Was ist SOC 2?

Zuverlässige und aktive Sicherheitsvorkehrungen sind in einer Zeit, in der Cyberangriffe immer häufiger auftreten, von entscheidender Bedeutung. Cyberbedrohungen wie Ransomware und Phishing stellen Unternehmen aller Größen und Branchen immer wieder vor Herausforderungen. Außerdem sind Angriffe auf die Lieferkette zu einem ernsten Problem geworden. Laut Umfragen durch das Weltwirtschaftsforum zeigen sich 90 % der Befragten besorgt über die Cyberresilienz von Drittanbietern. Frameworks sollen Unternehmen bei der Implementierung zuverlässiger Sicherheitsvorkehrungen unterstützen. Ein solches Framework ist SOC 2 (System and Organization Controls 2), das darauf abzielt, Risiken zu ermitteln und die betriebliche Effektivität zu verbessern.

SOC 2 wurde vom American Institute of Certified Public Accountants (AICPA) entwickelt und den Trust-Services-Grundsätzen von AICPA zugeordnet, die die Prüfung und das Reporting über die von Serviceorganisationen verwendeten Kontrollen zum Schutz von Informationen ermöglichen. SOC-2-Berichte beurteilen Datensicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Darüber hinaus stellen SOC-2-Berichte sicher, dass die von der Serviceorganisation verwendeten Kontrollen einige oder alle der fünf SOC-2-Kriterien erfüllen können.

Das Risikomanagement muss auch Drittanbieter einschließen. SOC 2 bietet einen Rahmen, mit dem sich prüfen lässt, ob eine Serviceorganisation Informationssicherheit zuverlässig erreichen und aufrecht erhalten sowie Sicherheitsvorfälle abwehren kann. SOC 2 wird verwendet, um die Sicherheitsvorkehrungen von Drittanbietern zu überprüfen, damit sichergestellt werden kann, dass diese das von Ihrem Unternehmen erwartete Schutzniveau erreichen.

Die Sicherheitslösungen von Akamai bieten Informationen und End-to-End-Schutz, um Daten vor Sicherheitsverletzungen und versehentlicher Offenlegung zu schützen und unbefugten Zugriff mittels einer zuverlässigen Durchsetzung von Zugriffskontrollrichtlinien zu verhindern. Akamai unterstützt Ihre Sicherheitsteams dabei, die Effektivität und den ROI Ihrer Sicherheitsinvestitionen zu maximieren, indem es über die herkömmliche Endpoint Detection hinausgeht und eine leistungsstarke Zero-Trust-Lösung für den Datenschutz bereitstellt. 

Akamai bietet:

• Eine globale Sicherheitsplattform, die Zero-Trust-Sicherheit mit umfassender Abdeckung Ihrer IT-Umgebung durchsetzt
• Umfassende Transparenz von Assets, Zugriffen und Netzwerkflüssen
• Detaillierte Durchsetzung der Sicherheitsrichtlinien und Schutz personenbezogener Daten (Personally Identifiable Information – PII)

Das SOC-2-Audit umfasst fünf Aspekte des Umgangs mit Daten, die bei korrekter Umsetzung eine kohärente und zuverlässige Cybersicherheit gewährleisten. Die ASEC Trust Information Integrity Task Force ist für die technische Präzision der Trust-Services-Grundsätze (Trust Services Criteria – TSC) verantwortlich. Das Assurance Services Executive Committee von AICPA ist für die TSC zuständig und beschreibt die fünf Trust Services-Kriterien von SOC 2 wie folgt:

1. Sicherheit: Datenschutz und Sicherung des Systems gegen unbefugten Zugriff und Offenlegung von Daten. Sicherheit umfasst auch den Schutz vor Systemschäden, die zum Verlust der Verfügbarkeit, Integrität und Vertraulichkeit von Daten führen können.
2. Verfügbarkeit: Zuverlässigkeit der Systeme, die für die Aufrechterhaltung des Betriebs erforderlich sind.
3. Verarbeitungsintegrität: Die Systemverarbeitung muss vollständig, gültig, präzise, zeitnah und autorisiert sein.
4. Vertraulichkeit: Als „vertraulich“ eingestufte Daten müssen geschützt werden, um die Ziele des Unternehmens zu erreichen.
5. Datenschutz: Informationen müssen erfasst, verwendet, gespeichert, offengelegt und vernichtet werden, um die Ziele des Unternehmens in Bezug auf den Datenschutz zu erfüllen.

Ein Serviceanbieter, der die Einhaltung einiger oder aller fünf Trust-Services-Grundsätze (je nach Fall) nachweist, belegt sein Engagement für Informationssicherheit.

SOC 2 gilt für Technologie-Service-Anbieter oder SaaS-Unternehmen, die Kundendaten speichern, verarbeiten oder handhaben. SOC 2 betrifft auch andere Drittanbieter, die Daten und Anwendungen handhaben/bereitstellen, und wird verwendet, um die vorhandenen Systeme und Sicherheitsvorkehrungen zur Gewährleistung der Datenintegrität zu dokumentieren. SOC-2-Compliance kann eine Hilfestellung bei Kaufentscheidungen sein und ist Teil der mit dem Lieferantenmanagement verbundenen Risiken.

Cloud- und IT-Service-Anbieter

Laut Thales und 451 Researchspeichern 66 % der Unternehmen bis zu 60 % ihrer sensiblen Daten in der Cloud. Außerdem stieg die Zahl der Unternehmen, bei denen es zu Datenschutzverletzungen im Zusammenhang mit Cloudanwendungen kam, von 35 % im Jahr 2021 auf 45 % im Jahr 2022. Durch die Compliance-Dokumentation anhand von SOC 2 können Technologieanbieter nachweisen, dass sie Sicherheitskontrollen wie die zwei-Faktor-Authentifizierung verwenden. Dies ist ein wesentlicher Wettbewerbsvorteil in einer Zeit, in der Cloud- und IT-Sicherheit Servicebereiche mit potenziell hohen Risiken sind. Sicherheitsverstöße in der Cloud, die sich auf die gesamte Kette auswirken, treten immer häufiger auf. Ein Cloud- und IT-Service-Anbieter, der SOC-2-Compliance demonstriert, weist nach, dass Informationssicherheit ein zentraler Wert ist.

Kunden von Cloud- und IT-Service-Anbietern

Wenn Sie sich für einen Anbieter mit nachgewiesener SOC-2-Sicherheit entscheiden, wird für Ihr Unternehmen ein transparentes Audit mit SOC-Berichten durchgeführt, in denen die Risiken und Kontrollen des Drittanbieters definiert werden. Diese Standards und Maßnahmen zur Informationssicherheit werden sich in Ihrem Unternehmen niederschlagen und gewährleisten die Datensicherheit, die für interne Standards und gesetzliche Anforderungen erforderlich ist.

Andere Anbieter der vernetzten Lieferkette

Angriffe auf die Lieferkette Zunahme um mehr als 600 % in den Jahren 2021/2022. Angriffe wie auf die Zero-Day-Schwachstelle in MOVEit Transfer haben sich als äußerst wirkungsvoll und umfassend erwiesen. Sicherheitsforschung von Akamai im Zusammenhang mit dem MOVEit-Angriff ergab, dass die Zahl der anfälligen Internetserver erschreckend hoch war. Diese Arten von Schwachstellen werden gezielt von Cyberkriminellen angegriffen, um über Anbieter aus der Lieferkette Zugriff auf lukrative Netzwerke in höheren Stufen der Kette zu erhalten. Anbieter in der Lieferkette, die ihre SOC-2-Compliance dokumentieren, können ihr Engagement für Datensicherheit glaubhaft machen.

Akamai stellt eine umfassende Lösungsfamilie für Zero-Trust-Sicherheit bereit, die die Erreichung von SOC-2-Compliance durch Methoden zur Erfüllung der SOC-2-Grundsätze ermöglicht. Unsere Sicherheitslösungen werden von unseren Kunden, die Akamai zum Schutz vertraulicher Daten in ihrer erweiterten modernen IT-Umgebung nutzen, als branchenführend angesehen. Das Sicherheitsportfolio von Akamai hat sich von einer Sammlung von Einzellösungen zu einer umfassenden und leistungsstarken Zero-Trust-Plattform entwickelt. Die erstklassigen Lösungen des Unternehmens bieten die erforderlichen Sicherheitskontrollen, um die SOC-2-Anforderungen in Bezug auf Datensicherheit, Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz zu erfüllen. Akamai liefert umfassende Transparenz zu Ihrer IT-Umgebung, wichtigen Assets, Zugriffsanforderungen und Netzwerkfluss in Ihrer gesamten erweiterten Infrastruktur, einschließlich Ihrer Lieferanten.

Die Zugriffskontrolle und die Autorisierung zur Nutzung von Daten ist ein kritischer Aspekt der Informationssicherheit im Rahmen von SOC 2. Die Entwicklung eines Zero-Trust-Ansatzes für Datensicherheit ist eine Möglichkeit, alle fünf Trust-Services-Kriterien zuverlässigen Sicherheitsmaßnahmen zuzuordnen.

Zu den SOC-2-Sicherheitsmaßnahmen, die bei der Schaffung eines Zero-Trust-Sicherheitsansatzes verwendet werden, gehören:

• Identitäts- und Zugriffsmanagement sowohl für Menschen als auch für Geräte
• API-Schutz über Datenfluss und Ökosysteme hinweg
• Multi-Faktor-Authentifizierung (MFA)
• Angriffserkennung (Intrusion Detection)
• Transparenz und Überwachung zur Anwendung einer verhältnismäßigen Autorisierung
• Geringstmögliche Berechtigungen zur Minimierung des Datenzugriffs
• Datenverschlüsselung