SOC 2 – System and Organization Controls 2
Abkürzung: SOC 2
SOC 2 ist ein Prüfbericht über die Kontrollen eines Dienstleisters, vor allem zur Informationssicherheit. Er stammt aus den USA und wird vom American Institute of Certified Public Accountants (AICPA) geregelt. Für Cloud- und Software-Anbieter ist er dort der verbreitetste Nachweis gegenüber Kunden. Mit internationalen Anbietern ist er auch in Europa angekommen, und viele Kunden fragen ausdrücklich danach.
SOC steht für System and Organization Controls, früher Service Organization Controls. Ein SOC-2-Bericht ist wie ein Bericht nach ISAE 3402 kein Zertifikat, sondern ein Bericht mit dem Urteil eines Prüfers.
Die Trust Services Criteria
Geprüft wird gegen die Trust Services Criteria des AICPA, gegliedert in fünf Kategorien:
| Kategorie | Frage |
|---|---|
| Security (Sicherheit) | Sind System und Daten vor unbefugtem Zugriff geschützt? |
| Availability (Verfügbarkeit) | Ist das System wie zugesagt verfügbar? |
| Processing Integrity (Verarbeitungsintegrität) | Wird vollständig, richtig und rechtzeitig verarbeitet? |
| Confidentiality (Vertraulichkeit) | Sind vertrauliche Informationen geschützt? |
| Privacy (Datenschutz) | Werden personenbezogene Daten gemäß den Zusagen behandelt? |
Security ist in jedem SOC-2-Bericht enthalten. Die übrigen Kategorien wählt der Dienstleister nach seinem Angebot. Ein Rechenzentrum nimmt typischerweise Availability dazu, ein Zahlungsdienstleister Processing Integrity.
Typ I und Typ II
| Typ I | Typ II | |
|---|---|---|
| Prüft | Beschreibung und Ausgestaltung der Kontrollen zu einem Stichtag | zusätzlich die Wirksamkeit über einen Zeitraum |
| Zeitraum | ein Tag | einige Monate bis ein Jahr |
| Aussagekraft | Kontrollen sind angelegt | Kontrollen haben funktioniert |
Kunden verlangen in der Regel Typ II. Ein erster Typ-I-Bericht dient oft als Zwischenschritt, solange der erste Prüfzeitraum läuft.
SOC 1, SOC 2, SOC 3
| Bericht | Gegenstand | Empfänger |
|---|---|---|
| SOC 1 | Kontrollen mit Bezug zur Finanzberichterstattung der Kunden, entspricht ISAE 3402 | Kunden und deren Abschlussprüfer |
| SOC 2 | Sicherheit und weitere Trust Services Criteria, mit Beschreibung der einzelnen Kontrollen und Prüfschritte | Kunden, unter Vertraulichkeit |
| SOC 3 | dieselben Kriterien wie SOC 2, aber nur das Ergebnis ohne Einzelheiten | öffentlich, etwa auf der Website |
Die Nummern bezeichnen verschiedene Berichtsarten, keine Stufen. SOC 2 ist nicht besser als SOC 1, sondern prüft etwas anderes.
SOC 2 und ISO/IEC 27001
| SOC 2 | ISO/IEC 27001 | |
|---|---|---|
| Herkunft | USA, AICPA | international, ISO und IEC |
| Ergebnis | ausführlicher Bericht mit Prüfungsurteil | Zertifikat |
| Prüfer | Wirtschaftsprüfer | akkreditierte Zertifizierungsstelle |
| Inhalt | einzelne Kontrollen, wie sie geprüft wurden, ob es Abweichungen gab | ob das Managementsystem den Anforderungen entspricht |
| Verbreitung | vor allem bei US-Kunden | weltweit, in Europa der Standard |
Inhaltlich überschneiden sich beide stark. Viele Anbieter lassen beides prüfen und nutzen dieselben Nachweise für beide Prüfungen.
In Europa wird ein vergleichbarer Bericht auch nach dem internationalen Standard ISAE 3000 erstellt. Wer einen SOC-2-Bericht im engeren Sinn will, braucht einen Prüfer, der nach den Regeln des AICPA arbeiten darf.
Im Rechenzentrum
Colocation-Anbieter mit internationalen Kunden legen häufig einen SOC-2-Typ-II-Bericht mit den Kategorien Security und Availability vor. Er deckt Zutritt, Überwachung, Umgebungstechnik und Betriebsabläufe ab. Wie bei ISAE 3402 nennt der Bericht die Kontrollen, die der Kunde selbst erbringen muss. Ein SOC-2-Bericht des Rechenzentrums macht den Kunden also nicht automatisch SOC-2-konform.
Abgrenzung
Security Operations Center. SOC steht auch für Security Operations Center: ein Team, das die IT-Sicherheit eines Unternehmens rund um die Uhr überwacht und auf Angriffe reagiert. Mit dem Prüfbericht hat das nichts zu tun.
System on a Chip. In der Hardware steht SoC für einen Chip, der Prozessor, Grafik und Schnittstellen vereint.