SchildmarkSOC 2
SOC 2: Nachweise für CC6.8 und CC7, für jeden Tag des Typ-II-Zeitraums
Ein Typ-II-Bericht fragt, ob Ihre Kontrollen über den ganzen Zeitraum funktioniert haben, nicht ob es sie gibt. Schildmark betreibt Überwachung, Abwehr und Patching, nach denen die Common Criteria fragen, und hält jeden Tag davon fest.
Was die Kriterien technisch verlangen
SOC 2 berichtet gegen die Trust Services Criteria 2017 des AICPA, mit 2022 überarbeiteten Points of Focus; die Kriterien selbst blieben gleich. Die technische Arbeit steckt vor allem in diesen Common Criteria.
- CC6.8
- Unautorisierte oder bösartige Software verhindern oder erkennen und darauf reagieren.
- CC7.1
- Konfigurationsänderungen erkennen, die Schwachstellen schaffen, und Anfälligkeit für neu entdeckte Schwachstellen.
- CC7.2
- Systemkomponenten auf Anomalien überwachen, die auf Angriffe, Naturereignisse oder Fehler hindeuten.
- CC7.3
- Sicherheitsereignisse bewerten und entscheiden, ob es Vorfälle sind.
- CC7.4, CC7.5
- Mit einem festgelegten Programm auf Vorfälle reagieren und sich davon erholen.
- CC8.1
- Änderungen an Infrastruktur und Software autorisieren, testen, freigeben und umsetzen.
Typ I
Sind die Kontrollen zu einem Stichtag angemessen gestaltet? Eine Beschreibung und ein Urteil über das Design.
Typ II
Haben sie über einen Zeitraum von bis zu zwölf Monaten wirksam funktioniert? Der Prüfer zieht Stichproben aus dem ganzen Zeitraum; Aufzeichnungen müssen für jeden Tag vorliegen.
Kriterium, Umsetzung, Nachweis
Erkennungsregeln ordnen ihre Alarme Trust Services Criteria zu, und die Compliance-Seite zählt sie je Kriterium für den gewählten Zeitraum.
| Anforderung | Was Schildmark tut | Nachweis, der entsteht |
|---|---|---|
| CC6.8 | Kein Virenschutzprodukt. Alarme von Microsoft Defender for Endpoint und Sophos Central sowie Dateiintegritätsänderungen des Überwachungsagenten landen in einer Liste. | Alarme mit Kriterium. |
| CC7.1 | CIS-Konfigurationsprüfungen auf jedem Rechner, alle 10 Minuten neu gelesen; verwundbare Pakete, abgeglichen mit Hersteller- und NVD-Daten. | configuration_checks.csv, configuration_scores.csv |
| CC7.2 | Rechner, Netzwerksensoren, Firewalls, Microsoft 365, AWS und Google Cloud in einer Liste mit einheitlicher Schwere. | controls.csv: Alarme und Rechner je Kriterium im Zeitraum. |
| CC7.3 | Jeder Alarm öffnet mit Regel, MITRE-Technik, Rechnern und Logzeile; der Analyst beantwortet Fragen; Stummschalten braucht Einordnung und Begründung. | Stummschaltungen mit Begründung im Audit-Log. |
| CC7.4 | Sperren auf Ihrer eigenen Firewall aus dem Alarm, einer Regel oder dem Analysten; Regeln können auf Freigabe warten; geschützte Adressen werden nie gesperrt. | audit_trail.csv |
| CC7.5 | Nur teilweise: Die ausgenutzte Schwachstelle lässt sich beheben und als behoben bestätigen. Die Wiederherstellung Ihrer Systeme und Daten liegt bei Ihnen. | vulnerabilities_fixed.csv |
| CC8.1 | Nur für Patches: Jede Änderung wird geplant, geprobt, freigegeben (zwei Personen bei kritischen Rechnern), im Wartungsfenster installiert und geprüft. | patch_activity.csv |
Weil ein Typ-II-Zeitraum bis zu zwölf Monate dauern kann, warnt die Compliance-Seite, wenn Logs kürzer als 365 Tage aufbewahrt werden, und das README im Nachweispaket nennt die Unterschreitung. Mehr zu Erkennung, geprüftem Patching, Compliance-Seite und Nachweispaket, und in der Dokumentation: Compliance, Patching.
Was Schildmark nicht abdeckt
Ein SOC-2-Bericht umfasst Ihr gesamtes Kontrollumfeld. Diese Teile bleiben bei Ihnen und Ihrem Prüfer.
- CC1 to CC5
- Kontrollumfeld, Kommunikation, Risikobeurteilung, Überwachung der Kontrollen und Richtlinien.
- CC6.1 to CC6.7
- Logischer und physischer Zugriff auf Ihre Systeme. Alarme mit CC6.1 können es stützen; das Zugriffsmanagement liegt bei Ihnen.
- CC9
- Lieferanten- und Partnerrisiken sowie Betriebsunterbrechungen.
- Weitere Kategorien
- Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz, sofern im Umfang.
- Der Bericht
- Ihre Systembeschreibung und die Prüfung durch eine CPA-Gesellschaft.
Wie eine Einführung abläuft
Meist Tage, nicht Monate. Auf Ihren Firewalls wird nichts installiert.
Betrieb wählen
Von uns betrieben oder auf einem oder zwei eigenen Linux-Servern. In jedem Fall mit eigener Installation.
Rechner anbinden
Ein Befehl pro Rechner unter Windows, macOS und Linux, oder ein MSI für Intune, Configuration Manager oder Gruppenrichtlinien.
--patchingfügt Patching hinzu.Quellen anbinden
Firewall-Logs, Microsoft 365, AWS und Google Cloud sowie die Firewalls, auf denen gesperrt wird, eingerichtet in der Konsole.
SOC 2 wählen, 365 Tage
SOC 2 auf der Compliance-Seite einschalten, Logs mindestens 365 Tage aufbewahren und das Nachweispaket für den geprüften Zeitraum exportieren.
Häufige Fragen
Was ist der Unterschied zwischen SOC 2 Typ I und Typ II?
Ein Typ-I-Bericht beschreibt Ihr System und beurteilt, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Typ-II-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam funktioniert haben; der Prüfer zieht also Stichproben aus dem ganzen Zeitraum, nicht nur vom Tag der Prüfung.
Wie lang ist der Prüfzeitraum bei SOC 2 Typ II?
Er wird mit Ihrem Prüfer vereinbart und kann bis zu zwölf Monate umfassen. Aufzeichnungen müssen für den gesamten Zeitraum vorliegen; deshalb warnt Schildmark, wenn Logs kürzer als 365 Tage aufbewahrt werden.
Verlangt SOC 2 einen Virenschutz?
CC6.8 verlangt Kontrollen, die unautorisierte oder bösartige Software verhindern oder erkennen und darauf reagieren. Ein Produkt wird nicht genannt. Meist erfüllt man das mit Malware-Schutz auf den Rechnern plus Überwachung, die jemand auswertet; Schildmark ist der zweite Teil, nicht der erste.
Welche SOC-2-Kriterien deckt Sicherheitsüberwachung ab?
Vor allem CC7.2, die Überwachung von Systemkomponenten auf Anomalien, und CC7.3, die Bewertung von Sicherheitsereignissen als mögliche Vorfälle. CC7.1 betrifft Konfigurations- und Schwachstellenüberwachung, CC7.4 die Reaktion auf Vorfälle.
Hat die Überarbeitung 2022 die SOC-2-Kriterien geändert?
Nein. Das AICPA hat 2022 die Points of Focus überarbeitet; die Trust Services Criteria von 2017 selbst blieben unverändert. Points of Focus helfen beim Gestalten und Bewerten von Kontrollen, sind aber keine eigenen Anforderungen.
Typ-II-Zeitraum steht bevor?
Sagen Sie uns, wann Ihr Prüfzeitraum beginnt und was im Umfang ist. Wir zeigen Ihnen die Nachweise, die Schildmark ab dem ersten Tag festhält. Preis pro geschütztem Rechner.