Is SOC 2 een certificering?

Een SOC 2-onderzoek levert een onafhankelijk assurancerapport op, ook bij Type II. In marketing heet dit vaak certificering, maar het is geen certificaat zoals ISO 27001. Een bevoegde CPA-accountantsorganisatie voert het onderzoek uit. Guardera helpt je organisatie bij de voorbereiding.

Hebben we Type I of Type II nodig?

Stem het rapporttype af met de klanten die het gaan gebruiken. Type I beoordeelt de opzet van maatregelen op een bepaalde datum. Type II beoordeelt ook of ze gedurende de vastgelegde rapportageperiode effectief werkten.

Is SOC 2 hetzelfde als ISO 27001?

Nee, maar het werk overlapt. Beleid en controles voor ISO 27001 helpen ook bij SOC 2. SOC 2 vraagt daarnaast om een eigen dienstbeschrijving. Voor Type II moet je ook aantonen dat controles tijdens de beoordelingsperiode zijn uitgevoerd.

Is SOC 2 wettelijk verplicht?

Nee. SOC 2 is geen wet of verordening. Klanten en partners vragen het rapport om te zien hoe je de gegevens beschermt die je voor hen bewaart.

Wat is het verschil tussen SOC 1 en SOC 2?

SOC 1 gaat over de maatregelen die invloed hebben op de financiële verslaggeving van je klanten. SOC 2 gaat over hoe je hun gegevens beschermt, getoetst aan de Trust Services Criteria.

Vragen Europese klanten om SOC 2?

Sommige Europese klanten vragen om SOC 2. SOC 2 komt van de AICPA, de Amerikaanse beroepsorganisatie voor accountants. ISAE 3000 is de internationale norm voor rapporten van auditors over andere onderwerpen dan financiële overzichten. Deze norm kan ook de beveiligingsmaatregelen van een IT-systeem omvatten. ISAE 3402 gaat, net als SOC 1, over maatregelen die invloed hebben op de financiële verslaggeving.

Onafhankelijk auditrapport

SOC 2: onafhankelijke assurance voor je klanten

SOC 2 is een onafhankelijk onderzoek naar maatregelen die klantinformatie bij een dienst beschermen. Het rapport helpt klanten hun dienstverlener beoordelen. Type I beoordeelt de opzet op één moment; Type II ook de werking over een periode.

Plan je SOC 2-voorbereiding

Voor: Dienstverleners en technologiebedrijven
Afgegeven door: Een onafhankelijk accountantskantoor met de vereiste bevoegdheid
Type I: Opzet van maatregelen op een bepaalde datum
Type II: Opzet en werking van maatregelen over een periode

Voor wie dit geldt

Dienstverleners die klantgegevens verwerken

Softwarebedrijven die tijdens het aankoopproces van een klant om een SOC 2-rapport worden gevraagd.
Technologiebedrijven en dienstverleners die gegevens van andere organisaties bewaren of verwerken, of waarvan partners een onafhankelijke beoordeling vragen.

Welk rapport past, hangt af van je dienst en het verzoek van je klant.

Wat je moet doen

Bereid je voor op het onderzoek

Beschrijf de dienst die wordt onderzocht
Licht je systemen en afspraken met klanten toe, en geef aan welke Trust Services Criteria het rapport omvat.
Wijs verantwoordelijken aan per beheersmaatregel
Kies maatregelen die bij je dienst passen. Leg vast wie ze uitvoert en beoordeelt.
Bewaar controles en goedkeuringen met datum
Bewaar controles van toegangsrechten, goedkeuringen voor wijzigingen en testregistraties die laten zien wanneer controles zijn uitgevoerd.
Neem leveranciers mee in je beoordeling
Documenteer uitbestede diensten en leg vast welke beveiligingstaken bij elke leverancier liggen.
Los problemen vóór het onderzoek op
Controleer of maatregelen werken, voer achterstallige beoordelingen uit en leg de werkelijke data en resultaten vast. Los bevindingen op en bespreek met de auditor wat eventuele tekortkomingen betekenen voor de verslagperiode.

Hoe we helpen

Bereid je organisatie voor op de SOC 2-audit

We spreken de reikwijdte af, beoordelen de beheersmaatregelen en coördineren de voorbereiding. We helpen je team verbeteringen invoeren en bewijs van de werking bijhouden. Een onafhankelijk accountantskantoor voert het onderzoek uit.

Security audit en risicoanalyseEen onafhankelijke beoordeling van beveiliging en compliance, met risicogerichte bevindingen en praktische aanbevelingen. ISO 27001-certificering: advies en begeleidingWe helpen je een werkend managementsysteem voor informatiebeveiliging opzetten en voorbereiden op onafhankelijke ISO 27001-certificering.

Veelgestelde vragen

Bijbehorende wetten en normen

ISO 27001
Je kunt je laten certificeren volgens deze internationale norm; SOC 2 leidt tot een rapport van een auditor. Beveiligingsmaatregelen voor de ene kunnen ook de andere ondersteunen.

Gratis gesprek van 30 minuten

Bespreek het SOC 2-verzoek van je klant

In een gratis gesprek van 30 minuten beoordeelt een senior specialist het gevraagde rapport. Samen bepalen jullie welke voorbereiding nodig is.

Plan je SOC 2-voorbereiding hello@guardera.tech