SOC 2：一份鉴证报告
SOC 2 是一次对照 AICPA 信任服务标准的审计：安全性（强制性的通用标准），以及可选的可用性、处理完整性、保密性与隐私。其产出是一份报告，由独立的持牌 CPA 事务所执行并出具。Type I 报告评估某一时点上控制措施的设计；Type II 则评估其在一段期间内（通常为 3 至 12 个月）的运行有效性。SaaS 供应商普遍被要求提供这份报告，在美国尤其如此。
安全术语表
SOC 2 与 ISO 27001
两者都能证明您认真对待信息安全，客户也常常会要求其中之一。但它们出自不同的体系（一个是美国会计行业的框架，另一个是国际标准），证明方式也不同。两者都不是咨询公司能直接交给您的东西。
ISO 27001：一项可认证的标准
ISO/IEC 27001:2022 是一项关于信息安全管理体系（ISMS）的国际标准。您需要搭建一套管理体系（第 4 至 10 条），并从附录 A 中选择控制措施（四大主题下的 93 项控制）。随后由经认可的认证机构分两个阶段进行审核，若通过，则出具一份有效期三年、期间需接受监督审核的证书。它在全球范围内获得认可，在美国以外往往更受青睐。
二者有何不同
SOC 2 产出的是一份客户在 NDA 下阅读的详细报告；ISO 27001 产出的是一份证书外加一份适用性声明。SOC 2 由 CPA 事务所对照信任服务标准进行鉴证；ISO 27001 由经认可的机构对照标准进行认证。两者的底层控制措施大量重叠，因此许多组织会同时申请两者并复用证据。不过，二者的证明机制各自独立、互不相同。
咨询公司适合做什么（又不能做什么）
这一点很重要。咨询公司可以帮您做好准备，包括差距评估、控制措施、策略、内部审核，以及为技术控制提供证据的渗透测试。但它无法出具 SOC 2 报告或 ISO 27001 证书，这两者必须分别来自独立的 CPA 事务所与经认可的认证机构。Vexaro 提供准备与配套的渗透测试，鉴证报告始终来自独立评估方。
常见问题
SOC 2 是依据 AICPA 信任服务准则进行的鉴证，产出是一份由独立持证 CPA 会计师事务所出具的报告。ISO/IEC 27001:2022 是一项关于信息安全管理体系的国际标准，由认可的机构进行认证，所颁发的证书有效期三年，期间需接受监督审核。
不能。咨询公司可以帮助您做好准备（差距评估、控制措施、政策制度、内部审核，以及为技术控制提供证据的渗透测试），但无法出具 SOC 2 报告或 ISO 27001 证书。它们必须分别来自独立的 CPA 会计师事务所和经认可的认证机构。
第一类（Type I）报告评估某一时点控制措施的设计；第二类（Type II）报告评估控制措施在一段期间内的运行有效性，这段期间通常为 3 到 12 个月。