這是什麼證書？
SOC 2 是一份獨立的保證報告，根據信任服務標準（安全性、可用性、處理完整性、機密性和隱私）評估服務組織的控制。它與 SOC 1 的區別在於重點：SOC 1 解決財務報告問題，SOC 2 解決資訊安全和服務可靠性問題。這又是一份審計報告，而不是證書。
誰需要它？
- SaaS 和雲端服務供應商
- 資料中心和基礎設施服務供應商
- 企業客戶安全評估範圍內的科技公司
- 向北美市場銷售服務的軟體公司
是否為強制？
非強制性；它是根據企業客戶的請求獲取的。在北美市場，SOC 2 Type II報告幾乎成為銷售過程中的標準要求；在歐洲，更常見的是要求 ISO/IEC 27001 證書。
標準適用範圍
- 安全性 — 每份 SOC 2 報告中強制性的共同標準
- 可用性 — 可選
- 處理完整性—可選
- 保密性——可選
- 隱私 — 可選
- 基於 COSO 框架（CC 系列）的通用標準：控制環境、通訊、風險評估、監控、控制活動、邏輯和實體存取、系統操作、變更管理、風險緩解
- 系統描述和範圍邊界
- I型/II型區別
- 附屬服務組織的待遇
- 補充用戶實體控件
驗證流程
- 1確定範圍和計劃確定要審核的地點和流程以及方案所需的審核持續時間。
- 2預評估可選擇進行差距分析；在主要審計之前，差距就會顯現出來。
- 3現場稽核記錄審查、現場觀察和工人訪談均根據該計劃的清單進行。
- 4發現事項報告根據計劃的分類報告調查結果。這些方案的輸出是審核報告，而不是憑證。
- 5矯正措施與追蹤針對調查結果提交糾正行動計劃；該計劃以後續審計結束。
有效期限
審計報告的有效期限由方案規定，大多為一年至兩年。該報告用於購買品牌接受的期間。
所需文件
- 組織和站點詳細信息
- 員工人數和輪班模式
- 法律許可和執照
- 相關政策和程序
- 工資、時間和人事記錄
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 審核地點數量及人數
- 方案規定的審核期限
- 是否需要預評估（差距分析）
- 是否需要後續審核
認證
這些計劃中的大多數都會產生審計報告，而不是文件，並受計劃所有者（例如 Sedex、amfori、RBA）自己的審批系統的約束；並非每個計劃都具有經典意義上的認證。審核員的能力和報告的有效性由計劃所有者的規則決定。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
我應該選擇 SOC 2 還是 ISO/IEC 27001？
這取決於你的市場。北美客戶大多要求 SOC 2 Type II，而歐洲和亞洲客戶則要求 ISO/IEC 27001。由於他們的控制集大量重疊，因此採用其中一個可以顯著減輕另一個的負擔；許多公司同時經營這兩種業務。
SOC 2 報告的有效期限是多久？
該報告涵蓋特定的審計期間。客戶通常會期望一份涵蓋過去 12 個月的最新報告，因此實際上每年更新一次。如果期間之間仍有間隙，客戶可以要求提供臨時過渡函。
我需要將所有五個標準納入範圍嗎？
否。安全標準是強制性的；其他的則根據您的服務性質和客戶期望進行選擇。增加不必要的標準會增加審計的範圍和成本。