SOC 2 Compliance-Anforderungen: Wesentliches Wissen für Sicherheitsaudits

Für viele sicherheitsbewusste Unternehmen, die einen SaaS-Anbieter suchen, ist die SOC 2-Compliance eine Mindestanforderung. Leider sind sich viele Anbieter nicht sicher, wie sie die SOC 2-Compliance-Anforderungen umsetzen sollen, da sie von Natur aus vage sind.

In diesem Artikel erfahren Sie, was SOC 2 ist, und erklären die wesentlichen SOC 2-Compliance-Anforderungen, damit Ihr Unternehmen das tun kann, was nötig ist, um bei Auditoren und Kunden gleichermaßen Vertrauen aufzubauen.

Was ist SOC 2-Compliance?

Service Organization Control (SOC) 2 ist eine Reihe von Compliance-Anforderungen und Audit-Prozessen, die sich an Anbieter von Drittdienstleistungen richten. Es wurde entwickelt, um Unternehmen dabei zu helfen, festzustellen, ob ihre Geschäftspartner und Lieferanten Daten sicher verwalten und die Interessen und die Privatsphäre ihrer Kunden schützen können.

SOC 2 wurde vom American Institute of Certified Public Accountants (AICPA) entwickelt. Innerhalb seiner Verfahren gibt es zwei Arten von SOC 2-Berichten:

1. SOC 2 Typ 1 beschreibt detailliert die Systeme und Kontrollen, die Sie für die Einhaltung der Sicherheitsbestimmungen eingerichtet haben. Die Auditoren prüfen den Nachweis und verifizieren, ob Sie die relevanten Vertrauensprinzipien erfüllen. Betrachten Sie es als eine punktuelle Überprüfung der Kontrollen.
2. SOC 2 Typ 2 bewertet, wie effektiv Ihre Prozesse sind, um das gewünschte Maß an Datensicherheit und -management über einen bestimmten Zeitraum zu gewährleisten.

Was sind die wesentlichen Anforderungen an die SOC 2-Konformität?

Die SOC 2-Konformität basiert auf spezifischen Kriterien für die korrekte Verwaltung von Kundendaten, die aus fünf Trust Services-Kategorien bestehen: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Die Sicherheit ist die Grundlage für die SOC 2-Compliance, die aus allgemeinen Kriterien besteht, die allen fünf Trust-Service-Kategorien gemeinsam sind.

Das Sicherheitsprinzip konzentriert sich auf den Schutz der Vermögenswerte und Daten des für die SOC 2-Compliance in Frage kommenden Dienstes vor unbefugter Nutzung. Sie können Zugriffskontrollen implementieren, um böswillige Angriffe oder das unbefugte Entfernen von Daten, den Missbrauch von Unternehmenssoftware, unerlaubte Änderungen oder die Offenlegung von Unternehmensinformationen zu verhindern.

Wenn es um Sicherheit geht, ist die grundlegendste SOC 2-Compliance-Checkliste (die einen Auditor zufriedenstellen wird) in dem Dokument „Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy“ detailliert beschrieben und sollte diese Kontrollen ansprechen:

1. Logische und physische Zugriffskontrollen – Wie Sie den logischen und physischen Zugriff beschränken und verwalten, wie Sie den logischen und physischen Zugriff beschränken und verwalten, um unbefugten Zugriff zu verhindern
2. Systembetrieb – Wie Sie Ihren Systembetrieb verwalten, um Abweichungen von festgelegten Verfahren zu erkennen und abzumildern
3. Änderungsmanagement – Wie Sie einen kontrollierten Änderungsmanagementprozess implementieren und unbefugte Änderungen verhindern
4. Risikominderung – Wie Sie Aktivitäten zur Risikominderung im Umgang mit Geschäftsunterbrechungen und der Nutzung von Anbieterdiensten identifizieren und entwickeln

Einige SOC 2-Kriterien sind sehr breit gefasst und eher richtlinienorientiert, während einige eher technisch sind – aber selbst die technischen Kriterien sagen Ihnen nicht genau, was Sie tun müssen. Daher sind die SOC 2-Kriterien etwas offen für Interpretationen. Es liegt an jedem Unternehmen, das Ziel eines jeden Kriteriums durch die Implementierung verschiedener Kontrollen zu erreichen.

Um die Kriterien für logische und physische Zugangskontrollen zu erfüllen, kann ein Unternehmen beispielsweise neue Onboarding-Prozesse, Zwei-Faktor-Authentifizierung und Systeme implementieren, die das Herunterladen von Kundendaten bei der Durchführung von Supportleistungen verhindern, während ein anderes Unternehmen den Zugang zu Rechenzentren einschränkt, vierteljährliche Überprüfungen der Berechtigungen durchführt und streng kontrolliert, was auf den Produktionssystemen geschieht. Keine Kombination ist perfekt, oder sogar ausdrücklich erforderlich. Was erforderlich ist, ist das Erreichen des von den Kriterien gewünschten Endzustands.

Wenn Sie die oben genannten allgemeinen Kriterien erfüllen, decken Sie die Sicherheitsprinzipien ab, was die Mindestanforderung ist, um SOC 2-konform zu werden.

Was sind die anderen SOC 2-Konformitätsanforderungen?

Wenn die Sicherheit abgedeckt ist, sollten Sie in der Lage sein, Unternehmen anzuziehen. Wenn Sie jedoch im Finanz- oder Bankensektor tätig sind – oder in einer anderen Branche, in der Datenschutz und Vertraulichkeit an erster Stelle stehen -, müssen Sie einen höheren Standard der Compliance erreichen. Viele Unternehmen suchen nach Anbietern, die vollständig konform sind, da dies Vertrauen einflößt und eine Verpflichtung zur Risikominimierung demonstriert.

Sie können über die grundlegenden Sicherheitsprinzipien hinausgehen, um die Konformität für zusätzliche Kriterien in den anderen nachstehenden Kategorien für vertrauenswürdige Dienste zu erreichen.

Verfügbarkeit

Das Verfügbarkeitsprinzip konzentriert sich auf die Erreichbarkeit Ihres Systems, indem Sie Ihre Infrastruktur, Software und Daten überwachen und warten, um sicherzustellen, dass Sie über die Verarbeitungskapazität und die Systemkomponenten verfügen, die Sie zur Erfüllung Ihrer Geschäftsziele benötigen.

Die SOC 2-Anforderungen in dieser Kategorie umfassen:

• Messen Sie die aktuelle Auslastung – erstellen Sie eine Basislinie für das Kapazitätsmanagement, mit der Sie das Risiko einer beeinträchtigten Verfügbarkeit aufgrund von Kapazitätseinschränkungen bewerten können.
• Umgebungsbedrohungen identifizieren – Bewerten Sie Umgebungsbedrohungen, die sich auf die Systemverfügbarkeit auswirken können, wie z. B. schlechtes Wetter, Feuer, Stromausfälle oder der Ausfall von Umgebungskontrollsystemen.

Verarbeitungsintegrität

Das Prinzip der Verarbeitungsintegrität konzentriert sich darauf, die richtigen Daten zum richtigen Zeitpunkt zum richtigen Preis zu liefern. Die Datenverarbeitung sollte nicht nur zeitgerecht und genau sein, sondern auch gültig und autorisiert.

Die SOC 2-Konformitätsanforderungen in dieser Kategorie umfassen:

• Erstellung und Pflege von Aufzeichnungen über Systemeingaben – Erstellen Sie genaue Aufzeichnungen über Systemeingabeaktivitäten.
• Definieren von Verarbeitungsaktivitäten – Definieren Sie Verarbeitungsaktivitäten, um sicherzustellen, dass Produkte oder Dienstleistungen den Spezifikationen entsprechen.

Vertraulichkeit

Das Prinzip der Vertraulichkeit konzentriert sich auf die Beschränkung des Zugriffs und der Offenlegung privater Daten, so dass nur bestimmte Personen oder Organisationen diese einsehen können. Zu den vertraulichen Daten können sensible Finanzinformationen, Geschäftspläne, Kundendaten im Allgemeinen oder geistiges Eigentum gehören.

Zu den SOC 2-Compliance-Anforderungen in dieser Kategorie gehören:

• Identifizieren Sie vertrauliche Informationen – Führen Sie Verfahren ein, um vertrauliche Informationen zu identifizieren, wenn sie empfangen oder erstellt werden, und bestimmen Sie, wie lange sie aufbewahrt werden sollen.
• Vernichten vertraulicher Informationen – Implementieren Sie Verfahren, um vertrauliche Informationen zu löschen, nachdem sie für die Vernichtung identifiziert wurden.

Datenschutz

Das Prinzip des Datenschutzes konzentriert sich auf die Einhaltung der Datenschutzrichtlinien des Kunden und der allgemein anerkannten Datenschutzprinzipien (GAPP) des AICPA durch das System. Diese Kategorie der SOC betrachtet die Methoden, die zur Erfassung, Verwendung und Aufbewahrung von personenbezogenen Daten verwendet werden, sowie den Prozess zur Offenlegung und Entsorgung von Daten.

Zu den Anforderungen der SOC 2 in dieser Kategorie gehören:

• Verwenden Sie eine klare und auffällige Sprache – die Sprache in den Datenschutzhinweisen des Unternehmens ist klar und kohärent und lässt keinen Raum für Fehlinterpretationen.
• Sammeln Sie Informationen aus zuverlässigen Quellen – Das Unternehmen bestätigt, dass die Datenquellen Dritter zuverlässig sind und der Prozess der Datenerfassung fair und legal abläuft.

Kann man Software einsetzen, um die SOC 2-Compliance zu beschleunigen?

SOC 2 konzentriert sich in erster Linie auf Richtlinien und Prozesse, nicht auf technische Aufgaben. Daher gibt es kein spezielles, automatisiertes Tool, das Ihr Unternehmen schnell SOC-2-konform machen kann.

Da die SOC-2-Anforderungen nicht vorgeschrieben sind, sollten Sie Prozesse und strenge Kontrollen für die SOC-2-Konformität entwickeln und dann Tools verwenden, die die Implementierung der Kontrollen erleichtern. (Twittern Sie das!) Auf diese Weise verfügen Sie über ein System, das Sie überwacht und Sie warnt, wenn eine bestimmte technische Kontrolle versagt.

Angenommen, eine Ihrer Kontrollen sieht vor, den Zugriff auf Linux-Systeme auf einige wenige bestimmte Administratoren zu beschränken. Sie können ein Tool verwenden, um den Status der Berechtigungen auf einem System in Echtzeit zu verfolgen und abzurufen.

Für jede Kontrolle, die Sie implementieren, denken Sie an den Nachweis, den Sie einem Prüfer vorlegen würden. Denken Sie daran, dass das Vorhandensein einer Kontrolle nur ein Teil der SOC-2-Compliance-Anforderungen ist – Sie müssen auch in der Lage sein, nachzuweisen, dass die Kontrolle effektiv funktioniert.

Wie Uptycs Ihnen helfen kann, SOC-2-konform zu werden

Uptycs ist eine osquery-basierte Sicherheitsanalyselösung, die Ihnen bei der Prüfung und Einhaltung von Vorschriften hilft, da Sie damit:

• den Konfigurationsstatus und die Netzwerkaktivität auf Host-Ebene für Workstations und Server-Endpunkte verfolgen sowie die Aktivität über Ihre Amazon Web Services überwachen können.
• Informationen über Ihre IT-Assets für Ihr SOC-2-Audit abrufen können. Beispielsweise können Sie mit Uptycs die Netzwerkaktivität auf Ihren Systemen analysieren, um sicherzustellen, dass Ihre Firewall wie erwartet funktioniert.
• Führen Sie die Überwachung der Dateiintegrität durch, um die Funktionstrennung zu implementieren und zu erkennen, wenn diese verletzt wird. Wenn zum Beispiel jemand mit Server-Zugriffsrechten die Verschlüsselung einer Datenbank ausschaltet, können Sie dies nahezu in Echtzeit nachverfolgen.

Zusätzlich fungiert Uptycs mit seinen integrierten Bedrohungsdaten als Intrusion Detection System für Mac, Linux und Windows, so dass Sie das Tool selbst als eine Ihrer SOC 2-Kontrollen nutzen können.

Erfahren Sie mehr darüber, wie Uptycs Ihnen bei der Erfüllung von Audit- und Compliance-Anforderungen helfen kann, indem Sie sich ein kurzes Demo-Video ansehen oder eine kostenlose Testversion anfordern.