SOC 2 Compliance Software

Uw beveiliging, onafhankelijk getoetst. Elke auditperiode.

Wat is SOC 2?

SOC 2 (Service Organization Control 2) is een framework ontwikkeld door de AICPA voor het evalueren van de beveiligings- en operationele controles van serviceorganisaties. Het is opgebouwd rond 5 Trust Service Criteria:
Elke serviceorganisatie waarvan klanten formeel bewijs van databeveiliging eisen. In de praktijk betekent dit  SaaS-bedrijven, die aan Amerikaanse bedrijven verkopen, managed service providers die klantdata verwerken, en aanbieders van cloudinfrastructuur of -opslag. Voor Europese bedrijven is de aanleiding bijna altijd dezelfde: een Amerikaanse bedrijfs-deal die vastloopt op de security review. Een SOC 2 Type II-rapport neemt deze blokkade weg.

Wie heeft SOC 2 nodig?

Gehost in EU-icoon
100% gehost in de EU
ISOPlanner™ Ondersteunt Deze ISO SOC2-versies
SOC2-TSP 100
Hoe ISOPlanner™ SOC2 ondersteunt

SOC2: Beveiligingsraamwerk voor de VS

SOC 2 is de standaard, die Amerikaanse zakelijke kopers gebruiken om de beveiligingspraktijken van dienstverleners te beoordelen. ISOPlanner™ structureert uw SOC 2-programma binnen Microsoft 365, waarbij uw bestaande omgeving wordt gebruikt in plaats van een extra compliance-tool toe te voegen.

Vooraf Gekoppelde SOC2-Controles

ISOPlanner™ bevat een vooraf gebouwd SOC2-framework dat is gekoppeld aan de Trust Service Criteria. Controles zijn gestructureerd en klaar om toe te wijzen, geen gap-analyse vanaf nul, geen lege spreadsheet om in te vullen.

1
Embedded ML
API Calling ML
2

Door AI Gegenereerde Taken

De AI-assistent leest uw actieve SOC2-controles en genereert specifieke werkitems voor verantwoordelijke teamleden. Controle-eigenaren ontvangen taken, die gekoppeld zijn aan de specifieke vereisten waaraan zij moeten voldoen, zonder handmatige vertaling van frameworktaal naar operationele stappen.

Continue Bewijsverzameling

Bewijs voor de observatieperiode, een specifieke vereiste van SOC2 Type II, wordt continu verzameld en opgeslagen in SharePoint. Voor Microsoft-native controles, inclusief MFA-verificatie en Secure Score, is dit geautomatiseerd. Bewijs is georganiseerd per controle en beschikbaar voor auditors zonder voorbereiding op het laatste moment.

3
ML Platform
API Calling ML
4

Auditplanning en Audittraject

Plan uw interne gereedheidsbeoordelingen en beheer de toegang van auditors rechtstreeks binnen ISOPlanner™. Het volledige audittraject, toewijzingen van controles, indiening van bewijsmateriaal, beoordelingsverslagen, wordt bijgehouden in SharePoint.

Criteria voor vertrouwensdiensten, continue paraatheid en geen last-minute haast.

Boek een demo
Gemeente Waterland - Nederland

Gestructureerde Compliance vanaf het Begin.

De gemeente Waterland had een gestructureerde aanpak nodig om aan de BIO-norm te voldoen zonder een zwaar nieuw systeem op te zetten. ISOPlanner™ gaf hen helder eigenaarschap, georganiseerde taken en auditklaarheid vanaf dag één.
Lees de Waterland Case
Beantwoord

Veelgestelde vragen

01.

Wat is het verschil tussen een SOC 2 Type I- en Type II-rapport?

Een SOC 2 Type I-rapport beoordeelt de opzet en het bestaan van beveiligingscontroles op één specifiek moment. Een Type II-rapport beoordeelt de werking van diezelfde controles over een aaneengesloten observatieperiode, doorgaans zes tot twaalf maanden. Type II-rapporten wegen zwaarder bij klanten en zakenpartners, omdat ze aantonen dat beveiligingsmaatregelen structureel worden toegepast. ISOPlanner™ helpt u uw controles en bewijsmateriaal voor beide rapporttypen te beheren.

02.

Wat zijn de vijf Trust Services Criteria in SOC 2?

De vijf Trust Services Criteria zijn: Beveiliging (verplicht), Beschikbaarheid, Integriteit van verwerking, Vertrouwelijkheid en Privacy. Beveiliging is de enige verplichte categorie en vormt de basis van elk SOC 2-rapport. Organisaties kiezen aanvullende categorieën op basis van de aard van hun dienstverlening en de eisen van klanten. ISOPlanner™ helpt u de relevante criteria te selecteren en de bijbehorende controles in te richten.

03.

Hoe lang duurt een SOC 2-audit doorgaans?

Een SOC 2 Type I-audit duurt doorgaans twee tot vier maanden, inclusief voorbereiding en de formele beoordeling. Een Type II-audit omvat bovenop de voorbereiding een observatieperiode van zes tot twaalf maanden, waardoor het totale traject negen tot vijftien maanden in beslag neemt. ISOPlanner™ helpt u uw controlekader en bewijsmateriaal gereed te maken voordat de audit begint, zodat u kostbare hersteltijd vermijdt.

04.

Wie is bevoegd om een SOC 2-rapport uit te voeren?

Een SOC 2-attestatie (rapport) mag uitsluitend worden uitgevoerd door een gecertificeerde openbare accountant (CPA) die is erkend door het American Institute of Certified Public Accountants (AICPA). Reguliere ISO-certificerende instanties of andere auditkantoren zijn hiertoe niet bevoegd. ISOPlanner™ helpt u uw dossier op te bouwen ter voorbereiding op de formele attestatie door een gespecialiseerd AICPA-kantoor.

05.

Hoe verhoudt SOC 2 zich tot ISO 27001?

SOC 2 en ISO 27001 zijn complementaire kaders, die deels overlappende beveiligingsvereisten stellen, maar verschillende doelgroepen bedienen. ISO 27001 is een internationale norm met een formeel certificaat; SOC 2 is een attestatierapport dat met name in de Noord-Amerikaanse markt en bij SaaS-klanten wordt gevraagd. ISOPlanner™ ondersteunt de overlap tussen beide kaders, zodat u uw inspanningen efficiënt kunt combineren.

06.

Is een SOC 2-rapport vertrouwelijk en wie mag het ontvangen?

Ja, een SOC 2-rapport is vertrouwelijk en wordt doorgaans alleen gedeeld met klanten en zakenpartners onder een geheimhoudingsovereenkomst. Wilt u een publiek document, dan is een SOC 3-rapport een alternatief: dat bevat een samenvatting zonder gevoelige technische details. ISOPlanner™ helpt u te bepalen welk rapporttype aansluit bij uw zakelijke vereisten en klantverwachtingen.

07.

Welke bewijsstukken zijn nodig voor een SOC 2-audit?

Voor een SOC 2-audit zijn doorgaans de volgende bewijsstukken vereist: toegangsbeoordelingen en logs, penetratie- en kwetsbaarheidsscans, incidentregistraties, trainingsrecords voor medewerkers, back-up- en hersteltests en leveranciersbeoordelingen. De vereiste bewijzen hangen af van de gekozen Trust Services Criteria. ISOPlanner™ helpt u een gestructureerd bewijsdossier op te bouwen, zodat u auditklaar bent wanneer het zover is.