對組織而言，SOC 合規可能既複雜又耗時。若你目前正在研究此事，我們整理了一份詳盡指南，協助你了解當中的核心面向。在本指南中，我們會說明 SOC 1 與 SOC 2 的差異、為何你可能需要其中一種而非另一種、SOC 稽核如何運作，以及 SOC 3 是否值得考慮。
SOC 1、SOC 2 與 SOC 3 的比較
SOC 報告聽起來像是同一種報告的不同等級，但事實並非如此。它們其實是三份不同的報告，分別為三種不同的對象而設。因此，比較它們時，重點不在於哪一份更好，而在於哪一份更符合你的需求。
- SOC 1 適用於服務涉及客戶財務報告的公司，例如薪資處理商、理賠管理機構或基金行政管理機構。
- SOC 2 適用於處理客戶資料的公司，例如 SaaS、雲端及技術供應商。
- SOC 3 是 SOC 2 報告的公開摘要版本，採用相同的底層準則，但省略了敏感的技術詳細資料，因此可以自由共享。
為什麼要進行 SOC 稽核？
客戶需要證據，證明你的公司值得信任、能妥善保管他們的資料，但要逐一稽核每個供應商，對所有相關各方而言都可能既緩慢又昂貴。貴組織的客戶就是這份報告的目標讀者。
SOC 稽核由美國註冊會計師協會 (AICPA) 制定，讓公司只需與獨立會計師事務所完成一次程序，之後便可把產生的報告交給潛在客戶，而不必為每個機會填寫全新的安全問卷。在金融、醫療保健等受監管或重視安全的產業，SOC 報告往往決定你的公司能否進入供應商候選名單。
SOC 稽核的過程也會促使公司落實真正的安全控制措施，例如存取管理、監控，以及事件應變。因此，雖然這份報告的存在是為了滿足客戶的採購團隊，但其背後的過程能強化你的安全實務，無論最終閱讀報告的是誰。由於 SOC 報告會揭露公司流程與基礎架構的詳細資料，公司通常會要求客戶先簽署保密協議 (NDA)，之後才能共享報告。
比較表：SOC 1、SOC 2 與 SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| 重點 | 財務報告的內部控制 | 安全性、可用性、處理完整性、機密性與隱私 | 與 SOC 2 相同的準則，但經過摘要 |
| 適用標準 | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| 典型受眾 | 稽核人員、監管機關，以及客戶的財務／會計團隊 | 客戶的安全、IT 與採購團隊 | 一般大眾／潛在客戶 |
| 報告分發 | 受限：在保密協議 (NDA) 下與特定利害關係人共享 | 受限：在保密協議 (NDA) 下與特定利害關係人共享 | 公開：可自由發布或共享 |
| 範例公司 | 薪資服務供應商、理賠處理機構、基金行政管理機構 | SaaS 平台、雲端服務供應商、資料中心 | 已擁有 SOC 2 並希望取得可共享版本的公司 |
| 可取得的報告類型 | Type I 與 Type II | Type I 與 Type II | 不適用 |
Type I 與 Type II SOC 報告有何差異？
SOC 1 與 SOC 2 稽核各提供兩種報告類型，而此時比較就更能發揮作用。
- Type I 稽核會檢視公司已建立的文件、政策與系統設計，並評估這些控制措施是否經過妥善設計以保護資料。它不會測試這些防護措施能否長期有效運作，只確認它們存在且看似正確。
- Type II 稽核會檢查文件、政策與系統設計，然後在 3 至 12 個月的期間內持續監控其運作。稽核人員會驗證控制措施不僅設計良好，也確實被遵循；公司是否如承諾般保留日誌、進行備份、監控存取及處理事件。
客戶與合作夥伴通常更信任 Type II 稽核，因為它展現了持續且實際的安全效能。SOC 1 與 SOC 2 只是服務不同對象，Type II 稽核則可視為比 Type I 更嚴謹。
什麼是 SOC 1？誰需要它？為什麼？
SOC 1 是合規與稽核架構，適用於服務會影響客戶財務報導的公司。SOC 1 能滿足客戶外部稽核人員的需求，並提供保證：服務組織的控制措施不會將錯誤帶入客戶的帳務。
哪些類型的公司能從 SOC 1 認證中受益？
SOC 1 是代他人處理財務交易或資料的公司之首選認證。這包括薪資處理服務商、付款處理商、基金行政管理機構、理賠處理商與貸款服務平台。SOC 1 可望協助您與大型客戶簽訂新合約、減少年度稽核過程中的摩擦，並強化公司在可靠且控制良好的財務流程方面的聲譽；這往往決定您的公司是否會被納入財務敏感工作的考慮範圍。
什麼是 SOC 2？誰需要它？為什麼？
SOC 2 是合規與稽核架構，適用於處理客戶資料的公司。SOC 2 稽核會產生報告，說明公司的控制措施如何符合 AICPA 的信賴服務準則 (Trust Services Criteria)，涵蓋安全性、可用性、處理完整性、機密性與隱私，並包含獨立稽核人員對這些控制措施是否設計妥當的意見。對於需要向美國客戶與合作夥伴證明其安全控制措施有效性的公司而言，SOC 2 是必要的認證。
哪些類型的公司能從 SOC 2 認證中受益？
提供技術驅動服務的公司最能從 SOC 2 認證中受益。這包括軟體即服務 (SaaS)、雲端基礎架構、資料分析平台、金融科技解決方案與健康科技應用程式。隨著資料外洩成為常態，客戶需要獲得保證，確認公司能保護他們所託付的資料與系統。SOC 2 提供了這項保證，進而有助於與大型企業簽訂新合約、簡化供應商風險評估，並提升公司在資料保護方面的聲譽。
閱讀 Proton 的 SOC 2 Type II 稽核相關資訊
什麼是 SOC 3？誰需要它？為什麼？
SOC 3 源自與 SOC 2 相同的稽核流程，只是用途不同。SOC 3 報告是相同資訊的高階摘要，不包含需要簽署保密協議 (NDA) 的詳細具體資訊，因此常被用作 SOC 2 報告的對外公開摘要。
哪些類型的公司能從 SOC 3 認證中受益？
若未經歷 SOC 2 稽核流程，就無法取得 SOC 3；但已在接受 SOC 2 評估，並希望將相關資訊用於行銷活動或銷售簡報的公司，可能會因為申請 SOC 3 報告而受益。
哪些公司需要多份 SOC 報告？
在 SOC 1 與 SOC 2 之間做選擇，通常取決於哪份報告符合客戶需求。然而，有些公司確實需要不只一份 SOC 報告。舉例來說，處理付款並儲存敏感客戶資料的金融科技公司，可能同時需要 SOC 1（因為涉及客戶的財務報導）與 SOC 2（因為處理客戶資料）。
| SOC 稽核的組合 | 公司類型 |
| SOC 1 + SOC 2 | 同時處理財務報導與大量客戶資料的公司 |
| SOC 1 + SOC 3 | 不適用（若沒有 SOC 2，就無法取得 SOC 3） |
| SOC 2 + SOC 3 | 處理大量客戶資料，並希望在對外公開內容中展示其 SOC 2 認證的公司 |
| SOC 1 + SOC 2 + SOC 3 | 同時處理財務報導與大量客戶資料，並希望在對外公開內容中展示其 SOC 2 認證的公司 |
SOC 稽核如何運作？時程、稽核階段與重新認證
SOC 稽核的成本與耗時會受到多種變數影響。如果您正在規劃 SOC 1 或 SOC 2 合規，以下是需要留意的幾項因素。
SOC 時程
| SOC | 時程 |
| SOC 1 Type I | 約 2 至 4 個月 |
| SOC 1 Type II | 總計約 6 至 12 個月，觀察期通常為 6 至 12 個月 |
| SOC 2 Type I | 總計約 3 至 6 個月 |
| SOC 2 Type II | 總計約 6 至 15 個月，觀察期通常為 3 至 12 個月 |
SOC 稽核階段
SOC 稽核包含多個階段，會歷時數週或數月。以下說明各階段的情況：
1. 準備（第 1 至 4 週）
在任何測試開始之前，您要找出哪些系統屬於範圍內，並確認 AICPA 的哪些信賴服務準則應套用。對 SOC 2 而言，這通常表示安全性是必要準則，並依客戶需求加上可用性、處理完整性、機密性與隱私的任意組合。您也需要盤點已落實的控制措施，例如存取政策、加密標準、備份程序與事件應變方案。此階段的目標是避免日後出現意外。
2. 文件編製（第 4 至 8 週）
您要彙整證據，證明控制措施確實存在且設計妥當。這包括書面政策、系統架構圖、角色型存取矩陣、供應商風險評估與訓練紀錄。稽核人員會審查這些資料，確保涵蓋所有相關要求，並符合客戶合理預期的內容。
3. 稽核（第 8 至 12 週）
就 Type I 報告而言，稽核人員會針對單一時間點進行實地查核。他們會訪談關鍵員工、抽樣控制證據，並驗證您的文件是否反映實際情況。在此階段，他們要確認控制措施設計正確。
4. 觀察（第 3 至 15 個月）
Type II 會增加觀察期，稽核人員會在這段期間持續監控您的控制措施。在此期間，他們會檢查以下項目：
- 存取日誌：誰取得了權限、存取權何時遭到撤銷，以及特權帳號是否定期受到審查
- 變更管理記錄：程式碼部署如何獲得核准與追蹤
- 事件處理：安全事件是否依照您記錄的流程被偵測、呈報並解決
- 備份與監控：能證明系統確實受到監控並如承諾般還原的證據
觀察期結束時，稽核人員會針對您的控制措施在整個期間的運作成效提出意見。
SOC 稽核更新
更新您的 SOC 確信 (attestation) 通常會比第一次稽核更快。由於您的範圍、控制措施和系統邊界都已建立，稽核人員是在已知的基準上繼續進行，而非從零開始，因此許多更新案都比首次稽核更便宜、更快速。報告的有效期通常為 12 個月，因此大多數公司每年更新一次，且常在目前觀察期結束後立即展開下一次觀察期，以避免涵蓋範圍出現空窗。
SOC 稽核的費用是多少？
在沒有取得會計師 (CPA) 報價的情況下，幾乎不可能確定 SOC 稽核的費用，因為價格可能從 5,000 USD 到 150,000 USD 以上不等。費用取決於多項因素，包括組織規模、組織的準備程度、您能投入此流程的資源多寡，以及您打算進行哪一種類型的稽核。Type I 稽核通常較便宜，因為所需時間較短。
Proton 如何協助您完成 SOC 稽核
Proton 同時持有 ISO 27001 認證與 SOC 2 Type II 確信，這讓使用 Proton 產品的公司更容易取得自身的認證。透過使用安全且加密的工作空間，您可承襲已通過 SOC 2 Type II 嚴格稽核的成熟安全基準。這能減少證明合規所需的工夫，並縮短稽核時程。
SOC 稽核的實用建議
- 在稽核開始前盡可能完成前置作業。準備不足往往會拖慢流程並增加成本。
- 在實地查核開始前界定您的系統邊界。對於實際納入範圍的項目定義不清，是最常見的延誤原因之一。
- 選擇 Type II 觀察期時，應以「誰在要求這份報告」為依據，而不只是您希望多快拿到。三個月的觀察期能讓您更快取得報告，但許多客戶期望看到六個月到一年的證據，對於更短的期間可能會有意見。
- 及早指派明確的控制措施負責人。最大的延誤往往發生在內部尋找正確的人員以取得證據、核准或進行訪談時。
- 為更新做好規劃，並將證據蒐集視為持續的習慣，而非稽核前的忙亂衝刺。將持續監控納入日常營運的組織，其更新速度通常更快、成本更低，勝過把每個週期當成一次性專案的組織。
SOC 1 與 SOC 2 稽核常見問題
什麼是 SOC 1 和 SOC 2？
SOC 1 與 SOC 2 都是美國註冊會計師協會 (AICPA) 制定的稽核框架，但用途不同。SOC 1 著重於財務報導的內部控制，專為服務會影響客戶財務報表的公司而設計，例如薪資處理業者或基金行政管理業者。SOC 2 則著重於安全性、可用性、處理完整性、機密性與隱私，專為處理客戶資料的技術與雲端服務供應商而設計。
您需要先完成 SOC 1 才能進行 SOC 2 嗎？
不需要。SOC 稽核並非循序進行，兩者只是性質不同，因此您不必先完成 SOC 1 才能進行 SOC 2。SOC 1 是為從事財務報導的企業而設計，而 SOC 2 則稽核公司的安全性、隱私與處理完整性。
SOC 2 稽核需要多久時間？
SOC 2 稽核可能需要三個月到一年以上才能完成，取決於您進行的是 Type I 還是 Type II 稽核、組織的規模與複雜度，以及團隊的準備程度。
SOC 1 或 SOC 2 稽核的費用是多少？
SOC 稽核的費用介於 5,000 USD 至 150,000 USD 之間，取決於稽核類型、組織規模及系統的複雜度。
SOC 2 是一種認證嗎？
不是。SOC 2 並非認證，而是一種確信 (attestation)。雖然這兩個詞在 SOC 1 與 SOC 2 稽核中常被混用，但確信更像是一種評等，而認證則是通過或不通過。
您需要多久重新進行一次 SOC 2？
嚴格來說，只要系統維持不變，SOC 稽核並不會過期，但業界標準是每 6 至 12 個月更新一次。許多公司會建立年度更新流程，但這取決於您進行的是 Type I 還是 Type II 稽核；若為 Type II，則取決於觀察期的長短。
沒有 SOC 2 也能取得 SOC 3 嗎？
不能。SOC 3 與 SOC 2 源自同一套稽核流程。SOC 3 是 SOC 2 的選用附加項目，並非獨立流程。
