다양한 유형의 SOC 보고서와 그 용도에 대한 개요를 알려주세요.
미국공인회계사협회(AICPA)에서 정의한 SOC(시스템 및 조직 통제)는 감사 중에 작성되는 일련의 보고서의 이름입니다(서비스 조직 통제라고도 함). 이 보고서는 서비스 조직(다른 조직에 정보 시스템을 서비스로 제공하는 조직)이 해당 서비스 사용자에게 해당 정보 시스템에 대한 내부 통제에 대한 검증된 보고서를 발행하는 데 사용하기 위한 것입니다. 이 보고서는 신뢰 서비스 원칙이라는 5가지 범주로 분류된 통제에 중점을 둡니다.[1] AICPA 감사 표준인 증명 계약에 대한 표준에 관한 진술서 no. 18(SSAE 18), 섹션 320, "재무 보고에 대한 사용자 법인의 내부 통제와 관련된 서비스 조직의 통제 검토에 대한 보고"에서는 유형 1과 유형 2의 두 가지 수준의 보고를 정의하고 있습니다. 추가 AICPA 지침 자료에는 세 가지 보고 유형이 명시되어 있습니다: SOC 1, SOC 2, SOC 3.

신뢰 서비스 원칙
SOC 2 보고서는 CIA의 정보 보안 3원칙을 지원하는 다음과 같은 5가지 반중복 범주의 신뢰 서비스 원칙에서 다루는 통제에 중점을 둡니다.

보안
방화벽
침입 탐지
멀티팩터 인증
가용성
성능 모니터링
재해 복구
인시던트 처리
기밀성
암호화
액세스 제어
방화벽
처리 무결성
품질 보증
프로세스 모니터링
원칙 준수
개인정보 보호
액세스 제어
다단계 인증
암호화
보고
레벨
SOC 보고서에는 SSAE 18에도 명시된 두 가지 수준이 있습니다.

유형 I: 서비스 조직의 시스템과 지정된 제어의 설계가 관련 신뢰 원칙을 충족하는지 여부를 설명합니다. (설계 및 문서가 보고서에 정의된 목표를 달성할 가능성이 높은가?)
유형 II: 일정 기간(보통 9~12개월) 동안 지정된 제어의 운영 효과에 대해서도 다룹니다. (구현이 적절한가?)
유형
SOC 보고서에는 세 가지 유형이 있습니다.[2]

SOC 1 - 재무 보고에 대한 내부 통제(ICFR)[3]
SOC 2 - 신뢰 서비스 기준[4][5]
SOC 3 - 일반 사용자를 위한 신뢰 서비스 기준 보고서[6]
또한 사이버 보안 및 공급망에 대한 전문 SOC 보고서도 있습니다[7].

SOC 1 및 SOC 2 보고서는 제한된 대상, 특히 해당 시스템을 충분히 이해하고 있는 사용자를 대상으로 합니다. SOC 3 보고서는 덜 구체적인 정보를 포함하며 일반 대중에게 배포할 수 있습니다.
SOC 보고서의 유형에는 SOC 1, SOC 2, SOC 3이 있습니다. 각 보고서는 타사 조직이 다른 조직의 제어를 이해하는 데 사용됩니다. SOC 1 보고서는 재무 보고에 대한 제어를 다루고, SOC 2 보고서는 신뢰 서비스 기준(보안, 가용성, 기밀성, 처리 무결성 및 개인정보 보호)을 다루며, SOC 3 보고서는 일반적인 용도의 SOC 2 보고서입니다.
Give me an overview of the different types of SOC reports and what they are used for
System and Organization Controls (SOC), (also sometimes referred to as service organizations controls) as defined by the American Institute of Certified Public Accountants (AICPA), is the name of a suite of reports produced during an audit. It is intended for use by service organizations (organizations that provide information systems as a service to other organizations) to issue validated reports of internal controls over those information systems to the users of those services. The reports focus on controls grouped into five categories called Trust Service Principles. The AICPA auditing standard Statement on Standards for Attestation Engagements no. 18 (SSAE 18), section 320, "Reporting on an Examination of Controls at a Service Organization Relevant to User Entities' Internal Control Over Financial Reporting", defines two levels of reporting, type 1 and type 2. Additional AICPA guidance materials specify three types of reporting: SOC 1, SOC 2, and SOC 3.

Trust Service Principles
SOC 2 reports focus on controls addressed by five semi-overlapping categories called Trust Service Principles which also support the CIA triad of information security:

Security
Firewalls
Intrusion detection
Multi-factor authentication
Availability
Performance monitoring
Disaster recovery
Incident handling
Confidentiality
Encryption
Access controls
Firewalls
Processing Integrity
Quality assurance
Process monitoring
Adherence to principle
Privacy
Access control
Multi-factor authentication
Encryption
Reporting
Levels
There are two levels of SOC reports which are also specified by SSAE 18:

Type I, which describes a service organization's systems and whether the design of specified controls meet the relevant trust principles. (Are the design and documentation likely to accomplish the goals defined in the report?)
Type II, which also addresses the operational effectiveness of the specified controls over a period of time (usually 9 to 12 months). (Is the implementation appropriate?)
Types
There are three types of SOC reports.

SOC 1 – Internal Control over Financial Reporting (ICFR)
SOC 2 – Trust Services Criteria
SOC 3 – Trust Services Criteria for General Use Report
Additionally, there are specialized SOC reports for Cybersecurity and Supply Chain.

SOC 1 and SOC 2 reports are intended for a limited audience – specifically, users with an adequate understanding of the system in question. SOC 3 reports contain less specific information and can be distributed to the general public.
The different types of SOC reports are SOC 1, SOC 2, and SOC 3. Each report is used for a third party organization to understand the controls of another organization. SOC 1 reports cover controls over financial reporting, SOC 2 reports cover the trust services criteria (security, availability, confidentiality, processing integrity, and privacy), and SOC 3 reports are  general use SOC 2 reports.