Dịch vụ SOC 2: Doanh nghiệp nên chọn Type I hay Type II?

Hung Pham
22 thg 12, 2025
10 phút đọc

Đã cập nhật: 15 thg 7

Dịch vụ SOC 2 hỗ trợ doanh nghiệp đánh giá mức độ sẵn sàng, hoàn thiện hệ thống kiểm soát và chuẩn bị bằng chứng trước khi thực hiện kiểm toán SOC 2 độc lập.

Đây đang trở thành nhu cầu quan trọng đối với doanh nghiệp SaaS, Cloud, Fintech, MSP và các tổ chức xử lý dữ liệu khách hàng. Trong quá trình vendor due diligence, khách hàng Enterprise không chỉ hỏi doanh nghiệp đã có báo cáo SOC 2 hay chưa. Họ còn muốn biết các kiểm soát truy cập, quản lý nhà cung cấp, ứng phó sự cố và quản trị AI có thực sự được vận hành liên tục hay không.

Khảo sát Compliance Benchmark 2026 của A-LIGN cho thấy 4/5 tổ chức đang nhận được câu hỏi từ khách hàng về cách quản trị rủi ro AI. Đồng thời, 95% tổ chức được khảo sát đã sử dụng công nghệ trong quá trình audit hoặc assessment. Điều này cho thấy SOC 2 đang chuyển dần từ một dự án tuân thủ tại một thời điểm sang một chương trình quản trị bằng chứng liên tục.

SOC 2 Type I đánh giá thiết kế và việc triển khai kiểm soát tại một thời điểm. SOC 2 Type II đánh giá thêm hiệu quả vận hành của các kiểm soát trong một khoảng thời gian. Doanh nghiệp không bắt buộc phải hoàn thành Type I trước Type II.

Dịch vụ SOC 2 là gì?

SOC 2 là một loại báo cáo về hệ thống kiểm soát tại tổ chức cung cấp dịch vụ. Báo cáo tập trung vào các kiểm soát liên quan đến bảo mật, tính sẵn sàng, tính toàn vẹn xử lý, tính bảo mật thông tin và quyền riêng tư.

AICPA gọi đây là một cuộc kiểm tra đối với các kiểm soát tại tổ chức dịch vụ. Vì vậy, SOC 2 nên được gọi là báo cáo kiểm toán hoặc báo cáo chứng thực, thay vì “chứng chỉ SOC 2”. Báo cáo cuối cùng phải do một kiểm toán viên hoặc công ty CPA độc lập có thẩm quyền phát hành.

Dịch vụ tư vấn SOC 2 thường không trực tiếp phát hành báo cáo. Đơn vị tư vấn hỗ trợ doanh nghiệp:

Xác định phạm vi hệ thống cần đánh giá.
Thực hiện readiness assessment hoặc gap assessment.
Xây dựng và hoàn thiện chính sách.
Triển khai các kiểm soát còn thiếu.
Chuẩn hóa quá trình thu thập bằng chứng.
Chuẩn bị hồ sơ trước khi làm việc với kiểm toán viên độc lập.
Hỗ trợ khắc phục các điểm chưa phù hợp.

5 Trust Services Criteria của SOC 2 gồm Security, Availability, Processing Integrity, Confidentiality và Privacy. Security là nhóm tiêu chí cốt lõi; các nhóm còn lại được lựa chọn dựa trên dịch vụ, cam kết với khách hàng và loại dữ liệu doanh nghiệp xử lý.

SOC 2 Type I và Type II khác nhau như thế nào?

SOC 2 Type I và Type II cùng sử dụng Trust Services Criteria nhưng khác nhau về thời gian đánh giá và mức độ bằng chứng.

Tiêu chí	SOC 2 Type I	SOC 2 Type II
Mục tiêu	Đánh giá thiết kế và việc triển khai kiểm soát	Đánh giá thiết kế và hiệu quả vận hành
Thời điểm	Tại một ngày xác định	Trong một khoảng thời gian
Bằng chứng	Chính sách, cấu hình và hồ sơ tại thời điểm đánh giá	Log, ticket, phê duyệt và hồ sơ xuyên suốt giai đoạn
Phù hợp	Doanh nghiệp mới xây dựng hệ thống kiểm soát	Doanh nghiệp đã vận hành kiểm soát ổn định
Câu hỏi được trả lời	Các kiểm soát đã được thiết kế phù hợp chưa?	Các kiểm soát có hoạt động hiệu quả và nhất quán không?
Giá trị với khách hàng	Bằng chứng ban đầu về mức độ sẵn sàng	Mức đảm bảo cao hơn về hoạt động thực tế

SOC 2 Type I phù hợp khi nào?

Type I phù hợp khi doanh nghiệp mới triển khai các chính sách và kiểm soát, chưa có đủ bằng chứng vận hành trong nhiều tháng hoặc cần đáp ứng một yêu cầu ban đầu từ khách hàng.

Báo cáo Type I có thể giúp doanh nghiệp xác nhận rằng hệ thống kiểm soát đã được thiết kế và đưa vào sử dụng tại một thời điểm. Tuy nhiên, báo cáo này chưa chứng minh được các kiểm soát đã hoạt động nhất quán trong một giai đoạn dài.

Trước khi chọn Type I, doanh nghiệp cần xác nhận khách hàng hoặc đối tác có chấp nhận loại báo cáo này hay không.

SOC 2 Type II phù hợp khi nào?

Type II phù hợp với doanh nghiệp đã vận hành kiểm soát ổn định và có khả năng cung cấp bằng chứng liên tục.

Khách hàng Enterprise thường quan tâm Type II hơn vì báo cáo thể hiện cách các kiểm soát hoạt động trong thực tế. Doanh nghiệp có thể tìm hiểu sâu hơn về phạm vi, bằng chứng và các bước chuẩn bị trong bài viết về SOC 2 Type II.

Doanh nghiệp không bắt buộc phải làm Type I trước Type II. Nếu hệ thống kiểm soát đã đủ trưởng thành, phạm vi rõ ràng và bằng chứng được lưu trữ đầy đủ, doanh nghiệp có thể chuẩn bị trực tiếp cho Type II.

Doanh nghiệp nên chọn SOC 2 Type I hay Type II?

Quyết định không nên chỉ dựa vào chi phí hoặc mong muốn hoàn thành nhanh. Doanh nghiệp cần trả lời 4 câu hỏi:

Khách hàng đang yêu cầu Type I hay Type II?
Kiểm soát đã được vận hành trong bao lâu?
Doanh nghiệp có lưu giữ bằng chứng một cách nhất quán không?
Deadline ký hợp đồng hoặc hoàn thành vendor assessment là khi nào?

Có thể sử dụng ma trận sau:

Tình trạng doanh nghiệp	Hướng đi nên cân nhắc
Khách hàng yêu cầu rõ Type II	Chuẩn bị trực tiếp cho Type II
Kiểm soát mới được triển khai	Thực hiện readiness assessment trước
Chưa có đủ bằng chứng vận hành	Cân nhắc Type I hoặc kéo dài giai đoạn chuẩn bị
Đã có bằng chứng đầy đủ và nhất quán	Có thể bắt đầu Type II
Chưa xác định hệ thống trong phạm vi	Thực hiện scoping trước khi báo giá
Deadline gần nhưng yêu cầu chưa rõ	Xác nhận lại với khách hàng hoặc bộ phận procurement

Một readiness assessment được thực hiện đúng cách sẽ giúp doanh nghiệp biết mình thiếu kiểm soát nào, thiếu bằng chứng gì và cần bao nhiêu thời gian để khắc phục trước audit.

SOC 2 năm 2026 cần lưu ý những vấn đề gì?

Trust Services Criteria không thay đổi chỉ vì xuất hiện một công nghệ mới. Tuy nhiên, cách doanh nghiệp áp dụng và chứng minh các kiểm soát đang thay đổi theo môi trường vận hành.

1. Quản trị AI và kiểm soát truy cập dữ liệu

IBM cho biết 63% tổ chức trong nghiên cứu năm 2025 chưa có chính sách quản trị AI, trong khi 97% tổ chức gặp sự cố bảo mật liên quan đến AI thiếu các biện pháp kiểm soát truy cập AI phù hợp.

Với doanh nghiệp sử dụng AI, quá trình chuẩn bị SOC 2 cần xem xét:

AI đang truy cập loại dữ liệu nào.
Ai được phép sử dụng công cụ AI.
Prompt, output và dữ liệu huấn luyện được lưu trữ ra sao.
Có cơ chế phê duyệt công cụ AI mới hay không.
Hoạt động của AI có được ghi log và giám sát không.
Nhà cung cấp AI được đánh giá rủi ro như thế nào.

Đây không phải là một Trust Services Criterion mới. Đó là cách các kiểm soát về truy cập, thay đổi, nhà cung cấp và bảo mật dữ liệu được áp dụng trong môi trường có AI.

2. Rủi ro Cloud và nhà cung cấp bên thứ ba

Nhiều doanh nghiệp SaaS phụ thuộc vào Cloud, hệ thống thanh toán, CRM, công cụ hỗ trợ khách hàng, kho mã nguồn và các API bên thứ ba. Vì vậy, phạm vi SOC 2 không thể chỉ tập trung vào hệ thống do doanh nghiệp trực tiếp quản lý.

Doanh nghiệp cần duy trì:

Danh sách nhà cung cấp.
Tiêu chí đánh giá và phê duyệt nhà cung cấp.
Hợp đồng và cam kết bảo mật.
Hồ sơ rà soát định kỳ.
Quy trình xử lý khi nhà cung cấp xảy ra sự cố.
Phân định trách nhiệm trong mô hình Shared Responsibility.

Các tổ chức đang di chuyển hoặc vận hành hệ thống trên Cloud cũng cần rà soát kiến trúc, phân quyền và logging. Có thể tham khảo thêm dịch vụ điện toán đám mây và bảo mật Cloud của IPSIP.

3. Bằng chứng phải phản ánh hoạt động thực tế

Chính sách được ký nhưng không được thực thi sẽ không tạo ra bằng chứng vận hành có giá trị.

Doanh nghiệp cần lưu giữ những hồ sơ như:

Ticket cấp và thu hồi quyền.
Kết quả rà soát tài khoản định kỳ.
Phê duyệt thay đổi hệ thống.
Báo cáo quản lý lỗ hổng.
Kết quả kiểm thử khôi phục dữ liệu.
Hồ sơ xử lý sự cố.
Hồ sơ đào tạo nhân viên.
Biên bản đánh giá nhà cung cấp.

Đối với các kiểm soát kỹ thuật, dịch vụ Pentest có thể hỗ trợ xác định lỗ hổng có khả năng bị khai thác thực tế và cung cấp đầu vào cho kế hoạch remediation. Pentest là một phần hỗ trợ chương trình bảo mật; bản thân một báo cáo Pentest không thay thế toàn bộ yêu cầu SOC 2.

4. Giám sát và ứng phó sự cố liên tục

Doanh nghiệp cần chứng minh rằng cảnh báo bảo mật được ghi nhận, phân loại, xử lý và đóng theo một quy trình nhất quán.

Với tổ chức không có đội ngũ an ninh mạng trực liên tục, dịch vụ SOC 24/7 có thể hỗ trợ giám sát, phân tích cảnh báo và duy trì hồ sơ xử lý sự cố.

Tuy nhiên, cần phân biệt rõ:

SOC 2 là báo cáo kiểm toán về hệ thống kiểm soát.
SOC 24/7 là trung tâm vận hành và giám sát an ninh mạng.

Sử dụng SOC 24/7 có thể hỗ trợ một số kiểm soát và bằng chứng liên quan đến monitoring hoặc incident response, nhưng không tự động giúp doanh nghiệp có báo cáo SOC 2.

Quy trình triển khai dịch vụ SOC 2

Một dự án chuẩn bị SOC 2 nên gồm 5 giai đoạn.

1. Xác định phạm vi

Doanh nghiệp cần xác định sản phẩm, dịch vụ, hệ thống, dữ liệu, địa điểm và nhà cung cấp nào nằm trong phạm vi.

Nếu phạm vi quá rộng, chi phí và khối lượng bằng chứng sẽ tăng. Nếu phạm vi quá hẹp, báo cáo có thể không đáp ứng yêu cầu của khách hàng.

2. Đánh giá mức độ sẵn sàng

Đơn vị tư vấn đối chiếu hệ thống hiện tại với Trust Services Criteria và lập danh sách khoảng trống.

Kết quả nên bao gồm:

Kiểm soát đã có.
Kiểm soát còn thiếu.
Bằng chứng chưa đầy đủ.
Mức độ ưu tiên.
Người phụ trách.
Thời hạn khắc phục.

3. Khắc phục khoảng trống

Doanh nghiệp xây dựng hoặc hoàn thiện chính sách, quy trình và kiểm soát kỹ thuật.

Các hạng mục thường liên quan đến quản lý truy cập, quản lý thay đổi, sao lưu, quản lý lỗ hổng, ứng phó sự cố, đào tạo nhân sự và quản lý nhà cung cấp.

4. Vận hành và thu thập bằng chứng

Đối với Type II, doanh nghiệp phải duy trì kiểm soát xuyên suốt giai đoạn đánh giá. Bằng chứng cần có ngày tháng, người thực hiện, phê duyệt và mối liên hệ với kiểm soát tương ứng.

5. Kiểm toán độc lập

Kiểm toán viên hoặc công ty CPA độc lập thực hiện kiểm thử và phát hành báo cáo SOC 2.

Đơn vị tư vấn readiness có thể hỗ trợ doanh nghiệp chuẩn bị và giải trình hồ sơ nhưng không thay thế vai trò của kiểm toán viên độc lập.

Chi phí dịch vụ SOC 2 phụ thuộc vào yếu tố nào?

Không có một mức giá SOC 2 phù hợp cho mọi doanh nghiệp. Chi phí phụ thuộc vào:

Type I hay Type II.
Số lượng sản phẩm và hệ thống.
Trust Services Criteria được lựa chọn.
Quy mô hạ tầng Cloud và on-premises.
Số lượng nhà cung cấp.
Mức độ hoàn thiện của chính sách.
Chất lượng bằng chứng hiện có.
Khối lượng remediation.
Phí của kiểm toán viên độc lập.

Doanh nghiệp không nên lựa chọn nhà cung cấp chỉ dựa vào báo giá thấp nhất. Proposal cần làm rõ phạm vi tư vấn, đầu ra, trách nhiệm của hai bên, phần việc không bao gồm và đơn vị sẽ phát hành báo cáo cuối cùng.

IPSIP hỗ trợ doanh nghiệp chuẩn bị SOC 2 như thế nào?

ipsip-viet-nam-cong-ty-an-ninh-mang-chuyen-nghiep-chuan-quoc-te — *IPSIP Việt Nam - Công ty an ninh mạng chuyên nghiệp, chuẩn quốc tế*

Phạm vi tư vấn có thể được thiết kế theo hiện trạng của từng doanh nghiệp:

Scoping hệ thống và dữ liệu.
SOC 2 readiness assessment.
Gap analysis theo Trust Services Criteria.
Xây dựng remediation roadmap.
Chuẩn hóa chính sách và quy trình.
Hỗ trợ triển khai kiểm soát kỹ thuật.
Tổ chức và rà soát bằng chứng.
Chuẩn bị trước audit.
Hỗ trợ phối hợp với kiểm toán viên độc lập.

Thay vì bắt đầu bằng một báo giá chung, doanh nghiệp nên thực hiện bước đánh giá sơ bộ để xác định loại báo cáo, phạm vi và các khoảng trống quan trọng.

Nhận đánh giá sơ bộ lộ trình SOC 2

IPSIP hỗ trợ doanh nghiệp xác định nên chọn Type I hay Type II, phạm vi dự kiến, các khoảng trống chính và bước chuẩn bị tiếp theo

Đăng ký tư vấn dịch vụ SOC 2

-------------------

Câu hỏi thường gặp về dịch vụ SOC 2

SOC 2 có phải là chứng chỉ không?

Không hoàn toàn. SOC 2 là báo cáo kiểm toán hoặc báo cáo chứng thực được phát hành bởi kiểm toán viên hay công ty CPA độc lập. Doanh nghiệp thường dùng báo cáo này để cung cấp mức đảm bảo cho khách hàng và đối tác.

Có bắt buộc phải làm SOC 2 Type I trước Type II không?

Không. Doanh nghiệp có thể chuẩn bị trực tiếp cho Type II nếu kiểm soát đã vận hành ổn định và có đủ bằng chứng. Type I phù hợp khi doanh nghiệp cần xác nhận thiết kế kiểm soát tại một thời điểm.

Dịch vụ SOC 24/7 có thay thế SOC 2 không?

Không. SOC 24/7 là dịch vụ vận hành an ninh mạng, còn SOC 2 là báo cáo về hệ thống kiểm soát. SOC 24/7 có thể hỗ trợ các kiểm soát monitoring và incident response nhưng không thay thế cuộc kiểm toán SOC 2.

----------------

Nguồn tham khảo