在雲端服務盛行的今日，企業如何向客戶證明資訊系統的可信賴性？TSCs（信賴服務準則）正是 AICPA 為此設計的 SOC 2 稽核框架，提供一套客觀、標準化的評估基準。
什麼是 TSCs？五大核心領域一次看懂
TSCs 由 AICPA 制定，用於評估服務組織資訊系統的控制有效性。框架共涵蓋五大核心領域，其中安全性（Security）為唯一必選項目，其餘四項可依業務需求選擇納入稽核範疇。
- 安全性（Security）：防止未授權存取，涵蓋邏輯與實體控制，必選。
- 可用性（Availability）：確保系統在約定時間內正常運作與存取。
- 機密性（Confidentiality）：保護機密資訊從蒐集到銷毀的全生命週期。
- 處理完整性（Processing Integrity）：確保系統處理過程完整、正確、及時。
- 隱私性（Privacy）：個人識別資訊（PII）的蒐集、使用與保留符合規範。
SOC 2 稽核實務：控制設計與評估重點
SOC 2 稽核分為Type I（特定時間點的控制設計適切性）與Type II（通常 6–12 個月的控制運作有效性）兩種報告形式。稽核師依據每個 TSC 對應的通用標準（CC 系列）逐項檢核，例如 CC6 涵蓋邏輯存取控制，CC7 涵蓋系統異常監控。
實務上，組織需準備控制矩陣（Control Matrix），將內部控制措施對應至各 TSC 標準，並佐以存取日誌、變更記錄、事件回應紀錄等證據文件。差距分析（Gap Analysis）是準備稽核的關鍵前置步驟，能有效識別不符合項目並排定修補優先順序。
💡 重點整理
- 安全性是 TSCs 唯一強制選項，其餘四項依業務情境彈性選擇。
- Type II 報告因涵蓋運作期間，客戶信任度高於 Type I。
- 控制矩陣是連結內部措施與稽核標準的核心工具。
- 差距分析應在稽核啟動前至少 3–6 個月完成。
TSCs 不只是稽核合規的文件工程，更是組織建立系統性資安治理的基石。選擇適合的準則範疇、持續維護控制措施，才能讓 SOC 2 報告真正發揮對客戶的信任背書價值。
📚 參考文獻
- AICPA，Trust Services Criteria（2017 年版，含 2022 年更新） — 官方 TSCs 完整標準文件：aicpa-cima.com
- AICPA，SOC 2® - SOC for Service Organizations: Trust Services Criteria — SOC 2 稽核概述與選擇指南：aicpa-cima.com/soc2
- ISACA，Implementing and Continually Improving IT Risk — 控制矩陣設計與差距分析實務參考：isaca.org