SOC 1
Controles que impactam as demonstrações financeiras dos seus clientes (SSAE 18 ou ISAE 3402).
SOC 1 · SOC 2 · SOC 3
Relatórios SOC: comprove que seus controles funcionam
Preparamos sua organização para obter um relatório SOC 2 ou ISAE 3402 sem ressalvas, o que seus clientes nos Estados Unidos e na Europa pedem.
O que é um relatório SOC?
Confiança verificada por um auditor independente
Um relatório SOC (System and Organization Controls) é a opinião de um auditor independente sobre os controles de uma organização que presta serviços a terceiros.
É emitido conforme as normas do AICPA (SSAE 18) ou seus equivalentes internacionais (ISAE 3402 e ISAE 3000), e só pode ser assinado por uma firma de auditoria habilitada.
É uma exigência comum para empresas SaaS, fintechs, data centers e fornecedores que vendem para clientes corporativos, sobretudo nos Estados Unidos.
Tipos de relatório
Três relatórios, três públicos
SOC 2
Segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Uso restrito a clientes e auditores.
SOC 3
Resumo do SOC 2 de uso geral, pensado para publicar no seu site.
Fases
Como preparamos você
- 1Escopo: sistema, serviços e critérios de confiança aplicáveis.
- 2Avaliação de prontidão e análise de lacunas em relação aos critérios.
- 3Desenho e implementação de controles, políticas e evidências, reaproveitando a ISO 27001 se você já a tiver.
- 4Pré-auditoria interna e ensaio com sua equipe.
- 5Acompanhamento durante o trabalho da firma de auditoria até a emissão do relatório.
- 6Acompanhamento dos controles durante o período de observação do Tipo II.
Tipo I e Tipo II
Uma foto ou um filme
Tipo I
Avalia o desenho dos controles em uma data específica. É um bom primeiro passo.
Tipo II
Avalia a eficácia operacional dos controles durante um período, geralmente de 3 a 12 meses. É o mais valorizado pelos clientes.
A Cloud Legion prepara e acompanha; o relatório é emitido por uma firma de auditoria independente. Trabalhamos com a firma que você escolher ou ajudamos na escolha.
Por que um relatório SOC
Acelere suas vendas corporativas
Menos questionários
Você responde com um relatório em vez de centenas de perguntas de segurança.
Ciclos de venda mais curtos
Você passa na avaliação de fornecedores dos grandes clientes.
Você reaproveita a ISO 27001
Grande parte dos controles é compartilhada e você evita trabalho duplicado.
Melhoria contínua
O Tipo II exige manter os controles o ano todo.
A quem se aplica
Organizações que prestam serviços a terceiros
- Plataformas SaaS e serviços em nuvem
- Fintechs e processadores de pagamento
- Data centers e hospedagem
- BPO e serviços terceirizados
- Software para clientes dos Estados Unidos
- Serviços de folha de pagamento e RH
Perguntas frequentes
O que mais nos perguntam
O que é um relatório SOC 2?
É um relatório de asseguração emitido por um auditor independente sobre os controles de segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade de uma organização de serviços.
Quem emite o relatório?
Uma firma de auditoria independente habilitada (CPA segundo as normas AICPA, ou um auditor segundo as normas ISAE). A Cloud Legion prepara a organização e a acompanha durante a auditoria.
SOC 2 ou ISO 27001?
A ISO 27001 certifica um sistema de gestão com reconhecimento global; o SOC 2 é um relatório muito pedido nos Estados Unidos. Compartilham a maioria dos controles, por isso muitas empresas têm os dois.
Quanto tempo leva?
Depende do ponto de partida. A preparação para um Tipo I costuma levar de dois a quatro meses; o Tipo II soma um período de observação de 3 a 12 meses.
Um cliente pediu um SOC 2?
Dizemos quanto falta e como chegar ao relatório no menor tempo possível.