Service Organization Control Type 2 (SOC 2) là gì?

Service Organization Control Type 2 (SOC 2) là một cuộc kiểm toán độc lập nhằm kiểm tra xem công ty cung cấp dịch vụ có bảo vệ dữ liệu khách hàng và duy trì độ tin cậy của hệ thống trong một khoảng thời gian hay không. Nó xem cách công ty thực sự vận hành, không chỉ những gì họ trình bày trên slide. Hãy nghĩ về nó như một bài kiểm tra sức chịu đựng kéo dài về bảo mật và độ tin cậy, không phải một buổi ôn vội trong một đêm. Muốn biết ai định nghĩa nó? Xem tổng quan ở đây: System and Organization Controls.

Hiểu lầm

“A company with Service Organization Control Type 2 (SOC 2) can never get breached.” Không đúng. Báo cáo xác nhận các kiểm soát được thiết kế và đang hoạt động, nhưng đó không phải là tấm chắn phép thuật. Bạn vẫn cần thói quen bảo mật tốt, giám sát và ý thức chung.

Cách Service Organization Control Type 2 (SOC 2) hoạt động

Dưới đây là từng bước cho một nhà lưu ký tiền mã hóa, sàn giao dịch, hoặc dịch vụ ví khi trải qua cuộc kiểm toán Service Organization Control Type 2 (SOC 2):

Step1: Chọn phạm vi và một kiểm toán viên độc lập. Ví dụ: lưu ký, quản lý khóa, phản ứng sự cố.
Step2: Ánh xạ các kiểm soát với Trust Services Criteria: bảo mật, khả năng sẵn sàng, toàn vẹn xử lý, tính bảo mật, quyền riêng tư.
Step3: Vận hành các kiểm soát đó trong nhiều tháng trong khi kiểm toán viên kiểm tra chúng trong toàn bộ khoảng thời gian, không chỉ vào một ngày.
Step4: Kiểm toán viên phát hành một báo cáo kèm ý kiến, mô tả hệ thống, và kết quả kiểm tra chi tiết, bao gồm cả các ngoại lệ.
Step5: Công ty chia sẻ báo cáo theo thỏa thuận NDA với khách hàng và đối tác khi họ yêu cầu.

Đó là tất cả. Nếu bạn muốn nguồn chính thức, trang AICPA này tóm tắt chương trình: AICPA SOC.

Tại sao Service Organization Control Type 2 (SOC 2) quan trọng

Vậy điều gì khiến nó đáng để bạn quan tâm?

Lợi ích: Rút ngắn thủ tục thẩm định nhà cung cấp. Một báo cáo có thể trả lời hàng tá mục trong bảng câu hỏi về bảo mật.
Góc nhìn: Các tổ chức mong đợi điều này. Nhiều quỹ, kho bạc, và đối tác fintech coi SOC 2 Type 2 là điều cần có.
Tính liên quan: Bạn sẽ thấy nó ở các nhà lưu ký, sàn giao dịch, SaaS phân tích, và hạ tầng ví. Ví dụ, xem cách Fireblocks nêu bật các kiểm toán của họ ở đây: Fireblocks security and compliance.

Mẹo

Luôn kiểm tra trước ngày bắt đầu và kết thúc của kỳ kiểm toán và phạm vi. Đảm bảo đó là Type 2, không phải Type 1, và các mục liên quan đến tiền mã hóa như quản lý khóa, sử dụng HSM, và phản ứng sự cố nằm trong phạm vi.

Đặc điểm chính của Service Organization Control Type 2 (SOC 2)

Những điểm phân biệt, tóm tắt nhanh để bạn lướt qua:

Kỳ: Bao phủ một khoảng ngày để chứng minh các kiểm soát hoạt động theo thời gian.
Tiêu chí: Sử dụng năm Trust Services Criteria để xác định những gì được kiểm tra.
Phạm vi: Tập trung vào các kiểm soát, không phải tuyên bố tiếp thị hay danh sách tính năng.
Kiểm toán viên: Thực hiện bởi một công ty CPA độc lập có kinh nghiệm xác nhận.
Chia sẻ: Báo cáo đầy đủ thường được chia theo NDA, không công bố công khai.

Tuyên bố: Phát biểu của ban quản lý về hệ thống và các kiểm soát.
Ý kiến: Kết luận của kiểm toán viên về thiết kế và hiệu quả hoạt động.
Mô tả: Làm rõ cách hệ thống hoạt động bằng ngôn ngữ đơn giản.
Kiểm tra: Mỗi kiểm soát, cách nó được kiểm tra, và kết quả.
CUCs: Các kiểm soát bổ sung do người dùng thực hiện mà bạn phải thực hiện phía mình.

Muốn xem cách các công ty chia sẻ những báo cáo này theo NDA? Nhiều công ty lưu trữ báo cáo trong các cổng như AWS Artifact: AWS Artifact.

Biến thể

Cùng họ, các phiên bản khác nhau:

Type1: Kiểm toán viên kiểm tra thiết kế kiểm soát tại một thời điểm duy nhất.
Type2: Kiểm toán viên kiểm tra thiết kế và hiệu quả hoạt động trên nhiều tháng.
SOC1: Tập trung vào kiểm soát báo cáo tài chính, không phải bảo mật chung.
SOC3: Bản tóm tắt thân thiện với công chúng của SOC 2 mà bạn có thể chia sẻ rộng rãi.

Nhắc nhở

SOC 2 liên quan đến độ tin cậy trong vận hành theo thời gian. Nó không chứng nhận rằng một sản phẩm không có lỗi hoặc rằng tài sản trên chuỗi không có rủi ro.

Ví dụ

Một quỹ tiền mã hóa yêu cầu nhà cung cấp lưu ký cung cấp báo cáo Service Organization Control Type 2 (SOC 2) và xem xét quản lý khóa, kiểm soát thay đổi, và phản ứng sự cố trước khi chuyển bất kỳ tài sản nào.

Sự thật thú vị

Từ viết tắt SOC ban đầu được dùng cho Service Organization Control, và ngày nay nhà tài trợ gọi chương trình là System and Organization Controls. Cùng chữ viết tắt, phạm vi rộng hơn; AICPA overview giải thích chương trình tổng quát.

Tổng kết

Tóm tắt: Service Organization Control Type 2 (SOC 2) là báo cáo tin cậy giúp các đối tác nghiêm túc đồng ý nhanh hơn.

Service Organization Control Type 2 (SOC 2)