SOC 2‑rapporten: hvad den er, og hvor pentesten passer ind

En kunde, fx med hovedsæde i USA, kan bede om en SOC 2-rapport i stedet for, eller ud over, en pentestrapport. Svaret på, hvad den er, hviler på kilden: SOC 2 er en ramme fra den amerikanske revisororganisation AICPA, og en SOC 2-rapport er resultatet af en revisors undersøgelse af kontroller hos en serviceleverandør. En penetrationstest er noget andet, nemlig en teknisk afprøvning af produktet, men den kan være en af de aktiviteter, jeres kontroller bygger på.

Hvad en SOC 2-undersøgelse ender med at konkludere om jeres kontroller, afgøres af revisor og kan ikke forudsiges ud fra en pentest.

Hvad AICPA beskriver

AICPA beskriver SOC, System and Organization Controls, som en række ydelser, som revisorer kan levere i forbindelse med kontroller hos en serviceorganisation. Formålet er at give brugerne af en tjeneste oplysninger, de har brug for til at vurdere og håndtere risikoen ved at lægge en opgave ud.

En SOC 2-undersøgelse handler ifølge AICPA om kontroller hos en serviceorganisation, der er relevante for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv. AICPA skriver selv, at kunder og samarbejdspartnere har brug for oplysninger om design, drift og effektivitet af kontrollerne i serviceorganisationens system, og at de til det formål beder om en SOC 2-rapport.

For et SaaS-softwarehus er I serviceorganisationen, og jeres kunder er brugerne. Det er derfor jeres system, jeres kontroller og jeres beskrivelse, revisor ser på, og det er jeres ledelse, der står bag beskrivelsen af systemet. Kunden er modtager af rapporten, ikke part i undersøgelsen.

Rapportens byggesten

En SOC 2-undersøgelse bygger på to sæt kriterier fra AICPA.

Trust Services Criteria · kriterier for kontroller inden for de fem områder, som revisor vurderer kontrollerne ud fra.
Beskrivelseskriterier · kriterier for ledelsens beskrivelse af det system, der leverer tjenesten.

Ledelsen beskriver systemet og kontrollerne, og revisor undersøger beskrivelsen og kontrollerne. AICPA har materiale til både type 1- og type 2-undersøgelser, og det er værd at afklare med kunden og revisor, hvilken type kunden efterspørger, og hvad den dækker.

AICPA har desuden SOC 3, som beskrives som en rapport til generel brug. SOC 2-rapporten er rettet mod brugerne af tjenesten. Kunden kan derfor bede om en SOC 2-rapport, mens en SOC 3-rapport kan ligge offentligt. → Tillidsside

Hvor pentesten passer ind

En SOC 2-rapport er ikke en testrapport. Den beskriver kontroller og revisors vurdering af dem. En penetrationstest kan være en af de aktiviteter, der indgår i jeres kontroller, fx som en del af den måde, I vurderer og overvåger sikkerheden i produktet på.

Om og hvordan revisor bruger jeres pentest, afgøres af revisor ud fra kriterierne og jeres beskrivelse. Det kan I ikke bestemme, og det er ikke givet, at testen nævnes i rapporten. Det, I kan gøre, er at sørge for, at testen er dokumenteret, så den kan indgå, hvis revisor finder den relevant.

Omfang · testen dækker det system, SOC 2-beskrivelsen handler om.
Datoer · testen ligger inden for den periode, undersøgelsen omfatter.
Opfølgning · fund er registreret, og rettelser kan dokumenteres.
Rytme · testen sker efter en fast plan, der kan beskrives som en del af kontrollerne.

Hvordan en pentest generelt bruges som dokumentation over for en revisor, er beskrevet i → Pentesten som bevis i revisionen

Når kunden beder om begge dele

Nogle kunder beder både om en SOC 2-rapport og en pentestrapport. Det er ikke dobbeltarbejde fra kundens side. SOC 2-rapporten giver et billede af kontrollerne i hele systemet, og pentestrapporten giver et billede af produktets sårbarheder på et bestemt tidspunkt.

For jer betyder det, at de to dokumenter bør hænge sammen. Et produkt, der står i SOC 2-beskrivelsen, men ikke er dækket af pentesten, kan give spørgsmål. Det samme gælder, hvis pentesten har alvorlige åbne fund, som ikke afspejles i den måde, kontrollerne er beskrevet på. → Omfangsafsnittet

Kriterierne ændrer sig

AICPA har udgivet de nuværende kriterier med reviderede fokuspunkter i 2022 og har lagt forslag til nye kriterier i høring. Tjek derfor hos AICPA og jeres revisor, hvilken udgave der gælder for jeres undersøgelse, før I planlægger. Brug ikke beskrivelser fra andre leverandørers materiale som grundlag, da de kan bygge på en ældre udgave.

Det samme gælder kundens krav. En kunde, der henviser til SOC 2 i en kontrakt, kan have skrevet kravet ud fra en bestemt udgave af kriterierne. Hvis kriterierne ændres, kan det være nødvendigt at afklare med kunden, om kravet stadig skal forstås på samme måde. Notér derfor, hvilken udgave en given rapport bygger på, når den udleveres.

Et tænkt eksempel

Et dansk softwarehus med en platform til kundeservice får en amerikansk kunde, der beder om en SOC 2-rapport. Softwarehuset har ikke en, men har en pentestrapport fra i år og en beskrivelse af sine sikkerhedsprocesser.

Softwarehuset svarer ærligt, at der ikke er en SOC 2-rapport, og tilbyder et resumé af pentesten og en beskrivelse af kontrollerne. Samtidig undersøger det med en revisor, hvad en SOC 2-undersøgelse vil kræve, hvilke dele af platformen den skal omfatte, og om den næste pentest bør lægges, så den falder inden for undersøgelsens periode. Kunden accepterer midlertidigt dokumentationen og beder om en plan for en SOC 2-rapport. → Kunden spørger efter SOC 2, men I har ISO 27001

Det skal I lade være med

Kalde en pentestrapport en SOC 2-rapport · det er to forskellige dokumenter fra to forskellige fagområder.
Love en SOC 2-rapport med et bestemt resultat · det afgøres af revisors undersøgelse.
Gå ud fra, at pentesten automatisk indgår · det afgør revisor.
Lade pentesten dække et andet system end SOC 2-beskrivelsen · så peger dokumenterne i hver sin retning.
Bruge andres beskrivelser af kriterierne · gå til AICPA.

Hvad kan og ikke kan konkluderes

En SOC 2-rapport kan give kunden en revisors vurdering af jeres kontroller inden for de områder, undersøgelsen dækker. En penetrationstest kan give et billede af produktets sårbarheder og kan være en del af kontrollerne. Ingen af dem dokumenterer i sig selv det, den anden gør, og teksten lover intet om udfaldet af en SOC 2-undersøgelse.

Tjekliste, når kunden beder om SOC 2

☐ Ved I, hvilken type rapport kunden efterspørger?
☐ Har I talt med en revisor om, hvad undersøgelsen vil kræve?
☐ Dækker pentesten det system, SOC 2-beskrivelsen omfatter?
☐ Ligger testen inden for den periode, undersøgelsen handler om?
☐ Er fund og rettelser dokumenteret?
☐ Har I et ærligt svar, hvis rapporten ikke findes endnu?

Kilder

AICPA & CIMA: SOC suite of services: SOC som ydelser, revisorer kan levere om kontroller hos en serviceorganisation, og formålet med rapporterne.
AICPA & CIMA: SOC 2-vejledningen: SOC 2 som undersøgelse af kontroller relevante for sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed eller privatliv; Trust Services Criteria og beskrivelseskriterier; SOC 3 som rapport til generel brug.

Senest gennemgået: oktober 2026.