Zgodność z SOC może być dla organizacji skomplikowana i czasochłonna. Jeśli właśnie się jej przyglądasz, przygotowaliśmy obszerny przewodnik, który pomoże ci zrozumieć najważniejsze aspekty. Wyjaśniamy w nim różnicę między SOC 1 a SOC 2, dlaczego możesz potrzebować jednego zamiast drugiego, jak przebiegają audyty SOC i czy warto rozważyć SOC 3.
Czym się różnią raporty SOC typu I i typu II?
Czym jest SOC 1, kto go potrzebuje i dlaczego?
Czym jest SOC 2, kto go potrzebuje i dlaczego?
Czym jest SOC 3, kto go potrzebuje i dlaczego?
Które firmy potrzebują wielu raportów SOC?
Jak przebiegają audyty SOC? Terminy, koszty i zasoby
Jak Proton może pomóc w przeprowadzeniu audytów SOC
Wskazówki dotyczące audytów SOC
SOC 1 vs SOC 2 vs SOC 3
Raporty SOC mogą brzmieć jak poziomy tego samego typu raportu, ale nimi nie są. To właściwie trzy różne raporty stworzone dla trzech różnych odbiorców. Porównując je, nie chodzi więc o to, który jest lepszy, ale który lepiej odpowiada twoim potrzebom.
- SOC 1 jest dla firm, których usługi mają wpływ na sprawozdawczość finansową klienta, takich jak dostawcy usług płacowych, administratorzy roszczeń czy administratorzy funduszy.
- SOC 2 jest dla firm przetwarzających dane klientów, takich jak dostawcy SaaS, usług chmurowych i technologii.
- SOC 3 to publiczne podsumowanie raportu SOC 2. Wykorzystuje te same kryteria bazowe, ale bez wrażliwych szczegółów technicznych, dzięki czemu można je swobodnie udostępniać.
Dlaczego warto przeprowadzić audyt SOC?
Klienci potrzebują dowodu, że twojej firmie można zaufać, powierzając jej ich dane, ale indywidualne audytowanie każdego dostawcy może być powolne i kosztowne dla wszystkich zaangażowanych stron. Odbiorcami raportu są klienci twojej organizacji.
Opracowany przez American Institute of CPAs (AICPA) audyt SOC pozwala firmie przejść ten proces raz z niezależną firmą CPA, a następnie przekazać powstały raport potencjalnemu klientowi, zamiast wypełniać nowy kwestionariusz bezpieczeństwa przy każdej szansie. W regulowanych branżach lub tych, które przywiązują wagę do bezpieczeństwa, takich jak finanse i ochrona zdrowia, raport SOC często decyduje o tym, czy twoja firma w ogóle trafi na krótką listę dostawców.
Audyt SOC skłania też firmy do wdrożenia po drodze rzeczywistych kontroli bezpieczeństwa, takich jak zarządzanie dostępem, monitoring i reagowanie na incydenty. Choć raport istnieje po to, by zadowolić zespoły zakupowe klientów, proces stojący za nim buduje twoje praktyki bezpieczeństwa, niezależnie od tego, kto czyta raport. Ponieważ raporty SOC ujawniają szczegółowe informacje o procesach i infrastrukturze firmy, przedsiębiorstwa zazwyczaj wymagają od klientów podpisania umowy NDA, zanim raport będzie mógł zostać udostępniony.
Tabela porównawcza: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Zakres | Wewnętrzne kontrole nad sprawozdawczością finansową | Bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność | Te same kryteria co w SOC 2, ale w formie podsumowania |
| Obowiązujący standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typowy odbiorca | Audytorzy, regulatorzy oraz zespoły finansowo-księgowe klienta | Zespoły ds. bezpieczeństwa, IT i zakupów klientów | Ogół społeczeństwa / potencjalni klienci |
| Dystrybucja raportu | Ograniczona: udostępniana na podstawie NDA określonym interesariuszom | Ograniczona: udostępniana na podstawie NDA określonym interesariuszom | Publiczna: można ją publikować lub udostępniać swobodnie |
| Przykładowe firmy | Dostawcy usług płacowych, przetwarzający roszczenia, administratorzy funduszy | Platformy SaaS, dostawcy usług chmurowych, centra danych | Firmy, które mają raport SOC 2 i chcą wersji do udostępniania |
| Dostępne typy raportów | Typ I i Typ II | Typ I i Typ II | Nie dotyczy |
Czym się różnią raporty SOC typu I i typu II?
Dla audytów SOC 1 i SOC 2 dostępne są dwa typy raportów i właśnie tu porównania stają się bardziej przydatne.
- Audyt typu I bada dokumentację, zasady i projekty systemów, które firma wdrożyła, i ocenia, czy te kontrole są odpowiednio zaprojektowane do ochrony danych. Nie sprawdza, czy zabezpieczenia rzeczywiście działają w czasie, a jedynie potwierdza, że istnieją i wyglądają poprawnie.
- Audyt typu II obejmuje analizę dokumentacji, zasad i projektów systemów, a następnie ciągłe monitorowanie ich działania przez okres od 3 do 12 miesięcy. Audytor weryfikuje, czy mechanizmy kontrolne są nie tylko dobrze zaprojektowane, ale także skutecznie przestrzegane; czy firma prowadzi logi, wykonuje kopie zapasowe, monitoruje dostęp i obsługuje incydenty zgodnie z obietnicami.
Klienci i partnerzy zwykle bardziej ufają audytowi typu II, ponieważ pokazuje on bieżące, rzeczywiste wyniki w zakresie bezpieczeństwa. W przeciwieństwie do SOC 1 i SOC 2, które po prostu służą różnym odbiorcom, audyt typu II można uznać za mocniejszy niż audyt typu I.
Czym jest SOC 1, kto go potrzebuje i dlaczego?
SOC 1 to framework zgodności i audytu dla firm, których usługi mają wpływ na sprawozdawczość finansową ich klientów. SOC 1 zaspokaja potrzeby zewnętrznych audytorów klientów i daje pewność, że mechanizmy kontrolne organizacji usługowej nie wprowadzą błędów do ksiąg jej klientów.
Jakie rodzaje firm korzystają z atestacji SOC 1?
SOC 1 to podstawowa atestacja dla firm, które przetwarzają transakcje finansowe lub dane w imieniu innych. Obejmuje to podmioty obsługujące listy płac, operatorów płatności, administratorów funduszy, podmioty przetwarzające roszczenia i platformy obsługi kredytów. SOC 1 może otworzyć drogę do nowych kontraktów z większymi klientami, zmniejszyć tarcia podczas corocznych audytów i wzmocnić reputację firmy w zakresie niezawodnych, dobrze kontrolowanych procesów finansowych, co często decyduje o tym, czy Twoja firma w ogóle zostanie wzięta pod uwagę przy pracach finansowo wrażliwych.
Czym jest SOC 2, kto go potrzebuje i dlaczego?
SOC 2 to framework zgodności i audytu dla firm, które przetwarzają dane klientów. Audyt SOC 2 tworzy raport dokumentujący, jak mechanizmy kontrolne firmy wypadają w zestawieniu z kryteriami usług zaufania (Trust Services Criteria) AICPA, obejmującymi bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność, wraz z opinią niezależnego audytora na temat tego, czy te mechanizmy są prawidłowo zaprojektowane. SOC 2 to niezbędna atestacja dla firm, które muszą udowodnić skuteczność swoich mechanizmów kontrolnych klientom i partnerom w USA.
Jakie rodzaje firm korzystają z atestacji SOC 2?
Najwięcej korzyści z certyfikacji SOC 2 odniosą firmy świadczące usługi oparte na technologii. Obejmuje to oprogramowanie jako usługę (SaaS), infrastrukturę chmury, platformy analityki danych, rozwiązania fintech i aplikacje health-tech. Ponieważ naruszenia danych stają się normą, klienci potrzebują pewności, że firma potrafi chronić powierzone jej dane i systemy. SOC 2 to zapewnia, co z kolei może otworzyć drogę do nowych kontraktów z dużymi korporacjami, uprościć oceny ryzyka dostawców i wzmocnić reputację firmy w zakresie silnej ochrony danych.
Przeczytaj o audycie SOC 2 typu II w Protonie
Czym jest SOC 3, kto go potrzebuje i dlaczego?
SOC 3 powstaje w wyniku tego samego procesu audytu co SOC 2, służy jedynie innemu celowi. Raport SOC 3 to ogólne podsumowanie tych samych informacji, bez szczegółowych i konkretnych danych wymagających umowy NDA, dlatego często jest wykorzystywany jako publicznie dostępne podsumowanie raportu SOC 2.
Jakie rodzaje firm korzystają z atestacji SOC 3?
Nie można uzyskać SOC 3 bez przejścia przez proces audytu SOC 2, ale firmy, które są już oceniane pod kątem SOC 2 i chcą wykorzystać te informacje w kampaniach marketingowych lub prezentacjach sprzedażowych, mogą skorzystać z uzyskania raportu SOC 3.
Które firmy potrzebują wielu raportów SOC?
Wybór między SOC 1 a SOC 2 to często kwestia wyboru raportu, który najlepiej odpowiada potrzebom Twoich klientów. Niektóre firmy potrzebują jednak więcej niż jednego raportu SOC. Na przykład firma fintech, która przetwarza płatności i przechowuje wrażliwe dane klientów, może potrzebować zarówno SOC 1 (ponieważ wpływa na sprawozdawczość finansową klientów), jak i SOC 2 (ponieważ przetwarza dane klientów).
| Kombinacja audytów SOC | Typ firmy |
| SOC 1 + SOC 2 | Firmy, które obsługują zarówno sprawozdawczość finansową, jak i istotne dane klientów |
| SOC 1 + SOC 3 | Nie dotyczy (nie można uzyskać SOC 3 bez SOC 2) |
| SOC 2 + SOC 3 | Firmy, które przetwarzają istotne dane klientów i chcą zaprezentować swoją atestację SOC 2 w treściach publicznych |
| SOC 1 + SOC 2 + SOC 3 | Firmy, które obsługują zarówno sprawozdawczość finansową, jak i przetwarzają istotne dane klientów oraz chcą zaprezentować swoją atestację SOC 2 w treściach publicznych |
Jak działają audyty SOC? Harmonogramy, etapy audytu i odnowienia
Na koszt i czas trwania audytu SOC wpływa wiele zmiennych. Oto kilka czynników, o których warto pamiętać, planując zgodność z SOC 1 lub SOC 2.
Harmonogram SOC
| SOC | Harmonogram |
| SOC 1 typu I | ~ 2–4 miesiące |
| SOC 1 typu II | ~ 6–12 miesięcy łącznie, okno obserwacji zwykle 6–12 miesięcy |
| SOC 2 typu I | ~ 3–6 miesięcy łącznie |
| SOC 2 typu II | ~ 6–15 miesięcy łącznie, okno obserwacji zwykle 3–12 miesięcy |
Etapy audytu SOC
Audyt SOC składa się z wielu etapów rozłożonych na tygodnie lub miesiące. Oto jak wygląda każdy z nich:
1. Przygotowanie (tygodnie 1–4)
Zanim rozpocznie się jakiekolwiek testowanie, należy określić, które systemy wchodzą w zakres, i potwierdzić, które kryteria usług zaufania AICPA mają zastosowanie. W przypadku SOC 2 zwykle oznacza to bezpieczeństwo jako kryterium wymagane oraz dowolną kombinację dostępności, integralności przetwarzania, poufności i prywatności w zależności od potrzeb klientów. Należy również sporządzić wykaz mechanizmów kontrolnych, które już funkcjonują, takich jak zasady dostępu, standardy szyfrowania, procedury tworzenia kopii zapasowych i plany reagowania na incydenty. Celem jest uniknięcie niespodzianek na późniejszym etapie.
2. Dokumentacja (tygodnie 4–8)
Należy zebrać dowody potwierdzające, że mechanizmy kontrolne istnieją i są prawidłowo zaprojektowane. Obejmuje to pisemne zasady, diagramy architektury systemów, macierze dostępu oparte na rolach, oceny ryzyka dostawców i dokumentację szkoleń. Audytor przeanalizuje te materiały, aby upewnić się, że obejmują wszystkie istotne wymagania i są zgodne z tym, czego klienci mogliby rozsądnie oczekiwać.
3. Audyt (tygodnie 8–12)
W przypadku raportu typu I audytor przeprowadza badania terenowe w jednym punkcie w czasie. Przeprowadza wywiady z kluczowymi pracownikami, pobiera próbki dowodów kontrolnych i weryfikuje, czy dokumentacja odzwierciedla rzeczywistość. Na tym etapie potwierdza, że mechanizmy kontrolne są prawidłowo zaprojektowane.
4. Obserwacja (miesiące 3–15)
Audyt typu II dodaje okno obserwacji, w którym audytor stale monitoruje mechanizmy kontrolne. W tym okresie analizuje między innymi:
- Logi dostępu: kto otrzymał uprawnienia, kiedy unieważniono dostęp i czy konta uprzywilejowane były regularnie weryfikowane
- Rejestry zarządzania zmianami: jak zatwierdzano i śledzono wdrożenia kodu
- Obsługa incydentów: czy zdarzenia dotyczące bezpieczeństwa były wykrywane, eskalowane i rozwiązywane zgodnie z udokumentowanym procesem
- Kopie zapasowe i monitoring: dowody na to, że systemy są faktycznie monitorowane i przywracane tak, jak obiecano
Na koniec okresu obserwacji audytor wydaje opinię o tym, jak dobrze Twoje kontrole działały przez cały ten czas.
Odnowienia SOC
Odnowienie atestacji SOC jest zwykle szybsze niż pierwszy audyt. Ponieważ zakres, kontrole i granice systemu są już ustalone, audytor opiera się na znanej podstawie, a nie zaczyna od zera, a wiele odnowień jest zarówno tańszych, jak i szybszych niż audyt początkowy. Raporty są zazwyczaj ważne przez 12 miesięcy, dlatego większość firm odnawia je corocznie, często rozpoczynając kolejny okres obserwacji zaraz po zakończeniu bieżącego, aby uniknąć luki w pokryciu.
Ile kosztuje audyt SOC?
Prawie niemożliwe jest określenie kosztu audytu SOC bez uzyskania wyceny od CPA, ponieważ mogą one wynosić od zaledwie 5000 USD do ponad 150 000 USD. Koszt zależy od wielu czynników, w tym od wielkości organizacji, jej gotowości, liczby zasobów, które można przeznaczyć na ten proces, oraz od rodzaju wybranego audytu. Audyty typu I są zazwyczaj tańsze, ponieważ zajmują mniej czasu.
Jak Proton może pomóc w przeprowadzeniu audytów SOC
Proton posiada zarówno certyfikat ISO 27001, jak i atestację SOC 2 typu II, co może ułatwić firmom korzystającym z produktów Proton uzyskanie własnej akredytacji. Korzystając z bezpiecznej, zaszyfrowanej przestrzeni roboczej, dziedziczysz sprawdzoną podstawę bezpieczeństwa, która spełnia już rygorystyczne wymagania audytów stojących za SOC 2 typu II. Może to zmniejszyć nakład pracy potrzebny do wykazania zgodności i skrócić czas trwania audytów.
Wskazówki dotyczące audytów SOC
- Wykonaj jak najwięcej prac przygotowawczych przed rozpoczęciem audytu. Brak gotowości często spowalnia proces i zwiększa koszty.
- Określ granice systemu przed rozpoczęciem prac w terenie. Niepewność co do tego, co faktycznie wchodzi w zakres, to jedna z najczęstszych przyczyn opóźnień.
- Wybierz okres obserwacji dla audytu typu II na podstawie tego, kto prosi o raport, a nie tylko tego, jak szybko go potrzebujesz. Trzymiesięczny okres pozwala uzyskać raport szybciej, ale wielu klientów oczekuje dowodów obejmujących od sześciu miesięcy do roku i może odrzucić wszystko, co jest krótsze.
- Wcześnie wyznacz jasnych właścicieli kontroli. Największe opóźnienia mogą pojawić się przy szukaniu właściwej osoby wewnątrz firmy, która dostarczy dowody, zatwierdzenia lub udzieli wywiadów.
- Zaplanuj odnawianie i traktuj zbieranie dowodów jako stały nawyk, a nie przedaudytową gonitwę. Organizacje, które włączają ciągły monitoring do codziennej działalności, często odnawiają atestacje szybciej i taniej niż te, które traktują każdy cykl jako jednorazowy projekt.
Najczęściej zadawane pytania o audyty SOC 1 i SOC 2
Czym są SOC 1 i SOC 2?
SOC 1 i SOC 2 to opracowane przez AICPA ramy audytu, które służą jednak różnym celom. SOC 1 koncentruje się na kontrolach wewnętrznych w sprawozdawczości finansowej. Jest przeznaczony dla firm, których usługi wpływają na sprawozdania finansowe klientów, takich jak podmioty przetwarzające listy płac czy administratorzy funduszy. SOC 2 koncentruje się na bezpieczeństwie, dostępności, integralności przetwarzania, poufności i prywatności. Jest przeznaczony dla dostawców technologii i usług chmurowych, którzy obsługują dane klientów.
Czy potrzebujesz SOC 1 przed SOC 2?
Nie, audyty SOC nie są następujące po sobie, są po prostu różne, więc nie trzeba przeprowadzać audytu SOC 1 przed SOC 2. SOC 1 jest przeznaczony dla firm prowadzących sprawozdawczość finansową, natomiast SOC 2 weryfikuje bezpieczeństwo, prywatność i integralność przetwarzania w firmie.
Ile trwa audyt SOC 2?
Audyt SOC 2 może zająć od trzech miesięcy do ponad roku, w zależności od tego, czy chodzi o audyt typu I czy typu II, od wielkości i złożoności organizacji oraz od gotowości zespołu.
Ile kosztuje audyt SOC 1 lub SOC 2?
Audyt SOC może kosztować od 5000 USD do 150 000 USD, w zależności od rodzaju audytu, wielkości organizacji i złożoności systemów.
Czy SOC 2 to certyfikacja?
Nie, SOC 2 to nie certyfikacja, lecz atestacja. Choć terminy te bywają używane zamiennie z audytami SOC 1 i SOC 2, atestacja przypomina bardziej ocenę, podczas gdy certyfikacja to wynik typu zalicz/nie zalicz.
Jak często trzeba powtarzać audyt SOC 2?
Audyt SOC formalnie nie wygasa, o ile systemy pozostają niezmienione, ale standardem branżowym jest odnawianie go co 6–12 miesięcy. Wiele firm ustala coroczny proces odnawiania, ale zależy to od tego, czy chodzi o audyt typu I czy typu II, a jeśli typu II – od długości okresu obserwacji.
Czy można uzyskać SOC 3 bez SOC 2?
Nie, SOC 3 wynika z tego samego procesu audytu co SOC 2. SOC 3 to opcjonalny dodatek do SOC 2, a nie odrębny proces.
