System and Organization Controls (SOC) oraz Statement on Standards for Attestation Engagements (SSAE) dotyczą audytów organizacji usługowych. Są to standardy ustanowione przez instytut American Institute of Certified Public Accountants (AICPA).
SOC to zestaw raportów tworzonych podczas audytu, które badają mechanizmy kontroli w organizacji usługowej związane z różnymi aspektami, ale w Esri koncentrujemy się na bezpieczeństwie, dostępności, integralności przetwarzania, poufności i ochronie prywatności. Istnieją różne rodzaje raportów SOC: SOC 1, SOC 2 i SOC 3, z których każdy służy innemu celowi i wykorzystuje inne metodologie.
Usługi Esri objęte zakresem
Dostawcy usług ArcGIS Online w chmurze
Usługa ArcGIS Online nie przechodzi oddzielnego audytu SOC, ponieważ jest autoryzowana przez FedRAMP, co uważa się za spełnienie równoważnych lub lepszych mechanizmów kontroli bezpieczeństwa niż zawartych w standardzie SOC 2. Usługa ArcGIS Online jest hostowana przez dostawców usług w chmurze Microsoft Azure i Amazon Web Services, którzy posiadają certyfikaty SOC dostępne za pośrednictwem następujących dostawców usług w chmurze:
Raporty SOC dotyczące Microsoft Azure:
- Raport SOC 3 (zasób dostępny publicznie)
- Raporty SOC 1 i SOC 2 (dostęp bezpłatny/chroniony)
Raporty SOC dotyczące Amazon Web Services:
- Raport SOC 3
- Raporty SOC 1 i SOC 2 (dostęp bezpłatny/chroniony), zasób dostępny publicznie
EMCS Advanced
Usługi Esri Managed Cloud Services (EMCS) Advanced oferowane w ramach usług Esri Professional Services uzupełniają raporty SOC 2 i SOC 3 i są wydawane zgodnie z wytycznymi SSAE 18 opracowanymi przez AICPA. Oferta EMCS Advanced jest dostępna dla klientów spoza sektora federalnego potrzebujących hostowanej opcji jednodostępnej dla oprogramowania ArcGIS Enterprise, która spełnia branżowe wymagania bezpieczeństwa SOC 2 Typ 2 w zakresie bezpieczeństwa, poufności i dostępności.
Notatka:
Raporty EMCS NIE mają zastosowania do usługi ArcGIS Online, ponieważ jest to oddzielna oferta usługi jednodostępnej:
- Raport EMCS SOC 2 Typ 2 (wymagana umowa NDA) — w celu uzyskania raportu SOC 2 Typ 2 skontaktuj się z opiekunem klienta.
- Raport EMCS SOC 3 (publicznie dostępny dokument Trust Center)
- Wyślij prośbę o raport EMCS SOC do opiekuna klienta
My Esri
Klienci korzystają z portalu My Esri do zarządzania informacjami o koncie klienta i pobierania oprogramowania Esri po zakupie (portal My Esri NIE przechowuje danych należących do klienta). Po zalogowaniu się do My Esri klienci mogą przeglądać zamówienia, odnawiać subskrypcje ArcGIS, generować licencje na produkty, pobierać nośniki instalacyjne, prosić o wsparcie techniczne i przeglądać historię szkoleń.
Notatka:
Korporacyjny raport SOC 2 dla My Esri NIE ma zastosowania do miejsc, w których dane klientów są przechowywane w ramach produktów i usług Esri (są one w pełni oddzielone od siebie i mają różne poziomy zabezpieczeń; szczegółowe informacje można znaleźć w wytycznych dotyczących poszczególnych produktów i usług).
- Aby uzyskać raport My Esri SOC 2, skontaktuj się z opiekunem klienta. (wymagana umowa NDA)
Dane związane z obsługą klienta
Dział wsparcia firmy Esri zapewnia prywatność i bezpieczeństwo danych klientów. Dane klientów rzadko są niezbędne do diagnozowania i rozwiązywania problemów z produktami Esri. Dlatego Esri przechowuje dane klientów tylko wtedy, gdy są one kluczowe do rozwiązywania problemów. W razie potrzeby współpracujemy z klientami w celu uzyskania i ochrony ich danych w systemie spełniającym wymogi SOC2. W przypadku klientów spoza Stanów Zjednoczonych dane związane z obsługą klienta są zarządzane przez odpowiedniego dystrybutora i przechowywane w jego regionie świata. Jeśli na przykład klient znajduje się w regionie Unii Europejskiej (UE), otrzymuje bezpośrednie wsparcie w UE.
Notatka:
Korporacyjny raport SOC 2 dla danych związanych z obsługą klientów NIE ma zastosowania do miejsc, w których dane klientów są przechowywane w ramach produktów i usług Esri (są one w pełni oddzielone od siebie i mają różne poziomy zabezpieczeń; szczegółowe informacje można znaleźć w wytycznych dotyczących poszczególnych produktów i usług).
- Aby uzyskać raport SOC 2 dotyczący danych związanych z obsługą klienta, skontaktuj się z opiekunem klienta. (wymagana umowa NDA)