Wat is Service Organization Control Type 2 (SOC 2)?
Service Organization Control Type 2 (SOC 2) is een onafhankelijke audit die controleert of een dienstverlenend bedrijf klantgegevens beschermt en zijn systemen betrouwbaar houdt over een periode. Het kijkt naar hoe het bedrijf daadwerkelijk opereert, niet alleen wat er op een presentatie staat. Zie het als een seizoenslange stresstest voor beveiliging en betrouwbaarheid, niet een éénmalige toets. Benieuwd wie het definieert? Zie hier het brede overzicht: System and Organization Controls.
“Een bedrijf met Service Organization Control Type 2 (SOC 2) kan nooit worden aangetast.” Niet waar. Het rapport bevestigt dat controles zijn ontworpen en werken, maar het is geen magisch schild. Je hebt nog steeds goede beveiligingsgewoonten, monitoring en gezond verstand nodig.
Hoe Service Organization Control Type 2 (SOC 2) werkt
Hier is het stappenplan voor een crypto bewaarder, beurs of wallet als dienstverlener die een Service Organization Control Type 2 (SOC 2) audit doorloopt:
- Stap 1: Kies de reikwijdte en een onafhankelijke auditor. Voorbeeld: custody, sleutelbeheer, incidentrespons.
- Stap 2: Koppel controles aan de Trust Services Criteria: beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid, privacy.
- Stap 3: Voer die controles maandenlang uit terwijl auditors ze gedurende de hele periode testen, niet alleen op één datum.
- Stap 4: Auditors geven een rapport uit met oordeel, systeemomschrijving en gedetailleerde testresultaten, inclusief eventuele uitzonderingen.
- Stap 5: Het bedrijf deelt het rapport onder een NDA met klanten en partners die erom vragen.
Dat is het. Als je de formele bron wilt, beschrijft deze AICPA pagina het programma: AICPA SOC.
Waarom Service Organization Control Type 2 (SOC 2) belangrijk is
Waarom is het de moeite waard?
- Voordeel: Snellere leveranciers due diligence. Eén rapport kan tientallen vragen uit beveiligingsvragenlijsten beantwoorden.
- Perspectief: Instellingen verwachten het. Veel fondsen, schatkisten en fintech partners zien SOC 2 Type 2 als een minimale vereiste.
- Relevantie: Je ziet het bij bewaarders, beurzen, analytics SaaS en walletinfrastructuur. Bijvoorbeeld, kijk hoe Fireblocks zijn audits hier benadrukt: Fireblocks security and compliance.
Controleer altijd eerst de auditperiode en de reikwijdte. Zorg dat het Type 2 is, niet Type 1, en dat crypto specifieke zaken zoals sleutelbeheer, gebruik van HSM en incidentrespons binnen de scope vallen.
Belangrijkste kenmerken van Service Organization Control Type 2 (SOC 2)
Wat het onderscheidt, in korte punten die je snel kunt scannen:
- Periode: Dekt een datumbereik om aan te tonen dat controles over een periode effectief waren.
- Criteria: Gebruikt vijf Trust Services Criteria die aangeven wat getest wordt.
- Scope: Richt zich op controles, niet op marketingclaims of functielijsten.
- Auditor: Uitgevoerd door een onafhankelijk CPA kantoor met ervaring in attestatie.
- Delen: Het volledige rapport wordt meestal onder NDA gedeeld, niet openbaar geplaatst.
- Verklaring: Managementverklaring over het systeem en de controles.
- Oordeel: De conclusie van de auditor over ontwerp en operationele effectiviteit.
- Beschrijving: Hoe het systeem werkt in gewone taal.
- Tests: Elke controle, hoe deze getest is, en de resultaten.
- CUC's: Complementaire gebruikerscontroles die je aan jouw kant moet uitvoeren.
Wil je zien hoe bedrijven deze onder NDA delen? Veel bedrijven plaatsen rapporten in portals zoals AWS Artifact.
Varianten
Zelfde familie, verschillende varianten:
- Type 1: Auditor controleert het ontwerp van controles op één moment in de tijd.
- Type 2: Auditor controleert ontwerp en operationele effectiviteit over meerdere maanden.
- SOC 1: Richt zich op controles voor financiële rapportage, niet op algemene beveiliging.
- SOC 3: Een publiekvriendelijke samenvatting van SOC 2 die je breed kunt delen.
SOC 2 gaat over vertrouwen in de operatie over tijd. Het certificeert niet dat een product foutloos is of dat on chain activa zonder risico zijn.
Voorbeeld
Een crypto fonds vraagt een custody provider om het Service Organization Control Type 2 (SOC 2) rapport en beoordeelt sleutelbeheer, wijzigingsbeheer en incidentrespons voordat er middelen worden overgemaakt.
Leuk weetje
De afkorting SOC werd oorspronkelijk gebruikt voor Service Organization Control, en vandaag noemt de sponsor het programma System and Organization Controls. Zelfde letters, ruimere reikwijdte; AICPA overview legt het overkoepelende programma uit.
Samenvatting
Kort gezegd: Service Organization Control Type 2 (SOC 2) is het vertrouwensrapport waarmee serieuze partners sneller ja kunnen zeggen.