了解框架
HITRUST CSF是一个安全和隐私框架，最初建立在ISO 27001/27002之上. 随着时间的推移, CSF已经发展到包含大量的标准, 规定, 以及业务需求, 并分为14个高级控制类别, 49控制目标, 156个控制规范. HITRUST有3个认证选项，根据保证的强度而变化.
会计师协会 SOC 2信托服务标准是根据5个类别中的一个或多个进行评估的报告框架:安全性, 可用性, 保密, 处理完整性, 和隐私. SOC 2适用于需要详细信息和保证服务组织与服务组织用于处理用户数据的系统的这些标准相关的控制的广泛用户，以及这些系统处理的信息的保密性和隐私性.
你有什么选择??
下表提供了与SOC 2和HITRUST相关的特征以及它们之间的一些差异:
| 特征 | SOC 2 | HITRUST e1 | HITRUST i1 | HITRUST r2 |
| 聘任期限 | 6 - 12周 | 4 - 6周 | 6 - 8周 | 12到16周 |
| 谁是管治机构? | 会计师协会 | HITRUST联盟 | ||
| 谁可以进行审核? | 注册会计师事务所 | HITRUST授权外部评估员 | ||
| 审计是如何进行的? | 针对公司的控制映射到会计师协会的信托服务标准(安全), 加上可用性的任何组合, 保密, 处理完整性, & 隐私) | 根据定义的HITRUST需求. | 根据定义的HITRUST需求. | 反对HITRUST要求. 监管 & 一些范围因素由公司自行决定包括或不包括, 影响需求的数量. |
| 审计报告是如何进行的? | 由注册会计师事务所出具的独立认证报告 | 提供认证所需的一定分数的数字范围等级-认证报告由HITRUST发布. | ||
| 框架提供了多大的灵活性? | 必须满足会计师协会提供的信托服务标准，但可以选择可选标准，并在定义管理层自己的控制方面具有灵活性 | 44 .明确的需求 | 182定义的需求 | 平均360个要求. 控制需求声明的数量取决于基于风险的方法，根据固有风险因素和目标权威来源来衡量和选择控制. |
| 保险期限是多长? | 一个时间点(类型1)或6-12个月的报告期(类型2) | HITRUST是一个前瞻性的(1或2年)认证, 但所有要求必须在90天内到位，才能纳入评估. | ||
| 它是否要求为控制建立一个成熟度评级? | 不——而控制不是基于成熟度模型进行评分的, 一定的成熟度应该到位，以满足适用的信托服务标准 | 是的 | 是的 | 是的 |
| 认证的生命周期是多长? | SOC报告是独立注册会计师事务所对管理层控制的独立断言，一般在发布后1年内被接受. | 1年认证 | 1年认证; year 2 rapid recertification available | 为期两年的认证，并在认证满一周年时进行中期评估 |
你怎么知道该用哪一个呢?
了解使用哪个报告的关键与您自己公司的安全目标以及了解客户合同义务有关, 需要和期望，以及贵组织对其审核过程的要求. 以下是一些需要考虑的问题:
- 我们现有或潜在客户的需求是什么, 利益相关者, 以及任何商业协议中概述的需求的参考?
- 时间和预算要求有多重要?
- 我的控制环境需要多大的灵活性?
客户合同, 预算, 时机, 范围需求可以回答需要哪种评估的问题. 组织的决策应该在管理层的全力支持下做出. SOC 2提供了一个更灵活的控制定义，因为管理层定义了映射到所需标准的控制，并且通常是一个更预算友好的选择，因为费用只支付给注册会计师事务所, 而HITRUST根据HITRUST定义的严格要求向HITRUST和授权外部评估公司收取费用. HITRUST提供了一个经常更新的认证, 从需求和方法的角度来看，以及适应安全领域的新威胁.
但如果两者都需要呢?
同时需要SOC 2报告和HITRUST CSF认证的组织可以通过联合评估实现显著的时间效率和成本节约, 如何利用HITRUST CSF和会计师协会 TSC之间的协同作用.
SOC 2 + HITRUST CSF报告由注册会计师事务所发布，该报告表达了对管理层控制描述的公平性以及与安全相关的控制设计的适用性和操作有效性的意见, 可用性, 以及保密信托服务标准, 以及HITRUST CSF. 如果注册会计师事务所也不是经批准的HITRUST评估员, 他们必须获得HITRUST CSF框架的使用许可. 会计师事务所正在证明控制, 包括那些从HITRUST框架中识别出来的, 设计是否合理，运作是否有效. 此外，该工作符合会计师协会标准，因为任何SOC报告都需要符合会计师协会标准.
无论哪个选项最适合您的组织, 选择有经验的审计合作伙伴是关键. 成功的主要因素是与您的审计伙伴合作，以确保您的目标是明确的, 时间是确定的, 所有的报告选项都是预先知道的.
你对SOC或HITRUST有什么问题吗? 联系 LBMC了解更多信息并开始咨询!
内容由LBMC网络安全专家Robyn Barton提供.