CUEC's, complementary user entity controls, zijn de beheersmaatregelen waarvan een serviceorganisatie aanneemt dat haar klanten ze hebben ingericht. Een SOC 1- of SOC 2-rapport noemt ze in de systeembeschrijving, omdat een deel van de maatregelen van de leverancier alleen zijn doel bereikt als de klant zijn deel doet. Het oordeel van de auditor hangt ervan af: dat zegt dat de maatregelen effectief waren, mits klanten de aanvullende maatregelen toepasten waarvan het ontwerp uitgaat.
Hoe een CUEC eruitziet
Ze gaan over het deel van de dienst dat de klant zelf beheert. Typische voorbeelden: de klant verleent en ontneemt de toegang van zijn eigen gebruikers, controleert die toegang periodiek, houdt inloggegevens geheim en zet meerfactorauthenticatie aan waar de dienst dat aanbiedt, meldt vermoedelijke incidenten bij de leverancier, en controleert of de gegevens die hij aanlevert volledig en juist zijn.
Wat je ermee doet
Lees het CUEC-deel voordat je op het SOC 2-rapport van een leverancier vertrouwt, en koppel elk punt aan een maatregel in je eigen omgeving. Het rapport van een leverancier is alleen bewijs voor de maatregelen die het dekt; als je eigen auditor vraagt hoe je op leveranciers vertrouwt, zijn de CUEC's het deel waarvan je moet laten zien dat je het hebt afgedekt.
CUEC's zijn iets anders dan CSOC's, complementary subservice organisation controls. Die verwacht de leverancier van zijn eigen onderaannemers, zoals het cloudplatform waarop hij draait, en niet van zijn klanten.