SOC 2

A SOC 2 é o relatório de auditoria mais comum entre os três tipos de auditoria SOC . Auditorias SOC 2 são bastante frequentes ao trabalhar com prestadores de serviços. É comum as pessoas acreditarem que a SOC 2 é uma evolução da SOC 1 , o que é totalmente verdade. Uma organização que realiza uma auditoria SOC 1 simplesmente declara quais são seus controles, mas nenhum teste é realizado para verificar se os controles estão sendo seguidos. Uma auditoria SOC 2, por outro lado, testa os controles em busca de lacunas, falhas ou fragilidades e relata esses itens no relatório final. Empresas que se preparam para uma SOC 2 devem desenvolver processos que gerem artefatos para sua própria inspeção e testes internos, diferentemente das empresas SOC 1, que geralmente não desenvolvem processos tão rigorosos.

Áreas de Controle são Encontradas em Auditorias SOC 2

O SOC 2 trata do exame dos controles de uma organização de serviços que abrangem um ou mais dos Critérios de Serviço de Confiança (TSC):

• Política de Privaciade
• Confidencialidade
• Integridade
• Disponibilidade 
• Total

O SOC 2 foi desenvolvido com base na definição de um conjunto consistente de processos para os serviços de TI que sua empresa opera. Esses processos são executados por funcionários internos ou por um provedor de serviços terceirizado. Se você utiliza um provedor terceirizado, pode solicitar o relatório de auditoria SOC 2 referente aos controles de privacidade , confidencialidade, integridade, disponibilidade e segurança. No entanto, esteja ciente de que a maioria dos provedores de serviços gerenciados (MSPs) não possui a maturidade necessária para solicitar, nem os recursos financeiros para arcar com as auditorias SOC 2. Isso NÃO significa que eles não ofereçam essas garantias, mas sim que o setor como um todo ainda não evoluiu na direção de os MSPs buscarem auditorias SOC 2 Tipo II.

Diferença entre auditorias SOC 2 Tipo I e SOC 2 Tipo II

As auditorias SOC 2 Tipo I confirmam a existência de controles apropriados em uma organização. Já as auditorias Tipo II confirmam não apenas que os controles estão implementados, mas também que eles realmente funcionam. As auditorias SOC 2 Tipo II representam melhor o desempenho de uma empresa ou fornecedor na proteção e no gerenciamento dos seus dados. Se você encontrar um fornecedor com uma auditoria SOC 2 Tipo II, certifique-se de revisar os controles incluídos, pois o fornecedor ainda controla o que é testado.

Fonte: Revista InfoSecurity

Termos relacionados: SOC 1 , SOC 3

O que isso significa para uma PME?

As auditorias SOC 2 são ótimas maneiras de identificar lacunas em seu programa de segurança. O problema com as auditorias SOC 2 é o seu alto custo, começando em aproximadamente US$ 30,000 . Assim como as auditorias SOC 1, elas são certamente benéficas se você puder arcar com o custo, embora existam outras estratégias que podem ser usadas para avaliar sua segurança. A CyberHoot tem ajudado empresas a identificar e corrigir vulnerabilidades em seus sistemas de TI por um preço muito mais acessível! A CyberHoot não apenas ajuda a identificar lacunas de segurança cibernética, como também fornece soluções para corrigi-las. A CyberHoot capacita seus funcionários para que se tornem mais conscientes e seguros por meio de políticas de segurança cibernética, treinamentos de conscientização e até mesmo testes de phishing.

Para saber mais sobre a diferença entre SOC 1 e SOC 2, assista a este breve vídeo:

Você está fazendo o suficiente para proteger seu negócio?

Cadastre-se no CyberHoot hoje e durma melhor sabendo que seu

Os funcionários são treinados cibernéticos e estão em alerta!

Inscreva-se hoje!