Lewati ke konten
Whitesec One

Engagement Type II, dari ruang lingkup sampai bridge letter.

Definisikan sistem dan batasannya, petakan Trust Services Criteria ke kontrol Anda, uji sepanjang periode observasi, lalu serahkan paket lengkap kepada service auditor, dengan register di balik kontrol tersimpan sekali di ISMS Anda.

Jadwalkan demo (WhatsApp)Isi workspace

Didampingi di

Tentang standar ini

Laporan SOC 2 adalah atestasi service auditor independen atas kontrol di sebuah service organization, diukur terhadap AICPA Trust Services Criteria. Security, yaitu Common Criteria, selalu masuk ruang lingkup; availability, confidentiality, processing integrity, dan privacy ditambahkan bila komitmen kepada pelanggan memerlukannya.

Laporan Type I menilai desain kontrol pada satu titik waktu. Laporan Type II juga menguji apakah kontrol berjalan efektif sepanjang periode observasi, dan di situlah sebagian besar pekerjaan berada: sampling, exception, tanggapan manajemen, serta bukti di balik masing-masing.

Yang dikerjakan workspace

  • Kesiapan dalam delapan tahap

    System description, penilaian risiko, desain kontrol, bukti, periode observasi, efektivitas operasional, PBC request, dan complementary controls, masing-masing Ready, Gaps, atau Not started dengan langkah berikutnya, serta pemantauan laju yang memperingatkan bila pengujian tertinggal dari periode.

  • System description sesuai urutan DC 200

    Bagian berversi untuk layanan, komitmen, batasan dan komponen sistem, insiden, kriteria yang tidak relevan, dan perubahan signifikan, dengan angka DC5 sampai DC7 yang diambil dari ruang lingkup dan complementary controls, disetujui orang kedua.

  • Control matrix dengan cakupan

    Kontrol dipetakan ke kriteria beserta pemilik, frekuensi, prosedur pengujian, dan kesimpulan desainnya, dengan grid cakupan yang menandai setiap kriteria yang belum didukung kontrol.

  • Sampling dari frekuensi kontrol

    Ukuran sampel direncanakan dari seberapa sering kontrol berjalan, dari satu sampel untuk kontrol tahunan sampai 30 untuk kontrol harian pada reliance moderat. Setiap sampel wajib berada di dalam periode, dan ukurannya adalah default perencanaan untuk disepakati dengan service auditor Anda.

  • Exception dengan tanggapan manajemen

    Setiap exception membawa tanggapan manajemen dan dapat memunculkan tindakan korektif di register bersama, dengan ringkasan exception yang belum diremediasi dan kriteria yang terdampak.

  • Fieldwork dan bridge letter

    PBC request dengan pemilik, tenggat, dan utas catatan yang diterima atau ditolak oleh peran Auditor; complementary user entity controls dan subservice organization, carve-out atau inclusive; serta bridge letter yang menunjukkan berapa hari belum tercakup hari ini.

Cara workspace menjalankannya

Kelompok demi kelompok, sesuai urutan di aplikasi, beserta halaman di dalam setiap kelompok.

  1. 01

    Engagement

    Jenis laporan dan mode engagement, kategori dalam ruang lingkup, system description sesuai urutan DC 200, serta diagram alur data, jaringan, organisasi, dan proses di baliknya.

    • Scope and categories
    • System description
    • System diagrams
  2. 02

    Criteria and controls

    Setiap kriteria dengan status, pemilik, dan points of focus yang ditulis organisasi Anda, control matrix, serta pustaka bukti yang diukur terhadap Common Criteria.

    • Trust Services Criteria
    • Control matrix
    • Evidence
  3. 03

    Type II testing

    Periode observasi, sampel per metode (random, systematic, haphazard, judgmental, atau full population), dan exception yang dihasilkan.

    • Testing and sampling
    • Exceptions
  4. 04

    Shared registers

    Penilaian risiko, vendor, insiden keamanan, kebijakan, tinjauan akses, dan manajemen perubahan, dibaca dari register ISO 27001 dan dipetakan ke kriteria yang didukungnya.

    • Risk assessment
    • Vendors
    • Security incidents
    • Policies and procedures
    • Access reviews
    • Change management
  5. 05

    Audit

    Engagement service auditor beserta opininya, PBC request, complementary controls, bridge letter, dan paket kerja manajemen berisi asersi, system description, kontrol, pengujian, dan exception.

    • Service auditor engagements
    • PBC requests
    • Complementary controls
    • Bridge letters
    • Reports

Kontrol yang tertanam di workspace

Aturan yang ditegakkan aplikasi, agar record tetap kokoh saat diuji auditor.

  • Orang kedua menyetujui setiap system description dan setiap bridge letter sebelum diterbitkan.
  • Reviewer sampel wajib berbeda dari pengujinya, dan setiap sampel wajib berada di dalam periode observasinya.
  • Hanya satu periode observasi yang bisa aktif dalam satu waktu.
  • Kriteria Security selalu masuk ruang lingkup; mengecualikan kriteria lain membutuhkan alasan tertulis yang diungkapkan pada DC8.
  • Peran Auditor hanya dapat mengubah status dan catatan PBC request.

Yang Anda serahkan ke auditor

  • System description (DC 200) dan diagram
  • Control matrix dan cakupan kriteria
  • Sampel dan hasil uji per periode
  • Exception dengan tanggapan manajemen
  • Daftar PBC request
  • Bridge letter
  • Paket kerja manajemen

Dipakai bersama workspace lain

Penilaian risiko, vendor, insiden keamanan, kebijakan, tinjauan akses, dan manajemen perubahan dibaca dari register ISO 27001 milik organisasi sendiri lalu dipetakan ke kriteria, sehingga tidak ada yang disimpan dua kali.

Pertanyaan tentang SOC 2

Apakah mencakup Type I selain Type II?

Ya. Untuk Type I, periodenya satu tanggal dan control matrix mencatat kesimpulan desain, tanpa sampling.

Apakah kriteria dan points of focus AICPA disertakan?

61 kriteria diidentifikasi dengan referensi AICPA dan judul singkat. Teks resmi AICPA dan points of focus-nya tidak direproduksi; Anda menulis points of focus sendiri untuk setiap kriteria.

Apakah Whitesec One menerbitkan laporan SOC 2?

Tidak. Laporan dan opininya berasal dari service auditor Anda. Paket yang disiapkan Whitesec One adalah kertas kerja manajemen, dengan laporan auditor dibiarkan sebagai placeholder.

Lihat register Anda sendiri di Whitesec One.

Kami menunjukkan workspace untuk framework yang Anda butuhkan, bersama tim di Jakarta atau Perth.

Jadwalkan demo (WhatsApp)