Como obter um relatório SOC 2

Por Paul Gillet · Atualizado em 2026-10-17

Se um cliente perguntou "vocês são compatíveis com o SOC 2?", ele está pedindo um relatório SOC 2: uma opinião independente de uma firma de CPA sobre os seus controles, emitida de acordo com as normas de atestação da AICPA. Não existe certificado SOC 2 nem nota de aprovação. O relatório descreve o seu sistema, os seus controles e os testes do auditor, e a equipe de segurança do cliente o lê para decidir se confia em você para tratar os dados dele.

O que o relatório cobre

O SOC 2 testa os seus controles em relação aos Trust Services Criteria da AICPA (2017, com pontos de foco revisados em 2022). Há cinco categorias:

• Segurança (os critérios comuns, CC1–CC9): sempre incluída. Abrange governança, avaliação de riscos, monitoramento, acesso lógico e físico, operações, gestão de mudanças e risco de fornecedores.
• Disponibilidade (A1): capacidade, backups e recuperação. Inclua-a se os clientes dependem da sua disponibilidade.
• Confidencialidade (C1): identificação e descarte de informações confidenciais. Comum em produtos B2B que armazenam dados de clientes.
• Integridade do Processamento (PI1): processamento completo, preciso e tempestivo. Relevante para serviços de pagamentos, folha de pagamento e processamento de dados.
• Privacidade (P1–P8): aviso, consentimento, retenção e divulgação de informações pessoais. Poucos frameworks de segurança cobrem esse tema; a GDPR (RGPD) é a que mais se aproxima.

A maioria dos primeiros relatórios inclui apenas Segurança ou Segurança mais Disponibilidade e Confidencialidade. Acrescente categorias quando os clientes pedirem, e não por padrão: cada uma acrescenta controles a operar e evidências a coletar.

Tipo I ou Tipo II?

• Um relatório Tipo I afirma que os seus controles estavam adequadamente desenhados e implementados em uma data específica. É mais rápido e útil como primeiro passo quando um negócio não pode esperar.
• Um relatório Tipo II afirma que os seus controles foram desenhados e operaram com eficácia durante um período, geralmente de 3 a 12 meses. É o que a maioria das equipes de gestão de risco de fornecedores dos clientes realmente quer, porque demonstra que os controles funcionam na prática.

Um caminho comum é um Tipo I assim que você estiver pronto, depois um primeiro Tipo II cobrindo um período de 3 a 6 meses e, em seguida, relatórios Tipo II anuais cobrindo 12 meses.

As etapas

1. Defina o sistema no escopo: o produto ou serviço que os clientes contratam, somado à infraestrutura, às pessoas, aos processos e aos dados que o sustentam. Mantenha o escopo restrito ao que os clientes efetivamente dependem; um escopo enxuto é mais barato de manter e mais fácil de explicar.
2. Escolha os critérios: Segurança mais quaisquer categorias que os seus clientes solicitarem.
3. Realize uma avaliação de prontidão em relação aos critérios. Use a análise de lacunas se você já segue outro framework e, em seguida, confirme com a firma de CPA ou com um consultor.
4. Feche as lacunas e documente tudo: políticas, avaliação de riscos, revisões de acesso, gestão de mudanças, revisões de fornecedores, resposta a incidentes, admissão e desligamento de pessoal, backups. Os auditores testam o que você faz em comparação com o que você declara fazer, por isso os documentos precisam refletir a realidade.
5. Escolha uma firma de CPA. Somente firmas de CPA licenciadas podem emitir relatórios SOC 2. Compare a experiência com empresas semelhantes à sua, a profundidade técnica dos auditores e como as evidências serão coletadas.
6. Tipo I opcional: o auditor verifica o desenho e a implementação em um momento específico.
7. Execute o período de observação para um Tipo II: opere todos os controles e mantenha as evidências ao longo do caminho.
8. Trabalho de campo e relatório: o auditor amostra evidências do período, discute quaisquer exceções com você e emite o relatório, geralmente algumas semanas após o término do período.
9. Mantenha o processo em funcionamento: um relatório SOC 2 cobre o passado, por isso os clientes esperam um novo relatório a cada ano, sem lacunas entre os períodos.

Cronograma típico

Para uma pequena empresa de software com higiene de segurança razoável, a prontidão e a remediação costumam levar de um a três meses, um Tipo I pode vir logo em seguida, e um primeiro Tipo II chega de três a seis meses depois. Escopos maiores, mais categorias ou processos imaturos alongam todas as etapas. Trate qualquer promessa de fornecedor de "SOC 2 em semanas" como uma promessa sobre o Tipo I.

Evidências que os auditores solicitam

O teste do Tipo II consiste, principalmente, em amostragem. Espere solicitações como estas, extraídas do período de observação:

• novos colaboradores e desligamentos, com prova de que o acesso foi concedido após aprovação e removido no prazo;
• revisões periódicas de acesso de usuários para sistemas-chave;
• tickets de mudança que demonstrem revisão, teste e aprovação antes da produção;
• varreduras de vulnerabilidades e resultados de testes de intrusão, com a respectiva remediação;
• a avaliação de riscos e a sua revisão pela gestão;
• registros de due diligence de fornecedores para fornecedores críticos;
• tickets de incidentes e evidências de testes de resposta a incidentes;
• testes de backup e restauração, e alertas de monitoramento com o respectivo acompanhamento;
• registros de treinamento de conscientização em segurança e políticas assinadas.

Pontos que pegam as pessoas de surpresa

• Organizações subcontratadas (subservice): os controles do seu provedor de nuvem não são seus. A maioria dos relatórios usa o método de exclusão (carve-out): você identifica o provedor, apoia-se no próprio relatório SOC 2 dele e demonstra que você o revisa.
• Controles complementares de entidades usuárias: o relatório lista os controles que os seus clientes precisam operar por conta própria, como gerenciar os próprios usuários. Torne-os realistas.
• Exceções: um Tipo II pode conter exceções (amostras reprovadas) e continuar sendo útil. Explique-as com clareza na sua resposta da gestão, em vez de ocultá-las.
• Expansão de escopo: cada sistema no escopo precisa atender a cada controle, todos os dias do período.

Como este site ajuda

A ControlMapping relaciona cada critério do SOC 2 aos outros frameworks que ele cobre, para que você possa ver quais trabalhos já existentes se aproveitam. O texto dos critérios é de direitos autorais da AICPA, por isso mostramos os nossos próprios resumos de uma linha. Cada link para o SOC 2 é um juízo editorial da ControlMapping, acompanhado da respectiva justificativa, pois os mapeamentos da própria AICPA não são licenciados de forma aberta. Use-o para planejar, não como evidência de auditoria.

Já tem outro framework?

Quantos requisitos de SOC 2 que já pode seguir correspondem a cada framework. Abra um relatório de lacunas para a lista requisito a requisito.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. As contagens provêm dos mesmos dados que o análise de lacunas; um mapeamento significa requisitos relacionados, não prova que um satisfaz o outro.

Perguntas

O SOC 2 é uma certificação?

Não. Um relatório SOC 2 é um atestado: uma opinião de uma firma de CPA sobre os seus controles. Ninguém é "certificado SOC 2", embora essa expressão seja comum.

Preciso do SOC 2 Tipo I ou Tipo II?

A maioria dos clientes pede o Tipo II, porque ele testa se os controles operaram ao longo de um período. O Tipo I é um primeiro passo razoável quando o cliente aceita essa opção enquanto o período do Tipo II está em andamento.

O SOC 2 é exigido por lei?

Não. É uma expectativa de mercado, principalmente dos processos de gestão de risco de fornecedores de clientes dos EUA. Contratos podem tornar a certificação obrigatória para você.

Não é aconselhamento jurídico ou de conformidade. Verifique o texto oficial e seu auditor, avaliador ou regulador antes de se basear nele.