SOC 2 Nedir? Güvenlik ve Uyum Rehberi

SOC 2, bir hizmet sağlayıcının güvenlik kontrollerini gerçekten tasarlayıp uyguladığını bağımsız denetimle gösteren rapordur. Güvenlik temel kriterdir; hizmete göre kullanılabilirlik, işlem bütünlüğü, gizlilik ve mahremiyet de incelenebilir. Type I tek tarihli, Type II ise belirli dönem boyunca yapılan testleri içerir.

SOC 2 tam olarak neyi ölçer?

SOC 2, bir hizmet kuruluşunun müşteri verilerini ve hizmetlerini korumak için uyguladığı kontrollerin bağımsız bir denetçi tarafından değerlendirilmesini sağlayan raporlama çerçevesidir. Rapor; güvenlik, kullanılabilirlik, işlem bütünlüğü, gizlilik ve mahremiyet kriterlerinden kuruluşun seçtiklerini inceler. Bir sertifika değil, belirli bir kapsam ve dönem için hazırlanmış denetim raporudur.

SOC 2 nedir sorusunun kısa yanıtı budur: Bir hosting şirketinin, SaaS platformunun veya veri işleyen başka bir hizmet sağlayıcının güvenlik kontrollerini nasıl tasarladığını ve uyguladığını gösteren bağımsız güvence raporu. AICPA’nın Trust Services Criteria çerçevesi kullanılır; denetimi yetkili bağımsız bir CPA firması yürütür.

SOC 2’nin hedefi yalnızca güvenlik duvarı veya şifreleme kontrolü görmek değildir. Erişim yetkilerinin düzenli incelenmesi, değişikliklerin onaylanması, olayların izlenmesi, yedeklerin doğrulanması ve çalışanların görev ayrılığı gibi süreçler de kapsama girebilir.

Ne yapılmalı – Bir hizmet sağlayıcıdan SOC 2 raporu isterken raporun kapsamını, tarih aralığını ve incelenen Trust Services Criteria başlıklarını birlikte kontrol edin.

SOC 2 raporundaki beş güven kriteri nedir?

AICPA’nın Trust Services Criteria çerçevesinde beş güven kriteri bulunur. Güvenlik temel kriterdir; diğerleri hizmetin niteliğine ve müşteri sözleşmelerine göre seçilebilir.

Bu başlıklar her raporda aynı genişlikte yer almaz. Örneğin bir veritabanı yedekleme hizmeti için kullanılabilirlik ve gizlilik kritik olabilirken, kişisel veri işlenmeyen bir altyapı hizmetinde mahremiyet kriteri kapsam dışında bırakılabilir.

Seçim yapılırken satış sunumuna değil, hizmetin gerçek veri akışına bakılmalıdır. Müşteri verisi nerede tutuluyor, kim erişiyor, hizmet kesildiğinde hangi iş etkileniyor? Kapsam bu soruların yanıtından çıkar.

Ne yapılmalı – Tedarikçinin raporunda hangi kriterlerin gerçekten incelendiğini sözleşme öncesinde yazılı olarak teyit edin.

SOC 2 Type I ve Type II arasındaki fark nedir?

SOC 2 Type I, kontrollerin belirli bir tarihte uygun biçimde tasarlanıp tasarlanmadığını değerlendirir. SOC 2 Type II ise kontrollerin belirli bir dönem boyunca tasarlandığı şekilde çalışıp çalışmadığına dair işletim etkinliği testleri içerir. Type II daha uzun süreli kanıt gerektirir; tek başına “daha güvenli” anlamına gelmez.

Type II raporunda inceleme dönemi, test edilen kontrol örnekleri ve varsa istisnalar dikkatle okunmalıdır. Raporun tarihi güncel olsa bile kapsama alınan dönem aylar önce bitmiş olabilir. Bu nedenle rapor tarihinden önce period covered bilgisini kontrol etmek gerekir.

Bir hizmet sağlayıcının yalnızca “SOC 2 uyumluyuz” demesi de yeterli değildir. Hangi tür rapora sahip olduğu, hangi hizmetlerin kapsama dahil edildiği ve istisna bulunup bulunmadığı sorulmalıdır.

Denetim süreci nasıl ilerler?

SOC 2 hazırlığı bir klasör doldurma işi değildir. Önce hizmetin sınırları belirlenir; uygulamalar, veri depoları, bulut hesapları, ofis süreçleri ve dış tedarikçiler bu sınır içinde değerlendirilir. Ardından kontrol hedefleri tanımlanır ve her kontrol için kanıt üretme yöntemi belirlenir.

1. Kapsamı ve kriterleri belirleme

Hangi ürünün, veri merkezinin, operasyon ekibinin ve müşteri verisinin rapora dahil olduğu yazılı hale getirilir. Kapsam çok dar tutulursa rapor müşterinin gerçek riskini göstermeyebilir; gereksiz genişletilirse kanıt toplama maliyeti artar.

2. Risk ve kontrol eşleştirmesi

Risk kayıtları ile kontroller eşleştirilir. Örneğin yetkisiz yönetici erişimi riskine karşı MFA, ayrıcalıklı hesap incelemesi ve erişim iptali prosedürü birlikte ele alınabilir. Her kontrolün sahibi, sıklığı ve beklenen kanıtı bulunmalıdır.

3. Kanıt toplama ve test

Denetçi politika metnini görmekle yetinmez. Erişim listeleri, değişiklik kayıtları, izleme alarmları, eğitim kayıtları, yedekleme testleri ve olay yönetimi kayıtlarından örnekler isteyebilir. Kanıtın tarih aralığı ve kaynağı doğrulanabilir olmalıdır.

4. Raporlama

Denetim bulguları, kontrol açıklamaları, test yöntemleri ve istisnalar rapora girer. Type II raporunda bir kontrolün bazı örneklerde çalışmaması, otomatik olarak tüm hizmetin başarısız olduğu anlamına gelmez; istisnanın kapsamı ve düzeltici faaliyetleri incelenmelidir.

Ne yapılmalı – Her kontrol için sorumlu kişiyi, çalışma sıklığını, kanıt kaynağını ve istisna halinde uygulanacak düzeltmeyi tek bir kayıt üzerinde tutun.

Hizmet sağlayıcıdan hangi kanıtlar istenmeli?

SOC 2 raporu çoğu zaman müşteriye özel bir güvenlik incelemesinin yerine geçmez. Rapor, bağımsız denetim hakkında güçlü bir çerçeve sunar; sizin veri sınıflandırmanızı, sözleşme şartlarınızı ve risk iştahınızı otomatik olarak karşılamaz.

• Raporun türünü ve kapsadığı dönemi isteyin.
• Kapsama giren ürünleri, bölgeleri ve altyapı bileşenlerini doğrulayın.
• Güven kriterlerinden hangilerinin incelendiğini kontrol edin.
• Denetçi görüşünü ve listelenen istisnaları okuyun.
• Alt hizmet sağlayıcıların “carve-out” veya “inclusive” yöntemiyle nasıl ele alındığını sorun.
• Olay bildirimi, veri silme, yedekleme ve geri dönüş sürelerini sözleşmeyle netleştirin.

Özellikle VPS veya yönetilen sunucu hizmeti alırken SOC 2 kapsamı ile müşteri sorumluluklarını ayırmak gerekir. Sağlayıcı fiziksel altyapı, hipervizör ve platform kontrollerini yönetebilir; işletim sistemi güncellemeleri, uygulama erişimleri ve veritabanı yapılandırması müşteride kalabilir. VPS Snapshot Nedir? Anlık Yedekleme Rehberi başlığındaki yaklaşım burada da geçerlidir: sağlayıcının yedeği ile müşterinin geri dönüş sorumluluğu aynı şey değildir.

Ne yapılmalı – Raporu satın alma kararı olarak değil, sağlayıcının kontrolleriyle sizin sorumluluklarınızı karşılaştıran bir kanıt paketi olarak değerlendirin.

SOC 2 ile ISO 27001 aynı şey mi?

Hayır. SOC 2, bir hizmet kuruluşunun belirli güven kriterlerine göre kontrollerini ve bu kontrollerin işletimini raporlayan denetim çerçevesidir. ISO/IEC 27001 ise bilgi güvenliği yönetim sisteminin belirli bir standarda göre kurulmasını ve belgelendirilmesini ele alır.

İki çalışma birlikte yürütülebilir. Ortak kanıtlar; varlık envanteri, erişim yönetimi, olay müdahalesi, tedarikçi değerlendirmesi ve süreklilik testlerinde toplanabilir. Bir standardın varlığı diğerinin otomatik karşılandığını göstermez.

Güvenlik programının teknik tarafında MFA, merkezi loglama ve değişiklik yönetimi gibi kontrollerin gerçekten çalışması gerekir. Örneğin sunucularda temel erişim sertleştirmesi için WinRM Nedir? Windows Sunucularda Uzaktan Yönetim ve Windows Server Core Nedir? GUI’siz Yönetim Rehberi içeriklerinde anlatılan yönetim sınırları, SOC 2 kanıt planına dahil edilebilir; tek başlarına SOC 2 uyumu oluşturmaz.

Teknik ekip SOC 2 hazırlığında ne yapmalı?

Teknik ekip için zor kısım tek bir güvenlik ürünü kurmak değil, süreçlerin düzenli ve geriye dönük kanıtlanabilir biçimde işletilmesidir. Root erişimleri, SSH anahtarları, bulut IAM rolleri, kod depoları ve CI/CD sırları aynı erişim yaşam döngüsünde ele alınmalıdır.

Erişim yönetimi

Çalışan işe başladığında, görev değiştirdiğinde ve ayrıldığında erişim talebi ile iptal kaydı oluşmalıdır. Ayrıcalıklı hesaplar kişiye özel olmalı, ortak root hesabı kullanılmamalı ve MFA mümkün olan her yerde zorunlu tutulmalıdır. Aylık veya üç aylık inceleme sıklığı, risk ve kurum politikasına göre belirlenebilir; incelemenin kanıtı saklanmalıdır.

Değişiklik ve olay yönetimi

Üretim değişiklikleri talep, onay, uygulama ve geri dönüş planı ile izlenmelidir. Acil değişikliklerde sonradan inceleme yapılabilir; “acildi” ifadesi kayıtsız işlem için gerekçe değildir. Olay kayıtlarında başlangıç zamanı, etkilenen sistem, alınan aksiyon ve kapanış nedeni bulunmalıdır.

Yedekleme ve süreklilik

Yedekleme görevinin başarılı görünmesi, geri dönüşün çalıştığını kanıtlamaz. Rastgele dosya geri dönüşü, veritabanı geri yükleme ve kritik hizmetin yeniden ayağa kaldırılması periyodik olarak denenmelidir. Linux sunucularında disk kullanımını incelemek için ncdu, yedek bütünlüğünü yönetmek için borgbackup veya uygun bir kurumsal araç kullanılabilir.

İzleme tarafında uptime ölçümü tek başına yeterli değildir. CPU, bellek, disk gecikmesi, yedekleme başarısı, sertifika süresi ve kritik log hataları ayrı alarmlara bağlanmalıdır. Yedekleme politikası ile gerçek geri dönüş hedefleri arasında fark varsa, bu fark risk olarak kaydedilmelidir.

İşletim sistemi ve uygulama düzeyindeki kontrolleri ayırmak için Ubuntu’da Nginx Kurulumu ve İlk Yapılandırma, Windows Server Yedekleme Nasıl Yapılır? ve Passkey Nedir? Şifresiz Giriş Nasıl Çalışır? kaynaklarındaki teknik ayrıntılar ilgili prosedürlere bağlanabilir.

Ne yapılmalı – Erişim, değişiklik, olay ve yedekleme süreçlerinin her biri için denetçi dışarıdan geldiğinde açılabilecek örnek bir kanıt dosyası hazırlayın.

Rapor nasıl okunur, hangi sınırlara dikkat edilir?

İlk olarak raporun kapsam bölümüne bakın. Şirketin tüm ürünleri tek raporda yer almayabilir; yalnızca belirli bir hizmet, bölge veya tüzel kişilik dahil edilmiş olabilir. “SOC 2 raporu var” cümlesi, satın alınacak hizmetin rapor içinde olduğu anlamına gelmez.

Ardından denetçi görüşünü, yönetimin kontrol açıklamasını ve test sonuçlarını okuyun. Type II raporunda istisnalar listeleniyorsa bunların hangi kontrolü, kaç örneği ve hangi tarihi etkilediği incelenmelidir. Bir istisnanın varlığı otomatik ret sebebi değildir; riskin kullanım senaryosuyla ilişkisi değerlendirilmelidir.

Raporun paylaşım kısıtları da önemlidir. SOC 2 raporları genellikle belirli kullanıcılarla ve gizlilik şartları altında paylaşılır. Rapordaki müşteri verilerini, altyapı ayrıntılarını veya güvenlik kontrollerini herkese açık depolara koymak güvence sürecinin amacına aykırıdır.

Son kontrol, raporun güncelliğidir. İnceleme dönemi sona erdikten sonra geçen süre uzunsa sağlayıcıdan köprü mektubu, güncel kontrol durumu veya değişiklik açıklaması istenebilir. Bu belge yeni bir Type II raporunun yerine geçmez; iki rapor dönemi arasındaki durumu açıklamaya yarar.

Ne yapılmalı – Rapor tarihini, kapsama alınan hizmeti, istisnaları ve sözleşmedeki bildirim sürelerini satın alma dosyanıza ayrı alanlar olarak kaydedin.

SOC 2 Raporunu İncelemeden Önce Şunları Kontrol Edin

• Raporun Type I veya Type II olduğunu doğrulayın.
• Kapsama giren ürünleri, bölgeleri ve altyapıyı listeleyin.
• İncelenen Trust Services Criteria başlıklarını eşleştirin.
• Raporun kapsadığı dönemin bitiş tarihini kaydedin.
• Denetçi görüşünü ve istisnaları okuyun.
• Alt hizmet sağlayıcıların raporda nasıl ele alındığını sorun.
• Kendi erişim, yedekleme ve olay müdahale sorumluluklarınızı yazılı hale getirin.

Sık Sorulan Sorular

Kaynaklar

• ISO – ISO/IEC 27001 Information Security Management Systems — iso.org