SOC報(bào)告
SOC報(bào)告
針對(duì)服務(wù)商內(nèi)部控制情況出具的第三方獨(dú)立審計(jì)報(bào)告
針對(duì)服務(wù)商內(nèi)部控制情況出具的第三方獨(dú)立審計(jì)報(bào)告
有關(guān)SOC報(bào)告的常見(jiàn)問(wèn)題
有關(guān)SOC報(bào)告的常見(jiàn)問(wèn)題
號(hào)圖_1.svg)
SOC報(bào)告是什麼？
SOC審計(jì)報(bào)告是由第三方審計(jì)機(jī)構(gòu)根據(jù)美國(guó)註冊(cè)會(huì)計(jì)師協(xié)會(huì)（American Institute of Certified Public Accountants，以下簡(jiǎn)稱(chēng)“AICPA”）制定的相關(guān)準(zhǔn)則，針對(duì)外包服務(wù)商的系統(tǒng)和內(nèi)部控制情況出具的獨(dú)立審計(jì)報(bào)告。
SOC報(bào)告分為SOC 1,SOC 2和SOC 3，其中SOC 1和SOC 2又分別有Type I和Type II報(bào)告。
• SOC 1審計(jì)是遵照AICPA發(fā)布的《鑑證業(yè)務(wù)準(zhǔn)則公告第18 號(hào)》（Statement on Standards for Attestation Engagements no. 18，以下簡(jiǎn)稱(chēng)“SSAE 18鑑證準(zhǔn)則”）以及國(guó)際審計(jì)和鑑證準(zhǔn)則理事會(huì)（International Auditing and Assurance Standards Board，以下簡(jiǎn)稱(chēng)“IAASB”）發(fā)布的《鑑證業(yè)務(wù)國(guó)際準(zhǔn)則第3402 號(hào) – 服務(wù)機(jī)構(gòu)內(nèi)部控制鑑證報(bào)告》（International Standard on Assurance Engagements 3402 Assurance Reports on Controls at a Service Organization）執(zhí)行的檢查程序。SOC 1報(bào)告著重於評(píng)估與財務(wù)報(bào)告流程有關(guān)的控制，通常使用者為雲客戶(hù)和其獨(dú)立審計(jì)師。Type II與Type I報(bào)告具有相同的意見(jiàn)，但比Type I增加了有關(guān)操作有效性的意見(jiàn)，以達(dá)成相關(guān)的控制目標(biāo)。
• SOC 2審計(jì)是遵照AICPA制定的SSAE 18鑑證準(zhǔn)則可信服務(wù)標(biāo)準(zhǔn)TSP Section 100（2017） ，以及IAASB發(fā)布的《鑑證業(yè)務(wù)國(guó)際準(zhǔn)則第3000號(hào)（修訂版） – 除歷史財務(wù)信息審計(jì)或審閱之外的鑑證業(yè)務(wù)》（International Standard on Assurance Engagements 3000 (Revised), Assurance Engagements Other than Audits or Reviews of Historical Financial Information）執(zhí)行的檢查程序。SOC 2報(bào)告著重於組織的內(nèi)部運(yùn)作與合規(guī)，包括安全性、可用性 、進(jìn)程完整性、保密性、隱私性五大控制屬性。獲得type I報(bào)告體現(xiàn)組織內(nèi)部控制措施的設(shè)計(jì)合理性，而獲得Type II報(bào)告體現(xiàn)措施在報(bào)告期間內(nèi)的執(zhí)行有效性。
• SOC 3報(bào)告是基於SOC 2 Type II報(bào)告的摘要版本，可供公眾查閱。
華為雲已獲得SOC 1 Type II, SOC 2 Type II和SOC 3鑑證審計(jì)報(bào)告三項(xiàng)權(quán)威審計(jì)，其中SOC 2 覆蓋全部控制屬性，表明華為雲平臺(tái)的信息安全管理能力已達(dá)到國(guó)際公認(rèn)的最高標(biāo)準(zhǔn)，能夠為您提供世界一流的安全隱私保障及服務(wù)。
此外，針對(duì)不斷變化的雲環(huán)境和服務(wù)，華為雲會(huì)按照審計(jì)要求定期邀請第三方機(jī)構(gòu)進(jìn)行覆審，以保障華為雲服務(wù)的信息安全管理能力一直處於業(yè)界領(lǐng)先水平。
華為雲SOC報(bào)告覆蓋的數(shù)據(jù)中心有哪些？
華為雲通過(guò)的SOC審計(jì)覆蓋了華為雲設(shè)立在在中國(guó)大陸、中國(guó)香港、泰國(guó)、墨西哥、新加坡、 南非、智利、巴西等地的60+數(shù)據(jù)中心。詳情可以在合規(guī)證書(shū)下載頁(yè)面，下載華為雲SOC報(bào)告了解。
華為雲SOC報(bào)告覆蓋的服務(wù)範圍有哪些？
華為雲通過(guò)的SOC審計(jì)覆蓋了華為雲190+產(chǎn)品/服務(wù)，包括但不限於DDoS高防(AAD)、Web 應(yīng)用防火牆(WAF)、數(shù)據(jù)加密(DEW)，資料庫(kù)安全(DBSS)等服務(wù)。詳情可以在合規(guī)證書(shū)下載頁(yè)面，下載華為雲SOC報(bào)告了解。
如果您對(duì)我們提供的產(chǎn)品有進(jìn)一步了解的需求，可以聯(lián)繫我們。
SOC報(bào)告的有效期是多久？
SOC報(bào)告是針對(duì)「過(guò)去」的一段時(shí)間中內(nèi)部控制的設(shè)計(jì)合理性及執(zhí)行有效性進(jìn)行審計(jì)並輸(shū)出的報(bào)告，所以審計(jì)報(bào)告本身不會(huì)過(guò)期。
華為雲每年例行邀請第三方機(jī)構(gòu)進(jìn)行兩(liǎng)期SOC審計(jì)並輸(shū)出報(bào)告，以方便用戶(hù)及時(shí)了解華為雲的內(nèi)部控制水平。第一期所覆蓋的SOC審計(jì)時(shí)間段為前一年4月1日至當(dāng)年3月31日，於當(dāng)年6月初發(fā)布；第二期所覆蓋的SOC審計(jì)時(shí)間段為前一年10月1日至當(dāng)年9月30日，於當(dāng)年12月初發(fā)布。
此外，華為雲會(huì)定期出具「SOC持續(xù)運(yùn)營(yíng)函」，以表明華為雲將繼續(xù)維持最新的SOC 1和SOC 2報(bào)告中所述的系統(tǒng)和控制環(huán)境，並繼續(xù)實(shí)施相同的控制措施。SOC報(bào)告和SOC持續(xù)運(yùn)營(yíng)函詳情可進(jìn)入合規(guī)證書(shū)下載頁(yè)面了解。
