SOC

概觀

SOC 標誌

AWS 系統與組織控制 (SOC) 報告是獨立的第三方檢驗報告，其中展現了 AWS 如何達成關鍵合規性控制與目標。這些報告的用途是協助您和稽核人員了解為了支援運作與合規所建立的 AWS 控制。AWS SOC 報告有三種：

常見問答集

  •   SOC 1 SOC 2：安全性、可用性、機密性及隱私權
    		 SOC 3：安全性、可用性、機密性及隱私權
    報告內容為何？ AWS 控制環境的描述以及 AWS 定義的控制與目標的外部稽核 AWS 控制環境的描述，以及符合 AICPA 信託服務安全性、可用性、機密性及隱私權條件的 AWS 控制外部稽核
    		 展現 AWS 已達到 AICPA 信託服務安全性、可用性、機密性及隱私權條件的公開報告
    稽核報告執行的依循標準為何？ SSAE No. 18, Attestation Standards: Clarification and Recodification (AICPA, Professional Standards)，其中包括 AT-C section 320, Reporting on an Examination of Controls at a Service Organization Relevant to User Entities’ Internal Control Over Financial Reporting。AICPA 指南，Service Organizations: Reporting on an Examination of Controls at a Service Organization Relevant to User Entities’ Internal Control Over Financial Reporting (SOC 1®) SSAE No. 18, Attestation Standards: Clarification and Recodification，其中包括 AT-C section 105, Concepts Common to All Attestation Engagements 及 AT-C section 205, Examination Engagements AICPA Guide, Reporting on Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy(SOC 2®) TSP section 100, 2017 Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (AICPA, 2017 Trust Services Criteria) SSAE No. 18, Attestation Standards: Clarification and Recodification，其中包括 AT-C section 105, Concepts Common to All Attestation Engagements 及 AT-C section 205, Examination Engagements TSP section 100A, 2017 Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (AICPA, 2017 Trust Services Criteria)
    報告的主要用途是什麼？

    為客戶提供與他們內部控制財務報告相關的 AWS 控制環境資訊

    為客戶及其稽核人員提供對於他們內部控制財務報告 (ICOFR) 有效性的評估和意見等資訊

    		 為具有商業需求的客戶和使用者提供與系統安全性、可用性、機密性及隱私權相關之 AWS 控制環境的公正評估
    		 為具有商業需求的客戶和使用者提供與系統安全性、可用性、機密性及隱私權相關之 AWS 控制環境的公正評估，但不透露 AWS 內部資訊
    報告的主要適用對象有哪些？ 客戶管理階層及其稽核人員 具有商業需求的使用者 公開資訊請參閱這裡
    AWS 報告涵蓋的期間為何？ 為期 12 個月：
    截至 3 月 31 日、6 月 30 日、9 月 30 日、12 月 31 日    		 為期 12 個月：
    截至 3 月 31 日、9 月 30 日    		 為期 12 個月：
    截至 3 月 31 日、9 月 30 日

  • 您可以在合規計劃的 AWS 服務範圍找到已經涵蓋在 SOC 報告範圍內的 AWS 服務。如果您想進一步了解使用這些服務的資訊及/或對其他服務感興趣，請聯絡我們。

  • 如需範圍內所有區域的完整清單，請參閱 AWS SOC 3 報告。 

  • Ernst & Young LLP 進行 AWS SOC 1、SOC 2 和 SOC 3 稽核。

  • AWS 每季度發佈 SOC 1 報告，並且每年發佈兩次 SOC 2/3 報告。每份報告包括 12 個月的期間。新的 SOC 報告會在稽核期 (僅對於 SOC 1 為 2 月中旬和 8 月中旬；對於 SOC 1/2/3 則是 5 月中旬和 11 月中旬) 結束後約 6-7 週發佈。

  • AWS SOC 1 稽核是根據國際鑑證業務準則第 3402 (ISAE 3402) 號而進行的。需要 ISAE 3402 報告的客戶應該使用 AWS Artifact (隨需存取 AWS 合規報告的自助服務入口網站) 請求 AWS SOC 1 Type II 報告。登入 AWS 管理主控台中的 AWS Artifact，或者參閱 AWS Artifact 入門進一步了解詳細資訊。

  • 需要簽署 NDA 才能查看 AWS SOC 1 和 SOC 2 報告。AWS SOC 3 報告是公開的 AWS SOC 2 報告摘要。AWS SOC 3 報告概述 AWS 如何符合 SOC 2 中 AICPA 的 信託服務條件，且包含外部稽核員對控制操作的意見。您可以在 AWS 網站上閱讀最新的 AWS SOC 3 報告。

  • 客戶可透過 AWS Artifact (隨需存取 AWS 合規報告的自助服務入口網站) 取得 AWS SOC 1 和 SOC 2。登入 AWS 管理主控台中的 AWS Artifact，或者參閱 AWS Artifact 入門進一步了解詳細資訊。

  • AWS 網站已公開發佈最新的 AWS SOC 3 報告。

  • AWS 每季度發佈 SOC 1 報告，並且每年發佈兩次 SOC 2/3 報告。每份報告包括 12 個月的期間。在適當的情況下，我們將在下一個可用的稽核週期將新區域範圍納入我們的 SOC 報告。 

有問題？ 聯繫 AWS 業務代表
探索合規職缺？
立即申請 »
需要 AWS 合規更新？
在 Twitter 上關注我們 »