SOC 2-Audit-Protokollierung für Überwachungstools: Was Prüfer suchen

Überwachungstools sind in SOC 2-Audits an zwei Stellen relevant. Der Prüfer möchte sehen, dass Sie die Verfügbarkeit und Leistung überwachen (das AV-Vertrauensdienste-Kriterium) und dass Sie protokollieren, wer die Überwachungskonfiguration ändert (das CC-Vertrauensdienste-Kriterium). Das erste ist einfach: Jeder Verfügbarkeitsmonitor liefert genug Belege. Das zweite ist der Punkt, wo sich die meisten Teams unzureichend vorbereiten. Diese Anleitung behandelt, was SOC 2-Prüfer tatsächlich suchen, was Ihr Überwachungstool protokollieren sollte und wie die Kontrollen während des Audits nachgewiesen werden können.

Worauf SOC 2 bei der Überwachung achtet

SOC 2 basiert auf Prinzipien, nicht auf Vorgaben. Der Prüfer überprüft nicht, dass Sie ein bestimmtes Tool gekauft haben. Er überprüft, dass Sie Kontrollen eingerichtet haben, um die Vertrauensdienste-Kriterien zu unterstützen, zu denen Sie sich verpflichtet haben.

Zwei Kriterien berühren typischerweise Überwachungstools. Verfügbarkeit (AV): Sie überwachen Ihren Service auf Ausfälle und reagieren auf diese. Common Criteria (CC), insbesondere CC7.2 (Überwachung des Systembetriebs) und CC8.1 (Änderungsverwaltung): Sie haben Kontrollen darüber, wer die Überwachungskonfiguration ändern kann und wie diese Änderungen protokolliert werden. Das erste ist unkompliziert. Das zweite ist der Punkt, an dem die meisten Teams stolpern.

Was Prüfer in den Protokollen erwarten

Während eines SOC 2-Audits werden vier Kategorien von Protokolleinträgen angefordert. Stellen Sie sicher, dass Ihr Überwachungstool alle vier Kategorien erzeugt und dass Sie diese für den Auditzeitraum zur Verfügung stellen können.

• Benutzerzugriff: wer sich angemeldet hat, wann und von welcher IP-Adresse. Gekoppelt an eine benannte Person, nicht an ein gemeinsames Konto.
• Konfigurationsänderungen: jede Änderung an einem Monitor (erstellen, aktualisieren, löschen), jede Änderung an einer Benachrichtigungsregel, jede Änderung an einem API-Schlüssel. Umfasst wer die Änderung vorgenommen hat und was sich geändert hat.
• Incident-Ereignisse: jeder erkannte Ausfall mit Zeitstempeln, Dauer und den gesendeten Benachrichtigungen.
• Verwaltungsmaßnahmen: Planänderungen, Benutzereinladungen, Rollenänderungen, Passwort-Zurückstellungen. Der Auditor möchte die vollständige Spur der Verwaltungsaktivität sehen.

Der Aufbewahrungszeitraum, der den Auditor zufriedenstellt

SOC 2 gibt keinen Aufbewahrungszeitraum an; Auditoren erwarten normalerweise mindestens 12 Monate Protokolle, manchmal länger für Type-2-Audits, die einen Betriebszeitraum über mehrere Quartale abdecken.

Praktische Anleitung: Bewahren Sie Audit-Protokolle mindestens 13 Monate lang auf, um den vollständigen Type-2-Betriebszeitraum plus einen Puffer abzudecken. Bewahren Sie Incident-Ereignisse und Prüfprotokolle mindestens 90 Tage lang für AV-Kriterien auf. Viele Monitoring-Tools bieten dies bei Business-Tarifen oder höheren an; überprüfen Sie vor der Festlegung auf einen Anbieter.

Kontrollen, die der Auditor testen wird

Das Audit testet die Betriebseffektivität Ihrer Kontrollen, nicht nur deren Existenz. Vier gängige Tests betreffen Monitoring.

• Stichprobe von Zugriffänderungen: Der Auditor wählt 5 bis 10 Einträge aus dem Audit-Protokoll und bittet Sie, das entsprechende Ticket oder die entsprechende Änderungsanfrage nachzuweisen. Stellen Sie sicher, dass Ihr Change-Management-Prozess außerhalb des Monitoring-Tools verfolgt wird.
• Stichprobe von Incidents: Der Auditor wählt 3 bis 5 Incidents aus dem Zeitraum und fordert den Reaktionsverlauf an. Bereiten Sie Ihre Runbooks und Postmortem-Vorlage vor.
• API-Schlüssel-Inventar: Der Auditor fragt, wer API-Schlüssel hat, wann sie zuletzt verwendet wurden und ob die Bereiche angemessen sind. Führen Sie eine vierteljährliche Schlüsselprüfung durch und dokumentieren Sie sie.
• Monitor-Abdeckung: Der Auditor fragt, wie Sie entscheiden, was Sie überwachen möchten. Verfassen Sie eine schriftliche Richtlinie, die die Kriterien nennt; eine undokumentierte Antwort «wir wissen, was wichtig ist» besteht den Test nicht.

Kontrollen auf der Anbieterseite zur Überprüfung

Der SOC-2-Bericht Ihres Monitoring-Anbieters ist Teil Ihres Audits. Der Auditor wird danach fragen.

Überprüfen Sie vor der Festlegung: Hat der Anbieter einen SOC-2-Type-2-Bericht? Wann wurde er ausgestellt und wie lange ist der Betriebszeitraum? Werden die relevanten Kriterien (AV, CC) abgedeckt? Gibt es einen Abschnitt «User Entity Considerations», der die Kontrollen auflistet, die Sie zusätzlich zu denen des Anbieters implementieren müssen? Nehmen Sie das ernst; ein Anbieter ohne einen aktuellen SOC-2-Bericht kann Ihr Audit gefährden.

Der Mindestkontrollsatz zum Bestehen eines SOC-2-Audits für Monitoring

Nutzen Sie ein Monitoring-Tool, das Benutzerzugriffsprotokolle, Konfigurationsänderungsprotokolle, Incident-Protokolle und Verwaltungsaktionsprotokolle mit mindestens 13 Monaten Aufbewahrung erzeugt. Pflegen Sie eine schriftliche Monitoring-Richtlinie, die die von Ihnen überwachten Dienste und die Kriterien für das Hinzufügen neuer Dienste nennt. Verfolgen Sie Konfigurationsänderungen durch ein Ticket-System oder git PR, damit jede Änderung eine dokumentierte Begründung hat. Überprüfen Sie API-Schlüssel vierteljährlich. Führen Sie eine jährliche Tabletop-Übung zur Incident-Reaktion durch. Dokumentieren Sie alles. Mit diesen fünf Kontrollen ist Monitoring ein bestätigter Punkt in Ihrem SOC-2-Audit, nicht ein Hindernis.