Informationssicherheit
SOC 2
SOC 2 (System and Organization Controls 2)
SOC 2 ist eine unabhängige Prüfung, wie Sie Kundendaten anhand der Trust Services Criteria schützen. Wir begleiten Sie von der ersten Lücke bis zu einem sauberen Type-I- oder Type-II-Bericht.
Was SOC 2 ist
SOC 2 ist ein Bestätigungsbericht, der von einer unabhängigen Wirtschaftsprüfungsgesellschaft (CPA) erstellt wird und beschreibt, wie Ihre Organisation Kundendaten anhand von fünf Trust Services Criteria verwaltet: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist immer im Prüfungsumfang enthalten; die anderen werden einbezogen, wenn sie für Ihren Dienst relevant sind.
Ein Type-I-Bericht beurteilt, ob Ihre Kontrollen zu einem bestimmten Zeitpunkt angemessen gestaltet sind. Ein Type-II-Bericht prüft, ob sie über einen Zeitraum, in der Regel drei bis zwölf Monate, tatsächlich wirksam funktioniert haben, und ist der Bericht, den die meisten Unternehmenskunden erwarten.
Der Aufbau des Standards
Kriterium · Sicherheit
Die gemeinsamen Kriterien, die jeder SOC-2-Auftrag enthält und die abdecken, wie Systeme und Daten vor unbefugtem Zugriff geschützt werden.
Kriterium · Verfügbarkeit
Optionale Kriterien, die behandeln, ob das System wie zugesagt oder vereinbart für Betrieb und Nutzung verfügbar ist.
Kriterium · Verarbeitungsintegrität
Optionale Kriterien, die behandeln, ob die Systemverarbeitung vollständig, gültig, genau, zeitgerecht und autorisiert ist.
Kriterium · Vertraulichkeit
Optionale Kriterien, die behandeln, wie als vertraulich eingestufte Informationen über ihren gesamten Lebenszyklus geschützt werden.
Kriterium · Datenschutz
Optionale Kriterien, die behandeln, wie personenbezogene Daten erhoben, verwendet, aufbewahrt, offengelegt und entsorgt werden.
Bericht · Type I
Eine Beurteilung, ob die Kontrollen zu einem einzelnen festgelegten Datum angemessen gestaltet sind.
Bericht · Type II
Eine Beurteilung, ob diese Kontrollen auch über einen definierten Prüfungszeitraum wirksam funktioniert haben.
Wer es braucht
- SaaS- und B2B-Softwareunternehmen, deren Kunden Daten bei ihnen speichern
- Alle, die in einem Sicherheitsfragebogen oder einem Geschäftsabschluss nach einem SOC-2-Bericht gefragt werden
- Teams, die an US-Unternehmen verkaufen, bei denen SOC 2 die Standarderwartung ist
Was Sie erhalten
- Eine Lückenanalyse und ein priorisierter Fahrplan
- Richtlinien, Kontrollen und eine Nachweissammlung, die den Kriterien zugeordnet sind
- Nachweise aus Penetrationstest und Sicherheitsüberprüfung
- Prüfungsvorbereitung und Unterstützung bis zu einem sauberen Type-I- oder Type-II-Bericht
Die Zeitpläne hängen von Ihrem Ausgangspunkt ab und davon, ob es sich um Type I oder Type II handelt. Wir schätzen den Umfang vorab ehrlich ein, statt eine feste Wochenzahl zu versprechen.
Aktuelle Version
SOC-2-Berichte werden anhand der AICPA Trust Services Criteria erstellt, der Ausgabe von 2017 mit den 2022 überarbeiteten Points of Focus, zusammen gelesen mit den Bestätigungsstandards in SSAE 18. Die Kriterien selbst sind stabil, sodass der aktuelle Rahmen das ist, worauf jeder neue Auftrag heute hinarbeitet. Die praktische Veränderung im Laufe der Zeit liegt in den Erwartungen der Prüfer und den Nachweisen; der sinnvolle Ansatz besteht daher darin, die aktuellen Kriterien und den Prüfungsumfang Ihres Prüfers vor der Feldarbeit zu bestätigen, statt davon auszugehen, dass der letztjährige Satz unverändert fortgilt.
Was es kostet
Hier stehen zwei Kosten nebeneinander. tr3labs berechnet ein auf den Umfang abgestimmtes Honorar für Beratung und Umsetzung, das vorab festgelegt wird, sobald wir Ihre Größe, Ihre Systeme und den aktuellen Stand Ihrer Kontrollen kennen. Davon getrennt berechnet die unabhängige, lizenzierte Wirtschaftsprüfungsgesellschaft (CPA), die die Prüfung durchführt und den Bericht ausstellt, nach ihrem eigenen Tarif, denn tr3labs ist niemals der Prüfer und stellt die Bestätigung niemals aus. Wir legen den Umfang lieber gemeinsam mit Ihnen fest, als blind zu kalkulieren.
Wie tr3labs Sie dorthin bringt
Umfang und Lückenanalyse
Wir legen gemeinsam fest, welche Trust Services Criteria gelten, gleichen Ihre aktuellen Kontrollen damit ab und übergeben Ihnen einen priorisierten Fahrplan, um die Lücken zu schließen.
Die Kontrollen aufbauen
Wir unterstützen Sie bei der Umsetzung der Richtlinien, Prozesse und technischen Kontrollen, die die Kriterien erwarten, und sammeln die Nachweise, die Ihr Prüfer sehen möchte.
Prüfen und belegen
Unsere Penetrationstests und Reviews liefern die sicherheitstechnischen Nachweise hinter den Kontrollen, und wir proben die Prüfung, damit es keine Überraschungen gibt.
Prüfungsunterstützung
Wir arbeiten während der Feldarbeit an der Seite Ihres CPA-Prüfers auf einen sauberen Bericht hin und halten Sie für den nächsten Zeitraum bereit.
SOC 2 im Vergleich mit ISO 27001
Beide belegen gegenüber einer externen Partei, dass Sie Informationssicherheit steuern, weshalb Käufer sie oft als austauschbar betrachten.
| SOC 2 | ISO 27001 | |
|---|---|---|
| Umfasst | Kontrollen anhand der Trust Services Criteria | Ein gesteuertes Informationssicherheits-Managementsystem |
| Wer danach fragt | Überwiegend US-Unternehmenskunden und Beschaffung | Internationale Kunden und Regulierungsbehörden |
| Grundgedanke | Bestätigungsbericht über Ihre Kontrollen | Zertifizierbares Managementsystem, das Sie betreiben und verbessern |
| Prüfungsmodell | Prüfung durch eine unabhängige Wirtschaftsprüfungsgesellschaft (CPA) | Zweistufige Prüfung durch eine akkreditierte Zertifizierungsstelle |
| Ergebnis | Ein Type-I- oder Type-II-Bericht, kein Zertifikat | Ein Zertifikat mit Überwachungsaudits |
| Oft zusammen gehalten mit | ISO 27001, wenn Käufer beide Regionen abdecken | SOC 2, um neben globalen auch US-Käufer zu bedienen |
SOC 2 FAQ
- Was ist der Unterschied zwischen SOC 2 Type I und Type II?
- Type I beurteilt, ob Ihre Kontrollen zu einem einzelnen Zeitpunkt richtig gestaltet sind. Type II prüft, ob sie über einen Prüfungszeitraum, in der Regel drei bis zwölf Monate, wirksam funktioniert haben, und ist das, wonach die meisten Unternehmenskunden fragen.
- Benötigen wir einen Penetrationstest für SOC 2?
- SOC 2 schreibt keinen bestimmten Test vor, aber Prüfer und Kunden erwarten echte Nachweise, dass Ihre Sicherheitskontrollen funktionieren. Unsere manuellen Penetrationstests liefern genau das und fließen direkt in den Bericht ein.
- Wer stellt den SOC-2-Bericht aus?
- Eine unabhängige, lizenzierte Wirtschaftsprüfungsgesellschaft (CPA) stellt den Bericht aus. tr3labs bereitet Sie auf die Prüfung vor, baut die Kontrollen und Nachweise auf und begleitet Sie dabei; wir stellen die Bestätigung nicht selbst aus.
Die Leistungen, die Sie dorthin bringen
Verwandte Standards
Weiterführende Artikel
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit
Was ist SOC-2-Compliance? Ein verständlicher Leitfaden
SOC 2 ohne Fachjargon erklärt: was es ist, die fünf Trust Services Criteria, Type I vs. Type II, wer es benötigt, wie der Prozess abläuft und wie Sie sich vorbereiten.
7 Min. Lesezeit
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit