SOC-efterlevnad kan vara komplicerad och tidskrävande för organisationer. Om du just nu undersöker det har vi sammanställt en omfattande guide som hjälper dig att förstå de centrala aspekterna. I den här guiden förklarar vi skillnaden mellan SOC 1 och SOC 2, varför du kan behöva det ena framför det andra, hur SOC-revisioner fungerar och om SOC 3 är värt att överväga.
Vad är skillnaden mellan SOC-rapporter av typ I och typ II?
Vad är SOC 1, vem behöver det och varför?
Vad är SOC 2, vem behöver det och varför?
Vad är SOC 3, vem behöver det och varför?
Vilka företag behöver flera SOC-rapporter?
Hur fungerar SOC-revisioner? Tidslinjer, kostnader och resurser
Hur mycket kostar en SOC-revision?
Hur Proton kan hjälpa dig att genomföra SOC-revisioner
SOC 1 vs. SOC 2 vs. SOC 3
SOC-rapporter kan låta som nivåer av samma typ av rapport, men det är de inte. De är faktiskt tre olika rapporter skapade för tre olika målgrupper. Så när du jämför dem handlar det inte om vilken som är bättre, utan om vilken som passar dina behov bättre.
- SOC 1 är för företag vars tjänster berör kundens finansiella rapportering, som lönehanterare, skadehandläggare eller fondadministratörer.
- SOC 2 är för företag som hanterar kunddata, som SaaS-, moln- och teknikleverantörer.
- SOC 3 är en offentlig sammanfattning av en SOC 2-rapport. Den använder samma underliggande kriterier, men utan de känsliga tekniska detaljerna, så den kan delas fritt.
Varför skaffa en SOC-revision?
Kunder behöver bevis för att ditt företag kan hantera deras data på ett betrott sätt, men att granska varje leverantör individuellt kan vara långsamt och dyrt för alla inblandade. Rapportens avsedda målgrupp är din organisations kunder.
En SOC-revision, som tagits fram av American Institute of CPAs (AICPA), gör det möjligt för ett företag att gå igenom den processen en gång tillsammans med en oberoende CPA-firma och sedan lämna den resulterande rapporten till en potentiell kund, i stället för att fylla i ett nytt säkerhetsformulär för varje möjlighet. Inom reglerade eller säkerhetsmedvetna branscher som finans och hälsa avgör en SOC-rapport ofta om ditt företag ens kommer med på en leverantörslista.
En SOC-revision driver också företag att under arbetets gång införa verkliga säkerhetskontroller, som åtkomsthantering, övervakning och incidenthantering. Så även om rapporten finns för att tillfredsställa kundernas inköpsavdelningar bygger processen bakom den upp dina säkerhetsrutiner, oavsett vem som läser rapporten. Eftersom SOC-rapporter avslöjar detaljerad information om företagets processer och infrastruktur kräver företag i allmänhet att kunder undertecknar ett sekretessavtal innan rapporten kan delas.
Jämförelsetabell: SOC 1 vs. SOC 2 vs. SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Fokus | Interna kontroller för finansiell rapportering | Säkerhet, tillgänglighet, processintegritet, konfidentialitet och integritet | Samma kriterier som SOC 2, men sammanfattade |
| Styrande standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typisk målgrupp | Revisorer, tillsynsmyndigheter och kundens finans- och redovisningsteam | Kundernas säkerhets-, IT- och inköpsteam | Allmänheten / potentiella kunder |
| Distribution av rapporten | Begränsad: delas under sekretessavtal med specifika intressenter | Begränsad: delas under sekretessavtal med specifika intressenter | Offentlig: kan publiceras eller delas fritt |
| Exempel på företag | Lönehanterare, skadehandläggare, fondadministratörer | SaaS-plattformar, molnleverantörer, datacenter | Företag som har en SOC 2 och vill ha en version som kan delas |
| Tillgängliga rapporttyper | Typ I och typ II | Typ I och typ II | Inte tillämpligt |
Vad är skillnaden mellan SOC-rapporter av typ I och typ II?
Det finns två typer av rapporter tillgängliga för SOC 1- och SOC 2-revisioner och det är här jämförelser blir mer användbara.
- En typ I-revision granskar dokumentationen, policyerna och systemdesignen som ett företag har infört och bedömer om kontrollerna är lämpligt utformade för att skydda data. Den testar inte om skyddsåtgärderna faktiskt fungerar över tid, den bekräftar bara att de finns och ser korrekta ut.
- En typ II-revision granskar dokumentation, policyer och systemutformning och övervakar sedan driften löpande under 3 till 12 månader. Revisorn verifierar att kontrollerna inte bara är väl utformade utan också följs på ett effektivt sätt, att företaget för loggar, säkerhetskopierar, övervakar åtkomst och hanterar incidenter enligt vad som utlovats.
Kunder och partner brukar lita mer på en typ II-revision eftersom den visar på en pågående säkerhetsprestanda i verkligheten. Till skillnad från SOC 1 och SOC 2, som bara vänder sig till olika målgrupper, kan en typ II-revision anses vara starkare än en typ I.
Vad är SOC 1, vem behöver det och varför?
SOC 1 är ett ramverk för regelefterlevnad och revision för företag vars tjänster påverkar kundernas finansiella rapportering. SOC 1 tillgodoser behoven hos kundernas externa revisorer och ger en försäkran om att en tjänsteorganisations kontroller inte inför fel i kundernas räkenskaper.
Vilka typer av företag har nytta av SOC 1-attestering?
SOC 1 är den självklara attesteringen för företag som hanterar finansiella transaktioner eller data för andras räkning. Det gäller bland annat löneadministratörer, betalningsförmedlare, fondförvaltare, skadehanterare och plattformar för lånehantering. En SOC 1 kan öppna dörren till nya avtal med större kunder, minska friktionen vid årliga revisioner och stärka ett företags rykte om tillförlitliga och välkontrollerade finansiella processer, vilket ofta avgör om ditt företag ens övervägs för finansiellt känsliga uppdrag.
Vad är SOC 2, vem behöver det och varför?
SOC 2 är ett ramverk för regelefterlevnad och revision för företag som hanterar kunddata. En SOC 2-revision resulterar i en rapport som dokumenterar hur ett företags kontroller står sig mot AICPAs Trust Services Criteria, vilka omfattar säkerhet, tillgänglighet, integritet vid behandling, konfidentialitet och integritet, tillsammans med en oberoende revisors bedömning av om kontrollerna är korrekt utformade. SOC 2 är en nödvändig attestering för företag som behöver bevisa effektiviteten i sina säkerhetskontroller för kunder och partner i USA.
Vilka typer av företag har nytta av SOC 2-attestering?
Företag som levererar teknikbaserade tjänster har störst nytta av SOC 2-certifiering. Det gäller bland annat software-as-a-service (SaaS), molninfrastruktur, plattformar för dataanalys, fintech-lösningar och hälso-tech-applikationer. När dataintrång blir allt vanligare behöver kunderna en försäkran om att ett företag kan skydda de data och system som de anförtror det. En SOC 2 ger detta, vilket i sin tur kan öppna dörren till nya avtal med stora företag, förenkla leverantörsriskbedömningar och stärka ett företags rykte om ett starkt dataskydd.
Läs om Protons SOC 2-revision av typ II
Vad är SOC 3, vem behöver det och varför?
En SOC 3 bygger på samma revisionsprocess som en SOC 2, men tjänar ett annat syfte. SOC 3-rapporten är en sammanfattning på hög nivå av samma information, utan de detaljerade och specifika uppgifter som kräver ett NDA, och används därför ofta som en offentlig sammanfattning av SOC 2-rapporten.
Vilka typer av företag har nytta av SOC 3-attestering?
Det går inte att få en SOC 3 utan att gå igenom SOC 2-revisionsprocessen, men företag som redan bedöms för en SOC 2 och vill använda den informationen i marknadsföringskampanjer eller säljmaterial kan ha nytta av att skaffa en SOC 3-rapport.
Vilka företag behöver flera SOC-rapporter?
Att välja mellan SOC 1 och SOC 2 handlar ofta om att välja vilken rapport som passar kundernas behov. Vissa företag behöver dock mer än en SOC-rapport. Ett fintech-företag som behandlar betalningar och lagrar känsliga kunddata kan till exempel behöva både en SOC 1, eftersom det berör kundernas finansiella rapportering, och en SOC 2, eftersom det hanterar kunddata.
| Kombination av SOC-revisioner | Företagstyp |
| SOC 1 + SOC 2 | Företag som hanterar både finansiell rapportering och betydande mängder kunddata |
| SOC 1 + SOC 3 | Ej tillämpligt eftersom det inte går att få en SOC 3 utan en SOC 2 |
| SOC 2 + SOC 3 | Företag som hanterar betydande mängder kunddata och vill visa upp sin SOC 2-attestering i offentligt material |
| SOC 1 + SOC 2 + SOC 3 | Företag som hanterar både finansiell rapportering och betydande mängder kunddata och vill visa upp sin SOC 2-attestering i offentligt material |
Hur fungerar SOC-revisioner? Tidslinjer, revisionsfaser och förnyelser
Det finns en rad variabler som påverkar hur kostsamt och tidskrävande en SOC-revision är. Här är några faktorer att ha i åtanke om du planerar regelefterlevnad för SOC 1 eller SOC 2.
SOC-tidslinje
| SOC | Tidslinje |
| SOC 1 typ I | ~ 2–4 månader |
| SOC 1 typ II | ~ 6–12 månader totalt, observationsfönstret är vanligtvis 6–12 månader |
| SOC 2 typ I | ~ 3–6 månader totalt |
| SOC 2 typ II | ~ 6–15 månader totalt, observationsfönstret är vanligtvis 3–12 månader |
SOC-revisionens faser
En SOC-revision består av flera faser som utvecklas över veckor eller månader. Så här ser varje steg ut:
1. Förberedelse, vecka 1–4
Innan någon testning inleds identifierar du vilka system som omfattas och bekräftar vilka av AICPAs Trust Services Criteria som är tillämpliga. För SOC 2 innebär det vanligtvis säkerhet som obligatoriskt kriterium, plus valfri kombination av tillgänglighet, integritet vid behandling, konfidentialitet och integritet utifrån kundernas behov. Du kartlägger också de kontroller du redan har på plats, som åtkomstpolicyer, krypteringsstandarder, rutiner för säkerhetskopiering och planer för incidenthantering. Målet här är att undvika överraskningar senare.
2. Dokumentation, vecka 4–8
Du sammanställer bevis för att dina kontroller finns och är korrekt utformade. Det omfattar skriftliga policyer, systemarkitekturdiagram, rollbaserade åtkomstmatriser, leverantörsriskbedömningar och utbildningsregister. Revisorn granskar materialet för att säkerställa att det täcker alla relevanta krav och stämmer överens med vad kunderna rimligen kan förvänta sig.
3. Revision, vecka 8–12
För en rapport av typ I utför revisorn fältarbete vid en enskild tidpunkt. Revisorn intervjuar nyckelpersonal, tar stickprov på kontrollevidens och verifierar att dokumentationen speglar verkligheten. I detta skede bekräftar revisorn att kontrollerna är korrekt utformade.
4. Observation, månad 3–15
En typ II tillför ett observationsfönster där revisorn löpande övervakar dina kontroller. Under denna period granskar revisorn bland annat:
- Åtkomstloggar: vem som fick behörigheter, när åtkomst återkallades och om privilegierade konton granskades regelbundet
- Register över ändringshantering: hur koddistributioner godkändes och spårades
- Hantering av incidenter: om säkerhetshändelser upptäcktes, eskalerades och löstes enligt din dokumenterade process
- Säkerhetskopior och övervakning: bevis på att systemen faktiskt övervakas och återställs enligt löfte
I slutet av observationsperioden avger revisorn sitt utlåtande om hur väl kontrollerna fungerade under hela perioden.
SOC-förnyelser
Att förnya sin SOC-attestering bör i allmänhet gå snabbare än den första revisionen. Eftersom omfattning, kontroller och systemgränser redan är fastställda bygger revisorn vidare på en känd utgångspunkt i stället för att börja från noll, och många förnyelser är både billigare och snabbare än den första revisionen. Rapporter är vanligtvis giltiga i 12 månader, så de flesta företag förnyar årligen och inleder ofta nästa observationsperiod direkt efter att den nuvarande avslutats för att undvika luckor i täckningen.
Vad kostar en SOC-revision?
Det är nästan omöjligt att fastställa kostnaden för en SOC-revision utan att inhämta en offert från en auktoriserad revisor, eftersom kostnaden kan variera från så lite som 5 000 USD till över 150 000 USD. Kostnaden beror på en rad faktorer, bland annat storleken på din organisation, hur förberedd organisationen är, hur många resurser du kan avsätta för processen och vilken typ av revision du siktar på. Revisioner av typ I är i allmänhet billigare eftersom de tar mindre tid.
Hur Proton kan hjälpa dig att genomföra SOC-revisioner
Proton har både ISO 27001-certifiering och SOC 2 Type II-attestering, vilket kan göra det enklare för företag som använder Protons produkter att få sin egen ackreditering. Genom att använda en säker, krypterad arbetsyta ärver du en beprövad säkerhetsbas som redan uppfyller de rigorösa revisioner som ligger bakom SOC 2 Type II. Det kan minska arbetet med att visa efterlevnad och korta revisionstiderna.
Tips för SOC-revisioner
- Gör så mycket förberedande arbete som möjligt innan revisionen börjar. Bristande förberedelse kan ofta göra processen långsammare och öka kostnaderna.
- Definiera systemgränserna innan fältarbetet börjar. Otydlighet kring vad som faktiskt ingår i omfattningen är en av de vanligaste orsakerna till förseningar.
- Välj observationsperiod för typ II utifrån vem som begär rapporten, inte bara hur snabbt du vill ha den. En period på tre månader ger dig en rapport snabbare, men många kunder förväntar sig bevis för sex månader till ett år och kan invända mot kortare perioder.
- Utse tydliga ansvariga för kontrollerna tidigt. De största förseningarna kan uppstå när man internt ska leta upp rätt person för bevis, godkännanden eller intervjuer.
- Planera för förnyelser och gör insamlingen av bevis till en löpande vana i stället för en kapplöpning inför revisionen. Organisationer som bygger in kontinuerlig övervakning i den ordinarie verksamheten har ofta snabbare och billigare förnyelser än de som ser varje cykel som ett engångsprojekt.
Vanliga frågor om SOC 1- och SOC 2-revisioner
Vad är SOC 1 och SOC 2?
SOC 1 och SOC 2 är båda revisionsramverk som tagits fram av AICPA, men de fyller olika syften. SOC 1 fokuserar på interna kontroller för finansiell rapportering. Det är utformat för företag vars tjänster påverkar kundernas finansiella rapporter, till exempel löneadministratörer eller fondförvaltare. SOC 2 fokuserar på säkerhet, tillgänglighet, processintegritet, konfidentialitet och integritet. Det är utformat för teknik- och molntjänstleverantörer som hanterar kunddata.
Behöver du SOC 1 före SOC 2?
Nej, SOC-revisioner är inte sekventiella, de är bara olika, så du behöver inte genomföra en SOC 1 innan du gör en SOC 2. En SOC 1 är avsedd för verksamheter som utför finansiell rapportering, medan en SOC 2 granskar ett företags säkerhet, integritet och processintegritet.
Hur lång tid tar en SOC 2-revision?
En SOC 2-revision kan ta allt från tre månader till över ett år att slutföra, beroende på om du siktar på en revision av typ I eller typ II, storleken och komplexiteten hos din organisation och hur förberett ditt team är.
Vad kostar en SOC 1- eller SOC 2-revision?
En SOC-revision kan kosta mellan 5 000 USD och 150 000 USD beroende på typen av revision, storleken på din organisation och komplexiteten i dina system.
Är SOC 2 en certifiering?
Nej, en SOC 2 är inte en certifiering, det är en attestering. Även om begreppen används synonymt med SOC 1- och SOC 2-revisioner liknar en attestering mer en betygssättning, medan en certifiering är antingen godkänd eller underkänd.
Hur ofta behöver du upprepa en SOC 2?
En SOC-revision upphör tekniskt sett inte att gälla så länge systemen är oförändrade, men branschstandarden är att förnya dem med 6 till 12 månaders mellanrum. Många företag inför en årlig förnyelseprocess, men det beror på om du siktar på en revision av typ I eller typ II och, om det är typ II, hur lång observationsperioden är.
Kan du få en SOC 3 utan en SOC 2?
Nej, en SOC 3 härstammar från samma revisionsprocess som en SOC 2. En SOC 3 är ett valfritt tillägg till en SOC 2, inte en separat process.
