Empresas de software de Aveiro com clientes nos EUA: o que é o relatório SOC 2

A região de Aveiro tem um ecossistema tecnológico forte, com empresas de software que vendem cada vez mais para o mercado norte-americano. Nas negociações com clientes dos Estados Unidos surge quase sempre o mesmo pedido: um relatório SOC 2. Sem ele, o processo de compra pode parar na equipa de segurança do cliente.

O que é o SOC 2

O SOC 2 é um relatório de asseguração sobre os controlos de uma organização de serviços, elaborado segundo os critérios do AICPA, a associação norte-americana de contabilistas certificados. É emitido por uma firma de CPA licenciada nos Estados Unidos. Não é um certificado: é um relatório com a descrição do sistema, dos controlos e a opinião do auditor.

Tipo I e Tipo II

• O Tipo I avalia se os controlos estão bem desenhados numa data concreta.
• O Tipo II avalia se os controlos funcionaram efetivamente durante um período de observação.

Os grandes clientes norte-americanos pedem normalmente o Tipo II. Muitas empresas começam pelo Tipo I para não perder negócios enquanto acumulam evidências.

Os critérios avaliados

A segurança é obrigatória e cobre gestão de acessos, gestão de alterações, monitorização, resposta a incidentes e fornecedores. Disponibilidade, confidencialidade, integridade do processamento e privacidade são acrescentados conforme os compromissos assumidos com os clientes.

SOC 2 e ISO/IEC 27001

Onde o processo costuma atrasar

Raramente na tecnologia. O mais comum é a falta de evidências: os acessos são revistos, mas sem registo; as alterações ao código são aprovadas, mas sem rasto. Organizar a recolha de evidências desde o primeiro dia evita surpresas na avaliação.

Quantas pessoas são necessárias

Numa empresa de software de dimensão média, basta normalmente um responsável pela segurança, o apoio da direção técnica e algumas horas por semana dos donos dos processos. O resto da equipa continua a trabalhar como antes, com regras mais claras de acesso e de alterações.

Depois de obtido, o relatório tem de ser renovado, porque os clientes pedem uma versão atualizada todos os anos.

Para quem ainda não tem clientes nos EUA, uma avaliação interna segundo os critérios do AICPA mostra a distância até ao relatório e ajuda a planear o trabalho.

Para quem vende na Europa e nos EUA, combinar as duas abordagens faz sentido: grande parte dos controlos coincide, e um único conjunto de evidências serve as duas avaliações. A preparação inclui definir o âmbito, analisar lacunas, implementar controlos e organizar evidências antes da avaliação pela firma de CPA. Mais informação na página sobre preparação para o SOC 2.

O Notícias de Aveiro tem canais próprios para informação não jornalística como é o caso deste artigo »» ler estatuto editorial.