Preparamos produtos SaaS, empresas de outsourcing e fintechs para o SOC 2 Type 1 e Type 2 — e emitimos o relatório através da firma CPA do grupo BALTUM, registada nos EUA. Opcionalmente em conjunto com ISO 27001, RGPD, Cyber Essentials e NIS2 num único projeto, ou cada serviço em separado.
A firma CPA do grupo BALTUM, registada nos EUA, com auditores CPA licenciados. Emite relatórios SOC 1, SOC 2 e SOC 3 segundo as normas da AICPA (SSAE 18).
Organismo de certificação acreditado para sistemas de gestão de segurança da informação. Os certificados são reconhecidos internacionalmente.
Avaliamos e emitimos certificados Cyber Essentials e Cyber Essentials Plus ao abrigo do esquema NCSC do Reino Unido.
Equipa de consultoria sediada na UE: preparação SOC 2, implementação ISO 27001, RGPD e NIS2. Separada dos auditores — para manter a independência da avaliação.
O SOC 2 (System and Organization Controls 2) é um relatório de um auditor independente sobre a forma como uma empresa protege os dados dos clientes. Foi desenvolvido pelo American Institute of CPAs (AICPA) e é o que os compradores dos EUA e do Canadá exigem a fornecedores de SaaS, serviços cloud, outsourcing de software e processamento de dados.
Para uma empresa de software europeia, o SOC 2 é o bilhete de entrada para clientes enterprise: sem relatório, o negócio é frequentemente bloqueado pela equipa de segurança do comprador na fase de due diligence. O relatório demonstra que os seus controlos operam segundo os cinco Trust Services Criteria: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade.
Um pormenor importante: o SOC 2 não é um certificado que se possa comprar. Só uma firma CPA licenciada pode assinar o relatório. O grupo BALTUM inclui uma firma CPA registada nos EUA com auditores CPA licenciados — por isso obtém a preparação e o relatório no mesmo sítio, com um preço fixo antes de começar. A preparação e a auditoria são realizadas por equipas distintas, como exigem as regras de independência da AICPA.
Todos os pacotes incluem a preparação SOC 2 e a auditoria pela firma CPA do grupo BALTUM. Escolha em função dos mercados para onde vende. Cada serviço pode também ser contratado separadamente.
Definimos o sistema, as categorias TSC e o tipo de relatório. Os nossos auditores CPA fixam os honorários da auditoria a partir de cinco dados.
Comparamos os processos atuais com os TSC e produzimos um plano de remediação com responsáveis e prazos.
Políticas, procedimentos, configuração da cloud, gestão de acessos, registos (logging), gestão de incidentes e de fornecedores.
Configuramos a recolha de evidências (manualmente ou através de uma plataforma de automatização) e realizamos uma revisão interna de prontidão.
A equipa de auditoria independente da firma CPA do grupo, nos EUA, realiza o exame; os consultores apoiam na System Description (descrição do sistema) e nos pedidos do auditor.
Recebe o relatório SOC 2. No Type 2, mantemos os controlos durante o período de observação e preparamos a bridge letter (carta de ligação).
Trabalhamos segundo os TSC da AICPA e a ISO 27001. Os controlos são concebidos para operar de facto na sua infraestrutura, e não apenas no papel.
Os relatórios SOC 2 são emitidos pela firma CPA do grupo BALTUM, registada nos EUA, com auditores CPA licenciados. Sem intermediários: conhece os honorários da auditoria antes de assinar, e o relatório é aceite nos EUA e no Canadá.
SOC 2, ISO 27001, RGPD e Cyber Essentials partilham um núcleo comum de controlos. Mapeamos os requisitos entre si para que a sua equipa nunca faça o mesmo trabalho duas vezes.
O grupo inclui um organismo de certificação ISO/IEC 27001 com acreditação internacional e um organismo de certificação Cyber Essentials. Certificados aceites na Europa e no Reino Unido — de uma única fonte.
Equipa de projeto na UE, contrato com a Baltum Büroo OÜ (Estónia). Reuniões online, documentos em inglês ou na sua língua local.
Um relatório SOC 2 tem uma vida útil de 12 meses. Mantemos os controlos saudáveis, preparamos o Type 2 anual e ajudamos a responder aos questionários de segurança dos clientes.
Os TSC são a base de qualquer relatório SOC 2. Explicamos o que significa cada um dos cinco critérios, que controlos estão por detrás deles e como definir o âmbito da auditoria.
Ler mais →A NIS2 coloca os fornecedores de cloud, serviços geridos e muitos fornecedores de software sob legislação vinculativa de cibersegurança da UE. Explicamos o âmbito, as dez medidas do artigo 21.º, a notificação em 24/72 horas, as coimas e como a ISO 27001 e o SOC 2 ajudam.
Ler mais →Um relatório SOC 2 tem prazo de validade útil. Explicamos o que é uma bridge letter, como planear o próximo período de observação e o que fazer mensal, trimestral e anualmente para que a próxima auditoria não traga surpresas.
Ler mais →Cinco campos — exatamente o que os nossos auditores CPA precisam para fixar os honorários da auditoria. Respondemos no prazo de um dia útil.