SOC-Berichte (Service Organization Control), auch System- und Organisationskontrollberichte genannt, sind Berichte unabhängiger Dritter, die von Prüfern erstellt werden, die vom American Institute of Certified Public Accountants (AICPA) zertifiziert sind. Sie befassen sich mit dem Risiko, das mit einem extern vergebenen Service verbunden ist. Das AICPA hat sogenannte Trust Services Criteria (TSC) für die Bereiche Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Geheimhaltung aufgestellt, nach denen die Serviceorganisationen bewertet werden können.

Ein SOC-3-Bericht bewertet die internen Kontrollen einer Organisation zum Schutz kundeneigener Daten und gibt Auskunft über die Art dieser internen Kontrollen. Der SOC-3-Bericht hat den gleichen Schwerpunkt wie der SOC-2-Bericht, enthält jedoch keine vertraulichen Informationen und offenbart keine Details über interne Kontrollen. SOC-3-Berichte richten sich an Benutzer, die nicht unbedingt die Detailgenauigkeit des SOC-2-Berichts benötigen. Sie können öffentlich verbreitet werden.

Berichte und andere Dokumentation

• IBM Cloud infrastructure SOC-3-Bericht (PDF, 605 KB)
• IBM Cloud Platform as a Service (PaaS) SOC-3-Bericht (PDF, 427 KB)