什麼是 SOC 2 Type II 合規？

什麼是 SOC 2 Type II 合規？

SOC 2 Type II 合規性是服務組織的架構，可針對資料安全標準展現適當的控制。

在現今的服務驅動環境中，組織的資料很少只存在於自身的 IT 環境中。這些資料通常受到許多供應商和服務供應商的信任。在認證協助下，選擇與哪家廠商信任資料是最重要的部分，這可以證明其符合某些安全性和機密性標準。 

合規認證屬於框架，並經過第三方稽核人員驗證。他們可以為客戶提供核准戳記，讓供應商具備所有必要的控管和保護，以確保其資料盡可能安全。其中一個架構稱為服務組織控制 （SOC） 架構。

如果您是供應商或服務供應商，可能會要求您提供 SOC 2 資料合規性報告。如果您是客戶，您可以申請 SOC 認證，以驗證供應商或供應商是否具備適當的資料合規性控制措施。 

我們來深入了解這個服務供應商特定的法規遵循標準，包含哪些內容，以及為何它如此重要。

什麼是 SOC 2 Type II？

SOC 2 Type II 概覽

資料合規性認證通常需要作為聘用的先決條件或合約義務。SOC 2 Type II 法規遵循是專為服務組織所設計。SOC 2 Type II 包含資料安全性、可用性、機密性、隱私和交易處理完整性的原則。II 型表示稽核已長時間執行，通常為六個月。 

這些標準對於確保跨供應商的 IT 系統提供頂尖的資訊安全 （InfoSec） 保護，並遵守供應商與客戶的合約至關重要。 

有多少 SOC 標準？

SOC 2 合規報告中有五項服務標準或信任原則。安全性是必要的，而其他標準則可能更符合產業或業務特定條件。每一項都會觸發不同類型控制的要求。

• 安全性：這是 SOC 2 合規所需的最重要、基線服務類別。
• 可用性：這對於擁有嚴格 SLA 的服務供應商而言非常重要，這些供應商在軟體即服務 （SaaS）、平台即服務 （PaaS） 或基礎架構即服務 （IaaS） 產品方面必須滿足這些要求。如果 IT 服務被視為對客戶至關重要的任務，資料可用性就是關鍵。
• 處理完整性：這適用於為金融或電子商務客戶處理交易的服務。
• 機密性：當您為客戶處理的資料具有敏感性（例如智慧財產）時，這是您 SOC 2 Type II 合規性的關鍵支柱。
• 隱私：請勿與上述保密性混淆，本原則針對個人識別資訊 （PII），如健康紀錄。

SOC 2 Type II 的評估項目為何？

在 SOC 2 Type II 合規性稽核中，設計來符合上述服務標準的政策和控制會評估其有效性，通常為期六個月。控管措施是否適合標準？ 您的組織在執行時是否一致？

什麼是 SOC 2 Type II 認證？

SOC 2 Type II 認證是第三方稽核人員證明，組織的政策通過了 SOC 2 Type II 合規性的稽核。

SOC 2 Type II 法規遵循有何好處？

SOC 2 Type II 的優勢在於改善組織內部和供應商的資料安全性和保護的整體健康狀況。對於服務供應商而言，SOC 2 Type II 認證有助於提高贏得合作夥伴或客戶勝過競爭對手的機會。對客戶而言，資料將具備適當的控制和防護，是顯而易見的證明。

誰需要符合 SOC 2 Type II 規範？

任何處理客戶資料或敏感資訊的供應商，若希望履行客戶在 SOC 2 Type II 合規方面的合約義務，都可以從認證中獲益。

SOC 2 vs. 其他合規認證

SOC 1 和 SOC 2 之間的差異

SOC 1 和 SOC 2 有何不同？ SOC 1 不著重於安全性標準，而是財務報告標準。SOC 1 也專為服務組織而設計，尤其是那些將某些財務功能外包給那些組織。請注意，SOC 1 稽核通常與會計年度一致，包含五種服務標準，包括控制環境、風險評估、控制活動、通訊與資訊，以及監控。 

SOC 2 與 ISO-27001 之間的差異

SOC 2 Type II 和 ISO-27001 都是著重於管理資訊安全的架構。雖然 SOC 2 Type II 評估了安全控制的整體有效性，但 ISO-27001 是一種非常規範性、系統化的資訊安全管理系統方法。ISO-27001 的主要重點是內部系統和控制，並且是標準，而 SOC 2 Type II 是進行稽核的架構。

SOC 2 Type II vs. PCI DSS、HIPAA、GDPR 

有許多法規遵循架構，它們有何不同，以及哪些組織需要它們？

SOC 2 Type II 和支付卡產業資料安全標準 （PCI DSS） 是兩種截然不同的合規性框架，幾乎沒有重疊。PCI DSS 與信用卡資訊與交易處理方式的控制特別相關。PCI DSS 也僅適用於金融服務供應商，而 SOC 2 Type II 則涵蓋更多產業。最後，PCI DSS 每年進行一次，而不是由會計師事務所進行。

SOC 2 Type II 和健康保險可攜性與責任法案 （HIPAA） 在受保護的資料重點領域也有所不同。HIPAA 僅適用於處理患者資料的醫療機構和服務供應商（且為法律要求），而 SOC 2 Type II 可能包含醫療機構，但對他們而言並非強制性。此外，雖然 SOC 2 Type II 並不如規範如何符合服務標準，但 HIPAA 具有非常具體的標準，必須符合才能符合規範。

SOC 2 Type II 和一般資料保護規範 （GDPR） 都是解決資料安全性和隱私問題的架構。GDPR 架構僅適用於處理歐盟居民個人資料的組織，並著重於資料隱私和保護權利。這需要控制資料使用方式的透明度、被遺忘的權利、資料最小化和同意。雖然 SOC 2 Type II 並非強制規定，但 GDPR 是 GDPR 的，不遵守可能會招致法律後果和罰款。

準備進行 SOC 2 Type II 評估

為 SOC 2 Type II 稽核做準備是一項團隊工作，可能需要相當幾個員工時數才能下場。決定實施 SOC 2 Type II 合規性，也可能需要大量的內部支援，才能讓事情持續進行，並長期納入流程中。 

協助準備 SOC 2 Type II 評估的步驟

1. 了解您要求 SOC 2 合規性背後的原因。無論是客戶要求還是其他原因，這都將幫助您了解合規認證的截止日期、涉及的工作範圍等。這也將有助於您識別現有的政策，這些政策可能有所幫助，並為稽核員提供背景和範圍。
2. 在您的組織內召集正確的個人團隊，讓他們加入 SOC 2 Type II。根據您進行 SOC 2 Type II 的時間範圍，您可能需要更多人參與某些任務、證據收集和發展。此群組可能包括：
   
   • 領導力，例如執行長、技術長、首席資訊安全官，以及其他高階主管
   • DevOps
   • 人力資源，因為員工可能進入稽核範圍
   • 資訊安全
3. 資訊安全準備提供範圍。準備好回答特定資料的問題，例如您的服務託管地點（公有雲、就地部署）、容量預測、辦公地點（是零信任環境，還是伺服器需要列入白名單？）、儲存敏感資料等。

與第三方稽核人員合作，確保符合 SOC 2 Type II 規範

SOC 2 框架由美國註冊會計師協會 （AICPA） 開發，必須由會計師事務所完成稽核。

當您評估一家公司稽核您是否遵循 SOC 2 Type II 規範時，請考慮品質和經驗以及成本，以及他們是否適合與您的團隊一起工作數週或數月，並成為您組織的長期顧問和合作夥伴。

問題：他們是否在成功稽核方面有良好的記錄？ 公司是否有針對您產業的稽核經驗？ 歡迎提出同儕審查、稽核人員文件的必要第三方審查，以及推薦。

此外，請儘早考慮讓稽核師參與，因為稽核師在協助您規劃專案範圍，並在內部調整正確的資源，以配合您的期限（如果有的話）。

• 選好稽核員後，您將看到： 
• 設定期望的範圍和探索練習
• 準備度評估，由上而下探討差距、您需要開始的事項、已制定的政策等。
• 進度查核，邁向最終測試
• 認證考試

在稽核期間，您需要提供各項政策、控管措施和證據。 

如何維持 SOC 2 Type II 認證

值得注意的是，SOC 2 Type II 的合規性並非一回事。這需要勤奮和持續努力。維持 SOC 2 Type II 認證需要持續監控、記錄、事件揭露與回應、員工訓練與定期評估。這是為了顯示組織持續致力於遵守法規，並做出必要的政策變更和升級。

作為 ISO 27001 認證組織，Pure Storage 提供多種產品和服務，旨在為客戶提供全面的監控和控制資料。查看我們的現代化資料保護解決方案套件，了解我們如何協助您達成資料安全合規目標。