Definition SOC 2 | System and Organization Controls 2 Was ist SOC 2?

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Insider Research

SOC 2 ist ein freiwilliger Compliance-Standard für IT-Dienstleister wie Anbieter von Cloud-Computing-Leistungen oder Sicherheitsdiensten. Er wurde vom American Institute of Certified Public Accountants entwickelt und dient zum Nachweis der Einhaltung von fünf Trust-Prinzipien der Datensicherheit.

SOC 2 ist die Kurzform für System and Organization Controls 2. Es handelt sich um einen freiwilligen Compliance-Standard für IT-Dienstleistungsunternehmen, der vom American Institute of Certified Public Accountants (AICPA) entwickelt wurde. Der AICPA ist der größte amerikanische Berufsverband der Wirtschaftsprüfer. Mithilfe des Prüfungs- und Berichtsstandards können Unternehmen wie Anbieter von Cloud-Computing-Leistungen oder IT-Sicherheitsdiensten, die Daten ihrer Kunden verarbeiten, speichern oder absichern, die Einhaltung der fünf Trust-Prinzipien der Datensicherheit und des Datenschutzes nachweisen und dokumentieren. SOC 2 definiert grundlegende Leitlinien für die Verarbeitung von Kundendaten und soll das Vertrauen der Kunden zu ihrem Dienstleister stärken. Ein SOC-2-Audit stellt detaillierte Berichte über den Umgang mit den fünf Trust-Prinzipien und ihre Einhaltung bereit.

Bereit sein für NIS-2

SOC 2 ist der Schlüssel zur NIS-2-Compliance

Was sind die Unterschiede zu SOC 1 und SOC 3?

Der amerikanische Berufsverband der Wirtschaftsprüfer hat mit den System and Organization Controls (SOC) ein Framework an Richtlinien und Berichtstypen für Audits entwickelt und veröffentlicht. Neben SOC 2 gibt es noch SOC 1 (Internal Control over Financial Reporting) und SOC 3 (Trust Services Criteria for General Use Report). Während sich SOC 2 an Technologieunternehmen richtet, die IT-Dienstleistungen anbieten, und die Einhaltung der fünf Trust-Services-Kriterien sicherstellt, konzentriert sich SOC 1 auf finanzielle Aspekte und die internen Kontrollen der Finanzberichterstattung. Ziel von SOC 1 ist es, die Integrität und die Richtigkeit der Finanzinformationen sicherzustellen. SOC 3 ist eine Abwandlung von SOC 2. Sie stellt die Ergebnisse von SOC 2 in verkürzter Form und in einem für den allgemeinen Gebrauch zugänglichen und nachvollziehbaren Format bereit. Abhängig von den Kundenanforderungen und den zu prüfenden Geschäftsabläufen können sich Unternehmen für SOC-1- und/oder SOC-2-Audits entscheiden. Zusätzlich zu SOC 1, SOC 2 und SOC 3 gibt es noch SOC-Berichte für die Cybersicherheit und für Lieferketten.

Typische Anwendungsbereiche von SOC 2

SOC 2 prüft und bewertet die internen Kontrollen eines Unternehmens bei der Verarbeitung und beim Schutz von Daten. Der freiwillige Compliance-Standard richtet sich vor allem an Unternehmen, die IT-Dienstleistungen anbieten. Zu diesen Unternehmen zählen beispielsweise Anbieter von Cloud-Dienstleistungen, die sensible oder personenbezogene Daten ihrer Kunden verarbeiten oder speichern. Anbieter von SaaS-Leistungen (Software as a Service) können mit SOC 2 nachweisen, dass sie mit ihren bereitgestellten Anwendungen die fünf Trust-Prinzipien der Datensicherheit und des Datenschutzes einhalten. Ein weiterer Anwendungsbereich sind Anbieter von IT-Sicherheitsdiensten, die mit SOC 2 die Wirksamkeit ihrer Trust-Kontrollen nachweisen.

Die fünf Trust-Prinzipien von SOC 2

SOC 2 definiert fünf Trust-Prinzipien, deren Einhaltung bei einem Audit nachzuweisen ist. Die fünf Trust-Prinzipien werden auch als Trust Services Criteria (TSC) bezeichnet. Im Detail handelt es sich um diese fünf Kriterien:

• Sicherheit (Security)

• Verfügbarkeit (Availability)

• Verarbeitungsintegrität (Processing Integrity)

• Vertraulichkeit (Confidentiality)

• Datenschutz (Privacy)

Mit Sicherheit sind die Cybersicherheit und der Schutz der Systemressourcen gegen unbefugten Zugriff und gegen Sicherheitsverletzung gemeint. Entsprechende Kontrollen sorgen für die Wahrung der Systemintegrität. Technisch wird dies über Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), Zugriffskontrollen, Firewalls, Intrusion Detection und Intrusion Prevention Systeme (IDS/IPS), Antivirensoftware, Verschlüsselung und anderes umgesetzt.

Die Verfügbarkeit soll sicherstellen, dass die Systeme und Informationen für die Anwender jederzeit zugänglich und nutzbar sind. Zur Gewährleistung der Betriebsbereitschaft der Systeme gehören Maßnahmen und Kontrollen der Leistungsüberwachung, Redundanzmanagement, Notfallmanagement, Disaster Recovery, Behandlung von Sicherheitsvorfällen und vieles mehr.

Die Verarbeitungsintegrität bezieht sich auf die Systemverarbeitung. Systeme sind so zu gestalten, dass die Verarbeitung fehlerfrei, vollständig, manipulationsfrei, genau, gültig, pünktlich, autorisiert und in der geforderten Qualität erfolgt.

Vertraulichkeit stellt sicher, dass als vertraulich oder sensibel gekennzeichnete Informationen sowohl im Ruhezustand als auch bei der Übertragung entsprechend geschützt werden. Technisch gehören dazu Maßnahmen wie Speicherrichtlinien, Verschlüsselung, Anwendungs- und Netzwerkfirewalls, Zugriffskontrollen, sicheres Löschen und einiges mehr.

Der Datenschutz zielt speziell auf personenbezogene oder personenbeziehbare Informationen oder Daten ab. Es ist sicherzustellen, dass diese Daten gemäß den Bestimmungen datenschutzkonform erfasst, gesammelt, verarbeitet, gespeichert und gehandhabt werden. Technisch werden beispielsweise Maßnahmen wie Zugriffskontrollen, Multi-Faktor-Authentifizierung, Anonymisierung, Pseudonymisierung oder Verschlüsselung eingesetzt.

Ablauf einer Compliance-Prüfung nach SOC 2

Die Compliance-Prüfung nach SOC 2 findet in Form eines Audits durch einen unabhängigen Prüfer statt. Solche Prüfer sind beispielsweise Certified Public Accountants (CPAs) oder zertifizierte Experten eines vom AICPA lizenzierten Prüfungsunternehmens. Der Prüfung liegt der Kriterienkatalog der Trust Services Criteria zugrunde. Im Rahmen des Audits stellt der unabhängige Prüfer fest, ob das interne Kontrollsystem des Unternehmens die Kriterien nach SOC 2 erfüllt. Mit den im Audit ermittelten Ergebnissen wird ein umfassender und detaillierter Bericht erstellt. Der Bericht bescheinigt die Compliance zu SOC 2. Grundsätzlich stehen die beiden Berichtstypen SOC 2 Type 1 und SOC 2 Type 2 zur Verfügung. Ein Typ-1-Bericht ist einfacher zu erstellen und kürzer als ein Typ-2-Bericht. Er bezieht sich auf die zum Auditzeitpunkt zur Erfüllung der Trust-Prinzipien implementierten Kontrollsysteme des Unternehmens. Der Typ-2-Bericht ist länger und aufwendiger zu erstellen. Er bescheinigt die tatsächliche Wirksamkeit und Effektivität der Kontrollsysteme hinsichtlich der Trust-Anforderungen über einen längeren Zeitraum.

Vor- und Nachteile von SOC 2

Als Vorteile einer Compliance-Prüfung nach SOC 2 lassen sich aufführen:

• bestätigt die Implementierung wirksamer Kontrollsysteme zur Erfüllung der Trust-Prinzipien

• stärkt das Vertrauen der Kunden und Geschäftspartner

• ermöglicht eine Differenzierung gegenüber Mitbewerbern und eröffnet Wettbewerbsvorteile

• erleichtert die Einhaltung von gesetzlichen Vorgaben oder Compliance-Richtlinien

• minimiert das Risiko von Sicherheitsvorfällen oder Verfügbarkeitseinschränkungen

• verbessert die allgemeine Sicherheitslage und erleichtert das Risikomanagement

SOC 2 ist auch mit einigen Nachteilen oder Herausforderungen verbunden. So kann eine Prüfung nach SOC 2 kostspielig und aufwendig sein. Es sind erhebliche zeitliche und personelle Ressourcen bereitzustellen. Vor allem kleinere Unternehmen sind damit schnell überfordert. Typ-2-Berichte nach SOC 2 erfordern darüber hinaus die kontinuierliche Überwachung und Anpassung der Kontrollsysteme über einen längeren Zeitraum und sind nochmals deutlich aufwendiger als Typ-1-Berichte.

(ID:50147697)