SOC 2.
Uzgodnienie zakresu badania, rodzaju raportu i dowodów tak, aby klienci mogli ocenić rzeczywiście używaną usługę.
- AICPA TSC 2017 · Points of Focus 2022
- Autor: Derya Altinay
- Stan na: 22.10.2026
- Czas czytania: 6 min
Krótka odpowiedź.
SOC 2 to raport z badania zabezpieczeń wyodrębnionego systemu świadczenia usług na podstawie AICPA Trust Services Criteria. Niezależna firma CPA ocenia opis systemu i zaprojektowanie zabezpieczeń. Typ 2 dodatkowo obejmuje ich skuteczność operacyjną w ustalonym okresie; typ 1 odnosi się do konkretnego dnia.
SOC 2 i Trust Services Criteria.
SOC 2 należy do serii AICPA System and Organization Controls. Usługodawcy zlecają niezależnemu audytorowi usług badanie zabezpieczeń swojego systemu. AICPA opisuje takie raporty jako podstawę informacyjną o ryzykach zleconych świadczeń. Decydujące jest więc, jaką usługę i zobowiązania zbadano oraz jakie wnioski obejmuje konkretne zlecenie.
Trust Services Criteria porządkują bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. Publicznie oferowana podstawa nosi nazwę 2017 Trust Services Criteria ze zmienionymi Points of Focus 2022. W zleceniu badania łącznie rozpatruje się kryteria wspólne i dodatkowe kategorie; nazwy kategorii nie oznaczają pięciu identycznych pakietów obowiązkowych dla każdej usługi. Treść kategorii nie jest też nakazanym produktem programowym.
Opis systemu ma odrębną podstawę: 2018 SOC 2 Description Criteria ze zmienionymi wskazówkami stosowania 2022. Wyjaśnia, co należy do systemu i jak jest on eksploatowany. Ocena zabezpieczeń bada następnie odpowiednie środki. Pełny raport łączy te perspektywy; samo logo nie pokazuje ani zakresu, ani opinii z badania.
Dla kogo przeznaczony jest raport SOC 2.
Raport SOC 2 jest skierowany do usługodawców i klientów chcących ocenić ich świadczenia. Według publicznego opisu przewodnika badania AICPA klienci potrzebują informacji o zaprojektowaniu, działaniu i skuteczności zabezpieczeń, gdy zlecają funkcje na zewnątrz. Dotyczy to na przykład postępowania z informacjami lub zależności od udostępnionego systemu; nie wynika z tego określona wielkość przedsiębiorstwa.
Potrzeba klienta współokreśla sensowny zakres badania. Przed zleceniem należy ustalić produkt, środowisko operacyjne i zobowiązania istotne dla odbiorców. Umowne wymaganie dowodowe należy porównać z rzeczywiście planowanym raportem. SOC 2 nie ustanawia ogólnego ustawowego obowiązku badania każdego dostawcy SaaS.
Przygotowanie SOC 2 w sześciu obszarach pracy.
Przygotowanie łączy uzgodnione zlecenie badania z przejrzystymi zabezpieczeniami operacyjnymi. Poniższe obszary są praktycznym podziałem; nie stanowią nowej oficjalnej listy kryteriów. Podstawą pozostają właściwe Trust Services Criteria i Description Criteria.
Opis granic systemu i zobowiązań.
Należy wskazać oferowaną usługę oraz istotnych ludzi, procesy, systemy i zależności. Opis powinien odpowiadać rzeczywistemu świadczeniu kupowanemu przez klientów. Według materiału AICPA dla kierownictwa opis systemu i oświadczenie kierownictwa są osobnymi częściami raportu; sam inwentarz techniczny nie wyjaśnia tych związków.
Uzgodnienie kategorii i ryzyk.
Zobowiązania dotyczące świadczeń i potrzeby informacyjne zamierzonych użytkowników pomagają wybrać istotne kategorie. Należy zapisać, dlaczego dane zagadnienie mieści się w zakresie i jakie ryzyka mają zostać zbadane. Lista przeglądowa AICPA wymaga rozważenia, czy objęte kategorie i zobowiązania wystarczają dla własnego użycia.
Prowadzenie zabezpieczeń z przypisaną odpowiedzialnością.
Należy opisać konkretne środki operacyjne i osoby, które je wykonują lub nadzorują. Różne usługi mogą potrzebować różnych zabezpieczeń. Ogólna polityka wspiera wykazanie zgodności tylko wtedy, gdy jej wymagania trafiają do odpowiednich procesów, a rzeczywista realizacja jest przejrzysta.
Gromadzenie dowodów we właściwym czasie.
Dowody muszą czasowo potwierdzać badane twierdzenie. Dla typu 1 decyduje uzgodniony dzień, a dla typu 2 ustalony okres badania. Nowo wykonany zrzut ekranu nie może bezpośrednio wykazać wcześniejszego działania. Przy ocenie czasowej AICPA wyraźnie wskazuje na profesjonalny osąd audytora.
Ustalenie zleconych świadczeń i zadań klienta.
Należy wyjaśnić, jak raport traktuje istotne organizacje podusługowe i jakie zadania pozostają po stronie klienta. Lista przeglądowa rozróżnia uzupełniające zabezpieczenia klienta i inne zadania użytkownika. We własnym przygotowaniu zaleca się jasne przypisanie, zamiast ujmowania wszystkich działań w ogólnej liście dostawców.
Ocena zmian i wyjątków.
Wyniki badania wymagają kontekstu danej usługi. Należy dokumentować korekty i istotne zmiany tak, aby można było ocenić ich wpływ. Pojedynczy wyjątek w teście i opinia z zastrzeżeniem to różne stwierdzenia. Materiał AICPA dla kierownictwa wspiera osobne rozpatrywanie opinii, testów, wyników i dodatkowych informacji.
Droga do raportu SOC 2.
Ustalenie odbiorców i potrzeby.
Na początek należy zapisać, który klient chce ocenić jakie świadczenie i jakiej decyzji raport ma służyć jako podstawa.
Wyodrębnienie zlecenia badania.
Należy uzgodnić opis systemu, istotne kategorie, rodzaj raportu i planowany dzień lub okres z odpowiednią niezależną firmą CPA.
Powiązanie zabezpieczeń i odpowiedzialności.
Z właściwymi jednostkami należy sprawdzić, czy opisane procesy rzeczywiście działają i jakie zapisy przejrzyście pokazują ich realizację.
Zapewnienie dostępności dowodów operacyjnych.
Należy zorganizować zbieranie właściwych dowodów w uzgodnionym okresie i wcześnie ustalić dowody istotnych zależności zewnętrznych.
Opracowanie ustaleń.
Należy omówić otwarte pytania i wyjątki na podstawie konkretnych dowodów oraz zapisać korekty i odpowiedzialność za pozostałe ryzyka.
Ocena raportu w kontekście użycia.
Po wydaniu należy łącznie przeczytać zakres, opinię, okres i zadania klienta oraz zaplanować ocenę późniejszych istotnych zmian.
Właściwe odczytanie SOC 2 typu 2 i typu 1.
Typ 1 i typ 2 odpowiadają na różne pytania czasowe. Typ 1 dotyczy opisu systemu i zaprojektowania zabezpieczeń na określony dzień. SOC 2 typu 2 dodatkowo obejmuje ich skuteczność w działaniu we wskazanym okresie. Lista przeglądowa AICPA uwzględnia ten podział już w ogólnych danych raportu.
Raport SOC 2 wydaje licencjonowana firma CPA. Należy sprawdzić odpowiedzialną firmę, jej właściwe uprawnienia i rzeczywiście opisane zlecenie. Przygotowanie przez doradcę lub dostawcę narzędzia należy odróżnić od niezależnego badania. Odpowiedzialność organizacji za zabezpieczenia pozostaje bez zmian.
Raport nie ma ogólnej ważności na wzór certyfikatu. Jego przydatność zależy od dopasowania systemu, okresu i wniosków do aktualnej potrzeby klienta. Późniejsza migracja lub inna istotna zmiana może wywołać dodatkowe pytania. Ocena dokumentu pozostaje więc częścią własnej decyzji o usługodawcy.
Relacje z innymi ramami i standardami.
ISO 27001 dotyczy systemu zarządzania bezpieczeństwem informacji i jego możliwej certyfikacji. BSI C5 stosuje własny model badania usług chmurowych. RODO reguluje przetwarzanie danych osobowych; raport SOC 2 nie zastępuje analizy tych obowiązków ustawowych.
W Secani.
Secani oferuje autorski katalog roboczy dotyczący AICPA Trust Services Criteria z własnymi wskazówkami wdrożeniowymi. Dane profilu rozróżniają uzgodnione zlecenie badania i dodatkowe kategorie. Nad zabezpieczeniami i dowodami można pracować w powiązaniu; własna pomoc nie zastępuje chronionego standardu kryteriów ani niezależnego badania.
Początek od potrzeby klienta.
Należy wybrać rzeczywiście oferowaną usługę i wskazać zamierzonych odbiorców raportu. Opisać potrzebne im wnioski o usłudze i istotną granicę operacyjną. Na tej podstawie można omówić rodzaj raportu, zakres i niezbędne przygotowanie z odpowiednią firmą audytorską.
Źródła.
Najczęstsze pytania.
Nie. SOC 2 to raport niezależnego audytora usług o opisanym systemie i jego zabezpieczeniach, a nie certyfikat ISO ani ogólny znak produktu.
Typ 1 odnosi się do zaprojektowania zabezpieczeń na określony dzień. Typ 2 obejmuje dodatkowo ich skuteczność operacyjną w uzgodnionym okresie badania.
Nie wynika z tego ogólny stały obowiązek ani częstotliwość testów. Ryzyka, opisane zabezpieczenia i uzgodnione zlecenie określają odpowiednie dowody; umowy z klientami mogą zawierać dodatkowe oczekiwania.
Raport opisuje wskazany dzień lub okres badania. Jego wystarczalność dla bieżącej decyzji zależy także od objętej usługi, zmian w międzyczasie i wymagań odbiorcy.
Ustalenie zakresu badania.
Porozmawiajmy o organizacji zabezpieczeń i dowodów Państwa usługi w Secani.
Strona wyjaśnia SOC 2 własnymi słowami. Rozstrzygające są właściwe standardy AICPA i konkretne zlecenie badania; opis nie zastępuje oceny merytorycznej.