Hvad er forskellen på SOC 2 Type I og Type II?

Type I er et øjebliksbillede: den bekræfter at kontroller var på plads på en given dato. Type II dækker en periode (typisk 6–12 måneder) og bekræfter at kontrollerne fungerede konsekvent over tid. Type II er langt mere værdifuld som tillidsbevis.

Hvilke leverandører bør jeg efterspørge SOC 2-rapport fra?

CRM-systemer, cloud-hosting, e-mailplatforme, betalingsgateways og andre tjenester der behandler forretningskritiske eller personfølsomme data. Spørg altid om Type II-rapporten — og om den er fra det seneste år.

Er SOC 2 det samme som ISO 27001?

Nej — SOC 2 er en revision (en tredjeparts gennemgang), mens ISO 27001 er en certificering. SOC 2 er mere udbredt i USA; ISO 27001 er mere anerkendt i Europa. Mange enterprise-leverandører har begge.

Fagterm

SOC 2

En sikkerhedsrevision specifikt designet til SaaS- og cloud-tjenesteudbydere. SOC 2 (Service Organization Control 2) er…

Hvad er soc 2?

En sikkerhedsrevision specifikt designet til SaaS- og cloud-tjenesteudbydere. SOC 2 (Service Organization Control 2) er en American Institute of CPAs (AICPA)-standard der evaluerer en leverandørs kontroller inden for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og databeskyttelse. En SOC 2-rapport bruges som tillidsbevis over for enterprise-kunder.

For ejerledede virksomheder er SOC 2 primært relevant som noget at efterspørge hos leverandører — ikke som noget man selv certificerer sig til (med mindre man leverer SaaS til enterprise-kunder).

Når du evaluerer en ny cloud-leverandør eller SaaS-tjeneste, kan du spørge: 'Har I en SOC 2 Type II-rapport?' En Type II-rapport dækker en periode (typisk 12 måneder) og giver stærkere sikkerhed end en Type I (der kun er et øjebliksbillede).

Ejerblik anbefaler at efterspørge SOC 2-rapporter fra leverandører der behandler forretningskritiske data.

I praksis

For ejerledere er kendskabet til soc 2 særligt relevant i forbindelse med digital due diligence. En klar dokumentation af alle aktiver inden for denne kategori giver en mere troværdig og komplet virksomhedsprofil og reducerer risikoen for uklarheder under et salg eller ejerskifte.

Ofte stillede spørgsmål

Relaterede opslag

FagtermISO 27001Den internationale standard for informationssikkerhedsstyring (ISMS – Information Security Management System). ISO 27001-certificering dokumenterer at virksomheden systematisk identificerer, vurderer og håndterer informationssikkerhedsrisici. Kræver bl.a. et komplet register over informationsaktiver – som Ejerblik kan understøtte.FagtermIT-governanceDe processer, politikker og ansvar der sikrer, at en virksomheds IT-ressourcer bruges effektivt og sikkert. Ejerblik er et praktisk IT-governance-redskab: det dokumenterer ejerskab, adgange og risici på tværs af alle digitale aktiver.FagtermLeverandørrisikoRisikoen forbundet med at et kritisk aktiv ejes eller administreres af en ekstern leverandør. Eksempler: IT-leverandøren der ejer domæner, bureauet der har admin-adgang til annoncekontoen. I Ejerblik bruges risikovurdering til at synliggøre og håndtere leverandørafhængigheder.FagtermTredjepartsleverandørEn ekstern virksomhed der leverer software, infrastruktur eller services til virksomheden. Tredjepartsleverandører er en central risikofaktor: de har adgang til systemer og data, og aftaler med dem bør dokumenteres i Ejerblik med ansvarlig, kontraktbinding og opsigelsesvilkår.

← Tilbage til leksikon

Klar til at kortlægge din virksomheds digitale aktiver?

Ejerblik guider dig trin for trin med 205+ foruddefinerede aktivtyper og AI-funktionen Kontoscanner.

Få gratis adgang

Ingen binding · Data i EU · Dansk support