Wat is SOC (System and Organization Controls) 2 en hoe voldoe je eraan?

Heeft een klant je ooit gevraagd om een assurance auditrapport te leveren? Als vertrouwelijke of privégegevens aan u zijn toevertrouwd of als u cloud computing beheert voor uw klanten, is het belangrijk om hen te voorzien van bewijs dat u voldoet aan SOC (System and Organization Controls).

SOC staat voor System and Organization Controls en is ontwikkeld door het American Institute of CPAs. Het is een vrijwillige nalevingsnorm voor dienstverlenende organisaties, waaronder managed service providers (MSP’s), om vast te leggen hoe zij financiële en beveiligingsgegevens aan klanten rapporteren.

Door te voldoen aan de SOC-normen bouwt u vertrouwen op bij uw klanten, verbetert u uw informatiebeveiligingspraktijken en verschaft u uzelf een concurrentievoordeel.

Wat is SOC 1 compliance?

SOC 1 compliance heeft betrekking op het beheer van financiële informatie voor klanten of partners. Deze compliance beveiligt de financiële overzichten van de gebruikers van een organisatie met betrekking tot interactie, overdracht en opslag.

Als je bedrijf diensten uitbesteedt die van invloed zijn op de interne controle van een ander bedrijf over de financiële verslaglegging, heb je een SOC 1-auditrapport nodig. Voorbeelden van deze diensten zijn:

• Loonverwerking
• SaaS
• Datacenter
• Netwerkbewakingsdiensten

Het SOC 1 auditrapport onderzoekt de opzet van je compliance project op een specifiek moment (maand/dag/jaar). In het rapport wordt gekeken naar je beleid om klantgegevens te beschermen en naar informatiebeveiligingsmaatregelen.

Wat is SOC 2-compliance?

SOC 2-compliance is voor niet-financiële informatie, inclusief beveiligingscontroles en verwerkingsintegriteit.

Een SOC 2 Type 1-rapport beschrijft de systemen van een bedrijf en of het plan voldoet aan de relevante SOC 2 trust services principes. De audit en het rapport vinden op een bepaalde datum plaats.

Een SOC 2 Type 2 (Type ii) nalevingsrapport geeft details over de operationele efficiëntie van systemen. De audit en het rapport vinden plaats over een bepaalde periode (meestal zes maanden).

Pro-tip: Er zijn slechts twee instanties die een SOC 2 Type 2-audit mogen uitvoeren. Dit zijn onafhankelijke registeraccountants of accountantskantoren. Het American Institute of CPAs hanteert normen die het werk van SOC-auditors regelen. Alle audits moeten een collegiale toetsing ondergaan.

SOC 2 Trust Services Principes

Naleving van SOC 2 is afhankelijk van het naleven van de SOC 2-vertrouwensprincipes. Maar afhankelijk van uw bedrijfsvoering is het mogelijk dat de auditor niet alle vijf principes in uw rapport opneemt. Zelfs als dit het geval is, is het raadzaam om inzicht te hebben in alle vijf SOC 2-vertrouwensprincipes.

1. Beveiligings
   De beveiliging geeft aan in hoeverre het systeem beschermd is tegen ongeoorloofde toegang (zowel fysiek als logisch). Veelvoorkomende beveiligingsmaatregelen hebben betrekking op het beperken van logische toegang tot bevoegde personen. Daarnaast gelden er SOC 2-vereisten voor wachtwoorden en regels voor de beveiliging van vestigingen.

2. Beschikbaarheid
   Is het systeem beschikbaar voor gebruik en exploitatie zoals overeengekomen? Bedrijven moeten plannen en procedures voor rampherstel en bedrijfscontinuïteit vastleggen. Hiervoor is het ook noodzakelijk om back-ups te maken en hersteltests uit te voeren.

3. Verwerkingsintegriteit
   De verwerking binnen het systeem moet volledig, nauwkeurig en geautoriseerd zijn. Verwerkingsintegriteit is van belang voor bedrijven die transacties verwerken, zoals betalingen.

4. Vertrouwelijkheid
   Beschermt het systeem vertrouwelijke informatie conform het beleid? Dit kan betrekking hebben op B2B-relaties en het delen van gevoelige gegevens tussen bedrijven onderling.

5. Privacy
   De auditor houdt rekening met de privacynormen bij het verzamelen, gebruiken, bewaren, openbaar maken en/of vernietigen van persoonsgegevens. Let op: privacy is iets anders dan vertrouwelijkheid. Privacy heeft uitsluitend betrekking op persoonsgegevens. Vertrouwelijkheid heeft betrekking op andere soorten gevoelige informatie.

Hoe SOC 2-compliance te bereiken

De ruggengraat van SOC 2-compliance is beveiliging. Je kunt deze stappen volgen voor SOC 2-compliance. 

• Creëer toegangscontroles. Plaats fysieke en logische beperkingen op bedrijfsmiddelen om ongeautoriseerde toegang te voorkomen.
• Een veranderingsbeheerproces opzetten. Stel een gecontroleerd proces op voor het beheren van wijzigingen aan IT-systemen. Er moeten ook methoden zijn om geautoriseerde wijzigingen te voorkomen.
• Controleer de werking van het systeem. Zet controles op die lopende activiteiten bewaken. De processen moeten ook afwijkingen van de procedures detecteren en oplossen.
• Risico's beperken. Methoden invoeren om risico's te identificeren, erop te reageren en ze te beperken.

SOC 2 type 1 vs. SOC 2 type 2

Vergelijkbaar met SOC 1 compliance zijn er SOC 2 Type 1 en Type 2 rapporten.

Een Type 1-rapport beschrijft de systemen van een bedrijf en of het plan voldoet aan de relevante SOC trust principes. De audit en het rapport vinden plaats op een bepaalde datum.

Een SOC 2 Type 2 compliancerapport beschrijft de operationele efficiëntie van deze systemen. De audit en het rapport vinden over een bepaalde periode plaats. Meestal is dat minstens zes maanden.

De SOC 2 Type 2-controlelijst is essentieel voor:

• Toezicht op regelgeving
• Programma's voor leveranciersbeheer
• Intern bestuur
• Risicobeheer

Hoe krijg je een SOC II type 2-audit?

Er zijn slechts twee instanties die een SOC Type 2-audit mogen uitvoeren. Dit zijn onafhankelijke registeraccountants of accountantskantoren. De AICPA heeft normen opgesteld die het werk van SOC-auditors regelen. Bovendien moeten alle AICPA-audits worden onderworpen aan een collegiale toetsing.

De standaarden staan CPA's toe om niet-CPA professionals met relevante informatie in te huren om deel te nemen aan de voorbereiding van de SOC 2 nalevingsaudit. Maar een CPA moet het eindrapport opstellen en uitgeven.

SOC 2 nalevingskosten

Een belangrijke kostenfactor is of je bedrijf een Type 1- of Type 2-audit nodig heeft. Aangezien de beoordelaar gedurende enige tijd moet controleren of aan de SOC 2 Type 2 eisen wordt voldaan, is dit duurder.

Om je te helpen bij je budgettering, volgen hier enkele algemene prijsrichtlijnen: SOC 2 Type 1-rapporten beginnen meestal rond de $5.000, terwijl SOC 2 Type 2-rapporten meestal rond de $30.000 beginnen.

Andere kostenfactoren voor naleving van SOC 2 Type 2 zijn onder andere:

• Aantal beginselen van vertrouwensdiensten in de controle
• Omvang organisatie
• Locatie
• Risico voor de industrie
• De complexiteit van systemen en intern controlebeleid
• Uitbestede diensten voor auditvoorbereiding en gereedheidsbeoordelingen
• Extra beveiligingstools en personeelstraining die u nodig hebt om gaten te dichten en te voldoen aan de compliance-eisen

Als je al deze factoren in aanmerking neemt, kan het bedrijven tot $100.000 kosten om aan de SOC 2-compliancevereisten te voldoen.