Kurzfassung
SOC-Berichte (Service Organization Control) sind unabhängige Audits, die von Wirtschaftsprüfer:innen (CPAs) durchgeführt werden, um zu bestätigen, dass eine Organisation die Daten, die sie für Kund:innen verarbeitet, angemessen schützt. Diese vom American Institute of Certified Public Accountants (AICPA) geregelten Berichte gibt es in verschiedenen Arten – SOC 1 für Finanzdaten, SOC 2 für umfassendere Sicherheitskriterien und SOC 3 für ein öffentlich teilbares Gütesiegel. Organisationen in den Bereichen Finanzwesen, Gesundheitswesen, Kreditabwicklung und SaaS gehören zu denjenigen, die am ehesten eine solche benötigen. Der Audit-Prozess umfasst eine Bereitschaftsprüfung, die Auswahl eines qualifizierten CPA-Partners und die Umsetzung der Ergebnisse, um Sicherheitslücken zu schließen.
Was ist ein SOC-Bericht?
Ein Service Organization Control (SOC)-Bericht wird von einer bzw. einem durch das American Institute of Certified Public Accountants (AICPA) qualifizierten Wirtschaftsprüfer:in (CPA) erstellt.
Ein Audit leitet den Prozess ein, und auch wenn niemand gerne daran denkt, dass Außenstehende sensible Daten durchstöbern, liegen die Vorteile auf der Hand. Wenn Sie mit sensiblen Informationen umgehen und nachweisen möchten, dass Sie qualifiziert sind, könnten SOC-Berichte helfen.
Welche verschiedenen Arten von SOC-Berichten gibt es?
Die AICPA hat SOC-Berichts-Frameworks entwickelt. Die Organisation fügt basierend auf dem Kundenbedarf weiterhin Audit-Optionen hinzu. Es gibt mehrere Arten.
Sogenannten „Serviceorganisationen“, die bestimmte Arten von Daten für Kund:innen verarbeiten, stehen drei SOC-Berichte zur Verfügung:
| Berichtstyp | Schwerpunkt | Wichtige Details | Teilbar? |
|---|---|---|---|
| SOC 1 | Finanzdaten | Legen Sie dar, wie Sie Finanzinformationen schützen und sichern, und prüfen Sie, ob ein:e Prüfer:in zustimmt, dass Ihre Pläne ausreichend sind. | Nein |
| SOC 2 | Umfassendere Sicherheitskriterien | Weisen Sie nach, dass Sie einige oder alle der fünf festgelegten Kriterien erfüllen. Dazu gehören Datenschutz, Vertraulichkeit, Verarbeitungsintegrität, Verfügbarkeit und Sicherheit. | Nein |
| SOC 3 | Öffentliches Gütesiegel | Durchlaufen Sie viele der gleichen Audits wie bei einem SOC 2, aber erhalten Sie einen Bericht, der weniger technisch ist und ein Gütesiegel enthält. Sie können diesen Bericht in einem öffentlichen Bereich, wie z. B. auf einer Website, teilen. | Ja |
Wie steht es um SOC-Berichte zu Cybersicherheit und Lieferkette?
Sie können auch auf SOC-Berichte zur Cybersicherheit zurückgreifen. Sie werden detailliert darlegen, wie Sie beim Risikomanagement einen proaktiven Ansatz verfolgen. Und Prüfer:innen könnten Ihnen helfen, Lücken in Ihrem Plan zu erkennen, die Sie angreifbar machen.
Fertigungsgruppen können auch SOC-Lieferkettenberichte nutzen. Hier überprüfen Prüfer:innen Ihre Systeme und Kontrollen, um die Risiken in Ihren Lieferketten zu verstehen.
Wie funktioniert der SOC-Audit-Prozess?
Zunächst müssen Sie den Bericht auswählen, der für Ihr Unternehmen am besten geeignet ist. Denken Sie daran, dass dies keine Entweder-oder-Entscheidung ist. Wenn Ihr Unternehmen sowohl mit Finanzdaten als auch mit anderen Informationen arbeitet, benötigen Sie möglicherweise mehr als einen Bericht.
Wenn Sie den benötigten Bericht ausgewählt haben, werden Sie:
- Erstellen Sie ein SOC-Readiness-Assessment. Sie bereiten sich auf Ihr Audit vor, indem Sie Ihre Lücken und Mängel prüfen.
- Partner finden. Sie werden eine:n CPA benötigen, um die Arbeit für Sie zu erledigen.
- Seien Sie offen und ehrlich. Sie müssen Ihrem Team vollständigen Zugriff gewähren, damit es die Arbeit erledigen kann. Verbergen Sie nichts.
- Report lesenSie erhalten die mit Daten befüllten Informationen von Ihrem CPA. Möglicherweise haben Sie nach dem Lesen des Berichts noch einige Punkte auf Ihrer To-do-Liste, die behoben werden müssen.
Sollten Sie einen SOC-Bericht einholen?
Jedes Unternehmen, das Sicherheitslücken aufdecken möchte, könnte von einem SOC-Bericht profitieren. Aber einige Organisationen sind verpflichtet, sie durchzuführen.
Welche Branchen benötigen in der Regel einen SOC-Bericht?
Sie könnten einen SOC-Bericht benötigen, wenn Sie in folgenden Bereichen tätig sind:
- Finanzen
- Medizinische Claims
- Kreditbearbeitung
- Software-as-a-Service (SaaS)
Wenn Sie Daten für Kund:innen verarbeiten, ganz gleich welcher Art, könnten auch Sie von einem SOC-Bericht profitieren. Dies ist die einzige Möglichkeit, Ihren neuen Kunden zu versichern, dass Sie Sicherheit ernst nehmen.
Wir bei Okta sind darauf spezialisiert, Organisationen wie Ihre dabei zu unterstützen, Informationen sicher und geschützt zu halten. Kontaktieren Sie uns, um zu erfahren, wie wir Ihnen helfen können.
Häufig gestellte Fragen
Was ist ein SOC-Bericht und wer erstellt ihn?
Ein SOC-Bericht bietet Kund:innen die unabhängige Zusicherung durch Dritte, dass die Organisationen, die ihre Daten verarbeiten, entsprechende Kontrollen implementiert haben, um diese zu schützen. Diese Audits werden von Wirtschaftsprüfer:innen (CPAs) durchgeführt, die vom American Institute of Certified Public Accountants (AICPA) qualifiziert sind, was die Ergebnisse glaubwürdig und überprüfbar macht.
Was ist der Unterschied zwischen SOC 1, SOC 2 und SOC 3?
SOC 1 konzentriert sich ausschließlich auf Finanzdatenkontrollen. SOC 2 bewertet eine Organisation anhand von bis zu fünf Kriterien: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. SOC 3 deckt ähnliche Bereiche wie SOC 2 ab, liefert jedoch einen weniger technischen Bericht, der ein Gütesiegel enthält, das sich für die Veröffentlichung eignet, beispielsweise auf einer Unternehmenswebsite.
Benötigt meine Organisation mehr als einen SOC-Bericht?
Ja, es ist möglich. Wenn Ihre Organisation sowohl Finanzdaten als auch andere Arten von Kundeninformationen verarbeitet, müssen Sie möglicherweise mehrere SOC-Berichte gleichzeitig einholen. Die Wahl des Berichts hängt von der Art der Daten ab, die Sie verwalten.
Was beinhaltet der SOC-Audit-Prozess?
Der SOC-Audit-Prozess ist darauf ausgelegt, Lücken aufzudecken, bevor sie zu Haftungsrisiken werden. Dies beginnt mit einem Readiness Assessment zur Identifizierung von Schwachstellen, gefolgt von der Beauftragung einer qualifizierten Wirtschaftsprüfer:in, die vollständigen Zugriff auf Ihre Systeme erhält. Der resultierende Bericht bestätigt nicht nur Ihre aktuellen Kontrollen, sondern bietet auch eine Roadmap zur Behebung für alle verbesserungswürdigen Bereiche.
Gibt es SOC-Berichte für Cybersicherheits- und Lieferkettenrisiken?
Ja. Cybersecurity-SOC-Berichte ermöglichen es Organisationen, ihren proaktiven Ansatz für das Risikomanagement zu dokumentieren, und können dabei helfen, Schwachstellen zu identifizieren. SOC-Berichte zur Lieferkette werden von Fertigungsunternehmen verwendet, um Systeme und Kontrollen im Zusammenhang mit Risiken in der Lieferkette von Prüfer:innen überprüfen zu lassen.
Welche Arten von Organisationen benötigen am ehesten einen SOC-Bericht?
Organisationen, die im Finanzwesen, in der Bearbeitung medizinischer Leistungsansprüche, in der Kreditbearbeitung und im Bereich Software-as-a-Service (SaaS) tätig sind, gehören zu denjenigen, die am häufigsten SOC-Berichte einholen müssen. Im weiteren Sinne kann jede Organisation, die Kundendaten verarbeitet, von einem SOC-Bericht profitieren, um ihr ernsthaftes Engagement für Sicherheit nachzuweisen.
Referenzen
System and Organization Controls: SOC-Dienstleistungssuite. AICPA.
