Por que "Vocês são certificados em SOC 2?" é a pergunta errada

Quase todo questionário de segurança parece incluir a pergunta: "Vocês são certificados em SOC 2?" Os fornecedores respondem "sim", anexam um PDF, e a caixa é marcada. O problema é que a pergunta não significa o que nenhum dos lados imagina, e uma caixa marcada pode esconder exatamente os riscos que o comprador queria identificar.

Não existe certificado SOC 2

SOC 2 é um atestado, não uma certificação. Uma firma de CPA licenciada examina os controles de uma organização prestadora de serviços com base nos Trust Services Criteria da AICPA e emite um relatório com sua opinião. Ninguém emite um certificado, ninguém mantém um registro de empresas certificadas, e não há nota de corte. Compare com a ISO 27001, em que um organismo de certificação acreditado emite de fato um certificado, com escopo definido e validade de três anos. (Nossa comparação ISO 27001 vs SOC 2 expõe as diferenças.)

Chamar um relatório SOC 2 de certificado não é mero preciosismo. Isso transforma um documento detalhado e condicional em um selo de sim ou não, e os detalhes são onde está o risco.

O que o "sim" pode esconder

Um fornecedor pode dizer com verdade que possui um relatório SOC 2 enquanto:

• O relatório é do Tipo I. Ele mostra que os controles foram desenhados e estavam em vigor em um dia, não que funcionaram ao longo do tempo.
• O escopo exclui o serviço que você está contratando. Um relatório cobre um sistema descrito. Se seus dados passam por um produto ou região fora dele, o relatório não diz nada sobre eles.
• O período terminou há muito tempo. Um relatório cobre um período passado. Um intervalo de muitos meses desde o seu fim significa que ninguém testou a operação recente.
• A opinião é com ressalvas, ou os resultados dos testes listam exceções que importam para você.
• Controles-chave são excluídos e delegados a uma organização subcontratada, como o provedor de nuvem, cujo próprio relatório você nunca vê.
• O relatório depende de controles que você mesmo precisa operar, listados como controles complementares de entidade usuária, e ninguém do seu lado sabe deles.
• Apenas Security está no escopo, quando o que você se importava era disponibilidade, confidencialidade ou privacidade.

Nenhum desses itens torna um relatório sem valor. Todos eles ficam invisíveis atrás do "sim".

O que um bom relatório SOC 2 vale

Nada disso é um argumento contra o SOC 2. Um relatório Tipo II de uma firma competente é um dos documentos mais úteis que um comprador pode obter. Auditores independentes amostraram evidências reais ao longo de meses: acessos concedidos e removidos, mudanças aprovadas, incidentes tratados, backups restaurados. Um questionário respondido pela própria equipe do fornecedor não chega perto disso, e uma equipe de segurança que lê relatórios com atenção pode eliminar a maior parte do seu questionário.

O valor está no detalhe: quais controles foram testados, como e com que resultado. A abreviação descarta esse detalhe. Perguntar se um fornecedor é "certificado" convida a um sim; perguntar o que o relatório cobre convida à evidência.

Melhores perguntas a fazer

Substitua "vocês são certificados em SOC 2?" por perguntas que tornem a resposta útil:

1. Qual relatório vocês têm: Tipo I ou Tipo II, e qual período ele cobre?
2. A descrição do sistema inclui o serviço e as regiões que vamos usar?
3. Quais categorias dos Trust Services Criteria estão no escopo?
4. Houve exceções ou uma opinião com ressalvas, e como foram resolvidas?
5. Quais organizações subcontratadas foram excluídas, e quais controles complementares de entidade usuária precisamos operar?

Depois, leia o relatório, pelo menos a opinião, a descrição do sistema, as exceções e os controles de entidade usuária. Isso leva muito menos tempo do que o questionário levou.

O mesmo vale para todo framework

O padrão não é exclusivo do SOC 2. "Certificado ISO 27001" depende do escopo do certificado; "em conformidade com a NIS2" depende da legislação nacional e de procedimentos de notificação que nenhum certificado testa; "alinhado ao NIST CSF" pode significar quase qualquer coisa, porque o CSF não possui certificação alguma. O nome de um framework é o começo da conversa, não o fim.

Se você está do lado do fornecedor, facilite: diga logo qual relatório, qual período e qual escopo, e mostre como seus controles se correlacionam com os frameworks que seus clientes usam. Nossa análise de lacunas e a página do framework SOC 2 podem ajudar no mapeamento, e o guia SOC 2 explica como os relatórios são produzidos.

Perguntas

Existe mesmo algo como certificação SOC 2?

Não. Um relatório SOC 2 é um atestado: a opinião de uma firma de CPA licenciada sobre os controles de uma organização prestadora de serviços, com base nos Trust Services Criteria da AICPA. Nenhum certificado é emitido.

O que devo ler primeiro em um relatório SOC 2?

A opinião do auditor (ela é sem ressalvas?), o escopo e a descrição do sistema, o período coberto, as exceções nos resultados dos testes e os controles complementares de entidade usuária que se espera que você opere.