A conformidade com SOC pode ser complicada e demorada para as organizações. Se você está analisando isso agora, preparamos um guia completo para ajudar você a entender os pontos principais. Neste guia, explicamos a diferença entre SOC 1 e SOC 2, por que você pode precisar de um em vez do outro, como funcionam as auditorias SOC e se o SOC 3 vale a pena considerar.
Qual é a diferença entre os relatórios SOC Tipo I e Tipo II?
O que é o SOC 1, quem precisa dele e por quê?
O que é o SOC 2, quem precisa dele e por quê?
O que é o SOC 3, quem precisa dele e por quê?
Quais empresas precisam de vários relatórios SOC?
Como funcionam as auditorias SOC? Prazos, custos e recursos
Quanto custa uma auditoria SOC?
Como a Proton pode ajudar você a concluir auditorias SOC
SOC 1 vs SOC 2 vs SOC 3
Os relatórios SOC podem parecer níveis do mesmo tipo de relatório, mas não são. Na verdade, são três relatórios diferentes, criados para três públicos diferentes. Então, ao compará-los, não se trata de qual é melhor, mas de qual está mais adequado às suas necessidades.
- SOC 1 é para empresas cujos serviços têm impacto no relatório financeiro de um cliente, como processadores de folha de pagamento, administradores de sinistros ou administradores de fundos.
- SOC 2 é para empresas que lidam com dados de clientes, como fornecedores de SaaS, nuvem e tecnologia.
- SOC 3 é um resumo público de um relatório SOC 2. Ele usa os mesmos critérios subjacentes, mas sem os detalhes técnicos sensíveis, então pode ser compartilhado livremente.
Por que fazer uma auditoria SOC?
Os clientes precisam de provas de que sua empresa é de confiança para lidar com os dados deles, mas auditar cada fornecedor individualmente pode ser lento e caro para todos os envolvidos. Os clientes da sua organização são o público-alvo do relatório.
Desenvolvida pelo American Institute of CPAs (AICPA), uma auditoria SOC permite que uma empresa passe por esse processo uma única vez com uma firma de contabilidade independente e depois entregue o relatório resultante a um possível cliente, em vez de preencher um novo questionário de segurança a cada oportunidade. Em setores regulamentados ou atentos à segurança, como finanças e saúde, um relatório SOC muitas vezes determina se sua empresa entra ou não na lista de fornecedores pré-aprovados.
Uma auditoria SOC também leva as empresas a implementar controles de segurança reais, como gestão de acesso, monitoramento e resposta a incidentes, ao longo do caminho. Assim, embora o relatório exista para satisfazer as equipes de compras dos clientes, o processo por trás dele fortalece suas práticas de segurança, independentemente de quem esteja lendo o relatório. Como os relatórios SOC revelam informações detalhadas sobre os processos e a infraestrutura da empresa, geralmente as empresas exigem que os clientes assinem um NDA antes que o relatório possa ser compartilhado.
Tabela comparativa: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Foco | Controles internos sobre relatórios financeiros | Segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade | Os mesmos critérios do SOC 2, mas resumidos |
| Norma aplicável | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Público típico | Auditores, reguladores e as equipes financeira e contábil do cliente | Equipes de segurança, TI e compras dos clientes | Público geral / possíveis clientes |
| Distribuição do relatório | Restrito: compartilhado sob NDA com partes interessadas específicas | Restrito: compartilhado sob NDA com partes interessadas específicas | Público: pode ser publicado ou compartilhado livremente |
| Exemplos de empresas | Fornecedores de folha de pagamento, processadores de sinistros, administradores de fundos | Plataformas SaaS, provedores de nuvem, data centers | Empresas que têm um SOC 2 e querem uma versão compartilhável |
| Tipos de relatório disponíveis | Tipo I e Tipo II | Tipo I e Tipo II | Não aplicável |
Qual é a diferença entre os relatórios SOC Tipo I e Tipo II?
Há dois tipos de relatório disponíveis para auditorias SOC 1 e SOC 2, e é aqui que as comparações se tornam mais úteis.
- Uma auditoria Tipo I examina a documentação, as políticas e os projetos de sistemas que uma empresa implementou e avalia se esses controles foram projetados de forma adequada para proteger os dados. Ela não testa se as proteções realmente funcionam ao longo do tempo, apenas confirma que existem e parecem corretas.
- Uma auditoria Tipo II examina documentos, políticas e projetos de sistemas, depois monitora seu funcionamento continuamente por um período de 3 a 12 meses. O auditor verifica que os controles não apenas estão bem projetados, mas também são seguidos de forma eficaz; que a empresa mantém registros, faz backups, monitora o acesso e lida com incidentes conforme prometido.
Clientes e parceiros geralmente confiam mais em uma auditoria Tipo II porque ela demonstra desempenho de segurança contínuo no mundo real. Diferentemente do SOC 1 e do SOC 2, que apenas atendem a públicos diferentes, uma auditoria Tipo II pode ser considerada mais forte que uma Tipo I.
O que é o SOC 1, quem precisa dele e por quê?
O SOC 1 é um framework de conformidade e auditoria para empresas cujos serviços afetam os relatórios financeiros de seus clientes. O SOC 1 atende às necessidades dos auditores externos dos clientes e garante que os controles de uma organização de serviços não introduzirão erros nos livros contábeis de seus clientes.
Que tipos de empresas se beneficiam da atestação SOC 1?
O SOC 1 é a atestação de referência para empresas que processam transações financeiras ou dados em nome de terceiros. Isso inclui processadores de folha de pagamento, processadores de pagamento, administradores de fundos, processadores de sinistros e plataformas de administração de empréstimos. Um SOC 1 pode abrir novos contratos com clientes maiores, reduzir atritos durante as auditorias anuais e reforçar a reputação de uma empresa quanto a processos financeiros confiáveis e bem controlados, o que muitas vezes determina se a sua empresa sequer é considerada para trabalhos financeiramente sensíveis.
O que é o SOC 2, quem precisa dele e por quê?
O SOC 2 é um framework de conformidade e auditoria para empresas que lidam com dados de clientes. Uma auditoria SOC 2 produz um relatório que documenta como os controles de uma empresa resistem aos Critérios de Serviços de Confiança da AICPA, abrangendo segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade, além da opinião de um auditor independente sobre se esses controles estão devidamente projetados. O SOC 2 é uma atestação necessária para empresas que precisam comprovar a eficácia de seus controles de segurança para clientes e parceiros nos EUA.
Que tipos de empresas se beneficiam da atestação SOC 2?
Empresas que oferecem serviços baseados em tecnologia se beneficiam mais da certificação SOC 2. Isso inclui software como serviço (SaaS), infraestrutura em nuvem, plataformas de análise de dados, soluções de fintech e aplicativos de tecnologia da saúde. Com as violações de dados se tornando a norma, os clientes precisam da garantia de que uma empresa consegue proteger os dados e sistemas que lhes estão sendo confiados. Um SOC 2 oferece isso, o que pode então abrir novos contratos com grandes corporações, simplificar as avaliações de risco de fornecedores e reforçar a reputação de uma empresa quanto à forte proteção de dados.
Leia sobre a auditoria SOC 2 Tipo II da Proton
O que é o SOC 3, quem precisa dele e por quê?
Um SOC 3 é derivado do mesmo processo de auditoria que um SOC 2, apenas atende a um propósito diferente. O relatório SOC 3 é um resumo de alto nível das mesmas informações, sem os detalhes e as informações específicas que exigem um NDA, por isso costuma ser usado como um resumo público do relatório SOC 2.
Que tipos de empresas se beneficiam da atestação SOC 3?
Não é possível obter um SOC 3 sem passar pelo processo de auditoria do SOC 2, mas empresas que já estão sendo avaliadas para um SOC 2 e querem usar essas informações em campanhas de marketing ou apresentações de vendas podem se beneficiar de buscar um relatório SOC 3.
Quais empresas precisam de vários relatórios SOC?
Escolher entre SOC 1 e SOC 2 costuma ser uma questão de escolher qual relatório atende às necessidades dos seus clientes. No entanto, algumas empresas realmente precisam de mais de um relatório SOC. Por exemplo, uma empresa de fintech que processa pagamentos e armazena dados sensíveis de clientes pode precisar tanto de um SOC 1 (porque afeta os relatórios financeiros dos clientes) quanto de um SOC 2 (porque lida com dados de clientes).
| Combinação de auditorias SOC | Tipo de empresa |
| SOC 1 + SOC 2 | Empresas que lidam tanto com relatórios financeiros quanto com dados significativos de clientes |
| SOC 1 + SOC 3 | N/A (Não é possível obter um SOC 3 sem um SOC 2) |
| SOC 2 + SOC 3 | Empresas que lidam com dados significativos de clientes e querem demonstrar sua atestação SOC 2 em conteúdo público |
| SOC 1 + SOC 2 + SOC 3 | Empresas que lidam tanto com relatórios financeiros quanto com dados significativos de clientes e querem demonstrar sua atestação SOC 2 em conteúdo público |
Como funcionam as auditorias SOC? Prazos, fases da auditoria e renovações
Há uma série de variáveis que impactam o custo e o tempo de uma auditoria SOC. Veja alguns fatores a considerar se você está planejando a conformidade com o SOC 1 ou o SOC 2.
Cronograma do SOC
| SOC | Cronograma |
| SOC 1 Tipo I | ~ 2–4 meses |
| SOC 1 Tipo II | ~ 6–12 meses no total, janela de observação normalmente de 6–12 meses |
| SOC 2 Tipo I | ~ 3–6 meses no total |
| SOC 2 Tipo II | ~ 6–15 meses no total, janela de observação normalmente de 3–12 meses |
Fases da auditoria SOC
Uma auditoria SOC contém várias fases que se desenrolam ao longo de semanas ou meses. Veja como é cada etapa:
1. Preparação (semanas 1–4)
Antes de qualquer teste começar, você identifica quais sistemas estão no escopo e confirma quais dos Critérios de Serviços de Confiança da AICPA se aplicam. Para o SOC 2, isso normalmente significa segurança como o critério obrigatório, além de qualquer combinação de disponibilidade, integridade de processamento, confidencialidade e privacidade com base nas necessidades do cliente. Você também deve inventariar os controles que já tem em vigor, como políticas de acesso, padrões de criptografia, procedimentos de backup e planos de resposta a incidentes. O objetivo aqui é evitar surpresas mais adiante.
2. Documentação (semanas 4–8)
Você reúne evidências de que seus controles existem e estão devidamente projetados. Isso inclui políticas escritas, diagramas de arquitetura de sistemas, matrizes de acesso baseadas em funções, avaliações de risco de fornecedores e registros de treinamento. O auditor revisará esses materiais para garantir que cubram todos os requisitos relevantes e estejam alinhados com o que os clientes razoavelmente esperariam.
3. Auditoria (semanas 8–12)
Para um relatório Tipo I, o auditor realiza o trabalho de campo em um único ponto no tempo. Ele entrevista funcionários-chave, seleciona amostras de evidências de controle e verifica se sua documentação reflete a realidade. Nesta etapa, ele confirma que os controles estão projetados corretamente.
4. Observação (meses 3–15)
Uma auditoria Tipo II adiciona uma janela de observação em que o auditor monitora seus controles continuamente. Durante esse período, serão examinados itens como:
- Registros de acesso: quem recebeu permissões, quando o acesso foi revogado e se contas privilegiadas foram revisadas periodicamente
- Registros de gestão de mudanças: como as implantações de código foram aprovadas e acompanhadas
- Tratamento de incidentes: se os eventos de segurança foram detectados, escalados e resolvidos de acordo com o processo documentado
- Backups e monitoramento: evidências de que os sistemas estão realmente sendo monitorados e restaurados conforme prometido
Ao final do período de observação, o auditor emite sua opinião sobre o quão bem os seus controles operaram ao longo de toda a janela analisada.
Renovações do SOC
Renovar o atestado SOC geralmente é mais rápido do que a primeira auditoria. Como o escopo, os controles e os limites do sistema já estão estabelecidos, o auditor parte de uma base conhecida em vez de começar do zero, e muitas renovações são mais baratas e mais rápidas do que a auditoria inicial. Os relatórios normalmente são válidos por 12 meses, então a maioria das empresas renova anualmente, muitas vezes iniciando o próximo período de observação logo após o término do atual para evitar qualquer lacuna na cobertura.
Quanto custa uma auditoria SOC?
É quase impossível determinar o custo de uma auditoria SOC sem obter um orçamento de um CPA, já que os valores podem variar de USD 5.000 a mais de USD 150.000. O custo depende de uma série de fatores, incluindo o tamanho da sua organização, a preparação da organização, quantos recursos você pode dedicar ao processo e qual tipo de auditoria você pretende fazer. As auditorias do Tipo I geralmente são mais baratas, porque levam menos tempo.
Como a Proton pode ajudar você a concluir as auditorias SOC
A Proton possui tanto a certificação ISO 27001 quanto o atestado SOC 2 Tipo II, o que pode facilitar a obtenção da própria acreditação por empresas que usam os produtos Proton. Ao usar um espaço de trabalho seguro e criptografado, você herda uma base de segurança comprovada que já atende às rigorosas auditorias por trás do SOC 2 Tipo II. Isso pode reduzir o esforço necessário para demonstrar conformidade e encurtar os prazos das auditorias.
Dicas para auditorias SOC
- Faça o máximo de trabalho de preparação possível antes do início da auditoria. A falta de preparação costuma atrasar o processo e aumentar os custos.
- Defina os limites do seu sistema antes do início do trabalho de campo. A ambiguidade sobre o que está de fato no escopo é uma das causas mais comuns de atrasos.
- Escolha a janela de observação do Tipo II com base em quem está pedindo o relatório, não apenas em quão rápido você quer recebê-lo. Uma janela de três meses gera um relatório mais cedo, mas muitos clientes esperam evidências equivalentes a seis meses ou um ano e podem contestar qualquer período menor.
- Defina desde cedo responsáveis claros por cada controle. Os maiores atrasos podem acontecer na busca pela pessoa certa dentro da empresa para obter evidências, aprovações ou entrevistas.
- Planeje as renovações e trate a coleta de evidências como um hábito contínuo, em vez de uma correria antes da auditoria. As organizações que incorporam o monitoramento contínuo às suas operações normais costumam ter renovações mais rápidas e mais baratas do que aquelas que tratam cada ciclo como um projeto pontual.
Perguntas frequentes sobre auditorias SOC 1 e SOC 2
O que são SOC 1 e SOC 2?
SOC 1 e SOC 2 são estruturas de auditoria desenvolvidas pela AICPA, mas têm propósitos diferentes. O SOC 1 se concentra nos controles internos sobre relatórios financeiros. Ele foi criado para empresas cujos serviços afetam as demonstrações financeiras de seus clientes, como processadoras de folha de pagamento ou administradoras de fundos. O SOC 2 se concentra em segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. Ele foi criado para provedores de tecnologia e de serviços em nuvem que lidam com dados de clientes.
É preciso ter o SOC 1 antes do SOC 2?
Não, as auditorias SOC não são sequenciais, são apenas diferentes, então você não precisa concluir um SOC 1 antes de fazer um SOC 2. O SOC 1 é destinado a empresas que realizam relatórios financeiros, enquanto o SOC 2 audita a segurança, a privacidade e a integridade de processamento de uma empresa.
Quanto tempo leva uma auditoria SOC 2?
Uma auditoria SOC 2 pode levar de três meses a mais de um ano para ser concluída, dependendo se você está buscando uma auditoria do Tipo I ou do Tipo II, do tamanho e da complexidade da sua organização e da preparação da sua equipe.
Quanto custa uma auditoria SOC 1 ou SOC 2?
Uma auditoria SOC pode custar entre USD 5.000 e USD 150.000, dependendo do tipo de auditoria, do tamanho da sua organização e da complexidade dos seus sistemas.
O SOC 2 é uma certificação?
Não. O SOC 2 não é uma certificação, é um atestado. Embora os termos sejam usados de forma intercambiável com as auditorias SOC 1 e 2, um atestado se parece mais com uma avaliação, enquanto uma certificação é aprovado/reprovado.
Com que frequência é preciso repetir um SOC 2?
Uma auditoria SOC não expira tecnicamente, desde que os sistemas permaneçam inalterados, mas o padrão do setor é renová-las a cada 6 a 12 meses. Muitas empresas configuram um processo de renovação anual, mas isso depende de você estar buscando uma auditoria do Tipo I ou do Tipo II e, se for Tipo II, de quanto tempo dura o período de observação.
É possível obter um SOC 3 sem um SOC 2?
Não. O SOC 3 deriva do mesmo processo de auditoria que o SOC 2. O SOC 3 é um complemento opcional de um SOC 2, não um processo separado.
