ما الفرق بين SOC 2 Type I و Type II؟

يقيّم تقرير Type I ما إذا كانت ضوابطك مصمّمة تصميمًا ملائمًا عند نقطة زمنية واحدة. أما تقرير Type II فيقيّم ما إذا كانت تلك الضوابط قد عملت بفعالية على مدى فترة زمنية، تتراوح عادةً بين ثلاثة واثني عشر شهرًا. وTYPE II أكثر صرامة، وهو ما يطلبه معظم عملاء المؤسسات.

كم يستغرق الحصول على SOC 2؟

يستغرق الاستعداد عادةً من بضعة أسابيع إلى بضعة أشهر، تبعًا لنقطة انطلاقك. ثم يتطلّب تقرير Type II فترة مراقبة, تتراوح عادةً بين ثلاثة واثني عشر شهرًا, يجب أن تعمل الضوابط خلالها قبل أن يُصدر المدقّق التقرير.

هل SOC 2 إلزامي؟

لا. SOC 2 ليس قانونًا ولا لائحة تنظيمية. والذي يدفع إليه هو متطلبات العملاء والمتطلبات التعاقدية، لذا فبينما لا تفرضه أي جهة حكومية، قد يفرضه عمليًا عملاؤك من المؤسسات الكبرى.

المدونة

ما هو الامتثال لـ SOC 2؟ دليل مبسّط وواضح

16 أكتوبر 2026 · 7 دقائق قراءة

SOC 2ComplianceTrust Services Criteria

باختصار

SOC 2 هو تصديق صادر عن AICPA, حيث تُصدر شركة CPA مرخّصة تقريرًا حول مدى جودة حمايتك لبيانات العملاء. وهو تصديق وليس شهادة اعتماد.
يقوم على خمسة معايير من Trust Services Criteria: معيار الأمان مُدرج دائمًا؛ أما التوافر، وسلامة المعالجة، والسرية، والخصوصية فتُضاف حسب النطاق.
يتحقق Type I من أن الضوابط مصمّمة تصميمًا جيدًا عند نقطة زمنية محددة؛ بينما يتحقق Type II من أنها عملت بفعالية على مدى أشهر، وهو ما يطلبه المشترون من المؤسسات الكبرى.
ليس إلزاميًا قانونًا، لكن غالبًا ما يشترطه عملاء المؤسسات, لذا فإن معظم العمل يتمثّل في الاستعداد: تقييم الفجوات، وتطبيق الضوابط، وجمع الأدلة.

SOC 2 هو التقرير الأمني الذي يطلبه عملاء المؤسسات قبل أن يأتمنوك على بياناتهم, ونادرًا ما يُشرح هذا المصطلح بوضوح. يغطي هذا الدليل ما هو SOC 2 فعليًا، وكيف يُبنى، وما الذي يتطلّبه الحصول عليه.

وهو مكتوب للمؤسِّسين وفرق الهندسة والأمان الذين يتعاملون مع SOC 2 لأول مرة، وليس للمدقّقين.

ما هو SOC 2؟

SOC 2 (System and Organization Controls 2) هو معيار تدقيق صادر عن AICPA يقدّم تقريرًا حول مدى جودة حماية مؤسسة الخدمات لبيانات العملاء. فبدلًا من قائمة تحقق ثابتة، يقيّم ضوابطك وفق مجموعة من المبادئ، ويُنتج تقريرًا مستقلًا يمكنك مشاركته مع العملاء.

وبدقّة، فإن SOC 2 هو تصديق وليس شهادة اعتماد: تفحص شركة CPA مرخّصة ضوابطك وتُصدر تقريرًا يتضمّن رأيها. وعبارة 'الامتثال لـ SOC 2' هي اختصار للإشارة إلى اجتياز ذلك الفحص بتقرير نظيف.

معايير Trust Services Criteria الخمسة

يُبنى SOC 2 على خمسة معايير من Trust Services Criteria. فالأمان, حماية الأنظمة من الوصول غير المصرّح به, هو الأساس وهو مُدرج دائمًا. أما المعايير الأربعة الأخرى فاختيارية وتُختار بناءً على طبيعة عملك: التوافر (أن يكون النظام متاحًا وفق المتفق عليه)، وسلامة المعالجة (أن تكون المعالجة كاملة ودقيقة)، والسرية (أن تكون البيانات الحساسة محمية)، والخصوصية (أن تُعالَج المعلومات الشخصية وفقًا لإشعارك).

تبدأ معظم الشركات بمعيار الأمان فقط، ثم تضيف معايير أخرى حسبما تقتضيه متطلبات العملاء. وتحدّد المعايير التي تختارها نطاق التدقيق.

SOC 2 Type I مقابل Type II

يقيّم تقرير Type I ما إذا كانت ضوابطك مصمّمة تصميمًا ملائمًا عند نقطة زمنية واحدة. والحصول عليه أسرع، وغالبًا ما يكون خطوة أولى.

أما تقرير Type II فيقيّم ما إذا كانت تلك الضوابط قد عملت فعليًا بفعالية على مدى فترة زمنية, تتراوح عادةً بين ثلاثة واثني عشر شهرًا. وهو أكثر صرامة، وهو ما يطلبه معظم عملاء المؤسسات في نهاية المطاف، لأنه يثبت أن الضوابط تعمل عمليًا، وليس على الورق فحسب.

من يحتاج إلى SOC 2؟

SOC 2 ليس متطلبًا قانونيًا. وعمليًا، فإن الذي يدفع إليه هو العملاء: فإن كنت شركة SaaS أو شركة B2B تخزّن بيانات مؤسسات أخرى أو تعالجها، فغالبًا ما تشترط فرق الأمان والمشتريات لديهم الحصول على تقرير SOC 2 قبل التوقيع أو التجديد.

وهذا يجعل SOC 2 أداةً لتمكين المبيعات بقدر ما هو ممارسة أمنية, فهو يختصر المراجعات الأمنية ويفتح الطريق أمام صفقات المؤسسات الكبرى.

كيف تبدو عملية SOC 2

تحديد النطاق: اختر معايير Trust Services Criteria والأنظمة المشمولة بالنطاق.

الاستعداد وتقييم الفجوات: قارِن ضوابطك الحالية بما يتوقّعه SOC 2، واكتشف الفجوات.

المعالجة: طبّق الضوابط الناقصة, إدارة الوصول، والتسجيل والمراقبة، وإدارة التغيير، ومخاطر الموردين، والاستجابة للحوادث وغير ذلك.

فترة المراقبة (Type II): شغّل الضوابط خلال النافذة الزمنية المتفق عليها مع جمع الأدلة.

التدقيق: تفحص شركة CPA مرخّصة ضوابطك وأدلتك وتُصدر تقرير SOC 2.

كيفية الاستعداد

التدقيق نفسه قصير؛ أما العمل الحقيقي فهو الاستعداد. والطريق الأسرع هو إجراء تقييم للفجوات مقابل المعايير المستهدفة، يليه تطبيق الضوابط التقنية والتنظيمية الناقصة، وإعداد آلية لجمع الأدلة بحيث يصبح التدقيق أمرًا روتينيًا.

يتداخل كثير من الأدلة الأمنية مع ISO 27001 ومع DPDP Act في الهند، لذا يمكن لبرنامج واحد أن يخدم عدة أطر عمل. وعادةً ما يكون اختبار الاختراق جزءًا من مجموعة الضوابط، لأن SOC 2 يتوقّع منك تحديد الثغرات ومعالجتها.

الأسئلة الشائعة

ما هو الامتثال لـ SOC 2؟: الامتثال لـ SOC 2 يعني أن شركة CPA مرخّصة قد فحصت ضوابط مؤسستك وفق Trust Services Criteria الصادرة عن AICPA، وأصدرت تقريرًا يؤكّد أنها مصمّمة تصميمًا ملائمًا، وأنها تعمل بفعالية في حالة Type II. وهو تصديق على أنك تحمي بيانات العملاء وفق معيار معترف به.
ما الفرق بين SOC 2 Type I و Type II؟: يقيّم تقرير Type I ما إذا كانت ضوابطك مصمّمة تصميمًا ملائمًا عند نقطة زمنية واحدة. أما تقرير Type II فيقيّم ما إذا كانت تلك الضوابط قد عملت بفعالية على مدى فترة زمنية، تتراوح عادةً بين ثلاثة واثني عشر شهرًا. وTYPE II أكثر صرامة، وهو ما يطلبه معظم عملاء المؤسسات.
من يحتاج إلى SOC 2؟: SOC 2 هو الأكثر صلة بشركات SaaS وشركات B2B التي تخزّن بيانات مؤسسات أخرى أو تعالجها. وهو ليس إلزاميًا قانونًا، لكن غالبًا ما يشترط عملاء المؤسسات الحصول على تقرير SOC 2 قبل التوقيع، مما يجعله شرطًا شائعًا مسبقًا للبيع إلى العملاء الكبار.
كم يستغرق الحصول على SOC 2؟: يستغرق الاستعداد عادةً من بضعة أسابيع إلى بضعة أشهر، تبعًا لنقطة انطلاقك. ثم يتطلّب تقرير Type II فترة مراقبة, تتراوح عادةً بين ثلاثة واثني عشر شهرًا, يجب أن تعمل الضوابط خلالها قبل أن يُصدر المدقّق التقرير.
هل SOC 2 إلزامي؟: لا. SOC 2 ليس قانونًا ولا لائحة تنظيمية. والذي يدفع إليه هو متطلبات العملاء والمتطلبات التعاقدية، لذا فبينما لا تفرضه أي جهة حكومية، قد يفرضه عمليًا عملاؤك من المؤسسات الكبرى.

المهام بنطاق وسعر ثابتين بعد الاتفاق. إن لم تكن متأكداً أي خدمة تناسبك، سواء أكانت الجاهزية للشهادات أم الاستشارات في الحوكمة والمخاطر والامتثال أم اختبار اختراق، صف وضعك وسنقترح نطاقاً، بما في ذلك إخبارك بصدق إن كنت لا تحتاجنا بعد.