A conformidade com a SOC pode ser complicada e morosa para as organizações. Se está atualmente a analisar o tema, compilámos um guia extenso para ajudar a compreender os aspetos essenciais. Neste guia explicamos a diferença entre a SOC 1 e a SOC 2, porque pode precisar de uma em vez da outra, como funcionam as auditorias SOC e se vale a pena considerar a SOC 3.
Qual é a diferença entre os relatórios SOC de tipo I e de tipo II?
O que é a SOC 1, quem precisa dela e porquê?
O que é a SOC 2, quem precisa dela e porquê?
O que é a SOC 3, quem precisa dela e porquê?
Que empresas precisam de vários relatórios SOC?
Como funcionam as auditorias SOC? Prazos, custos e recursos
Quanto custa uma auditoria SOC?
Como a Proton pode ajudar a concluir auditorias SOC
SOC 1 vs SOC 2 vs SOC 3
Os relatórios SOC podem parecer níveis do mesmo tipo de relatório, mas não são. Na verdade, são três relatórios diferentes criados para três públicos diferentes. Por isso, ao compará-los, não se trata de saber qual é melhor, mas qual se adequa melhor às suas necessidades.
- SOC 1 destina-se a empresas cujos serviços estão ligados ao relato financeiro de um cliente, como processadores de salários, administradores de sinistros ou administradores de fundos.
- SOC 2 destina-se a empresas que tratam dados de clientes, como fornecedores de SaaS, de nuvem e de tecnologia.
- SOC 3 é um resumo público de um relatório SOC 2. Utiliza os mesmos critérios subjacentes, mas sem os detalhes técnicos sensíveis, pelo que pode ser partilhado livremente.
Porque razão fazer uma auditoria SOC?
Os clientes precisam de provas de que a sua empresa é de confiança para tratar os seus dados, mas auditar cada fornecedor individualmente pode ser lento e dispendioso para todos os envolvidos. Os clientes da sua organização são o público-alvo do relatório.
Desenvolvida pelo American Institute of CPAs (AICPA), uma auditoria SOC permite a uma empresa passar por esse processo uma vez com uma empresa de contabilidade independente e depois entregar o relatório resultante a um potencial cliente, em vez de preencher um novo questionário de segurança para cada oportunidade. Em setores regulados ou atentos à segurança, como as finanças e a saúde, um relatório SOC determina muitas vezes se a sua empresa chega sequer à lista final de fornecedores.
Uma auditoria SOC também leva as empresas a implementar controlos de segurança reais, como a gestão de acessos, a monitorização e a resposta a incidentes, ao longo do processo. Assim, embora o relatório exista para satisfazer as equipas de compras dos clientes, o processo que lhe está subjacente reforça as suas práticas de segurança, independentemente de quem lê o relatório. Como os relatórios SOC revelam informações detalhadas sobre os processos e a infraestrutura da empresa, esta exige geralmente que os clientes assinem um NDA antes de o relatório poder ser partilhado.
Tabela comparativa: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Foco | Controlos internos sobre o relato financeiro | Segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade | Os mesmos critérios que a SOC 2, mas resumidos |
| Norma aplicável | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Público típico | Auditores, reguladores e as equipas de finanças/contabilidade do cliente | As equipas de segurança, TI e compras dos clientes | Público em geral / potenciais clientes |
| Distribuição do relatório | Restrito: partilhado ao abrigo de um NDA com partes interessadas específicas | Restrito: partilhado ao abrigo de um NDA com partes interessadas específicas | Público: pode ser publicado ou partilhado livremente |
| Exemplos de empresas | Fornecedores de processamento salarial, processadores de sinistros, administradores de fundos | Plataformas SaaS, fornecedores de nuvem, centros de dados | Empresas que têm uma SOC 2 e querem uma versão partilhável |
| Tipos de relatório disponíveis | Tipo I e tipo II | Tipo I e tipo II | Não aplicável |
Qual é a diferença entre os relatórios SOC de tipo I e de tipo II?
Há dois tipos de relatórios disponíveis para as auditorias SOC 1 e SOC 2, e é aqui que as comparações se tornam mais úteis.
- Uma auditoria de tipo I examina a documentação, as políticas e os desenhos de sistema que uma empresa implementou e avalia se esses controlos estão adequadamente concebidos para proteger os dados. Não testa se as salvaguardas funcionam efetivamente ao longo do tempo, apenas confirma que existem e parecem corretas.
- Uma auditoria de tipo II analisa documentação, políticas e conceção de sistemas e, em seguida, monitoriza o seu funcionamento de forma contínua durante um período de 3 a 12 meses. O auditor verifica que os controlos não só estão bem concebidos como são efetivamente seguidos; que a empresa mantém registos, faz cópias de segurança, monitoriza acessos e trata os incidentes conforme prometido.
Os clientes e parceiros costumam confiar mais numa auditoria de tipo II porque esta demonstra um desempenho de segurança contínuo e real. Ao contrário do SOC 1 e do SOC 2, que apenas servem públicos diferentes, uma auditoria de tipo II pode ser considerada mais forte do que uma de tipo I.
O que é o SOC 1, quem precisa dele e porquê?
O SOC 1 é um quadro de conformidade e auditoria destinado a empresas cujos serviços afetam o relato financeiro dos seus clientes. O SOC 1 satisfaz as necessidades dos auditores externos dos clientes e garante que os controlos de uma organização de serviços não irão introduzir erros nos livros dos seus clientes.
Que tipos de empresas beneficiam da atestação SOC 1?
O SOC 1 é a atestação de eleição para empresas que tratam transações financeiras ou dados em nome de terceiros. Isto inclui processadores de salários, processadores de pagamentos, administradores de fundos, processadores de sinistros e plataformas de gestão de empréstimos. Um SOC 1 pode abrir caminho a novos contratos com clientes maiores, reduzir a fricção durante as auditorias anuais e reforçar a reputação de uma empresa em processos financeiros fiáveis e bem controlados, o que determina frequentemente se a sua empresa é sequer considerada para trabalho financeiramente sensível.
O que é o SOC 2, quem precisa dele e porquê?
O SOC 2 é um quadro de conformidade e auditoria destinado a empresas que tratam dados de clientes. Uma auditoria SOC 2 produz um relatório que documenta até que ponto os controlos de uma empresa resistem aos Critérios de Serviços de Confiança da AICPA, abrangendo segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade, juntamente com a opinião de um auditor independente sobre se esses controlos estão devidamente concebidos. O SOC 2 é uma atestação necessária para empresas que precisam de provar a eficácia dos seus controlos de segurança a clientes e parceiros dos EUA.
Que tipos de empresas beneficiam da atestação SOC 2?
As empresas que prestam serviços com suporte tecnológico são as que mais beneficiam da certificação SOC 2. Isto inclui software como serviço (SaaS), infraestrutura na nuvem, plataformas de análise de dados, soluções fintech e aplicações de tecnologia de saúde. Com os incidentes de dados a tornarem-se a norma, os clientes precisam de garantias de que uma empresa consegue proteger os dados e os sistemas que lhes confiam. Um SOC 2 proporciona isso, o que pode depois abrir caminho a novos contratos com grandes empresas, simplificar as avaliações de risco de fornecedores e reforçar a reputação de uma empresa em matéria de proteção de dados sólida.
Leia sobre a auditoria SOC 2 de tipo II da Proton
O que é o SOC 3, quem precisa dele e porquê?
Um SOC 3 deriva do mesmo processo de auditoria que um SOC 2, mas serve apenas um propósito diferente. O relatório SOC 3 é um resumo de alto nível da mesma informação, sem a informação detalhada e específica que exige um acordo de confidencialidade (NDA), pelo que é frequentemente utilizado como um resumo do relatório SOC 2 dirigido ao público.
Que tipos de empresas beneficiam da atestação SOC 3?
Não é possível obter um SOC 3 sem passar pelo processo de auditoria SOC 2, mas as empresas que já estão a ser avaliadas para um SOC 2 e querem usar essa informação em campanhas de marketing ou apresentações de vendas podem beneficiar de obter um relatório SOC 3.
Que empresas precisam de vários relatórios SOC?
Escolher entre o SOC 1 e o SOC 2 é muitas vezes uma questão de escolher qual o relatório que se adequa às necessidades dos seus clientes. No entanto, algumas empresas precisam mesmo de mais do que um relatório SOC. Por exemplo, uma empresa fintech que processa pagamentos e armazena dados sensíveis de clientes pode precisar tanto de um SOC 1, porque afeta o relato financeiro dos clientes, como de um SOC 2, porque trata dados de clientes.
| Combinação de auditorias SOC | Tipo de empresa |
| SOC 1 + SOC 2 | Empresas que tratam tanto do relato financeiro como de dados significativos de clientes |
| SOC 1 + SOC 3 | Não aplicável — não é possível obter um SOC 3 sem um SOC 2 |
| SOC 2 + SOC 3 | Empresas que tratam dados significativos de clientes e querem demonstrar a sua atestação SOC 2 em conteúdos dirigidos ao público |
| SOC 1 + SOC 2 + SOC 3 | Empresas que tratam tanto do relato financeiro como de dados significativos de clientes e querem demonstrar a sua atestação SOC 2 em conteúdos dirigidos ao público |
Como funcionam as auditorias SOC? Prazos, fases da auditoria e renovações
Há uma série de variáveis que influenciam o custo e o tempo que uma auditoria SOC exige. Eis alguns dos fatores a ter em conta se está a planear a conformidade com o SOC 1 ou o SOC 2.
Cronologia do SOC
| SOC | Duração |
| SOC 1 de tipo I | ~ 2–4 meses |
| SOC 1 de tipo II | ~ 6–12 meses no total, com uma janela de observação habitualmente de 6–12 meses |
| SOC 2 de tipo I | ~ 3–6 meses no total |
| SOC 2 de tipo II | ~ 6–15 meses no total, com uma janela de observação habitualmente de 3–12 meses |
Fases da auditoria SOC
Uma auditoria SOC inclui várias fases que se desenrolam ao longo de semanas ou meses. Eis como se apresenta cada etapa:
1. Preparação: semanas 1–4
Antes de começar qualquer teste, identifica que sistemas estão dentro do âmbito e confirma quais dos Critérios de Serviços de Confiança da AICPA se aplicam. Para o SOC 2, isso significa habitualmente a segurança como critério obrigatório, além de qualquer combinação de disponibilidade, integridade do processamento, confidencialidade e privacidade, com base nas necessidades dos clientes. Deve também inventariar os controlos que já tem em vigor, como políticas de acesso, normas de encriptação, procedimentos de cópia de segurança e planos de resposta a incidentes. O objetivo aqui é evitar surpresas mais tarde.
2. Documentação: semanas 4–8
Compila provas de que os seus controlos existem e estão devidamente concebidos. Isto inclui políticas escritas, diagramas da arquitetura do sistema, matrizes de acesso baseadas em funções, avaliações de risco de fornecedores e registos de formação. O auditor irá analisar estes materiais para garantir que abrangem todos os requisitos relevantes e estão alinhados com o que os clientes razoavelmente esperariam.
3. Auditoria: semanas 8–12
Para um relatório de tipo I, o auditor realiza trabalho de campo num único momento. Entrevista os colaboradores essenciais, recolhe amostras de provas dos controlos e verifica se a sua documentação reflete a realidade. Nesta fase, confirma que os controlos estão concebidos corretamente.
4. Observação: meses 3–15
Um tipo II acrescenta uma janela de observação na qual o auditor monitoriza os seus controlos de forma contínua. Durante este período, irá analisar, entre outras coisas:
- Registos de acesso: quem obteve permissões, quando o acesso foi revogado e se as contas privilegiadas foram revistas periodicamente
- Registos de gestão de alterações: como as implementações de código foram aprovadas e acompanhadas
- Tratamento de incidentes: se os eventos de segurança foram detetados, escalados e resolvidos de acordo com o processo documentado
- Cópias de segurança e monitorização: provas de que os sistemas estão efetivamente a ser monitorizados e restaurados conforme prometido
No final do período de observação, o auditor emite o seu parecer sobre o desempenho dos controlos ao longo de todo o período.
Renovações do SOC
A renovação da atestação SOC é geralmente mais rápida do que a primeira auditoria. Como o âmbito, os controlos e os limites do sistema já estão definidos, o auditor parte de uma base conhecida em vez de começar do zero, e muitas renovações são mais baratas e mais rápidas do que a auditoria inicial. Os relatórios são normalmente válidos durante 12 meses, pelo que a maioria das empresas renova anualmente, iniciando frequentemente o período de observação seguinte logo após o fim do atual, para evitar qualquer lacuna de cobertura.
Quanto custa uma auditoria SOC?
É quase impossível determinar o custo de uma auditoria SOC sem obter um orçamento de um CPA, uma vez que os valores podem variar entre 5000 USD e mais de 150 000 USD. O custo depende de vários fatores, incluindo a dimensão da organização, a preparação da organização, os recursos que pode dedicar ao processo e o tipo de auditoria que pretende. As auditorias de Tipo I são geralmente menos dispendiosas, porque demoram menos tempo.
Como a Proton pode ajudar a concluir auditorias SOC
A Proton detém a certificação ISO 27001 e a atestação SOC 2 Tipo II, o que pode facilitar a obtenção de uma acreditação própria por parte das empresas que utilizam produtos Proton. Ao utilizar um espaço de trabalho seguro e encriptado, herda uma base de segurança comprovada que já cumpre os rigorosos requisitos das auditorias subjacentes à SOC 2 Tipo II. Isto pode reduzir o esforço necessário para demonstrar conformidade e encurtar os prazos das auditorias.
Dicas para auditorias SOC
- Faça o máximo de trabalho preparatório possível antes do início da auditoria. A falta de preparação pode atrasar o processo e aumentar os custos.
- Defina os limites do sistema antes do início do trabalho de campo. A ambiguidade sobre o que está efetivamente no âmbito é uma das causas mais comuns de atrasos.
- Escolha o período de observação do Tipo II com base em quem pede o relatório, e não apenas na rapidez com que o quer. Um período de três meses permite obter um relatório mais cedo, mas muitos clientes esperam seis meses a um ano de provas e podem contestar qualquer período inferior.
- Atribua responsáveis claros pelos controlos desde o início. Os maiores atrasos podem ocorrer quando se procura internamente a pessoa certa para obter provas, aprovações ou entrevistas.
- Planeie as renovações e encare a recolha de provas como um hábito contínuo, em vez de uma correria antes da auditoria. As organizações que integram a monitorização contínua nas suas operações normais têm muitas vezes renovações mais rápidas e mais baratas do que as que tratam cada ciclo como um projeto pontual.
Perguntas frequentes sobre auditorias SOC 1 e SOC 2
O que são o SOC 1 e o SOC 2?
O SOC 1 e o SOC 2 são ambos quadros de auditoria desenvolvidos pela AICPA, mas têm objetivos diferentes. O SOC 1 centra-se nos controlos internos sobre o relato financeiro. Destina-se a empresas cujos serviços afetam as demonstrações financeiras dos clientes, como processadores de salários ou administradores de fundos. O SOC 2 centra-se na segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Destina-se a fornecedores de tecnologia e de serviços na nuvem que processam dados de clientes.
É preciso ter o SOC 1 antes do SOC 2?
Não, as auditorias SOC não são sequenciais, são apenas diferentes, por isso não é necessário concluir um SOC 1 antes de fazer um SOC 2. O SOC 1 destina-se a empresas que realizam relato financeiro, enquanto o SOC 2 audita a segurança, a privacidade e a integridade do processamento de uma empresa.
Quanto tempo demora uma auditoria SOC 2?
Uma auditoria SOC 2 pode demorar entre três meses e mais de um ano, consoante se trate de uma auditoria de Tipo I ou de Tipo II, a dimensão e a complexidade da organização e a preparação da equipa.
Quanto custa uma auditoria SOC 1 ou SOC 2?
Uma auditoria SOC pode custar entre 5000 USD e 150 000 USD, consoante o tipo de auditoria, a dimensão da organização e a complexidade dos sistemas.
O SOC 2 é uma certificação?
Não, o SOC 2 não é uma certificação, é uma atestação. Embora os termos sejam usados de forma intercambiável com as auditorias SOC 1 e SOC 2, uma atestação assemelha-se mais a uma classificação, enquanto uma certificação é de aprovação ou reprovação.
Com que frequência é necessário repetir um SOC 2?
Tecnicamente, uma auditoria SOC não expira, desde que os sistemas se mantenham inalterados, mas a norma do setor é renová-la a cada 6 a 12 meses. Muitas empresas criam um processo de renovação anual, mas isso depende de se tratar de uma auditoria de Tipo I ou de Tipo II e, no caso do Tipo II, da duração do período de observação.
É possível obter um SOC 3 sem um SOC 2?
Não, o SOC 3 deriva do mesmo processo de auditoria que o SOC 2. O SOC 3 é um complemento opcional de um SOC 2, não um processo separado.
