SOC 2 – Überblick

SOC 2 ist ein vom AICPA entwickeltes freiwilliges Prüfungsrahmenwerk, das bewertet, wie Dienstleistungsunternehmen Kundendaten verwalten. Im Gegensatz zu gesetzlichen Vorschriften wie HIPAA oder PCI DSS ist SOC 2 kein Gesetz. Es handelt sich um einen Prüfungsbericht, der von einer unabhängigen Wirtschaftsprüfungsgesellschaft erstellt wird und die Kontrollmaßnahmen Ihres Unternehmens anhand der Vorgaben des AICPA bewertet.Kriterien für Treuhanddienstleistungen.

Der Rahmen gilt für alle Technologieunternehmen und Dienstleistungsunternehmen, die Kundendaten speichern, verarbeiten oder übertragen. In der Praxis sind damit vor allem SaaS-Anbieter, Cloud-Hosting-Unternehmen, Datenanalysefirmen und Managed-Service-Provider gemeint. Der Kreis der betroffenen Unternehmen hat sich jedoch erheblich erweitert.

Beschaffungsabteilungen in Unternehmen fordern mittlerweile bei der Bewertung von Anbietern routinemäßig SOC-2-Berichte an, wodurch das Audit de facto zu einer Voraussetzung für die Zusammenarbeit mit großen Organisationen geworden ist. Was SOC 2 auszeichnet, ist seine Flexibilität. Man kreuzt keine Punkte auf einer festgelegten Compliance-Liste an.

Stattdessen legen Sie den Umfang Ihres Audits fest, indem Sie auswählen, welche der fünf Trust-Services-Kriterien auf Ihre Dienste zutreffen. Ihr Auditor bewertet dann, ob Ihre Kontrollmaßnahmen diese Kriterien wirksam erfüllen.

Die SOC-2-Konformitätsanforderungen führen Sie genau zu dieser Art von strukturiertem, dokumentiertem Ansatz für Sicherheit und Datenschutz, der sowohl Risiken als auch Kosten senken kann. Das Rahmenwerk der „Trust Services Criteria“ des AICPA bietet die Struktur, und der Prüfungsbericht liefert Ihren Kunden die erforderlichen Nachweise.

Kriterien für Treuhanddienstleistungen

Die fünf Trust-Services-Kriterien bilden das Rückgrat jeder SOC-2-Prüfung. Jedes Kriterium befasst sich mit einem bestimmten Aspekt des Datenschutzes und der Datenverwaltung. Sicherheit ist das einzige obligatorische Kriterium, doch die meisten Unternehmen beziehen je nach ihren Dienstleistungen und den Erwartungen ihrer Kunden mindestens ein oder zwei weitere Kriterien mit ein.

 Sicherheit (Common Criteria) – Sicherheit ist die Grundlage jedes SOC-2-Berichts. Die Common Criteria umfassen logische und physische Zugriffskontrollen, die Überwachung des Systembetriebs, das Änderungsmanagement und die Risikominderung.

Kontrollmaßnahmen wie CC6.4 (Einschränkung des physischen und logischen Zugriffs auf Informationsressourcen) und CC6.7 (Einschränkung der Übertragung, Bewegung und Entnahme von Informationen) sind von zentraler Bedeutung, um nachzuweisen, dass Sie Systeme vor unbefugtem Zugriff und Bedrohungen schützen. Jedes SOC-2-Audit umfasst den Bereich „Sicherheit“, unabhängig davon, welche weiteren Kriterien Sie auswählen.

 Verfügbarkeit – Die Verfügbarkeit bezieht sich darauf, ob Ihre Systeme wie in Ihren Service-Level-Vereinbarungen zugesagt betriebsbereit und zugänglich sind. Hier kommt dem Datenschutz eine entscheidende Bedeutung zu. Die Kontrollmaßnahme A1.2 verlangt von Ihnen, dass Sie Sicherungsprozesse und eine Recovery-Infrastruktur unterhalten. Die Kontrollmaßnahme A1.3 verlangt von Ihnen, dass Sie Ihren Recovery-Plan nicht nur dokumentieren, sondern auch testen.

Die Prüfer möchten sich davon überzeugen, dass Sie Systeme und Daten innerhalb der festgelegten Recovery-Zeitziele und Recovery-Punktziele wiederherstellen können.Die Funktionen von Clumio zur Recovery des Betriebssind speziell für diesen Zweck konzipiert: richtliniengesteuerte Datensicherung mit automatisierter Zeitplanung und Air-Gap-Speicher, der sowohl die Anforderungen von A1.2 als auch von A1.3 erfüllt.

Vertraulichkeit – Die Vertraulichkeitskriterien (C1.1 und C1.2) konzentrieren sich auf den Schutz von Informationen, die als vertraulich eingestuft sind. Dazu gehören die Verschlüsselung von Daten im Ruhezustand und während der Übertragung, Aufbewahrungsrichtlinien, die festlegen, wie lange vertrauliche Daten aufbewahrt werden, sowie sichere Vernichtungsverfahren nach Ablauf der Aufbewahrungsfristen.

Verarbeitungsintegrität – Die Verarbeitungsintegrität bewertet, ob Ihre Systeme Daten vollständig, genau und zeitnah verarbeiten. Dieses Kriterium ist vor allem für Unternehmen relevant, deren Kerngeschäft die Datenumwandlung, die Berechnung oder die Transaktionsverarbeitung umfasst.

 Datenschutz – Der Datenschutz regelt, wie personenbezogene Daten erhoben, genutzt, aufbewahrt, weitergegeben und gelöscht werden. Er überschneidet sich in erheblichem Maße mit den Anforderungen der DSGVO und des CCPA, weshalb er für Unternehmen, die personenbezogene Daten in verschiedenen Rechtsräumen verarbeiten, häufig eine selbstverständliche Ergänzung darstellt.

SOC 2-Typen

SOC-2-Prüfungen gibt es in zwei Formen, und diese Unterscheidung ist von Bedeutung. Ein SOC-2-Typ-1-Bericht bewertet, ob Ihre Kontrollmaßnahmen zu einem bestimmten Zeitpunkt ordnungsgemäß konzipiert sind. Stellen Sie sich dies wie eine Momentaufnahme vor: Der Prüfer bestätigt, dass Ihre Richtlinien und Kontrollmaßnahmen zum Zeitpunkt der Prüfung vorhanden und angemessen strukturiert sind.

Ein SOC-2-Bericht vom Typ 2 geht noch einen Schritt weiter. Er bewertet, ob diese Kontrollmaßnahmen über einen festgelegten Zeitraum – in der Regel sechs bis zwölf Monate – tatsächlich wirksam funktionieren. Die Prüfer überprüfen Nachweise für eine konsequente Umsetzung, darunter Protokolle, Änderungsaufzeichnungen, Berichte zur Überprüfung von Sicherungskopien und Unterlagen zur Reaktion auf Vorfälle.

Typ 2 ist der Standard, den Unternehmenskunden erwarten. Ein Bericht vom Typ 1 kann als Zwischenschritt dienen, während Sie Ihre Prüfungshistorie aufbauen, doch die meisten Beschaffungsteams verlangen vor Vertragsunterzeichnung einen SOC-2-Bericht vom Typ 2.

Gerade der lange Beobachtungszeitraum verleiht dem Bericht seine Glaubwürdigkeit: Er belegt, dass Ihre Kontrollmaßnahmen in der Praxis funktionieren und nicht nur auf dem Papier.