Se vende software ou serviços de TI a clientes nos Estados Unidos, ou a compradores empresariais em qualquer parte do mundo, mais cedo ou mais tarde alguém lhe perguntará: "Têm SOC 2?" Este artigo explica o que é o SOC 2, o que contém realmente um relatório SOC 2, quem o emite e porque é importante para uma empresa europeia de software, SaaS ou serviços de TI.
O SOC 2 é um relatório, não um certificado
É frequente ouvir falar em "certificação SOC 2" ou "certificado SOC 2". Em rigor, isso não está correto. O SOC 2 (System and Organization Controls 2) é um relatório de atestação elaborado por uma firma independente e licenciada de CPA (Certified Public Accountant) nos Estados Unidos, de acordo com as normas do AICPA, o American Institute of Certified Public Accountants.
A diferença é relevante. Um certificado, como o ISO 27001, confirma a conformidade com uma norma e tem data de validade. Um relatório SOC 2 é a opinião profissional do auditor sobre se os controlos de segurança de uma empresa estão adequadamente concebidos (e, no caso do Type 2, se funcionaram eficazmente) durante um período definido. Não existe nenhum registo público de "empresas certificadas SOC 2": o relatório é partilhado diretamente com clientes e parceiros, normalmente ao abrigo de um acordo de confidencialidade (NDA).
O que atesta um relatório SOC 2
O relatório avalia o sistema de controlos da empresa face aos Trust Services Criteria (TSC). São cinco:
- Segurança — o critério obrigatório; todos os relatórios SOC 2 o incluem. Proteção contra acessos não autorizados, gestão de acessos, monitorização, resposta a incidentes.
- Disponibilidade — o sistema está disponível conforme prometido aos clientes (SLA, redundância, recuperação de desastres).
- Integridade do processamento — o processamento é completo, exato, atempado e autorizado.
- Confidencialidade — a informação confidencial é protegida ao longo de todo o seu ciclo de vida.
- Privacidade — os dados pessoais são recolhidos, utilizados, conservados e eliminados em conformidade com a política de privacidade e os compromissos assumidos.
É a empresa que escolhe quais os critérios a incluir no âmbito. A maioria das empresas SaaS começa pela Segurança e acrescenta frequentemente a Disponibilidade e a Confidencialidade.
O que contém o relatório
Um relatório SOC 2 típico tem quatro secções:
- Opinião do auditor de serviço independente — a conclusão formal da firma de CPA.
- Asserção da gestão — a declaração da empresa de que a descrição do sistema é fiel e os controlos estão adequadamente concebidos.
- Descrição do sistema — infraestrutura, software, pessoas, procedimentos, dados, limites do sistema e organizações subcontratadas.
- Controlos e resultados dos testes — para cada critério: que controlos existem, como o auditor os testou e que exceções foram detetadas.
A quarta secção é a que as equipas de segurança dos seus clientes leem com mais atenção: mostra se houve exceções e qual a sua relevância.
Type 1 e Type 2: a diferença
Existem dois tipos de relatório. O SOC 2 Type 1 avalia a conceção dos controlos num único momento: existem as políticas e os mecanismos certos e são capazes de cumprir os critérios? O SOC 2 Type 2 testa adicionalmente se esses controlos funcionaram de facto ao longo de um período de observação, normalmente de 3 a 12 meses.
| Type 1 | Type 2 | |
|---|---|---|
| O que é avaliado | Conceção dos controlos | Conceção e eficácia operacional |
| Período | Uma única data | 3–12 meses |
| Confiança dos clientes | Básica | Elevada |
| Objetivo típico | Cumprir rapidamente um requisito contratual | Trabalho continuado com clientes empresariais |
Para uma comparação completa, consulte SOC 2 Type 1 vs Type 2.
Quem precisa do SOC 2
O SOC 2 não é exigido por lei. Na prática, porém, tornou-se o padrão de mercado para qualquer empresa que trate dados pertencentes a clientes norte-americanos. O SOC 2 é mais frequentemente necessário para:
- Produtos SaaS que vendem a clientes empresariais — o pedido surge logo na fase do questionário de segurança.
- Empresas de outsourcing e outstaffing com acesso ao código, à infraestrutura ou aos dados de um cliente.
- Start-ups de fintech, healthtech e HR-tech, onde a sensibilidade dos dados é particularmente elevada.
- Fornecedores de serviços cloud e serviços geridos (alojamento, DevOps, suporte).
Para as empresas europeias que vendem para os EUA, o SOC 2 é muitas vezes a forma mais rápida de ultrapassar uma equipa de risco de fornecedores que não sabe interpretar um certificado ISO 27001 ou uma declaração de conformidade com o RGPD. O relatório fala a linguagem que as equipas de compras norte-americanas já entendem e demonstra que os riscos de segurança são geridos de forma sistemática, independentemente do país onde a empresa está sediada.
O que o SOC 2 traz ao negócio
- Ciclos de venda mais curtos. Em vez de responder a centenas de perguntas de questionários para cada potencial cliente, envia o relatório.
- Acesso ao segmento empresarial. Grandes clientes, bancos e seguradoras frequentemente nem iniciam negociações sem SOC 2.
- Maturidade real dos processos. A preparação obriga a organizar a gestão de acessos, a gestão de alterações, as cópias de segurança e a resposta a incidentes.
- Sinergia com outros referenciais. Muitos controlos sobrepõem-se aos requisitos da ISO 27001 e do RGPD; veja SOC 2 vs ISO 27001 para saber como escolher.
O caminho até ao relatório SOC 2
O percurso tem duas partes: a preparação (readiness) e a auditoria propriamente dita.
- Definição do âmbito. Que sistemas, produtos, equipas e critérios TSC ficam dentro dos limites da auditoria.
- Análise de lacunas (gap analysis). Comparação do estado atual com os critérios e listagem das lacunas.
- Implementação dos controlos. Políticas, procedimentos, configuração técnica (MFA, registo de eventos, cifragem, cópias de segurança), formação dos colaboradores.
- Recolha de evidências. Prova documental de que os controlos funcionam: registos, capturas de ecrã, tickets, relatórios.
- A auditoria da firma de CPA. O auditor independente testa os controlos e emite o relatório.
Os quatro primeiros passos são conduzidos por um consultor de preparação. A equipa de consultoria da BALTUM, sediada na UE, realiza a análise de lacunas, redige as políticas, ajuda a configurar os controlos e a recolher evidências, e acompanha-o durante a auditoria. O relatório em si é emitido pela firma de CPA do grupo BALTUM, registada nos EUA, cujos auditores CPA licenciados trabalham como equipa separada dos consultores; a independência do auditor é um requisito obrigatório da norma.
Quanto tempo demora e quanto custa
A preparação para o Type 1 numa empresa pequena demora normalmente 2–4 meses; o Type 2 demora 6–12 meses, incluindo o período de observação. Os honorários da auditoria CPA para uma pequena ou média empresa rondam os $8–20k para o Type 1 e os $15–40k para o Type 2; o custo da preparação depende do âmbito e da maturidade dos processos existentes. Consulte a análise detalhada em Quanto custa o SOC 2.
Erros comuns
- Comprar um "pacote de modelos de políticas" e esperar que isso chegue. O auditor testa se os controlos funcionam, não se os documentos existem.
- Colocar toda a empresa no âmbito quando o cliente só se interessa por um produto.
- Iniciar um período de observação Type 2 sem análise de lacunas e descobrir as falhas a meio do caminho.
- Tratar o SOC 2 como um projeto pontual. Um relatório Type 2 tem de ser renovado anualmente.
Está a planear o SOC 2 para a sua empresa? Envie-nos um pedido e avaliaremos o seu âmbito, aconselharemos por que tipo de relatório começar e daremos prazos realistas e um orçamento de preparação. Peça uma consulta e um orçamento.