Glossário de segurança

SOC 2 vs ISO 27001

Ambos servem para demonstrar que leva a segurança da informação a sério, e os clientes pedem frequentemente um ou outro. Mas vêm de mundos diferentes (um referencial contabilístico norte-americano e uma norma internacional) e comprovam-se de formas diferentes. Nenhuma consultora lhe pode simplesmente entregar um ou outro.

SOC 2: um relatório de atestação

O SOC 2 é um exame face aos AICPA Trust Services Criteria: Segurança (os Common Criteria obrigatórios) mais Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade, opcionais. O resultado é um relatório, elaborado e emitido por uma empresa de CPA licenciada e independente. Um relatório Type I avalia a conceção dos controlos num dado momento; um Type II avalia a sua eficácia operacional ao longo de um período (habitualmente 3 a 12 meses). É amplamente esperado dos fornecedores de SaaS, em especial nos EUA.

ISO 27001: uma norma certificável

A ISO/IEC 27001:2022 é uma norma internacional para um Sistema de Gestão da Segurança da Informação (SGSI). Constrói um sistema de gestão (cláusulas 4 a 10) e seleciona controlos do Anexo A (93 controlos em quatro temas). Depois, um organismo de certificação acreditado audita-o em duas fases e, se passar, emite um certificado válido por três anos, com auditorias de acompanhamento. É reconhecida globalmente e muitas vezes preferida fora dos EUA.

Como diferem

O SOC 2 produz um relatório detalhado que um cliente lê ao abrigo de NDA; a ISO 27001 produz um certificado e uma Declaração de Aplicabilidade. O SOC 2 é atestado por uma empresa de CPA face aos Trust Services Criteria; a ISO 27001 é certificada por um organismo acreditado face à norma. Os controlos subjacentes sobrepõem-se muito, pelo que muitas organizações procuram ambos e reutilizam evidências. Ainda assim, os mecanismos de prova são distintos e independentes.

Onde uma consultora se enquadra (e não se enquadra)

Esta é a parte importante. Uma consultora pode prepará-lo com uma avaliação de lacunas, controlos, políticas, auditoria interna e os testes de intrusão que evidenciam os controlos técnicos. Mas não pode emitir o relatório SOC 2 nem o certificado ISO 27001. Esses documentos têm de vir, respetivamente, de uma empresa de CPA independente e de um organismo de certificação acreditado. A Vexaro presta a preparação e o pentest de apoio; a atestação vem sempre do avaliador independente.

Perguntas frequentes

O SOC 2 é uma análise face aos Trust Services Criteria do AICPA, cujo resultado é um relatório emitido por uma firma de contabilistas (CPA) independente e licenciada. A ISO/IEC 27001:2022 é uma norma internacional para um sistema de gestão da segurança da informação, certificada por um organismo acreditado que emite um certificado válido por três anos, com auditorias de acompanhamento.

Não. Uma consultora pode prepará-lo (análise de lacunas, controlos, políticas, auditoria interna e os testes de intrusão que evidenciam os controlos técnicos), mas não pode emitir o relatório SOC 2 nem o certificado ISO 27001. Estes têm de vir, respetivamente, de uma empresa de CPA independente e de um organismo de certificação acreditado.

Um relatório de tipo I avalia a conceção dos controlos num único momento; um relatório de tipo II avalia a sua eficácia operacional ao longo de um período, normalmente de 3 a 12 meses.

Fale com um profissional a sério.

Tem uma pergunta que estas páginas não responderam? Diga-nos o que está a tentar proteger e indicamos-lhe o projeto adequado. A primeira consulta é gratuita.