Dodržování SOC může být pro organizace složité a časově náročné. Pokud se jím právě zabýváte, sestavili jsme rozsáhlého průvodce, který vám pomůže pochopit jeho klíčové aspekty. V tomto průvodci vysvětlujeme rozdíl mezi SOC 1 a SOC 2, proč můžete potřebovat jeden místo druhého, jak probíhají audity SOC a zda stojí za zvážení SOC 3.
Jaký je rozdíl mezi zprávami SOC typu I a typu II?
Co je SOC 1, kdo ho potřebuje a proč?
Co je SOC 2, kdo ho potřebuje a proč?
Co je SOC 3, kdo ho potřebuje a proč?
Které společnosti potřebují více zpráv SOC?
Jak probíhají audity SOC? Termíny, náklady a zdroje
Jak vám Proton může pomoci dokončit audity SOC
SOC 1 vs SOC 2 vs SOC 3
Zprávy SOC mohou znít jako úrovně stejného typu zprávy, ale není tomu tak. Ve skutečnosti jde o tři různé zprávy určené třem různým cílovým skupinám. Při jejich srovnávání tedy nejde o to, která je lepší, ale která lépe vyhovuje vašim potřebám.
- SOC 1 je pro společnosti, jejichž služby se dotýkají finančního výkaznictví zákazníka, jako jsou zpracovatelé mezd, správci pojistných nároků nebo správci fondů.
- SOC 2 je pro společnosti, které pracují s daty zákazníků, jako jsou poskytovatelé SaaS, cloudu a technologií.
- SOC 3 je veřejně dostupné shrnutí zprávy SOC 2. Vychází ze stejných kritérií, ale bez citlivých technických podrobností, takže je možné ho volně sdílet.
Proč podstoupit audit SOC?
Zákazníci potřebují důkaz, že vaše společnost je důvěryhodná, pokud jde o jejich data, ale auditovat každého dodavatele jednotlivě může být pro všechny zúčastněné pomalé a nákladné. Zamýšleným publikem zprávy jsou zákazníci vaší organizace.
Audit SOC, který vyvinul American Institute of CPAs (AICPA), umožňuje společnosti projít tímto procesem jednou s nezávislou auditorskou firmou CPA a poté předat výslednou zprávu potenciálnímu zákazníkovi místo vyplňování nového bezpečnostního dotazníku pro každou příležitost. V regulovaných odvětvích nebo odvětvích kladoucích důraz na bezpečnost, jako jsou finance a zdravotnictví, často zpráva SOC rozhoduje o tom, zda se vaše společnost vůbec dostane na užší seznam dodavatelů.
Audit SOC také vede společnosti k tomu, aby v jeho průběhu zaváděly skutečná bezpečnostní opatření, jako je správa přístupu, sledování a reakce na incidenty. Zpráva tedy sice vzniká proto, aby uspokojila nákupní týmy zákazníků, ale proces, který za ní stojí, buduje vaše bezpečnostní postupy bez ohledu na to, kdo zprávu čte. Vzhledem k tomu, že zprávy SOC odhalují podrobné informace o procesech a infrastruktuře společnosti, společnosti obvykle vyžadují, aby zákazníci před sdílením zprávy podepsali dohodu o mlčenlivosti (NDA).
Srovnávací tabulka: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Zaměření | Interní kontroly nad finančním výkaznictvím | Bezpečnost, dostupnost, integrita zpracování, důvěrnost a soukromí | Stejná kritéria jako SOC 2, ale ve shrnutí |
| Řídící standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typické publikum | Auditoři, regulátoři a finanční a účetní týmy zákazníka | Bezpečnostní, IT a nákupní týmy zákazníků | Široká veřejnost / potenciální zákazníci |
| Distribuce zprávy | Omezené: Sdíleno na základě dohody o mlčenlivosti s konkrétními zainteresovanými stranami | Omezené: Sdíleno na základě dohody o mlčenlivosti s konkrétními zainteresovanými stranami | Veřejné: Lze volně zveřejnit nebo sdílet |
| Příklady společností | Poskytovatelé mezd, zpracovatelé pojistných nároků, správci fondů | Platformy SaaS, poskytovatelé cloudu, datová centra | Společnosti, které mají SOC 2 a chtějí sdílenou verzi |
| Dostupné typy zpráv | Typ I a typ II | Typ I a typ II | Nevztahuje se |
Jaký je rozdíl mezi zprávami SOC typu I a typu II?
Pro audity SOC 1 a SOC 2 jsou k dispozici dva typy zpráv a právě zde je srovnání užitečnější.
- Audit typu I zkoumá dokumentaci, zásady a návrh systémů, které společnost zavedla, a posuzuje, zda jsou tato opatření vhodně navržena k ochraně dat. Netestuje, zda ochranná opatření skutečně fungují v čase, pouze potvrzuje, že existují a vypadají správně.
- Audit typu II zkoumá dokumentaci, zásady a návrhy systémů a poté nepřetržitě sleduje jejich provoz po dobu 3 až 12 měsíců. Auditor ověřuje, že kontroly jsou nejen dobře navrženy, ale také účinně dodržovány a že společnost vede logy, vytváří zálohy, sleduje přístup a řeší incidenty podle svých závazků.
Zákazníci a partneři obvykle auditu typu II důvěřují více, protože prokazuje průběžnou a reálnou úroveň zabezpečení. Na rozdíl od SOC 1 a SOC 2, které jen slouží různým cílovým skupinám, lze audit typu II považovat za silnější než audit typu I.
Co je SOC 1, kdo ho potřebuje a proč?
SOC 1 je rámec pro dodržování předpisů a auditing určený společnostem, jejichž služby ovlivňují finanční výkaznictví jejich zákazníků. SOC 1 uspokojuje potřeby externích auditorů zákazníků a poskytuje ujištění, že kontroly organizace poskytující služby nezanesou do účetnictví jejích zákazníků chyby.
Jaké typy společností mají prospěch z atestace SOC 1?
SOC 1 je první volbou pro společnosti, které zpracovávají finanční transakce nebo data pro jiné subjekty. Patří sem zpracovatelé mezd, zpracovatelé plateb, správci fondů, zpracovatelé pojistných nároků a platformy pro správu půjček. Atestace SOC 1 může otevřít cestu k novým smlouvám s většími klienty, snížit komplikace při každoročních auditech a posílit reputaci společnosti jako spolehlivého subjektu s dobře nastavenými finančními procesy, což často rozhoduje o tom, zda bude vaše společnost vůbec zvažována pro finančně citlivou práci.
Co je SOC 2, kdo ho potřebuje a proč?
SOC 2 je rámec pro dodržování předpisů a auditing určený společnostem, které zpracovávají zákaznická data. Audit SOC 2 vytváří zprávu, která dokumentuje, jak si kontroly společnosti stojí vůči kritériím Trust Services Criteria organizace AICPA, jež zahrnují zabezpečení, dostupnost, integritu zpracování, důvěrnost a soukromí, spolu s nezávislým posudkem auditora o tom, zda jsou tyto kontroly správně navrženy. SOC 2 je nezbytná atestace pro společnosti, které potřebují prokázat účinnost svých bezpečnostních kontrol zákazníkům a partnerům v USA.
Jaké typy společností mají prospěch z atestace SOC 2?
Největší prospěch z certifikace SOC 2 budou mít společnosti, které poskytují služby založené na technologiích. Patří sem software jako služba (SaaS), cloudová infrastruktura, platformy pro analýzu dat, fintechová řešení a aplikace v oblasti zdravotnických technologií. Vzhledem k tomu, že se úniky informací stávají běžnou záležitostí, zákazníci potřebují ujištění, že společnost dokáže ochránit data a systémy, které jí svěřují. To SOC 2 poskytuje, což může otevřít cestu k novým smlouvám s velkými korporacemi, zjednodušit hodnocení rizik dodavatelů a posílit reputaci firmy v oblasti silné ochrany dat.
Přečtěte si o auditu SOC 2 typu II společnosti Proton
Co je SOC 3, kdo ho potřebuje a proč?
SOC 3 vychází ze stejného procesu auditu jako SOC 2, slouží však jinému účelu. Zpráva SOC 3 je souhrnem stejných informací na vysoké úrovni, bez podrobných a konkrétních údajů, které vyžadují uzavření dohody o mlčenlivosti (NDA), a proto se často používá jako veřejně dostupné shrnutí zprávy SOC 2.
Jaké typy společností mají prospěch z atestace SOC 3?
Získat SOC 3 není možné bez absolvování procesu auditu SOC 2, ale společnosti, které již procházejí hodnocením pro SOC 2 a chtějí tyto informace využít v marketingových kampaních nebo prodejních prezentacích, mohou mít prospěch z toho, když usilují o zprávu SOC 3.
Které společnosti potřebují více zpráv SOC?
Volba mezi SOC 1 a SOC 2 je často otázkou výběru zprávy, která vyhovuje potřebám vašich zákazníků. Některé společnosti však skutečně potřebují více než jednu zprávu SOC. Například fintechová společnost, která zpracovává platby a ukládá citlivá zákaznická data, může potřebovat jak SOC 1 (protože se dotýká finančního výkaznictví zákazníků), tak SOC 2 (protože zpracovává zákaznická data).
| Kombinace auditů SOC | Typ společnosti |
| SOC 1 + SOC 2 | Společnosti, které zpracovávají jak finanční výkaznictví, tak významná zákaznická data |
| SOC 1 + SOC 3 | N/A (Získat SOC 3 není možné bez SOC 2) |
| SOC 2 + SOC 3 | Společnosti, které zpracovávají významná zákaznická data a chtějí svou atestaci SOC 2 doložit ve veřejně dostupném obsahu |
| SOC 1 + SOC 2 + SOC 3 | Společnosti, které zpracovávají jak finanční výkaznictví, tak významná zákaznická data a chtějí svou atestaci SOC 2 doložit ve veřejně dostupném obsahu |
Jak fungují audity SOC? Harmonogramy, fáze auditu a obnovy
Existuje řada proměnných, které ovlivní, jak nákladný a časově náročný audit SOC bude. Zde je několik faktorů, které je dobré mít na paměti, pokud plánujete soulad se SOC 1 nebo SOC 2.
Harmonogram SOC
| SOC | Harmonogram |
| SOC 1 typ I | ~ 2–4 měsíce |
| SOC 1 typ II | ~ 6–12 měsíců celkem, pozorovací období obvykle 6–12 měsíců |
| SOC 2 typ I | ~ 3–6 měsíců celkem |
| SOC 2 typ II | ~ 6–15 měsíců celkem, pozorovací období obvykle 3–12 měsíců |
Fáze auditu SOC
Audit SOC zahrnuje několik fází, které probíhají řadu týdnů až měsíců. Jednotlivé etapy vypadají takto:
1. Příprava (týdny 1–4)
Než začne jakékoli testování, určíte, které systémy spadají do rozsahu, a potvrdíte, která kritéria Trust Services Criteria organizace AICPA se použijí. U SOC 2 to obvykle znamená zabezpečení jako povinné kritérium a dále libovolnou kombinaci dostupnosti, integrity zpracování, důvěrnosti a soukromí podle potřeb zákazníků. Zmapujete také kontroly, které již máte zavedené, jako jsou zásady přístupu, standardy šifrování, postupy zálohování a plány reakce na incidenty. Cílem je předejít pozdějším překvapením.
2. Dokumentace (týdny 4–8)
Shromáždíte důkazy o tom, že vaše kontroly existují a jsou správně navrženy. Patří sem písemné zásady, diagramy architektury systému, matice přístupu na základě rolí, hodnocení rizik dodavatelů a záznamy o školeních. Auditor tyto materiály posoudí, aby se ujistil, že pokrývají všechny relevantní požadavky a odpovídají tomu, co by zákazníci rozumně očekávali.
3. Audit (týdny 8–12)
U zprávy typu I provádí auditor terénní práci k jednomu konkrétnímu okamžiku. Vede rozhovory s klíčovými pracovníky, odebírá vzorky důkazů o kontrolách a ověřuje, že vaše dokumentace odpovídá skutečnosti. V této fázi potvrzuje, že kontroly jsou navrženy správně.
4. Pozorování (měsíce 3–15)
Typ II přidává pozorovací období, během něhož auditor nepřetržitě sleduje vaše kontroly. V tomto období zkoumá například:
- Protokoly o přístupu: kdo získal oprávnění, kdy byl přístup odvolán a zda byly privilegované účty pravidelně kontrolovány
- Záznamy o řízení změn: jak byla nasazení kódu schvalována a sledována
- Řešení incidentů: zda byly bezpečnostní události odhaleny, eskalovány a vyřešeny podle vašeho zdokumentovaného procesu
- Zálohy a sledování: důkazy o tom, že jsou systémy skutečně sledovány a obnovovány podle slibu
Na konci období sledování vydá auditor posudek o tom, jak dobře vaše kontroly fungovaly během celého sledovaného období.
Obnovení SOC
Obnovení osvědčení SOC by mělo být obecně rychlejší než první audit. Vzhledem k tomu, že rozsah, kontroly a hranice systému jsou již stanoveny, auditor staví na známém základu, místo aby začínal od nuly, a mnohá obnovení jsou levnější i rychlejší než počáteční audit. Zprávy jsou obvykle platné 12 měsíců, takže většina společností certifikaci obnovuje každoročně a další období sledování často zahajuje hned po skončení toho současného, aby nedošlo k žádné mezeře v pokrytí.
Kolik stojí audit SOC?
Stanovit cenu auditu SOC je téměř nemožné, aniž byste získali cenovou nabídku od certifikovaného účetního (CPA), protože se může pohybovat od 5 000 USD až po více než 150 000 USD. Cena závisí na řadě faktorů, včetně velikosti vaší organizace, její připravenosti, toho, kolik zdrojů můžete tomuto procesu věnovat, a jaký typ auditu chcete absolvovat. Audity typu I jsou obvykle levnější, protože zaberou méně času.
Jak vám Proton může pomoci absolvovat audity SOC
Proton disponuje certifikací ISO 27001 i osvědčením SOC 2 Type II, což může společnostem, které používají produkty Proton, usnadnit získání vlastní akreditace. Používáním zabezpečeného šifrovaného pracovního prostředí přebíráte osvědčený bezpečnostní základ, který již splňuje náročné audity stojící za SOC 2 Type II. Může to snížit úsilí potřebné k prokázání souladu a zkrátit dobu auditu.
Tipy pro audity SOC
- Před zahájením auditu udělejte co nejvíce přípravné práce. Nedostatečná připravenost může často zpomalit proces a zvýšit náklady.
- Definujte hranice systému ještě před zahájením terénních prací. Nejasnosti o tom, co je skutečně v rozsahu, patří k nejčastějším příčinám zpoždění.
- Období sledování pro audit typu II volte podle toho, kdo zprávu požaduje, a ne jen podle toho, jak rychle ji chcete mít. Tříměsíční období vám přinese zprávu dříve, ale mnoho zákazníků očekává důkazy za šest měsíců až rok a může nesouhlasit s čímkoli kratším.
- Včas přiřaďte jasné vlastníky kontrol. Největší zpoždění mohou vzniknout při dohledávání správné osoby ve firmě kvůli důkazům, schválením nebo pohovorům.
- Plánujte obnovení a sběr důkazů berte jako trvalý návyk, ne jako shon před auditem. Organizace, které průběžné sledování začlení do běžného provozu, mají obvykle rychlejší a levnější obnovení než ty, které každý cyklus berou jako jednorázový projekt.
Časté dotazy k auditům SOC 1 a SOC 2
Co je SOC 1 a SOC 2?
SOC 1 i SOC 2 jsou auditorské rámce vyvinuté organizací AICPA, slouží však k různým účelům. SOC 1 se zaměřuje na interní kontroly nad finančním výkaznictvím. Je určen pro společnosti, jejichž služby ovlivňují finanční výkazy jejich zákazníků, jako jsou zpracovatelé mezd nebo správci fondů. SOC 2 se zaměřuje na bezpečnost, dostupnost, integritu zpracování, důvěrnost a soukromí. Je určen pro poskytovatele technologií a cloudových služeb, kteří pracují s daty zákazníků.
Je nutné absolvovat SOC 1 před SOC 2?
Ne, audity SOC na sebe nenavazují, jsou prostě odlišné, takže před auditem SOC 2 nemusíte absolvovat SOC 1. SOC 1 je určen pro podniky zabývající se finančním výkaznictvím, zatímco SOC 2 prověřuje bezpečnost, soukromí a integritu zpracování společnosti.
Jak dlouho trvá audit SOC 2?
Audit SOC 2 může trvat od tří měsíců do více než roku, v závislosti na tom, zda usilujete o audit typu I nebo typu II, na velikosti a složitosti vaší organizace a na připravenosti vašeho týmu.
Kolik stojí audit SOC 1 nebo SOC 2?
Audit SOC může stát mezi 5 000 a 150 000 USD v závislosti na typu auditu, velikosti vaší organizace a složitosti vašich systémů.
Je SOC 2 certifikací?
Ne, SOC 2 není certifikace, nýbrž osvědčení. Ačkoli se tyto pojmy používají zaměnitelně s audity SOC 1 a SOC 2, osvědčení je spíše hodnocení, zatímco certifikace znamená splněno/nesplněno.
Jak často je potřeba SOC 2 opakovat?
Audit SOC technicky vzato nevyprší, dokud systémy zůstávají nezměněné, ale průmyslovým standardem je obnovovat je každých 6–12 měsíců. Mnoho společností zavádí každoroční proces obnovení, který však závisí na tom, zda usilujete o audit typu I nebo typu II, a v případě typu II na délce období sledování.
Lze získat SOC 3 bez SOC 2?
Ne, SOC 3 vychází ze stejného procesu auditu jako SOC 2. SOC 3 je volitelným doplňkem k SOC 2, nikoli samostatným procesem.
