SOC uyumluluğu kuruluşlar için karmaşık ve zaman alıcı olabilir. Şu anda bunu araştırıyorsanız, temel unsurları anlamanıza yardımcı olacak kapsamlı bir rehber hazırladık. Bu rehberde SOC 1 ile SOC 2 arasındaki farkı, neden birine diğerinden daha fazla ihtiyaç duyabileceğinizi, SOC denetimlerinin nasıl işlediğini ve SOC 3’ün dikkate değer olup olmadığını açıklıyoruz.
Type I ve Type II SOC raporları arasındaki fark nedir?
SOC 1 nedir, kime gerekir ve neden?
SOC 2 nedir, kime gerekir ve neden?
SOC 3 nedir, kime gerekir ve neden?
Hangi şirketlerin birden fazla SOC raporuna ihtiyacı var?
SOC denetimleri nasıl işler? Zaman çizelgeleri, maliyetler ve kaynaklar
Bir SOC denetiminin maliyeti nedir?
Proton, SOC denetimlerini tamamlamanıza nasıl yardımcı olabilir
SOC 1 vs SOC 2 vs SOC 3
SOC raporları aynı tür raporun seviyeleri gibi görünebilir, ancak öyle değiller. Aslında üç farklı hedef kitle için hazırlanmış üç farklı rapordur. Dolayısıyla onları karşılaştırırken hangisinin daha iyi olduğu değil, hangisinin ihtiyaçlarınıza daha uygun olduğu önemlidir.
- SOC 1, hizmetleri bir müşterinin finansal raporlamasına dokunan şirketler içindir; bordro işleyicileri, hasar yöneticileri veya fon yöneticileri gibi.
- SOC 2, müşteri verilerini işleyen şirketler içindir; SaaS, bulut ve teknoloji satıcıları gibi.
- SOC 3, bir SOC 2 raporunun kamuya açık özetidir. Aynı temel kriterleri kullanır ancak hassas teknik ayrıntılar içermez, bu nedenle serbestçe paylaşılabilir.
Neden SOC denetimi yaptırmalısınız?
Müşteriler, verilerinin şirketinize güvenle emanet edilebileceğine dair kanıt ister, ancak her satıcıyı tek tek denetlemek ilgili herkes için yavaş ve pahalı olabilir. Raporun hedef kitlesi, kuruluşunuzun müşterileridir.
Amerikan Yeminli Mali Müşavirler Enstitüsü (AICPA) tarafından geliştirilen SOC denetimi, bir şirketin bu süreci bağımsız bir CPA firmasıyla bir kez yürütmesine ve ortaya çıkan raporu potansiyel bir müşteriye teslim etmesine olanak tanır; böylece her fırsat için yeni bir güvenlik anketi doldurması gerekmez. Finans ve sağlık gibi düzenlemeye tabi veya güvenliğe önem veren sektörlerde bir SOC raporu, çoğu zaman şirketinizin bir satıcı kısa listesine girip giremeyeceğini belirler.
Bir SOC denetimi ayrıca şirketleri, bu süreç boyunca erişim yönetimi, izleme ve olay müdahalesi gibi gerçek güvenlik kontrollerini uygulamaya iter. Dolayısıyla rapor, müşteri satın alma ekiplerini tatmin etmek için var olsa da, arkasındaki süreç, raporu kimin okuduğundan bağımsız olarak güvenlik uygulamalarınızı güçlendirir. SOC raporları şirket süreçleri ve altyapısı hakkında ayrıntılı bilgiler ortaya koyduğundan, şirketler genellikle raporun paylaşılabilmesi için müşterilerden bir NDA imzalamasını ister.
Karşılaştırma tablosu: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Odak | Finansal raporlama üzerinde iç kontroller | Güvenlik, kullanılabilirlik, işleme bütünlüğü, gizlilik ve mahremiyet | SOC 2 ile aynı kriterler, ancak özetlenmiş |
| Geçerli standart | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Tipik hedef kitle | Denetçiler, düzenleyiciler ve müşterinin finans/muhasebe ekipleri | Müşterilerin güvenlik, BT ve satın alma ekipleri | Genel halk / potansiyel müşteriler |
| Rapor dağıtımı | Kısıtlı: Belirli paydaşlarla NDA kapsamında paylaşılır | Kısıtlı: Belirli paydaşlarla NDA kapsamında paylaşılır | Herkese açık: Serbestçe yayınlanabilir veya paylaşılabilir |
| Örnek şirketler | Bordro sağlayıcıları, hasar işleyicileri, fon yöneticileri | SaaS platformları, bulut sağlayıcıları, veri merkezleri | SOC 2’si olan ve paylaşılabilir bir sürüm isteyen şirketler |
| Mevcut rapor türleri | Type I ve Type II | Type I ve Type II | Geçerli değil |
Type I ve Type II SOC raporları arasındaki fark nedir?
SOC 1 ve SOC 2 denetimleri için iki tür rapor mevcuttur ve karşılaştırmaların daha da faydalı hale geldiği nokta burasıdır.
- Bir Type I denetimi, bir şirketin hazırladığı evrak işlerini, ilkeleri ve sistem tasarımlarını inceler ve bu kontrollerin verileri korumak için uygun şekilde tasarlanıp tasarlanmadığını değerlendirir. Koruyucu önlemlerin zaman içinde gerçekten işleyip işlemediğini test etmez, yalnızca mevcut olduklarını ve doğru göründüklerini onaylar.
- Type II denetimi evrakları, ilkeleri ve sistem tasarımlarını inceler, ardından bunların işleyişini 3 ila 12 ay boyunca sürekli olarak izler. Denetçi, kontrollerin yalnızca iyi tasarlanmadığını değil, aynı zamanda etkili şekilde uygulandığını doğrular; şirketin söz verdiği gibi günlük tuttuğunu, yedek aldığını, erişimi izlediğini ve olayları ele aldığını kontrol eder.
Müşteriler ve iş ortakları genellikle bir Type II denetimine daha fazla güvenir çünkü bu denetim süregelen, gerçek dünyadaki güvenlik performansını ortaya koyar. Yalnızca farklı kitlelere hitap eden SOC 1 ve SOC 2’nin aksine, bir Type II denetimi Type I’den daha güçlü sayılabilir.
SOC 1 nedir, kimlere gerekir ve neden?
SOC 1, hizmetleri müşterilerinin finansal raporlamasını etkileyen şirketler için bir uyum ve denetim çerçevesidir. SOC 1, müşterilerin dış denetçilerinin ihtiyaçlarını karşılar ve bir hizmet kuruluşunun kontrollerinin müşterilerinin muhasebe kayıtlarına hata sokmayacağına dair güvence sağlar.
Hangi tür şirketler SOC 1 belgelendirmesinden yararlanır?
SOC 1, başkaları adına finansal işlemleri veya verileri yöneten şirketler için başvurulacak belgelendirmedir. Bunlar arasında bordro işleyicileri, ödeme işleyicileri, fon yöneticileri, talep işleyicileri ve kredi hizmeti platformları yer alır. SOC 1, daha büyük müşterilerle yeni sözleşmelerin kapısını açabilir, yıllık denetimler sırasında sürtüşmeyi azaltabilir ve bir şirketin güvenilir, iyi kontrol edilen finansal süreçler konusundaki itibarını güçlendirebilir; bu itibar da şirketinizin finansal açıdan hassas işler için değerlendirilip değerlendirilmeyeceğini sıklıkla belirler.
SOC 2 nedir, kimlere gerekir ve neden?
SOC 2, müşteri verilerini yöneten şirketler için bir uyum ve denetim çerçevesidir. Bir SOC 2 denetimi, bir şirketin kontrollerinin AICPA’nın Güven Hizmetleri Kriterleri’ne nasıl dayandığını belgeleyen bir rapor üretir; bu kriterler güvenlik, kullanılabilirlik, işleme bütünlüğü, gizlilik ve mahremiyeti kapsar ve söz konusu kontrollerin düzgün tasarlanıp tasarlanmadığına ilişkin bağımsız bir denetçi görüşünü içerir. SOC 2, güvenlik kontrollerinin etkinliğini ABD’li müşterilere ve iş ortaklarına kanıtlaması gereken şirketler için gerekli bir belgelendirmedir.
Hangi tür şirketler SOC 2 belgelendirmesinden yararlanır?
Teknoloji destekli hizmetler sunan şirketler SOC 2 sertifikasyonundan en çok yararlanacaktır. Bunlar arasında hizmet olarak yazılım (SaaS), bulut altyapısı, veri analitiği platformları, fintech çözümleri ve sağlık teknolojisi uygulamaları yer alır. Veri ele geçirilmeleri olağan hale geldikçe, müşterilerin bir şirketin kendilerine emanet ettikleri verileri ve sistemleri koruyabileceğine dair güvenceye ihtiyacı var. SOC 2 bunu sağlar; bu da büyük şirketlerle yeni sözleşmelerin kapısını açabilir, tedarikçi risk değerlendirmelerini basitleştirebilir ve bir firmanın güçlü veri koruma konusundaki itibarını destekleyebilir.
Proton’ın SOC 2 Type II denetimini okuyun
SOC 3 nedir, kimlere gerekir ve neden?
Bir SOC 3, bir SOC 2 ile aynı denetim sürecinden türetilir; yalnızca farklı bir amaca hizmet eder. SOC 3 raporu, aynı bilgilerin üst düzey bir özetidir; bir NDA gerektiren ayrıntılı ve özel bilgileri içermez, bu nedenle genellikle SOC 2 raporunun kamuya açık özeti olarak kullanılır.
Hangi tür şirketler SOC 3 belgelendirmesinden yararlanır?
SOC 2 denetim sürecinden geçmeden SOC 3 almak mümkün değildir; ancak hâlihazırda SOC 2 için değerlendirilen ve bu bilgileri pazarlama kampanyalarında veya satış sunumlarında kullanmak isteyen şirketler, bir SOC 3 raporu alarak fayda sağlayabilir.
Hangi şirketlerin birden fazla SOC raporuna ihtiyacı var?
SOC 1 ile SOC 2 arasında seçim yapmak, çoğu zaman hangi raporun müşterilerinizin ihtiyaçlarına uyduğunu seçmek meselesidir. Ancak bazı şirketlerin birden fazla SOC raporuna ihtiyacı olur. Örneğin ödeme işleyen ve hassas müşteri verilerini saklayan bir fintech şirketi hem bir SOC 1’e (müşterilerin finansal raporlamasını etkilediği için) hem de bir SOC 2’ye (müşteri verilerini yönettiği için) ihtiyaç duyabilir.
| SOC denetimlerinin kombinasyonu | Şirket türü |
| SOC 1 + SOC 2 | Hem finansal raporlamayı hem de önemli müşteri verilerini yöneten şirketler |
| SOC 1 + SOC 3 | Yok (SOC 2 olmadan SOC 3 almak mümkün değildir) |
| SOC 2 + SOC 3 | Önemli müşteri verilerini yöneten ve SOC 2 belgelendirmelerini kamuya açık içerikte sergilemek isteyen şirketler |
| SOC 1 + SOC 2 + SOC 3 | Hem finansal raporlamayı hem de önemli müşteri verilerini yöneten ve SOC 2 belgelendirmelerini kamuya açık içerikte sergilemek isteyen şirketler |
SOC denetimleri nasıl işler? Zaman çizelgeleri, denetim aşamaları ve yenilemeler
Bir SOC denetiminin ne kadar maliyetli ve zaman alıcı olacağını etkileyen bir dizi değişken vardır. SOC 1 veya SOC 2 uyumluluğu planlıyorsanız akılda tutmanız gereken bazı faktörler şunlardır.
SOC zaman çizelgesi
| SOC | Zaman çizelgesi |
| SOC 1 Type I | ~ 2-4 ay |
| SOC 1 Type II | ~ toplam 6-12 ay, gözlem penceresi genellikle 6-12 ay |
| SOC 2 Type I | ~ toplam 3-6 ay |
| SOC 2 Type II | ~ toplam 6-15 ay, gözlem penceresi genellikle 3-12 ay |
SOC denetim aşamaları
Bir SOC denetimi haftalar veya aylar boyunca gelişen birden fazla aşama içerir. Her aşama şöyle görünür:
1. Hazırlık (1-4. haftalar)
Herhangi bir test başlamadan önce hangi sistemlerin kapsama girdiğini belirler ve AICPA’nın Güven Hizmetleri Kriterleri’nden hangilerinin geçerli olduğunu onaylarsınız. SOC 2 için bu genellikle zorunlu kriter olarak güvenlik, ayrıca müşteri ihtiyaçlarına bağlı olarak kullanılabilirlik, işleme bütünlüğü, gizlilik ve mahremiyetten herhangi bir kombinasyon anlamına gelir. Hâlihazırda yürürlükte olan kontrolleri de envanterleyip kaydedersiniz: erişim ilkeleri, şifreleme standartları, yedekleme prosedürleri ve olay müdahale planları gibi. Buradaki amaç, ileride sürpriz yaşamamaktır.
2. Dokümantasyon (4-8. haftalar)
Kontrollerinizin var olduğunu ve düzgün tasarlandığını gösteren kanıtları derlersiniz. Bunlar arasında yazılı ilkeler, sistem mimarisi diyagramları, rol tabanlı erişim matrisleri, tedarikçi risk değerlendirmeleri ve eğitim kayıtları yer alır. Denetçi, bu materyalleri tüm ilgili gereksinimleri kapsadığından ve müşterilerin makul olarak bekleyeceği şeylerle uyumlu olduğundan emin olmak için inceler.
3. Denetim (8-12. haftalar)
Bir Type I raporu için denetçi, tek bir zaman noktası çevresinde saha çalışması yürütür. Kilit personelle görüşür, kontrol kanıtlarından örnekler alır ve dokümantasyonunuzun gerçeği yansıttığını doğrular. Bu aşamada, kontrollerin doğru tasarlandığını onaylar.
4. Gözlem (3-15. aylar)
Type II, denetçinin kontrollerinizi sürekli izlediği bir gözlem penceresi ekler. Bu dönemde şu gibi şeyleri incelerler:
- Erişim günlükleri: kimin izin aldığı, erişimin ne zaman geçersiz kılındığı ve ayrıcalıklı hesapların düzenli olarak incelenip incelenmediği
- Değişiklik yönetimi kayıtları: kod dağıtımlarının nasıl onaylandığı ve izlendiği
- Olay yönetimi: güvenlik etkinliklerinin belgelenen sürecinize göre tespit edilip edilmediği, yükseltilip yükseltilmediği ve çözüme kavuşturulup kavuşturulmadığı
- Yedekler ve izleme: sistemlerin gerçekten izlendiğine ve söz verildiği gibi geri yüklendiğine dair kanıtlar
Gözlem döneminin sonunda denetçi, kontrollerinizin tüm dönem boyunca ne kadar iyi çalıştığına ilişkin görüşünü bildirir.
SOC yenilemeleri
SOC beyanınızı yenilemek genellikle ilk denetimden daha hızlı olur. Kapsamınız, kontrolleriniz ve sistem sınırlarınız zaten belirlendiği için denetçi sıfırdan başlamak yerine bilinen bir temel üzerine inşa eder ve çoğu yenileme, ilk denetimden hem daha ucuz hem de daha hızlıdır. Raporlar genellikle 12 ay geçerli olduğundan çoğu şirket yılda bir kez yenileme yapar ve kapsamda boşluk kalmaması için genellikle bir sonraki gözlem dönemini mevcut dönem biter bitmez başlatır.
SOC denetiminin maliyeti ne kadar?
Bir CPA’den teklif almadan bir SOC denetiminin maliyetini belirlemek neredeyse imkânsızdır, çünkü maliyet 5.000 USD kadar düşük bir tutardan 150.000 USD’yi aşan tutarlara kadar çıkabilir. Maliyet; kuruluşunuzun boyutu, kuruluşunuzun hazırlığı, sürece ayırabileceğiniz kaynak miktarı ve hedeflediğiniz denetim türü gibi bir dizi faktöre bağlıdır. Type I denetimleri genellikle daha kısa sürdüğü için daha az maliyetlidir.
Proton, SOC denetimlerini tamamlamanıza nasıl yardımcı olabilir
Proton hem ISO 27001 sertifikasına hem de SOC 2 Type II beyanına sahiptir; bu da Proton ürünlerini kullanan şirketlerin kendi akreditasyonlarını almasını kolaylaştırabilir. Güvenli, şifrelenmiş bir çalışma alanı kullanarak, SOC 2 Type II’nin arkasındaki titiz denetimleri zaten karşılayan kanıtlanmış bir güvenlik temelini devralırsınız. Bu, uyumluluğu kanıtlamak için gereken çabayı azaltabilir ve denetim takvimlerini kısaltabilir.
SOC denetimleri için ipuçları
- Denetim başlamadan önce mümkün olduğunca çok hazırlık yapın. Hazırlıksızlık süreci çoğu zaman yavaşlatabilir ve maliyetleri artırabilir.
- Saha çalışması başlamadan önce sistem sınırlarınızı tanımlayın. Neyin gerçekten kapsamda olduğuna dair belirsizlik, gecikmelerin en yaygın nedenlerinden biridir.
- Type II gözlem pencerenizi yalnızca raporu ne kadar hızlı istediğinize göre değil, raporu kimin istediğine göre seçin. Üç aylık bir pencere raporu daha erken almanızı sağlar, ancak birçok müşteri altı ay ile bir yıllık kanıt bekler ve bunun altındaki sürelere itiraz edebilir.
- Kontrol sahiplerini erkenden net bir şekilde atayın. En büyük gecikmeler, kanıt, onay veya görüşmeler için şirket içinde doğru kişiye ulaşmaya çalışırken yaşanabilir.
- Yenilemeleri planlayın ve kanıt toplamayı denetim öncesi bir telaş yerine sürekli bir alışkanlık olarak görün. Sürekli izlemeyi olağan operasyonlarına dahil eden kuruluşlar, her döngüyü tek seferlik bir proje olarak görenlere kıyasla genellikle daha hızlı ve daha ucuz yenilemeler yapar.
SOC 1 ve SOC 2 denetimleri hakkında SSS
SOC 1 ve SOC 2 nedir?
SOC 1 ve SOC 2, AICPA tarafından geliştirilen iki denetim çerçevesidir ancak farklı amaçlara hizmet eder. SOC 1, finansal raporlama üzerindeki iç kontrollere odaklanır. Bordro işleyicileri veya fon yöneticileri gibi hizmetleri müşterilerinin finansal tablolarını etkileyen şirketler için tasarlanmıştır. SOC 2 ise güvenlik, kullanılabilirlik, işleme bütünlüğü, gizlilik ve mahremiyete odaklanır. Müşteri verilerini işleyen teknoloji ve bulut hizmeti sağlayıcıları için tasarlanmıştır.
SOC 2’den önce SOC 1 gerekli mi?
Hayır, SOC denetimleri sıralı değildir, yalnızca birbirinden farklıdır; bu nedenle SOC 2 yapmadan önce SOC 1’i tamamlamanız gerekmez. SOC 1, finansal raporlama yapan işletmelere yöneliktir; SOC 2 ise bir şirketin güvenliğini, gizliliğini ve işleme bütünlüğünü denetler.
SOC 2 denetimi ne kadar sürer?
Bir SOC 2 denetimi, Type I mi yoksa Type II mi bir denetim hedeflediğinize, kuruluşunuzun boyutuna ve karmaşıklığına ve ekibinizin hazırlığına bağlı olarak üç aydan bir yıldan fazla bir süreye kadar sürebilir.
SOC 1 veya SOC 2 denetiminin maliyeti ne kadar?
Bir SOC denetimi, denetimin türüne, kuruluşunuzun boyutuna ve sistemlerinizin karmaşıklığına bağlı olarak 5.000 USD ile 150.000 USD arasında bir maliyete sahip olabilir.
SOC 2 bir sertifika mı?
Hayır, SOC 2 bir sertifika değil, bir beyandır. Terimler SOC 1 ve SOC 2 denetimleriyle birbirinin yerine kullanılsa da beyan daha çok bir derecelendirmeye benzerken sertifika geçti/kaldı mantığıyla çalışır.
Bir SOC 2’yi ne sıklıkla tekrarlamanız gerekir?
Sistemler değişmediği sürece bir SOC denetiminin teknik olarak geçerlilik süresi dolmaz, ancak sektör standardı bunları 6-12 ayda bir yenilemektir. Birçok şirket yıllık bir yenileme süreci kurar, ancak bu Type I mi yoksa Type II mi bir denetim hedeflediğinize ve Type II ise gözlem döneminin ne kadar uzun olduğuna bağlıdır.
SOC 2 olmadan SOC 3 alabilir misiniz?
Hayır, SOC 3, SOC 2 ile aynı denetim sürecinden türetilir. SOC 3, ayrı bir süreç değil, SOC 2’ye isteğe bağlı bir ek olarak sunulur.
