SOC 2-Passwortanforderungen für die Einhaltung

Passwortkontrollen sind für SOC 2 wichtig, da schwache Authentifizierung Kundendaten, Produktionssysteme, Administrationskonsolen und interne Tools gefährden kann. Im Gegensatz zu manchen anderen Standards schreibt SOC 2 Unternehmen jedoch keine feste Passwortformel vor.

Stattdessen bewertet SOC 2, ob Ihre logischen Zugriffskontrollen gut konzipiert, konsequent durchgesetzt und durch Nachweise belegt sind. Passwortrichtlinien, Multi-Faktor-Authentifizierung (MFA), Kontosperrung, SSO-Einstellungen, Zugriffsbereitstellung, -entzug und privilegierte Zugriffskontrollen tragen alle zu dieser Bewertung bei.

Dieser Leitfaden erklärt, wie Sie SOC 2-konforme Passwortanforderungen definieren, welche Fragen Prüfer stellen könnten und wie Sie nachweisen können, dass Ihre Passwortkontrollen in allen relevanten Systemen funktionieren.

Was sagt SOC 2 zu den Passwortanforderungen aus?

SOC 2 hat fünf Vertrauensdienstkriterien – Sicherheit, Datenschutz, Verfügbarkeit, Vertraulichkeit und Verarbeitungsintegrität. Unternehmen haben die Flexibilität, die für sie geltenden Kriterien je nach Art der angebotenen Dienstleistung auszuwählen.

Wenn Sie beispielsweise Finanzdienstleistungen anbieten, sind Verfügbarkeit und Verarbeitungsintegrität für Sie relevant, während Vertraulichkeit und Datenschutz für Unternehmen im Gesundheitswesen relevant sind. 

Dennoch ist das Sicherheitsprinzip von entscheidender Bedeutung und zwingend erforderlich, unabhängig von der Art der angebotenen Dienstleistung.

SOC 2 schreibt keine bestimmte Passwortlänge, Komplexitätsregel oder Rotationsintervalle vor. Die Passwortanforderungen entsprechen in der Regel den Common Criteria for Logical Access, insbesondere CC6.1, CC6.2 und CC6.3.

Diese Kriterien konzentrieren sich darauf, ob die Organisation den logischen Zugriff einschränkt, Anmeldeinformationen ordnungsgemäß ausstellt und entfernt und den Zugriff auf der Grundlage von Rollen, Verantwortlichkeiten und Systemänderungen anpasst.

CC6.1

Die Organisation implementiert Software, Infrastruktur und Architekturen für logische Zugriffssicherheit über geschützte Informationsbestände, um diese vor Sicherheitsereignissen zu schützen und die Ziele der Organisation zu erreichen.

• Beschränken Sie den logischen Zugriff auf Informationsressourcen wie Software, Daten, APIs, Endgeräte und Server mithilfe von Zugriffskontrollsystemen und Konfigurationshärtungsprozessen.
• Identifizieren Sie authentifizierte Benutzer und Systeme, sowohl remote als auch vor Ort, und schützen Sie Informationsbestände mithilfe von Techniken wie der Multifaktor-Authentifizierung.
• Der Zugriff auf vertrauliche und personenbezogene Daten ist ausschließlich autorisiertem Personal zu gewähren.

CC6.2

Vor der Ausstellung von Systemzugangsdaten und der Gewährung von Systemzugriffen registriert und autorisiert das Unternehmen neue interne und externe Benutzer, deren Zugriff vom Unternehmen verwaltet wird. Die Zugangsdaten dieser Benutzer werden entfernt, sobald der Zugriff nicht mehr autorisiert ist. Erstellen Sie Zugangsdaten, um die Informationswerte von Mitarbeitern, Auftragnehmern, Lieferanten, Geschäftspartnern, Systemen und weiteren zu schützen.

• Entfernen Sie den Zugriff auf Anmeldeinformationen, die nicht mehr verwendet werden oder ungültig sind. Ändern Sie beispielsweise die Passwörter für alle Systeme, auf die ein Mitarbeiter nach seinem Ausscheiden Zugriff hatte.

CC6.3

Die Organisation autorisiert, ändert oder entfernt den Zugriff auf Daten, Software, Funktionen und andere geschützte Informationsbestände auf der Grundlage von Rollen, Verantwortlichkeiten oder Systemdesign und -änderungen unter Berücksichtigung der Konzepte der minimalen Berechtigungen und der Funktionstrennung, um die Ziele der Organisation zu erreichen.

• Implementieren Sie Prozesse zur Änderung des Zugriffs auf geschützte Informationen auf Grundlage der Autorisierung.
• Implementieren Sie Prozesse, um den Zugriff auf geschützte Informationen zu widerrufen, wenn diese nicht mehr verwendet werden.
• Implementieren Sie Zugriffskontrollstrukturen wie rollenbasierte Zugriffskontrollen, um Berechtigungen einzuschränken und unvereinbare Aufgaben zu trennen.

Sprinto unterstützt Sie bei der Einrichtung rollenbasierter Zugriffskontrolle, um den Netzwerkzugriff basierend auf den jeweiligen Rollen innerhalb des Unternehmens einzuschränken. Indem Sie definieren, wer wann und wie auf welche Ressourcen zugreifen darf, erfüllen Sie die Anforderungen von SOC-Audits.

• Beschreiben Sie, wie Sie den Login mithilfe der Tools zur Stärkung des Login-Mechanismus von Sprinto schützen können.
• Richten Sie eine ticketbasierte Zugriffskontrolle ein, um Ausnahmen zu verwalten.
• Erhalten Sie einen detaillierten Überblick über organisationsweite Konten und Zugriffsrechte, einschließlich Statusverlauf.

SOC-2-Passwortanforderungen

SOC 2 schreibt keinen einheitlichen Passwortstandard für alle Organisationen vor. Ihre Richtlinie sollte eine nachvollziehbare Basislinie definieren und nachweisen, dass diese Basislinie in allen Systemen, die Gegenstand des Audits sind, durchgesetzt wird.

Ihre Passwort- und Authentifizierungskontrollen sollten mindestens Länge, Komplexität oder Sperrlisten, Passwortänderungen, Schutz vor fehlgeschlagenen Anmeldeversuchen, MFA und Nachweise über die Durchsetzung umfassen.

1. Passwortlänge

SOC 2 schreibt keine bestimmte Passwortlänge vor. Prüfer achten üblicherweise auf eine angemessene Richtlinie, deren konsequente Anwendung und den Nachweis, dass die Regel auf die relevanten Systeme anwendbar ist.

Eine gängige Mindestlänge von 8 Zeichen gilt für Passwörter mit MFA. Bei Passwörtern mit nur einem Faktor, privilegierten Konten und Systemen mit sensiblen Daten ist eine längere Mindestlänge leichter zu schützen. Die aktuellen NIST-Richtlinien für digitale Identität fordern mindestens 15 Zeichen für Passwörter, die als einzelner Authentifizierungsfaktor verwendet werden, und mindestens 8 Zeichen, wenn Passwörter nur im Rahmen von MFA eingesetzt werden.

Ihre Richtlinie sollte auch längere Passphrasen zulassen. Vermeiden Sie kurze maximale Längenbeschränkungen, die Benutzer daran hindern, sichere Anmeldeinformationen zu erstellen. Sofern Ihr Identitätsanbieter dies unterstützt, erlauben Sie Passphrasen mit mindestens 64 Zeichen.

Zur Vorbereitung auf Audits sollten Sie die Mindestlänge dokumentieren und Screenshots, Konfigurationsexporte oder Systemeinstellungen aufbewahren, die belegen, dass die Regel in SSO, Identitätsanbietern, VPNs, Cloud-Anwendungen, Administrationskonsolen, Endgeräten und anderen relevanten Systemen durchgesetzt wird.

2. Passwortkomplexität und Sperrlisten

Regeln zur Passwortkomplexität sollten Passwörter schwieriger zu erraten machen, ohne Benutzer zu vorhersehbaren Mustern zu drängen, wie z. B. Password1! or Password@123.

Die traditionellen Komplexitätsregeln schreiben Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole vor. Diese Regeln sind zwar immer noch weit verbreitet, sollten aber nicht das einzige Kontrollinstrument sein. Aktuelle Passwortrichtlinien legen mehr Wert auf Länge, Sperrlisten, Ratenbegrenzung, Multi-Faktor-Authentifizierung (MFA) und sichere Speicherung.

Ein strengerer, SOC-2-konformer Ansatz kombiniert Passwortanforderungen mit:

• Minimale Passwortlänge
• Sperrlisten für häufige, kompromittierte oder leicht zu erratende Passwörter
• Keine Wiederverwendung von Passwörtern für Geschäftssysteme
• MFA für betroffene und privilegierte Systeme
• Ratenbegrenzung oder Kontosperrung nach wiederholten fehlgeschlagenen Versuchen
• Sichere Passwortspeicherung durch Hashing und Salting für Systeme, die Sie selbst entwickeln oder verwalten
• Das Passwort wird geändert, sobald Anzeichen für eine Kompromittierung vorliegen.

Wenn Ihre Organisation Regeln für Zeichentypen vorschreibt, dokumentieren Sie diese klar und zeigen Sie auf, wo sie technisch durchgesetzt werden. Verwenden Sie stattdessen Passphrasen, dokumentieren Sie die Gründe dafür und zeigen Sie die kompensierenden Kontrollmaßnahmen auf, die das Risiko von Anmeldeinformationen verringern.

3. Passwortrotation

Regelmäßige Passwortänderungen sind nicht mehr die empfohlene Vorgehensweise für jedes Konto. Erzwungene Zurücksetzungen alle 30, 60 oder 90 Tage können dazu führen, dass Nutzer vorhersehbare Variationen desselben Passworts erstellen.

Ein besserer Ansatz besteht darin, Passwortänderungen vorzuschreiben, wenn Anzeichen für eine Kompromittierung oder eine wesentliche Änderung der Zugriffsrechte vorliegen. Beispiele hierfür sind der Verdacht auf Offenlegung von Zugangsdaten, Phishing, Weitergabe von Passwörtern, Kündigung von Mitarbeitern, Änderungen privilegierter Rollen, Beendigung der Zusammenarbeit mit externen Dienstleistern oder ein Sicherheitsvorfall, der ein betroffenes System betrifft.

Für gemeinsam genutzte, Service-, Notfall- oder Administrator-Zugangsdaten sollten strengere Rotationsregeln festgelegt werden. Diese Konten bergen ein höheres Risiko und sollten getrennt von normalen Benutzerkonten verwaltet werden.

Zur Vorbereitung auf Audits sollten Sie Nachweise über Ihre Regeln zum Zurücksetzen von Passwörtern, über Ereignisse beim Zurücksetzen von Passwörtern, über Aufzeichnungen zum Widerruf von Zugriffsrechten und über alle Ausnahmen, die für privilegierte Konten oder Dienstkonten genehmigt wurden, aufbewahren.

4. Fehlgeschlagener Anmeldeschutz

Angreifer testen gestohlene oder erratene Zugangsdaten häufig durch wiederholte Anmeldeversuche. Der Schutz vor fehlgeschlagenen Anmeldeversuchen begrenzt die Anzahl der Versuche, bevor das System langsamer wird, den Benutzer blockiert oder eine Anmeldeaufforderung auslöst.

Dies kann durch Kontosperrung, Anmeldedrosselung, adaptive Authentifizierung, CAPTCHA oder risikobasierte MFA-Prüfungen umgesetzt werden. Ziel ist es, das Risiko von Brute-Force-Angriffen und Credential Stuffing zu reduzieren, ohne legitime Nutzer unnötigerweise auszusperren.

Dokumentieren Sie den Schwellenwert für fehlgeschlagene Anmeldeversuche, die Sperrdauer oder die Drosselungsregel sowie die Systeme, auf denen die Kontrolle durchgesetzt wird. Verwenden Sie für privilegierte Konten strengere Überwachungs- und Alarmierungsmechanismen.

5. Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (MFA) verringert das Risiko, dass ein gestohlenes Passwort allein für den Zugriff auf relevante Systeme verwendet werden kann. Für SOC 2 ist MFA besonders wichtig für Single Sign-On (SSO), VPN, Cloud-Konsolen, Produktionssysteme, Code-Repositories, Sicherheitstools, Finanzsysteme und privilegierte Konten.

Ihre MFA-Richtlinie sollte festlegen, welche Systeme MFA erfordern, welche Faktoren zulässig sind, wie Ausnahmen genehmigt werden und wie die MFA-Registrierung überwacht wird.

Bei Zugriffen mit hohem Risiko sollten Sie, wo praktikabel, Phishing-resistente Optionen wie Sicherheitsschlüssel oder Plattform-Authentifikatoren in Betracht ziehen. Mindestens sollten Sie Nachweise darüber aufbewahren, dass die Multi-Faktor-Authentifizierung (MFA) für die betroffenen Systeme aktiviert und überwacht wird.

Bonus: Hier ist eine Checkliste zur SOC-2-Konformität für Sie.

Wo sollten die Passwortkontrollen gemäß SOC 2 durchgesetzt werden?

Eine Passwortrichtlinie ist nur dann sinnvoll, wenn sie für die Systeme in Ihrem SOC-2-Geltungsbereich gilt. Beginnen Sie damit, festzustellen, wo sich Benutzer authentifizieren und wo auf Kundendaten oder Produktionssysteme zugegriffen werden kann.

Zu den üblicherweise zu überprüfenden Systemen gehören:

• Identitätsanbieter und SSO-Tools
• VPNs und Remote-Access-Tools
• Cloud-Plattformen wie AWS, Azure oder Google Cloud
• Produktionsadministratorkonsolen
• Code-Repositories und CI/CD-Tools
• Datenbanken und Data Warehouses
• Endgeräte und MDM-Tools
• Sicherheitstools und Protokollierungsplattformen
• Anwendungen für Finanzen, Personalwesen und Kundensupport
• Break-Glass-, Gemeinschafts-, Service- und Lieferantenkonten

Verlassen Sie sich nicht ausschließlich auf den Identitätsanbieter. Wenn sich Benutzer direkt bei einer Anwendung, einer Verwaltungskonsole, einer Datenbank oder einem lokalen Gerät authentifizieren können, benötigt dieses System möglicherweise ein eigenes Passwort und einen Nachweis der Multi-Faktor-Authentifizierung (MFA).

Tipps, um sicherzustellen, dass Sie die SOC-2-Passwortanforderungen erfüllen

Die Erfüllung der SOC-2-Passwortanforderungen erfordert das Zusammenspiel von Menschen, Prozessen und Technologie. Nachdem Sie nun die Anforderungen kennen, befolgen Sie diese Empfehlungen, um sie zu erfüllen:

Verwenden Sie einen Passwort-Manager für Ihre geschäftlichen Zugangsdaten.

Passwortmanager helfen Mitarbeitern, lange, individuelle Passwörter zu erstellen und zu speichern, ohne Anmeldeinformationen für verschiedene Tools wiederzuverwenden. Sie sind besonders nützlich für Systeme, die kein Single Sign-On (SSO) unterstützen, oder für genehmigte, gemeinsam genutzte Anmeldeinformationen, die einen kontrollierten Zugriff erfordern.

Für SOC 2 dokumentieren Sie Ihre Passwort-Manager-Richtlinie und zeigen Sie auf, wie Zugriffe gewährt, überprüft und entzogen werden. Bei Verwendung gemeinsam genutzter Tresore beschränken Sie den Zugriff rollenbasiert und protokollieren Sie – sofern verfügbar – die Zugriffe auf Anmeldeinformationen.

Die Prüfer können Nachweise dafür verlangen, dass die Mitarbeiter zur Nutzung des Passwortmanagers verpflichtet sind, dass der Zugriff auf den Passwort-Tresor eingeschränkt ist und dass die Zugangsdaten entfernt werden, wenn Benutzer das Unternehmen verlassen oder ihre Rolle ändern.

Schulen Sie die Mitarbeiter in Sachen Ausweissicherheit

Die Schulung sollte sich auf Situationen konzentrieren, in denen Mitarbeiter tatsächlich Fehler bei der Eingabe ihrer Zugangsdaten machen: Wiederverwendung von Passwörtern, Zustimmung zu unerwarteten MFA-Aufforderungen, Weitergabe von Zugangsdaten, Speicherung von Passwörtern in Notizen oder Chat-Tools und Eingabe von Zugangsdaten auf Phishing-Seiten.

Bewahren Sie Schulungsnachweise als SOC-2-Nachweis auf. Prüfer können fragen, ob die Mitarbeiter eine Schulung zur Sensibilisierung für IT-Sicherheit absolviert haben und ob diese Schulung Themen wie Passwortsicherheit, Phishing, Multi-Faktor-Authentifizierung und die Meldung von Sicherheitsvorfällen umfasst.

Das Schulungsmodul von Sprinto hilft dabei, die Schulungsanforderungen im Bereich Compliance zu erfüllen. Compliance-Schulungen Der Leitfaden beschreibt den sechsstufigen Prozess zum Aufbau eines effektiven Programms – von der Risikoanalyse bis hin zu kontinuierlicher Überwachung und Verbesserung. Passen Sie das Modul Ihren Bedürfnissen an, fügen Sie weitere Schulungsmodule hinzu, überprüfen Sie den Abschlussstatus, markieren Sie Ausnahmen und sammeln Sie Nachweise über die abgeschlossenen Schulungen.

Verbinden Sie Passwortkontrollen mit der Zugriffskontrolle.

Passwortkontrollen sollten mit dem Prinzip der minimalen Berechtigungen, rollenbasierter Zugriffskontrolle, Zugriffsüberprüfungen und zeitnaher Entzugsberechtigungen funktionieren. Ein starkes Passwort nützt nichts, wenn Benutzer Zugriffsrechte behalten, die sie nicht mehr benötigen.

Für SOC 2 müssen Nachweise darüber aufbewahrt werden, dass der Zugriff vor der Bereitstellung genehmigt, bei Rollenänderungen angepasst und beim Ausscheiden von Mitarbeitern, Auftragnehmern oder Lieferanten entfernt wurde. Dies ist besonders wichtig für privilegierte Konten und Systeme, die Kundendaten speichern.

Bildschirmsperre auf Endgeräten erzwingen

Die Bildschirmsperre trägt dazu bei, das Risiko unbefugten Zugriffs zu verringern, wenn ein Gerät unbeaufsichtigt gelassen wird. Sie ist besonders wichtig für Remote- und Hybrid-Teams, die Laptops außerhalb kontrollierter Büroumgebungen nutzen.

Definieren Sie das Inaktivitäts-Timeout in den Richtlinien und setzen Sie es über MDM, Endpunktverwaltung oder Betriebssystemkonfiguration durch. Dokumentieren Sie, ob die Bildschirmsperre auf allen betroffenen Mitarbeitergeräten aktiviert ist.

Das Mitarbeiterverwaltungstool von Sprinto scannt die Systemeinstellungen auf nicht konforme Konfigurationen, wie beispielsweise fehlende Einstellungen für die Bildschirmsperre oder fehlendes Passwort beim Systemstart. Es benachrichtigt automatisch die Systemadministratoren, damit diese den betroffenen Benutzer informieren können.

Ändern Sie die Standardpasswörter vor der Verwendung.

Die Standardpasswörter neuer Tools, Geräte, Datenbanken, Router, Administrationskonsolen und Appliances sollten geändert werden, bevor das System im Produktivbetrieb eingesetzt wird.

Für SOC 2 dokumentieren Sie den Onboarding-Prozess für neue Systeme und bewahren Sie Nachweise darüber auf, dass Standardanmeldeinformationen geändert oder deaktiviert wurden. Dies kann Checklisten für die Einrichtung, MDM-Richtlinien, Screenshots der Konfiguration oder Ticketprotokolle umfassen.

Die Passwortrichtlinie ist nicht das Ziel: Beweisen Sie deren Durchsetzung.

Eine Passwortrichtlinie informiert Prüfer darüber, was die Organisation erwartet. Nachweise zeigen, ob diese Erwartungen auch eingehalten werden.

Für SOC 2 sammeln Sie Nachweise von den Systemen, in denen die Authentifizierung tatsächlich stattfindet. Dies kann Folgendes umfassen:

• SSO- und Identitätsanbieter-Passworteinstellungen
• Screenshots oder Konfigurationsexporte zur Durchsetzung der Multi-Faktor-Authentifizierung
• VPN- und Cloud-Anwendungsauthentifizierungseinstellungen
• Kontrollen für privilegierte und Notfallkonten
• Sperrung oder Drosselungseinstellungen bei fehlgeschlagenem Login
• Richtlinien und Zugriffsprotokolle des Passwortmanagers
• Konfiguration der Bildschirmsperre am Endgerät
• Zugriffsprüfungsprotokolle für Rollenänderungen und ausgeschiedene Benutzer
• Tickets, die Passwortzurücksetzungen, Kontolöschungen oder Ausnahmegenehmigungen anzeigen

Mit SprintTeams können die SOC-2-Zugriffskontrollanforderungen den angeschlossenen Systemen zuordnen, den Kontrollstatus überwachen, Nachweise sammeln und Ausnahmen zentral verfolgen. Dies hilft ihnen, die Einhaltung der Passwort- und Authentifizierungskontrollen zu belegen, anstatt sich ausschließlich auf schriftliche Richtlinien zu verlassen.

Häufig gestellte Fragen