Hvad er Service Organization Control Type 2 (SOC 2)?
Service Organization Control Type 2 (SOC 2) er en uafhængig revision, der undersøger, om en tjenesteudbyder beskytter kundedata og holder sine systemer driftssikre over en periode. Den ser på, hvordan virksomheden rent faktisk arbejder, ikke kun hvad der står i en præsentation. Tænk på det som en længerevarende stresstest af sikkerhed og driftssikkerhed, ikke en enkeltstående hurtig gennemgang. Vil du vide, hvem der fastsætter reglerne? Se en overordnet beskrivelse her: System and Organization Controls.
»En virksomhed med Service Organization Control Type 2 (SOC 2) kan aldrig blive kompromitteret.« Det er ikke korrekt. Rapporten bekræfter, at kontroller er designet og fungerer, men det er ikke et magisk skjold. Du har stadig brug for gode sikkerhedsvaner, overvågning og sund fornuft.
Hvordan Service Organization Control Type 2 (SOC 2) fungerer
Her er trin for trin for en kryptoværge, børs eller tegnebog som tjeneste, der gennemgår en Service Organization Control Type 2 (SOC 2) revision:
- Step1: Vælg omfang og en uafhængig revisor. Eksempel: opbevaring af aktiver, nøglehåndtering, hændelsesreaktion.
- Step2: Kortlæg kontroller i forhold til Trust Services Criteria: sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed, privatliv.
- Step3: Drift disse kontroller i flere måneder, mens revisorer tester dem over hele perioden, ikke kun på én dato.
- Step4: Revisorerne udsteder en rapport med konklusion, systembeskrivelse og detaljerede testrapporter, inklusive eventuelle undtagelser.
- Step5: Virksomheden deler rapporten under fortrolighedsaftale med kunder og partnere, der anmoder.
Ja, det var det. Hvis du vil have den formelle kilde, beskriver denne AICPA-side programmet: AICPA SOC.
Hvorfor Service Organization Control Type 2 (SOC 2) er vigtig
Hvorfor er det værd at bruge tid på?
- Benefit: Hurtigere leverandør due diligence. Én rapport kan besvare dusinvis af sikkerhedsspørgsmål.
- Perspective: Institutioner forventer det. Mange fonde, kasser og fintechpartnere betragter SOC 2 Type 2 som grundlæggende krav.
- Relevance: Du vil møde det hos depotmænd, børser, analytics SaaS og tegnebogsinfrastruktur. For eksempel kan du se, hvordan Fireblocks fremhæver sine revisioner her: Fireblocks security and compliance.
Kontroller altid først revisionsperiodens datoer og omfang. Sørg for, at det er Type 2, ikke Type 1, og at krypto specifikke emner som nøglehåndtering, brug af HSM og hændelsesreaktion er inden for afgrænsningen.
Nøglekendetegn for Service Organization Control Type 2 (SOC 2)
Hvad adskiller det, i korte punkter:
- Period: Dækker en datoperiode for at vise, at kontroller virkede over tid.
- Criteria: Bruger fem Trust Services Criteria, som viser hvad der testes.
- Scope: Fokus er på kontroller, ikke markedsføringspåstande eller funktionslister.
- Auditor: Udført af et uafhængigt CPA firma med erfaring i attestation.
- Sharing: Hele rapporten deles normalt under fortrolighedsaftale og offentliggøres ikke.
- Assertion: Ledelsens erklæring om systemet og kontrollerne.
- Opinion: Revisorens konklusion om design og driftseffektivitet.
- Description: Hvordan systemet fungerer i almindeligt sprog.
- Tests: Hver kontrol, hvordan den blev testet, og resultaterne.
- CUCs: Supplerende brugerkrav som du skal følge på din side.
Vil du se, hvordan virksomheder deler disse under fortrolighedsaftale? Mange placerer rapporter i portaler som AWS Artifact.
Variationer
Samme familie, forskellige varianter:
- Type1: Revisor vurderer kontrols design på et enkelt tidspunkt.
- Type2: Revisor vurderer design og driftseffektivitet over flere måneder.
- SOC1: Fokuserer på kontroller for finansiel rapportering, ikke generel sikkerhed.
- SOC3: En offentlig venlig opsummering af SOC 2, som kan deles bredt.
SOC 2 handler om tillid til drift over tid. Det certificerer ikke, at et produkt er fejlfrit eller at on chain aktiver er risikofrie.
Eksempel
Et kryptofond beder en depotudbyder om dens Service Organization Control Type 2 (SOC 2) rapport og gennemgår nøglehåndtering, ændringskontrol og hændelsesreaktion før overførsel af aktiver.
Sjov kendsgerning
Akronymet SOC blev oprindeligt brugt som Service Organization Control, og i dag kalder sponsoren programmet System and Organization Controls. Samme bogstaver, større rækkevidde; AICPA overview forklarer paraplyen.
Opsummering
Kort sagt: Service Organization Control Type 2 (SOC 2) er tillidsrapporten, der gør det muligt for seriøse partnere at sige ja hurtigere.