SOC 2 Type 2 ist ein Prüfbericht darüber, ob die Kontrollen eines Dienstleisters zu Sicherheit und Vertraulichkeit über einen Zeitraum hinweg wirksam gearbeitet haben.
Er stammt aus dem Rahmen der Trust Services Criteria und wird von einer unabhängigen Prüfungsstelle erstellt.
Kunden nutzen ihn, um die Zusagen eines Anbieters einzuordnen, statt nur eine Momentaufnahme zu sehen.
Verständnis der SOC 2 Type 2 Compliance
Type 2 unterscheidet sich von einer reinen Beschreibung der Kontrollen dadurch, dass die Prüfer das Funktionieren über Monate nachvollziehen.
Der Bericht nennt den geprüften Zeitraum, die ausgewählten Kriterien und die festgestellten Abweichungen.
Er ist ein Nachweis gegenüber Kunden, kein öffentliches Gütesiegel für jede beliebige Behauptung.
Bedeutung der SOC 2 Typ 2-Compliance
Die Bedeutung liegt darin, dass viele Auftraggeber einen aktuellen Type-2-Bericht verlangen, bevor sie Daten an einen Dienst geben.
Der Bericht macht sichtbar, ob Richtlinien nur existieren oder im Alltag greifen.
Eine Lücke im Bericht ist ein Gesprächsthema für Verträge und für die eigene Risikoabwägung.
Prozess zur Erlangung der SOC 2 Typ 2-Compliance
Der Weg zur Compliance beginnt mit der Auswahl der Kriterien, der Beschreibung der Systeme und dem Betrieb der Kontrollen über den gesamten Prüfungszeitraum.
Erst danach prüft die Stelle Stichproben, Nachweise und Abweichungen.
Wer die Kontrollen erst zur Prüfung einschaltet, besteht einen Zeitraumbericht nicht.
Schlüsselkomponenten der SOC 2 Typ 2-Compliance
Schlüsselkomponenten sind schriftliche Regeln, ihre tatsächliche Anwendung und Nachweise, die ein Außenstehender lesen kann.
Dazu gehören Zugriff, Veränderung, Betrieb und der Umgang mit Vorfällen, je nach gewählten Kriterien.
Eine Komponente ohne Nachweis gilt im Bericht als nicht belegt.
Richtlinien und Verfahren
Richtlinien und Verfahren beschreiben, wer Zugriff erhält, wie Änderungen freigegeben werden und wie Vorfälle gemeldet werden.
Type 2 prüft, ob diese Texte zur Praxis passen, etwa anhand von Tickets und Protokollen.
Ein Handbuch, das niemand befolgt, erzeugt Abweichungen.
Physische und umweltbezogene Kontrollen
Physische und umweltbezogene Kontrollen betreffen Zutritt zu Rechenzentren oder Büroräumen, Schutz vor Ausfall der Versorgung und den Umgang mit Datenträgern.
Auch ein Cloud-Anbieter muss belegen, wie die von ihm genutzten Standorte geschützt sind.
Kunden achten darauf, ob diese Kontrollen im Bericht des Anbieters oder nur als Verweis auf einen Unterauftragnehmer stehen.
Vorteile der SOC 2 Typ 2-Compliance
Vorteile sind ein wiederholbares Vertrauen, eine gemeinsame Sprache mit Kunden und ein interner Zwang, Kontrollen über Monate zu betreiben.
Der Bericht verkürzt manche Sicherheitsfragebögen.
Er ersetzt keine eigene Prüfung der Frage, ob der Dienst zum eigenen Risiko passt.
Vertrauen und Zuversicht aufbauen
Vertrauen und Zuversicht entstehen, weil eine unabhängige Stelle einen benannten Zeitraum angesehen hat und Abweichungen nicht verschweigt.
Kunden können Auflagen an diese Abweichungen knüpfen.
Vertrauen bleibt begrenzt auf die beschriebenen Systeme und Kriterien, nicht auf das gesamte Unternehmen pauschal.
Ermittlung und Behebung von Lücken
Ermittlung und Behebung von Lücken ist oft der praktische Gewinn vor und nach dem Bericht.
Fehlende Nachweise, ungeklärte Zugriffe und nicht geübte Vorfälle werden sichtbar, solange noch Zeit zur Korrektur ist.
Nach dem Bericht werden die genannten Abweichungen mit einem Plan geschlossen und im nächsten Zeitraum erneut gezeigt.
Schlussfolgerung
SOC 2 Type 2 belegt, dass beschriebene Kontrollen über einen Zeitraum gearbeitet haben, einschließlich Richtlinien und physischer Schutzmaßnahmen.
Der Weg führt über echten Betrieb, nicht über ein kurzfristig geschriebenes Handbuch.
Kunden lesen Zeitraum, Kriterien und Abweichungen, bevor sie Daten übergeben.