Trust Services Criteria: fundament onder SOC 2
De vijf principes van betrouwbaarheid in SOC 2
De Trust Services Criteria vormen het normenkader waarop SOC 2-verklaringen zijn gebaseerd. Deze criteria zijn opgesteld door de American Institute of Certified Public Accountants (AICPA) en richten zich op vijf aspecten die essentieel zijn voor betrouwbare IT-dienstverlening:
Beveiliging (Security)
Bescherming van systemen tegen ongeautoriseerde toegang en wijzigingen.
Beschikbaarheid (Availability)
De beschikbaarheid van systemen en diensten zoals overeengekomen met klanten.
Verwerkingsintegriteit (Processing Integrity)
Juistheid, volledigheid en tijdigheid van gegevensverwerking.
Vertrouwelijkheid (Confidentiality)
Bescherming van gevoelige informatie tegen onbevoegde inzage.
Privacy
Verzameling, opslag, gebruik en bescherming van persoonsgegevens volgens geldende wetgeving.
Toepassing op maat: criteria kiezen per dienst en risico
Niet alle vijf de criteria hoeven altijd van toepassing te zijn. Het criterium ‘beveiliging’ is altijd in scope. Afhankelijk van de aard van jouw dienstverlening en de risicoanalyse kies je samen met de auditor welke andere criteria relevant zijn. Bij SaaS-leveranciers zijn beveiliging en beschikbaarheid vrijwel altijd van toepassing; bij gegevensverwerkers komen vaak ook vertrouwelijkheid en privacy aan bod.
Rol van de criteria in de beoordeling
De auditor gebruikt de Trust Services Criteria om te toetsen:
De criteria zijn onderverdeeld in subprincipes zoals risicobeoordeling, monitoring, beleidsvorming en toegangsbeheer. Deze bieden handvatten voor inrichting en toetsing.
Koppeling met COSO en risicomanagement
De Trust Services Criteria zijn afgestemd op het COSO-framework en sluiten aan bij internationale risicomanagementprincipes. Dit maakt het mogelijk om SOC 2 te integreren met bredere compliance- en governanceprogramma’s binnen jouw organisatie.
