Wat is het verschil tussen een SOC 2-rapport type 1 en type 2?

Een type 1-rapport kijkt of beheersmaatregelen op één moment passend zijn ontworpen en aanwezig zijn; een type 2-rapport toetst daarnaast of ze over een periode, meestal enkele maanden, effectief hebben gewerkt. Type 1 beantwoordt ‘hebt u op deze datum de juiste maatregelen?’, type 2 ‘hebben ze echt de hele tijd gewerkt?’, en daarom geven klanten die op een leverancier steunen meestal de voorkeur aan type 2. Een type 2 vraagt bewijs over de hele periode: toegangsreviews op tijd uitgevoerd, wijzigingen vóór livegang goedgekeurd, incidenten volgens de procedure afgehandeld, monitoringmeldingen beoordeeld. Bedrijven beginnen vaak met type 1 om het ontwerp op orde te brengen, voeren daarna de maatregelen uit en verzamelen bewijs voor type 2. Controleer bij beide de data, de reikwijdte, de gedekte criteria en elke afwijking die de auditor noemt, en vraag hoe die is opgelost. NetSenX zegt zijn eigen stand duidelijk: SOCSOC: security operations centre. Een team, vaak dag en nacht actief, dat aanvallen opspoort en erop reageert. 2 Type I is in voorbereiding, er is nog geen SOC 2-rapport van welk type ook uitgebracht, en Type II zou volgen zodra maatregelen een periode hebben gewerkt.

← Alle 15 vragen over Beveiligingsnormen: ISO 27001, SOC 2Alle onderwerpen