SOC 2-controls in gewone taal: de Common Criteria CC1 t/m CC9

In het kort

• De Common Criteria zijn negen reeksen, genummerd CC1 t/m CC9, met samen 33 criteria. Ze vormen de complete set voor de categorie Security en gelden ook bij de andere vier categorieën.
• Security is verplicht, dus de Common Criteria komen in elk SOC 2-rapport terug.
• Elke reeks beschrijft een deel van een goed beheerde organisatie, van bestuur en risico's tot wijzigingen en toegang.
• Je gebruikt de reeksen als kapstok om je controls te ordenen en gaten te vinden voordat de audit begint.

Kort antwoord

Een SOC 2-rapport beoordeelt je controls aan de hand van de Trust Services Criteria, die uit vijf categorieën bestaan. Binnen die criteria vormen de Common Criteria de basis: negen reeksen, CC1 t/m CC9, die beschrijven hoe een organisatie haar beveiliging inricht, bestuurt en bewaakt. Omdat Security altijd verplicht is, komen deze reeksen in elk SOC 2-rapport terug. Je hoeft ze niet van buiten te leren, maar je moet wel begrijpen wat ze van je verwachten.

Hoe de Common Criteria zijn opgebouwd

SOC 2 kent vijf categorieën: Security, Availability, Processing Integrity, Confidentiality en Privacy. Security is de enige categorie die in elk rapport verplicht is. Availability, Processing Integrity, Confidentiality en Privacy neem je mee als ze passen bij je dienst en bij wat klanten van je verwachten. Zie voor die vier de pagina over de Trust Services Criteria.

De Common Criteria zijn de algemene criteria die voor alle categorieën gelden. Voor Security vormen ze samen de complete set. Kies je ook een van de andere vier categorieën, dan komen er aanvullende criteria bij: volgens de NOREA-handreiking, die uitgaat van de versie van 2017, zijn dat er 3 voor Availability, 5 voor Processing Integrity, 2 voor Confidentiality en 18 voor Privacy. De Common Criteria hebben een eigen nummering, van CC1 tot en met CC9, en tellen samen 33 criteria. Ieder criterium vraagt om een of meer controls: maatregelen die je hebt ingericht en kunt laten zien. Daarnaast heeft de AICPA bij de criteria aandachtspunten (points of focus) beschreven die gerelateerd zijn aan de vijf onderdelen van het COSO-raamwerk voor interne beheersing, volgens de SOC 2-pagina van Moore DRV.

Overzicht van CC1 t/m CC9

De tabel geeft per reeks de naam en de kern in één zin. Daaronder lees je per reeks wat die betekent en welke controls organisaties er vaak bij hebben.

De namen en aantallen komen uit de Nederlandse NOREA-handreiking voor SOC 2, die de versie van 2017 van de Trust Services Criteria volgt.

De negen reeksen uitgelegd

Per reeks staan hieronder de naam, wat de reeks in gewone woorden betekent en een paar voorbeelden van controls. De voorbeelden zijn algemeen. Welke controls bij jou passen, hangt af van je systemen en je scope.

CC1: Control Environment

Deze reeks gaat over de basis van de organisatie: bestuur, rollen, verantwoordelijkheden en integriteit. Veel andere reeksen rusten hierop.

Voorbeelden die organisaties vaak hebben:

• Een gedragscode die medewerkers bij indiensttreding en daarna periodiek bevestigen
• Een organogram met vastgelegde rollen voor informatiebeveiliging
• Afspraken over vertrouwelijkheid in arbeidscontracten en bij het beëindigen van een dienstverband

CC2: Communication and Information

Hier gaat het om de vraag of de juiste mensen de juiste informatie krijgen: beleid, verantwoordelijkheden, incidenten en wijzigingen die klanten raken. Dat geldt binnen de organisatie en richting externe partijen.

Voorbeelden die organisaties vaak hebben:

• Een beveiligingsbeleid dat is gepubliceerd en bij nieuwe medewerkers wordt besproken
• Een meldpunt waar medewerkers een verdacht incident kunnen melden
• Een werkwijze om klanten te informeren over storingen of geplande wijzigingen

CC3: Risk Assessment

Je brengt in kaart welke risico's je doelen in de weg kunnen staan, en hoe groot die risico's zijn. Deze beoordeling vormt de basis voor de controls die je daarna kiest.

Voorbeelden die organisaties vaak hebben:

• Een risicoregister met per risico een eigenaar en een beoordeling
• Een jaarlijkse risicoanalyse van systemen en processen
• Een risicobeoordeling voordat je een nieuwe dienst of leverancier introduceert

CC4: Monitoring Activities

Je controleert of je controls nog werken en pakt tekortkomingen tijdig op. Het gaat dus om toezicht, niet alleen om het hebben van maatregelen.

Voorbeelden die organisaties vaak hebben:

• Periodieke reviews van toegangsrechten door de verantwoordelijke leidinggevende
• Interne audits of zelfbeoordelingen van belangrijke processen
• Een lijst met bevindingen, met per bevinding een eigenaar en een afrondingsdatum

CC5: Control Activities

Dit zijn de concrete maatregelen die risico's verkleinen, zoals beleid, procedures en functiescheiding. Veel controls die je in een procesbeschrijving terugziet, horen hier thuis.

Voorbeelden die organisaties vaak hebben:

• Functiescheiding, zodat één persoon een wijziging niet zowel kan doorvoeren als goedkeuren
• Een vastgelegde procedure voor het aanmaken en intrekken van accounts bij in- en uitdiensttreding
• Vastgelegde standaardconfiguraties voor servers en werkplekken

CC6: Logical and Physical Access Controls

Wie krijgt toegang tot systemen, gegevens en gebouwen, en hoe wordt die toegang geregeld, gecontroleerd en ingetrokken? Deze reeks gaat over concrete toegang, zowel digitaal als fysiek.

Voorbeelden die organisaties vaak hebben:

• Multi-factor authenticatie voor beheeraccounts en externe toegang
• Een periodieke controle van toegangsrechten, met direct intrekken bij vertrek
• Een pasjessysteem of bezoekersregistratie voor kantoren en serverruimten

CC7: System Operations

Hier gaat het om het dagelijks beheer van systemen: monitoren, afwijkingen signaleren, incidenten afhandelen en herstellen na een storing.

Voorbeelden die organisaties vaak hebben:

• Logging en meldingen bij verdachte activiteiten
• Een incidentprocedure met vaste stappen, rollen en een evaluatie na afloop
• Een herstelprocedure die periodiek wordt geoefend

CC8: Change Management

Wijzigingen aan software, configuraties en infrastructuur worden gecontroleerd doorgevoerd. Ze worden beoordeeld, getest en goedgekeurd voordat ze in productie gaan.

Voorbeelden die organisaties vaak hebben:

• Een code review door een tweede persoon voordat wijzigingen live gaan
• Een wijzigingsregistratie met beschrijving, testresultaat en goedkeuring
• Een spoedprocedure voor urgente fixes, die achteraf alsnog wordt vastgelegd

CC9: Risk Mitigation

Deze reeks gaat over hoe je reageert op de risico's die je hebt gevonden: maatregelen die het risico verlagen en het blijvend bewaken van hoe die risico's zich ontwikkelen. Daaronder vallen verstoringen van de bedrijfsvoering en risico's die bij leveranciers en andere partners liggen. Denk aan contracten, responsplannen en continuïteitsafspraken.

Voorbeelden die organisaties vaak hebben:

• Beveiligingsafspraken in contracten met leveranciers die klantgegevens verwerken
• Een periodieke beoordeling van leveranciers, bijvoorbeeld aan de hand van hun eigen auditrapporten
• Een continuïteitsplan dat beschrijft hoe je na een grote verstoring verder werkt

Wat de Common Criteria niet zijn

Het is verleidelijk om de reeksen als checklist te behandelen. Dat werkt niet altijd. De Common Criteria zijn bijvoorbeeld niet:

• Een certificaat. Een SOC 2-rapport is een verklaring van een auditor over je controls. Je "haalt" geen reeksen en krijgt geen keurmerk. Lees wat SOC 2 is voor het volledige verschil.
• Een productlijst. De reeksen beschrijven wat je moet kunnen aantonen, niet welke software je moet kopen.
• Een losse score per reeks. Een auditor beoordeelt het geheel, in de context van jouw systemen, diensten en scope.
• Een bewijslijst. Welk bewijs een auditor per criterium verwacht, lees je in de checklist bewijs per criterium.

Zo gebruik je dit bij je voorbereiding

Wie zich voorbereidt op een SOC 2-rapport kan de negen reeksen gebruiken als structuur. Zo werk je het overzichtelijkst:

1. Zet je bestaande controls naast de tabel en noteer per control in welke reeks die thuishoort.
2. Zoek reeksen waar weinig of geen controls bij staan. Dat zijn je eerste aandachtspunten.
3. Controleer of je controls ook werken, niet alleen of ze bestaan. Lees het verschil tussen Type 1 en Type 2 om te begrijpen waarom dat uitmaakt.
4. Loop de auditfasen door, zodat je weet welk bewijs wanneer klaar moet zijn.
5. Gebruik de begrippenlijst voor termen als scope, exceptions en evidence.

Veelgestelde vragen

Bronnen

• AICPA: 2017 Trust Services Criteria (with revised points of focus 2022): de officiële titel van het document.
• Compass IT Compliance: SOC 2 Common Criteria, de CC-reeksen uitgelegd: namen en korte beschrijvingen van CC1 t/m CC9.
• Cloud Security Alliance: The 5 SOC 2 Trust Services Criteria Explained: de vijf categorieën en de verplichte rol van Security.
• NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): de negen groepen algemene criteria, het aantal criteria per groep en de aanvullende criteria per categorie.
• Moore DRV: SOC 2-audit: de relatie tussen de aandachtspunten van de AICPA en de vijf onderdelen van het COSO-raamwerk.
• COSO: Internal Control (guidance): de naam van het raamwerk Internal Control - Integrated Framework (2013).

Verder lezen

• De Trust Services Criteria
• SOC 2-begrippenlijst
• SOC 2-checklist: welk bewijs vraagt de auditor per criterium?
• Waarom SOC 2-audits afwijkingen geven: 8 fouten die je kunt voorkomen