Tuân thủ SOX (Sarbanes-Oxley Act) trong an ninh mạng
Luật Sarbanes-Oxley (SOX) năm 2002 được ban hành để bảo vệ cổ đông và công chúng khỏi sai sót/gian lận kế toán, yêu cầu công ty công khai phải kiểm soát chặt chẽ hệ thống CNTT xử lý dữ liệu tài chính.
SOX Cybersecurity Compliance là gì?
Việc triển khai các quy trình kiểm soát nội bộ mạnh mẽ đối với hệ thống CNTT và ứng dụng xử lý thông tin tài chính, đảm bảo báo cáo tài chính chính xác, kịp thời công bố vi phạm luật chứng khoán.
SOX IT Controls (Điều khiển SOX / SOX 404)
Các biện pháp kiểm soát nội bộ nhằm ngăn chặn và phát hiện lỗi trong báo cáo tài chính, đảm bảo các quy trình đạt mục tiêu. Bao gồm: phân chia nhiệm vụ, xác nhận tuân thủ quy tắc ứng xử hàng năm, kiểm soát truy cập, nhật ký kiểm toán.
SOC khác SOX như thế nào?
| Tiêu chí | SOX | SOC (Service Organization Control) |
|---|---|---|
| Bản chất | Luật bắt buộc (Luật liên bang Mỹ) | Khung chuẩn báo cáo tự nguyện (AICPA) |
| Mục đích | Báo cáo tài chính chính xác, chống gian lận | Đánh giá kiểm soát an ninh, tính sẵn sàng, xử lý, bảo mật, riêng tư của nhà cung cấp dịch vụ |
| Đối tượng | Công ty niêm yết Mỹ | Tổ chức cung cấp dịch vụ (SaaS, data center, payroll...) |
Yêu cầu SOX đối với bảo mật dữ liệu
- Chính sách bảo mật dữ liệu chính quy, truyền thông và thực thi nhất quán
- Chiến lược bảo mật dữ liệu tài chính toàn diện trong vận hành bình thường
- Báo cáo kiểm soát nội bộ hàng năm (Internal Controls Report)
- Báo cáo tiết lộ tài chính cuối năm
SOC 2 vs SSAE 16 vs SOC 1/3
- SOC 1 (SSAE 18 thay thế SSAE 16): Kiểm soát báo cáo tài chính
- SOC 2: An ninh, Sẵn sàng, Xử lý chính xác, Bảo mật, Riêng tư (Trust Services Criteria)
- SOC 3: Báo cáo công khai tóm tắt SOC 2 (chỉ mô tả hệ thống + ý kiến kiểm toán viên)
Vai trò an ninh mạng trong SOX
An ninh mạng là phần không tách rời của tuân thủ SOX: bảo vệ tính toàn vẹn, bảo mật, sẵn sàng của dữ liệu tài chính; ngăn chặn truy cập trái phép, rò rỉ dữ liệu, tấn công làm sai lệch báo cáo.