SOC 2.
Zosúlaďte rozsah overovania, typ správy a dôkazy tak, aby zákazníci vedeli posúdiť skutočne používanú službu.
- AICPA TSC 2017 · Points of Focus 2022
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Čas čítania: 6 min.
Stručná odpoveď.
SOC 2 je audítorská správa o kontrolách vymedzeného systému poskytovania služieb založená na AICPA Trust Services Criteria. Nezávislá spoločnosť CPA posudzuje opis systému a návrh kontrol. Typ 2 navyše zahŕňa ich prevádzkovú účinnosť počas určeného obdobia; typ 1 sa vzťahuje na rozhodný deň.
SOC 2 a Trust Services Criteria.
SOC 2 patrí do série AICPA System and Organization Controls. Poskytovatelia služieb si tak nechávajú nezávislým audítorom služieb preskúmať kontroly svojho systému. AICPA opisuje tieto správy ako informačný základ pre riziká externe zabezpečovaných služieb. Rozhodujúce preto je, ktorá služba bola preskúmaná s akými záväzkami a aké vyjadrenia pokrýva konkrétna zákazka.
Trust Services Criteria usporadúvajú témy bezpečnosti, dostupnosti, integrity spracúvania, dôvernosti a ochrany osobných údajov. Verejne ponúkaný základ sa nazýva 2017 Trust Services Criteria s revidovanými Points of Focus 2022. Spoločné kritériá a ďalšie kategórie sa v zákazke overovania posudzujú spoločne; názvy kategórií neznamenajú päť rovnakých povinných balíkov pre každú službu. Obsah kategórie tiež nie je predpísaným softvérovým produktom.
Opis systému má vlastné kritériá: 2018 SOC 2 Description Criteria s revidovaným usmernením na použitie z roku 2022. Vysvetľuje, čo patrí do systému a ako sa prevádzkuje. Posudzovanie kontrol následne skúma súvisiace opatrenia. Úplná správa prepája tieto pohľady; samotné logo neukazuje rozsah ani výrok audítora.
Pre koho je správa SOC 2 určená.
Správa SOC 2 je určená poskytovateľom služieb a zákazníkom, ktorí chcú ich služby posúdiť. Podľa verejného opisu audítorskej príručky AICPA potrebujú zákazníci pri externom zabezpečovaní funkcií informácie o návrhu, prevádzke a účinnosti kontrol. Týka sa to napríklad zaobchádzania s informáciami alebo závislosti od poskytovaného systému; nemožno z toho odvodiť konkrétnu veľkosť podniku.
Potreba zákazníka spoluurčuje zmysluplný rozsah overovania. Pred objednaním vyjasnite, ktorý produkt, prevádzkové prostredie a záväzky sú pre príjemcov podstatné. Zmluvnú požiadavku na doklad treba porovnať so skutočne plánovanou správou. SOC 2 nezakladá všeobecnú zákonnú povinnosť overovania každého poskytovateľa SaaS.
Príprava SOC 2 v šiestich pracovných oblastiach.
Príprava spája dohodnutú zákazku overovania so zrozumiteľnými prevádzkovými kontrolami. Nasledujúce oblasti sú praktickým členením; netvoria nový oficiálny zoznam kritérií. Základom zostávajú uplatniteľné Trust Services Criteria a Description Criteria.
Opísať hranice systému a záväzky.
Pomenujte ponúkanú službu a relevantných ľudí, postupy, systémy a závislosti. Opis by mal zodpovedať skutočnej službe, ktorú zákazníci nakupujú. Podľa zdroja AICPA pre manažment sú opis systému a vyhlásenie manažmentu samostatnými súčasťami správy; samotný technický inventár tieto súvislosti ešte nevysvetľuje.
Zosúladiť kategórie a riziká.
Záväzky týkajúce sa služby a informačné potreby plánovaných používateľov pomáhajú pri výbere relevantných kategórií. Zaznamenajte, prečo je otázka zahrnutá v rozsahu a ktoré riziká sa majú skúmať. Kontrolný zoznam AICPA na preskúmanie vyžaduje posúdiť, či zahrnuté kategórie a záväzky postačujú pre vlastné používanie.
Prevádzkovať kontroly so zodpovednosťou.
Opíšte konkrétne prevádzkové opatrenia a osoby, ktoré ich vykonávajú alebo monitorujú. Rôzne služby môžu potrebovať rôzne kontroly. Všeobecná smernica prispieva k preukázaniu iba vtedy, ak sa jej požiadavky premietajú do relevantných postupov a skutočné vykonávanie je zrozumiteľné.
Zbierať dôkazy v správnom čase.
Dôkazy musia časovo podkladať skúmané tvrdenie. Pre typ 1 rozhoduje dohodnutý rozhodný deň, pre typ 2 určené overované obdobie. Novovytvorená snímka obrazovky nemôže bez ďalšieho preukázať skoršiu prevádzku. AICPA pri časovom posudzovaní výslovne poukazuje na odborný úsudok audítora.
Vyjasniť externe zabezpečované služby a úlohy zákazníka.
Vysvetlite, ako správa zaobchádza s významnými subdodávateľmi služieb a ktoré úlohy zostávajú zákazníkovi. Kontrolný zoznam na preskúmanie rozlišuje doplnkové zákaznícke kontroly od iných úloh používateľov. Pre vlastnú prípravu sa odporúča jasné priradenie namiesto zhrnutia všetkých činností do všeobecného zoznamu dodávateľov.
Posudzovať zmeny a výnimky.
Výsledky overovania potrebujú kontext dotknutej služby. Dokumentujte nápravy a významné zmeny tak, aby bolo možné posúdiť ich účinok. Jednotlivá výnimka pri teste a výrok audítora s výhradou sú rozdielne vyjadrenia. Zdroj AICPA pre manažment podporuje oddelené posudzovanie výroku, testov, výsledkov a ďalších informácií.
Cesta k správe SOC 2.
Vyjasniť príjemcov a potrebu.
Ako praktický začiatok zaznamenajte, ktorý zákazník chce posúdiť ktorú službu a na aké rozhodnutie má správa slúžiť ako podklad.
Vymedziť zákazku overovania.
S vhodnou nezávislou spoločnosťou CPA zosúlaďte opis systému, relevantné kategórie, typ správy a plánovaný rozhodný deň alebo obdobie.
Prepojiť kontroly a zodpovednosť.
S príslušnými odbornými útvarmi overte, či sa opísané postupy skutočne prevádzkujú a ktoré záznamy ich prevádzku zrozumiteľne dokladajú.
Sprístupňovať prevádzkové dôkazy.
Zorganizujte zbieranie vhodných dôkazov počas dohodnutého obdobia a včas vyjasnite dôkazy o významných externých závislostiach.
Riešiť zistenia.
Diskutujte o otvorených otázkach a výnimkách na základe konkrétnych dôkazov a zaznamenajte nápravy aj zodpovednosť za zostávajúce riziká.
Vyhodnotiť správu v kontexte používania.
Po vydaní čítajte spoločne rozsah, výrok, obdobie a úlohy zákazníka a naplánujte posudzovanie neskorších významných zmien.
Správne čítanie SOC 2 typu 2 a typu 1.
Typ 1 a typ 2 zodpovedajú rozdielne časové otázky. Typ 1 sa týka opisu systému a návrhu kontrol k rozhodnému dňu. SOC 2 typu 2 navyše zahŕňa ich účinnosť v prevádzke počas uvedeného obdobia. Kontrolný zoznam AICPA na preskúmanie zaznamenáva toto rozlíšenie už pri všeobecných údajoch správy.
Správu SOC 2 vydáva licencovaná spoločnosť CPA. Overte zodpovednú spoločnosť, jej príslušné oprávnenie aj skutočne opísanú zákazku. Prípravu poradcom alebo poskytovateľom nástroja treba odlišovať od nezávislého overovania. Zodpovednosť organizácie za jej kontroly zostáva zachovaná.
Správa nemá všeobecnú dobu platnosti ako certifikát. Jej použiteľnosť závisí od toho, či systém, obdobie a vyjadrenie zodpovedajú aktuálnej potrebe zákazníka. Neskoršia migrácia alebo iná významná zmena môže vyvolať ďalšie otázky. Preskúmanie dokumentu preto zostáva súčasťou vlastného rozhodovania o poskytovateľovi služieb.
Zaradenie ďalších rámcov do kontextu.
ISO 27001 sa týka systému manažérstva informačnej bezpečnosti a jeho možnej certifikácie. BSI C5 sa riadi vlastným modelom overovania cloudových služieb. GDPR upravuje spracúvanie osobných údajov; správa SOC 2 nenahrádza posúdenie týchto zákonných povinností.
V Secani.
Secani ponúka redakčne vytvorený pracovný katalóg k AICPA Trust Services Criteria s vlastnými usmerneniami k zavádzaniu. Profilové údaje rozlišujú dohodnutú zákazku overovania a ďalšie kategórie. Opatrenia a dôkazy možno spracúvať v pracovných súvislostiach; vlastná pomôcka nenahrádza chránený štandard kritérií ani nezávislé overenie.
Začnite potrebou zákazníka.
Vyberte skutočne ponúkanú službu a zaznamenajte plánovaných príjemcov správy. Opíšte, aké vyjadrenie o službe potrebujú a ktorá hranica prevádzky je na to relevantná. Na tomto základe môžete s vhodnou audítorskou spoločnosťou prediskutovať typ správy, rozsah a potrebnú prípravu.
Zdroje.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – kľúčové prvky správy SOC 2 a kontrolný zoznam na preskúmanie
- AICPA – udržiavanie vysokých štandardov pri zákazkách SOC
- AICPA – verejný opis príručky pre overovanie SOC 2
Časté otázky.
Nie. SOC 2 je audítorská správa nezávislého audítora služieb o opísanom systéme a jeho kontrolách, nie certifikát ISO ani všeobecná značka produktu.
Typ 1 sa vzťahuje na návrh kontrol k rozhodnému dňu. Typ 2 navyše zahŕňa ich prevádzkovú účinnosť počas dohodnutého overovaného obdobia.
Všeobecnú pevnú povinnosť ani frekvenciu testovania z toho nemožno odvodiť. Primerané dôkazy určujú riziká, opísané kontroly a dohodnutá zákazka overovania; zákaznícke zmluvy môžu obsahovať ďalšie očakávania.
Správa opisuje svoj rozhodný deň alebo overované obdobie. Či stačí na aktuálne rozhodnutie, závisí aj od zahrnutej služby, medzičasom vykonaných zmien a požiadaviek príjemcu.
Vyjasnite rozsah overovania.
Prediskutujte, ako v Secani organizovať opatrenia a dôkazy pre svoju službu.
Táto stránka vysvetľuje SOC 2 vlastnými slovami. Rozhodujúce sú uplatniteľné štandardy AICPA a konkrétna zákazka overovania; opis nenahrádza odborné posúdenie.