Tuân thủ SOC có thể phức tạp và tốn thời gian đối với các tổ chức. Nếu bạn đang tìm hiểu về vấn đề này, chúng tôi đã biên soạn một hướng dẫn chi tiết để giúp bạn nắm rõ những khía cạnh cốt lõi. Trong hướng dẫn này, chúng tôi giải thích sự khác biệt giữa SOC 1 và SOC 2, lý do bạn có thể cần loại này thay vì loại kia, cách các cuộc kiểm toán SOC diễn ra và liệu SOC 3 có đáng cân nhắc hay không.
Sự khác biệt giữa báo cáo SOC Loại I và Loại II là gì?
SOC 1 là gì, ai cần và tại sao?
SOC 2 là gì, ai cần và tại sao?
SOC 3 là gì, ai cần và tại sao?
Những công ty nào cần nhiều báo cáo SOC?
Kiểm toán SOC diễn ra như thế nào? Thời gian, chi phí và nguồn lực
Chi phí kiểm toán SOC là bao nhiêu?
Cách Proton giúp bạn hoàn thành kiểm toán SOC
SOC 1 vs SOC 2 vs SOC 3
Các báo cáo SOC nghe có vẻ như những cấp độ của cùng một loại báo cáo, nhưng không phải vậy. Thực tế, chúng là ba báo cáo khác nhau được xây dựng cho ba đối tượng khác nhau. Vì vậy, khi so sánh chúng, vấn đề không phải là loại nào tốt hơn mà là loại nào phù hợp hơn với nhu cầu của bạn.
- SOC 1 dành cho các công ty có dịch vụ liên quan đến báo cáo tài chính của khách hàng, như đơn vị xử lý bảng lương, đơn vị quản lý yêu cầu bồi thường hoặc đơn vị quản lý quỹ.
- SOC 2 dành cho các công ty xử lý dữ liệu khách hàng, như nhà cung cấp SaaS, đám mây và công nghệ.
- SOC 3 là bản tóm tắt công khai của báo cáo SOC 2. Bản này sử dụng cùng các tiêu chí cơ bản nhưng không có chi tiết kỹ thuật nhạy cảm, nên có thể chia sẻ tự do.
Tại sao nên kiểm toán SOC?
Khách hàng cần bằng chứng rằng công ty của bạn đáng tin cậy trong việc xử lý dữ liệu của họ, nhưng việc kiểm toán từng nhà cung cấp riêng lẻ có thể chậm và tốn kém cho tất cả các bên liên quan. Khách hàng của tổ chức bạn chính là đối tượng độc giả mục tiêu của báo cáo.
Được phát triển bởi Viện Kế toán Công chứng Hoa Kỳ (AICPA), kiểm toán SOC cho phép một công ty trải qua quy trình đó một lần với một công ty kế toán độc lập, sau đó trao báo cáo kết quả cho khách hàng tiềm năng, thay vì phải điền bảng câu hỏi bảo mật mới cho mỗi cơ hội. Trong các ngành được quản lý chặt chẽ hoặc chú trọng bảo mật như tài chính và y tế, báo cáo SOC thường quyết định liệu công ty của bạn có lọt vào danh sách nhà cung cấp rút gọn hay không.
Kiểm toán SOC cũng thúc đẩy các công ty triển khai những biện pháp kiểm soát bảo mật thực sự, như quản lý truy cập, giám sát và ứng phó sự cố, trong suốt quá trình. Vì vậy, dù báo cáo ra đời để đáp ứng đội ngũ mua sắm của khách hàng, quy trình đằng sau nó vẫn xây dựng các phương pháp bảo mật của bạn, bất kể ai đọc báo cáo. Vì báo cáo SOC tiết lộ thông tin chi tiết về quy trình và hạ tầng của công ty, các công ty thường yêu cầu khách hàng ký thỏa thuận bảo mật (NDA) trước khi báo cáo được chia sẻ.
Bảng so sánh: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Trọng tâm | Kiểm soát nội bộ đối với báo cáo tài chính | Bảo mật, tính khả dụng, tính toàn vẹn trong xử lý, tính bảo mật và quyền riêng tư | Cùng tiêu chí như SOC 2 nhưng được tóm tắt |
| Tiêu chuẩn áp dụng | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Đối tượng độc giả điển hình | Kiểm toán viên, cơ quan quản lý và đội ngũ tài chính/kế toán của khách hàng | Đội ngũ bảo mật, CNTT và mua sắm của khách hàng | Công chúng nói chung / khách hàng tiềm năng |
| Phân phối báo cáo | Hạn chế: Chia sẻ theo NDA với các bên liên quan cụ thể | Hạn chế: Chia sẻ theo NDA với các bên liên quan cụ thể | Công khai: Có thể đăng hoặc chia sẻ tự do |
| Ví dụ về công ty | Nhà cung cấp dịch vụ bảng lương, đơn vị xử lý yêu cầu bồi thường, đơn vị quản lý quỹ | Nền tảng SaaS, nhà cung cấp đám mây, trung tâm dữ liệu | Các công ty đã có SOC 2 và muốn có phiên bản chia sẻ được |
| Các loại báo cáo hiện có | Loại I và Loại II | Loại I và Loại II | Không áp dụng |
Sự khác biệt giữa báo cáo SOC Loại I và Loại II là gì?
Có hai loại báo cáo hiện có cho kiểm toán SOC 1 và SOC 2, và đây là lúc việc so sánh trở nên hữu ích hơn.
- Kiểm toán Loại I xem xét giấy tờ, chính sách và thiết kế hệ thống mà công ty đã triển khai, đồng thời đánh giá liệu các biện pháp kiểm soát đó có được thiết kế phù hợp để bảo vệ dữ liệu hay không. Bản này không kiểm tra liệu các biện pháp bảo vệ có thực sự hoạt động theo thời gian hay không, mà chỉ xác nhận chúng hiện diện và có vẻ đúng.
- Một đợt kiểm toán Loại II xem xét giấy tờ, chính sách và thiết kế hệ thống, sau đó giám sát hoạt động của chúng liên tục trong khoảng 3 đến 12 tháng. Kiểm toán viên xác minh rằng các biện pháp kiểm soát không chỉ được thiết kế tốt mà còn được tuân thủ hiệu quả; rằng công ty lưu nhật ký, tạo bản sao lưu, giám sát truy cập và xử lý sự cố như đã cam kết.
Khách hàng và đối tác thường tin tưởng đợt kiểm toán Loại II hơn vì nó chứng minh hiệu quả bảo mật liên tục trong thực tế. Không giống SOC 1 và SOC 2 vốn chỉ phục vụ những đối tượng khác nhau, đợt kiểm toán Loại II có thể được coi là mạnh hơn Loại I.
SOC 1 là gì, ai cần và vì sao?
SOC 1 là một khuôn khổ tuân thủ và kiểm toán dành cho những công ty có dịch vụ ảnh hưởng đến báo cáo tài chính của khách hàng. SOC 1 đáp ứng nhu cầu của kiểm toán viên bên ngoài của khách hàng và đảm bảo rằng các biện pháp kiểm soát của một tổ chức dịch vụ sẽ không đưa lỗi vào sổ sách của khách hàng.
Những loại công ty nào được hưởng lợi từ chứng nhận SOC 1?
SOC 1 là chứng nhận được ưu tiên lựa chọn cho những công ty xử lý giao dịch tài chính hoặc dữ liệu thay cho người khác. Điều này bao gồm đơn vị xử lý bảng lương, xử lý thanh toán, quản lý quỹ, xử lý yêu cầu bồi thường và nền tảng dịch vụ cho vay. Chứng nhận SOC 1 có thể mở ra các hợp đồng mới với khách hàng lớn hơn, giảm trở ngại trong các đợt kiểm toán hằng năm và củng cố danh tiếng của công ty về những quy trình tài chính đáng tin cậy, được kiểm soát tốt, điều thường quyết định liệu công ty của bạn có được xem xét cho công việc nhạy cảm về tài chính hay không.
SOC 2 là gì, ai cần và vì sao?
SOC 2 là một khuôn khổ tuân thủ và kiểm toán dành cho những công ty xử lý dữ liệu khách hàng. Một đợt kiểm toán SOC 2 tạo ra báo cáo ghi lại cách các biện pháp kiểm soát của công ty đáp ứng Tiêu chí Dịch vụ Tin cậy của AICPA, bao gồm bảo mật, tính khả dụng, tính toàn vẹn trong xử lý, tính bảo mật và quyền riêng tư, cùng ý kiến của kiểm toán viên độc lập về việc các biện pháp kiểm soát đó có được thiết kế đúng hay không. SOC 2 là chứng nhận cần thiết cho những công ty cần chứng minh hiệu quả của các biện pháp kiểm soát bảo mật với khách hàng và đối tác tại Hoa Kỳ.
Những loại công ty nào được hưởng lợi từ chứng nhận SOC 2?
Các công ty cung cấp dịch vụ dựa trên công nghệ sẽ được hưởng lợi nhiều nhất từ chứng nhận SOC 2. Điều này bao gồm phần mềm dạng dịch vụ (SaaS), hạ tầng đám mây, nền tảng phân tích dữ liệu, giải pháp công nghệ tài chính và ứng dụng công nghệ y tế. Khi vi phạm dữ liệu trở thành chuyện thường ngày, khách hàng cần được đảm bảo rằng công ty có thể bảo vệ dữ liệu và hệ thống mà họ tin tưởng giao phó. SOC 2 mang lại điều này, từ đó có thể mở ra các hợp đồng mới với những tập đoàn lớn, đơn giản hóa việc đánh giá rủi ro nhà cung cấp và nâng cao danh tiếng của công ty về khả năng bảo vệ dữ liệu mạnh mẽ.
Tìm hiểu về đợt kiểm toán SOC 2 Loại II của Proton
SOC 3 là gì, ai cần và vì sao?
SOC 3 được tạo ra từ cùng quy trình kiểm toán như SOC 2, chỉ khác là phục vụ mục đích khác. Báo cáo SOC 3 là bản tóm tắt tổng quan của cùng thông tin đó, không có những chi tiết cụ thể đòi hỏi phải ký thỏa thuận bảo mật, nên thường được dùng làm bản tóm tắt dành cho công chúng của báo cáo SOC 2.
Những loại công ty nào được hưởng lợi từ chứng nhận SOC 3?
Không thể có được SOC 3 nếu không trải qua quy trình kiểm toán SOC 2, nhưng những công ty đang được đánh giá cho SOC 2 và muốn sử dụng thông tin đó trong các chiến dịch tiếp thị hoặc bản trình bày bán hàng có thể được hưởng lợi khi theo đuổi báo cáo SOC 3.
Những công ty nào cần nhiều báo cáo SOC?
Việc lựa chọn giữa SOC 1 và SOC 2 thường là chọn xem báo cáo nào phù hợp với nhu cầu của khách hàng. Tuy nhiên, một số công ty cần nhiều hơn một báo cáo SOC. Ví dụ, một công ty công nghệ tài chính xử lý thanh toán và lưu trữ dữ liệu khách hàng nhạy cảm có thể cần cả SOC 1 (vì liên quan đến báo cáo tài chính của khách hàng) và SOC 2 (vì xử lý dữ liệu khách hàng).
| Kết hợp các đợt kiểm toán SOC | Loại công ty |
| SOC 1 + SOC 2 | Các công ty xử lý cả báo cáo tài chính và dữ liệu khách hàng quan trọng |
| SOC 1 + SOC 3 | Không áp dụng vì không thể có SOC 3 nếu không có SOC 2 |
| SOC 2 + SOC 3 | Các công ty xử lý dữ liệu khách hàng quan trọng và muốn thể hiện chứng nhận SOC 2 của mình trong nội dung dành cho công chúng |
| SOC 1 + SOC 2 + SOC 3 | Các công ty xử lý cả báo cáo tài chính và dữ liệu khách hàng quan trọng, đồng thời muốn thể hiện chứng nhận SOC 2 của mình trong nội dung dành cho công chúng |
Các đợt kiểm toán SOC diễn ra như thế nào? Tiến độ, các giai đoạn kiểm toán và gia hạn
Có nhiều yếu tố khác nhau ảnh hưởng đến chi phí và thời gian của một đợt kiểm toán SOC. Dưới đây là một số yếu tố cần lưu ý nếu bạn đang lên kế hoạch tuân thủ SOC 1 hoặc SOC 2.
Tiến độ SOC
| SOC | Tiến độ |
| SOC 1 Loại I | ~ 2–4 tháng |
| SOC 1 Loại II | ~ 6–12 tháng tổng cộng, thời gian quan sát thường kéo dài 6–12 tháng |
| SOC 2 Loại I | ~ 3–6 tháng tổng cộng |
| SOC 2 Loại II | ~ 6–15 tháng tổng cộng, thời gian quan sát thường kéo dài 3–12 tháng |
Các giai đoạn kiểm toán SOC
Một đợt kiểm toán SOC gồm nhiều giai đoạn diễn ra trong nhiều tuần hoặc nhiều tháng. Mỗi giai đoạn diễn ra như sau:
1. Chuẩn bị (tuần 1–4)
Trước khi bắt đầu bất kỳ hoạt động kiểm tra nào, bạn xác định những hệ thống thuộc phạm vi áp dụng và xác nhận những Tiêu chí Dịch vụ Tin cậy nào của AICPA được áp dụng. Với SOC 2, thường là bảo mật với vai trò tiêu chí bắt buộc, cùng bất kỳ kết hợp nào của tính khả dụng, tính toàn vẹn trong xử lý, tính bảo mật và quyền riêng tư tùy theo nhu cầu khách hàng. Bạn cũng cần lập danh mục những biện pháp kiểm soát đã có, như chính sách truy cập, tiêu chuẩn mã hóa, quy trình sao lưu và kế hoạch ứng phó sự cố. Mục tiêu ở đây là tránh những bất ngờ về sau.
2. Lập tài liệu (tuần 4–8)
Bạn tổng hợp bằng chứng cho thấy các biện pháp kiểm soát của mình tồn tại và được thiết kế đúng. Điều này bao gồm chính sách bằng văn bản, sơ đồ kiến trúc hệ thống, ma trận truy cập theo vai trò, đánh giá rủi ro nhà cung cấp và hồ sơ đào tạo. Kiểm toán viên sẽ xem xét những tài liệu này để đảm bảo chúng bao quát mọi yêu cầu liên quan và phù hợp với những gì khách hàng mong đợi một cách hợp lý.
3. Kiểm toán (tuần 8–12)
Với báo cáo Loại I, kiểm toán viên thực hiện khảo sát thực địa tại một thời điểm duy nhất. Họ phỏng vấn nhân sự chủ chốt, lấy mẫu bằng chứng kiểm soát và xác minh rằng tài liệu của bạn phản ánh đúng thực tế. Ở giai đoạn này, họ xác nhận rằng các biện pháp kiểm soát được thiết kế đúng.
4. Quan sát (tháng 3–15)
Loại II bổ sung thời gian quan sát, trong đó kiểm toán viên giám sát các biện pháp kiểm soát của bạn một cách liên tục. Trong giai đoạn này, họ sẽ xem xét những nội dung như:
- Nhật ký truy cập: ai được cấp quyền, khi nào quyền truy cập bị thu hồi và liệu các tài khoản đặc quyền có được rà soát định kỳ hay không
- Hồ sơ quản lý thay đổi: cách các đợt triển khai mã được phê duyệt và theo dõi
- Xử lý sự cố: liệu các sự kiện bảo mật có được phát hiện, báo cáo lên cấp trên và giải quyết theo quy trình đã ghi lại của bạn hay không
- Sao lưu và giám sát: bằng chứng cho thấy các hệ thống thực sự được giám sát và khôi phục như đã cam kết
Vào cuối giai đoạn quan sát, kiểm toán viên đưa ra ý kiến về mức độ hiệu quả của các biện pháp kiểm soát trong suốt khoảng thời gian đó.
Gia hạn SOC
Việc gia hạn chứng thực SOC thường sẽ nhanh hơn lần kiểm toán đầu tiên. Vì phạm vi, các biện pháp kiểm soát và ranh giới hệ thống của bạn đã được thiết lập, kiểm toán viên sẽ dựa trên một nền tảng đã biết thay vì bắt đầu lại từ đầu, và nhiều lần gia hạn vừa rẻ hơn vừa nhanh hơn so với kiểm toán ban đầu. Báo cáo thường có hiệu lực trong 12 tháng, nên hầu hết các công ty gia hạn hằng năm, thường bắt đầu giai đoạn quan sát tiếp theo ngay sau khi giai đoạn hiện tại kết thúc để tránh khoảng trống trong thời gian hiệu lực.
Chi phí kiểm toán SOC là bao nhiêu?
Gần như không thể xác định chi phí của một cuộc kiểm toán SOC mà không có báo giá từ kế toán viên công chứng (CPA), vì chi phí có thể dao động từ chỉ 5.000 USD đến hơn 150.000 USD. Chi phí sẽ phụ thuộc vào nhiều yếu tố, bao gồm quy mô tổ chức của bạn, mức độ sẵn sàng của tổ chức, số nguồn lực bạn có thể dành cho quy trình và loại kiểm toán bạn hướng tới. Kiểm toán Loại I thường ít tốn kém hơn vì mất ít thời gian hơn.
Proton có thể giúp bạn hoàn thành kiểm toán SOC như thế nào
Proton sở hữu cả chứng nhận ISO 27001 và chứng thực SOC 2 Type II, điều này có thể giúp các công ty sử dụng sản phẩm Proton dễ dàng đạt được chứng nhận của riêng mình hơn. Bằng cách sử dụng không gian làm việc bảo mật, được mã hóa, bạn kế thừa một nền tảng bảo mật đã được chứng minh, vốn đã đáp ứng các cuộc kiểm toán nghiêm ngặt đằng sau SOC 2 Type II. Điều này có thể giảm bớt nỗ lực cần thiết để chứng minh sự tuân thủ và rút ngắn thời gian kiểm toán.
Mẹo cho kiểm toán SOC
- Hãy chuẩn bị càng nhiều càng tốt trước khi bắt đầu kiểm toán. Việc thiếu sẵn sàng thường có thể làm chậm quy trình và tăng chi phí.
- Xác định ranh giới hệ thống trước khi bắt đầu công việc thực địa. Sự mơ hồ về những gì thực sự nằm trong phạm vi là một trong những nguyên nhân phổ biến nhất gây chậm trễ.
- Chọn khoảng thời gian quan sát Loại II dựa trên người yêu cầu báo cáo, chứ không chỉ dựa trên việc bạn muốn có nó nhanh đến mức nào. Khoảng thời gian ba tháng giúp bạn có báo cáo sớm hơn, nhưng nhiều khách hàng mong đợi bằng chứng trong sáu tháng đến một năm và có thể phản đối nếu ít hơn.
- Phân công rõ ràng người phụ trách kiểm soát ngay từ sớm. Những chậm trễ lớn nhất có thể xảy ra khi phải lùng tìm đúng người trong nội bộ để lấy bằng chứng, phê duyệt hoặc phỏng vấn.
- Lên kế hoạch cho việc gia hạn và coi việc thu thập bằng chứng là một thói quen thường xuyên thay vì cuống cuồng chạy đua trước kiểm toán. Các tổ chức đưa giám sát liên tục vào hoạt động thường ngày thường có các lần gia hạn nhanh hơn, rẻ hơn so với những tổ chức coi mỗi chu kỳ là một dự án riêng lẻ.
Câu hỏi thường gặp về kiểm toán SOC 1 và SOC 2
SOC 1 và SOC 2 là gì?
SOC 1 và SOC 2 đều là các khung kiểm toán do AICPA phát triển, nhưng chúng phục vụ những mục đích khác nhau. SOC 1 tập trung vào các biện pháp kiểm soát nội bộ đối với báo cáo tài chính. Nó được thiết kế cho các công ty có dịch vụ ảnh hưởng đến báo cáo tài chính của khách hàng, như đơn vị xử lý bảng lương hoặc đơn vị quản lý quỹ. SOC 2 tập trung vào bảo mật, tính khả dụng, tính toàn vẹn trong xử lý, tính bảo mật và quyền riêng tư. Nó được thiết kế cho các nhà cung cấp dịch vụ công nghệ và đám mây có xử lý dữ liệu khách hàng.
Bạn có cần SOC 1 trước SOC 2 không?
Không, các cuộc kiểm toán SOC không theo trình tự, chúng chỉ khác nhau, nên bạn không cần hoàn thành SOC 1 trước khi thực hiện SOC 2. SOC 1 dành cho các doanh nghiệp thực hiện báo cáo tài chính, trong khi SOC 2 kiểm toán bảo mật, quyền riêng tư và tính toàn vẹn trong xử lý của một công ty.
Kiểm toán SOC 2 mất bao lâu?
Một cuộc kiểm toán SOC 2 có thể mất từ ba tháng đến hơn một năm để hoàn thành, tùy thuộc vào việc bạn đang theo đuổi kiểm toán Loại I hay Loại II, quy mô và độ phức tạp của tổ chức, cùng mức độ sẵn sàng của nhóm bạn.
Chi phí kiểm toán SOC 1 hoặc SOC 2 là bao nhiêu?
Một cuộc kiểm toán SOC có thể tốn từ 5.000 USD đến 150.000 USD, tùy thuộc vào loại kiểm toán, quy mô tổ chức và độ phức tạp của hệ thống.
SOC 2 có phải là chứng nhận không?
Không, SOC 2 không phải là chứng nhận mà là một chứng thực. Mặc dù các thuật ngữ này được dùng thay thế cho nhau trong kiểm toán SOC 1 và 2, chứng thực giống như một xếp hạng, còn chứng nhận là đạt/không đạt.
Bạn cần lặp lại SOC 2 bao lâu một lần?
Về mặt kỹ thuật, kiểm toán SOC không hết hạn, miễn là các hệ thống không thay đổi, nhưng tiêu chuẩn của ngành là gia hạn chúng mỗi 6-12 tháng. Nhiều công ty thiết lập quy trình gia hạn hằng năm, nhưng điều này sẽ phụ thuộc vào việc bạn đang theo đuổi kiểm toán Loại I hay Loại II, và nếu là Loại II thì giai đoạn quan sát kéo dài bao lâu.
Bạn có thể có SOC 3 mà không cần SOC 2 không?
Không, SOC 3 được tạo ra từ cùng quy trình kiểm toán như SOC 2. SOC 3 là một tiện ích bổ sung tùy chọn cho SOC 2, không phải một quy trình riêng biệt.
