SOC-samsvar kan være komplisert og tidkrevende for organisasjoner. Hvis du undersøker det nå, har vi laget en omfattende guide som hjelper deg å forstå kjerneaspektene. I denne guiden forklarer vi forskjellen mellom SOC 1 og SOC 2, hvorfor du kanskje trenger den ene fremfor den andre, hvordan SOC-revisjoner fungerer, og om SOC 3 er verdt å vurdere.
Hva er forskjellen mellom SOC-rapporter av type I og type II?
Hva er SOC 1, hvem trenger det, og hvorfor?
Hva er SOC 2, hvem trenger det, og hvorfor?
Hva er SOC 3, hvem trenger det, og hvorfor?
Hvilke selskaper trenger flere SOC-rapporter?
Hvordan fungerer SOC-revisjoner? Tidslinjer, kostnader og ressurser
Hvor mye koster en SOC-revisjon?
Hvordan Proton kan hjelpe deg med å gjennomføre SOC-revisjoner
SOC 1 vs SOC 2 vs SOC 3
SOC-rapporter kan høres ut som nivåer av samme rapporttype, men det er de ikke. De er faktisk tre forskjellige rapporter laget for tre forskjellige målgrupper. Så når du sammenligner dem, handler det ikke om hvilken som er best, men hvilken som passer best for dine behov.
- SOC 1 er for selskaper hvis tjenester berører kundens finansielle rapportering, som lønnsbehandlere, skadebehandlere eller fondsadministratorer.
- SOC 2 er for selskaper som håndterer kundedata, som SaaS-, sky- og teknologileverandører.
- SOC 3 er et offentlig sammendrag av en SOC 2-rapport. Den bruker de samme underliggende kriteriene, men uten de sensitive tekniske detaljene, så den kan deles fritt.
Hvorfor gjennomføre en SOC-revisjon?
Kunder trenger bevis på at selskapet ditt er klarert for å håndtere dataene deres, men å revidere hver leverandør individuelt kan være langsomt og dyrt for alle involverte. Kundene til organisasjonen din er den tiltenkte målgruppen for rapporten.
SOC-revisjonen er utviklet av American Institute of CPAs (AICPA) og gjør det mulig for et selskap å gjennomgå den prosessen én gang med et uavhengig revisjonsselskap, og deretter gi den resulterende rapporten til en potensiell kunde, i stedet for å fylle ut et nytt sikkerhetsspørreskjema for hver mulighet. I regulerte eller sikkerhetsbevisste bransjer som finans og helsevesen avgjør en SOC-rapport ofte om selskapet ditt i det hele tatt kommer med på en leverandørliste.
En SOC-revisjon presser også selskaper til å innføre reelle sikkerhetskontroller, som tilgangsstyring, overvåking og hendelseshåndtering, underveis. Så selv om rapporten finnes for å tilfredsstille kundenes innkjøpsteam, bygger prosessen bak den opp sikkerhetspraksisen din, uansett hvem som leser rapporten. Fordi SOC-rapporter avslører detaljert informasjon om selskapers prosesser og infrastruktur, krever selskaper vanligvis at kunder signerer en taushetserklæring (NDA) før rapporten kan deles.
Sammenligningstabell: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Fokus | Interne kontroller over finansiell rapportering | Sikkerhet, tilgjengelighet, prosesseringsintegritet, konfidensialitet og personvern | Samme kriterier som SOC 2, men oppsummert |
| Styrende standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typisk målgruppe | Revisorer, tilsynsmyndigheter og kundens finans-/regnskapsteam | Kundenes sikkerhets-, IT- og innkjøpsteam | Allmennheten / potensielle kunder |
| Distribusjon av rapporten | Begrenset: Delt under NDA med bestemte interessenter | Begrenset: Delt under NDA med bestemte interessenter | Offentlig: Kan publiseres eller deles fritt |
| Eksempelselskaper | Lønnsleverandører, skadebehandlere, fondsadministratorer | SaaS-plattformer, skyleverandører, datasentre | Selskaper som har en SOC 2 og ønsker en versjon som kan deles |
| Tilgjengelige rapporttyper | Type I og type II | Type I og type II | Ikke aktuelt |
Hva er forskjellen mellom SOC-rapporter av type I og type II?
Det finnes to typer rapporter tilgjengelig for SOC 1- og SOC 2-revisjoner, og det er her sammenligningene blir mer nyttige.
- En type I-revisjon undersøker dokumentasjonen, retningslinjene og systemdesignene et selskap har på plass, og vurderer om disse kontrollene er riktig utformet for å beskytte data. Den tester ikke om sikkerhetstiltakene faktisk fungerer over tid, den bekrefter bare at de er der og ser riktige ut.
- En type II–revisjon gjennomgår dokumentasjon, retningslinjer og systemutforminger og overvåker deretter driften fortløpende over en periode på 3 til 12 måneder. Revisoren verifiserer at kontrollene ikke bare er godt utformet, men også følges effektivt; at selskapet fører logger, tar sikkerhetskopier, overvåker tilgang og håndterer hendelser som lovet.
Kunder og partnere har vanligvis større tillit til en type II-revisjon fordi den viser løpende sikkerhetsresultater i praksis. I motsetning til SOC 1 og SOC 2, som bare henvender seg til ulike målgrupper, kan en type II-revisjon anses som sterkere enn en type I.
Hva er SOC 1, hvem trenger det og hvorfor?
SOC 1 er et rammeverk for etterlevelse og revisjon for selskaper der tjenestene påvirker kundenes finansielle rapportering. SOC 1 dekker behovene til kundenes eksterne revisorer og gir trygghet for at en tjenesteorganisasjons kontroller ikke fører til feil i kundenes regnskap.
Hvilke typer selskaper har nytte av SOC 1-attestasjon?
SOC 1 er den foretrukne attestasjonen for selskaper som behandler finansielle transaksjoner eller data på vegne av andre. Dette inkluderer lønnsbehandlere, betalingsformidlere, fondadministratorer, skadebehandlere og plattformer for låneforvaltning. En SOC 1 kan åpne for nye kontrakter med større kunder, redusere friksjon under årlige revisjoner og styrke selskapets omdømme for pålitelige og godt kontrollerte finansielle prosesser, noe som ofte avgjør om selskapet ditt i det hele tatt blir vurdert for finansielt sensitivt arbeid.
Hva er SOC 2, hvem trenger det og hvorfor?
SOC 2 er et rammeverk for etterlevelse og revisjon for selskaper som behandler kundedata. En SOC 2-revisjon gir en rapport som dokumenterer hvordan selskapets kontroller står seg mot AICPAs Trust Services Criteria, og som dekker sikkerhet, tilgjengelighet, prosesseringsintegritet, konfidensialitet og personvern, sammen med en uavhengig revisors vurdering av om disse kontrollene er riktig utformet. SOC 2 er en nødvendig attestasjon for selskaper som må bevise effektiviteten av sikkerhetskontrollene sine overfor amerikanske kunder og partnere.
Hvilke typer selskaper har nytte av SOC 2-attestasjon?
Selskaper som leverer teknologibaserte tjenester, har størst nytte av SOC 2-sertifisering. Dette inkluderer programvare som en tjeneste (SaaS), skyinfrastruktur, plattformer for dataanalyse, fintech-løsninger og helseteknologiapplikasjoner. Når databrud blir normen, trenger kundene trygghet for at et selskap kan beskytte dataene og systemene de betror det. En SOC 2 gir dette, noe som igjen kan åpne for nye kontrakter med store selskaper, forenkle leverandørrisikovurderinger og styrke et firmas omdømme for sterk databeskyttelse.
Les om Protons SOC 2 type II-revisjon
Hva er SOC 3, hvem trenger det og hvorfor?
En SOC 3 er avledet fra samme revisjonsprosess som en SOC 2, men tjener et annet formål. SOC 3-rapporten er et overordnet sammendrag av den samme informasjonen, uten de detaljerte og spesifikke opplysningene som krever en taushetserklæring (NDA), og brukes derfor ofte som et offentlig sammendrag av SOC 2-rapporten.
Hvilke typer selskaper har nytte av SOC 3-attestasjon?
Det er ikke mulig å få en SOC 3 uten å gå gjennom SOC 2-revisjonsprosessen, men selskaper som allerede vurderes for en SOC 2 og ønsker å bruke denne informasjonen i markedsføringskampanjer eller salgspresentasjoner, kan ha nytte av å skaffe en SOC 3-rapport.
Hvilke selskaper trenger flere SOC-rapporter?
Å velge mellom SOC 1 og SOC 2 handler ofte om å velge hvilken rapport som passer kundenes behov. Noen selskaper trenger imidlertid mer enn én SOC-rapport. For eksempel kan et fintech-selskap som behandler betalinger og lagrer sensitive kundedata, trenge både en SOC 1 (fordi det berører kundenes finansielle rapportering) og en SOC 2 (fordi det behandler kundedata).
| Kombinasjon av SOC-revisjoner | Selskapstype |
| SOC 1 + SOC 2 | Selskaper som behandler både finansiell rapportering og betydelige mengder kundedata |
| SOC 1 + SOC 3 | Ikke aktuelt (det er ikke mulig å få en SOC 3 uten en SOC 2) |
| SOC 2 + SOC 3 | Selskaper som behandler betydelige mengder kundedata og ønsker å vise frem SOC 2-attestasjonen sin i offentlig innhold |
| SOC 1 + SOC 2 + SOC 3 | Selskaper som behandler både finansiell rapportering og betydelige mengder kundedata, og som ønsker å vise frem SOC 2-attestasjonen sin i offentlig innhold |
Hvordan fungerer SOC-revisjoner? Tidslinjer, revisjonsfaser og fornyelser
Det er en rekke variabler som påvirker hvor kostbar og tidkrevende en SOC-revisjon er. Her er noen av faktorene du bør være oppmerksom på hvis du planlegger SOC 1- eller SOC 2-etterlevelse.
SOC-tidslinje
| SOC | Tidslinje |
| SOC 1 type I | ~ 2–4 måneder |
| SOC 1 type II | ~ 6–12 måneder totalt, observasjonsvindu vanligvis 6–12 måneder |
| SOC 2 type I | ~ 3–6 måneder totalt |
| SOC 2 type II | ~ 6–15 måneder totalt, observasjonsvindu vanligvis 3–12 måneder |
SOC-revisjonsfaser
En SOC-revisjon består av flere faser som utspiller seg over uker eller måneder. Slik ser hvert trinn ut:
1. Forberedelse (uke 1–4)
Før testingen begynner, identifiserer du hvilke systemer som er innenfor omfanget, og bekrefter hvilke av AICPAs Trust Services Criteria som gjelder. For SOC 2 betyr det vanligvis sikkerhet som obligatorisk kriterium, pluss en hvilken som helst kombinasjon av tilgjengelighet, prosesseringsintegritet, konfidensialitet og personvern basert på kundenes behov. Du kartlegger også kontrollene du allerede har på plass, som tilgangsretningslinjer, krypteringsstandarder, sikkerhetskopiprosedyrer og planer for hendelseshåndtering. Målet her er å unngå overraskelser senere.
2. Dokumentasjon (uke 4–8)
Du samler inn bevis på at kontrollene dine finnes og er riktig utformet. Dette inkluderer skriftlige retningslinjer, systemarkitekturdiagrammer, rollebaserte tilgangsmatriser, leverandørrisikovurderinger og opplæringsprotokoller. Revisoren vil gjennomgå dette materialet for å sikre at det dekker alle relevante krav og samsvarer med det kundene med rimelighet kan forvente.
3. Revisjon (uke 8–12)
For en type I-rapport utfører revisoren feltarbeid på et enkelt tidspunkt. De intervjuer nøkkelpersonell, tar stikkprøver av kontrollevidens og verifiserer at dokumentasjonen din gjenspeiler virkeligheten. På dette stadiet bekrefter de at kontrollene er riktig utformet.
4. Observasjon (måned 3–15)
En type II legger til et observasjonsvindu der revisoren overvåker kontrollene dine fortløpende. I denne perioden undersøker de blant annet:
- Tilgangslogger: hvem som fikk tillatelser, når tilgang ble tilbakekalt, og om privilegerte kontoer ble gjennomgått regelmessig
- Dokumentasjon av endringshåndtering: hvordan kodeutrullinger ble godkjent og sporet
- Hendelseshåndtering: om sikkerhetshendelser ble oppdaget, eskalert og løst i samsvar med din dokumenterte prosess
- Sikkerhetskopier og overvåking: bevis på at systemene faktisk blir overvåket og gjenopprettet som lovet
Ved slutten av observasjonsperioden avgir revisoren sin vurdering av hvor godt kontrollene dine fungerte gjennom hele perioden.
Fornyelse av SOC
Å fornye SOC-attesteringen din bør generelt gå raskere enn den første revisjonen. Siden omfanget, kontrollene og systemgrensene allerede er etablert, bygger revisoren på et kjent utgangspunkt i stedet for å starte fra scratch, og mange fornyelser er både billigere og raskere enn den første revisjonen. Rapportene er vanligvis gyldige i 12 måneder, så de fleste selskaper fornyer årlig, og starter ofte neste observasjonsperiode rett etter at den nåværende er avsluttet, for å unngå hull i dekningen.
Hvor mye koster en SOC-revisjon?
Det er nesten umulig å fastslå kostnaden for en SOC-revisjon uten å innhente et tilbud fra en CPA, siden de kan variere fra så lite som 5.000 USD til over 150.000 USD. Kostnaden avhenger av en rekke faktorer, blant annet størrelsen på organisasjonen din, hvor godt forberedt organisasjonen er, hvor mange ressurser du kan avsette til prosessen, og hvilken type revisjon du går for. Type I-revisjoner er generelt billigere, fordi de tar mindre tid.
Hvordan Proton kan hjelpe deg med å gjennomføre SOC-revisjoner
Proton har både ISO 27001-sertifisering og SOC 2 Type II-attestering, noe som kan gjøre det enklere for selskaper som bruker Proton-produkter å oppnå sin egen akkreditering. Ved å bruke et sikkert, kryptert arbeidsområde, arver du et godt dokumentert sikkerhetsgrunnlag som allerede oppfyller de strenge kravene bak SOC 2 Type II. Dette kan redusere innsatsen som kreves for å dokumentere samsvar og forkorte revisjonstiden.
Tips for SOC-revisjoner
- Gjør så mye forarbeid som mulig før revisjonen starter. Manglende forberedelse kan ofte bremse prosessen og øke kostnadene.
- Definer systemgrensene dine før feltarbeidet begynner. Uklarhet om hva som faktisk er i omfanget, er en av de vanligste årsakene til forsinkelser.
- Velg observasjonsperioden for Type II ut fra hvem som ber om rapporten, ikke bare hvor raskt du vil ha den. En tremåneders periode gir deg en rapport raskere, men mange kunder forventer bevis som dekker seks måneder til et år, og kan protestere på noe kortere.
- Utpek tydelige kontrollansvarlige tidlig. De største forsinkelsene kan oppstå mens du jager den rette personen internt for bevis, godkjenninger eller intervjuer.
- Planlegg for fornyelser og behandle innsamling av bevis som en løpende vane i stedet for et jag før revisjonen. Organisasjoner som bygger kontinuerlig overvåking inn i den vanlige driften, har ofte raskere og billigere fornyelser enn de som behandler hver syklus som et engangsprosjekt.
Vanlige spørsmål om SOC 1- og SOC 2-revisjoner
Hva er SOC 1 og SOC 2?
Både SOC 1 og SOC 2 er revisjonsrammeverk utviklet av AICPA, men de tjener ulike formål. SOC 1 fokuserer på intern kontroll knyttet til finansiell rapportering. Det er utformet for selskaper hvis tjenester påvirker kundenes regnskaper, som lønnsbehandlingsselskaper eller fondsforvaltere. SOC 2 fokuserer på sikkerhet, tilgjengelighet, behandlingsintegritet, konfidensialitet og personvern. Det er utformet for teknologi- og skytjenesteleverandører som behandler kundedata.
Trenger du SOC 1 før SOC 2?
Nei, SOC-revisjoner er ikke sekvensielle, de er bare forskjellige, så du trenger ikke fullføre en SOC 1 før du gjør en SOC 2. En SOC 1 er ment for virksomheter som utfører finansiell rapportering, mens en SOC 2 reviderer et selskaps sikkerhet, personvern og behandlingsintegritet.
Hvor lang tid tar en SOC 2-revisjon?
En SOC 2-revisjon kan ta alt fra tre måneder til over et år å fullføre, avhengig av om du går for en Type I- eller Type II-revisjon, størrelsen og kompleksiteten til organisasjonen din, og hvor forberedt teamet ditt er.
Hvor mye koster en SOC 1- eller SOC 2-revisjon?
En SOC-revisjon kan koste mellom 5.000 og 150.000 USD, avhengig av typen revisjon, størrelsen på organisasjonen din og kompleksiteten til systemene dine.
Er SOC 2 en sertifisering?
Nei, en SOC 2 er ikke en sertifisering, det er en attestering. Selv om begrepene brukes om hverandre om SOC 1- og SOC 2-revisjoner, er en attestering mer som en vurdering, mens en sertifisering er bestått/ikke bestått.
Hvor ofte må du gjenta en SOC 2?
En SOC-revisjon utløper strengt tatt ikke så lenge systemene forblir uendrede, men bransjestandarden er å fornye dem hvert 6. til 12. måned. Mange selskaper etablerer en årlig fornyelsesprosess, men det avhenger av om du går for en Type I- eller Type II-revisjon, og hvis det er Type II, hvor lang observasjonsperioden er.
Kan du få en SOC 3 uten en SOC 2?
Nei, en SOC 3 er avledet fra den samme revisjonsprosessen som en SOC 2. En SOC 3 er et valgfritt tillegg til en SOC 2, ikke en separat prosess.
