Avaliação de prontidão SOC 2 e checklist

Avaliação de prontidão SOC 2: checklist antes da auditoria

Responda a perguntas simples sobre os seus controlos de segurança e veja o quão preparado está para um exame SOC 2 Type I ou Type II, com pontuação de prontidão, lacunas por Trust Services Criteria e recomendações priorizadas.

10–15 minutos

Sem registo

Dados na UE

Pontuação + relatório de lacunas

O que é o SOC 2?

O SOC 2 é um referencial de atestação do American Institute of CPAs (AICPA). Uma firma de auditoria CPA licenciada examina os controlos de uma organização de serviços e emite um relatório para clientes e parceiros. É um relatório, não um certificado.

O exame baseia-se nos Trust Services Criteria: segurança (sempre incluída), disponibilidade, integridade do processamento, confidencialidade e privacidade. As categorias adicionais são escolhidas de acordo com os serviços prestados.

SOC 2 Type I vs Type II

Type I: o auditor verifica se os controlos estão bem desenhados numa data específica
Type II: o auditor verifica se os controlos funcionaram eficazmente durante um período, normalmente de 3 a 12 meses
Muitas empresas começam pelo Type I para desbloquear vendas e depois avançam para o Type II
Em ambos os casos são necessárias políticas escritas e evidências de que os controlos funcionam

O que cobre a checklist SOC 2

As perguntas seguem os Common Criteria que o auditor testa na categoria de segurança:

Ambiente de controlo, governação e funções de segurança
Avaliação de riscos e gestão de fornecedores
Controlo de acesso lógico e físico, entradas e saídas de colaboradores
Operação de sistemas: monitorização, gestão de vulnerabilidades e resposta a incidentes
Gestão de alterações e desenvolvimento seguro
Cópias de segurança, continuidade de negócio e disponibilidade

Lacunas típicas antes de uma auditoria SOC 2

Existem políticas, mas nunca foram aprovadas nem comunicadas aos colaboradores
As revisões de acessos e as saídas não estão documentadas
Não há avaliação formal de riscos nem de fornecedores
As alterações chegam à produção sem registo de revisão ou aprovação
Existem registos e alertas, mas ninguém os analisa regularmente

Quem pede um relatório SOC 2?

É pedido sobretudo por clientes norte-americanos de empresas SaaS, cloud e de tratamento de dados. As empresas europeias combinam muitas vezes o SOC 2 com a ISO/IEC 27001, porque os controlos se sobrepõem em grande parte. A autoavaliação mostra que controlos já tem e o que falta.

Normas relacionadas

Como funciona a avaliação gratuita

Escolha a norma

As perguntas estão em linguagem simples – não precisa de um especialista em conformidade para responder.

Responda a 20–40 perguntas

Descreva como a sua organização funciona realmente hoje. Respostas honestas dão o resultado mais útil.

Receba o relatório

Pontuação de preparação, análise de lacunas por área de requisitos e recomendações de IA priorizadas, num PDF para partilhar.

Perguntas frequentes

O SOC 2 é uma certificação?

Não. O SOC 2 é um relatório de atestação emitido por uma firma CPA licenciada. Fala-se muitas vezes em 'certificação SOC 2', mas formalmente recebe-se um relatório do auditor sobre os controlos.

Quanto tempo demora a preparação para o SOC 2?

Depende do ponto de partida. Com práticas de segurança já implementadas, o Type I é muitas vezes alcançável em poucos meses. O Type II exige ainda um período de observação, normalmente de 3 a 12 meses.

A BALTUM emite relatórios SOC 2?

Não. A BALTUM é um software independente de autoavaliação. Mostra a sua prontidão e as lacunas. O relatório SOC 2 só pode ser emitido por uma firma CPA licenciada.

A ISO 27001 ajuda no SOC 2?

Sim. A maioria dos controlos da ISO/IEC 27001 corresponde aos critérios de segurança do SOC 2, pelo que um SGSI existente reduz bastante o esforço.