ بند ہے، وینڈر رسک ٹیم کو ایک مبہم ہاں سے بہتر لگتا ہے۔

جب آپ رپورٹ کا فیصلہ کریں تو یہی مرکزی جوابات خلا کے جائزے کا نقطۂ آغاز بنتے ہیں، اس لیے کوئی محنت ضائع نہیں ہوتی۔

آڈیٹر کا انتخاب

آڈیٹر جلد چنیں، تیاری کا کام ختم ہونے سے پہلے، اور پوچھیں کہ وہ کیسے کام کرتے ہیں: کیسے جانچتے ہیں، کس ثبوت کی توقع رکھتے ہیں، کیا آپ کے تعمیل کے پلیٹ فارم سے ثبوت قبول کرتے ہیں، اور موقع پر جانچ اور رپورٹ میں کتنا وقت لگتا ہے۔ اپنے گاہکوں سے پوچھیں کہ کیا وہ کچھ خاص فرموں کو ترجیح دیتے ہیں۔ آڈیٹر کو تیاری میں آپ کی مدد کرنے والے سے آزاد ہونا چاہیے، اور یہ ایک وجہ ہے کہ آپ کے کنٹرولز بنانے والا اسٹوڈیو کبھی ان پر رپورٹ دینے والا نہیں ہو سکتا۔

اس پر کتنا خرچ آتا ہے، ابھی حساب کیا گیا

نیچے کی تین حل شدہ مثالوں کی قیمت ہمارا تخمینہ ٹول اُس نرخ نامے سے لگاتا ہے جو صفحہ کھولتے وقت نافذ ہو، ایک ہی ویب پروڈکٹ کے لیے: پہلی ⁨SOC 2 Type I⁩ رپورٹ کی تیاری، ⁨Type II⁩ رپورٹ تک آڈٹ میں معاونت، اور ⁨SOC 2 Type II⁩ اور ⁨ISO 27001⁩ دونوں کو مسلسل برقرار رکھنا۔ ہماری قیمت انجینئرنگ اور آڈٹ میں معاونت کا احاطہ کرتی ہے؛ آڈیٹر کی فیس اور کوئی بھی تعمیل کا پلیٹ فارم تخمینہ ٹول الگ سے تخمینی حدوں کے طور پر دکھاتا ہے، کیونکہ آپ ان کی ادائیگی براہِ راست کرتے ہیں۔

جب ابھی دونوں میں سے کوئی درست جواب نہ ہو

اگر کسی گاہک نے نہیں مانگا، یا مانگنے والے سوالنامہ قبول کر لیں گے، تو رپورٹ انتظار کر سکتی ہے۔ جو انتظار نہیں کرنا چاہیے وہ انجینئرنگ ہے: سنگل سائن آن، آڈٹ لاگز، انکرپشن، بحال ہونے والے بیک اپس اور تبدیلیوں کا انتظام شروع سے شامل کرنا آڈٹ سے پہلے بعد میں شامل کرنے سے کہیں سستا ہے۔ کنٹرولز ابھی بنائیں، اور جب کوئی گاہک آخرکار مانگے تو رپورٹ ایک چھوٹا منصوبہ بن جاتی ہے۔