SOC 2 type 1 en type 2: het assurance-rapport uitgelegd

SOC 2 type 2 is een assurance-rapport waarin een onafhankelijke auditor beoordeelt of uw beheersmaatregelen over een periode echt hebben gewerkt. Assurance betekent dat een onafhankelijke deskundige een oordeel geeft aan de hand van vaste criteria. Bij SOC 2 zijn dat de Trust Services Criteria van de AICPA, de Amerikaanse beroepsorganisatie van accountants.

Het belangrijkste om te onthouden: SOC 2 is een rapport en geen certificaat. U krijgt geen keurmerk voor uw website, maar een vertrouwelijk rapport dat u met klanten deelt. Daarin staat hoe uw maatregelen zijn opgezet en, bij type 2, hoe ze een periode lang hebben gewerkt. Juist dat maakt het waardevol voor klanten die willen weten waar ze op kunnen bouwen.

Hieronder leest u wat de criteria inhouden en wat het verschil is tussen type 1 en type 2. Daarna ziet u hoe u als afnemer een rapport leest en hoe SOC 2 zich verhoudt tot ISO 27001. SOC 2 is een van de kaders uit het overzicht informatiebeveiliging. Wilt u zelf een rapport laten opstellen, kijk dan bij de SOC 2-verklaring.

Wat een SOC 2-rapport wel en niet is

SOC staat voor System and Organization Controls. De AICPA kent drie soorten rapporten. SOC 1 gaat over beheersing die de financiële verslaggeving van uw klanten raakt. SOC 2 gaat over beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. SOC 3 is een beknopte versie van SOC 2 voor een breed publiek, zonder de details van de tests.

Onder Amerikaanse regels stelt een CPA het rapport op: een accountant die is aangesloten bij de AICPA. In Nederland kan een register-IT-auditor een vergelijkbaar rapport uitbrengen onder de internationale standaard ISAE 3000. De beroepsorganisatie NOREA heeft daar een handreiking voor. Wat ISAE 3000 inhoudt, leest u in ISAE 3402 en ISAE 3000.

Een SOC 2-rapport is bestemd voor een beperkte kring: uw klanten, hun auditors en eventueel toezichthouders. Het hoort niet op een openbare website. Wie het rapport presenteert als keurmerk, wekt volgens NOREA een verkeerde indruk. Voor openbaar gebruik bestaat het SOC 3-rapport.

De Trust Services Criteria: beveiliging plus wat u kiest

De Trust Services Criteria beschrijven vijf categorieën. Beveiliging zit in elk SOC 2-rapport; de criteria daarvoor heten de common criteria. De andere vier neemt u op als ze passen bij wat u uw klanten belooft.

Kies niet meer categorieën dan nodig. Elke extra categorie betekent extra criteria, extra bewijs en extra testwerk. Belooft u klanten een vaste beschikbaarheid, dan ligt die categorie voor de hand. Verwerkt u vertrouwelijke klantgegevens, dan kijkt u eerder naar vertrouwelijkheid of privacy.

Let wel op bij privacy. De privacycriteria van SOC 2 dekken de AVG niet volledig. Wilt u privacy aantonen als managementsysteem, kijk dan ook naar ISO 27701.

Type 1 tegenover SOC 2 type 2

Het verschil zit in de tijd. Een type 1-rapport beoordeelt of uw maatregelen op één moment goed zijn opgezet. Een SOC 2 type 2-rapport beoordeelt daarnaast of ze gedurende een periode effectief hebben gewerkt. De auditor toetst dat met steekproeven, verspreid over die hele periode.

Hoe lang de periode is, ligt niet vast. In de praktijk beslaat een type 2-rapport vaak zes tot twaalf maanden. Een eerste rapport heeft soms een kortere periode, omdat u ergens moet beginnen.

Veel organisaties laten eerst een type 1 opstellen en schuiven daarna door naar type 2. Dat is geen verplichting. Draaien uw maatregelen al een tijd, dan kunt u ook direct met een observatieperiode beginnen. Dat is de periode waarover de auditor de werking toetst.

Zo is een SOC 2-rapport opgebouwd

Een SOC 2-rapport heeft een vaste opbouw. Wie die kent, vindt snel wat ertoe doet.

• Verklaring van het management. De dienstverlener verklaart dat de beschrijving van het systeem klopt en dat de maatregelen goed zijn opgezet. Bij type 2 verklaart hij ook dat ze hebben gewerkt.
• Rapport van de auditor. Het oordeel van de onafhankelijke auditor over de beschrijving, de opzet en de werking.
• Beschrijving van het systeem. Welke dienst het betreft, met de infrastructuur, software, mensen, procedures, data en onderaannemers.
• Criteria, maatregelen en tests. Per criterium de maatregel, wat de auditor heeft getest en wat daaruit kwam.
• Overige informatie. Een optioneel deel dat de auditor niet heeft onderzocht, zoals een toelichting van de dienstverlener.

Het oordeel van de auditor kan goedkeurend zijn, met beperking, afkeurend, of een oordeelonthouding. Bij een oordeel met beperking zijn niet alle criteria gehaald. Dat hoeft geen breekpunt te zijn, zolang u begrijpt welk deel van de dienst het raakt.

Een SOC 2-rapport lezen als afnemer

Krijgt u een rapport van een leverancier, lees dan verder dan het oordeel op de eerste pagina. Vijf punten vertellen u of het rapport iets zegt over de dienst die u afneemt.

• Scope. Gaat de beschrijving over de dienst die u afneemt, en over de locaties en onderdelen die u gebruikt?
• Periode. Ligt het einde van de periode ver terug, vraag dan om een bridge letter. Dat is een verklaring van het management van de leverancier dat er sindsdien niets wezenlijks is veranderd. Die komt van de leverancier zelf, niet van de auditor.
• Uitzonderingen. In het testdeel staat waar steekproeven afwijkingen lieten zien. Kijk of het om incidentele fouten gaat en wat de leverancier eraan heeft gedaan.
• Maatregelen bij uzelf. Het rapport noemt complementary user entity controls: maatregelen die de leverancier van u verwacht, zoals het tijdig intrekken van accounts van vertrokken medewerkers. Dat is uw huiswerk.
• Onderaannemers. Is bijvoorbeeld de hosting uitgesloten via de carve-out-methode, dan valt die buiten het oordeel. Vraag dan ook naar het rapport van die onderaannemer.

Leg uw bevindingen vast in uw leveranciersbeoordeling. Zo kunt u later laten zien waarom u de leverancier vertrouwt, bijvoorbeeld aan uw eigen auditor.

SOC 2 naast ISO 27001

SOC 2 en ISO 27001 worden vaak in één adem genoemd, maar ze beantwoorden een andere vraag. ISO 27001 toetst of u een managementsysteem voor informatiebeveiliging heeft dat werkt en verbetert. SOC 2 toetst of specifieke maatregelen voor een specifieke dienst hebben gewerkt.

Heeft u ISO 27001 al, dan is een groot deel van het werk gedaan. Veel maatregelen uit bijlage A van ISO 27001 komen terug in de common criteria. Wat erbij komt, is vooral de beschrijving van het systeem en het bewijs over de hele periode. Meer over de norm zelf leest u in wat is ISO 27001.

Wanneer SOC 2 type 2 de juiste keuze is

SOC 2 komt veel voor bij software- en clouddienstverleners. De vraag komt vaak van klanten met een Amerikaanse achtergrond, of van internationale inkoopafdelingen die deze rapporten gewend zijn.

Vraagt een Nederlandse klant om zekerheid over beveiliging, dan kan een ISO 27001-certificaat of een ISAE 3000-verklaring net zo goed passen. Vraag daarom eerst wat uw klant wil zien, en waarom. Ook financiële instellingen die onder de DORA-wetgeving vallen, vragen hun ICT-leveranciers om zulk bewijs.

Kiest u voor SOC 2 type 2, plan dan in jaren. Afnemers willen een recent rapport, dus in de praktijk laat u het elk jaar opnieuw opstellen. Richt het bewijs zo in dat het tijdens het werk vanzelf ontstaat. Dan wordt elke volgende ronde lichter.

Veelgestelde vragen over SOC 2 type 2

Is SOC 2 een certificaat, net als ISO 27001?

Nee. SOC 2 levert een assurance-rapport op met het oordeel van een onafhankelijke auditor. Er is geen certificaat en geen keurmerk voor uw website. ISO 27001 leidt wel tot een certificaat, afgegeven door een certificatie-instelling.

Wat is het verschil tussen SOC 2 type 1 en type 2?

Type 1 beoordeelt de opzet van uw maatregelen op één moment. Type 2 beoordeelt daarnaast of ze over een periode hebben gewerkt, met steekproeven. Afnemers vragen meestal om type 2, omdat alleen dat de werking aantoont.

Hoe lang duurt het voordat u een SOC 2 type 2-rapport heeft?

Dat hangt vooral af van de observatieperiode, want de auditor kan pas oordelen als die voorbij is. Daar komen de voorbereiding en de rapportage nog bij. Reken daarom eerder in kwartalen dan in weken.

Is ISAE 3000 hetzelfde als SOC 2?

Niet helemaal. ISAE 3000 is een internationale standaard voor assurance over niet-financiële onderwerpen. Een Nederlandse register-IT-auditor kan daarmee een rapport uitbrengen dat inhoudelijk op SOC 2 lijkt, met dezelfde criteria. Het AICPA-logo hoort daar niet bij.

Wie mag een SOC 2-rapport opstellen?

Onder Amerikaanse regels een CPA die is aangesloten bij de AICPA. In Nederland kan een register-IT-auditor een gelijkwaardig rapport uitbrengen onder ISAE 3000. Wie u helpt met de voorbereiding, kan het rapport niet zelf tekenen, omdat de auditor onafhankelijk moet zijn.