Erfordert SOC 2 einen Penetrationstest?
Kurze Antwort: Nein, und gleichzeitig Ja. In SOC 2 gibt es keine Zeile, die besagt: „Sie müssen einen Penetrationstest durchführen.“ Die meisten Auditoren erwarten jedoch trotzdem einen. Wenn Sie dies lesen, weil ein Kunde oder ein Vertriebsdeal auf Ihren Bericht wartet, ist genau diese Lücke zwischen dem Wortlaut des Standards und dem, was Ihr Auditor akzeptiert, das, was erklärt werden muss. Hier ist die Erklärung, ohne Marketing-Geplänkel.
Was SOC 2 tatsächlich ist
SOC 2 ist keine Checkliste von Kontrollen. Es ist ein Testatsbericht, der von einer zugelassenen Wirtschaftsprüfungsgesellschaft (CPA-Firm) erstellt und an den Trust Services Criteria des AICPA gemessen wird. Das AICPA (American Institute of Certified Public Accountants) veröffentlicht diese Kriterien öffentlich, und sie sind als breite Zielsetzungen verfasst, nicht als spezifische Werkzeuge. Dieses Design ist bewusst gewählt. Dem Standard geht es darum, ob Sie das Ziel erreichen, nicht darum, welches Produkt Sie dafür gekauft haben.
Deshalb werden Sie „Penetrationstest“ nie als harten Pflichtpunkt aufgeführt finden. SOC 2 funktioniert so nicht. Es stellt die Frage, ob Sie Ihre Systeme überwachen, Schwachstellen verwalten und Ihre Kontrollen bewerten, und überlässt das Wie Ihnen und Ihrem Auditor.
Woher die Erwartung eines Pentests tatsächlich kommt
Liest man die Kriterien durch, übernehmen zwei davon die Hauptarbeit.
- CC4.1, das Überwachungskriterium, befasst sich damit, wie das Management evaluiert, ob seine Kontrollen funktionieren. Der erläuternde Text des AICPA führt Penetrationstests als Beispiel für eine separate Evaluierung an, die eine Organisation hierfür nutzen kann. Es wird als Veranschaulichung genannt, nicht als Vorschrift, aber es wird genannt.
- CC7.1 deckt das Erkennen von Schwachstellen und Konfigurationsänderungen ab. Vulnerability Scanning passt hier natürlich, und die meisten Auditoren erwarten, dass es regelmäßig durchgeführt wird.
Der Pentest ist im Text also nicht vorgeschrieben. Er ist der gebräuchlichste und belastbarste Weg, Nachweise zu erbringen, die CC4.1 erfüllen, und Auditoren erwarten ihn mittlerweile gewohnheitsmäßig, weil es der Nachweis ist, dem sie vertrauen. Wenn Leute sagen „SOC 2 erfordert einen Pentest“, meinen sie eigentlich genau das: Ihr Auditor wird sehr wahrscheinlich einen verlangen, obwohl der Standard selbst es nicht tut.
Was das in der Praxis bedeutet
Einige ehrliche Realitäten, die die Kriterien implizieren, aber nicht explizit aussprechen:
- Ihr Auditor setzt die Messlatte an, nicht ein Blog. Zwei Audit-Firmen können unterschiedliche Nachweise für dasselbe Kriterium akzeptieren. Bevor Sie irgendetwas kaufen, fragen Sie Ihren Auditor direkt, was er für CC4.1 und CC7.1 erwartet. Seine Antwort ist die einzige, die für Ihren Bericht maßgeblich ist.
- Ein Scan ist kein Pentest, und Auditoren erkennen den Unterschied. Vulnerability Scanning unterstützt CC7.1. Für sich genommen erbringt es jedoch nicht die Art von unabhängiger Evaluierung, auf die CC4.1 abzielt. Wenn Sie einen umbenannten Scan einreichen und ihn als Penetrationstest bezeichnen, wird ein erfahrener Auditor das bemerken, und der Unternehmenskunde, der Ihren Bericht liest, ebenfalls.
- Type 2 birgt eine Zeitfalle. Ein SOC 2 Type 1 ist eine Stichtagsaufnahme. Ein Type 2 deckt einen Zeitraum ab, oft mehrere Monate bis zu einem Jahr. Damit der Test als Nachweis für einen Type 2 zählt, muss er in der Regel in diesen Beobachtungszeitraum fallen. Ein Pentest von vor achtzehn Monaten hilft Ihnen möglicherweise nicht weiter.
- Jährlich ist der übliche Rhythmus. Die meisten Auditoren betrachten einen mindestens einmal jährlich durchgeführten Test als Mindesterwartung, mit einem neuen Test vor jeder Erneuerung. Das Gesamtbild über verschiedene Frameworks hinweg behandeln wir in wie oft sollte man einen Penetrationstest durchführen lassen?
Verwechseln Sie SOC 2 nicht mit einer Sicherheitsgarantie
Hier müssen wir Klartext sprechen, denn das ist der Teil, den Käufer falsch verstehen. Ein SOC 2-Bericht teilt einem Kunden mit, dass eine Wirtschaftsprüfungsgesellschaft Ihre Kontrollen über einen Zeitraum hinweg anhand von Kriterien evaluiert hat. Das bedeutet nicht, dass Sie nicht gehackt werden können, und es bedeutet nicht, dass der enthaltene Pentest tiefgehend war. Ein Test, dessen Scope gerade so eng gefasst wurde, um ein Häkchen zu setzen, durchgeführt vom billigsten Anbieter, kann den Bericht technisch unterstützen und trotzdem den Weg übersehen, den ein Angreifer tatsächlich nimmt.
Wenn Sie einen Pentest nur durchführen, um das Audit zu bestehen, erhalten Sie ein Zertifikat. Wenn Sie ihn durchführen, um tatsächlich herauszufinden, wo Sie angreifbar sind, erhalten Sie Sicherheit. Das kann derselbe Test sein. Es ist jedoch nicht automatisch derselbe Test, und der Unterschied liegt darin, wer die Arbeit macht und wie ehrlich der Scope definiert ist.
Was sollten Sie also konkret tun?
Wenn SOC 2 auf Ihrer Roadmap steht, ist die vernünftige Reihenfolge: Klären Sie mit Ihrem gewählten Auditor, was er für CC4.1 und CC7.1 erwartet, und definieren Sie dann den Scope eines Penetrationstests, der diese Erwartung erfüllt und zeitlich auf Ihr Beobachtungsfenster abgestimmt ist. Kaufen Sie keinen Test blind und akzeptieren Sie keinen Scan, der als Pentest getarnt ist.
Es gibt jedoch einen günstigeren Schritt, der all dem vorausgehen sollte. Bevor Sie sich zu einem fünfstelligen Projekt für Audit-Zwecke verpflichten, lohnt es sich zu wissen, was ein Angreifer von außen bereits sieht, damit Sie ohne offensichtliche Schwachstellen in den Prozess gehen, die Sie überraschen könnten. Das ersetzt zwar nicht den Pentest, den Ihr Auditor sehen will, und das sagen wir Ihnen auch ganz direkt. Es bedeutet schlichtweg, dass Sie den SOC 2-Prozess mit offenen statt geschlossenen Augen beginnen.
Unser $100-Check ist dieser erste Blick: eine gezielte Überprüfung Ihrer externen Angriffsfläche, durchgeführt in einem Scope, dessen Eigentum Sie bestätigt und schriftlich autorisiert haben, überprüft von einem Senior Operator und geliefert mit einer 30-minütigen Besprechung. Wenn Ihr SOC 2-Auditor einen vollständigen Penetrationstest benötigt, wird dieser Check ihm nicht genügen, und das sagen wir Ihnen, bevor Sie bezahlen, nicht danach. Aber es ist der ehrliche, günstige Ausgangspunkt.
SOC 2 und Penetrationstests: Kurze Antworten
Erfordert SOC 2 einen Penetrationstest?
Nein. SOC 2 enthält keine Zeile, die einen verlangt; die AICPA Trust Services Criteria sind als breite Zielsetzungen verfasst, nicht als spezifische Werkzeuge. Die meisten Auditoren erwarten jedoch einen Penetrationstest als Nachweis für die Überwachungs- und Schwachstellenkriterien, sodass Sie in der Praxis fast immer einen benötigen.
Welche SOC 2-Kriterien weisen auf Penetrationstests hin?
CC4.1 (Überwachung) und CC7.1 (Erkennen von Schwachstellen). Die erläuternde Handreichung des AICPA nennt Penetrationstests als Beispiel für die separate Evaluierung, die CC4.1 erfüllen kann. Es ist ein Beispiel, keine Vorschrift.
Wie oft benötigt man einen Pentest für SOC 2?
Die meisten Auditoren erwarten mindestens jährliche Tests, die zeitlich in Ihr Type 2-Beobachtungsfenster fallen. Stimmen Sie den genauen Rhythmus mit Ihrem eigenen Auditor ab.
Reicht ein Vulnerability Scan für SOC 2 aus?
Ein Scan unterstützt den Nachweis zum Schwachstellenmanagement, zeigt für sich genommen jedoch nicht die unabhängige Evaluierung, nach der Auditoren suchen. Ein Scan, der als Penetrationstest umdeklariert wird, fällt in der Regel auf.
Weiterführende Artikel
Starten Sie SOC 2 mit offenen Augen.
Unser $100-Check zeigt, was ein Angreifer von außen sieht, bevor Sie sich zu einem Projekt für Audit-Zwecke verpflichten. Wenn Ihr Auditor einen vollständigen Pentest benötigt, sagen wir das ganz offen.
$100-Check buchen