attestation
SOC 2
Raport licencjonowanego audytora o Twoich zabezpieczeniach, oparty na amerykańskich standardach audytu i o który klienci proszą w ankietach sprzedażowych. Żaden przepis go nie wymaga, a nowe kryteria zaproponowano w październiku 2026 r. Przeczytaj, jeśli klient poprosił Cię o taki raport.
- czym jest
- Raport poświadczający wydawany przez firmę CPA według standardów AICPA.
- kogo dotyczy
- Organizacje usługowe, które go wybierają, zwykle dlatego, że poprosił o to klient.
- kary
- Brak z mocy prawa. Opinia z zastrzeżeniem lub brak raportu mogą kosztować kontrakt.
- waga prawna
- Brak w prawie UE. Może wspierać Twoje własne wykazanie zgodności, ale go nie zastąpi.
- stan
- AICPA wymienia projekty proponowanych kryteriów na 2027 r., z datą 26 października 2026 r.
podstawa RODO art. 24(1); AICPA i CIMA, strona zestawu SOC
kto o niego pyta i co dowodzi
Firma z UE zwykle spotyka SOC 2 w ankiecie sprzedażowej. Raport to oświadczenie audytora o Twoich zabezpieczeniach, więc dowodzi tylko tego, co audytor przetestował. Żaden przepis UE opisany na tej stronie go nie wymaga. Pierwsze pytanie brzmi, co klient zaakceptuje, bo odpowiedź może oszczędzić Ci roku pracy.
Jest pięć kategorii kryteriów: bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. Bezpieczeństwo jest w każdym raporcie, pozostałe są opcjonalne. Wybór kategorii zmienia wielkość pracy, więc wybierz je razem z klientem, który o to poprosił.
podstawa kryteria AICPA w postaci powszechnie opisywanej. Dokument płatny lub zamknięty, nie odczytany ponownie w źródle.
dwa typy raportu
typ I patrzy na datę, typ II na okres
- 1początek okresu: od tego momentu zabezpieczenia muszą działać
- 2jedna data: czy zabezpieczenia były właściwie zaprojektowane w tym dniu?
- 3koniec okresu: czy działały przez cały czas? Wyobraź sobie tu okres 12 miesięcy; długość ustala się z audytorem.
podstawa AICPA, w powszechnym opisie. Kryteria są płatne i nie były ponownie czytane w źródle.
Raport typu II wymaga, by zabezpieczenia działały, z dowodami, przez cały okres. Najwcześniejszy termin zależy więc od tego, kiedy zaczęły działać Twoje zabezpieczenia, bez względu na to, ile jesteś gotów zapłacić.
podstawa AICPA w postaci powszechnie opisywanej. Nie odczytano ponownie w źródle.
zacznij od zabezpieczeń
wykonaj pracę raz i kup dowód, o który proszą
- 1wykonaj pracę nad zabezpieczeniamidziewięć wierszy mapy
- 2zachowaj dowodydatowane, z właścicielem, w aktach
te same akta zasilają
- ISO 27001certyfikat dla zakresu
- SOC 2raport audytora za okres
- Twoją własną odpowiedźdla organu lub klienta
podstawa praktyka
Praca nad zabezpieczeniami jest w obu przypadkach ta sama, jak pokazuje mapa. Liczby na niej to powszechnie publikowane numery z kryteriów z 2017 r., więc poproś audytora o ich potwierdzenie i zapytaj, jak propozycja na 2027 r. wpłynie na Twój okres.
podstawa praktyka
sprawdź sam
twój następny krok
Zapytaj klienta, który o to poprosił, czego potrzebuje, a potem sprawdź, czy dowody, które już masz, odpowiadają na jego pytanie.