Datenschutzverletzungen nehmen zu. Im zweiten Quartal 2023 stiegen sie weltweit um 156% im Vergleich zum Vorquartal.

Daher ist es wichtiger denn je, dass Ihr Unternehmen das Vertrauen der Kunden gewinnt.

Hier kommen die System- und Organisationskontrollen (SOC) ins Spiel. Ein SOC-Bericht ist eine Möglichkeit, potenziellen Kunden zu beweisen, dass Ihr Unternehmen über ausreichende Kontrollen verfügt, um ihre sensiblen Daten zu schützen.

Im Folgenden werden wir erläutern, was ein SOC-Bericht ist, die verschiedenen Arten von SOC-Berichten und wie man einen erhält.

Was ist ein SOC-Bericht?

Ein SOC-Bericht wird durch eine unabhängige Prüfung der Informationssicherheitssysteme eines Unternehmens und der Kontrollen, die es zur Sicherung dieser Systeme sowie der von ihnen gespeicherten, verarbeiteten und/oder übertragenen Informationen eingerichtet hat, erstellt. Nur ein Wirtschaftsprüfer oder eine vom American Institute of Certified Public Accountants (AICPA) akkreditierte Organisation kann eine SOC-Prüfung durchführen.

Abgesehen von einigen allgemeinen Kriterien in Bezug auf die Sicherheit wird jeder SOC-Bericht auf das zu prüfende Unternehmen zugeschnitten. Ein SOC-Bericht kann Kontrollen im Zusammenhang mit folgenden Bereichen abdecken:

• Sicherheit
• Verfügbarkeit
• Verarbeitungsintegrität
• Vertraulichkeit
• Datenschutz
• Finanzberichterstattung
• Cybersicherheit

Deshalb werden keine zwei SOC-Berichte genau gleich aussehen.

Wozu dient ein SOC-Bericht?

Ein SOC-Bericht wird verwendet, um das Design und die operative Wirksamkeit der Kontrollen eines Dienstleistungsunternehmens zu überprüfen, die vorhanden sind, um Kundendaten sicher zu handhaben.

Ein potenzieller Kunde kann von einem Dienstleistungsunternehmen verlangen, einen SOC-Bericht zu erstellen, als Bedingung für die Zusammenarbeit. Dies ist eine übliche Praxis bei Nutzereinheiten, ähnlich wie bei der Anforderung von Referenzen vor der Einstellung eines Mitarbeiters. Eine Nutzereinheit ist eine Organisation, die eine Geschäftsfunktion an ein Dienstleistungsunternehmen auslagert oder anderweitig mit ihm zusammenarbeitet.

Alternativ kann sich ein Dienstleistungsunternehmen entscheiden, die SOC-Compliance zu verfolgen, bevor jemand danach fragt. Dies kann dazu beitragen, potenzielle Kunden anzuziehen, indem es zeigt, dass das Unternehmen vertrauenswürdig ist.

Wer braucht einen SOC-Bericht?

SOC ist speziell dafür ausgelegt, die Sicherheit von Informationssystemen zu testen. Daher neigen Einzelpersonen oder Unternehmen, die SOC-Compliance anstreben, dazu, große Mengen an Informationen im Auftrag anderer Unternehmen zu verwalten.

Beispiele, die nicht darauf beschränkt sind, umfassen:

• Buchhalter
• Vermögensverwalter
• Drittanbieter-Softwareentwickler
• Personalvermittlungsfirmen
• Marketingagenturen
• Abrechnungsmanagementplattformen
• Treuhandgesellschaften
• Unternehmen für Finanzberichterstattungssoftware
• Cloud-Service-Provider
• Organisationen für HR-Management-Dienste
• Recruiting-Plattformen
• Hosting-Rechenzentren
• SaaS-Anbieter
• Versicherungsanspruchsprozessoren

Bei Secureframe streben wir regelmäßig die SOC 2-Compliance an und beziehen die Verarbeitungsintegrität in den Umfang unserer Prüfung ein, um das zu praktizieren, was wir predigen. Als Experten für Automatisierung der Compliance sind wir ein gutes Beispiel für ein Unternehmen, das Vertrauen bei unserer Kundschaft aufbauen muss. 

Was sind die verschiedenen Arten von SOC-Berichten?

Jede Art von SOC-Bericht hat leicht unterschiedliche Anwendungsfälle.

Wie Sie im nächsten Abschnitt lesen werden, sind SOC 1® und SOC 2® in Typ 1 und Typ 2 unterteilt. Sowohl Typ 1 als auch Typ 2 beziehen sich darauf, wie die Prüfung durchgeführt wird, während sich SOC 1, 2 und 3 auf den Inhalt des SOC-Berichts beziehen.

SOC 1®

Ein SOC 1-Audit ist für jede Organisation gedacht, die ihren Kunden Dienstleistungen im Zusammenhang mit der Finanzberichterstattung anbietet.

Anders ausgedrückt: Wenn eine Tätigkeit eines Unternehmens eine Finanzprüfung eines Kunden dieses Unternehmens beeinflussen könnte, könnte dieses Unternehmen einen SOC 1-Bericht benötigen.

Beispiele sind Buchhalter, Lohnbuchhalter oder Steuerberatungsassistenten.

Da CPAs SOC verwalten und Finanzberichte und andere Informationen oft die sensibelsten sind, sind Finanzkontrollen ein besonderes Interessengebiet. Der SOC 1-Prozess untersucht die Sicherheits- und Geschäftsprozesse eines Unternehmens und sucht nach Risiken für die finanziellen Informationen der Benutzer.

Ein Serviceprüfer sollte auch prüfen, ob Risiken, die sich aus dem geprüften Unternehmen ergeben, die internen Kontrollen der Kunden gefährden könnten. Sie könnten die beste Informationssicherheit der Welt haben, aber das bringt wenig, wenn Sie mit Dritten zusammenarbeiten, die nicht die gleichen Standards einhalten.

SOC 1® Typ 1 und 2

• SOC 1 Typ 1: Eine Prüfung, die überprüft, ob Ihre Systeme so konzipiert sind, dass sie die proprietären Kriterien von SOC 1 (d. h. die in der Beschreibung enthaltenen Kontrollziele) zu einem bestimmten Zeitpunkt erfüllen, um Finanzkontrollen zu schützen. Typ 1-Prüfungen sind relativ kostengünstig und einfach, aber nicht so gründlich wie Typ-2-Prüfungen. Denken Sie daran als ein Eintauchen der Zehen ins Wasser: Sie bekommen ein Gefühl dafür, wie eine Prüfung ist, aber Sie tauchen nicht ganz ein.
• SOC 1 Typ 2: Eine Prüfung, die untersucht, wie Ihre Systeme konzipiert sind UND ob die Finanzkontrollen implementiert und über einen bestimmten Zeitraum hinweg effektiv sind. Ein Typ 2-Bericht dauert länger (zwischen 3 und 12 Monaten), da der Prüfer Kontrolletests an Ihren Informationssystemen durchführen muss. Während Typ 1 wie das Eintauchen der Zehen ins Wasser ist, ist Typ 2 wie ein vollständiges Schwimmen.

SOC 2®

SOC 2 ist bei weitem die am häufigsten angestrebte Form der SOC-Konformität. Es ist für jede Organisation gedacht, die Dienstleistungen von Drittanbietern erbringt und von den Kunden verlangt, dass sie ihnen mit sensiblen Daten vertrauen. Es ist besonders beliebt bei Software-as-a-Service (SaaS) Unternehmen.

Anstelle einer vorgegebenen Liste von Kontrollen wie bei den meisten ISO-Kriterien basiert SOC 2 auf den „Trust Services Criteria“ (TSC). Diese gruppieren vorgeschlagene Kontrollen unter fünf Kategorien:

1. Sicherheit
2. Privatsphäre
3. Vertraulichkeit
4. Verfügbarkeit
5. Verarbeitungsintegrität

Die ausgewählten Vertrauensprinzipien bestimmen Ihre Attestationskriterien. Laut der AICPA sollten sie relevant, objektiv, messbar und vollständig sein.

Die unter Sicherheit gruppierten Kontrollen, bekannt als „gemeinsame Kriterien“, sind die einzigen, die eine SOC 2-Prüfung durchlaufen müssen. Unternehmen werden aufgefordert, ihre Kontrollumgebung, Kommunikations- und Informationsprotokolle, Risikomanagement- und Bewertungsprozesse sowie die Implementierung und Überwachung von Kontrollen zu dokumentieren.

Alle anderen sind optional, obwohl die meisten Prüfer mehr als das Nötigste überprüfen. Vertraulichkeit und Verfügbarkeit, obwohl nicht erforderlich, sind oft im Umfang enthalten. Privatsphäre und Verarbeitungsintegrität werden im Allgemeinen basierend auf der Art der Systeme und Dienste der Organisation eingeschlossen. Beispielsweise, wenn Ihr System viele sensible persönliche Daten enthält, sollten Sie möglicherweise die Privatsphäre in den Umfang einbeziehen. Wenn Ihr System viele Daten verarbeitet und/oder Integrationen hat, sollten Sie möglicherweise die Verarbeitungsintegrität in Betracht ziehen.

SOC 2® Typ 1 und 2

• SOC 2 Typ 1: Eine Prüfung, die testet, ob Ihre Kontrollen zu einem bestimmten Zeitpunkt gemäß den relevanten Trust Services Kriterien entworfen sind. Da SOC 2 Typ 1 Prüfungen und Berichte innerhalb weniger Wochen abgeschlossen werden können, können sie Organisationen helfen, die wenig Zeit und Ressourcen haben, schnell zu beweisen, dass sie sicher sind.
• SOC 2 Typ 2: Eine Prüfung, die untersucht, ob Ihre Kontrollen gemäß den relevanten Trust Services Kriterien entworfen wurden UND ob die Kontrollen während eines bestimmten Zeitraums implementiert und wirksam sind. Da SOC 2 Typ 2 Berichte die kontinuierliche Funktionalität von Kontrollen über einen längeren Zeitraum abdecken, sind SOC 2 Typ 2 Berichte weitaus umfassender als Typ 1 Berichte und haben bei nutzenden Organisationen mehr Gewicht.

SOC 3®

Ein Unternehmen, das eine SOC 2-Prüfung durchführt, bietet in der Regel eine Art B2B-Service oder B2B2C-Service an. Da ein SOC 2-Bericht jedoch nicht unbedingt öffentlich bekannt ist (und für einen Laien nicht leicht verständlich ist), kann das Unternehmen stattdessen einen SOC 3®-Bericht erhalten.

Ein SOC 3-Bericht ist ähnlich wie ein SOC 2, außer dass er kürzer und öffentlich ist. Es ist ein leichter verständliches Produkt, das für Marketingzwecke verwendet oder Kunden kostenlos zur Verfügung gestellt werden kann. SOC 3 Berichte sind eine einfache Möglichkeit, Vertrauen bei großen Personengruppen aufzubauen.

Andere SOC Engagements

Die AICPA hat im Laufe der Zeit seine SOC-Dienstleistungen erweitert. Schauen wir uns unten zwei aktuelle Entwicklungen an.

SOC für Cybersicherheit

SOC for Cybersecurity ist ein Berichtssystem, das Organisationen dabei hilft, relevante und nützliche Informationen über die Effektivität ihrer Cybersicherheits-Risikomanagementprogramme zu kommunizieren.

Eine SOC for Cybersecurity-Prüfung und der damit verbundene Bericht bewerten das Design des organisationsweiten Cybersicherheits-Risikomanagementprogramms basierend auf den Trust Services-Kriterien oder anderen geeigneten Kriterien wie ISO 27001 oder NIST CSF und ob diese effektiv dabei waren, die von der Organisation festgelegten Cybersicherheitsziele zu erreichen.

Während SOC 2 am besten für Dienstleistungsorganisationen geeignet ist, ist SOC for Cybersecurity für nahezu jede Art von Organisation geeignet.

Der Zweck dieser Art von Prüfung und Bericht besteht darin, allgemeinen Nutzern, einschließlich des Managements, der Direktoren, Investoren, Geschäftspartnern und anderen Interessengruppen der Organisation, Informationen über das Cybersicherheits-Risikomanagementprogramm der Organisation bereitzustellen, die ihnen bei ihrer Entscheidungsfindung helfen.

Wie ein SOC 3-Bericht ist ein SOC for Cybersecurity-Bericht für den allgemeinen Gebrauch geeignet.

SOC für Lieferkette

SOC für Lieferkette ist ein Berichtssystem, das Organisationen dabei hilft, bestimmte Informationen über die Bemühungen im Risikomanagement der Lieferkette zu kommunizieren und die Effektivität der Systemkontrollen, die diese Risiken mindern, zu bewerten. Letztendlich war das Ziel der AICPA bei der Entwicklung dieser Lösung, mehr Transparenz in der Lieferkette zu fördern.

Wie SOC 2 bewertet eine SOC for Supply Chain-Prüfung und der damit verbundene Bericht das Design der Kontrollen einer Organisation basierend auf den Trust Services-Kriterien.

Im Gegensatz zu SOC 2 ist SOC for Supply Chain am besten für Organisationen geeignet, die Produkte herstellen, produzieren oder vertreiben. Der Zweck dieser Art von Prüfung und Bericht besteht darin, Organisationen, ihren Kunden und Geschäftspartnern zu helfen, die Risiken aus Geschäft Beziehungen mit ihren Lieferanten zu identifizieren, zu bewerten und zu adressieren.

Was sind die Inhalte eines SOC-Berichts?

Während sich die Inhalte eines SOC-Berichts je nach Typ unterscheiden, teilen die meisten gemeinsame Komponenten eines SOC 2 Type 2-Berichts.

Das AICPA bietet auf seiner Webseite ein illustriertes Beispiel eines SOC-Berichts an . Es umfasst 31 Seiten, was eine ziemlich typische Länge ist. Eine kurze Übersicht über die Inhalte zeigt Folgendes:

1. Meinungsbrief: Eine Zusammenfassung der Meinung des Prüfers (oder Praktikers), die darstellt, ob sie der Meinung sind, dass das Zielunternehmen die Prüfung bestanden hat.

• Eine „uneingeschränkte Meinung“ ist ein Bestehen mit Bravour.
• Eine „einschränkende Meinung“ bedeutet, dass das Unternehmen fast compliant ist, aber ein oder mehrere Bereiche noch nicht erfüllt sind.
• Eine „negative Meinung“ ist ein Fehlschlag. Das Unternehmen fällt in einem oder mehreren nicht verhandelbaren Bereichen durch.
• Ein „Versagungsvermerk“ bedeutet, dass der Prüfer nicht genügend Beweise hat, um eine der ersten drei Optionen zu stützen.

2. Managementaussage: Fasst zusammen, was die Manager des geprüften Unternehmens dem Prüfer über ihre Informationssicherheitskontrollen mitgeteilt haben.

3. Beschreibung der Systeme: Erklärt, was das Unternehmen tut, und wie sie ihre eigene Infrastruktur beschreiben. Hinweis: Dies ist nicht in einem SOC 3-Bericht enthalten. In einem SOC for Cybersecurity ist stattdessen eine Beschreibung des Cybersicherheits-Risikomanagementprogramms der Organisation enthalten.

4. Anwendbare Kriterien: Listet jede interne Kontrolle auf, die das Unternehmen für seine eigenen Dienstleistungen als anwendbar erachtet hat, zusammen mit den Ergebnissen der Kontrolltests. Hinweis: Kontrolltests und -ergebnisse sind nicht in einem SOC 1 Type 1, SOC 2 Type 2, SOC 3 oder SOC for Cybersecurity enthalten.

5. Andere Informationen: Vom Unternehmen bereitgestellte Informationen, die der Prüfer als nicht relevant erachtete.

Jetzt, da Sie eine bessere Vorstellung davon haben, wie SOC-Berichte aussehen, lassen Sie uns den Prozess durchgehen, wie man einen erhält.

Wie man einen SOC-Bericht erhält

Ein SOC-Bericht wird durch eine SOC-Prüfung erstellt, die von einem SOC-Analysten durchgeführt wird. Dies ist normalerweise ein Wirtschaftsprüfer oder eine von der AICPA akkreditierte Organisation. Bevor Sie einen Prüfer in Ihr Büro einladen, müssen Sie zunächst entscheiden, welche Art von SOC-Bericht Sie benötigen.

Schritt 1: Wählen Sie eine Art von SOC-Bericht.

Wählen Sie zunächst aus den drei SOC-Kategorien im vorherigen Abschnitt. Sie schließen sich nicht gegenseitig aus. Tatsächlich könnten einige Unternehmen alle drei anstreben.

Viele große Unternehmen bieten sowohl finanzielle als auch nicht-finanzielle Dienstleistungen an und möchten Vertrauen bei Unternehmen und der Öffentlichkeit aufbauen.

Angenommen, Ihr Unternehmen ist ein kleines Startup, das Cloud-Dienste für größere Unternehmen anbietet. Offensichtlich würden Sie SOC 2 wählen.

Als nächstes müssen Sie zwischen einem SOC 2 Typ 1 Bericht und einem Typ 2 Bericht wählen. Entscheiden Sie sich basierend auf Ihrem Budget und der Dringlichkeit der Erstellung des Zertifikats. Viele Organisationen entscheiden sich zunächst für eine Typ 1-Prüfung und nutzen diesen Bericht dann, um Typ 2 zu absolvieren.

Schritt 2: Führen Sie eine Bereitschaftsbewertung durch.

Führen Sie als nächstes eine Bereitschaftsbewertung durch. Dies ist wie das Lernen für und das Ablegen eines Probetests – es stellt sicher, dass der Prüfer Sie nicht unvorbereitet erwischt.

Um eine Bereitschaftsbewertung durchzuführen, müssen Sie sich mit den Vertrauenskriterien vertraut machen.

Seien Sie in der Lage, Fragen wie diese zu beantworten:

• „Wie ist mein System vor Angriffen geschützt?“ (Sicherheit)
• „Wie entscheiden wir, wann Daten aus dem System verfügbar gemacht werden?“ (Verfügbarkeit)
• „Funktioniert das System so, wie es soll?“ (Verarbeitungsintegrität)
• „Wie stellen wir sicher, dass das System private Informationen vor unbefugten Personen schützt?“ (Datenschutz)
• „Wenn Informationen ausgetauscht werden müssen, wie wird der Austausch gesichert?“ (Vertraulichkeit)

Betrachten Sie jede mögliche Art und Weise, wie die Vertrauenskriterien auf Ihre Infrastruktur angewendet werden könnten. Wenn Sie Bereiche finden, in denen Ihr System unzureichend ist, bestimmen Sie, was Sie tun müssen, um konform zu werden. Dies wird als „Lückenanalyse“ bezeichnet – die Lücke zwischen dem aktuellen Stand Ihres Systems und dem gewünschten Zustand schließen.

Schritt 3: Bereiten Sie Dokumente für Ihren Prüfer vor.

Dokumentieren Sie als nächstes alles gründlich. Sie sollten in der Lage sein, eine vollständige Liste der TSC anzusehen und sofort Dokumentationen vorzulegen, die erklären, wie Ihre Informationssicherheit jedes Kriterium erfüllt.

Während die Art und der Umfang der Dokumentation, die für die Einhaltung erforderlich ist, je nach Typ und Umfang der Prüfung unterschiedlich sind, müssen Sie mindestens die folgenden Dokumente bereitstellen:

• Management-Aussage
• Systembeschreibung
• Kontrollmatrix
• Richtlinien

Schritt 4: Wählen Sie Ihren Prüfer aus.

Entscheiden Sie schließlich, wen Sie als Ihren Drittprüfer einsetzen möchten. Wählen Sie einen gut bewerteten CPA oder eine Wirtschaftsprüfungsgesellschaft, die Erfahrung in Ihrer Branche hat. Oder wählen Sie einen Prüfer, der mit Ihrem Compliance-Automatisierungstool vertraut ist.

Der Prüfer wird einige Wochen bis mehrere Monate mit Ihrem Team arbeiten, bevor er einen SOC-Bericht erstellt. Wenn Sie in Ihrem Bericht eine uneingeschränkte Meinung erhalten, herzlichen Glückwunsch! Wenn nicht, nutzen Sie den SOC-Bericht als Lernhilfe, um Lücken zu schließen, und versuchen Sie es erneut für einen verbesserten Bericht.

Wie Secureframe Ihnen helfen kann, den SOC-Bericht zu erhalten, den Sie benötigen

Secureframe kann Ihnen nicht nur dabei helfen zu entscheiden, welche Art von SOC-Bericht Ihr Unternehmen benötigt – wir können auch den Prozess optimieren.

Indem wir SOC 2-Compliance mithilfe von KI und Automatisierung vereinfachen, sparen wir Teams Hunderte von Stunden und Tausende von Dollar, die sie für das Schreiben von Sicherheitsrichtlinien, das Sammeln von Beweismitteln, die Einstellung von Sicherheitsberatern und die Durchführung von Bereitschaftsbewertungen aufwenden würden. Und da Secureframe kontinuierlich Ihre Infrastruktur überwacht und Sie auf Schwachstellen hinweist, können Sie leichter und schneller SOC-konform werden und bleiben.

Fordern Sie eine Demo an, um mehr darüber zu erfahren, wie wir Ihnen helfen können, den SOC-Bericht zu erhalten, den Sie benötigen.