Die fünf Kriterien
SOC 2 ist um die Trust-Services-Kriterien herum aufgebaut: Sicherheit (in jedem Bericht Pflicht), Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Ein Fragebogen nach SOC 2 folgt denselben fünf Überschriften. Sicherheit fragt nach dem gesamten Kontrollumfeld: Governance, Risiko, Zugriff, Änderungen, Überwachung, Reaktion auf Vorfälle. Verfügbarkeit fragt nach Kapazität, Backups, Kontinuität und Wiederherstellungszielen. Verarbeitungsintegrität fragt, ob das System tut, was es verspricht, vollständig und korrekt. Vertraulichkeit fragt, wie vertrauliche Informationen erkannt und geschützt werden. Datenschutz fragt nach personenbezogenen Daten: Information, Wahlmöglichkeit, Aufbewahrung, Löschung.
Wenn Sie einen Bericht haben
Schicken Sie ihn unter NDA, mit einem Bridge Letter, wenn der Berichtszeitraum mehr als ein paar Monate zurückliegt. Rechnen Sie mit Fragen zu den Ausnahmen, die der Prüfer vermerkt hat, zu den ergänzenden Kontrollen beim Nutzer (dem, was der Bericht beim Kunden voraussetzt) und zu den aus dem Bericht ausgenommenen Unterdienstleistern, typischerweise Ihrem Hosting-Anbieter. Ein Fragebogen, der zusammen mit einer Berichtsanfrage eintrifft, ist meist kurz; beantworten Sie die Zeilen, die der Bericht nicht abdeckt, und verweisen Sie für den Rest auf den Berichtsabschnitt.
Wenn nicht
Antworten Sie je Kriterium. Für Sicherheit sind es dieselben Antworten, die jeder Fragebogen verlangt: Zugriffskontrolle, Änderungsmanagement, Schwachstellenmanagement, Protokollierung, Reaktion auf Vorfälle, mit Verantwortlichen, Häufigkeiten und Nachweisen. Für Verfügbarkeit nennen Sie Ihre Wiederherstellungsziele, den Backup-Zeitplan und das Datum des letzten Wiederherstellungstests. Für Vertraulichkeit das Klassifizierungsschema und die eingesetzte Verschlüsselung. Für Datenschutz den AVV, die Liste der Auftragsverarbeiter und die Aufbewahrungsregeln. Ein Lieferant ohne Bericht, aber mit konkreten Antworten und Nachweisen wird von den meisten Kunden akzeptiert; der Bericht lohnt seine Kosten, wenn derselbe Fragebogen jede Woche eintrifft.
Die Antworten, die sich mit ISO 27001 überschneiden
Der Großteil des Sicherheitskriteriums überschneidet sich mit Anhang A von ISO 27001. Wer eine freigegebene Antwort pro Kontrolle pflegt, bedient mit denselben Antworten einen SOC 2-Fragebogen und einen ISO-Fragebogen; nur die Überschriften unterscheiden sich. Responsemate entwirft aus derselben Bibliothek einen Fragebogen in beiden Formen und zeigt in jeder Zeile, welchen Eintrag es genutzt hat. Fragebögen in Responsemate.
Häufige Fragen
Was ist der Unterschied zwischen SOC 2 Typ I und Typ II?
Ein Typ-I-Bericht beschreibt Ihre Kontrollen und ob sie zu einem Stichtag angemessen gestaltet waren. Ein Typ-II-Bericht prüft, ob sie über einen Zeitraum funktioniert haben, meist sechs bis zwölf Monate. Kunden, die nach „Ihrem SOC 2“ fragen, meinen fast immer Typ II.
Kann ein europäisches Unternehmen einen SOC 2-Bericht bekommen?
Ja, von jeder Prüfungsgesellschaft, die dafür zugelassen ist. Viele europäische Unternehmen wählen stattdessen ISO 27001 oder einen ISAE 3000-Bericht, weil ihre Kunden danach fragen; manche halten beides, wenn sie in die USA verkaufen.
Reicht ein SOC 2-Bericht, um den Fragebogen zu überspringen?
Oft verkürzt er ihn. Kunden mit einem reifen Prozess lesen den Bericht, notieren die Ausnahmen und schicken einen kurzen Fragebogen zu dem, was der Bericht nicht abdeckt: Ihren konkreten Service, Datenflüsse und alles seit dem Berichtszeitraum.