SOC 2-Compliance-Audit-Checkliste {Vor dem Audit wissen}

Daten sind das Lebenselixier Ihres Unternehmens. Ihre Kunden müssen darauf vertrauen können, dass ihre Informationen sicher sind. Sie vertrauen darauf, dass Sie es pflegen. Wenn Sie scheitern, verlieren Sie das Vertrauen Ihrer Kunden.

Das Ziel der SOC 2-Compliance und -Zertifizierung besteht darin, Kunden zu beruhigen. Die Integrität, Vertraulichkeit und der Datenschutz der Daten Ihrer Kunden stehen auf dem Spiel. Potenzielle Kunden möchten einen Nachweis darüber, dass Sie Maßnahmen zu ihrem Schutz ergriffen haben. Das SOC 2-Compliance-Audit gibt es.

Was ist SOC 2?

SOC steht für „System and Organization Controls“ und ist das vereinbarte Kontrollverfahren des American Institute of Certified Public Accountants (AICPA).

Bei diesen definierten Kontrollen handelt es sich um eine Reihe von Standards, die dabei helfen sollen, zu messen, wie gut eine bestimmte Serviceorganisation ihre Informationen verwaltet und reguliert. Sie sollen den Kunden die Gewissheit geben, dass eine Organisation vertrauenswürdig ist, wenn es um die Sicherheit ihrer Daten geht.

Der Zweck eines Audits besteht darin, eine SOC-Bescheinigung bzw. SOC-Zertifizierung zu erlangen.

Wer kann ein SOC 2-Audit durchführen?

Diese Bescheinigung kann nur erteilt werden, nachdem die Organisation von einem unabhängigen Wirtschaftsprüfer oder Wirtschaftsprüfer geprüft wurde, der feststellt, ob die entsprechenden Sicherheitsvorkehrungen und Verfahren vorhanden sind.

Drei Berichtstypen, aus denen eine Organisation wählen kann

Der erste ist Typ 1.

Diese Berichte zeigen die Kontrollen der Serviceorganisation über die Finanzberichterstattungsstandards ihrer Kunden. Die geprüfte Organisation definiert die Ziele, die für ihr Unternehmen wichtig sind, und die Kontrollen, die sie zur Erreichung dieser Ziele anwendet. Da der Umfang des Prüfziels selbst definiert ist, handelt es sich um einen sehr flexiblen Standard, der für jeden Dienstleister individuell angepasst werden kann.

Der zweite ist der Typ-2-Bericht.

Es konzentriert sich auf fünf Vertrauensprinzipien: Sicherheit, Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz. Jeder Trust Principal verfügt über einen Standardsatz an Kontrollen und Testkriterien für alle Dienstanbieter. Bei der Durchführung einer Serviceorganisationskontrolle Typ 2 wählt die Serviceorganisation aus, welche Auftraggeber für ihr Unternehmen relevant sind.

Der dritte ist der Typ-3-Bericht.

Es handelt sich um eine vereinfachte Version des SOC-2-Berichts und wurde entwickelt, um zu bescheinigen, dass der Dienstanbieter eine SOC-2-Bewertung durchgeführt hat, und gleichzeitig die Informationen auf das zu beschränken, was für öffentliche Parteien relevant ist.

SOC 1 und 2 gibt es auch in zwei Berichtstypen.

In Berichten vom Typ 1 werden die Richtlinien und Verfahren überprüft, die zu einem bestimmten Zeitpunkt gelten.

Das SOC Typ II prüft die Richtlinien und Verfahren über einen Zeitraum von mindestens sechs Monaten. Da der Typ-II-Bericht die historischen Prozesse berücksichtigt, handelt es sich um eine genauere und umfassendere Prüfung.

Was ist in einem SOC 2-Zertifizierungsbericht enthalten?

Was die SOC 2-Berichte enthalten, hängt von der Art der von der Organisation bereitgestellten Dienstleistung ab.

Eine Serviceorganisation kann anhand einer oder mehrerer der folgenden TSC-Kategorien (Trust Services Criteria) bewertet werden:

• Sicherheit - Informationen und Systeme sind vor unbefugtem Zugriff, unbefugter Offenlegung von Informationen und Schäden an Systemen geschützt, die die Sicherheit, Vertraulichkeit, Integrität und Privatsphäre von Daten oder Systemen gefährden und die Fähigkeit des Unternehmens, seine Ziele zu erreichen, beeinträchtigen könnten .
• Verfügbarkeit - Informations- und Organisationssysteme stehen für den Betrieb und die Nutzung zur Verfügung, um die objektiven Anforderungen des Unternehmens zu erfüllen.
• Verarbeitungsintegrität - Die Systemverarbeitung ist vollständig, gültig, genau, zeitnah und berechtigt, die Ziele des Unternehmens zu erreichen.
• Vertraulichkeit - Als vertraulich eingestufte Informationen werden geschützt, um die Ziele des Unternehmens zu erreichen.
• Datenschutz - Persönliche Daten werden erfasst, verwendet, gespeichert, offengelegt und entsorgt, um die Ziele des Unternehmens zu erreichen.

Die oben genannten Kategorien haben alle eine Reihe von Vertrauensdienstkriterien gemeinsam, die als Standardkriterien bekannt sind.

Die gemeinsamen Grundsätze sind:

• Kontrollumfeld
• Kommunikation und Information
• Risikobewertung
• Überwachungsaktivitäten

• Kontrollaktivitäten - weiter untergliedert nach:

  • Logischer und physischer Zugriff
  • Systembetriebseffektivität
  • Änderungsmanagement
  • Risikominderung

Diese Kriterien müssen bei jedem SOC-Audit berücksichtigt werden. Abhängig davon, welche TSC-Kategorien bewertet werden, müssen möglicherweise zusätzlich zu den Standardkriterien weitere TSCs bewertet werden.

Mit den im Jahr 2017 vorgenommenen Änderungen können Unternehmen auch einen SOC 2+-Bericht erhalten, der es der Serviceorganisation ermöglicht, zusätzliche Kriterien aus anderen Compliance-Standards wie HITECH, HIPAA-Compliance, ISO 27001, Cloud Security Alliance (CSA) und NIST 800-53 zu berücksichtigen oder COBIT 5.

Wenn Sie Ihr Compliance-Audit in Auftrag geben, können Sie entscheiden, welche TSC-Kategorien am wichtigsten sind. Basieren Sie Ihre Entscheidungen auf den Wünschen Ihrer Kunden. Dadurch wird sichergestellt, dass Kunden die Informationen erhalten, die sie benötigen. Es ist weniger wahrscheinlich, dass sie sich mit Fragen an Sie wenden, wenn diese im SOC 2-Bericht behandelt werden.

Der Schlüssel liegt darin, Ihren Kunden zu versichern, dass Sie ihre Daten sicher aufbewahren. Ihre organisatorischen Kontrollen sollten erläutert werden. Auf diese Weise können Kunden darauf vertrauen, dass ihre Daten bei Ihnen sicher sind.

Bereiten Sie sich mit einer SOC-Audit-Checkliste vor

Es gibt standardmäßige sinnvolle Schritte, die Sie unternehmen können. Eine gute Vorbereitung macht die Arbeit des Prüfers so angenehm wie möglich.

Ihr Ziel ist es, Probleme vorherzusehen und zu versuchen, sie im Voraus zu lösen.

Hier sind sechs Schritte, die Sie zur Vorbereitung unternehmen können.

1. Definieren Sie die operativen Ziele Ihres Audits. Sie sollten sich fragen, was Ihre Kunden am wahrscheinlichsten wissen wollen. Sie kennen die Parameter des SOC 2-Audits. Wenn Sie mit Finanzinformationen umgehen, benötigen Sie möglicherweise auch ein SOC 1-Audit.
2. Definieren Sie den Umfang Ihrer SOC 2-Audits. Sie befassen sich typischerweise mit Infrastruktur, Software, Daten, Risikomanagement, Verfahren und Personen. Sie müssen auch entscheiden, welche Vertrauensprinzipien einbezogen werden sollen. Jeder TSC, den Sie hinzufügen, erhöht den Umfang Ihres Audits. Wählen Sie auch hier die TSCs aus, die Ihre Kunden am wahrscheinlichsten betreffen.
3. Erfüllen Sie regulatorische und Compliance-Anforderungen. Jede Branche hat Vorschriften. Beispielsweise müssen Gesundheitsdienstleister die HIPAA-Konformität einhalten, während diejenigen, die mit Kreditkarten umgehen, die PCI-Konformität einhalten müssen. Eine Überprüfung der Compliance Ihres Unternehmens trägt dazu bei, die Prüfung zu optimieren.
4. Überprüfen und schreiben Sie Sicherheitsverfahren. Der von Ihnen beauftragte Wirtschaftsprüfer verwendet Ihre schriftlichen Richtlinien als Richtlinie. Viele Unternehmen geraten ins Hintertreffen. Wenn Ihre Systeme veraltet sind, sollten Sie sie aktualisieren. Wenn Ihnen schriftliche Verfahren für alles, was von der Prüfung abgedeckt wird, fehlen, sollten Sie diese jetzt erstellen. Schriftliche Richtlinien helfen Ihren Mitarbeitern, die internen Regeln einzuhalten.
5. Führen Sie eine Bereitschaftsbewertung durch. Eine Bereitschaftsbewertung ist Ihre letzte Chance, sich vorzubereiten. Die Auswertung können Sie selbst durchführen. Alternativ können Sie eine Wirtschaftsprüfungsgesellschaft beauftragen, dies für Sie zu tun, da diese strenge Prüfungsstandards einhält. Betrachten Sie es als eine Generalprobe. Mithilfe der Ergebnisse können Sie Lücken in Ihrer Prüfungsvorbereitung schließen.

6. Bewerten und beauftragen Sie einen zertifizierten Auditor. Stellen Sie, wie bereits erwähnt, jemanden mit Erfahrung in Ihrer Branche ein. Der Prüfer wird:

   • Wählen Sie gemeinsam mit Ihnen vereinbarte Testtermine aus
   • Geben Sie Ihnen vor dem Audit eine Liste der erforderlichen Unterlagen
   • Besuchen Sie Ihre Website für Dokumentenprüfungen, Mitarbeitergespräche und Rundgänge
   • Dokumentieren Sie die Testergebnisse und besprechen Sie alle Probleme mit Ihnen
   • Stellen Sie Ihnen einen vollständigen Typ-II-Bericht zur Verfügung, den Sie Ihren Kunden zur Verfügung stellen können

Das Befolgen dieser sechs Schritte unserer SOC 2-Compliance-Checkliste stellt einen reibungslosen Auditprozess sicher. Es ist Ihre Aufgabe, sich so gut wie möglich vorzubereiten. Auch wenn Sie der Meinung sind, dass Ihr Unternehmen in guter Verfassung ist, sind regelmäßige Überprüfungen ein Muss.

Möglicherweise möchten Sie ein System zur Überprüfung schriftlicher Verfahren einrichten. Wenn Sie dies regelmäßig tun, stellen Sie sicher, dass Ihr nächstes Audit problemlos verläuft.

Wer kann SOC 2-Konformitätsberichte anfordern?

Jede Organisation, die einen Vertrag mit einem Dienstleister abschließt, sollte sich Gedanken über die Sicherheit machen. Das gilt unabhängig von der Branche. Es ist jedoch nicht notwendig, jedes Mal ein neues Audit durchführen zu lassen.

SOC 1- und SOC 2-Berichte sind als vertrauliche Dokumente mit begrenztem Verwendungszweck für den Dienstanbieter und seine Kunden gedacht. Sie wurden jedoch häufig öffentlich verbreitet. Der SOC 3-Bericht wurde aufgrund der wachsenden Nachfrage nach einem öffentlich zugänglichen Bericht erstellt.

Jetzt kann jeder, der sich mit den angebotenen Dienstleistungen auskennt, eine solche beantragen. Parteien, die wissen müssen, wie das System des Unternehmens mit anderen interagiert, können den Bericht ebenfalls erhalten. Dazu gehören Benutzerentitäten, Unterdienstbenutzerorganisationen und andere Parteien.

Selbstverständlich können Interessenten an den internen Kontrollen auch SOC-Berichte anfordern. Bevor Sie Ihre Daten jemandem anvertrauen, ist es eine gute Idee, ein SOC-Compliance-Audit anzufordern.

Viele Unternehmen bestellen SOC 2-Audits. Anschließend stellen sie potenziellen Kunden und anderen qualifizierten Parteien einen Bericht zur Verfügung.

Natürlich ist es möglich, dass ein Kunde Fragen hat, die im SOC 2-Bericht nicht behandelt werden. In diesem Fall müssen Sie entscheiden, wie Sie reagieren möchten. Der Bericht enthält viele der häufigsten Fragen und Bedenken von Kunden.

Wie haben sich SOC-Audits verändert?

Die für die Prüfung verwendeten Standards haben sich im Laufe der Jahre weiterentwickelt. Bis 2011 wendete AICPA den SAS 70-Standard an. Der SAS 70-Standard erfreute sich großer Beliebtheit, wurde in der Folge jedoch zu weit verbreitet und begann, den gewünschten Fokus zu verlieren. Als Reaktion darauf ersetzte die AICPA im Jahr 2011 SAS 70 durch das Statement on Standards for Attestation Engagements (SSAE) Nr. 16 und aktualisierte es kürzlich im Mai 2017 auf die Version SSAE 18.

Die neuen Anforderungen für SSAE 18 lauten wie folgt.

1. IPE oder vom Unternehmen erstellte Informationen. Unternehmen müssen einen Nachweis über die Richtigkeit der bereitgestellten Informationen erhalten. Beispiele können Standardabfragen oder Berichtsparameter sein.
2. Lieferantenmanagement und Überwachung von Sub-Service-Organisationen. Dienstanbieter oder Rechenzentren müssen Kontrollen für untergeordnete Dienstorganisationen einschließen. Ziel ist es sicherzustellen, dass jeder, der Zugriff auf die Daten hat, die Kontrollstandards einhält.
3. CUECs oder Complementary User Entity Controls müssen vorhanden sein. Sie sollten auf Kontrollen beschränkt werden, die zur Erreichung der genannten Kontrollziele erforderlich sind
4. Interne Revision und behördliche Prüfungen. SSAE 18 verlangt von Serviceorganisationen, bestimmte Berichte zu lesen. Sie beziehen sich insbesondere auf interne und behördliche Untersuchungen.

Die SSAE wird sich weiterentwickeln, sobald neue Sicherheitsrisiken bekannt werden. Mit den Risiken Schritt zu halten, kann sich ein bisschen wie eine Partie Whack-A-Mole anfühlen.

Ein Beispiel ist die neue SOC-Cybersicherheitsprüfung und die aktualisierten Grundsätze für Vertrauensdienste, die am 15. Dezember 2018 in Kraft traten. Ziel der AICPA ist es, über die Anforderungen der Informationssicherheit auf dem Laufenden zu bleiben und entsprechend zu reagieren.

Wie viel kostet die SOC 2-Prüfung?

Die Kosten können variieren, je nachdem, was enthalten ist.

Zu den Faktoren, die sich auf die Kosten auswirken können, gehören:

• Der im Bericht enthaltene Leistungsumfang
• Die TSCs, die Sie hinzufügen möchten
• Die Größe Ihrer Organisation
• Die Anzahl der im Geltungsbereich enthaltenen Systeme und Prozesse

Mit anderen Worten: Wenn Sie mehrere Systeme und Methoden einbeziehen müssen, erhöht sich der Preis. Jedes System, das die Sicherheit sensibler Kundendaten beeinträchtigt, muss geprüft werden. Nur so können Sie Ihren Kunden die Gewissheit geben, dass sie Ihnen ihre Daten anvertrauen.

Um das beste Ergebnis zu erzielen, wählen Sie ein Unternehmen mit IT-Prüfungserfahrung. Sie sollten die Mitarbeiter identifizieren, die Ihr Audit durchführen werden. Es ist wichtig sicherzustellen, dass das Unternehmen Hintergrundüberprüfungen bei allen Personen durchführt, die Zugriff auf Ihre Kundendaten haben.

Stellen Sie abschließend sicher, dass Sie nach Referenzen fragen (und diese überprüfen), bevor Sie eine Wirtschaftsprüfungsgesellschaft beauftragen. Idealerweise sollte das von Ihnen gewählte Unternehmen über Erfahrung in Ihrer Branche verfügen.

Verstehen Sie die Bedeutung von SOC-Compliance-Audits

Die Einhaltung von SOC 2 beruhigt die Kunden. Nach der Prüfung können Sie ihnen die Berichte für ihre Unterlagen zur Verfügung stellen. Wenn potenzielle Kunden über einen aktuellen Bericht verfügen, wissen sie, dass sie Ihnen vertrauen können. Nutzen Sie unsere SOC 2-Compliance-Checkliste, um sich auf ein Audit vorzubereiten.