02 / Compliance und Zertifizierung
SOC 2, bereit, bevor der Prüfer die erste Stichprobe verlangt
Wir helfen Ihnen, die Prüfung abzugrenzen, Kontrollen passend zu den Trust Services Criteria zu gestalten und belastbare Nachweise zu sammeln, damit die CPA-Firma ein System prüft, das bereits läuft.
Überblick
Was ein SOC 2-Bericht ist
Ein SOC 2-Bericht ist ein Prüfungsbericht über die Kontrollen eines Dienstleisters, gemessen an den Trust Services Criteria des AICPA. Sicherheit ist immer Teil des Umfangs. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz kommen hinzu, wenn sie für Ihre Kunden wichtig sind.
Ein Typ-1-Bericht beschreibt Ihr System und beurteilt, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Typ-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam funktioniert haben. Die Nachweise müssen also für den ganzen Zeitraum vorliegen, nicht nur für die Woche vor der Prüfung.
Den Bericht stellt eine zugelassene CPA-Firma aus, also eine Prüfungsgesellschaft nach US-amerikanischem Berufsrecht. Black Fox ist keine. Wir übernehmen die Arbeit davor: Readiness, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise, damit die Prüfung ein System vorfindet und kein Projekt. Wir arbeiten mit langjährigen Partnerfirmen zusammen und koordinieren die Prüfung mit ihnen oder mit einer CPA-Firma Ihrer Wahl, sodass Sie in einem Auftrag von der Readiness bis zum Bericht kommen.
Für wen es gedacht ist
Dienstleister, meist SaaS- und Cloud-Unternehmen, deren Kunden in Sicherheitsprüfungen oder Verträgen einen SOC 2-Bericht verlangen, und Teams, die ihren ersten Typ-1-Bericht vorbereiten oder von Typ 1 auf Typ 2 wechseln.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Abgrenzung
Wir helfen Ihnen, Systemgrenzen, Kriterienkategorien und Berichtstyp zu wählen, ausgehend von dem, was Ihre Kunden tatsächlich verlangen.
Readiness-Assessment
Ein Abgleich Ihrer Kontrollen mit den Trust Services Criteria, mit Lücken nach Risiko und Aufwand geordnet.
Kontrolldesign
Kontrollen, die ein Prüfer testen kann: mit Verantwortlichem, Häufigkeit, klarer Beschreibung und den Nachweisen, die sie hinterlassen.
Systembeschreibung
Unterstützung beim Entwurf der Beschreibung Ihres Systems, seiner Grenzen, der Subdienstleister und der Kontrollen, die Sie bei Ihren Kunden voraussetzen.
Vorbereitung der Nachweise
Eine Liste dessen, was der Prüfer anfordern wird, und woher es kommt, mit laufend gesammelten Berechtigungsprüfungen, Änderungsprotokollen und ähnlichen Nachweisen.
Technische Prüfungen
Wo sinnvoll, Penetrationstests, Berechtigungsprüfungen und Schwachstellenreviews, die Ihre Kontrollen mit echten Ergebnissen füttern.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren das System im Umfang, die Beteiligten und Ihren Zieltermin für den Bericht und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Readiness-Assessment
Interviews, Dokumentenprüfung und Stichproben, am Ende ein priorisierter Bericht.
Kontrolldesign und Nachbesserung
Wir schließen mit Ihren Verantwortlichen die Lücken und formulieren prüfbare Kontrollen.
Probelauf
Wir ziehen Stichproben wie ein Prüfer und sagen Ihnen, was nicht standhalten würde.
Prüfung
Wir koordinieren die Prüfung mit einer unserer langjährigen Partnerfirmen oder der CPA-Firma Ihrer Wahl und helfen bei Anforderungen und Abweichungen während der Prüfung.
Was Sie erhalten
- Abgrenzungsvermerk: Systemgrenzen, Kriterien und Berichtstyp
- Readiness-Bericht mit priorisiertem Maßnahmenplan
- Kontrollmatrix, den Trust Services Criteria zugeordnet
- Entwurfsgrundlage für die Systembeschreibung
- Liste der Nachweisanforderungen mit Verantwortlichen und Quellen
- Ergebnisse des Probelaufs vor der Prüfung
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Kann Black Fox unseren SOC 2-Bericht ausstellen?
Nein. SOC 2-Berichte stellen zugelassene CPA-Firmen nach den Prüfungsstandards des AICPA aus, unabhängig von unserer Vorbereitungsarbeit. Wir bereiten Sie vor, koordinieren die Prüfung mit einer unserer langjährigen Partnerfirmen oder einer Firma Ihrer Wahl und unterstützen Sie dabei.
Typ 1 oder Typ 2?
Typ 1 betrachtet die Gestaltung der Kontrollen zu einem Stichtag. Typ 2 umfasst zusätzlich deren Wirksamkeit über einen Zeitraum. Viele beginnen mit Typ 1 und wechseln dann zu Typ 2, entscheiden sollte aber, was Ihre Kunden akzeptieren.
Welche Trust Services Criteria brauchen wir?
Sicherheit ist immer enthalten. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz kommen hinzu, wo Ihre Zusagen an Kunden davon abhängen. Mehr Kategorien bedeuten mehr Kontrollen mit Nachweisen.
Ist SOC 2 dasselbe wie ISO/IEC 27001?
Nein. ISO/IEC 27001 ist die Zertifizierung eines Managementsystems. SOC 2 ist ein Prüfungsbericht über Kontrollen. Beide überschneiden sich stark, und ein Kontrollsatz kann oft beiden dienen.
Verwandte Leistungen
- Compliance und ZertifizierungSOC 1SOC 1 mit Black Fox Security: Kontrollziele, IT-General-Controls, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise für die Prüfung durch Ihre CPA-Firma.
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Managed SecurityKontinuierliche ComplianceKontinuierliche Compliance mit Black Fox Security: Nachweiskalender, interne Audits, Kontrolltests, Richtlinienprüfung und Unterstützung bei Überwachungsaudits.
- Managed SecurityBerechtigungsprüfungenBerechtigungsprüfungen von Black Fox Security: Benutzer und privilegierte Zugriffe in Verzeichnissen, Cloud und Anwendungen, mit Nachweisen fürs Audit.
Finden Sie heraus, wie weit Sie von einer sauberen Prüfung entfernt sind
Erzählen Sie uns, was Ihre Kunden verlangen und bis wann. Wir zeigen Ihnen, was zwischen Ihnen und dem Bericht steht.