Nsecure setzt mit SOC 2 Type II neue Maßstäbe

Update Juli 2023: Nach dem Erhalt der SOC 2 Type II-Zertifizierung im Februar 2022 wurde Nsecure erneut überprüft, und das Audit wurde erfolgreich abgeschlossen. Über einen Zeitraum von sechs Monaten wurden unsere Informationssicherheitsmaßnahmen erneut gründlich von einem unabhängigen externen Auditor geprüft. Mit dieser Zertifizierung geben wir eine unabhängige Garantie, dass alles nach den höchsten Standards geregelt ist. Der vollständige Bericht kann auf Anfrage zur Verfügung gestellt werden. 

Nsecure hat kürzlich die SOC 2 Type II Assurance-Zertifizierung erhalten, eine Seltenheit in der Access & Security-Branche. Damit sind die von Nsecure verarbeiteten Daten als IT-Sicherheitsdienstleister sicherer denn je. Alex Smaling, Manager Business Identity & Cloud Services bei Nsecure: „Dies ist derzeit der heilige Gral im Bereich der IT-Sicherheit und aus unserer Sicht das neue Minimum. Wir sind unseren Kunden verpflichtet, immer einen Schritt voraus zu sein.“ 

„Die Kunst der Kontrolle“ ist das Credo von Nsecure. Damit drückt Nsecure aus, dass sie nicht nur Standarddienste anbietet, sondern wie ein leidenschaftlicher Künstler immer die Grenzen verschiebt. Ob es sich um eine Büro-Umgebung, ein Industriekomplex, ein Krankenhaus oder eine Außeneinrichtung handelt, die integrierten Plattformen von Nsecure stellen sicher, dass Menschen nicht nur effizient „einchecken“, sondern auch, dass alle geltenden Gesetze und Vorschriften eingehalten werden. Dadurch wird sofort deutlich, ob jemand an einem Ort sein darf, ob diese Person bestimmte Arbeiten ausführen darf und ob die Risiken abgedeckt sind. Kurz gesagt, unsere Kunden sind vollständig „in Kontrolle“. Und jetzt sicherer als je zuvor. 

Seit dem 4. Februar 2022 ist Nsecure im Besitz der SOC 2 Type II Assurance-Zertifizierung für alle ihre IT-Dienste. Aber was genau ist das und was bedeutet es für Auftraggeber? 

Basierend auf 5 „Trustservice-Prinzipien“ 

Hugo Gerritse, Information Security & Privacy Consultant bei Nsecure: „SOC 2 wurde entwickelt, um mehr Einblick in die Qualität von IT-Diensten zu geben, diese nachweisbar zu machen und auch die effektive Funktionsweise der Prozesse und der zugehörigen Maßnahmen regelmäßig zu überprüfen. SOC 2 ist eine echte Wirtschaftsprüfungserklärung, die die Sicherheit von IT-Diensten und die Verarbeitung von Daten betrifft.“ 

SOC 2 definiert Kriterien für die Verwaltung von Kundendaten auf der Grundlage von fünf „Trustservice-Prinzipien“: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Gerritse: „SOC 2 Type II prüft, ob Informationen und Datenschutz in Bezug auf die von Nsecure verarbeiteten Daten korrekt gehandhabt werden. Mit dieser Erklärung versichern Sie Ihren Kunden, dass Sie als Organisation alle erforderlichen Schritte unternommen haben, um deren Daten sicherzustellen und zu schützen. Sie gehen damit weit über die ISO 27001-Zertifizierung hinaus.“ 

„Die ISO 27001-Zertifizierung ist für Nsecure nicht mehr ausreichend, wenn es um IT-Sicherheit geht“ 

Der Unterschied zwischen SOC 2 Type II und der ISO 27001-Zertifizierung ist, dass die ISO-Zertifizierung eine Momentaufnahme darstellt: Sie prüft die Datenverarbeitung zu einem bestimmten Zeitpunkt. SOC 2 Type II prüft die Funktionsweise aller Sicherheitskontrollen über einen längeren Zeitraum, und diese regelmäßige Prüfung wird von einem unabhängigen, speziell dafür ausgebildeten Wirtschaftsprüfer durchgeführt. 

Höchstes Sicherheitsniveau 

Alex Smaling bemerkte eine wachsende Nachfrage bei großen Organisationen nach mehr Sicherheit in Bezug auf IT-Dienste und Datenverarbeitung. Smaling: „Nsecure arbeitet mit den Top-500-Unternehmen in den Niederlanden. Darunter befinden sich Organisationen, die riesige Mengen an Daten verarbeiten müssen. Als wir merkten, dass Kunden großen Wert auf hohe IT-Sicherheit und eine SOC 2 Type II-Zertifizierung legen, haben wir angefangen, daran zu arbeiten. Noch nicht einmal ein Jahr später sind wir so weit und können unseren Kunden dieses höchstmögliche Sicherheitsniveau bieten. Damit gehören wir zu den Ersten in den Niederlanden in unserer Branche.“ 

„Wir sind damit einer der Ersten in den Niederlanden“ 

Die Prüfungen, die der Wirtschaftsprüfer für SOC 2 Type II durchführt, sind gründlich. Gerritse: „Alle Prozesse rund um unsere Datenverarbeitung müssen beispielsweise nachvollziehbar und effektiv sein. So entsteht eine sogenannte Audit Trail. Diese Audit Trail sorgt dafür, dass alles ‚nachvollziehbar‘ ist. Wenn in meiner Agenda steht, dass ich ein Treffen mit einem wichtigen Partner hatte, muss ich das dem Wirtschaftsprüfer nachweisen können, zum Beispiel durch Protokolle, eine Aktionsliste des Treffens und die Nachverfolgung sichtbar zu machen. SOC 2 Type II erfordert, dass man bei allen Disziplinen äußerst genau ist und dokumentiert, wie alles funktioniert. So entsteht ein vertrauenswürdiges Bild der Kontrolle, die man über alle IT-Prozesse hat.“ 

Unabhängige Garantie für die Zukunft 

Smaling erklärt, dass die Wahrscheinlichkeit groß ist, dass diese Erklärung in Zukunft genauso unverzichtbar wird wie ISO-Zertifizierungen für viele Organisationen. „Große Unternehmen müssen immer häufiger aufgrund ihrer eigenen internen Kontrollen gegenüber der gesamten Kette von Partnern, mit denen sie zusammenarbeiten, nachweisen, dass alles in Ordnung ist in Bezug auf die Datenverarbeitung. Unsere SOC 2 Type II-Erklärung stellt sicher, dass eine solche Organisation sofort weiß, dass bei uns alles in Ordnung ist, was ihnen Zeit und Mühe spart. Wir geben mit dieser Erklärung eine unabhängige Garantie, dass alles nach den höchsten Standards geregelt ist.“ 

The art of control

Dass die Zertifizierung nun vorliegt, bedeutet nicht, dass die Arbeit „fertig“ ist. Smaling: „Wir beschäftigen uns täglich damit. Die Wirtschaftsprüfer werden regelmäßig alles erneut prüfen, also muss man wachsam bleiben, aber das ist auch in unserer DNA: ‚The Art of Control‘ ist nicht ohne Grund unser Credo. Wir beschäftigen uns täglich damit, und jeder in unserer Organisation versteht den Nutzen und die Notwendigkeit. Wir sind wirklich intrinsisch motiviert; wir schauen ständig, wie man das Maß an Kontrolle über alle Prozesse auf die nächste Stufe heben kann. Dadurch sind unsere Dienste immer zukunftssicher, und unsere Kunden sind immer nachweislich ‚in Control‘.“