Badanie adresuje bezpieczeństwo i może adresować dostępność, integralność przetwarzania, poufność lub prywatność zgodnie z zakresem i zobowiązaniami usługowymi opisanymi w raporcie.
Kierownictwo opisuje swój system i twierdzi, że opis i kontrole spełniają mające zastosowanie kryteria. Niezależna licencjonowana firma CPA bada to twierdzenie według mających zastosowanie profesjonalnych standardów attestacji. Raport typu 1 adresuje projekt kontroli na określoną datę; raport typu 2 testuje też, czy kontrole działały skutecznie przez określony okres.
Najważniejsze punkty
Zbadaj pokryciePotwierdź granicę systemu, usługi, lokalizacje, wybrane kryteria, organizacje podusługowe, okres lub datę raportowania oraz istotne zmiany lub wykluczenia.
Oceń dowodyPrzeczytaj opinię, twierdzenie kierownictwa, opis systemu, testy i wyjątki dla typu 2, komplementarne kontrole podmiotu użytkownika i komplementarne kontrole organizacji podusługowych.
Dopasuj do użyciaUstal, czy okres raportu, zakres, kryteria, audytor i dowody kontroli adresują rzeczywiste ryzyka klienta; poproś o dowody pomostowe (bridge), gdy upłynął istotny czas.
Istotne ograniczenieSOC 2 to zlecenie attestacyjne, a nie uniwersalna certyfikacja ani gwarancja, że dostawca jest bezpieczny. Kontrole poza opisanym systemem, konfiguracje klienta, niewybrane kryteria, zdarzenia po okresie i niewykryte awarie mogą pozostać nieadresowane.