Cara Menentukan Cakupan Laporan SOC 2 Pertama Anda

Cakupan menentukan berapa biaya laporan SOC 2, berapa lama pengerjaannya, dan seberapa berguna laporan itu bagi pelanggan. Sebagian besar kesalahan pertama kali justru kesalahan cakupan, yang terjadi pada minggu pertama.

Laporan SOC 2 mencakup sebuah sistem: layanan yang dibeli pelanggan beserta semua yang ada di belakangnya. Jika batasnya terlalu lebar, Anda akan menghabiskan berbulan-bulan untuk membuktikan kontrol yang tidak ditanyakan siapa pun. Jika terlalu sempit, laporan tidak akan menjawab pertanyaan pelanggan. Sebagian besar kesalahan SOC 2 pertama yang paling mahal terjadi pada minggu penentuan cakupan.

Keputusan 1: sistem mana

Mulailah dari apa yang dibeli dan diandalkan pelanggan. Bagi sebagian besar perusahaan perangkat lunak, itu adalah platform produksi: aplikasinya, infrastruktur dan penyimpanan datanya, orang-orang yang membangun dan menjalankannya, serta proses yang mereka ikuti. Biasanya di luar cakupan: TI korporat internal yang tidak pernah menyentuh data pelanggan, lini produk lain, dan sistem penjualan.

Tuliskan batasannya sejak awal, karena batasan itu menjadi deskripsi sistem dalam laporan, dan setiap kontrol harus beroperasi di seluruh elemen di dalamnya, setiap hari selama periode observasi.

Keputusan 2: kriteria mana

Keamanan, yaitu kriteria umum CC1 hingga CC9, bersifat wajib. Tambahkan yang lain hanya ketika pelanggan membutuhkannya:

Availability jika pelanggan bergantung pada komitmen ketersediaan layanan.
Confidentiality jika Anda menyimpan data pelanggan yang ditetapkan sebagai rahasia (kebanyakan layanan B2B).
Processing Integrity jika pelanggan mengandalkan Anda untuk memproses data mereka dengan benar: pembayaran, penggajian, penagihan.
Privacy jika Anda memproses informasi pribadi untuk tujuan sendiri dan pelanggan memintanya. Sebagian besar kriterianya tidak memiliki padanan dalam kerangka kerja keamanan, sebagaimana ditunjukkan oleh analisis kami tentang SOC 2 dan ISO 27001.

Foto selotip masking dan meteran gulung di lantai beton tempat sebuah persegi panjang telah ditandai dengan selotip — Tandai batasnya terlebih dahulu sebelum hal lain.

Keputusan 3: organisasi subservice

Penyedia cloud, prosesor pembayaran, atau penyedia basis data terkelola Anda menjalankan kontrol yang Anda andalkan. Anda memilih antara:

Carve-out (paling umum): kontrol mereka dikecualikan; Anda mendeskripsikan untuk apa Anda mengandalkan mereka, dan menunjukkan bahwa Anda meninjau laporan SOC 2 mereka sendiri.
Inklusif: kontrol mereka diuji di dalam laporan Anda. Ini memerlukan kerja sama dari mereka dan jarang terjadi pada penyedia besar.

Keputusan 4: user entity controls yang melengkapi

Daftarkan kontrol yang harus dijalankan pelanggan agar kontrol Anda berfungsi: mengelola akun pengguna mereka sendiri, melindungi kunci API mereka, mengonfigurasi SSO mereka. Buatlah tetap realistis dan sedikit, karena pelanggan membacanya dan tim keamanan mereka akan mempertanyakan daftar yang tidak wajar.

Keputusan 5: Type I atau Type II, dan periodenya

Type I lebih cepat; Type II adalah yang paling diinginkan sebagian besar pelanggan. Untuk Type II pertama, periode tiga hingga enam bulan adalah hal yang umum. Mulailah periode hanya ketika kontrol sudah berjalan selama beberapa minggu, agar bagian awal periode tidak penuh dengan pengecualian.

Daftar periksa penentuan cakupan

Sebelum kickoff dengan firma CPA Anda, siapkan jawaban untuk pertanyaan berikut:

Produk atau layanan mana yang menjadi subjek laporan, dan untuk apa pelanggan mengandalkannya?
Lingkungan mana yang masuk cakupan (hanya produksi, atau juga staging)?
Akun cloud, region, dan penyimpanan data mana saja?
Tim dan peran mana yang mengoperasikan sistem?
Organisasi subservice mana yang diandalkan sistem, dan apakah Anda memiliki laporan mereka?
Kategori Trust Services Criteria mana, dan mengapa?
User entity controls yang melengkapi mana yang perlu dijalankan pelanggan?
Type I dulu, atau langsung Type II? Periode yang mana?
Kerangka kerja atau audit yang sudah ada mana yang bisa Anda gunakan ulang bukti-buktinya?

Jawaban tertulis menjadi draf pertama deskripsi sistem Anda dan menghemat berminggu-minggu bolak-balik. Jika Anda sudah memiliki ISO 27001, laporan kesenjangan ISO 27001 → SOC 2 menjawab pertanyaan terakhir.

Kesalahan cakupan yang paling mahal

Memasukkan TI korporat "untuk jaga-jaga": ini melipatgandakan jumlah sistem yang harus dibuktikan.
Menambahkan Privacy atau Processing Integrity karena terdengar bagus: masing-masing menambah kontrol dan bukti untuk seluruh periode.
Deskripsi sistem yang tidak sesuai kenyataan: auditor menguji apa yang Anda tulis.
Memulai periode sebelum kontrol berjalan: pengecualian di bulan pertama tetap tercantum dalam laporan.

Panduan SOC 2 kami membahas seluruh proses; halaman kerangka kerja SOC 2 mencantumkan setiap kriteria beserta pemetaannya; dan jika Anda sudah memiliki kerangka kerja lain, analisis kesenjangan menunjukkan seberapa jauh kerangka itu membantu Anda.

Pertanyaan

Apa cakupan minimum untuk laporan SOC 2?

Kategori Keamanan (kriteria umum, CC1 hingga CC9) untuk sebuah sistem yang ditetapkan. Availability, Confidentiality, Processing Integrity, dan Privacy bersifat opsional.

Apa itu carve-out dalam SOC 2?

Mengecualikan kontrol organisasi subservice (misalnya kontrol pusat data penyedia cloud Anda) dari laporan, sambil mendeskripsikan apa yang Anda andalkan darinya dan bagaimana Anda memantaunya.

Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.

Menentukan cakupan laporan SOC 2 pertama tanpa berjanji terlalu banyak