การเปรียบเทียบใบรับรอง SOC 2 และ ISO 27001

• คำนิยาม. SOC 2 หมายถึงชุดของรายงานการตรวจสอบเพื่อพิสูจน์ระดับความสอดคล้องกับเกณฑ์ที่กำหนด (TSC) ISO 27001 เป็นมาตรฐานที่กำหนดข้อกำหนดสำหรับระบบการจัดการความปลอดภัยของข้อมูล (ISMS)
• การบังคับใช้ทางภูมิศาสตร์ SOC 2 – สหรัฐอเมริกา, ISO 27001 – ระหว่างประเทศ
• การบังคับใช้ตามอุตสาหกรรม SOC 2 – สำหรับองค์กรบริการจากทุกอุตสาหกรรม, ISO 27001 – สำหรับองค์กรทุกขนาดหรือทุกอุตสาหกรรม
• การปฏิบัติตาม SOC 2 ได้รับการรับรองโดยผู้สอบบัญชีรับอนุญาต (CPA) ISO 27001 ได้รับการรับรองโดยหน่วยงานรับรองมาตรฐาน ISO
• มีไว้เพื่ออะไร? SOC 2 มีวัตถุประสงค์เพื่อพิสูจน์ระดับความปลอดภัยของระบบเทียบกับหลักการและเกณฑ์คงที่ ในขณะที่ ISO 27001 – เพื่อกำหนด นำไปใช้ ดำเนินการ ควบคุม และปรับปรุงความปลอดภัยโดยรวม

บทความนี้จะนำเสนอวิธีที่องค์กรที่ต้องการนำเสนอรายงาน SOC 2 สามารถใช้ประโยชน์จากISO 27001ซึ่งเป็นมาตรฐาน ISO ชั้นนำสำหรับการจัดการความปลอดภัยของข้อมูล เพื่อปฏิบัติตามข้อกำหนด

SOC 2 คืออะไร?

SOC 2 คือชุดรายงานที่สร้างขึ้นระหว่างการตรวจสอบ ซึ่งดำเนินการโดยผู้สอบบัญชีรับอนุญาตอิสระ (CPA) หรือองค์กรบัญชี

เนื้อหาของรายงานเหล่านี้ถูกกำหนดโดย American Institute of Certified Public Accountants (AICPA) และด้วยเหตุนี้จึงมักใช้ได้กับบริษัทในสหรัฐฯ SOC 2 ตรวจสอบการควบคุมภายในที่เกี่ยวข้องกับระบบข้อมูลที่เกี่ยวข้องในการให้บริการ โดยพิจารณาจากห้าประเภทที่ทับซ้อนกันซึ่งเรียกว่า Trust Service Criteria (TSC)

เนื่องจากเนื้อหาของรายงานไม่จำเป็นต้องมีองค์ประกอบ “ผ่านหรือไม่ผ่าน” ตามวัตถุประสงค์ – มีเพียงความเห็นของผู้สอบบัญชีซึ่งเป็นเรื่องส่วนตัว – รายงานการตรวจสอบจึงไม่ได้รับการรับรองตาม SOC 2; สามารถรับรองได้ว่าเป็นไปตามข้อกำหนดของ SOC 2 เท่านั้น และการรับรองนี้สามารถทำได้โดย CPA ที่มีใบอนุญาตเท่านั้น

รายงาน SOC 2 มีสองประเภท รายงานประเภทที่ 1 ครอบคลุมรายละเอียดของระบบบริการและแสดงว่าการควบคุมที่เสนอสนับสนุนวัตถุประสงค์ที่องค์กรต้องการบรรลุหรือไม่ รายงานประเภทที่ 2 ยังครอบคลุมถึงรายละเอียดของระบบบริการและแสดงว่าการควบคุมที่เสนอนั้นสนับสนุนวัตถุประสงค์ที่องค์กรต้องการบรรลุหรือไม่ รวมถึงดูว่าการควบคุมเหล่านี้ทำงานตามที่คาดไว้ในช่วงระยะเวลาหนึ่งหรือไม่ (โดยทั่วไปคือระหว่าง 6 เดือนถึง 1 ปี) . ตัวอย่างของวัตถุประสงค์ที่จะบรรลุได้โดยใช้ระบบของบริการ ได้แก่ ความสามารถในการทำกำไรที่เพิ่มขึ้น การลดลงของการสูญเสีย/ค่าใช้จ่าย การปรับปรุงประสิทธิภาพการดำเนินงาน การปฏิบัติตามข้อกำหนดทางกฎหมาย เป็นต้น

ดังที่ได้กล่าวไปแล้ว รายงาน SOC 2 มุ่งเน้นไปที่วิธีการควบคุมตามหมวดหมู่กึ่งซ้อนทับห้าหมวดที่เรียกว่า Trust Service Criteria (TSC):

ความปลอดภัย:ข้อมูลและระบบได้รับการปกป้องจากความเสี่ยงที่สามารถประนีประนอมได้และส่งผลกระทบต่อความสามารถขององค์กรในการบรรลุวัตถุประสงค์ที่กำหนดไว้

ความพร้อมใช้งาน:ข้อมูลและระบบต้องพร้อมใช้งานเมื่อจำเป็น เพื่อให้องค์กรบรรลุวัตถุประสงค์

ความสมบูรณ์ของการประมวลผล:การประมวลผลของระบบต้องให้ข้อมูลที่เชื่อถือได้เมื่อได้รับอนุญาต เพื่อให้องค์กรสามารถบรรลุวัตถุประสงค์ได้

การ รักษาความลับ:ข้อมูลสามารถเข้าถึงได้โดยผู้มีอำนาจเท่านั้น ดังนั้นองค์กรจึงสามารถบรรลุวัตถุประสงค์ได้

ความเป็นส่วนตัว:ข้อมูลส่วนบุคคลได้รับการจัดการในลักษณะที่ช่วยให้องค์กรบรรลุวัตถุประสงค์

เนื้อหาของรายงานการตรวจสอบ SOC 2 ควรครอบคลุม:

• การยืนยันจากผู้บริหาร : การยืนยันจากฝ่ายบริหารว่าระบบที่เกี่ยวข้องกับบริการที่จัดให้ได้รับการอธิบายอย่างเป็นธรรมในรายงาน
• รายงานของผู้สอบบัญชี:สรุปการทดสอบและผลลัพธ์ที่ดำเนินการ และความเห็นของผู้สอบบัญชีเกี่ยวกับประสิทธิผลของการควบคุมของคุณเมื่อเทียบเคียงกับเกณฑ์ Trust Services
• ภาพรวมระบบ:คำอธิบายโดยละเอียดของระบบหรือบริการ
• เกณฑ์บริการที่เชื่อถือได้ที่เกี่ยวข้อง:มีการควบคุม รวมถึงประสิทธิภาพของการควบคุมเหล่านั้นโดยพิจารณาจากเกณฑ์บริการที่เชื่อถือได้
• ข้อมูลเพิ่มเติมที่เกี่ยวข้อง

ความหมายของ ISO 27001 คืออะไร?

ISO 27001 เป็นมาตรฐานที่กำหนดข้อกำหนดและการควบคุมสำหรับการปกป้องข้อมูลอย่างเป็นระบบ ใช้ได้กับองค์กรทุกขนาดและอุตสาหกรรม ประกอบด้วย 10 ข้อและ 93 การควบคุมความปลอดภัยที่จัดกลุ่มเป็นสี่ส่วน (ภาคผนวก A) ระบบการจัดการความปลอดภัยของข้อมูลที่กำหนดไว้ในข้อ 4 ถึง 10 ช่วยให้องค์กรสามารถรักษาระดับความปลอดภัยให้สอดคล้องกับวัตถุประสงค์และผลลัพธ์ที่องค์กรต้องการ (เช่น ความได้เปรียบทางการตลาด การลดลงของการสูญเสียจากเหตุการณ์ การเพิ่มประสิทธิภาพการดำเนินงาน ฯลฯ) ในแนวทางการบริหารความเสี่ยง

สำหรับข้อมูลเพิ่มเติม โปรดอ่านบทความนี้: จะเริ่มต้นจากที่ ใดกับ ISO 27001

SOC 2 และ ISO 27001 แตกต่างกันอย่างไร

ในขณะที่ SOC 2 หมายถึงชุดของรายงานการตรวจสอบเพื่อพิสูจน์ระดับความสอดคล้องของการออกแบบและการดำเนินการควบคุมความปลอดภัยของข้อมูลเทียบกับชุดของเกณฑ์ที่กำหนดไว้ (TSC) แต่ ISO 27001 เป็นมาตรฐานที่กำหนดข้อกำหนดสำหรับระบบการจัดการความปลอดภัยของข้อมูล (ISMS) ) กล่าวคือ ชุดของการปฏิบัติเพื่อกำหนด ดำเนินการ ดำเนินการ และปรับปรุงความปลอดภัยของข้อมูล ตารางด้านล่างแสดงการเปรียบเทียบโดยละเอียดระหว่าง SOC 2 และ ISO 27001 และการบังคับใช้

ISO 27001 นำไปใช้กับ SOC 2 ได้อย่างไร

ISO 27001 มีการควบคุมต่อไปนี้เป็นอย่างน้อยที่สามารถใช้เพื่อตอบสนองเกณฑ์ Trust Services:

นอกจากนี้ ในฐานะที่เป็นส่วนหนึ่งของวงจรชีวิต ISO 27001 ISMS ในระหว่างการตรวจสอบ ISO 27001 โดยมีส่วนร่วมของ CPA อิสระ คุณสามารถใช้ข้อมูลที่รวบรวมเพื่อสร้างรายงานการตรวจสอบ SOC 2 โดยปฏิบัติตามข้อกำหนดที่กำหนดไว้ใน Trust Service Criteria (TSC ).

SOC 2 กับ ISO 27001: คุณควรเลือกอันไหน

สรุปแล้ว ไม่ใช่คำถามของ ISO 27001 กับ SOC 2 เนื่องจาก SOC 2 เป็นรายงานการตรวจสอบ ในขณะที่ ISO 27001 เป็นมาตรฐานในการสร้างระบบการจัดการความปลอดภัยของข้อมูล ดังนั้นจึงสามารถมอง SOC 2 เป็นหนึ่งในผลลัพธ์ที่สามารถส่งมอบได้โดยใช้ ISO 27001 ISMS

วิธีที่เหมาะสมในการดูความสัมพันธ์ระหว่าง SOC 2 และ ISO 27001 คือ: แม้ว่าการรับรอง ISO 27001 จะไม่จำเป็นในการสร้างรายงาน SOC 2 แต่ ISO 27001 ISMS สามารถจัดเตรียมพื้นฐานที่มั่นคงสำหรับการเตรียมการนี้ได้โดยไม่ต้องเสียค่าใช้จ่ายและความพยายามเพิ่มเติม รายงานในขณะที่ยังเพิ่มความมั่นใจให้กับลูกค้าว่าองค์กรสามารถปกป้องข้อมูลของพวกเขาและสนับสนุนการบรรลุผลสำเร็จและผลลัพธ์ที่ต้องการในลักษณะแบบไดนามิก