Todos os relatórios SOC 2 avaliam os controlos de uma empresa face aos Trust Services Criteria (TSC) desenvolvidos pelo AICPA. São eles que definem exatamente o que o auditor vai testar e o que o relatório vai atestar. Este artigo explica os cinco critérios do SOC 2 (Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade) e ajuda-o a decidir quais incluir no âmbito.
O que são os Trust Services Criteria
Os TSC são um conjunto de critérios que uma firma de CPA utiliza para avaliar o sistema de controlos de uma organização prestadora de serviços. A edição atual é a TSC 2017, com pontos de foco revistos em 2022. Os critérios não prescrevem tecnologias específicas; descrevem o resultado que a empresa deve alcançar, e é a empresa que escolhe como o alcançar. O auditor avalia se os seus controlos são adequados ao critério e, no Type 2, se funcionaram ao longo de todo o período.
São cinco critérios. A Segurança é obrigatória em todos os relatórios SOC 2; os outros quatro são incluídos conforme a necessidade.
| Critério | O que abrange | Obrigatório? | Quem normalmente precisa |
|---|---|---|---|
| Segurança | Proteção contra acessos e divulgações não autorizados | Obrigatório | Todos |
| Disponibilidade | O sistema está disponível conforme prometido | Opcional | SaaS com SLA, alojamento, serviços geridos |
| Integridade do Processamento | O processamento é completo, exato, atempado e autorizado | Opcional | Fintech, pagamentos, processamento salarial, análise de dados |
| Confidencialidade | Informação confidencial protegida ao longo do seu ciclo de vida | Opcional | B2B com dados sensíveis de clientes, outsourcing |
| Privacidade | Dados pessoais tratados de acordo com a política de privacidade e os compromissos | Opcional | Produtos que tratam diretamente dados de pessoas singulares |
1. Segurança: os Common Criteria
O critério Segurança sustenta todo o relatório, razão pela qual é também designado por Common Criteria (CC). É composto por nove grupos, de CC1 a CC9:
- CC1 Ambiente de controlo — responsabilização da gestão, estrutura organizacional, competência dos colaboradores, código de conduta.
- CC2 Comunicação e informação — políticas comunicadas aos colaboradores, clientes informados dos compromissos, canais para reportar incidentes.
- CC3 Avaliação de riscos — identificação e análise de riscos, incluindo o risco de fraude e o risco associado a alterações.
- CC4 Atividades de monitorização — revisões internas, análise de vulnerabilidades, avaliação da eficácia dos controlos.
- CC5 Atividades de controlo — seleção e implementação de controlos, incluindo controlos tecnológicos, através de políticas e procedimentos.
- CC6 Acesso lógico e físico — o maior grupo: gestão de contas, MFA, privilégio mínimo, revogação de acessos, cifragem, segurança física.
- CC7 Operações do sistema — deteção de anomalias, resposta a incidentes, recuperação.
- CC8 Gestão de alterações — as alterações à infraestrutura e ao código são autorizadas, testadas e documentadas.
- CC9 Mitigação de riscos — continuidade do negócio e gestão do risco de fornecedores.
Controlos típicos: MFA em todos os sistemas da empresa, revisões trimestrais de acessos, offboarding no próprio dia com revogação de acessos, revisão de código antes da implantação, registo centralizado de eventos, um plano de resposta a incidentes, formação anual em segurança, avaliação dos fornecedores críticos.
2. Disponibilidade
Este critério testa se o sistema está disponível para operação e utilização conforme prometido aos clientes. Não se trata de "100% de uptime", mas da sua capacidade de cumprir o nível de serviço prometido e de recuperar quando algo corre mal.
Controlos típicos: monitorização de desempenho e capacidade, redundância da infraestrutura, cópias de segurança regulares com testes de restauro, um plano de recuperação de desastres testado anualmente, procedimentos de resposta a interrupções. Inclua este critério se os seus contratos contêm SLA ou se os clientes dependem do seu sistema em tempo real.
3. Integridade do Processamento
Este critério diz respeito a saber se o processamento do sistema é completo, exato, atempado e autorizado. É relevante para sistemas em que um erro de cálculo tem consequências financeiras ou legais diretas: plataformas de pagamento, faturação, processamento salarial, relatórios, análise de dados para apoio à decisão.
Controlos típicos: validação de entradas, somas de verificação e reconciliações, tratamento de erros e filas, registos de processamento, controlos de qualidade dos dados, procedimentos de correção. Para a maioria dos produtos SaaS "comuns" este critério é desnecessário, e incluí-lo "por precaução" só aumenta os honorários da auditoria.
4. Confidencialidade
Este critério testa se a informação classificada como confidencial é protegida desde a receção até à destruição. Informação confidencial significa dados cuja utilização está restringida por contrato ou por lei: segredos comerciais dos clientes, código-fonte, dados financeiros, condições de negócios.
Controlos típicos: classificação de dados, cifragem em repouso e em trânsito, NDA com colaboradores e fornecedores, restrições de acesso com base na necessidade de conhecer, políticas de retenção e eliminação segura. O critério é relevante para empresas de outsourcing que trabalham com código e dados de clientes, e para produtos B2B que lidam com informação sensível.
5. Privacidade
O critério opcional mais extenso. Diz respeito à informação pessoal (dados sobre pessoas singulares) e avalia todo o ciclo de vida: informação, escolha e consentimento, recolha, utilização, conservação, acesso pelos titulares, divulgação a terceiros, qualidade dos dados, monitorização. Estruturalmente aproxima-se dos requisitos do RGPD, embora não seja idêntico.
É importante distinguir: a Confidencialidade protege quaisquer dados de acesso restrito; a Privacidade cobre especificamente os dados pessoais das pessoas singulares e os seus direitos. Inclua o critério Privacidade quando é a sua empresa que determina como os dados pessoais são tratados (por exemplo, um produto B2C), e não quando se limita a tratá-los por instrução de um cliente. Nos cenários B2B é frequentemente substituído pelo critério Confidencialidade, complementado por uma conformidade separada com o RGPD.
Como escolher os critérios para o seu relatório
- Analise os contratos e questionários dos clientes. Se os clientes perguntam por SLA e recuperação, inclua a Disponibilidade. Se lhe entregam código e dados comerciais, inclua a Confidencialidade.
- Considere a natureza do produto. Pagamentos, faturação e cálculos apontam para a Integridade do Processamento. Dados pessoais que controla apontam para a Privacidade.
- Não alargue o âmbito em excesso. Cada critério significa mais controlos, mais evidências e mais horas de auditor. O conjunto mais comum em SaaS é Segurança + Disponibilidade, frequentemente com Confidencialidade.
- Planeie a expansão. Um primeiro relatório pode cobrir apenas a Segurança, acrescentando-se outros critérios no ano seguinte se o mercado o exigir.
Pontos de foco: como ler os critérios
Para cada critério, o AICPA fornece "pontos de foco" (points of focus): exemplos do que ter em conta ao conceber os controlos. Não são requisitos obrigatórios; o auditor não penaliza cada ponto não abordado, mas utiliza-os como orientação. Uma dica prática: durante a análise de lacunas, percorra os pontos de foco. É a forma mais rápida de perceber o que o auditor espera.
Relação com outros referenciais
A maioria dos controlos de Segurança sobrepõe-se ao Anexo A da ISO 27001, pelo que as empresas europeias que servem o mercado interno e os EUA preparam-se muitas vezes para ambos em simultâneo; veja a comparação SOC 2 vs ISO 27001 e o pacote SOC 2 + ISO 27001. Se está a começar no tema, comece por o que é o SOC 2 e, para a diferença entre os tipos de relatório, leia Type 1 vs Type 2.
Não sabe que critérios devem integrar o âmbito do seu SOC 2? A nossa equipa de consultoria realizará uma análise de lacunas face aos pontos de foco dos TSC, recomendará o conjunto ideal de critérios e preparará a sua empresa para a auditoria pela firma de CPA norte-americana do grupo BALTUM, cujos auditores CPA licenciados trabalham de forma independente dos consultores. Peça uma consulta.