SOC 2
Ordnen Sie Trust Services Criteria Ihren Kontrollen und Verantwortlichen zu, führen Sie Nachweise periodengerecht und nutzen Sie echte Überschneidungen mit ISO 27001 im selben Datenmodell.
Eine Maßnahme, mehrere Standards
Standards überschneiden sich weit mehr, als sie sich unterscheiden. Eine einmal erfasste Maßnahme wird jedem Framework zugeordnet, dessen Anforderung sie beantwortet. Das zweite Audit erbt den Nachweis aus dem ersten.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Von der Maßnahme zur Richtlinie
Eine Maßnahme ist keine Zeile in einem Register. Sie gehört zu einem Managementsystem und wird von den Richtlinien und Verfahren getragen, die Ihr Team tatsächlich liest. Deshalb läuft sie durch beides.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Managementsysteme
Richtlinien und Verfahren
01
SOC 2 Typ II betrachtet die Wirksamkeit von Kontrollen über einen Zeitraum. KaitoSec verbindet relevante Signale aus Cloud-, Identity- und Entwicklersystemen mit der passenden Kontrolle; Ihr Team prüft und genehmigt den Nachweis.
02
Ein Typ-I-Bericht bestätigt, dass Ihre Kontrollen zu einem Zeitpunkt angemessen konzipiert sind. Ein Typ-II-Bericht deckt die Wirksamkeit des Betriebs über einen Beobachtungszeitraum ab. KaitoSec unterstützt beide, mit einem klaren Weg von Ihrem ersten Typ I zur laufenden Typ-II-Bereitschaft.
03
Stellen Sie freigegebene SOC-2-Berichte, Sicherheitsrichtlinien und Unterauftragsverarbeiter kontrolliert bereit. Vertrieb und Security arbeiten damit auf demselben geprüften Stand.
01
Ordnen Sie Ihre bestehenden Kontrollen allen fünf Trust Services Criteria zu, Sicherheit (CC), Verfügbarkeit (A), Verarbeitungsintegrität (PI), Vertraulichkeit (C) und Datenschutz (P). KaitoSec zeigt, welche Kriterien Ihr Auditor prüft und welche Nachweise für jedes einzelne erforderlich sind.
02
Binden Sie AWS, GCP, Azure, GitHub und Okta als mögliche Nachweisquellen an. Zugriffsüberprüfungen, Verschlüsselungsstatus und Schwachstellenscans werden der passenden Kontrolle zur fachlichen Prüfung zugeordnet.
03
Laden Sie Ihre Wirtschaftsprüfungsgesellschaft in einen dedizierten Workspace ein, in dem sie Nachweise prüft, Anfragen stellt und Kontrollen als getestet markiert. Die Audit-Feldarbeit findet in KaitoSec statt, keine E-Mail-Ketten, keine gemeinsamen Laufwerke, keine Verwirrung darüber, welche Nachweisversion aktuell ist.
Ein Typ-I-Bericht bewertet, ob Ihre Kontrollen zu einem bestimmten Zeitpunkt angemessen konzipiert sind. Ein Typ-II-Bericht prüft, ob diese Kontrollen über einen Beobachtungszeitraum, in der Regel 6 bis 12 Monate, wirksam waren. Enterprise-Kunden verlangen fast immer Typ II, weil er belegt, dass die Kontrollen dauerhaft wirksam betrieben wurden, nicht nur gut gemeint waren.
Sicherheit (die Common Criteria) ist in jedem SOC-2-Engagement obligatorisch. Die übrigen vier Kriterien, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz, sind optional und werden danach ausgewählt, was für Ihre Kunden relevant ist. Die meisten SaaS-Unternehmen schließen Sicherheit und Verfügbarkeit als Minimum ein.
Die Dauer hängt von Scope, Reifegrad, Umsetzungslücken, Beobachtungszeitraum und Wirtschaftsprüfungsgesellschaft ab. KaitoSec strukturiert Kontrollen und periodengerechte Nachweise; den belastbaren Zeitplan stimmen Sie mit dem Auditor ab.
Die integrierten Anleitungen genügen vielen technisch geprägten Teams, um die SOC-2-Vorbereitung eigenständig abzuschließen. Das eigentliche Audit muss von einer unabhängigen Wirtschaftsprüfungsgesellschaft durchgeführt werden. KaitoSec ersetzt den Auditor nicht, nimmt aber viel von der manuellen Arbeit ab, die Audits teuer macht.
Ja. Die Trust Services Criteria von SOC 2 und die Annex-A-Maßnahmen der ISO 27001 überschneiden sich erheblich. KaitoSec pflegt eine Kreuzzuordnung und verwendet Nachweise für beide Frameworks wieder, wo immer möglich. Organisationen verfolgen häufig zuerst SOC 2 für ihre US-Kunden und dann ISO 27001 für europäische Enterprise-Kunden, beide aus derselben Kontrollbibliothek. Genau das ist das Cross-Mapping-Argument hinter Resilience Made Easy: einmal umsetzen, überall nachweisen, wo es zutrifft.
