Personalens certifikat för SOC 2 och ISO 27001: Vad IT-tjänsteföretag behöver utöver en mapp med PDF:er

En SOC 2 Type II-rapport visar en potentiell kund att era kontroller har testats och hållit under flera månader, med godkännande från en oberoende revisor. Den säger ingenting om huruvida ingenjören som arbetar med kundens konto i dag fortfarande har den certifiering som er egen säkerhetspolicy kräver för rollen. En ISO 27001-certifiering visar kunden att ert ledningssystem för informationssäkerhet klarade en övervakningsrevision. Den säger ingenting om huruvida personen som slutade förra kvartalet tog med sig en certifiering som var avgörande för regelefterlevnaden.

Kundernas due diligence-team ställer allt oftare båda frågorna. De flesta IT-tjänsteföretag kan besvara frågan om systemen på några minuter och frågan om medarbetarna på några dagar, om de alls kan besvara den. Det är samma lucka som generell programvara för hantering av personalens certifikat är byggd för att täppa till, och för team som omfattas av SOC 2 och ISO 27001 tar den sig ett särskilt uttryck.

Så ser en due diligence-förfrågan ut i praktiken

I praktiken kommer den sällan som en enda rak fråga. En potentiell kunds säkerhetsteam skickar ett leverantörsformulär, ofta en mall som SIG Lite eller CAIQ, ibland ett eget formulär som deras inköps- eller InfoSec-funktion har tagit fram. Gömd bland avsnitten om datahantering och incidenthantering finns en rad som efterfrågar belägg för att personal med åtkomst till deras system eller data har aktuella, relevanta säkerhetscertifieringar.

Att besvara den raden ordentligt redan första gången är något helt annat än att besvara den till slut. En due diligence-granskning med en öppen åtgärdspunkt fäller sällan en affär direkt, men den bromsar upp den, leder till följdfrågor och signalerar till kundens säkerhetsteam att svaret inte fanns till hands. Och det är i sig ett slags svar.

Vad SOC 2 och ISO 27001 faktiskt kräver av era medarbetare

SOC 2:s Common Criteria bygger på COSO-ramverket, och CC1.4 ställer en rak fråga: visar organisationen ett åtagande att attrahera, utveckla och behålla kompetenta medarbetare i linje med sina säkerhetsmål? ISO 27001:2022 frågar något liknande via två vägar. Avsnitt 7.2 kräver att organisationer fastställer, säkerställer och dokumenterar kompetensen hos alla vars arbete påverkar informationssäkerhetens prestanda, samma kompetenskrav som finns i ISO 9001 och i alla andra ledningssystemstandarder som bygger på ISO:s gemensamma struktur. Annex A-kontroll 6.3 går sedan längre på den operativa sidan och kräver belägg för att personalen förstår och har utbildats i sitt specifika säkerhetsansvar.

Ingen av standarderna nöjer sig med ett utbildningsintyg som är tre år gammalt. Båda vill ha något som ligger närmare ett svar i realtid: vem i teamet är i dag kvalificerad för det säkerhetskänsliga arbete hen gör, och kan ni visa det utan en veckas varsel?

En mapp med certifikat bevisar närvaro, inte aktuell kompetens

Enskilda säkerhetscertifieringar har sin egen logik för när de löper ut. Den som har en CISSP behöver fortbildningspoäng för att certifieringen ska förbli giltig. En AWS Security Specialty-certifiering löper ut efter tre år om den inte förnyas. En ISO 27001 Lead Implementer- eller Lead Auditor-behörighet har sin egen omcertifieringscykel, skild från organisationens egen ISO-övervakningsrevision. En mapp med PDF:er som samlades in vid anställningen besvarar ingen av de här frågorna löpande. Den visar att någon klarade ett prov en gång, inte att personen fortfarande är aktuell i dag.

MuchSkills följer upp varje certifiering mot just det rollkrav den ska uppfylla, med ett utgångsdatum som ger en signal i god tid innan det blir ett problem. Ingen statisk post som obemärkt blir inaktuell.

Förvärv mångdubblar problemet

IT-tjänste- och cybersäkerhetsföretag växer ofta genom förvärv, och varje förvärvat bolag tar med sig sin egen certifieringshistorik, dokumenterad på sitt eget sätt. En amerikansk IT-tjänsteleverantör med säkerheten i fokus och fler än 1 500 kunder gjorde tre förvärv på ett enda år. Vart och ett av bolagen kom med ett certifieringsregister byggt för eget internt bruk, inte utformat för att kunna stämmas av mot någon annans.

Mönstret är välbekant: ett förvärvat team följde upp säkerhetscertifieringar i en delad mapp, ett annat i ett fritextfält i HR-systemet och ett tredje i det som den avgående compliance-ansvarige råkade komma ihåg. Inget av det besvarar den fråga som kundens due diligence-team faktiskt ställer, som oftast lyder ungefär: i hela leveransteamet som arbetar med vårt konto, vem har vad, och är det fortfarande giltigt? Att stämma av det manuellt efter varje förvärv är ett projekt i sig, och det upprepas varje gång företaget växer.

Så samlade ett IT-tjänsteföretag sina certifieringsbevis

TBS (Telelink Business Services) är ett bulgariskt IT-tjänsteföretag med ISO-certifieringar inom kvalitet, miljö, arbetsmiljö och dataskydd, och har dessutom ett eget Pearson VUE-testcenter. För TBS är certifiering alltså ingen sidofråga, utan något som ligger nära kärnan i verksamheten. Innan företaget började använda MuchSkills låg underlagen om regelefterlevnad och kompetens utspridda i SharePoint, Dynamics 365 och ett egenutvecklat Power BI-lager som skulle knyta ihop de båda.

På frågan om hur det stod sig i jämförelse svarade Hinka S., Learning Coordination Specialist på TBS, enkelt: ”MuchSkills gav oss mer funktionalitet och en verkligt användarvänlig design.” Bytet samlade certifieringsregister som tidigare funnits i tre separata system, och inget av dem var byggt för att snabbt besvara en fråga från en kund eller en revisor.

Den spårbarhet som revisorer och kunder faktiskt vill se

När ett due diligence-team eller en ISO-revisor vid en övervakningsrevision frågar vem som godkände att en certifiering förnyades, eller vad som har ändrats i en post sedan förra granskningen, duger inte ”vi tror att den är aktuell” som svar för någon av dem. MuchSkills loggar varje ändring av en certifiering, oavsett om den läggs till, redigeras, tas bort eller förnyas, med uppgift om exakt vem som gjorde vad. Då räcker det att slå upp svaret i stället för att pussla ihop det ur minnet och gamla mejltrådar.

Certifieringar har ett tredelat ägarskap: medarbetaren laddar upp sitt eget underlag, en chef validerar det och själva kravet är kopplat till rollen snarare än till en namngiven person. Därför är det mer sannolikt att en lucka i täckningen upptäcks före revisionen än under den. Om er Lead Cloud Architect slutar, till exempel, visar rollen fortfarande att en obligatorisk AWS Security-behörighet saknas. Det syns för den som tar över rollen eller nästa gång någon granskar täckningen, i stället för att dyka upp först när en kund eller revisor frågar vem som täcker upp nu. Det fungerar bara om registren hålls aktuella när medarbetare förnyar, lägger till eller låter certifieringar löpa ut. Strukturen uppmuntrar till det, men det sker inte automatiskt.

Där plattformar för compliance-automatisering inte räcker till

De flesta IT-tjänsteföretag som siktar på SOC 2 eller ISO 27001 har redan en plattform för compliance-automatisering på plats. Oftast är det Vanta, Drata eller Secureframe som nämns. Verktygen är byggda för att sköta själva revisionen: löpande kontrollövervakning, insamling av belägg och inbyggd utbildning i säkerhetsmedvetenhet som täcker en del av kravet i A.6.3 eller CC1.4 för alla i organisationen.

Vad de normalt inte är byggda för är att matcha enskilda yrkescertifieringar mot vad specifika roller i ert leveransteam faktiskt kräver, eller att flagga en lucka innan den blir ett problem gentemot kunden. En genomförd modul i säkerhetsmedvetenhet besvarar frågan ”har alla gått utbildningen?”. En giltig CISSP besvarar frågan ”har just den här personen fortfarande behörigheten?”. Belägg för det första r��cker inte för en förfrågan som egentligen gäller det andra.

Nästa steg

En SOC 2-rapport eller ett ISO 27001-certifikat visar att er organisation har klarat en revision. Att när som helst kunna visa att de personer som står bakom den fortfarande är kvalificerade är en helt annan uppgift, och en som aldrig tar slut. Se hur MuchSkills löser hanteringen av personalens certifikat för IT-tjänsteföretag och säkerhetsdrivna organisationer, eller besök sidan om vår Compliance-lösning för att få hela bilden.

Står nästa due diligence-förfrågan från en kund för dörren innan era certifieringsregister är redo? Titta på Compliance Demo. På arton minuter går den igenom precis det här problemet.

‍