ISAE 3402 ve SOC 1, bir işletmenin başka şirketler adına yürüttüğü ve onların mali tablolarını etkileyebilecek işlemlerin kontrol altında yürütüldüğünü bağımsız bir denetçiye onaylatma çerçeveleridir. Bordro işleyen, ödeme toplayan ya da varlık saklayan bir sağlayıcının hatası, doğrudan müşterinin defterlerine yansır; bu iki rapor o hatanın önlendiğine dair kanıt sunar.

SOC 1, bir hizmet sağlayıcının müşterisinin bilançosuna dokunan kontrollerini dışarıdan bir denetçinin gözüyle belgeleyen güvence raporudur.

İki İsim, Aynı Amaç

ISAE 3402 uluslararası denetim standardıdır; SOC 1 ise ABD merkezli AICPA çerçevesinin aynı konuyu ele alan raporudur. Pratikte ikisi büyük ölçüde örtüşür ve çoğu sağlayıcı her iki kitleye de hitap eden bir rapor üretir. Ortak noktaları, kapsamın yalnızca finansal raporlamayı etkileyen kontrollerle sınırlı olmasıdır; genel bilgi güvenliği duruşu bu raporun konusu değildir, o ayrı bir çerçeveye bırakılır.

Tip I ve Tip II Farkı

Rapor iki olgunlukta hazırlanır. Tip I, kontrollerin belirli bir tarihte tasarım olarak doğru kurulduğunu söyler; bir fotoğraf gibidir. Tip II ise genellikle altı ay ile bir yıl arasındaki bir dönem boyunca bu kontrollerin gerçekten işlediğini, denetçinin örnekleme yaparak test ettiğini gösterir; bu bir film gibidir. Müşteriler ağırlıklı olarak Tip II ister, çünkü kâğıt üzerinde var olan bir kontrolün fiilen çalışıp çalışmadığı asıl merak edilen sorudur.

• Tip I: kontrollerin belirli bir tarihteki tasarımını değerlendirir
• Tip II: kontrollerin bir dönem boyunca işleyişini örneklemeyle test eder
• Tamamlayıcı kullanıcı kontrolleri: müşterinin kendi tarafında yerine getirmesi gereken sorumluluklar

Raporu Kim Okur, Neye Yarar?

SOC 1’in asıl okuyucusu müşterinin denetçisidir. Bir şirketin bağımsız denetimi yapılırken, dışarıya verilmiş süreçlerin kontrolleri de değerlendirilmek zorundadır; denetçi her sağlayıcıyı tek tek denetlemek yerine bu raporu delil olarak kullanır. Bu yönüyle SOC 1, iç denetim ve bağımsız denetim süreçlerinin dış hizmetlere uzanan kolunu tamamlar ve tedarik zincirindeki güven boşluğunu doldurur.

SOC 2 ve Diğer Çerçevelerle İlişkisi

SOC 1’in finansal odağı onu benzer isimli raporlardan ayırır. Güvenlik, erişilebilirlik ve gizlilik gibi konuları merak eden bir müşterinin sorduğu şey aslında SOC 2 denetimi kapsamındadır; bulut altyapısına özgü sorumluluk paylaşımı ise bulut uyum denetimi alanına girer. Bir sağlayıcının hangi raporu sunduğunu ayırt etmek, üçüncü taraf risk yönetimi değerlendirmesinde doğru soruyu sormanın ilk adımıdır.

Denetime Hazırlanmak

Bir Tip II raporunu ilk kez almaya hazırlanan kuruluş, kontrollerini yalnızca tanımlamakla kalmaz; denetim döneminin başından itibaren onları düzenli işletip kanıtını da biriktirmek zorundadır. Erişim kayıtları, değişiklik onayları ve mutabakat çıktıları dönem boyunca tutulur. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, bu kontrollerin denetçi karşısına çıkmadan önce hem tasarım hem işleyiş yönünden tutarlı hâle getirilmesine odaklanır.