Was tun, wenn Sie nicht auf ein SOC-Audit vorbereitet sind?

Die System- und Organisationskontrollen (SOC) (manchmal auch als Service Organizations Controls bezeichnet) sind die erforderlichen Sicherheitskontrollverfahren, die als nicht obligatorische, international anerkannte Standards festgelegt wurden und Unternehmen dabei helfen, zu messen, wie SaaS-Unternehmen und Serviceorganisationen Daten und sensible Informationen verwalten.

Organisationen oder Unternehmen, die den SOC-Auditprozess erfolgreich durchlaufen haben, können die Qualität ihrer Sicherheitskontrollen für die Regulierung von Kundendaten bestätigen.

Obwohl Unternehmen ein SOC-Audit nicht "durchfallen" können, kann die Unvorbereitetheit auf den Auditprozess zu einer schlechten Bewertung oder einer "modifizierten" oder "qualifizierten" Bewertung führen. Das bedeutet, dass die Organisation oder das Unternehmen nicht über angemessene Sicherheitskontrollen für den Umgang mit sensiblen Informationen oder Finanzdaten verfügt.

Die Vorbereitungen für SOC-Audits hängen von den verschiedenen Arten und Ebenen der SOC-Berichte und -Standards ab, an die sich das Unternehmen oder die Organisation hält. Obwohl SOC 2 der am weitesten verbreitete Satz von Standards ist, den viele Unternehmen pflegen und einhalten, können einige Unternehmen SOC 1- und SOC 3-Auditverfahren befolgen.

In diesem Leitfaden erfahren Sie, wie Sie sich auf ein SOC-Audit vorbereiten und was zu tun ist, wenn Ihr Unternehmen vor dem Prozess nicht vorbereitet ist.

SOC-Prüfungsstandards

SOC wurde 2017 vom AICPA (American Institute of Certified Public Accountants) in der Abteilung ASEC (Assurance Services Executive Committee) eingeführt und entwickelt und stellt eine definierte Reihe von Berichten dar, die während eines SOC-Prüfungsprozesses erstellt werden.

Dabei handelt es sich um Standards, die sicherstellen, dass ein Unternehmen und seine Drittanbieter über die richtigen Informationssicherheitsmaßnahmen verfügen, um Kundendaten und andere sensible Daten zu schützen und Datenschutzverletzungen oder Sicherheitsvorfälle von Drittanbietern zu verhindern. Unternehmen, die die SOC-Standards einhalten, konzentrieren sich auch stark auf die Absicherung von Risiken durch Dritte und das Lieferantenmanagement.

SOC-Normen

In den AICPA-Leitfäden werden drei Hauptstandards für die SOC-Berichterstattung festgelegt:

• SOC 1 zielt darauf ab, die internen Kontrollen einer Serviceorganisation für die Finanzberichterstattung zu bewerten, zu überprüfen und darüber zu berichten. Ein SOC 1 kann auch als ICFR (Internal Control over Financial Reporting) bezeichnet werden;
• SOC 2 zielt darauf ab, zu bewerten, zu überprüfen und zu berichten, wie Organisationskontrollen und -systeme Informationen speichern. Grob definiert als TSC (Trust Services Criteria), fokussiert sich der SOC 2-Standard auf die IT- und Informationssicherheit;

• SOC 3 wird ähnlich wie SOC 2 ausgewertet, überprüft und berichtet, aber SOC 3 ist für ein allgemeines Publikum gedacht. SOC 3-Berichte sind in der Regel kürzer, weniger detailliert und können der Öffentlichkeit zur Verfügung gestellt werden und dienen dazu, die Compliance eines Unternehmens zu fördern und die Vertrauenswürdigkeit zu fördern.

Es gibt andere spezialisierte SOC-Berichte für Cybersicherheit und Lieferketten, aber sie fallen in der Regel unter die gleichen Kriterien: SOC 1 oder 2.

SOC-Typen

Wie in SSAE 18 spezifiziert, gibt es zwei Arten von SOC-Berichten:

• Typ I: Bewertet die organisatorischen Kontrollen einer Serviceorganisation und bewertet, ob das angegebene System und die Kontrollen die relevanten Sicherheitskriterien und -prinzipien erfüllen.

• Typ II - Auditiert die betriebliche Wirksamkeit der spezifizierten Kontrollen und Systeme einer Serviceorganisation, die im Bericht vom Typ I beschrieben sind. In einem Typ-II-Bericht wird überprüft, ob die Implementierung für das System und die Kontrollen geeignet ist oder nicht.

Ein Typ-I-Bericht überprüft, wie die Verfahren und Kontrollen eines Unternehmens zu einem bestimmten Zeitpunkt funktioniert haben, während ein Typ-II-Bericht einen Zeitraum von 9 bis 12 Monaten abdeckt.

Unterschiede zwischen SOC 1- und SOC 2-Berichten

SOC 1- und SOC 2-Berichte sind nur für die Mitarbeiter einer Organisation gedacht und werden von diesen befolgt, die sich auf die ihnen zugewiesenen Systeme spezialisiert haben, nämlich Finanzberichterstattung bzw. Datensicherheits- und Speicherberichte.

Während jedoch sowohl SOC 1 als auch SOC 2 unter das Statement on Standards for Attestation Engagements (SSAE) 18 fallen, deckt SOC 1 AT-C 320 und SOC 2 AT-C 105 und AT-C 205 ab.

Allerdings haben SOC 1- und SOC 2-Berichte unterschiedliche Bereiche:

• SOC 1 konzentriert sich auf die Identifizierung und Prüfung von Finanzkontrollen, die die Kontrollziele erfüllen.
• SOC 2 befasst, identifiziert und testet die Kontrollen einer Serviceorganisation, die die für ihren Betrieb und ihre Compliance relevanten Kriterien erfüllen, wie in den Trust Services Criteria (PDF) der AICPA beschrieben. SOC 2 konzentriert sich auf die fünf Kategorien von Vertrauensdiensten: Datenschutz, Sicherheit, Vertraulichkeit, Verfügbarkeit und Verarbeitungsintegrität.

SOC-2-Konformität bedeutet letztlich, dass Unternehmen ihren Kunden und Kunden beweisen können, dass man ihnen die Daten ihrer Kunden anvertrauen kann.

Erfahren Sie mehr über die nächsten Schritte nach einem SOC 2-Audit>

TSC (Trust Services Criteria) des SOC-Auditing-Prozesses

Um die Zertifizierung für die Verwaltung und den Schutz von Kundendaten und die ordnungsgemäße Implementierung von Sicherheitskontrollen zu erhalten, durchlaufen Unternehmen einen externen SOC 2-Auditprozess.

In diesem Prozess überprüfen, bewerten und testen die Prüfer die Compliance des Unternehmens auf der Grundlage der Fähigkeit des Dienstanbieters, die fünf Trust Services-Kriterien der AICPA zu erfüllen:

1. Sicherheit - Befasst sich mit der Fähigkeit des Unternehmens, Systemressourcen und Daten vor unbefugtem Zugriff zu schützen, und zielt darauf ab, Datenschutzverletzungen und andere Arten von Cyberbedrohungen zu verhindern. Dies besteht in der Implementierung anderer Sicherheitstools, die vor Cyberangriffen, Schwachstellen, Datenlecks und Ransomware schützen.
2. Verfügbarkeit - Bezieht sich auf die Zugänglichkeitsstufen des Systems, der Dienste und Produkte des Unternehmens, die in seinem SLA (Service Level Agreement) aufgeführt sind oder vertraglich vereinbart wurden. Der Umfang der Verfügbarkeit bezieht sich nicht auf die Systemfunktionalität und Benutzerfreundlichkeit, sondern konzentriert sich lediglich auf die sicherheitsrelevanten Kriterien, die sich auf die Verfügbarkeit auswirken können.
3. Verarbeitungsintegrität - Befasst sich mit den Kriterien, nach denen das System eines Unternehmens seine Hauptziele auf autorisierte, gültige, genaue und zeitnahe Weise erreicht.
4. Vertraulichkeit - Befasst sich damit, wie das Unternehmen vertrauliche Daten von seinen Mitarbeitern oder Organisationen einschränkt. Um die Vertraulichkeit zu schützen, müssen sich Unternehmen auf Domain-Hijacking, E-Mail-Spoofing und Phishing-Sensibilisierungsschulungen für ihre Mitarbeiter konzentrieren. Darüber hinaus müssen sie SSL-Zertifikate erwerben, Datenverschlüsselung und DNSSEC implementieren und Man-in-the-Middle-Angriffe verhindern.
5. Datenschutz - befasst sich mit der Art und Weise, wie eine Organisation personenbezogene Daten sammelt, verwendet, speichert, offenlegt und entsorgt, die auf den GAPP (Generally Accepted Privacy Principles) der AICPA basieren. Während der Vertraulichkeitsgrundsatz für verschiedene Arten sensibler Daten wie geistiges Eigentum und Geschäftsgeheimnisse gilt, gilt der Datenschutzgrundsatz nur für den Schutz personenbezogener Daten wie Namen, Sozialversicherungsnummern und Telefonnummern.

SOC 2-Bescheinigung

Das Hauptziel eines Unternehmens bei der SOC-Prüfung ist es, eine SOC 2-Bescheinigung oder SOC-Zertifizierung zu erhalten, bei der das Unternehmen seinen Regulierungsbehörden, Lieferanten, Geschäftspartnern und Kunden relevante Informationen darüber zur Verfügung stellt, wie sie sensible Daten und persönliche Informationen verwalten und schützen.

Darüber hinaus wird in einem SOC 2-Nachweis auch bewertet, wie ein Drittanbieter die fünf Vertrauensprinzipien einhält, die auf den Kontrollen der Serviceorganisation basieren. Ein SOC 2-Audit wird von einer unabhängigen Wirtschaftsprüfungsgesellschaft (Certified Public Accountant Company) durchgeführt, die die Schutzmaßnahmen des Unternehmens bewertet.

Nach einem erfolgreichen SOC 2-Audit stellt die Wirtschaftsprüfungsgesellschaft dem Unternehmen die Bescheinigung und einen SOC 2-Bericht aus, der ein Stellungnahmeschreiben, eine Erklärung des Managements, eine Systembeschreibung, Tests und Ergebnisse in Bezug auf Sicherheitskontrollen und andere relevante Informationen enthält, aus denen die Bescheinigung besteht.

Was tun, wenn Sie nicht auf ein SOC-Audit vorbereitet sind?

Was die SOC-2-Prüfung zu einem schwierigen Prozess macht, ist die Tatsache, dass alle SOC-Berichte für jedes einzelne Unternehmen einzigartig sind.

Finanzielle Sicherheitsstandards wie PCI DSS oder gesundheitsbezogene Standards wie HIPAA sind strenger, folgen aber einem allgemeinen Rahmen. Bei der SOC-Prüfung sind die organisatorischen Kontrollen eines Unternehmens so konzipiert und an seine spezifischen Geschäftspraktiken angepasst.

Das Unternehmen muss nicht unbedingt alle fünf Vertrauensdienstprinzipien einhalten, sollte sich jedoch bemühen, mindestens das für seine Geschäftsziele, Funktionen und Complianceanforderungen empfohlene Minimum zu erfüllen.

Das Hauptziel dieser Checkliste ist es, die Auditbereitschaft für jedes Unternehmen sicherzustellen, das SOC-Compliance benötigt. Regelmäßige Überprüfungen auf monatlicher oder wöchentlicher Basis werden dringend empfohlen, bevor die SOC-Prüfung beginnt.

So bereiten Sie sich auf ein SOC-Audit vor (SOC-Audit-Checkliste)

Wenn Ihr Unternehmen nicht auf ein SOC-Audit vorbereitet ist, befolgen Sie diese einfache Checkliste, um loszulegen.

1. Definieren Sie die Ziele des SOC-Audits

Bei der Vorbereitung auf ein SOC-Audit müssen Unternehmen ihre Ziele, Parameter und Betriebsziele definieren. Unternehmen müssen ihre Entscheidung auf ihre verfügbaren Ressourcen stützen und sollten zunächst beurteilen, was die Prüfer am ehesten über die Geschäfts- und Sicherheitskontrollen wissen möchten.

Unternehmen müssen lernen, ob ihre Ziele mit anderen Geschäftszielen in Konflikt stehen, was zu Doppelarbeit, ineffizienten Arbeitsabläufen oder Ausfallzeiten führen kann.

2. Entscheiden Sie sich für die Art des SOC-Berichts

Für Unternehmen, die zum ersten Mal ein SOC-Audit durchlaufen, empfiehlt sich ein SOC 2 Typ 1 Bericht.

Da neuere Unternehmen keine vorherigen Berichte oder Compliance-Aufzeichnungen haben, können sie eine neue, operative SOC 2-Richtlinie einrichten, um regelmäßige Bewertungen auf der Grundlage ihrer Leistung zu initiieren.

Nachdem Sie sich zum ersten Mal einem SOC-Audit unterzogen haben, sollte das zweite Audit SOC 2 Typ 2 sein, da es für die Stakeholder einen höheren Wert bietet und viel verständlicher ist, da es relevante Informationen enthält, die aus dem Typ-I-Bericht gesammelt wurden.

3. Definieren des Prüfungsumfangs des SOC-Berichts

Die Definition des Umfangs des SOC-Audits bedeutet, zu bestimmen, welche Kontrollen auf der Grundlage der gewählten TSC-Prinzipien bewertet werden sollten. Der Bereich befasst sich in der Regel mit Risikomanagement, Prozessüberwachung, Software, Daten, Infrastruktur, Verfahren, Verschlüsselung und beteiligten Personen. Jedes TSC, das ein Unternehmen hinzufügt, erhöht den Umfang des Audits weiter.

All diese Probleme können mit Ihren Kunden in Verbindung gebracht werden, sodass Sie herausfinden können, wie sie über die Verwaltung ihrer Daten denken. Im Gegenzug können Unternehmen entscheiden, welche Vertrauensprinzipien des TSC aufgenommen werden sollen, indem sie herausfinden, welche TSC-Anforderungen eher Kunden oder Geschäftspartner betreffen.

Unternehmen können sich auch auf die rechtlichen und vertraglichen Verpflichtungen konzentrieren, die sie bei der Verwaltung von Daten oder Kundeninformationen haben könnten. Wenn sich ein Unternehmen jedoch bereits an andere strenge Vorschriften wie CCPA, GDPR oder HIPAA hält, befolgt es möglicherweise bereits Datenschutzvertrauensprotokolle, die den Datenschutz gewährleisten.

4. Festlegen von SOC-Compliance-Verfahren und -Richtlinien

Der vierte Schritt besteht darin, mit dem Sammeln aller relevanten operativen Dokumente und internen Bewertungsdokumente sowie der Überprüfung von Datenschutzrichtlinien, Kontrollrichtlinien und Sicherheitsrichtlinien zu beginnen. Dies ist wichtig für Unternehmen, die eine Lückenanalyse durchführen möchten, um verbesserungswürdige Bereiche zu identifizieren, bevor CPAs einbezogen werden.

Sobald ein Unternehmen die Gap-Analyse erfolgreich abgeschlossen und ausgewählte Bereiche verbessert hat, muss es überprüfen und bewerten, ob diese wie beabsichtigt funktionieren oder nicht. Danach können sie auch einen Vor-Ort-Auditor für einen gründlicheren "SOC-Check-up" einplanen, bevor sie das offizielle Audit durchführen.

5. Führen Sie eine Bereitschaftsbewertung durch

Eine Bereitschaftsbewertung stellt eine letzte Überprüfung in der Vorprüfungsphase für das SOC-Auditing dar. Es wird oft als eine Art "Primärprobe" angesehen und soll einem Unternehmen dabei helfen, herauszufinden, was zuerst getan werden sollte und wie die Anforderungen der gewählten Kriterien für Vertrauensdienste erfüllt werden können.

Nach einer Bereitschaftsbewertung sollten Unternehmen alle Sicherheitsverfahren überprüfen und niederschreiben. Dies ist zwar relativ einfach, aber sehr vorteilhaft, da schriftliche Verfahren alles abdecken, was der Auditierungsprozess umfassen kann. Auditoren können die schriftlichen Richtlinien als Richtlinien verwenden, um Sicherheitskontrollen und Verfahren zu bewerten und zu überprüfen, ob Ihre Systeme vollständig aktualisiert sind oder nicht.

Sie können Ihren Mitarbeitern und Mitarbeitern auch dabei helfen, interne und externe Regeln einzuhalten und so ein Höchstmaß an Vorbereitung zu gewährleisten. Die meisten CPA-Firmen mit Erfahrung in SOC 2-Prüfungen können Ihnen auch bei der Durchführung einer Bereitschaftsanalyse helfen.

6. Bewerten und beauftragen Sie einen zertifizierten Prüfer

Der letzte Punkt auf der Checkliste besteht darin, einen erfahrenen Prüfer zu finden und einzustellen, der sich in der spezifischen Branche Ihres Unternehmens auskennt. Dies stellt sicher, dass Sie den SOC-Auditprozess effektiv rationalisieren können.

Kompetente Auditoren beraten Unternehmen in der Regel und analysieren deren organisatorische Abläufe und Sicherheitsmaßnahmen. Ihre Aufgabe ist es:

• Arbeiten Sie mit Unternehmen zusammen und halten Sie sich an bestimmte Test- und Bewertungstermine
• Stellen Sie den Unternehmen vor dem Audit eine Liste der notwendigen Unterlagen zur Verfügung
• Fordern Sie dokumentierte Überprüfungen, Mitarbeiterinterviews und geplante Begehungen zur Bewertung an

• Überprüfen Sie die Probleme auf kollaborative Weise und dokumentieren Sie alle Testergebnisse
• Geben Sie Unternehmen einen vollständigen Bericht, der für Kunden öffentlich zugänglich sein kann

Die häufigsten Fehler bei SOC 2-Audits

Hier sind die häufigsten Fehler, die Sie bei einem SOC 2-Audit vermeiden sollten:

1. Keine Bereitschaftsbewertung vor einem Überwachungsprozess durchführen.
2. Es gibt keinen definierten Umfang oder keine definierten Ziele für die Anwendungen eines Unternehmens und die Infrastruktur, die es für das Audit eingerichtet hat.
3. Keine Dokumentation von Sicherheitsrichtlinien, Zugriffskontrollen, Compliance oder Verfahren.
4. Nicht definierter Steuerelementbesitz, bei dem Steuerelementbesitzer ihre Zuständigkeiten nicht kennen.
5. Fehlende interne Zugriffs- und Privilegienkontrollen.
6. Aktuelle Sicherheitskontrollen stimmen nicht mit den definierten Verfahren überein oder funktionieren überhaupt nicht.
7. Versuchen Sie, Prüfer über bestehende Protokolle oder Verfahren zu verbergen oder zu täuschen.
8. Nicht um Klärung eines bestimmten Prüfungsverfahrens bitten.
9. Verzögern Sie die Anforderung von Prüfern nach bestimmten Unterlagen oder Informationen.
10. Bietet mehr Informationen an, als angefordert werden.
11. Schlechter oder nicht vorhandener Bestand und Verwaltung von Vermögenswerten.
12. Fehlende Risikomanagementprozesse für Drittanbieter (TPRM).

Wie können Unternehmen häufige Fehler bei der SOC-Prüfung vermeiden?

Organisationen, die diese häufigen Fehler bei SOC 2-Audits vermeiden möchten, sollten:

• Definieren Sie die Eigentümer oder Personen, die für die Kontrollen verantwortlich sind, und senden Sie Marschbefehle für die Kontrollen.
• Führen Sie regelmäßige Tests für alle Kontrollen sowie einen Bereitschaftstest vor dem SOC 2-Audit durch.
• Schärfen Sie das organisatorische Bewusstsein, pflegen Sie eine Sicherheitskultur und bieten Sie SOC 2-Schulungen für Mitarbeiter und Mitarbeiter an.
• Kommunizieren Sie mit dem Prüfer über Bereiche, die möglicherweise Warnsignale oder Bedenken haben. Mit anderen Worten: Seien Sie völlig transparent und lassen Sie Verbesserungsmöglichkeiten zu.
• Benennung einer bestimmten Person, die für den SOC-Compliance-Prozess verantwortlich ist.