Varonis debuts trailblazing features for securing Salesforce. Learn More

Apresentamos a automação de privilégios mínimos para Microsoft 365, Google Drive e Box

Saiba Mais

Conformidade com o SOC 2: definição e lista de verificação

7 minuto de leitura
Ultima atualização 10 de Abril de 2023
SOC 2

Um dos aspectos essenciais na condução de qualquer negócio é a proteção de dados dos clientes. Como resultado, as empresas devem cumprir com o SOC 2 – Controles de Sistemas e Organização – para garantir que sua organização siga as melhores práticas de segurança. Mas o que é a conformidade como SOC 2? E como ter certeza que está fazendo todo o necessário para alcançar a conformidade com o SOC 2? 

Entender o que a conformidade com o SOC 2 exige e implementar as proteções adequadas pode ajudar a proteger seus dados e, ao mesmo tempo, manter a tranquilidade. 

O que é conformidade com SOC 2 

Padrões de conformidade SOC 2 

  • Abrange segurança, disponibilidade, confidencialidade, integridade de processamento e privacidade 
  • Não é obrigatório, mas muitas vezes é exigido pelos clientes para fins de responsabilidade 
  • Exige auditorias anuais para manter o status de conformidade 

A conformidade com SOC 2 é um conjunto de padrões de segurança e privacidade para provedores de serviços. Esta plataforma de relatórios é designada pelo American Institute of Certified Public Accountants, e, embora a conformidade com o SOC 2 não seja obrigatória, os clientes geralmente a exigem das organizações com as quais trabalham, especialmente para serviços baseados em nuvem, para garantir a proteção de seus dados. 

Para atender aos padrões de conformidade, as empresas devem adotar procedimentos específicos e controles de serviço relacionados à segurança, disponibilidade, confidencialidade e integridade do processamento de seus sistemas. Esses sistemas incluem a infraestrutura física e servidores, pessoas, processos e a tecnologia utilizada pela organização. 

Para garantir que esses controles sejam adequados, organizações terceirizadas independentes conduzem auditorias de conformidade com o SOC 2. Esses relatórios de auditoria avaliam se os prestadores de serviços submetidos à revisão projetaram e implementaram procedimentos eficazes que atendem aos objetivos do SOC 2. 

As organizações que passam com sucesso em uma auditoria SOC 2 podem usar essa designação de conformidade para demonstrar seu compromisso com a segurança e a privacidade de seus clientes e stakeholders. 

Por que a conformidade com o SOC 2 é importante? 

A conformidade com o SOC 2 é vital para qualquer organização que queira garantir a segurança e confidencialidade de seus dados. Ao cumprir com os padrões SOC 2, empresas e negócios podem demonstrar seu compromisso com a segurança e privacidade dos dados. Alcançar a conformidade também pode ajudá-los a evitar responsabilidades legais e multas. Esse método, por sua vez, gera confiança em clientes e parceiros e ajuda a proteger a reputação da empresa. 

Quem precisa de conformidade com o SOC 2? 

Qualquer organização que coleta, armazena ou processa informações confidenciais de clientes precisa estar em conformidade com o SOC 2. Isso inclui empresas dos setores financeiro, saúde e educação. Embora o processo possa ser caro e demorado, ele também ajuda as organizações a conquistar novos clientes e aumentar a confiança dos clientes existentes. 

SOC 2 – Critérios de Serviços de Confiança (TSC) 

Quando se trata de segurança de dados, o SOC 2 - Critérios de Serviços de Confiança (TSC) é um dos padrões mais críticos. Esses padrões cobrem tudo, desde segurança física até criptografia de dados. Existem cinco categorias principais no TSC: 

Segurança 

A segurança é definida como a proteção de bancos de dados e sistemas contra acesso não autorizado. As organizações podem conseguir isso usando ferramentas e estratégias como firewalls e autenticação de dois fatores. Esses componentes dificultam o acesso de pessoas não autorizadas aos dados. 

CC1: Ambiente de controle 

Os controles CC1 são a base para a ética de segurança cibernética e para a integridade dos dados. Esse controle estabelece como a empresa e seu conselho de administração foram formados. Também cobre tópicos de RH, como procedimentos de recrutamento e treinamento. 

CC2: Comunicação e informação 

Os controles CC2 ajudam a entender sua responsabilidade de coletar dados e descrevem como compartilhá-los internamente e externamente. Além disso, esse controle garante que não se pode usar a ignorância como desculpa para não investigar uma violação de controle. 

CC3: Avaliação de risco 

Os controles CC2 se concentram nos riscos financeiros, mas várias empresas de tecnologia se concentram na implementação desses controles para riscos técnicos. 

CC4: Atividades de monitoramento 

Os controles CC4 se concentram em como verificar se a organização está seguindo a série de regulamentos. Esta seção inclui decidir com que frequência são realizadas auditorias e como relatar o resultado à empresa. 

CC5: Atividades de controle 

Os controles CC5 lidam com atividades de conformidade. Essas iniciativas ocorrem no ambiente de tecnologia com a implementação de políticas e procedimentos. Portanto, um elemento essencial dos controles CC5 é garantir que as políticas sejam configuradas corretamente e que todos na organização estejam cientes delas. 

CC6: Controles de acesso lógico e físico 

Os controles CC6 são uma parte crucial do TSC. Esta seção é onde suas políticas e procedimentos atendem às medidas de segurança reais de sua arquitetura. Aqui é necessário discutir o acesso, o tratamento e o descarte de dados e prevenção de ameaças à segurança cibernética. 

CC7: Operações de sistemas 

Os controles CC7 estabelecem a base para sua arquitetura de incidentes de segurança. Esta seção envolve decidir quais ferramentas são necessárias para detectar vulnerabilidades e anomalias. 

CC8: Gerenciamento de mudanças 

O controle CC8 é um controle único que lida com alterações. Ele estabelece uma hierarquia de aprovação para elementos significativos do ambiente de controle, como políticas, procedimentos ou tecnologias. 

CC9: Mitigação de riscos 

Os controles CC9 previnem riscos. Esses controles aconselham o que deve ser feito em relação ao gerenciamento de riscos. 

Disponibilidade 

Além da segurança, outra categoria no TSC é a disponibilidade. O princípio da disponibilidade exige que as operações e serviços do sistema estejam disponíveis para uso autorizado conforme especificado pelo cliente ou parceiro de negócios. 

Para atender a esses critérios, as organizações devem ter uma política escrita que inclua medidas para prevenção, detecção e correção de interrupções na disponibilidade do serviço. Além disso, a política deve abordar a manutenção do sistema, planejamento de capacidade, resposta e incidentes e continuidade de negócios. 

Integridade do processo 

Este princípio afirma que todos os sistemas e controles de negócios devem proteger a confidencialidade, privacidade e segurança do processamento de informações. Para atender a esse princípio, as organizações devem ter controles de segurança para proteger os dados contra acesso não autorizado e garantir que as empresas processem os dados de forma consistente e precisa. 

Confidencialidade 

O princípio de confidencialidade exige que as organizações projetem e implementem controles para proteger a confidencialidade de informações. Esse princípio é crucial para a conformidade com o SOC 2, pois ajuda a garantir que apenas usuários autorizados tenham acesso a dados confidenciais. 

As empresas devem controlar cuidadosamente o acesso físico e lógico aos seus sistemas para atender a esse critério. Elas também devem implementar mecanismos para prevenir, detectar e responder a tentativas de comprometimento da confidencialidade dos dados. 

Privacidade 

Por fim, o princípio de privacidade exige que as empresas tomem medidas para proteger as informações dos clientes e evitar violações de dados. Para cumprir o princípio de privacidade, elas devem implementar proteções físicas, técnicas e administrativas para proteger os dados contra acesso não autorizado. Devem também fornecer aos clientes detalhes claros e concisos sobre seus direitos de privacidade e como seus dados serão usados. 

Lista de verificação de conformidade com o SOC 2 

  • Faça uma autoavaliação 
  • Escolha critérios de serviços de confiança 
  • Revise seus controles de segurança e ajuste 
  • Faça uma autoavaliação final 
  • Conclua a auditoria SOC 2 

Uma lista de verificação de conformidade com o SOC 2 inclui várias questões sobre segurança organizacional, incluindo como os dados são coletados, processados e armazenados, como o acesso às informações é controlado e como as vulnerabilidades são mitigadas. Desenvolver uma lista é fundamental para o sucesso de qualquer empresa que deseje cumprir com os padrões SOC 2. 

Embora as etapas descritas aqui não seja uma lista de verificação oficial para relatórios SOC, essas medidas podem ajudar a obter uma certificação. 

Prepare-se realizando uma autoavaliação 

Antes de passar por uma auditoria de conformidade, é necessário realizar uma autoavaliação. Esta etapa ajudará a identificar possíveis pontos fracos em seus controles para que as alterações necessárias sejam realizadas. Para essa avaliação, é necessário passar por cada uma das cinco categorias de serviços de confiança e verificar se os controles atendem aos requisitos de conformidade com o SOC 2. 

Escolha qual dos critérios de serviços de confiança você deseja enfatizar para a auditoria 

Depois de realizar a autoavaliação, é necessário selecionar os princípios do TSC que serão enfatizados na auditoria. Aqui é possível se concentrar em todos os cinco critérios se estiverem dentro do orçamento. No entanto, lembre-se de que cada princípio de serviço de confiança adicional aumenta o custo e o escopo da auditoria. 

Revise os controles de segurança e os ajuste 

Depois de selecionar os critérios nos quais deseja focar, é hora de examinar os controles internos de segurança. Esta área é onde devem ser feitos ajustes necessários para garantir que os padrões sejam atualizados e documentados para atender aos requisitos de conformidade com o SOC 2 

Realize uma autoavaliação final 

Por fim, é o momento de realizar uma avaliação final após atualizar os controles de segurança. Assim, será possível verificar se as alterações realizadas são adequadas e se a empresa está pronta para uma auditoria de conformidade real 

Conclua a auditoria SOC 2 

A etapa final é concluir uma auditoria SOC 2. Novamente, uma empresa de auditoria externa fará esse processo. Assim que a revisão de conformidade for concluída, um relatório SOC detalhando as descobertas da auditoria será enviado para a organização. Se tudo estiver em ordem, já é possível usar o selo de conformidade com o SOC 2 para mostrar que sua empresa leva a segurança e a proteção de dados do cliente a sério. 

Mantenha a conformidade anualmente 

As organizações que alcançam a conformidade com o SOC 2 estão sujeitas à manutenção anual. Isso significa atualizar regularmente seus controles e documentação de segurança e realizar autoavaliações e auditorias anuais para garantir que a empresa esteja sempre em conformidade e protegendo os dados dos clientes. 

SOC 2 vs SOC 1: Determine se a auditoria SOC 2 é para sua empresa 

Os CPAs podem realizar uma auditoria de conformidade com o SOC 1 ou SOC 2. Mas o que cada uma difere da outra? 

SOC 1 

O SOC 1 relata os controles relevantes para o controle interno da entidade usuária sobre relatórios financeiros. Um relatório SOC 1 pode ser Tipo 1 ou Tipo 2. O Tipo 1 garante que uma organização projetou e colocou regras adequadamente em operação a partir de uma data especifica. O relatório Tipo 2 fornece essas garantias e inclui uma opinião sobre se os controles operaram efetivamente durante esse período de tempo. 

SOC 2 

A conformidade com o SOC 2 é uma certificação voluntária que as organizações de serviço podem usar para demonstrar seu compromisso com a segurança da informação. Os relatórios SOC 2 são Tipo 1 e Tipo 2. O Tipo 1 avalia o design dos controles de segurança de uma empresa em um momento específico. O Tipo 2 avalia a eficácia desses controles ao longo do tempo. Normalmente, as organizações buscam a certificação de conformidade com o SOC Tipo 2 para incutir confiança em seus clientes de que seus dados estão seguros e protegidos. 

Pensamentos finais 

A conformidade com o SOC 2 é uma forma de os fornecedores SaaS e outras empresas estabelecerem os controles de segurança que implementam para proteger os dados do cliente na nuvem. O TSC estabelecido pelo American Institutute of CPAs fornece uma estrutura para que as organizações avaliem seus padrões e se protejam contra acesso, uso, divulgação, alteração ou destruição não autorizados de informações. 

Uma auditoria de conformidade com o SOC 2 pode ajudar as empresas a identificar áreas onde precisam fazer alterações para atender ao TSC. As etapas que devem ser seguidas após uma auditoria dependem das descobertas do relatório, mas geralmente incluem a implementação de alterações na forma como a empresa lida e protege os dados dos clientes. 

Adotar um software inovador de conformidade com o SOC 2, como proteção de dados em nuvem ou automação de privacidade de dados, não é apenas inteligente. É necessário para manter sua vantagem competitiva em um setor cada vez mais regulamentado. 

O que fazer agora? 

Agende uma sessão de demonstração conosco e saiba como a Varonis pode ajudar sua empresa. Depois, baixe nosso relatório gratuito sobre os riscos associados à exposição de dados SaaS. 

What you should do now

Below are three ways we can help you begin your journey to reducing data risk at your company:

  1. Schedule a demo session with us, where we can show you around, answer your questions, and help you see if Varonis is right for you.
  2. Download our free report and learn the risks associated with SaaS data exposure.
  3. Share this blog post with someone you know who'd enjoy reading it. Share it with them via email, LinkedIn, Reddit, or Facebook.
Try Varonis free.
Get a detailed data risk report based on your company’s data.
Deploys in minutes.
Keep reading
certificação-do-modelo-de-maturação-da-segurança-cibernética-2.0-(cmmc-2.0)
Certificação do modelo de maturação da segurança cibernética 2.0 (CMMC 2.0)
O DoD está implementando o programa de Certificação do Modelo de Maturidade de Segurança Cibernética 2.0 
estrutura-de-gerenciamento-de-risco-(rmf):-uma-visão-geral
Estrutura de gerenciamento de risco (RMF): uma visão geral
A estrutura de gerenciamento de risco (RMF) é um conjunto de critérios que determina como os sistemas de TI do governo dos Estados Unidos devem ser arquitetados, protegidos e monitorados. 
ameaça-interna:-como-detectar-e-prever
Ameaça interna: como detectar e prever
Uma ameaça interna é aquela provocada por um funcionário, ex-funcionário ou qualquer outro usuário a dados, ou aplicativos da empresa
conformidade-com-o-soc-2:-definição-e-lista-de-verificação
Conformidade com o SOC 2: definição e lista de verificação
A conformidade com o SOC 2 é a forma de fornecedores SaaS estabelecerem controles de segurança para proteção de dados