Как получить отчёт SOC 2

По параметру «Paul Gillet» · Обновлено 2026-10-17

Если клиент спрашивает «вы соответствуете SOC 2?», он на самом деле просит отчёт SOC 2: мнение независимой аудиторской фирмы CPA о ваших средствах контроля, выданное по стандартам аттестации AICPA. Сертификата SOC 2 не существует, как и проходного балла. В отчёте описаны ваша система, ваши средства контроля и проверки, проведённые аудитором, а служба безопасности клиента читает его, чтобы решить, можно ли доверить вам его данные.

Что охватывает отчёт

SOC 2 проверяет ваши средства контроля на соответствие Trust Services Criteria AICPA (2017 года, с пересмотренными в 2022 году точками внимания). Существует пять категорий:

• Security (общие критерии, CC1–CC9): включается всегда. Охватывает управление, оценку рисков, мониторинг, логический и физический доступ, эксплуатацию, управление изменениями и риски поставщиков.
• Availability (A1): мощности, резервное копирование и восстановление. Добавляйте, если клиенты зависят от вашей доступности.
• Confidentiality (C1): выявление и утилизация конфиденциальной информации. Распространено у B2B-продуктов, которые хранят данные клиентов.
• Processing Integrity (PI1): полная, точная и своевременная обработка. Актуально для платежей, расчёта заработной платы и услуг по обработке данных.
• Privacy (P1–P8): уведомление, согласие, хранение и раскрытие персональных данных. Немногие стандарты безопасности охватывают эту тему; ближе всего к ней GDPR (DSGVO).

Большинство первых отчётов включают только Security или Security плюс Availability и Confidentiality. Добавляйте категории по запросу клиентов, а не по умолчанию: каждая из них добавляет средства контроля для выполнения и доказательства для сбора.

Type I или Type II?

• Отчёт Type I подтверждает, что ваши средства контроля были надлежащим образом спроектированы и внедрены на одну дату. Его готовят быстрее, и он полезен как первый шаг, когда сделка не может ждать.
• Отчёт Type II подтверждает, что средства контроля были спроектированы и эффективно функционировали в течение периода, обычно от 3 до 12 месяцев. Именно его обычно требуют команды управления рисками поставщиков клиентов, поскольку он показывает, что контроли работают на практике.

Типичный путь: Type I, как только вы будете готовы, затем первый Type II за период 3–6 месяцев, далее ежегодные отчёты Type II за 12 месяцев.

Этапы

1. Определите систему в границах проверки: продукт или услугу, которые покупают клиенты, а также инфраструктуру, людей, процессы и данные, на которых они держатся. Ограничьтесь тем, на что полагаются клиенты: узкие границы дешевле в поддержании и легче объясняются.
2. Выберите критерии: Security плюс любые категории, которые запрашивают ваши клиенты.
3. Проведите оценку готовности по критериям. Используйте анализ разрывов, если вы уже следуете другому стандарту, затем подтвердите результат с аудиторской фирмой CPA или консультантом.
4. Закройте разрывы и зафиксируйте всё письменно: политики, оценку рисков, проверки доступа, управление изменениями, проверки поставщиков, реагирование на инциденты, приём и увольнение сотрудников, резервное копирование. Аудиторы сверяют то, что вы делаете, с тем, что вы заявляете, поэтому документы должны соответствовать реальности.
5. Выберите аудиторскую фирму CPA. Отчёты SOC 2 могут выдавать только лицензированные фирмы CPA. Сравнивайте опыт работы с компаниями, похожими на вашу, техническую глубину аудиторов и то, как будут собираться доказательства.
6. Необязательный Type I: аудитор проверяет проектирование и внедрение на определённый момент времени.
7. Проведите период наблюдения для Type II: эксплуатируйте каждое средство контроля и сохраняйте доказательства по ходу работы.
8. Полевая проверка и отчёт: аудитор выборочно проверяет доказательства за период, обсуждает с вами все отклонения и выпускает отчёт, обычно через несколько недель после окончания периода.
9. Поддерживайте процесс постоянно: отчёт SOC 2 описывает прошлое, поэтому клиенты ожидают новый отчёт каждый год без разрывов между периодами.

Типичные сроки

Для небольшой software-компании с разумной гигиеной безопасности подготовка и устранение недостатков обычно занимают от одного до трёх месяцев, Type I может быть подготовлен сразу после этого, а первый Type II появляется через три–шесть месяцев. Более широкие границы, больше категорий или незрелые процессы растягивают каждый этап. Любое обещание поставщика «SOC 2 за несколько недель» относитесь как обещание только про Type I.

Доказательства, которые запрашивают аудиторы

Проверка Type II в основном выборочная. Ожидайте запросов такого рода, относящихся к периоду наблюдения:

• новые сотрудники и уволенные, с подтверждением, что доступ был предоставлен по одобрению и своевременно отозван;
• периодические проверки пользовательского доступа к ключевым системам;
• заявки на изменения, подтверждающие проверку, тестирование и одобрение до ввода в эксплуатацию;
• результаты сканирования уязвимостей и тестов на проникновение с устранением выявленного;
• оценка рисков и её проверка руководством;
• записи due diligence поставщиков для критических поставщиков;
• заявки по инцидентам и свидетельства тестирования реагирования на инциденты;
• тесты резервного копирования и восстановления, а также оповещения мониторинга с отслеживанием реагирования;
• записи об обучении по осведомлённости в вопросах безопасности и подписанные политики.

Что застаёт людей врасплох

• Субподрядные организации: средства контроля вашего облачного провайдера не принадлежат вам. В большинстве отчётов используется метод carve-out: вы указываете провайдера, опираетесь на его собственный отчёт SOC 2 и показываете, что проверяете его.
• Дополнительные средства контроля на стороне пользователя: отчёт перечисляет средства контроля, которые клиенты должны выполнять самостоятельно, например управление собственными пользователями. Делайте их реалистичными.
• Исключения: отчёт Type II может содержать исключения (неудачные выборки) и всё равно быть полезным. Объясняйте их ясно в ответе руководства, а не скрывайте.
• Расползание границ (scope creep): каждая система в границах должна соответствовать каждому средству контроля каждый день периода.

Как этот сайт помогает

ControlMapping сопоставляет каждый критерий SOC 2 с другими стандартами, которые он охватывает, чтобы вы видели, что уже существующая работа может быть переиспользована. Текст критериев защищён авторским правом AICPA, поэтому мы показываем собственные краткие однострочные описания, а каждая ссылка SOC 2 является редакционным суждением ControlMapping с указанием причины: собственные сопоставления AICPA не распространяются по открытой лицензии. Используйте их для планирования, а не в качестве аудиторского доказательства.

Уже используете другой фреймворк?

Сколько требований SOC 2, которые вы, возможно, уже выполняете, сопоставлено с каждым стандартом. Откройте отчёт о разрывах для построчного списка требований.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Подсчеты основаны на тех же данных, что и анализ разрывов; сопоставление означает связанные требования, а не доказательство того, что одно выполняет другое.

Вопросы

SOC 2 — это сертификация?

Нет. Отчёт SOC 2 — это аттестация: мнение аудиторской фирмы CPA о ваших средствах контроля. Никто не является «сертифицированным по SOC 2», хотя это выражение распространено.

Нужен ли мне SOC 2 Type I или Type II?

Большинство клиентов запрашивают Type II, поскольку он проверяет, работали ли средства контроля в течение периода. Type I — разумный первый шаг, если клиент согласен принять его, пока идёт период Type II.

Требуется ли SOC 2 по закону?

Нет. Это рыночное ожидание, в основном со стороны процессов управления рисками поставщиков у клиентов из США. Договоры могут сделать его обязательным для вас.

Не является юридической или комплаенс-консультацией. Перед использованием сверьтесь с официальным текстом и уточните у своего аудитора, оценщика или регулятора.