Frameworks – SOC 2: o que a plataforma cobre
O SOC 2 é diferente de todas as outras normas do catálogo em um ponto que muda tudo: ele não é um certificado, é um relatório.
Não existe “empresa certificada em SOC 2”. Existe uma empresa que passou por um trabalho de auditoria independente e recebeu um relatório descrevendo os seus controles e a opinião do auditor sobre eles.
Por que essa diferença importa
Porque ela define o caminho. Em uma certificação você trabalha para atender uma norma e depois busca um organismo. No SOC 2, o auditor é parte do processo desde o começo: é ele quem define o escopo, os critérios aplicáveis e o período de observação.
Consequência prática: contratar o auditor é uma das primeiras coisas a fazer, não a última.
Para quem serve
É o padrão dominante no mercado norte-americano de software e serviços em nuvem. Os sinais:
- Clientes nos Estados Unidos pedem o relatório antes de fechar contrato.
- Um processo de venda travou pedindo “o SOC 2”.
- A empresa vende software como serviço para outras empresas.
Se os seus clientes são europeus ou brasileiros, é mais provável que peçam ISO 27001. Se são americanos, é mais provável que peçam SOC 2. Muitas empresas acabam fazendo os dois.
Tipo 1 e Tipo 2
Uma distinção que aparece em toda negociação:
| O que o relatório diz | |
|---|---|
| Tipo 1 | Os controles estão desenhados adequadamente, em uma data específica |
| Tipo 2 | Os controles funcionaram ao longo de um período, normalmente de vários meses |
O mercado quer Tipo 2. O Tipo 1 serve como passo intermediário, quando há pressa e ainda não há histórico suficiente.
A diferença explica por que o SOC 2 exige paciência: o Tipo 2 depende de um período de observação, e evidência não se produz retroativamente.
Os critérios
O SOC 2 se organiza em critérios de confiança. Um deles é obrigatório e trata de segurança; os demais são opcionais e tratam de disponibilidade, integridade de processamento, confidencialidade e privacidade.
Você não precisa incluir todos. A escolha é uma decisão de escopo, feita com o auditor, e cada critério adicional significa mais controles e mais evidência.
A recomendação prática: comece pelo obrigatório, e adicione os demais apenas quando um cliente pedir por escrito.
A ligação com o módulo Auditoria
Como o auditor participa do processo, a plataforma tem um módulo para isso. Em Auditorias você abre o engajamento, convida o auditor, acompanha as fases e responde aos pedidos de informação dele.
O auditor externo não entra como usuário comum da sua conta: ele acessa um console próprio, com escopo limitado ao que foi combinado. Os tutoriais da categoria Auditoria cobrem esse fluxo.
O que é comprovado automaticamente e o que não é
| Área | Como costuma ser comprovada |
|---|---|
| Acesso, autenticação, privilégio mínimo | Integrações |
| Configuração de nuvem, backup, registro de logs | Integrações |
| Desenvolvimento e mudança de software | Integração com o repositório |
| Políticas e procedimentos | Documentos publicados e vinculados |
| Treinamento, contratação e desligamento | Evidência enviada |
| Gestão de fornecedores | Módulo de Fornecedores |
| Resposta a incidentes | Registro de incidentes, com histórico |
O ponto de atenção é a consistência ao longo do período. Em um Tipo 2 o auditor testa amostras ao longo dos meses. Um controle que funcionou em janeiro e parou em março aparece no relatório.
Por onde começar
- Converse com um auditor antes de trabalhar. Escopo, critérios e período saem dessa conversa.
- Conecte as integrações. Elas produzem a evidência contínua que um Tipo 2 exige.
- Publique as políticas e vincule aos controles.
- Registre os processos que envolvem pessoas: contratação, desligamento, treinamento, revisão de acessos. É onde a evidência manual se concentra.
- Deixe o período correr, mantendo tudo funcionando. Essa é a parte que não se acelera.
O que costuma dar ressalva
- Controle que funciona só perto da auditoria. O período de observação existe justamente para pegar isso.
- Processo de desligamento sem registro. Acesso de ex-funcionário é um dos achados mais comuns.
- Revisão de acessos sem evidência de que aconteceu.
- Escopo ampliado no meio do caminho, adicionando critérios sem tempo de produzir histórico.
⚠️ Esta página descreve, em linguagem própria, o propósito e a estrutura geral do padrão. Ela não reproduz textos normativos. Para o conteúdo oficial, consulte as publicações do organismo responsável.
Este artigo foi útil?