Framework
SOC 2 (Trust Services Criteria)
O que é
O framework da AICPA para a emissão de relatórios sobre os controles de uma organização de serviços em relação aos Critérios de Serviços de Confiança: Segurança (sempre incluída) e, opcionalmente, Disponibilidade, Confidencialidade, Integridade de Processamento e Privacidade.
Quem precisa
Organizações de serviços, especialmente empresas de software e de nuvem, cujos clientes precisam de garantias antes de confiar-lhes dados. Trata-se de uma expectativa de mercado, sobretudo de clientes dos EUA, e não de um requisito legal.
Como é avaliado
Uma firma de CPA licenciada examina os controles e emite um relatório: o Tipo I abrange o desenho em uma data específica, e o Tipo II abrange a eficácia operacional ao longo de um período, geralmente de 3 a 12 meses. Não há certificado. Consulte como obter um relatório SOC 2.
Leia o guia: Como obter um relatório SOC 2 →
61
Critérios
41
Mapeado para outro framework
92%
Tópicos cobertos (46/50)
Os mapeamentos da AICPA para o SOC 2 não têm licença aberta, por isso todo link SOC 2 aqui é uma análise editorial da ControlMapping: critérios que ainda não mapeámos não podem ser correspondidos. Os critérios de integridade de processamento (PI) e a maioria dos critérios de privacidade (P) não têm equivalente em frameworks de segurança.
Comparações
Requisitos
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
| ID | Requisito | Tópicos | Mapeado em |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Continuidade de Negócios | 8 de 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Backup e recuperação, Continuidade de Negócios, Recuperação de desastres | 11 de 13 |
| A1.3 | Testing recovery plan procedures | Planejamento de Recuperação, Recuperação de desastres | 10 de 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Classificação de Dados | 9 de 13 |
| C1.2 | Disposing of confidential information | Proteção de Dados | 11 de 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Política de governança | 9 de 13 |
| CC1.2 | Board independence and oversight of internal control | Funções e responsabilidades | 9 de 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Funções e responsabilidades | 9 de 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Conscientização e treinamento | 10 de 13 |
| CC1.5 | Accountability for internal control responsibilities | Funções e responsabilidades | 9 de 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 de 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Conscientização e treinamento | 10 de 13 |
| CC2.3 | Communication with external parties | Comunicação, Notificação, Comunicação e restauração | 12 de 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Gestão de Riscos, Ambiente de Negócios | 10 de 13 |
| CC3.2 | Risk identification and analysis | Avaliação de riscos | 10 de 13 |
| CC3.3 | Considering the potential for fraud | Avaliação de riscos | 10 de 13 |
| CC3.4 | Identifying and assessing significant changes | Avaliação de riscos | 10 de 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Conformidade | 10 de 13 |
| CC4.2 | Communicating and remediating control deficiencies | Conformidade | 10 de 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Gestão de Riscos | 10 de 13 |
| CC5.2 | General controls over technology | Configuração Segura | 9 de 13 |
| CC5.3 | Control activities deployed through policies and procedures | Política de governança | 9 de 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Gestão de Ativos, Controle de acesso, Autenticação multifator, Criptografia | 13 de 13 |
| CC6.2 | User registration, authorization and removal | Controle de acesso | 11 de 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Controle de acesso, Acesso privilegiado | 12 de 13 |
| CC6.4 | Physical access restrictions | Segurança Física | 8 de 13 |
| CC6.5 | Protection of data when assets are disposed of | Proteção de Dados | 11 de 13 |
| CC6.6 | Protection against threats from outside system boundaries | Firewall / Segmentação de rede, Segurança Web, Confiança Zero, WAF | 9 de 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Criptografia, Segurança Móvel, DLP | 11 de 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Proteção de endpoints, Segurança de e-mail | 10 de 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Gestão de Vulnerabilidades, Gestão de Patches, Configuração Segura | 13 de 13 |
| CC7.2 | Monitoring system components for anomalies | Monit. contínuo, Registro e Auditoria, Detecção de intrusão, Detecção de Anomalias | 11 de 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Resposta a Incidentes | 12 de 13 |
| CC7.4 | Responding to identified security incidents | Resposta a Incidentes, Perícia forense, Mitigação | 12 de 13 |
| CC7.5 | Recovering from identified security incidents | Planejamento de Recuperação, Lições Aprendidas, Comunicação e restauração | 11 de 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Desenvolvimento Seguro | 8 de 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Gestão de Riscos, Continuidade de Negócios | 10 de 13 |
| CC9.2 | Managing vendor and business partner risk | Risco na cadeia de suprimentos, Segurança em Nuvem, Gestão de Risco de Fornecedores | 12 de 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | nenhum |
| P2.1 | Choice and consent | — | nenhum |
| P3.1 | Collection limited to privacy objectives | — | nenhum |
| P3.2 | Explicit consent where required | — | nenhum |
| P4.1 | Use limited to privacy objectives | — | nenhum |
| P4.2 | Retention of personal information | — | 1 de 13 |
| P4.3 | Disposal of personal information | — | 1 de 13 |
| P5.1 | Data subject access | — | nenhum |
| P5.2 | Correction of personal information | — | nenhum |
| P6.1 | Disclosure to third parties with consent | — | nenhum |
| P6.2 | Record of authorized disclosures | — | nenhum |
| P6.3 | Record of unauthorized disclosures | — | nenhum |
| P6.4 | Privacy commitments from third parties | — | nenhum |
| P6.5 | Notification by third parties of unauthorized disclosures | — | nenhum |
| P6.6 | Breach notification to affected individuals | — | 1 de 13 |
| P6.7 | Accounting of disclosures to data subjects | — | nenhum |
| P7.1 | Quality of personal information | — | nenhum |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | nenhum |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | nenhum |
| PI1.2 | Controls over system inputs | — | nenhum |
| PI1.3 | Controls over system processing | — | nenhum |
| PI1.4 | Controls over system outputs | — | nenhum |
| PI1.5 | Storing inputs, items in processing and outputs | — | nenhum |
Cobertura do tópico
Tópicos com requisitos mapeados de SOC 2 (46):
Política de governançaConscientização e treinamentoGestão de RiscosRisco na cadeia de suprimentosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosAmbiente de NegóciosClassificação de DadosGestão de VulnerabilidadesControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseComunicaçãoMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosLições AprendidasComunicação e restauraçãoRecuperação de desastresGestão de Risco de FornecedoresSegurança Física
Sem mapeamento em nossos dados Nenhum requisito de SOC 2 (4):