Schlagwort: ISAE 3402

Home / isae-3402-de
Nov12023

SOC 1 & SOC 2

SOC 1 & SOC 2

Der primäre und weit verbreitete Begriff für die Berichterstattung von Dienstleistungsunternehmen über die Risiken von Drittanbietern an Nutzerunternehmen ist der System- und Organisationskontrollbericht, der oft auch als SOC-Bericht bezeichnet wird. Dieser Begriff wurde vom American Institute of Certified Public Accountants (AICPA) als Ersatz für das SAS70 Framework eingeführt.

Zuvor waren diese Berichte als Service Organization Control bekannt. SOC umfasst eine Reihe von Berichten, die ihren Ursprung in den Vereinigten Staaten haben. ISAE 3402 ist an den US-Standard Statement on Standards for Attestation Engagements (SSAE) 18 angeglichen. Ein ISAE 3402-Bericht liefert Sicherheit in Bezug auf die Systembeschreibung einer Dienstleistungsorganisation und die Angemessenheit ihres Kontrollkonzepts und ihrer operativen Effektivität, wie sie in einem Bericht des Dienstleistungsprüfers dargestellt wird.

ISAE 3402 | SOC 1: In einem ISAE 3402 | SOC 1-Bericht legen Unternehmen ihre eigenen Kontrollziele und -kontrollen fest und stimmen sie mit den Kundenanforderungen ab. Der Umfang eines ISAE 3402-Berichts umfasst in der Regel alle betrieblichen und finanziellen Kontrollen, die sich auf den Jahresabschluss auswirken, sowie allgemeine IT-Kontrollen (z.B. Sicherheitsmanagement, physische und logische Sicherheit, Änderungsmanagement, Vorfallsmanagement und Systemüberwachung). Wenn ein Unternehmen Finanzinformationen verwaltet, die sich auf die Finanzberichterstattung des Kunden auswirken könnten, ist ein ISAE 3402 | SOC 1 Auditbericht die logischste Wahl und wird häufig angefordert. ITGCs, Betriebskontrollen und Finanzkontrollen fallen in den Geltungsbereich einer ISAE 3402 | SOC 1 Prüfung.

SOC 1: Bei einer SOC 1-Prüfung sind Kontrollziele erforderlich, die für eine genaue Darstellung der internen Kontrolle über die Finanzberichterstattung (ICOFR) wesentlich sind. Organisationen, die in den Vereinigten Staaten bei der SEC Bericht erstatten müssen, enthalten in der Regel diese Ziele.

Angesichts der Bedeutung von IT-Dienstleistern, Cloud-Service-Anbietern und Anbietern von Rechenzentren/Gehäusen als wichtige Lieferanten für Finanzinstitute haben Standards wie SAS70, SSAE 18 SOC 1 und ISAE 3402 in der IT-Branche erheblich an Bedeutung gewonnen. Sie haben sich zu den umfassendsten und transparentesten Standards für effektives IT-Outsourcing und Risikomanagement entwickelt. Unternehmen, die einen ISAE 3402 | SOC 1-Bericht anstreben, ziehen häufig ISAE 3000 | SOC 2-Berichte in Betracht.

ISAE 3000 | SOC 2: In ISAE 3000 | SOC 2-Berichten werden die Trust Services Principles and Criteria (TSPs) angewendet. Diese TSPs bestehen aus spezifischen Anforderungen, die von der AICPA und dem Canadian Institute of Chartered Accountants (CICA) entwickelt wurden, um Sicherheit, Verfügbarkeit, Vertraulichkeit, Integrität der Verarbeitung und Datenschutz zu gewährleisten. Ein Unternehmen kann die spezifischen Aspekte auswählen, die auf die Bedürfnisse seiner Kunden abgestimmt sind. Ein ISAE 3000 | SOC 2 Bericht kann einen oder mehrere Grundsätze umfassen. Wenn eine Organisation verschiedene Arten von Informationen für Kunden bearbeitet, die keinen Einfluss auf die Finanzberichterstattung haben, ist ein ISAE 3000 | SOC 2 Bericht relevanter. In solchen Fällen geht es den Kunden in erster Linie um den sicheren Umgang mit ihren Daten und deren Verfügbarkeit, wie sie in ihren Verträgen festgelegt sind. Ein SOC 2-Bericht bewertet, wie ein SOC 1-Bericht, interne Kontrollen, Richtlinien und Verfahren.

SOC 1 oder SOC 2: Organisationen, die Systeme oder Informationen verwalten, verarbeiten oder hosten, die sich auf die Finanzberichterstattung auswirken, sollten immer einen ISAE 3402 | SOC 1 Bericht vorlegen. ISAE 3000 | SOC 2 ist geeignet, wenn alle Systeme und Prozesse keinen Bezug zur Finanzberichterstattung haben. Anbieter von Rechenzentren, Infrastructure as a Service (IaaS)-Anbietern und Platform as a Service (PaaS)-Anbietern erstellen häufig hybride Berichte, die sowohl einen ISAE 3402 | SOC 1 für finanzbezogene Prozesse und Systeme als auch einen ISAE 3000 | SOC 2 für nicht finanzbezogene Prozesse und Systeme enthalten. Der Inhalt der beiden Berichte ist in der Regel identisch.

Nov12023

Vorteile: Verbesserte Risikokontrolle und Transparenz

Vorteile: Verbesserte Risikokontrolle und Transparenz

Unternehmen erhalten häufig Anfragen von (potenziellen) Kunden zu Sicherheitsstandards, mit Fragen zu den Unterschieden zwischen ISAE 3402 | SOC 1, ISAE 3000 | SOC 2 und ISO 27001 Audits. Sie versuchen herauszufinden, welcher Standard für ihr Unternehmen besser geeignet ist und wägen die Vor- und Nachteile von ISAE gegenüber ISO 27001 ab. ISAE 3402 | SOC 1 und ISO 27001 sind in Wirklichkeit sehr unterschiedliche Standards mit unterschiedlichen Anwendungen. Die Hauptunterschiede liegen im Berichtsformat und in der Art der Prüfung selbst.

Bemerkenswerte Vorteile:

  • Beherrschung des Risikomanagements
  • Verbessertes Marktvertrauen
  • Rationalisierte Audit-Prozesse
  • Verbesserte Kontrollmaßnahmen

ISAE und Sicherheit: ISAE 3402 ist eine Bescheinigung, die von einem unabhängigen Wirtschaftsprüfer oder einer unabhängigen Wirtschaftsprüfungsgesellschaft durchgeführt wird und die Informationen über System- und Organisationskontrollen (SOC) anhand definierter Prüfungsziele oder -kriterien bewertet. In einem ISAE 3402 | SOC 1-Bericht werden allgemeine IT-Kontrollen (ITGCs) und folglich auch Sicherheitsaspekte einbezogen, aber der Schwerpunkt liegt auf den Finanzverfahren und -kontrollen. Andererseits konzentriert sich ein ISAE 3000 | SOC 2 Bericht auf die Trust Service Principles, die Sicherheit, Verfügbarkeit und Datenschutz umfassen. Sie hat mehr Gemeinsamkeiten mit ISO 27001. Ein wesentlicher Unterschied ist, dass es sich bei den Berichten ISAE 3402 | SOC 1 und ISAE 3000 | SOC 2 um eine Bescheinigung handelt, während ISO 27001 eine Zertifizierung ist.

ISO 27001: ISO 27001 hingegen ist ein risikobasierter Standard, der dazu dient, den Sicherheitsrahmen oder das Informationssicherheitsmanagementsystem (ISMS) einer Organisation einzurichten, zu implementieren und zu verbessern. Dieser Sicherheitsrahmen entspricht den ISO- und IEC-Normen und wird von unabhängigen Zertifizierungsstellen validiert.

Die Organisation muss über die in Anhang A des ISO 27001-Rahmenwerks beschriebenen Verfahren und Kontrollen verfügen. Diese Verfahren und Kontrollen mindern effektiv die Risiken und stärken so die Informationssicherheit. ISO 27001 bietet ein umfassendes System zur Gewährleistung der Informationssicherheit, und alle Organisationen, die ISO 27001 anwenden, sollten über ein Managementsystem für Informationssicherheit verfügen.

Die Wahl zwischen ISO 27001 und ISAE 3402 | SOC 1: Die Landschaft hat sich verändert. ISO 27001 gilt traditionell als der Goldstandard für Informationssicherheit. In Anbetracht der sich ständig weiterentwickelnden Risiken für die Informationssicherheit streben viele Unternehmen heute ein höheres Maß an Sicherheit für die Informationssicherheit an. ISO 27001 schreibt einen festen Satz von Kontrollen vor, während die Standards ISAE 3402 und ISAE 3000 auf Prinzipien beruhen. Das bedeutet, dass die Kontrollen nicht starr vorgeschrieben werden können, sondern effektiv funktionieren müssen. Wenn dies nicht der Fall ist, schränkt der Prüfer sein Prüfungsurteil nach ISAE 3402 | SOC 1 ein. Eine ISAE 3402/3000-Prüfung beinhaltet eine umfassende Untersuchung, die sich auf die Wirksamkeit des Risikorahmens beim Risikomanagement konzentriert. Wenn Risiken nicht angemessen verwaltet werden, wird der ISAE 3402-Bericht diesen Mangel aufdecken. Dieses Maß an Transparenz ist in der sich entwickelnden globalen Wirtschaft und der sich ständig verändernden Bedrohungslandschaft unerlässlich.