SOC 2 là gì
SOC 2 = Service Organization Control 2. Standard của AICPA (American Institute of CPAs). Đánh giá security + availability + processing integrity + confidentiality + privacy của hệ thống.
Khác với PCI-DSS (chỉ thẻ tín dụng) và GDPR (chỉ data EU), SOC 2 đánh giá toàn bộ security posture của doanh nghiệp service.
Type 1 vs Type 2
- Type 1: snapshot at one point in time. Có controls không? Cost $30-60k, 3-6 tháng.
- Type 2: continuous monitoring 6-12 tháng. Controls có hoạt động thực không? Cost $60-150k, 12-18 tháng từ start.
Type 2 mạnh hơn, được customer enterprise đòi hỏi. Type 1 đôi khi đủ cho mid-market.
Khi nào cần SOC 2
- Bán SaaS B2B cho enterprise Mỹ/EU/Singapore - họ đòi hỏi.
- Sales cycle stuck - prospect ask SOC 2 multiple times.
- Competitor đã có SOC 2 → competitive disadvantage.
- Industry sensitive (fintech, healthcare, legal) - clients require.
- Plan raise vòng Series A+ - investor check.
Khi chưa cần
- Sản phẩm B2C thuần.
- B2B chỉ bán SME VN - họ không quan tâm SOC 2.
- MRR < $50k - cost SOC 2 = 6 tháng MRR.
- Sản phẩm pre-PMF - focus build, không compliance.
Cost breakdown
- Readiness assessment: $5-15k.
- Implementation tools (Vanta, Drata, SecureFrame): $10-30k/năm.
- Audit by CPA firm: $30-100k.
- Internal effort (CTO + engineer): 200-500 giờ.
- Total Type 2 first year: $50-150k.
Tools tự động hoá compliance
Vanta, Drata, SecureFrame, Tugboat Logic - SaaS platform tự động monitor controls + collect evidence + connect với auditor. Tiết kiệm 60-70% internal effort.
Timeline thực tế
- Tháng 1-3: Readiness assessment + gap analysis.
- Tháng 4-9: Remediation + implement controls + tool setup.
- Tháng 10-12: Observation window (Type 2).
- Tháng 13-15: Auditor onsite + report.
- Tổng: 12-15 tháng từ start đến có report Type 2.
Alternative cho SME
- ISO 27001: tương đương SOC 2, more global recognized. Cost similar.
- Self-attestation: doanh nghiệp tự assess + ký NDA confidence. Không formal nhưng cho trust.
- Security questionnaire: trả lời checklist của khách + provide evidence.
Doanh nghiệp đang considering SOC 2? Alodev tham vấn miễn phí + roadmap 12 tháng. /lien-he
