So erreichen Sie die SOC 2-Konformität und -Zertifizierung: Ein kompakter Leitfaden
SOC 2 ist ein Prüfverfahren, das das Engagement Ihres Unternehmens für die Bereitstellung vertrauenswürdiger Dienste zeigt.
Alle Dienstanbieter sollten versuchen, die SOC 2-Konformität und -Zertifizierung zu erreichen. Benutzereinheiten - also Unternehmen, die Ihren Service nutzen - möchten wissen, dass Sie sich proaktiv um ihre Bedürfnisse kümmern.
Der Leitfaden behandelt die Faktoren, die zum Erreichen der SOC 2-Konformität und -Zertifizierung erforderlich sind.
Was ist SOC 2?
SOC 2 ist Teil der Service Organization Controls-Standards der AICPA, die auf den Trust Service Criteria der AICPA basieren. Er wurde 2011 erstmals veröffentlicht und folgt dem gleichen Format wie der SOC 1-Bericht. Das Assurance Services Executive Committee der AICPA listete jedoch einen anderen Satz von Kriterien auf, die für die SOC 2-Konformität gemessen werden müssen.
Der „SOC 2 Report on Controls at a Service Organization“ erstellt eine Grundlinie der Informationssicherheit bei einem Dienstanbieter. Der Nachweis der Compliance Ihres Unternehmens erfolgt in Form eines SOC 2-Berichts. Sie können sich die Bedürfnisse der Benutzerentität als die Risiken vorstellen, denen sie bei der Nutzung Ihres Dienstes ausgesetzt ist.
Die 5 Vertrauensprinzipien der SOC 2-Zertifizierung
Die Trust-Service-Kriterien sind als Grundsätze definiert. Jeder dieser Grundsätze deckt einen Bereich ab, der sich auf die Sicherheit und Kontrolle der Informationen eines Benutzers bezieht. Sie sollten bedenken, dass eine Steuerung - beispielsweise ein Softwaremodul - eines oder mehrere der erforderlichen Prinzipien erfüllen kann.
Sicherheit
Das Unternehmen sollte nachweisen können, dass sein System vor unbefugtem Zugriff geschützt ist. Sie sollten außerdem eine unbefugte Offenlegung verhindern und jeden Schaden begrenzen, der die Verfügbarkeit, Integrität, Vertraulichkeit und Privatsphäre der Informationen beeinträchtigen könnte.
Verfügbarkeit
Das System sollte über Kontrollen verfügen, um sicherzustellen, dass es bei Bedarf für die Benutzerentität verfügbar ist.
Verarbeitungsintegrität
Die Daten- und Informationsverarbeitung ist auf Vollständigkeit, Gültigkeit, Richtigkeit, fristgerechte Ausführung und Berechtigung zu prüfen.
Vertraulichkeit
Als vertraulich eingestufte Informationen sollten entsprechend den Bedürfnissen der Benutzereinheit geschützt werden.
Privatsphäre
Die Organisation sollte auf die Bedürfnisse der Benutzereinheit eingehen, wenn diese personenbezogene Daten erfasst, verwendet, speichert, offenlegt und entsorgt.
Etablierung eines SOC 2 Compliance Frameworks
Die Risikobewertung des Unternehmens legt den Rahmen für die SOC 2 Compliance fest. Die Risiken richten sich nach der Art der erbrachten Leistungen.
Die Risikobewertung sollte die folgenden sechs Schritte umfassen:
1. Identifizieren Sie die Produkte und Dienstleistungen, die in den Geltungsbereich des SOC 2-Berichts fallen.
2. Bewerten Sie den Serviceprozess und identifizieren Sie die Risiken der Benutzereinheit.
3. Ordnen Sie die Vertrauensdienste den Risiken der Benutzerentität zu.
4. Ordnen Sie die Kontrollkriterien den Vertrauensdiensten zu.
5. Identifizieren Sie Lücken in den Kontrollkriterien, bei denen Vertrauensgrundsätze vorhanden sind, aber nicht behoben werden.
6. Ordnen Sie interne Benutzerkontrollen den Lücken zu.
Der Umfang von SOC 2-Berichten
Im Gegensatz zu strengen PCI-Anforderungen ist es für Dienstanbieter nicht erforderlich, alle fünf Vertrauensprinzipien in einem SOC-2-Bericht abzudecken. Nur diejenigen, die sich auf ihre Aktivitäten beziehen, sollten in den Geltungsbereich einbezogen werden. Bei der Entscheidung darüber, welche der TSPs in den Bericht aufgenommen werden, ist Vorsicht geboten.
Bei ausgelagerten Dienstleistungen muss der Lieferant im Rahmen Ihres Berichts nachweisen, dass am Standort seines Unternehmens angemessene Kontrollen vorhanden sind.
Geschäftsprozesse für die Vertrauensprinzipbewertung
Die vier Hauptbereiche, die bei der Bewertung der TSP-Kontrollen des Unternehmens abgedeckt werden, sind:
Geschäftsrichtlinien
>Schriftliche Richtlinien, die für die Vertrauensgrundsätze relevant sind.
Das System kommunizieren
Das Unternehmen hat seine Richtlinien den Stakeholdern und den verantwortlichen Stellen offengelegt. Hierzu zählen auch die Nutzer des Systems.
Kontrollverfahren
Das Unternehmen verfügt über Verfahren, mit denen die in den Richtlinien festgelegten Grundsätze erreicht werden.
Systemüberwachung:
Das Unternehmen überwacht das System und ergreift Maßnahmen, um die Einhaltung der Richtlinien sicherzustellen.
SOC 1 vs. SOC 2 Berichte
Es können zwei Arten von SOC-Berichten erstellt werden. Die Art des Berichts, den Ihr Unternehmen benötigt, hängt wahrscheinlich von den Anforderungen Ihrer Benutzerentität ab. Ein SOC-1-Bericht befasst sich mit den Kontrollen bei Finanzinstituten, während serviceorientierte Unternehmen einen SOC-2-Bericht erstellen.
Bericht vom Typ 1
Der Typ-1-Bericht zeichnet den Zustand des Systems zu einem bestimmten Zeitpunkt auf. Dazu gehören eine Beschreibung des Systems, eine schriftliche Stellungnahme des Managements, die konzipierten Kontrollen und die geäußerte Meinung des Service-Auditors.
Bericht vom Typ 2
Ein Typ-2-Bericht zeichnet darüber hinaus die Betriebseffektivität des Systems über einen bestimmten Zeitraum auf. Zusätzlich zu den in Typ 1 aufgeführten Elementen enthält der Bericht vom Typ 2 auch die Testergebnisse der Systemkontrollen. Es verwendet die 5 Vertrauensgrundsätze, um das Risiko des Unternehmens und die Art und Weise zu bewerten, wie es mit der Gefährdung umgeht.
Das SOC 2-Berichtsformat
Der Bericht besteht aus vier Hauptabschnitten. Jeder Abschnitt behandelt Aspekte des Systemdesigns und der Implementierung, einschließlich der Frage, ob es vollständig und angemessen ist.
Direktoren rufen das System an
Die Beschreibung des Systems enthält Einzelheiten zu den Dienstleistungen, die das Unternehmen anbietet. Es listet die Infrastruktur (z. B. Hardware und Software) auf, über die die Datenverarbeitung erfolgt. Grenzen, die sich auf diese Aufgaben beziehen, sollten aufgezeichnet werden.
Zusätzliche Punkte, die Sie bei der Systembeschreibung beachten sollten:
- Audit-Compliance-Lösungen
- Risikobewertungsprozesse
- Abwechslungsreiche Systemkonfigurationen an verschiedenen Standorten
- Identifizierung von Vorfällen und Reaktionsplanung
Die Systembeschreibung identifiziert die Grundsätze des Vertrauensdienstes, die abgedeckt werden sollten. Dadurch können Sie Ihre Kontrollkriterien darauf abbilden und messen, wie effektiv Ihr System ist.
Das Management gibt eine schriftliche Stellungnahme ab
Dieser Abschnitt enthält die Aussagen des Managements zu den von ihm gewählten Kontrollen. Dies ist eine Gelegenheit, jede Ihrer Methoden und Kontrollen zu erläutern, die den Trust Services-Kriterien dienen.
Wenn der Datenschutzgrundsatz Bestandteil des Berichts ist, muss ein Nachweis über die Einhaltung der in der Datenschutzpraxis genannten Verpflichtungen erbracht werden.
Wenn ein Unterdienst für einen Teil Ihres Systems verwendet wird, sollte dieser Abschnitt Folgendes enthalten:
- Einzelheiten darüber, wie Informationen vom Dienstanbieter bereitgestellt oder empfangen werden.
- Kontrollen beim Dienstanbieter, die sich mit der Handhabung, Verarbeitung, Pflege und Speicherung von Informationen befassen.
Vertrauensgrundsätze, die aus dem Bericht ausgeschlossen sind, sollten zusammen mit den Gründen aufgeführt werden, warum sie nicht abgedeckt werden.
Details zum Design und zur betrieblichen Wirksamkeit
Abschnitt 3 des SOC 2-Berichts enthält eine Liste der entwickelten Kontrollen.
Wenn Sie einen Bericht vom Typ 1 vorbereiten, listen Sie die entworfenen Kontrollen auf, die die TSP-Kriterien erfüllen. Für einen Typ-2-Bericht sollten Sie die Testergebnisse für jede der entworfenen Kontrollen angeben. Dies kann in einem Tabellenformat erfolgen.
Um ein geeignetes Steuerungsdesign zu erstellen, muss Ihr Unternehmen die Risiken identifizieren, die der Erreichung Ihres TSP im Wege stehen. Sie müssen prüfen, ob Ihre Steuerung wie beschrieben funktioniert, und sicherstellen, dass keine anderen Risiken bestehen, die Sie daran hindern, Ihren TSP zu erreichen.
Geäußerte Meinung des Service-Auditors
Die Stellungnahme des Abschlussprüfers basiert auf:
- Ob die Beschreibung des Systems fair war.
- Ob die Kontrollen wie vorgesehen funktionieren (bei einem Typ-2-Bericht erfolgt dies über einen bestimmten Zeitraum).
- Wenn die Beschreibung darstellt, wie das System entworfen und gebaut wurde.
- Es werden keine Informationen über das System weggelassen oder verfälscht.
- Das Unternehmen hält seine Datenschutzpraktiken ein (sofern dies Teil des Geltungsbereichs war).
Als Teil seiner Stellungnahme listet der Service-Auditor Abweichungen und Bereiche auf, die im System nicht kontrolliert werden können.
Denken Sie daran - die SOC 2-Zertifizierung schafft Vertrauen
Wenn Sie die SOC 2-Konformität und -Zertifizierung erreichen, wird dies das Vertrauen in Ihr Unternehmen wecken und stärken.
Benutzereinheiten können einen SOC 2-Bericht anfordern und geben in der Anfrage ihre TSP-Anforderungen an. In solchen Fällen sollte der Bericht auf deren Anfrage basieren.
Jeder im SOC 2 Compliance Report behandelte Vertrauensgrundsatz ist eine Gelegenheit, das Vertrauen Ihrer Kunden zu gewinnen.