Soc 1 kontra Soc 2 kontra Soc 3: jaka jest różnica?

Czy jesteś nową firmą działającą w branży oprogramowania? A może jesteś dostawcą usług? Jeśli odpowiedziałeś twierdząco na którekolwiek z tych pytań, być może słyszałeś o czymś zwanym „Raportem SOC”. Ale czym on właściwie jest?

Spis treści

Czym jest raport SOC?

SOC oznacza Service Organization Controls. Jest to miara jakości usług, procesów i ogólnych operacji Twojej firmy. Jeśli jesteś firmą zajmującą się oprogramowaniem lub dostawcą usług w jakiejkolwiek roli, będziesz musiał dostarczyć raport SOC.

Raport SOC jest rodzajem raportu poświadczającego, który zapewnia organy regulacyjne o zgodności ze standardami bezpieczeństwa i jakości usług.

Musisz zatrudnić zewnętrzną, bezstronną osobę, certyfikowany księgowy (CPA) do przeprowadzenia audytu. CPA przeprowadzi serię testów, aby sprawdzić, jak dobrze działają Twoje różne procesy i jak są zgodne. Następnie CPA wyda raport SOC potwierdzający zakres Twojego Zgodność z SOC.

Rodzaje raportów SOC

W przypadku zgodności z SOC może być konieczne uzyskanie raportu SOC dla wielu procesów biznesowych. Rodzaj procesów biznesowych/operacji, w które się angażujesz, determinuje rodzaj raportu SOC, którego potrzebujesz od CPA.

Istnieją trzy typy raportów, o których powinieneś wiedzieć.

Raport SOC 1

Czy zlecasz procesy płacowe lub zarządzanie płatnościami swojej firmy zewnętrznej firmie usługowej? Czy planujesz zatrudnić zewnętrzną agencję weryfikacyjną, aby zweryfikować przeszłość klienta lub pracownika? W takich przypadkach będziesz musiał przestrzegać SOC 1.

Zasadniczo raport SOC 1 jest potrzebny firmom, które zlecają zewnętrznemu podmiotowi swoje wewnętrzne usługi finansowe. SOC 1 jest również potrzebny, jeśli zlecasz na zewnątrz usługi, które mogą narazić na ryzyko informacje finansowe i oświadczenia klienta lub w jakiś sposób na niego wpłynąć.

Raport SOC 2

Raport SOC 2 koncentruje się na procesach i operacjach niefinansowych. W szczególności CPA sprawdza, czy spełniłeś wszystkie zasady Trust Service Principles (TSP) wymagane od dostawców usług. Te TSP obejmują.

Poufność
Dostępność bez barier
Ochrona
Integralność przetwarzania.
Polityka prywatności

Załóżmy więc, że planujesz oferować usługę SaaS, usługę monitorowania sieci lub usługi tworzenia kopii zapasowych/repozytorium danych. Niezależnie od tego, czy korzystasz z zewnętrznego technologia dostawca ma świadczyć te usługi, czy nie, musisz dostarczyć raport SOC2. Raport ten zapewnia, że przestrzegałeś wszystkich pięciu TSP z należytą starannością.

Raport SOC 3

Zarówno raporty SOC 1, jak i SOC2 są poufne. Twoja organizacja nie musi udostępniać tego raportu nikomu innemu niż regulator. Ale powiedzmy, że Twoi klienci chcą wiedzieć, czy przestrzegasz TSP, czy nie. W takim przypadku możesz poprosić CPA o wydanie raportu SOC 3, oprócz raportu SOC 2.

Dzieje się tak, ponieważ SOC 3 jest dokumentem publicznym i musi być dostępny dla każdego, kto chce go przejrzeć. Przykładem SOC 3 byłby raport, który sporządziłeś, ponieważ organizacja, której świadczysz usługi w chmurze, poprosiła o status zgodności TSP.

Soc 1 kontra Soc 2 kontra Soc 3 – który wybrać?

Teraz wiesz, jakie są typy SOC. Ale możesz mieć więcej pytań.

Czy sam raport SOC 1 będzie wystarczający?

Czy SOC 2 czy SOC 3 jest lepszy?

Czy powinienem uzyskać wszystkie certyfikaty SOC 1, 2, 3?

Możemy pomóc Ci odpowiedzieć na te pytania.

Tylko jeśli jesteś pośrednikiem między klientem a firmą płacową, która ma dostęp do danych finansowych klienta (i jego klienta), wystarczy sam SOC 1. Większość dostawców usług i firm oprogramowania będzie musiała uzyskać raporty SOC 1 i SOC 2 sporządzone przez CPA.

Nie ma więc mowy o SOC 1 czy SOC 2. Oba są tak samo ważne.

Kolejną istotną różnicą między SOC 1 i SOC 2 jest intencja testowania. SOC 1 koncentruje się na tym, czy Twoja firma wdrożyła właściwe środki zgodności i jak dobrze są zaprojektowane. SOC 2 z kolei koncentruje się na jakości i skuteczności tych procesów w okresie wielu miesięcy.

Twój CPA będzie w stanie dostarczyć Ci raport SOC 1 w ciągu miesiąca, podczas gdy Ty możesz musieć poczekać 3-4 miesiące na raport SOC 2. Ponadto, zakres testów będzie również większy w przypadku raportu SOC 2.

Teraz, jeśli chodzi o SOC 3 – jest to opcjonalne i całkowicie zależne od wymagań Twojej firmy. Nie każdy klient poprosi o pokazanie statusu zgodności SOC. Ale jeśli oferowane przez Ciebie usługi stanowią duże ryzyko dla Twojego klienta lub jego klientów, będziesz musiał uzyskać SOC 3 jako środek ostrożności.

Te raporty SOC 3 nie są zbyt szczegółowe i zazwyczaj zawierają tylko podsumowanie wyników SOC 2. Będą spisane bez żadnego żargonu, co pozwoli laikowi zrozumieć wyniki zgodności SOC.

Soc 1 vs Soc 2 Vs Soc 3: Jaka jest różnica?

Czym jest raport SOC?