Welche Kriterien werden im SOC 2 Bericht geprüft?

Der SOC 2 Bericht (System and Organization Controls 2) ist ein Prüfbericht über die Kontrollen einer Service-Organisation. Er soll das Vertrauen in deren Dienstleistungen im Hinblick auf Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz der informationsverarbeitenden Systeme stärken. Das Rahmenwerk stammt vom American Institute of Certified Public Accountants (AICPA). Abzugrenzen ist er vom SOC 1 Bericht für Kontrollen der Finanzberichterstattung und vom SOC 3 Bericht als Kurzfassung für die Öffentlichkeit.

Die fünf Kategorien der Trust Services Criteria

Geprüft wird anhand der Trust Services Criteria (TSC) der AICPA. Sie umfassen fünf Kategorien:

• Sicherheit: Hierbei dreht sich alles um den Schutz der Systeme und Daten vor unautorisiertem Zugang oder Offenlegung von Informationen sowie vor Schädigungen, die die Systemnutzung beeinträchtigen könnten. Dies schließt physische und logische Zugriffskontrollen ein, etwa Passwort-Verwaltungen und Firewalls.

• Verfügbarkeit: Diese Kategorie betrifft die Verfügbarkeit der Systemdienstleistungen, wie in einem Vertrag oder einer Servicevereinbarung festgelegt. Aspekte wie Netzwerkleistung, Site-Failover und die Fähigkeit zur Wiederherstellung nach einem Zwischenfall sind zentral.

• Verarbeitungsintegrität: Die korrekte, zeitnahe und autorisierte Verarbeitung der Daten steht hier im Mittelpunkt. Es geht darum, dass die Verarbeitung effektiv ist und Fehler, Unvollständigkeiten oder Verzögerungen verhindert werden. Monitoring- und Qualitätssicherungsverfahren sind Teil dieser Kategorie.

• Vertraulichkeit: Dies bezieht sich auf den Schutz sensibler Informationen, die während der Bereitstellung des Dienstes erhoben, verarbeitet oder gespeichert werden. Verschlüsselungstechniken und Zugriffskontrollmaßnahmen sind wichtige Komponenten, um die Vertraulichkeit zu gewährleisten.

• Datenschutz: Diese Kategorie adressiert den Schutz personenbezogener Informationen. Dazu gehören die Sammlung, Nutzung, Speicherung, Offenlegung und Vernichtung der personenbezogenen Daten der Benutzer.

Zweck des Berichts

Ziel der Überprüfung dieser Kriterien im SOC 2 Bericht ist, externe Parteien darüber zu informieren, wie eine Organisation die Risiken in diesen Bereichen handhabt. Für Unternehmen, die Cloud-Computing-Dienste, SaaS-Produkte oder andere Technologie- und Datenschutzdienste anbieten, ist dieser Bericht relevant, um das Vertrauen ihrer Stakeholder zu wahren. Der Bericht gibt damit Einblick in die Maßnahmen, die eine Organisation ergreift, um die Sicherheit, Integrität und Vertraulichkeit ihrer Kundendaten zu gewährleisten.

Häufige Fragen zu SOC 2

Was ist ein SOC 2 Bericht und wer benötigt ihn?

Ein SOC 2 Bericht dient der Überprüfung und Bestätigung der Sicherheitspraktiken eines Dienstleisters, hinsichtlich der Verarbeitung von Kundendaten. Er ist besonders relevant für Unternehmen, die Cloud-Dienste und andere IT-Dienstleistungen anbieten. Diese Berichte sind für Organisationen von Bedeutung, die nachweisen möchten, dass ihre Informationsverarbeitungssysteme zuverlässig und sicher sind, vor allem, wenn sie sensible Daten ihrer Kunden handhaben.

Welche Kriterien prüft ein SOC 2 Bericht?

Ein SOC 2 Bericht bewertet die Effektivität der Kontrollen eines Dienstleisters in Bezug auf fünf Trust Services Criteria: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Diese Kriterien gewährleisten, dass die Systeme des Dienstleisters angemessen geschützt sind und die Verarbeitung von Daten genau, vollständig und autorisiert erfolgt.

Warum ist Datenschutz ein kritisches Kriterium im SOC 2 Bericht?

Datenschutz als Kriterium stellt sicher, dass personenbezogene Daten gemäß den Datenschutzrichtlinien des Dienstleisters und den anwendbaren Gesetzen und Vorschriften, wie der DSGVO, behandelt werden. Dies bestätigt, dass angemessene Maßnahmen getroffen werden, um personenbezogene Informationen vor unbefugtem Zugriff und Offenlegungen zu schützen.

Wie unterscheidet sich die Verfügbarkeit vom Kriterium der Sicherheit im SOC 2 Kontext?

Während das Kriterium der Sicherheit darauf fokussiert ist, die Systeme und Daten vor unerlaubtem Zugriff, Diebstahl oder Schäden zu bewahren, befasst sich die Verfügbarkeit mit der Zuverlässigkeit der Dienstleistungen. Das Verfügbarkeitskriterium bewertet, ob die Dienste, wie vereinbart, in einer konstanten und effektiven Weise bereitgestellt werden, einschließlich der Überwachung der Netzwerkleistung und der Umsetzung von Ausfallzeiten-Managementstrategien.

Kann jedes Unternehmen einen SOC 2 Bericht erhalten?

Grundsätzlich kann jedes Unternehmen, das IT-basierte Dienstleistungen anbietet und Kundendaten verarbeitet, einen SOC 2 Bericht anstreben. Es erfordert jedoch eine umfassende Vorbereitung und die Implementierung einer starken internen Kontrollumgebung, die den Trust Services Criteria entspricht. Der Prozess ist umfangreich und erfordert oft eine Anpassung der bestehenden Prozesse und Systeme, um die Compliance zu erreichen und zu demonstrieren.

Wie oft sollte ein Unternehmen einen SOC 2 Bericht erstellen lassen?

Die Häufigkeit, mit der ein SOC 2 Bericht erstellt werden sollte, hängt von verschiedenen Faktoren ab, einschließlich der Kundenanforderungen, Veränderungen in der Betriebsumgebung des Dienstleisters oder nach bedeutenden Änderungen an den Systemen oder Prozessen. In der Praxis streben viele Unternehmen eine jährliche Überprüfung an, um so ihren Partnern und Kunden kontinuierliche Compliance und Sicherheit zu signalisieren.