SOC 2 audit: wat het is, Type 1 en Type 2 en hoe het werkt

Wat betekent SOC 2?

SOC staat voor Service Organization Control. De standaard is ontwikkeld door het American Institute of Certified Public Accountants (AICPA) voor organisaties die diensten leveren waarbij klanten gegevens of processen uitbesteden, zoals SaaS leveranciers, hostingproviders, cloudproviders en managed service providers. Een SOC 2 rapport laat zien dat beveiliging en gegevensverwerking aantoonbaar op orde zijn, getoetst door een onafhankelijke partij. Klanten, inkoopafdelingen en accountants vragen er steeds vaker om.

Is SOC 2 een certificering?

Nee, ook al zoeken veel organisaties op “SOC 2 certificering”. Een certificering, zoals ISO 27001, leidt tot een certificaat. Een SOC 2 audit leidt tot een assurance rapport: de auditor beschrijft de beheersmaatregelen, test ze en geeft een oordeel. Dat rapport is uitgebreider dan een certificaat en geeft klanten inzicht in hoe uw organisatie is ingericht. Het wordt jaarlijks herhaald.

Wat is het verschil tussen SOC 1 en SOC 2?

SOC 1 gaat over beheersmaatregelen die invloed hebben op de financiële verslaggeving van de klant, zoals uitbestede administratie, payroll of vermogensbeheer. In Nederland is dat vergelijkbaar met een ISAE 3402 rapport. SOC 2 gaat over beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. Lees meer in ons artikel Wat is het verschil tussen ISAE 3402 en SOC 2?. Een SOC 3 is geen aparte audit, maar een publieke samenvatting van een succesvol afgeronde SOC 2 Type 2, zie SOC 3: de certificaat-lookalike.

De vijf Trust Services Criteria

Een SOC 2 audit toetst aan de Trust Services Criteria (TSC). Beveiliging is verplicht, de overige vier kiest u op basis van wat uw klanten van u verwachten.

• Beveiliging (Security, ook Common Criteria): bescherming van systemen en gegevens tegen onbevoegde toegang. Verplicht in elke SOC 2 audit.
• Beschikbaarheid (Availability): de dienst is beschikbaar zoals overeengekomen.
• Integriteit van verwerking (Processing Integrity): verwerking is volledig, juist, tijdig en geautoriseerd.
• Vertrouwelijkheid (Confidentiality): informatie die als vertrouwelijk is aangemerkt, wordt beschermd.
• Privacy: persoonsgegevens worden verwerkt in lijn met de toegezegde privacyverklaring.

Elk extra criterium betekent extra werk. Beveiliging vraagt de meeste inspanning, Integriteit van verwerking en Privacy vragen de meeste extra documentatie. Bespreek de keuze vooraf met uw auditor, zodat het rapport relevant en haalbaar is. Meer hierover leest u in SOC 2 Trust Services Criteria: welke kiest u?

SOC 2 Type 1 of Type 2: wat is het verschil?

De meeste klanten en accountants vragen om een Type 2 rapport. Veel organisaties starten daarom met een nulmeting, laten eventueel eerst een Type 1 uitvoeren en gaan daarna door naar Type 2. Meer uitleg vindt u op onze pagina SOC 2 Type 1 of Type 2 verklaring.

Hoe verloopt een SOC 2 audit?

1. Scopebepaling: u bepaalt samen met de auditor welke diensten, systemen en Trust Services Criteria binnen de scope vallen.
2. Nulmeting: een gap analyse laat zien waar uw beheersmaatregelen nog tekortschieten ten opzichte van de criteria.
3. Implementatie en verbetering: u dicht de gaten, legt beleid en processen vast en zorgt dat activiteiten aantoonbaar zijn.
4. Audituitvoering: de auditor beoordeelt de systeembeschrijving en toetst de maatregelen met interviews, documentatie, waarneming en steekproeven. Bij Type 1 gaat het om de opzet, bij Type 2 ook om de werking over de periode.
5. Rapportage: u ontvangt het SOC 2 rapport met de auditorsverklaring.

Wilt u weten hoe u zich praktisch voorbereidt? Lees Bereid u voor op een SOC 2 audit, met de 10 voorbereidingsstappen.

Hoe lang duurt een SOC 2 traject?

De doorlooptijd hangt vooral af van hoe ver uw beheersmaatregelen al zijn ingericht. Een nulmeting laat zien hoeveel werk er nog ligt voordat de audit kan starten. Bij een Type 1 beoordeelt de auditor de opzet op één peildatum. Bij een Type 2 loopt er eerst een observatieperiode, meestal van zes tot twaalf maanden, waarin de auditor toetst of de maatregelen echt werken. Aan het einde volgt de rapportage. Wilt u een planning voor uw situatie? Neem contact op met Joram Dictus.

Wat kost een SOC 2 audit?

De kosten verschillen per organisatie. Ze worden vooral bepaald door:

• het aantal systemen, diensten en locaties in de scope;
• het aantal gekozen Trust Services Criteria;
• Type 1 of Type 2 en de lengte van de observatieperiode;
• de volwassenheid van uw beheersmaatregelen en documentatie;
• de omvang en complexiteit van uw organisatie.

Na een korte kennismaking ontvangt u een offerte op maat.

Voor wie is een SOC 2 audit relevant?

Voor IT-serviceorganisaties waar klanten gegevens of processen aan toevertrouwen: SaaS leveranciers, datacenters en hostingproviders, cloudproviders en managed service providers. Meestal start een traject wanneer een klant, de accountant van een klant of een inkoopafdeling om een SOC 2 rapport vraagt. Staat u nog aan het begin? Lees dan SOC 2 voor start ups én scale ups.

SOC 2 of ISO 27001?

ISO 27001 is een norm voor uw eigen managementsysteem voor informatiebeveiliging en leidt tot een certificaat. Een SOC 2 audit toetst aan een vast kader, de Trust Services Criteria, en leidt tot een rapport met testresultaten en een oordeel van de auditor. Dat geeft klanten en hun accountants meer inzicht dan een certificaat. Heeft u al ISO 27001, dan bent u vaak al een eind op weg, omdat veel beheersmaatregelen overlappen.

Waarom een SOC 2 audit bij 2-Control?

Onze IT-auditors zijn geregistreerd bij NOREA (RE) en begeleiden zowel Type 1 als Type 2 trajecten van begin tot eind, ook voor start-ups en scale-ups. Lees hoe Rotaform van een ISAE 3402 rapport overstapte op een SOC 2 Type 2 rapport in Rotaform en 2-Control: een partnerschap voor succesvolle SOC 2 compliance. Meer over onze aanpak vindt u op de pagina SOC 2 audit.