Maturità SOC 2 · Sicurezza dei dati e dei servizi informatici

SOC 2 è un quadro di attestazione definito dall’AICPA per le organizzazioni che trattano dati per conto dei propri clienti. Si basa sui Trust Services Criteria: la sicurezza, obbligatoria, poi la disponibilità, l’integrità del trattamento, la riservatezza e la protezione dei dati personali, scelte in base agli impegni assunti. I criteri comuni coprono l’ambiente di controllo, la comunicazione, la gestione dei rischi, le attività di controllo, la gestione degli accessi logici e fisici, le operazioni, la gestione del cambiamento e la mitigazione dei rischi. Un rapporto di tipo I descrive la progettazione dei controlli a una data precisa, un rapporto di tipo II il loro funzionamento effettivo su un periodo di osservazione.

In pratica, la difficoltà non sta nel descrivere i controlli ma nel dimostrare che hanno funzionato senza interruzioni per tutto il periodo. Le revisioni degli accessi trimestrali si sono davvero svolte, con una traccia utilizzabile, oppure sono state ricostruite prima dell’audit? I cambiamenti distribuiti con urgenza seguono lo stesso iter di approvazione degli altri? I fornitori critici sono oggetto di una revisione documentata, o di un contratto firmato una volta per tutte? Sono queste risposte a determinare il contenuto del rapporto, non la qualità della politica scritta.

Un equivoco ricorrente: SOC 2 non è una certificazione e non si confronta punto per punto con ISO 27001. SOC 2 produce un rapporto di attestazione redatto da una società indipendente, relativo ai controlli che l’organizzazione stessa ha definito per rispettare i propri impegni di servizio. Il margine di manovra sul perimetro e sulla formulazione dei controlli è quindi ampio, il che sposta la posta in gioco sulla coerenza interna del dispositivo. Le organizzazioni già impegnate su ISO 27001 riutilizzano gran parte della propria base, a condizione di ricostruire la logica della prova nel tempo.

La diagnosi di maturità risponde a una domanda diversa da quella dell’audit. L’audit si conclude con un’eccezione o con l’assenza di eccezioni su un determinato controllo. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione che fa passare al livello successivo: ciò che resta dichiarativo, ciò che è applicato ma non tracciato, ciò che è sistematico e misurato. È ciò che permette di decidere dove investire lo sforzo prima del periodo di osservazione anziché scoprirlo durante.

In Datamensio, il quadro di riferimento è pronto all’uso e adattabile. L’IA adatta gli ambiti, le domande e i livelli in base al perimetro dei criteri scelti, oppure costruisce una variante a partire dalle vostre politiche e descrizioni di controlli.