Ergänzende Benutzerentitätskontrollen: Der Schlüssel zu erhöhter Sicherheit

Stellen Sie sich vor, eine Bank stellt Ihnen einen Tresor mit hochwertigem Schließsystem und Überwachungstechnik zur Verfügung. Sie gehen davon aus, dass Sie vor Diebstahl geschützt sind und Ihr Vermögen sicher ist. Doch wenn Sie nachlässig mit Schlüssel und Zugangscode umgehen, kann die Bank Ihr Vermögen nicht mehr schützen. Die Funktionen des Tresors und die Benutzerkontrollen arbeiten Hand in Hand, um den Inhalt zu schützen und ein umfassendes Sicherheitssystem zu gewährleisten. Beides ist untrennbar miteinander verbunden.  

Im Unternehmenskontext repräsentiert der Tresor die Kontrollmechanismen der Serviceorganisation, während Schlüssel und persönlicher Code die ergänzenden Benutzerkontrollmechanismen (CUECs) symbolisieren. Zusammen bilden diese Elemente eine robuste Sicherheitsumgebung. Auch im Bereich Compliance verlassen sich Serviceorganisationen auf die Benutzer, um CUECs zu implementieren und so Sicherheit und Compliance zu gewährleisten.

Dieser Blog bietet Ihnen einen Überblick über CUECs und deren Relevanz in den SOC-Berichten.

Was sind komplementäre Benutzerentitätssteuerelemente (CUEC)?

Ergänzende Benutzerentitätskontrollen sind Kontrollen, die Benutzerentitäten implementieren müssen, um die von einem Drittanbieter bereitgestellten Dienste nutzen zu können. Diese ergänzenden Kontrollen sind unerlässlich, damit der Dienstanbieter seine Kontrollziele erreichen und das gewünschte Sicherheits- und Compliance- Niveau aufrechterhalten kann.

CUECs stellen ein Modell geteilter Verantwortung dar, bei dem die Serviceorganisation bestimmte Kontrollen implementiert und die Nutzereinheiten, die zufällig ihre Kunden sind, andere spezifische Kontrollen implementieren, um operative Effektivität zu erreichen.

CUECs werden in SOC 1-, SOC 2- und SOC 3-Berichten dokumentiert und vom Auditor zur Beurteilung der Kontrollwirksamkeit von Dienstleistungsorganisationen verwendet.

Bedeutung komplementärer Benutzerentitätskontrollen

Ergänzende Benutzerkontrollen sind von entscheidender Bedeutung, da sie sicherstellen, dass sowohl die Serviceorganisation als auch die Benutzer ihren Verpflichtungen zur Minimierung des Risikos von Datenschutzverletzungen oder Nichteinhaltung von Vorschriften nachkommen. Die Kontrollen der Serviceorganisation basieren auf der Annahme, dass die Benutzer ebenfalls die notwendigen Kontrollen implementieren, um die Ziele des Kontrollumfelds zu erreichen. Ohne ergänzende Benutzerkontrollen kann die Wirksamkeit der Kontrollen der Serviceorganisation erheblich beeinträchtigt werden, was zu Sicherheitsrisiken und Compliance-Problemen führt.

Für die Nutzerorganisationen gewährleisten CUECs die Effektivität und Sicherheit der genutzten Dienste und maximieren so den Nutzen. Dies schafft Vertrauen und Transparenz und führt zu reibungsloseren Abläufen und einer verbesserten Nutzererfahrung.

Wer ist für die komplementären Benutzerentitätssteuerungen verantwortlich?

Die Steuerung komplementärer Benutzerentitäten basiert auf einem Modell geteilter Verantwortung, sodass beide Parteien ihren jeweiligen Aufgabenbereich haben. Während die Benutzerentität die Implementierung überwacht, ist die Serviceorganisation für die Kommunikation der Anforderungen zuständig.

Betrachten wir die Verantwortung der CUECs im Detail:

Benutzerentität

• Die Nutzerorganisation ist dafür verantwortlich, die CUEC-Anforderungen zu verstehen und Kontrollmechanismen zu implementieren, die es der Serviceorganisation ermöglichen, ihre Ziele zu erreichen. 
• Sollten im Zusammenhang mit den CUECs Unklarheiten bestehen, muss die Nutzerorganisation diese der Serviceorganisation mitteilen, damit proaktive Maßnahmen ergriffen werden können. 
• Schließlich ist die Benutzerentität verantwortlich für kontinuierliche Überwachung und die komplementären Kontrollmechanismen aufrechtzuerhalten, um deren effektives Funktionieren zu gewährleisten.

Dienstleistungsorganisation

• Die Serviceorganisation ist dafür verantwortlich, die erforderlichen ergänzenden Kontrollen klar zu kommunizieren und dem Anwenderunternehmen jegliche notwendige Beratung und Unterstützung zu bieten. Fachjargon muss vermieden werden, damit auch Kunden ohne technische Vorkenntnisse die Kontrollanforderungen verstehen. 
• Serviceorganisationen müssen außerdem die CUECs im SOC-Bericht dokumentieren und sicherstellen, dass alles planmäßig verläuft.

In welchem ​​Verhältnis stehen CUECs zu SOC?

SOC-Berichte waren früher als SAS 70 bekannt, und die Benutzerkontrollüberlegungen (User Control Considerations, UCC) waren ein Bestandteil dieser Berichte. Im Laufe der Jahre haben sich sowohl der Bericht als auch das Konzept weiterentwickelt und sind heute als SOC-Berichte und ergänzende Benutzerentitätskontrollen (Complementary User Entity Controls, CUECs) bekannt. CUECs stehen also schon seit geraumer Zeit in Verbindung mit SOC.

Bei einer SOC-Prüfung untersucht der Prüfer das Kontrollumfeld der Dienstleistungsorganisation und prüft, ob die ergänzenden Kontrollen der Nutzerorganisationen (CUECs) den Nutzerorganisationen mitgeteilt und von diesen umgesetzt werden. Fehlen im Bericht Angaben zu den ergänzenden Kontrollen der Nutzerorganisationen, kann der Prüfer ihn als unvollständig betrachten und sich unter Umständen kein Urteil bilden.

SOC-Berichte heben die relevanten CUECs hervor und stellen sicher, dass diese Einrichtungen ihre Verantwortung für die Erreichung der Kontrollziele und die Gewährleistung reibungsloser Abläufe verstehen.

Wo sind die CUECs im SOC-Bericht aufgeführt?

SOC-Prüfberichte bestehen üblicherweise aus vier Abschnitten: dem Prüfungsurteil, der Managementaussage, der Systembeschreibung und den Kontrollprüfungen . Die Einzelheiten zu den ergänzenden Kontrollen der Anwenderunternehmen werden in den Abschnitten „Systembeschreibung“ und „Geprüfte Kontrollen“ dargelegt.

Quelle: SOC-Bericht der LCMS Foundation

Quelle: SOC-Bericht der LCMS Foundation

Im Abschnitt zur Managementaussage kann hervorgehoben werden, dass davon ausgegangen wird, dass die CUECs zur Erfüllung der Kontrollziele implementiert werden.

Im Abschnitt „Kontrollziele und zugehörige Tests“ des SOC-1-Berichts werden auch CUECs aufgeführt, um anzugeben, was die Anwender implementieren müssen.

Im SOC-2-Bericht werden CUECs in den Trust Service Criteria und den entsprechenden Kontrollzielen identifiziert.

Beispiele für CUECs

Ergänzende Benutzerentitätssteuerelemente (CUECs) können je nach Benutzerentität und Art der Dienstleistungsorganisationen, mit denen sie zusammenarbeiten, variieren. Hier einige gängige Beispiele für das Aussehen von CUECs:

• Die Richtlinien eines Technologieunternehmens verpflichten Benutzer zur Durchsetzung der Endgeräte-Richtlinien. Sicherheitsmaßnahmen.
• Ein Anbieter von cloudbasierten Systemen für elektronische Patientenakten (EHR) im Gesundheitswesen, der Anwendern wie Krankenhäusern und Kliniken diese zur Verfügung stellt, schreibt vor, dass alle übertragenen Daten verschlüsselt sein müssen.
• Ein SaaS-Unternehmen verlangt, dass die Nutzerorganisation Richtlinien zur Datenaufbewahrung durchsetzt und Kundendaten nach einem festgelegten Zeitraum oder auf Anfrage löscht.
• Ein IT-Dienstleister verlangt von den Nutzern regelmäßige Zugriffsüberprüfungen, um sicherzustellen, dass die Berechtigungen den jeweiligen Aufgaben entsprechen.
• Eine Zahlungsabwicklungsplattform verlangt von den Nutzern die Implementierung einer Multi-Faktor-Authentifizierung für Transaktionen mit hohem Wert.
• Ein Unternehmen kann von den Nutzereinheiten verlangen, die zeitnahe Löschung der Konten ausgeschiedener Mitarbeiter sicherzustellen.

Sprintos Ansatz zur Behebung von CUEC-Mängeln

Obwohl die Anwenderorganisation für die Implementierung von CUECs verantwortlich ist, kann jede Kontrollschwäche ihrerseits die Sicherheit und Compliance beeinträchtigen . Selbst der SOC-2-Bericht kann darauf hinweisen, dass bestimmte Kontrollziele nicht erreicht wurden.

Sprinto gewährleistet durch zahlreiche automatisierte Prüfungen und mehrstufige Sicherheitskontrollen einen lückenlosen Schutz vor CUEC-Fehlern.

• Zugriff für alle Benutzer Entitäten, die als „kritische Systeme“ hinzugefügt werden, werden durch eine sichere Anmeldemethode geschützt – Multi-Faktor-Authentifizierung, Single Sign-On, VPN und komplexe Passwörter.
• Sprinto unterstützt rollenbasierte Zugangskontrollen Der Zugriff wird anhand der Stellenfunktionen geprüft. In anderen Fällen wird er über ein Zugriffsanforderungsticket genehmigt.
• Die Plattform ermöglicht die kontinuierliche Überwachung von Benutzeraktivitäten in kritischen Systemen. Jedes ungewöhnliche oder unautorisierte Verhalten wird umgehend den Verantwortlichen für das Risikomanagement gemeldet, um proaktive Maßnahmen zu ermöglichen. So behalten Sie stets den Überblick und gewährleisten kontinuierliche Sicherheit und Compliance.

Was SOC 2 betrifft, so kann es Ihnen helfen, sich in Wochen statt Monaten vorzubereiten und durch automatisierte Arbeitsabläufe Hunderte von Arbeitsstunden einzusparen.

Möchten Sie Sprinto in Aktion erleben? Machen Sie eine Tour mit einem Compliance-Experten und beschleunigen Sie Ihren SOC 2-Weg.

Häufig gestellte Fragen