SOC 2 Typ II

Sicherheitstests und Schwachstellenmanagement für SOC 2

Prüfer für SOC 2 Typ II untersuchen Ihr Schwachstellenmanagement über den gesamten Prüfungszeitraum hinweg. Die Zeiten, in denen einmalige Scans die Prüfer zufriedenstellten, sind vorbei. KENSAI liefert die lückenlose, kontinuierliche Nachweiskette, die moderne SOC-2-Prüfungen erfordern.

SOC-2-Bewertung starten → Demo vereinbaren

Allgemeine SOC-2-Kriterien für das Schwachstellenmanagement

SOC 2 basiert auf den Trust Services Criteria (TSC) des AICPA. Nachweise zum Schwachstellenmanagement sind hauptsächlich gemäß den Allgemeinen Kriterien (CC) erforderlich, die sich auf den Systembetrieb und das Änderungsmanagement beziehen:

CC7.1 — Systemüberwachung

Das Unternehmen setzt Erkennungs- und Überwachungsverfahren ein, um Konfigurationsänderungen, neue Schwachstellen und Anomalien zu identifizieren. Prüfer erwarten Folgendes: fortlaufende Schwachstellenscans, dokumentierte Prozesse und Nachweise dafür, dass die Überwachung kontinuierlich erfolgt – nicht nur vierteljährlich.

CC7.2 — Reaktion auf Sicherheitsvorfälle

Sicherheitsvorfälle (einschließlich der Ausnutzung von Schwachstellen) werden identifiziert und bearbeitet. Das Schwachstellenmanagement fließt direkt in den Prozess zur Reaktion auf Sicherheitsvorfälle ein.

CC8.1 — Änderungsmanagement

Änderungen an Infrastruktur, Daten, Software und Prozessen werden autorisiert, konzipiert, entwickelt, dokumentiert, getestet, überprüft und implementiert. Schwachstellenscans nach Änderungen werden als Nachweis erwartet.

CC9.2 — Risikominderung

Das Unternehmen wählt und entwickelt Maßnahmen zur Risikominderung, einschließlich der Identifizierung und Behebung von Schwachstellen. Hier werden Ihre Priorisierung von Schwachstellen und Ihre Behebungs-SLAs bewertet.

💡 Typ I vs. Typ II: SOC 2 Typ I ist eine zeitpunktbezogene Bewertung. Typ II deckt einen Zeitraum ab (üblicherweise 6–12 Monate). Bei Typ II werden Prüfer stichprobenartig Nachweise zu Schwachstellenscans aus dem gesamten Prüfungszeitraum anfordern und auf eine konsistente, wiederholbare Durchführung achten. Ein einzelner Scan im elften Monat reicht nicht aus.

Was SOC-2-Prüfer tatsächlich anfordern

Basierend auf üblichen Prüferanfragen im Rahmen von SOC-2-Prüfungen müssen Sie Folgendes bereitstellen:

Nachweisart	Häufigkeit	Was Prüfer erwarten
Ergebnisse von Schwachstellenscans	Monatlich oder kontinuierlich	Zeitstempel, Umfang, Anzahl der Befunde, Aufschlüsselung nach Schweregrad
Penetrationstestbericht	Jährlich	Methodik, Umfang, Befunde, Behebungsstatus
Nachverfolgung der Behebung	Kontinuierlich	Ticketverlauf von der Entdeckung über die Behebung bis zum erneuten Test
Aufzeichnungen zum Patch-Management	Kontinuierlich	Kritische Patches innerhalb des SLA installiert (üblicherweise 30 Tage)
Richtlinie zum Schwachstellenmanagement	Zum Prüfungszeitpunkt	Schriftliche Richtlinie mit Definitionen der Schweregrade und Behebungs-SLAs
Dokumentation der Risikoakzeptanz	Pro Ausnahme	Unterzeichnete Risikoakzeptanz für bekannte, nicht gepatchte Schwachstellen

Penetrationstests für SOC 2

Obwohl SOC 2 keine ausdrückliche Häufigkeit für Penetrationstests vorschreibt, enthalten praktisch alle glaubwürdigen SOC-2-Berichte Nachweise über jährliche Penetrationstests. Prüfer betrachten dies als Beleg für ein ausgereiftes Schwachstellenmanagement.

Wesentliche Anforderungen an Penetrationstestnachweise für SOC 2:

Durchführung durch einen qualifizierten externen Dienstleister (nicht ausschließlich durch das interne Sicherheitsteam)
Der Umfang deckt alle für SOC 2 relevanten Systeme ab (nicht nur eine Teilmenge)
Der Bericht enthält Befunde mit Schweregradbewertungen und Empfehlungen zur Behebung
Die Behebung von Befunden mit hohem/kritischem Schweregrad ist einschließlich der Bestätigung durch erneute Tests dokumentiert
Eine Zusammenfassung für die Geschäftsleitung, die für die Aufnahme in den SOC-2-Bericht geeignet ist

Wie KENSAI die SOC-2-Compliance unterstützt

✓ Nachweise kontinuierlicher Scans

Tägliche oder wöchentliche Scans mit Berichten samt Zeitstempel liefern die lückenlose Nachweiskette, die Prüfer für SOC 2 Typ II über den gesamten Prüfungszeitraum hinweg verlangen.

✓ Nachverfolgung von Behebungs-SLAs

Definieren und verfolgen Sie Behebungs-SLAs nach Schweregrad. KENSAI erstellt Berichte, die die Einhaltung Ihrer dokumentierten Fristen zur Behebung von Schwachstellen belegen.

✓ Durch Änderungen ausgelöste Scans

Lösen Sie nach Infrastrukturänderungen automatisch Scans aus, um die Anforderungen von CC8.1 an Sicherheitstests bei Änderungen zu erfüllen.

✓ Prüfungsfertige Berichte

Exportieren Sie den Scanverlauf, Behebungskennzahlen und Trendanalysen in Formaten, die für die Prüfung konzipiert sind. Reduzieren Sie den Zeitaufwand für die Prüfungsvorbereitung erheblich.

✓ Workflow zur Risikoakzeptanz

Dokumentieren Sie Entscheidungen zur Risikoakzeptanz für Schwachstellen, die nicht sofort behoben werden können, einschließlich Unterschriften der Genehmigenden und Überprüfungsterminen.

✓ Berichte zur Asset-Abdeckung

Weisen Sie Prüfern mithilfe eines umfassenden Asset-Inventars nach, dass alle relevanten Systeme durch Ihr Schwachstellenmanagement abgedeckt sind.

Aufbau eines SOC-2-konformen Schwachstellenmanagements

Definieren Sie Ihre Richtlinie zum Schwachstellenmanagement — Dokumentieren Sie Definitionen der Schweregrade und Behebungs-SLAs (z. B. kritisch: 7 Tage, hoch: 30 Tage, mittel: 90 Tage)
Erfassen Sie alle relevanten Assets — Ein vollständiges Asset-Inventar ist die Grundlage; was Sie nicht kennen, können Sie nicht scannen
Implementieren Sie kontinuierliche Scans — Mindestens wöchentliche Scans; für mit dem Internet verbundene Systeme werden tägliche Scans bevorzugt
Etablieren Sie Workflows zur Behebung — Tickets, Verantwortliche, Fristen und Abschlusskriterien mit entsprechenden Nachweisen
Jährliche Penetrationstests — Beauftragen Sie mindestens einmal jährlich einen qualifizierten externen Dienstleister
Dokumentieren Sie Ausnahmen — Dokumentieren Sie für Schwachstellen, die nicht sofort behoben werden können, die Risikoakzeptanz einschließlich einer geschäftlichen Begründung
Weisen Sie eine positive Trendentwicklung nach — Prüfer möchten ein Programm sehen, das sich im Laufe der Zeit verbessert und nicht stagniert

Bestehen Sie Ihre SOC-2-Prüfung mit Zuversicht

KENSAI bietet die kontinuierlichen Schwachstellenscans, die Nachverfolgung der Behebung und die prüfungsfertige Berichterstattung, die SOC 2 Typ II erfordert. Beginnen Sie noch heute mit dem Aufbau Ihrer Nachweiskette.

SOC-2-Compliance starten → Mit einem Compliance-Experten sprechen