Maturidade SOC 2 · Segurança dos dados e dos serviços informáticos

O SOC 2 é um quadro de atestação definido pela AICPA para organizações que tratam dados por conta dos seus clientes. Baseia-se nos Trust Services Criteria: a segurança, obrigatória, seguida da disponibilidade, da integridade do tratamento, da confidencialidade e da proteção de dados pessoais, selecionadas de acordo com os compromissos assumidos. Os critérios comuns abrangem o ambiente de controlo, a comunicação, a gestão de riscos, as atividades de controlo, a gestão de acessos lógicos e físicos, as operações, a gestão da mudança e a mitigação de riscos. Um relatório tipo I descreve a conceção dos controlos numa data específica, um relatório tipo II descreve o seu funcionamento efetivo ao longo de um período de observação.

Na prática, a dificuldade não está em descrever os controlos, mas em demonstrar que funcionaram sem interrupção durante todo o período. As revisões de acessos trimestrais ocorreram realmente, com um registo aproveitável, ou foram reconstituídas antes da auditoria? As mudanças implementadas em situação de urgência seguem o mesmo circuito de aprovação que as restantes? Os subcontratados críticos são sujeitos a uma revisão documentada, ou apenas a um contrato assinado de uma vez por todas? São estas respostas que determinam o conteúdo do relatório, não a qualidade da política escrita.

Uma confusão é frequente: o SOC 2 não é uma certificação e não se compara ponto a ponto com a ISO 27001. O SOC 2 produz um relatório de atestação elaborado por uma entidade independente, incidindo sobre os controlos que a própria organização definiu para cumprir os seus compromissos de serviço. A margem de liberdade quanto ao âmbito e à formulação dos controlos é, por isso, ampla, o que desloca o desafio para a coerência interna do dispositivo. As organizações já empenhadas na ISO 27001 reutilizam grande parte da sua base, desde que reconstruam a lógica de prova ao longo do tempo.

O diagnóstico de maturidade responde a uma questão diferente da da auditoria. A auditoria conclui com uma exceção ou com a ausência de exceção sobre um determinado controlo. O diagnóstico situa cada prática numa escala progressiva e indica a ação que permite passar ao nível seguinte: o que ainda é declarativo, o que é aplicado mas não registado, o que é sistemático e medido. É isto que permite decidir onde investir o esforço antes do período de observação, em vez de o descobrir durante o mesmo.

Na Datamensio, o referencial está pronto a usar e é adaptável. A IA ajusta os domínios, as perguntas e os níveis segundo o âmbito dos critérios escolhidos, ou constrói uma versão a partir das suas próprias políticas e descrições de controlos.