Service Organization Control (SOC) คืออะไร

ตอบกระทู้

รูปแสดงอารมณ์
:icon_plusone: :like: :plusone: :gfb: :-D :) :( :-o 8O :? 8) :lol: :x :P :oops: :cry: :evil: :twisted: :roll: :wink: :!: :?: :idea: :arrow: :| :mrgreen: :angry: :baa: :biggrin:
รูปแสดงอารมณ์อื่นๆ
BBCode เปิด
[img] เปิด
[url] เปิด
[Smile icon] เปิด
กระทู้แนะนำ
   

มุมมองที่ขยายได้ กระทู้แนะนำ: Service Organization Control (SOC) คืออะไร

Service Organization Control (SOC) คืออะไร

โดย Chidchanok » 24/01/2019 12:36 pm

SOC มาจากคำว่า Service Organization Control เป็นตัวแสดงถึง “ภาพรวมด้านความปลอดภัยภายในองค์กร” และรายละเอียดของกรอบการทำงานด้านความปลอดภัย ซึ่งจะสอดคล้องกับระบบการทำงานจริงที่เกิดขึ้นภายในองค์กร รวมไปถึงการประสานงานร่วมกับพันธมิตร และความสัมพันธ์ด้านธุรกิจต่างๆอีกด้วย ซึ่งในปัจจุบันรายงาน SOC มีความสำคัญมากที่เลยทีเดียวสำหรับ “ทีมขาย” ขององค์กรที่มักจะใช้อ้างอิงถึงความปลอดภัยและเสถียรภาพภายในองค์กรแก่ลูกค้า
Soc.png
Soc.png (14.36 KiB) Viewed 4048 times
ใครบ้างที่ออก SOC ได้
บุคคลที่สามที่สามารถออก SOC report นี้ส่วนมากจะเป็นบริษัทที่ปรึกษาหรือบริษัทผู้ตรวจสอบบัญชีที่มีบริการในลักษณะนี้อยู่ และบริษัทจะต้องอยู่ใน AICPA (American Institute of CPAs, สถาบันผู้สอบบัญชีที่ได้รับอนุญาตแห่งอเมริกา) การออก SOC report จะต้องทำภายใต้ Compliance ชื่อ SSAE16 ของสหรัฐอเมริกา เพื่อแสดงถึงข้อผูกพันการรับรองว่าถูกต้องเป็นจริง จึงทำให้มั่นใจว่า SOC report ที่ได้รับนั้นมีความน่าเชื่อถือสูงสุดมากกว่าการให้ CSP ตอบคำถามก่อนซื้อของเราด้วยตนเอง

ประเภทของ SOC
SOC1 report แสดงการควบคุมภายในในรูปแบบรายงานทางการเงินและเอาไปใช้เชิงกฎหมาย การควบคุมที่มีผลกระทบทันที หรือต่อเนื่อง ตามมาตรฐานของ SSAE16”

SOC2 รายงานด้านความภัยปลอดภัย ที่แสดงถึง “การควบคุมที่เกี่ยวข้องความปลอดภัยในการเก็บรักษาข้อมูลส่วนตัว และการประมวลผล” ซึ่งจะเป็นไปตามมาตรฐานข้อมูลแบบ AT101

SOC3 จะเป็นรายงานแบบ SOC2 ในอีกเวอร์ชั่น ที่จะเปิดเผยต่อสาธาณะโดยไม่รวมข้อมูลส่วนตัวที่จะถูกเก็บไว้เป็นความลับ รายงานเกี่ยวกับ “สรุปข้อมูลระดับสูงสำหรับลูกค้าทั่วไป โดยจะต้องไม่กระทบและเปิดภายระบบการทำงานภายในจนองค์กรเสียหาย”
มักจะถูกใช้ในองค์กรขนาดใหญ่ ที่มีการเก็บข้อมูลไว้เป็นจำนวนมาก รวมไปถึงมีการควบคุมในระบบที่สูงกว่าองค์กรอื่นทั่วไป

รายงานการควบคุมหลักการปฏิบัติด้านความปลอดภัยในทุกฉบับที่เกิดขึ้น “จะต้องมีความเห็นของผู้ตรวจสอบ” ที่จะแสดงให้เห็นว่าข้อมูลทีเปิดเผยออกมามีความถูกต้อง และเป็นธรรม ซึ่งหากมีการตรวจพบภายหลังว่า “ข้อมูลที่ถูกเปิดเผยมาจากรายงานไม่มีความเป็นธรรม หรือผิดไปจากผลจริงที่เกิดขึ้น” ข้อมูลเหล่านี้ก็จะสูญเปล่าไปโดยทันที รายงานทั้งหมดนี้จะ “มีการยืนยันจากองค์กร” ว่ามีการใช้ตัวควบคุมทั้งหมดในระบบระหว่างช่วงของการทดสอบ ซึ่งข้อมูลที่ออกมาจากการทดสอบจะเป็นข้อมูลที่เกิดขึ้นจริงและเชื่อถือได้ ภายใต้ขอบเขตและวัตถุประสงค์ของการทดสอบด้านความปลอดภัยอีกด้วย

Reference : https://www.monsterconnect.co.th/soc-reports/ , https://www.techtalkthai.com/cloud-secu ... n-control/

ช่องทางการศึกษาเพิ่มเติม
ความรู้ทั่วไป ข่าว IT
ความหมายของคำและวลี
ถาม - ตอบ คอมพิวเตอร์
เนื้อหาแชร์ผ่านเว็บบอร์ด
พูดคุยเรื่องทั่วไป

ข้างบน