Soc2 Compliance

SOC 2 Compliance

Preparação para conformidade SOC 2 Tipo I e Tipo II para empresas SaaS. Cobre mapeamento dos Critérios de Serviço de Confiança, geração de matriz de controles, coleta de evidências, análise de lacunas e avaliação de prontidão para auditoria.

Sumário

• Visão Geral
• Critérios de Serviço de Confiança
• Geração de Matriz de Controles
• Fluxo de Trabalho de Análise de Lacunas
• Coleta de Evidências
• Lista de Verificação de Prontidão para Auditoria
• Gestão de Fornecedores
• Conformidade Contínua
• Anti-Padrões
• Ferramentas
• Referências
• Referências Cruzadas

Visão Geral

O que é SOC 2?

SOC 2 (System and Organization Controls 2) é um framework de auditoria desenvolvido pelo AICPA que avalia como uma organização de serviços gerencia os dados de clientes. Aplica-se a qualquer empresa de tecnologia que armazena, processa ou transmite informações de clientes — principalmente SaaS, infraestrutura em nuvem e provedores de serviços gerenciados.

Tipo I vs Tipo II

Quem Precisa de SOC 2?

• Empresas SaaS vendendo para clientes enterprise
• Provedores de infraestrutura em nuvem gerenciando cargas de trabalho de clientes
• Processadores de dados gerenciando PII, PHI ou dados financeiros
• Provedores de serviços gerenciados com acesso a sistemas de clientes
• Qualquer fornecedor cujos clientes exijam asseguração de terceiros

Jornada Típica

Avaliação de Lacunas → Remediação → Auditoria Tipo I → Período de Observação → Auditoria Tipo II → Renovação Anual
    (4-8 sem)          (8-16 sem)     (4-6 sem)          (6-12 meses)            (4-6 sem)          (contínuo)

Critérios de Serviço de Confiança

O SOC 2 é organizado em torno de cinco categorias de Critérios de Serviço de Confiança (TSC). Segurança é obrigatória para todo relatório SOC 2; as outras quatro são opcionais e selecionadas com base na necessidade do negócio.

Segurança (Critérios Comuns CC1-CC9) — Obrigatório

A base de todo relatório SOC 2. Mapeia para os princípios COSO 2013.

Disponibilidade (A1) — Opcional

Selecionar quando: Clientes dependem da sua disponibilidade; você tem SLAs; indisponibilidade causa impacto direto no negócio.

Confidencialidade (C1) — Opcional

Selecionar quando: Você trata segredos comerciais, dados proprietários ou informações contratualmente confidenciais.

Integridade do Processamento (PI1) — Opcional

Selecionar quando: A precisão dos dados é crítica (processamento financeiro, registros de saúde, plataformas de analytics).

Privacidade (P1-P8) — Opcional

Selecionar quando: Você processa PII e os clientes esperam garantia de privacidade (complementa a conformidade LGPD/GDPR).

Geração de Matriz de Controles

Uma matriz de controles mapeia cada critério TSC para controles específicos, responsáveis, evidências e procedimentos de teste.

Estrutura da Matriz

Convenção de Nomenclatura de Controles

{CATEGORIA}-{NÚMERO}
SEC-001 até SEC-NNN  → Segurança
AVL-001 até AVL-NNN  → Disponibilidade
CON-001 até CON-NNN  → Confidencialidade
PRI-001 até PRI-NNN  → Integridade do Processamento
PRV-001 até PRV-NNN  → Privacidade

Fluxo de Trabalho

1. Selecionar categorias TSC aplicáveis com base nas necessidades do negócio
2. Executar control_matrix_builder.py para gerar a matriz de linha de base
3. Customizar controles para corresponder ao ambiente real
4. Atribuir responsáveis e requisitos de evidência
5. Validar cobertura — cada critério TSC selecionado deve ter pelo menos um controle

Fluxo de Trabalho de Análise de Lacunas

Fase 1: Avaliação do Estado Atual

1. Documentar controles existentes — inventariar todas as políticas de segurança, procedimentos e controles técnicos
2. Mapear para TSC — alinhar controles existentes com os Critérios de Serviço de Confiança
3. Coletar amostras de evidências — reunir provas de que os controles existem e operam
4. Entrevistar donos de controles — verificar compreensão e execução

Fase 2: Identificação de Lacunas

Executar gap_analyzer.py em relação aos controles atuais para identificar:

• Controles ausentes — critérios TSC sem controle correspondente
• Parcialmente implementados — controle existe, mas falta evidência ou consistência
• Lacunas de design — controle projetado, mas não trata adequadamente o critério
• Lacunas operacionais (apenas Tipo II) — controle projetado corretamente, mas não operando efetivamente

Fase 3: Planejamento de Remediação

Para cada lacuna, definir:

Fase 4: Planejamento de Cronograma

Coleta de Evidências

Tipos de Evidências por Categoria de Controle

Oportunidades de Automação

Monitoramento Contínuo

Migrar da coleta de evidências pontual para conformidade contínua:

1. Coleta automatizada de evidências — scripts que coletam evidências em horários programados
2. Painéis de controles — visibilidade em tempo real do status dos controles
3. Monitoramento baseado em alertas — notificar quando um controle sair de conformidade
4. Repositório de evidências — armazenamento centralizado, com carimbo de data/hora

Lista de Verificação de Prontidão para Auditoria

Preparação Pré-Auditoria (4-6 Semanas Antes)

• Todos os controles documentados com descrições, responsáveis e frequências
• Evidências coletadas para todo o período de observação (Tipo II)
• Matriz de controles revisada e lacunas remediadas
• Políticas assinadas e distribuídas nos últimos 12 meses
• Revisões de acesso concluídas dentro da frequência obrigatória
• Varreduras de vulnerabilidades atuais (nenhuma crítica/alta sem patch > SLA)
• Plano de resposta a incidentes testado nos últimos 12 meses
• Avaliações de risco de fornecedores atuais para todas as suborganizações de serviço
• DR/BCP testado e documentado nos últimos 12 meses
• Treinamento de segurança de funcionários concluído para todo o pessoal

Pontuação de Prontidão

Achados Comuns de Auditoria

Gestão de Fornecedores

Avaliação de Riscos de Terceiros

Todo fornecedor que acessa, armazena ou processa dados de clientes deve ser avaliado:

1. Inventário de fornecedores — manter um registro de todos os provedores de serviços
2. Classificação de risco — categorizar fornecedores pelo nível de acesso a dados
3. Due diligence — coletar relatórios SOC 2, questionários de segurança, certificações
4. Proteções contratuais — garantir DPAs, requisitos de segurança, cláusulas de notificação de violação
5. Monitoramento contínuo — reavaliação anual, monitoramento contínuo de notícias

Níveis de Risco de Fornecedores

Suborganizações de Serviço

Quando o seu relatório SOC 2 depende de controles em uma suborganização de serviço (ex.: AWS, GCP, Azure):

• Método inclusivo — seu relatório cobre os controles da suborganização (requer cooperação deles)
• Método de carve-out — seu relatório exclui os controles deles, mas referencia o relatório SOC 2 deles
• A maioria das empresas usa carve-out e inclui controles complementares de entidade usuária (CUECs)

Conformidade Contínua

De Pontual para Contínua

Etapas de Implementação

1. Automatizar coleta de evidências — cron jobs, integrações de API, snapshots de IaC
2. Construir painéis de controles — agregar status de controles em uma visão única
3. Configurar alertas de desvio — notificar quando controles saírem de conformidade
4. Estabelecer cadência de revisão — check-ins semanais de donos de controles, direcionamento mensal
5. Manter repositório de evidências — centralizado, com carimbo de data/hora, acessível ao auditor

Ciclo de Reavaliação Anual

Anti-Padrões

Ferramentas

Construtor de Matriz de Controles

Gera uma matriz de controles SOC 2 a partir das categorias TSC selecionadas.

# Gerar matriz de segurança completa em markdown
python scripts/control_matrix_builder.py --categories security --format md

# Gerar matriz para múltiplas categorias como JSON
python scripts/control_matrix_builder.py --categories security,availability,confidentiality --format json

# Todas as categorias, saída CSV
python scripts/control_matrix_builder.py --categories security,availability,confidentiality,processing-integrity,privacy --format csv

Rastreador de Evidências

Rastreia o status de coleta de evidências por controle.

# Verificar status de evidências de uma matriz de controles
python scripts/evidence_tracker.py --matrix controls.json --status

# Saída JSON para integração
python scripts/evidence_tracker.py --matrix controls.json --status --json

Analisador de Lacunas

Analisa os controles atuais em relação aos requisitos SOC 2 e identifica lacunas.

# Análise de lacunas Tipo I
python scripts/gap_analyzer.py --controls current_controls.json --type type1

# Análise de lacunas Tipo II (inclui eficácia operacional)
python scripts/gap_analyzer.py --controls current_controls.json --type type2 --json

Referências

• Referência de Critérios de Serviço de Confiança — Todas as 5 categorias TSC com sub-critérios, objetivos de controle e exemplos de evidências
• Guia de Coleta de Evidências — Tipos de evidências por controle, ferramentas de automação, requisitos de documentação
• Comparação Tipo I vs Tipo II — Comparação detalhada, cronograma, análise de custos e caminho de atualização

Referências Cruzadas

• gdpr-dsgvo-expert — Os critérios de Privacidade SOC 2 se sobrepõem significativamente com os requisitos LGPD/GDPR; usar juntos ao processar dados pessoais de residentes no Brasil ou na UE
• information-security-manager-iso27001 — Os controles do Anexo A da ISO 27001 mapeiam diretamente para os critérios de Segurança SOC 2; organizações que buscam ambos podem compartilhar evidências
• isms-audit-expert — A metodologia de auditoria e os padrões de gestão de achados transferem diretamente para a preparação de auditoria SOC 2