SOC 1

O SOC ( Systems and Organizational Controls ) é um padrão de auditoria com raízes em sistemas financeiros e auditoria. As auditorias SOC podem ser de três tipos, sendo o SOC Tipo 1 o mais simples. As auditorias SOC Tipo 1 são auditorias de terceiros que avaliam os controles contábeis e financeiros de uma organização. Elas fornecem uma opinião independente sobre a eficácia da gestão financeira da empresa. As auditorias SOC Tipo 2 podem abranger outros controles relacionados à segurança, disponibilidade, integridade de processos, confidencialidade ou privacidade.

O SOC 1 é subdividido em duas formas de auditoria: SOC 1 Tipo I e SOC 1 Tipo II. As auditorias Tipo I são realizadas em um momento e data específicos, enquanto um relatório SOC 1 Tipo II se baseia em testes de controles ao longo de um período (normalmente de 9 a 12 meses). Os relatórios Tipo II são considerados mais confiáveis em geral.

Críticas às auditorias do SOC:

Todas as organizações são diferentes e únicas. A auditoria SOC não especifica um conjunto mínimo de Controles Organizacionais a serem criados e testados. Boas empresas de auditoria fornecerão sugestões de melhorias para controles adicionais, caso estejam ausentes; no entanto, a própria organização geralmente define os controles a serem revisados em uma auditoria de terceira parte. A crítica geral aqui é que, se um controle não for especificado pela empresa auditada, talvez seja porque ela esteja falhando nesse controle. No entanto, ela será aprovada em uma auditoria sem o controle incluído. Portanto, é sempre importante revisar uma auditoria SOC com atenção aos controles esperados e responsabilizar a empresa pela ausência de controles em suas auditorias SOC.

Fonte: Revista InfoSecurity

O que isso significa para uma PME?

As PMEs devem sempre tomar medidas para construir um conjunto robusto de controles organizacionais. Isso vale tanto para controles financeiros quanto para controles de cibersegurança. A maioria das PMEs não encontrará valor suficiente em realizar sua própria auditoria SOC, exceto em casos de exigência regulatória. No entanto, PMEs muito maduras podem optar por codificar seus processos, testá-los internamente e, em seguida, agendar um teste externo de terceiros por meio de uma auditoria SOC 1 Tipo II ou SOC 2 Tipo II. Auditorias do Tipo 1 geralmente não compensam o esforço. O problema para as PMEs e as auditorias SOC é que elas não são baratas, nem para se preparar para elas, nem para contratar uma empresa externa para realizá-las (geralmente, os custos iniciais giram em torno de US$ 20,000).

No entanto, existem maneiras pelas quais as PMEs podem começar a construir seus processos formais e realizar uma Avaliação de Riscos interna mínima. A CyberHoot ajudou muitas empresas a identificar as lacunas em seus programas de segurança por meio de nosso módulo de avaliações, que contém questionários de avaliação baseados em cibersegurança, PCI e HIPAA. Avaliações de risco e auditorias SOC são maneiras eficazes de começar a proteger sua empresa. A CyberHoot pode desempenhar um papel fundamental na preparação das empresas para essas auditorias por meio de seu gerenciamento de políticas e processos, programas de treinamento e testes de phishing. Envie um e-mail para sales@cyberhoot.com para obter mais informações!

Para saber mais sobre SOC 1 e SOC 2, assista a este breve vídeo:

Você está fazendo o suficiente para proteger seu negócio?

Cadastre-se no CyberHoot hoje e durma melhor sabendo que seu

Os funcionários são treinados cibernéticos e estão em alerta!

Inscreva-se hoje!