Was sind Kriterien für Vertrauensdienste?

Trust Services Criteria (TSC) sind eine Reihe von Standards, die zur Bewertung der Wirksamkeit der Kontrollen einer Organisation in Bezug auf Sicherheit, Verarbeitung Integrität, Vertraulichkeit und Verfügbarkeit.

Was sind Kriterien für Vertrauensdienste?

Der Begriff „Trust Services Criteria“ bezeichnet einen umfassenden Rahmen, der entwickelt wurde, um die Angemessenheit und Wirksamkeit der Kontrollen einer Organisation in verschiedenen Aspekten des Datenschutzes und der Systemleistung zu bewerten. Insbesondere konzentriert sich TSC auf die Prinzipien der Sicherheit, Verfügbarkeit, Verarbeitung Integrität, Vertraulichkeit und Datenschutz. Es wird hauptsächlich im Rahmen von Audits verwendet, wie z. B. SOC 2 (System- und Organisationskontrollen), um sicherzustellen, dass Serviceorganisationen strenge Anforderungen hinsichtlich des Schutzes vertraulicher Informationen und der Zuverlässigkeit ihrer Betriebssysteme.

Durch die Bewertung dieser Kriterien demonstrieren Unternehmen ihr Engagement für hohe Standards in Bezug auf Datenschutz, operative Belastbarkeit und Privatsphäre, die für die Vertrauensbildung bei Kunden und Stakeholdern unerlässlich sind. TSC bietet einen strukturierten Ansatz zur Bewertung der internen Kontrollen eines Unternehmens und stellt sicher, dass diese nicht nur den Branchenstandards entsprechen, sondern auch die damit verbundenen Risiken minimieren. Datenverstöße, System AusfallzeitUnd andere Schwachstellen.

Was sind die fünf Kriterien für Vertrauensdienste?

Die fünf Kriterien für Vertrauensdienste sind:

• Security. Dieses Kriterium konzentriert sich auf den Schutz von Systemen und Daten vor unbefugtem Zugriff, Angriffen und Sicherheitsverletzungen. Es stellt sicher, dass geeignete Sicherheitsmaßnahmen vorhanden sind, um Schäden am Unternehmensvermögen zu verhindern und die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu gewährleisten.
• Verfügbarkeit. Dieses Kriterium bewertet, ob die von der Organisation bereitgestellten Systeme und Dienste wie vereinbart betriebsbereit sind. Es umfasst die Bewertung der Fähigkeit der Organisation, Betriebszeit und treffen Service Level Agreements (SLAs).
• VerarbeitungsintegritätDieses Kriterium stellt sicher, dass die Prozesse des Systems vollständig, genau und zeitnah sind. Es bewertet, ob das System Daten konsistent gemäß den Geschäftszielen und den Benutzererwartungen verarbeiten kann.
• Vertraulichkeit. Bei diesem Kriterium geht es darum, sicherzustellen, dass als vertraulich eingestufte Informationen entsprechend ihrer Sensibilität geschützt werden. Es geht darum, sensible Daten vor unbefugtem Zugriff und Offenlegung zu schützen.
• DatenschutzDieses Kriterium stellt sicher, dass personenbezogene Daten gemäß den geltenden Datenschutzgesetzen und -vorschriften erhoben, verwendet, gespeichert, weitergegeben und entsorgt werden. Es bewertet die Fähigkeit der Organisation, den Schutz personenbezogener Daten so zu gewährleisten, dass sowohl gesetzliche als auch vertragliche Verpflichtungen erfüllt werden.

Trust Services-Kriterien und COSO-Integration

Die Kriterien für Vertrauensdienste und das Rahmenwerk des Committee of Sponsoring Organizations of the Treadway Commission (COSO) sind beide für die Bewertung der internen Kontrollen eines Unternehmens von entscheidender Bedeutung, konzentrieren sich jedoch auf unterschiedliche Aspekte der Governance und des Risikomanagements. Die Integration von TSC und COSO kann Unternehmen dabei helfen, einen umfassenden Ansatz für Risikomanagement, Compliance und die Wirksamkeit interner Kontrollen sicherzustellen.

Der Kriterien für Vertrauensdienste, Wie bereits erwähnt, umfassen sie fünf Schlüsselbereiche: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Diese Kriterien werden vor allem bei Audits wie SOC 2 verwendet, um zu bewerten, ob die Kontrollen eines Unternehmens zum Schutz von Daten und zur Gewährleistung eines zuverlässigen Systembetriebs konzipiert und wirksam sind. Die Kriterien helfen Unternehmen, ihr Engagement für den Schutz sensibler Daten, die Gewährleistung einer hohen Systemverfügbarkeit und den Schutz von Datenschutzrechten unter Beweis zu stellen.

Der COSO-Rahmenwerkbietet dagegen einen umfassenderen, übergreifenden Satz von Grundsätzen und Praktiken für eine effektive interne Kontrolle. Er umfasst fünf Komponenten: Kontrollumfeld, Risikobewertung, Kontrollaktivitäten, Information und Kommunikation sowie Überwachung. Das COSO-Framework wird häufig zur Bewertung interner Kontrollen in Bereichen wie der Finanzberichterstattung und der Einhaltung von Gesetzen und Vorschriften verwendet und ist ein weit verbreiteter Standard für Governance und Risikomanagement.

Integration von Trust Services-Kriterien und dem COSO-Framework

Die Integration von TSC und COSO schafft ein robusteres internes Kontrollumfeld für ein Unternehmen, indem sichergestellt wird, dass sowohl die technischen als auch die organisatorischen Aspekte des Risikomanagements angemessen berücksichtigt werden. Dies umfasst:

• KontrollumfeldDas COSO-Kontrollumfeld setzt die Weichen für die Führungsspitze und stellt sicher, dass sich die Führungsebene für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz einsetzt. Dies steht im Einklang mit dem TSC, der eine Überwachung der Kontrollen zum Schutz von Systemen und Daten durch die oberste Führungsebene vorschreibt.
• RisikobewertungSowohl TSC als auch COSO betonen die Bedeutung von Risikobewertungen. Die Sicherheits- und Datenschutzkriterien von TSC verpflichten Unternehmen, Risiken für vertrauliche Informationen zu identifizieren und zu minimieren, während die Risikobewertungskomponente von COSO sicherstellt, dass finanzielle, betriebliche und Compliance-Risiken ordnungsgemäß identifiziert, bewertet und gemanagt werden.
• Kontrollaktivitäten. Die Kontrollaktivitäten des COSO stellen sicher, dass Richtlinien und Verfahren zur Bewältigung identifizierter Risiken vorhanden sind. Dies unterstützt das TSC direkt, insbesondere in Bereichen wie Verarbeitungsintegrität und Vertraulichkeit, wo detaillierte Prozesse entwickelt werden müssen, um die korrekte Verarbeitung von Daten und den Schutz vertraulicher Informationen zu gewährleisten.
• Information und Kommunikation. Beide Rahmenwerke betonen die Bedeutung einer effektiven Kommunikation relevanter Informationen im gesamten Unternehmen. Die Datenschutz- und Sicherheitskriterien des TSC verlangen eine klare und transparente Kommunikation von Informationen zum Umgang mit Daten, während die Komponente des COSO die Rolle der Kommunikation bei der Verwaltung interner Kontrollen und der Gewährleistung der Rechenschaftspflicht betont.
• Netzwerk PerformanceDie Überwachungskomponente von COSO stellt sicher, dass die internen Kontrollen kontinuierlich evaluiert und verbessert werden. Dies entspricht den Anforderungen des TSC an die kontinuierliche Überwachung von Kontrollen, insbesondere in Bereichen wie Sicherheit und Verfügbarkeit, um sicherzustellen, dass die Systeme sicher, zugänglich und frei von Schwachstellen bleiben.

Kriterien für Vertrauensdienste in SOC 2

Im Kontext von SOC 2 sind TSC die Standards, die zur Beurteilung und Bewertung der von Serviceorganisationen implementierten Kontrollen zum Schutz sensibler Daten, zur Gewährleistung der Systemzuverlässigkeit und zum Schutz der Privatsphäre verwendet werden.

SOC 2 ist ein Rahmenwerk, das in erster Linie zur Bewertung der Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Privatsphäre der Systeme und Daten eines Unternehmens verwendet wird. Anhand dieser Kriterien lässt sich feststellen, ob die Kontrollen des Unternehmens bestimmte Anforderungen zum Schutz vertraulicher Informationen erfüllen und die Erwartungen seiner Kunden und Stakeholder erfüllen.

SOC 2-Berichte werden typischerweise von Technologieunternehmen verwendet, insbesondere von solchen, die cloud-basiert bzw SaaS (Software-as-a-Service) Lösungen, um ihr Engagement für die Einhaltung höchster Standards in Bezug auf Datenschutz, Privatsphäre und Sicherheit zu demonstrieren.

Die fünf Vertrauensdienstekriterien in SOC 2 sind:

• Security. Das Kriterium Sicherheit konzentriert sich auf den Schutz der Systeme vor unberechtigtem Zugriff, Cyber-Angriffeund andere Formen des Eindringens. Es bewertet, ob die Systeme und Daten einer Organisation sowohl vor internen als auch vor externen Bedrohungen geschützt sind. Wichtige Sicherheitsmaßnahmen können sein: Firewalls, Verschlüsselung, Einbrucherkennungssystemund andere technische Kontrollen, die unbefugten Zugriff oder Datenänderungen verhindern.
• VerfügbarkeitDieses Kriterium bewertet, ob die Systeme und Dienste der Organisation für den vorgesehenen Betrieb und die vorgesehene Nutzung verfügbar sind. Es beurteilt die Fähigkeit der Organisation, die Verfügbarkeit aufrechtzuerhalten und Service-Level-Vereinbarungen einzuhalten. Dies ist entscheidend für Kunden, die für ihren eigenen Betrieb auf die Verfügbarkeit von Diensten angewiesen sind, wie beispielsweise in cloud Hosting- oder SaaS-Lösungen.
• VerarbeitungsintegritätDie Verarbeitungsintegrität stellt sicher, dass Systeme Daten korrekt, vollständig und zeitnah verarbeiten. Dieses Kriterium bewertet, ob die Systemprozesse korrekt funktionieren und die gewünschten Ergebnisse liefern. Dies ist für Kunden, die auf die Zuverlässigkeit der verarbeiteten Informationen angewiesen sind, von entscheidender Bedeutung. Dies kann die Validierung der Transaktionsgenauigkeit, die zeitnahe Verarbeitung und die ordnungsgemäße Fehlerbehandlung umfassen.
• VertraulichkeitDas Vertraulichkeitskriterium konzentriert sich auf den Schutz sensibler Informationen vor unbefugtem Zugriff oder Offenlegung. Es bewertet die Fähigkeit des Unternehmens, vertrauliche Daten wie geistiges Eigentum, Geschäftsgeheimnisse und personenbezogene Daten gemäß Datenschutzgesetzen und vertraglichen Verpflichtungen zu schützen. Dies kann Verschlüsselung, sichere Speicherung und eingeschränkte Zugriffsprotokolle umfassen.
• DatenschutzDas Datenschutzkriterium stellt sicher, dass personenbezogene Daten in Übereinstimmung mit den einschlägigen Datenschutzgesetzen erhoben, verwendet, aufbewahrt, offengelegt und entsorgt werden, wie beispielsweise dem DSGVO oder CCPA. Es stellt sicher, dass Organisationen Verfahren implementieren, die personenbezogene Daten schützen, die Datenschutzrechte des Einzelnen wahren und gleichzeitig gesetzliche und behördliche Anforderungen einhalten.

Kriterien für Vertrauensdienste und andere Compliance-Frameworks

Hier ist ein Vergleich des in SOC 2 verwendeten TSC mit anderen gängigen Compliance-Frameworks:

Beispiele für Kriterien für Vertrauensdienste

Hier sind einige Beispiele für die Anwendung der TSC in verschiedenen Szenarien:

• Security. Ein Online-Zahlungsprozessor implementiert Multi-Faktor-Authentifizierung für Benutzer und Administratoren. Dadurch wird sichergestellt, dass nur autorisierte Personen auf vertrauliche Zahlungsinformationen und Verarbeitungssysteme zugreifen können. Das Risiko unbefugter Zugriffe oder Cyberangriffe wird dadurch verringert.
• Verfügbarkeit. A cloud Hosting-Anbieter setzt eine automatisierte backup und Notfallwiederherstellung Lösung mit einem SLA von 99.9 % Verfügbarkeit. Dies garantiert, dass die Websites und Daten der Kunden auch bei unerwarteten Systemausfällen oder Katastrophen immer verfügbar sind, wodurch Ausfallzeiten und Serviceunterbrechungen minimiert werden.
• Verarbeitungsintegrität. Ein Anbieter von Kundensupport-Software stellt sicher, dass alle Kundenanfragen automatisch erfasst und innerhalb weniger Minuten an das entsprechende Support-Team weitergeleitet werden. Das System bietet Echtzeit Aktualisierungen und Bestätigungen, um die Datengenauigkeit und die rechtzeitige Bearbeitung von Kundenanfragen sicherzustellen.
• Vertraulichkeit. Eine Anwaltskanzlei nutzt Verschlüsselung, um vertrauliche Mandantendaten in ihrer Datenbank zu schützen. Der Zugriff auf vertrauliche Dokumente ist zudem nur autorisierten Mitarbeitern gestattet. So wird sichergestellt, dass Rechtsdokumente und Mandantenkommunikation nicht unbefugten Dritten zugänglich sind.
• Privatsphäre. Ein Gesundheitsdienstleister erhebt persönliche Gesundheitsdaten (PHI) von Patienten, wendet jedoch strenge Verfahren zur Datenverarbeitung an. Dazu gehört die Verschlüsselung von PHI sowohl während der Übertragung als auch im Ruhezustand sowie die Möglichkeit für Patienten, auf ihre Daten zuzugreifen und sie zu löschen, um Datenschutzbestimmungen wie HIPAA einzuhalten.

Warum sind Kriterien für Vertrauensdienste wichtig?

Kriterien für Vertrauensdienste sind wichtig, da sie Unternehmen eine strukturierte und standardisierte Möglichkeit bieten, ihr Engagement für die Sicherung und Verwaltung von Daten, die Gewährleistung zuverlässiger Dienste und den Schutz der Kundendaten zu demonstrieren. Hier sind einige wichtige Gründe, warum TSC so wichtig sind:

• Baut Vertrauen bei Kunden und Stakeholdern auf. Organisationen, die die Kriterien für Vertrauensdienste erfüllen, zeigen ihr Engagement für den Schutz sensibler Informationen und die Aufrechterhaltung der Betriebssicherheit. Dies fördert das Vertrauen bei Kunden, Partnern und Stakeholdern, was für das Unternehmenswachstum und die Kundenbindung von entscheidender Bedeutung ist.
• Verbessert den Datenschutz und die Sicherheit. Die Kriterien unterstützen Unternehmen bei der Implementierung robuster Sicherheitsmaßnahmen zum Schutz ihrer Daten vor unbefugtem Zugriff, Cyberangriffen und Datendiebstahl. Durch die Fokussierung auf Sicherheits- und Vertraulichkeitsaspekte stellt TSC sicher, dass sensible Informationen angemessen geschützt sind.
• Unterstützt die Einhaltung gesetzlicher Vorschriften. Viele regulatorische Rahmenbedingungen, wie die DSGVO, HIPAAsowie PCI DSS, überschneiden sich mit den im TSC festgelegten Kriterien. Die Einhaltung dieser Standards hilft Unternehmen, gesetzliche und regulatorische Anforderungen zu erfüllen und reduziert das Risiko von Verstößen und möglichen Strafen.
• Mindert Betriebsrisiken. Durch den Fokus auf Verfügbarkeit und Verarbeitungsintegrität stellt TSC sicher, dass die Systeme belastbar, präzise und bei Bedarf verfügbar sind. Dies minimiert das Risiko von Systemausfällen, Datenfehlern oder Serviceunterbrechungen, die den Geschäftsbetrieb und die Kundenzufriedenheit beeinträchtigen könnten.
• Verbessert die betriebliche Effizienz. Die Implementierung von TSC hilft Unternehmen, ihre Prozesse zu optimieren, Schwachstellen zu identifizieren und ihre Kontrollumgebung zu verbessern. Dies führt zu einem effizienteren Risikomanagement, reduziert Entlassungenund stellt sicher, dass die Ressourcen richtig zugewiesen werden, um die Systemintegrität aufrechtzuerhalten.
• Bietet einen Wettbewerbsvorteil. Die Einhaltung der Kriterien für Vertrauensdienste zeigt, dass ein Unternehmen die Best Practices der Branche befolgt. Dies hebt ein Unternehmen in wettbewerbsintensiven Märkten hervor, da Kunden eher Dienstleister wählen, die priorisieren data security, Datenschutz und Betriebszuverlässigkeit.
• Reduziert das Risiko von Datenschutzverletzungen und rechtlichen Haftungen. Da Datenschutz und Vertraulichkeit Kernbestandteile des TSC sind, sind Unternehmen besser gerüstet, Kundendaten vor Datendiebstählen zu schützen. Durch die Einhaltung dieser Kriterien minimieren Unternehmen das Risiko kostspieliger Datendiebstahls, Klagen und Reputationsschäden.
• Ermöglicht transparentes Reporting. Die Einhaltung des TSC wird häufig durch externe Audits, beispielsweise SOC 2-Berichte, überprüft. Diese Bewertungen durch Dritte sorgen für Transparenz und eine unabhängige Validierung des Datenschutz-Engagements eines Unternehmens und bieten Kunden und Investoren Sicherheit.

Wer verwaltet die Kriterien für Vertrauensdienste?

Die Kriterien für Treuhanddienste werden vom American Institute of Certified Public Accountants (AICPA) verwaltet. Das AICPA ist eine Berufsorganisation, die Standards für Wirtschaftsprüfung, Rechnungslegung und Berichterstattung in den Vereinigten Staaten festlegt.

Das AICPA hat die Kriterien für Vertrauensdienste als Teil des SOC-Frameworks entwickelt, das die Berichte SOC 1, SOC 2 und SOC 3 umfasst. Diese Kriterien werden vom AICPA regelmäßig überprüft und aktualisiert, um sie an sich entwickelnde Branchenstandards, technologische Fortschritte und regulatorische Anforderungen anzupassen. Der TSC dient als Grundlage für die Bewertung der Kontrollen von Serviceorganisationen hinsichtlich Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz, insbesondere im Rahmen von SOC 2- und SOC 3-Audits.

Durch Konsultationen mit Branchenexperten und Interessenvertretern stellt das AICPA sicher, dass die Kriterien weiterhin relevant sind. So können Unternehmen die Einhaltung bewährter Verfahren nachweisen und den Schutz vertraulicher Daten und die Systemintegrität gewährleisten.

Wie oft sollten die Kriterienkontrollen für Vertrauensdienste aktualisiert werden?

Die Kontrollen der Vertrauensdienstekriterien sollten regelmäßig aktualisiert werden, um sicherzustellen, dass sie wirksam bleiben und den sich entwickelnden Sicherheits-, Datenschutz- und regulatorischen Standards entsprechen. Die Häufigkeit der Aktualisierungen hängt jedoch von verschiedenen Faktoren ab, wie z. B. Änderungen in den Systemen des Unternehmens, neu auftretenden Bedrohungen und Änderungen der regulatorischen Anforderungen. Hier sind einige Richtlinien für die Überprüfung und Aktualisierung von Kontrollen:

• Laufende Überwachung und Aktualisierungen. Die Kontrollen sollten kontinuierlich überwacht werden, und etwaige Lücken oder Ineffizienzen sollten eine Überprüfung auslösen. Regelmäßige interne Audits, automatisiertes Monitoring und die Erfassung von Bedrohungsdaten helfen dabei, Bereiche zu identifizieren, in denen die Kontrollen möglicherweise häufiger aktualisiert werden müssen.
• Jahresrückblick. Es wird empfohlen, dass Unternehmen ihre TSC-Kontrollen mindestens einmal jährlich überprüfen, um sicherzustellen, dass sie den aktuellen Branchenstandards und sich entwickelnden Bedrohungen entsprechen. Eine jährliche Überprüfung hilft Unternehmen, sich proaktiv an neue Risiken, Technologien und Compliance-Anforderungen anzupassen. Sie stellt außerdem sicher, dass sich alle Änderungen im Geschäfts- oder Betriebsumfeld in den Kontrollen widerspiegeln.
• Nach großen Veränderungen. Wenn eine Organisation ein größeres System-Upgrade durchführt, ändert sich die Architektur (z. B. Umzug in die cloud) oder eine Aktualisierung kritischer Infrastrukturen ist es wichtig, die Kontrollen zu überprüfen und gegebenenfalls zu aktualisieren. Auch bei einer Fusion oder Übernahme eines anderen Unternehmens sollten die bestehenden Kontrollen überprüft werden, um die Integration in die neuen Geschäftsprozesse sicherzustellen.
• Nach regulatorischen oder gesetzlichen Änderungen. Änderungen der Datenschutzgesetze (zB DSGVO, CCPA) oder Branchenvorschriften (z. B. HIPAA, PCI DSS) können Aktualisierungen der Kontrollen der Organisation erforderlich machen, um die fortlaufende Einhaltung der neuen rechtlichen Rahmenbedingungen sicherzustellen.
• Als Reaktion auf festgestellte Schwachstellen oder Sicherheitsvorfälle. Wird eine Schwachstelle entdeckt oder kommt es zu einem Datenleck, sollten die Kontrollen umgehend überprüft werden, um sicherzustellen, dass geeignete Maßnahmen ergriffen werden, um ähnliche Vorfälle in Zukunft zu verhindern. Diese Überprüfung könnte zu einer Verschärfung der Sicherheitsrichtlinien, der Einführung neuer Überwachungstools oder Änderungen der Datenverarbeitung führen.
• Im Rahmen von SOC 2-Audits. Wenn eine Organisation einem SOC 2 Typ II-Audit unterzogen wird, bei dem die betriebliche Wirksamkeit von Kontrollen über einen bestimmten Zeitraum (normalerweise 6–12 Monate) bewertet wird, empfiehlt es sich, die Kontrollen in Vorbereitung auf das Audit zu überprüfen und gegebenenfalls zu aktualisieren. Beim SOC 2-Audit wird beurteilt, ob die Kontrollen der Organisation effektiv konzipiert und betrieben werden. Daher ist es wichtig, vor dem Audit sicherzustellen, dass die Kontrollen aktuell und umfassend sind.