Was ist der Unterschied zwischen einem SOC-2-Bericht Typ 1 und Typ 2?

Ein Typ-1-Bericht prüft, ob Kontrollen zu einem Stichtag angemessen gestaltet und eingerichtet sind; ein Typ-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum, meist mehrere Monate, wirksam funktioniert haben. Typ 1 beantwortet „Haben Sie an diesem Tag die richtigen Kontrollen?“, Typ 2 „Haben sie die ganze Zeit tatsächlich gewirkt?“; deshalb bevorzugen Kunden, die sich auf einen Lieferanten verlassen, meist Typ 2. Ein Typ 2 braucht Nachweise über den ganzen Zeitraum: fristgerecht durchgeführte Berechtigungsprüfungen, vor der Freigabe genehmigte Änderungen, nach Verfahren behandelte Vorfälle, geprüfte Überwachungsalarme. Unternehmen beginnen oft mit Typ 1, um die Gestaltung zu ordnen, betreiben dann die Kontrollen und sammeln Nachweise für Typ 2. Prüfen Sie bei beiden die Daten, den Umfang, die abgedeckten Kriterien und jede vom Prüfer genannte Abweichung, und fragen Sie, wie sie behoben wurde. Den eigenen Stand nennt NetSenX offen: SOCSOC: Security Operations Center. Ein Team, oft rund um die Uhr, das Angriffe erkennt und darauf reagiert. 2 Type I ist in Vorbereitung, ein SOC-2-Bericht wurde bisher in keinem Typ erstellt, und Type II würde folgen, sobald Kontrollen über einen Zeitraum gelaufen sind.

← Alle 15 Fragen zu Sicherheitsstandards: ISO 27001, SOC 2Alle Themen