Die meisten Teams begegnen den beiden Frameworks auf dieselbe Weise: Ein Interessent fragt im Einkaufsprozess nach „Ihrer Sicherheitszertifizierung“, jemand leitet die Mail intern weiter, und eine Woche später liegen zwei Angebote für zwei verschiedene Dinge auf dem Tisch. ISO/IEC 27001 und SOC 2 überschneiden sich genug, um austauschbar zu wirken, und unterscheiden sich genug, dass die falsche Wahl ein Jahr kostet.
Die Kurzfassung: ISO 27001 zertifiziert, dass Sie ein Informationssicherheits-Managementsystem betreiben. SOC 2 berichtet, ob bestimmte Kontrollen über einen Zeitraum funktioniert haben. Das eine ist ein Zertifikat über ein System. Das andere ist das Urteil eines Prüfers über Nachweise.
Was am Ende herauskommt
Am Ende eines ISO-27001-Auftrags halten Sie ein Zertifikat in der Hand, ausgestellt von einer Zertifizierungsstelle, das bestätigt, dass Ihr ISMS der Norm entspricht. Es hat ein Ablaufdatum, in der Regel drei Jahre, mit Überwachungsaudits dazwischen. Das Zertifikat ist ein kurzes Dokument; die Details stehen in Ihrer Erklärung zur Anwendbarkeit, die festhält, welche Maßnahmen aus Anhang A Sie anwenden und warum Sie die übrigen ausgeschlossen haben.
Am Ende eines SOC-2-Auftrags halten Sie einen Bericht in der Hand, geschrieben von einer CPA-Firma, mit dem Urteil des Prüfers, einer Beschreibung Ihres Systems und einer Liste jeder geprüften Kontrolle samt Ergebnis. Es ist kein Zertifikat, und es gibt nichts, das man aufhängen könnte. Es ist ein Dokument, das Sie einem Kunden unter Vertraulichkeitsvereinbarung schicken, und es ist oft so lang, dass dessen Sicherheitsteam nur das Urteil und die Abweichungen liest.
Dieser Unterschied treibt alles Weitere. Ein Zertifikat kann jeder mit der Zertifikatsnummer im Register der Zertifizierungsstelle prüfen. Ein Bericht muss angefordert, empfangen und gelesen werden.
Typ I und Typ II, und warum die Unterscheidung wichtiger ist als das Framework
SOC 2 gibt es in zwei Formen, und der Abstand zwischen ihnen ist größer, als die meisten Käufer ahnen.
Ein Typ-I-Bericht sagt, dass die Kontrollen zu einem einzigen Zeitpunkt geeignet gestaltet waren. Er ist ein Foto. Man bekommt ihn schnell, weshalb er bei Teams unter Einkaufsdruck beliebt ist, aber ein erfahrener Käufer weiß, was er nicht sagt: nichts darüber, ob die Kontrolle je gelaufen ist.
Ein Typ-II-Bericht deckt einen Zeitraum ab, typischerweise drei bis zwölf Monate, und der Prüfer testet, ob die Kontrollen die ganze Zeit über funktioniert haben. Das ist der Bericht, den Konzernkäufer meinen, wenn sie „SOC 2“ sagen. Wenn Ihr Kunde eine Bank, ein Versicherer oder ein börsennotiertes Unternehmen ist, gehen Sie von Typ II aus und planen Sie den Beobachtungszeitraum ein, statt ihn zu entdecken, nachdem Sie für einen Typ I bezahlt haben.
ISO 27001 hat keine entsprechende Aufteilung. Das Zertifizierungsaudit läuft in zwei Stufen, einer Dokumentenprüfung und dann einem Audit des laufenden Systems vor Ort oder remote, aber am Ende steht so oder so ein Zertifikat.
Wer unterschreiben darf
Hier gehen die beiden Frameworks so auseinander, dass es beeinflusst, wen Sie beauftragen können.
SOC 2 ist eine Bescheinigung nach AICPA-Standards. In der Praxis heißt das: eine lizenzierte CPA-Firma. Ein unabhängiger Berater, der kein CPA ist, kann Ihnen keinen SOC-2-Bericht ausstellen, so gut er in Sicherheit auch sein mag.
ISO-27001-Zertifikate werden von Zertifizierungsstellen ausgestellt, und die glaubwürdigen sind von einer nationalen Akkreditierungsstelle akkreditiert, die das multilaterale Abkommen des IAF unterzeichnet hat. Ein nicht akkreditiertes Zertifikat ist nicht wertlos, aber ein Käufer, der nachschaut, stellt fest, dass der Aussteller nicht akkreditiert ist, und dieses Gespräch ist schlimmer, als gar kein Zertifikat zu haben.
Es gibt noch eine Regel, die Leute kalt erwischt. Nach ISO/IEC 17021-1 darf eine Zertifizierungsstelle kein Managementsystem zertifizieren, das sie in den vergangenen zwei Jahren beraten hat. Die Firma, die Ihnen beim Schreiben der Richtlinien hilft, kann nicht die Firma sein, die sie zertifiziert. Teams entdecken das regelmäßig, nachdem sie eine Beratung für beides bezahlt haben, und müssen dann den Zertifizierungsteil mit jemand anderem neu beginnen.
Welches Sie wählen sollten
Fragen Sie Ihren Käufer schriftlich, welches Dokument er braucht. Dann:
Wählen Sie SOC 2, wenn Ihre Kunden überwiegend in Nordamerika sitzen, wenn ihre Einkaufsfragebögen es namentlich nennen, oder wenn Sie an Unternehmen verkaufen, deren Prüfer die Testergebnisse der Kontrollen lesen wollen, statt einem Zertifikat zu vertrauen.
Wählen Sie ISO 27001, wenn Ihre Kunden überwiegend in Europa oder international sitzen, wenn Sie öffentliche Ausschreibungen beantworten, oder wenn Sie etwas wollen, das ein Dritter ohne Vertraulichkeitsvereinbarung und Dokumentenaustausch prüfen kann.
Wählen Sie beides, irgendwann, wenn Sie in beide Märkte verkaufen. Die Arbeit überschneidet sich erheblich, die Nachweise für das eine decken vieles vom anderen ab, aber es bleiben zwei Aufträge, zwei Prüfer und zwei Rechnungen. Machen Sie sie im ersten Zyklus nacheinander statt gleichzeitig.
Wenn Sie vom Käufer wirklich keine Antwort bekommen, ist ISO 27001 außerhalb der USA der sicherere erste Schritt, weil ein Zertifikat dem nächsten Interessenten leichter zu zeigen ist als ein Bericht zu schicken.
Was Sie über die Gebühr hinaus einplanen sollten
Die Prüfungsgebühr ist selten die größte Zahl. Planen Sie die Vorbereitungsarbeit ein, denn dort steckt der meiste Aufwand: aufschreiben, was Sie tun, die Lücken schließen, die das Aufschreiben sichtbar macht, und die Nachweise sammeln, dass die Kontrollen gelaufen sind. Bei SOC 2 Typ II kommt der Beobachtungszeitraum selbst dazu; drei Monate Betriebsnachweise lassen sich nicht in zwei Wochen pressen.
Planen Sie auch das zweite Jahr. ISO 27001 hat Überwachungsaudits; SOC-2-Berichte veralten, und Kunden fragen nach einem aktuellen. Was immer Sie wählen, Sie entscheiden sich für eine wiederkehrende Verpflichtung, nicht für einen einmaligen Kauf.