Examinarea adresează securitatea și poate adresa disponibilitatea, integritatea procesării, confidențialitatea sau viața privată în funcție de domeniul și angajamentele de serviciu descrise în raport.
Managementul își descrie sistemul și afirmă că descrierea și controalele îndeplinesc criteriile aplicabile. O firmă CPA licențiată independentă examinează acea afirmație conform standardelor profesionale de atestare aplicabile. Un raport de Tip 1 adresează designul controalelor la o dată declarată; un raport de Tip 2 testează și dacă controalele au funcționat eficace pe parcursul unei perioade declarate.
Puncte esențiale
Inspectați acoperireaConfirmați frontiera sistemului, serviciile, locațiile, criteriile selectate, organizațiile subservicii, perioada sau data de raportare și modificările sau excluderile semnificative.
Evaluați dovezileCitiți opinia, afirmația managementului, descrierea sistemului, testele și excepțiile pentru Tip 2, controalele complementare ale entității utilizator și controalele complementare ale organizațiilor subservicii.
Potriviți utilizareaDeterminați dacă perioada raportului, domeniul, criteriile, auditorul și dovezile de control adresează riscurile reale ale clientului; cereți dovezi-punte când a trecut timp semnificativ.
Limitare importantăSOC 2 este o misiune de atestare, nu o certificare universală sau o garanție că un furnizor este sigur. Controalele din afara sistemului descris, configurațiile clientului, criteriile neselectate, evenimentele de după perioadă și eșecurile nedescoperite pot rămâne neabordate.