SOC 2.

Was SOC 2 tatsächlich bescheinigt

SOC 2 ist keine Zertifizierung, die man besteht oder nicht besteht. Es ist ein Attestierungsbericht, der von einer lizenzierten CPA-Firma nach den Attestierungsstandards der AICPA erstellt wird und in dem ein unabhängiger Prüfer ein Urteil darüber abgibt, ob die Kontrollen einer Dienstleistungsorganisation angemessen ausgestaltet sind und, beim Typ II, über einen Zeitraum hinweg wirksam funktionieren. Der Geltungsbereich ist um die Trust Services Criteria herum aufgebaut: Sicherheit (die einzige verpflichtende Kategorie, auch common criteria genannt), Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sie wählen, welche der fünf auf den von Ihnen angebotenen Dienst zutreffen, und der Bericht wird auf diese Wahl zugeschnitten.

Da es sich um ein Urteil über eine vom Management verfasste Beschreibung handelt, sind zwei SOC-2-Berichte selten identisch. Ein Anbieter deckt möglicherweise nur die Sicherheit ab; ein anderer ergänzt Verfügbarkeit und Vertraulichkeit. Den Bericht zu lesen bedeutet, die Systembeschreibung, die im Geltungsbereich enthaltenen Kriterien, die durchgeführten Tests und vor allem alle vom Prüfer angemerkten Ausnahmen zu lesen. Ein einwandfreier Bericht mit engem Geltungsbereich kann ein schwächerer Nachweis sein als ein Bericht mit geringfügigen Ausnahmen über einen breiten Geltungsbereich.

Typ I gegenüber Typ II

Die Unterscheidung, die Praktikern am wichtigsten ist, ist die zwischen Typ I und Typ II. Typ I ist eine Momentaufnahme: Der Prüfer urteilt, dass die Kontrollen zu einem einzigen Stichtag angemessen ausgestaltet sind. Er belegt, dass die Kontrollen auf dem Papier existieren und an diesem Tag vorhanden waren. Typ II ist derjenige, den Enterprise-Käufer tatsächlich wollen, weil der Prüfer testet, ob diese Kontrollen über einen Prüfzeitraum hinweg wirksam funktioniert haben, der sich typischerweise über sechs bis zwölf Monate erstreckt, und dabei durchgehend Nachweise stichprobenartig erhebt. Ein Typ II beantwortet die eigentliche Beschaffungsfrage: Hat der Anbieter dies durchgängig getan und nicht nur am Tag der Prüfung?

SOC 2 neben ISO 27001

SOC 2 und ISO 27001 beantworten dasselbe Anliegen des Käufers aus zwei Traditionen heraus. SOC 2 ist das nordamerikanische kanonische Signal, eine Attestierung des Prüfers, die an die Trust Services Criteria gebunden ist und in einem wiederkehrenden Zeitraum erneuert wird. ISO 27001 ist der internationale, zertifizierbare Standard, der um ein Managementsystem (das ISMS) herum aufgebaut ist, mit einer Zertifizierung, die von einer akkreditierten Stelle ausgestellt und durch Überwachungsaudits aufrechterhalten wird.

SOC 2 berichtet über Kontrollen anhand von Kriterien; ISO 27001 bescheinigt, dass Sie ein funktionierendes System mit einer Erklärung zur Anwendbarkeit und kontinuierlicher Verbesserung betreiben. Viele Anbieter, die auf beiden Seiten des Atlantiks verkaufen, halten am Ende beide, und die Kontrollnachweise überschneiden sich stark, auch wenn die Lieferergebnisse sich unterscheiden.

In der Praxis behandeln GRC-Teams die beiden als komplementär statt als konkurrierend. Dieselben Zugriffskontrollen, das Änderungsmanagement, die Schwachstellenbehandlung und die Reaktion auf Sicherheitsvorfälle speisen sowohl den Kontrollsatz aus Annex A von ISO 27001 als auch die common criteria von SOC 2. Die Arbeit besteht darin, einmal zuzuordnen und zweimal zu präsentieren.