Kunden spørger efter SOC 2, men I har ISO 27001

En kunde sender et spørgeskema, hvor feltet hedder “SOC 2-rapport”, og I har et ISO 27001-certifikat. Svaret hviler på, at de to er forskellige dokumenter fra forskellige organisationer: ISO 27001 er en international standard for ledelsessystemer for informationssikkerhed, og certifikatet udstedes af et certificeringsorgan, mens SOC 2 er en ramme fra den amerikanske revisororganisation AICPA, og rapporten er en revisors undersøgelse af kontroller. I kan tilbyde certifikatet og supplerende dokumentation som svar, men I kan ikke kalde det en SOC 2-rapport, og kunden afgør selv, om det er nok.

To dokumenter med hver sin oprindelse

ISO beskriver ISO/IEC 27001 som en standard, der fastlægger krav til et ledelsessystem for informationssikkerhed. ISO certificerer ikke selv; certificering foretages af uafhængige certificeringsorganer. Resultatet er et certifikat med et anvendelsesområde. → ISO 27001 i softwarehuset

AICPA beskriver SOC 2 som en undersøgelse, revisorer udfører af kontroller hos en serviceorganisation, der er relevante for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv. Resultatet er en rapport med ledelsens beskrivelse af systemet og revisors vurdering. → SOC 2-rapporten

Begge handler om, hvordan I styrer informationssikkerheden. Men de er bygget op forskelligt, udstedes af forskellige fagfolk og giver kunden forskellige slags oplysninger. Et certifikat er kort og kan deles bredt, mens en SOC 2-rapport er et længere dokument rettet mod brugerne af tjenesten.

Det, der kan oversættes

En stor del af det, kunden vil vide, kan I dokumentere med jeres ISO 27001-arbejde. I har et ledelsessystem, risikovurderinger, politikker, valgte sikkerhedstiltag og en uafhængig bekræftelse af, at systemet opfylder standardens krav inden for anvendelsesområdet.

AICPA har udgivet afbildninger mellem sine Trust Services Criteria og andre rammeværk. Den slags afbildninger kan være et udgangspunkt for at vise kunden, hvor jeres ISO 27001-arbejde dækker de samme emner. Brug dem som en hjælp til at forklare, ikke som et bevis for, at I opfylder SOC 2.

En praktisk måde er at gå kundens spørgsmål igennem ét ad gangen og henvise til det sted i jeres ISO 27001-dokumentation, der svarer på det. Så ser kunden, at emnet er dækket, uden at I påstår, at dokumenterne er det samme. Det kræver, at den dokumentation, I henviser til, faktisk kan udleveres, eller at I kan beskrive den, så kunden forstår den uden at se den.

Det, der ikke kan oversættes

Nogle ting i en SOC 2-rapport har ikke et modstykke i et certifikat.

Revisors vurdering af kontrollerne · et certifikat er en bekræftelse, ikke en rapport med en beskrivelse af den enkelte kontrol.
Ledelsens systembeskrivelse · SOC 2 indeholder en beskrivelse af systemet efter AICPA’s kriterier; det findes ikke i et certifikat.
Formen · kundens egne processer kan være bygget op om at læse en SOC 2-rapport, og et certifikat passer ikke ind i dem.
Kundens interne krav · hvis kundens politik nævner SOC 2 ved navn, kan den sikkerhedsansvarlige være bundet af det.

Det er derfor, I ikke kan svare “ja” til spørgsmålet om en SOC 2-rapport, selv om indholdet i jeres arbejde dækker meget af det samme. → Ja, nej eller delvist

Det svar, I kan give

Et godt svar er ærligt om forskellen og konkret om, hvad I kan tilbyde i stedet.

Sig det, som det er · I har ikke en SOC 2-rapport, men et ISO 27001-certifikat.
Vedlæg certifikatet · med anvendelsesområdet og certificeringsorganet.
Tilbyd supplerende dokumentation · fx et resumé af den seneste penetrationstest og en beskrivelse af jeres sikkerhedstiltag.
Spørg til formålet · hvad skal kunden bruge SOC 2-rapporten til, og kan det dækkes på anden måde?
Fortæl om jeres planer · hvis I overvejer en SOC 2-undersøgelse eller en revisorerklæring, så sig det, uden at love en dato, I ikke kan holde.

Det tredje punkt kan være det, der flytter samtalen. En penetrationstest af produktet giver kunden noget, som hverken certifikatet eller en SOC 2-rapport i sig selv dokumenterer, nemlig et billede af produktets sårbarheder på et bestemt tidspunkt. → Hel rapport, resumé eller erklæring

Når kunden holder fast

Nogle kunder kan ikke acceptere et alternativ, fordi deres egne regler eller deres revisorer kræver en SOC 2-rapport. Så er spørgsmålet, om I vil have en undersøgelse lavet, og det er en forretningsbeslutning, der afhænger af, hvor mange kunder der stiller kravet. Tag beslutningen med de kunder, I har, og dem, I vil have, for øje, ikke kun den kunde, der spørger nu.

I Danmark kan en revisorerklæring efter internationale standarder være et alternativ, som nogle kunder kender bedre. Det er et særskilt emne. → ISAE 3402 og ISAE 3000

Et tænkt eksempel

Et dansk softwarehus med en løsning til rejseafregning får en henvendelse fra en kunde med hovedsæde i USA. Kundens spørgeskema spørger efter en SOC 2-rapport.

Softwarehuset svarer, at det ikke har en SOC 2-rapport, men er certificeret efter ISO 27001 med et anvendelsesområde, der dækker udvikling og drift af løsningen. Det vedlægger certifikatet, et resumé af årets penetrationstest og en kort oversigt over sikkerhedstiltag. Kundens sikkerhedsteam accepterer dokumentationen til det første år, men skriver, at kravet vil blive vurderet igen ved fornyelsen. Softwarehuset noterer det i sin oversigt over kundekrav og beslutter at tage spørgsmålet om en SOC 2-undersøgelse op igen, hvis flere kunder i USA stiller samme krav.

Det skal I lade være med

Svare ja til SOC 2, fordi I har ISO 27001 · det er ikke det samme dokument.
Kalde jeres certifikat for “svarende til SOC 2” · det kan kun kunden vurdere.
Bruge en afbildning som bevis · den kan forklare, men ikke dokumentere.
Love en SOC 2-rapport inden en bestemt dato uden en plan · undersøgelsen afhænger af revisor.
Glemme pentesten · den svarer på et spørgsmål, som ingen af de to andre dokumenter dækker alene.

Hvad kan og ikke kan konkluderes

Et ISO 27001-certifikat og supplerende dokumentation kan dække meget af det, en kunde søger i en SOC 2-rapport, og kan i nogle tilfælde accepteres som alternativ. Det kan ikke erstatte en SOC 2-rapport, når kunden er bundet af et krav om netop den, og om alternativet accepteres, afgør kunden. Teksten lover intet om udfaldet af en certificering eller en undersøgelse.

Tjekliste til svaret

☐ Er det tydeligt, at I har ISO 27001 og ikke SOC 2?
☐ Er certifikatets anvendelsesområde og certificeringsorgan med?
☐ Er der supplerende dokumentation, fx et resumé af pentesten?
☐ Har I spurgt kunden, hvad SOC 2-rapporten skal bruges til?
☐ Er der en beslutning om, hvorvidt I vil have en SOC 2-undersøgelse?

Kilder

ISO/IEC 27001:2022: krav til et ledelsessystem for informationssikkerhed.
ISO: Certification: ISO certificerer ikke selv; certificering foretages af uafhængige organer.
AICPA & CIMA: SOC suite of services: SOC som revisorydelser om kontroller hos en serviceorganisation; SOC 2 relevant for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv.
AICPA & CIMA: Trust Services Criteria mappings: AICPA’s afbildninger mellem Trust Services Criteria og kravene i andre rammeværk (kræver medlemsadgang).

Senest gennemgået: oktober 2026.