SOC 2 Danışmanlığı — ABD Pazarının Güven Belgesi
ABD'deki kurumsal bir alıcı "SOC 2 raporunuz var mı?" diye sorduğunda "hayır" yanıtı çoğu zaman satışı orada bitirir. SOC 2, SaaS şirketlerinin müşteri verilerini güvenli tuttuğunu, sistemlerinin erişilebilir olduğunu ve gizliliği koruduğunu bağımsız bir CPA denetçisi aracılığıyla kanıtladığı uluslararası standarttır. Kapsam belirleme ve kontrol tasarımından readiness assessment ve denetçi koordinasyonuna kadar tüm süreci yönetiriz.
Bu hizmet hangi sorunu çözer?
SOC 2'nin zorlu yanı uyumun belgesel değil operasyonel olması gerektiğidir. Denetçi; politika belgelerini değil, kontrollerin gerçekte çalışıp çalışmadığını kanıtlarla (log, ekran görüntüsü, değişiklik kaydı) doğrular. Type II raporu için bu kanıtların en az 6 aylık bir gözlem dönemini kapsaması gerekir. Hazırlıksız şirketler denetim sürecinde koşuşturmaya, bulgu yığınına ve pahalı ertelemeye takılır.
- ABD kurumsal satışın önünde güven engeli — "güvenlik sorusu" yanıtsız kalır
- Due diligence sürecinde yatırımcı veya alıcı güven kaybı
- AWS/Salesforce/Okta gibi platform iş ortaklıklarında eleme
- Rakiplerin SOC 2 raporuyla size karşı rekabet avantajı kazanması
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Kapsam Belirleme
- Hangi Trust Service Criteria (TSC) dahil edileceği — Security zorunlu; Availability, Confidentiality, Privacy isteğe bağlı
- Sistem ve hizmet sınırlarının belirlenmesi
- Type I (tasarım) vs Type II (çalışma etkinliği) seçimi
- Gözlem dönemi planlaması
Kontrol Tasarımı ve Dokümantasyonu
- Common Criteria (CC) kontrol matrisinin kurumunuza uyarlanması
- Teknik kontroller: erişim yönetimi, şifreleme, izleme, değişiklik yönetimi
- Prosedürel kontroller: işe alım/çıkış, eğitim, olay müdahalesi, vendor yönetimi
- Kanıt toplama ve belgeleme planı
Readiness Assessment
- Her kontrolün tasarım etkinliğinin değerlendirilmesi
- Kanıt boşluklarının ve düzeltilmesi gereken alanların tespiti
- Denetimden önce simülasyon sorgulama
- Denetçi seçimi ve zamanlama danışmanlığı
Denetim Koordinasyonu
- CPA denetçisiyle ilk görüşme ve kapsam mutabakatı
- Kanıt paketleme ve denetçiye sunma
- Denetim sürecinde soru/yanıt koordinasyonu
- Bulgu ve istisna yönetimi
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Production erişimi MFA olmadan mümkün
Geliştirici hesaplarının üretim ortamına tek faktörlü kimlik doğrulamayla erişebildiği tespit edildi; CC6.1 ve CC6.3 ihlali.
ÖneriTüm üretim erişimine MFA zorunluluğu; just-in-time erişim ve erişim log kaydı.
Değişiklik yönetimi prosedürü kağıt üzerinde, pratikte uygulanmıyor
Kod değişiklikleri gözlem dönemi boyunca incelendiğinde peer review kaydı olmayan commit'ler tespit edildi.
ÖneriKod tabanında branch koruma kuralları; tüm merge'ler için zorunlu onay akışı uygulayın.
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- SOC 2 kapsam ve sınır belgesi
- Kontrol matrisi (TSC gereksinimlerine eşlenmiş)
- Kanıt toplama planı ve şablonları
- Readiness assessment raporu
- Denetçi koordinasyonu ve sorgu yanıt desteği
- Nihai SOC 2 raporu (denetçiden — bağımsız)
Kimler için?
- ABD'deki kurumsal müşteriye satış yapan veya yapmayı hedefleyen SaaS şirketleri
- AWS Marketplace, Salesforce AppExchange gibi platformlarda listelenmek isteyenler
- ABD yatırımcısından fon alan veya almak isteyen erken/orta evre şirketler
Bu hizmeti ne zaman düşünmelisiniz?
- Potansiyel bir ABD müşterisi SOC 2 raporu istediğinde
- Satış döngüsünde "güvenlik sorusu" tekrar tekrar konuşma sürecini yavaşlattığında
- Yatırım turu veya M&A due diligence sürecine girilmeden önce
SOC 2 Type I mi, Type II mi?
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| Ne kanıtlar | Kontroller tasarım olarak uygun | Kontroller 6+ ay süreyle etkin çalıştı |
| Süre | 3-4 ay | 9-12 ay |
| Müşteri isteği | Hızlı güvence için geçici kabul | Kurumsal alıcıların çoğu Type II istiyor |
| Strateji | Type II'ye köprü | Nihai hedef |
Sıkça Sorulan Sorular
SOC 2 ne kadar sürer?
Maliyeti nedir?
ISO 27001'im varsa SOC 2 daha kolay olur mu?
Hangi denetçi firmayla çalışıyorsunuz?
İlgili hizmetler, araçlar ve rehberler
SOC 2 Danışmanlığı için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.