SOC 2 cho công ty IT outsourcing Việt Nam
Khi nào khách hàng Mỹ thực sự yêu cầu, phạm vi áp dụng cho outsourcing, và roadmap thực tế để bắt đầu.
Khi nào khách hàng Mỹ thực sự hỏi về SOC 2
Startup và SMB Mỹ hiếm khi hỏi. Với enterprise và fintech, có bốn tình huống:
Bảng hỏi 80-150 câu, mở đầu bằng "Do you have a SOC 2 Type II report?" Trả lời không thì security team escalate và đòi compensating controls.
MSA yêu cầu duy trì SOC 2 Type II và cung cấp báo cáo hằng năm. Ký là cam kết có báo cáo.
Commercial đã chốt, CISO khách hàng đòi evidence. Không có report, bạn gửi từng policy, mất nhiều tuần.
RFP ghi SOC 2 Type II là bắt buộc. Không có report, hồ sơ bị loại ngay vòng qualification.
Chưa gặp tình huống nào ở trên thì SOC 2 chưa gấp. Khi pipeline có deal enterprise Mỹ, hãy làm gap assessment.
SOC 2 bao gồm gì cho một công ty outsourcing
Scope thường là môi trường phát triển: quyền truy cập source code và production, quản lý tài khoản nhân viên, xử lý dữ liệu khách hàng khi dev và test, phản ứng sự cố, logging và monitoring. Không có ngưỡng nhân sự hay doanh thu: scope do bạn và auditor thống nhất.
SOC 2 so với ISO 27001 trong bối cảnh outsourcing
| Tiêu chí | SOC 2 | ISO 27001 |
|---|---|---|
| Ai yêu cầu | Enterprise và fintech Mỹ | Nhật, EU, Singapore, global enterprise |
| Dạng đầu ra | Audit report (không phải chứng chỉ) | Chứng chỉ quốc tế (certificate) |
| Overlap controls | 60-70% controls trùng nhau | |
| Thời gian đến chứng nhận đầu tiên | Type I: 3-6 tháng | Certificate: 6-18 tháng |
| Phí audit hàng năm | Hỏi 2-3 CPA firm để so sánh | Tùy CB và quy mô |
Roadmap: từng bước lấy SOC 2 cho công ty outsourcing
Xác định scope và Trust Service Criteria (Security bắt buộc; Availability, Confidentiality tùy khách hàng). Liệt kê gaps.
Access management (MFA, least privilege, access review), logging và monitoring, incident response có runbook và diễn tập, HR security (onboarding, background check, offboarding).
CPA firm kiểm tra thiết kế controls tại một thời điểm. Một số khách hàng chấp nhận Type I trong lúc chờ Type II.
Controls phải vận hành ổn định trong suốt observation period, thường 3 đến 12 tháng. Trong thời gian này, thu thập evidence liên tục: access logs, change management records, incident reports, vendor review records. Đây là giai đoạn quan trọng nhất về mặt execution.
CPA firm đánh giá hiệu quả vận hành suốt observation period. Kết quả là Type II report mà enterprise Mỹ yêu cầu.
Chi phí thực tế: cần biết trước khi lập ngân sách
Phí readiness và audit dao động quá lớn theo scope và CPA firm để đưa ra một con số đáng tin. Gửi cùng một scope (số hệ thống, nhân sự trong scope, TSC) cho 2-3 CPA firm được AICPA công nhận rồi so sánh báo giá.
Câu hỏi thường gặp
Khách hàng Mỹ có thực sự yêu cầu SOC 2 không?
Không phải tất cả, nhưng enterprise và fintech Mỹ thường yêu cầu. Dấu hiệu rõ nhất là vendor security questionnaire hoặc Master Service Agreement có điều khoản về SOC 2. Startup và SMB ít yêu cầu hơn.
Công ty outsourcing 50 người có cần SOC 2 không?
Phụ thuộc vào khách hàng, không phải quy mô công ty. Nếu một khách hàng lớn ở Mỹ yêu cầu SOC 2 report, quy mô 50 người vẫn phải làm nếu muốn giữ hợp đồng. Nếu tất cả khách hàng là startup hoặc SMB, bạn có thể không cần.
SOC 2 hay ISO 27001 phù hợp hơn với outsourcing?
ISO 27001 phù hợp hơn nếu bạn có khách hàng ở Nhật, EU, hoặc Singapore. SOC 2 phù hợp hơn nếu khách hàng chủ yếu ở Mỹ. Nhiều công ty outsourcing lớn ở Việt Nam làm cả hai vì phục vụ cả hai thị trường.
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.