Cara mendapatkan laporan SOC 2

Menurut Paul Gillet · Diperbarui 2026-10-17

Jika pelanggan bertanya "apakah Anda patuh SOC 2?", yang mereka minta adalah laporan SOC 2: opini independen dari firma CPA terhadap kontrol Anda, yang diterbitkan berdasarkan standar atestasi AICPA. Tidak ada sertifikat SOC 2 dan tidak ada nilai kelulusan. Laporan tersebut menjelaskan sistem Anda, kontrol Anda, dan pengujian auditor, dan tim keamanan pelanggan membacanya untuk memutuskan apakah mereka mempercayakan data mereka kepada Anda.

Isi laporan

SOC 2 menguji kontrol Anda terhadap Trust Services Criteria AICPA (2017, dengan poin fokus yang direvisi pada 2022). Ada lima kategori:

• Security (common criteria, CC1–CC9): selalu disertakan. Mencakup tata kelola, penilaian risiko, pemantauan, akses logis dan fisik, operasi, manajemen perubahan, dan risiko vendor.
• Availability (A1): kapasitas, cadangan, dan pemulihan. Tambahkan jika pelanggan bergantung pada uptime Anda.
• Confidentiality (C1): identifikasi dan pemusnahan informasi rahasia. Umum untuk produk B2B yang menyimpan data pelanggan.
• Processing Integrity (PI1): pemrosesan yang lengkap, akurat, dan tepat waktu. Relevan untuk layanan pembayaran, penggajian, dan pemrosesan data.
• Privacy (P1–P8): pemberitahuan, persetujuan, retensi, dan pengungkapan informasi pribadi. Sedikit kerangka kerja keamanan yang mencakupnya; GDPR yang paling mendekati.

Sebagian besar laporan pertama hanya mencakup Security, atau Security ditambah Availability dan Confidentiality. Tambahkan kategori ketika pelanggan memintanya, bukan secara default: setiap kategori menambah kontrol yang harus dijalankan dan bukti yang harus dikumpulkan.

Type I atau Type II?

• Laporan Type I menyatakan bahwa kontrol Anda dirancang dengan tepat dan telah diterapkan pada satu tanggal. Prosesnya lebih cepat, dan berguna sebagai langkah awal ketika kesepakatan tidak bisa menunggu.
• Laporan Type II menyatakan bahwa kontrol Anda dirancang dan dioperasikan secara efektif selama suatu periode, biasanya 3 hingga 12 bulan. Inilah yang sebenarnya diinginkan tim risiko vendor sebagian besar pelanggan, karena menunjukkan bahwa kontrol berjalan dalam praktik.

Jalur yang umum adalah Type I begitu Anda siap, lalu Type II pertama yang mencakup periode 3 hingga 6 bulan, kemudian laporan Type II tahunan yang mencakup 12 bulan.

Langkahnya

1. Tentukan sistem dalam cakupan: produk atau layanan yang dibeli pelanggan, beserta infrastruktur, orang, proses, dan data di baliknya. Batasi pada hal-hal yang diandalkan pelanggan; cakupan yang ringkas lebih murah dijalankan dan lebih mudah dijelaskan.
2. Pilih kriteria: Security ditambah kategori lain yang diminta pelanggan Anda.
3. Jalankan penilaian kesiapan terhadap kriteria. Gunakan analisis kesenjangan jika Anda sudah mengikuti kerangka kerja lain, lalu konfirmasikan dengan firma CPA atau konsultan.
4. Tutup kesenjangan dan dokumentasikan: kebijakan, penilaian risiko, tinjauan akses, manajemen perubahan, tinjauan vendor, respons insiden, onboarding dan offboarding, cadangan. Auditor menguji apa yang Anda lakukan terhadap apa yang Anda nyatakan, jadi dokumennya harus sesuai dengan kenyataan.
5. Pilih firma CPA. Hanya firma CPA berlisensi yang dapat menerbitkan laporan SOC 2. Bandingkan pengalaman dengan perusahaan yang serupa dengan Anda, kedalaman teknis auditornya, dan bagaimana bukti akan dikumpulkan.
6. Type I (opsional): auditor memeriksa desain dan implementasi pada satu titik waktu.
7. Jalankan periode observasi untuk Type II: operasikan setiap kontrol dan simpan buktinya selama berjalan.
8. Fieldwork dan laporan: auditor mengambil sampel bukti dari periode tersebut, membahas setiap pengecualian dengan Anda, dan menerbitkan laporan, biasanya beberapa minggu setelah periode berakhir.
9. Jaga agar tetap berjalan: laporan SOC 2 mencakup masa lalu, sehingga pelanggan mengharapkan laporan baru setiap tahun, tanpa celah antarperiode.

Perkiraan jadwal

Untuk perusahaan perangkat lunak kecil dengan kebersihan keamanan yang memadai, kesiapan dan remediasi umumnya memakan waktu satu hingga tiga bulan, Type I dapat langsung menyusul, dan Type II pertama tiba tiga hingga enam bulan setelah itu. Cakupan yang lebih besar, lebih banyak kategori, atau proses yang belum matang akan memperpanjang setiap tahap. Anggap setiap janji vendor tentang "SOC 2 dalam hitungan minggu" sebagai janji tentang Type I.

Bukti yang diminta auditor

Pengujian Type II sebagian besar berupa pengambilan sampel. Bersiaplah untuk permintaan seperti berikut, yang diambil dari periode observasi:

• karyawan baru dan yang keluar, dengan bukti bahwa akses diberikan setelah persetujuan dan dicabut tepat waktu;
• tinjauan akses pengguna berkala untuk sistem utama;
• tiket perubahan yang menunjukkan peninjauan, pengujian, dan persetujuan sebelum masuk ke produksi;
• hasil pemindaian kerentanan dan uji penetrasi, beserta remediasinya;
• penilaian risiko dan tinjauannya oleh manajemen;
• catatan uji tuntas (due diligence) vendor untuk pemasok kritis;
• tiket insiden, dan bukti pengujian respons insiden;
• hasil uji cadangan dan pemulihan, serta peringatan pemantauan beserta tindak lanjutnya;
• catatan pelatihan kesadaran keamanan dan kebijakan yang telah ditandatangani.

Hal-hal yang sering terlewat

• Organisasi sublayanan: kontrol penyedia cloud Anda bukan milik Anda. Sebagian besar laporan menggunakan metode carve-out: Anda mencantumkan penyedia, mengandalkan laporan SOC 2 miliknya, dan menunjukkan bahwa Anda meninjaunya.
• Complementary user entity controls: laporan mencantumkan kontrol yang harus dijalankan sendiri oleh pelanggan Anda, misalnya mengelola pengguna mereka sendiri. Pastikan kontrol tersebut realistis.
• Pengecualian: laporan Type II dapat memuat pengecualian (sampel yang gagal) dan tetap bermanfaat. Jelaskan dengan jelas dalam tanggapan manajemen Anda, bukan menyembunyikannya.
• Pembengkakan cakupan (scope creep): setiap sistem dalam cakupan harus memenuhi setiap kontrol, setiap hari selama periode berjalan.

Bagaimana situs ini membantu

ControlMapping memetakan setiap kriteria SOC 2 ke kerangka kerja lain yang tercakup, sehingga Anda dapat melihat pekerjaan yang sudah ada dan dapat dialihkan. Teks kriteria merupakan hak cipta AICPA, sehingga kami menampilkan ringkasan satu baris buatan kami sendiri, dan setiap tautan SOC 2 merupakan penilaian editorial ControlMapping, beserta alasannya: pemetaan AICPA sendiri tidak berlisensi terbuka. Gunakan untuk perencanaan, bukan sebagai bukti audit.

Sudah memiliki kerangka kerja lain?

Berapa banyak persyaratan SOC 2 yang terpetakan dari setiap kerangka kerja yang mungkin sudah Anda patuhi. Buka laporan kesenjangan untuk daftar per persyaratan.

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Jumlah berasal dari data yang sama dengan analisis celah; pemetaan berarti persyaratan yang terkait, bukan bukti bahwa satu persyaratan memenuhi yang lain.

Pertanyaan

Apakah SOC 2 adalah sertifikasi?

Tidak. Laporan SOC 2 adalah atestasi: opini firma CPA terhadap kontrol Anda. Tidak ada yang "tersertifikasi SOC 2", meskipun frasa tersebut umum digunakan.

Apakah saya membutuhkan SOC 2 Type I atau Type II?

Sebagian besar pelanggan meminta Type II, karena laporan itu menguji apakah kontrol beroperasi selama suatu periode. Type I adalah langkah awal yang wajar jika pelanggan bersedia menerimanya selama periode Type II berjalan.

Apakah SOC 2 diwajibkan oleh hukum?

Tidak. Ini merupakan ekspektasi pasar, terutama dari proses risiko vendor pelanggan di AS. Kontrak dapat menjadikannya wajib bagi Anda.

Bukan saran hukum atau kepatuhan. Periksa teks resmi dan auditor, asesor, atau regulator Anda sebelum mengandalkannya.