SOC-compliance kan være kompliceret og tidskrævende for organisationer. Hvis du er i gang med at undersøge det, har vi samlet en omfattende guide, der hjælper dig med at forstå de centrale aspekter. I denne guide forklarer vi forskellen mellem SOC 1 og SOC 2, hvorfor du måske har brug for det ene frem for det andet, hvordan SOC-revisioner fungerer, og om SOC 3 er værd at overveje.
Hvad er forskellen mellem Type I- og Type II-SOC-rapporter?
Hvad er SOC 1, hvem har brug for det, og hvorfor?
Hvad er SOC 2, hvem har brug for det, og hvorfor?
Hvad er SOC 3, hvem har brug for det, og hvorfor?
Hvilke virksomheder har brug for flere SOC-rapporter?
Hvordan fungerer SOC-revisioner? Tidslinjer, omkostninger og ressourcer
Sådan kan Proton hjælpe dig med at gennemføre SOC-revisioner
SOC 1 vs. SOC 2 vs. SOC 3
SOC-rapporter kan lyde som niveauer af den samme type rapport, men det er de ikke. De er faktisk tre forskellige rapporter, der er bygget til tre forskellige målgrupper. Så når du sammenligner dem, handler det ikke om, hvilken der er bedst, men om, hvilken der passer bedst til dine behov.
- SOC 1 er for virksomheder, hvis tjenester berører en kundes finansielle rapportering, som f.eks. lønbureauer, skadesadministratorer eller fondsadministratorer.
- SOC 2 er for virksomheder, der håndterer kundedata, som f.eks. SaaS-, sky- og teknologileverandører.
- SOC 3 er et offentligt resumé af en SOC 2-rapport. Det bruger de samme underliggende kriterier, men uden de følsomme tekniske detaljer, så det kan deles frit.
Hvorfor få en SOC-revision?
Kunder har brug for bevis for, at din virksomhed kan betros med deres data, men at revidere hver enkelt leverandør individuelt kan være langsomt og dyrt for alle involverede. Din organisations kunder er den tiltænkte målgruppe for rapporten.
SOC-revisionen er udviklet af American Institute of CPAs (AICPA) og gør det muligt for en virksomhed at gennemgå processen én gang med et uafhængigt CPA-selskab og derefter give den resulterende rapport til en potentiel kunde i stedet for at udfylde et nyt sikkerhedsspørgeskema for hver eneste mulighed. I regulerede eller sikkerhedsbevidste brancher som finans og sundhed er en SOC-rapport ofte afgørende for, om din virksomhed overhovedet kommer i betragtning som leverandør.
En SOC-revision tilskynder også virksomheder til at implementere reelle sikkerhedskontroller undervejs, som f.eks. adgangsstyring, overvågning og hændelseshåndtering. Så selv om rapporten findes for at tilfredsstille kundernes indkøbsafdelinger, styrker processen bag den din sikkerhedspraksis, uanset hvem der læser rapporten. Fordi SOC-rapporter afslører detaljerede oplysninger om virksomhedens processer og infrastruktur, kræver virksomheder normalt, at kunder underskriver en NDA, før rapporten kan deles.
Sammenligningstabel: SOC 1 vs. SOC 2 vs. SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Fokus | Interne kontroller vedrørende finansiel rapportering | Sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv | Samme kriterier som SOC 2, men opsummeret |
| Gældende standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typisk målgruppe | Revisorer, tilsynsmyndigheder og kundens økonomi-/regnskabsteams | Kundernes sikkerheds-, IT- og indkøbsteams | Den brede offentlighed / potentielle kunder |
| Rapportdistribution | Begrænset: delt under NDA med specifikke interessenter | Begrænset: delt under NDA med specifikke interessenter | Offentlig: kan offentliggøres eller deles frit |
| Eksempelvirksomheder | Lønudbydere, skadesbehandlere, fondsadministratorer | SaaS-platforme, skyleverandører, datacentre | Virksomheder, der har en SOC 2 og ønsker en version, der kan deles |
| Tilgængelige rapporttyper | Type I og Type II | Type I og Type II | Ikke relevant |
Hvad er forskellen mellem Type I- og Type II-SOC-rapporter?
Der findes to typer rapporter til SOC 1- og SOC 2-revisioner, og det er her, sammenligninger bliver mere nyttige.
- En Type I-revision undersøger de dokumenter, politikker og systemdesigns, som en virksomhed har etableret, og vurderer, om disse kontroller er designet korrekt til at beskytte data. Den tester ikke, om sikkerhedsforanstaltningerne faktisk fungerer over tid, den bekræfter blot, at de er der og ser korrekte ud.
- En type II-revision gennemgår dokumenter, politikker og systemdesign og overvåger derefter driften løbende i en periode på 3 til 12 måneder. Revisoren bekræfter, at kontrollerne ikke blot er veldesignede, men også følges effektivt; at virksomheden fører log, tager sikkerhedskopier, overvåger adgang og håndterer hændelser som lovet.
Kunder og partnere stoler som regel mere på en type II-revision, fordi den dokumenterer en løbende sikkerhedsindsats i den virkelige verden. I modsætning til SOC 1 og SOC 2, der blot henvender sig til forskellige målgrupper, kan en type II-revision betragtes som stærkere end en type I.
Hvad er SOC 1, hvem har brug for det, og hvorfor?
SOC 1 er en ramme for compliance og revision for virksomheder, hvis tjenester påvirker deres kunders finansielle rapportering. SOC 1 opfylder behovene hos kundernes eksterne revisorer og giver sikkerhed for, at en serviceorganisations kontroller ikke indfører fejl i kundernes regnskaber.
Hvilke typer virksomheder har gavn af SOC 1-attestering?
SOC 1 er den foretrukne attestering for virksomheder, der håndterer finansielle transaktioner eller data på vegne af andre. Det omfatter lønbureauer, betalingsformidlere, fondsadministratorer, skadesbehandlere og platforme til lånadministration. En SOC 1 kan åbne for nye kontrakter med større kunder, mindske friktionen ved årlige revisioner og styrke virksomhedens omdømme for pålidelige, velkontrollerede finansielle processer, hvilket ofte afgør, om din virksomhed overhovedet kommer i betragtning til finansielt følsomt arbejde.
Hvad er SOC 2, hvem har brug for det, og hvorfor?
SOC 2 er en ramme for compliance og revision for virksomheder, der håndterer kundedata. En SOC 2-revision udarbejder en rapport, der dokumenterer, hvordan en virksomheds kontroller holder mod AICPA’s Trust Services Criteria, der dækker sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv, sammen med en uafhængig revisors vurdering af, om kontrollerne er korrekt designet. SOC 2 er en nødvendig attestering for virksomheder, der skal bevise effektiviteten af deres sikkerhedskontroller over for amerikanske kunder og partnere.
Hvilke typer virksomheder har gavn af SOC 2-attestering?
Virksomheder, der leverer teknologibaserede tjenester, får mest ud af SOC 2-certificering. Det omfatter software-as-a-service (SaaS), skyinfrastruktur, dataanalyseplatforme, fintech-løsninger og healthtech-applikationer. I takt med at databrud bliver normen, har kunder brug for forsikring om, at en virksomhed kan beskytte de data og systemer, de betror den. En SOC 2 giver netop dette, hvilket kan åbne for nye kontrakter med store virksomheder, forenkle vurderinger af leverandørrisici og styrke virksomhedens omdømme for stærk databeskyttelse.
Læs om Protons SOC 2 type II-revision
Hvad er SOC 3, hvem har brug for det, og hvorfor?
En SOC 3 udledes af samme revisionsproces som en SOC 2, den tjener blot et andet formål. SOC 3-rapporten er et overordnet resumé af de samme oplysninger, uden de detaljerede og specifikke oplysninger, der kræver en NDA, så den bruges ofte som et offentligt resumé af SOC 2-rapporten.
Hvilke typer virksomheder har gavn af SOC 3-attestering?
Det er ikke muligt at få en SOC 3 uden at gennemgå SOC 2-revisionsprocessen, men virksomheder, der allerede vurderes til en SOC 2 og ønsker at bruge oplysningerne i marketingkampagner eller salgspræsentationer, kan have gavn af at gå efter en SOC 3-rapport.
Hvilke virksomheder har brug for flere SOC-rapporter?
At vælge mellem SOC 1 og SOC 2 handler ofte om at vælge den rapport, der passer til dine kunders behov. Nogle virksomheder har dog brug for mere end én SOC-rapport. En fintech-virksomhed, der behandler betalinger og lagrer følsomme kundedata, kan for eksempel have brug for både en SOC 1, fordi den berører kundernes finansielle rapportering, og en SOC 2, fordi den håndterer kundedata.
| Kombination af SOC-revisioner | Virksomhedstype |
| SOC 1 + SOC 2 | Virksomheder, der både håndterer finansiel rapportering og betydelige kundedata |
| SOC 1 + SOC 3 | Ikke relevant (Det er ikke muligt at få en SOC 3 uden en SOC 2) |
| SOC 2 + SOC 3 | Virksomheder, der håndterer betydelige kundedata og ønsker at fremvise deres SOC 2-attestering i offentligt tilgængeligt indhold |
| SOC 1 + SOC 2 + SOC 3 | Virksomheder, der både håndterer finansiel rapportering og betydelige kundedata og ønsker at fremvise deres SOC 2-attestering i offentligt tilgængeligt indhold |
Hvordan fungerer SOC-revisioner? Tidslinjer, revisionsfaser og fornyelser
Der er en række variabler, der påvirker, hvor dyrt og tidskrævende en SOC-revision er. Her er nogle af de faktorer, du bør være opmærksom på, hvis du planlægger at efterleve SOC 1 eller SOC 2.
SOC-tidslinje
| SOC | Tidslinje |
| SOC 1 type I | ~ 2–4 måneder |
| SOC 1 type II | ~ 6–12 måneder i alt, observationsvindue typisk 6–12 måneder |
| SOC 2 type I | ~ 3–6 måneder i alt |
| SOC 2 type II | ~ 6–15 måneder i alt, observationsvindue typisk 3–12 måneder |
SOC-revisionsfaser
En SOC-revision består af flere faser, der udfolder sig over uger eller måneder. Sådan ser hvert trin ud:
1. Forberedelse (uge 1–4)
Før testningen begynder, identificerer du, hvilke systemer der er omfattet, og bekræfter, hvilke af AICPA’s Trust Services Criteria der anvendes. For SOC 2 betyder det typisk sikkerhed som det obligatoriske kriterium plus en vilkårlig kombination af tilgængelighed, behandlingsintegritet, fortrolighed og privatliv baseret på kundernes behov. Du kortlægger også de kontroller, du allerede har på plads, såsom adgangspolitikker, krypteringsstandarder, procedurer for sikkerhedskopier og planer for håndtering af hændelser. Målet er at undgå overraskelser senere.
2. Dokumentation (uge 4–8)
Du indsamler beviser for, at dine kontroller findes og er korrekt designet. Det omfatter skriftlige politikker, systemarkitekturdiagrammer, rollebaserede adgangsmatricer, vurderinger af leverandørrisici og træningsregistre. Revisoren gennemgår materialet for at sikre, at det dækker alle relevante krav og stemmer overens med, hvad kunder med rimelighed kan forvente.
3. Revision (uge 8–12)
For en type I-rapport udfører revisoren feltarbejde på et enkelt tidspunkt. Revisoren interviewer nøglemedarbejdere, udtager stikprøver af kontrolbeviser og verificerer, at din dokumentation afspejler virkeligheden. På dette trin bekræftes det, at kontrollerne er designet korrekt.
4. Observation (måned 3–15)
En type II tilføjer et observationsvindue, hvor revisoren overvåger dine kontroller løbende. I denne periode undersøges blandt andet:
- Adgangslogge: hvem der fik tilladelser, hvornår adgang blev tilbagekaldt, og om privilegerede konti blev gennemgået regelmæssigt
- Registreringer over ændringsstyring: hvordan kodeudrulninger blev godkendt og sporet
- Håndtering af hændelser: om sikkerhedsbegivenheder blev opdaget, eskaleret og løst i overensstemmelse med din dokumenterede proces
- Sikkerhedskopier og overvågning: dokumentation for, at systemer faktisk bliver overvåget og genoprettet som lovet
Ved afslutningen af observationsperioden afgiver revisoren sin udtalelse om, hvor godt dine kontroller fungerede i hele perioden.
SOC-fornyelser
At forny din SOC-attestering er som regel hurtigere end den første revision. Da dit omfang, dine kontroller og dine systemgrænser allerede er fastlagt, bygger revisoren videre på en kendt baseline i stedet for at starte fra bunden, og mange fornyelser er både billigere og hurtigere end den første revision. Rapporter er typisk gyldige i 12 måneder, så de fleste virksomheder fornyer årligt og starter ofte den næste observationsperiode lige efter, at den nuværende slutter, for at undgå huller i dækningen.
Hvad koster en SOC-revision?
Det er næsten umuligt at fastslå prisen på en SOC-revision uden at få et tilbud fra en CPA, da den kan variere fra helt ned til 5.000 USD og op til over 150.000 USD. Prisen afhænger af en række faktorer, blandt andet størrelsen af din organisation, din organisations parathed, hvor mange ressourcer du kan afsætte til processen, og hvilken type revision du går efter. Type I-revisioner er generelt billigere, fordi de tager mindre tid.
Hvordan Proton kan hjælpe dig med at gennemføre SOC-revisioner
Proton har både ISO 27001-certificering og SOC 2 Type II-attestering, hvilket kan gøre det lettere for virksomheder, der bruger Protons produkter, at opnå deres egen akkreditering. Ved at bruge et sikkert, krypteret Workspace overtager du en velprøvet sikkerhedsbaseline, der allerede opfylder de strenge revisioner bag SOC 2 Type II. Det kan reducere den indsats, der kræves for at dokumentere overholdelse, og forkorte revisionstidslinjer.
Tips til SOC-revisioner
- Lav så meget forarbejde som muligt, inden revisionen begynder. Manglende parathed kan ofte forsinke processen og øge omkostningerne.
- Definér dine systemgrænser, inden feltarbejdet begynder. Uklarhed om, hvad der egentlig er omfattet, er en af de mest almindelige årsager til forsinkelser.
- Vælg dit observationsvindue for Type II ud fra, hvem der efterspørger rapporten, og ikke kun hvor hurtigt du vil have den. Et vindue på tre måneder giver dig en rapport hurtigere, men mange kunder forventer seks måneders til et års dokumentation og vil måske protestere på mindre.
- Udpeg klare kontrolansvarlige tidligt. De største forsinkelser kan opstå, mens du jagter den rigtige person internt for dokumentation, godkendelser eller interviews.
- Planlæg fornyelser, og gør indsamling af dokumentation til en fast vane i stedet for et kapløb op til revisionen. Organisationer, der integrerer løbende overvågning i den normale drift, har ofte hurtigere og billigere fornyelser end dem, der behandler hver cyklus som et engangsprojekt.
FAQ om SOC 1- og SOC 2-revisioner
Hvad er SOC 1 og SOC 2?
SOC 1 og SOC 2 er begge revisionsrammeværk udviklet af AICPA, men de tjener forskellige formål. SOC 1 fokuserer på interne kontroller i forbindelse med finansiel rapportering. Det er designet til virksomheder, hvis tjenester påvirker deres kunders regnskaber, som for eksempel lønbehandlere eller fondsadministratorer. SOC 2 fokuserer på sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv. Det er designet til teknologi- og skytjenesteudbydere, der håndterer kundedata.
Har du brug for SOC 1 før SOC 2?
Nej, SOC-revisioner er ikke sekventielle, de er blot forskellige, så du behøver ikke gennemføre en SOC 1, før du gennemfører en SOC 2. En SOC 1 er beregnet til virksomheder, der udfører finansiel rapportering, mens en SOC 2 reviderer en virksomheds sikkerhed, privatliv og behandlingsintegritet.
Hvor lang tid tager en SOC 2-revision?
En SOC 2-revision kan tage alt fra tre måneder til over et år at gennemføre, afhængigt af om du går efter en Type I- eller Type II-revision, størrelsen og kompleksiteten af din organisation og paratheden i dit team.
Hvad koster en SOC 1- eller SOC 2-revision?
En SOC-revision kan koste mellem 5.000 USD og 150.000 USD afhængigt af revisionstypen, størrelsen af din organisation og kompleksiteten af dine systemer.
Er SOC 2 en certificering?
Nej, en SOC 2 er ikke en certificering, det er en attestering. Selv om begreberne bruges i flæng om SOC 1- og SOC 2-revisioner, er en attestering mere som en vurdering, mens en certificering er bestået/ikke bestået.
Hvor ofte skal en SOC 2 gentages?
En SOC-revision udløber strengt taget ikke, så længe systemerne forbliver uændrede, men branchestandarden er at forny den hver 6. til 12. måned. Mange virksomheder opsætter en årlig fornyelsesproces, men det afhænger af, om du går efter en Type I- eller Type II-revision, og hvis det er Type II, hvor lang observationsperioden er.
Kan du få en SOC 3 uden en SOC 2?
Nej, en SOC 3 udledes af den samme revisionsproces som en SOC 2. En SOC 3 er et valgfrit tillæg til en SOC 2, ikke en separat proces.
