SOC-2-Audits verstehen: Checkliste und Ablauf

Was ist der Zweck von SOC-2-Audits?

Ziel eines SOC-2-Audits ist es, die internen Kontrollen zu bewerten, die ein Unternehmen zum Schutz von Daten und Informationen einsetzt, und festzustellen, ob sie den Mindestanforderungen der AICPA entsprechen. Da Geschäftstätigkeiten zunehmend durch Cloud-Umgebungen unterstützt werden, müssen Unternehmen gezielte Maßnahmen ergreifen, um die Daten und Informationen ihrer Kunden zu schützen.

Wer benötigt einen SOC-2-Bericht?

Alle SaaS-Unternehmen, die in der Cloud tätig sind, können von einem SOC-2-Audit profitieren. Für Start-ups, die ihre Marke aufbauen möchten, ist es jedoch unverzichtbar. Potenzielle Unternehmenskunden möchten sehen, dass ein Start-up SOC 2-zertifiziert ist oder zumindest den SOC-2-Zertifizierungsprozess durchläuft. Ohne SOC-2-Audit kann sich ein SaaS-Start-up einen Wettbewerbsnachteil verschaffen und potenziell Aufträge verlieren.

Wer führt SOC-2-Audits durch?

Ein SOC-2-Audit darf nur von einem zugelassenen Wirtschaftsprüfer durchgeführt werden. Auditoren arbeiten mit Mitgliedern Ihres Unternehmens zusammen, um Nachweise für Ihre internen Kontrollen zu sammeln, darunter auch mit Mitgliedern der IT- und/oder Sicherheitsteams. Außerdem muss das Management im Rahmen des Audits eine formelle Erklärung zu den bestehenden internen Kontrollen abgeben. Im SOC-2-Bericht stimmt der Auditor dieser Erklärung dann zu oder widerspricht ihr.

So bereiten Sie sich auf ein SOC-2-Audit vor

Ein SOC-2-Audit kann ein langwieriger Prozess sein, der sich über Monate erstreckt. Eine SOC-2-Bereitschaftsbewertung vor Beginn des Audits kann den Prozess beschleunigen, indem sie Lücken bei Kontrollen und Prozessen aufdeckt. Sie können sich mit externen Schwachstellentests, einer Gap-Analyse und Penetrationstests auf ein Audit vorbereiten.

• Bei einem externen Schwachstellenscan werden externe IP-Adressen in Ihrem Netzwerk überprüft. Werden diese von Angreifern ausgenutzt, können sie als Hintertür in Ihr internes Netzwerk dienen.

• Eine Gap-Analyse deckt Lücken in Ihren Cybersicherheitsmaßnahmen auf. Dazu wird das Sicherheitsprogramm Ihres Unternehmens mit dem SOC-2-Framework verglichen.

• Ein Penetrationstest simuliert einen Angriff auf ein Netzwerk und hilft dabei, Schwachstellen aufzudecken, bevor es Angreifer tun.

• Mit einem Tool wie Snyk können Sie Ihre Cloud-Umgebung scannen und Konfigurationen aufdecken, die möglicherweise gegen SOC-2-Kontrollen verstoßen.

SOC-2-Audit-Checkliste

Es ist nicht ungewöhnlich, dass ein SOC-2-Audit mehrere Monate dauert. Mit der richtigen Vorbereitung können Sie den Prozess jedoch beschleunigen und Ihre SOC-2-Zertifizierung schneller erhalten. Diese Checkliste können Sie vor Beginn eines offiziellen Audits verwenden.

1. Legen Sie den Umfang Ihres SOC-2-Audits fest. Niemand kennt Ihr Informationssicherheits-Managementsystem besser als Sie. Nutzen Sie dieses Wissen, um zu entscheiden, ob ein Audit vom Typ 1 oder Typ 2 besser geeignet ist und welche der optionalen Trust-Service-Kriterien Sie gegebenenfalls berücksichtigen möchten.

2. Führen Sie eine Bereitschaftsbewertung durch. Eine Bereitschaftsbewertung ist ein Probelauf für ein SOC-2-Audit. Sie können diese selbst durchführen. Wenn Sie jedoch einen Auditor hinzuziehen, kann dieser Schwachstellen in Ihren internen Kontrollen, Systemen und Prozessen effektiv aufdecken. Außerdem gibt er Empfehlungen, mit denen Sie Ihre Cybersicherheitslage verbessern können.

3. Führen Sie eine Gap-Analyse durch und ergreifen Sie Korrekturmaßnahmen. Eine Gap-Analyse umfasst Korrekturmaßnahmen, mit denen Sie Lücken in Ihren Cybersicherheitsmaßnahmen schließen und Ihr SOC-2-Audit bestehen können. Dazu zählen beispielsweise die Einführung neuer Kontrollen und die Schulung der Mitarbeitenden, das Erstellen und Aktualisieren von Kontrollnachweisen sowie die Anpassung von Arbeitsabläufen zur Verbesserung der Informationssicherheit.

4. Führen Sie eine zweite Bereitschaftsbewertung durch. Nachdem Sie einige Lücken aufgedeckt und geschlossen haben, empfiehlt sich eine zweite Bereitschaftsbewertung, um sicherzustellen, dass Sie alle Schwachstellen behoben haben. Beseitigen Sie noch vorhandene Probleme. Danach können Sie sich an eine Wirtschaftsprüfungsgesellschaft wenden, um Ihr offizielles SOC-2-Audit einzuleiten.

Die oben genannten Schritte sind zwar wichtig für die Vorbereitung auf Ihr Audit, doch die Vorbereitung auf SOC 2 ist ein fortlaufender Prozess und sollte nicht nach dem vierten Schritt enden. Wenn Sie den Prozess in den Betriebsalltag integrieren, erleichtern Sie Ihrem Unternehmen künftige Audits und stellen sicher, dass es durchgehend SOC-2-konform bleibt.

Wie läuft ein SOC-2-Audit ab?

Der Ablauf eines SOC-2-Audits lässt sich in fünf Schritte unterteilen: Gap-Analyse (vor dem Audit), Festlegung des Audit-Umfangs, Nachweiserhebung, Vor-Ort-Besuch und SOC-2-Bericht (nach dem Audit).

1. Gap-Analyse

Wie oben erläutert, deckt eine Gap-Analyse Lücken in Ihren Cybersicherheitsmaßnahmen und Ihrer Cloud-Infrastruktur auf, indem sie das Sicherheitsprogramm Ihres Unternehmens mit einem branchenüblichen Sicherheits-Framework vergleicht – in diesem Fall mit SOC 2.

2. Festlegung des Audit-Umfangs

Gemeinsam mit Ihrem Auditor legen Sie den Umfang des Audits fest. Bei einem SOC-2-Audit wird Ihr Informationssicherheits-Managementsystem anhand von bis zu fünf SOC-2-Trust-Kriterien bewertet: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Nur das Kriterium Sicherheit ist verpflichtend. Dienstleistungsunternehmen können jedoch eines oder mehrere der übrigen vier Kriterien zur Bewertung auswählen, um die Einhaltung des jeweiligen Kriteriums nachzuweisen.

Außerdem legen Sie fest, ob ein SOC-2-Audit vom Typ 1 (bei dem Ihre internen Kontrollen zu einem bestimmten Zeitpunkt geprüft werden) oder vom Typ 2 (bei dem Ihre Kontrollen über einen längeren Zeitraum hinweg bewertet werden) geeignet ist.

3. Nachweiserhebung

Sie werden gebeten, Ihrem Auditor Nachweise zu Ihren internen Kontrollen, Richtlinien und Verfahren vorzulegen. Compliance-Management-Software kann einen Großteil der Dokumentensammlung und -übermittlung automatisieren und so den Prozess beschleunigen. Tools, die die SOC-2-Compliance Ihrer Cloud-Infrastruktur bewerten, können zusätzliche Nachweise liefern.

4. Vor-Ort-Besuch

Sofern im Audit-Umfang vorgesehen und Ihr Unternehmen nicht vollständig remote arbeitet, muss Ihr Auditor möglicherweise Ihren Standort besuchen und Ihre Umgebung vor Ort inspizieren. Dabei versucht der Auditor, ein umfassendes Verständnis Ihrer Kontrollen, Prozesse und Verfahren zu gewinnen. Er prüft beispielsweise, wie bestimmte Geräte gesichert sind und wer Zugriff auf sensible Bereiche hat, in denen kritische Informationen gespeichert sein könnten.

5. SOC-2-Bericht

Nach der Prüfung erstellt Ihr Auditor einen SOC-2-Bericht. Dieser enthält eine Beurteilung der geprüften Kontrollen und gibt an, ob der Auditor der formellen Erklärung des Managements zustimmt. Stellt der Auditor fest, dass das Informationssicherheits-Managementsystem dem SOC-2-Standard entspricht, können Unternehmen diese Zertifizierung zu ihrem Vorteil nutzen.

Wie lange dauert ein SOC-2-Audit?

Wie lange ein SOC-2-Audit dauert, hängt vom Umfang und von der Größe des geprüften Unternehmens ab. Sie sollten mindestens sechs Wochen einplanen. Eine Dauer von sechs Monaten ist jedoch ebenfalls keine Seltenheit.

Manche automatisierten Plattformen behaupten, ein Audit in 14 Tagen abschließen zu können. Tatsächlich können sie das Audit jedoch nur beschleunigen, indem sie die manuelle Dokumentation reduzieren. Denken Sie daran: Nur ein zugelassener Wirtschaftsprüfer darf ein Audit durchführen, und von Beginn bis zur Zustellung des SOC-2-Berichts benötigt dieser mehr als zwei Wochen.

Wer hat Zugriff auf den SOC-2-Bericht?

Ein SOC-2-Bericht enthält Details zu Ihrem Informationssicherheits-Managementsystem. Er muss daher vertraulich behandelt werden und darf nur im Rahmen einer Vertraulichkeitsvereinbarung (NDA) an Dritte weitergegeben werden. Sie können zusammen mit Ihrem SOC-2-Audit jedoch einen SOC-3-Bericht anfordern. Dieser enthält keine sensiblen Informationen und kann daher weitergegeben werden.

Wie viel kostet ein SOC-2-Audit?

Ein SOC-2-Bericht vom Typ 1 kann je nach Unternehmensgröße, Audit-Umfang sowie bestehenden Richtlinien und Systemen zwischen 10.000 und 60.000 US-Dollar kosten. Ein SOC-2-Audit vom Typ 2 erstreckt sich über einen längeren Zeitraum und ist daher aufwendiger. Die Kosten können zwischen 30.000 und 100.000 US-Dollar liegen.

Wie oft muss ein SOC-2-Audit durchgeführt werden?

Die Ergebnisse und Schlussfolgerungen eines SOC-2-Berichts sind ab dem Ausstellungsdatum 12 Monate lang gültig. Daher muss ein SOC-2-Audit jährlich durchgeführt werden.

Snyk nutzt eine einheitliche Policy-as-Code-Engine, die Teams dabei unterstützt, Herausforderungen rund um Cloud-Sicherheit und Compliance zu bewältigen. Die Lösung bietet Sicherheits- und Compliance-Leitplanken für führende Cloud-Anbieter, damit Teams alle relevanten Richtlinien sofort einhalten können.

Darüber hinaus nutzt Snyk Infrastructure as Code Cloud-Sicherheitsautomatisierung, damit Sie Richtlinien für SOC-2-Compliance-Prüfungen während der Entwicklung und Bereitstellung von Infrastructure as Code automatisch einrichten können.

Wie unterstützt Snyk SOC-2-Audits?

Snyk nutzt eine einheitliche Policy-as-Code-Engine, die Teams dabei unterstützt, Herausforderungen rund um Cloud-Sicherheit und Compliance zu bewältigen. Die Lösung bietet Sicherheits- und Compliance-Leitplanken für führende Cloud-Anbieter, damit Teams alle relevanten Richtlinien sofort einhalten können.

Darüber hinaus nutzt Snyk Infrastructure as Code Cloud-Sicherheitsautomatisierung, damit Sie Richtlinien für SOC-2-Compliance-Prüfungen während der Entwicklung und Bereitstellung von Infrastructure as Code automatisch einrichten können.