SOC 2.
Saskaņojiet pārbaudes aptvērumu, ziņojuma veidu un pierādījumus tā, lai klienti varētu novērtēt faktiski izmantoto pakalpojumu.
- AICPA TSC 2017 · Points of Focus 2022
- Autors: Derya Altinay
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 6 min.
Īsā atbilde.
SOC 2 ir pārbaudes ziņojums par norobežotas pakalpojumu sistēmas kontrolēm, balstoties uz AICPA Trust Services Criteria. Neatkarīga CPA firma novērtē sistēmas aprakstu un kontroļu izveidi. 2. tips papildus aptver to darbības efektivitāti noteiktā periodā; 1. tips attiecas uz noteiktu datumu.
SOC 2 un Trust Services Criteria.
SOC 2 ir daļa no AICPA System and Organization Controls saimes. Pakalpojumu sniedzēji ar to uztic neatkarīgam pakalpojumu auditoram pārbaudīt savas sistēmas kontroles. AICPA raksturo šādus ziņojumus kā informācijas pamatu ārpakalpojumu riskiem. Tādēļ izšķiroši ir tas, kāds pakalpojums ar kādām saistībām pārbaudīts un kādus secinājumus aptver konkrētais pasūtījums.
Trust Services Criteria sakārto drošības, pieejamības, apstrādes integritātes, konfidencialitātes un privātuma tēmas. Publiski piedāvātais pamats saucas 2017 Trust Services Criteria ar pārskatītiem Points of Focus 2022. Kopīgos kritērijus un papildu kategorijas pārbaudes pasūtījumā aplūko kopā; kategoriju nosaukumi nenozīmē piecus identiskus obligāto prasību kopumus katram pakalpojumam. Kategorijas saturs nav arī noteikts programmatūras produkts.
Sistēmas aprakstam ir savs kritēriju kopums: 2018 SOC 2 Description Criteria ar pārskatītu piemērošanas palīgmateriālu 2022. Tas skaidro, kas ietilpst sistēmā un kā to darbina. Kontroļu novērtēšana pēc tam pēta saistītos pasākumus. Pilns ziņojums savieno šīs perspektīvas; logotips viens pats neparāda ne aptvērumu, ne pārbaudes atzinumu.
Kam paredzēts SOC 2 ziņojums.
SOC 2 ziņojums paredzēts pakalpojumu sniedzējiem un klientiem, kas vēlas novērtēt to pakalpojumus. Saskaņā ar AICPA publisko pārbaudes rokasgrāmatas aprakstu klientiem, nododot funkcijas ārpakalpojumā, nepieciešama informācija par kontroļu izveidi, darbību un efektivitāti. Tas skar, piemēram, informācijas pārvaldību vai atkarību no nodrošinātas sistēmas; no tā nevar secināt noteiktu uzņēmuma lielumu.
Klienta vajadzība palīdz noteikt jēgpilnu pārbaudes aptvērumu. Pirms pasūtījuma noskaidrojiet, kāds produkts, darbības vide un saistības saņēmējiem ir būtiski. Līgumiska prasība par apliecinājumu jāsalīdzina ar faktiski plānoto ziņojumu. SOC 2 nerada vispārēju likumā noteiktu pārbaudes pienākumu katram SaaS sniedzējam.
Sagatavošanās SOC 2 sešās darba jomās.
Sagatavošanās sasaista saskaņotu pārbaudes pasūtījumu ar izsekojamām darbības kontrolēm. Tālāk minētās jomas ir praktiska struktūra; tās neveido jaunu oficiālu kritēriju sarakstu. Pamats paliek piemērojamie Trust Services Criteria un Description Criteria.
Aprakstīt sistēmas robežu un saistības.
Nosauciet piedāvāto pakalpojumu un tam būtiskos cilvēkus, procesus, sistēmas un atkarības. Aprakstam jāatbilst faktiskajam pakalpojumam, ko klienti iegādājas. Saskaņā ar AICPA vadības materiālu sistēmas apraksts un vadības apliecinājums ir atsevišķas ziņojuma daļas; tehniskā uzskaite vien šīs saiknes vēl neizskaidro.
Saskaņot kategorijas un riskus.
Pakalpojuma saistības un paredzēto lietotāju informācijas vajadzības palīdz izvēlēties būtiskās kategorijas. Fiksējiet, kāpēc jautājums ietilpst aptvērumā un kādi riski jāpēta. AICPA pārskatīšanas kontrolsaraksts prasa izvērtēt, vai aptvertās kategorijas un saistības ir pietiekamas pašu izmantošanai.
Atbildīgi īstenot kontroles.
Aprakstiet konkrētus darbības pasākumus un personas, kas tos veic vai uzrauga. Atšķirīgiem pakalpojumiem var būt vajadzīgas atšķirīgas kontroles. Vispārēja politika palīdz pierādīšanā tikai tad, ja tās prasības nonāk būtiskajos procesos un faktiskā izpilde ir izsekojama.
Vākt pierādījumus pareizajā laikā.
Pierādījumiem laika ziņā jāpamato pārbaudāmais apgalvojums. 1. tipam izšķirošs ir saskaņotais datums, 2. tipam — noteiktais pārbaudes periods. Jauns ekrānuzņēmums nevar vienkārši pierādīt agrāku darbību. Vērtējot laika aspektu, AICPA skaidri norāda uz revidenta profesionālo spriedumu.
Noskaidrot ārpakalpojumus un klientu uzdevumus.
Izskaidrojiet, kā ziņojumā aplūkotas būtiskās apakšpakalpojumu organizācijas un kādi uzdevumi paliek klientam. Pārskatīšanas kontrolsaraksts nošķir papildu klientu kontroles no citiem lietotāju uzdevumiem. Pašu sagatavošanai ieteicams skaidrs sadalījums, nevis visu darbību apkopošana vispārējā piegādātāju sarakstā.
Novērtēt izmaiņas un izņēmumus.
Pārbaudes rezultātiem vajadzīga saikne ar attiecīgo pakalpojumu. Dokumentējiet korekcijas un būtiskas izmaiņas tā, lai to iedarbību varētu novērtēt. Atsevišķs testa izņēmums un atzinums ar iebildēm ir atšķirīgi secinājumi. AICPA vadības materiāls palīdz atsevišķi izvērtēt atzinumu, testus, rezultātus un citu informāciju.
Ceļš līdz SOC 2 ziņojumam.
Noskaidrot saņēmējus un vajadzību.
Praktiski sākot darbu, fiksējiet, kurš klients kādu pakalpojumu vēlas novērtēt un kādam lēmumam ziņojums kalpos par pamatu.
Norobežot pārbaudes pasūtījumu.
Ar piemērotu neatkarīgu CPA firmu saskaņojiet sistēmas aprakstu, būtiskās kategorijas, ziņojuma veidu un plānoto datumu vai periodu.
Sasaistīt kontroles un atbildību.
Kopā ar atbildīgajām struktūrvienībām pārbaudiet, vai aprakstītie procesi faktiski darbojas un kādi ieraksti padara to darbību izsekojamu.
Uzturēt pieejamus darbības pierādījumus.
Organizējiet piemērotu pierādījumu vākšanu saskaņotajā periodā un savlaicīgi noskaidrojiet būtisko ārējo atkarību pierādījumus.
Apstrādāt konstatējumus.
Pārrunājiet neatrisinātos jautājumus un izņēmumus ar konkrētiem pierādījumiem un fiksējiet korekcijas un atbildību par atlikušajiem riskiem.
Izvērtēt ziņojumu izmantošanas kontekstā.
Pēc izsniegšanas kopīgi izlasiet aptvērumu, atzinumu, periodu un klienta uzdevumus un plānojiet vēlāku būtisku izmaiņu novērtēšanu.
Pareizi lasīt SOC 2 2. un 1. tipu.
1. un 2. tips atbild uz atšķirīgiem laika jautājumiem. 1. tips attiecas uz sistēmas aprakstu un kontroļu izveidi noteiktā datumā. SOC 2 2. tips papildus aptver to darbības efektivitāti norādītajā periodā. AICPA pārskatīšanas kontrolsaraksts šo nošķīrumu fiksē jau vispārīgajos ziņojuma datos.
SOC 2 ziņojumu izsniedz licencēta CPA firma. Pārbaudiet atbildīgo firmu, tās attiecīgo licenci un faktiski aprakstīto pasūtījumu. Konsultanta vai rīka sniedzēja veikta sagatavošana jāatšķir no neatkarīgas pārbaudes pakalpojuma. Organizācijas atbildība par savām kontrolēm saglabājas.
Ziņojumam nav vispārēja derīguma termiņa kā sertifikātam. Tā izmantojamība atkarīga no tā, vai sistēma, periods un secinājums atbilst pašreizējai klienta vajadzībai. Vēlāka migrācija vai cita būtiska izmaiņa var radīt papildu jautājumus. Tādēļ dokumenta pārbaude paliek daļa no pašu lēmuma par pakalpojumu sniedzēju.
Citu ietvaru konteksts.
ISO 27001 attiecas uz informācijas drošības pārvaldības sistēmu un tās iespējamo sertifikāciju. BSI C5 izmanto patstāvīgu mākoņpakalpojumu pārbaudes modeli. VDAR regulē personas datu apstrādi; SOC 2 ziņojums neaizstāj šo likumā noteikto pienākumu pārbaudi.
Secani vidē.
Secani piedāvā pašu izstrādātu darba katalogu AICPA Trust Services Criteria ar saviem ieviešanas norādījumiem. Profila informācija nošķir saskaņoto pārbaudes pasūtījumu un papildu kategorijas. Pasākumus un pierādījumus var pārvaldīt darba kontekstā; pašu palīglīdzeklis neaizstāj ne aizsargāto kritēriju standartu, ne neatkarīgo pārbaudi.
Sāciet ar klienta vajadzību.
Izvēlieties faktiski piedāvātu pakalpojumu un fiksējiet paredzētos ziņojuma saņēmējus. Aprakstiet, kāds secinājums par pakalpojumu tiem vajadzīgs un kāda darbības robeža tam ir būtiska. Ar šo pamatu varat apspriest ziņojuma veidu, aptvērumu un nepieciešamo priekšdarbu ar piemērotu pārbaudes firmu.
Avoti.
- AICPA — SOC Suite of Services
- AICPA — 2017 Trust Services Criteria, Points of Focus 2022
- AICPA — 2018 Description Criteria, Guidance 2022
- AICPA — SOC 2 ziņojuma galvenie elementi un pārskatīšanas kontrolsaraksts
- AICPA — augstu standartu uzturēšana SOC pārbaudēs
- AICPA — SOC 2 pārbaudes rokasgrāmatas publiskais apraksts
Biežākie jautājumi.
Nē. SOC 2 ir neatkarīga pakalpojumu auditora pārbaudes ziņojums par aprakstītu sistēmu un tās kontrolēm, nevis ISO sertifikāts vai vispārēja produkta zīme.
1. tips attiecas uz kontroļu izveidi noteiktā datumā. 2. tips papildus aptver to darbības efektivitāti saskaņotajā pārbaudes periodā.
No tā nevar atvasināt vispārēju fiksētu pienākumu vai testēšanas biežumu. Riski, aprakstītās kontroles un saskaņotais pārbaudes pasūtījums nosaka piemērotos pierādījumus; klientu līgumos var būt papildu gaidas.
Ziņojums apraksta savu datumu vai pārbaudes periodu. Tas, vai tas ir pietiekams pašreizējam lēmumam, atkarīgs arī no aptvertā pakalpojuma, starplaikā veiktajām izmaiņām un saņēmēja prasībām.
Noskaidrojiet pārbaudes aptvērumu.
Pārrunājiet, kā organizēt sava pakalpojuma pasākumus un pierādījumus Secani vidē.
Šī lapa saviem vārdiem skaidro SOC 2. Noteicoši ir piemērojamie AICPA standarti un konkrētais pārbaudes pasūtījums; apraksts neaizstāj profesionālu pārbaudi.