Zkouška řeší bezpečnost a může řešit dostupnost, integritu zpracování, důvěrnost či soukromí podle rozsahu a závazků služby popsaných ve zprávě.
Vedení popisuje svůj systém a prohlašuje, že popis a kontroly splňují platná kritéria. Nezávislá licencovaná firma CPA zkoumá toto prohlášení podle platných profesních attestačních standardů. Zpráva Type 1 řeší návrh kontrol k uvedenému datu; zpráva Type 2 také testuje, zda kontroly fungovaly účinně během uvedeného období.
Klíčové body
Zkontrolujte pokrytíPotvrďte hranici systému, služby, lokace, vybraná kritéria, dílčí servisní organizace, reportovací období či datum a významné změny či vyloučení.
Hodnoťte důkazyČtěte výrok, prohlášení vedení, popis systému, testy a výjimky u Type 2, komplementární kontroly uživatelské entity a komplementární kontroly dílčích servisních organizací.
Přizpůsobte použitíUrčete, zda období zprávy, rozsah, kritéria, auditor a kontrolní důkazy řeší skutečná rizika zákazníka; vyžádejte přemostěcí důkazy, když uplynul podstatný čas.
Důležité omezeníSOC 2 je attestační zakázka, nikoli univerzální certifikace či záruka, že poskytovatel je bezpečný. Kontroly mimo popsaný systém, zákaznické konfigurace, nevybraná kritéria, události po období a neobjevená selhání mohou zůstat nevyřešené.