الفروق الرئيسية
- النتيجة: يمنح ISO/IEC 27001 شهادة علنية. ويمنح SOC 2 تقريراً يُشارك عادة بموجب اتفاقية سرية.
- الجهة المصدرة: جهة شهادة معتمدة في ISO؛ ومكتب محاسبة قانوني مرخص (CPA) في SOC 2.
- التركيز: يشترط ISO نظام إدارة تكون إدارة المخاطر في صميمه. ويختبر SOC 2 الضوابط مقابل معايير خدمات الثقة الصادرة عن AICPA.
- الأسواق: ISO معترف به على نطاق واسع عالمياً، خاصة في أوروبا. وSOC 2 هو الطلب الشائع في أمريكا الشمالية.
SOC 2 باختصار
تغطي المعايير الأمن، وهو إلزامي، واختيارياً الإتاحة وسلامة المعالجة والسرية والخصوصية. ويفحص تقرير النوع الأول تصميم الضوابط في تاريخ معيّن؛ ويختبر تقرير النوع الثاني أيضاً أنها عملت خلال فترة.
كيف تختار
- اسأل عملاءك والعملاء المحتملين عما يشترطونه.
- تبيع أساساً في أوروبا أو حول العالم: كثيراً ما يكون ISO/IEC 27001 الخيار الأول.
- تبيع أساساً لشركات أمريكية: يُتوقع SOC 2 عادة.
- يُطلب الاثنان: ابنِ مجموعة واحدة من الضوابط والأدلة، ثم أعد استخدامها لكليهما.
أسئلة
- هل SOC 2 شهادة؟
- لا. إنه تقرير تصديق: رأي مدقق في ضوابطك. ولا أحد حاصل على شهادة SOC 2 بمعنى شهادات ISO.
- هل يمكن إعادة استخدام عمل ISO 27001 في SOC 2؟
- إلى حد كبير. فكثير من الضوابط ومعظم الأدلة مشتركة، ويمكن ربط المعايير بالملحق A، وإن كان لكل تدقيق متطلباته الخاصة.