Die wichtigsten Unterschiede
- Ergebnis: ISO/IEC 27001 ergibt ein öffentliches Zertifikat. SOC 2 ergibt einen Bericht, der meist unter Vertraulichkeitsvereinbarung geteilt wird.
- Ausgestellt von: einer akkreditierten Zertifizierungsstelle bei ISO; einer zugelassenen CPA-Wirtschaftsprüfungsgesellschaft bei SOC 2.
- Schwerpunkt: ISO verlangt ein Managementsystem mit Risikomanagement im Kern. SOC 2 prüft Kontrollen anhand der Trust Services Criteria des AICPA.
- Märkte: ISO ist weltweit breit anerkannt, besonders in Europa. SOC 2 ist die übliche Anforderung in Nordamerika.
SOC 2 in Kürze
Die Kriterien umfassen Sicherheit, verpflichtend, sowie optional Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Ein Typ-I-Bericht betrachtet das Design der Kontrollen zu einem Stichtag; ein Typ-II-Bericht prüft zusätzlich, dass sie über einen Zeitraum gewirkt haben.
Wie man wählt
- Fragen Sie Ihre Kunden und Interessenten, was sie verlangen.
- Sie verkaufen vor allem in Europa oder weltweit: ISO/IEC 27001 ist oft die erste Wahl.
- Sie verkaufen vor allem an US-Unternehmen: SOC 2 wird meist erwartet.
- Beides wird verlangt: Bauen Sie einen einzigen Satz von Kontrollen und Nachweisen auf und nutzen Sie ihn für beide.
Fragen
- Ist SOC 2 eine Zertifizierung?
- Nein. Es ist ein Bestätigungsbericht: das Urteil eines Prüfers über Ihre Kontrollen. Niemand ist im Sinne der ISO SOC-2-zertifiziert.
- Lässt sich ISO-27001-Arbeit für SOC 2 wiederverwenden?
- Weitgehend. Viele Kontrollen und ein Großteil der Nachweise sind gemeinsam, und die Kriterien lassen sich Anhang A zuordnen, auch wenn jedes Audit eigene Anforderungen hat.