첫 SOC 2 보고서의 범위를 정하는 방법

범위 설정에 따라 SOC 2 보고서의 비용, 소요 기간, 고객에게 주는 유용성이 달라집니다. 처음 준비하는 조직의 실수 대부분은 첫 주에 저지르는 범위 설정 실수입니다.

SOC 2 보고서는 시스템을 대상으로 합니다. 고객이 구매하는 서비스와 그 뒤에서 작동하는 모든 요소가 여기에 해당합니다. 경계를 너무 넓게 잡으면 아무도 묻지 않은 통제를 입증하느라 몇 달을 쓰게 됩니다. 반대로 너무 좁게 잡으면 보고서가 고객의 질문에 답하지 못합니다. 처음 SOC 2를 준비하면서 가장 비싼 실수는 대부분 범위를 정하는 주간에 나옵니다.

결정 1: 대상 시스템

고객이 구매하고 의존하는 대상에서 출발하십시오. 대부분의 소프트웨어 기업에서는 운영 플랫폼이 여기에 해당합니다. 애플리케이션, 인프라와 데이터 저장소, 이를 개발하고 운영하는 인력, 그들이 따르는 절차가 포함됩니다. 보통 범위에서 제외되는 것은 고객 데이터에 전혀 접근하지 않는 사내 IT, 다른 제품 라인, 영업 시스템입니다.

경계는 일찍 문서로 정리하십시오. 이 경계가 보고서의 시스템 설명이 되며, 모든 통제는 관찰 기간 동안 매일 이 경계 안의 모든 대상에 걸쳐 작동해야 합니다.

결정 2: 적용할 기준

보안(공통 기준 CC1~CC9)은 필수입니다. 고객이 필요로 할 때만 다른 기준을 추가하십시오.

가용성: 고객이 가동 시간 보장에 의존하는 경우.
기밀성: 고객 데이터 중 기밀로 지정된 데이터를 보유하는 경우(대부분의 B2B 서비스).
처리 무결성: 고객이 결제, 급여, 청구처럼 데이터를 정확하게 처리하는 데 의존하는 경우.
개인정보 보호: 자체 목적으로 개인정보를 처리하고 고객이 이를 요구하는 경우. SOC 2와 ISO 27001 분석에서 보듯이 개인정보 보호 기준 대부분은 보안 프레임워크에 대응하는 항목이 없습니다.

콘크리트 바닥 위에 마스킹 테이프로 직사각형을 표시하고, 옆에 줄자가 놓여 있는 모습의 사진 — 무엇보다 먼저 경계를 표시하십시오.

결정 3: 하위 서비스 조직

클라우드 제공업체, 결제 처리업체, 관리형 데이터베이스 제공업체는 귀사가 의존하는 통제를 운영합니다. 다음 중에서 선택하십시오.

제외 방식(Carve-out, 가장 흔함): 해당 업체의 통제는 범위에서 빼고, 어떤 목적으로 의존하는지 설명하며, 업체 자체의 SOC 2 보고서를 검토했음을 보여줍니다.
포함 방식(Inclusive): 해당 업체의 통제를 귀사의 보고서 안에서 테스트합니다. 업체의 협조가 필요하며 대형 업체에서는 드뭅니다.

결정 4: 보완 사용자 기업 통제

귀사의 통제가 작동하려면 고객이 운영해야 하는 통제를 나열하십시오. 예를 들어 고객 자체 사용자 계정 관리, API 키 보호, SSO 구성 등이 있습니다. 고객이 이 목록을 읽고 보안 팀이 비합리적인 목록에 의문을 제기하므로, 현실적이고 간결하게 유지하십시오.

결정 5: Type I 또는 Type II, 그리고 기간

Type I은 더 빠르고, Type II는 대부분의 고객이 원하는 보고서입니다. 첫 Type II에는 3~6개월 기간이 흔합니다. 통제가 몇 주 동안 실제로 운영된 뒤에 기간을 시작해야 기간 초반이 예외 사항으로 가득 차지 않습니다.

범위 설정 체크리스트

CPA 법인과 킥오프 미팅을 하기 전에 다음 질문에 답할 수 있어야 합니다.

보고서가 다루는 제품 또는 서비스는 무엇이며, 고객은 그것에 무엇을 의존합니까?
어떤 환경이 범위에 포함됩니까(운영 환경만 또는 스테이징 포함)?
어떤 클라우드 계정, 리전, 데이터 저장소가 포함됩니까?
어떤 팀과 역할이 시스템을 운영합니까?
시스템이 의존하는 하위 서비스 조직은 어디이며, 해당 업체의 보고서를 보유하고 있습니까?
어떤 신뢰 서비스 기준 범주를 적용하며, 그 이유는 무엇입니까?
고객이 운영해야 하는 보완 사용자 기업 통제는 무엇입니까?
Type I부터 시작합니까, 아니면 바로 Type II로 갑니까? 기간은 얼마입니까?
증거를 재사용할 수 있는 기존 프레임워크나 감사는 무엇입니까?

문서로 정리한 답변은 시스템 설명의 첫 초안이 되며, 몇 주에 걸친 왕복 논의를 줄여 줍니다. 이미 ISO 27001을 보유하고 있다면 ISO 27001 → SOC 2 격차 분석 보고서가 마지막 질문에 답해 줍니다.

가장 큰 비용을 낳는 범위 설정 실수

“안전을 위해” 사내 IT를 포함하는 경우: 입증해야 할 시스템 수가 두 배로 늘어납니다.
좋아 보인다는 이유로 개인정보 보호나 처리 무결성을 추가하는 경우: 각 기준은 전체 기간에 대한 통제와 증거를 추가합니다.
시스템 설명이 현실과 맞지 않는 경우: 감사인은 작성된 내용을 테스트합니다.
통제가 작동하기 전에 기간을 시작하는 경우: 1개월 차의 예외 사항이 보고서에 그대로 남습니다.

전체 절차는 SOC 2 가이드에서 다루고, 모든 기준과 매핑을 보려면 SOC 2 프레임워크 페이지를 참고하십시오. 이미 다른 프레임워크를 보유하고 있다면 격차 분석에서 그 프레임워크가 얼마나 도움이 되는지 확인할 수 있습니다.

질문

SOC 2 보고서의 최소 범위는 무엇인가?

정의된 시스템에 대한 보안 범주(공통 기준 CC1~CC9)입니다. 가용성, 기밀성, 처리 무결성, 개인정보 보호는 선택 사항입니다.

SOC 2에서 제외(carve-out)란 무엇인가?

하위 서비스 조직(예: 클라우드 제공업체의 데이터센터 통제)의 통제를 보고서 범위에서 제외하는 것입니다. 이때 해당 업체에 어떤 목적으로 의존하는지, 그리고 그 업체를 어떻게 모니터링하는지는 설명합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

과도한 약속 없이 첫 SOC 2 보고서의 범위 설정하기