Uma empresa europeia de software está prestes a assinar contrato com o seu primeiro grande cliente nos EUA. Então, chega o questionário de segurança e uma única linha bloqueia todo o processo: "Por favor, forneça o seu relatório SOC 2 Tipo 2 mais recente." A empresa possui a certificação ISO 27001. Ainda assim, a equipa de compras do cliente insiste em receber o relatório.

É assim que muitas organizações entram em contacto com a SOC 2 pela primeira vez: através de um cliente, em vez de uma entidade reguladora. Compreender o que é o relatório, o que abrange e quanto tempo demora a obtê-lo determina se o negócio avança neste trimestre ou no próximo ano.

O que é SOC 2?

Na prática, o SOC 2 é uma auditoria. Uma empresa independente de revisores oficiais de contas analisa os controlos que a sua organização tem em vigor para cumprir um ou mais dos Critérios de Serviços de Confiança da AICPA e emite um relatório que os clientes e outras partes interessadas utilizam para avaliar a eficácia com que protege os seus sistemas e as informações que lhe são confiadas.

O SOC 2 não é uma lista de verificação fixa. Os critérios descrevem o que é necessário alcançar, e cada organização concebe os seus próprios controlos para os cumprir. A AICPA acrescenta "pontos de foco" a cada critério, mas estes são considerações, não controlos obrigatórios. Os critérios atuais datam de 2017, tendo os pontos de foco sido revistos em 2022.

O SOC 2 é um dos três tipos de relatórios relacionados. O SOC 1 abrange controlos relevantes para a prestação de contas financeiras, e o SOC 3 é uma versão mais sucinta e de uso geral de um relatório SOC 2 que pode ser partilhada publicamente. Fora dos EUA, são emitidos relatórios de garantia comparáveis ao abrigo da norma internacional ISAE 3000, razão pela qual alguns prestadores europeus apresentam, em vez disso, um relatório ISAE 3000. Veja como a Formalize aborda o SOC 2.

O que significa SOC 2?

SOC 2 significa "System and Organization Controls 2" (Controlos do Sistema e da Organização 2). Anteriormente, o termo era abreviado como "Service Organization Control", e o número distingue-o do SOC 1 e do SOC 3.

Quem precisa de estar em conformidade o SOC 2?

A certificação SOC 2 não é um requisito legal. Torna-se relevante quando os clientes a solicitam, o que normalmente acontece nos seguintes casos:

• Fornecedores de SaaS e de serviços na nuvem que alojam ou processam dados de clientes.

• Empresas de tecnologia e de processamento de dados cujos serviços estão integrados nas operações de outras empresas.

• Fornecedores de serviços geridos com acesso aos sistemas dos clientes.

• Outras organizações de serviços que tratam de dados sensíveis de clientes ou empresariais.

Este pedido surge normalmente durante o processo de aquisição, nas avaliações de risco dos fornecedores ou nas análises de segurança, sendo particularmente comum nas vendas a empresas norte-americanas. Alguns contratos exigem também um relatório SOC 2 atualizado. Se nenhum dos seus clientes o solicitar, uma certificação ISO 27001 ou um relatório ISAE 3000 poderá ser mais adequado, especialmente na Europa.

Quais são os cinco critérios dos Serviços de Confiança do SOC 2?

A segurança, também designada por critérios comuns, faz parte de todos os relatórios SOC 2. Os outros quatro são incluídos quando são relevantes para os serviços que presta e para os compromissos que assume perante os clientes:

Há um aspeto que reveste especial importância para as organizações europeias: o critério de privacidade avalia se cumpre os seus próprios compromissos em matéria de privacidade. Não é isso que torna uma organização conforme com o RGPD.

Requisitos de conformidade com o SOC 2: o que as organizações precisam?

Uma vez que o SOC 2 estabelece critérios em vez de prescrever controlos, os requisitos do SOC 2 variam de organização para organização. A maioria dos programas, no entanto, tem de abranger os mesmos aspetos:

Exemplos de controlos SOC 2 comuns

Os critérios comuns dividem-se em nove grupos, do CC1 ao CC9. Os controlos dependem do âmbito da sua análise, seguem alguns exemplos típicos para cada grupo:

SOC 2 Tipo 1 vs Tipo 2: qual é a diferença?

Os dois tipos de relatório respondem a questões diferentes:

Os compradores empresariais costumam dar mais importância a um relatório do Tipo 2, porque este mostra como os controlos funcionaram ao longo do tempo, para além de como foram concebidos. Não existe um período mínimo fixo de análise: a empresa de revisores oficiais de contas e os clientes que se baseiam no relatório decidem o que é aceitável. O tipo a optar em primeiro lugar depende da fase em que se encontra, do seu calendário e do que lhe está a ser solicitado:

• Tipo 1 faz frequentemente sentido quando precisa de demonstrar a conceção dos seus controlos num momento específico, por exemplo, para responder a um pedido urgente de um cliente. Muitas organizações passam depois para o Tipo 2.

• Tipo 2 é geralmente a opção mais adequada quando os clientes querem provas de que os seus controlos funcionam na prática, e não apenas no papel.

Por que razão o SOC 2 é importante para as empresas?

O valor do SOC 2 depende de quem são os seus clientes e quais são os requisitos destes. Nos casos em que for relevante, um relatório SOC 2 pode:

• Conquiste a confiança dos clientes com uma opinião independente, em vez de uma autoavaliação.

• Acelere os processos de aquisição e avaliação de fornecedores, uma vez que os avaliadores podem, muitas vezes, basear-se no relatório em vez de recorrerem a longos questionários.

• Forneça à equipa de vendas uma resposta consistente às questões de segurança, em vez de uma resposta diferente para cada cliente.

• Demonstre a maturidade dos controlos aos clientes, parceiros e investidores.

• Identifique lacunas nos processos de segurança e governação, muitas vezes durante a fase de preparação, antes que o auditor as detete.

Como preparar para a conformidade com o SOC 2

A maior parte do trabalho no âmbito do SOC 2 ocorre antes do início da auditoria. Um fluxo prático de trabalho é o seguinte:

1. Defina o âmbito. Decida quais os serviços, sistemas e locais abrangidos pelo relatório.

2. Selecione os Critérios dos Serviços de Confiança. A segurança é obrigatória. Adicione outros com base nos seus serviços e nos compromissos assumidos com os clientes.

3. Estabeleça a correspondência entre os controlos existentes e os critérios. Se já trabalha com a norma ISO 27001, grande parte deste mapeamento constitui um ponto de partida, em vez de um trabalho novo.

4. Identifique e corrija as lacunas. Corrija os controlos em falta ou fracos antes do início do período de revisão.

5. Designe responsáveis pelos controlos. Cada controlo necessita de alguém responsável pela sua execução e pela manutenção das respetivas provas.

6. Estabeleça a recolha e monitorização de provas. Para o Tipo 2, as provas têm de abranger todo o período de revisão, pelo que devem ser recolhidas à medida que os controlos são executados, e não reconstruídas posteriormente.

7. Realize uma avaliação de preparação e escolha o seu auditor. Uma análise de preparação, interna ou com um consultor, mostra se os seus controlos e evidências se sustentariam perante um auditor. Apenas uma empresa de revisores oficiais de contas licenciada pode realizar a própria auditoria.

8. Mantenha os controlos após o relatório. Um relatório SOC 2 não expira formalmente, mas os compradores geralmente consideram-no válido durante 12 meses após o término do período de revisão. A maioria das organizações, portanto, renova-o anualmente, pelo que os controlos e as evidências têm de continuar a funcionar entre as auditorias.

Quanto tempo demora a obter a conformidade com o SOC 2?

Há dois fatores que determinam o prazo: o grau de maturidade dos vossos controlos e o tipo de relatório de que necessitam. Para um primeiro relatório, estes são os intervalos habituais:

No total, um primeiro relatório do Tipo 1 demora frequentemente entre dois a cinco meses, e um primeiro relatório do Tipo 2, entre seis meses e um ano, ou mais, se o período de revisão se estender por um ano completo. Algumas sociedades de revisores oficiais de contas começam a realizar testes durante o período de revisão, o que reduz o tempo de espera no final. A partir do segundo relatório, o período de revisão abrange normalmente 12 meses completos.

Como a Formalize apoia a preparação para o SOC 2

O Formalize não substitui o seu auditor. Organiza o trabalho que antecede a auditoria:

• Controls with named owners and evidence attached, so you can show how each control ran throughout the review period.

• Policies with approvals, versions, and acceptance tracking, supporting the policy-related controls in the security criteria.

• Risk, incident, and supplier management in the same system as your controls.

• A Trust Center to share your security documentation with customers.

Se também gerir a ISO 27001, a NIS2 ou o RGPD, esse trabalho pode ser realizado em paralelo com a sua preparação para o SOC 2.

A Formalize possui certificação ISO 27001 e detém um relatório ISAE 3000 Tipo 2, pelo que passamos pelo mesmo tipo de auditoria independente que as equipas que apoiamos.