Was ist SOC 2?

Service Organization Control 2 (SOC 2) ist ein Prüfungsstandard und eine Bereitschaftsbewertung, die vom American Institute of Certified Public Accountants (AICPA) entwickelt wurde. Es soll sicherstellen, dass Dienstanbieter und Drittanbieter sensible Daten und persönliche Informationen vor unbefugtem Zugriff schützen.

SOC 2-Auditberichte decken einen Zeitraum (in der Regel 12 Monate) ab und enthalten eine Beschreibung des Systems der Serviceorganisation sowie Tests der Gestaltung und der operativen Wirksamkeit wichtiger interner Kontrollen über einen bestimmten Zeitraum.

Informationssicherheit und Defense-in-Depth sind in jedem Unternehmen wichtig. Die zunehmende Auslagerung wichtiger Geschäftsabläufe (SaaS-Unternehmen, ihre Produkte und andere Rechenzentrumsanbieter) bedeutet, dass es immer mehr Datenschutzverletzungen und Datenlecks von Drittanbietern und Viertanbietern gibt. Darüber hinaus waren die Kosten für Datenschutzverletzungen und behördliche Kontrollen (aufgrund von Gesetzen wie HIPAA und DSGVO) noch nie so hoch wie heute, was die Bedeutung von Datensicherheitskontrollen erforderlich macht.

Der Zweck von SOC 2 besteht darin, Unternehmen Sicherheit zu bieten, wenn sie Drittanbieter beauftragen. Dies hat viele sicherheitsbewusste Unternehmen dazu veranlasst, im Rahmen ihres Anbieterbewertungsprozesses nach SOC 2-Compliance zu suchen, um das Cybersicherheitsrisiko von Anbietern zu reduzieren.

Warum ist SOC 2-Compliance wichtig?

Outsourcing und damit auch das Risiko von Drittanbietern und Viertanbietern waren noch nie so hoch wie heute. Jedes Unternehmen lagert Teile seiner Geschäftstätigkeit aus, oft an mehrere Lieferanten. Diese Lieferanten lagern dann einen Teil ihrer Geschäftstätigkeit an andere Lieferanten aus.

Aus diesem Grund sind SOC 2, das Risikomanagement von Drittanbietern und das Risikomanagement von Anbietern sowie allgemein strenge Sicherheitspraktiken so wichtig. Das Lieferantenrisiko muss sorgfältig mit Hilfe von Anbieterfragebögen, Sicherheitsbewertungen und Branchen-Benchmarking gemanagt werden. Lesen Sie unsere Whitepaper zum Risikomanagement von Drittanbietern und Fragebögen zu Anbietern, um mehr zu erfahren.

Das Wichtigste, was Sie verstehen müssen, ist, dass es den Kunden egal ist, ob Datenschutzverletzungen und Datenlecks das Ergebnis Ihres Missmanagements ihrer Daten oder des Missmanagements Ihres Anbieters sind. Sie kümmern sich darum, dass ihre Daten im Dark Web offengelegt oder verkauft wurden. Erwägen Sie, die SOC-2-Compliance zu einem Teil Ihrer Informationssicherheitsrichtlinie und Ihres Prozesses zur Risikobewertung der Cybersicherheit zu machen.

Die Einhaltung der SOC 2-Compliance-Anforderungen ist eine Möglichkeit, um festzustellen, ob Ihre Anbieter sichere Datenschutz- und Datenverarbeitungsprotokolle implementieren. Neben der Suche nach SOC-2-Konformität sollten Sie in ein Tool investieren, das die Sicherheitsleistung Ihrer Anbieter automatisch überwachen und Sicherheitsfragebögen automatisieren kann. Besser noch, suchen Sie nach einem Tool, das CVE-kompatibel ist. Suchen Sie außerdem nach freigegebenen Bewertungen, die es Ihrer Organisation ermöglichen, einen detaillierten Bericht über die Kontrollen Ihres Dienstanbieters zu erhalten und zu überprüfen, ob die Informationen im Bericht korrekt sind.

Digitale Forensik wird Ihnen nicht immer etwas Nützliches liefern, und selbst wenn dies der Fall ist, können Cyberangriffe der Polizei aufgrund ihrer verteilten Natur schwierig sein. Es ist weitaus besser, eine Datenschutzverletzung zu verhindern, als zu versuchen, sie im Nachhinein zu bereinigen. Wie viele Unternehmen herausgefunden haben, kann es sich als schwierig erweisen, Daten wiederherzustellen, wenn sie einmal offengelegt wurden.

Erfahren Sie, wie Sie sich auf ein SOC-Audit vorbereiten >

Was ist SOC 2-Compliance? Die Kriterien für Vertrauensdienste (TSC)

Die SOC-2-Compliance befasst sich mit der Art und Weise, wie Unternehmen Kundendaten in Übereinstimmung mit den fünf Trust Services Criteria (TSC) der AICPA verwalten und speichern:

Sicherheit: Der Schutz von Systemressourcen vor unbefugtem Zugriff. Dazu gehören Netzwerksicherheit, Intrusion Detection und andere Sicherheitstools, die vor Schwachstellen, Ransomware wie WannaCry und anderen Arten von Malware schützen. Diese Kriterien befassen sich mit der Reduzierung von Cyberbedrohungen und der Verhinderung von Datenschutzverletzungen und Cyberangriffen.
Verfügbarkeit: Die Zugänglichkeit des Systems, der Produkte oder Dienstleistungen, die in einem Vertrag oder einem Service Level Agreement (SLA) festgelegt sind. Dabei geht es nicht um die Funktionalität und Usability des Systems, sondern um sicherheitsrelevante Kriterien, die sich auf die Verfügbarkeit auswirken können.
Verarbeitungsintegrität: Befasst sich damit, ob ein System seinen Zweck vollständig, gültig, genau, rechtzeitig und autorisiert erfüllt.
Vertraulichkeit: Befasst sich mit der Frage, ob vertrauliche Daten auf bestimmte Personen oder Organisationen beschränkt sind. Verschlüsselung, Phishing-Awareness-Schulungen, SSL-Zertifikate, DNSSEC und die Verhinderung von Man-in-the-Middle-Angriffen, Domain-Hijacking und E-Mail-Spoofing sind für den Schutz der Vertraulichkeit von grundlegender Bedeutung.
Datenschutz: Befasst sich mit der Erfassung, Nutzung, Aufbewahrung, Offenlegung und Entsorgung von personenbezogenen Daten (PII) und wie sie mit den Datenschutzhinweisen und -kriterien des Unternehmens übereinstimmen, die in den allgemein anerkannten Datenschutzgrundsätzen (GAPP) der AICPA festgelegt sind. Alle personenbezogenen Daten müssen vor versehentlicher und vorsätzlicher Offenlegung geschützt werden. Beispiele für personenbezogene Daten sind Telefonnummern, Namen und Sozialversicherungsnummern.

Im Gegensatz zu strengeren Sicherheitsstandards wie PCI DSS sind SOC-Berichte für jedes Unternehmen einzigartig. Dies bedeutet, dass Organisationskontrollen in Übereinstimmung mit bestimmten Geschäftspraktiken so gestaltet werden können, dass sie einem oder mehreren der Trust Services-Prinzipien entsprechen. Diese internen Berichte liefern Regulierungsbehörden, Geschäftspartnern, Lieferanten und Ihrem Unternehmen wichtige Informationen darüber, wie Ihre Dienstanbieter vertrauliche Daten verwalten.

Der Erhalt eines SOC-Berichts ist nicht das Ende Ihrer SOC 2-Compliance-Reise. Um sicherzustellen, dass Sie so viel Wert wie möglich aus Ihrer SOC 2-Investition ziehen, ist es wichtig, die nächsten Schritte nach einem SOC 2-Audit zu verstehen.

Was sind die verschiedenen SOC-Standards?

Das American Institute of CPAs (AICPA) hat drei SOC-Audit-Standards entwickelt:

SOC 1: Bewertet, testet und berichtet über die Wirksamkeit der internen Zugriffskontrollen der Serviceorganisation in Bezug auf die internen Kontrollen der Benutzerentitäten für die Finanzberichterstattung. Ein SOC 1-Bericht entspricht einem Bericht über die Standards für Attestation Engagements (SSAE 16).
SOC 2: Bewertet, testet und berichtet über die Systeme und Organisationskontrollen im Zusammenhang mit der Speicherung von Informationen, ist jedoch für die Finanzberichterstattung oder Finanzkontrollen nicht von Bedeutung. Dem SOC 2 ging SAS 70 voraus.
SOC 3: Berichtet über die gleichen Details wie ein SOC 2-Bericht, richtet sich jedoch an ein allgemeines Publikum. Sie sind kürzer und enthalten nicht die gleichen Details wie ein SOC 2-Bericht, sondern werden offen geteilt, oft auf der Website eines Unternehmens mit einem Siegel, um die Einhaltung der Vorschriften anzuzeigen.

Welche verschiedenen Arten von SOC-Berichten gibt es?

Es gibt zwei Arten von SOC-Berichten:

Typ I: Beschreibt die System- und Organisationskontrollen eines Anbieters und ob sie geeignet sind, die relevanten Kriterien zu erfüllen.
Typ II: Beschreibt die Betriebswirksamkeit der in Typ I beschriebenen Systeme.

Ein weit verbreiteter Irrglaube ist die Verwechslung von SOC-Typen mit SOC-Standards. Jeder SOC-Standard (SOC 1, SOC 2 und SOC 3) kann jeweils über einen SOC-Bericht vom Typ I oder Typ II, d. h. SOC 2 Typ II, verfügen.

Was ist eine SOC 2-Zertifizierung oder -Bescheinigung?

Eine SOC 2-Zertifizierung wird von einer unabhängigen Wirtschaftsprüfungsgesellschaft ausgestellt und bewertet, inwieweit ein Anbieter eines oder mehrere der fünf Vertrauensprinzipien einhält, die auf den Kontrollen und Prozessen der Serviceorganisation basieren.

SOC 2-Berichte bestehen aus den folgenden Elementen:

Das Stellungnahmeschreiben
Behauptung des Managements
Beschreibung des Systems
Beschreibung der Prüfungen der Kontrollen und Ergebnisse der Prüfungen
Sonstige Informationen

UpGuard kann Organisationen und Unternehmen dabei helfen, SOC 2-konform zu bleiben, indem es ihnen hilft, sich mit unserer branchenführenden Software zur Überwachung der Angriffsfläche und zum Risikomanagement von Anbietern auf die Datensicherheit zu konzentrieren. Die SOC-2-Sicherheitsprinzipien konzentrieren sich stark auf die Verhinderung der unbefugten Nutzung digitaler Assets und Daten und verlangen von Unternehmen, Zugriffskontrollen zu implementieren, um Cyberbedrohungen, böswillige Angriffe, Datendiebstahl, Datenlecks und den absichtlichen Missbrauch oder die Offenlegung von Unternehmensinformationen zu verhindern.