Jak SOC 2, badanie SOC 3 adresuje kontrole istotne dla bezpieczeństwa, dostępności, integralności przetwarzania, poufności lub prywatności według zakresu. Różnica to dystrybucja i głębia: SOC 3 pomija szczegółowy opis systemu, procedury testowe i wyniki, które czynią SOC 2 raportem o ograniczonym użyciu.
Ponieważ raport jest zaprojektowany do ogólnej dystrybucji, organizacje często używają pieczęci lub raportu SOC 3 do publicznego marketingu zapewnienia, udostępniając SOC 2 pod NDA do rzeczywistej oceny. Recenzent polegający tylko na SOC 3 widzi opinię audytora i zakres, a nie leżące u podstaw dowody kontroli.
Najważniejsze punkty
ZakresPotwierdź, które Trust Services Criteria zostały włączone, objęty okres lub datę, granicę systemu i wszelkie organizacje podusługowe — sama pieczęć nic z tego nie komunikuje.
Przypadek użyciaOdpowiedni do publicznego zapewnienia i wstępnego przesiewania; nieadekwatny dla własnej oceny ryzyka klienta, która potrzebuje szczegółu SOC 2.
Istotne ograniczenieFormat ogólnego użytku oznacza, że czytelnik nie może zbadać testów, wyjątków ani komplementarnych kontroli podmiotu użytkownika. Pieczęć SOC 3 to sygnał podsumowujący, a nie dowód, na którym proces zamówień lub ryzyka może się oprzeć.