Maturidade SOC 2 · Segurança de dados e serviços de TI

O SOC 2 é um modelo de atestação definido pela AICPA para organizações que processam dados em nome de seus clientes. Ele se apoia nos Trust Services Criteria: a segurança, obrigatória, depois a disponibilidade, a integridade do processamento, a confidencialidade e a proteção de dados pessoais, selecionados conforme os compromissos assumidos. Os critérios comuns abrangem o ambiente de controle, a comunicação, a gestão de riscos, as atividades de controle, a gestão de acessos lógicos e físicos, as operações, a gestão de mudanças e a mitigação de riscos. Um relatório tipo I descreve o desenho dos controles em uma data específica, um relatório tipo II descreve seu funcionamento efetivo ao longo de um período de observação.

Na prática, a dificuldade não está em descrever os controles, e sim em demonstrar que eles funcionaram sem interrupção durante todo o período. As revisões de acesso trimestrais realmente aconteceram, com um registro utilizável, ou foram reconstituídas antes da auditoria? As mudanças implantadas em caráter de urgência seguem o mesmo fluxo de aprovação que as demais? Os fornecedores críticos passam por uma revisão documentada, ou apenas por um contrato assinado uma vez e esquecido? São essas respostas que determinam o conteúdo do relatório, não a qualidade da política escrita.

Uma confusão comum é essa: o SOC 2 não é uma certificação e não se compara item a item com a ISO 27001. O SOC 2 gera um relatório de atestação redigido por uma empresa de auditoria independente, sobre os controles que a própria organização definiu para cumprir seus compromissos de serviço. Há, portanto, grande liberdade na definição do escopo e na formulação dos controles, o que desloca o foco para a coerência interna do dispositivo. As organizações já engajadas na ISO 27001 reaproveitam boa parte de sua base, desde que reconstruam a lógica de evidência ao longo do tempo.

O diagnóstico de maturidade responde a uma pergunta diferente da auditoria. A auditoria conclui por uma exceção ou pela ausência de exceção em determinado controle. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação que leva ao nível seguinte: o que ainda é apenas declarativo, o que é aplicado mas não registrado, o que é sistemático e mensurado. É isso que permite priorizar o esforço antes do período de observação, em vez de descobrir os problemas durante ele.

No Datamensio, o referencial está pronto para uso e é adaptável. A IA ajusta os temas, as perguntas e os níveis conforme o escopo dos critérios escolhidos, ou constrói uma versão personalizada a partir de suas próprias políticas e descrições de controles.