<s>[INST] مجھے مختلف قسم کی SOC رپورٹس کا ایک جائزہ دیں اور وہ کن چیزوں کے لیے استعمال ہوتی ہیں۔سسٹم اینڈ آرگنائزیشن کنٹرولز (ایس او سی)، (جسے بعض اوقات سروس آرگنائزیشن کنٹرولز بھی کہا جاتا ہے) جیسا کہ امریکن انسٹی ٹیوٹ آف سرٹیفائیڈ پبلک اکاؤنٹنٹس (AICPA) نے بیان کیا ہے، ایک آڈٹ کے دوران تیار کردہ رپورٹس کے مجموعہ کا نام ہے۔ یہ سروس تنظیموں (ایسی تنظیمیں جو دیگر تنظیموں کو بطور سروس انفارمیشن سسٹم فراہم کرتی ہیں) کے استعمال کے لیے ان سروسز کے صارفین کو ان انفارمیشن سسٹمز پر اندرونی کنٹرول کی توثیق شدہ رپورٹس جاری کرنے کے لیے ہے۔ رپورٹس کنٹرولز پر توجہ مرکوز کرتی ہیں جنہیں ٹرسٹ سروس پرنسپلز کہتے ہیں پانچ زمروں میں گروپ کیا جاتا ہے۔ AICPA آڈیٹنگ معیاری بیان برائے معیارات برائے تصدیقی مصروفیات نمبر۔ 18 (SSAE 18)، سیکشن 320، صارف اداروں کے مالیاتی رپورٹنگ پر اندرونی کنٹرول سے متعلقہ سروس آرگنائزیشن میں کنٹرولز کے امتحان پر رپورٹنگ، رپورٹنگ کے دو درجات کی وضاحت کرتا ہے، قسم 1 اور ٹائپ 2۔ اضافی AICPA رہنمائی مواد تین کی وضاحت کرتا ہے۔ رپورٹنگ کی اقسام: SOC 1، SOC 2، اور SOC 3۔

ٹرسٹ سروس کے اصول
SOC 2 رپورٹوں میں ٹرسٹ سروس پرنسپلز کہلانے والے پانچ نیم اوورلیپنگ کیٹیگریز کے ذریعے ایڈریس کیے گئے کنٹرولز پر فوکس کیا گیا ہے جو معلومات کی حفاظت کے CIA ٹرائیڈ کی بھی حمایت کرتے ہیں:[1]

سیکورٹی
فائر والز
دخل اندازی کا پتہ لگانا
کثیر عنصر کی توثیق
دستیابی
کارکردگی کی نگرانی
تباہی سےبحالی
واقعہ سے نمٹنے
رازداری
خفیہ کاری
رسائی کے کنٹرولز
فائر والز
پروسیسنگ سالمیت
کوالٹی اشورینس
عمل کی نگرانی
اصول کی پابندی
رازداری
رسائی کنٹرول
کثیر عنصر کی توثیق
خفیہ کاری
رپورٹنگ
سطحیں
SOC رپورٹس کی دو سطحیں ہیں جن کی وضاحت SSAE 18 کے ذریعہ بھی کی گئی ہے:[1]

ٹائپ I، جو سروس آرگنائزیشن کے سسٹمز کی وضاحت کرتا ہے اور آیا مخصوص کنٹرولز کا ڈیزائن متعلقہ اعتماد کے اصولوں پر پورا اترتا ہے۔ (کیا ڈیزائن اور دستاویزات سے رپورٹ میں بیان کردہ اہداف کو پورا کرنے کا امکان ہے؟)
قسم II، جو وقت کی مدت (عام طور پر 9 سے 12 ماہ) میں مخصوص کنٹرولز کی آپریشنل تاثیر کو بھی بتاتا ہے۔ (کیا عمل درآمد مناسب ہے؟)
اقسام
SOC رپورٹس کی تین قسمیں ہیں۔[2]

SOC 1 - مالیاتی رپورٹنگ پر اندرونی کنٹرول (ICFR)[3]
SOC 2 - ٹرسٹ سروسز کا معیار[4][5]
SOC 3 - عام استعمال کی رپورٹ کے لیے ٹرسٹ سروسز کے معیار[6]
مزید برآں، سائبرسیکیوریٹی اور سپلائی چین کے لیے خصوصی SOC رپورٹس موجود ہیں۔[7]

SOC 1 اور SOC 2 رپورٹس کا مقصد ایک محدود سامعین کے لیے ہے - خاص طور پر، زیر غور نظام کے بارے میں مناسب سمجھ رکھنے والے صارفین۔ SOC 3 رپورٹوں میں کم مخصوص معلومات ہوتی ہیں اور عام لوگوں میں تقسیم کی جا سکتی ہیں۔ [/INST] SOC 1 رپورٹس ایک اندرونی کنٹرول کی توثیق شدہ رپورٹ ہوتی ہیں جو مالیاتی رپورٹنگ سے متعلق ہوتی ہیں۔ SOC 1 رپورٹ کمپنیوں کی مالی حالت کی تصدیق کرتی ہے اور مختلف شعبوں کے لیے مناسب ہوتی ہے۔

SOC 2 رپورٹس ایک اندرونی کنٹرول کی توثیق شدہ رپورٹ ہے جو کسی تنظیمی یا سروس فراہم کرنے والے کے سروس کے استعمال پر توجہ دیتی ہے۔ SOC 2 کنٹرولز صارف کی حفاظت، سرمایہ کاری، پروسیسنگ اتھارٹی، شفافیت، اور شعبوں کے لیے مناسب ہوتے ہیں۔

SOC 3 رپورٹس بھی SOC 2 کی طرح تنظیمی یا سروس فراہم کرنے والے کے سروس کے استعمال پر توجہ دیتی ہیں لیکن یہ عام لوگوں کیلیے ہوتی ہیں۔ SOC 3 رپورٹ کو کمپنی کے ویب سائٹ یا دوسرے عوامی ذرائع کے ذریعے تقسیم کیا جا سکتا ہے تاکہ مختلف صارفین کو اسکے بارے میں جاننے کا موقع ملے۔

بعض SOC رپورٹس خصوصی طبقات کے لیے موجود ہوتی ہیں۔ برآں SOC رپورٹ بیان کرتی ہے کہ کسی شرکت، سروس، یا تنظیم کے لیے سائبر سیکیورٹی میں بہتری کے لیے کیا بہترین عمل ہے۔

سلسلہ وار توثیق SOC رپورٹس ایک اندرونی کنٹرول پر توثیق شدہ رپورٹس ہیں جو گاہکوں کے لیے اعتمادمند معلومات فراہم کرتی ہیں۔SOC 1، SOC 2، اور SOC 3 جیسے مختلف SOC رپورٹس اپنے عوام میں اہمیت رکھتے ہیں اور کسی تنظیم یا سروس کے لیے مناسب ہوتے ہیں جو گاہکوں کے لیے اعتمادمند معلومات شامل کرتے ہیں۔ </s>