SOC 2 Reifegrad · Sicherheit von Daten und IT-Services

SOC 2 ist ein von der AICPA definierter Attestierungsrahmen fuer Organisationen, die Daten im Auftrag ihrer Kunden verarbeiten. Er stuetzt sich auf die Trust Services Criteria: Sicherheit, verpflichtend, sowie Verfuegbarkeit, Verarbeitungsintegritaet, Vertraulichkeit und Schutz personenbezogener Daten, je nach eingegangenen Verpflichtungen ausgewaehlt. Die gemeinsamen Kriterien umfassen das Kontrollumfeld, die Kommunikation, das Risikomanagement, die Kontrollaktivitaeten, die Verwaltung logischer und physischer Zugaenge, den Betrieb, das Change Management und die Risikominderung. Ein Typ-I-Bericht beschreibt die Ausgestaltung der Kontrollen zu einem bestimmten Zeitpunkt, ein Typ-II-Bericht ihre tatsaechliche Funktionsweise ueber einen Beobachtungszeitraum.

In der Praxis liegt die Schwierigkeit nicht darin, die Kontrollen zu beschreiben, sondern nachzuweisen, dass sie ueber den gesamten Zeitraum ohne Unterbrechung funktioniert haben. Fanden die vierteljaehrlichen Zugriffspruefungen tatsaechlich statt, mit verwertbarem Nachweis, oder wurden sie erst vor dem Audit rekonstruiert? Folgen dringend ausgerollte Aenderungen demselben Freigabeprozess wie die uebrigen? Werden kritische Dienstleister einer dokumentierten Pruefung unterzogen, oder gibt es nur einen einmalig unterzeichneten Vertrag? Diese Antworten bestimmen den Inhalt des Berichts, nicht die Qualitaet der geschriebenen Richtlinie.

Eine haeufige Verwechslung: SOC 2 ist keine Zertifizierung und laesst sich nicht Punkt fuer Punkt mit ISO 27001 vergleichen. SOC 2 erzeugt einen von einer unabhaengigen Pruefungsgesellschaft erstellten Attestierungsbericht ueber die Kontrollen, die die Organisation selbst definiert hat, um ihre Serviceverpflichtungen einzuhalten. Der Spielraum bei Umfang und Formulierung der Kontrollen ist entsprechend groß, wodurch der Schwerpunkt auf die interne Konsistenz des Systems verlagert wird. Organisationen, die bereits an ISO 27001 arbeiten, koennen einen großen Teil ihrer Basis wiederverwenden, sofern sie die Nachweislogik ueber die Zeit neu aufbauen.

Die Reifegrad-Analyse beantwortet eine andere Frage als das Audit. Das Audit endet mit einer Abweichung oder dem Fehlen einer Abweichung bei einer bestimmten Kontrolle. Die Analyse ordnet jede Praxis auf einer fortschreitenden Skala ein und benennt die Maßnahme, die zur naechsten Stufe fuehrt: was noch deklarativ ist, was angewendet, aber nicht nachverfolgt wird, was systematisch und gemessen ist. So laesst sich der Aufwand vor dem Beobachtungszeitraum abwaegen, statt ihn erst waehrend dessen zu entdecken.

In Datamensio ist der Referenzrahmen einsatzbereit und anpassbar. Die KI passt Themenfelder, Fragen und Stufen an den Umfang der gewaehlten Kriterien an oder erstellt eine Variante auf Basis Ihrer eigenen Richtlinien und Kontrollbeschreibungen.