SOC 2 parengtis

SOC 2 yra nepriklausomos CPA įmonės ataskaita apie paslaugų organizacijos kontrolės priemones, vertinamas pagal AICPA Patikimumo paslaugų kriterijus. Tai ne įstatymas: jos prašo klientai, dažnai Jungtinėse Valstijose. 1 tipo ataskaita apima kontrolės priemonių sukūrimą tam tikrą dieną, 2 tipo – ir jų veikimą per laikotarpį.

  • SOC 2 – Patikimumo paslaugų kriterijai
  • TSP Section 100 (2017, revised 2022)
  • Reikalavimų kataloge: 51
  • Oficialus tekstas

Ko reikalauja

Pagrindinės prievolės paprastais žodžiais, su straipsniu ar skyriumi, iš kurio jos kyla.

  • CC1–CC5

    Kontrolės aplinka, komunikacija, rizikos vertinimas, stebėsena ir kontrolės veikla, grindžiama COSO principais.

  • CC6

    Loginė ir fizinė prieiga: tapatumo nustatymas, prieigos suteikimas ir panaikinimas, ribų apsauga, perduodami duomenys ir kenkėjiška programinė įranga.

  • CC7–CC9

    Sistemų veikla ir reagavimas į incidentus, pokyčių valdymas ir rizikos mažinimas, įskaitant tiekėjus.

  • A1, C1, PI1, P1–P8

    Pasirenkamos kategorijos: prieinamumas, konfidencialumas, tvarkymo vientisumas ir privatumas, pasirenkamos pagal tai, ką žadate savo klientams.

Kaip tai apima Atitic

Ką produktas daro šiai sistemai, naudodamas tuos pačius įrašus kaip ir visoms kitoms.

  • Bendrieji kriterijai ir pasirenkamos kategorijos kaip reikalavimai; į apimtį neįtraukta pasirenkama kategorija pažymima kaip netaikoma, nurodant priežastį.

  • Kontrolės priemonės iš bibliotekos su patikrinimų planais ir rezultatais, susietos su kriterijais; ISO 27001 susiejimas leidžia pakartotinai panaudoti jau atliktą darbą.

  • Įrodymai su versijomis, laikotarpiu, kurį jie apima, ir peržiūrėtoju bei įrodymų paketai auditoriui.

  • Audito prašymų sąrašai, importuoti iš auditoriaus skaičiuoklės, ir auditoriaus prieiga, apribota tik auditu.

Kas yra kataloge

Atitikties sistemos sritys Atitic ir kiek reikalavimų turi kiekviena. Kai ją pritaikote, kiekvienas reikalavimas tampa eilute, už kurią atsakote ir kurią susiejate su politikomis, įrodymais ir kontrolės priemonėmis.

  • CC1 – Kontrolės aplinka5
  • CC2 – Komunikacija ir informacija3
  • CC3 – Rizikos vertinimas4
  • CC4 – Stebėsenos veikla2
  • CC5 – Kontrolės veikla3
  • CC6 – Loginės ir fizinės prieigos kontrolė8
  • CC7 – Sistemų veikla5
  • CC8 – Pokyčių valdymas1
  • CC9 – Rizikos mažinimas2
  • A1 – Prieinamumas (pasirenkama kategorija)3
  • C1 – Konfidencialumas (pasirenkama kategorija)2
  • PI1 – Tvarkymo vientisumas (pasirenkama kategorija)5
  • P1-P8 – Privatumas (pasirenkama kategorija)8

Susijusios atitikties sistemos: ISO 27001 ISAE 3402

Dažni klausimai

SOC 2 ar ISO 27001?

ISO 27001 yra valdymo sistemos sertifikatas, pripažįstamas visame pasaulyje ir paplitęs Europoje; SOC 2 yra auditoriaus ataskaita apie kontrolės priemones, paplitusi tarp JAV klientų. Didelė dalis darbo sutampa, o susiejimas parodo, kur.

Ar Atitic išduoda SOC 2 ataskaitą?

Ne. Tai gali padaryti tik nepriklausoma CPA įmonė. Atitic parengia jai kontrolės priemones, patikrinimus ir įrodymus.

Kuo skiriasi 1 ir 2 tipo ataskaitos?

1 tipo ataskaita apima, ar kontrolės priemonės tinkamai sukurtos tam tikrą dieną; 2 tipo ataskaita apima ir tai, ar jos veiksmingai veikė per laikotarpį, paprastai nuo šešių iki dvylikos mėnesių.

Santrauka orientacijai, ne teisinė konsultacija. Lemiamas yra oficialus tekstas.

Išbandykite su savo duomenimis

Pritaikykite SOC 2 nemokamu bandomuoju laikotarpiu, susiekite jau turimus įrodymus ir pamatykite, ko dar trūksta.

Pradėti nemokamą bandymą