【热门考点】SOC报告

SOC是CISSP高频考点，这篇文章很值得你好好研读。

— 1 —

CISSP练习题

1. You are the CISO for a major hospital system and are preparing to sign a contract with a software as a service (SaaS) email vendor and want to ensure that its business continuity planning measures are reasonable. What type of audit might you request to meet this goal?

您是一家大型医院系统的CISO，正准备与一家软件即服务(SaaS)电子邮件供应商签订合同，并希望确保其商业连续性/服务措施是合理的。为了实现这一目标，您可能要求进行哪种类型的审计？

A. SOC 1

B. FISMA

C. PCI DSS

D. SOC 2

2. In a response to a Request for Proposal, Susan receives an SSAE 18 SOC 1 report. If she wants a report that includes operating effectiveness detail, what should Susan ask for as follow-up and why?

作为对提案请求的回应，Susan收到了SSAE18 SOC1报告。如果她想要一份包含运营效率细节的报告，Susan应该要求什么作为后续行动，为什么？

A. A SOC 2 Type II report, because Type I does not cover operating effectiveness

SOC 2 type II报告，因为type I不包括运营效能

B. A SOC 1 Type I report, because SOC 2 does not cover operating effectiveness

SOC 1 type I报告，因为SOC 2不包括运营效能

C. A SOC 2 Type I report, because SOC 2 Type II does not cover operating effectiveness

SOC 2 type I报告，因为SOC 2 type II不包括运营效能

D. A SOC 3 report, because SOC 1 and SOC 2 reports are outdated

SOC 3报告，因为SOC 1和SOC 2报告已经过时了

Using the following table and your knowledge of the auditing process, answer questions 3–4

使用下表,以及你对审计过程的了解，回答问题3和4。

3.As they prepare to migrate their data center to an infrastructure as a service (IaaS) provider,Susan’s company wants to understand the effectiveness of their new provider’s security,integrity, and availability controls. What SOC report would provide them with the most detail, including input from the auditor on the effectiveness of controls at the IaaS provider?

当他们准备将数据中心迁移到基础设施即服务（IaaS）提供商时，Susan的公司希望了解新提供商的安全性、完整性和可用性控制的有效性。什么样的SOC报告能为他们提供最详细的信息，包括审计师对IaaS供应商控制有效性的意见？

A. SOC 1.

B. SOC 2.

C. SOC 3.

D. 没有一份SOC报告适合这种情况，他们应该要求另一种形式的报告

4. Susan wants to ensure that the audit report that her organization requested includes input from an external auditor. What type of report should she request?

Susan希望确保组织需要的审计报告包括外聘审计员的意见。她要求什么类型的报告?

A. SOC 2, Type 1

B. SOC 3, Type 1

C. SOC 2, Type 2

D. SOC 3, Type 2

— 2 —

SOC介绍

当今组织正面临越来越大的压力，需要证明他们正在管理网络安全威胁，他们具备有效的流程和控制措施来检测、响应、缓解和恢复入侵和其他安全事件的能力。

为了满足这一市场需求，美国注册会计师协会（AICPA）开发了网络安全风险管理报告框架，帮助组织就其网络安全风险管理项目的有效性交流相关和有用信息。该框架是新的网络安全系统和组织控制(SOC)的关键组成部分，通过该框架，注册会计师可以报告组织的企业范围的网络安全风险管理计划。这些信息可以帮助高级管理层、董事会、分析师、投资者和商业伙伴获得更好的回报。

美国注册会计师协会(American Institute of Certified Public Accountants, AICPA)制定并维护有关这些报告的标准，以保持不同会计师事务所审计师之间的一致性。