SOC 2 Workflow für das Lieferantenmanagement (CC9.2, CC3.4)

Was ist soc 2 workflow für das lieferantenmanagement (cc9.2, cc3.4)?

Lieferantenmanagement wird selten deshalb zum Problem, weil niemand den Dienstleister geprüft hätte. Es wird zum Problem, weil die Prüfung einmal stattgefunden hat, in einem Tabellenblatt, und danach nie wiederholt wurde. Ein Jahr später verarbeitet der Dienstleister Kundendaten in einer neuen Region, der Vertrag hat sich automatisch verlängert, und es gibt keinen Nachweis, dass jemand dazu eine Entscheidung getroffen hat.

CC9.2 verlangt deshalb einen Ablauf und kein Formular. Das Diagramm muss zeigen, wie ein neuer Lieferant nach Risiko klassifiziert wird, welche Unterlagen auf welcher Stufe verlangt werden, wer den Vertrag freigibt und was eine erneute Bewertung auslöst. Die Risikoklassifizierung ist dabei die wichtigste Verzweigung: Sie entscheidet, ob ein Dienstleister die vollständige Sicherheitsprüfung durchläuft oder nur leicht erfasst wird.

Für ein Type-II-Audit genügt es nicht, dass der Prozess existiert. Der Auditor zieht Stichproben über den gesamten Prüfzeitraum und verlangt zu jeder einzelnen den Nachweis: die ausgefüllte Bewertung, die unterschriebene Freigabe und die Dokumentation des Offboardings. Jeder Schritt im Diagramm braucht deshalb eine verantwortliche Rolle und einen benannten Nachweis.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Bedarfsmeldung: wer einen neuen Lieferanten vorschlagen darf, auf welche Daten und Systeme er zugreifen soll und wie der Vorschlag erfasst wird
• Risikoklassifizierung als Verzweigung des Ablaufs: ein Dienstleister ohne Datenzugriff nimmt den kurzen Weg, ein Auftragsverarbeiter mit Zugriff auf Produktivdaten geht in die vollständige Sicherheitsprüfung
• Due Diligence: Einholen von SOC-2-Bericht oder ISO-27001-Zertifikat, Prüfung der Unterauftragsverarbeiter und des Auftragsverarbeitungsvertrags, plus ein Zweig für unzureichende Unterlagen
• Vertrag und Freigabe: Sicherheitsanforderungen im Vertrag, rechtliche Prüfung und eine dokumentierte Freigabe mit Unterschrift, bevor der Dienstleister produktiv eingesetzt wird
• Laufende Überwachung: jährliche Neubewertung, Auswertung neuer Prüfberichte und ein Zweig, der bei geänderter Leistung oder geändertem Datenzugriff eine erneute Risikobewertung auslöst (CC3.4)
• Offboarding: Kündigung, Entzug aller Zugriffe, Löschung oder Rückgabe der Daten und ein dokumentierter Abschluss im Lieferantenverzeichnis

Wann Sie diese Vorlage verwenden sollten

• Sie stehen vor einem SOC-2-Type-II-Audit und müssen das Lieferantenmanagement als gelenkten Prozess mit Nachweisen über den gesamten Zeitraum vorlegen
• Dienstleister werden ohne einheitliche Bewertung eingesetzt, weil Einkauf, IT und Recht jeweils aus einer eigenen Liste arbeiten
• Niemand kann beantworten, welche Lieferanten personenbezogene Daten verarbeiten und wann sie zuletzt bewertet wurden
• Verträge verlängern sich automatisch, ohne dass jemand prüft, ob sich das Risikobild verändert hat
• Sie müssen denselben Lieferantenprozess für SOC 2 und ISO 27001 dokumentieren und wollen keine zwei Versionen, die Unterschiedliches aussagen

Dokumentierte Controls

• CC9.2
• CC3.4
• CC9.1

So funktioniert es

1. Legen Sie die Risikostufen fest, bevor Sie zeichnen

   Zwei oder drei Stufen genügen. Definieren Sie sie über Datenzugriff und Betriebskritikalität, nicht über das Auftragsvolumen: Der Auditor fragt nach dem Datenzugriff, nicht nach dem Preis.

2. Setzen Sie die Freigabe dorthin, wo wirklich entschieden wird

   Hat die Informationssicherheit ein Vetorecht bei Auftragsverarbeitern, gehört das als eigener Freigabeschritt ins Diagramm. Eine Freigabe, die faktisch nur eine Information ist, hält in einem Walkthrough nicht stand.

3. Zeichnen Sie die Neubewertung als echte Schleife

   Sowohl die jährliche als auch die anlassbezogene Neubewertung nach CC3.4 muss in den Ablauf zurückführen. Sonst haben Sie einen Onboarding-Prozess dokumentiert und ihn Lieferantenmanagement genannt.

4. Benennen Sie den Nachweis zu jedem Schritt

   Notieren Sie im Kommentarfeld, woraus der Nachweis besteht: die ausgefüllte Bewertung, der Auftragsverarbeitungsvertrag, die Freigabe und die Bestätigung des Offboardings. Aus dieser Liste zieht der Auditor seine Stichproben.

5. Gehen Sie das Diagramm mit Einkauf und Recht durch

   Lieferantenmanagement läuft über mindestens drei Abteilungen. Ein Diagramm, das nur die Informationssicherheit gesehen hat, beschreibt nicht den Prozess, der tatsächlich gelebt wird.

Häufig gestellte Fragen

Was verlangt SOC 2 zum Lieferantenmanagement?

CC9.2 (Beziehungen zu Dritten) und CC3.4 (Risikobewertung bei Änderungen, die Kontrollen betreffen) verlangen dokumentierte Verfahren für Due Diligence, Vertragsprüfung, laufende Überwachung und Beendigung. SOC 2 Type II verlangt zusätzlich den Nachweis, dass das Verfahren über den gesamten Prüfzeitraum tatsächlich eingehalten wurde.

Wie hilft QueryChart bei einem SOC-2-Type-II-Audit?

Jede Ausführung des Workflows wird im unveränderlichen Audit-Trail mit Autor, Zeitstempel und Freigabeunterschrift festgehalten. Der Auditor erhält das gelenkte Prozessdiagramm und zugleich die vollständige Nachweiskette zu jeder Stichprobe, die er während der Prüfung zieht.

Worin unterscheiden sich CC9.2 und CC3.4?

CC9.2 betrifft die Lieferantenbeziehung selbst: Bewertung, Vertrag, Überwachung und Beendigung. CC3.4 betrifft das, was passiert, wenn sich etwas ändert (ein Dienstleister erhält neuen Datenzugriff, wechselt den Unterauftragsverarbeiter oder verlagert den Betrieb in eine andere Region) und verlangt, dass diese Änderung eine erneute Risikobewertung auslöst. In der Praxis ist CC3.4 die Kontrolle, die genau die Fälle aufgreift, die CC9.2 nur einmal beim Vertragsabschluss gesehen hat.

Müssen alle Lieferanten die vollständige Bewertung durchlaufen?

Nein. Ein Prozess, der das behauptet, wird nicht eingehalten. Klassifizieren Sie Ihre Dienstleister stattdessen nach Datenzugriff und Betriebskritikalität und schicken Sie nur die kritischen in die vollständige Prüfung mit Sicherheitsbewertung und Auftragsverarbeitungsvertrag. Entscheidend für den Auditor ist, dass die Kriterien im gelenkten Prozess stehen und die Einstufung jedes einzelnen Lieferanten dokumentiert ist.