SOC2 Tip II Hazırlık: SaaS ve Bulut Platformları için Denetim Kontrolleri

2025'te kurumsal satın alma ekiplerinin %94'ü, sözleşmeleri imzalamadan önce SaaS tedarikçilerinden SOC2 raporları talep etti. B2B yazılım şirketleri için SOC2 Tip II, fiili güven sertifikası haline geldi; bir anlaşmayı kapatmak ile anlaşmaya sahip bir rakibe onu kaptırmak arasındaki fark. Ancak birçok şirket zaman çizelgesini hafife alıyor: İlk karardan nihai rapora kadar genellikle 9 ila 15 ay sürüyor.

Bu kılavuz, Güven Hizmetleri Kriterlerinin seçilmesinden denetimden sağ çıkmaya kadar SOC2 Tip II hazırlığının her aşamasında size yol gösterir.

Önemli Çıkarımlar

• SOC2 Tip II, kontrollerin tutarlı bir şekilde işlemesi gereken minimum 6 aylık bir gözlem süresi gerektirir
• Güvenlik, tek zorunlu Güven Hizmetleri Kriteridir --- müşteri beklentilerine göre ek kriterleri seçin
• Kanıt toplama en çok zaman alan kısımdır --- bunu bir GRC platformuyla ilk günden itibaren otomatikleştirin
• Denetçi katılımına erken başlayın --- saygın firmalar 3-6 ay önceden rezervasyon yaptırıyor

---

SOC2 Güven Hizmetleri Kriterlerini Anlamak

SOC2, beş Güven Hizmeti Kriteri (TSC) etrafında oluşturulmuştur. Güvenlik zorunludur. Diğer dördü isteğe bağlıdır ancak kurumsal müşteriler tarafından giderek daha fazla beklenmektedir.

Örnekleri Kontrol Etmek İçin SOC2 Kriterleri

Kriterlerinizi Nasıl Seçersiniz

Güvenliği her zaman dahil edin. Zorunludur ve en geniş kontrol grubunu kapsar.

Hizmetinizin çalışma süresi taahhütleri, SLA'ları varsa veya kesinti süresi müşteri operasyonlarını önemli ölçüde etkileyecekse Kullanılabilirliği Dahil Edin.

Platformunuz finansal işlemleri gerçekleştiriyorsa, müşterilerin güvendiği hesaplamaları gerçekleştiriyorsa veya veri dönüşümünü gerçekleştiriyorsa İşleme Bütünlüğünü Dahil Edin.

Müşteriler özel bilgileri, ticari sırları veya diğer hassas iş verilerini platformunuzla paylaşıyorsa Gizliliği Dahil Edin.

Kişisel verileri işliyorsanız Gizliliği Dahil Edin. Gizlilik kriterlerinin GDPR gerekliliklerini yakından yansıttığını unutmayın; dolayısıyla, zaten GDPR uyumluysanız SOC2'nize Gizliliği eklemek oldukça kolaydır. Ayrıntılı gizlilik kontrolü kılavuzu için GDPR uygulama kılavuzumuza bakın.

---

1. Aşama: Boşluk Analizi ve Kapsam Belirleme (1-2. Aylar)

Kontrolleri uygulamadan önce bugün nerede olduğunuzu anlamanız ve SOC2 denetiminizin sınırlarını tanımlamanız gerekir.

Kapsamınızı Tanımlama

Denetim kapsamı hangi sistemlerin, süreçlerin ve ekiplerin kapsandığını tanımlar. Daha dar bir kapsam, daha az kontrol ve daha az denetim işi anlamına gelir; ancak kapsamın, müşterilerinize sağladığınız hizmetleri destekleyen her şeyi içermesi gerekir.

Tipik olarak kapsamda:

• Üretim altyapısı (bulut ortamları, sunucular, veritabanları)
• Uygulama kodu ve dağıtım hatları
• Çalışan erişim yönetimi (IAM, SSO, MFA)
• Satıcı yönetimi (alt işlemciler, bulut sağlayıcılar)
• İK süreçleri (geçmiş kontrolleri, işe alım, işten çıkarma)
• Olay müdahale prosedürleri
• Yönetim süreçlerini değiştirin

Boşluk Analizinin Yürütülmesi

Mevcut durumunuzu SOC2 gereksinimlerine göre haritalandırın:

1. Seçtiğiniz kriterlere göre gerekli tüm kontrolleri listeleyin
2. Her bir kontrolün var olup olmadığını, belgelenip belgelenmediğini ve etkili bir şekilde işleyip işlemediğini değerlendirin
3. Boşlukları kategorilere ayırın: eksik kontrol, belgelenmemiş kontrol veya etkisiz kontrol
4. Risk düzeyine ve uygulama karmaşıklığına göre iyileştirmeye öncelik verin

Orta aşamadaki bir SaaS şirketi için tipik bir boşluk analizi, 40-60 boşluğu ortaya çıkarır; en yaygın olanları şunlardır:

• Resmi erişim incelemelerinin eksikliği (üç ayda bir yeniden sertifikalandırma)
• Eksik veya güncelliğini yitirmiş güvenlik politikaları
• Resmi bir değişiklik yönetimi süreci yok
• Tedarikçi risk değerlendirmelerinin eksik olması
• Yetersiz kayıt ve izleme

---

Aşama 2: Kontrol Tasarımı ve Uygulaması (2-5. Aylar)

Bu aşama, denetim sırasında değerlendirilecek kontrolleri oluşturduğunuz, belgelediğiniz ve faaliyete geçirdiğiniz aşamadır.

Kontrol Kategorileri

SOC2 kontrolleri üç kategoriye ayrılır:

İdari kontroller. Politikalar, prosedürler ve yönetim yapıları. Örnekler: bilgi güvenliği politikası, kabul edilebilir kullanım politikası, olay müdahale planı, satıcı yönetim politikası.

Teknik kontroller. Teknolojinin zorunlu kıldığı güvenlik önlemleri. Örnekler: MFA zorlaması, beklemede ve aktarım sırasında şifreleme, güvenlik duvarı kuralları, otomatik düzeltme eki uygulama, izinsiz giriş tespiti.

Fiziksel kontroller. Fiziksel güvenlik önlemleri. Örnekler: ofis erişim kontrolü, veri merkezi güvenliği (genellikle bulut sağlayıcınızdan alınır), cihaz yönetimi, temiz masa politikası.

Temel Kontroller Kontrol Listesi

Politika Belgeleri

Aşağıdakiler için resmi, onaylanmış politikalara ihtiyacınız var:

• Bilgi Güvenliği Politikası (kapsamlı)
• Kabul Edilebilir Kullanım Politikası
• Erişim Kontrol Politikası
• Yönetim Politikasını Değiştir
• Olay Müdahale Planı
• İş Sürekliliği / Felaket Kurtarma Planı
• Veri Sınıflandırma ve İşleme Politikası
• Satıcı Yönetim Politikası
• Risk Yönetimi Politikası
• Çalışan El Kitabı (güvenlik bölümleri)

Politikalar yıllık olarak gözden geçirilmeli ve onaylanmalı, sürüm kontrolü yapılmalı ve tüm çalışanlar tarafından onaylanmalıdır.

---

3. Aşama: Gözlem Dönemi (5-12. Aylar)

Gözlem süresi, Tip II'yi Tip I'den ayıran şeydir. Bu süre boyunca (minimum 6 ay, genellikle 6-12 ay), kontrolleriniz tutarlı bir şekilde çalışmalı ve etkinliklerine dair kanıt oluşturmalıdır.

Denetçinin Aradığı Şey

Denetçi sadece kontrollerin var olup olmadığını kontrol etmekle kalmıyor, aynı zamanda kontrollerin gözlem süresi boyunca etkili bir şekilde işleyip işlemediğini de değerlendiriyor. Bu şu anlama gelir:

• Erişim incelemeleri yalnızca bir kez değil her üç ayda bir yapıldı
• Her kod değişikliği belgelenen değişiklik sürecinden geçti
• Güvenlik uyarıları araştırıldı ve tanımlanan SLA'lar kapsamında çözüldü
• Yeni çalışanlara erişim izni verilmeden önce geçmiş kontrolleri ve güvenlik eğitimi verildi
• İşten çıkarılan çalışanların erişimi, tanımlanan zaman dilimi içinde (genellikle 24 saat) iptal edildi

Yaygın Gözlem Dönemi Hataları

Tutarsızlık. 1. ve 3. çeyrekte incelemelere eriştiniz ancak 2. çeyreği kaçırdınız. Denetçi bunu bir kontrol hatası olarak işaretleyecektir.

Belgelenmeyen istisnalar. Acil bir değişiklik, normal onay sürecini atladı. İstisnayı, gerekçeyi ve olay sonrası incelemeyi belgelediyseniz denetçi muhtemelen bunu kabul edecektir. Eğer belgelemediyseniz bu bir bulgudur.

Eski kanıtlar. Risk değerlendirmeniz 18 ay öncesine ait. Politikalarınız bir yılı aşkın süredir incelenmedi. Eğitim kayıtlarınız %70 tamamlanma gösteriyor. Bunların hepsi bulgu haline geliyor.

Kanıt Toplamanın Otomatikleştirilmesi

Manuel kanıt toplama, SOC2 uyumluluğunda en büyük zaman kaybıdır. Mümkün olan her yerde otomatikleştirin:

• GRC platformları (Vanta, Drata, Secureframe), bulut altyapınızdan, kod depolarınızdan, İK sistemlerinizden ve kimlik sağlayıcılarınızdan sürekli olarak kanıt toplar
• Otomatik ekran görüntüleri düzenli bir programa göre kontrol yapılandırmalarını yakalar
• Biletleme sistemleriyle entegrasyon, değişiklik yönetimi bildirimlerini otomatik olarak dağıtımlara bağlar
• Otomatik erişim incelemeleri mevcut erişim listelerini alır ve bunları onay için yöneticilere yönlendirir

---

4. Aşama: Denetim (12-14. Aylar)

Denetçi Seçmek

Denetçinizi erken seçin; saygın firmalar 3-6 ay önceden rezervasyon yaptırır. Şunu düşünün:

• CPA firması gerekliliği: SOC2 denetimleri lisanslı bir CPA firması tarafından gerçekleştirilmelidir
• Sektör deneyimi: SaaS, bulut altyapısı ve teknoloji yığınınız hakkında bilgi sahibi bir firma seçin
• Denetim metodolojisi: Bazı firmalar daha kuralcıdır, bazıları ise daha esnektir. Kültürünüze uyum sağlayın
• İletişim tarzı: Denetim ekibiyle haftalarca yakın işbirliği içinde çalışacaksınız. İş ilişkisinin verimli olmasını sağlayın

Denetim Süreci

1. Planlama toplantısı. Denetçi kapsamı, kriterleri ve kontrol tanımlarını inceler. Zaman çizelgesi ve kanıt talepleri üzerinde anlaşmaya varılır.
2. Kanıt talebi. Denetçi ayrıntılı bir kanıt talebi listesi sunar (genellikle 100-200 madde). Her şeyi derlemek için 2-4 haftanız var.
3. Açıklamalar. Denetçi, kontrollerin uygulamada nasıl işlediğini anlamak için süreç sahipleriyle görüşmeler yapar.
4. Test etme. Denetçi, kontrollerin etkili bir şekilde uygulandığını doğrulamak için kanıtları örnekler. 12 aylık bir gözlem süresi boyunca her kontrolün 25-45 örneğini örnekleyebilirler.
5. Bulgular tartışması. Denetçi ön bulguları sunar. Ek kanıt veya bağlam sağlayabilirsiniz.
6. Raporun yayınlanması. Nihai SOC2 Tip II raporu düzenlenir (genellikle 60-100 sayfa).

Raporu Anlamak

SOC2 raporu şunları içerir:

• Yönetim iddiası: Kontrollerin adil bir şekilde tanımlandığına ve etkili olduğuna dair beyanınız
• Denetçi görüşü: Denetçinin sonucu (şartsız = temiz, nitelikli = istisnalar not edildi)
• Sistem açıklaması: Sisteminizin, altyapınızın ve kontrollerinizin ayrıntılı açıklaması
• Kontrol faaliyetleri ve testler: Her bir kontrol, denetçinin test yaklaşımı ve sonuçları
• İstisnalar (varsa): Etkin bir şekilde işlemeyen kontroller, ayrıntılarıyla birlikte

Niteliksiz (temiz) bir görüş amaçtır. Küçük istisnalar dışında nitelikli görüşler yaygındır ve genellikle müşteriler tarafından kabul edilebilir. Önemli istisnalar düzeltme ve yeniden test gerektirebilir.

---

SOC2 Uyumluluğunu Her Yıl Korumak

SOC2 tek seferlik bir sertifikasyon değildir. Rapor belirli bir gözlem dönemini kapsamaktadır ve müşteriler sizden yıllık olarak yenilemenizi beklemektedir.

Yıllık Döngü

• 1-2. Aylar: Politikaları gözden geçirin ve güncelleyin, yıllık risk değerlendirmesi yapın, önceki yılın bulgularına dayanarak iyileştirmeler planlayın
• 3-10. Aylar: Devam eden kanıt toplama ve kontrol operasyonu
• 11-12. Aylar: Denetim hazırlığı, kanıt derleme, denetimin yürütülmesi
• Devam ediyor: Üç ayda bir erişim incelemeleri, aylık güvenlik açığı taramaları, sürekli izleme

Yıllık Maliyetlerin Azaltılması

İlk yıldan sonra SOC2 bakım maliyetleri genellikle %30-40 oranında azalır:

• Politikaların sıfırdan oluşturulmasına değil, yalnızca yıllık incelemeye ve güncellemeye ihtiyacı vardır
• GRC platformu sürekli olarak kanıt toplayarak manuel çabayı azaltır
• Denetim kapsamı ve metodolojisi oluşturularak planlama süresi kısaltılır
• Ekip süreç konusunda deneyimlidir ve denetçilerin ne beklediğini bilir

SOC2'nin daha geniş bir uyumluluk stratejisine nasıl uyduğuyla ilgili bağlam için kurumsal uyumluluk el kitabımıza bakın.

---

Sıkça Sorulan Sorular

SOC2 Tip II'nin maliyeti ne kadar?

Toplam ilk yıl maliyetleri, şirketin büyüklüğüne ve karmaşıklığına bağlı olarak genellikle 50.000 ila 350.000 ABD Doları arasında değişir. Buna, GRC platformu lisanslaması (10.000-50.000$/yıl), denetçi ücretleri (20.000-80.000$), gerektiğinde danışmanlık (20.000-100.000$) ve şirket içi işçilik (en büyük değişken maliyet) dahildir. Sonraki yıllar genellikle %30-40 daha azdır.

SOC2 Tip I ile başlayıp Tip II'ye yükseltebilir miyiz?

Evet, bu yaygın bir yaklaşımdır. Tip I, kontrol tasarımını belirli bir zamanda değerlendirir ve 2-4 ay içinde tamamlanabilir. Tip II'ye doğru ilerlerken size potansiyel müşterilerle paylaşacak bir şeyler verir. Ancak kurumsal müşteriler giderek yalnızca Tip II'yi kabul ediyor, bu nedenle baştan plan yapın.

Tip II için minimum gözlem süresi nedir?

Minimum süre genellikle 6 aydır, ancak 12 ay daha yaygındır ve müşteriler tarafından genellikle tercih edilir. Daha uzun bir gözlem süresi, daha sürekli kontrol etkinliğinin göstergesidir. Bazı denetçiler ilk yıl için 6 aylık Tip II uygulayacak ve daha sonra 12 aylık dönemlere geçecektir.

Zaten ISO 27001'e sahipsek SOC2'ye ihtiyacımız var mı?

SOC2 ve ISO 27001 tamamlayıcıdır, birbirinin yerine kullanılamaz. ISO 27001, Avrupa ve Asya pazarlarında daha yaygındır, SOC2 ise Kuzey Amerika'daki standarttır. ABD'deki işletmelere satış yapıyorsanız ISO 27001 sertifikanız ne olursa olsun SOC2 raporu isteyeceklerdir. İyi haber şu ki, ISO 27001 kontrolleri SOC2 ile önemli ölçüde örtüşüyor ve SOC2 yolculuğunuzu hızlandırıyor.

Hızlı büyüme sırasında SOC2'yi nasıl ele alacağız?

Hızlı büyüme (yeni çalışanlar, yeni altyapı, satın almalar), süreçler eşit şekilde ölçeklenemeyeceği için SOC2 riskini artırır. Temel stratejiler: katılım/çıkış iş akışlarını otomatikleştirin, kod olarak altyapının varsayılan olarak güvenlik kontrollerini içerdiğinden emin olun, merkezi bir erişim yönetimi sistemini sürdürün ve tüm yeni ekip üyelerine katılım sırasında SOC2 yükümlülükleri hakkında bilgi verin.

---

Sırada Ne Var

SOC2 Tip II, işletmelere satış için giriş fiyatıdır. Yolculuğa erken başlamak, otomasyona yatırım yapmak ve doğru denetçi ortağını seçmek, sürecin 15 aylık bir süreç mi, yoksa gerçek bir güvenlik olgunluğu oluşturan yönetilebilir bir program mı olacağını belirleyecektir.

ECOSIRE, SaaS şirketlerinin ilk günden itibaren SOC2'ye hazır altyapı oluşturmasına yardımcı olur. Bulut mimarisi hizmetlerimiz, SOC2 gereklilikleriyle uyumlu güvenlik kontrollerini, denetim günlüklerini ve erişim yönetimini içerir. Yapay zeka destekli sürekli uyumluluk izleme için OpenClaw AI platformumuzu keşfedin. SOC2 hazırlığınızı görüşmek için Bize ulaşın.

---

ECOSIRE tarafından yayınlandı — işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.