Cung cấp tổng quan về các loại báo cáo SOC và mục đích sử dụng của chúng
System and Organization Controls (SOC), (đôi khi còn được gọi là kiểm soát tổ chức dịch vụ) theo định nghĩa của Viện Kế toán Công chứng Hoa Kỳ (AICPA), là tên của một bộ báo cáo được tạo ra trong quá trình kiểm toán. Báo cáo này dành cho các tổ chức dịch vụ (các tổ chức cung cấp hệ thống thông tin như một dịch vụ cho các tổ chức khác) để phát hành các báo cáo đã được xác thực về kiểm soát nội bộ đối với các hệ thống thông tin đó cho người dùng dịch vụ. Các báo cáo tập trung vào các biện pháp kiểm soát được nhóm thành năm danh mục gọi là Nguyên tắc Dịch vụ Tin cậy. Tiêu chuẩn kiểm toán AICPA Statement on Standards for Attestation Engagements số 18 (SSAE 18), phần 320, "Báo cáo về Kiểm tra Kiểm soát tại Tổ chức Dịch vụ Liên quan đến Kiểm soát Nội bộ của Đơn vị Sử dụng đối với Báo cáo Tài chính", xác định hai cấp độ báo cáo, loại 1 và loại 2. Tài liệu hướng dẫn bổ sung của AICPA chỉ định ba loại báo cáo: SOC 1, SOC 2 và SOC 3.

Nguyên tắc Dịch vụ Tin cậy
Báo cáo SOC 2 tập trung vào các biện pháp kiểm soát được đề cập bởi năm danh mục chồng chéo một phần được gọi là Nguyên tắc Dịch vụ Tin cậy, cũng hỗ trợ cho bộ ba CIA về bảo mật thông tin:

Bảo mật
- Tường lửa
- Phát hiện xâm nhập 
- Xác thực đa yếu tố

Tính khả dụng
- Giám sát hiệu suất
- Khôi phục sau thảm họa
- Xử lý sự cố

Tính bảo mật
- Mã hóa
- Kiểm soát truy cập
- Tường lửa

Tính toàn vẹn xử lý
- Đảm bảo chất lượng
- Giám sát quy trình
- Tuân thủ nguyên tắc

Quyền riêng tư
- Kiểm soát truy cập
- Xác thực đa yếu tố
- Mã hóa

Cấp độ báo cáo
Có hai cấp độ báo cáo SOC được quy định bởi SSAE 18:

Type I, mô tả hệ thống của tổ chức dịch vụ và liệu thiết kế của các kiểm soát cụ thể có đáp ứng các nguyên tắc tin cậy liên quan hay không. (Thiết kế và tài liệu có khả năng đạt được các mục tiêu được xác định trong báo cáo không?)

Type II, đề cập thêm về hiệu quả hoạt động của các kiểm soát cụ thể trong một khoảng thời gian (thường từ 9 đến 12 tháng). (Việc triển khai có phù hợp không?)

Các loại báo cáo
Có ba loại báo cáo SOC:

SOC 1 – Kiểm soát Nội bộ đối với Báo cáo Tài chính (ICFR)
SOC 2 – Tiêu chí Dịch vụ Tin cậy
SOC 3 – Tiêu chí Dịch vụ Tin cậy cho Báo cáo Sử dụng Chung

Ngoài ra còn có các báo cáo SOC chuyên biệt về An ninh mạng và Chuỗi cung ứng.

Báo cáo SOC 1 và SOC 2 dành cho đối tượng giới hạn - cụ thể là người dùng có hiểu biết đầy đủ về hệ thống được đề cập. Báo cáo SOC 3 chứa thông tin ít chi tiết hơn và có thể được phân phối cho công chúng.
Có các loại báo cáo SOC khác nhau là SOC 1, SOC 2 và SOC 3. Mỗi báo cáo được sử dụng để tổ chức thứ ba hiểu được các biện pháp kiểm soát của một tổ chức khác. Báo cáo SOC 1 bao gồm các kiểm soát về báo cáo tài chính, báo cáo SOC 2 bao gồm các tiêu chí dịch vụ tin cậy (bảo mật, tính khả dụng, tính bảo mật, tính toàn vẹn xử lý và quyền riêng tư), và báo cáo SOC 3 là báo cáo SOC 2 sử dụng chung.