Was ist SOC 2?
SOC 2 ist ein Prüfungsrahmen des American Institute of CPAs (AICPA). Eine zugelassene Wirtschaftsprüfungsgesellschaft (CPA) prüft die Kontrollen eines Dienstleisters und erstellt darüber einen Bericht für Kunden und Partner. Es ist ein Prüfbericht, kein Zertifikat.
Grundlage sind die Trust Services Criteria: Sicherheit (immer im Umfang), Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Die zusätzlichen Kategorien wählen Sie passend zu Ihren Leistungen.
SOC 2 Type I oder Type II?
- Type I: Der Prüfer bewertet, ob Ihre Kontrollen zu einem Stichtag angemessen ausgestaltet sind
- Type II: Der Prüfer bewertet, ob die Kontrollen über einen Zeitraum wirksam waren, meist 3 bis 12 Monate
- Viele Unternehmen starten mit Type I, um den Vertrieb zu entlasten, und gehen dann zu Type II über
- In beiden Fällen brauchen Sie schriftliche Richtlinien und Nachweise, dass die Kontrollen tatsächlich funktionieren
Was die SOC 2 Checkliste abdeckt
Die Fragen folgen den Common Criteria, die ein Prüfer für die Kategorie Sicherheit testet:
- Kontrollumfeld, Governance und Sicherheitsrollen
- Risikobewertung und Dienstleistersteuerung
- Logische und physische Zugriffskontrolle, Ein- und Austritt von Mitarbeitenden
- Systembetrieb: Monitoring, Schwachstellenmanagement und Incident Response
- Change Management und sichere Entwicklung
- Backup, Business Continuity und Verfügbarkeit
Typische Lücken vor einem SOC 2 Audit
- Richtlinien existieren, wurden aber nie freigegeben oder kommuniziert
- Zugriffsüberprüfungen und Offboarding sind nicht dokumentiert
- Es gibt keine formale Risikobewertung und keine Bewertung von Dienstleistern
- Änderungen gehen ohne Review- oder Freigabenachweis in Produktion
- Logging und Alarme existieren, werden aber nicht regelmäßig ausgewertet
Wer verlangt einen SOC 2 Bericht?
SOC 2 wird vor allem von US-Kunden von SaaS-, Cloud- und Datenverarbeitungsunternehmen verlangt. Europäische Anbieter kombinieren SOC 2 oft mit ISO/IEC 27001, da sich die Kontrollen stark überschneiden. Die Selbstbewertung zeigt, welche Kontrollen bereits vorhanden sind und was fehlt.