SOC 2 KI-Konformität
SOC 2 KI-Compliance für Vertrauensgetriebene Organisationen
KI-Tools zur Verarbeitung von Kundendaten, zur Erzeugung von Ergebnissen für Geschäftsentscheidungen und zum Zugriff auf vertrauliche Informationen können Ihre SOC 2 Kontrollen untergraben. Aona entdeckt die Nutzung von KI an abgedeckten Endpunkten, wendet konfigurierte Richtlinien auf unterstützte Interaktionen an und liefert unterstützende Nutzungsnachweise für Ihre Kontrollüberprüfung.
- KI-Nutzungssichtbarkeit
- Endpoint
- unterstützte KI-Steuerungen
- Policy-led
- Belege für die Kontrollüberprüfung
- Usage
- KI-Tools im Risikokatalog
- 10,000+
Was SOC 2 für KI-Tools benötigt
SOC 2 Trust Services Criteria gelten für alle Systeme, die relevante Daten verarbeiten, einschließlich der KI-Tools, die Ihre Mitarbeiter letzte Woche eingeführt haben.
Security (CC6/CC7)Gemeinsame KriterienKI-Zugangskontrollen und -überwachung
Die Sicherheitskriterien erfordern logische Zugriffskontrollen über Informationen und Systeme. Dies erstreckt sich auch auf KI-Tools, die auf Daten im Umfang zugreifen, sie verarbeiten oder speichern. Organisationen müssen Zugriffskontrollen für KI-Tools implementieren, die Nutzung der KI auf unautorisierten Zugriff überwachen und sicherstellen, dass KI-Dienste dieselben Sicherheitsstandards erfüllen wie andere Systeme im Scope.
AvailabilityTreuhanddiensteZuverlässigkeit und Redundanz von KI-Systemen
Wenn Geschäftsprozesse von KI-Tools abhängen, verlangen die Verfügbarkeitskriterien, dass diese Werkzeuge definierte Serviceverpflichtungen erfüllen. Organisationen müssen bewerten, ob KI-abhängige Prozesse über angemessene Redundanz, Failover-Fähigkeiten und Vorfallreaktionsverfahren verfügen, insbesondere für KI-Tools, die in kundenorientierte Arbeitsabläufe eingebettet sind.
VerarbeitungsintegritätTreuhanddiensteGenauigkeit und Vollständigkeit der KI-Ausgaben
Verarbeitungsintegrität erfordert, dass die Systemverarbeitung vollständig, gültig, genau, zeitnah und autorisiert ist. KI-Werkzeuge, die Ergebnisse erzeugen, die in Geschäftsentscheidungen, Kundenlieferungen oder Finanzberichten verwendet werden, müssen auf Genauigkeit validiert werden. Organisationen müssen Kontrollen implementieren, um KI-Ergebnisse zu überprüfen und das Risiko von KI-Halluzinationen oder Ungenauigkeiten zu adressieren.
ConfidentialityTreuhanddiensteKI-Datenverarbeitung und -schutz
Die Vertraulichkeitskriterien verlangen den Schutz von als vertraulich eingestuften Informationen. Wenn Mitarbeiter Kundendaten, proprietäre Informationen oder Geschäftsgeheimnisse mit KI-Tools teilen, können Vertraulichkeitsverpflichtungen verletzt werden. Organisationen müssen kontrollieren, welche Daten in KI-Tools gelangen und sicherstellen, dass KI-Anbieter angemessene Vertraulichkeitsschutzmaßnahmen bieten.
PrivacyTreuhanddiensteKI und Verarbeitung personenbezogener Daten
Die Datenschutzkriterien regeln, wie personenbezogene Daten gesammelt, verwendet, gespeichert, offengelegt und entsorgt werden. KI-Tools, die personenbezogene Daten verarbeiten, müssen die Datenschutzverpflichtungen der Organisation einhalten. Dazu gehört die Sicherstellung, dass KI-Anbieter Datenschutzanforderungen erfüllen, persönliche Daten, die mit KI-Tools geteilt werden, und das Führen von Aufzeichnungen über KI-Verarbeitungsaktivitäten mit personenbezogenen Daten.
Das Schatten-KI-Problem für SOC 2
Shadow KI ist die am schnellsten wachsende Bedrohung für die SOC 2-Konformität. KI-Tools, die ohne Governance eingeführt werden, erzeugen unkontrollierte Datenflüsse, die Auditoren erkennen werden.
Nicht genehmigte KI-Tools mit Client-Daten
Die Nutzung eines KI-Tools mit Kundendaten kann Vertraulichkeits- oder Sicherheitszusagen verletzen, wenn sie den Richtlinien, Verträgen oder ausgewählten Kontrollen der Organisation widerspricht. Prüfen Sie vor der Freigabe den konkreten Dienst, das Konto, die Zugriffskontrollen und die Aufbewahrungseinstellungen anhand Ihres Systemumfangs und Ihrer Zusagen.
KI-Anbieter ohne SOC 2 Berichte
Viele KI-Anbieter, einschließlich beliebter Produktivitäts-KI-Tools, verfügen nicht über SOC 2 Typ-II-Berichte. Die Nutzung dieser Anbieter für In-Scope-Daten ohne ordnungsgemäße Sorgfaltspflicht schafft ein Anbieterrisiko, das von Prüfern festgestellt wird. Ihre SOC 2 Verpflichtungen erstrecken sich auch auf Ihre Subservice-Organisationen.
Fehlende KI-Auditspuren
SOC 2 erfordert Überwachung und Protokollierung des Zugriffs auf Inscope-Daten. KI-Tools, die außerhalb der IT-Governance verwendet werden, verfügen typischerweise nicht über die Audit-Spur, SOC 2 Prüfer erwarten. Ohne Protokolle darüber, welche Daten mit KI geteilt wurden und von wem, können Organisationen keine Kontrolleffektivität nachweisen.
Aona in der Praxis
Von der Anforderung zur konkreten Kontrolle
Verknüpfen Sie Kontrollen zur KI-Nutzung Ihrer Beschäftigten mit den Nachweisen, die Kontrollverantwortliche und Prüfer benötigen.
Sicherheit und Vertraulichkeit → DatenkontrollenEine Regel für die Datenübermittlung an KI durchsetzen
- Die Anforderung
- Wählen Sie Kontrollen, die Informationen und Systeme im Einklang mit Ihren Zusagen und den geltenden Trust Services Criteria schützen.
- Was Aona beiträgt
- Konfigurieren Sie Einschränkungen für unterstützte Tools und blockieren oder schwärzen Sie erkannte sensible Daten in unterstützten KI-Eingaben.
- Zu prüfende Nachweise
- Bewahren Sie die freigegebene Kontrollbeschreibung, die Richtlinienkonfiguration und Ereignisstichproben zusammen mit den Ergebnissen der Tests mit synthetischen Daten auf.
- Verantwortung Ihrer Organisation
- Legen Sie mit Ihrem Prüfer den Umfang, die Verantwortlichen und Ausnahmen fest. Testen Sie die Kontrolle über die relevante Grundgesamtheit und den Prüfungszeitraum hinweg.
Sicherheitsüberwachung → prüfbare NachweiseKI-Ereignisse in die Kontrollüberwachung einbeziehen
- Die Anforderung
- Ihre Kontrollen benötigen Nachweise, die zu ihrer Ausgestaltung passen. Bei einer Prüfung nach Typ II müssen diese auch den Betrieb im festgelegten Zeitraum abdecken.
- Was Aona beiträgt
- Prüfen Sie die protokollierte KI-Nutzung von Beschäftigten und Richtlinienereignisse auf abgedeckten Endgeräten auf Aktivitäten, die eine Nachverfolgung erfordern.
- Zu prüfende Nachweise
- Verknüpfen Sie relevante Ereignisse mit Prüfentscheidungen, Vorfallsaufzeichnungen und Nachweisen zur Behebung.
- Verantwortung Ihrer Organisation
- Legen Sie Prüfintervalle und Aufbewahrungsfristen fest. Stellen Sie die Vollständigkeit und Verlässlichkeit der Nachweise sicher, die Sie dem Prüfer vorlegen.
Prüfung von Anbieterrisiken → beobachtete KI-ToolsDie KI-Anbieterliste an der beobachteten Nutzung ausrichten
- Die Anforderung
- Behandeln Sie Risiken relevanter Anbieter und Geschäftspartner innerhalb Ihres Kontrollumfelds.
- Was Aona beiträgt
- Identifizieren Sie anhand der KI-Sichtbarkeit auf abgedeckten Endgeräten zu prüfende Tools. Konfigurieren Sie nach einer Entscheidung die Richtlinien für unterstützte Tools.
- Zu prüfende Nachweise
- Gleichen Sie die beobachtete Nutzung mit Ihrer Liste freigegebener Anbieter, der Risikoprüfung und den geltenden vertraglichen Zusagen ab.
- Verantwortung Ihrer Organisation
- Prüfen Sie Umfang, Zeitraum, Ausnahmen und kundenseitig erforderliche Kontrollen in Anbieterberichten. Aona übernimmt oder ersetzt Ihre Anbieterprüfung nicht.
Ordnen Sie diese Beispiele Ihrer eigenen Systembeschreibung, Ihren Zusagen und den ausgewählten Trust Services Criteria zu. Der SOC-2-Bericht von Aona ist ein separater Nachweis zum geprüften System von Aona und zum jeweiligen Prüfungszeitraum.
FAQ
Häufig gestellte Fragen
Beeinflusst die KI-Nutzung meine SOC 2-Prüfung?
Muss ich KI-Tools in meinen SOC 2-Prüfungsumfang aufnehmen?
Wie gelten die SOC 2 Trust Services Criteria für KI?
Worauf sollte ich bei SOC 2-Berichten von KI-Anbietern achten?
Schützen Sie Ihre SOC 2 Verpflichtungen vor KI-Risiken
Entdecken Sie die Nutzung von KI auf abgedeckten Endpunkten, wenden Sie unterstützte Sicherheitskontrollen an und sammeln Sie Nutzungsnachweise für Ihre SOC 2 -Kontrollprüfung.