为什么“你们是否通过SOC 2认证？”是个错误的问题

几乎每份安全问卷都会包含这一条：“你们是否通过SOC 2认证？”供应商回答“是”，附上一份PDF，这一项就算勾选完成。问题在于，这个问题的含义与双方的理解并不一致，而一个被勾选的方框，恰恰可能掩盖买方原本想要发现的风险。

不存在SOC 2证书

SOC 2是鉴证报告（attestation），而非认证。由持牌CPA事务所依据AICPA的信任服务标准（Trust Services Criteria）对服务机构的控制措施进行检查，并出具附有其意见的报告。没有人签发证书，也没有人维护一份已认证公司的名录，更不存在及格线。对比ISO 27001：由经认可的认证机构签发证书，证书载明范围，有效期为三年。（我们的ISO 27001与SOC 2对比列出了二者的区别。）

把SOC 2报告称为证书，并非咬文嚼字。这会把一份详细且附带条件的文件，变成一个非此即彼的徽章，而风险恰恰藏在细节之中。

“是”可能掩盖的问题

供应商完全可以如实表示其持有SOC 2报告，但同时存在以下情况：

• 该报告为Type I。 它只说明控制措施在某一天已设计并到位，并不能证明其在一段时间内有效运行。
• 范围不包括你所购买的服务。 报告只覆盖所描述的系统。如果你的数据流经该范围之外的产品或地区，报告对此毫无说明。
• 报告涵盖期已结束很久。 报告覆盖的是过去的某个期间。距离期间结束已隔数月，意味着没有人对近期的运行情况进行过测试。
• 意见为保留意见（qualified）， 或测试结果中列出了对你至关重要的例外事项（exceptions）。
• 关键控制被剥离（carved out）给分包服务机构，例如云主机提供商，而你从未看到其自身的报告。
• 报告依赖你方必须自行执行的控制措施，即列为“补充用户实体控制”（complementary user entity controls）的项目，而你方无人知晓这些要求。
• 范围仅包含安全性（Security），而你所关心的却是可用性、保密性或隐私性。

以上任何一项都不意味着报告毫无价值，但这些问题在一句“是”的背后全都看不见。

一份好的SOC 2报告价值何在

这并非反对SOC 2。由专业事务所出具的Type II报告，是买方能够获得的最有用的文件之一。独立测试人员在数月内对真实证据进行抽样：访问权限的授予与收回、变更的审批、事件的处理、备份的恢复。由供应商自己的员工回答的问卷无法与之相比。而能认真阅读报告的安全团队，完全可以将大部分问卷工作省去。

价值在于细节：测试了哪些控制、如何测试、结果如何。简写会把这些细节丢掉。问供应商是否“已认证”，得到的只会是一个“是”；而询问报告涵盖了什么，才能获得证据。

应提出的更好问题

用能获得有用答案的问题，取代“你们是否通过SOC 2认证？”：

1. 你们持有哪种报告：Type I还是Type II？涵盖哪个期间？
2. 系统描述是否包括我们将使用的服务和地区？
3. 哪些信任服务标准类别在范围之内？
4. 是否存在例外事项或保留意见？如何解决？
5. 哪些分包服务机构被剥离在外？我们需要运行哪些补充用户实体控制？

随后阅读报告，至少阅读意见、系统描述、例外事项和用户实体控制部分。这所花的时间远少于完成问卷所需。

这一点适用于所有框架

这种情况并非SOC 2独有。“通过ISO 27001认证”取决于证书的范围；“符合NIS2”取决于国家法律以及没有任何证书能够验证的报告程序；“与NIST CSF保持一致”可能意味着几乎任何事情，因为CSF根本不存在认证。框架名称只是对话的开始，而非结束。

如果你是供应商一方，请让这件事变得简单：事先说明报告类型、期间和范围，并展示你的控制措施如何映射到客户所用的框架。我们的差距分析和SOC 2框架页面可以协助进行映射，SOC 2指南则说明报告是如何产生的。

常见问题

世上真的存在SOC 2认证吗？

不存在。SOC 2报告是一份鉴证报告：由持牌CPA事务所就服务机构的控制措施，依据AICPA的信任服务标准出具的意见。不会签发任何证书。

阅读SOC 2报告时应先看什么？

审计师意见（是否为无保留意见？）、范围与系统描述、涵盖期间、测试结果中的例外事项，以及你方需要运行的补充用户实体控制。