Дайте мені огляд різних типів звітів SOC і для чого вони використовуються
Системний і організаційний контроль (SOC) (також іноді називають контролем служби організації), як це визначено Американським інститутом сертифікованих бухгалтерів (AICPA), є назвою набору звітів, що виробляються під час аудиту. Вона призначена для використання службовими організаціями (організаціями, які надають інформаційні системи в якості послуги іншим організаціям) для видачі перевірених звітів про внутрішній контроль над цими інформаційними системами користувачам цих послуг. Доповіді зосереджуються на контролях, згрупованих у п'ять категорій, які називаються Принципи довірчих послуг. Стандартного звіту AICPA про стандарти сертифікаційних зобов'язань No. 18 (SSAE 18), розділ 320, «Повідомлення про перевірку контролю в організації-послузі, що стосується внутрішнього контролю суб'єктів-користувачів над фінансовою звітністю», визначає два рівні звітності, тип 1 і тип 2. Додаткові матеріали AICPA вказують на три типи звітності: SOC 1, SOC 2 і SOC 3.

Принципи служби довіри
SOC 2 доповіді зосереджуються на контролях, спрямованих на п'ять напівперекритих категорій, званих Принципи довірчих послуг, які також підтримують триаду інформаційної безпеки ЦРУ:

Безпека
Фейєрверки
Виявлення вторгнення
Багатофакторна аутентифікація
Доступність
Моніторинг продуктивності
Відновлення катастрофи
Здійснення інциденту
конфіденційність
шифрування
Контроль доступу
Фейєрверки
Цілісність обробки
Забезпечення якості
Моніторинг процесу
Дотримання принципу
Приватність
Контроль доступу
Багатофакторна аутентифікація
шифрування
Звітність
Рівень
Існує два рівні звітів SOC, які також визначені SSAE 18:

Тип I, який описує системи службової організації та чи відповідає дизайн зазначених контролів відповідним принципам довіри. (Чи є ймовірність, що проект і документація досягнуть цілей, визначених у звіті?)
Тип II, який також стосується оперативної ефективності зазначених контролів протягом періоду часу (зазвичай від 9 до 12 місяців). (Чи має бути реалізовано відповідне рішення?)
Типи
Існує три типи звітів SOC.

SOC 1 - Внутрішній контроль за фінансовою звітністю (ICFR)
SOC 2 - Критерії довірчих послуг
SOC 3 - Критерії довірчих послуг для звіту про загальне використання
Крім того, існують спеціалізовані звіти SOC для кібербезпеки та ланцюга поставок.

SOC 1 і SOC 2 звіти призначені для обмеженої аудиторії – зокрема, користувачів з адекватним розумінням системи. Звіти SOC 3 містять менш конкретну інформацію і можуть бути розповсюджені широкій публіці.
Різними типами звітів SOC є SOC 1, SOC 2 і SOC 3. Кожен звіт використовується для організації третьої сторони для розуміння контролю іншої організації. SOC 1 звіти охоплюють контроль над фінансовою звітністю, SOC 2 звіти охоплюють критерії довірчих послуг (безпека, доступність, конфіденційність, цілісність обробки та конфіденційність), а SOC 3 звіти є звітами SOC 2 загального використання.