SOC 2 Asset-Management: Was Sie dem Prüfer zeigen

Um SOC-2-Prüfern zu zeigen, dass Sie Ihre Assets verwalten, führen Sie ein einziges Register der Geräte, Systeme und Lieferantenverträge, die Kundendaten berühren, mit Verantwortlichem, Status und Standort je Eintrag, und weisen Sie nach, wie ein Objekt hinzukommt, den Besitzer wechselt und ausscheidet. SOC 2 kennt keine Kontrolle namens „Asset-Inventar“. Prüfer ordnen Ihr Register den Kriterien zu Zugriff, Entsorgung und Lieferanten zu, geprüft wird also, ob das Register der Realität entspricht.

Verlangt SOC 2 wirklich ein Asset-Inventar?

SOC 2 ist ein Testatsbericht auf Basis der vom AICPA veröffentlichten Trust Services Criteria. Eine Zeile „führe ein Asset-Inventar“ gibt es nicht. Die Common Criteria stützen sich aber darauf. Das Kriterium zum logischen Zugriff (CC6.1) nennt die Verwaltung eines Inventars von Informationswerten unter seinen Schwerpunkten, das Kriterium zur Entsorgung physischer Assets (CC6.5) verlangt zu wissen, was entsorgt wird, und das Lieferantenkriterium (CC9.2) setzt voraus, dass Sie Ihre Abhängigkeiten kennen.

Der Prüfer testet Ihre eigene Systembeschreibung und Ihre Richtlinien. Schreiben Sie, dass Geräte erfasst und überprüft werden, zieht er Stichproben aus dem Register. Eine kurze, zutreffende Zusage ist besser als eine ehrgeizige, die Sie nicht belegen können.

Quelle: Das AICPA veröffentlicht die Trust Services Criteria und die SOC-2-Hinweise unter aicpa-cima.com.

Was will der Prüfer sehen?

Die Anforderungen unterscheiden sich je nach Prüfer, folgen aber oft diesem Muster. Nutzen Sie es als Ausgangspunkt und klären Sie es mit Ihrem Prüfer.

Typ I oder Typ II: Was ändert sich für das Register?

Ein Typ-I-Bericht prüft, ob Ihre Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Typ-II-Bericht testet, ob sie über einen Zeitraum wirksam waren, häufig mehrere Monate. Für das Register ist das der eigentliche Unterschied. Für Typ I genügt eine Momentaufnahme. Bei Typ II zieht der Prüfer Stichproben aus dem gesamten Zeitraum, Sie müssen also zeigen, was das Register damals sagte, nicht nur heute.

Praktisch heißt das: Sichern Sie in regelmäßigen Abständen einen Export und versehen Sie jede Statusänderung mit einem Datum. Wurde ein Laptop im März neu zugewiesen, muss der Eintrag weiterhin zeigen, wer ihn vorher hatte.

Welches Mindestregister braucht ein Startup?

Sie brauchen keine Enterprise-CMDB. Decken Sie ab, was Kundendaten berührt, und erfassen Sie überall dieselben Felder.

• Hardware: Laptops und Telefone sowie eigene Server oder Netzwerkgeräte, mit Seriennummer.
• Verantwortlicher: eine benannte Person, kein gemeinsames Postfach.
• Status: auf Lager, im Einsatz, in Reparatur, ausgemustert.
• Standort: Büro, Homeoffice oder Lager.
• Verschlüsselung und Verwaltung: ob die Festplatte verschlüsselt und das Gerät in Ihrer Geräteverwaltung eingebunden ist, mit Verweis im Eintrag.
• Lieferantenverträge: Verantwortlicher, Enddatum und Kündigungsfrist für jeden Lieferanten, der Kundendaten speichert oder verarbeitet.
• Entsorgung: Datum und Link zum Löschzertifikat.

Wie bleibt es zwischen Audits korrekt?

Register veralten an den Rändern: Ein neuer Mitarbeiter erhält einen Laptop aus dem Lager, ein Ausscheidender behält ein Telefon, ein Lieferant verlängert stillschweigend. Drei Gewohnheiten decken das meiste ab. Gleichen Sie das Register einmal im Monat mit der Liste Ihres Identitätsanbieters ab und beheben Sie jede Abweichung. Verknüpfen Sie es mit Ihrer Offboarding-Checkliste, damit eine Rückgabe am selben Tag erfasst wird. Und prüfen Sie jedes Quartal die Entsorgungsnachweise, denn Löschzertifikate sind das, was Teams später am häufigsten nicht finden.

Den größeren Rahmen dessen, was Prüfer erwarten, finden Sie in IT-Asset-Audit überstehen und im sehr ähnlichen ISO-27001-Asset-Register.

Wo passt InventorIA hinein?

InventorIA führt das Hardwareregister (Zuweisung, Status, Garantie, Standort und Lebenszyklusstatus), die Softwarelizenzen mit ihren Plätzen und das Vertragsregister mit Beginn, Ende und Verlängerungswarnungen an einem Ort. Personen und Offboarding verknüpfen jede Person mit den Assets und Plätzen, die sie hält, und die Daten lassen sich als CSV oder Excel exportieren, damit Sie dem Prüfer eine datierte Kopie übergeben. Ein Audit-Log gehört zum Enterprise-Tarif.

Es ist ein Werkzeug zur Registerführung. Es macht Sie nicht allein SOC-2-konform, Löschung, Verschlüsselung und Zugriffskontrollen betreiben und belegen weiterhin Sie. Zum Ausprobieren mit Beispieldaten öffnen Sie die Live-Demo oder starten einen kostenlosen Arbeitsbereich mit bis zu 10 Assets.

Häufige Fragen

Ist ein Asset-Inventar für SOC 2 Pflicht?

Die Kriterien enthalten keine Kontrolle mit genau diesem Namen, aber Zugriff, Entsorgung und Lieferanten setzen voraus, dass Sie Ihre Assets kennen, daher erwarten Prüfer eines. Beschreiben Sie in der Systembeschreibung, was Sie tatsächlich tun.

Müssen private Geräte (BYOD) ins Register?

Wenn sie auf Kundendaten zugreifen können, ja, oder Ihre Richtlinie muss das verbieten und Sie müssen zeigen können, wie das durchgesetzt wird. Dem Prüfer ist wichtig, dass Regel und Praxis übereinstimmen.

Reicht für das erste Audit eine Tabelle?

Ja, wenn sie vollständig ist, Verantwortliche und Daten enthält und nach Plan abgeglichen wird. Ein Tool erleichtert vor allem Historie und monatliche Prüfung.

Wie oft sollte das Register überprüft werden?

Ein monatlicher Abgleich mit der Identitätsliste ist für ein Startup üblich, dazu eine gründlichere Prüfung je Quartal. Wählen Sie einen Rhythmus, den Sie einhalten, und halten Sie ihn ein.

Macht uns InventorIA SOC-2-konform?

Nein. Es hält die Nachweise bereit, die Prüfer verlangen. Die Konformität hängt von Ihren Richtlinien, Kontrollen und dem Urteil des Prüfers ab.