SOC 2 oder ISO 27001?

Wer was verlangt

Die Frage kommt meist vom Team für Lieferantenrisiken eines Kunden. Nordamerikanische Käufer, besonders aus Technologie und Finanzen, fragen eher nach einem SOC-2-Bericht. Käufer in Europa und größere multinationale Unternehmen überall fragen oft, ob Sie nach ISO 27001 zertifiziert sind. Öffentliche Stellen haben eigene Anforderungen, etwa eine Sicherheitseinstufung der Daten und Barrierefreiheit nach WCAG AA.

Fragen Sie, bevor Sie eines davon beginnen, Ihre nächsten Kunden, was sie tatsächlich akzeptieren. Manche nehmen vorerst einen ausgefüllten Fragebogen und Ihre Architekturdokumente; andere unterschreiben nicht ohne Bericht. Diese Antwort entscheidet, ob es ein Projekt für dieses Quartal ist oder für nächstes Jahr.

SOC 2, einfach erklärt

Ein SOC-2-Bericht ist eine Prüfung der Kontrollen einer Dienstleistungsorganisation durch eine unabhängige CPA-Wirtschaftsprüfungsgesellschaft nach den Standards des AICPA ^[1]. Er umfasst Sicherheit und optional Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Er ist eine Bestätigung, kein Zertifikat: Der Prüfer berichtet über Ihre Kontrollen, und Ihr Kunde liest den Bericht.

• Ein Bericht vom Typ I prüft, ob die Kontrollen zu einem Zeitpunkt richtig ausgestaltet sind. Er geht schneller und ist oft der erste Schritt.
• Ein Bericht vom Typ II prüft, ob die Kontrollen über einen Beobachtungszeitraum wirksam gearbeitet haben. Das wollen die meisten Großkunden am Ende.
• Der Bericht wird mit Kunden unter einer Vertraulichkeitsvereinbarung geteilt; er ist kein öffentliches Abzeichen.

ISO 27001, einfach erklärt

ISO/IEC 27001 ist ein internationaler Standard für ein Managementsystem für Informationssicherheit: wie ein Unternehmen seine Risiken bestimmt, Kontrollen wählt und sie stetig verbessert. Die Zertifizierung erteilt eine akkreditierte Zertifizierungsstelle nach einem Audit, und sie wird mit Überwachungsaudits und regelmäßiger Rezertifizierung aufrechterhalten.

Bei den Kontrollen selbst überschneiden sich beide stark. Ein Unternehmen, das die Kontrollen einmal aufbaut, kann sie meist beiden zuordnen, also kostet ein zweiter Rahmen vor allem seinen Unterschied: das Managementsystem und die Dokumentation, die ISO erwartet, oder die Berichterstattung, die SOC 2 erwartet.

Was keine Zertifizierung ist

Worin die Arbeit tatsächlich besteht

1. 01

   Lückenanalyse

   Vergleichen Sie, was Sie heute tun, mit dem, was der Rahmen erwartet, und listen Sie auf, was fehlt.

2. 02

   Kontrollen im Produkt

   Zugriff nach Rolle und Single Sign-on, Prüfprotokolle, Verschlüsselung, Sicherungen mit getesteter Wiederherstellung, Überwachung, Schwachstellenscans und Änderungsmanagement, in das System eingebaut statt auf Papier beschrieben.

3. 03

   Richtlinien

   Ein schriftlicher Satz Richtlinien, der dem entspricht, was das Team tatsächlich tut, weil der Prüfer beides gegeneinander testet.

4. 04

   Nachweise

   Gesammelt, während die Arbeit geschieht, oft in einer Compliance-Plattform, damit der Beobachtungszeitraum für einen Bericht vom Typ II auf einem funktionierenden System beginnt.

5. 05

   Prüfung vor Ort und Befunde

   Unterstützung, während der Prüfer testet, und Korrekturen für alles, was er findet.

Fragebögen in der Zwischenzeit beantworten

Bis es einen Bericht gibt, ist der Sicherheitsfragebogen der Bericht. Beantworten Sie ihn gut: Führen Sie einen Hauptsatz an Antworten, geschrieben von den Menschen, die das System betreiben, und aktualisieren Sie ihn, wann immer sich das System ändert. Hängen Sie an, was Sie zeigen statt beschreiben können: ein Architekturdiagramm, den Datenfluss, das Verfahren für Sicherung und Wiederherstellung, die Zugriffsprüfung, das Ergebnis des letzten Penetrationstests. Eine ehrliche Antwort, die sagt, dass eine Kontrolle geplant ist, mit Datum, liest sich für ein Team für Lieferantenrisiken besser als ein vages Ja.

Dieselben Hauptantworten werden zum Ausgangspunkt der Lückenanalyse, wenn Sie sich für einen Bericht entscheiden, also ist keine Mühe verschwendet.

Einen Prüfer wählen

Wählen Sie den Prüfer früh, bevor die Vorbereitung fertig ist, und fragen Sie, wie er arbeitet: wie er testet, welche Nachweise er erwartet, ob er Nachweise aus Ihrer Compliance-Plattform akzeptiert und wie lange Prüfung vor Ort und Bericht dauern. Fragen Sie Ihre Kunden, ob sie bestimmte Firmen bevorzugen. Der Prüfer muss unabhängig von dem sein, der Ihnen bei der Vorbereitung geholfen hat, und das ist ein Grund, warum ein Studio, das Ihre Kontrollen baut, nie dasjenige sein kann, das über sie berichtet.

Was es kostet, jetzt berechnet

Die drei durchgerechneten Beispiele unten berechnet unser Rechner nach der Preisliste, die gilt, wenn Sie diese Seite öffnen, für dasselbe Webprodukt: Vorbereitung auf einen ersten SOC-2-Bericht vom Typ I, Unterstützung beim Audit bis zu einem Bericht vom Typ II und SOC 2 Typ II und ISO 27001 laufend aufrechterhalten. Unser Preis deckt die Entwicklungsarbeit und die Unterstützung beim Audit; das Honorar des Prüfers und eine Compliance-Plattform zeigt der Rechner getrennt als Richtspannen, weil Sie sie direkt bezahlen.

Wann noch keines die richtige Antwort ist

Hat kein Kunde gefragt, oder akzeptieren die Fragenden einen Fragebogen, kann ein Bericht warten. Was nicht warten sollte, ist die Entwicklungsarbeit: Single Sign-on, Prüfprotokolle, Verschlüsselung, Sicherungen, die sich wiederherstellen lassen, und Änderungsmanagement kosten von Anfang an eingebaut weit weniger als vor einem Audit nachgerüstet. Bauen Sie die Kontrollen jetzt, und der Bericht wird ein kleineres Projekt, wenn ein Kunde schließlich fragt.