أمن المعلومات
SOC 1
SOC 1 (ضوابط النظام والمؤسسة 1)
SOC 1 هو شهادة تصديق مستقلة يصدرها محاسب قانوني معتمد (CPA) بشأن الضوابط في مؤسستك ذات الصلة بالرقابة الداخلية على التقارير المالية لعملائك. نرافقك من أول ثغرة حتى الوصول إلى تقرير نظيف من النوع الأول أو النوع الثاني.
ما هو SOC 1
SOC 1 هو تقرير تصديق تصدره شركة محاسبة قانونية معتمدة (CPA) مستقلة، ويصف الضوابط لدى مؤسسة خدمية والتي قد تؤثر في البيانات المالية لعملائها. وهو موجود كي يتمكن عملاؤك ومدققوهم من الاعتماد على الضوابط التي تشغّلها نيابة عنهم عند إعدادهم تقاريرهم حول الرقابة الداخلية على التقارير المالية (ICFR).
يقيّم تقرير النوع الأول ما إذا كانت الضوابط مصممة تصميماً مناسباً في وقت محدد. ويختبر تقرير النوع الثاني ما إذا كانت تلك الضوابط قد عملت بفعالية على مدى فترة، تتراوح عادة بين ستة واثني عشر شهراً، وهو التقرير الذي يتوقعه معظم مدققي العملاء عندما تكون خدمتك جوهرية لأرقامهم.
هيكل التقرير
القسم 1 · رأي مدقق الخدمات المستقل
الرأي الرسمي لشركة الـ CPA حول ما إذا كان الوصف معروضاً عرضاً عادلاً، وفي النوع الثاني، حول ما إذا كانت الضوابط قد عملت بفعالية.
القسم 2 · إقرار الإدارة
بيان مكتوب من إدارتك يشهد على دقة وصف النظام وملاءمة الضوابط.
القسم 3 · وصف النظام
سردك للخدمات والعمليات والأشخاص والتقنية التي تكوّن النظام ذا الصلة بالتقارير المالية للعملاء.
القسم 4 · أهداف الضبط والضوابط
أهداف الضبط المرتبطة بالرقابة الداخلية على التقارير المالية، مع الضوابط المحددة التي تلبي كل هدف، وفي النوع الثاني، اختبارات المدقق ونتائجها.
الضوابط التكميلية لكيان المستخدم
الضوابط التي يفترض التقرير أن عملاءك أنفسهم يشغّلونها كي تتحقق الأهداف الكلية من جانبهم.
النوع الأول مقابل النوع الثاني
يقيّم النوع الأول تصميم الضوابط في لحظة محددة، في حين يختبر النوع الثاني إضافةً إلى ذلك الفعالية التشغيلية عبر فترة مراجعة محددة.
من يحتاج إليه
- مزوّدو خدمات الرواتب والمدفوعات والفوترة وإدارة الصناديق الذين تغذّي معالجتهم البيانات المالية للعملاء
- منصات SaaS التي تعالج المعاملات أو الإيرادات أو السجلات المالية لعملائها
- المؤسسات الخدمية التي يطلب منها المدقق الخارجي لأحد العملاء تقرير SOC 1
ما تحصل عليه
- تقييم للثغرات وخارطة طريق مرتبة حسب الأولوية مقابل أهداف الضبط ذات الصلة
- أهداف ضبط وضوابط ومجموعة أدلة موثّقة
- مراجعة داخلية للجاهزية وتجربة أولية قبل العمل الميداني
- تحضير للتدقيق ودعم حتى الوصول إلى تقرير نظيف من النوع الأول أو النوع الثاني
تعتمد الجداول الزمنية على نقطة انطلاقك وعلى ما إذا كان الأمر يتعلق بالنوع الأول أو النوع الثاني. نحدد النطاق بصدق منذ البداية بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
SOC 1 هو مهمة تصديق تُنفَّذ بموجب إطار SSAE 18 الصادر عن AICPA، حيث يحدد البند AT-C section 320 المتطلبات المحددة لإعداد التقارير عن الضوابط لدى مؤسسة خدمية. وSSAE 18 هو المعيار الحاكم منذ دخوله حيز التنفيذ في عام 2017، إذ وحّد معايير التصديق السابقة، وAT-C 320 هو المرجع الحالي للتقارير الجديدة. ولا توجد نسخة مرقّمة منفصلة من SOC 1 لاعتمادها؛ إذ تتولى AICPA صيانة الإرشادات وتحديثها دورياً، لذا تخطط حول تاريخ النوع الأول الذي اخترته أو فترة مراجعة النوع الثاني بدلاً من تغيير في الإصدار.
التكلفة
تتجاور هنا تكلفتان. تتقاضى tr3labs أتعاب استشارة وتنفيذ محددة النطاق، تُعرض مقدماً بمجرد أن نفهم حجمك ونظامك ومدى تقدّم ضوابطك بالفعل، وتغطي أعمال الثغرات وأهداف الضبط والأدلة والجاهزية. أما شركة الـ CPA المستقلة التي تنفّذ الفحص وتصدر الرأي فتتقاضى أتعابها على حدة وفق جدولها الخاص، لأن tr3labs ليست المدقق أبداً ولا تصدر التقرير أبداً. ونفضّل تحديد النطاق معك مقابل نقطة انطلاقك الحقيقية بدلاً من التسعير دون معرفة.
كيف توصلك tr3labs إلى هناك
تقييم النطاق والثغرات
نحدد أهداف الضبط ذات الصلة بالتقارير المالية لعملائك، ونقارن ضوابطك الحالية بها، ونسلّمك خارطة طريق مرتبة حسب الأولوية لسد الثغرات.
بناء الضوابط
نساعدك على تحديد أهداف الضبط، وتنفيذ الضوابط التشغيلية والتقنية التي تدعمها، وجمع الأدلة التي سيختبرها مدققك.
التدقيق الداخلي والأدلة
نجري مراجعة داخلية وتجربة أولية للتدقيق لتكون الضوابط عاملة وموثّقة قبل العمل الميداني، دون مفاجآت لفترة النوع الثاني.
دعم التصديق
نعمل جنباً إلى جنب مع مدقق الـ CPA الخاص بك طوال العمل الميداني حتى الوصول إلى تقرير نظيف، ونبقيك جاهزاً لفترة إعداد التقارير التالية.
SOC 1 مقابل SOC 2
يتشارك الاثنان اسم SOC وآلية التصديق نفسها، لذا يسهل الخلط بينهما.
| SOC 1 | SOC 2 | |
|---|---|---|
| يغطي | الضوابط ذات الصلة بالتقارير المالية | الأمن والتوافر وسلامة المعالجة والسرية والخصوصية |
| الفكرة الجوهرية | هل يمكن لمدققي عملائك الاعتماد عليك | هل يمكن لعملائك الوثوق بطريقة حمايتك لبياناتهم |
| من يطلبه | المدققون الماليون الخارجيون للعملاء | فرق الأمن والمشتريات لدى العملاء |
| يُقاس مقابل | أهداف الضبط الخاصة بك للرقابة الداخلية على التقارير المالية | معايير Trust Services Criteria |
| نموذج التدقيق | النوع الأول أو النوع الثاني، بموجب SSAE 18 | النوع الأول أو النوع الثاني، بموجب SSAE 18 |
| الحائز المعتاد | الرواتب والمدفوعات وإدارة الصناديق | منصات SaaS والاستضافة |
الأسئلة الشائعة حول SOC 1
- ما الفرق بين SOC 1 و SOC 2؟
- يغطي SOC 1 الضوابط ذات الصلة بالتقارير المالية لعملائك، بحيث يمكن لمدققيهم الاعتماد على خدمتك. أما SOC 2 فيغطي الأمن والتوافر وسلامة المعالجة والسرية والخصوصية مقابل معايير Trust Services Criteria. وأيّهما تحتاج يعتمد على ما يطلبه عملاؤك.
- ما الفرق بين SOC 1 من النوع الأول والنوع الثاني؟
- يقيّم النوع الأول ما إذا كانت ضوابطك مصممة تصميماً صحيحاً في لحظة واحدة. ويختبر النوع الثاني ما إذا كانت قد عملت بفعالية على مدى فترة مراجعة، تتراوح عادة بين ستة واثني عشر شهراً، وهو ما يطلبه مدققو العملاء عادة.
- من يصدر تقرير SOC 1؟
- تصدر التقرير شركة محاسبة قانونية معتمدة (CPA) مستقلة ومرخّصة. تُعدّك tr3labs للتدقيق، وتبني أهداف الضبط والأدلة، وترافقك خلاله؛ ونحن لا نصدر شهادة التصديق بأنفسنا.
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق