보안·클라우드 인증 가이드
고객에게 필요한 SOC 2 보고서의 범위를 정합니다
SOC 2는 AICPA 기준에 따라 CPA가 서비스 조직의 통제를 독립적으로 검증하고 작성하는 보고서입니다. 보안·가용성·처리무결성·기밀성·프라이버시 중 계약과 서비스에 맞는 범위를 정하는 것이 출발점입니다.
IS THIS YOUR PATH?
어떤 기업이 검토하나요?
- 미국 엔터프라이즈 고객을 확보하려는 SaaS
- 고객 보안실사에서 SOC2 제출을 요청받은 기업
- 운영 통제의 지속 수행을 증명하려는 서비스 조직
DOCUMENTS & EVIDENCE
무엇을 준비하나요?
문서의 양보다 실제 제품·프로세스·운영 기록과의 일치가 중요합니다.
DOCUMENT 01
시스템 기술서·범위
서비스 경계·약속·인프라·하위 서비스 조직을 설명합니다.
DOCUMENT 02
통제 매트릭스
적용 신뢰서비스 기준과 담당자·수행주기·증적을 연결합니다.
DOCUMENT 03
기간별 운영 증거
권한검토·변경승인·모니터링·사고대응과 예외 조치 기록을 준비합니다.
YOUR NEXT STEPS
어떤 순서로 진행하나요?
- 01
고객 요구·유형 결정
Type1/Type2와 대상 기준·기간·보고서 수신자를 협의합니다.
- 02
준비도 점검·운영
통제 공백을 보완하고 합의된 기간의 증적을 축적합니다.
- 03
CPA 검증·보고서 발행
표본시험·질의·예외사항 확인 후 독립 보고서를 발행합니다.
일정은 이렇게 판단합니다
Type2는 합의된 기간의 통제 운영 증거가 필요합니다. 준비기간과 관찰기간·감사 수행기간을 구분하며 단기 발급을 일괄 보장할 수 없습니다.
QUESTIONS, ANSWERED
SOC 2 독립 검증보고서 자주 묻는 질문
SOC2 인증서를 받는 건가요?
정확한 산출물은 CPA의 독립 검증보고서입니다. 회사가 발행하는 자체 인증서나 준비 플랫폼 배지와 구분하세요.
Type1과 Type2의 차이는 무엇인가요?
Type1은 특정 시점의 통제 설계, Type2는 정해진 기간의 운영 효과성까지 다루므로 필요한 증적과 일정이 다릅니다.
ISO27001이 있으면 보고서가 자동 발급되나요?
기존 통제를 활용할 수 있지만 SOC2의 범위·기술서·검증과 보고 절차는 별도로 수행해야 합니다.