SOC 2 is een assurance-rapportage op basis van de Trust Services Criteria van de Amerikaanse beroepsorganisatie AICPA. Het geeft je (potentiële) klanten onafhankelijke zekerheid over hoe je omgaat met beveiliging en, als je dat toevoegt, met beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy.
De vijf Trust Services Criteria
SOC 2 is opgebouwd rond vijf criteria. Beveiliging (security) is altijd verplicht; de andere vier kies je op basis van wat voor jouw dienst en klanten relevant is:
- Beveiliging: bescherming tegen ongeautoriseerde toegang (verplicht).
- Beschikbaarheid: is het systeem beschikbaar zoals afgesproken?
- Verwerkingsintegriteit: verloopt de verwerking juist, volledig en tijdig?
- Vertrouwelijkheid: wordt vertrouwelijke informatie goed beschermd?
- Privacy: wordt met persoonsgegevens omgegaan zoals toegezegd?
Type 1 en Type 2
- Type 1 beoordeelt of de beheersmaatregelen op een peildatum passend zijn opgezet.
- Type 2 toetst ook de werking over een periode (vaak zes tot twaalf maanden). Klanten vragen doorgaans om Type 2.
Voor wie is SOC 2 relevant?
Vooral voor technologie- en SaaS-bedrijven die data van klanten verwerken of hosten, en die internationaal (met name in Angelsaksische markten) zakendoen. Een SOC 2-rapport is daar vaak een standaardvraag in het inkoop- of leveranciersbeoordelingsproces. Eén rapport bespaart je talloze losse vragenlijsten en klantaudits.
SOC 1, SOC 2 en SOC 3
Er bestaan meerdere SOC-rapporten, elk met een ander doel:
- SOC 1 richt zich op beheersing die relevant is voor de financiële verslaggeving van klanten, vergelijkbaar met ISAE 3402.
- SOC 2 gaat over beveiliging en de aanverwante Trust Services Criteria en is bedoeld voor een geïnformeerd publiek, zoals klanten en hun auditors. Dit rapport is doorgaans vertrouwelijk.
- SOC 3 behandelt dezelfde onderwerpen als SOC 2, maar in een beknopte, openbare vorm die je vrij mag delen, bijvoorbeeld op je website.
Voor de meeste technologie- en SaaS-bedrijven is een SOC 2 Type 2 het rapport waar klanten om vragen.
SOC 2 versus ISAE 3402
Beide geven assurance over de beheersing bij een serviceorganisatie. ISAE 3402 richt zich op beheersing die relevant is voor de financiële verslaggeving van klanten; SOC 2 kijkt breder naar beveiliging en aanverwante criteria en is populair in de tech-sector. We zetten ze naast elkaar in deze vergelijking.
Hoe bereid je je voor?
Begin met een korte nulmeting: welke criteria zijn relevant, en waar zitten de gaten tussen je huidige beheersing en wat SOC 2 vraagt? Op basis daarvan bepaal je of je start met een Type 1 (momentopname) en later doorgroeit naar Type 2.
Benieuwd of SOC 2 de juiste keuze is voor jouw klantvraag? Plan een kennismaking, dan denken we mee.