搜索让世界变的简单

SOC 2 是美国注册会计师协会 (AICPA) 为服务组织制定的自愿合规标准，规定了组织应如何管理客户数据。该标准基于以下信任服务标准：安全性、可用性、处理完整性、机密性、隐私。SOC 2 报告针对每个组织的独特需求量身定制。根据其特定的业务实践，每个组织都可以设计遵循一个或多个信任原则的控制。这些内部报告为组织及其监管机构、业务合作伙伴和供应商提供有关组织如何管理其数据的重要信息。SOC 2 报告有两种类型：

• 类型 I描述组织的系统以及系统设计是否符合相关的信任原则。
• 第二类详细说明了这些系统的运行效率。

为什么 SOC 2 合规性很重要？

符合 SOC 2 要求表明组织保持了高水平的信息安全。严格的合规要求（通过现场审核测试）有助于确保以负责任的方式处理敏感信息。

遵守 SOC 2 可提供：

• 改进的信息安全实践——通过 SOC 2 指南，组织可以更好地防御网络攻击并防止违规行为。
• 竞争优势——因为客户更愿意与能够证明他们拥有可靠的信息安全实践的服务提供商合作，尤其是在 IT 和云服务方面。

谁可以执行 SOC 审核？

SOC 审计只能由独立的 CPA（注册会计师）或会计师事务所进行。AICPA 制定了旨在规范 SOC 审核员工作的专业标准。此外，必须遵循与审计的计划、执行和监督有关的某些指导方针。所有 AICPA 审计都必须经过同行评审。

注册会计师组织可以聘请具有相关信息技术 (IT) 和安全技能的非注册会计师专业人员来准备 SOC 审计，但最终报告必须由注册会计师提供和披露。如果注册会计师进行的 SOC 审核成功，服务机构可以在其网站上添加 AICPA 徽标。

SOC 2 合规要求：其他标准

安全涵盖了基础知识。但是，如果您的组织在金融或银行业运营，或者在隐私和保密性至关重要的行业中运营，您可能需要满足更高的合规标准。客户更喜欢完全符合所有五项 SOC 2 原则的服务提供商。这表明您的组织坚定地致力于信息安全实践。

除了基本的安全原则之外，以下是如何遵守其他 SOC 2 原则：

• 可用性——客户能否按照约定的使用条款和服务水平访问系统？
• 处理完整性——如果公司提供金融或电子商务交易，审计报告应包括旨在保护交易的管理细节。例如，传输是否加密？如果公司提供 IT 服务，例如托管和数据存储，如何在这些服务中维护数据完整性？
• 机密性——对数据的共享方式是否有任何限制？例如，如果贵公司有处理个人身份信息 (PII) 或受保护的健康信息 (PHI) 的具体说明，则应将其包含在审计文件中。该文件应指定数据存储、传输和访问方法和程序，以遵守员工程序等隐私政策。
• 隐私——组织如何收集和使用客户信息？公司的隐私政策必须与实际操作程序一致。例如，如果一家公司声称每次收集数据时都会警告客户，那么审计文件必须准确地描述如何在公司网站或其他渠道上提供警告。个人数据管理必须至少遵循AICPA 的隐私管理框架(PMF)。

SOC 1 与 SOC 2

SOC 1 和 SOC 2 是两个不同的合规标准，具有不同的目标，均由 AICPA 监管。SOC 2 不是 SOC 1 的“升级”。下表解释了 SOC 1 和 SOC 2 之间的区别。