Hier erhalten Sie eine einfache und übersichtliche Erklärung zum Thema SOC 2 – was ist das, und was ist das Wichtigste, das Sie dazu wissen müssen? Sie möchten Geschäftskunden im angelsächsischen Raum akquirieren und sind sich nicht sicher, ob Sie den Standard ISO 27001 oder den US-Standard SOC 2 nutzen sollen? Hier erhalten Sie die Antworten.
In diesem Artikel erfahren Sie:
- was der Informationssicherheitsstandard SOC 2 ist
- was das Ziel einer SOC-2-Zertifizierung ist
- welche Gemeinsamkeiten und Unterschiede es zwischen SOC 2 und ISO 27001 gibt
- wie Ihr Unternehmen zu einer SOC-2-Zertifizierung kommt
Was ist SOC 2?
SOC 2 ist ein Informationssicherheitsstandard, der insbesondere in den USA eine wichtige Rolle spielt. Viele aufstrebende SaaS-Unternehmen (Software-as-a-service-Unternehmen) lassen sich durch SOC 2 zertifizieren, um Investoren und potenziellen Kunden zu zeigen, dass sie Daten sicher verwahren.
Nicht erst seit der Homeoffice-Welle sind Cloud-Lösungen für Daten für diverse Unternehmen interessant. Wenn eine Vielzahl von sensiblen Unternehmensdaten in eine Cloud hochgeladen werden sollen, dann fragt sich ein Unternehmen natürlich, ob die angebotene Cloud sicher vor Sicherheitslücken und die Daten damit sicher vor Datendiebstahl, Datenlöschung oder Virenbefall sind. Um die Sicherheit anschaulich zu machen, gibt es unter anderem den Informationssicherheitsstandard SOC 2. Hier ein kurzer Überblick.
SOC 2:
- ist ein freiwilliger Compliance-Standard für Unternehmen.
- steht für „Service Organization Controls 2“ und prüft ein System auf Zugriff und Veränderung von außen.
- ist eine Best Practice für die Informationssicherheit.
- ist insbesondere ein in Nordamerika weitverbreiteter und geschätzter Informationssicherheitsmanagementsystem-Standard (ISMS-Standard).
- wurde eingeführt von der AICPA, dem American Institute of Certified Public Accountants, zu Deutsch das „Amerikanische Institut für Wirtschaftsprüfer“.
- umfasst auch die Prüfung des betrieblichen ISMS.
- und seine Einhaltung beinhaltet die Umsetzung einer Reihe von Sicherheitsverfahren und -richtlinien.
Das Konzept hinter SOC 2
SOC 2 ist kein Standard für IT-Sicherheit, sondern für Informationssicherheit.
Oft werden IT-Sicherheit und Informationssicherheit synonym verwendet. Streng genommen ist IT-Sicherheit jedoch nur ein Teilaspekt der Informationssicherheit. Während die IT-Sicherheit sich auf den Schutz von technischen Systemen bezieht, geht es in der Informationssicherheit allgemein um den Schutz von Informationen. Diese können auch in nicht technischen Systemen vorliegen, zum Beispiel auf Papier. Die Schutzziele der Informationssicherheit bestehen darin, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen.
SOC 2 wurde vom American Institute of Certified Public Accountants (AICPA) definiert und legt Kriterien für Service-Provider fest, um Daten sicher zu verwalten und die damit verbundenen Interessen sowie die Privatsphäre ihrer Kunden zu schützen. „Wenn du alle Risiken kennst, werden die Risiken nicht kleiner, aber die Gefahr, ihnen zum Opfer zu fallen, sinkt.“ (Georg Wilhelm Exler)
Was ist das Ziel der SOC-2-Zertifizierung?
Damit ein Unternehmen mehr Geschäftsabschlüsse erzielen kann, braucht es eine Sicherheitszertifizierung, denn diese signalisiert den Kunden einen vertrauensvollen Umgang mit ihren Daten.
Die SOC-2-Zertifizierung kann durch die Durchführung eines Audits (einer Prüfung) durch einen externen Prüfer bescheinigt werden. Dieser Prüfer erstellt einen Bericht, in dem die Sicherheitsmaßnahmen, die ein Unternehmen ergreift, detailliert beschrieben werden. Dieser SOC-2-Bericht soll Ihren potenziellen Kunden und Geschäftspartnern die Gewissheit geben, dass Sie bei der Interaktion mit Ihren Daten über die entsprechenden Verfahrensprotokolle beziehungsweise Maßnahmen verfügen, um sie zu schützen.
Der SOC-2-Standard bescheinigt die Informationssicherheit.
SOC 2 – 3 Gründe, warum Unternehmen sich für SOC 2 entscheiden!
SOC 2 ist ein weltweit anerkannter Standard für ein ISMS und die besitzt ähnliche Kontrollpunkte wie andere ISMS-Standards, etwa TISAX®. Dieser Standard wird auch US-Standard bezeichnet, da er vor allem in Nordamerika üblich ist.
SOC 2:
- stärkt die Informationssicherheit.
- steigert Vertrauen in die Informationssicherheit.
- fördert Transparenz im Unternehmen.
SOC 2 oder ISO 27001? 3 wichtige Punkte im Überblick
- Der US-Standard SOC 2 kommt für SaaS-Unternehmen und Cloud-Services infrage und wenn ein Unternehmen US-Kunden/Nordamerika-Kunden akquirieren will.
- Wenn dies nicht der Fall ist, ist der Standard ISO 27001 eine gute Wahl.
- ISO 27001 ist der konsequentere Sicherheitsmanagementstandard, da es einen konkreten, vorgegebenen Maßnahmenkatalog bei Sicherheitsmängeln gibt – SOC 2 schreibt keine definierten Maßnahmen vor.
Gemeinsamkeiten und Unterschiede zwischen SOC 2 und ISO 27001
Beide Standards beziehen Technik, Prozesse und Richtlinien zum Schutz von Informationen ein, und bei beiden wird die Zertifizierung von extern gemacht, damit eine objektive Partei beurteilen kann, ob der Standard erreicht worden ist. Bei beiden muss ein Unternehmen vorweisen, welche Regelungen und Maßnahmen es in puncto Informationssicherheit eingerichtet hat und ob es diese Regelungen befolgt sowie diese Maßnahmen ausführt (wie etwa Mitarbeiterschulungen).
ISO 27001 konzentriert sich insbesondere auf die Erstellung und Aufrechterhaltung eines ISMS. Um die ISO-27001-Anforderungen zu erfüllen, müssen Unternehmen eine Risikobewertung durchführen, Sicherheitskontrollen festlegen und umsetzen sowie deren Effektivität regelmäßig überprüfen.
SOC 2 ist dagegen etwas flexibler gestaltet.
Es umfasst fünf Trust-Services-Kriterien: Sicherheit, Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Datenschutz. Aber nur das erste Kriterium ist obligatorisch.
Sicherheit beschreibt, dass ein System nach außen geschützt ist. Verfügbarkeit besagt, dass die Systeme etwa für Sicherheitskontrollen zugänglich sein müssen. Integrität der Verarbeitung sagt aus, dass die Systemverarbeitung fehlerfrei funktionieren muss. Vertraulichkeit beschreibt, dass Daten in Übereinstimmung mit den eigenen Unternehmensrichtlinien geschützt werden müssen. Datenschutz bezeichnet den Schutz von personenbezogenen und sensiblen Daten. Welche Daten sensibel sind, legt entweder der Gesetzgeber fest (etwa medizinische Daten bei Personen) oder das Unternehmen (unternehmenskritische Daten). Unternehmen müssen personenbezogene Daten datenschutzkonform verarbeiten.
Bei SOC 2 muss also nur das erste Kriterium namens Sicherheit, also der Schutz eines Systems nach außen, beachtet werden. SOC 2 ist dadurch einfacher, schneller und kostengünstiger zu implementieren und zu pflegen, aber es ist auch weniger konsequent, da etwa personenbezogene Daten nicht datenschutzkonform verarbeitet werden müssen. Dies gilt jedoch nur, wenn alleine Daten in den USA und nicht von EU-Bürgern verarbeitet werden, da der Schutz von personenbezogenen Daten in der EU gesetzlich bestimmt ist.
ISO 27001 schreibt konkrete Maßnahmen für die Zertifizierung vor, bei SOC 2 haben Unternehmen dagegen mehr Freiheiten, welche Maßnahmen sie bei der Beseitigung von Sicherheitsrisiken wählen. ISO 27001 ist also einheitlicher und konsequenter. Der Standard könnte Unternehmen stärker vor Informationssicherheitsbedrohungen schützen, da konkrete, vorgeschriebene Maßnahmen eingehalten werden müssen.
ISO 27001 ist ein global verwendeter Standard. SOC 2 wird dagegen vor allem von US-Unternehmen genutzt – insbesondere von Unternehmen, die Software-as-a-Service und Cloud-Dienste anbieten. ISO 27001 wiederum passt zu jedem Unternehmen, denn es ist ein industrieübergreifender Standard, der nicht nur für Software-as-a-Service und Cloud-Dienste geeignet ist und global angewendet wird.
Wann kann eine SOC-2-Zertifizierung entscheidend sein?
SaaS-Unternehmen und Cloud-Dienste müssen ihren Kunden gegenüber vorweisen, dass dessen Daten sicher sind. Mit einem SOC-2-Zertifikat können sie das. Denn SOC 2 stärkt die Informationssicherheit, steigert das Vertrauen in diese und den Datenschutz und fördert Transparenz im Unternehmen. Vor allem in Nordamerika ist der SOC-2-Standard üblich. Wenn ein Unternehmen Kunden aus diesem Raum gewinnen will und ein SaaS-Unternehmen ist oder Cloud-Services anbietet, dann sollte es den SOC-2-Standard anstreben, um schneller Vertrauen bei den Kunden zu erlangen und damit schneller Geschäftsabschlüsse erzielen zu können.
Die Google-Cloud-Plattform wird beispielsweise regelmäßig von einem unabhängigen Unternehmen überprüft, um einzelne Produkte gemäß SOC-2-Standard zu zertifizieren. Jedes Unternehmen, das den SOC-2-Standard erreicht hat, macht dies üblicherweise öffentlich, um Vertrauen in die Datensicherheit zu signalisieren und damit neue Kunden anzusprechen.
Folgende Punkte können durch eine SOC-2-Zertifizierung erreicht werden:
- Identifizieren Sie Risiken.
- Schützen Sie Daten.
- Reduzieren Sie Haftungsrisiken.
- Schaffen Sie Sicherheit bei Mitarbeitern.
- Steigern Sie das Vertrauen in das Unternehmen und dessen Governance, Risk & Compliance Management (GRC).
- Steigern Sie die Wettbewerbsfähigkeit.
Der Zertifizierungsprozess
Bei ISO 27001 und SOC 2 ist der Zertifizierungsprozess im Wesentlichen ähnlich. Sie beide durchlaufen jeweils drei Schritte.
Erstens muss intern eine Analyse gestartet werden, um zu untersuchen, in welchen Unternehmensgebieten man bereits für die Zertifizierung wichtige Compliance-Regeln befolgt und wo man noch Verbesserungen vornehmen muss.
Zahlreiche Felder in einem Unternehmen müssen dabei beleuchtet werden, wie dessen Organisation und Verwaltung, seine Systemoperationen, das Risikomanagement sowie die Art, die Durchführung und die Überwachung der Kontrollen sowohl technischer als auch physischer Art, die Kommunikation und das Änderungsmanagement, also die Analyse vor und Durchführung von nötigen Änderungen. Zahlreiche Voraussetzungen müssen für eine Zertifizierung also erfüllt sein.
Als Zweites muss festgelegt werden, welche Sicherheitsmaßnahmen angemessen für das eigene Unternehmen sind. Diese Sicherheitsmaßnahmen müssen dann aufgestellt werden.
Dazu gehören Dokumentationsmaßnahmen und eine Methode zur Überwachung und Verbesserung der Sicherheitsmaßnahmen. Dazu kann ein Sicherheitsbeauftragter gehören. Auch Mitarbeiterschulungen, um das Bewusstsein zu schärfen und die Regeln kenntlich zu machen, spielen dabei eine Rolle. Die Analyse bestehender Bereiche, aber auch die Implementierung von Sicherheitsmaßnahmen, die bisher nicht aufgestellt waren, nimmt viel Zeit und Know-how in Anspruch. Zum Beispiel müssen bei Systemoperationen Abweichungen von den normalen Prozessen sofort erkannt und unterbunden werden.
Bei ISO 27001 sind konkrete Regeln aufgestellt, wie etwa Mitarbeiterschulungen, bei SOC 2 sind die Sicherheitsmaßnahmen flexibler und können vom Unternehmen selbst gewählt werden. Die Vorgabe von bewährten Methoden führt dabei wahrscheinlich sicherer zum Erfolg, also der Gewährleistung von Informationssicherheit, als die freie Wahl der Methoden zur Bekämpfung von Sicherheitslücken.
Der dritte Schritt ist die konkrete Prüfung.
Unternehmen untersuchen sich oft erstmals selbst, bevor sie die Zertifizierung angehen, um erst einmal intern grobe Schnitzer und weitere Fehler auszumerzen. Die Zertifizierung selbst wird dann von einem externen Prüfer ausgeführt, um Objektivität zu garantieren. Dies gilt sowohl für ISO 27001 als auch für SOC 2.
Eine SOC-2-Zertifizierung dauert etwa zwei bis drei Monate und eine ISO-27001-Zertifizierung sechs bis zwölf Monate. Mithilfe des Digital Compliance Office (DCO) von SECJUR kann der Prozess der ISO-27001-Zertifizierung beschleunigt werden. Das bedeutet im Endeffekt, dass potenziell schneller Verkaufsabschlüsse erzielt werden können, da die gelungene Zertifizierung sich positiv auf das Image des Unternehmens und das Vertrauen in die Datensicherheit der Kunden auswirkt.
Checkliste: Ist SOC 2 für mein Unternehmen relevant?
Wenn Sie sich fragen, ob SOC 2 für Ihr Unternehmen relevant ist, sollten Sie sich vor der Entscheidung für oder gegen SOC 2 einige Fragen stellen. Hier ist eine kurze (nicht abschließende) Checkliste, um Ihnen bei der Entscheidung zu helfen:
- US-Kunden ansprechen: Wenn Ihr Unternehmen US-Kunden ansprechen will, ist SOC 2 besonders interessant. SOC-2-Berichte sind in den USA weitverbreitet und können als Vertrauenssignal dienen, um potenzielle Kunden zu beruhigen und ihnen die Gewissheit zu geben, dass ihre Daten sicher sind.
- Tätig im SaaS-Bereich: SOC 2 ist auch besonders relevant für Unternehmen, die im Software-as-a-Service (SaaS)-Bereich tätig sind. Da SaaS-Unternehmen oft Zugriff auf sensible Kundendaten haben, ist es für sie entscheidend, robuste Sicherheitskontrollen zu implementieren und die Vertraulichkeit, Integrität und Verfügbarkeit dieser Daten zu gewährleisten.
- Cloud-Dienste anbieten: SOC 2 ist ebenfalls von Bedeutung für Unternehmen, die Cloud-Dienste anbieten. Da die Cloud eine zentrale Rolle bei der Speicherung und Verarbeitung von Daten spielt, müssen diese Unternehmen sicherstellen, dass sie angemessene Sicherheitsvorkehrungen getroffen haben, um die Daten ihrer Kunden zu schützen.
Durch die Erfüllung der SOC-2-Anforderungen können Sie demonstrieren, dass Sie die notwendigen Sicherheitskontrollen implementiert haben und Ihre Kundendaten sicher sind.
Es ist jedoch wichtig anzumerken, dass SOC 2 nicht für jedes Unternehmen relevant sein muss. Wenn Ihr Unternehmen beispielsweise keine US-Kunden hat, nicht im SaaS-Bereich tätig ist oder keine Cloud-Dienste anbietet, gibt es möglicherweise andere Prüfungsnormen oder Compliance-Anforderungen, die besser zu Ihren spezifischen Geschäftsanforderungen passen. Hier spielt besonders die ISO-27001-Zertifizierung eine wichtige Rolle, da diese für eine große Zahl an Unternehmen einen quasi universalen ISMS-Standard darstellt.
In Rekordzeit zur SOC-2-Zertifizierung – mit einem ISMS von SECJUR
Das Digital Compliance Office erlaubt Ihnen, ein automatisiertes ISMS aufzubauen und so viel schneller zur SOC-2-Zertifizierung zu gelangen.
Die Vorteile für Unternehmen:
- Eine übersichtliche Compliance-Pipeline statt Excelchaos
- Einfache Automatisierungslösungen statt eines riesigen internen Aufwands
- Erleichterung beim Aufbau eines ISMS
Mit SECJUR können Sie automatisiert und effektiv ein ISMS aufbauen, was Ihnen auf dem Weg zur Zertifizierung erheblich Zeit einspart.
.svg)
.svg)
.svg)
.svg){kind=small}