Ihren SOC-2-Bericht erhalten, ohne zuerst ein Security-Team aufzubauen.

Ein Type I kann kurz nach der Vorbereitung folgen, weil er einen einzelnen Stichtag prüft. Ein Type II braucht einen Beobachtungszeitraum von meist 3 bis 12 Monaten, bevor die Prüfung beginnt. Ihr Scoping-Gespräch liefert Ihnen einen Plan mit konkreten Terminen, einschließlich des realistischen Zeitpunkts, zu dem der Bericht bei Ihren Kunden vorliegen kann.

Beginnen Sie mit Type I, wenn ein Deal kurzfristig einen Bericht erfordert und Ihr Kunde einen Type I akzeptiert, und wechseln Sie dann zu Type II. Wenn Kunden bereits nach Type II fragen, starten Sie dessen Beobachtungszeitraum so früh, wie Ihre Kontrollen es zulassen, statt Zeit in einen Type I zu investieren, den niemand liest.

Sicherheit ist in jedem Bericht Pflicht. Nehmen Sie Verfügbarkeit auf, wenn Kunden auf Ihre Verfügbarkeitszusagen angewiesen sind, Vertraulichkeit, wenn Sie vertrauliche Geschäftsdaten verarbeiten, Verarbeitungsintegrität, wenn Sie Transaktionen für Kunden abwickeln, und Datenschutz, wenn Sie personenbezogene Informationen erheben und nutzen. Kriterien, nach denen niemand gefragt hat, vergrößern den Umfang, ohne Deals zu gewinnen.

Ein Festpreis, der vor Arbeitsbeginn vereinbart wird und Plattform, Expertenarbeit und Sicherheitsscans umfasst. Die Auditgebühr der CPA-Prüfungsgesellschaft wird direkt an diese gezahlt, weil der Auditor unabhängig von demjenigen bleiben muss, der Sie bei der Vorbereitung unterstützt hat. Im Scoping-Gespräch nennen wir Ihnen eine realistische Spanne für diese Gebühr.

Nein. Ein SOC-2-Bericht kann nur von einer unabhängigen CPA-Prüfungsgesellschaft ausgestellt werden. Wir stimmen uns mit dem Auditor Ihrer Wahl oder einem aus unserem Partnernetzwerk ab, bereiten Nachweise für seine Anfragen vor und begleiten Sie durch die Prüfung.

Nein. SOC 2 ist ein Testat: Der Auditor gibt ein Prüfungsurteil über Ihre Kontrollen ab, statt ein Zertifikat auszustellen. Es gibt kein formales Ablaufdatum, doch Kunden erwarten in der Regel einen Bericht über die letzten 12 Monate. Deshalb erneuern die meisten Unternehmen ihn jährlich.

Ausnahmen werden im Bericht aufgeführt, meist mit einer Stellungnahme des Managements. Ein paar kleinere Ausnahmen gefährden selten einen Deal, doch wiederholte Mängel in Bereichen wie Zugriffsprüfungen oder Änderungsmanagement können zu einem eingeschränkten Prüfungsurteil führen. Mit laufender Überwachung im Beobachtungszeitraum erkennen Sie Mängel, solange sie sich noch beheben lassen.

Viel. Zugriffskontrolle, Änderungsmanagement, Lieferantenrisiko, Incident Response und Überwachung decken sich weitgehend. SOC 2 ergänzt eine Systembeschreibung, das kriterienbasierte Prüfformat und bei Type II einen Beobachtungszeitraum. Wir nutzen Ihre vorhandenen Nachweise und bauen nur auf, was fehlt.

Ein Großteil der Nachweisarbeit schon. Cloud-Konfiguration, Identitäts- und Zugriffsdaten, Geräteprüfungen, Schulungsnachweise, Lieferantenverfolgung sowie Code- und Angriffsflächenscans werden laufend gesammelt und getestet. Den Umfang des Berichts festzulegen, die Systembeschreibung zu schreiben und zu bestimmen, wie Kontrollen in Ihrem Unternehmen funktionieren sollen, erfordert menschliches Urteil. Deshalb umfasst jedes Mandat einen Compliance-Lead.

Compliance-Software liefert Vorlagen, Integrationen und ein Dashboard, aber Ihr Team betreibt das Programm weiterhin selbst. Ein Berater bringt die Expertise, doch nach Ende des Mandats werden die Nachweise oft wieder von Hand gepflegt. SecureSlate verbindet beides: einen persönlichen Compliance-Lead, der die Arbeit auf einer Compliance-Automatisierungsplattform erledigt, mit Sicherheitsscans im selben Festpreis.