SOC-vaatimustenmukaisuus voi olla organisaatioille monimutkaista ja aikaa vievää. Jos tutkit sitä parhaillaan, olemme koonneet kattavan oppaan, joka auttaa sinua ymmärtämään keskeiset osa-alueet. Tässä oppaassa selitämme SOC 1:n ja SOC 2:n eron, miksi saatat tarvita toista niistä, miten SOC-auditoinnit toimivat ja kannattaako SOC 3:tä harkita.
Miten tyypin I ja tyypin II SOC-raportit eroavat toisistaan?
Mikä on SOC 1, kuka sitä tarvitsee ja miksi?
Mikä on SOC 2, kuka sitä tarvitsee ja miksi?
Mikä on SOC 3, kuka sitä tarvitsee ja miksi?
Mitkä yritykset tarvitsevat useita SOC-raportteja?
Miten SOC-auditoinnit toimivat? Aikataulut, kustannukset ja resurssit
Paljonko SOC-auditointi maksaa?
Miten Proton voi auttaa sinua saattamaan SOC-auditoinnit päätökseen
SOC 1 vs SOC 2 vs SOC 3
SOC-raportit voivat kuulostaa samantyyppisen raportin eri tasoilta, mutta sitä ne eivät ole. Ne ovat itse asiassa kolme eri raporttia, jotka on tehty kolmelle eri kohderyhmälle. Kun vertailet niitä, kyse ei siis ole siitä, mikä niistä on parempi, vaan siitä, mikä sopii paremmin tarpeisiisi.
- SOC 1 on tarkoitettu yrityksille, joiden palvelut liittyvät asiakkaan taloudelliseen raportointiin, kuten palkanlaskentapalvelujen tarjoajille, korvauskäsittelijöille tai rahastohallinnoijille.
- SOC 2 on tarkoitettu yrityksille, jotka käsittelevät asiakastietoja, kuten SaaS-, pilvi- ja teknologiatoimittajille.
- SOC 3 on SOC 2 -raportin julkinen tiivistelmä. Siinä käytetään samoja taustalla olevia kriteerejä, mutta ilman arkaluonteisia teknisiä tietoja, joten se voidaan jakaa vapaasti.
Miksi hankkia SOC-auditointi?
Asiakkaat tarvitsevat todisteita siitä, että yritystäsi voidaan pitää luotettuna heidän tietojensa suhteen, mutta jokaisen toimittajan erillinen auditointi voi olla hidasta ja kallista kaikille osapuolille. Raportin varsinainen kohdeyleisö on organisaatiosi asiakkaat.
Yhdysvaltain tilintarkastajien instituutin (AICPA) kehittämä SOC-auditointi mahdollistaa sen, että yritys käy prosessin läpi kerran riippumattoman tilintarkastusyhteisön kanssa ja voi sen jälkeen antaa syntyneen raportin potentiaaliselle asiakkaalle sen sijaan, että se täyttäisi uuden tietoturvakyselyn jokaista mahdollisuutta varten. Säännellyillä tai tietoturvatietoisilla aloilla, kuten rahoitusalalla ja terveydenhuollossa, SOC-raportti ratkaisee usein sen, pääseekö yrityksesi ylipäätään toimittajaehdokkaiden listalle.
SOC-auditointi kannustaa yrityksiä myös ottamaan käyttöön todellisia tietoturvakontrolleja, kuten pääsynhallintaa, valvontaa ja poikkeamien käsittelyä. Vaikka raportti on olemassa asiakkaiden hankintatiimien tarpeisiin, sen taustalla oleva prosessi kehittää tietoturvakäytäntöjäsi riippumatta siitä, kuka raporttia lukee. Koska SOC-raportit paljastavat yksityiskohtaisia tietoja yrityksen prosesseista ja infrastruktuurista, yritykset edellyttävät yleensä, että asiakkaat allekirjoittavat salassapitosopimuksen ennen kuin raportti voidaan jakaa.
Vertailutaulukko: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Painopiste | Talousraportoinnin sisäinen valvonta | Tietoturva, käytettävyys, käsittelyn eheys, luottamuksellisuus ja yksityisyys | Samat kriteerit kuin SOC 2:ssa, mutta tiivistettynä |
| Sovellettava standardi | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Tyypillinen kohdeyleisö | Tilintarkastajat, viranomaiset sekä asiakkaan talous- ja kirjanpitotiimit | Asiakkaiden tietoturva-, IT- ja hankintatiimit | Suuri yleisö / potentiaaliset asiakkaat |
| Raportin jakelu | Rajoitettu: jaetaan salassapitosopimuksen alaisena tietyille sidosryhmille | Rajoitettu: jaetaan salassapitosopimuksen alaisena tietyille sidosryhmille | Julkinen: voidaan julkaista tai jakaa vapaasti |
| Esimerkkiyritykset | Palkanlaskentapalvelujen tarjoajat, korvauskäsittelijät, rahastohallinnoijat | SaaS-alustat, pilvipalvelujen tarjoajat, datakeskukset | Yritykset, joilla on SOC 2 -raportti ja jotka haluavat jaettavan version |
| Saatavilla olevat raporttityypit | Tyyppi I ja tyyppi II | Tyyppi I ja tyyppi II | Ei sovellu |
Miten tyypin I ja tyypin II SOC-raportit eroavat toisistaan?
SOC 1- ja SOC 2 -auditoinneissa on saatavilla kahden tyyppisiä raportteja, ja tässä vertailusta tulee hyödyllisempää.
- Tyypin I auditointi tarkastelee yrityksen käyttöön ottamia asiakirjoja, käytäntöjä ja järjestelmäsuunnitelmia sekä arvioi, onko nämä valvontatoimenpiteet suunniteltu asianmukaisesti tietojen suojaamiseksi. Se ei testaa, toimivatko suojatoimet todella ajan mittaan, vaan vahvistaa ainoastaan, että ne ovat olemassa ja näyttävät oikeilta.
- Tyypin II auditointi tarkastelee asiakirjoja, käytäntöjä ja järjestelmäsuunnitelmia ja seuraa sitten niiden toimintaa jatkuvasti 3–12 kuukauden ajan. Auditoija varmistaa, että kontrolleja ei ole vain suunniteltu hyvin vaan niitä myös noudatetaan tehokkaasti: että yritys pitää lokeja, tekee varmuuskopioita, seuraa käyttöoikeuksia ja käsittelee poikkeamat luvatusti.
Asiakkaat ja kumppanit luottavat yleensä tyypin II auditointiin enemmän, koska se osoittaa jatkuvaa, todellista tietoturvan tasoa. Toisin kuin SOC 1 ja SOC 2, jotka palvelevat vain eri kohderyhmiä, tyypin II auditointia voidaan pitää vahvempana kuin tyypin I auditointia.
Mikä on SOC 1, kuka sitä tarvitsee ja miksi?
SOC 1 on vaatimustenmukaisuuden ja auditoinnin viitekehys yrityksille, joiden palvelut vaikuttavat asiakkaidensa taloudelliseen raportointiin. SOC 1 täyttää asiakkaiden ulkoisten tilintarkastajien tarpeet ja antaa varmuuden siitä, että palveluorganisaation kontrollit eivät aiheuta virheitä asiakkaiden kirjanpitoon.
Minkä tyyppiset yritykset hyötyvät SOC 1 -attestoinnista?
SOC 1 on ensisijainen attestointi yrityksille, jotka käsittelevät taloudellisia tapahtumia tai tietoja toisten puolesta. Näitä ovat palkanlaskijat, maksujen käsittelijät, rahastojen hallinnoijat, korvaushakemusten käsittelijät ja lainahoitopalvelujen alustat. SOC 1 voi avata uusia sopimuksia suurempien asiakkaiden kanssa, vähentää kitkaa vuosittaisissa auditoinneissa ja vahvistaa yrityksen mainetta luotettavien ja hyvin hallittujen talousprosessien hoitajana, mikä usein ratkaisee, otetaanko yritystäsi edes harkintaan taloudellisesti arkaluonteisiin tehtäviin.
Mikä on SOC 2, kuka sitä tarvitsee ja miksi?
SOC 2 on vaatimustenmukaisuuden ja auditoinnin viitekehys yrityksille, jotka käsittelevät asiakastietoja. SOC 2 -auditointi tuottaa raportin, joka dokumentoi, miten yrityksen kontrollit vastaavat AICPA:n Trust Services Criteria -kriteerejä kattaen tietoturvan, käytettävyyden, käsittelyn eheyden, luottamuksellisuuden ja yksityisyyden, sekä riippumattoman auditoijan lausunnon siitä, onko kontrollit suunniteltu asianmukaisesti. SOC 2 on välttämätön attestointi yrityksille, joiden on osoitettava tietoturvakontrolliensa tehokkuus yhdysvaltalaisille asiakkaille ja kumppaneille.
Minkä tyyppiset yritykset hyötyvät SOC 2 -attestoinnista?
Teknologiapohjaisia palveluita tarjoavat yritykset hyötyvät eniten SOC 2 -sertifioinnista. Näitä ovat ohjelmistopalvelut (SaaS), pilvi-infrastruktuuri, data-analytiikka-alustat, fintech-ratkaisut ja terveysteknologiasovellukset. Kun tietomurroista on tullut arkipäivää, asiakkaat tarvitsevat varmuuden siitä, että yritys pystyy suojaamaan tiedot ja järjestelmät, joiden hoitamisen he ovat sille uskoneet. SOC 2 tarjoaa tämän, mikä voi avata uusia sopimuksia suurten yritysten kanssa, yksinkertaistaa toimittajariiskien arviointeja ja vahvistaa yrityksen mainetta vahvasta tietosuojasta.
Lue Protonin SOC 2 -tyypin II auditoinnista
Mikä on SOC 3, kuka sitä tarvitsee ja miksi?
SOC 3 perustuu samaan auditointiprosessiin kuin SOC 2, mutta sillä on eri tarkoitus. SOC 3 -raportti on samojen tietojen yleistasoinen yhteenveto ilman yksityiskohtaisia ja täsmällisiä tietoja, jotka edellyttävät salassapitosopimusta, joten sitä käytetään usein SOC 2 -raportin julkisena yhteenvetona.
Minkä tyyppiset yritykset hyötyvät SOC 3 -attestoinnista?
SOC 3 -raporttia ei ole mahdollista saada käymättä läpi SOC 2 -auditointiprosessia, mutta yritykset, joita arvioidaan jo SOC 2:n osalta ja jotka haluavat käyttää näitä tietoja markkinointikampanjoissa tai myyntimateriaaleissa, voivat hyötyä SOC 3 -raportin hankkimisesta.
Mitkä yritykset tarvitsevat useita SOC-raportteja?
SOC 1:n ja SOC 2:n välillä valitseminen on usein sitä, että valitaan, kumpi raportti sopii asiakkaidesi tarpeisiin. Jotkin yritykset tarvitsevat kuitenkin useamman kuin yhden SOC-raportin. Esimerkiksi fintech-yritys, joka käsittelee maksuja ja tallentaa arkaluonteisia asiakastietoja, saattaa tarvita sekä SOC 1:n (koska se vaikuttaa asiakkaiden taloudelliseen raportointiin) että SOC 2:n (koska se käsittelee asiakastietoja).
| SOC-auditointien yhdistelmä | Yritystyyppi |
| SOC 1 + SOC 2 | Yritykset, jotka käsittelevät sekä taloudellista raportointia että merkittäviä asiakastietoja |
| SOC 1 + SOC 3 | Ei sovellu (SOC 3:a ei ole mahdollista saada ilman SOC 2:ta) |
| SOC 2 + SOC 3 | Yritykset, jotka käsittelevät merkittäviä asiakastietoja ja haluavat esitellä SOC 2 -attestointiaan julkisessa sisällössä |
| SOC 1 + SOC 2 + SOC 3 | Yritykset, jotka käsittelevät sekä taloudellista raportointia että merkittäviä asiakastietoja ja haluavat esitellä SOC 2 -attestointiaan julkisessa sisällössä |
Miten SOC-auditoinnit toimivat? Aikataulut, auditointivaiheet ja uudistukset
SOC-auditoinnin kustannuksiin ja kestoon vaikuttavat useat eri tekijät. Tässä on joitakin seikkoja, jotka kannattaa pitää mielessä, jos suunnittelet SOC 1- tai SOC 2 -vaatimustenmukaisuutta.
SOC-aikataulu
| SOC | Aikataulu |
| SOC 1 tyyppi I | ~ 2–4 kuukautta |
| SOC 1 tyyppi II | ~ 6–12 kuukautta yhteensä, havainnointijakso tyypillisesti 6–12 kuukautta |
| SOC 2 tyyppi I | ~ 3–6 kuukautta yhteensä |
| SOC 2 tyyppi II | ~ 6–15 kuukautta yhteensä, havainnointijakso tyypillisesti 3–12 kuukautta |
SOC-auditoinnin vaiheet
SOC-auditointi koostuu useista vaiheista, jotka ajoittuvat viikkojen tai kuukausien ajalle. Tältä kukin vaihe näyttää:
1. Valmistelu (viikot 1–4)
Ennen kuin testaus alkaa, määrität, mitkä järjestelmät kuuluvat soveltamisalaan, ja vahvistat, mitkä AICPA:n Trust Services Criteria -kriteereistä ovat sovellettavissa. SOC 2:n osalta se tarkoittaa tyypillisesti tietoturvaa pakollisena kriteerinä sekä mitä tahansa yhdistelmää käytettävyydestä, käsittelyn eheydestä, luottamuksellisuudesta ja yksityisyydestä asiakkaiden tarpeiden mukaan. Sinun on myös kartoitettava olemassa olevat kontrollisi, kuten pääsykäytännöt, salausstandardit, varmuuskopiointimenettelyt ja poikkeamien hallintasuunnitelmat. Tavoitteena on välttää yllätyksiä myöhemmin.
2. Dokumentointi (viikot 4–8)
Kokoat todisteet siitä, että kontrollisi ovat olemassa ja asianmukaisesti suunniteltuja. Näitä ovat kirjalliset käytännöt, järjestelmäarkkitehtuurikaaviot, roolipohjaiset pääsymatriisit, toimittajariiskien arvioinnit ja koulutustiedot. Auditoija tarkistaa nämä materiaalit varmistaakseen, että ne kattavat kaikki olennaiset vaatimukset ja vastaavat sitä, mitä asiakkaat voisivat kohtuudella odottaa.
3. Auditointi (viikot 8–12)
Tyypin I raportissa auditoija tekee kenttätyön yhden ajankohdan ympärillä. Hän haastattelee keskeistä henkilöstöä, ottaa otoksia kontrollien todisteista ja varmistaa, että dokumentaatiosi vastaa todellisuutta. Tässä vaiheessa hän vahvistaa, että kontrollit on suunniteltu oikein.
4. Havainnointi (kuukaudet 3–15)
Tyyppi II lisää havainnointijakson, jossa auditoija seuraa kontrollejasi jatkuvasti. Tänä aikana hän tarkastelee muun muassa seuraavia:
- Käyttölokit: kuka sai käyttöoikeudet, milloin käyttöoikeudet mitätöitiin ja tarkistettiinko etuoikeutetut tilit säännöllisesti
- Muutoshallinnan tiedot: miten koodikäyttöönotot hyväksyttiin ja miten niitä seurattiin
- Poikkeamien käsittely: havaittiinko tietoturvatapahtumat, eskaloitiinko ne ja ratkaistiinko ne dokumentoidun prosessinne mukaisesti
- Varmuuskopiot ja valvonta: näyttö siitä, että järjestelmiä todella valvotaan ja palautetaan luvatusti
Havaintojakson lopussa tarkastaja antaa lausuntonsa siitä, miten hyvin valvontatoimenpiteenne toimivat koko jakson ajan.
SOC-todistusten uusiminen
SOC-todistuksesi uusiminen on yleensä nopeampaa kuin ensimmäinen auditointi. Koska laajuus, valvontatoimenpiteet ja järjestelmän rajat on jo vahvistettu, tarkastaja rakentaa tunnetun perustason päälle sen sijaan, että aloittaisi alusta, ja monet uusinnat ovat sekä halvempia että nopeampia kuin alkuperäinen auditointi. Raportit ovat tyypillisesti voimassa 12 kuukautta, joten useimmat yritykset uusivat ne vuosittain ja aloittavat seuraavan havaintojakson usein heti edellisen päätyttyä välttääkseen katkokset kattavuudessa.
Paljonko SOC-auditointi maksaa?
SOC-auditoinnin hintaa on lähes mahdotonta määrittää ilman CPA-tilintarkastajan tarjousta, sillä hinnat voivat vaihdella 5 000 USD:sta aina yli 150 000 USD:hen. Hinta riippuu useista tekijöistä, kuten organisaatiosi koosta, organisaatiosi valmiustasosta, siitä kuinka paljon resursseja voit osoittaa prosessiin ja siitä, minkä tyyppiseen auditointiin tähtäät. Tyypin I auditoinnit ovat yleensä halvempia, koska ne vievät vähemmän aikaa.
Miten Proton auttaa sinua suorittamaan SOC-auditoinnit
Protonilla on sekä ISO 27001 -sertifikaatti että SOC 2 Type II -attestointi, mikä voi helpottaa Protonin tuotteita käyttävien yritysten oman akkreditoinnin hankkimista. Käyttämällä turvallista ja salattua työtilaa saat käyttöösi todistetun tietoturvatason, joka täyttää jo SOC 2 Type II:n taustalla olevat tiukat auditoinnit. Tämä voi vähentää vaatimustenmukaisuuden osoittamiseen tarvittavaa työtä ja lyhentää auditointiaikatauluja.
Vinkkejä SOC-auditointeihin
- Tee mahdollisimman paljon valmistelutyötä ennen auditoinnin alkua. Puutteellinen valmius voi usein hidastaa prosessia ja lisätä kustannuksia.
- Määritä järjestelmän rajat ennen kenttätyön alkua. Epäselvyys siitä, mikä todella kuuluu laajuuteen, on yksi yleisimmistä viivästysten syistä.
- Valitse Tyypin II havaintojakso sen perusteella, kuka raporttia pyytää, ei pelkästään sen perusteella, kuinka nopeasti haluat sen. Kolmen kuukauden jakso tuottaa raportin nopeammin, mutta monet asiakkaat odottavat kuuden kuukauden tai jopa vuoden näyttöä ja saattavat kyseenalaistaa kaiken sitä lyhyemmän.
- Nimeä selkeät valvontatoimenpiteiden omistajat varhain. Suurimmat viivästykset voivat syntyä, kun etsitään organisaation sisältä oikeaa henkilöä näyttöä, hyväksyntöjä tai haastatteluja varten.
- Varaudu uusintoihin ja pidä näytön keräämistä jatkuvana tapana sen sijaan, että se olisi kiireinen rypistys ennen auditointia. Organisaatioilla, jotka sisällyttävät jatkuvan valvonnan osaksi normaalia toimintaansa, on usein nopeammat ja halvemmat uusinnat kuin niillä, jotka kohtelevat jokaista kierrosta erillisenä projektina.
Usein kysytyt kysymykset SOC 1- ja SOC 2 -auditoinneista
Mitä SOC 1 ja SOC 2 ovat?
SOC 1 ja SOC 2 ovat molemmat AICPA:n kehittämiä auditointikehyksiä, mutta ne palvelevat eri tarkoituksia. SOC 1 keskittyy taloudelliseen raportointiin liittyviin sisäisiin valvontatoimenpiteisiin. Se on suunniteltu yrityksille, joiden palvelut vaikuttavat asiakkaiden tilinpäätöksiin, kuten palkanlaskentapalveluille tai rahastojen hallinnoijille. SOC 2 keskittyy tietoturvaan, käytettävyyteen, käsittelyn eheyteen, luottamuksellisuuteen ja yksityisyyteen. Se on suunniteltu teknologia- ja pilvipalveluntarjoajille, jotka käsittelevät asiakastietoja.
Tarvitsetko SOC 1:n ennen SOC 2:ta?
Ei, SOC-auditoinnit eivät ole peräkkäisiä, ne ovat vain erilaisia, joten sinun ei tarvitse suorittaa SOC 1:tä ennen SOC 2:ta. SOC 1 on tarkoitettu yrityksille, jotka tekevät taloudellista raportointia, kun taas SOC 2 auditoi yrityksen tietoturvaa, yksityisyyttä ja käsittelyn eheyttä.
Kuinka kauan SOC 2 -auditointi kestää?
SOC 2 -auditointi voi kestää kolmesta kuukaudesta yli vuoteen riippuen siitä, tavoitteletko Tyypin I vai Tyypin II auditointia, organisaatiosi koosta ja monimutkaisuudesta sekä tiimisi valmiudesta.
Paljonko SOC 1- tai SOC 2 -auditointi maksaa?
SOC-auditointi voi maksaa 5 000–150 000 USD riippuen auditoinnin tyypistä, organisaatiosi koosta ja järjestelmiesi monimutkaisuudesta.
Onko SOC 2 sertifikaatti?
Ei, SOC 2 ei ole sertifikaatti vaan attestointi. Vaikka termejä käytetäänkin ristiin SOC 1- ja SOC 2 -auditointien yhteydessä, attestointi muistuttaa enemmän arvosanaa, kun taas sertifikaatti on joko läpäisy tai hylkäys.
Kuinka usein SOC 2 on uusittava?
SOC-auditointi ei teknisesti vanhene, niin kauan kuin järjestelmät pysyvät muuttumattomina, mutta alan standardi on uusia ne 6–12 kuukauden välein. Monet yritykset ottavat käyttöön vuosittaisen uusintaprosessin, mutta se riippuu siitä, tavoitteletko Tyypin I vai Tyypin II auditointia, ja jos kyseessä on Tyypin II, kuinka pitkä havaintojakso on.
Voitko saada SOC 3:n ilman SOC 2:ta?
Ei, SOC 3 johdetaan samasta auditointiprosessista kuin SOC 2. SOC 3 on valinnainen lisäosa SOC 2:lle, ei erillinen prosessi.
