SaaS ve Teknoloji Girişimleri İçin SOC 2 Type 2 Denetim Kanıt Matrisi Rehberi

Özellikle Kuzey Amerika pazarına yazılım ihraç eden, küresel kurumsal şirketlere hizmet veren veya uluslararası yatırımcılardan fon arayan B2B SaaS girişimleri için SOC 2 (System and Organization Controls 2) raporu, kurumsal güvenilirliğin tartışmasız ön şartıdır.

Amerikan Yeminli Mali Müşavirler Enstitüsü (AICPA) tarafından geliştirilen SOC 2 standartları (SSAE 18 / AT-C section 205), bulut ortamlarında müşteri verilerini işleyen teknoloji sağlayıcılarının güvenlik ve operasyonel disiplinini bağımsız bir denetim raporuyla teyit eder.

---

1. Type 1 ile Type 2 Arasındaki Operasyonel Fark ve Dönem Kuralı

• SOC 2 Type 1: Kontrollerin belirli bir tarihteki (point-in-time, örn. 31 Mart 2026) tasarım uygunluğunu değerlendirir. Denetçi, kontrollerin kurgulanıp kurgulanmadığına bakar; geriye dönük işleyiş geçmişi aramaz. Hızlı alınabilir ancak kurumsal müşteriler nezdinde geçerliliği kısıtlıdır.
• SOC 2 Type 2: Kontrollerin belirlenen bir zaman dilimi boyunca (period of time) fiilen ve kesintisiz çalışıp çalışmadığını (operating effectiveness) test eder.

Denetim Dönemi Sabit midir?

Mevzuatta kanunen dayatılan tek tip bir süre yoktur. Uygulamada denetim periyodu genellikle 3 ila 12 ay arasında belirlenir:

• İlk kez Type 2 denetimine girecek hızlı girişimler için AICPA standartlarında kabul edilen yaygın asgari dönem 3 veya 6 aydır.
• Yıllık döngüye girmiş olgun şirketlerde ise periyot 12 ay olarak yürütülür.

Type 2'nin en kritik kuralı: Kanıtlar geriye dönük olarak uydurulamaz. Denetim dönemi 1 Ocak'ta başlamışsa ve siz ilk çeyreklik erişim incelemenizi Mart ayında yapmayı unuttuysanız, Nisan ayında geriye dönük bir kanıt oluşturamazsınız ve bu durum raporda "Denetim Sapması (Exception)" olarak yer alır.

---

2. Güven Hizmetleri Kriterleri (Trust Services Criteria - TSC)

SOC 2 denetimi 5 ana kategori üzerinden yapılandırılır:

1. Güvenlik (Security - Common Criteria): Tüm SOC 2 denetimlerinde zorunludur (CC1 – CC9). Sistemlerin yetkisiz erişime, veri ifşasına ve zararlara karşı korunmasını hedefler.
2. Erişilebilirlik (Availability): Sistemin sözleşmelerde taahhüt edilen SLA süreleri boyunca ayakta kalması, izleme ve felaket kurtarma kapasitesi.
3. Gizlilik (Confidentiality): Ticari sırlar, fikri mülkiyet ve gizli müşteri bilgilerinin şifrelenmesi ve korunması.
4. İşlem Bütünlüğü (Processing Integrity): Sistem işlemlerinin eksiksiz, hatasız, geçerli ve zamanında gerçekleşmesi (genellikle e-ticaret, fintech ve veri işleme platformlarında istenir).
5. Mahremiyet (Privacy): Kişisel verilerin toplanması, kullanımı, saklanması ve imhasının AICPA mahremiyet ilkelerine uyumu.

---

3. SOC 2 Type 2 Denetim Kanıt Matrisi (Evidence Matrix)

Aşağıdaki tablo, bir B2B SaaS platformunun denetim dönemi boyunca CPA denetçisine sunmak üzere biriktirmesi gereken temel kanıt setini özetlemektedir:

---

4. SOC 2 Type 2 Hazırlık Yol Haritası

Bir SaaS şirketinin Type 2 raporunu başarıyla tamamlaması genellikle 6 ila 9 aylık bir süreç gerektirir:

1. Aşama 1: Kapsam ve TSC Seçimi (1. Ay): Security kriterine ek olarak müşterilerinizin Availability ve Confidentiality isteyip istemediğini netleştirin.
2. Aşama 2: Boşluk Analizi ve İyileştirme (2–3. Ay): Eksik politikaları tamamlayın, MFA açığını kapatın, branch protection kurallarını devreye alın.
3. Aşama 3: Denetim Döneminin Başlatılması (3–9. Ay): CPA firmasıyla anlaşarak örneğin 6 aylık izleme dönemini (audit window) başlatın. Bu dönem boyunca kanıtların aksamadan birikmesini sağlayın.
4. Aşama 4: Saha Denetimi ve Örneklem İncelemesi (10. Ay): CPA denetçisi rastgele 25 işe giriş, 25 kod PR'ı ve 10 olay kaydı seçerek kanıtları test eder.
5. Aşama 5: Raporun Yayınlanması: Denetçi raporunu tamamlar; şirketiniz kurumsal müşterilerine NDA kapsamında sunacağı resmî SOC 2 Type 2 raporuna kavuşur.

---

Sıkça Sorulan Sorular (FAQ)

ISO 27001 belgemiz varken müşterimiz neden SOC 2 Type 2 istiyor?

ISO 27001 Avrupa ve küresel pazarda standart kabul edilirken; Kuzey Amerika (ABD ve Kanada) merkezli kurumsal satın alma ve hukuk departmanları geleneksel olarak AICPA standartlarına göre hazırlanmış detaylı kontrol testlerini içeren SOC 2 Type 2 raporunu şart koşar.

SOC 2 Type 2 raporu kamuya açık yayınlanabilir mi?

Hayır. SOC 2 Type 2 raporları gizlilik dereceli belgelerdir (Restricted Use). Şirketin iç sistem mimarisini ve denetim detaylarını içerdiği için yalnızca potansiyel müşterilere, yatırımcılara ve iş ortaklarına Gizlilik Sözleşmesi (NDA) imzalandıktan sonra sunulur.

---