SOC 2 Type II denetimi nedir? Güvenilirlik kriterleri (TSC), SaaS ve B2B yazılım şirketlerinde denetim süreci ve hazırlık rehberini inceleyin. İnceleyin.
Hızlı Özet (TL;DR)
SOC 2 (System and Organization Controls 2), Amerikan Yeminli Mali Müşavirler Enstitüsü (AICPA) tarafından geliştirilmiş; bulut tabanlı yazılım (SaaS), B2B kurumsal teknoloji, veri merkezi ve yönetilen BT hizmeti (MSP) sunan firmaların müşteri verilerini nasıl koruduğunu bağımsız denetçiler (CPA) eliyle değerlendiren küresel güvence standardıdır. SOC 2 Type I, bir teknoloji şirketinin güvenlik kontrollerinin belirli bir tarihteki (anlık fotoğraf) tasarım uygunluğunu doğrular; SOC 2 Type II ise bu güvenlik, erişilebilirlik ve gizlilik kontrollerinin 6 ila 12 aylık bir denetim dönemi boyunca gerçek hayatta kesintisiz, tavizsiz ve etkin çalıştığını kanıtlar. Kuzey Amerika, İngiltere ve Avrupa pazarına yazılım ihraç eden veya küresel şirketlerin tedarik zincirine giren Türk teknoloji ve mühendislik firmaları için SOC 2 Type II raporu artık ticari sözleşmelerin ön şartıdır.
B2B Yazılım ve Teknoloji İhracatında SOC 2 Neden Kritik Bir Eşik Haline Geldi?
Küresel ölçekte faaliyet gösteren kurumsal bir şirkete (Enterprise) bir ERP modülü, üretim yönetim yazılımı (MES), finansal teknoloji çözümü veya bulut tabanlı bir B2B platform satmaya çalıştığınızda, satış ekibinizin karşısına satın alma departmanından önce Bilgi Güvenliği ve Tedarikçi Risk Yönetimi (Vendor Risk Management - VRM) ekibi çıkar. Müşteri kendi verisini, üretim planlarını veya çalışan bilgilerini sizin yazılımınıza emanet etmeden önce yüzlerce sorudan oluşan ağır bir güvenlik soru listesi (Security Questionnaire) gönderir.
Eğer bağımsız bir SOC 2 Type II raporunuz varsa, bu uzun ve yıpratıcı güvenlik sorgulamalarını haftalarca yanıtlamak yerine doğrudan denetçi onaylı raporunuzu (NDA - Gizlilik Sözleşmesi kapsamında) paylaşarak satış döngüsünü aylardan günlere indirebilirsiniz. Çünkü SOC 2, bir “duvara asılan tek sayfalık sertifika” değil; şirketinizin kod geliştirme (CI/CD) süreçlerinden sunucu sanallaştırma güvenliğine, güvenlik duvarı loglarından personel işe alım/çıkış prosedürlerine kadar her detayı test sonuçlarıyla açıklayan 80 ila 150 sayfalık teknik bir denetim raporudur.
SOC 2 Type I, SOC 2 Type II ve ISO 27001 Karşılaştırması
Teknoloji ve sanayi şirketlerinin sıklıkla birbirine karıştırdığı bu üç temel güvenlik standardı arasındaki mimari farklar aşağıdaki tabloda detaylandırılmıştır:
| Karşılaştırma Kriteri | SOC 2 Type I Raporu | SOC 2 Type II Raporu | ISO/IEC 27001 Sertifikası |
|---|---|---|---|
| Değerlendirme Niteliği | Belirli bir gün/saat itibarıyla güvenlik tasarımının (Design) doğrulanması | 3 - 12 aylık dönem boyunca kontrollerin operasyonel etkinliğinin (Operating Effectiveness) testi | Bilgi Güvenliği Yönetim Sisteminin (BGYS) kurulması ve yıllık gözetim denetimi |
| Kanıt ve Örnekleme | Politika dokümanları, mimari şemalar ve denetim günündeki ekran görüntüleri | Dönem içindeki tüm değişiklik kayıtları, loglar, sızma testi ve rastgele örneklem incelemesi | Risk analizi, Uygulanabilirlik Bildirgesi (SoA), iç tetkik ve yönetim gözden geçirmesi |
| Çıktı Formatı | Detaylı bağımsız denetçi güvence raporu (Sertifika değil, teknik rapor) | Test edilen her kontrolün dönem içi başarı/sapma sonuçlarını içeren kapsamlı rapor | Kamuya açık paylaşılabilen resmi akredite sertifika belgesi |
| Coğrafi ve Sektörel Odak | Hızlı yatırım/ihale sürecindeki SaaS ve teknoloji girişimleri için ilk basamak | ABD, İngiltere, AB kurumsal (Enterprise) B2B yazılım ve bulut tedarikçileri için altın standart | Türkiye, Avrupa ve Asya’da tüm sektörlerde (imalat, hizmet, savunma) evrensel standart |
| Denetim Yetkilisi | AICPA lisanslı bağımsız denetim firmaları (CPA) | AICPA lisanslı bağımsız denetim firmaları (CPA) | Akredite belgelendirme kuruluşları (TÜRKAK, UKAS, DAkkS vb.) |
5 Güvenilirlik Hizmet Kriteri (Trust Services Criteria - TSC)
SOC 2 denetimi, AICPA tarafından tanımlanan 5 temel sütun (Trust Services Criteria - TSC) üzerine inşa edilir. Denetime giren her şirket için birinci kriter olan Güvenlik (Security / Common Criteria) zorunludur; diğer dört kriter ise şirketin sunduğu yazılımın veya hizmetin doğasına göre kapsama dahil edilir:
- Güvenlik (Security - Zorunlu Ortak Kriter): Sistemin, ağın ve verilerin fiziksel ve mantıksal yetkisiz erişimlere, siber saldırılara ve yetki aşımına karşı korunmasıdır. Güvenlik duvarı (NGFW), Web Uygulama Güvenlik Duvarı (WAF), Çok Faktörlü Kimlik Doğrulama (MFA), uç nokta koruması (EDR) ve bağımsız sızma testleri bu sütunda denetlenir.
- Erişilebilirlik (Availability): Yazılımın veya sunucu altyapısının müşteriye taahhüt edilen Hizmet Seviyesi Sözleşmesi (SLA - örneğin %99,9 uptime) boyunca kesintisiz çalışmasıdır. Yedekli sunucu kümeleri, yük dengeleme, DDoS koruması, yedekleme doğrulama testleri ve felaket kurtarma (Disaster Recovery) tatbikatları incelenir.
- İşlem Bütünlüğü (Processing Integrity): Özellikle ERP, MRP, finans, muhasebe ve e-ticaret yazılımlarında sistemin veriyi doğru, eksiksiz, zamanında ve yetkili şekilde işlediğinin kanıtlanmasıdır. Yazılım kalite güvence (QA) testleri, veritabanı işlem (transaction) kontrolleri ve hata izleme logları denetlenir.
- Gizlilik (Confidentiality): Müşteriye ait ticari sırların, teknik çizimlerin (CAD/BOM), fiyat listelerinin ve kaynak kodların korunmasıdır. Verinin diskte (Encryption at Rest - AES-256) ve ağda taşınırken (Encryption in Transit - TLS 1.3) şifrelenmesi, DLP politikaları ve sözleşme bitiminde verinin güvenli imhası kontrol edilir.
- Mahremiyet (Privacy): Sistemde tutulan kişisel verilerin (PII) KVKK ve GDPR ilkelerine uygun olarak toplanması, açık rıza yönetimi, saklama süreleri ve veri sahibi haklarının korunmasıdır.
Kurumsal Yazılım ve BT Şirketleri İçin SOC 2 Type II Hazırlık Adımları
SOC 2 Type II denetiminde denetçi “Bana bugün şifrelemenin açık olduğunu göster” demez; “Geçtiğimiz 9 ay boyunca işe giren 14 yazılımcının yetkilendirme kayıtlarını, yapılan 85 kod güncellemesinin (Pull Request) kimler tarafından onaylandığını ve 9 ay boyunca oluşan tüm kritik güvenlik alarmlarına kaç dakikada müdahale edildiğini kanıtla” der. Bu nedenle hazırlık süreci şu mühendislik disiplinlerini gerektirir:
1. Yazılım Geliştirme Yaşam Döngüsü (SDLC) ve Değişiklik Yönetimi
Canlı (Production) ortamdaki hiçbir yazılım kodu doğrudan sunucu üzerinde elle değiştirilemez. Git tabanlı versiyon kontrol sistemlerinde her kod değişikliği için bir iş kaydı (ticket) açılmalı, kodu yazan geliştirici dışında en az bir kıdemli mühendis tarafından Kod İncelemesi (Peer Code Review) yapılmalı, otomatik güvenlik/birim testlerinden geçmeli ve CI/CD hattı üzerinden loglanarak canlıya alınmalıdır. Geliştirme (Dev), Test (Staging) ve Canlı (Prod) ortamları birbirinden tamamen izole edilmeli; canlı müşteri verisi asla test ortamında kullanılmamalıdır. Güvenli ve ölçeklenebilir yazılım mimarisi standartlarımız için Özel Yazılım Geliştirme sayfamızı inceleyebilirsiniz.
2. Merkezi Loglama, Ağ İzolasyonu ve Erişim Denetimi
Tüm sunucu erişimleri (SSH, RDP, VPN), veritabanı sorguları, güvenlik duvarı trafiği ve kullanıcı yetki değişiklikleri merkezi ve değiştirilemez bir log/SIEM altyapısında toplanmalıdır. Ayrıca her üç ayda bir Kullanıcı Erişim Gözden Geçirmesi (User Access Review) yapılarak departmanı değişen veya işten ayrılan personelin yetkilerinin derhal kaldırıldığı belgelenmelidir. Ağ sınır güvenliği ve zaman damgalı loglama mimarisi için Güvenlik Duvarı Altyapısı ve KVKK ve 5651 Yasal Loglama çözümlerimiz doğrudan denetim kanıtı üretir.
3. Zafiyet Yönetimi ve Bağımsız Sızma Testi (Pentest) Raporu
SOC 2 Type II denetçileri, denetim dönemi içerisinde sistemlerin ve web uygulamalarının bağımsız uzmanlarca test edildiğini görmek ister. Bulunan “Kritik” ve “Yüksek” seviyeli güvenlik açıklarının belirlenen SLA süreleri içinde kapatıldığı (Remediation) ve doğrulama (Retest) testinden geçtiği kanıtlanmalıdır.
SOC 2 uyumlu güvenlik testleri, web uygulaması denetimi ve altyapı zafiyet analizi için Sızma Testi Hizmetleri sayfamızı ziyaret edin.
Sıkça Sorulan Sorular
Doğrudan SOC 2 Type II alabilir miyiz, yoksa önce Type I almak zorunlu mudur?
Önce Type I almak yasal bir zorunluluk değildir; bir kuruluş doğrudan SOC 2 Type II denetimine girebilir. Ancak Type II denetimi en az 3 ila 12 aylık bir “gözlem ve kanıt toplama dönemi” (Observation Period) gerektirdiği için, kontrollerini yeni kuran şirketler genellikle önce SOC 2 Type I raporunu alarak mevcut kurgularının doğruluğunu onaylatır ve müşterilerine hızlıca ilk güvenceyi sunarlar. Hemen ardından 6 aylık gözlem süresini başlatarak SOC 2 Type II raporuna geçiş yaparlar.
Şirket içi (On-Premise) sunucular kullanıyoruz, bulutta değiliz; yine de SOC 2 alabilir miyiz?
Evet, kesinlikle alabilirsiniz. SOC 2 yalnızca AWS, Azure veya Google Cloud kullanan firmalara özgü değildir. Kendi veri merkezinde veya yerel sanallaştırma sunucularında (VMware, Proxmox, Hyper-V) hizmet veren şirketler de SOC 2 denetimine girebilir. Hatta bu durumda sunucu odasının fiziksel güvenliği (kartlı geçiş, kamera kaydı, yangın söndürme, kesintisiz güç kaynağı - UPS ve jeneratör bakımları) ile yerel yedekleme süreçleri de denetim kapsamına dahil edilerek değerlendirilir.
SOC 2 Type II raporu kaç yıl geçerlidir ve müşterilerle nasıl paylaşılır?
SOC 2 Type II raporu geçmişteki belirli bir denetim dönemini (örneğin 1 Ocak – 30 Eylül) kapsadığı için pratikte 1 yıl (12 ay) boyunca güncel kabul edilir. Kurumsal müşteriler her yıl kesintisiz devam eden (“köprü mektubu / bridge letter” ile desteklenen) yeni dönem raporunu talep ederler. Rapor içeriğinde şirketinizin iç güvenlik mimarisi ve kontrol detayları yer aldığı için rapor web sitesinde herkese açık yayınlanmaz; yalnızca potansiyel veya mevcut kurumsal müşterilerle karşılıklı Gizlilik Sözleşmesi (NDA) imzalandıktan sonra paylaşılır.