Sicherheit immer, der Rest bei Zusagen
Die gemeinsamen Kriterien CC1 bis CC9 gehören zu jedem Bericht. Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz kommen hinzu, wenn Sie Ihren Kunden in diesen Bereichen etwas zusagen.
AICPA · Trust Services Criteria 2017 (Revision 2022)
Gut vorbereitet in Ihre SOC-2-Prüfung.
Ihre US-Kunden verlangen einen SOC-2-Bericht und Sie wissen nicht, wo Sie anfangen sollen. Audexa geht mit Ihnen alle 61 Kriterien durch, zeigt, worauf der CPA-Prüfer achtet und welche Nachweise Sie über den Zeitraum brauchen, und macht aus jeder Lücke eine Aufgabe mit Verantwortlichem.
- 61 Trust-Services-Kriterien
- Sicherheit + die Kategorien Ihrer Wahl
- Nachweise für Typ I und Typ II
SOC-2-VorbereitungTyp II
64%
VorbereitungBeispieldaten
- CC1–CC2 Kontrollumfeld und Information78%
- CC3–CC5 Risiken, Überwachung und Kontrollen66%
- CC6 Logischer und physischer Zugriff58%
- CC7–CC9 Betrieb, Änderungen und Lieferanten61%
- A1 Verfügbarkeit52%
61 Trust-Services-Kriterien mit Hinweisen, was der CPA-Prüfer prüft
135 Zuordnungen SOC 2 ↔ ISO 27001 zur Wiederverwendung von Antworten
111 Zuordnungen SOC 2 ↔ NIST CSF 2.0
5 Sprachen: Deutsch, Englisch, Spanisch, Französisch und Italienisch
Was SOC 2 ist
SOC 2 ist kein Zertifikat, sondern ein Bericht, den ein CPA-Prüfer unterzeichnet.
Ein SOC-2-Bericht beschreibt Ihr System und enthält das Urteil eines unabhängigen Prüfers über Ihre Kontrollen, gemessen an den Trust Services Criteria des AICPA. Vor allem US-Kunden verlangen ihn, bevor sie mit einem SaaS- oder Dienstleistungsanbieter abschließen.
Typ I: das Design zu einem Stichtag
Der Prüfer stellt fest, ob die Kontrollen zu einem bestimmten Datum angemessen gestaltet und eingerichtet sind. Für Unternehmen ohne bisherigen Bericht ist das der übliche erste Schritt.
Typ II: die Wirksamkeit über einen Zeitraum
Der Prüfer zieht Stichproben über einen vereinbarten Zeitraum und verlangt Belege, dass jede Kontrolle funktioniert hat. Eine fehlende Bestätigung oder eine ausgelassene Zugriffsprüfung wird zur Ausnahme.
Systembeschreibung
Die Geschäftsleitung beschreibt den Dienst, seine Grenzen, die Infrastruktur, die Personen und die Daten. Diese Beschreibung ist Teil des Berichts und muss zu dem passen, was der Prüfer sieht.
Ergänzende Kontrollen der Kunden (CUECs)
Manche Verantwortung liegt bei Ihren Kunden, etwa die Verwaltung eigener Benutzer oder das Aktivieren von MFA. Der Bericht führt sie auf, daher sollten sie klar und veröffentlicht sein.
Subdienstleister
Wenn Sie auf AWS, Azure, GCP oder andere Anbieter angewiesen sind, entscheiden Sie, ob diese außerhalb (Carve-out) oder innerhalb (Inclusive) des Umfangs liegen, und sammeln deren eigene SOC-2-Berichte.
Quellen: AICPA & CIMA, Herausgeber der Trust Services Criteria
Wie Audexa Sie unterstützt
Von „Ein Kunde will unseren SOC 2“ zu einem Plan, den Sie dem Prüfer zeigen können.
Ein geführter Fragebogen, Kriterium für Kriterium, mit den Erwartungen des Prüfers, verbunden mit Aufgaben, Richtlinien und Nachweisen.
Bewerten
Wissen, welche Kriterien Sie abdecken und welche nicht.
Berichtskategorien
Vor dem Start wählen Sie die Kategorien; Sicherheit ist immer dabei. Der Fragebogen zeigt nur die Kriterien Ihres Berichts.
Hinweise zum CPA-Prüfer
Jedes Kriterium erklärt, was der Prüfer anfordert und was sich zwischen Typ I und Typ II ändert.
Ja, Teilweise, Nein oder Nicht anwendbar
Sie antworten Kontrolle für Kontrolle und halten die Anwendbarkeit mit Begründung fest.
Vorbereiten
Aus jeder Feststellung wird Arbeit mit Verantwortlichem.
So erfüllen Sie es
Konkrete Schritte, erwartete Nachweise, vorgeschlagener Verantwortlicher, Abschlusskriterium und Überprüfungstermin.
Aufgabenplan
Lücken werden zu Aufgaben mit Unteraufgaben, Verantwortlichem und Terminen.
Richtlinien als Ausgangspunkt
67 Richtlinienvorlagen, damit Sie nicht bei null anfangen. 5 sind mit SOC 2 verknüpft: „Informationssicherheitsrichtlinie“, „Zugriffskontrollrichtlinie“, „Richtlinie zur Reaktion auf Vorfälle“, „Änderungsmanagementrichtlinie“ und „Verfahren zu Servicekatalog, Service-Leveln und Kapazität“.
Nachweisen
Halten Sie bereit, was der Prüfer verlangen wird.
Nachweisarchiv
Bewahren Sie die Wirksamkeitsnachweise des Zeitraums beim jeweiligen Kriterium auf.
Bericht als PDF und Excel
Score, Feststellungen und Maßnahmenplan für die Geschäftsleitung oder Ihren Prüfer.
Re-Audit
Wiederholen Sie die Bewertung, sobald Sie Lücken schließen, und vergleichen Sie den Fortschritt vor dem Berichtszeitraum.
Einige Funktionen hängen vom gebuchten Plan und den aktiven Modulen ab.
Vorab-Frage
Wählen Sie die Kategorien Ihres Berichts und sehen Sie nur, was Sie betrifft.
Sicherheit (CC1 bis CC9) ist immer enthalten. Ergänzen Sie Verfügbarkeit, wenn Sie ein SLA anbieten, Vertraulichkeit, wenn Sie Vertraulichkeitsklauseln unterzeichnen, Verarbeitungsintegrität, wenn Sie kritische Transaktionen berechnen oder übertragen, und Datenschutz, wenn Sie personenbezogene Daten verarbeiten. Vor dem Start sehen Sie, wie viele Fragen Ihr Fragebogen hat.
- CC1–CC9: Kontrollumfeld, Risiken, Zugriff, Betrieb, Änderungen und Lieferanten
- A1 Verfügbarkeit: Kapazität, Datensicherung und Notfallwiederherstellung
- C1 Vertraulichkeit und PI1 Verarbeitungsintegrität
- P1–P8 Datenschutz: Information, Einwilligung, Aufbewahrung, Auskunft und Verletzungen
Kategorien des SOC-2-BerichtsVorab-Frage
- Sicherheit (CC1–CC9)33 Kriterien · immer
- Verfügbarkeit (A1)3 Kriterien
- Vertraulichkeit (C1)2 Kriterien
- Verarbeitungsintegrität (PI1)5 Kriterien
- Datenschutz (P1–P8)18 Kriterien
Typ I und Typ II
Welche Nachweise der Prüfer verlangt, und für welchen Zeitraum.
Für Typ I genügt es zu zeigen, dass die Kontrolle zu einem Stichtag gestaltet ist und funktioniert. Für Typ II zieht der Prüfer Stichproben aus dem Zeitraum: Eintritte und Austritte, Zugriffsprüfungen, ausgerollte Änderungen, Vorfälle. Jedes Kriterium in Audexa sagt Ihnen, welche Stichprobe Sie erwartet und welche Spuren Sie aufbewahren müssen.
- Welches Dokument oder welchen Nachweis der Prüfer je Kriterium anfordert
- Was Typ I braucht und was Typ II ergänzt
- Typische Fehler, die zu Ausnahmen führen
- Erwartete Nachweise und Abschlusskriterium je Kontrolle
CC6.2 Anlage und Entzug von BenutzerkontenTyp II
- Freigegebenes Ein- und AustrittsverfahrenDesign · Typ I
- Stichprobe der Austritte im ZeitraumWirksamkeit · Typ II
- Zugriffe fristgerecht entzogen2 Fälle ohne Nachweis
- Vorgeschlagener VerantwortlicherIT / Personal
Schon ISO 27001?
Bauen Sie auf Ihrer Arbeit für ISO 27001 und NIST CSF auf.
Wenn Sie das SOC-2-Audit anlegen, schätzt Audexa, wie viel Ihre anderen Audits bereits abdecken. Antworten aus einer Zuordnung mit hoher Abdeckung kommen als Vorschlag mit dem Hinweis „Prüfen Sie es“ und eine Person bestätigt sie. Das sind keine automatischen Gleichwertigkeiten: Der CPA-Prüfer testet Ihre Kontrollen trotzdem.
- 135 Zuordnungen zu ISO/IEC 27001:2022
- 111 Zuordnungen zu NIST CSF 2.0
- „Was Sie bereits haben, deckt ~X % ab“ vor dem Start
- Nur hohe Abdeckung schlägt ein „Ja“ vor, und jemand prüft es immer
Zuordnungen SOC 2 ↔ ISO 27001135 Paare
- CC6.3 ↔ A.5.15 ZugangssteuerungHohe Abdeckung · Ja vorgeschlagen
- CC7.2 ↔ A.8.15 ProtokollierungHohe Abdeckung · Ja vorgeschlagen
- CC1.1 ↔ A.6.2 BeschäftigungsbedingungenTeilweise Abdeckung · kein Vorschlag
- Vorgeschlagene Antwort„Prüfen Sie es“ · eine Person bestätigt
So funktioniert es
In drei Schritten gut vorbereitet zum Prüfer.
Umfang festlegen
Wählen Sie die Berichtskategorien, sehen Sie, wie viel Ihre bisherige Arbeit abdeckt, und legen Sie die Anwendbarkeit jedes Kriteriums fest.
Mit Prüferhinweisen bewerten
Beantworten Sie Kriterium für Kriterium und wissen Sie, welche Nachweise der CPA für Typ I und Typ II verlangt.
Lücken schließen und Nachweise sammeln
Weisen Sie Aufgaben zu, geben Sie Richtlinien frei, sichern Sie die Nachweise des Zeitraums und wiederholen Sie die Bewertung vor der Prüfung.
Pläne
SOC 2 ist ab dem Plan Premium enthalten.
Die Pläne Free und Core enthalten SOC 2 nicht. Der Preis hängt von der Größe Ihres Teams ab: In der Demo erhalten Sie ein verbindliches Angebot.
Premium
EmpfohlenFür die SOC-2-Vorbereitung mit einem kleinen Team.
- SOC 2 und die übrigen neuen Frameworks der Version 1.6.1
- 10 Audits pro Monat und 3 Benutzer
- Richtlinien, Nachweise, Aufgaben und Re-Audits
- Berichte als PDF und Excel und der Assistent Aude
- 200 Assets pro Bereich
Diamond
Für mehrere Frameworks und Teams ohne Grenzen.
- Unbegrenzte Audits und Benutzer
- Alles aus Premium
- Unbegrenzte Assets
- vRadar: CVE-Exposition des Inventars
Vorher und nachher
SOC-2-Vorbereitung in Tabellen oder in Audexa.
BereichOhne PlattformMit Audexa
Umfang
Unklar, welche Kategorien dazugehören
Vorab-Frage, Sicherheit immer enthalten
Erwartungen des Prüfers
Erst im ersten Termin bekannt
Hinweise zu Typ I und Typ II in jedem Kriterium
Lücken
Listen ohne Verantwortlichen und Termin
Aufgaben mit Unteraufgaben, Verantwortlichem und Abschlusskriterium
Nachweise des Zeitraums
Screenshots verstreut in Ordnern
Nachweisarchiv, mit jedem Kriterium verknüpft
ISO 27001
Alles von vorn
135 prüfbare Zuordnungen
Häufige Fragen
Was uns zu SOC 2 häufig gefragt wird.
Erstellt Audexa den SOC-2-Bericht?
Nein. Einen SOC-2-Bericht kann nur ein unabhängiger CPA-Prüfer erstellen. Audexa hilft Ihnen bei der Vorbereitung: geführte Selbstbewertung, Maßnahmenplan und geordnete Nachweise für den Prüfungsbeginn.
Was ist der Unterschied zwischen SOC 2 Typ I und Typ II?
Typ I bewertet das Design Ihrer Kontrollen zu einem bestimmten Stichtag. Typ II bewertet zusätzlich, ob sie über einen Zeitraum funktioniert haben, anhand von Stichproben aus diesem Zeitraum. Audexa erklärt in jedem Kriterium, welche Nachweise jeweils nötig sind.
Welche Kategorien sollte mein Bericht enthalten?
Sicherheit ist immer dabei. Die übrigen (Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz) kommen hinzu, wenn Sie Ihren Kunden in diesen Bereichen Zusagen machen. In Audexa wählen Sie sie vor dem Fragebogen und sehen nur die zutreffenden Kriterien.
Wir haben bereits ISO 27001. Hilft das bei SOC 2?
Es ist ein guter Ausgangspunkt. Audexa enthält 135 Zuordnungen zwischen SOC 2 und ISO 27001 und zeigt Ihnen vor dem Start, wie viel sie abdecken. Die Antworten kommen als Vorschlag, den eine Person prüft, und der CPA-Prüfer testet die Kontrollen trotzdem.
Was sind CUECs und Subdienstleister?
CUECs sind Kontrollen, die Ihre Kunden auf ihrer Seite umsetzen müssen, etwa die Verwaltung ihrer Benutzer. Subdienstleister sind Anbieter, von denen Sie abhängen, etwa Ihre Cloud. Audexa führt Sie durch die Dokumentation beider und die Wahl zwischen Carve-out und Inclusive.
Welchen Plan brauche ich für SOC 2?
SOC 2 ist in den Plänen Premium und Diamond verfügbar. Free und Core enthalten es nicht. In der Demo klären wir, welcher Plan zu Ihrem Team passt.
Demo anfragen
Sehen Sie, wie Sie Ihren SOC 2 in Audexa vorbereiten.
In einer 30-minütigen Demo zeigen wir Ihnen die Kategorienauswahl, die Prüferhinweise je Kriterium und den Maßnahmenplan.
- Wir besprechen, welche Kategorien für Ihren Bericht sinnvoll sind.
- Wir zeigen, wie viel Ihre ISO-27001-Arbeit bereits abdeckt.
- Wir erklären, welcher Plan zu Ihrem Team passt.