En ögonblicksbild.
Bedömer kontroller vid en bestämd tidpunkt. Kan vara ett första steg när underlag för en hel granskningsperiod ännu saknas.
SOC 2 visar hur en serviceorganisation hanterar kontroller för relevanta system och information. Utforska din tidsplan, förstå rapporten och hitta rätt första steg.
Från förberedelse till rapport
Möjlig rapportmånad
Typ 1 · en tidpunkt
Begär en offert utifrån er organisation, omfattning och rapportbehov.
Ett planeringsscenario, inte ett utlovat revisionsdatum. Modellen räknar med en månad för slutgranskning och vid behov en månad för förberedelse. För typ 2 tillkommer den valda granskningsperioden. Större brister kan kräva mer förberedelse. Omfattning, period och leveransdatum avtalas med den oberoende granskaren.
Beskriv organisationens storlek, tjänsten, omfattningen och önskat datum. Ditt planeringsscenario skickas med förfrågan.
Öppna formuläret i en ny flikEn oberoende SOC 2-rapport hjälper kunder att bedöma kontrollerna för en avgränsad tjänst. Den kan vara relevant för SaaS, molntjänster och utlagda tekniktjänster.
Värdet ligger i systemets omfattning, valda kriterier, period och granskarens uttalande. En logotyp säger inte att alla tjänster är granskade eller att säkerheten är felfri.
Underlag för ett beslut. Ingen garanti för fullständig säkerhet.
SOC 2 använder AICPA:s Trust Services Criteria. Säkerhet är grunden. Tillgänglighet, behandlingsintegritet, konfidentialitet och integritet för personuppgifter ingår utifrån tjänstens åtaganden och den avtalade omfattningen.
Definiera tjänst, data, system, människor och leverantörer. Era åtaganden och systemkrav styr vilka risker som behöver hanteras.
Båda rapporttyperna behandlar systembeskrivningen och kontrollernas utformning. Typ 2 granskar även om kontrollerna fungerat effektivt under den angivna perioden.
Bedömer kontroller vid en bestämd tidpunkt. Kan vara ett första steg när underlag för en hel granskningsperiod ännu saknas.
Bedömer även om kontrollerna har fungerat effektivt under den avtalade perioden. Bevisningen måste stödja denna period.
ISO/IEC 27001 gäller ett ledningssystem för informationssäkerhet. SOC 1 och ISAE 3402 gäller kontroller relevanta för kundernas finansiella rapportering. SOC 2 använder tillämpliga Trust Services Criteria för ett avgränsat system. Börja med kundens faktiska krav.
Fråga vilken rapport, omfattning och period kunden behöver. Kontrollera tidsfristen innan ni lovar ett datum.
Kartlägg tjänsten, processerna, leverantörerna och kontrollerna. Identifiera saknade kontroller och underlag.
Sätt kontrollerna i drift och spara bevis på genomförandet. Programvara hjälper till men ersätter inte ansvar.
Avtala om omfattning, rapporttyp och tidplan med en oberoende granskare. Läs uttalande, tester och avvikelser.
Indexet hjälper dig att hitta organisationer och deras uppgivna rapportinformation. Om en rapport accepteras beror på kundens krav, omfattningen och tillämpliga regler. En listning verifierar inte en rapport eller aktuell efterlevnad.
Utforska organisationsindexet ↗Detta är en oberoende söktjänst, inte ett officiellt register från standardutgivaren.
Om plattformen ↗Förstå rapporten innan ni köper ett verktyg, lovar ett datum eller fastställer omfattningen.
Visa min planering ↑SOC 2 är en oberoende granskning av en serviceorganisations systembeskrivning och kontroller mot tillämpliga Trust Services Criteria. Rapporten beskriver omfattningen och granskarens uttalande.
Resultatet är en granskningsrapport, inte ett allmänt säkerhetscertifikat. Bedöm omfattning, typ, period, uttalande och avvikelser även om kunden använder uttrycket ”SOC 2-certifiering”.
Leverantörer som hanterar kundsystem eller data kan få krav på en rapport, särskilt inom SaaS och molntjänster. Kundkrav och avtal avgör behovet.
Security, Availability, Processing Integrity, Confidentiality och Privacy. Säkerhet är grunden. Ytterligare kategorier väljs utifrån tjänstens åtaganden och avtalad omfattning.
Typ 1 bedömer system och kontrollutformning vid en bestämd tidpunkt. Typ 2 bedömer även effektivitet under en period och innehåller kontrolltester och resultat.
Inte alltid. Typ 1 kan vara ett första steg. Välj rapporttyp med granskaren utifrån kundbehov, beredskap och tillgänglig bevisning.
Förberedelser, granskningsperiod och slutgranskning påverkar tiden. Kalkylatorn visar ett scenario, inte en utfäst leveransdag. Större brister kan kräva mer förberedelse.
Omfattning, komplexitet, platser, kategorier, rapporttyp och beredskap avgör offerten. Jämför förberedelse, programvara och oberoende granskning separat. Begär en anpassad offert efter planeringen.
Ja. En tydligt avgränsad tjänst kan göra arbetet hanterbart. Ni behöver fortfarande ansvariga kontrollägare och tillräckliga bevis. Börja med det konkreta kundbehovet.
Exempel är behörighetsgranskningar, ändringsloggar, incidenthantering, riskbedömningar och leverantörsuppföljning. Exakta krav följer systemet och kontrollerna. Typ 2 kräver underlag för perioden.
Nej. GRC-verktyg hjälper till att organisera kontroller och bevis. Organisationen ansvarar för kontrollerna, och en oberoende granskare utför granskningen och lämnar uttalandet.
Inte automatiskt. ISO/IEC 27001 gäller ett ledningssystem. SOC 2 gäller ett avgränsat system och tillämpliga Trust Services Criteria. Kontrollera vilken rapport kunden behöver.
SOC 1 gäller kontroller relevanta för kundernas finansiella rapportering. SOC 2 använder Trust Services Criteria. ISAE 3402 har också fokus på finansiell rapportering.
En licensierad, oberoende CPA genomför en SOC 2-granskning enligt AICPA:s Attestation Standards. Kontrollera behörighet, erfarenhet och oberoende. Konsulter och programvaruleverantörer har inte automatiskt rätt att utfärda rapporten.
Nej. Rapporten kan stödja leverantörsbedömningen, men dataskyddskrav, avtal, överföringar och den faktiska behandlingen behöver bedömas separat.
Den gäller en angiven tidpunkt eller period, inte dagens kontroller för alltid. Kunder begär ofta löpande rapportering. Avtala om intervall och hantera tidsluckor.
SOC 2-rapporter är avsedda för vissa kunniga användare och delas ofta under kontrollerade former. Fråga efter aktuell rapport och åtkomstvillkor. SOC 3 är ett separat alternativ för allmän användning.
Nej. Indexet hjälper dig att hitta organisationen. Begär originalrapporten och bedöm omfattning, datum, uttalande och avvikelser. Avsaknad av listning bevisar inte att en rapport saknas.
Tillämpliga yrkesstandarder och det avtalade uppdraget styr granskningen.
AICPA: SOC-rapporter och Trust Services Criteria ↗Uppdaterad 15 november 2026