Requisitos de conformidade com a norma SOC 2: o que são e como a proteção de dados se encaixa nisso
Os requisitos de conformidade com a norma SOC 2 definem como as organizações prestadoras de serviços comprovam que protegem os clientesdados e conheceringIsso depende de mais do que apenas firewalls e controles de acesso.
Visão geral do SOC 2
O SOC 2 é uma estrutura de auditoria voluntária criada pela AICPA que avalia como as organizações prestadoras de serviços gerenciam os dados dos clientes. Ao contrário de exigências regulatórias, como a HIPAA ou a PCI DSS, o SOC 2 não é uma lei. Trata-se de um relatório de auditoria emitido por uma empresa independente de contadores certificados (CPA) que avalia os controles da sua organização em relação aos padrões da AICPACritérios dos Serviços Fiduciários.
A estrutura se aplica a qualquer empresa de tecnologia ou prestadora de serviços que armazene, processe ou transmita dados de clientes. Na prática, isso significa que provedores de SaaS, empresas de hospedagem em nuvem, empresas de análise de dados e provedores de serviços gerenciados são os candidatos mais comuns. Mas o público-alvo se ampliou significativamente.
Atualmente, as equipes de compras das empresas solicitam rotineiramente relatórios SOC 2 durante as avaliações de fornecedores, tornando a auditoria um requisito de fato para fazer negócios com grandes organizações. O que diferencia o SOC 2 é sua flexibilidade. Não se trata de marcar itens em uma lista fixa de conformidade.
Em vez disso, você define o escopo da sua auditoria selecionando quais dos cinco Critérios de Serviços de Confiança se aplicam aos seus serviços. Em seguida, o auditor avalia se os seus controles atendem a esses critérios de maneira eficaz.
Os requisitos de conformidade com a norma SOC 2 orientam você exatamente para esse tipo de abordagem estruturada e documentada em relação à segurança e à proteção de dados, capaz de reduzir tanto os riscos quanto os custos. A estrutura dos Critérios de Serviços de Confiança da AICPA fornece a base, e o relatório de auditoria oferece aos seus clientes as evidências de que precisam.
Critérios dos Serviços Fiduciários
Os cinco critérios dos Serviços de Confiança constituem a espinha dorsal de toda auditoria SOC 2. Cada critério aborda uma dimensão específica de como você protege e gerencia os dados. A segurança é o único critério obrigatório, mas a maioria das organizações inclui pelo menos um ou dois critérios adicionais, com base em seus serviços e nas expectativas dos clientes.
 Segurança (Critérios Comuns) â A segurança é a base de todo relatório SOC 2. Os Critérios Comuns abrangem controles de acesso lógico e físico, monitoramento das operações do sistema, gerenciamento de mudanças e mitigação de riscos.
Controles como o CC6.4 (restrição do acesso físico e lógico aos ativos de informação) e o CC6.7 (restrição da transmissão, movimentação e remoção de informações) são fundamentais para demonstrar que você protege os sistemas contra acessos não autorizados e ameaças. Toda auditoria SOC 2 inclui o critério de Segurança, independentemente dos outros critérios que você selecionar.
 Disponibilidade â A disponibilidade diz respeito ao fato de seus sistemas estarem operacionais e acessíveis, conforme comprometido em seus acordos de nível de serviço. É nesse ponto que a proteção de dados se torna fundamental. O Controle A1.2 exige que você mantenha processos de backup e infraestrutura de Recovery. O Controle A1.3 exige que você teste seu plano de Recovery, e não apenas o documente.
Os auditores querem verificar se você é capaz de restaurar sistemas e dados dentro dos objetivos de tempo de recuperação e dos objetivos de ponto de recuperação definidos.Recursos de recuperação operacional da Clumio™foram desenvolvidos especificamente para isso: backup orientado por políticas, com agendamento automatizado e armazenamento isolado fisicamente, que atende tanto à norma A1.2 quanto à A1.3.
Confidencialidade â Os critérios de confidencialidade (C1.1 e C1.2) têm como foco a proteção das informações classificadas como confidenciais. Isso inclui a criptografia de dados em repouso e em trânsito, políticas de retenção que definem por quanto tempo os dados confidenciais são mantidos e processos de destruição segura quando os períodos de retenção expiram.
Integridade do processamento â A integridade do processamento avalia se seus sistemas processam os dados de forma completa, precisa e oportuna. Esse critério é mais relevante para organizações cujo serviço principal envolve transformação de dados, cálculos ou processamento de transações.
 Privacidade â A política de privacidade aborda como você coleta, utiliza, retém, divulga e descarta informações pessoais. Ela se sobrepõe significativamente aos requisitos do GDPR e da CCPA, tornando-se um complemento comum para organizações que lidam com informações de identificação pessoal (PII) em diversas jurisdições.
Tipos de SOC 2
As auditorias SOC 2 podem ser de dois tipos, e essa distinção é importante. Um relatório SOC 2 Tipo 1 avalia se seus controles estão adequadamente projetados em um determinado momento. Pense nisso como um instantâneo: o auditor confirma que suas políticas e controles existem e estão adequadamente estruturados na data da avaliação.
Um relatório SOC 2 Tipo 2 vai além. Ele avalia se esses controles realmente funcionam de maneira eficaz durante um período definido, normalmente de seis a 12 meses. Os auditores analisam evidências de execução consistente, incluindo registros de atividades, registros de alterações, relatórios de verificação de backup e documentação de resposta a incidentes.
O Tipo 2 é o padrão esperado pelos compradores corporativos. Um relatório do Tipo 1 pode servir como uma etapa intermediária enquanto você constrói seu histórico de auditorias, mas a maioria das equipes de compras exigirá um relatório SOC 2 Tipo 2 antes de assinar um contrato.
É o período prolongado de observação que confere credibilidade ao relatório: ele comprova que seus controles funcionam na prática, e não apenas no papel.
Mapeamento de controles
A proteção de dados não é uma questão secundária em uma auditoria SOC 2. Ela está diretamente relacionada a diversos controles nos critérios de Segurança e Disponibilidade. No entanto, muitas organizações negligenciam o Backup and Recovery ao se prepararem para a auditoria, concentrando-se, em vez disso, nos controles de acesso e na segurança de rede.
Veja a seguir como os controles específicos do SOC 2 se alinham aos recursos de proteção de dados:
CC6.4
Restringir o acesso aos ativos de informação
Clumio armazena os backups em um ambiente isolado e sem conexão com a rede externa (air-gapped), com criptografia dedicada, separado da sua conta principal na nuvem. Esse isolamento administrativo ajuda a atender ao requisito de controle para restringir o acesso lógico às informações protegidas.
CC7.5
Identificar e responder a incidentes de segurança
Clumio permite a recuperação entre contas e regiões, auxiliando nos testes de resposta a incidentes e na restauração rápida quando os ambientes de produção são comprometidos.
CC9.1
Identificar e gerenciar riscos
O backup orientado por políticas, com agendamento automatizado, ajuda a eliminar processos manuais e scripts personalizados, o que também contribui para reduzir o risco operacional. A arquitetura sem servidor da Clumio se adapta automaticamente, sem sobrecarga de infraestrutura.
A1.2
Manter a infraestrutura de Backup and Recovery
A seleção de ativos baseada em políticas da Clumio e o armazenamento externo em ambiente isolado contribuem para proporcionar os processos de backup e a infraestrutura de Recovery que os auditores avaliam.
A1.3
Teste os planos de recuperação
O Clumio oferece suporte a testes de restauração tanto por meio de seu console de gerenciamento quanto por meio da API, ajudando você a apresentar ao seu auditor testes de recuperação documentados e repetíveis.
Lista de verificação de conformidade
Uma abordagem estruturada aos requisitos de conformidade com a SOC 2 ajuda a manter sua auditoria nos trilhos e a reduzir a probabilidade de ocorrência de lacunas. Siga estas etapas:
Defina seu escopo e selecione os critérios dos serviços de confiança.
Determine quais critérios se aplicam com base nos seus serviços e nos compromissos assumidos com os clientes. A segurança é obrigatória; acrescente disponibilidade, confidencialidade, integridade do processamento ou privacidade, conforme necessário.
Realize uma avaliação de Readiness.
Identifique em que aspectos seus controles atuais atendem aos critérios e onde existem lacunas. Esse é o seu roteiro.
Implementar controles e documentar políticas.
Implemente os controles técnicos e administrativos exigidos por cada critério. Documente tudo: políticas, procedimentos, configurações e responsabilidades.
Realizar testes internos, incluindo a validação do Backup and Recovery.
Verifique se seus controles funcionam conforme o esperado. No que diz respeito à disponibilidade, isso significa testar a integridade dos backups, os procedimentos de restauração e os processos de failover.
Envolva seu auditor.
Escolha uma empresa independente de contabilidade com experiência em SOC 2. O auditor definirá o período de observação para um relatório do Tipo 2 e delineará os requisitos de evidência.
Corrija as lacunas e obtenha seu relatório.
Corrija todas as não conformidades identificadas na auditoria e receba seu relatório SOC 2 final. Começar com uma lista de verificação clara ajuda você a passar da fase de preparação para a auditoria com menos surpresas.
Perguntas frequentes
Quais são os 5 critérios do SOC 2?
Os cinco critérios dos Serviços de Confiança do SOC 2 são: Segurança, Disponibilidade, Confidencialidade, Integridade do Processamento e Privacidade. O critério de Segurança, também conhecido como Critérios Comuns, é obrigatório em todas as auditorias SOC 2. Sua organização seleciona critérios adicionais com base nos serviços que presta e nos compromissos contratuais assumidos com os clientes.
O que é o SOC 2 Tipo 1 em comparação com o Tipo 2?
Um relatório SOC 2 Tipo 1 avalia se seus controles foram adequadamente projetados em um determinado momento. Um relatório SOC 2 Tipo 2 avalia se esses controles funcionam de maneira eficaz ao longo de um período de seis a 12 meses. O Tipo 2 é mais rigoroso e é o padrão exigido pela maioria das empresas compradoras.
Quanto tempo leva para obter a conformidade com a SOC 2?
Para uma auditoria inicial, o processo completo deve levar de seis a 12 meses. Isso inclui a avaliação da Readiness, a implementação dos controles, o período de observação e a própria auditoria.
Com que frequência é exigida a conformidade com a norma SOC 2?
Um relatório SOC 2 Tipo 2 abrange um período de observação específico, geralmente de 12 meses. A maioria das organizações renova anualmente para manter um histórico de auditoria ininterrupto e ajudar a atender aos requisitos contínuos dos clientes e de compras.
A conformidade com a norma SOC 2 é obrigatória?
O SOC 2 é uma estrutura voluntária, não uma exigência legal. No entanto, clientes corporativos, parceiros e equipes de compras exigem cada vez mais um relatório SOC 2 Tipo 2 atualizado antes de assinar contratos. Na prática, isso se tornou uma expectativa básica para qualquer organização prestadora de serviços que lide com dados de clientes.