Framework
SOC 2 (Trust Services Criteria)
Worum es geht
Das Framework des AICPA für die Berichterstattung über die Kontrollen einer Dienstleisterorganisation anhand der Trust Services Criteria: Sicherheit (immer enthalten) sowie optional Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz.
Für wen es relevant ist
Dienstleisterorganisationen, insbesondere Software- und Cloud-Unternehmen, deren Kunden vor der Übergabe von Daten eine Zusicherung benötigen. Es handelt sich um eine Markterwartung, vor allem von US-Kunden, nicht um eine gesetzliche Anforderung.
So wird geprüft
Eine zugelassene CPA-Prüfungsgesellschaft prüft die Kontrollen und stellt einen Bericht aus: Typ I umfasst die Ausgestaltung zu einem Stichtag, Typ II die Wirksamkeit der Kontrollen über einen Zeitraum von in der Regel 3 bis 12 Monaten. Ein Zertifikat gibt es nicht. Siehe wie Sie einen SOC-2-Bericht erhalten.
Leitfaden lesen: So erhalten Sie einen SOC-2-Bericht →
61
Kriterien
41
Einem anderen Framework zugeordnet
92%
Abgedeckte Themen (46/50)
Die Zuordnungen von AICPA zu SOC 2 stehen nicht unter einer offenen Lizenz. Daher beruht jeder SOC-2-Link hier auf der redaktionellen Arbeit von ControlMapping: Kriterien, die wir nicht zugeordnet haben, können nicht übereinstimmen. Kriterien zur Verarbeitungsintegrität (PI) und die meisten Datenschutzkriterien (P) haben kein Pendant in Sicherheitsframeworks.
Vergleiche
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Business Continuity | 8 von 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Backup & Recovery, Business Continuity, Disaster Recovery | 11 von 13 |
| A1.3 | Testing recovery plan procedures | Wiederherstellungsplanung, Disaster Recovery | 10 von 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Datenklassifizierung | 9 von 13 |
| C1.2 | Disposing of confidential information | Datenschutz | 11 von 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Governance-Richtlinie | 9 von 13 |
| CC1.2 | Board independence and oversight of internal control | Rollen und Verantwortlichkeiten | 9 von 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Rollen und Verantwortlichkeiten | 9 von 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Awareness & Training | 10 von 13 |
| CC1.5 | Accountability for internal control responsibilities | Rollen und Verantwortlichkeiten | 9 von 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 von 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Awareness & Training | 10 von 13 |
| CC2.3 | Communication with external parties | Kommunikation, Meldung, Kommunikation & Wiederherstellung | 12 von 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Risikomanagement, Geschäftsumfeld | 10 von 13 |
| CC3.2 | Risk identification and analysis | Risikobewertung | 10 von 13 |
| CC3.3 | Considering the potential for fraud | Risikobewertung | 10 von 13 |
| CC3.4 | Identifying and assessing significant changes | Risikobewertung | 10 von 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Compliance | 10 von 13 |
| CC4.2 | Communicating and remediating control deficiencies | Compliance | 10 von 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Risikomanagement | 10 von 13 |
| CC5.2 | General controls over technology | Sichere Konfiguration | 9 von 13 |
| CC5.3 | Control activities deployed through policies and procedures | Governance-Richtlinie | 9 von 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Asset-Management, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung | 13 von 13 |
| CC6.2 | User registration, authorization and removal | Zugriffskontrolle | 11 von 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Zugriffskontrolle, Privilegierter Zugriff | 12 von 13 |
| CC6.4 | Physical access restrictions | Physische Sicherheit | 8 von 13 |
| CC6.5 | Protection of data when assets are disposed of | Datenschutz | 11 von 13 |
| CC6.6 | Protection against threats from outside system boundaries | Firewall / Netzsegmentierung, Webanwendungssicherheit, Zero Trust, WAF | 9 von 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Verschlüsselung, Mobile Security, DLP | 11 von 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Endpoint-Schutz, E-Mail-Sicherheit | 10 von 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Schwachstellenmanagement, Patch-Management, Sichere Konfiguration | 13 von 13 |
| CC7.2 | Monitoring system components for anomalies | Kont. Überwachung, Protokollierung & Audit, Angriffserkennung, Anomalieerkennung | 11 von 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Incident Response | 12 von 13 |
| CC7.4 | Responding to identified security incidents | Incident Response, Forensik, Mitigation | 12 von 13 |
| CC7.5 | Recovering from identified security incidents | Wiederherstellungsplanung, Erkenntnisse aus Vorfällen, Kommunikation & Wiederherstellung | 11 von 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Sichere Entwicklung | 8 von 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Risikomanagement, Business Continuity | 10 von 13 |
| CC9.2 | Managing vendor and business partner risk | Lieferkettenrisiko, Cloud-Sicherheit, Lieferantenrisikomanagement | 12 von 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | keine |
| P2.1 | Choice and consent | — | keine |
| P3.1 | Collection limited to privacy objectives | — | keine |
| P3.2 | Explicit consent where required | — | keine |
| P4.1 | Use limited to privacy objectives | — | keine |
| P4.2 | Retention of personal information | — | 1 von 13 |
| P4.3 | Disposal of personal information | — | 1 von 13 |
| P5.1 | Data subject access | — | keine |
| P5.2 | Correction of personal information | — | keine |
| P6.1 | Disclosure to third parties with consent | — | keine |
| P6.2 | Record of authorized disclosures | — | keine |
| P6.3 | Record of unauthorized disclosures | — | keine |
| P6.4 | Privacy commitments from third parties | — | keine |
| P6.5 | Notification by third parties of unauthorized disclosures | — | keine |
| P6.6 | Breach notification to affected individuals | — | 1 von 13 |
| P6.7 | Accounting of disclosures to data subjects | — | keine |
| P7.1 | Quality of personal information | — | keine |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | keine |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | keine |
| PI1.2 | Controls over system inputs | — | keine |
| PI1.3 | Controls over system processing | — | keine |
| PI1.4 | Controls over system outputs | — | keine |
| PI1.5 | Storing inputs, items in processing and outputs | — | keine |
Themenabdeckung
Themen mit zugeordneten SOC 2-Anforderungen (46):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungGeschäftsumfeldDatenklassifizierungSchwachstellenmanagementZugriffskontrolleMulti-Faktor-AuthentifizierungVerschlüsselungDatenschutzBackup & RecoveryPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitWAFDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCIncident ResponseForensikKommunikationMitigationMeldungWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenKommunikation & WiederherstellungDisaster RecoveryLieferantenrisikomanagementPhysische Sicherheit
Keine Zuordnung in unseren Daten Keine SOC 2-Anforderung (4):