Tóm tắt
SOC 2 Type II mất bao lâu: readiness, observation period thường 3–12 tháng (AICPA không quy định tối thiểu), rồi audit; cách SaaS Việt Nam lên kế hoạch.
SOC 2 Type II mất bao lâu bằng tổng của ba phần: readiness, observation period và audit. Observation period thường 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu. Sau khi kỳ kết thúc, CPA firm cần thêm vài tuần để test và phát hành báo cáo. Bài này chỉ nói về Type II; timeline tổng quan của SOC 2 có ở bài SOC 2 mất bao lâu.
Observation period của SOC 2 Type II là gì?
Observation period (kỳ quan sát) là khoảng thời gian CPA firm kiểm tra control của bạn có vận hành nhất quán và hiệu quả hay không, thay vì chỉ kiểm tra thiết kế tại một ngày như Type I. Báo cáo Type II nêu rõ kỳ này, ví dụ "1/1 đến 30/6", và auditor lấy mẫu evidence trải đều trong kỳ.
Độ dài kỳ do bạn thỏa thuận với CPA firm, thường 3 đến 12 tháng. AICPA không đặt mức tối thiểu (AICPA: SOC suite). Khách hàng enterprise có thể có yêu cầu riêng: một số chấp nhận kỳ ngắn cho báo cáo đầu tiên, số khác muốn thấy kỳ dài hơn.
Timeline từ đầu đến báo cáo Type II trông thế nào?
Các khoảng thời gian dưới đây là ước tính tham khảo cho một công ty SaaS có một sản phẩm cloud trong scope, chỉ chọn tiêu chí Security. Không phải cam kết; scope và lịch auditor làm thay đổi con số.
| Giai đoạn | Việc chính | Ước tính tham khảo |
|---|---|---|
| Readiness | Scope, policy, control kỹ thuật, giao evidence có người phụ trách | 1–4 tháng |
| (Tùy chọn) Audit Type I | Kiểm tra thiết kế control tại một ngày | Vài tuần |
| Observation period | Control vận hành và có evidence suốt kỳ | Thường 3–12 tháng |
| Audit Type II | Auditor lấy mẫu, test, viết báo cáo | Vài tuần sau khi kỳ kết thúc |
| Các năm sau | Kỳ 12 tháng liên tục, audit hàng năm | Lặp lại mỗi năm |
Có nên làm Type I trước Type II không?
Type I không phải điều kiện của Type II; bạn có thể bắt đầu thẳng observation period khi control đã thiết kế xong và đang vận hành. Làm Type I trước có lợi khi khách hàng cần bằng chứng sớm, hoặc khi bạn muốn auditor xác nhận thiết kế control trước khi bước vào kỳ quan sát. Nhược điểm là thêm một lần audit và thêm chi phí. So sánh đầy đủ ở trang SOC 2 Type I vs Type II.
Chọn độ dài observation period như thế nào?
Chọn độ dài kỳ dựa trên ba yếu tố: khách hàng cần báo cáo khi nào, control của bạn đã ổn định chưa, và CPA firm chấp nhận gì.
- Hỏi khách hàng trước. Nếu khách hàng nói rõ độ dài kỳ họ chấp nhận, đó là ràng buộc chính.
- Đảm bảo control chạy từ ngày đầu kỳ. Kỳ quan sát không thể "bắt đầu sớm" cho những control chưa vận hành; evidence thu muộn không bù cho những tháng đã qua.
- Kỳ ngắn cho báo cáo đầu, kỳ 12 tháng cho các năm sau. Kỳ ngắn giúp có báo cáo sớm; từ năm thứ hai, kỳ 12 tháng liên tục giúp báo cáo không bị khoảng trống.
- Chốt scope trước khi bắt đầu. Thêm hệ thống vào scope giữa kỳ có thể khiến auditor cần evidence cho hệ thống đó trên toàn kỳ.
Auditor test kỹ những control nào trong observation period?
Trong Type II, auditor lấy mẫu evidence ở nhiều thời điểm trong kỳ, nên những control lặp lại theo chu kỳ là nơi dễ phát sinh exception nhất.
| Nhóm control | Evidence auditor thường lấy mẫu | Lỗi hay gặp |
|---|---|---|
| Access management | Kết quả access review định kỳ, ticket thu hồi quyền khi nhân viên nghỉ | Bỏ lỡ một kỳ review; thu hồi quyền chậm |
| Change management | Pull request có review, ticket phê duyệt thay đổi production | Thay đổi khẩn cấp không được ghi nhận sau đó |
| Vulnerability management | Báo cáo scan theo lịch, ticket xử lý lỗ hổng | Lỗ hổng mức cao quá hạn xử lý theo policy |
| Incident response | Ticket sự cố, biên bản post-mortem | Sự cố có xử lý nhưng không có hồ sơ |
| Vendor management | Đánh giá vendor, hợp đồng, báo cáo bảo mật của vendor | Không review lại vendor quan trọng |
Danh sách evidence chi tiết theo control có trong SOC 2 evidence checklist.
pTrackly giúp gì trong observation period?
pTrackly có framework SOC 2 Type II với evidence task gắn vào control. Mỗi task có người phụ trách, tần suất và ngày review; hệ thống nhắc trước 7, 3 và 1 ngày, đưa task quá hạn về Todo và báo lên quản lý khi quá hạn 7 ngày, lên owner khi quá hạn 21 ngày. Access review lấy danh sách quyền từ các nguồn đã kết nối và không cho người dùng tự review quyền của chính mình. Khi tạo audit Type II, bạn nhập ngày bắt đầu và kết thúc kỳ, auditor làm việc trên danh sách yêu cầu trong Auditor portal và có thể lấy mẫu từ các tập như nhân viên mới, thay đổi hoặc hoàn thành training.
pTrackly không phát hành báo cáo và không quyết định control nào đạt; CPA firm làm việc đó. Team của bạn vẫn phải vận hành control mỗi ngày. Xem thêm tại pTrackly cho SOC 2.
Câu hỏi thường gặp
Observation period SOC 2 Type II tối thiểu bao lâu?
AICPA không quy định thời gian tối thiểu. Trên thực tế kỳ thường từ 3 đến 12 tháng, do bạn thỏa thuận với CPA firm và theo yêu cầu của khách hàng.
Có thể bắt đầu observation period trước khi audit Type I không?
Có thể, nếu control đã được thiết kế và đang vận hành từ ngày đầu kỳ. Thỏa thuận ngày bắt đầu kỳ với CPA firm trước, vì auditor sẽ lấy mẫu evidence từ chính ngày đó.
Báo cáo SOC 2 Type II có hết hạn không?
Không có ngày hết hạn chính thức, nhưng khách hàng thường chỉ chấp nhận báo cáo có kỳ kết thúc trong 12 tháng gần nhất. Vì vậy hầu hết công ty làm Type II hàng năm với các kỳ liên tục; chi tiết ở trang hiệu lực báo cáo SOC 2.
Thêm tính năng mới giữa kỳ có ảnh hưởng báo cáo không?
Có thể. Nếu tính năng mới dùng hệ thống nằm trong scope, control hiện có phải bao phủ nó. Nếu thêm hệ thống mới vào scope giữa kỳ, hãy trao đổi với CPA firm về evidence cần cho hệ thống đó.
