SOC 2: Prüfung und Auditvorbereitung
Laut einer Erhebung des Statistischen Bundesamt verdoppelte sich die Zahl der Menschen, die im Home-Office für ihr Unternehmen tätig sind, von 2019 12,8 Prozent auf 24,8 Prozent im Jahr 2021. Eine der Hauptgründe war die Corona-Pandemie.
Die Work-from-Home-Revolution
Verteilte Arbeitsplätze benötigen verlässliche Zugänge zu Anwendungen und Daten. Ein SOC-2-Prüfbericht kann Kunden und Geschäftspartnern nachvollziehbare Informationen über die geprüften Kontrollen eines Dienstleisters geben. Die Aussagekraft hängt vom Prüfungsumfang, vom Berichtstyp und vom betrachteten Zeitraum ab. Daraus folgt keine pauschale Garantie für die Sicherheit einer Cloud-Lösung.
Wofür steht SOC 2?
System and Organization Controls – dafür steht die Abkürzung SOC. Das bedeutet: SOC sind die internen Kontrollen und sämtlichen Verfahren, mit denen ein System vor unautorisierten Zugang, Veränderung und Nutzung geschützt ist. Das American Institute of Certified Public Accountants (AICPA) veröffentlicht den SOC-Berichtsrahmen und die zugehörigen Trust Services Criteria. So gibt der größte US-amerikanische Berufsverband der Wirtschaftsprüfer mit den SOC unterschiedliche Richtlinien vor, nach denen sich die Prüfer bei einem Audit zu richten haben.
Dazu gehören:
- SOC 1 — SOC for Service Organizations: Tipp: Internal Control over Financial Reporting (ICFR)
- SOC 2 — SOC for Service Organizations: Trust Services Criteria
- SOC 3 —SOC for Service Organizations: Trust Services Criteria for General Use Report
- SOC for Cybersecurity
- SOC for Supply Chain
SOC 2 bietet einen Rahmen für die Prüfung von Kontrollen bei Dienstleistungsunternehmen. Denn Cloud-Lösungen sollten bestimmte „Trust Services Criteria“ an die Datensicherheit und den Datenschutz erfüllen.
Die Trust Services Criteria sind:
Sicherheit:
Verfügbarkeit:
Integrität:
Vertraulichkeit:
Datenschutz:
Konkreter Handlungsbedarf
High Knowledge unterstützt die Vorbereitung einer SOC-2-Prüfung anhand der vereinbarten Trust Services Criteria. Wir strukturieren vorhandene Kontrollen, Nachweise und offene Maßnahmen. Der SOC-2-Prüfbericht wird von einer hierzu befugten unabhängigen Wirtschaftsprüfungsgesellschaft erstellt. Dazu gehört auch ein strenges Audit-Verfahren. Der Bericht beschreibt die geprüften Kontrollen im festgelegten Geltungsbereich; bei einem Typ-2-Bericht wird auch deren Wirksamkeit im vereinbarten Zeitraum beurteilt.
