SOC (Service Organization Controls) är en uppsättning standarder som utvecklats av AICPA för att bedöma och utvärdera en organisations kontrollkompetens. SOC för serviceorganisationer: Trust Services Criteria (även kända som SOC 2-rapporter) är avsedda att tillgodose behoven hos ett brett spektrum av användare som kräver detaljerad information och försäkran om de kontroller som är relevanta för säkerhet, tillgänglighet och behandlingsintegritet för de system som används för att behandla användarnas data, konfidentialitet och integritet för den information som behandlas av dessa system. Dessa rapporter kan spela en avgörande roll för organisatorisk tillsyn, program för leverantörshantering, intern bolagsstyrning, riskhanteringsprocesser och regelöversikt.
Det finns två typer av SOC 2-rapporter: Type 1 och Type 2.
En SOC 2 Type 1-granskning ger en ögonblicksbild av de dataskyddsåtgärder som finns i en organisation. Utformningen av kontrollerna bedöms och implementeringen bekräftas, men konsekventa resultat utvärderas inte i en Type 1-rapport. Om en organisation är ny inom SOC 2 är det första steget att skaffa en SOC 2 Type 1-rapport.
En SOC 2 Type 2-revision behandlar kontrollernas operativa effektivitet under en viss period, till exempel sex till tolv månader. En SOC 2 Type 2-rapport sätter ribban högre än en Type 1-rapport, eftersom den inte bara bedömer utformningen och implementeringen av kontrollprocesser utan också utvärderar om kontrollerna utfördes konsekvent under den angivna perioden. Detta ger kunder och affärspartners större förtroende för effektiviteten i kontrollprocesserna.
Dessa två ramverk för säkerhetshantering har många likheter. Båda är frivilliga och utformade för att bevisa ett företags tillförlitlighet när det gäller att behandla kunddata och samtidigt skydda sekretess, integritet och tillgänglighet för känslig information. Ramverken delar ett lika respekterat och välansett rykte, och kunderna ser båda som ett hållbart bevis på ert företags förmåga att skydda data. Kort sagt kommer en SOC 2 Type 2-rapport eller ISO 27001-certifiering att förbättra ert varumärkes rykte och hjälpa till att locka nya kunder.
Man behöver inte leta länge för att hitta logistiska och operativa likheter mellan SOC 2 och ISO 27001. Ramverken har många liknande säkerhetskrav, vilket gör att funktionell implementering och bevisinsamlingstid är jämförbara. Båda ramverken kräver också valideringsutvärderingar av certifierad tredje part och periodiska omvärderingar.
