SOC 2 ist keine Zertifizierung. Es ist ein Bescheinigungsbericht (Attestation Report), ausgestellt von einer lizenzierten CPA-Firma nach den Prüfungsstandards des AICPA, der beschreibt, welche Kontrollen eine Dienstleistungsorganisation gegen die Trust Services Criteria eingerichtet hat, und bei einem der beiden Berichtstypen auch, ob diese Kontrollen über einen Zeitraum funktioniert haben.
Der Unterschied zwischen den beiden Typen ist die häufigste Frage, die wir von Unternehmen vor ihrem ersten SOC 2 hören. Hier ist sie vollständig beantwortet.
Was jeder Bericht aussagt
Typ I berichtet über das Design der Kontrollen zu einem bestimmten Stichtag. Der Prüfer bestätigt, dass die beschriebenen Kontrollen existieren, für die Kriterien geeignet gestaltet sind und an diesem Tag umgesetzt waren. Ob sie in der Woche danach weiter funktioniert haben, sagt er nicht.
Typ II berichtet über Design und Wirksamkeit über einen Zeitraum, den Beobachtungs- oder Prüfungszeitraum. Der Prüfer zieht Stichproben aus dem gesamten Zeitraum: Zugriffsüberprüfungen, die tatsächlich jedes Quartal stattgefunden haben, Tickets, die tatsächlich vor dem Deployment freigegeben wurden, Alarme, die tatsächlich bearbeitet wurden. Üblich sind sechs oder zwölf Monate; drei Monate sind das praktische Minimum, das die meisten Firmen für einen ersten Bericht akzeptieren.
Beide Berichte decken die Trust Services Criteria ab, die Sie in den Umfang nehmen. Sicherheit (die gemeinsamen Kriterien) ist Pflicht. Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz sind optionale Ergänzungen, und jede davon bringt mehr Kontrollen mit, die geprüft werden.
Was Käufer tatsächlich akzeptieren
Sicherheitsteams und Einkaufsabteilungen von Konzernen wollen einen Typ II. Ein Typ I sagt ihnen, dass Ihre Kontrollen an einem Tag richtig aussahen; er sagt nicht, dass die Kontrollen zur Gewohnheit geworden sind. Viele Lieferantenrisiko-Programme akzeptieren einen Typ I gar nicht, oder nur mit der Zusage, innerhalb einer bestimmten Zahl von Monaten einen Typ II zu liefern.
Das macht den Typ I nicht nutzlos. Er hat drei legitime Aufgaben.
Ein erster Meilenstein für ein junges Unternehmen. Wer sein Kontrollumfeld gerade erst aufgebaut hat, kann keinen Typ II vorweisen, bevor der Beobachtungszeitraum gelaufen ist. Mit einem Typ I können Sie einem Interessenten jetzt etwas von einem Prüfer Unterschriebenes zeigen, während die Uhr für den Typ II läuft.
Eine Designprüfung, bevor Sie sich festlegen. Ein Typ I zwingt dazu, die Kontrollbeschreibungen, die Systembeschreibung und die Entscheidungen zum Umfang aufzuschreiben und prüfen zu lassen. Probleme, die hier auffallen, sind billig zu beheben. Probleme, die sechs Monate in einen Typ-II-Beobachtungszeitraum hinein auffallen, kosten Sie den Zeitraum.
Eine vertragliche Brücke. Manche Abschlüsse gelingen mit einem Typ I plus einer datierten Zusage. Ob das funktioniert, hängt vom Käufer ab, also fragen Sie, statt anzunehmen.
Gegen einen Typ I sprechen Kosten und Zeit. Sie zahlen für eine Prüfung, deren Bericht die meisten Käufer abwerten, und der Beobachtungszeitraum für den Typ II wird nicht kürzer, weil Sie einen gemacht haben. Wenn Sie den Beobachtungszeitraum heute starten können und Ihre Käufer warten, überspringen Sie den Typ I und gehen direkt zum Typ II.
Der Beobachtungszeitraum in der Praxis
Der Zeitraum beginnt, wenn Ihre Kontrollen eingerichtet sind und laufen. Nicht, wenn Sie beschlossen haben, SOC 2 zu machen, nicht, wenn Sie eine Compliance-Plattform gekauft haben, und nicht, wenn Sie angefangen haben, Nachweise zu sammeln, sondern wenn die Kontrollen wie beschrieben laufen. Kommt eine Kontrolle mittendrin dazu, notiert der Prüfer das Datum und prüft sie womöglich erst ab dann, was als Einschränkung im Bericht auftaucht.
Während des Zeitraums heißt die Disziplin: Nachweise. Jede Kontrolle, in der „vierteljährlich“ steht, braucht ein vierteljährliches Artefakt. Jede Kontrolle, die sagt „alle Änderungen werden freigegeben“, braucht eine Grundgesamtheit von Änderungen, aus der der Prüfer Stichproben ziehen kann, und eine Freigabespur an jeder davon. Der typische Fehler ist meist nicht eine Kontrolle, die es nicht gibt; es ist eine Kontrolle, die lief, aber keine Spur hinterlassen hat, und das ist für einen Prüfer dasselbe.
Am Ende des Zeitraums dauert die Prüfung selbst mehrere Wochen. Der Prüfer fordert Grundgesamtheiten an, wählt Stichproben, sichtet Nachweise und fragt bei Abweichungen nach. Abweichungen sind nicht das Ende der Welt: Ein Typ-II-Bericht kann uneingeschränkt sein und trotzdem Abweichungen aufführen, solange die Stellungnahme des Managements glaubwürdig ist und die Abweichungen die Kriterien nicht untergraben. Ein Muster von Abweichungen in einem Bereich kann zu einem eingeschränkten Urteil bei diesem Kriterium führen, und das fällt Käufern auf.
Bridge Letters
Ein Typ-II-Bericht ist datiert. Sein Nutzen nimmt ab, je weiter der Berichtszeitraum zurückliegt, und ein Käufer, der einen Bericht mit einem neun Monate zurückliegenden Zeitraum liest, fragt, was seitdem passiert ist. Der Bridge Letter (oder Gap Letter) ist eine kurze Erklärung des Managements, nicht des Prüfers, dass sich am Kontrollumfeld zwischen dem Ende des Berichtszeitraums und dem Datum des Schreibens nichts Wesentliches geändert hat. Die meisten Unternehmen stellen ihn auf Anfrage aus, und die meisten Käufer akzeptieren einen, der etwa drei Monate abdeckt. Darüber hinaus wollen sie den nächsten Bericht.
Deshalb gehen die meisten Organisationen zu einem rollierenden jährlichen Typ II mit zwölfmonatigem Zeitraum über: Der Bericht ist immer halbwegs frisch, und der Bridge Letter deckt die Lücke bis zur nächsten Prüfung.
Wer den Bericht ausstellen darf
Nur eine in den Vereinigten Staaten lizenzierte CPA-Firma darf einen SOC-2-Bericht ausstellen, weil es eine Bescheinigung nach AICPA-Standards ist. Firmen außerhalb der USA können die Prüfungsarbeit durchführen, und tun das auch, aber unterschrieben wird der Bericht von der CPA-Firma. Wenn Sie einen Prüfer beauftragen, fragen Sie, wer unterschreibt. Die Compliance-Automatisierungsplattformen, die viele Unternehmen zum Sammeln von Nachweisen nutzen, stellen keine Berichte aus; sie vermitteln Sie an eine Firma, die das tut.
Unabhängigkeitsregeln gelten. Die Firma, die Ihren Bericht ausstellt, darf Ihre Kontrollen nicht entworfen oder Ihre Richtlinien für Sie geschrieben haben, und deshalb sind Vorbereitungsberatung und die Prüfung selbst in der Regel getrennte Aufträge mit getrennten Leuten.
Eine sinnvolle Reihenfolge
Für ein Unternehmen, das bei null anfängt und einen wartenden Käufer hat: Vorbereitungsarbeit, um Kontrollen zu entwerfen und umzusetzen, ein Typ I, sobald die Kontrollen stehen, falls der Käufer jetzt Papier braucht, dann ein Typ II über die folgenden drei bis sechs Monate, dann von da an jährliche Typ-II-Berichte über zwölf Monate.
Für ein Unternehmen mit einem ordentlichen Kontrollumfeld und geduldigen Käufern: Beobachtungszeitraum starten, den Typ I überspringen und nach sechs Monaten direkt zum Typ II.
Für ein Unternehmen, das schon ISO 27001 hat: Die Kontrollen überschneiden sich erheblich, und ein kombinierter Auftrag, bei dem ein Prüfteam sowohl das ISO-Überwachungsergebnis als auch den SOC 2 Typ II liefert, ist oft der effizienteste Weg. Nicht jede Firma kann beides, also ist das eine Frage für die Auftragsklärung ganz am Anfang.