كيفية الحصول على تقرير SOC 2
حسب Paul Gillet · آخر تحديث 2026-10-17
إذا سألك أحد العملاء "هل أنت ملتزم بمعيار SOC 2؟"، فإنه يطلب تقرير SOC 2: رأي مستقل تصدره شركة محاسبة قانونية معتمدة (CPA) حول ضوابطك، وفق معايير التأكيد الصادرة عن AICPA. لا توجد شهادة SOC 2 ولا درجة نجاح محددة. يصف التقرير نظامك وضوابطك واختبارات المدقق، ويقرأه فريق الأمن لدى العميل ليقرر ما إذا كان سيأمنك على بياناته.
ما الذي يغطيه التقرير
يختبر SOC 2 ضوابطك وفق معايير خدمات الثقة الصادرة عن AICPA (نسخة 2017، مع تنقيح نقاط التركيز في 2022). وتضم خمس فئات:
- الأمن (المعايير المشتركة، CC1–CC9): مشمول دائماً. يغطي الحوكمة، وتقييم المخاطر، والمراقبة، والوصول المنطقي والمادي، والعمليات، وإدارة التغيير، ومخاطر الموردين.
- التوافر (A1): السعة، والنسخ الاحتياطي، والاسترداد. أضفه إذا كان العملاء يعتمدون على وقت تشغيل خدمتك.
- السرية (C1): تحديد المعلومات السرية والتخلص منها. شائعة لدى منتجات B2B التي تحتفظ ببيانات العملاء.
- سلامة المعالجة (PI1): معالجة كاملة ودقيقة وفي وقتها. ذات صلة بخدمات المدفوعات والرواتب ومعالجة البيانات.
- الخصوصية (P1–P8): الإشعار، والموافقة، والاحتفاظ بالمعلومات الشخصية والإفصاح عنها. قليلة هي الأطر الأمنية التي تغطيها؛ وأقرب ما يشبهها هو GDPR.
تتضمن معظم التقارير الأولى الأمن وحده، أو الأمن مع التوافر والسرية. أضف الفئات عندما يطلبها العملاء، لا افتراضياً: فكل فئة تضيف ضوابط تحتاج إلى تشغيل وأدلة تحتاج إلى جمع.
النوع الأول أم النوع الثاني؟
- يفيد تقرير النوع الأول بأن ضوابطك صُمّمت بشكل مناسب وكانت قائمة في تاريخ محدد. وهو أسرع، ومفيد كخطوة أولى عندما لا تحتمل الصفقة الانتظار.
- يفيد تقرير النوع الثاني بأن ضوابطك صُمّمت وعملت بفعالية خلال فترة، وغالباً من 3 إلى 12 شهراً. وهو ما تريده فعلياً فرق مخاطر الموردين لدى معظم العملاء، لأنه يُثبت أن الضوابط تعمل في الواقع.
المسار الشائع هو تقرير من النوع الأول فور جاهزيتك، ثم تقرير أول من النوع الثاني يغطي فترة من 3 إلى 6 أشهر، ثم تقارير سنوية من النوع الثاني تغطي 12 شهراً.
الخطوات
- تحديد النظام ضمن النطاق: المنتج أو الخدمة التي يشتريها العملاء، إضافة إلى البنية التحتية والأفراد والعمليات والبيانات التي تقف خلفها. اقصره على ما يعتمد عليه العملاء؛ فالنطاق المحدد أقل تكلفة في التشغيل وأسهل في الشرح.
- اختيار المعايير: الأمن إضافة إلى أي فئات يطلبها عملاؤك.
- إجراء تقييم للجاهزية وفق المعايير. استخدم تحليل الفجوات إذا كنت تتبع إطاراً آخر، ثم أكّد النتائج مع شركة المحاسبة أو مستشار.
- سد الفجوات وتوثيق كل شيء: السياسات، وتقييم المخاطر، ومراجعات الوصول، وإدارة التغيير، ومراجعات الموردين، والاستجابة للحوادث، والتعيين وإنهاء الخدمة، والنسخ الاحتياطي. يختبر المدققون ما تفعله مقارنةً بما تقول إنك تفعله، لذلك يجب أن تتطابق الوثائق مع الواقع.
- اختيار شركة محاسبة قانونية معتمدة (CPA). لا تصدر تقارير SOC 2 إلا شركات CPA المرخصة. قارن الخبرة مع شركات مشابهة لشركتك، والعمق التقني للمدققين، وكيفية جمع الأدلة.
- النوع الأول (اختياري): يتحقق المدقق من التصميم والتنفيذ في نقطة زمنية محددة.
- تشغيل فترة الرصد للنوع الثاني: شغّل كل ضابط واحتفظ بالأدلة أثناء ذلك.
- العمل الميداني وإصدار التقرير: يختار المدقق عينات من الأدلة من الفترة، ويناقش معك أي استثناءات، ثم يصدر التقرير، عادةً بعد بضعة أسابيع من انتهاء الفترة.
- الحفاظ على استمراريته: يغطي تقرير SOC 2 الماضي، لذا يتوقع العملاء تقريراً جديداً كل عام، دون فجوة بين الفترات.
الجدول الزمني المعتاد
بالنسبة لشركة برمجيات صغيرة تتمتع بممارسات أمنية معقولة، تستغرق الجاهزية والمعالجة عادةً من شهر إلى ثلاثة أشهر، ويمكن أن يلي ذلك تقرير من النوع الأول مباشرة، ويصدر التقرير الأول من النوع الثاني بعد ثلاثة إلى ستة أشهر من ذلك. النطاقات الأكبر، أو الفئات الأكثر، أو العمليات غير الناضجة، تُطيل كل مرحلة. وتعامل مع أي وعد من مورد بـ"SOC 2 خلال أسابيع" على أنه وعد بالنوع الأول فقط.
الأدلة التي يطلبها المدققون
اختبار النوع الثاني يعتمد في معظمه على أخذ العينات. توقع طلبات مثل هذه، مستمدة من فترة الرصد:
- الموظفون الجدد والمغادرون، مع إثبات منح الوصول بعد الموافقة وإلغائه في الوقت المناسب؛
- مراجعات دورية لوصول المستخدمين للأنظمة الرئيسية؛
- تذاكر التغيير التي تُظهر المراجعة والاختبار والموافقة قبل الإنتاج؛
- نتائج فحوصات الثغرات واختبارات الاختراق، مع المعالجة؛
- تقييم المخاطر ومراجعة الإدارة له؛
- سجلات العناية الواجبة للموردين الحرجين؛
- تذاكر الحوادث، وأدلة على اختبار الاستجابة للحوادث؛
- اختبارات النسخ الاحتياطي والاستعادة، وتنبيهات المراقبة مع المتابعة؛
- سجلات التدريب على التوعية الأمنية، والسياسات الموقعة.
أمور يقع فيها الناس دون قصد
- المنظمات الفرعية: ضوابط مزود السحابة ليست ضوابطك. تستخدم معظم التقارير أسلوب الاستبعاد: تذكر المزود، وتعتمد على تقرير SOC 2 الخاص به، وتُظهر أنك تراجعه.
- ضوابط كيانات المستخدم المكملة: يسرد التقرير الضوابط التي يجب على عملائك تشغيلها بأنفسهم، مثل إدارة مستخدميهم. اجعلها واقعية.
- الاستثناءات: قد يتضمن تقرير النوع الثاني استثناءات (عينات فاشلة) ويظل مفيداً. اشرحها بوضوح في ردّ الإدارة بدلاً من إخفائها.
- تمدد النطاق: يجب أن يحقق كل نظام ضمن النطاق كل ضابط، كل يوم من أيام الفترة.
كيف يساعدك هذا الموقع
تربط ControlMapping كل معيار من معايير SOC 2 بالأطر الأخرى التي يغطيها، لترى ما يمكن أن ينتقل من أعمالك الحالية. نص المعايير حقوق نشر لدى AICPA، لذا نعرض ملخصاتنا الخاصة من سطر واحد، وكل رابط إلى SOC 2 هو تقدير تحريري من ControlMapping مع سببه: الربط الصادرة عن AICPA ليست مرخصة بشكل مفتوح. استخدمه للتخطيط، لا كدليل تدقيق.
لديك إطار آخر بالفعل؟
عدد متطلبات SOC 2 التي يُربط بها كل إطار قد تتبعه بالفعل. افتح تقرير فجوات للاطلاع على القائمة متطلباً بمتطلب.
| إذا كان لديك بالفعل | متطلبات SOC 2 المربوطة | ذو صلة فضفاضة فقط | لا يوجد ربط | |
|---|---|---|---|---|
| ISO 27001 | 41 من 61 | 0 | 20 | تقرير الفجوات → · مقارنة |
| NIST CSF 2.0 | 37 من 61 | 0 | 24 | تقرير الفجوات → · مقارنة |
| PCI DSS | 37 من 61 | 0 | 24 | تقرير الفجوات → · مقارنة |
| 800-53 | 37 من 61 | 0 | 24 | تقرير الفجوات → |
| NIS2 | 37 من 61 | 0 | 24 | تقرير الفجوات → · مقارنة |
| DORA | 34 من 61 | 2 | 25 | تقرير الفجوات → |
| HIPAA | 33 من 61 | 3 | 25 | تقرير الفجوات → · مقارنة |
| GDPR | 31 من 61 | 4 | 26 | تقرير الفجوات → |
| CMMC | 30 من 61 | 2 | 29 | تقرير الفجوات → |
| CPS 234 | 24 من 61 | 3 | 34 | تقرير الفجوات → |
| CIS v8.1 | 22 من 61 | 5 | 34 | تقرير الفجوات → |
| Essential Eight | 11 من 61 | 9 | 41 | تقرير الفجوات → |
| Cyber Essentials | 9 من 61 | 1 | 51 | تقرير الفجوات → |
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. تُحسب الأعداد من البيانات نفسها المستخدمة في تحليل الفجوات؛ والمطابقة تعني متطلبات مرتبطة، ولا تعني أن أحدها يستوفي الآخر.
الأسئلة
هل SOC 2 شهادة؟
لا. تقرير SOC 2 تأكيد: رأي شركة CPA حول ضوابطك. لا أحد "حاصل على شهادة SOC 2"، رغم شيوع العبارة.
هل أحتاج إلى SOC 2 من النوع الأول أم الثاني؟
يطلب معظم العملاء النوع الثاني، لأنه يختبر ما إذا كانت الضوابط تعمل خلال فترة. والنوع الأول خطوة أولى معقولة عندما يقبله العميل بينما تجري فترة النوع الثاني.
هل يفرض القانون SOC 2؟
لا. إنه توقع في السوق، يصدر في معظمه عن عمليات مخاطر الموردين لدى العملاء في الولايات المتحدة. ويمكن أن تجعله العقود إلزامياً عليك.
ليست نصيحة قانونية أو في الامتثال. راجع النص الرسمي ومدقق الحسابات أو المقيّم أو الجهة التنظيمية قبل الاعتماد عليه.