Co je SOC2 a jak může ochránit informace ve vašem e-mailovém seznamu? Vše, co o ní potřebujete vědět, najdete v našem článku.

Porozumění souladu se SOC2 

Než se dostaneme k tomu, jak mohou poskytovatelé e-mailových služeb splňující požadavky SOC2 zaručit bezpečnost vašich e-mailů. e-mailový seznam, musíme vědět, co je SOC2. 

Co je standard SOC2?

SOC 2 (Systems and Organization Controls 2) je soubor standardů kybernetické bezpečnosti a ochrany osobních údajů pro organizace poskytující služby. Požadavky vypracoval Americký institut certifikovaných účetních (AICPA) v roce 2010 s cílem specifikovat, jak by poskytovatelé služeb měli spravovat, uchovávat a chránit data zákazníků, aby minimalizovali bezpečnostní rizika a incidenty.

Ačkoli je shoda se standardem SOC2 stále "pouze" dobrovolným standardem, stále více poskytovatelů služeb se o bezpečnostní audit uchází - jak kvůli ochraně svých služeb, tak kvůli ochraně svých zákazníků před narušením.

Například ve studii A-lign, 47% respondentů uvedlo, že audit SOC2 je pro jejich podnik nejdůležitějším auditem.

Existují dva typy auditů SOC2:

• Během typu 1, nezávislý auditor kontroluje a analyzuje konkrétní obchodní postupy a procesy, aby zjistil, nakolik odpovídají požadavkům na příslušné zásady důvěryhodnosti.
• Typ 2 zkoumá stejné procesy, ale po určitou dobu, obvykle 6 až 12 měsíců.

Jakých je pět kritérií důvěryhodnosti služeb (TSC) pro rámec shody SOC2?

Rámec SOC2 se skládá z pěti kritérií důvěryhodných služeb (TSC), a to:

• Zabezpečení
• Dostupnost
• Důvěrnost
• Integrita zpracování
• Ochrana osobních údajů

Zabezpečení (nazývané také Společná kritéria) je povinná pro všechny společnosti, které chtějí projít auditem SOC2. Ostatní jsou nepovinné, takže podniky se mohou ucházet pouze o ty kategorie auditu, které jsou pro ně důležité.

Například u společnosti Bouncer jsme do auditu zahrnuli dostupnost služeb a důvěrnost údajů.

 Podívejme se nyní blíže na zásady služby důvěry.

Zabezpečení (Společná kritéria)

Bezpečnostní audity zkoumají úroveň zabezpečení a dodržování předpisů v celé organizaci:

• Bezpečnostní postupy a zásady
• Ochrana proti neoprávněnému přístupu nebo zneužití dat
• Nastavení přístupu uživatele
• Implementované bezpečnostní prvky (firewall, šifrování, vícefaktorové ověřování atd.).
• postupy společnosti v případě bezpečnostních incidentů nebo narušení bezpečnosti atd.

Skutečný seznam požadavků na audit je však mnohem delší. Během typického bezpečnostního auditu hodnotí auditor SOC2 80-100 bezpečnostních kontrol, aby pokryl všechna místa, kde by mohlo dojít k incidentu. 

Najdete zde podrobný seznam bezpečnostních požadavků na webových stránkách AICPA.

 Dostupnost

Druhou kategorií auditu SOC2 je dostupnost, což znamená zkoumání provozuschopnosti a výkonnosti služby. Auditor také zkontroluje:

• Jaké postupy pro obnovu po havárii organizace používá
• Jak často vytvářejí zálohy
• Jaké metody používají ke sledování výkonu a kvality služeb?
• zda mají postupy pro řešení bezpečnostních incidentů

Důvěrnost

Během auditu důvěrnosti budou auditoři SOC2 kontrolovat, jak organizace poskytující služby uchovávají údaje o zákaznících (zejména citlivé a důvěrné typy údajů) a jak dobře jsou chráněny.

Společnosti, které uchovávají informace chráněné dohodami o mlčenlivosti (NDA) nebo jejichž klienti požadují, aby jejich data byla po skončení smlouvy vymazána, často zahrnují do svého auditu i tuto kategorii.

Integrita zpracování

Audit integrity zpracování kontroluje, zda jsou data přidaná a zpracovávaná v systému organizace spolehlivá a bez chyb. Auditor se také podívá na to, jak jsou informace uvnitř systému zpracovávány - například jaká jejich část se během zpracování ztratí nebo poškodí. 

Budou také měřit, jak dlouho trvá, než jsou zpracovaná data připravena k použití, a jak daná společnost řeší případné problémy se zpracováním. 

Ochrana osobních údajů

Během této části bude auditor SOC2 analyzovat, jakým způsobem se PII (Personally identifiable information) jsou shromažďovány, uchovávány a chráněny před porušením nebo zneužitím. 

Kritéria ochrany soukromí se mohou zdát stejná jako kritéria důvěrnosti, ale je tu jeden podstatný rozdíl. Zatímco požadavky na důvěrnost se týkají všech typů citlivých materiálů, které může firma uchovávat, ochrana osobních údajů se vztahuje pouze na informace PII (například data narození nebo čísla sociálního pojištění). 

Výhody shody se SOC2

Provedení takového důkladného bezpečnostního auditu v organizaci se může zdát jako spousta práce a času stráveného touto činností. Zpráva SOC 2 typu 1 obvykle trvá přibližně dva měsíce, zatímco zpráva SOC 2 typu 2 může trvat 6 až 12 měsíců.

Výhody služby s certifikací SOC2 však více než vynahradí čas a úsilí, které je třeba vynaložit.   

Zde jsou tři hlavní důvody, proč může být provedení auditu SOC 2 pro společnosti dlouhodobě přínosné.

Zvýšená ochrana

Jednou z největších výhod auditu SOC2 je, že může společnostem pomoci posílit jejich bezpečnostní opatření. Provedením bezpečnostního auditu mohou zjistit svá silná a slabá místa, pokud jde o zabezpečení, a určit místa s nejvyšším rizikem vzniku bezpečnostního incidentu. 

Na základě poznatků z auditu pak mohou naplánovat a zavést bezpečnostní postupy, které jim pomohou vyřešit hlavní problémy kybernetické bezpečnosti ve firmě. 

Organizace tak mohou získat jistotu, že mají zavedeny spolehlivé zásady ochrany dat a zabezpečení, aby mohly lépe řešit případy narušení bezpečnosti.  

Lepší soulad s místními a mezinárodními právními předpisy

Další výhodou absolvování auditu SOC2 je, že se jeho požadavky často překrývají s dalšími důležitými bezpečnostními standardy. 

Pokud tedy organizace nejprve provedou audit SOC2, mohou si usnadnit dosažení shody s předpisy:  

• Zákon o přenositelnosti a odpovědnosti zdravotního pojištění (HIPAA) a zákon o zdravotnických informačních technologiích pro ekonomické a klinické zdraví (HITECH).
• Mezinárodní organizace pro normalizaci (ISO) 27001
• Standardy zabezpečení platebních karet (PCI) nebo jiné předpisy PCI.
• Mezinárodní standardy ochrany osobních údajů, jako je evropské nařízení GDPR nebo kalifornský zákon CCPA. 

Pro podniky, které chtějí být v souladu se standardy SOC2 a například HIPAA, vytvořila AICPA také několik příruček, jak tyto standardy splnit. požadavky se překrývají. 

Zvýšená důvěra zákazníků

Není divu, že se zákazníci stále častěji zajímají o bezpečnost svých dat, protože se v novinách objevují titulky o narušení bezpečnosti databází. 

Vystavením odznaku auditu SOC2 může společnost ujistit své zákazníky, že již podnikla kroky k posílení bezpečnosti svých služeb a ochraně dat ve svých systémech. A díky tomu, že poskytovatel služeb vidí, že prošel auditem SOC2, mohou se zákazníci (zejména ti, kteří nakládají s citlivými materiály) cítit při využívání dané služby klidnější.   

Úloha shody SOC2 při ověřování e-mailů

Chcete-li ze svého e-mailového seznamu vytěžit co nejvíce, je nutné pravidelně odstraňovat neplatné a neaktivní e-maily ze seznamu - proč posílat newsletter nebo nabídky někomu, kdo ani neotevře poštu? 

Jak jsme se již zmínili v úvodu, ruční čištění e-mailového seznamu není zrovna řešením, pokud máte v seznamu několik tisíc jmen. Zde je na místě nástroje pro ověření e-mailu jako je například Bouncer, protože zvládnou většinu těžkých úkolů spojených s ověřováním adres v seznamu.

Jak ale najít spolehlivou službu ověřování e-mailů, která vám v seznamu neudělá nepořádek? A hlavně, že bude váš e-mailový seznam plně zabezpečen. 

Řešením je použití ověřovací služby, která je v souladu s normou SOC2. Proč? Zde je několik důvodů.

Ochrana citlivých e-mailových dat

Pokud spolupracujete s poskytovatelem ověřovacích služeb, který splňuje požadavky SOC2, můžete si být jisti, že ví, jak se dobře postarat o citlivé informace uvnitř vašich e-mailových seznamů a samotných e-mailů. 

Například všechny e-maily, které procházejí službou Bouncer, jsou automaticky zaheslovány a údaje o zákaznících v našich databázích jsou také šifrovány. 

Snížení rizika narušení bezpečnosti dat

Audit SOC2 prověřuje, zda poskytovatelé služeb mají zavedeny oborové bezpečnostní postupy a vědí, jak řešit neočekávané situace. Tímto způsobem se minimalizuje riziko narušení bezpečnosti (ať už chybou zaměstnance, nebo kybernetickým útokem). Bez toho budete vystaveni riziku běžných kybernetických bezpečnostních hrozeb, jako např. krádež kreditní karty, phishing a krádeže identity. 

 Zachování integrity dat během procesu ověřování

Při použití nástroje pro ověření seznamu chcete získat vyčištěný seznam s ověřenými e-maily, na který můžete ihned odeslat e-maily. Rozhodně však ne seznam s poškozenými nebo chybějícími adresami, který musíte vyčistit také sami.

Poskytovatelé služeb splňující požadavky SOC2 mohou zaručit, že se nic takového nestane, protože jejich služby již byly na podobné problémy prověřeny. Můžete si tedy být jisti, že vám nástroj ušetří čas (a také nervy), místo abyste jím plýtvali.

Získání přesných a konzistentních výsledků ověřování

Další věcí, kterou audit SOC2 ověřuje, je spolehlivost služby a její schopnost pracovat při zátěži. Při používání služby, která splňuje požadavky SOC2, si tedy můžete být jisti, že dostanete přesné výsledky bez ohledu na to, jak velký je váš seznam nebo kolik lidí službu právě používá.

Prokázání závazku k zabezpečení dat

Jak lépe dokázat zákazníkovi, že poskytovatel služeb bere kybernetickou bezpečnost vážně, než tím, že na svých webových stránkách zobrazí odznak shody SOC2? 

Absolvováním auditu mohou poskytovatelé služeb prokázat, že vědí, jak chránit data ve svých systémech před poškozením, a také že mají k dispozici všechny správné nástroje a postupy na ochranu své infrastruktury před kybernetickými útoky.

Zvyšování důvěry a důvěryhodnosti zákazníků

Pokud je zpráva o auditu SOC2 k dispozici všem návštěvníkům, je to skvělý způsob, jak odpovědět na některé otázky týkající se dostupnosti nebo bezpečnosti, které mohou návštěvníci mít. 

Pokud se například obávají možného výpadku služby nebo požadují konkrétní službu. služba šifrování e-mailů, informace obsažené v auditní zprávě by je měly uklidnit. A když uvidí, že se mohou spolehnout na poskytovatele služeb, že jejich data budou v bezpečí, je také pravděpodobnější, že budou poskytovatelům důvěřovat i se svými vlastními e-mailovými seznamy. 

Splnění očekávání zákazníků

Vzhledem k tomu, kolik kybernetických útoků se denně odehrává a jak závažné mohou být jejich následky, zákazníci nyní očekávají, že firmy budou kybernetickou bezpečnost a ochranu dat považovat za svou nejvyšší prioritu. 

Proto se stále více firem, které hledají podnikové služby, předtím, než se rozhodnou službu zakoupit, nejprve ptá, zda je poskytovatel služeb v souladu se standardem SOC2 - aby se ujistily, že jsou jejich podniková data zcela v bezpečí. 

Jedna zpráva například zjistila, že 33% společností uvedl, že zákazníci se ptají na certifikáty SOC 2, když zjišťují, jak daná společnost zabezpečuje svá data. 

Odznak SOC2 a zpráva o auditu na vašich webových stránkách vám tak mohou poskytnout náskok před konkurencí. 

Vyhazovač: Nástroj pro ověřování e-mailů v souladu se SOC2

Pro nás ve společnosti Bouncer je prioritou zajistit, aby data předávaná prostřednictvím naší služby byla co nejbezpečnější. Proto jsme rádi, že můžeme říci, že od února 2023 jsme nyní v souladu s normou SOC2 typu 1 (typ 2 se připravuje!).

Naše služba byla testována auditory SOC2 na:

• Zabezpečení dat a infrastruktury,
• Dostupnost služby
• Důvěrnost.

Na základě výsledků auditu jsme pak navrhli a zavedli několik bezpečnostních opatření, díky nimž jsme v naší platformě vybudovali zabezpečení na úrovni pevnosti.   

Jak Bouncer splňuje požadavky na shodu se SOC2

Co přesně jsme udělali pro to, aby naše služba ověřování e-mailů byla spolehlivější, odolnější a bezpečnější? 

Pravidelné bezpečnostní audity a hodnocení

Alespoň jednou ročně vystupujeme:

• Audit hodnocení rizik
• penetrační test (provedený společností třetí strany).
• Revize našich zásad řízení přístupu a Organizační schéma.

Jednou za čtvrt roku provádíme kontrolu zranitelností našeho produkčního prostředí.

Bezpečnostní opatření zavedená společností Bouncer

Zlepšili jsme také způsob používání a ukládání dat v naší společnosti tím, že jsme:

• Používání systému správy verzí ke správě zdrojového kódu, dokumentace a dalších důležitých materiálů. 
• mít popsaný postup pro zaměstnance i zákazníky, jak hlásit vedení incidenty a obavy týkající se bezpečnosti, důvěrnosti, integrity a dostupnosti. 
• Vytvoření plánu reakce na incident a přidělení specializovaných zaměstnanců do týmu pro reakci.  

Používáme také Platforma Drata sledovat zásady, postupy a IT infrastrukturu společnosti, aby bylo zajištěno, že naši zaměstnanci dodržují oborové standardy.

Šifrování

Veškerá data v naší platformě (uložená ve fyzických zařízeních i v cloudu) jsou šifrována pomocí šifrování SSL/TLS. Kromě toho jsou informace uvnitř všech notebooků vydaných společností také automaticky šifrovány prostřednictvím šifrování celého disku.

Kontrola přístupu a monitorování

• Pro údaje o zákaznících používáme "politiku nejmenších oprávnění", což znamená, že zaměstnanci mají přístup pouze k údajům o zákaznících, které potřebují pro své pracovní úkoly.
• Pro přístup k systému správy verzí nebo přidávání změn do něj musí mít zaměstnanci oprávnění správce.
• Pro přístup k citlivým datům a aplikacím vyžadujeme dvoufaktorové ověření v podobě uživatelského jména, hesla, OTP a/nebo certifikátu.

To je však jen zlomek práce, kterou jsme vykonali, abychom zajistili plné zabezpečení naší platformy. 

Chcete-li se dozvědět více o tom, jaké bezpečnostní postupy jsme po auditu zavedli (a co děláme pro to, abychom si udrželi bezpečnost na úrovni pevnosti), můžete si přečíst článek. úplná bezpečnostní zpráva vytvořený společností Drata, který je k dispozici na našich webových stránkách.

Dopad shody se SOC2 na výkonnost a spolehlivost společnosti Bouncer 

Tvrdá práce však stála za to. Díky auditu SOC2 jsme se mohli dozvědět mnohem více o zabezpečení našich služeb a infrastruktury a najít místa, kde bychom mohli naši službu ověřování e-mailů ještě vylepšit. 

Audit nám tedy v tomto směru pomohl:

• Lepší ochrana naší služby ověřování e-mailů před kybernetickými hrozbami
• Zajištění vysoce kvalitních a spolehlivých služeb pro všechny naše zákazníky.
• Ujistit naše obchodní partnery, že jejich data jsou v našich rukou v bezpečí.     

Hledali jste nástroj pro ověřování seznamů, který má vynikající přesnost a zároveň robustní opatření na ochranu dat? Bouncer je připraven vám pomoci - ať už máte tisíce nebo miliony adres, můžete získat čerstvý a aktivní e-mailový seznam během okamžiku.   

A pokud si chcete nejdříve vyzkoušet, jak Bouncer funguje, můžete. ověřte své první e-mailové adresy zcela zdarma 🙂 

Tak co kdybyste si sami vyzkoušeli, jak čistý může být váš seznam s naší pomocí?  

Ujistěte se, že jste si vybrali nástroj, který je v souladu s normou SOC2.

Nástroje pro ověřování e-mailů mohou být pro vaši firmu skvělým pomocníkem. Stačí jim zadat seznam e-mailových adres, které máte, a oni zvýrazní všechny adresy, které by vaše e-maily nemusely nikdy otevřít. Proč byste tedy na ně měli vynakládat svůj čas a peníze? 

Abyste však měli jistotu, že seznam budete používat pouze vy (a vaši zaměstnanci), měli byste se poohlédnout po službách ověřování e-mailů se špičkovým zabezpečením. A právě znakem takového zabezpečení je odznak shody se standardem SOC2, jako je ten, který můžete vidět na naší stránce Bouncer. 

S aplikací na vaší straně můžete celou těžkou práci s čištěním seznamu udělat za vás - a jakmile je nový seznam připraven, můžete rovnou odeslat své newslettery nebo nabídky.

Často kladené otázky týkající se shody se standardem SOC2

Co je to shoda se standardem SOC2 a proč je pro poskytovatele služeb důležitá?

SOC2 je bezpečnostní standard stanovený Americkým institutem certifikovaných účetních (AICPA), který měří schopnost společnosti poskytující služby chránit soukromí, bezpečnost a důvěrnost údajů zákazníků.

Díky auditu SOC2 se poskytovatelé služeb mohou dozvědět více o tom, jak mohou chránit citlivé informace před únikem dat nebo neoprávněným přístupem a jak mohou posílit své interní zabezpečení. 

Jaký přínos má shoda se standardem SOC2 pro poskytovatele služeb a jejich zákazníky?

Absolvováním auditu SOC2 organizace poskytující služby prokazují, že vědí, jak mohou chránit podniková data a své služby před narušením, zneužitím a kybernetickými útoky. To může jejich zákazníky uklidnit, zejména ty, kteří od cloudových služeb, které využívají, vyžadují vysokou úroveň zabezpečení. 

Jak může audit SOC2 prospět službám ověřování e-mailů?

Poskytovatelé ověřování e-mailů zpracovávají velké množství citlivých informací, jako jsou e-mailové adresy a osobní údaje zákazníků. Absolvováním auditu SOC2 mohou zjistit, jak dobře jsou data v jejich síti chráněna a co mohou zlepšit, aby byly jejich služby odolnější.