SOC審計，即系統和組織控制審計，是由美國註冊會計師協會制定的服務商內部控制審計標準。審計由獨立的第三方服務審計師執行，並出具關於服務組織內部控制結構的報告。SOC報告已成為全球公認的數據安全審計標準。
SOC審計報告已取代早期的SAS 70報告。目前主要的報告類型包括SOC 1、SOC 2和SOC 3。SOC 1報告著重於評估與財務報告流程有關的內部控制。SOC 2報告主要關注安全性、可用性、處理完整性、保密性和隱私性這五個信任服務標準。SOC 3報告是SOC 2類型2報告的公開摘要。每種報告又分為Type 1和Type 2，Type 1針對特定時間點的控制設計，Type 2評估一段時間內的設計及運行有效性。
基本介紹
- 中文名：SOC審計
- 外文名：System and Organization Controls
- 別名：系統和組織控制審計
基本含義,發展歷程,基本特徵,套用,雲服務領域,SaaS服務商,企業辦公與通信,審計實踐與範圍,影響,相關研究,
基本含義
SOC審計，全稱System and Organization Controls（系統和組織控制），是由美國註冊會計師協會（American Institute of Certified Public Accountants,AICPA）制定的一套服務組織內部控制審計標準與報告框架，該標準在雲計算等行業得到廣泛套用。該框架旨在通過獨立的第三方審計，對服務提供商的內部控制情況進行評估並出具報告，以幫助其用戶評估和解決與外包服務相關的風險。
SOC審計報告主要分為三種類型。SOC 1報告著重於評估與用戶實體財務報告流程相關的內部控制，主要服務於用戶實體的財務報表審計師，其審計依據美國註冊會計師協會制定的SSAE No.18（鑑證準則）等標準。SOC 2報告主要關注服務組織在安全性、可用性、處理完整性、保密性和隱私性這五大信任服務標準方面的控制，是目前全球公認的數據安全審計標準（安全性指保護系統免受未授權訪問，可用性指確保系統可操作和使用，處理完整性指確保數據處理準確、完整、及時，保密性指保護指定為機密的信息，隱私性指確保個人信息的收集、使用、保留和披露符合承諾）。SOC 3報告是SOC 2 Type 2報告的簡短、面向公眾的通用摘要版本，不包含詳細的測試過程和結果，因此可以自由分發。
此外，SOC 1和SOC 2報告根據審計的時間範圍，又分為兩種類型。Type 1報告評估在某個特定時間點服務組織系統描述的公平性以及控制措施設計的合理性。Type 2報告在一段指定的時期內（通常為6至12個月）不僅評估控制設計的合理性，還評估其運行的有效性，因此通常被認為更具說服力。
發展歷程
SOC審計標準由美國註冊會計師協會（AICPA）制定。其前身是SAS 70審計報告，主要用於協助服務機構的用戶及其審計師進行財務報表審計。為滿足更廣泛的用戶需求，AICPA定義了SOC報告體系（SOC 1, SOC 2, SOC 3）以取代SAS 70。SOC報告基於SSAE 16等指引，並已於2011年6月15日後正式生效，取代了原有的SAS 70報告。審計範圍從單一的財務報告內部控制擴展至安全性、可用性、處理完整性、保密性和隱私性等多個領域。
SOC審計所依據的核心準則也經歷了演進，後統一於《鑑證業務準則公告第18號》（SSAE 18）。具體而言，SOC 1報告即是依據SSAE 18準則，對與用戶實體財務報告內部控制相關的服務組織控制進行檢查的報告，它正式取代了之前的SAS 70報告。AICPA於2022年發布了新版的信任服務標準（Trust Services Criteria， TSP），部分服務商已採用該標準進行合規實踐。
隨著雲服務和數據安全的重要性日益凸顯，SOC 2報告（特別是Type II報告）在全球範圍內被用於數據安全審計。該報告被眾多雲服務商和科技公司採用，作為證明其安全控制有效性的憑證之一。同時，面向公眾的SOC 3報告也得到發展，用於滿足更廣泛的透明度需求。
基本特徵
SOC審計依據美國註冊會計師協會制定的權威準則進行。SOC 1報告參照SSAE No. 18中的AT-C section 320，並常與ISAE 3402等國際鑑證準則結合使用。SOC 2和SOC 3報告參照SSAE No. 18中的AT-C section 205以及信任服務標準。
SOC報告主要分為SOC 1、SOC 2和SOC 3三種類型。SOC 1報告著重於評估與財務報告流程有關的控制。SOC 2報告主要關注被鑑證業務的安全性、可用性、過程完整性、保密性和隱私性。服務組織在執行SOC 2審計時，可以根據自身業務需求選擇對一個或多個控制屬性進行審計。SOC 3報告是SOC 2報告的縮略版本，是可向公眾廣泛分發的通用報告。每種報告又分為Type 1和Type 2兩種類型。Type 1報告評估在某一特定時間點控制措施設計的合理性。Type 2報告評估在一段時期內（通常為6-12個月）控制措施的設計和運行有效性。
SOC審計必須由獨立的第三方註冊會計師事務所或審計機構執行。使用外部審計員確保了審計的獨立性和公正性。
SOC 1和SOC 2報告通常受限制分發，僅對現有客戶或合作夥伴開放，下載可能需要簽署保密協定。而SOC 3報告作為通用報告，可以自由向公眾分發。SOC報告通常每年發布，覆蓋一個滾動的12個月審計期。
在兩次正式SOC報告發布之間的間隔期，服務商可能會出具過渡函（也稱為間隙字母）進行自我證明。過渡函用於確認自上次審計期末以來內控環境無重大變化，報告結論持續有效，以滿足客戶的持續審計需求。
套用
SOC審計作為一項全球公認的權威標準，已被廣泛套用於雲計算、SaaS（軟體即服務）、企業辦公與通信、金融科技等多個領域的服務組織。其審計報告用以證明服務組織的內部控制、數據安全及隱私保護能力，是建立客戶信任和滿足合規要求的關鍵憑證。
雲服務領域
在雲服務領域，SOC審計是各大雲服務商證明其基礎設施及服務安全性的核心合規認證。例如，華為雲是全球首家同時通過SOC 2 Type 2全部五大控制屬性（安全性、可用性、保密性、處理完整性、隱私性）審計的雲服務商。騰訊雲、阿里雲、AWS（亞馬遜雲科技）、IBM Cloud等也均定期發布SOC 1、SOC 2及面向公眾的SOC 3報告，以驗證其平台控制措施的設計與運行有效性。
SaaS服務商
企業辦公與通信
在企業辦公與通信領域，SOC審計同樣是衡量產品數據安全國際水準的重要標尺。例如，企業微信是國內首家通過基於安全性、保密性和隱私性原則的SOC 2 Type 2審計的企業辦公產品。
審計實踐與範圍
具體的SOC審計實踐覆蓋廣泛，審計範圍通常從數據中心的基礎設施安全，延伸至上層應用程式的邏輯安全與業務流程控制。審計涉及加密機制、訪問許可權管理、操作審計留痕、災備恢復、系統可用性、處理完整性以及隱私保護等數百項控制點。SOC 2 Type 2審計會對這些控制措施進行長達數月（通常為6-12個月）的持續運行有效性驗證。
影響
SOC報告是具有較高權威性和專業性的數據安全審計報告之一，是建立客戶信任和滿足合規要求的關鍵憑證。
對於服務商而言，通過SOC審計有助於改進信息安全實踐，更好地防禦網路攻擊並防止違規，同時獲得市場競爭優勢，是企業級雲服務安全能力的重要資質證明。
對於客戶而言，SOC報告是客戶選擇雲服務廠商時的重要參考依據。客戶獲得SOC報告，能較為全面地了解第三方評估機構對服務商內部控制的客觀描述，並可向自身審計師提供該報告，有助於降低審計成本。
在《中華人民共和國數據安全法》等法規加強數據安全保護的背景下，SOC審計為企業數據安全合規提供了國際化的參考框架和證明。
相關研究
SOC審計的研究常涉及與其他安全、合規框架的對比與協同。主要方向包括SOC 2與ISO/IEC 27001的異同與互補關係，與其他標準如雲安全聯盟雲控制矩陣的協同實施，以及用戶實體責任議題。
SOC 2與ISO/IEC 27001均是重要的信息安全治理框架，但側重點不同。SOC 2審計基於美國註冊會計師協會制定的信任服務標準，側重於評估服務組織在安全性、可用性、處理完整性、保密性和隱私性方面的內部控制有效性。而ISO 27001是一個更全面的信息安全管理體系認證標準，要求組織建立、實施、維護和持續改進ISMS。ISO 27001是管理標準，而不是安全標準。理想的安全狀態是SOC 2和ISO 27001並用，通過SOC 2定義安全級別，然後以ISO 27001來打造更高標準的安全管理體系。兩者在實踐中常被一併提及，許多服務組織會同時獲取SOC 2報告和ISO 27001認證，以向客戶展示其在特定控制原則和整體管理體系上的雙重承諾。
為提升審計效率並滿足廣泛的客戶及法規要求，SOC 2審計在實踐中常與其他標準協同實施。例如，微軟的Office 365SOC 2 Type 2審計在依據AICPA信任服務標準的同時，也涵蓋了雲安全聯盟雲控制矩陣的要求，旨在通過一次審計滿足SOC 2和CSA STAR認證等多重標準。
SOC報告會明確劃分服務商的控制責任和用戶實體自身需承擔的控制責任。用戶不應僅依賴SOC報告中的信息，而應使用其他驗證和監視程式來評估外包服務的風險，因此用戶實體必須清晰理解自身的責任邊界，並採取相應的控制措施。
