SOC 2 vs Cybersecurity Audit: পার্থক্য, স্কোপ, উদ্দেশ্য ও কমপ্লায়েন্স গাইড
SOC 2 কী? (Service Organization Control 2)
SOC 2 হলো AICPA (American Institute of CPAs) বিকাশিত একটি অডিটিং ফ্রেমওয়ার্ক যা সার্ভিস অর্গানাইজেশন (SaaS, Cloud Provider, Data Center, Managed Services) কাস্টমার ডেটা কীভাবে রক্ষা করে তা যাচাই করে। এটি Trust Services Criteria (TSC) অনুযায়ী পাঁচটি প্রিন্সিপাল কভার করে:
| TSC প্রিন্সিপাল | বিবরণ |
|---|---|
| Security (Common Criteria) | সিস্টেম অনধিকার অ্যাক্সেস থেকে রক্ষিত (বাধ্যতামূলক) |
| Availability | সিস্টেম অপারেশনাল ও অ্যাক্সেসিবল (SLA অনুযায়ী) |
| Processing Integrity | সিস্টেম প্রসেসিং সম্পূর্ণ, বৈধ, সঠিক, টাইমলি, অথোরাইজড |
| Confidentiality | গোপন তথ্য সুরক্ষিত (NDA, ক্লাসিফিকেশন, এনক্রিপশন) |
| Privacy | পারসোনাল ইনফরমেশন কালেকশন, ইউজ, রিটেনশন, ডিসপোজাল (GDPR/CCPA) |
SOC 2 Type 1 vs Type 2
| টাইপ | স্কোপ | সময় | রিগর |
|---|---|---|---|
| Type 1 | নির্দিষ্ট সময়ে (Point-in-time) কন্ট্রোল ডিজাইন | একক সময় বিন্দু | কম রিগরস |
| Type 2 | এক định সময়কালে (৬-১২ মাস) কন্ট্রোলের অপারেটিং ইফেক্টিভনেস | ৬-১২ মাস | অনেক বেশি রিগরস, স্ট্যান্ডার্ড |
Cybersecurity Audit কী?
Cybersecurity Audit হলো সংস্থার পুরো টেকনোলজি ইনফ্রাস্ট্রাকচারের ব্যাপক রিভিউ ও অ্যানালাইসিস যা ভালনারেবিলিটি, হাই-রিস্ক প্র্যাকটিস, থ্রেট ও слабоতাগুলো শনাক্ত করে। এটি একটি ব্রডার টার্ম যা ইন্টারনাল বা এক্সটার্নাল হতে পারে।
SOC 2 vs Cybersecurity Audit - মূল পার্থক্য
| দিক | SOC 2 Audit | Cybersecurity Audit | |
|---|---|---|---|
| উদ্দেশ্য | সার্ভিস প্রোভাইডারের কন্ট্রোল ইফেক্টিভনেস প্রমাণ (কাস্টমারের জন্য) | সংস্থার নিজস্ব সিকিউরিটি পজিশন আセス করা (ইন্টারনাল/রেগুলেটরি) | |
| স্কোপ | স্পেসিফিক সার্ভিস/সিস্টেম (TSC প্রিন্সিপাল অনুযায়ী) | পুরো IT ইনফ্রাস্ট্রাকচার (Network, Endpoint, Cloud, App, People, Process) | |
| অডিটর | লাইসেন্সপ্রাপ্ত CPA ফার্ম (Independent) | ইন্টারনাল অডিট টিম / এক্সটার্নাল কনসালট্যান্ট / রেগুলেটর | |
| আউটপুট | SOC 2 Report (Type 1/2) - কাস্টমার শেয়ার করা যায় | অডিট রিপোর্ট, ফাইন্ডিংস, রিকমেন্ডেশন, রেমেডিয়েশন প্লান | |
| ফ্রিকোয়েন্সি | সালানা (Type 2) | সালানা, অর্ধবার্ষিক, বা ট্রিগার-ভিত্তিক (ইনসিডেন্ট, কমপ্লায়েন্স) | |
| রেগুলেটরি বাধ্যতা | কন্ট্রাক্টুয়াল (কাস্টমার চাইলে) | প্রায়শই বাধ্যতামূলক (HIPAA, PCI-DSS, SOX, GDPR, NYDFS) | |
| ফোকাস | Trust Services Criteria (Security, Availability, Confidentiality, Privacy, PI) | Risk-based, Threat-based, Compliance-based, Maturity-based |
SOC for Cybersecurity ( আলাদা একটি ফ্রেমওয়ার্ক)
AICPA-এর SOC for Cybersecurity হলো একটি আলাদা রিপোর্টিং ফ্রেমওয়ার্ক যা সংস্থার Cybersecurity Risk Management Program ইভ্যালুয়েট করে। এর ৩টি কম্পোনেন্ট:
- Description Criteria: এন্টিটিয়ার সাইবার রিস্ক ম্যানেজমেন্ট প্রোগ্রামের বর্ণনা
- Control Criteria: Trust Services Criteria (Security, Availability, Confidentiality)
- CPA Attestation: কন্ট্রোলের ইফেক্টিভনেস ওপিনিয়ন
SOC 2 কমপ্লায়েন্স কারা প্রয়োজন?
- SaaS কোম্পানি, ক্লাউড প্রোভাইডার, ম্যানেজড সার্ভিস প্রোভাইডার (MSP)
- ডেটা প্রসেসিং আউটসোর্সিং কোম্পানি
- ফিনটেক, হেলথটেক, এডটেক - যারা কাস্টমার ডেটা হ্যান্ডেল করে
- B2B এন্টারপ্রাইজ সেলস-এ Competitive Advantage
Cybersecurity Audit বেস্ট প্র্যাকটিস
- সিকিউরিটি পলিসি রিভিউ ও আপডেট
- রিস্ক অसेসমেন্ট আপডেট (NIST CSF, ISO 27001, FAIR)
- নেটওয়ার্ক আর্কিটেকচার রিভিউ (Zero Trust, Segmentation)
- বিজনেস কমপ্লায়েন্স ম্যাপিং (GDPR, HIPAA, PCI-DSS, SOX)
- ওয়ার্কপ্লেস সিকিউরিটি স্ট্যান্ডার্ড (Clean Desk, Visitor Policy)
- ইন্টারনাল সিকিউরিটি অডিট (Self-Assessment)
- পেনিট্রেশন টেস্টিং / রেড টিমিং (সালে একবার)
- থার্ড-পার্টি ভেন্ডর রিস্ক অсеসমেন্ট
SOC 2 অডিট প্রসেস ও টাইমলাইন
- Readiness Assessment: ২-৩ মাস (Gap Analysis)
- Remediation: ৩-৬ মাস (কন্ট্রোল ইমপ্লিমেন্ট, ইভিডেন্স কালেকশন)
- Type 1 Audit: ২-৪ সপ্তাহ (Point-in-time)
- Type 2 Observation Period: ৬-১২ মাস
- Type 2 Audit Fieldwork: ২-৪ সপ্তাহ
- Report Issuance: ২-৪ সপ্তাহ
মোট সময়: ১২-১৮ মাস (Type 2 পাওয়ার জন্য)
কেন SOC 2 গুরুত্বপূর্ণ?
- কাস্টমার ট্রাস্ট ও কনফিডেন্স বিল্ড করে
- কন্ট্রাক্টুয়াল রিকোয়ারমেন্ট পূরণ (Enterprise Sales)
- রেগুলেটরি কমপ্লায়েন্সের ফাউন্ডেশন (HIPAA, GDPR ওভারল্যাপ)
- ইনসিডেন্ট রেসপন্স রেডিনেস উন্নত করে
- বোর্ড/ইনভেস্টর কনফিডেন্স
