Соблюдение требований SOC может быть сложным и отнимать много времени у организаций. Если вы сейчас разбираетесь в этом вопросе, мы подготовили подробное руководство, которое поможет понять ключевые аспекты. В нём мы объясняем, чем отличаются SOC 1 и SOC 2, почему вам может понадобиться один, а не другой, как проходят аудиты SOC и стоит ли рассматривать SOC 3.
В чём разница между отчетами SOC типа I и типа II?
Что такое SOC 1, кому он нужен и почему?
Что такое SOC 2, кому он нужен и почему?
Что такое SOC 3, кому он нужен и почему?
Каким компаниям нужно несколько отчетов SOC?
Как проходят аудиты SOC? Сроки, стоимость и ресурсы
Как Proton поможет вам пройти аудиты SOC
SOC 1, SOC 2 и SOC 3
Отчеты SOC могут звучать как уровни одного и того же типа отчета, но это не так. На самом деле это три разных отчета, созданных для трех разных аудиторий. Поэтому, сравнивая их, речь идет не о том, какой из них лучше, а о том, какой больше подходит для ваших задач.
- SOC 1 предназначен для компаний, чьи услуги связаны с финансовой отчетностью клиентов, например для поставщиков услуг по расчету заработной платы, обработчиков страховых требований или управляющих фондами.
- SOC 2 предназначен для компаний, работающих с данными клиентов, например для SaaS, облачных и технологических поставщиков.
- SOC 3 — это публичная версия отчета SOC 2. В нем используются те же базовые критерии, но без чувствительной технической информации, поэтому им можно свободно поделиться.
Зачем проходить аудит SOC?
Клиентам нужны доказательства того, что вашей компании можно доверять их данные, но проверка каждого поставщика по отдельности может быть медленной и дорогой для всех участников. Целевая аудитория отчета — клиенты вашей организации.
Аудит SOC, разработанный Американским институтом сертифицированных общественных бухгалтеров (AICPA), позволяет компании пройти этот процесс один раз с независимой аудиторской фирмой, а затем передать полученный отчет потенциальному клиенту вместо заполнения новой анкеты по безопасности для каждой возможности. В регулируемых отраслях или отраслях, где внимательно относятся к безопасности, таких как финансы и здравоохранение, отчет SOC часто определяет, попадет ли ваша компания в список потенциальных поставщиков вообще.
Аудит SOC также подталкивает компании к внедрению реальных мер безопасности, таких как управление доступом, мониторинг и реагирование на инциденты, по ходу дела. Так что хотя отчет существует, чтобы удовлетворить отделы закупок клиентов, процесс, стоящий за ним, укрепляет ваши практики безопасности, независимо от того, кто читает отчет. Поскольку отчеты SOC раскрывают подробную информацию о процессах и инфраструктуре компании, компании обычно требуют, чтобы клиенты подписали соглашение о неразглашении (NDA), прежде чем поделиться отчетом.
Сравнительная таблица: SOC 1, SOC 2 и SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Фокус | Внутренний контроль за финансовой отчетностью | Безопасность, доступность, целостность обработки, конфиденциальность и приватность | Те же критерии, что и у SOC 2, но в обобщённом виде |
| Основополагающий стандарт | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Типичная аудитория | Аудиторы, регулирующие органы и финансовые и бухгалтерские службы клиента | Службы безопасности, ИТ и закупок клиентов | Широкая общественность / потенциальные клиенты |
| Распространение отчета | Ограничено: предоставляется по соглашению о неразглашении (NDA) определенным заинтересованным сторонам | Ограничено: предоставляется по соглашению о неразглашении (NDA) определенным заинтересованным сторонам | Публичный: можно свободно публиковать и распространять |
| Примеры компаний | Поставщики услуг по расчету заработной платы, обработчики страховых требований, управляющие фондами | SaaS-платформы, облачные провайдеры, дата-центры | Компании, у которых есть SOC 2 и которые хотят получить версию, которой можно поделиться |
| Доступные типы отчетов | Тип I и тип II | Тип I и тип II | Не применимо |
В чём разница между отчетами SOC типа I и типа II?
Для аудитов SOC 1 и SOC 2 доступны два типа отчетов — и именно здесь сравнение становится по-настоящему полезным.
- Аудит типа I изучает документацию, политики и проектные решения систем, которые внедрила компания, и оценивает, насколько правильно эти меры контроля спроектированы для защиты данных. Он не проверяет, действительно ли средства защиты работают со временем, а лишь подтверждает, что они есть и выглядят корректно.
- Аудит типа II изучает документацию, политики и схемы систем, а затем непрерывно отслеживает их работу в течение 3–12 месяцев. Аудитор проверяет, что средства контроля не только хорошо спроектированы, но и эффективно соблюдаются: что компания ведёт журналы, делает резервные копии, контролирует доступ и обрабатывает инциденты, как и обещала.
Клиенты и партнёры обычно больше доверяют аудиту типа II, потому что он демонстрирует постоянную, реальную эффективность системы безопасности. В отличие от SOC 1 и SOC 2, которые просто рассчитаны на разную аудиторию, аудит типа II считается более строгим, чем аудит типа I.
Что такое SOC 1, кому и зачем он нужен?
SOC 1 — это стандарт соответствия и аудита для компаний, чьи услуги влияют на финансовую отчётность их клиентов. SOC 1 отвечает потребностям внешних аудиторов заказчиков и гарантирует, что средства контроля сервисной организации не внесут ошибки в отчётность её клиентов.
Какие компании выигрывают от аттестации SOC 1?
SOC 1 — это основная аттестация для компаний, которые обрабатывают финансовые транзакции или данные от имени других. К ним относятся сервисы расчёта заработной платы, платёжные процессоры, администраторы фондов, обработчики страховых требований и платформы обслуживания займов. SOC 1 помогает заключать новые договоры с крупными клиентами, снижает сложности при проведении ежегодных аудитов и укрепляет репутацию компании как надёжного партнёра с хорошо контролируемыми финансовыми процессами — а это часто определяет, рассмотрят ли вашу компанию вообще для работы с финансово чувствительными данными.
Что такое SOC 2, кому и зачем он нужен?
SOC 2 — это стандарт соответствия и аудита для компаний, которые работают с данными клиентов. Аудит SOC 2 завершается отчётом, в котором описано, насколько средства контроля компании соответствуют Критериям доверительных услуг AICPA в части безопасности, доступности, целостности обработки, конфиденциальности и приватности, а также заключением независимого аудитора о том, правильно ли спроектированы эти средства контроля. SOC 2 — обязательная аттестация для компаний, которым нужно доказать эффективность своих средств контроля безопасности американским клиентам и партнёрам.
Какие компании выигрывают от аттестации SOC 2?
Больше всего от сертификации SOC 2 выигрывают компании, оказывающие технологические услуги. Это сервисы по модели SaaS, облачная инфраструктура, платформы аналитики данных, финтех-решения и приложения для здравоохранения. Поскольку утечки данных становятся нормой, клиентам нужна уверенность, что компания защитит данные и системы, которые ей доверяют. SOC 2 это обеспечивает, а значит, помогает заключать новые договоры с крупными корпорациями, упрощает оценку рисков поставщиков и укрепляет репутацию фирмы как надёжного защитника данных.
Читайте об аудите SOC 2 типа II в Proton
Что такое SOC 3, кому и зачем он нужен?
SOC 3 основан на том же процессе аудита, что и SOC 2, но служит другой цели. Отчёт SOC 3 — это обобщённая сводка той же информации, но без подробных и специфических данных, которые требуют подписания NDA, поэтому его часто используют как публичное изложение отчёта SOC 2.
Какие компании выигрывают от аттестации SOC 3?
Получить SOC 3, не пройдя процесс аудита SOC 2, невозможно, но компаниям, которые уже проходят оценку для SOC 2 и хотят использовать эту информацию в маркетинговых кампаниях или презентациях для отдела продаж, стоит задуматься о получении отчёта SOC 3.
Каким компаниям нужно несколько отчётов SOC?
Выбор между SOC 1 и SOC 2 часто сводится к тому, какой отчёт лучше отвечает потребностям ваших клиентов. Однако некоторым компаниям действительно нужно больше одного отчёта SOC. Например, финтех-компании, которая обрабатывает платежи и хранит конфиденциальные данные клиентов, могут понадобиться сразу оба: SOC 1 — поскольку он затрагивает финансовую отчётность клиентов, и SOC 2 — поскольку компания работает с данными клиентов.
| Сочетание аудитов SOC | Тип компании |
| SOC 1 + SOC 2 | Компании, которые работают и с финансовой отчётностью, и со значительными объёмами данных клиентов |
| SOC 1 + SOC 3 | Н/Д (SOC 3 невозможно получить без SOC 2) |
| SOC 2 + SOC 3 | Компании, которые работают со значительными объёмами данных клиентов и хотят продемонстрировать свою аттестацию SOC 2 в публичных материалах |
| SOC 1 + SOC 2 + SOC 3 | Компании, которые работают и с финансовой отчётностью, и со значительными объёмами данных клиентов, а также хотят продемонстрировать свою аттестацию SOC 2 в публичных материалах |
Как проходят аудиты SOC: сроки, этапы и продление
Стоимость и продолжительность аудита SOC зависит от множества факторов. Вот некоторые из них, которые стоит учитывать, если вы планируете получить соответствие SOC 1 или SOC 2.
Сроки SOC
| SOC | Сроки |
| SOC 1 типа I | ~ 2–4 месяца |
| SOC 1 типа II | ~ 6–12 месяцев в общей сложности, период наблюдения обычно 6–12 месяцев |
| SOC 2 типа I | ~ 3–6 месяцев в общей сложности |
| SOC 2 типа II | ~ 6–15 месяцев в общей сложности, период наблюдения обычно 3–12 месяцев |
Этапы аудита SOC
Аудит SOC состоит из нескольких этапов, которые занимают недели или месяцы. Вот как выглядит каждый из них:
1. Подготовка (недели 1–4)
Прежде чем начнутся проверки, нужно определить, какие системы входят в область аудита, и подтвердить, какие Критерии доверительных услуг AICPA применимы. Для SOC 2 обязательным критерием обычно выступает безопасность, а также любое сочетание доступности, целостности обработки, конфиденциальности и приватности — в зависимости от потребностей клиентов. Также стоит составить перечень уже действующих средств контроля: политик доступа, стандартов шифрования, процедур резервного копирования и планов реагирования на инциденты. Цель этого этапа — избежать неожиданностей в дальнейшем.
2. Документация (недели 4–8)
Собираются доказательства того, что средства контроля существуют и правильно спроектированы. Это письменные политики, схемы архитектуры систем, матрицы доступа на основе ролей, оценки рисков поставщиков и записи об обучении сотрудников. Аудитор изучает эти материалы, чтобы убедиться, что они охватывают все соответствующие требования и соответствуют разумным ожиданиям клиентов.
3. Аудит (недели 8–12)
Для отчёта типа I аудитор проводит проверку на определённый момент времени. Он опрашивает ключевых сотрудников, выборочно проверяет доказательства работы средств контроля и убеждается, что документация соответствует действительности. На этом этапе подтверждается, что средства контроля спроектированы правильно.
4. Наблюдение (месяцы 3–15)
Тип II добавляет период наблюдения, в течение которого аудитор непрерывно отслеживает ваши средства контроля. В этот период проверяются такие аспекты, как:
- Журналы доступа: кто получил разрешения, когда доступ был отозван и проверялись ли привилегированные аккаунты регулярно
- Записи об управлении изменениями: как утверждались и отслеживались развертывания кода
- Обработка инцидентов: обнаруживались ли события безопасности, эскалировались и устранялись ли они в соответствии с вашим документированным процессом
- Резервные копии и мониторинг: доказательства того, что системы действительно находятся под мониторингом и восстанавливаются, как было обещано
По окончании периода наблюдения аудитор выносит заключение о том, насколько хорошо ваши средства контроля работали на протяжении всего периода.
Продление SOC
Повторное получение аттестации SOC обычно проходит быстрее, чем первый аудит. Поскольку область проверки, средства контроля и границы системы уже установлены, аудитор опирается на известную базовую линию, а не начинает с нуля, поэтому многие повторные проверки обходятся дешевле и быстрее первоначального аудита. Отчеты обычно действительны в течение 12 месяцев, поэтому большинство компаний продлевают аттестацию ежегодно, часто запуская следующий период наблюдения сразу после завершения текущего, чтобы избежать разрывов в покрытии.
Сколько стоит аудит SOC?
Почти невозможно определить стоимость аудита SOC, не получив расценки от дипломированного бухгалтера (CPA), поскольку она может варьироваться от 5 000 USD до более чем 150 000 USD. Стоимость зависит от ряда факторов, включая размер вашей организации, ее готовность, количество ресурсов, которые вы можете выделить на этот процесс, и тип аудита, который вы выбрали. Аудиты типа I, как правило, дешевле, потому что занимают меньше времени.
Как Proton поможет вам пройти аудиты SOC
Proton имеет как сертификацию ISO 27001, так и аттестацию SOC 2 Type II, что может упростить компаниям, использующим продукты Proton, получение собственной аккредитации. Используя безопасное зашифрованное рабочее пространство, вы наследуете проверенную базовую линию безопасности, которая уже отвечает строгим требованиям аудитов, лежащих в основе SOC 2 Type II. Это может снизить усилия, необходимые для подтверждения соответствия, и сократить сроки аудита.
Советы по аудитам SOC
- Выполните как можно больше подготовительной работы до начала аудита. Недостаточная готовность часто замедляет процесс и увеличивает расходы.
- Определите границы системы до начала проверки на месте. Неопределенность в отношении того, что действительно входит в область проверки, — одна из самых частых причин задержек.
- Выбирайте период наблюдения для аудита типа II исходя из того, кому нужен отчет, а не только из того, как быстро вы хотите его получить. Трехмесячный период позволит получить отчет раньше, но многие клиенты ожидают доказательств за шесть месяцев или за год и могут не согласиться на меньший срок.
- Заранее назначьте ответственных за средства контроля. Самые большие задержки возникают при поиске нужного человека внутри компании для получения доказательств, согласований или проведения интервью.
- Планируйте продление и относитесь к сбору доказательств как к постоянной практике, а не к предваряющей аудит спешке. Организации, которые включают непрерывный мониторинг в свою обычную деятельность, часто проходят повторные проверки быстрее и дешевле, чем те, которые рассматривают каждый цикл как разовый проект.
Часто задаваемые вопросы об аудитах SOC 1 и SOC 2
Что такое SOC 1 и SOC 2?
SOC 1 и SOC 2 — это две системы аудита, разработанные AICPA, но они служат разным целям. SOC 1 сосредоточен на внутреннем контроле за финансовой отчетностью. Он предназначен для компаний, услуги которых влияют на финансовую отчетность их клиентов, например для расчетных центров по заработной плате или администраторов фондов. SOC 2 сосредоточен на безопасности, доступности, целостности обработки, конфиденциальности и приватности. Он предназначен для поставщиков технологий и облачных услуг, которые работают с данными клиентов.
Нужен ли SOC 1 перед SOC 2?
Нет, аудиты SOC не идут последовательно, они просто разные, поэтому проходить SOC 1 перед SOC 2 не нужно. SOC 1 предназначен для компаний, которые занимаются финансовой отчетностью, тогда как SOC 2 проверяет безопасность, приватность и целостность обработки данных компании.
Сколько длится аудит SOC 2?
Проведение аудита SOC 2 может занять от трех месяцев до более чем года в зависимости от того, проходите вы аудит типа I или типа II, насколько велика и сложна ваша организация и насколько готова ваша команда.
Сколько стоит аудит SOC 1 или SOC 2?
Аудит SOC может стоить от 5 000 USD до 150 000 USD в зависимости от типа аудита, размера вашей организации и сложности ваших систем.
Является ли SOC 2 сертификацией?
Нет, SOC 2 — это не сертификация, а аттестация. Хотя эти термины используют как взаимозаменяемые с аудитами SOC 1 и SOC 2, аттестация скорее похожа на оценку, тогда как сертификация предполагает результат «прошел/не прошел».
Как часто нужно повторять аудит SOC 2?
Формально аудит SOC не истекает, пока системы остаются неизменными, но отраслевой стандарт — продлевать его каждые 6–12 месяцев. Многие компании настраивают ежегодный процесс продления, но это зависит от того, проходите вы аудит типа I или типа II, а если это тип II, то насколько долгим является период наблюдения.
Можно ли получить SOC 3 без SOC 2?
Нет, SOC 3 основан на том же процессе аудита, что и SOC 2. SOC 3 — это дополнительная опция к SOC 2, а не отдельный процесс.
