SOC 1

9 年 2020 月 XNUMX 日 | 百库

系统与组织控制(SOC) 是一项源于财务系统和审计的审计标准。SOC 审计分为三种类型，其中 SOC Type 1 最为简单。SOC Type 1 审计是由第三方对组织的会计和财务控制进行审计，旨在提供关于公司财务管理状况的独立意见。SOC Type 2 审计则会深入到安全性、可用性、流程完整性、保密性或隐私性等方面的其他控制措施。

SOC 1 进一步细分为两种审计形式：SOC 1 I 型和 SOC 1 II 型。I 型审计在特定时间和日期执行，而 SOC 1 II 型报告则基于一段时间内（通常为 9 至 12 个月）的控制测试。II 型报告通常被认为更可靠。

对SOC审计的批评：

所有组织都是独一无二的。SOC 审计不会指定需要创建和测试的最低限度的组织控制措施。优秀的审计公司会针对缺失的控制措施提供改进建议，但组织本身通常会设定第三方审计需要审查的控制措施。普遍存在的批评是，如果受审计公司没有指定某项控制措施，可能是因为他们在该控制措施方面存在问题。然而，他们却会在没有包含该控制措施的情况下通过审计。因此，在审查 SOC 审计时，务必关注应包含哪些控制措施，并追究公司在 SOC 审计中缺失控制措施的责任。

来源：《信息安全杂志》

这对于中小企业来说意味着什么？

中小企业应始终采取措施构建一套完善的组织控制体系。这不仅适用于财务控制，也适用于网络安全控制。大多数中小企业认为，除了某些监管要求之外，自行开展 SOC 审计的价值并不高。然而，一些非常成熟的中小企业可能希望将其流程规范化，进行内部测试，然后安排外部第三方机构通过 SOC 1 Type II 或 SOC2 Type II 审计进行测试。通常情况下，Type 1 审计并不值得投入精力。中小企业面临的问题是，SOC 审计的准备工作成本不低，聘请外部公司完成审计的费用也不低（通常起价约为 2 万美元）。

然而，中小企业可以通过一些方法着手构建正式流程并进行最基本的内部风险评估。CyberHoot 通过其评估模块，帮助众多企业识别安全计划中的漏洞。该模块包含基于网络安全、PCI 和 HIPAA 的评估问卷。风险评估和 SOC 审计是保障企业安全的有效途径。CyberHoot 可以通过其政策和流程管理、培训计划以及网络钓鱼测试，在帮助企业做好审计准备方面发挥关键作用。如需了解更多信息，请发送电子邮件至sales@cyberhoot.com ！