SOC 2 là gì?
Hướng dẫn từ A đến Z về SOC 2 cho công ty Việt Nam muốn bán vào thị trường Mỹ
SOC 2 là báo cáo kiểm toán độc lập theo chuẩn của AICPA (Hiệp hội Kế toán Công chứng Hoa Kỳ), xác nhận rằng một công ty cung cấp dịch vụ có các control bảo vệ dữ liệu khách hàng theo 5 Trust Services Criteria. Báo cáo do công ty kiểm toán CPA phát hành, có hai loại: Type I (thiết kế control tại một thời điểm) và Type II (control vận hành hiệu quả trong một khoảng thời gian). Doanh nghiệp Việt Nam thường cần SOC 2 khi bán phần mềm hoặc dịch vụ cho khách hàng enterprise tại Mỹ.
- Ban hành bởi: Chuẩn AICPA; báo cáo do công ty kiểm toán CPA độc lập phát hành
- Tiêu chí: 5 Trust Services Criteria; Security bắt buộc, 4 tiêu chí còn lại tùy chọn
- Type I: Đánh giá thiết kế control tại một thời điểm
- Type II: Đánh giá control vận hành trong observation period, thường 3 đến 12 tháng
- Bắt buộc theo luật? Không; khách hàng yêu cầu qua hợp đồng hoặc security questionnaire
Nguồn chính thức: AICPA, System and Organization Controls (SOC)
SOC 2 là gì?
SOC 2 (Service Organization Control 2) là báo cáo audit theo chuẩn của AICPA (American Institute of Certified Public Accountants). Không phải luật, cũng không phải chứng chỉ: đó là báo cáo của CPA firm độc lập xác nhận hệ thống của bạn đáp ứng các tiêu chí bảo mật.
Công ty Việt Nam cần nó vì enterprise Mỹ hỏi: security questionnaire thường có dòng "Do you have a SOC 2 report?" Không có, deal có thể dừng tại đó.
SOC 2 dựa trên 5 Trust Service Criteria (TSC). Security bắt buộc; bốn tiêu chí còn lại chọn theo phạm vi dịch vụ:
Bảo vệ hệ thống khỏi truy cập trái phép. Xuất hiện trong mọi SOC 2 report.
Hệ thống có sẵn để sử dụng theo cam kết. Quan trọng với SaaS có SLA uptime.
Bảo vệ thông tin mật theo cam kết. Thường thêm khi xử lý dữ liệu nhạy cảm.
Xử lý hệ thống hoàn chỉnh, hợp lệ, chính xác, kịp thời. Phù hợp với fintech và payment processing.
Thu thập, sử dụng, lưu giữ và tiết lộ thông tin cá nhân theo đúng cam kết.
Phần lớn công ty Việt Nam bắt đầu với Security + Availability. Đó là scope tối thiểu mà enterprise Mỹ chấp nhận.
SOC 2 Type I và Type II khác nhau thế nào?
Đây là câu hỏi đầu tiên auditor sẽ hỏi bạn. Hai loại khác nhau không phải về mức độ bảo mật, mà về cách audit được thực hiện.
- Phương pháp Auditor xác nhận controls được thiết kế đúng tại ngày audit
- Observation period Không có
- Timeline 3 đến 6 tháng từ khi bắt đầu
- Dùng cho Credential ban đầu, chứng minh với khách hàng rằng bạn đang đi đúng hướng
- Phương pháp Auditor kiểm tra controls thực sự vận hành suốt observation period
- Observation period Tối thiểu 6 tháng (thường 12 tháng)
- Timeline 9 đến 18 tháng từ khi bắt đầu
- Dùng cho Enterprise sales Mỹ, vendor agreements, hợp đồng lớn
Nhiều công ty làm Type I trước để có báo cáo trình khách hàng trong lúc observation period Type II đang chạy.
SOC 1, SOC 2 và SOC 3 khác nhau thế nào?
Cả ba đều là báo cáo do CPA firm phát hành theo chuẩn AICPA, nhưng trả lời cho những câu hỏi khác nhau của khách hàng. Công ty SaaS và outsourcing Việt Nam gần như luôn được hỏi SOC 2.
| Tiêu chí | SOC 1 | SOC 2 | SOC 3 |
|---|---|---|---|
| Trả lời câu hỏi | Control của bạn ảnh hưởng thế nào đến báo cáo tài chính của khách hàng? | Bạn bảo vệ hệ thống và dữ liệu khách hàng như thế nào? | Tóm tắt công khai của SOC 2 |
| Tiêu chí | Control objectives do doanh nghiệp định nghĩa | 5 Trust Services Criteria | Như SOC 2 |
| Ai đọc | Kiểm toán tài chính của khách hàng | Security, procurement, vendor risk của khách hàng (dưới NDA) | Bất kỳ ai; có thể đăng công khai |
| Thường được hỏi với | Payroll, xử lý giao dịch tài chính | SaaS, cloud, IT/BPO outsourcing, fintech | Doanh nghiệp đã có SOC 2 muốn công bố |
Quy trình SOC 2 gồm những bước nào?
Sáu bước, trong đó năm bước đầu là việc của doanh nghiệp; chỉ bước cuối do CPA firm thực hiện. Phần lớn thời gian nằm ở bước 3 và 4.
- Xác định phạm vi và Trust Services Criteria. Hệ thống, dữ liệu, địa điểm và dịch vụ nào trong scope; chọn TSC theo yêu cầu thực tế của khách hàng.Chọn bao nhiêu TSC?
- Gap assessment. So sánh control hiện có với tiêu chí Security (Common Criteria CC1 đến CC9) và các TSC đã chọn; kết quả là danh sách việc cần làm có owner.Readiness checklist
- Xây dựng policy và control. Access control, change management, incident response, vendor management, backup, logging. Policy phải mô tả đúng cách team đang vận hành.
- Vận hành control và thu thập evidence. Với Type II, evidence phải phủ toàn bộ observation period (thường 3 đến 12 tháng).Evidence cần thu thập
- Chọn CPA firm. Chỉ CPA firm độc lập được cấp phép mới phát hành được báo cáo; so sánh kinh nghiệm với SaaS, timeline và báo giá trên cùng một scope.Ai được audit SOC 2?
- Audit và phát hành báo cáo. Cung cấp evidence, trả lời câu hỏi của auditor, khắc phục exception; báo cáo được phát hành sau khi kết thúc kỳ đánh giá. Quy trình từng bước
SOC 2 mất bao lâu và chi phí gồm những gì?
| Giai đoạn | Thời gian thường gặp | Chi phí phát sinh |
|---|---|---|
| Readiness (bước 1 đến 4) | 3 đến 6 tháng nếu làm thủ công; ngắn hơn khi control và evidence được quản lý trên nền tảng | Thời gian nhân sự nội bộ, tư vấn hoặc nền tảng, pentest nếu khách hàng yêu cầu |
| Type I audit | Vài tuần sau khi readiness xong | Phí CPA firm, thấp hơn Type II |
| Type II observation period | 3 đến 12 tháng; AICPA không quy định tối thiểu, khách hàng Mỹ thường chấp nhận 6 tháng cho báo cáo đầu tiên | Vận hành control, không có phí audit trong kỳ |
| Type II audit và báo cáo | 4 đến 8 tuần sau khi kết thúc kỳ | Phí CPA firm; lặp lại hàng năm |
Báo cáo SOC 2 có hiệu lực bao lâu?
Báo cáo SOC 2 không ghi ngày hết hạn. Nhưng vì báo cáo chỉ mô tả control trong kỳ đánh giá, khách hàng Mỹ thường chỉ chấp nhận báo cáo có kỳ kết thúc trong 12 tháng gần nhất. Trong thực tế điều đó nghĩa là Type II được lặp lại hàng năm, với observation period nối tiếp nhau, và ban quản lý ký bridge letter để phủ khoảng trống tối đa khoảng 3 tháng giữa ngày kết thúc kỳ cũ và ngày phát hành báo cáo mới. Bridge letter là cam kết của doanh nghiệp, không phải ý kiến của auditor.
Hiệu lực báo cáo SOC 2, bridge letter và tái đánh giá hàng năm →
Ai cần SOC 2 ở Việt Nam?
Lưu trữ hoặc xử lý dữ liệu cho khách hàng Mỹ thì SOC 2 gần như là điều kiện vào vendor list.
SOC 2 là câu trả lời tiêu chuẩn cho việc dữ liệu khách hàng trên hạ tầng của bạn được bảo vệ ra sao.
Team có access vào hệ thống hoặc dữ liệu client Mỹ thì cần bằng chứng quản lý access đúng cách.
Dữ liệu tài chính yêu cầu bảo mật cao; SOC 2 kèm Processing Integrity TSC thường được yêu cầu.
Một số VC và accelerator Mỹ đưa SOC 2 vào due diligence, nhất là B2B SaaS từ Series A.
SOC 2 hay ISO 27001: nên chọn cái nào?
Hai framework này cùng giải quyết bảo mật thông tin nhưng phục vụ các thị trường khác nhau. Biết sự khác biệt giúp bạn chọn đúng.
| Tiêu chí | SOC 2 | ISO 27001 |
|---|---|---|
| Thị trường chính | Mỹ, Canada | Toàn cầu, EU, Nhật Bản, Singapore |
| Loại đầu ra | Báo cáo audit (report) | Chứng chỉ (certificate) |
| Tổ chức ban hành | AICPA (Mỹ) | ISO/IEC (quốc tế) |
| Control overlap | ~60-70% controls trùng nhau, có thể làm song song | |
| Nên chọn khi | Khách hàng target ở Mỹ/Canada yêu cầu SOC 2 report cụ thể | Nhắm thị trường Nhật, EU, Singapore hoặc muốn chứng nhận quốc tế |
Câu hỏi thường gặp
Báo cáo SOC 2 có hiệu lực bao lâu?
Báo cáo SOC 2 không có ngày hết hạn chính thức, nhưng khách hàng Mỹ thường chỉ chấp nhận báo cáo có kỳ đánh giá kết thúc trong 12 tháng gần nhất. Vì vậy doanh nghiệp làm Type II hàng năm, và dùng bridge letter (thư cầu nối do ban quản lý ký) để phủ khoảng trống tối đa khoảng 3 tháng giữa hai báo cáo.
SOC 1, SOC 2 và SOC 3 khác nhau thế nào?
SOC 1 báo cáo về control ảnh hưởng đến báo cáo tài chính của khách hàng (ví dụ dịch vụ payroll). SOC 2 báo cáo về control bảo mật, sẵn sàng, toàn vẹn xử lý, bảo mật thông tin và quyền riêng tư theo Trust Services Criteria; nội dung chi tiết, chia sẻ dưới NDA. SOC 3 là bản tóm tắt công khai của SOC 2, không có chi tiết test. Công ty SaaS và outsourcing hầu như luôn được hỏi SOC 2.
Nên bắt đầu SOC 2 từ đâu?
Bắt đầu bằng việc xác định phạm vi (hệ thống, dữ liệu, Trust Services Criteria) theo đúng yêu cầu trong security questionnaire của khách hàng, rồi làm gap assessment so với tiêu chí Security. Sau đó gán owner cho từng control, vận hành và thu thập evidence, chọn CPA firm và quyết định Type I hay đi thẳng Type II.
SOC 2 có phải là chứng chỉ không?
Không. SOC 2 là báo cáo chứng thực (attestation report) do công ty kiểm toán CPA độc lập phát hành, không phải chứng chỉ như ISO 27001. Vì vậy cách gọi đúng là "báo cáo SOC 2", dù nhiều người vẫn nói "chứng nhận SOC 2".
Ai được thực hiện audit SOC 2?
Chỉ công ty kiểm toán CPA độc lập được cấp phép mới được phát hành báo cáo SOC 2 theo chuẩn của AICPA. Nền tảng như pTrackly giúp chuẩn bị control và evidence, nhưng không thay thế auditor.
SOC 2 mất bao lâu?
Phần chuẩn bị (readiness) thường mất 3 đến 6 tháng nếu làm thủ công. Type I có thể phát hành ngay sau đó; Type II cần thêm observation period, thường 3 đến 12 tháng, rồi mới tới bước audit và phát hành báo cáo.
SOC 2 có bắt buộc theo luật không?
Không. SOC 2 không bắt buộc theo luật ở bất kỳ quốc gia nào. Doanh nghiệp làm vì khách hàng Mỹ yêu cầu. Không bán cho enterprise Mỹ thì có thể không cần.
SOC 2 Type I và Type II khác nhau thế nào?
Type I kiểm tra rằng controls được thiết kế đúng tại một thời điểm cụ thể. Type II kiểm tra rằng controls thực sự hoạt động liên tục trong một observation period, thường 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu. Enterprise Mỹ thường yêu cầu Type II trước khi ký hợp đồng lớn.
Công ty outsourcing Việt Nam có cần SOC 2 không?
Tùy khách hàng. Nếu enterprise Mỹ đòi SOC 2 report trong security questionnaire hoặc vendor agreement thì có.
Đọc thêm
Phạm vi, chi phí, thị trường và khi nào chọn cái nào.
Bắt đầu với Type I hay Type II? Chi phí và timeline.
Ba phần cấu thành chi phí, yếu tố làm tăng giảm và khoảng tham khảo từ nguồn công khai.
Checklist, evidence, Trust Services Criteria, CPA firm, hiệu lực báo cáo.
Control, owner, evidence và audit period trên một nền tảng; CPA firm vẫn phát hành báo cáo.
SOC 2 và Luật Bảo vệ dữ liệu cá nhân Việt Nam: overlap và điểm khác biệt.
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.