Wat is SOC2, en hoe kan het de informatie in uw e-maillijst beschermen? U vindt alles wat u erover moet weten in ons artikel.

Inzicht in SOC2-naleving 

Voordat we ingaan op hoe SOC2-conforme e-mailproviders de veiligheid van uw e-maillijstmoeten we weten wat SOC2 is. 

Wat is de SOC2-norm?

SOC 2 (Systems and Organization Controls 2) is een reeks normen voor cyberbeveiliging en privacy voor dienstverlenende organisaties. De eisen zijn in 2010 ontwikkeld door het American Institute of Certified Public Accountants (AICPA), om aan te geven hoe dienstverleners klantgegevens moeten beheren, opslaan en beschermen om beveiligingsrisico's en incidenten tot een minimum te beperken.

Hoewel SOC2-naleving nog steeds "slechts" een vrijwillige norm is, vragen steeds meer dienstverleners de beveiligingsaudit aan - zowel om hun dienst als hun klanten te beschermen tegen inbreuken.

In een A-lign studie, bijvoorbeeld, 47% van de respondenten zei dat de SOC2-audit de belangrijkste audit voor hun bedrijf was.

Er zijn twee soorten SOC2-audits:

• Tijdens Type 1, een onafhankelijke auditor inspecteert en analyseert specifieke bedrijfspraktijken en -processen om te zien hoe goed deze voldoen aan de vereisten voor de relevante vertrouwensbeginselen.
• Type 2 onderzoekt dezelfde processen maar over een periode van 6 tot 12 maanden.

Wat zijn de vijf Trust Service Criteria (TSC) voor het SOC2-nalevingskader?

Het SOC2-kader bestaat uit vijf Trust Services Criteria (TSC), namelijk:

• Beveiliging
• Beschikbaarheid
• Vertrouwelijkheid
• Integriteit van de verwerking
• Privacy

Beveiliging (ook wel Gemeenschappelijke criteria) is verplicht voor alle bedrijven die de SOC2-audit willen doorlopen. De rest is optioneel, dus bedrijven kunnen zich alleen aanmelden voor auditcategorieën die voor hen van belang zijn.

Bij Bouncer hebben wij bijvoorbeeld de beschikbaarheid van de dienst en de vertrouwelijkheid van de gegevens in onze controle opgenomen.

 Laten we nu de beginselen van de vertrouwensdienst nader bekijken.

Beveiliging (gemeenschappelijke criteria)

Beveiligingsaudits onderzoeken het niveau van beveiliging en compliance in de hele organisatie:

• Beveiligingsprocedures en -beleid
• Bescherming tegen ongeoorloofde toegang of misbruik van gegevens
• Instellingen voor gebruikerstoegang
• Beveiligingsfuncties geïmplementeerd (firewall, encryptie, multi-factor authenticatie, enz.)
• Bedrijfsprocedures voor beveiligingsincidenten of inbreuken, enz.

De eigenlijke lijst van auditvereisten is echter veel langer. Tijdens een typische beveiligingsaudit evalueert een SOC2-auditor 80-100 beveiligingscontroles om alle plaatsen te bestrijken waar een incident zou kunnen plaatsvinden. 

U kunt een gedetailleerde lijst van de beveiligingseisen op de AICPA website.

 Beschikbaarheid

De tweede categorie in de SOC2-audit is Beschikbaarheid, wat betekent dat de uptime en de prestaties van de dienst worden onderzocht. De auditor zal ook controleren:

• Welke rampherstelpraktijken de organisatie hanteert
• Hoe vaak ze back-ups maken
• Welke methoden gebruiken zij om de prestaties en de kwaliteit van de dienstverlening te controleren?
• of zij procedures hebben voor de behandeling van beveiligingsincidenten

Vertrouwelijkheid

Tijdens een vertrouwelijkheidsaudit inspecteren SOC2-auditors hoe serviceorganisaties klantgegevens (met name gevoelige en vertrouwelijke soorten gegevens) opslaan en hoe goed deze worden beschermd.

Bedrijven die informatie opslaan die wordt beschermd door Non-Disclosure Agreements (NDA's) of waarvan de klanten eisen dat hun gegevens na afloop van het contract worden gewist, nemen deze categorie ook vaak op in hun controle.

Integriteit van de verwerking

De verwerkingsintegriteitsaudit controleert of de gegevens die worden toegevoegd en verwerkt in het systeem van de organisatie betrouwbaar zijn en geen fouten bevatten. De auditor bekijkt ook hoe de informatie in het systeem wordt verwerkt - bijvoorbeeld welk deel ervan verloren gaat of beschadigd raakt tijdens de verwerking. 

Zij zullen ook meten hoe lang het duurt voordat de verwerkte gegevens klaar zijn voor gebruik en hoe een bepaald bedrijf eventuele verwerkingsproblemen oplost. 

Privacy

Tijdens dit onderdeel zal een SOC2-auditor analyseren hoe PII (persoonlijk identificeerbare informatie) wordt verzameld, opgeslagen en beschermd tegen inbreuken of misbruik. 

Privacycriteria lijken misschien identiek aan vertrouwelijkheidscriteria, maar er is één belangrijk verschil. Namelijk, terwijl vertrouwelijkheidseisen betrekking hebben op alle soorten gevoelig materiaal dat een bedrijf kan opslaan, is Privacy alleen van toepassing op PII-informatie (zoals geboortedata of sofinummers). 

Voordelen van SOC2-conformiteit

Het uitvoeren van zo'n grondige beveiligingsaudit in een organisatie lijkt misschien veel werk en tijd te kosten. Een SOC 2 Type 1-rapport duurt gewoonlijk ongeveer twee maanden, terwijl een SOC 2 Type 2-rapport 6 tot 12 maanden kan duren.

De voordelen van een SOC2-gecertificeerde dienst maken de benodigde tijd en moeite echter meer dan goed.   

Hier zijn drie belangrijke redenen waarom het uitvoeren van een SOC 2-audit bedrijven op de lange termijn ten goede kan komen.

Verbeterde bescherming

Een van de grootste voordelen van een SOC2-audit is dat deze bedrijven kan helpen hun beveiligingsmaatregelen te versterken. Door een beveiligingsaudit uit te voeren, kunnen zij hun sterke en zwakke punten op het gebied van beveiliging vinden en plaatsen aanwijzen waar het risico op een beveiligingsincident het grootst is. 

Vervolgens kunnen zij met de kennis van de audit de beveiligingspraktijken plannen en uitvoeren waarmee zij de belangrijkste cyberbeveiligingsproblemen in het bedrijf kunnen oplossen. 

Op die manier kunnen organisaties het vertrouwen krijgen dat zij over een degelijk beleid inzake gegevensbescherming en -beveiliging beschikken, zodat zij inbreuken op de beveiliging beter kunnen aanpakken.  

Betere naleving van lokale en internationale wetgeving

Een extra voordeel van het doorlopen en slagen voor een SOC2-audit is dat de eisen ervan vaak overlappen met andere belangrijke beveiligingsnormen. 

Dus door eerst een SOC2-audit uit te voeren, kunnen organisaties het zichzelf gemakkelijker maken om aan de eisen te voldoen:  

• Health Insurance Portability and Accountability Act (HIPAA) en de Health Information Technology for Economic and Clinical Health (HITECH).
• Internationale Organisatie voor Normalisatie (ISO) 27001
• Payment Card Industry (PCI) Data Security Standards (DSS) of andere PCI-voorschriften.
• Internationale privacynormen zoals de Europese GDPR of de Californische CCPA. 

Voor bedrijven die zowel SOC2 als bijvoorbeeld HIPAA compliant willen worden, heeft de AICPA ook enkele gidsen opgesteld over hoe deze vereisten overlappen. 

Meer vertrouwen van de klant

Met de vele krantenkoppen over databankschendingen is het geen wonder dat klanten zich steeds meer zorgen maken over de veiligheid van hun gegevens. 

Door een SOC2 audit badge te tonen, kan een bedrijf zijn klanten geruststellen dat het al stappen heeft ondernomen om de beveiliging van zijn diensten te versterken en de gegevens in zijn systemen te beschermen. En door te zien dat een dienstverlener een SOC2-audit heeft doorstaan, kunnen de klanten (vooral degenen die met gevoelig materiaal omgaan) zich meer op hun gemak voelen bij het gebruik van een bepaalde dienst.   

De rol van SOC2 Compliance bij e-mailverificatie

Om het meeste uit uw e-maillijst te halen, is het essentieel dat u regelmatig ongeldige en inactieve e-mails van de lijst - waarom uw nieuwsbrief of aanbiedingen sturen naar iemand die de mail niet eens opent? 

Maar zoals we in de intro al aangaven, is het handmatig opschonen van de e-maillijst niet bepaald een optie wanneer je enkele duizenden namen op de lijst hebt staan. Hier is waar e-mailverificatie-instrumenten zoals Bouncer komen van pas, omdat zij het meeste zware werk in verband met de verificatie van de adressen op de lijst voor hun rekening kunnen nemen.

Maar hoe vindt u een betrouwbare e-mailverificatiedienst die geen puinhoop van uw lijst maakt? En vooral, die uw e-maillijst ook volledig veilig houdt. 

Het gebruik van een verificatiedienst die SOC2-conform is, is het antwoord. Waarom? Hier zijn een paar redenen.

Bescherming van gevoelige e-mailgegevens

Door te werken met een SOC2-conforme verificatiedienstverlener kunt u er zeker van zijn dat hij weet hoe hij goed moet zorgen voor gevoelige informatie in uw e-maillijsten en de e-mails zelf. 

Zo worden alle e-mails die via Bouncer gaan automatisch gehasht, en ook de klantgegevens in onze databases zijn versleuteld. 

Vermindering van het risico van datalekken

Bij een SOC2-audit wordt gecontroleerd of de serviceproviders de beveiligingspraktijken van de sector op orde hebben en weten hoe ze met onverwachte situaties moeten omgaan. Op die manier wordt het risico op een inbreuk (door een fout van een werknemer of door een cyberaanval) geminimaliseerd. Als dit niet gebeurt, loopt u het risico op veelvoorkomende cyberbeveiligingsbedreigingen zoals diefstal van creditcardsphishing en identiteitsdiefstal. 

 Handhaving van de gegevensintegriteit tijdens het verificatieproces

Als je een lijstverificatietool gebruikt, wil je een opgeschoonde lijst met geverifieerde e-mails waarnaar je meteen je e-mails kunt sturen. Maar zeker geen lijst met corrupte of ontbrekende adressen die je zelf ook moet opschonen.

SOC2-conforme dienstverleners kunnen garanderen dat dergelijke dingen niet zullen gebeuren, omdat hun dienst al is gescand op soortgelijke problemen. U kunt er dus zeker van zijn dat de tool uw tijd (en zenuwen) zal besparen in plaats van ze te verspillen.

Het verkrijgen van nauwkeurige en consistente verificatieresultaten

De SOC2-audit controleert ook hoe betrouwbaar de dienst is en hoe goed hij onder belasting kan werken. Dus wanneer u een SOC2-conforme dienst gebruikt, kunt u er zeker van zijn dat u nauwkeurige resultaten krijgt, ongeacht hoe groot uw lijst is of hoeveel mensen de dienst op dat moment gebruiken.

Blijk geven van inzet voor gegevensbeveiliging

Wat is een betere manier om aan een klant te bewijzen dat een dienstverlener cyberbeveiliging serieus neemt dan een SOC2 compliance badge op zijn website te tonen? 

Door voor de audit te slagen, kunnen dienstverleners bewijzen dat zij weten hoe zij de gegevens in hun systemen moeten beschermen tegen schade en dat zij over de juiste instrumenten en procedures beschikken om hun infrastructuur tegen cyberaanvallen te beschermen.

Het vertrouwen en de geloofwaardigheid van de klant vergroten

Als het SOC2-auditrapport beschikbaar is om te lezen voor alle bezoekers, is dat een goede manier om enkele vragen over beschikbaarheid of beveiliging te beantwoorden die bezoekers zouden kunnen hebben. 

Als ze zich bijvoorbeeld zorgen maken over een mogelijke downtime van de service of een specifieke service voor e-mailversleutelingDe informatie in het auditrapport moet hen geruststellen. En als ze zien dat ze erop kunnen vertrouwen dat de serviceprovider hun gegevens veilig bewaart, zijn ze ook eerder geneigd om de providers hun eigen e-maillijsten toe te vertrouwen. 

Voldoen aan de verwachtingen van de klant

Nu er elke dag zoveel cyberaanvallen plaatsvinden en de gevolgen ernstig kunnen zijn, verwachten klanten dat bedrijven cyberbeveiliging en gegevensbescherming als topprioriteit behandelen. 

Daarom vragen steeds meer bedrijven die zakelijke diensten zoeken eerst of de dienstverlener SOC2-conform is voordat ze besluiten de dienst af te nemen - om er zeker van te zijn dat hun bedrijfsgegevens volledig veilig zijn. 

Uit één verslag blijkt bijvoorbeeld dat 33% van de bedrijven Volgens het onderzoek vragen klanten naar SOC 2-certificaten wanneer zij onderzoeken hoe een bepaald bedrijf zijn gegevens beveiligt. 

Op die manier kunnen de SOC2-badge en het auditrapport op uw website u een voorsprong geven op uw concurrenten. 

Bouncer: Een SOC2-conform hulpmiddel voor e-mailverificatie

Voor ons bij Bouncer is het een prioriteit dat de gegevens die via onze service worden doorgegeven zo veilig mogelijk zijn. We zijn dan ook blij te kunnen zeggen dat we sinds februari 2023 SOC2 Type 1 compliant zijn (Type 2 is in ontwikkeling!).

Onze dienst werd getest door SOC2 auditors voor:

• Beveiliging van gegevens en infrastructuur,
• Beschikbaarheid van de dienst
• Vertrouwelijkheid.

Op basis van de auditresultaten hebben wij vervolgens verschillende beveiligingsmaatregelen uitgewerkt en uitgevoerd, waardoor wij binnen ons platform een beveiliging op vestingniveau hebben opgebouwd.   

Hoe Bouncer voldoet aan de eisen van SOC2 compliance

Wat hebben we precies gedaan om onze e-mailverificatiedienst betrouwbaarder, veerkrachtiger en veiliger te maken? 

Regelmatige beveiligingsaudits en -beoordelingen

We treden minstens één keer per jaar op:

• Een risicobeoordelingsaudit
• Een penetratietest (uitgevoerd door een derde partij)
• Een herziening van ons toegangscontrolebeleid en Organigram.

Eenmaal per kwartaal laten we een kwetsbaarheidsscan uitvoeren voor onze productieomgeving.

Veiligheidsmaatregelen uitgevoerd door Bouncer

Wij hebben ook verbeterd hoe de gegevens binnen ons bedrijf worden gebruikt en opgeslagen door:

• Een versiebeheersysteem gebruiken om broncode, documentatie en ander belangrijk materiaal te beheren. 
• Zowel voor werknemers als voor klanten is er een geschetste procedure voor het melden van incidenten en problemen op het gebied van beveiliging, vertrouwelijkheid, integriteit en beschikbaarheid aan het management. 
• Opstellen van een incidentenbestrijdingsplan en toewijzing van speciale medewerkers aan het responsteam.  

Wij gebruiken ook de Drata-platform om het beleid, de procedures en de IT-infrastructuur van het bedrijf te controleren om ervoor te zorgen dat onze werknemers de industrienormen naleven.

Encryptie

Alle gegevens in ons platform (zowel opgeslagen op fysieke apparaten als in de cloud) zijn versleuteld via SSL/TLS-encryptie. Bovendien wordt de informatie in alle door het bedrijf uitgegeven laptops ook automatisch versleuteld via Full disk-encryptie.

Toegangscontrole en toezicht

• Wij gebruiken het "least privilege policy" voor klantgegevens, wat betekent dat werknemers alleen toegang hebben tot de klantgegevens die zij nodig hebben voor hun werk.
• Om toegang te krijgen tot of wijzigingen toe te voegen aan het versiebeheersysteem, moeten medewerkers beheerdersrechten hebben
• Voor toegang tot gevoelige gegevens en toepassingen vereisen wij een tweefactorauthenticatie in de vorm van een gebruikers-ID, wachtwoord, OTP en/of certificaat.

Maar dat is slechts een fractie van het werk dat we hebben gedaan om ervoor te zorgen dat ons platform volledig veilig is. 

Voor meer informatie over de beveiligingspraktijken die we na de audit hebben ingevoerd (en wat we doen om ervoor te zorgen dat we onze beveiliging op vestingniveau handhaven), kunt u het volgende lezen volledig veiligheidsrapport gemaakt door Drata dat beschikbaar is op onze website.

De impact van SOC2-conformiteit op de prestaties en betrouwbaarheid van Bouncer 

Het harde werk was het echter meer dan waard. Dankzij de SOC2-audit konden we veel meer te weten komen over de beveiliging van onze diensten en infrastructuur en konden we plaatsen vinden waar we onze e-mailverificatiedienst nog beter konden maken. 

Dus op die manier heeft de controle ons geholpen:

• Onze e-mailverificatiedienst beter beschermen tegen cyberdreigingen
• Een hoogwaardige en betrouwbare service voor al onze klanten waarborgen
• Onze zakenpartners verzekeren dat hun gegevens veilig in onze handen zijn.     

Bent u op zoek naar een tool voor lijstverificatie met een uitstekend nauwkeurigheidspercentage en robuuste maatregelen voor gegevensbescherming? Bouncer staat klaar om u te helpen - of u nu duizenden of miljoenen adressen hebt, u krijgt in een mum van tijd een frisse en actieve e-maillijst.   

En als u eerst wilt testen hoe Bouncer werkt, kunt u controleer uw eerste e-mailadressen volledig gratis 🙂 

Wilt u zelf eens kijken hoe schoon uw lijst kan zijn, met onze hulp?  

Zorg ervoor dat u een SOC2 Compliance vriendelijke tool kiest

Hulpmiddelen voor e-mailverificatie kunnen een fantastische hulp zijn voor uw bedrijf. Geef ze gewoon een lijst met e-mailadressen die u hebt, en ze zullen alle adressen markeren die uw e-mails misschien nooit zullen openen. Dus waarom zou u er tijd en geld aan besteden? 

Om er echter zeker van te zijn dat u (en uw werknemers) de enige mensen zijn die de lijst gebruiken, moet u op zoek gaan naar e-mailverificatiediensten met een uitstekende beveiliging. En een SOC2 compliance badge, zoals die u kunt zien op onze Bouncer pagina, is precies een teken van die beveiliging. 

Met de app aan uw zijde kan het hele zware werk van het opschonen van uw lijst voor u worden gedaan - en zodra de nieuwe lijst klaar is, verstuurt u meteen uw nieuwsbrieven of aanbiedingen.

Veelgestelde vragen over SOC2-naleving

Wat is SOC2-compliance en waarom is het belangrijk voor dienstverleners?

SOC2 is een door het American Institute of Certified Public Accountants (AICPA) vastgestelde beveiligingsnorm die het vermogen van een dienstverlenend bedrijf meet om de privacy, veiligheid en vertrouwelijkheid van klantgegevens te beschermen.

Tijdens een SOC2-audit kunnen dienstverleners meer te weten komen over hoe ze gevoelige informatie kunnen beschermen tegen datalekken of ongeoorloofde toegang en hoe ze hun interne beveiliging kunnen versterken. 

Hoe profiteren dienstverleners en hun klanten van SOC2-compliance?

Door te slagen voor een SOC2-audit laten dienstverlenende organisaties zien dat zij weten hoe zij bedrijfsgegevens en hun diensten kunnen beschermen tegen inbreuken, misbruik en cyberaanvallen. Dat kan hun klanten geruststellen, vooral degenen die een hoog beveiligingsniveau eisen van de clouddiensten die zij gebruiken. 

Hoe kan een SOC2-audit nuttig zijn voor e-mailverificatiediensten?

Providers van e-mailverificatie verwerken veel gevoelige informatie, zoals e-mailadressen en persoonlijke gegevens van klanten. Door de SOC2-audit te doorlopen, kunnen zij te weten komen hoe goed de gegevens in hun netwerk worden beschermd en wat zij kunnen verbeteren om hun diensten veerkrachtiger te maken.