Für die Sicherheit und den Schutz der Gemeinschaften. Gemeinsam!

Der SOC2 Typ II-Bericht bezieht sich auf interne Kontrolle und basiert sich auf dem Berichtsstandard AT 101. Er erfasst, wie ein Unternehmen Kundendaten schützt und wie gut diese Kontrollen funktionieren. Unternehmen, die Cloud-Service-Anbieter nutzen, verwenden SOC2-Berichte, um die mit den Technologiedienstleistungen Dritter verbundenen Risiken zu bewerten und anzugehen. Diese Berichte werden von einem unabhängigen Dritten erstellt, der die Grundsätze der Sicherheit, Verfügbarkeit, Vertraulichkeit und des Datenschutzes prüft.

Der SOC3-Bericht bietet eine Zusammenfassung auf hoher Ebene der internen Kontrollen eines Unternehmens in Bezug auf Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Im Gegensatz zum SOC2-Bericht, der detaillierte und eingeschränkte Informationen enthält, ist der SOC3-Bericht für die öffentliche Verbreitung bestimmt und zeigt die Verpflichtung zur Einhaltung der AICPA Trust Services Criteria. Diese Berichte werden von unabhängigen Wirtschaftsprüfern erstellt und dienen als öffentliche Bescheinigung über die betriebliche Effizienz einer Dienstleistungsorganisation über einen bestimmten Zeitraum.

ISO/IEC 27001 ist ein Sicherheitsstandard, der ein Information Security Management System (ISMS) formal spezifiziert, das dazu bestimmt ist, die Informationssicherheit unter ausdrückliche Managementkontrolle zu stellen. Als formale Spezifikation legt es Anforderungen fest, die definieren, wie das ISMS umsetzt, überwacht, aufrechterhalten und kontinuierlich verbessert werden soll. Der Standard schreibt auch eine Reihe von Best Practices vor, die Dokumentationsanforderungen, Verantwortungsbereiche, Verfügbarkeit, Zugangskontrolle, Sicherheit, Audits sowie Korrektur- und Präventivmaßnahmen umfassen.

Dieser internationale Standard bietet zusätzliche, cloud-spezifische Umsetzungsleitlinien auf Grundlage von ISO/IEC 27002 und stellt zusätzliche Kontrollen bereit, um cloud-spezifische Bedrohungen und Risiken der Informationssicherheit zu adressieren, unter Bezugnahme auf die Abschnitte 5–18 in ISO/IEC 27002: 2013 für Kontrollen, Umsetzungsleitlinien und andere Informationen.

ISO hat ISO/IEC 27018:2014 übernommen, einen Zusatz zu ISO/IEC 27001, ein Rahmenwerk für Cloud-Datenschutz. Dieser Standard stützt sich hauptsächlich auf die EU-Datenschutzgesetze und enthält spezifische Kontrollen und Leitlinien für Cloud Service Provider (CSPs), die als Verarbeiter personenbezogener Daten handeln.