Audit-Nachweise für SOC 2, ISO 27001 und PCI DSS wiederverwenden

Ein Unternehmen mit SOC 2, ISO 27001 und PCI DSS kann leicht mehr Zeit mit der Beantwortung von Nachweisanfragen verbringen als mit dem Betrieb der Kontrollen. Jeder Prüfer fordert „den Zugriffsreview“, „die Schwachstellenscans“, „den Incident-Test“ an, jeweils in leicht abweichenden Formaten und für leicht abweichende Zeiträume. Der größte Teil dieser Nachweise ist identisch. Der Trick besteht darin, sie einmal in einer Form zu erheben, die dem anspruchsvollsten der drei Standards genügt.

Warum die Überschneidung groß ist

Die drei Frameworks teilen den größten Teil ihres Sicherheitsthemas. Beim Übergang von ISO 27001 zu SOC 2 zum Beispiel:

Von den 61 SOC 2-Kriterien sind 41 (67%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 20 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Und von ISO 27001 zu PCI DSS ist die Überschneidung geringer, bei Governance und Prozessen aber nach wie vor erheblich:

Von den 260 PCI DSS-Anforderungen sind 77 (30%) auf etwas in ISO 27001 zugeordnet, 76 sind nur lose verwandt und 107 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Wo Anforderungen zugeordnet werden können, überschneiden sich in der Regel auch die Nachweise.

Nachweise, die allen drei dienen

Nachweis	SOC 2	ISO 27001	PCI DSS
Überprüfungen von Benutzerzugriffen (mit Freigabe und vorgenommenen Änderungen)	CC6.2, CC6.3	A.5.18	7.2.4 (alle sechs Monate)
Ein- und Austritts-Tickets mit Genehmigungen	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
Change-Tickets mit Prüfung, Test und Genehmigung	CC8.1	A.8.32	6.5.1, 6.5.2
Ergebnisse von Schwachstellenscans und Behebung	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
Berichte zu Penetrationstests und Nachtests	CC4.1, CC7.1	A.8.8	11.4.1 bis 11.4.4
Vorfallregister und Test der Reaktion	CC7.3 bis CC7.5	A.5.24 bis A.5.27	12.10.1, 12.10.2
Nachweise zu Schulungen zur Security-Awareness	CC1.4, CC2.2	A.6.3	12.6.1 bis 12.6.3
Nachweise zur Sorgfaltsprüfung von Lieferanten	CC9.2	A.5.19 bis A.5.22	12.8.1 bis 12.8.5
Wiederherstellungstests für Backups	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
Risikobewertung und deren Überprüfung	CC3.1 bis CC3.4	6.1.2, 8.2	12.3.1

Nach dem strengsten Standard erheben

• Häufigkeit: PCI DSS setzt oft den schnellsten Rhythmus (halbjährliche Zugriffsreviews, quartalsweise Scans). Führen Sie Kontrollen im Takt von PCI aus, sind die anderen erfüllt.
• Zeitraum: SOC 2 Typ II prüft Stichproben über den gesamten Beobachtungszeitraum. Erheben Sie Nachweise laufend, nicht nur vor Audits.
• Vollständigkeit: ISO-Prüfer fragen möglicherweise, wie Sie wissen, dass die Grundgesamtheit vollständig ist. Bewahren Sie die vollständige Liste auf (alle Austritte, alle Änderungen), nicht nur die Beispiele, die Sie auswählen würden.
• Herkunft: Systemgenerierte Nachweise (Exporte, Logs, Tickets mit Zeitstempeln) sind besser als Screenshots einer Anzeige, die jemand eigens arrangiert hat.

Eine einfache Struktur

Ein Nachweisspeicher, gegliedert nach Kontrolle statt nach Framework. Jeder Kontrollordner enthält die Nachweise für jeden Zeitraum, konsistent benannt, mit einem kurzen Index, der angibt, welchen Framework-Anforderungen er dient. Wenn ein Prüfer „Nachweis zu 7.2.4“ verlangt, schlagen Sie die Kontrolle nach, nicht das Framework.

Wichtigste Erkenntnisse

• Die meisten Nachweise (Zugriffsreviews, Change-Tickets, Scans, Vorfallsaufzeichnungen, Schulungen) dienen gleichzeitig SOC 2, ISO 27001 und PCI DSS.
• Erheben Sie nach dem strengsten Standard: PCIs Häufigkeiten und der fortlaufende Zeitraum von SOC 2.
• Gliedern Sie Nachweise nach Kontrolle statt nach Framework, mit einem Index dessen, was jedes Element erfüllt.
• Einige Elemente sind nicht übertragbar, insbesondere ASV-Scans und ISO-Managementsystem-Unterlagen.

Was nicht übertragbar ist

• PCI-spezifische Scans: Externe Scans müssen von einem Approved Scanning Vendor durchgeführt werden.
• PCI-gezielte Risikoanalysen für Anforderungen mit flexibler Häufigkeit.
• ISO-Managementsystem-Unterlagen: Interne Auditberichte, Protokolle der Managementbewertung und Maßnahmenprotokolle sind ISO-spezifisch (SOC-2-Prüfer schätzen sie dennoch).
• SOC-2-Systembeschreibung: Ihre eigene Darstellung des Systems im Prüfungsumfang.

Unser Beitrag eine Kontrollmenge für SOC 2 und ISO 27001 behandelt den Entwurf der Kontrollen; die Lückenanalyse listet die Zuordnungen zwischen zwei beliebigen Frameworks auf.

Fragen

Können dieselben Nachweise für SOC 2 und ISO 27001 verwendet werden?

Meist ja. Beide suchen nach Belegen, dass Kontrollen wirksam sind: Tickets, Reviews, Scan-Ergebnisse, Schulungsnachweise. SOC 2 Typ II benötigt Stichproben über den gesamten Beobachtungszeitraum, daher sollten Sie laufend erheben.

Welche Nachweise verlangt PCI DSS, die SOC 2 nicht verlangt?

Nachweise zu PCI-spezifischen Häufigkeiten und Einstellungen: quartalsweise interne und ASV-externe Scans, halbjährliche Reviews von Zugriffen und Firewall-Regeln, gezielte Risikoanalysen sowie Konfigurationen, die speziell Karteninhaberdaten betreffen.

Wie lange sollten Audit-Nachweise aufbewahrt werden?

Mindestens bis der nächste Audit-Zyklus abgeschlossen ist, und länger, wo ein Framework oder Gesetz es verlangt; PCI DSS verlangt zum Beispiel 12 Monate Audit-Log-Historie.