SOC 2란?

다루는 범위

System and Organization Controls(SOC)는 미국공인회계사협회(AICPA)가 제공하는 보고 서비스 모음입니다. SOC 2 보고서는 서비스 조직의 통제 중 다섯 가지 신뢰 서비스 범주, 즉 보안, 가용성, 처리 무결성, 기밀성, 개인정보 보호 가운데 하나 이상과 관련된 것을 다룹니다. 보안이 기본이며, 나머지 넷은 서비스에 중요할 때 추가됩니다.

AICPA는 SOC 업무를 공인회계사가 AICPA가 정한 전문 기준에 따라 제공하는 서비스로 설명합니다. 따라서 보고서는 독립적인 감사인의 작업이며 벤더가 스스로에 대해 한 주장이 아닙니다. 감사인의 의견, 경영진의 시스템 기술, 대상 통제, 예외를 포함한 테스트 결과가 담겨 있습니다.

종류는 두 가지입니다. Type I 보고서는 특정 한 시점에 통제가 적절히 설계되었는지를 봅니다. Type II 보고서는 더 나아가 정해진 기간 동안 통제가 효과적으로 운영되었는지도 테스트하며, 그래서 구매자는 보통 Type II를 요구합니다.

요구 사항

법은 SOC 2 보고서를 요구하지 않습니다. 기업은 자발적으로 취득하며, 대개 고객이 보안 검토에서 요구하기 때문입니다. 이 체계는 합격 또는 불합격 등급을 주지 않습니다. 보고서는 무엇을 검사했고 감사인이 무엇을 발견했는지 기술합니다. 인증서가 발급되지 않으므로 “SOC 2 인증”은 흔한 표현이지만 느슨한 표현입니다.

음성 에이전트에 주는 의미

음성 에이전트는 발신자의 음성, 이름, 계정 정보, 때로는 건강이나 결제 정보를 여러 시스템에 흘려보냅니다. SOC 2 보고서는 벤더가 접근 통제, 변경 관리, 로깅, 사고 대응을 어떻게 운영하는지 보는 가장 빠른 방법 중 하나입니다. 읽을 때 다음 사항을 확인하세요.

• 어떤 시스템과 서비스가 범위에 들어 있는지. 회사의 웹 대시보드에 관한 보고서는 실시간 오디오 경로를 다루지 않을 수 있습니다.
• 테스트 기간과 그것이 최근인지. 기간 종료와 오늘 사이에 공백이 있으면 브리지 레터(bridge letter)가 필요할 수 있습니다.
• 어떤 신뢰 서비스 범주가 포함되는지. 보안만으로는 기밀성이나 개인정보 보호에 대해 알 수 있는 것이 거의 없습니다.
• 표지만이 아니라 예외와 감사인의 의견.
• 클라우드 호스팅 같은 벤더의 하위 서비스 제공업체가 보고서 범위에서 빠져 있는지.
• 누가 서명했는지. 보고서의 신뢰성은 서명한 법인의 신뢰성만큼입니다.

SOC 2 보고서는 증거이지 다른 의무의 대체물이 아닙니다. HIPAA의 비즈니스 어소시에이트 계약, GDPR의 데이터 처리 계약, 카드 데이터가 관련된 경우의 PCI 평가(PCI DSS)를 대신하지 않습니다. 또한 오디오를 얼마나 보관하는지도 알려 주지 않는데, 이는 제로 데이터 보존에서 설명하는 설정상의 선택입니다. 구매 체크리스트는 온프레미스 음성 AI 가이드를 읽어 보세요.

법무 담당자에게 물어볼 질문

1. 우리 고객 계약에 SOC 2 보고서로 충분한가, 아니면 다른 것을 요구하는가?
2. 우리 사용 사례에는 어떤 범주와 어떤 서비스가 범위에 포함되어야 하는가?
3. 보고서의 종료일과 우리 서비스 개시일 사이의 기간은 어떻게 처리해야 하는가?
4. 감사인이 기록한 예외는 어떻게 다뤄야 하는가?
5. 벤더의 보고서를 우리 고객과 공유할 수 있는가? 있다면 어떤 조건에서인가?

관련 용어

• HIPAA
• GDPR
• PCI DSS
• 제로 데이터 보존

가이드

• 온프레미스 음성 AI의 개념과 작동 방식

출처

• AICPA and CIMA, System and Organization Controls (SOC) suite of services