NIST CSF 2.0 vs SOC 2: um framework que você adota vs um relatório pelo qual você é auditado

Por Paul Gillet · Atualizado em 2026-10-17

O NIST CSF 2.0 é um framework voluntário baseado em resultados: você define seu perfil-alvo e mede sua situação em relação a ele. O SOC 2 é uma atestação independente, emitida por um CPA, com base nos Trust Services Criteria da AICPA, e é o que muitos clientes norte-americanos exigem de um fornecedor SaaS nos processos de compras.

A maioria dos requisitos de segurança do SOC 2 (Common Criteria) tem equivalentes no CSF: controle de acesso lógico, monitoramento, resposta a incidentes, gestão de mudanças, avaliação de riscos e gestão de fornecedores. Um programa alinhado ao CSF oferece a maior parte dos controles que um auditor vai testar.

Partindo do CSF para o SOC 2, quase todo critério comum tem um equivalente no CSF, inclusive os critérios de ambiente de controle (ética, supervisão pelo conselho, responsabilização), que o CSF cobre por meio da sua função Governar. Os itens sem correspondência são as categorias opcionais do SOC 2, Integridade do Processamento e Privacidade, que têm pouca correspondência em um framework de segurança. Não existe uma correspondência pública e legível por máquina do SOC 2, portanto o lado SOC 2 desta comparação é o mapeamento editorial da ControlMapping.

Partindo do SOC 2 para o CSF, as lacunas são principalmente os resultados mais amplos do CSF em governança e resiliência: estratégia de risco, ciclo de vida da gestão de riscos da cadeia de suprimentos, inteligência de ameaças e processos de melhoria, que o SOC 2 não exige explicitamente.

Em resumo

Como se complementam

O CSF descreve o que um bom programa alcança; o SOC 2 comprova aos clientes que controles específicos funcionam. Muitas empresas usam o CSF para estruturar o programa e reportar ao conselho, e o SOC 2 para oferecer evidências aos clientes. Como o SOC 2 não tem uma correspondência com licença aberta, cada vínculo com o SOC 2 aqui é um julgamento editorial da ControlMapping, com justificativa.

Quem pede o quê

• SOC 2 é solicitado por clientes, principalmente grandes empresas norte-americanas que avaliam provedores de software e serviços. Ele responde à pergunta “podemos confiar a vocês nossos dados?” com a opinião de um auditor independente.
• NIST CSF 2.0 é solicitado por conselhos, reguladores, seguradoras e parceiros que querem saber como uma organização gerencia o risco cibernético como um todo. Ninguém pode entregar um “certificado CSF”; em vez disso, você apresenta seus perfis e as evidências que os sustentam.
• Um número crescente de empresas usa o CSF internamente e produz um relatório SOC 2 para os clientes. Os dois se complementam, em vez de competir.

Usando o CSF para se preparar para o SOC 2

Se você já mantém um programa baseado no CSF, tem a maior parte do que os critérios de segurança do SOC 2 testam. Mapeie seus resultados do CSF para os Trust Services Criteria e então verifique três pontos que o CSF não obriga: se cada controle produz evidências de forma contínua (o SOC 2 Tipo II analisa amostras ao longo de meses), se os critérios de ambiente de controle estão cobertos (supervisão pelo conselho, integridade e valores éticos, competência, responsabilização) e se a descrição do seu sistema corresponde à fronteira que os clientes consideram relevante. O relatório de análise de lacunas CSF → SOC 2 lista todos os critérios com sua correspondência no CSF e a justificativa de cada vínculo.

Custo e esforço

O próprio CSF é gratuito; o esforço está em avaliar e melhorar seu perfil. O SOC 2 acrescenta os honorários de uma firma de CPA e, no caso do Tipo II, a disciplina de coletar evidências ao longo de todo o período de observação. Para uma empresa com um programa CSF maduro, o esforço extra do SOC 2 consiste principalmente na coleta de evidências, na descrição do sistema e nas categorias opcionais que você incluir. Para uma empresa que começa do zero, construir primeiro com base no CSF oferece uma base mais ampla; construir primeiro para o SOC 2 entrega antes um resultado voltado aos clientes.

Cronograma

Partindo de um programa CSF em funcionamento até o primeiro relatório SOC 2 Tipo II, normalmente leva de seis a nove meses: de um a três meses para mapear controles, fechar lacunas e contratar um auditor, depois um período de observação de três a seis meses e algumas semanas para o relatório. No caminho inverso, uma empresa com relatório SOC 2 pode produzir um Perfil Atual do CSF em semanas, porque a maioria dos resultados de Proteger, Detectar e Responder já tem evidências; a função Governar costuma exigir mais trabalho.

Exemplo prático: uma fintech em início de operação

Uma fintech de 30 pessoas possui um relatório SOC 2 Tipo II para sua API de pagamentos. Seu conselho e sua seguradora de risco cibernético agora perguntam como ela gerencia o risco cibernético de forma mais ampla. A empresa constrói um Perfil Atual do CSF 2.0 a partir dos seus controles SOC 2 e identifica boa cobertura de Proteger, Detectar e Responder, com lacunas em Governar: nenhuma declaração formal apetite de risco, nenhum programa de risco da cadeia de suprimentos além de questionários a fornecedores e nenhum relatório regular de supervisão. Ela define um Perfil Alvo, acrescenta um relatório trimestral ao conselho nos termos do CSF e mantém inalterado seu ciclo de auditoria SOC 2. Um único conjunto de controles agora atende aos dois públicos.

Erros comuns

• Presumir que alinhamento ao CSF significa prontidão para o SOC 2. O CSF não exige evidências contínuas ao longo de um período, que é exatamente o que um relatório Tipo II testa.
• Ignorar o ambiente de controle. Os critérios CC1 a CC5 do SOC 2 (supervisão pelo conselho, integridade, competência, responsabilização) exigem evidências que programas técnicos baseados no CSF costumam não ter.
• Superdimensionar o escopo do relatório SOC 2 para abranger todo o programa CSF, em vez de limitá-lo ao sistema do qual os clientes dependem.
• Manter dois programas paralelos. Um único conjunto de controles, mapeado nos dois sentidos, evita a duplicação de evidências.
• Deixar Governar para o fim. Os resultados de Governar do CSF 2.0 costumam ser a parte mais fraca de um programa que começa pelo SOC 2 e são justamente o que os conselhos mais perguntam.

Principais conclusões

• O CSF mostra como é um bom programa; o SOC 2 comprova a um cliente que você o opera.
• Colete evidências continuamente: um relatório Tipo II exige comprovação ao longo de todo o período de auditoria.
• Trate Integridade do Processamento e Privacidade como projetos separados, se estiverem no escopo.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →