SOC 2 is een auditstandaard uit de Verenigde Staten waarmee een onafhankelijke accountant beoordeelt hoe een dienstverlener omgaat met beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. Het resultaat is geen keurmerk maar een rapport: een verklaring waarin staat welke maatregelen zijn onderzocht en of ze werkten.
Je komt SOC 2 vooral tegen bij SaaS-leveranciers en hostingpartijen. Voor een MKB-bedrijf is dat waardevol, want het verschil tussen een leverancier die zegt dat beveiliging op orde is en een leverancier die dat door een accountant heeft laten toetsen is groot. Moet je onder NIS2 of de AVG je leveranciers beoordelen, dan scheelt zo een rapport je een hoop eigen onderzoek.
Let op het type. Type I zegt alleen iets over hoe de maatregelen op een moment zijn ingericht; Type II toetst of ze een periode van zes tot twaalf maanden ook echt zijn nageleefd, en is dus veel sterker. Kijk daarnaast altijd naar de scope (welke diensten vallen eronder), de onderzochte periode en de opgesomde uitzonderingen. In Europa is ISO 27001 de gangbare tegenhanger: een certificaat op je managementsysteem, waar SOC 2 een rapport over je maatregelen is.
Wat OkayICT hierin doet: wij beoordelen de verklaringen en certificaten van je IT-leveranciers en vertalen ze naar wat het voor jouw risico en contracten betekent.
Meer lezen: Wat is ISO 27001? · Wat is een IT-audit?
