Bezpieczeństwo danych w SaaS: RODO, ISO 27001 i SOC 2 jako sygnał zaufania

Certyfikaty bezpieczeństwa SaaS – przede wszystkim ISO/IEC 27001 i raport SOC 2 – oraz udokumentowana zgodność z RODO to najmocniejsze sygnały zaufania w sprzedaży oprogramowania w chmurze. Odpowiadają na główną obawę klienta: co stanie się z jego danymi. Działają jednak tylko wtedy, gdy są opisane precyzyjnie, z zakresem i datą, a klient może je zweryfikować bez tygodni korespondencji.

Dlaczego bezpieczeństwo danych decyduje o zakupie SaaS

W sprzedaży SaaS do firm o wyborze dostawcy decyduje coraz rzadziej jedna osoba. Zanim zespół kupujący podpisze umowę, rozwiązanie ocenia dział IT, inspektor ochrony danych, prawnik, a w większych organizacjach także zespół ds. bezpieczeństwa. Każda z tych osób zadaje inne pytania, a brak odpowiedzi zatrzymuje zakup na tygodnie.

Opinie użytkowników, logotypy klientów i studia przypadków przekonują użytkowników biznesowych. Działu bezpieczeństwa nie przekonają – tu potrzebne są dowody zewnętrzne: certyfikaty, raporty z audytów, dokumenty. Dlatego w SaaS certyfikaty pełnią funkcję podobną do znaków jakości w e-commerce, ale z jedną różnicą: są sprawdzane bardzo dokładnie, przez specjalistów, a nie oceniane „na oko”.

Ciśnienie rośnie także z powodu regulacji. Dyrektywa NIS2 wymaga od podmiotów z sektorów kluczowych i ważnych zarządzania bezpieczeństwem łańcucha dostaw, co w praktyce oznacza bardziej szczegółowe pytania do dostawców oprogramowania. Ogólną rolę certyfikatów w budowaniu wiarygodności omawia przewodnik po certyfikatach i nagrodach.

RODO: zgodność, której nie potwierdza jedna pieczęć

Rozporządzenie (UE) 2016/679, czyli RODO, stosowane od 25 maja 2018 r., przewiduje kary do 20 mln euro lub 4% całkowitego rocznego światowego obrotu. Dla klienta firmy SaaS oznacza to, że wybór dostawcy przetwarzającego dane osobowe jest decyzją obarczoną realnym ryzykiem – administratorem danych pozostaje on, a nie dostawca.

RODO przewiduje dobrowolne mechanizmy certyfikacji (art. 42), ale w praktyce nie istnieje powszechnie uznawany „certyfikat RODO” dla firmy. Pieczęcie „GDPR compliant” czy „Zgodne z RODO” oferowane przez firmy szkoleniowe i dostawców narzędzi to w najlepszym razie potwierdzenie ukończenia kursu, a w najgorszym – grafika bez żadnego pokrycia. Klient z działem prawnym rozpozna to natychmiast, a taka plakietka obniży wiarygodność całej strony. Mechanizmy fałszywych znaków opisujemy w tekście o fałszywych certyfikatach i nieistniejących nagrodach.

Zgodność z RODO pokazuje się dokumentami i faktami:

• umowa powierzenia przetwarzania danych (art. 28 RODO) – gotowy wzór do pobrania,
• lista podwykonawców (dostawcy chmury, poczty, analityki) z lokalizacją przetwarzania,
• lokalizacja danych – w Unii Europejskiej czy poza nią, a jeśli poza UE, to na jakiej podstawie (np. ramy EU–US Data Privacy Framework przyjęte 10 lipca 2023 r. albo standardowe klauzule umowne),
• kontakt do inspektora ochrony danych, jeśli firma go wyznaczyła,
• opis środków technicznych i organizacyjnych: szyfrowanie, kontrola dostępu, kopie zapasowe, procedura zgłaszania naruszeń.

ISO/IEC 27001: certyfikat systemu zarządzania bezpieczeństwem informacji

ISO/IEC 27001 to międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji. Certyfikat wydaje jednostka certyfikująca po audycie, a jego wiarygodność zależy od akredytacji tej jednostki – w Polsce akredytacji udziela Polskie Centrum Akredytacji. Certyfikat jest ważny trzy lata, a w tym czasie co roku odbywa się audyt nadzoru.

Aktualne wydanie normy pochodzi z 2022 r. i zawiera w załączniku A 93 zabezpieczenia pogrupowane w cztery obszary: organizacyjne, osobowe, fizyczne i technologiczne. Okres przejściowy dla certyfikatów wydanych według wersji z 2013 r. zakończył się 31 października 2025 r. – certyfikat według starego wydania nie jest już ważny i nie powinien pojawiać się w materiałach.

Przy komunikacji ISO/IEC 27001 kluczowe są dwa dokumenty:

1. Zakres certyfikacji – opisany na certyfikacie. Klient chce wiedzieć, czy obejmuje produkt, który kupuje, i lokalizacje, w których przetwarzane są dane. Certyfikat obejmujący wyłącznie biuro sprzedaży w Warszawie nie mówi nic o bezpieczeństwie platformy.
2. Deklaracja stosowania (Statement of Applicability) – lista zabezpieczeń z załącznika A z informacją, które są stosowane, a które wyłączone i dlaczego. Zwykle udostępnia się ją po podpisaniu NDA.

Zasady komunikowania certyfikatów systemów zarządzania są wspólne dla całej rodziny norm ISO – piszemy o nich szerzej w tekście o certyfikacie ISO 9001 w marketingu. Obowiązuje też ta sama zasada co do logo: znaku ISO nie wolno używać, można natomiast posługiwać się znakiem jednostki certyfikującej zgodnie z jej zasadami.

SOC 2: raport audytora, a nie certyfikat

SOC 2 (System and Organization Controls 2) to standard atestacji opracowany przez Amerykański Instytut Biegłych Rewidentów (AICPA). Niezależna firma audytorska ocenia kontrole dostawcy według kryteriów usług zaufania (Trust Services Criteria): bezpieczeństwa, które jest obowiązkowe, oraz – w zależności od wyboru firmy – dostępności, integralności przetwarzania, poufności i prywatności. Wynikiem jest raport z opinią audytora, a nie certyfikat.

Raport występuje w dwóch typach. Typ I ocenia, czy kontrole są właściwie zaprojektowane w konkretnym dniu. Typ II sprawdza, czy działały skutecznie przez dłuższy okres, zwykle od 3 do 12 miesięcy, i to on ma realną wartość dla działów bezpieczeństwa klientów. Pełny raport jest poufny; publicznie można udostępnić skrócony raport SOC 3.

Jak komunikować bezpieczeństwo na stronie SaaS

Bezpieczeństwo trzeba pokazać w dwóch warstwach. Pierwsza to krótkie sygnały w miejscach decyzji: pod tabelą cennika, przy formularzu rejestracji, w prezentacji sprzedażowej. Druga to pełne centrum zaufania dla działów IT i prawnych. Rozmieszczenie sygnałów w ścieżce zakupowej omawiamy w tekście o tym, gdzie pokazywać certyfikaty i nagrody na stronie.

Dobre centrum zaufania zawiera:

• listę certyfikatów i raportów z zakresem, datą i nazwą jednostki lub audytora,
• dokumenty do pobrania lub do udostępnienia po NDA (certyfikat, raport SOC 2, deklarację stosowania, podsumowanie testów penetracyjnych),
• gotowe odpowiedzi na typowe kwestionariusze bezpieczeństwa, np. CAIQ organizacji Cloud Security Alliance,
• historię dostępności usługi i stronę statusu – transparentność, którą opisujemy w tekście o publicznych dashboardach i otwartych danych,
• informacje o infrastrukturze i partnerach technologicznych, przedstawione według zasad z tekstu o logotypach partnerów technologicznych w SaaS.

Na stronach produktowych wystarczy pasek z dwoma–trzema sygnałami i linkiem do centrum zaufania. Sprawdza się on przy formularzu rejestracji i na stronie docelowej kampanii – pełną listę elementów, które warto tam rozważyć, zawiera checklista sekcji social proof na landing page. Dobrze uzupełniają go recenzje w serwisach dla kupujących oprogramowanie, które opisujemy w tekście o opiniach w B2B na G2, Capterze i Clutch.

Kolejność inwestycji: od startupu do skalowania

Certyfikacja kosztuje czas i pieniądze, więc kolejność ma znaczenie. Typowa ścieżka wygląda tak:

1. Od pierwszego klienta: porządna dokumentacja RODO, umowa powierzenia, lista podwykonawców, polityka bezpieczeństwa i strona bezpieczeństwa. To nic nie kosztuje poza pracą, a odpowiada na większość pytań małych firm.
2. Przed pierwszymi dużymi klientami: testy penetracyjne wykonane przez zewnętrzną firmę i publiczne podsumowanie wyników.
3. Gdy przetargi lub klienci korporacyjni tego wymagają: ISO/IEC 27001 (rynek europejski) albo SOC 2 typu II (rynek amerykański).
4. Na etapie skalowania: drugi standard, rozszerzenia (np. ISO/IEC 27701 dla prywatności, ISO/IEC 27017 i 27018 dla chmury) i rozbudowane centrum zaufania.

Pamiętaj, że certyfikat potwierdza system, a nie ludzi. Klienci coraz częściej pytają też o kompetencje zespołu bezpieczeństwa – jak je pokazać, opisujemy w tekście o certyfikatach kompetencji zespołu.

Najczęstsze błędy w komunikowaniu bezpieczeństwa danych

• „Certyfikat SOC 2”. SOC 2 to raport; błędne nazewnictwo sygnalizuje specjaliście, że firma nie rozumie standardu.
• „Bezpieczeństwo bankowe”, „wojskowe szyfrowanie”. Hasła bez treści; lepiej podać konkretny standard szyfrowania i miejsce jego stosowania.
• Certyfikat bez zakresu. Klient musi wiedzieć, czy obejmuje kupowany produkt.
• Certyfikat dostawcy chmury przedstawiony jako własny. To, że infrastruktura działa u dostawcy z ISO/IEC 27001, nie oznacza, że twoja firma ma ten certyfikat.
• Nieaktualne dokumenty. Certyfikat według ISO/IEC 27001:2013 czy raport sprzed dwóch lat podważają wiarygodność bardziej niż ich brak.
• Brak kontaktu. Strona bezpieczeństwa bez osoby, do której można napisać, wygląda na formalność.

Każdy z tych błędów utrudnia optymalizację konwersji w najbardziej wartościowym segmencie klientów – tam, gdzie decyzję podejmuje zespół, a nie pojedynczy użytkownik.

Checklista: bezpieczeństwo danych jako sygnał zaufania

1. Opublikuj wzór umowy powierzenia i listę podwykonawców z lokalizacją przetwarzania.
2. Usuń ze strony wszystkie pieczęcie „RODO compliant” bez pokrycia.
3. Sprawdź, czy certyfikat ISO/IEC 27001 jest wydany według wydania z 2022 r., ma właściwy zakres i pochodzi od akredytowanej jednostki.
4. Opisuj SOC 2 jako raport, podając typ i okres, którego dotyczy.
5. Zbuduj centrum zaufania z dokumentami publicznymi i udostępnianymi po NDA.
6. Dodaj do cennika i formularza rejestracji krótki pasek z sygnałami bezpieczeństwa i linkiem do centrum zaufania.
7. Zbieraj pytania z kwestionariuszy klientów i publikuj odpowiedzi na te powtarzające się.
8. Wpisz do kalendarza audyty nadzoru, odnowienia raportów i coroczny przegląd strony bezpieczeństwa.