SOC 2-Zertifizierung: Warum Fördermittelmanager sich nicht einfach auf das Wort eines Anbieters verlassen sollten

Artikel verfasst von Dan Whitty, Senior Manager für Informationssicherheit bei Good Grants.

Viele Plattformen behaupten, dass sie Datensicherheit ernst nehmen. Eine SOC 2-Zertifizierung bedeutet, dass diese Aussage unabhängig überprüft wurde.

Wenn Sie Ihre Auswahlliste eingrenzen, kann die endgültige Entscheidung an einem einzigen Faktor hängen. Zwei Anbieter, beide mit schicken Websites. Beide versprechen Sicherheit auf Enterprise-Niveau. Beide stützen sich auf Schlagworte wie „best-in-class“ und „industry-leading“. Schauen Sie genauer hin, und Sie werden feststellen, dass einer von ihnen diese überschwänglichen Bewertungen über sich selbst geschrieben hat. Die andere hat eine unabhängige Prüfung durchführen lassen – ohne Eigeninteresse –, bei der die Systeme monatelang intensiv getestet wurden, bevor das gleiche Ergebnis bestätigt wurde.

Wenn es darum geht, die sensiblen Daten Ihrer Bewerbenden zu schützen: Auf welche dieser Plattformen würden Sie sich lieber verlassen? Das ist der eigentliche Wert der SOC 2-Zertifizierung: Sie ist die Art der Sicherheitswelt zu sagen: Vertrauen Sie nicht einfach, sondern prüfen Sie.

Was SOC 2 tatsächlich bedeutet – einfach erklärt

SOC steht für System and Organization Controls, ein Rahmenwerk des American Institute of Certified Public Accountants (AICPA). Der SOC 2-Standard wurde mit Blick auf Technologie- und Cloud-Service-Unternehmen entwickelt und konzentriert sich darauf, wie gut eine Plattform die Daten schützt, die sie im Auftrag ihrer Kunden verwaltet.

Für Fördermittelmanager haben diese Daten echtes Gewicht: Identitäten und Kontaktdaten von Bewerbenden, Finanzunterlagen, Bewertungsergebnisse, Kommentare von Gutachtenden, Förderentscheidungen. Sie zu schützen ist nicht optional – es ist eine Kernverantwortung jeder SaaS-Plattform, die in diesem Bereich tätig ist.

Typ 1 vs. Typ 2: Momentaufnahme versus nachhaltiger Nachweis

Das ist ein Unterschied, der oft übergangen wird – aber er ist äußerst wichtig.

Ein SOC 2 Typ 1-Bericht bestätigt, dass eine Plattform zu einem bestimmten Zeitpunkt die richtigen Sicherheitskontrollen eingerichtet hatte. Stellen Sie sich vor, eine Gesundheitsinspektion kommt einmal in eine Restaurantküche und findet alles vorschriftsmäßig vor – die Ausrüstung ist sauber, die Lagerung stimmt, die Kästchen sind abgehakt.

Ein SOC 2 Typ 2-Bericht geht deutlich weiter. Er bestätigt, dass diese Kontrollen über einen längeren Zeitraum – in der Regel sechs bis zwölf Monate – durchgehend wie vorgesehen funktioniert haben, während der Prozess fortlaufend unabhängig geprüft wurde.

Typ 2 ist der Goldstandard – und das, was informierte Käufer:innen sehen wollen. Er trennt Plattformen, die etwas Sicheres gebaut haben, von denen, die nachgewiesen haben, dass sie es jeden einzelnen Tag so halten – ohne dass jemand ihnen über die Schulter schaut, um sie daran zu erinnern.

Fragen, die Sie jedem Softwareanbieter stellen sollten

Wenn Sie Fördermittelmanagement-Plattformen bewerten und ein Anbieter SOC 2-Konformität behauptet, sollten Sie Folgendes genauer prüfen:

• Typ 1 oder Typ 2? Typ 2 hat deutlich mehr Gewicht. Wenn ein Anbieter nur einen Typ 1-Bericht hat, fragen Sie nach, wann er Typ 2 abschließen will.
• Wann wurde er ausgestellt? SOC 2-Zertifizierungen werden in der Regel jährlich erneuert. Ein älterer Bericht sagt deutlich weniger darüber aus, wie die Plattform heute aufgestellt ist.
• Teilen sie ihn? Jeder Anbieter, der von seiner Sicherheitslage überzeugt ist, sollte bereit sein, den Bericht – oder zumindest eine Zusammenfassung – ernsthaften Interessenten zur Verfügung zu stellen. Zögern an dieser Stelle ist ein Hinweis, den man beachten sollte.

Good Grants und SOC 2

Wir haben den Prozess durchlaufen, die Prüfung bestanden und durchlaufen ihn gerade erneut. Good Grants verfügt über eine SOC 2 Typ 2-Zertifizierung, und unsere zweite Auditierung in Folge läuft derzeit. Denn für uns war eine einzige unabhängige Prüfung nie ausreichend.

Besuchen Sie unser Security Centre, um mehr zu erfahren.