認證含義見ISO 27001 認證代表什麼；範圍見範圍要看什麼。
對照表
| 項目 | ISO 27001 | SOC 2 |
|---|---|---|
| 性質 | 管理系統認證 | 鑑證／報告 |
| 常見發出者 | 認證機構 | 執業會計師事務所等 |
| 焦點 | ISMS 是否符合標準 | 控制設計與（Type 2）期間有效性 |
| 常見使用場景 | 國際標書、供應鏈門檻 | 北美 SaaS 採購 |
| 你要核對 | 版本、範圍、有效期 | 類型、期間、例外、範圍 |
香港實務怎麼選
- 客戶點名要哪一種，就優先滿足哪一種。
- 同時服務亞洲企業與美資採購，評估雙軌是否划算。
- 未取證前，先把權限、備份、事故流程與資產擁有權做實。
費用結構見ISO 27001 費用。中小企取捨見中小企要不要考。
ISO 27001 和 SOC 2 常見問題
ISO 27001 和 SOC 2 可以互相取代嗎？
通常不能簡單取代。客戶要哪一種，就按要求準備。有些企業兩者都持有，以便服務不同市場。
SOC 2 Type 1 和 Type 2 有何分別？
Type 1 多描述某時點控制設計；Type 2 會在一段期間測試控制是否持續運作。採購常更看重 Type 2。
只有香港客戶要哪一種？
視行業。本地企業採購常見 ISO 系列認證；若客戶是美資或全球 SaaS 採購流程，常同時要 SOC 2。
沒有兩者是否就不能做生意？
不一定。可用問卷、滲透測試摘要、合約條款與技術控制先過關；但大型標書可能硬性要求其一。
成本哪個較高？
視範圍與成熟度，兩者都可能不低。應先對齊目標客戶要求，再估顧問、內審與稽核費。
先做哪一個較穩？
若主要服務亞洲企業客戶，常先打好 ISMS 再考 ISO 27001；若主力賣北美訂閱產品，可能優先 SOC 2。以商機清單決定。
讀報告時最怕什麼？
範圍不含你的服務、過期、例外事項未解釋，或把行銷簡報當成完整報告。
想先搞清 ISO 27001 本身？
請先讀「認證代表什麼」主文，再回本篇做比較。
