Preparação para SOC 2 e acompanhamento da auditoria
O SOC 2 é uma atestação emitida por uma empresa de CPA independente, que nenhuma consultora lhe pode entregar. O que fazemos é prepará-lo para ela: uma avaliação de lacunas face aos AICPA Trust Services Criteria, os controlos e as evidências para fechar essas lacunas, e o teste de intrusão em que o seu relatório assenta. A auditoria em si é realizada por um CPA licenciado.
O que a preparação abrange
O SOC 2 relata os controlos de uma organização de serviços face aos AICPA Trust Services Criteria (TSC): Segurança (os Common Criteria obrigatórios), mais Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade, à sua escolha. Ajudamo-lo a definir o âmbito dos critérios certos e, depois, a fechar a lacuna entre o estado atual e um conjunto de controlos auditável.
- Definição do âmbito da descrição do sistema e de quais os Trust Services Criteria aplicáveis
- Avaliação de lacunas dos controlos face aos Security Common Criteria (CC1-CC9)
- Categorias opcionais: Disponibilidade, Integridade do Processamento, Confidencialidade, Privacidade
- Políticas, procedimentos e as narrativas de evidências/controlos que um auditor espera
- Testes de intrusão como evidência técnica para os Common Criteria
- Type I (conceção num dado momento) vs Type II (eficácia operacional ao longo de um período)
Primeiro a preparação, depois a auditoria
Preparamo-lo, mas não somos o seu auditor. Os dois papéis estão separados de propósito, porque a empresa de CPA tem de ser independente. Nós conduzimos a avaliação de lacunas e a remediação, o cliente chega preparado ao exame, e o CPA realiza-o e emite o relatório SOC 2. Podemos recomendar empresas de auditoria, mas nunca emitimos a atestação nós próprios.
- 1
Definição do âmbito
Acordamos a fronteira do sistema, os Trust Services Criteria no âmbito e Type I vs Type II, e assinamos um NDA.
- 2
Avaliação de lacunas
Medimos os seus controlos atuais face aos Common Criteria e a quaisquer categorias escolhidas, e priorizamos as lacunas.
- 3
Remediação
Ajudamo-lo a construir os controlos, as políticas e as evidências em falta, e realizamos o pentest de que o relatório depende.
- 4
Acompanhamento da auditoria
Preparamo-lo para o exame e acompanhamo-lo durante o trabalho de campo da empresa de CPA independente.
- 5
Período de observação do Type II
Para o Type II, os controlos têm de funcionar ao longo de um período (habitualmente 3 a 12 meses). Ajudamo-lo a mantê-los e a documentá-los com evidências.
O que recebe
Uma entrega de preparação clara e o pacote de evidências técnicas: tudo o que precisa para chegar preparado ao exame. O relatório SOC 2 em si é emitido pela empresa de CPA, não por nós.
- Relatório de avaliação de lacunas mapeado aos Trust Services Criteria
- Plano de remediação priorizado, com responsáveis e estimativas de esforço
- Narrativas de controlos, modelos de políticas e uma lista de verificação de evidências
- Relatório de teste de intrusão (CVSS 3.1, prova de conceito, reprodução) como evidência dos Common Criteria
- Confirmação de preparação a indicar que está pronto para o exame
- Reteste gratuito dos achados técnicos remediados antes da janela de auditoria, segundo o calendário fixado no SoW
Assente nos AICPA Trust Services Criteria
A preparação segue os AICPA Trust Services Criteria: Segurança (os Common Criteria obrigatórios) mais Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade, conforme a seleção. Um exame SOC 2 tem de ser realizado por uma empresa de CPA licenciada e independente. Prestamos preparação, avaliação de lacunas, remediação e o teste de intrusão de apoio, mas não somos uma empresa de CPA e não emitimos o relatório nem a atestação SOC 2. O Type II exige ainda que os controlos funcionem ao longo de um período de observação.