SOC 1, SOC 2, SOC 3: Entenda as diferenças e escolha a melhor certificação para sua empresa

A adequação às normas é um componente vital para o progresso de qualquer organização.

Imagine que você gerencia uma empresa de Software como Serviço (SaaS) e almeja clientes de porte médio. Nesse cenário, é imprescindível seguir as leis e regulamentos aplicáveis e manter um alto nível de segurança para sua empresa.

Muitas companhias tentam simplificar esses requisitos através do uso de questionários de segurança.

Portanto, quando um cliente ou potencial cliente solicita uma certificação SOC, você compreende a importância de estar em conformidade com os regulamentos.

A conformidade com o Controle de Organização de Serviços (SOC) refere-se a uma certificação onde uma organização passa por uma auditoria de terceiros, que verifica determinados controles que a mesma implementou. Essa conformidade também se aplica à cadeia de suprimentos e à segurança cibernética SOC.

Em abril de 2010, o Instituto Americano de Contadores Públicos Certificados (AICPA) anunciou a transição do SAS 70. O novo padrão de auditoria, mais aprimorado, é chamado de Declaração sobre Padrões para Atestados (SSAE 16).

Paralelamente à auditoria SSAE 16, outros três relatórios foram estabelecidos para avaliar os controles de uma organização de serviços. Esses são conhecidos como relatórios SOC, que englobam três tipos: SOC 1, SOC 2 e SOC 3, cada um com objetivos distintos.

Neste artigo, abordarei cada relatório SOC, suas aplicações e como eles se encaixam na segurança de TI.

Vamos começar!

O que exatamente é um relatório SOC?

Os relatórios SOC podem ser vistos como um diferencial competitivo que beneficia uma organização em termos financeiros e de tempo. Auditorias externas e independentes são usadas para verificar diversos aspectos de uma organização, incluindo:

• Disponibilidade
• Confidencialidade
• Privacidade
• Integridade do processamento
• Segurança
• Controles relacionados à segurança cibernética
• Controles relacionados a relatórios financeiros

Os relatórios SOC permitem que uma empresa se sinta segura de que potenciais provedores de serviços operam de forma ética e em conformidade. Embora as auditorias possam ser complexas, elas proporcionam segurança e confiança significativas. Os relatórios SOC ajudam a estabelecer a confiabilidade e credibilidade de um provedor de serviços.

Além disso, os relatórios SOC são valiosos para:

• Programas de gestão de fornecedores
• Supervisão da organização
• Supervisão regulatória
• Processo de gestão de riscos e governança corporativa interna

Por que um relatório SOC é essencial?

Diversas organizações de serviços, como empresas de data center, fornecedores de SaaS, prestadores de serviços de empréstimo e processadores de sinistros, precisam passar por uma avaliação SOC. Essas entidades necessitam armazenar dados financeiros ou informações confidenciais de seus clientes ou usuários.

Portanto, qualquer empresa que forneça serviços a outras empresas ou usuários pode precisar passar por uma avaliação SOC. Um relatório SOC não apenas informa seus clientes em potencial que sua empresa é legítima, mas também revela suas vulnerabilidades e fraquezas de seus controles ou de seus clientes por meio de processos de avaliação.

O que esperar de uma avaliação SOC?

Antes de iniciar o processo de avaliação SOC, é crucial determinar qual tipo de relatório é mais adequado para sua organização. Em seguida, inicia-se o processo formal com uma avaliação de preparação.

As organizações de serviços se preparam para a avaliação identificando possíveis riscos, lacunas, deficiências e outros problemas. Assim, a empresa pode analisar as opções disponíveis para corrigir essas falhas e fragilidades.

Quem pode realizar uma auditoria SOC?

As auditorias SOC são realizadas por contadores públicos certificados (CPAs) independentes ou firmas de contabilidade.

O AICPA estabelece padrões profissionais para regular o trabalho dos auditores SOC. Além disso, as organizações devem seguir certas diretrizes de execução, planejamento e supervisão.

Cada auditoria do AICPA passa por uma revisão por pares. As organizações ou empresas de CPA também contratam profissionais não-CPA com habilidades em tecnologia da informação e segurança para se preparar para uma auditoria SOC. No entanto, o relatório final deve ser verificado e divulgado pelo CPA.

Vamos analisar cada relatório separadamente para compreender seu funcionamento.

O que é SOC 1?

O principal objetivo do SOC 1 é verificar os controles internos relevantes para a auditoria das demonstrações financeiras da entidade usuária, abordando os objetivos e áreas de processo dentro da documentação do SOC 1.

Simplificando, ele avalia como os serviços de uma organização afetam os relatórios financeiros de uma entidade usuária.

O que é um relatório SOC 1?

Um relatório SOC 1 avalia o controle da organização de serviços sobre os relatórios financeiros da entidade usuária. Ele é projetado para atender às necessidades das entidades usuárias. Nele, os contadores avaliam a eficácia dos controles internos da organização de serviços.

Existem dois tipos de relatórios SOC 1:

• SOC 1 Tipo 1: Este relatório foca no sistema de uma organização de serviços e verifica a adequação dos controles do sistema para atingir os objetivos de controle, juntamente com a descrição em uma data específica.

Os relatórios SOC 1 Tipo 1 são restritos a auditores, gestores e entidades usuárias, que geralmente são os provedores de serviços de uma organização de serviços. Um auditor de serviços determina se o relatório abrange todos os requisitos do SSAE 16.

• SOC 1 Tipo 2: Este relatório tem opiniões e análises semelhantes ao relatório SOC 1 Tipo 1, mas inclui análises sobre a eficácia dos controles estabelecidos para atingir todos os objetivos de controle durante um período específico.

Em um relatório SOC 1 Tipo 2, os objetivos de controle abordam riscos potenciais que o controle interno busca mitigar. O escopo inclui áreas de controle relevantes e oferece uma garantia razoável. Também indica que há um limite para realizar apenas ações autorizadas e apropriadas.

Qual é o objetivo do SOC 1?

Conforme já mencionado, o SOC 1 é a primeira parte da série Controle de Organização de Serviços e aborda os controles internos em relatórios financeiros. Ele é aplicável a empresas que interagem diretamente com dados financeiros de parceiros e clientes.

Assim, ele garante a interação de uma organização, armazenando e transmitindo as demonstrações financeiras dos usuários. O relatório SOC 1 auxilia investidores, clientes, auditores e a administração a avaliar os controles internos sobre os relatórios financeiros, seguindo as diretrizes do AICPA.

Como manter a conformidade com o SOC 1?

A conformidade com o SOC 1 define o processo de gestão de todos os controles SOC 1 incluídos no relatório SOC 1 durante um período determinado. Ela garante o funcionamento eficaz das regras do SOC 1.

Os controles são geralmente de TI, processos de negócios, etc., utilizados para fornecer uma garantia razoável com base nos objetivos de controle.

O que é SOC 2?

O SOC 2, desenvolvido pelo AICPA, estabelece os critérios para controlar ou gerenciar informações de clientes com base em 5 princípios para fornecer serviços confiáveis. Esses princípios são:

• Disponibilidade: Inclui recuperação de desastres, tratamento de incidentes de segurança e monitoramento de desempenho.
• Privacidade: Inclui criptografia, autenticação de dois fatores (2FA) e controle de acesso.
• Segurança: Inclui detecção de intrusão, autenticação de dois fatores e firewalls de rede ou de aplicativos.
• Confidencialidade: Inclui controles de acesso, criptografia e firewalls de aplicativos.
• Integridade de processamento: Inclui monitoramento de processamento e garantia de qualidade.

O SOC 2 é único para cada organização devido a seus requisitos específicos, ao contrário do PCI DSS. Cada design possui controles para cumprir diversos princípios de confiança, levando em conta práticas de negócios específicas.

O que é um relatório SOC 2?

Um relatório SOC 2 permite que as organizações de serviços recebam e compartilhem um relatório com as partes interessadas, detalhando os controles de TI implementados para garantir a segurança.

Existem dois tipos de relatórios SOC 2:

• SOC 2 Tipo 1: Descreve os sistemas do fornecedor e avalia se o design do fornecedor é adequado para atender aos princípios de confiança.
• SOC 2 Tipo 2: Compartilha detalhes da eficácia operacional dos sistemas do fornecedor.

O SOC 2 varia de organização para organização em relação a estruturas e padrões de segurança da informação, pois não há requisitos definidos. O AICPA fornece critérios que uma organização de serviços pode selecionar para demonstrar seus controles para proteger os serviços oferecidos.

Qual é o objetivo do SOC 2?

A conformidade com o SOC 2 indica que uma organização controla e mantém um alto nível de segurança da informação. A adesão estrita a este padrão permite que as organizações assegurem que suas informações críticas estão protegidas.

Ao cumprir o SOC 2, você obtém:

• Práticas de segurança de dados aprimoradas, protegendo a organização contra ataques cibernéticos e violações de segurança.
• Vantagem competitiva, pois os clientes preferem trabalhar com provedores de serviços que possuem práticas robustas de segurança de dados, especialmente para serviços de nuvem e TI.

Ele restringe o uso não autorizado dos dados e ativos que uma organização manipula. Os princípios de segurança exigem que as organizações adicionem controles de acesso para proteger os dados contra ataques maliciosos, uso indevido, divulgação não autorizada ou alteração de informações da empresa e exclusão não autorizada de dados.

Como manter a conformidade com o SOC 2?

A conformidade com o SOC 2 é um padrão voluntário desenvolvido pelo AICPA que especifica como uma organização gerencia as informações de seus clientes. O padrão é descrito por meio de cinco Critérios de Serviços de Confiança: segurança, integridade de processamento, confidencialidade, privacidade e disponibilidade.

A conformidade com o SOC é adaptada às necessidades de cada organização. Dependendo de suas práticas de negócios, uma organização pode escolher controles de design que seguem um ou mais Princípios de Serviço de Confiança. Isso abrange todos os serviços, incluindo proteção contra DDoS, balanceamento de carga, análise de ataque, segurança de aplicativos da web, entrega de conteúdo via CDN e outros.

Em termos simples, a conformidade com SOC 2 não é uma lista descritiva de ferramentas, processos ou controles; em vez disso, ele destaca a necessidade de critérios essenciais para manter a segurança da informação. Isso permite que cada organização adote os melhores processos e práticas relevantes para suas operações e objetivos.

Abaixo, está uma lista de verificação de conformidade básica do SOC 2:

• Controles de acesso
• Operações do sistema
• Mitigação de risco
• Gestão de mudanças

O que é SOC 3?

O SOC 3 é um procedimento de auditoria que o AICPA desenvolve para avaliar a eficácia do controle interno de uma organização de serviços sobre data centers e segurança na nuvem. A estrutura do SOC 3 também se baseia nos Critérios de Serviços de Confiança, que incluem:

• Segurança: Os sistemas e informações são protegidos contra divulgação, acesso não autorizado e danos.
• Integridade do Processo: O processamento do sistema é válido, preciso, autorizado, oportuno e completo para atender às necessidades da entidade.
• Disponibilidade: Sistemas e informações estão disponíveis para uso e operação para atender às necessidades da entidade.
• Privacidade: As informações pessoais são usadas, divulgadas, descartadas, retidas e coletadas de acordo com as necessidades da entidade.
• Confidencialidade: As informações críticas são protegidas para atender aos requisitos da entidade.

Com o auxílio do SOC 3, as organizações de serviços identificam quais desses critérios de Serviços de Confiança se aplicam aos serviços que oferecem aos clientes. Informações adicionais sobre relatórios, requisitos de desempenho e orientações de aplicação podem ser encontradas nas Declarações sobre Padrões.

O que é um relatório SOC 3?

Os relatórios SOC 3 contêm as mesmas informações que o SOC 2, mas diferem em relação ao público-alvo. Um relatório SOC 3 destina-se ao público em geral. Esses relatórios são concisos e não incluem precisamente os mesmos dados de um relatório SOC 2. Eles são elaborados para partes interessadas e públicos informados.

Como um relatório SOC 3 é mais geral, ele pode ser compartilhado de forma rápida e aberta no site da empresa, juntamente com um selo que indica a sua conformidade. Isso auxilia a manter o ritmo com as normas internacionais de contabilidade.

Por exemplo, a AWS permite downloads públicos do relatório SOC 3.

Qual é o objetivo do SOC 3?

Empresas, especialmente pequenas ou startups, geralmente não dispõem de recursos suficientes para controlar ou manter certos serviços essenciais internamente. Portanto, essas empresas costumam terceirizar serviços em vez de investir tempo ou dinheiro extra na criação de um novo departamento para esses serviços.

Embora a terceirização seja uma alternativa mais econômica, ela também pode apresentar riscos. Isso porque uma organização compartilha dados de clientes ou informações confidenciais com fornecedores terceirizados, dependendo dos serviços que a organização escolhe terceirizar.

No entanto, as organizações devem trabalhar apenas com fornecedores que demonstrem conformidade com o SOC 3.

A conformidade com o SOC 3 baseia-se na Seção 205 da AT-C e na Seção 105 da AT-C do SSAE 18. Inclui as informações básicas da descrição da administração independente e o relatório do auditor. Ela se aplica a todos os provedores de serviços que armazenam informações de clientes na nuvem, incluindo provedores de PaaS, IaaS e SaaS.

Como manter a conformidade com o SOC 3?

O SOC 3 é uma extensão do SOC 2, portanto, o procedimento de auditoria é semelhante. Os auditores de serviço verificam as seguintes políticas e controles:

Após a conclusão da auditoria, o auditor gera um relatório com base nas constatações. No entanto, um relatório SOC 3 é menos detalhado, pois compartilha apenas informações necessárias para o público. A organização de serviços divulga os resultados após concluir a auditoria final para fins de marketing. Ele aponta os pontos focais para a aprovação da auditoria. Assim, é aconselhável que a organização de serviços:

• Selecione cuidadosamente os controles.
• Realize uma avaliação para identificar lacunas nos controles.
• Analise a atividade regular.
• Descreva as próximas etapas para alertas de incidentes.
• Contrate um auditor de serviço qualificado para realizar a avaliação final.

Agora que você tem uma visão geral de cada tipo de conformidade, vamos entender as diferenças entre os três para descobrir como eles ajudam cada empresa a se destacar no mercado.

SOC 1 vs SOC 2 vs SOC 3: Diferenças

A tabela a seguir descreve os objetivos e benefícios de cada relatório SOC.

	SOC 1	SOC 2	SOC 3
Objetivos	Avalia o design do tipo 1 e a operação do tipo 2, incluindo procedimentos de teste e resultados.	Um produto único para satisfazer as demandas dos parceiros sobre as operações da organização, incluindo resultados e procedimentos.	Semelhante ao SOC 2, mas contém menos informações. Não inclui procedimentos de teste, resultados ou controles.
Controles	Controla os requisitos essenciais para os controles internos sobre os relatórios financeiros.	Avalia controles não financeiros com base em cinco Princípios de Confiança essenciais.	Também depende dos cinco Critérios de Serviços de Confiança.
Distribuição	Distribuição limitada a clientes e auditores.	Distribuição limitada a reguladores, clientes e auditores definidos no relatório.	Auxilia no marketing para clientes. Distribuição irrestrita.
Transparência	Mantém a transparência na descrição, controle, procedimento e resultado do sistema.	Fornece um nível de transparência semelhante ao SOC 1.	Distribuição geral dos relatórios para benefícios de marketing.
Foco	Concentra-se nos controles financeiros.	Concentra-se nos controles operacionais.	Similar ao SOC 2, mas com menos informações.
Descrição	Descreve os sistemas da organização provedora de serviços.	Também descreve os sistemas da organização provedora de serviços.	Descreve a opinião do CPA sobre a adequação dos controles da entidade sobre o sistema.
Relatório	Reporta controles internos.	Reporta controles de disponibilidade, privacidade, confidencialidade, integridade de processamento e segurança.	Semelhante ao SOC 2.
Uso	SOC 1 é usado por usuários do escritório do controlador e do auditor do usuário.	É compartilhado sob acordo de confidencialidade por reguladores, gestão e outros.	Disponível ao público.
Público	A maioria dos auditores “precisa saber”.	A maioria das partes interessadas e clientes “precisa saber”.	Público em geral.
Exemplo	Processadores de sinistros médicos.	Empresa de armazenamento em nuvem.	Empresa de capital aberto.

Conclusão

A escolha da conformidade SOC mais adequada para sua organização requer que você avalie o tipo de informação com o qual está lidando, seja ela de seus clientes ou da sua própria empresa.

Se você oferece serviços de processamento de folha de pagamento, o SOC 1 pode ser a melhor opção. Se você processa ou hospeda dados de clientes, um relatório SOC 2 pode ser necessário. Da mesma forma, se você busca uma conformidade menos formal, o que é mais adequado para fins de marketing, um relatório SOC 3 pode ser a escolha ideal.