SOC 2 · AICPA Trust Services Criteria
SOC 2 op de maatregelen die je al hebt.
Een SOC 2-rapport laat je klanten zien hoe je maatregelen presteren tegen de Trust Services Criteria. Met Basenorm hergebruik je je ISO 27001-maatregelen en -bewijs voor SOC 2, op één bibliotheek met maatregelen.
Gehost in Nederland. Je data blijft in de EU.In het kort
- Soort
- AssurancerapportOpgesteld door een onafhankelijk CPA-kantoor, geen certificaat
- Criteria
- Trust Services CriteriaSecurity, plus optioneel beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy
- Rapport
- Type I of Type IIOpzet op een moment, of werking over een periode
- Vaak gevraagd door
- Noord-Amerikaanse klantenAls onderdeel van leveranciersbeoordeling
01 / Wat SOC 2 omvat
Waar SOC 2
naar kijkt.
Je kiest de Trust Services Criteria die bij je diensten passen. Security valt altijd binnen de scope.
- 1Security
Bescherming tegen onbevoegde toegang. De common criteria, altijd in scope.
- 2Beschikbaarheid
Je systeem is beschikbaar voor gebruik zoals afgesproken.
- 3Verwerkingsintegriteit
Verwerkingen zijn volledig, geldig, juist en geautoriseerd.
- 4Vertrouwelijkheid
Informatie die als vertrouwelijk is aangemerkt, is beschermd.
- 5Privacy
Persoonsgegevens worden verzameld, gebruikt en verwijderd zoals afgesproken.
- 6Systeembeschrijving
Een beschrijving van je systeem en de grenzen ervan, waarop het rapport betrekking heeft.
02 / Met je ISMS
SOC 2 op wat je al hebt.
| Onderwerp | Je ISO 27001-ISMS | Wat SOC 2 toevoegt |
|---|---|---|
| Maatregelen | Annex A-maatregelen | Koppeling aan de Trust Services Criteria en hun aandachtspunten |
| Bewijs | Bewijs voor je ISMS | Bewijs van de werking over de hele auditperiode voor Type II |
| Scope | Scope van het ISMS | Een systeembeschrijving die je met je auditor afstemt |
| Monitoring | Interne audit en directiebeoordeling | Doorlopende monitoring van maatregelen tijdens de periode |
Veel ISO 27001-maatregelen tellen ook voor SOC 2. Of ze aan de criteria voldoen, beoordeelt je auditor.
03 / De beoordeling
AICPA TRUST SERVICES CRITERIAHoe SOC 2
wordt beoordeeld.
SOC 2 is een rapport van een onafhankelijke auditor, geen certificering. Het rapport gaat naar je klanten, meestal onder een geheimhoudingsovereenkomst.
Lees meer over ISO 27001Opzet. De auditor beoordeelt of maatregelen op een bepaald moment goed zijn opgezet.
Werking. De auditor test of maatregelen gedurende een periode van enkele maanden effectief hebben gewerkt.
Beperkt gebruik. Je deelt het rapport met klanten en partners, meestal onder een geheimhoudingsovereenkomst.
SOC 2 is een kader van het American Institute of Certified Public Accountants (AICPA).
04 / In Basenorm
Hoe Basenorm je helpt.
Unified Control Library
Zie welke van je ISO 27001-maatregelen ook meetellen voor SOC 2.
02Governance Graph
Verbind systemen, maatregelen, bewijs en eigenaren binnen je SOC 2-scope.
03AskNorman
Vraag wat er nog openstaat voor SOC 2, in Basenorm of via MCP vanuit ChatGPT, Claude of Perplexity. Je controleert zelf de onderbouwing.
05 / De vragen
Vragen over
SOC 2.
SOC 2 of ISO 27001?
Beide gaan over informatiebeveiliging. ISO 27001 is een certificeerbaar managementsysteem, wereldwijd en in Europa veel gebruikt. SOC 2 is een assurancerapport waar Noord-Amerikaanse klanten vaak om vragen. Veel maatregelen kunnen voor beide dienen.
Is SOC 2 een certificering?
Nee. SOC 2 is een rapport waarin een onafhankelijk CPA-kantoor een oordeel geeft over je maatregelen.
Wat is het verschil tussen Type I en Type II?
Type I kijkt naar de opzet van je maatregelen op een bepaald moment. Type II test ook of ze gedurende een periode effectief hebben gewerkt.
Voert Basenorm de SOC 2-audit uit?
Nee. Basenorm helpt je maatregelen en bewijs te organiseren. De audit wordt uitgevoerd door een onafhankelijk CPA-kantoor.
Plan een demo
Hergebruik je ISO 27001 voor SOC 2.
In een demo bekijken we je scope, je maatregelen en wat SOC 2 toevoegt.
- Welke ISO 27001-maatregelen meetellen voor SOC 2.
- Hoe je bewijs verzamelt voor een Type II-periode.
- Hoe je beide op één bibliotheek beheert.
Gehost in Nederland. Je data blijft in de EU.