Service Organization Controls 1 和 Service Organization Controls 2 有什么区别?

　　Service Organization Controls 1 和 Service Organization Controls 2 都来自 AICPA，但它们有不同的目标。Service Organization Controls 2 不一定是 Service Organization Controls 1 的升级版本或更新版本。相反，它们是两种不同的合规报告，用于不同的目的。

　　谁需要合规 Service Organization Controls 2? 一般而言，Service Organization Controls 1 适用于金融机构，Service Organization Controls 2 适用于非金融机构。但差异远不止于此。

　　使用

　　Service Organization Controls 1：有关保护客户财务报表的内部控制的报告。

　　Service Organization Controls 2：有关保护敏感客户数据的内部控制的报告。

　　目标

　　Service Organization Controls 1：审计整个组织敏感客户数据的处理和安全性。

　　Service Organization Controls 2：基于针对非金融服务提供商的五项信任服务原则中的任何一项或全部进行审计。

　　应用程序

　　Service Organization Controls 1：受审计组织的注册公共帐户 (CPA)、内部和外部财务审计师、其他用户实体的 CPA。

　　Service Organization Controls 2：合规经理、高管、内部和外部审计师、合作伙伴。

　　结果

　　Service Organization Controls 1：验证现有控制措施是否保护财务报表。

　　Service Organization Controls 2：确保服务提供商、内部治理、风险管理、供应商管理等的合规性。

　　Service Organization Controls 2 合规检查清单

　　在执行 Service Organization Controls 2 合规审计之前，请确保您的组织已准备就绪。Service Organization Controls 合规检查清单可以帮助您为审计做好准备，以获得良好的结果。检查表基于五项原则，因此有助于了解您的审计将解决五项原则中的哪项。

　　1. 可用性： 确保客户访问与 SLA 的条款保持一致，并确保网络始终可用。

　　2. 安全： 验证贵组织的安全态势在多个层面上是否有效。

　　访问：对网络资源 的物理和逻辑限制可防止未经授权的访问。

　　运营：实施 控制措施以监控运营，并检测和纠正任何程序偏差。

　　变更管理：实施 控制措施以防止未经授权的变更和管理任何 IT 系统变更。

　　风险缓解： 适当的监控有助于识别和应对风险，并管理恢复。

　　3. 处理完整性： 确保流程和交易得到充分保护。这包括加密、传输、托管和存储。

　　4. 保密性： 确保对数据访问有限制。在适用的情况下，应对 个人身份信息 (PII) 和受保护的健康信息 (PHI) 进行明确的处理程序。

　　5. 隐私： 验证收集、存储、使用和共享客户数据有明确的条款和程序。

　　Service Organization Controls 2 合规常见问题解答

　　什么是 Service Organization Controls 2?

　　Service Organization Controls 2 由美国 CPA 协会 (AICPA) 制定，是由技术和云计算公司实施的一项自愿标准，旨在确保数据隐私合规。它基于一套公认的信任服务标准，并指定组织应如何管理客户端数据，以确保安全性、可用性、机密性、处理完整性和隐私性。由此产生的 Service Organization Controls 2 审计报告表明，如果有的话，必须做出哪些调整。

　　Service Organization Controls 2 适用于什么?

　　Service Organization Controls 2 适用于非金融机构，可供合规经理、高管、内部和外部审计师以及业务合作伙伴使用。它确保服务提供商的合规性、内部治理、风险管理、供应商管理等。

　　资料来源于网络，详情请点击：Fortinet网络管理解决方案（https://www.fortinet.com/cn/products/management/fortimanager）