Conformidade com SSAE

A SSAE Compliance, também conhecida como Statement on Standards for Attestation Engagements and Compliance (Declaração sobre Normas para Trabalhos de Atestado e Conformidade), é uma coleção de normas e orientações de auditoria que utilizam padrões publicados pelo Auditing Standards Board (ASB) do American Institute of Certified Public Accountants (AICPA).

Essas normas definem como as empresas de serviços devem relatar seus controles e processos de conformidade. A SSAE 16 ( SOC 1 ) foi publicada em abril de 2010 como a norma de relatório para todos os registros de auditoria de serviços e foi emitida para substituir a Declaração sobre Normas de Auditoria nº 70. Se você está familiarizado com auditorias SOC 1 , provavelmente também está familiarizado com a SSAE 16. Infelizmente, a SSAE 16 apresentava algumas falhas e foi substituída em 1º de maio de 2017 pela SSAE 18, que foi projetada para sanar essas lacunas.

O SSAE 18 é o padrão em uso atualmente. Os auditores seguem as prescrições do SSAE 18 ao realizar avaliações SOC 1 a 3, independentemente do Tipo I (uma avaliação pontual dos controles) ou do Tipo II (um período de 9 a 12 meses de revisão dos controles).

A SSAE 18 introduziu mudanças importantes na forma como as organizações subcontratadas eram tratadas. Anteriormente, os controles e testes de organizações subcontratadas (terceirizadas ou subcontratadas) estavam fora do escopo da auditoria, deixando lacunas críticas nos testes.

Fontes: TechTarget , Otava

Termos relacionados: SOC 1 , SOC 2 , SOC 3

O que isso significa para uma PME?

As PMEs devem desenvolver um programa de segurança cibernética auditável com controles em torno de gerenciamento de acesso, privilégios mínimos, responsabilização, treinamento, governança e tecnologia. Cada uma dessas áreas precisa de controles e processos que produzam artefatos disponíveis para inspeção. Ao fazer isso, qualquer PME se prepararia para inspeção externa por meio de uma avaliação SSAE 18. Inicialmente, as organizações devem realizar uma inspeção SOC 1, ou Point in Time, de seus controles. Isso permite tempo para correção de lacunas e remediação com um menor investimento de tempo e dinheiro. Uma vez obtida uma avaliação SOC 1 SSAE 18 bem-sucedida, a PME deve migrar rapidamente para uma SOC 2 para validar o funcionamento dos processos ao longo do tempo.

Uma PME que pode passar com sucesso em uma avaliação SSAE 18 SOC 2 Tipo II deve estar bem posicionada para passar por outros tipos de auditorias, embora possa haver prescrições exclusivas do HIPAA e PCI que vão além dos controles existentes.

A mensagem mais importante deste artigo sobre auditorias SSAE é que a inspeção dos processos e controles de uma empresa é extremamente valiosa. Tanto o NIST quanto o CyberHoot recomendam o estabelecimento de uma Estrutura de Gestão de Riscos em qualquer organização. Isso garante que você esteja investindo seu tempo e dinheiro, recursos limitados e valiosos, nas atividades de mitigação de riscos mais importantes. É tempo e dinheiro bem empregados.

A CyberHoot pode desempenhar um papel fundamental na preparação de empresas para auditorias desse tipo, por meio de sua gestão de políticas e processos, programas de treinamento, testes de phishing e até mesmo avaliações que você pode usar para autoavaliação antes da auditoria externa. Envie um e-mail para sales@cyberhoot.com para obter mais informações!

Para saber mais sobre o SSAE e as auditorias do SOC, assista a este breve vídeo:

Você está fazendo o suficiente para proteger seu negócio?

Cadastre-se no CyberHoot hoje e durma melhor sabendo que seu

Os funcionários são treinados cibernéticos e estão em alerta!

Inscreva-se hoje!