SOC 2 보고서 취득 방법

Paul Gillet 기준 · 2026-10-17 업데이트

고객이 "SOC 2 준수 여부는 어떻습니까?"라고 묻는다면, 실제로는 SOC 2 보고서를 요청하는 것입니다. 이는 AICPA의 인증 기준에 따라 독립된 CPA 회계법인이 귀사의 통제에 대해 제시하는 의견입니다. SOC 2 인증서나 합격 점수는 존재하지 않습니다. 보고서는 귀사의 시스템, 통제, 그리고 감사인이 수행한 테스트를 기술하며, 고객의 보안팀은 이를 검토하여 자사 데이터를 맡길지 판단합니다.

보고서의 포함 내용

SOC 2는 귀사의 통제를 AICPA의 신뢰 서비스 기준(2017년 제정, 2022년 관점 포인트 개정)에 따라 평가합니다. 기준은 다섯 가지 범주로 구성됩니다.

• 보안(공통 기준 CC1–CC9): 항상 포함됩니다. 거버넌스, 위험 평가, 모니터링, 논리적 및 물리적 접근, 운영, 변경 관리, 공급업체 위험을 다룹니다.
• 가용성(A1): 용량, 백업 및 복구를 다룹니다. 고객이 귀사의 가동 시간에 의존한다면 추가하십시오.
• 기밀성(C1): 기밀 정보의 식별 및 폐기를 다룹니다. 고객 데이터를 보유한 B2B 제품에서 흔히 적용됩니다.
• 처리 무결성(PI1): 처리의 완전성, 정확성 및 적시성을 다룹니다. 결제, 급여 및 데이터 처리 서비스와 관련이 있습니다.
• 개인정보 보호(P1–P8): 개인정보의 고지, 동의, 보존 및 공개를 다룹니다. 이를 다루는 보안 프레임워크는 드물며, GDPR이 가장 근접합니다.

대부분의 첫 보고서는 보안만 포함하거나, 보안에 가용성과 기밀성을 더해 구성합니다. 범주는 고객이 요청할 때 추가하며, 기본값으로 포함하지 마십시오. 범주마다 운영해야 할 통제와 수집해야 할 증거가 늘어나기 때문입니다.

Type I인가, Type II인가?

• Type I 보고서는 귀사의 통제가 특정 한 시점에 적절히 설계되어 있고 실제로 가동되고 있었음을 보여줍니다. 빠르게 완료할 수 있어, 계약을 더 미룰 수 없을 때 첫 단계로 유용합니다.
• Type II 보고서는 귀사의 통제가 일정 기간 동안 설계되고 효과적으로 운영되었음을 보여주며, 보통 3개월에서 12개월이 대상입니다. 대부분 고객의 공급업체 위험 관리팀이 실제로 원하는 보고서입니다. 통제가 실무에서 작동함을 입증하기 때문입니다.

일반적인 경로는 준비가 되면 Type I을 받고, 이후 3~6개월 기간을 대상으로 하는 첫 Type II를 받은 뒤, 12개월 단위의 연간 Type II 보고서를 받는 것입니다.

절차

1. 범위 내 시스템 정의: 고객이 구매하는 제품이나 서비스, 그리고 이를 뒷받침하는 인프라, 인력, 프로세스 및 데이터를 포함합니다. 고객이 의존하는 범위로 한정하십시오. 범위가 좁을수록 운영 비용이 적고 설명하기도 쉽습니다.
2. 기준 선택: 보안과 고객이 요청하는 범주를 함께 선택합니다.
3. 기준에 대한 준비 평가 실시: 이미 다른 프레임워크를 따르고 있다면 격차 분석을 활용한 뒤, CPA 회계법인이나 자문가와 함께 확인하십시오.
4. 격차 해소 및 문서화: 정책, 위험 평가, 접근 권한 검토, 변경 관리, 공급업체 검토, 사고 대응, 입사 및 퇴사 절차, 백업을 준비합니다. 감사인은 귀사가 말하는 내용과 실제 수행 내용을 대조하므로, 문서가 실제와 일치해야 합니다.
5. CPA 회계법인 선정: 면허를 보유한 CPA 회계법인만 SOC 2 보고서를 발행할 수 있습니다. 유사한 기업에 대한 경험, 감사인의 기술적 전문성, 증거 수집 방식을 비교하십시오.
6. 선택 사항인 Type I: 감사인이 특정 시점의 설계와 구현을 점검합니다.
7. Type II 관찰 기간 운영: 모든 통제를 가동하고, 진행하면서 증거를 보관합니다.
8. 현장 감사 및 보고서: 감사인은 대상 기간의 증거를 표본으로 추출하고, 예외 사항을 귀사와 논의한 후, 보통 기간 종료 후 몇 주 내에 보고서를 발행합니다.
9. 지속 운영: SOC 2 보고서는 과거를 다루므로, 고객은 기간 사이에 공백 없이 매년 새 보고서가 발행되기를 기대합니다.

일반적인 일정

합리적인 보안 수준을 갖춘 소규모 소프트웨어 기업의 경우, 준비와 개선에는 보통 1~3개월이 걸리고, 이후 바로 Type I을 받을 수 있으며, 첫 Type II는 그로부터 3~6개월 후에 발행됩니다. 범위가 넓거나, 범주가 많거나, 프로세스가 성숙하지 않으면 각 단계가 길어집니다. "몇 주 만에 SOC 2"를 약속하는 공급업체의 말은 Type I에 대한 약속으로 받아들이십시오.

감사인이 요청하는 증거

Type II 테스트는 대부분 표본 추출입니다. 관찰 기간 중에서 다음과 같은 요청이 있을 것으로 예상하십시오.

• 신규 입사자 및 퇴사자에 대해, 접근 권한이 승인에 따라 부여되고 적시에 회수되었음을 입증하는 자료;
• 핵심 시스템에 대한 정기적인 사용자 접근 권한 검토;
• 운영 환경 적용 전 검토, 테스트 및 승인이 이루어졌음을 보여주는 변경 티켓;
• 취약점 스캔 및 모의해킹 결과와 조치 내역;
• 위험 평가 및 경영진의 검토 기록;
• 핵심 공급업체에 대한 실사 기록;
• 사고 티켓 및 사고 대응 훈련 증거;
• 백업 및 복구 테스트, 그리고 후속 조치가 포함된 모니터링 경보;
• 보안 인식 교육 기록 및 서명된 정책.

흔히 놓치는 사항

• 하위 서비스 조직: 클라우드 제공업체의 통제는 귀사의 통제가 아닙니다. 대부분의 보고서는 제외 방식(carve-out)을 사용합니다. 즉, 제공업체를 명시하고, 해당 업체의 자체 SOC 2 보고서에 의존하되, 귀사가 이를 검토하고 있음을 보여줍니다.
• 고객사 보완 통제: 보고서에는 고객이 직접 운영해야 하는 통제, 예를 들어 자사 사용자 관리 같은 항목이 나열됩니다. 현실적인 수준으로 설정하십시오.
• 예외 사항: Type II 보고서에는 예외 사항(실패한 표본)이 포함될 수 있으며, 그럼에도 유용할 수 있습니다. 숨기지 말고 경영진 대응 항목에서 명확히 설명하십시오.
• 범위 확대(Scope creep): 범위 내 모든 시스템은 기간 중 모든 날짜에 모든 통제를 충족해야 합니다.

본 사이트의 활용 방법

ControlMapping은 모든 SOC 2 기준을 이 사이트가 다루는 다른 프레임워크와 매핑하므로, 기존 작업이 어디까지 이어질 수 있는지 확인할 수 있습니다. 기준 원문은 AICPA의 저작물이므로, 당사는 자체 한 줄 요약을 보여줍니다. 또한 모든 SOC 2 링크는 ControlMapping의 편집 콘텐츠 판단이며, 그 근거를 함께 제공합니다. AICPA의 자체 매핑은 공개 라이선스가 아니기 때문입니다. 계획 수립에 활용하시고, 감사 증거로 사용하지 마십시오.

이미 다른 프레임워크를 사용 중이신가요?

이미 준수하고 있을 수 있는 각 프레임워크의 요구사항 중 SOC 2의 요구사항에 몇 개가 매핑되는지 보여줍니다. 요구사항별 전체 목록은 격차 보고서를 열어 확인하세요.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 집계는 격차 분석와 동일한 데이터에서 나오며, 매핑은 관련 요구사항을 의미할 뿐 한쪽이 다른 쪽을 충족한다는 증거가 아닙니다.

질문

SOC 2는 인증입니까?

아닙니다. SOC 2 보고서는 인증이 아니라 증명(attestation)입니다. 즉, CPA 회계법인이 귀사의 통제에 대해 제시하는 의견입니다. "SOC 2 인증 취득"이라는 표현이 흔히 쓰이지만, 누구도 SOC 2 인증을 받은 것이 아닙니다.

SOC 2 Type I과 Type II 중 무엇이 필요합니까?

대부분의 고객은 Type II를 요청합니다. 통제가 일정 기간 동안 실제로 운영되었는지를 검증하기 때문입니다. Type I은 고객이 Type II 기간이 진행되는 동안 이를 수용하는 경우에 합리적인 첫 단계입니다.

SOC 2는 법으로 요구됩니까?

아닙니다. 주로 미국 고객사의 공급업체 위험 관리 절차에서 비롯된 시장의 기대 사항입니다. 다만 계약에서 의무화될 수 있습니다.

법률 또는 컴플라이언스 자문이 아닙니다. 의존하기 전에 공식 원문과 감사인, 평가자 또는 규제기관에 확인하세요.