对组织而言，SOC 合规可能既复杂又耗时。如果您目前正在着手调研，不妨参考我们整理的详尽指南，快速掌握其中的核心要点。本指南将说明 SOC 1 与 SOC 2 的区别、为何有时需要选择其中一种、SOC 审计如何运作，以及 SOC 3 是否值得考虑。
SOC 1、SOC 2 与 SOC 3
SOC 报告听起来像是同一类报告的不同层级，但事实并非如此。它们实际上是三种不同的报告，面向三类不同的受众。因此，在比较它们时，重点不在于哪一种更好，而在于哪一种更适合您的需求。
- SOC 1 适用于其服务涉及客户财务报告的公司，例如薪资处理商、理赔管理机构或基金管理机构。
- SOC 2 适用于处理客户数据的公司，例如 SaaS、云服务和技术供应商。
- SOC 3 是 SOC 2 报告面向公众的摘要版本。它采用相同的底层标准，但不包含敏感的技术细节，因此可以自由分享。
为什么需要 SOC 审计？
客户需要证据，证明您的公司值得信赖、能够妥善保管他们的数据，但逐一审计每家供应商对各方而言都可能既耗时又昂贵。该报告的目标受众正是贵组织的客户。
SOC 审计由美国注册会计师协会 (AICPA) 制定，它让公司只需与一家独立会计师事务所完成一次流程，之后即可将由此生成的报告交给潜在客户，而不必为每一次商机都填写一份新的安全问卷。在金融、医疗等受监管或高度重视安全的行业，SOC 报告往往决定着一家公司能否进入供应商候选名单。
在此过程中，SOC 审计还会推动公司落实真正的安全控制措施，例如访问管理、监控和事件响应。因此，尽管这份报告的存在是为了满足客户的采购团队，但其背后的流程却能强化您的安全实践，无论最终由谁阅读这份报告。由于 SOC 报告会披露公司流程和基础设施的详细信息，公司通常要求客户先签署保密协议，之后才能分享报告。
对比表：SOC 1、SOC 2 与 SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| 侧重点 | 对财务报告的内部控制 | 安全性、可用性、处理完整性、保密性和隐私 | 与 SOC 2 标准相同，但经过概括 |
| 依据标准 | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| 典型受众 | 审计师、监管机构以及客户的财务/会计团队 | 客户的安全、IT 和采购团队 | 普通公众/潜在客户 |
| 报告分发 | 受限：在 NDA 下与特定利益相关方分享 | 受限：在 NDA 下与特定利益相关方分享 | 公开：可自由发布或分享 |
| 示例公司 | 薪资服务提供商、理赔处理机构、基金管理机构 | SaaS 平台、云服务提供商、数据中心 | 已拥有 SOC 2 并希望获得可分享版本的公司 |
| 可用的报告类型 | Type I 和 Type II | Type I 和 Type II | 不适用 |
Type I 和 Type II SOC 报告有何区别？
SOC 1 和 SOC 2 审计各有两种报告类型，而正是这一点让比较更有意义。
- Type I 审计审查公司已制定的文档、策略和系统设计，并评估这些控制措施的设计是否足以保护数据。它并不测试这些防护措施能否长期真正发挥作用，只是确认它们已经存在且看起来没有问题。
- Type II 审计会检查文件资料、策略和系统设计，然后在 3 到 12 个月的时间里持续监控其运行情况。审计师会核实控制措施不仅设计得当，而且得到有效执行；公司是否按承诺保留日志、进行备份、监控访问并处理事件。
客户和合作伙伴通常更信任 Type II 审计，因为它能体现持续且真实的安全表现。SOC 1 和 SOC 2 只是面向不同的受众，而 Type II 审计可以被认为比 Type I 更有保障。
什么是 SOC 1？谁需要它，又为什么需要？
SOC 1 是一套合规与审计框架，适用于其服务会影响客户财务报告的公司。SOC 1 满足客户外部审计师的需求，并保证服务组织的控制措施不会给客户的账簿引入错误。
哪些类型的公司能从 SOC 1 鉴证中受益？
对于代他人处理财务交易或数据的公司来说，SOC 1 是首选的鉴证。这包括薪资处理商、支付处理商、基金管理机构、理赔处理商和贷款服务平台。SOC 1 有助于赢得与大型客户的新合同、减少年度审计中的摩擦，并巩固公司在可靠且控制良好的财务流程方面的声誉，而这往往决定贵公司能否被纳入财务敏感业务的考虑范围。
什么是 SOC 2？谁需要它，又为什么需要？
SOC 2 是一套合规与审计框架，适用于处理客户数据的公司。SOC 2 审计会出具一份报告，说明公司的控制措施如何符合 AICPA 的信任服务准则（Trust Services Criteria），涵盖安全性、可用性、处理完整性、保密性和隐私，并附有独立审计师对这些控制措施是否设计得当的意见。对于需要向美国客户和合作伙伴证明其安全控制措施有效性的公司来说，SOC 2 是必不可少的鉴证。
哪些类型的公司能从 SOC 2 鉴证中受益？
提供技术驱动型服务的公司将最能从 SOC 2 认证中受益，包括软件即服务（SaaS）、云基础设施、数据分析平台、金融科技解决方案和医疗科技应用。随着数据泄露成为常态，客户需要得到保证，确信公司能够保护他们托付的数据和系统。SOC 2 恰好提供了这种保障，进而有助于赢得与大型企业的新合同、简化供应商风险评估，并提升公司在数据保护方面的声誉。
什么是 SOC 3？谁需要它，又为什么需要？
SOC 3 源自与 SOC 2 相同的审计流程，只是用途不同。SOC 3 报告是对相同信息的高层级摘要，不含那些需要签署保密协议（NDA）的详细具体信息，因此常被用作 SOC 2 报告的对外公开摘要。
哪些类型的公司能从 SOC 3 鉴证中受益？
不经过 SOC 2 审计流程就无法获得 SOC 3，但如果公司已经在接受 SOC 2 评估，并希望把这些信息用于营销活动或销售演示，那么申请一份 SOC 3 报告可能会有所收获。
哪些公司需要多份 SOC 报告？
在 SOC 1 和 SOC 2 之间做选择，往往就是选择哪种报告更适合客户的需求。不过，有些公司确实需要不止一份 SOC 报告。例如，一家处理支付并存储敏感客户数据的金融科技公司，可能既需要 SOC 1（因为涉及客户的财务报告），也需要 SOC 2（因为处理客户数据）。
| SOC 审计组合 | 公司类型 |
| SOC 1 + SOC 2 | 既涉及财务报告又处理大量客户数据的公司 |
| SOC 1 + SOC 3 | 不适用（没有 SOC 2 就无法获得 SOC 3） |
| SOC 2 + SOC 3 | 处理大量客户数据，并希望在对外公开内容中展示其 SOC 2 鉴证的公司 |
| SOC 1 + SOC 2 + SOC 3 | 既涉及财务报告又处理大量客户数据，并希望在对外公开内容中展示其 SOC 2 鉴证的公司 |
SOC 审计如何进行？时间线、审计阶段与续期
影响 SOC 审计成本和耗时的变量有很多。如果你正在规划 SOC 1 或 SOC 2 合规，以下几个因素值得留意。
SOC 时间线
| SOC | 时间线 |
| SOC 1 Type I | ~ 2–4 个月 |
| SOC 1 Type II | 总计约 6–12 个月，观察期通常为 6–12 个月 |
| SOC 2 Type I | 总计约 3–6 个月 |
| SOC 2 Type II | 总计约 6–15 个月，观察期通常为 3–12 个月 |
SOC 审计阶段
一次 SOC 审计包含多个阶段，历时数周或数月。各阶段的情况如下：
1. 准备（第 1–4 周）
在任何测试开始之前，你需要确定哪些系统属于审计范围，并确认适用哪些 AICPA 信任服务准则。对 SOC 2 而言，通常意味着安全性是必需准则，再根据客户需求，搭配可用性、处理完整性、保密性和隐私中的任意组合。你还要清点已有的控制措施，例如访问策略、加密标准、备份流程和事件响应计划。这一步的目标是避免后续出现意外。
2. 文档（第 4–8 周）
你需要收集证据，证明控制措施确实存在且设计得当。这包括书面策略、系统架构图、基于角色的访问矩阵、供应商风险评估和培训记录。审计师会审查这些材料，确保其涵盖所有相关要求，并与客户的合理期望相符。
3. 审计（第 8–12 周）
对于 Type I 报告，审计师会围绕某一时点开展现场工作：访谈关键人员、抽取控制证据样本，并核实文档是否反映实际情况。这一阶段是在确认控制措施的设计是否正确。
4. 观察（第 3–15 个月）
Type II 会增加一个观察期，在此期间审计师会持续监控你的控制措施，并检查以下内容：
- 访问日志：谁获得了权限、访问权限何时被撤销，以及特权帐户是否得到定期审查
- 变更管理记录：代码部署如何获得批准并被跟踪
- 事件处理：安全事件是否按照您的书面流程被发现、上报并解决
- 备份与监控：能够证明系统确实在受到监控并按承诺得到恢复的证据
观察期结束时，审计师会就您的控制措施在整个观察期内的运行情况发表意见。
SOC 续期
续签 SOC 鉴证通常应比首次审计更快。既然您的范围、控制措施和系统边界都已确立，审计师是在已知基准之上开展工作，而非从零开始，因此许多续期比初次审计更省钱、也更省时。报告通常有效期为 12 个月，所以大多数公司每年续签一次，往往在当前观察期结束后立即启动下一个观察期，以避免覆盖出现空档。
SOC 审计的费用是多少？
如果不从注册会计师那里获取报价，几乎无法确定 SOC 审计的费用，因为其价格可能低至 5,000 USD，高至 150,000 USD 以上。费用取决于多种因素，包括组织规模、组织的准备程度、您能为此投入多少资源，以及您要开展哪种类型的审计。Type I 审计通常费用更低，因为耗时更短。
Proton 如何帮助您完成 SOC 审计
Proton 同时持有 ISO 27001 认证和 SOC 2 Type II 鉴证，这让使用 Proton 产品的公司更容易获得自己的认证资质。通过使用安全、加密的工作空间，您可以继承一套经过验证的安全基准，它已满足 SOC 2 Type II 背后严苛的审计要求。这可以减少证明合规所需的工作量，并缩短审计周期。
SOC 审计的实用建议
- 在审计开始前尽可能多做准备工作。准备不足往往会拖慢进度并增加成本。
- 在现场工作开始前界定系统边界。对实际范围界定不清是最常见的延误原因之一。
- 选择 Type II 观察期时，要依据是谁在索要报告，而不只是您希望多快拿到。三个月的观察期能让您更快拿到报告，但许多客户期待六个月乃至一年的证据，对更短的时间可能不买账。
- 尽早指定明确的控制责任人。最大的延误往往发生在内部寻找合适人员以获取证据、审批或访谈的过程中。
- 为续期做好规划，把证据收集当作长期习惯，而不是审计前的临时突击。将持续监控融入日常运营的组织，其续期往往比把每一轮都当作一次性项目的组织更快、更省钱。
SOC 1 和 SOC 2 审计常见问题解答
SOC 1 和 SOC 2 是什么？
SOC 1 和 SOC 2 都是由 AICPA 制定的审计框架，但用途不同。SOC 1 侧重财务报告方面的内部控制，适用于其服务会影响客户财务报表的公司，例如薪资处理商或基金管理机构。SOC 2 则侧重安全性、可用性、处理完整性、保密性和隐私，适用于处理客户数据的技术和云服务提供商。
开展 SOC 2 之前需要先做 SOC 1 吗？
不需要。SOC 审计并非按顺序进行，它们只是性质不同，所以您无需先完成 SOC 1 再做 SOC 2。SOC 1 面向开展财务报告业务的企业，而 SOC 2 审计的是公司的安全性、隐私和处理完整性。
SOC 2 审计需要多长时间？
SOC 2 审计从开始到完成可能耗时三个月到一年以上，具体取决于您做的是 Type I 还是 Type II 审计、组织的规模与复杂程度，以及团队的准备情况。
SOC 1 或 SOC 2 审计的费用是多少？
SOC 审计的费用可能在 5,000 USD 至 150,000 USD 之间，具体取决于审计类型、组织规模和系统的复杂程度。
SOC 2 是认证吗？
不是。SOC 2 不是认证，而是一种鉴证。虽然人们常把这两个词与 SOC 1 和 SOC 2 审计混用，但鉴证更像是评级，而认证只有合格与不合格之分。
SOC 2 需要多久重做一次？
严格来说，只要系统保持不变，SOC 审计并不会过期，但行业惯例是每 6 到 12 个月续期一次。许多公司会建立每年续期的流程，但这取决于您做的是 Type I 还是 Type II 审计；如果是 Type II，还取决于观察期的长短。
不做 SOC 2 能拿到 SOC 3 吗？
不能。SOC 3 与 SOC 2 源自同一审计流程。SOC 3 是 SOC 2 的可选附加项，而不是独立的流程。
