Há alguns anos, "têm SOC 2?" era uma pergunta que as empresas europeias de software só ouviam das maiores empresas norte-americanas. Hoje aparece em quase todos os questionários de segurança enviados por um comprador americano sério e, cada vez mais, por empresas globais sediadas noutros países que adotaram a prática de compras dos EUA. Para produtos SaaS, fornecedores de serviços de TI, fintechs e estúdios de desenvolvimento na UE, no Reino Unido, na Suíça e na região em geral, o SOC 2 passou de "desejável" a condição para entrar na lista de candidatos. Eis o que isso significa na prática para uma empresa que opera a partir da Europa.
Porquê o SOC 2 e não apenas a ISO 27001
A maioria das empresas europeias que levam a segurança a sério já tem ou está a trabalhar para obter a ISO 27001. Por isso, a primeira reação a um pedido de SOC 2 é muitas vezes "somos certificados, isso não chega?" Normalmente não chega. O mercado norte-americano está construído em torno do SOC 2, um referencial do American Institute of Certified Public Accountants (AICPA). Quando uma empresa americana lhe dá acesso aos seus dados ou infraestrutura, a sua equipa de risco de fornecedores quer um relatório que saiba interpretar: uma descrição do sistema, uma lista de controlos e os resultados dos testes do auditor, com as exceções explicitadas. Um certificado ISO 27001 também é aceite, mas tipicamente como complemento e não como substituto.
Para as empresas europeias que vendem tanto no mercado interno como nos EUA, o caminho mais racional é combinar o SOC 2 e a ISO 27001 num único projeto: cerca de 70–80% das políticas e dos controlos sobrepõem-se, e as evidências são recolhidas uma vez para ambos os fins. Se já tem a ISO 27001, a maior parte do trabalho de preparação para o SOC 2 já está feita; falta a descrição do sistema, os controlos específicos de cada critério e a disciplina de evidências que o Type 2 exige. Veja SOC 2 vs ISO 27001 para a comparação detalhada.
Quem na Europa precisa realmente do SOC 2
- Produtos SaaS B2B. Assim que vende a compradores norte-americanos do segmento mid-market e enterprise, o SOC 2 Type 2 torna-se um requisito padrão de compras, frequentemente escrito no MSA.
- Fornecedores de serviços de TI, desenvolvimento de software e serviços geridos. Os clientes de setores regulados (fintech, saúde, seguros) são obrigados a avaliar os fornecedores, e o SOC 2 é a forma mais simples de passar nessa avaliação.
- Fintechs e empresas de pagamentos. Os bancos e parceiros de pagamentos norte-americanos esperam o SOC 2 a par do PCI DSS, e pedem frequentemente o critério Integridade do Processamento.
- Empresas que tratam dados pessoais de clientes dos EUA e da UE. Aqui o SOC 2 anda normalmente a par da conformidade com o RGPD; veja SOC 2 e RGPD em conjunto.
- Start-ups a angariar capital ou a preparar-se para uma aquisição. Os investidores e compradores norte-americanos tratam a maturidade dos processos de segurança como parte da due diligence.
O que é específico do SOC 2 para uma empresa europeia
Equipas distribuídas e remotas
As empresas tecnológicas europeias têm habitualmente engenheiros espalhados por vários países, com uma mistura de colaboradores e prestadores de serviços. Isto não é um obstáculo para o SOC 2, mas exige controlos explícitos: gestão de dispositivos, VPN ou acesso zero-trust, cifragem total do disco nos portáteis, uma política de trabalho remoto. O auditor não exige um escritório; exige evidência de que o acesso aos dados dos clientes é controlado independentemente da localização.
Prestadores de serviços e freelancers
Trabalhar com programadores através das suas próprias empresas ou como freelancers é comum em toda a Europa, mas para um auditor são prestadores de serviços, não colaboradores. Precisa de contratos com cláusulas de confidencialidade, declarações assinadas de tomada de conhecimento das políticas, verificação de antecedentes proporcional à função e os mesmos procedimentos de atribuição e revogação de acessos que aplica aos colaboradores.
Residência dos dados e organizações subcontratadas
Muitos produtos europeus estão alojados em regiões da UE da AWS, Azure ou Google Cloud por razões de RGPD. O SOC 2 não tem qualquer problema com isso: o fornecedor de cloud torna-se uma organização subcontratada, e o seu próprio relatório SOC 2 cobre os controlos físicos e de infraestrutura através do método "carve-out". O que tem de descrever é que controlos são seus e em quais depende do fornecedor.
Referenciais europeus já existentes
ISO 27001, RGPD, NIS2, DORA para entidades financeiras e Cyber Essentials para contratos no Reino Unido podem todos partilhar uma base de controlos com o SOC 2. O risco é manter cinco conjuntos de documentação em paralelo; a resposta é um único referencial de controlos mapeado para cada requisito.
Estrutura jurídica
Se tem entidades em vários países, o âmbito do relatório pode cobrir apenas a parte que presta o serviço aos clientes norte-americanos. Isto simplifica a auditoria e reduz os honorários.
Como decorre o processo SOC 2
- Análise de lacunas e definição do âmbito. Que sistemas, que Trust Services Criteria, que tipo de relatório.
- Preparação. Políticas, controlos, formação, configuração da cloud, recolha de evidências. Todos os detalhes na nossa checklist de preparação SOC 2.
- Auditoria Type 1 (opcional) confirma a conceção dos controlos num determinado momento.
- Período de observação de 3–12 meses durante o qual os controlos têm de funcionar.
- Auditoria Type 2 pela firma de CPA independente e emissão do relatório.
- Manutenção: renovação anual e uma bridge letter entre relatórios.
O que os clientes norte-americanos perguntam nos questionários de segurança
Mesmo antes de ter um relatório, ajuda perceber o que uma equipa de risco de fornecedores procura. Um questionário típico (SIG, CAIQ ou uma folha de cálculo própria) contém 100–300 perguntas sobre controlo de acessos, cifragem, resposta a incidentes, continuidade do negócio, triagem de pessoal e subcontratantes. Ter um relatório SOC 2 permite responder à maioria com uma simples referência ao relatório, em vez de preencher um novo questionário para cada potencial cliente. Para empresas com dezenas de clientes empresariais, só o tempo poupado pelos engenheiros de vendas e pela equipa de segurança paga muitas vezes o projeto.
Lembre-se também de que um relatório SOC 2 contém uma secção escrita pela sua empresa: a descrição do sistema. É aí que explica como funciona o produto, onde está alojada a infraestrutura, que organizações subcontratadas estão envolvidas e como está organizado o suporte. Uma descrição do sistema bem escrita funciona também como documento de marketing lido por decisores técnicos.
Quem emite o relatório e o que faz o consultor
A divisão de papéis é importante. O SOC 2 não é um certificado: é um relatório de atestação, e só uma firma de CPA norte-americana licenciada, que trabalhe segundo as normas de atestação do AICPA, o pode emitir. Um consultor não pode "emitir o SOC 2"; se alguém o promete, encare-o como um sinal de alerta.
No grupo BALTUM os papéis estão separados em conformidade. A equipa de consultoria sediada na UE prepara a empresa: análise, documentação, implementação dos controlos, recolha de evidências e apoio durante a auditoria. O relatório é emitido pela firma de CPA do grupo registada nos EUA, cujos auditores CPA licenciados formam uma equipa separada com salvaguardas de independência e estão habituados a trabalhar com empresas europeias em diferentes fusos horários, em inglês e com infraestrutura alojada na UE. Quando a ISO 27001 faz parte do mesmo projeto, o certificado é emitido pelo organismo de certificação acreditado do grupo.
Quanto custa o SOC 2 a uma empresa europeia
| Componente | Intervalo indicativo | Depende de |
|---|---|---|
| Preparação | depende do âmbito | número de lacunas, dimensão da equipa, número de sistemas, ISO 27001 existente |
| Auditoria Type 1 (firma de CPA) | ≈ $8–20k | âmbito, número de categorias TSC |
| Auditoria Type 2 (firma de CPA) | ≈ $15–40k | âmbito, duração do período de observação |
| Ferramentas (se necessárias) | alguns milhares por ano | plataforma de automatização, scanners, pentest |
Comparados com o valor de um único contrato empresarial norte-americano perdido, estes números são normalmente modestos. A decomposição completa está em quanto custa o SOC 2.
As perguntas mais frequentes das empresas europeias
Precisamos de uma entidade jurídica nos EUA?
Não. O SOC 2 não está ligado à jurisdição da organização prestadora de serviços. Uma empresa alemã, polaca, espanhola, estónia ou suíça pode obter um relatório nas mesmas condições que uma norte-americana.
Já temos a ISO 27001. Quanto trabalho extra é o SOC 2?
Tipicamente alguns meses de trabalho incremental: mapear os controlos existentes para os TSC, escrever a descrição do sistema, acrescentar controlos específicos de cada critério e estabelecer a recolha contínua de evidências. Muito menos do que partir do zero.
Podemos começar em pequena escala?
Sim. O caminho típico é o Type 1 a cobrir a Segurança, expandindo depois para o Type 2 e critérios adicionais quando os clientes os pedirem.
O SOC 2 satisfaz os clientes do Reino Unido?
Em parte. No Reino Unido, o Cyber Essentials é um requisito comum; pode ser acrescentado ao projeto separadamente; veja a certificação Cyber Essentials explicada.
Se os seus clientes norte-americanos já perguntam pelo SOC 2, ou se está a preparar a entrada no mercado dos EUA, peça um orçamento. Avaliaremos a sua preparação, proporemos o âmbito adequado e apresentá-lo-emos à equipa de auditoria CPA norte-americana do grupo.