SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe

SOC 2 ist ein Bescheinigungsbericht (Attestation Report). Er wird nach Standards erstellt, die das American Institute of Certified Public Accountants (AICPA) festlegt, und er kann nur von einer zugelassenen CPA-Wirtschaftsprüfungsgesellschaft ausgestellt werden. Die Gesellschaft prüft Ihre Kontrollen anhand der Trust Services Criteria, einer Reihe von Kriterien, die Security und, optional, Availability, Processing Integrity, Confidentiality und Privacy abdecken. Am Ende erhalten Sie einen Bericht, in dem der Prüfer sein Urteil darüber abgibt, wie gut Ihre Kontrollen gestaltet sind und, in einem Type-2-Bericht, wie gut sie über einen Zeitraum hinweg funktioniert haben.

ISO 27001 ist ein zertifizierbarer internationaler Standard. Er beschreibt die Anforderungen an ein Information Security Management System, üblicherweise zu ISMS abgekürzt, also ein dokumentiertes, fortlaufendes Programm zum Management von Sicherheitsrisiken. Eine unabhängige Zertifizierungsstelle, die selbst akkreditiert wurde, prüft Sie anhand des Standards und stellt, sofern Sie ihn erfüllen, ein Zertifikat aus. Der Standard wird von der International Organisation for Standardisation (ISO) gepflegt, nicht von einem einzelnen Berufsstand eines bestimmten Landes.

Die Unterscheidung ist wichtiger, als sie zunächst erscheint. SOC 2 sagt einem Leser, wie Ihre konkreten Kontrollen abgeschnitten haben. ISO 27001 sagt einem Leser, dass Sie ein anerkanntes System betreiben, um Risiken fortlaufend zu identifizieren, über den Umgang damit zu entscheiden und zu überprüfen, dass es funktioniert hat. Das eine kommt einem detaillierten Prüfungsurteil näher; das andere eher einem Nachweis, dass Ihr Management-Programm eine vereinbarte Messlatte erfüllt.

SOC 2 ist ganz überwiegend ein US-amerikanisches Phänomen. Wenn Ihre Käufer US-Enterprise-Unternehmen sind, werden deren Einkaufs- und Lieferantenrisiko-Teams sehr häufig einen SOC-2-Bericht namentlich verlangen, mitunter noch bevor sie überhaupt ein Verkaufsgespräch führen. SOC 2 ist zum Standard-Vertrauenssignal im nordamerikanischen Softwaremarkt geworden.

ISO 27001 ist die eher internationale Sprache. Käufer in Europa, dem Nahen Osten, Asien und darüber hinaus erwarten es häufig, und es wird von vielen Regulierungsbehörden sowie bei der Beschaffung im öffentlichen Sektor und bei Großunternehmen weltweit herangezogen. Wenn Sie grenzüberschreitend verkaufen, ist ISO 27001 oft derjenige, der über Grenzen hinweg funktioniert.

Es gibt in beide Richtungen reichlich Ausnahmen, und manche Käufer akzeptieren bereitwillig das eine oder das andere. Der praktische Schritt ist, nicht zu raten. Fragen Sie Ihr Vertriebsteam, welches Framework Interessenten tatsächlich angefordert haben, und fragen Sie einige wohlgesinnte Kunden, worauf deren Security-Teams achten. Lassen Sie die echte Nachfrage, nicht einen allgemeinen Ruf, auf das Ausgangs-Framework verweisen.

SOC 2 gibt es in zwei Varianten. Ein Type-1-Bericht beurteilt, ob Ihre Kontrollen zu einem einzelnen Zeitpunkt angemessen gestaltet sind. Ein Type-2-Bericht, den die meisten ernsthaften Käufer wünschen, beurteilt, ob diese Kontrollen über einen Beobachtungszeitraum hinweg tatsächlich wirksam funktioniert haben, üblicherweise mehrere Monate bis zu einem Jahr. Die CPA-Wirtschaftsprüfungsgesellschaft sammelt Nachweise, prüft Stichproben und hält die Befunde fest, einschließlich etwaiger Abweichungen, bei denen eine Kontrolle nicht wie beabsichtigt funktioniert hat.

Die ISO-27001-Zertifizierung läuft in einem mehrjährigen Zyklus ab. Zu Beginn steht eine zweistufige Prüfung: eine Durchsicht Ihrer Dokumentation und Ihrer Bereitschaft (Readiness), gefolgt von einer tiefergehenden Prüfung des ISMS in der Praxis. Wenn Sie bestehen, ist das Zertifikat üblicherweise drei Jahre gültig, mit leichteren Überwachungsaudits in den dazwischenliegenden Jahren und einer vollständigen Rezertifizierung am Ende des Zyklus. Der Schwerpunkt liegt durchgehend darauf, ob Ihr Managementsystem lebendig ist und sich verbessert, und nicht nur darauf, ob einmal eine Checkliste abgehakt wurde.

In beiden Fällen ist der Prüfer unabhängig und extern. tr3labs kann Ihnen, wie jede Beratung, helfen, das Programm aufzubauen, Nachweise zusammenzustellen und sich auf die Prüfung vorzubereiten, ist aber niemals die Stelle, die das Zertifikat ausstellt oder den Bericht unterzeichnet. Genau diese Trennung ist der entscheidende Punkt: Der Wert des Ergebnisses ergibt sich daraus, dass eine akkreditierte Zertifizierungsstelle oder eine zugelassene CPA-Wirtschaftsprüfungsgesellschaft dahintersteht, und nicht Ihre eigenen Berater.

Bei SOC 2 halten Sie einen Bericht in der Hand. Es handelt sich um ein detailliertes Dokument, oft Dutzende Seiten lang, das Ihre Systeme, Ihre Kontrollen und die Befunde des Prüfers beschreibt. Da es sensible Details enthält, wird es normalerweise als vertraulich behandelt und mit Interessenten unter einer Geheimhaltungsvereinbarung geteilt. Sie können nicht einfach ein SOC-2-Logo auf Ihre Startseite kleben und es dabei belassen; der Bericht muss übergeben und gelesen werden.

Bei ISO 27001 halten Sie ein Zertifikat in der Hand. Es ist kurz, es nennt Ihre Organisation und den Geltungsbereich der Zertifizierung, und es ist dafür gedacht, öffentlich gezeigt zu werden. Sie können es auf Ihrer Website aufführen, die Zertifikatsnummer anführen und Käufer darauf verweisen, ohne das Innenleben Ihrer Kontrollen offenzulegen.

Dieser Unterschied prägt, wie der jeweilige Standard Ihnen beim Verkaufen hilft. Ein Zertifikat ist ein schnelles, öffentliches Signal, das eine frühe Hürde nimmt. Ein Bericht ist ein tiefergehendes Dokument, das das Security-Team eines Käufers während der Due Diligence tatsächlich Zeile für Zeile lesen wird. Zu wissen, was Ihre Käufer sehen möchten, ein Abzeichen oder ein Dokument, gehört zu einer guten Entscheidung dazu.

Die gute Nachricht ist, dass die beiden Frameworks auf denselben zugrunde liegenden Sicherheitspraktiken aufbauen. Zugriffsverwaltung, Change-Management, Schwachstellenmanagement, Logging und Monitoring, Lieferantenrisiko, Incident Response, sichere Entwicklung, Backups und Business Continuity tauchen in beiden auf. Ein Screenshot Ihres Zugriffsüberprüfungsprozesses oder Ihres Incident-Logs ist unter beiden Frameworks ein nützlicher Nachweis.

Deshalb stellen Teams, die bereits eines haben, in der Regel fest, dass das zweite deutlich weniger Arbeit bedeutet. Die Kernkontrollen und ein Großteil der Nachweise werden wiederverwendet; was sich ändert, sind die Einordnung und die Struktur, die der Prüfer erwartet. SOC 2 ordnet Ihre Arbeit den Trust Services Criteria zu, während ISO 27001 sie in die formalen ISMS-Anforderungen einbettet, einschließlich Risikobewertung, Management-Review und einem Statement of Applicability (Erklärung zur Anwendbarkeit).

Überschneidung ist jedoch nicht dasselbe wie Gleichwertigkeit. ISO 27001 verlangt Managementsystem-Artefakte, etwa einen dokumentierten Risikobehandlungsprozess und die Einbindung der Führungsebene, die SOC 2 in dieser Form nicht fordert. SOC 2 verlangt eine Art und Tiefe von Nachweisen zum Betrieb der Kontrollen über die Zeit, die ISO 27001 nicht identisch einordnet. Rechnen Sie damit, den Großteil des Rohmaterials wiederzuverwenden und dennoch echte Arbeit zu leisten, um die spezifischen Erwartungen des zweiten Frameworks zu erfüllen.

Für die meisten jungen Teams lautet die ehrliche Antwort: noch nicht, und nicht beides gleichzeitig. Eines von beiden ordentlich zu machen, ist ein ernsthaftes Programm, das Engineering, Betrieb und Führungsebene betrifft. Zwei zur gleichen Zeit zu beginnen, bedeutet meist, beide schlecht zu machen und die kleine Gruppe von Menschen auszubrennen, die den Kontext kennen.

Beginnen Sie mit dem, den Ihre Käufer tatsächlich verlangen. Wenn Ihre Pipeline aus US-Enterprise-Kunden besteht, ist das fast immer SOC 2. Wenn Sie international oder in regulierte Branchen verkaufen, die den Standard anführen, beginnen Sie mit ISO 27001. Wenn die Anfragen wirklich gemischt sind, wählen Sie den, der im Moment den meisten Umsatz blockiert, und reihen Sie den anderen dahinter ein.

Machen Sie beides dann, und nur dann, wenn es für beides eine klare Nachfrage gibt, zum Beispiel einen US-Kundenstamm, der SOC 2 wünscht, neben internationalen oder regulierten Käufern, die ISO 27001 erwarten. Dank der Überschneidung ist es weitaus günstiger, das zweite nach dem ersten anzugehen, als sie als zwei voneinander unabhängige Projekte zu behandeln. Der Fehler, den Sie vermeiden sollten, ist, Zertifikate wie Trophäen zu sammeln. Ein Framework lohnt sich, wenn es einen Deal freigibt, eine Regulierungsbehörde zufriedenstellt oder Ihre Sicherheitsmesslatte tatsächlich anhebt, und nicht einfach, weil es auf einer Folie gut aussieht.