有關SOC報告的常見問題
有關SOC報告的常見問題
SOC報告是什么？
SOC審計報告是由第三方審計機構根據(jù)美國注冊會計師協(xié)會（American Institute of Certified Public Accountants，以下簡稱“AICPA”）制定的相關準則，針對外包服務商的系統(tǒng)和內部控制情況出具的獨立審計報告。
SOC報告分為SOC 1,SOC 2和SOC 3，其中SOC 1和SOC 2又分別有Type I和Type II報告。
• SOC 1審計是遵照AICPA發(fā)布的《鑒證業(yè)務準則公告第18 號》（Statement on Standards for Attestation Engagements no. 18，以下簡稱“SSAE 18鑒證準則”）以及國際審計和鑒證準則理事會（International Auditing and Assurance Standards Board，以下簡稱“IAASB”）發(fā)布的《鑒證業(yè)務國際準則第3402 號 – 服務機構內部控制鑒證報告》（International Standard on Assurance Engagements 3402 Assurance Reports on Controls at a Service Organization）執(zhí)行的檢查程序。SOC 1報告著重于評估與財務報告流程有關的控制，通常使用者為云客戶和其獨立審計師。Type II與Type I報告具有相同的意見，但比Type I增加了有關操作有效性的意見，以達成相關的控制目標。
• SOC 2審計是遵照AICPA制定的SSAE 18鑒證準則可信服務標準TSP Section 100（2017） ，以及IAASB發(fā)布的《鑒證業(yè)務國際準則第3000號（修訂版） – 除歷史財務信息審計或審閱之外的鑒證業(yè)務》（International Standard on Assurance Engagements 3000 (Revised), Assurance Engagements Other than Audits or Reviews of Historical Financial Information）執(zhí)行的檢查程序。SOC 2報告著重于組織的內部運作與合規(guī)，包括安全性、可用性 、進程完整性、保密性、隱私性五大控制屬性。獲得type I報告體現(xiàn)組織內部控制措施的設計合理性，而獲得Type II報告體現(xiàn)措施在報告期間內的執(zhí)行有效性。
• SOC 3報告是基于SOC 2 Type II報告的摘要版本，可供公眾查閱。
華為云已獲得SOC 1 Type II, SOC 2 Type II和SOC 3鑒證審計報告三項權威審計，其中SOC 2 覆蓋全部控制屬性，表明華為云平臺的信息安全管理能力已達到國際公認的最高標準，能夠為您提供世界一流的安全隱私保障及服務。
此外，針對不斷變化的云環(huán)境和服務，華為云會按照審計要求定期邀請第三方機構進行復審，以保障華為云服務的信息安全管理能力一直處于業(yè)界領先水平。
華為云SOC報告覆蓋的數(shù)據(jù)中心有哪些？
華為云通過的SOC審計覆蓋了華為云設立在在中國大陸、中國香港、泰國、墨西哥、新加坡、 南非、智利、巴西等地的80+數(shù)據(jù)中心。詳情可以在合規(guī)證書下載頁面，下載華為云SOC報告了解。
華為云SOC報告覆蓋的服務范圍有哪些？
華為云通過的SOC審計覆蓋了華為云170+產品/服務，包括但不限于DDoS高防(AAD)、Web 應用防火墻(WAF)、數(shù)據(jù)加密(DEW)，數(shù)據(jù)庫安全(DBSS)等服務。詳情可以在合規(guī)證書下載頁面，下載華為云SOC報告了解。
如果您對我們提供的產品有進一步了解的需求，可以聯(lián)系我們。
SOC報告的有效期是多久？
SOC報告是針對“過去”的一段時間中內部控制的設計合理性及執(zhí)行有效性進行審計并輸出的報告，所以審計報告本身不會過期。
華為云每年例行邀請第三方機構進行兩期SOC審計并輸出報告，以方便用戶及時了解華為云的內部控制水平。第一期所覆蓋的SOC審計時間段為前一年4月1日至當年3月31日，于當年6月初發(fā)布；第二期所覆蓋的SOC審計時間段為前一年10月1日至當年9月30日，于當年12月初發(fā)布。
此外，華為云會定期出具“SOC持續(xù)運營函”，以表明華為云將繼續(xù)維持最新的SOC 1和SOC 2報告中所述的系統(tǒng)和控制環(huán)境，并繼續(xù)實施相同的控制措施。SOC報告和SOC持續(xù)運營函詳情可進入合規(guī)證書下載頁面了解。