SOC-2-Asset-Inventar-Nachweis — Was Prüfer verlangen
SOC-2-Prüfer wollen zeitgestempelte, zugeordnete, exportierbare Asset-Nachweise — kein Excel. So erzeugt ihr sie in Jira.
Ein SOC-2-Audit prüft, ob eure Kontrollen über einen Zeitraum hinweg tatsächlich funktionieren. Für das Asset-Management heißt das: Der Prüfer akzeptiert kein „hier ist unsere Asset-Liste". Er verlangt den Nachweis, dass das Inventar real ist, Eigentümer hat und über das gesamte Prüffenster verifiziert wurde — mit Datum und Namen. Ein Tabellen-Schnappschuss besteht keinen Operating-Effectiveness-Test.
Diese Anleitung zeigt, wie SOC-2-Asset-Inventar-Nachweise aussehen, welche Fehler zu Findings führen und wie ihr die Aufzeichnungen direkt aus Jira erzeugt.
HINWEIS: Scannix erzeugt die Dokumentation, nach der Prüfer fragen. Es stellt keinen SOC-2-Report aus und „garantiert keine Compliance" — die Attestierung macht euer Service-Auditor.
Warum SOC 2 strenger ist als eine „Liste"
SOC 2 (vor allem Type II) bewertet Kontrollen über die Zeit, nicht zu einem einzelnen Moment. Beim Asset-Inventar prüft der Auditor also:
- Führt ihr ein Inventar der relevanten Assets, mit Eigentümern?
- Wird es in dem Rhythmus überprüft/verifiziert, den eure Policy behauptet?
- Könnt ihr Nachweise für den Zeitraum vorlegen — dass die Kontrolle jedes Mal lief, nicht nur heute?
Das typische Finding lautet nicht „kein Inventar". Es lautet: „kein Nachweis, dass das Inventar dann verifiziert wurde, wann eure Policy es vorsieht." Das ist die Operating-Effectiveness-Lücke. (Die zugrunde liegende Inventar-Kontrolle ist übrigens dieselbe, die ISO als A.5.9 formalisiert — einmal bauen, für beide belegen.)
Nachweise, die bestehen
Aufzeichnungen, die eine SOC-2-Prüfung überstehen, sind:
- Zeitgestempelt — jede Verifizierung trägt Datum/Uhrzeit.
- Zugeordnet (pro Person) — sichtbar, wer geprüft hat.
- Vollständig — gescannt vs. fehlend steht explizit da, nicht implizit.
- Exportierbar — der Prüfer bekommt eine Datei, keine Bildschirm-Tour.
- Wiederkehrend — eine Serie von Zyklen über das Prüffenster, nicht ein einzelner Export.
In Jira erzeugen — mit Scannix
Liegen eure Assets in Jira Service Management Assets, produziert Scannix diese Nachweise als Nebenprodukt des Audits selbst:
- Scope per Schema, Objekttyp oder AQL festlegen.
- Scannen per QR/Barcode mit der kostenlosen iPhone-App — offline-fähig, mit Doppelscan-Schutz.
- Berichten: gescannt vs. fehlend mit Zeitstempeln pro Person; CSV-Export für die Audit-Akte.
- Nachfassen, indem ihr das Audit mit Jira-Vorgängen verknüpft.
Exportierbarer Audit-Nachweis: Assets, Prüfer, Zeitstempel
Jeder Scan ist ein zugeordnetes, datiertes Ereignis — exakt die Operating-Effectiveness-Evidenz, die ein Type-II-Audit sehen will. (Die Einrichtung von null dauert Minuten — hier der komplette Leitfaden.)
Den ganzen Zeitraum abdecken — automatisch
Das Schwerste an SOC 2 ist der Beleg, dass die Kontrolle über das Fenster hinweg jedes Mal lief. Jira Automation plant Audits (monatlich/quartalsweise), sodass jeder Zyklus im Rhythmus stattfindet und sich selbst dokumentiert. Fragt der Prüfer nach der Evidenz für den Zeitraum, habt ihr eine datierte Serie von Audits — statt hektisch Historie zu rekonstruieren.
FAQ
Welche SOC-2-Nachweise brauche ich für Assets wirklich?
Ein gepflegtes Inventar mit Eigentümern, dazu zeitgestempelte, personenbezogen zugeordnete Verifizierungsnachweise über den Prüfzeitraum und eine exportierbare Kopie. Type II will explizit den Beleg, dass die Kontrolle in jedem Zyklus lief — nicht nur einmal.
Warum reicht eine Tabelle nicht?
Eine Tabelle kann Assets auflisten, aber nicht verlässlich belegen, wer was wann verifiziert hat — über die Zeit. Genau diese „Operating Effectiveness über den Zeitraum" testet SOC 2 Type II.
Kann ich Aufzeichnungen für die Audit-Akte exportieren?
Ja. Scannix exportiert abgeschlossene Audits als CSV — mit Assets, Prüfern und Zeitstempeln — zum direkten Anhängen an die Evidenz.
Wie belege ich, dass die Kontrolle den ganzen Zeitraum lief?
Audits mit Jira Automation planen. Jeder Zyklus läuft im Rhythmus und hinterlässt seinen eigenen datierten Nachweis — eine lückenlose Evidenzspur über das Prüffenster.
Werden meine Daten irgendwohin extern gesendet?
Nein. Scannix läuft auf Atlassian Forge; Asset- und Audit-Daten bleiben in eurer Atlassian-Site.
Wie sammle ich Asset-Nachweise für ein SOC-2-Type-II-Audit?
Lasst geplante Audits über das gesamte Prüffenster laufen (z. B. quartalsweise per Jira Automation) und exportiert das CSV jedes Zyklus. Die datierte Serie von Nachweisen ist genau die Operating-Effectiveness-Evidenz, die Type II verlangt.
SOC-2-Asset-Nachweise ohne Endspurt-Panik
Baut eure Asset-Evidenz nicht in der Woche vor dem Audit neu zusammen. Lasst geplante, scanbare Audits in Jira laufen — und exportiert den sauberen, zeitgestempelten, personenbezogen zugeordneten Nachweis, wann immer euer Prüfer fragt.