A preparação SOC 2 (readiness) é o trabalho que acontece antes de um auditor sequer olhar para os seus sistemas. É comum chamar ao resultado uma “certificação SOC 2”, mas tecnicamente o SOC 2 é um relatório de atestação emitido por uma firma de CPA norte-americana independente e licenciada — ninguém o “certifica” e nenhum consultor pode emitir o relatório. O que a equipa de consultoria da BALTUM faz é deixar a empresa pronta: âmbito, análise de lacunas, políticas, controlos, evidências e apoio durante a auditoria. O relatório é depois emitido pela firma de CPA do grupo BALTUM, registada nos EUA, uma equipa separada que trabalha ao abrigo das regras de independência da profissão. Este artigo descreve o processo de preparação que seguimos e termina com uma checklist que pode utilizar internamente.
Passo 1. Decida porque precisa do SOC 2 e de que tipo de relatório
Comece pelo cliente ou potencial cliente que o está a pedir. Se precisa de “um relatório SOC 2” rapidamente, um relatório SOC 2 Type 1 — que avalia a conceção dos controlos num determinado momento — é o caminho mais rápido. Se a equipa de compras ou de segurança exige prova de que os controlos funcionaram eficazmente ao longo do tempo, precisa do SOC 2 Type 2, com um período de observação que normalmente vai de 3 a 12 meses.
Este é também o momento de ponderar a combinação do SOC 2 com a ISO 27001. Os dois referenciais sobrepõem-se fortemente em políticas e controlos, e preparar-se para ambos ao mesmo tempo é consideravelmente mais barato do que fazê-los um a seguir ao outro — uma escolha comum para empresas europeias cujos clientes do mercado interno esperam a ISO 27001 e cujos clientes norte-americanos esperam o SOC 2. Veja o nosso pacote SOC 2 + ISO 27001 para perceber como funciona.
Passo 2. Defina o âmbito e os Trust Services Criteria
O SOC 2 assenta nos Trust Services Criteria (TSC) do AICPA. Apenas a Segurança (os Common Criteria) é obrigatória. Disponibilidade, Confidencialidade, Integridade do Processamento e Privacidade são acrescentadas em função do que promete aos clientes. Uma empresa SaaS típica escolhe Segurança mais Disponibilidade, por vezes Confidencialidade.
O âmbito determina tudo o que vem a seguir: que sistemas, equipas, contas cloud e subcontratantes o auditor vai examinar. Um erro frequente é incluir toda a empresa no âmbito quando os clientes só se interessam por um produto. Um âmbito restrito e claramente descrito significa menos controlos, menos evidências e honorários de auditoria mais baixos.
Passo 3. Realize uma análise de lacunas
A análise de lacunas responde a uma pergunta: onde estamos hoje em relação aos TSC? Percorremos cada critério e classificamos o resultado:
- o controlo existe e está documentado — basta recolher evidências;
- o controlo existe na prática mas não está formalizado — redigir a política e o procedimento;
- o controlo não existe — conceber e implementar.
O resultado é um roteiro priorizado com responsáveis e prazos. É também a única base honesta para estimar custos e calendário.
Passo 4. Escreva políticas que vai realmente seguir
Um conjunto de políticas SOC 2 contém normalmente 15–25 documentos: segurança da informação, controlo de acessos, gestão de alterações, resposta a incidentes, continuidade do negócio, gestão de fornecedores, utilização aceitável, gestão de riscos, desenvolvimento seguro, entre outros. A regra de ouro: uma política tem de descrever como opera realmente. Os auditores testam a correspondência entre o documento e a prática, e uma discrepância é a fonte mais comum de exceções num relatório.
Passo 5. Implemente controlos técnicos e organizacionais
Para a maioria das empresas cloud-native em AWS, Azure ou Google Cloud, o conjunto central de controlos é o seguinte:
- Autenticação multifator e single sign-on em todos os sistemas críticos.
- Gestão centralizada de acessos com revisões periódicas de acessos.
- Cifragem em repouso e em trânsito.
- Registo de eventos, monitorização e alertas para eventos de segurança.
- Gestão de vulnerabilidades: análise, aplicação de patches, testes de intrusão periódicos.
- Um processo formal de alterações: pull requests, revisão de código, ambientes separados.
- Cópias de segurança com restauros testados.
- Verificação de antecedentes, formação em sensibilização para a segurança e um procedimento de offboarding.
- Avaliação de riscos e revisão de fornecedores (subcontratantes).
A maior parte disto pode ser conseguida com funcionalidades nativas da cloud e do fornecedor de identidade. As plataformas de automatização de conformidade ajudam na recolha de evidências, mas não substituem os controlos propriamente ditos.
Passo 6. Recolha evidências desde o primeiro dia
Os auditores baseiam-se em artefactos: capturas de ecrã de configurações, exportações de registos, registos de revisões de acessos, tickets de alteração, declarações assinadas de tomada de conhecimento das políticas. Num relatório Type 2, as evidências têm de cobrir todo o período de observação, pelo que o processo de recolha tem de estar implementado antes de o período começar. Recomendamos uma matriz simples com controlo, responsável, evidência e frequência.
Passo 7. Escolha a firma de CPA e passe pela auditoria
Só uma firma de CPA que trabalhe segundo as normas do AICPA (SSAE 18 / AT-C 205) pode emitir um relatório SOC 2. Acordamos o âmbito e o calendário com a equipa de auditoria CPA do grupo BALTUM e, durante o trabalho de campo, respondemos aos pedidos e explicamos os controlos em seu nome. Honorários de auditoria indicativos para pequenas e médias empresas: cerca de $8–20k para o Type 1 e $15–40k para o Type 2, consoante o âmbito e a duração do período. Os custos de preparação dependem do número de lacunas que a análise encontrar.
Calendário indicativo de preparação
| Fase | Duração | Resultado |
|---|---|---|
| Definição do âmbito e análise de lacunas | 2–3 semanas | Roteiro |
| Políticas e implementação dos controlos | 6–12 semanas | Controlos em funcionamento |
| Auditoria Type 1 | 3–6 semanas | Relatório Type 1 |
| Período de observação Type 2 | 3–12 meses | Histórico de evidências |
| Auditoria Type 2 | 4–8 semanas | Relatório Type 2 |
Erros comuns na preparação SOC 2
- Comprar modelos de políticas e nunca os adaptar aos processos reais.
- Alargar o âmbito em excesso e acabar com muito mais controlos do que os clientes exigem.
- Iniciar o período de observação antes de os controlos funcionarem verdadeiramente.
- Não haver um responsável nomeado para cada controlo.
- Tratar o relatório como permanente — veja o nosso artigo sobre a bridge letter SOC 2 e a conformidade contínua.
A checklist de preparação SOC 2
- Tipo de relatório, âmbito e categorias TSC definidos.
- Análise de lacunas concluída, roteiro com prazos aprovado.
- Políticas aprovadas e do conhecimento dos colaboradores.
- MFA, cifragem, registo de eventos e cópias de segurança ativados e documentados.
- Avaliação de riscos e revisão de fornecedores concluídas.
- Recolha de evidências mapeada para todos os controlos.
- Firma de CPA selecionada e datas da auditoria acordadas.
Se está a planear uma auditoria SOC 2 e quer uma visão honesta de quanto trabalho será necessário na sua empresa, peça um orçamento — faremos uma avaliação preliminar de preparação e proporemos um plano e um orçamento. Poderá também achar útil o nosso guia sobre SOC 2 para empresas europeias de software que vendem para os EUA.