Vertrauenskontrollen für Dienstleister (SOC 2)

SOC 2 ist ein unabhängiger Prüfbericht, der die Kontrollen einer Serviceorganisation anhand der Trust Services-Kriterien bewertet – Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Der Unterschied zu SOC 1 liegt im Fokus: SOC 1 befasst sich mit der Finanzberichterstattung, SOC 2 befasst sich mit Informationssicherheit und Servicezuverlässigkeit. Es handelt sich wiederum um einen Prüfbericht, nicht um ein Zertifikat.

• SaaS- und Cloud-Service-Anbieter
• Anbieter von Rechenzentrums- und Infrastrukturdiensten
• Technologieunternehmen im Rahmen der Sicherheitsbewertung eines Unternehmenskunden
• Softwarefirmen, die Dienstleistungen auf dem nordamerikanischen Markt verkaufen

Nicht erforderlich; Es wird auf Wunsch eines Unternehmenskunden bezogen. Auf dem nordamerikanischen Markt ist ein SOC 2 Typ II-Bericht fast zu einer Standardanforderung im Verkaufsprozess geworden; In Europa wird häufiger ein ISO/IEC 27001-Zertifikat verlangt.

• Sicherheit — das obligatorische gemeinsame Kriterium in jedem SOC 2-Bericht
• Verfügbarkeit — optional
• Verarbeitungsintegrität — optional
• Vertraulichkeit — optional
• Datenschutz — optional
• Gemeinsame Kriterien basierend auf dem COSO-Framework (der CC-Reihe): Kontrollumgebung, Kommunikation, Risikobewertung, Überwachung, Kontrollaktivitäten, logischer und physischer Zugang, Systembetrieb, Änderungsmanagement, Risikominderung
• Die Systembeschreibung und Umfangsgrenzen
• Die Unterscheidung Typ I/Typ II
• Behandlung von Subservice-Organisationen
• Ergänzende Steuerelemente für Benutzerentitäten

1. 1Festlegung von Umfang und ProgrammEs werden die zu prüfenden Standorte und Prozesse sowie die für das System erforderliche Prüfdauer festgelegt.
2. 2VorabbewertungOptional wird eine Gap-Analyse durchgeführt; Lücken werden bereits vor der Hauptprüfung sichtbar.
3. 3Audit vor OrtDie Überprüfung der Aufzeichnungen, die Standortbeobachtung und die Befragung der Arbeitnehmer werden anhand der Checkliste des Systems durchgeführt.
4. 4Berichterstattung über die FeststellungenBefunde werden gemäß der Klassifizierung des Systems gemeldet. Das Ergebnis dieser Systeme ist ein Prüfbericht, kein Zertifikat.
5. 5Korrekturmaßnahmen und NachverfolgungFür die Feststellungen wird ein Korrekturmaßnahmenplan vorgelegt; Es wird mit einem Folgeaudit im Rahmen des Programms abgeschlossen.

Die Gültigkeitsdauer von Prüfberichten wird durch das System festgelegt und liegt meist zwischen einem und zwei Jahren. Der Bericht wird für den Zeitraum verwendet, den die kaufende Marke akzeptiert.

• Organisations- und Standortdetails
• Personalbestand und Schichtmuster
• Gesetzliche Genehmigungen und Lizenzen
• Relevante Richtlinien und Verfahren
• Lohn-, Zeit- und Personalunterlagen

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

• Die Anzahl der zu prüfenden Standorte und die Mitarbeiterzahl
• Die Auditdauer, die das System vorschreibt
• Ob eine Vorabbewertung (Lückenanalyse) erforderlich ist
• Ob ein Folgeaudit erforderlich ist

Die meisten dieser Systeme erstellen Prüfberichte und keine Dokumente und unterliegen dem eigenen Genehmigungssystem des Systeminhabers (z. B. Sedex, Amfori, RBA). Eine Akkreditierung im klassischen Sinne findet sich nicht in jedem System. Die Kompetenz des Prüfers und die Gültigkeit des Berichts werden durch die Regeln des Systeminhabers bestimmt.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

• SOC 1Kontrollen der Finanzberichterstattung
• PCI DSSDatensicherheit bei Zahlungskarten
• TISAXBewertung der Automobil-Informationssicherheit
• ISO/IEC 27001Informationssicherheitsmanagement
• ISO/IEC 27017Cloud-Sicherheit
• ISO/IEC 27018Persönliche Daten in der Cloud
• ISO/IEC 27701Datenschutz-Informationsmanagement
• ISO/IEC 42001Künstliches Intelligenz-Managementsystem